Global Freedom of Expression | Google Spain SL v. Agencia Española de Protección de Datos – Mondiale vrijheid van meningsuiting

Samenvatting en uitkomst van de zaak

In maart 2010 diende de Spanjaard Costeja González bij het Spaanse bureau voor gegevensbescherming een klacht in tegen de krant La Vanguardia, Google Spain en Google Inc. González wilde dat de krant de gegevens over zijn beslagleggings- en derdenbeslagprocedure van 1998 zou verwijderen of wijzigen, zodat de informatie niet langer beschikbaar zou zijn via internetzoekmachines. Hij verzocht ook Google Inc. of haar dochteronderneming, Google Spanje, de gegevens te verwijderen of te verbergen. González voerde aan dat de procedure al verscheidene jaren volledig was afgehandeld en daarom niet meer online mocht verschijnen. Het bureau verwierp de klacht tegen de krant op grond dat de publicatie rechtmatig was op grond van een overheidsbevel. Het verklaarde de klacht tegen Google echter gegrond en oordeelde dat internetzoekmachines ook onder de wetgeving inzake gegevensbescherming vallen en de nodige maatregelen moeten nemen om persoonsgegevens te beschermen.

In hoger beroep schortte het Spaanse nationale hooggerechtshof de procedure op en legde het een aantal vragen voor aan het Europese Hof van Justitie over de toepasselijkheid van EU-richtlijn 95/46 (bescherming van persoonsgegevens) op internetzoekmachines. Het Hof oordeelde dat een zoekmachine wordt beschouwd als een “voor de verwerking verantwoordelijke” met betrekking tot de “verwerking” van persoonsgegevens door het lokaliseren, indexeren, opslaan en verspreiden van dergelijke informatie. Bovendien oordeelde het Hof dat, om het recht op eerbiediging van de persoonlijke levenssfeer en het recht op bescherming van persoonsgegevens te waarborgen, van exploitanten van zoekmachines kan worden verlangd dat zij door websites van derden gepubliceerde persoonsgegevens verwijderen. Maar het recht van de betrokkene om dat verzoek te doen, moet worden afgewogen tegen het belang van het grote publiek om toegang te krijgen tot zijn persoonlijke informatie.

feiten

In 1998 publiceerde de Spaanse krant La Vanguardia twee artikelen over een beslagleggings- en derdenbeslagprocedure tegen Costeja González. In 2009 nam hij contact op met de krant en beweerde dat toen zijn naam werd ingevoerd in Google.com, er nog steeds een verwijzing was naar de pagina’s van de krant betreffende de rechtsvordering. González betoogde dat de informatie moest worden verwijderd omdat de procedure jaren eerder was afgesloten en er geen openstaande vordering tegen hem was. De krant wees zijn eis echter af met het argument dat de rechtsvordering was gepubliceerd op bevel van het Spaanse ministerie van Arbeid en Sociale Zaken. Vervolgens nam hij in 2010 contact op met Google Spanje, met het argument dat de online zoekresultaten van zijn naam geen verwijzing mochten bevatten naar de publicatie door de krant van zijn gerechtelijke procedure.

Nadat Google hieraan geen gehoor gaf, diende González bij het Spaanse bureau voor gegevensbescherming een klacht in tegen de krant, Google Spanje en Google Inc. Het agentschap verwierp de klacht tegen de krant, met als argument dat de publicatie plaatsvond op grond van een overheidsbevel. Het verklaarde echter de klacht tegen Google en haar dochteronderneming, Google Spanje, gegrond. Het oordeelde dat, omdat de exploitanten van internetzoekmachines persoonsgegevens verwerken, zij onderworpen zijn aan de relevante privacywetgeving en verplicht kunnen zijn informatie te verwijderen die het grondrecht op privacy in gevaar brengt.

Daarop stelden Google Inc. en Google Spanje afzonderlijk beroep in tegen de beslissing. Het Spaanse Hooggerechtshof besloot de behandeling van de zaak aan te houden voor wat betreft de beoordeling van de verplichting van Google om persoonsgegevens te beschermen die anders op websites van derden worden gepubliceerd.

Besluit Overzicht

Het Spaanse Hooggerechtshof heeft het Hof van Justitie van de Europese Gemeenschappen de volgende prejudiciële vragen gesteld:

(1) Kan de EU-richtlijn 95/46, zoals uitgevoerd door de nationale wetgeving van een lidstaat, worden toegepast op een buitenlands internetzoekmachinebedrijf dat een filiaal of dochteronderneming heeft met de bedoeling om advertentieruimte te promoten en te verkopen die is gericht op de inwoners van die lidstaat.

(2) De vraag of de handeling van internetzoekmachines waarbij door derden gepubliceerde informatie wordt opgespoord en vervolgens geïndexeerd en ter beschikking van internetgebruikers wordt gesteld, kan worden aangemerkt als “verwerking van persoonsgegevens” in de zin van de richtlijn.

(3) Of de exploitant van een zoekmachine moet worden beschouwd als een “voor de verwerking verantwoordelijke” met betrekking tot de verwerking van persoonsgegevens in de zin van artikel 2, sub d, van de richtlijn.

(4) Of exploitanten van internetzoekmachines op basis van legitieme gronden ter bescherming van het recht op eerbiediging van de persoonlijke levenssfeer en andere door de richtlijn beoogde grondrechten verplicht zijn door websites van derden gepubliceerde persoonsgegevens te verwijderen of te wissen, zelfs wanneer de aanvankelijke verspreiding van dergelijke informatie rechtmatig was.

Artikel 1 van Richtlijn 95/46 verplicht de EU-Staten tot bescherming van “de fundamentele rechten en vrijheden van natuurlijke personen, inzonderheid van hun recht op persoonlijke levenssfeer met betrekking tot de verwerking van persoonsgegevens”. Tegelijkertijd verbiedt de richtlijn beperkingen op het vrije verkeer van persoonsgegevens tussen de lidstaten van de EU.

In de richtlijn worden persoonsgegevens gedefinieerd als “iedere informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon (‘betrokkene’); als identificeerbaar wordt beschouwd een persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificatienummer of van een of meer specifieke elementen die kenmerkend zijn voor zijn of haar fysieke, fysiologische, psychische, economische, culturele of sociale identiteit.” De verwerking van dergelijke informatie omvat “elke bewerking of elk geheel van bewerkingen met betrekking tot persoonsgegevens, al dan niet uitgevoerd met behulp van geautomatiseerde procédés, zoals het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op enigerlei andere wijze ter beschikking stellen, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens”. Volgens artikel 2, onder d), is een “voor de verwerking verantwoordelijke” van persoonsgegevens iedere “natuurlijke of rechtspersoon, overheidsinstantie, dienst of enig ander lichaam, die, alleen of tezamen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt.”

Het Europese Hof van Justitie heeft eerst besproken of de activiteit van een internetzoekmachine kan worden aangemerkt als “verwerking” van persoonsgegevens in de zin van artikel 2, onder c), van de richtlijn. En indien het antwoord bevestigend is, of de exploitant van een zoekmachine kan worden beschouwd als een voor de verwerking verantwoordelijke die persoonsgegevens verwerkt. Het Hof acht het onbetwistbaar dat sommige of vele door zoekmachines geïndexeerde en opgeslagen gegevens betrekking hebben op “identificeerbare natuurlijke personen en dus “persoonsgegevens” zijn in de zin van artikel 2, sub a, van . En dat een exploitant van een zoekmachine door zijn voortdurende en systematische zoektocht van online-informatie vaak die persoonsgegevens verzamelt, die vervolgens worden geïndexeerd, opgeslagen en ter beschikking van internetgebruikers worden gesteld. Het Hof concludeerde dan ook dat het verzamelen, indexeren, opslaan en openbaar maken van persoonsgegevens door Google wordt beschouwd als “verwerking” van dergelijke informatie in de zin van de richtlijn.

Over de vraag of de zoekmachine van Google moet worden beschouwd als een “voor de verwerking verantwoordelijke” van de verwerking van persoonsgegevens, was het Hof van oordeel dat het begrip “voor de verwerking verantwoordelijke” in de richtlijn ruim moet worden uitgelegd om een “doeltreffende en volledige bescherming van de betrokkenen” te waarborgen. En dat het in strijd zou zijn met de doelstellingen van de richtlijn om de exploitanten van internetzoekmachines uit te sluiten, aangezien “zij een beslissende rol spelen bij de algemene verspreiding van gegevens”.

Over de vraag of de richtlijn, zoals omgezet in de nationale wetgeving van Spanje, kan worden toegepast op Google als “voor de verwerking verantwoordelijke” van de verwerking van persoonsgegevens, blijkt uit de stukken van het Hof dat Google Spanje in 2003 door Google Inc. is opgericht om hoofdzakelijk op te treden als haar handelsagent in Spanje “ter bevordering, vergemakkelijking en totstandbrenging van de verkoop van onlinereclameproducten en -diensten aan derden en van de marketing van die reclame.” Volgens artikel 4, lid 1, onder a), zijn de bepalingen van de richtlijn van toepassing wanneer:

“de verwerking plaatsvindt in het kader van de activiteiten van een vestiging van de voor de verwerking verantwoordelijke op het grondgebied van de lidstaat; wanneer dezelfde voor de verwerking verantwoordelijke op het grondgebied van verschillende lidstaten is gevestigd, treft hij de nodige maatregelen om ervoor te zorgen dat elk van deze vestigingen voldoet aan de verplichtingen die voortvloeien uit de toepasselijke nationale wetgeving.”

Met inachtneming van de doelstellingen van de richtlijn en van de bewoordingen van artikel 4, lid 1, sub a, oordeelt het Hof dat Google aan de bepalingen is onderworpen, omdat haar dochteronderneming Google Spain een vestiging in Spanje is “die is bestemd voor de promotie en de verkoop, in deze , van de door de zoekmachine aangeboden advertentieruimte, die dient om de door deze zoekmachine aangeboden dienst rendabel te maken.”

Ten slotte ging het Hof in op de omvang van de verantwoordelijkheid van Google als internetzoekmachine met betrekking tot persoonsgegevens die door websites van derden zijn gepubliceerd en vervolgens door de betrokkene willen worden verwijderd of gewijzigd. De toepasselijke bepalingen zijn artikel 12, onder b), en artikel 14, onder a), van de richtlijn. Krachtens artikel 12, onder b), heeft elke betrokkene het recht van de voor de verwerking verantwoordelijke “in voorkomend geval, rectificatie, uitwissing of afscherming te verkrijgen van gegevens waarvan de verwerking niet in overeenstemming is met de bepalingen van deze richtlijn, met name wegens de onvolledigheid of onnauwkeurigheid van de gegevens”. Artikel 14, onder a), verleent de betrokkene ook het recht om “te allen tijde om zwaarwegende en gerechtvaardigde redenen die met zijn bijzondere situatie verband houden, bezwaar te maken tegen de verwerking van gegevens die hem betreffen, tenzij in de nationale wetgeving anders is bepaald. Wanneer er een gerechtvaardigd bezwaar is, mag de verwerking waartoe de voor de verwerking verantwoordelijke het initiatief heeft genomen, niet langer deze gegevens betreffen.”

Google Spanje en Google Inc. voerden aan dat op basis van het proportionaliteitsbeginsel de verwijdering van persoonlijke informatie moet worden gericht aan de website die de gegevens heeft gepubliceerd en publiekelijk beschikbaar heeft gesteld. En dat de uitgever in de beste positie verkeert om de rechtmatigheid van die informatie te beoordelen.

Bij de behandeling van deze vraag onderstreept het Hof allereerst de fundamentele rechten op privacy en bescherming van persoonsgegevens. Artikel 8 van het Handvest van de grondrechten van de EU bepaalt: “Eenieder heeft recht op bescherming van zijn persoonsgegevens. Deze gegevens moeten eerlijk worden verwerkt, voor bepaalde doeleinden en met toestemming van de betrokkene, of op basis van een andere gerechtvaardigde grondslag die in de wet is vastgesteld. Eenieder heeft recht op toegang tot de over hem verzamelde gegevens en op rectificatie daarvan. Zoals onder meer geïmplementeerd in de artikelen 6, 7, 12, 14 en 28 van Richtlijn 95/46, heeft het Hof ook benadrukt hoe belangrijk het is een evenwicht te vinden tussen het recht op bescherming van de persoonlijke levenssfeer en het recht op toegang tot informatie.

In het licht van bovengenoemde beginselen heeft het Hof geoordeeld dat internetzoekmachines “de fundamentele rechten op bescherming van de persoonlijke levenssfeer en van persoonsgegevens aantasten wanneer de zoekopdracht met behulp van die zoekmachine wordt uitgevoerd op basis van de naam van een persoon.” Het recht van internetgebruikers om via zoekmachines toegang te krijgen tot persoonlijke informatie moet echter ook worden geëerbiedigd, afhankelijk “van de aard van de betrokken informatie en de gevoeligheid ervan voor het privé-leven van de betrokkene, alsmede van het belang van het publiek om over die informatie te beschikken, welk belang met name kan variëren naar gelang van de rol die de betrokkene in het openbare leven speelt.”

Samengevat oordeelt het Hof dat “de exploitant van een zoekmachine verplicht is om links naar webpagina’s die door derden zijn gepubliceerd en informatie over een persoon bevatten, te verwijderen uit de lijst van resultaten die worden weergegeven na een zoekopdracht op basis van diens naam, ook wanneer die naam of informatie niet vooraf of gelijktijdig uit die webpagina’s is verwijderd, en zelfs, in voorkomend geval, wanneer de publicatie ervan op zich op die webpagina’s rechtmatig is”. Het Hof oordeelt tevens dat natuurlijke personen wier persoonsgegevens via internetzoekmachines voor het publiek toegankelijk zijn, kunnen “verzoeken dat de betrokken informatie niet langer voor het publiek toegankelijk wordt gemaakt omdat zij in een dergelijke lijst van resultaten is opgenomen”, aangezien hun recht op bescherming van de persoonlijke levenssfeer en van persoonsgegevens zwaarder weegt dan “niet alleen het economische belang van de exploitant van de zoekmachine, maar ook het belang van het publiek om bij een zoekopdracht op naam van de betrokkene toegang te hebben tot die informatie”. Het Hof benadrukt echter dat het recht om een dergelijk verzoek in te dienen kan ophouden te bestaan wanneer de toegang tot persoonsgegevens “wordt gerechtvaardigd door het overwegend belang van het grote publiek om, wegens de opneming ervan in de lijst van resultaten, toegang te hebben tot de betrokken informatie.”