Global Freedom of Expression | Google Spain SL v. Agencia Española de Protección de Datos – Global Freedom of Expression

Målsammanfattning och resultat

I mars 2010 lämnade den spanska medborgaren Costeja González in ett klagomål till landets dataskyddsmyndighet mot tidningen La Vanguardia, Google Spain och Google Inc. González ville att tidningen skulle ta bort eller ändra uppgifterna om hans 1998 års utmätning och kvarstad så att informationen inte längre skulle vara tillgänglig via sökmotorer på Internet. Han begärde också att Google Inc. eller dess dotterbolag Google Spain skulle ta bort eller dölja uppgifterna. González hävdade att förfarandena hade varit helt avgjorda sedan flera år tillbaka och att de därför inte längre borde visas på nätet. Byrån avvisade klagomålet mot tidningen med motiveringen att publiceringen var rättsligt motiverad i enlighet med ett regeringsbeslut. Myndigheten biföll dock klagomålet mot Google och konstaterade att sökmotorer på Internet också omfattas av dataskyddslagstiftningen och måste vidta nödvändiga åtgärder för att skydda personuppgifter.

I samband med ett överklagande avvisade Spaniens högsta domstol förfarandet och ställde ett antal frågor till EG-domstolen om huruvida EU:s direktiv 95/46 (skydd av personuppgifter) är tillämpligt på sökmotorer på Internet. Domstolen slog fast att en sökmotor betraktas som ”personuppgiftsansvarig” när det gäller ”behandling” av personuppgifter genom att den lokaliserar, indexerar, lagrar och sprider sådan information. Dessutom ansåg domstolen att för att garantera rätten till personlig integritet och skyddet av personuppgifter kan operatörer av sökmotorer åläggas att ta bort personuppgifter som publicerats på webbplatser från tredje part. Men den registrerades rätt att göra denna begäran måste vägas mot allmänhetens intresse av att få tillgång till hans eller hennes personuppgifter.

Fakta

Under 1998 publicerade den spanska tidningen La Vanguardia två artiklar om en utmätning och kvarstad mot Costeja González. År 2009 kontaktade han tidningen och hävdade att när hans namn skrevs in i Google.com fanns det fortfarande en hänvisning till tidningens sidor om den rättsliga åtgärden. González hävdade att informationen borde tas bort eftersom förfarandet hade avslutats flera år tidigare och att det inte fanns någon utestående fordran mot honom. Tidningen nekade dock till hans krav och hävdade att den rättsliga åtgärden publicerades i enlighet med en order från Spaniens ministerium för arbete och sociala frågor. År 2010 kontaktade han sedan Google Spanien och hävdade att sökresultaten på nätet för hans namn inte borde hänvisa till tidningens publicering av hans rättsliga förfarande.

När Google inte följde upp detta väckte González ett klagomål hos Spaniens dataskyddsbyrå mot tidningen, Google Spanien och Google Inc. Myndigheten avvisade talan mot tidningen med motiveringen att offentliggörandet skedde i enlighet med ett regeringsbeslut. Däremot biföll den klagomålet mot Google och dess dotterbolag Google Spain. Den ansåg att eftersom operatörerna av sökmotorer på Internet behandlar personuppgifter omfattas de av relevant lagstiftning om skydd av privatlivet och kan vara skyldiga att ta bort information som äventyrar den grundläggande rätten till privatliv.

Därefter överklagade Google Inc. och Google Spain beslutet separat. Spaniens nationella högsta domstol beslutade att låta förfarandet vila eftersom bedömningen av Googles skyldighet att skydda personuppgifter som i övrigt publiceras på tredje parts webbplatser.

Beslutsöversikt

Den spanska högsta domstolen (National High Court of Spain) ställde följande frågor till EU-domstolen för ett förhandsavgörande:

(1) Kan EU:s direktiv 95/46, så som det har genomförts genom en medlemsstats nationella lagstiftning, tillämpas på ett utländskt företag som bedriver sökmotorverksamhet på internet och som har en filial eller ett dotterbolag i syfte att marknadsföra och sälja reklamutrymme som är riktat till invånarna i den medlemsstaten?

(2) Kan internet-sökmotorernas handling att lokalisera information som offentliggjorts av tredje part och senare indexera och göra informationen tillgänglig för internetanvändare anses utgöra ”behandling av personuppgifter” i den mening som avses i direktivet?

(3) Huruvida operatören av en sökmotor ska betraktas som ”personuppgiftsansvarig” när det gäller behandling av personuppgifter enligt artikel 2 d i direktivet.

(4) Huruvida operatörer av sökmotorer på Internet, på grundval av legitima skäl för att skydda rätten till privatliv och andra grundläggande rättigheter som avses i direktivet, är skyldiga att avlägsna eller radera personuppgifter som publicerats på webbplatser som tillhör tredje part, även när den ursprungliga spridningen av sådan information var laglig.

Artikel 1 i direktiv 95/46 ålägger EU:s medlemsstater att skydda ”fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till privatliv med avseende på behandling av personuppgifter”. Samtidigt förbjuds begränsningar av det fria flödet av personuppgifter mellan EU:s medlemsstater.

I direktivet definieras personuppgifter som ”all information som rör en identifierad eller identifierbar fysisk person (”den registrerade”); en identifierbar person är en person som direkt eller indirekt kan identifieras, särskilt genom hänvisning till ett identifikationsnummer eller till en eller flera faktorer som är specifika för hans eller hennes fysiska, fysiologiska, psykiska, ekonomiska, kulturella eller sociala identitet”. Handlingen behandling av sådan information omfattar ”varje åtgärd eller uppsättning åtgärder som utförs på personuppgifter, oavsett om det sker på automatisk väg eller inte, såsom insamling, registrering, organisering, lagring, anpassning eller ändring, hämtning, konsultation, användning, utlämnande genom överföring, spridning eller annat tillhandahållande på annat sätt, sammanjämkning eller samkörning, blockering, radering eller förstöring”. Enligt artikel 2 d är en ”registeransvarig” för personuppgifter varje ”fysisk eller juridisk person, offentlig myndighet, byrå eller annat organ som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter.”

EU-domstolen diskuterade först om en sökmotors verksamhet på Internet kan klassificeras som ”behandling” av personuppgifter i den mening som avses i artikel 2 c i direktivet. Och om svaret är jakande, om operatören av en sökmotor kan betraktas som en personuppgiftsansvarig som utför behandling av personuppgifter. Domstolen fann det obestridligt att vissa eller många uppgifter som indexeras och lagras av sökmotorer är relaterade till ”identifierbara fysiska personer och därmed ’personuppgifter’ i den mening som avses i artikel 2 a i direktivet”. Och att en operatör av en sökmotor genom sin ständiga och systematiska sökning av information på nätet ofta samlar in dessa personuppgifter, som sedan indexeras, lagras och görs tillgängliga för Internetanvändarna. Domstolen drog därför slutsatsen att Googles handling att samla in, indexera, lagra och lämna ut personuppgifter betraktas som ”behandling” av sådan information i direktivets mening.

För att avgöra om Googles sökmotor ska betraktas som en ”personuppgiftsansvarig” för behandlingen av personuppgifter ansåg domstolen att begreppet ”personuppgiftsansvarig” i direktivet måste tolkas brett för att säkerställa ett ”effektivt och fullständigt skydd för de registrerade”. Och att det skulle strida mot de mål som anges i direktivet att utesluta operatörerna av sökmotorer på Internet eftersom ”de spelar en avgörande roll för den övergripande spridningen av uppgifter”.

För att avgöra om direktivet, så som det genomförts i Spaniens nationella lagstiftning, kan tillämpas på Google i egenskap av ”personuppgiftsansvarig” för behandling av personuppgifter, angavs i domstolens handlingar att Google Spain grundades 2003 av Google Inc. för att i första hand fungera som dess handelsagent i Spanien ”för att främja, underlätta och genomföra försäljningen av produkter och tjänster för annonsering på nätet till tredje part och marknadsföringen av denna annonsering”. Enligt artikel 4.1 a är direktivets bestämmelser tillämpliga när:

”behandlingen sker inom ramen för verksamheten vid ett av den personuppgiftsansvariges verksamhetsställen på medlemsstatens territorium; när samma personuppgiftsansvarige är etablerad på flera medlemsstaters territorium ska denne vidta nödvändiga åtgärder för att se till att vart och ett av dessa verksamhetsställen uppfyller de skyldigheter som föreskrivs i den tillämpliga nationella lagstiftningen”.”

Med beaktande av direktivets syften och ordalydelsen i artikel 4.1 a fann domstolen att Google omfattas av bestämmelserna eftersom dess dotterbolag Google Spain är ett etableringsställe i Spanien ”som syftar till att marknadsföra och sälja, i det , annonsutrymme som erbjuds av sökmotorn, vilket tjänar till att göra den tjänst som erbjuds av denna motor lönsam”.

Sist tog domstolen upp omfattningen av Googles ansvar i egenskap av sökmotor på internet när det gäller personuppgifter som publicerats på webbplatser från tredje part och som den registrerade senare har försökt ta bort eller ändra. Tillämpliga bestämmelser här är artiklarna 12 b och 14 a i direktivet. Enligt artikel 12 b har varje registrerad person rätt att av den personuppgiftsansvarige få ”på lämpligt sätt rättelse, radering eller blockering av uppgifter vars behandling inte är förenlig med bestämmelserna i detta direktiv, särskilt på grund av att uppgifterna är ofullständiga eller felaktiga”. Enligt artikel 14 a har den registrerade också rätt att ”när som helst av tvingande legitima skäl som hänför sig till hans eller hennes särskilda situation göra invändningar mot behandlingen av uppgifter som rör honom eller henne, om inte annat föreskrivs i den nationella lagstiftningen”. Om det finns en berättigad invändning får den behandling som den registeransvarige har inlett inte längre omfatta dessa uppgifter.”

Google Spain och Google Inc. hävdade att utifrån proportionalitetsprincipen måste avlägsnandet av personuppgifter riktas till den webbplats som publicerade uppgifterna och gjorde dem tillgängliga för allmänheten. Och att utgivaren är bäst lämpad att bedöma om informationen är laglig.

I samband med att domstolen behandlade denna fråga underströk den först de grundläggande rättigheterna till personlig integritet och skydd av personuppgifter. I artikel 8 i EU:s stadga om de grundläggande rättigheterna anges att ”veryone has right to the protection of personal data concerning him or her. uch data must be processed fairly for specified purposes and on the basis of the consent of the person concerned or some other legitimate basis laid down by law. Var och en har rätt att få tillgång till uppgifter som har samlats in om honom eller henne och rätt att få dem rättade.” Såsom genomfört, bland annat enligt artiklarna 6, 7, 12, 14 och 28 i direktiv 95/46, betonade domstolen också vikten av att balansera rätten till privatliv mot rätten till tillgång till information.

I ljuset av ovanstående principer ansåg domstolen att sökmotorer på Internet är föremål för ”påverkan på den grundläggande rätten till privatliv och till skydd av personuppgifter när sökningen med hjälp av den motorn görs på grundval av en enskild persons namn”. Internetanvändarnas rätt att få tillgång till personuppgifter via sökmotorer måste dock också respekteras, beroende på ”arten av den aktuella informationen och hur känslig den är för den registrerades privatliv samt allmänhetens intresse av att få tillgång till denna information, ett intresse som särskilt kan variera beroende på den roll som den registrerade spelar i det offentliga livet”.

Sammanfattningsvis slog domstolen fast att ”operatören av en sökmotor är skyldig att från den resultatlista som visas efter en sökning som gjorts på grundval av en persons namn ta bort länkar till webbsidor, som publicerats av tredje part och som innehåller information om denna person, även i ett fall där detta namn eller denna information inte först raderas eller samtidigt raderas från dessa webbsidor, och även, i förekommande fall, när publiceringen av den i sig själv på dessa sidor är laglig”. Domstolen konstaterade också att enskilda vars personuppgifter är offentligt tillgängliga via sökmotorer på Internet kan ”begära att informationen i fråga inte längre ska göras tillgänglig för allmänheten på grund av att den finns med i en sådan resultatlista”, eftersom deras rätt till privatliv och skydd av personuppgifter väger tyngre än ”inte bara det ekonomiska intresset för sökmotorns operatör utan även allmänhetens intresse av att få tillgång till denna information vid en sökning som avser den registrerades namn”. Domstolen betonade dock att rätten att ta initiativ till en sådan begäran kan upphöra att existera när tillgången till personuppgifter ”motiveras av allmänhetens övervägande intresse av att få tillgång till informationen i fråga på grund av att den finns med i resultatlistan”.