Global Freedom of Expression | Google Spain SL v. Agencia Española de Protección de Datos – Global Freedom of Expression

Case Summary and Outcome

W marcu 2010 r. obywatel hiszpański Costeja González wniósł skargę do krajowej Agencji Ochrony Danych przeciwko gazecie La Vanguardia, Google Spain i Google Inc. González chciał, aby gazeta usunęła lub zmieniła zapis jego postępowania o zajęcie i konfiskatę z 1998 r., tak aby informacje te nie były już dostępne w wyszukiwarkach internetowych. Zażądał również od Google Inc. lub jej spółki zależnej, Google Spain, usunięcia lub ukrycia tych danych. González argumentował, że postępowania były w pełni rozstrzygnięte przez kilka lat i dlatego nie powinny się już pojawiać w Internecie. Agencja oddaliła skargę przeciwko gazecie na tej podstawie, że publikacja była prawnie uzasadniona zgodnie z nakazem rządowym. Uwzględniła jednak skargę przeciwko Google, stwierdzając, że wyszukiwarki internetowe również podlegają przepisom o ochronie danych i muszą podejmować niezbędne kroki w celu ochrony danych osobowych.

W wyniku odwołania Krajowy Sąd Najwyższy Hiszpanii zawiesił postępowanie i przedstawił Europejskiemu Trybunałowi Sprawiedliwości szereg pytań dotyczących możliwości zastosowania dyrektywy UE 95/46 (ochrona danych osobowych) do wyszukiwarek internetowych. Trybunał orzekł, że wyszukiwarka jest uznawana za „administratora danych” w odniesieniu do „przetwarzania” danych osobowych poprzez swoje działanie polegające na lokalizowaniu, indeksowaniu, przechowywaniu i rozpowszechnianiu takich informacji. Ponadto uznał, że w celu zagwarantowania prawa do prywatności i ochrony danych osobowych, operatorzy wyszukiwarek mogą zostać zobowiązani do usunięcia danych osobowych opublikowanych przez strony internetowe osób trzecich. Jednak prawo osoby, której dane dotyczą, do wystąpienia z takim żądaniem musi być zrównoważone interesem ogółu społeczeństwa w dostępie do jej danych osobowych.

Fakty

W 1998 r. hiszpańska gazeta La Vanguardia opublikowała dwa artykuły dotyczące powództwa o zajęcie i zajęcie rachunku bankowego przeciwko Costeji Gonzálezowi. W 2009 r. skontaktował się on z gazetą, twierdząc, że gdy jego nazwisko zostało wpisane do Google.com, nadal istniało odniesienie do stron gazety dotyczących postępowania sądowego. González argumentował, że informacje te powinny zostać usunięte, ponieważ postępowanie zostało zakończone wiele lat wcześniej i nie ma żadnych zaległych roszczeń wobec niego. Gazeta jednak odrzuciła jego żądanie, twierdząc, że pozew został opublikowany zgodnie z nakazem hiszpańskiego Ministerstwa Pracy i Spraw Społecznych. Następnie w 2010 r. González skontaktował się z Google Spain, twierdząc, że wyniki wyszukiwania online jego nazwiska nie powinny zawierać odniesienia do publikacji gazety na temat jego postępowania sądowego.

Po tym, jak Google nie zastosowało się do jego żądania, González wniósł skargę do hiszpańskiej Agencji Ochrony Danych przeciwko gazecie, Google Spain oraz Google Inc. Agencja oddaliła skargę przeciwko gazecie, uzasadniając, że publikacja została dokonana na podstawie nakazu rządowego. Uwzględniła natomiast skargę przeciwko Google i jego spółce zależnej, Google Spain. Stwierdził, że ponieważ operatorzy wyszukiwarek internetowych przetwarzają dane osobowe, podlegają oni odpowiednim przepisom o ochronie prywatności i mogą być zobowiązani do usunięcia informacji, które naruszają podstawowe prawo do prywatności.

Następnie Google Inc. i Google Spain wniosły odrębne odwołania od tej decyzji. Narodowy Sąd Najwyższy Hiszpanii postanowił zawiesić postępowanie jako ocenę obowiązku Google do ochrony danych osobowych, które są w inny sposób publikowane na stronach internetowych osób trzecich.

Przegląd orzecznictwa

Sąd krajowy Hiszpanii skierował do Europejskiego Trybunału Sprawiedliwości następujące pytania prejudycjalne:

(1) Czy dyrektywa UE 95/46 wdrożona przez ustawodawstwo krajowe państwa członkowskiego może być stosowana do zagranicznej spółki prowadzącej wyszukiwarkę internetową, która posiada oddział lub filię z zamiarem promowania i sprzedaży powierzchni reklamowej skierowanej do mieszkańców tego państwa członkowskiego?

(2) Czy działanie wyszukiwarek internetowych polegające na lokalizowaniu informacji publikowanych przez osoby trzecie, a następnie indeksowaniu i udostępnianiu tych informacji użytkownikom Internetu może być uznane za „przetwarzanie danych osobowych” w rozumieniu dyrektywy?

(3) Czy operatora wyszukiwarki należy uznać za „administratora danych” w odniesieniu do przetwarzania danych osobowych na podstawie art. 2 lit. d) dyrektywy.

(4) Czy na podstawie uzasadnionych podstaw ochrony prawa do prywatności i innych praw podstawowych przewidzianych w dyrektywie operatorzy wyszukiwarek internetowych są zobowiązani do usunięcia lub wykasowania danych osobowych opublikowanych na stronach internetowych osób trzecich, nawet jeśli pierwotne rozpowszechnienie takich informacji było zgodne z prawem?

Artykuł 1 dyrektywy 95/46 zobowiązuje państwa UE do ochrony „podstawowych praw i wolności osób fizycznych, a w szczególności ich prawa do prywatności w odniesieniu do przetwarzania danych osobowych”. Jednocześnie zakazuje ograniczeń w swobodnym przepływie danych osobowych pomiędzy członkami UE.

Dyrektywa definiuje dane osobowe jako „wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej („osoby, której dane dotyczą”); osoba możliwa do zidentyfikowania to osoba, której tożsamość można ustalić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej fizyczną, fizjologiczną, umysłową, ekonomiczną, kulturową lub społeczną tożsamość.” Czynność przetwarzania takich informacji obejmuje „każdą operację lub zestaw operacji dokonywanych na danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, takich jak zbieranie, utrwalanie, organizowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie przez przekazanie, rozpowszechnianie lub udostępnianie w inny sposób, zestawianie lub łączenie, blokowanie, usuwanie lub niszczenie.” Zgodnie z art. 2 lit. d) „administratorem” danych osobowych jest każda „osoba fizyczna lub prawna, władza publiczna, agencja lub inny organ, który samodzielnie lub wspólnie z innymi określa cele i sposoby przetwarzania danych osobowych.”

Europejski Trybunał Sprawiedliwości w pierwszej kolejności zastanawiał się, czy działalność wyszukiwarki internetowej można zakwalifikować jako „przetwarzanie” danych osobowych w rozumieniu art. 2 lit. c) dyrektywy. A jeśli odpowiedź jest twierdząca, to czy operator wyszukiwarki może być uznany za administratora danych, który dokonuje przetwarzania danych osobowych. Trybunał uznał za bezsporne, że niektóre lub wiele informacji indeksowanych i przechowywanych przez wyszukiwarki dotyczą „możliwych do zidentyfikowania osób fizycznych, a zatem „danych osobowych” w rozumieniu art. 2 lit. a) dyrektywy .” I że poprzez stałe i systematyczne przeszukiwanie informacji online operator wyszukiwarki często gromadzi te dane osobowe, które są następnie indeksowane, przechowywane i udostępniane użytkownikom Internetu. W związku z tym Trybunał stwierdził, że działanie Google polegające na gromadzeniu, indeksowaniu, przechowywaniu i ujawnianiu danych osobowych jest uznawane za „przetwarzanie” takich informacji dla celów dyrektywy.

W kwestii, czy wyszukiwarkę Google należy uznać za „administratora” przetwarzających dane osobowe, Trybunał był zdania, że pojęcie „administratora” w ramach dyrektywy należy interpretować szeroko w celu zapewnienia „skutecznej i pełnej ochrony osób, których dane dotyczą”. I że sprzeczne z celami przewidzianymi w dyrektywie byłoby wyłączenie operatorów wyszukiwarek internetowych, ponieważ „odgrywają oni decydującą rolę w ogólnym rozpowszechnianiu danych.”

W odniesieniu do tego, czy dyrektywa wdrożona przez prawo krajowe Hiszpanii może być stosowana do Google jako „administratora” przetwarzania danych osobowych, akta sądowe wskazały, że Google Spain została utworzona w 2003 r. przez Google Inc. w celu działania przede wszystkim jako jej agent handlowy w Hiszpanii „w celu promowania, ułatwiania i prowadzenia sprzedaży produktów i usług reklamowych on-line osobom trzecim oraz marketingu tej reklamy”. Zgodnie z art. 4 ust. 1 lit. a) przepisy dyrektywy mają zastosowanie, gdy:

„przetwarzanie jest dokonywane w kontekście działalności zakładu administratora danych na terytorium państwa członkowskiego; gdy ten sam administrator danych ma siedzibę na terytorium kilku państw członkowskich, musi on podjąć środki niezbędne do zapewnienia, by każdy z tych zakładów spełniał obowiązki ustanowione przez mające zastosowanie prawo krajowe.”

Biorąc pod uwagę cele dyrektywy i brzmienie art. 4 ust. 1 lit. a), Trybunał orzekł, że Google podlega tym przepisom, ponieważ jego spółka zależna Google Spain jest zakładem w Hiszpanii „przeznaczonym do promowania i sprzedaży, w tym , powierzchni reklamowej oferowanej przez wyszukiwarkę, co służy uczynieniu usługi oferowanej przez tę wyszukiwarkę rentowną.”

Na koniec Trybunał zajął się zakresem odpowiedzialności Google jako wyszukiwarki internetowej w odniesieniu do danych osobowych publikowanych przez strony internetowe osób trzecich, których usunięcia lub zmiany domagała się następnie osoba, której dane dotyczą. Właściwymi przepisami są tu art. 12 lit. b) i art. 14 lit. a) dyrektywy. Zgodnie z art. 12 lit. b) każdy podmiot danych osobowych ma prawo do uzyskania od administratora danych „w stosownych przypadkach sprostowania, usunięcia lub zablokowania danych, których przetwarzanie nie jest zgodne z przepisami niniejszej dyrektywy, w szczególności z powodu niekompletności lub niedokładności danych”. Artykuł 14 lit. a) przyznaje również osobie, której dane dotyczą, prawo do „wniesienia w dowolnym momencie, z ważnych i uzasadnionych przyczyn związanych z jej szczególną sytuacją, sprzeciwu wobec przetwarzania danych, które jej dotyczą, o ile przepisy krajowe nie stanowią inaczej. W przypadku uzasadnionego sprzeciwu, przetwarzanie zainicjowane przez administratora nie może już dotyczyć tych danych.”

Google Spain i Google Inc. argumentowały, że w oparciu o zasadę proporcjonalności, usunięcie danych osobowych musi być skierowane do strony internetowej, która opublikowała dane i uczyniła je publicznie dostępnymi. I że wydawca jest w najlepszej pozycji do oceny zgodności z prawem tych informacji.

Rozpatrując tę kwestię, Trybunał w pierwszej kolejności podkreślił podstawowe prawa do prywatności i ochrony danych osobowych. Artykuł 8 Karty Praw Podstawowych UE stanowi, że „każdy ma prawo do ochrony danych osobowych, które go dotyczą. dane muszą być przetwarzane rzetelnie do określonych celów i na podstawie zgody osoby zainteresowanej lub na innej zgodnej z prawem podstawie przewidzianej przez ustawę. Każdy ma prawo dostępu do zebranych danych, które go dotyczą, oraz prawo do ich sprostowania.” Jako wdrożone, między innymi, na mocy art. 6, 7, 12, 14 i 28 dyrektywy 95/46, Trybunał podkreślił również znaczenie zrównoważenia prawa do prywatności z prawem dostępu do informacji.

W świetle powyższych zasad Trybunał orzekł, że wyszukiwarki internetowe podlegają „naruszeniu podstawowych praw do prywatności i do ochrony danych osobowych, gdy wyszukiwanie za pomocą tej wyszukiwarki odbywa się na podstawie nazwiska osoby fizycznej.” Jednakże prawo użytkowników Internetu do dostępu do informacji osobowych za pośrednictwem wyszukiwarek musi być również respektowane, w zależności „od charakteru danej informacji i jej wrażliwości dla życia prywatnego osoby, której dane dotyczą, oraz od interesu publicznego w posiadaniu tej informacji, interesu, który może być różny, w szczególności w zależności od roli, jaką osoba, której dane dotyczą, odgrywa w życiu publicznym.”

Podsumowując, Trybunał orzekł, że „operator wyszukiwarki jest zobowiązany do usunięcia z listy wyników wyświetlanych w następstwie wyszukiwania dokonanego na podstawie nazwiska osoby linków do stron internetowych, opublikowanych przez osoby trzecie i zawierających informacje dotyczące tej osoby, również w przypadku, gdy to nazwisko lub informacje nie zostaną wcześniej lub jednocześnie usunięte z tych stron internetowych, a nawet, w zależności od przypadku, gdy ich publikacja na tych stronach jest sama w sobie zgodna z prawem.” Trybunał orzekł również, że osoby fizyczne, których dane osobowe są publicznie dostępne za pośrednictwem wyszukiwarek internetowych, mogą „żądać, aby dane informacje nie były już udostępniane ogółowi społeczeństwa ze względu na umieszczenie ich na takiej liście wyników”, ponieważ ich prawo do prywatności i ochrony danych osobowych przeważa „nie tylko nad interesem gospodarczym operatora wyszukiwarki, ale również nad interesem ogółu społeczeństwa w dostępie do tych informacji przy wyszukiwaniu dotyczącym nazwiska osoby, której dane dotyczą”. Trybunał podkreślił jednak, że prawo do zainicjowania takiego żądania może przestać istnieć, gdy dostęp do danych osobowych „jest uzasadniony przeważającym interesem ogółu społeczeństwa w posiadaniu, ze względu na umieszczenie na liście wyników, dostępu do przedmiotowych informacji.”