Google jest odpowiedzialny za dokonywane przetwarzanie danych osobowych, które pojawiają się na stronach internetowych publikowanych przez osoby trzecie. Zatem w sytuacji, gdy na liście wyników wyszukiwania po wpisaniu imienia i nazwiska danej osoby wyświetlany jest link do strony internetowej zawierające informacje o tej osobie, może ona zwrócić się bezpośrednio do operatora wyszukiwarki o usunięcie tego linku z tej listy wyników wyszukiwania. Jeżeli ten operator nie nada dalszego biegu złożonemu wnioskowi, osoba, której dotyczą dane, może zwrócić się do właściwych organów o nakazanie tego usunięcia linku.
Celem określonej w dyrektywie z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych jest ochrona podstawowych praw i wolności osób fizycznych (w szczególności ich prawo do poszanowania życia prywatnego) w zakresie przetwarzania danych osobowych, a także usuwanie przeszkód w swobodnym przepływie tych danych. Niedawno został opublikowany poradnik, jak zgłosić naruszenie dóbr osobistych związanych z wyszukiwarką Google. Teraz wachlarz możliwości wzrósł po orzeczeniu wydanym przez Trybunał Sprawiedliwości Unii Europejskiej. Teraz sądy krajowe będą mogły nakazać Google i innym wyszukiwarkom usuwanie danych osobowych.
Wyrok Trybunału Sprawiedliwości Unii Europejskiej
W 2010 r. hiszpański obywatel Mario Costeja González wniósł do Agencia Española de Protección de Datos (hiszpańskiej agencji ochrony danych, AEPD) skargę skierowaną przeciwko La Vanguardia Ediciones SL (wydawcy publikowanego w Hiszpanii, a zwłaszcza w regionie Katalonia, wysokonakładowego dziennika) oraz przeciwko spółkom Google Spain i Google Inc. Mario Costeja González zauwazył, że przy wprowadzaniu jego imienia i nazwiska do wyszukiwarki Google na liście wyników wyszukiwania pojawiał się link do dwóch stron dziennika „La Vanguardia” ze stycznia i marca 1998 r. Na stronach tych znajdowało się ogłoszenie w przedmiocie licytacji nieruchomości związanej z ich zajęciem wynikającym z niespłaconych należności przez M. Costeję Gonzáleza na rzecz zakładu zabezpieczeń społecznych.
W tej skardze M. Costeja González zwrócił się przede wszystkim o nakazanie spółce La Vanguardia usunięcia lub zmiany tych stron (aby nie pojawiały się już na nich jego dane osobowe), lub też wykorzystania przez nią pewnych narzędzi (blokada przed robotami, wyłączenie indeksowania strony, usunięcie adresów URL z wyszukiwarki) udostępnianych przez wyszukiwarki internetowe do ochrony tych danych. Mario Costeja González domagał się również zobowiązania Google Spain lub Google Inc. do usunięcia lub ukrycia jego danych osobowych w taki sposób, by nie były one ujawniane w wynikach wyszukiwania i powiązane z linkami do gazety La Vanguardia. Mario Costeja González twierdził w tym kontekście, że kwestia dotyczącego go zajęcia nieruchomości została rozwiązana już wiele lat temu i że aktualnie informacja o niej nie ma żadnego znaczenia.
AEPD oddaliła tą skargę w zakresie dotyczącym La Vanguardia, uznając, że wydawca ten opublikował rozpatrywane informacje zgodnie z prawem. Skarga ta jednak została uwzględniona w zakresie dotyczącym Google Spain i Google Inc. AEPD zwróciła się do tych dwóch spółek o przyjęcie środków niezbędnych do usunięcia tych danych z ich indeksów oraz uniemożliwienie dostępu do tych danych w przyszłości. Google Spain i Google Inc. wniosły do Audiencia Nacional (sprawującego władzę sądowniczą nad całością terytorium Hiszpanii sąd I instancji lub apelacyjny z siedzibą w Madrycie) dwie skargi w przedmiocie stwierdzenia nieważności wydanej przez AEPD decyzji. W tym właśnie kontekście ten sąd skierował do Trybunału Sprawiedliwości szereg pytań.
W wydanym 13 maja 2014 roku wyroku Trybunał stwierdził przede wszystkim, że operator wyszukiwarki internetowej przeszukując Internet w zautomatyzowany, stały i systematyczny sposób w poszukiwaniu opublikowanych w nim informacji zbiera dane osobowe w rozumieniu dyrektywy. Trybunał uznał też, że dane te są odzyskiwane, zapisywane i porządkowane przez Google za pomocą oprogramowania indeksującego, a następnie przechowywane na serwerach oraz, w odpowiednim przypadku, ujawniane i udostępniane użytkownikom w postaci listy wyników ich wyszukiwań.
Te wyraźnie i bezwarunkowo wskazane w dyrektywie operacje należy uznać za przetwarzanie i bez znaczenia jest przy tym fakt, iż ten operator wyszukiwarki internetowej przeprowadza je również w odniesieniu do informacji innego rodzaju niż dane osobowe. Trybunał przypomniał ponadto, że operacje, o których mowa w dyrektywie, należy uznać za takie przetwarzanie również w przypadku, gdy dotyczą one wyłącznie informacji opublikowanych już jako takie w mediach.
Trybunał rozstrzygnął ponadto, że to operator wyszukiwarki internetowej jest administratorem danych odpowiedzialnym za ich przetwarzanie, gdyż określa cele i sposoby jego dokonywania. Trybunał podniósł w tym względzie, że, ze względu na to, iż działalność wyszukiwarki ma charakter dodatkowy względem tej prowadzonej przez wydawców stron internetowych i może znacząco oddziaływać na prawa podstawowe do poszanowania życia prywatnego i ochrony danych osobowych, operator tej wyszukiwarki powinien w ramach spoczywającej na nim odpowiedzialności, przysługujących mu uprawnień i posiadanych możliwości zapewnić, iż działalność ta spełnia określone w dyrektywie wymogi.
W zakresie dotyczącym terytorialnego zakresu stosowania dyrektywy Trybunał zauważył, że Google Spain stanowi spółkę zależną Google Inc. na terytorium hiszpańskim i, co za tym idzie, działalność gospodarczą w rozumieniu tej dyrektywy. Trybunał oddalił argument, zgodnie z którym przetwarzanie danych przez Google Search nie jest dokonywane w ramach tej prowadzonej w Hiszpanii działalności gospodarczej. Trybunał stanął na stanowisku, że, w sytuacji, gdy takie dane są przetwarzane dla potrzeb funkcjonowania wyszukiwarki internetowej, której operatorem jest przedsiębiorstwo, które, choć ma siedzibę w państwie trzecim, dysponuje w państwie członkowskim działalnością gospodarczą, to przetwarzanie to dokonywane jest w kontekście prowadzenia [tej] działalności gospodarczej w rozumieniu tej dyrektywy, jeśli ma ona na celu zapewnienie w tym państwie członkowskim promocji i sprzedaży powierzchni reklamowych oferowanych przez wyszukiwarkę mających zapewniać rentowność oferowanej przez tą wyszukiwarkę usługi.
W zakresie dotyczącym odpowiedzialności ponoszonej przez operatora wyszukiwarki internetowej Trybunał stwierdził następnie, że – jeśli spełnione są pewne warunki – operator jest zobowiązany do usunięcia z wyświetlanej listy wyników wyszukiwania mającego za punkt wyjścia imię i nazwisko danej osoby linków do publikowanych przez osoby trzecie stron internetowych zawierających dotyczące tej osoby informacje. Trybunał wyjaśnił, że jest on do tego zobowiązany również w przypadku, gdy te imię czy nazwisko czy też te informacje nie zostały uprzednio czy też jednocześnie usunięte z tych stron internetowych i, w odpowiednim przypadku, nawet jeśli ich publikacja na tych stronach jest zgodna z prawem.
Trybunał podkreślił w tym kontekście, że takie dokonywane przez operatora wyszukiwarki internetowej przetwarzanie danych osobowych umożliwia wszystkim internautom, którzy prowadzą wyszukiwanie przyjmując za punkt wyjścia imię i nazwisko osoby fizycznej, otrzymanie mającego postać listy wyników wyszukiwania ustrukturyzowanego przeglądu dotyczących tej osoby informacji, jakie można znaleźć w Internecie. Trybunał podniósł ponadto, że te informacje potencjalnie dotyczą całego szeregu aspektów jej życia prywatnego, które, gdyby nie ta wyszukiwarka, nie mogłyby zostać ze sobą powiązane lub też byłoby to bardzo utrudnione. Internauci mogą więc sporządzić mniej lub bardziej szczegółowy profil osób, w przedmiocie których prowadzą oni wyszukiwania. Ponadto, skutki tej ingerencji w prawa danej osoby zostają zwielokrotnione ze względu na istotną rolę, jaką odgrywa Internet i wyszukiwarki internetowe we współczesnym społeczeństwie, nadając zawartej na takiej liście informacji wszechobecny charakter. Biorąc pod uwagę potencjalną wagę tej ingerencji, stwierdzić należy, że nie może być ona uzasadniona jedynie interesem gospodarczym, jaki ma w tym przetwarzaniu danych operator wyszukiwarki internetowej.
Jednak ze względu na to, że usunięcie linków z listy wyników może, w zależności od rodzaju wyszukiwanej informacji, oddziaływać na uzasadniony interes potencjalnie zainteresowanych uzyskaniem dostępu do tej informacji internautów Trybunał stwierdził, że należy dążyć do znalezienia punktu równowagi pomiędzy tym interesem a prawami podstawowymi osoby, której dotyczą dane, a w szczególności jej prawa do poszanowania życia prywatnego i ochrony danych osobowych. Trybunał podniósł w tym względzie, że choć niewątpliwie prawa osoby, której dotyczą dane, są co do zasady nadrzędne wobec tego interesu internautów, ta równowaga może jednak, w szczególnych przypadkach, zależeć od charakteru rozpatrywanych informacji i tego, jak istotne są one dla prywatności osoby, której dane dotyczą oraz interesu kręgu odbiorców w dysponowaniu tą informacją, który z kolei może być uzależniony w szczególności od roli odgrywanej przez tą osobę w życiu publicznym.
Wreszcie, w odpowiedzi na pytanie, czy rozpatrywana dyrektywa umożliwia osobie, której dotyczą dane, zażądanie od operatora wyszukiwarki internetowej usunięcia z wyświetlanej listy wyników wyszukiwania linków do pewnych stron internetowych ze względu na to, iż życzy ona sobie, aby zawarte na nich informacje zostały po pewnym czasie zapomniane, Trybunał uznał, że jeżeli po rozpatrzeniu wniosku złożonego przez osobę, której dotyczą dane, zostanie stwierdzone, iż zawarcie na tej liście wyników wyszukiwania tych linków jest, w aktualnym stanie rzeczy, niezgodne z dyrektywą, należy usunąć z tej listy wyników wyszukiwania te informacje i prowadzące do nich linki. Trybunał zauważył w tym względzie, że nawet początkowo zgodne z prawem przetwarzanie prawidłowych danych może wraz z upływem czasu stać się niezgodne z tą dyrektywą, jeśli, ze względu na całokształt okoliczności danego przypadku, dane te należy uznać za niewłaściwe, (już) niestosowne czy też nadmierne w stosunku do celów, dla których są one przetwarzane lub też ze względu na upływ czasu. Trybunał dodaje, że w ramach oceny wniosku złożonego w przedmiocie przetwarzania przez operatora wyszukiwarki internetowej należy w szczególności przeanalizować to, czy ma ona prawo domagać się, aby dotycząca jej informacja nie była już, w aktualnym stanie rzeczy, powiązana z jej imieniem i nazwiskiem poprzez listę wyników wyszukiwania mającego za punkt wyjścia to imię i nazwisko. W takim przypadku należy usunąć z tej listy wyników wyszukiwania linki do stron internetowych zawierających te informacje, chyba, że zachodzą szczególne powody, takie jakie jak rola odgrywana przez tą osobę w życiu publicznym, uzasadniające nadrzędny interes kręgu odbiorców polegający na posiadaniu w ramach takiego wyszukiwania dostępu do tych informacji.
Trybunał wyjaśnił, że takie wnioski mogą być kierowane bezpośrednio przez osobę, której dane dotyczą, do operatora wyszukiwarki internetowej, który winien następnie należycie zbadać ich zasadność. W przypadku, gdy odpowiedzialny za przetwarzanie danych administrator nie nada dalszego biegu złożonym doń wnioskom, osoba, której dotyczą dane, może zwrócić się do organu nadzorczego czy też sądowniczego, aby te przeprowadziły.
Opinia rzecznika generalnego Trybunału Sprawiedliwości Unii Europejskiej
Wydany wyrok jest sprzeczny z tym co zarekomendował w tej sprawie rzecznik Trybunału Sprawiedliwości Unii Europejskiej. W dniu 25 czerwca 2013 roku rzecznik generalny Jääskinen wydał opinię, że dostawcy usług wyszukiwania za pomocą wyszukiwarki internetowej nie są odpowiedzialni, zgodnie z dyrektywą o ochronie danych, za dane osobowe zamieszczone na przetwarzanych przez nich stronach internetowych.
W pierwszej części Trybunał Sprawiedliwości orzekł, tak jak wyraził opinię rzecznik generalny. Rzecznik generalny był zdania, że zagadnienie to powinno zostać rozpatrzone z uwzględnieniem modelu biznesowego dostawców usługi wyszukiwania za pomocą wyszukiwarek internetowych. Opiera się on zazwyczaj na reklamie kontekstowej, która stanowi źródło dochodu i tym samym uzasadnienie ekonomiczne dla bezpłatnego udostępniania narzędzia lokalizacji informacji. Podmiot odpowiadający za reklamę kontekstową jest powiązany z wyszukiwarką. Podmiot ten musi być obecny na krajowych rynkach reklamy, i z tego powodu Google utworzyła spółki zależne w wielu państwach członkowskich.
Co za tym idzie, rzecznik generalny wskazał, iż należy przyjąć, że przetwarzanie danych osobowych odbywa się w ramach działalności gospodarczej administratora, jeśli działalność ta jest związana z usługą polegającą na sprzedaży ukierunkowanych reklam mieszkańcom danego państwa członkowskiego, nawet jeśli operacje techniczne przetwarzania danych osobowych mają miejsce w innych państwach członkowskich lub państwach trzecich. W konsekwencji rzecznik generalny Jääskinen zaproponował, aby Trybunał orzekł, iż przetwarzanie danych osobowych odbywa się w kontekście działalności gospodarczej administratora danych, a zatem krajowe przepisy w zakresie ochrony danych znajdują zastosowanie do dostawcy usługi wyszukiwania za pomocą wyszukiwarek, gdy ustanawia on w danym państwie członkowskim, dla celów promowania i sprzedaży powierzchni reklamowych w wyszukiwarce internetowej, oddział, którego działalność skierowana jest do osób mieszkających w tym państwie.
W drugiej i trzeciej części orzeczenie Trybunału Sprawiedliwości było już przeciwne do opinii rzecznika generalnego. W drugiej części, jeśli chodzi o status prawny Google jako dostawcy usługi wyszukiwania za pomocą wyszukiwarek internetowych, rzecznik generalny Jääskinen przypomniał, że dyrektywa została przyjęta w 1995 r., kiedy Internet i wyszukiwarki były zjawiskiem nowym, a ich obecny stopień rozwoju nie został przewidziany przez prawodawcę wspólnotowego. Zgodnie ze stanowiskiem rzecznika generalnego, Google nie należy co do zasady uznawać za „administratora danych” osobowych wyświetlanych na przetwarzanych przez tę spółkę stronach, który w świetle dyrektywy jest odpowiedzialny za zapewnienie zgodności z przepisami dotyczącymi ochrony danych. Udostępnienie narzędzi lokalizacji informacji nie oznacza bowiem żadnej kontroli nad treścią zawartą na internetowych stronach źródłowych osób trzecich. Nie umożliwia ono nawet dostawcy usług wyszukiwania za pomocą wyszukiwarki internetowej dokonania rozróżnienia pomiędzy danymi osobowymi w rozumieniu dyrektywy, to znaczy dotyczącymi możliwej do zidentyfikowania żyjącej osoby fizycznej a innymi danymi. Zdaniem rzecznika dostawca usług wyszukiwania za pomocą wyszukiwarki internetowej nie może faktycznie lub prawnie spełniać obowiązków administratora ustanowionych dyrektywą w odniesieniu do danych osobowych znajdujących się na witrynach źródłowych zamieszczonych na serwerach osób trzecich.
W związku z powyższym, krajowy organ ds. ochrony danych osobowych nie może wymagać od dostawcy usług wyszukiwania za pomocą wyszukiwarki internetowej usunięcia informacji z jego indeksu z wyjątkiem przypadków, w których dostawca ten nie zastosował się do kodów wyłączenia lub gdy wnioski pochodzące ze strony internetowej dotyczące aktualizacji pamięci podręcznej nie zostały zrealizowane.
W trzeciej kolejności, dyrektywa nie ustanawia ogólnego prawa do bycia zapomnianym. Nie można zatem powołać się na podstawie dyrektywy na takie prawo przeciwko dostawcom usługi wyszukiwania za pomocą wyszukiwarek internetowych, nawet jeżeli dyrektywa ta jest interpretowana zgodnie z Kartą praw podstawowych Unii Europejskiej. Prawo do sprostowania, usunięcia i zablokowania danych przewidziane dyrektywą dotyczy danych, których przetwarzanie nie jest zgodne z przepisami dyrektywy, w szczególności ze względu na niekompletność lub niedokładność danych. Sytuacja taka nie wydawała się dotyczyć omawianej sprawy
Możliwe jest, by wtórna odpowiedzialność dostawcy usług wyszukiwania za pomocą wyszukiwarki internetowej na podstawie prawa krajowego prowadziła do obowiązków polegających na zablokowaniu dostępu do stron internetowych osób trzecich zawierających treści nielegalne, takich jak strony internetowe naruszające prawa własności intelektualnej lub wyświetlające informacje oszczercze lub kryminalne. Domaganie się natomiast od dostawców usługi wyszukiwania za pomocą wyszukiwarek internetowych usunięcia informacji zgodnych z prawem i uzasadnionych, które podane zostały do wiadomości publicznej, oznaczałoby ingerencję w wolność wypowiedzi wydawcy strony internetowej. Zgodnie ze stanowiskiem rzecznika generalnego, taka ingerencja byłaby równoznaczna z cenzurowaniem opublikowanych treści przez osobę prywatną.
Pełny wyrok w sprawie C-131-12.
Zapisz się do newslettera wypełniając pola poniżej. Będziesz na bieżąco ze wszystkimi wydarzeniami związanymi z Silesia SEM i informacjami o marketingu internetowym w sieci. Nie spamujemy.
Zostanie wysłany do Ciebie e-mail potwierdzający: przeczytaj zawarte w nim instrukcje, aby potwierdzić subskrypcję.
Artur Strzelecki
Z jednej strony super. Od dawna oczekiwałem, że ktoś podniesie kwestie danych. Z drugiej strony już widzę jak rzesza tych oszustów, których działalność, jest ku przestrodze opublikowana w internecie, zgłasza do Google usunięcie ich poprzednich występków, aby mogli wdrożyć nowe przekręty. Na dwoje babka wróżyła, gdzie drwa rąbią tam wióry lecą, itp itd :). Google rozwiąże to pewnie przez dodatkowy formularz zgłoszenia i tyle. Takie disav. tylko dla żądania usunięcia danych. Ciekawym jest też, czy Google nie powoła się na prawo hamerykańskie i będzie chciało współpracować z europejskimi biurokratami, przecież w każdej chwili mogą powiedzieć – O nie, teraz to przegieliście, nie zamierzamy nic z tym robić.
Widzę tylko jeden problem – zgłasza takie żądanie Jan Kowalski. I co Google ma usunąć? Kowalskich na pęczki, Janów też i skąd w ogóle podstawa by sądzić, że dany tekst był o tym a nie innym.
Prawo unijne choć chce iść do przodu, wprowadza wiele niejednoznaczności i utrudnień, a co za tym idzie i kosztów – bo zaraz zacznie się: dodanie nowej procedury (nowi pracownicy) do rozpatrywania tych prób, w razie odmów – nowa robota dla prawników itd itd. Po drugie, nowe prawo daje ludziom poczucie bezkarności – osoba która oszukuje innych bez pardonu może zgłosić że nie życzy sobie tych informacji w SERP’ach. Niestety paranoja – by pokazać się z dobrej storny musisz się więcej napracować by to wbić w wyniki wyszukiwania, jak masz czarną opinię w parę minut możesz sobie wyczyścić konto.
W sumie chodzi tylko o dane „wrażliwe” a nie ogólnie o jakiekolwiek dane wiec nie jest to aż tak znowu rewolucja. Takie zadanie usunięcia w sumie można było do wujka G zgłosić już wcześniej – sam tak zrobiłem – to taki wyrok aby był „wilk syty i owca cala” – ostatecznie Google może po prostu wycofać się całkowicie z oddziałów europejskich i co wtedy? Dla nich niewiele się zmieni.
Żeby zgłosić chęć usunięcia danych osobowych, trzeba mieć do tego możliwość. W tym przypadku, wygląda na to, że skoro zajęli mu tę nieruchomość i długi zostały uregulowane to nie ma potrzeby o tym informować dalej. Nie sądzę, aby byle jaki powód skłaniał Google do filtrowania wyników wyszukiwania.
Niestety, każdy kij ma dwa końce i z tego, co można zaobserwować już z prośba o usunięcie danych z wyników wyszukiwania zaczęły zgłaszać się osoby, które chcą ukryć niewygodne informacje na swój temat, np. lekarz prosił o usunięcie negatywnych opinii na swój temat, czy mężczyzna skazany za przestępstwa na tle seksualnym. W miarę tego, jak informacja o prawie do bycia zapomnianym będzie docierać do kolejnych osób, liczba zgłoszeń będzie wzrastać. Jak Google poradzi sobie z tym logistycznie? Musiałaby powstać armia pracowników rozpatrująca wnioski, jakoś tego nie widzę w praktyce. Moim zdaniem dużo częściej to prawo będzie wykorzystywane przez osoby, które właśnie powinny być najbardziej widoczne w Sieci.