Global Freedom of Expression | Google Spain SL v. Agencia Española de Protección de Datos – Global Freedom of Expression

Case Summary and Outcome

2010年3月、スペイン人の Costeja González は La Vanguardia newspaper、Google Spain、Google Inc.に対して国のデータ保護庁で訴えを起こしました。 González氏は、1998年の差押えと差し押さえの手続きに関する記録を削除または変更し、インターネットの検索エンジンで情報を入手できないようにすることを新聞社に求めました。 また、Google Inc.またはその子会社であるGoogle Spainに対し、データの削除または隠蔽を要求しました。 González氏は、この訴訟手続きは数年前に完全に解決されており、したがって、もはやオンラインで表示されるべきではないと主張しました。 同庁は、政府命令に従って掲載が法的に正当化されるとして、新聞社に対する訴えを棄却した。

控訴審では、スペイン高等法院が訴訟手続きを停止し、EU指令95/46（個人情報の保護）のインターネット検索エンジンへの適用性に関するいくつかの質問を欧州司法裁判所に提出しました。 同裁判所は、検索エンジンは、その情報の検索、索引付け、保管、普及の行為を通じて、個人情報の「処理」に関して「管理者」とみなされるとの判決を下しました。 さらに、プライバシーの権利と個人データの保護を保証するために、検索エンジンの運営者は、第三者のウェブサイトによって公開された個人情報を削除するよう要求することができると判示しました。

事実

1998年、スペインのLa Vanguardia紙は、Costeja Gonzálezに対する差押えおよび差し押さえ訴訟に関する2つの記事を掲載しました。 2009年、彼は、Google.comで自分の名前を入力すると、法的措置に関する新聞のページへの言及が残っていると主張し、同新聞社に連絡しました。 González氏は、訴訟は何年も前に終結しており、自分に対する未払いの請求もないため、この情報は削除されるべきだと主張しました。 しかし、新聞社は、スペイン労働社会省の命令に従って法的措置が掲載されたと主張し、彼の要求を拒否した。

González は、Google がこれに応じなかったため、スペインのデータ保護庁に、新聞社、Google スペイン、および Google Inc.に対して、訴状を提出しました。 同庁は、公開が政府の命令に従って行われたことを理由に、新聞社に対する訴えを退けました。 しかし、同庁は、グーグルとその子会社であるグーグル スペイン社に対する訴えを支持した。 インターネット検索エンジンの運営者は個人データを処理するため、関連するプライバシー法の対象となり、プライバシーに対する基本的な権利を侵害する情報を削除する義務を負うことができるとしました。

その後、Google Inc.とGoogle Spainはこの決定に対して別々の控訴を起こしました。 スペイン全国高等裁判所は、それ以外の第三者のウェブサイトで公開されている個人データを保護するGoogleの義務の評価として、手続きを停止することを決定しました。

判決の概要

スペイン高等法院は、予備判決を得るために欧州司法裁判所に以下の質問を提出しました。

(1) 加盟国の国内法を通じて実施されているEU指令95/46は、当該加盟国の住民に向けた広告スペースを宣伝、販売する意図を持つ支店または子会社を有する外国のインターネット検索エンジン会社に適用できるかどうか。

(2) インターネット検索エンジンが第三者によって公開された情報の場所を特定し、後にインデックスを付けてインターネット利用者がその情報を利用できるようにする行為は、指令の意味における「個人データの処理」と見なすことができるかどうか。

(3) 検索エンジンのオペレータは、指令の第2条(d)に基づく個人データの処理に関して「管理者」とみなされなければならないかどうか。

(4) プライバシー権および指令が想定するその他の基本権を守るための正当な根拠に基づいて、インターネットの検索エンジンのオペレータは、当該情報の最初の普及が合法であっても、第三者のウェブサイトによって公開された個人情報を削除または消去する義務を負っているかどうか。

指令95/46の第1条は、EU諸国に対し、「自然人の基本的権利と自由、特に個人データの処理に関するプライバシーの権利」を保護することを義務付けています。 同時に、EU加盟国間の個人データの自由な流れを制限することも禁止しています。

指令では、個人データを「特定または識別可能な自然人（「データ主体」）に関するあらゆる情報」と定義しており、識別可能な人とは、特に識別番号またはその身体、生理、精神、経済、文化、社会のアイデンティティに関する1以上の要素を参照して、直接的または間接的に識別できる人のことを指します。 このような情報を処理する行為には、自動的な手段であるか否かにかかわらず、個人情報に対して行われる、収集、記録、整理、保管、適応または変更、検索、相談、使用、送信による開示、普及またはその他の利用可能化、整合または結合、阻止、消去または破棄などの操作または一連の操作が含まれます。” 第2条(d)に基づき、個人データの「管理者」とは、「自然人または法人、公的機関、代理店またはその他の団体で、単独または他者と共同で個人データの処理の目的および手段を決定するもの」を指します。

欧州司法裁判所はまず、インターネット検索エンジンの活動が指令の第2条（c）の意味において個人データの「処理」として分類されるかどうかについて論じました。 そして、その答えが肯定的である場合、検索エンジンの運営者は、個人情報の処理を行う管理者とみなすことができるかどうかということです。 裁判所は、検索エンジンによってインデックス化され保存される一部または多数の情報が「識別可能な自然人、したがって.comの第2条（a）の意味における『個人データ』」に関連していることは議論の余地がないものと判断した。 そして、検索エンジンの運営者は、オンライン情報の絶え間ない体系的な検索を通じて、しばしばその個人データを収集し、その後にインデックス化、保存、インターネット利用者の利用に供されるのであるから、このことは議論の余地がない。

Googleの検索エンジンが個人データの処理の「管理者」とみなされなければならないかどうかについて、裁判所は、指令内の「管理者」の概念は、「データ主体の効果的かつ完全な保護」を確実にするために広く解釈されなければならないという見解を示しました。 また、インターネット検索エンジンの運営者は、「データの全体的な普及に決定的な役割を果たしている」ため、これを除外することは指令で想定されている目的に反するとしました。

スペインの国内法によって実施される指令が、個人データ処理の「管理者」としてのグーグルに適用できるかどうかについて、裁判所の記録は、グーグルインクが2003年に設立し、主にスペインにおける同社の商業エージェントとして、「第三者へのオンライン広告製品およびサービスの販売とその広告マーケティングを促進、促進、実施する」ことを目的としていると示しました。 第4条1項(a)に基づき、指令の規定は以下の場合に適用されます。

「加盟国の領域における管理者の施設の活動という観点から処理が行われる。同じ管理者が複数の加盟国の領域に設立されている場合、これらの施設のそれぞれが適用される国内法が定める義務を遵守するために必要な措置を講じなければならない」（同氏）。「

指令の目的と第4条(1)(a)の文言を考慮し、裁判所は、子会社のGoogle Spainがスペインにおいて「検索エンジンが提供するサービスを収益化するための広告スペースを宣伝、販売することを目的とした」施設であることから、Googleは規定の適用を受けると判示しました。

最後に、裁判所は、第三者のウェブサイトによって公開され、その後データ主体が削除または変更を求めた個人情報に関して、インターネット検索エンジンとしてのグーグルの責任の範囲に言及しました。 ここで適用される規定は、指令の第12条(b)および第14条(a)である。 第12条(b)に基づき、すべての個人情報主体は、「特にデータの不完全性または不正確性を理由として、その処理がこの指令の規定に準拠していないデータの修正、消去またはブロッキング」を管理者から適宜取得する権利を有します。 第 14 条 (a) はまた、情報主体に「国内法で別途規定されている場合を除き、自己に関する情報の処理について、自己の特定の状況に関連する正当な理由に基づきいつでも異議を申し立てる」権利を付与しています。 正当な異議がある場合、管理者によって開始された処理は、もはやそれらのデータに関与しないかもしれません」

Google SpainとGoogle Inc.は、比例原則に基づき、個人情報の削除は、データを公開しそれを利用可能にしたウェブサイトに宛てられるべきであると主張しました。 そして、公開者がその情報の合法性を評価する最も良い立場にあるとしました。

この問題に取り組むにあたり、裁判所はまず、プライバシーと個人データの保護に対する基本的な権利を強調しました。 EU基本権憲章の第8条は、「すべての人は、自分に関する個人データを保護する権利を有する。そのデータは、特定の目的のために、関係者の同意または法律で定められたその他の正当な根拠に基づいて、公正に処理されなければならない」と述べている。 すべての人は、自分に関して収集されたデータにアクセスする権利、およびそれを修正させる権利を有する。 特に指令95/46の第6条、第7条、第12条、第14条、第28条の下で実施されているように、裁判所はまた、プライバシーに対する権利と情報アクセスに対する権利のバランスをとることの重要性を強調した。

上記の原則に照らして、裁判所は、インターネットの検索エンジンは、”そのエンジンによる検索が個人の名前に基づいて実行されている場合には、プライバシーと個人データの保護に対する基本的権利に影響を与える “と判断しています。 しかし、検索エンジンを通じて個人情報にアクセスするインターネットユーザーの権利も、”問題の情報の性質とデータ主体の私生活に対するその敏感さ、およびその情報を持つことに対する公衆の利益（その利益は、特にデータ主体が公的生活で果たす役割によって異なる場合がある）に応じて” 尊重されなければならない。

要するに、裁判所は、「検索エンジンの運営者は、第三者によって公開され、その人物に関する情報を含むウェブページへのリンクに基づいて行われた検索後に表示される結果のリストから、その名前または情報がそれらのウェブページから事前または同時に消去されない場合、および場合によっては、それらのページへの掲載それ自体が合法である場合にも、その名前を取り除く義務がある」と判決を下しました。 また、裁判所は、インターネットの検索エンジンによって個人情報が公開されている個人は、プライバシーと個人情報の保護に関する権利が「検索エンジンの運営者の経済的利益だけでなく、データ主体の名前に関連する検索でその情報にアクセスできるという一般人の利益」にも優先するため、「当該情報が当該検索結果のリストに含まれていることを理由に一般人が利用できなくなるよう要求する」ことができると判示しています。 しかし、裁判所は、個人情報へのアクセスが「検索結果のリストに含まれることを理由に、当該情報へのアクセスを有するという一般公衆の圧倒的な利益によって正当化される場合、当該要求を開始する権利は存在しなくなる可能性があることを強調しています」。