Google przegrał spór o dane osobowe przed Trybunałem Sprawiedliwości

Dzisiejszy wyrok Trybunału Sprawiedliwości Unii Europejskiej (C-131/12) zapadł w sprawie skargi, jaką pewien Hiszpan złożył na działania, a właściwie ich brak, właściciela najpopularniejszej wyszukiwarki świata - Google.

Wstydliwe ogłoszenie o licytacji

W 2010 r. hiszpański obywatel Mario Costeja González wniósł do Agencia Española de Protección de Datos (AEPD - hiszpańska agencja ochrony danych, odpowiednik naszego GIODO) skargę skierowaną przeciwko wydawcy wysokonakładowego dziennika "La Vanguardia"  oraz przeciwko spółkom Google Spain i Google Inc.

Mario Costeja González twierdził, że przy wprowadzaniu  jego imienia i nazwiska do wyszukiwarki Google Search na liście wyników pojawiał się link do dwóch stron dziennika „La Vanguardia" ze stycznia i marca 1998 r. Na tych stronach internauci mogli znaleźć ogłoszenie o licytacji nieruchomości, która miała związek z niespłaconymi przez M. Costeję Gonzáleza należnościami na rzecz zakładu zabezpieczeń społecznych.

González chciał, żeby agencja nakazał wydawcy La Vanguardia usunięcie lub zmianę tych stron (aby nie pojawiały się już na nich jego dane osobowe), lub też wykorzystania przez nią pewnych narzędzi udostępnianych przez wyszukiwarki internetowe do ochrony tych danych. Hiszpan domagał się również zobowiązania Google Spain lub Google Inc. do usunięcia lub ukrycia jego danych osobowych w taki sposób, by nie były one ujawniane w wynikach wyszukiwania i powiązane z linkami do gazety La Vanguardia. Argumentował, że sprawa zajęcia nieruchomości została rozwiązana już wiele lat temu i obecnie informacja o niej nie ma żadnego znaczenia.

AEPD oddaliła tą skargę w zakresie dotyczącym La Vanguardia, uznając, że wydawca ten opublikował rozpatrywane informacje zgodnie z prawem. Skarga Gonzáleza została jednak uwzględniona w zakresie dotyczącym Google Spain i Google Inc. Spółki zostały zobowiązane do usunięcia danych Mario Costeja Gonzáleza z ich indeksów oraz zablokowania dostępu do tych danych w przyszłości.

Google administratorem naszych danych

Google Spain i Google Inc. zareagowały skargami do Audiencia Nacional, sądu I instancji lub apelacyjnego z siedzibą w Madrycie sprawującego władzę sądowniczą nad całością terytorium Hiszpanii.  Żądały stwierdzenia nieważności wydanej przez AEPD decyzji. Przed wydaniem orzeczenia sąd skierował do Trybunału Sprawiedliwości szereg pytań prejudycjalnych.

W wydanym dziś wyroku Trybunał stwierdził przede wszystkim, że operator wyszukiwarki internetowej przeszukując Internet w zautomatyzowany, stały i systematyczny sposób w poszukiwaniu opublikowanych w nim informacji „gromadzi" takie dane w rozumieniu dyrektywy. Dane te są „odzyskiwane", „zapisywane" i „porządkowane" przezeń za pomocą oprogramowania indeksującego, a następnie „przechowuje" je na swych serwerach oraz, w odpowiednim przypadku, „ujawnia" i „udostępnia" je swym użytkownikom w postaci listy wyników ich wyszukiwań. Te wyraźnie i bezwarunkowo wskazane w dyrektywie operacje należy uznać za „przetwarzanie" i bez znaczenia jest przy tym fakt, iż ten operator wyszukiwarki internetowej przeprowadza je również w odniesieniu do informacji innego rodzaju niż dane osobowe.

Trybunał przypomniał ponadto, że operacje, o których mowa w dyrektywie, należy uznać za takie przetwarzanie również w przypadku, gdy dotyczą one wyłącznie informacji opublikowanych już jako takie w mediach. Ogólne odstępstwo od stosowania dyrektywy w takim przypadku w dużej mierze pozbawiałoby tę dyrektywę sensu.

- Operator wyszukiwarki internetowej jest „administratorem" danych odpowiedzialnym za ich przetwarzanie, gdyż określa cele i sposoby jego dokonywania - uznał TSUE.

Ponieważ działalność wyszukiwarki ma charakter dodatkowy w stosunku do działalności prowadzonej przez wydawców stron internetowych i może znacząco oddziaływać na prawa podstawowe do poszanowania życia prywatnego i ochrony danych osobowych, operator tej wyszukiwarki winien w ramach spoczywającej na nim odpowiedzialności, przysługujących mu uprawnień i posiadanych możliwości zapewnić, iż działalność ta spełnia określone w dyrektywie wymogi. Tylko wówczas możliwa będzie skuteczna i pełna ochrona przewidziane w dyrektywie Parlamentu Europejskiego i Rady z 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych - tłumaczył Trybunał.

Trybunał oddalił argument spółek  Googla, że przetwarzanie danych przez Google Search nie jest dokonywane w ramach działalności gospodarczej prowadzonej w Hiszpanii.

- Google Spain stanowi spółkę zależną Google Inc. na terytorium hiszpańskim i, co za tym idzie, „działalność gospodarczą" w rozumieniu dyrektywy. Gdy dane osobowe są przetwarzane dla potrzeb funkcjonowania wyszukiwarki internetowej, której operatorem jest przedsiębiorstwo mające siedzibę w państwie trzecim, ale dysponujace w państwie członkowskim działalnością gospodarczą, to przetwarzanie dokonywane jest „w kontekście prowadzenia  działalności gospodarczej" w rozumieniu tej dyrektywy, jeśli ma ona na celu zapewnienie w tym państwie członkowskim promocji i sprzedaży powierzchni reklamowych oferowanych przez wyszukiwarkę mających zapewniać rentowność oferowanej przez tą wyszukiwarkę usługi - stwierdził Trybunał.

Google musi usunąć linki, ale...

Trybunał stwierdził następnie, że – jeśli spełnione są pewne warunki – operator jest zobowiązany do usunięcia z wyświetlanej listy wyników wyszukiwania mającego za punkt wyjścia imię i nazwisko danej osoby linków do publikowanych przez osoby trzecie stron internetowych zawierających dotyczące tej osoby informacje. Jak wyjaśnił, jest on do tego zobowiązany również w przypadku, gdy dane takie nie zostały usunięte z tych stron internetowych i nawet wtedy, gdy ich publikacja na tych stronach jest zgodna z prawem.

Trybunał podkreślił, że takie dokonywane przez operatora wyszukiwarki internetowej przetwarzanie danych osobowych umożliwia każdemu internaucie, który prowadzi  wyszukiwanie przyjmując za punkt wyjścia imię i nazwisko osoby fizycznej, otrzymanie w wynikach przeglądu wszystkich informacji dotyczących tej osoby, jakie można znaleźć w Internecie.

- Te informacje potencjalnie dotyczą całego szeregu aspektów jej życia prywatnego, które, gdyby nie ta wyszukiwarka, nie mogłyby zostać ze sobą powiązane lub też byłoby to bardzo utrudnione. Internauci mogą więc sporządzić mniej lub bardziej szczegółowy profil osób, w przedmiocie których prowadzą oni wyszukiwania. Ponadto, skutki tej ingerencji w prawa danej osoby zostają zwielokrotnione ze względu na istotną rolę, jaką odgrywa Internet i wyszukiwarki internetowe we współczesnym społeczeństwie, nadając zawartej na takiej liście informacji wszechobecny charakter. Biorąc pod uwagę potencjalną wagę tej ingerencji, stwierdzić należy, że nie może być ona uzasadniona jedynie interesem gospodarczym, jaki ma w tym przetwarzaniu danych operator wyszukiwarki internetowej - stwierdził TSUE.

Usunięcie linków z listy wyników może jednak naruszać uzasadniony interes internautów potencjalnie zainteresowanych uzyskaniem dostępu do tej informacji. Dlatego zdaniem  Trybunału trzeba dążyć do znalezienia punktu równowagi pomiędzy tym interesem a prawami podstawowymi osoby, której dotyczą dane.

- Ta równowaga może jednak, w szczególnych przypadkach, zależeć od charakteru rozpatrywanych informacji i tego, jak istotne są one dla prywatności osoby, której dane dotyczą oraz interesu kręgu odbiorców w dysponowaniu tą informacją, który z kolei może być uzależniony w szczególności od roli odgrywanej przez tą osobę w życiu publicznym - wyjaśnił Trybunał.

Prawo do zapomnienia

Hiszpański sąd zapytał TSUE, czy dyrektywa pozwala żądać od operatora wyszukiwarki internetowej usunięcia z listy wyników linków do pewnych stron internetowych z tego powodu, że żądający chce, aby pewne informacje o nim zostały po pewnym czasie "zapomniane".

Trybunał uznał, że tak, jeśli w aktualnym stanie rzeczy można stwierdzić, że obecność linków na liście wyników jest niezgodne z dyrektywą.

- Nawet początkowo zgodne z prawem przetwarzanie prawidłowych danych może wraz z upływem czasu stać się niezgodne z tą dyrektywą, jeśli, ze względu na całokształt okoliczności danego przypadku, dane te należy uznać za niewłaściwe,  niestosowne czy też nadmierne w stosunku do celów, dla których są one przetwarzane lub też ze względu na upływ czasu - stwierdził TSUE.

Dodał, że w ramach oceny wniosku o usunięcie linków należy przeanalizować m.in., czy wnioskodawca ma  prawo domagać się, aby dotycząca go informacja nie była już powiązana z jej imieniem i nazwiskiem poprzez listę wyników wyszukiwania.

- Jeśli tak, to należy usunąć z  listy wyników wyszukiwania linki do stron internetowych zawierających te informacje, chyba, że zachodzą szczególne powody, takie jakie jak rola odgrywana przez tę osobę w życiu publicznym, uzasadniające nadrzędny interes kręgu odbiorców polegający na posiadaniu w ramach takiego wyszukiwania dostępu do tych informacji - wyjaśniał Trybunał.