TS: wyszukiwarki przetwarzają dane osobowe i są ich administratorem

Wczoraj Trybunał Sprawiedliwości rozstrzygnął sprawę Google Spain SL, Google Inc. / Agencia Española de Protección de Datos (sygn. C-131/12). Trybunał uznał, że operator wyszukiwarki internetowej jest odpowiedzialny za dokonywane przezeń przetwarzanie danych osobowych, które pojawiają się na stronach internetowych publikowanych przez osoby trzecie. Ale to tylko jeden z elementów tego rozstrzygnięcia. Orzeczenie zapadło w trybie prejudycjalnym, a wniosek (pytania prejudycjalne) w tej sprawie skierował do Trybunału Sprawiedliwości hiszpański Sąd Najwyższy (Audiencia Nacional). Wydaje się, że wyrok ten będzie cytowane wielokrotnie przez kolejne lata. Zresztą nie tylko przy okazji oceny roli wyszukiwarek internetowych (ja uważam, że serwisy wyszukiwawcze nie są wcale "szczególnymi", a więc innymi serwisami internetowymi niż inne serwisy internetowe). Na wcześniejszym etapie postępowania (przed organem krajowym w Hiszpanii) pojawiła się też kwestia interesująca ze względu na działalność prasową. Ten wątek (w skrócie: "prasa a internet") będzie w przyszłości coraz częściej przedmiotem ożywionej dyskusji.

Notatka prasowa Trybunału dostępna jest online: Komunikat prasowy 70/14 (PDF). Jest dostępny sam wyrok, ale dostępna jest też wcześniejsza Opinia rzecznika Generalnego w tej sprawie.

Sprawa zaczęła się od tego, że niejaki Mario Costeja González domagał się od hiszpańskiej agencji ochrony danych osobowych (odpowiednik naszego GIODO), by podjęła pewne działania. Chodziło o sytuację, w której na internetowych stronach dziennika „La Vanguardia” znajdowało się ogłoszenie w przedmiocie licytacji nieruchomości związanej z ich zajęciem wynikającym z niespłaconych przez M. Costeję Gonzáleza należności na rzecz zakładu zabezpieczeń społecznych. Teksty były z 1998 roku, a więc - jak podnosił skarżący - sprawa była rozwiązana wiele lat temu i nie miała już znaczenia. Nadal jednak można było znaleźć to ogłoszenie na stronach wyników wyszukiwania, gdy ktoś przeszukiwał internet narzędziami Google, podając jako hasło wyszukiwawcze nazwisko skarżącego. Kierując skargę do agencji ochrony danych osobowych domagał się, by ta nakazała wydawcy dziennika usunięcia lub zmiany stron (aby nie pojawiały się już na nich jego dane osobowe), lub też wykorzystania przez nią pewnych narzędzi udostępnianych przez wyszukiwarki internetowe do ochrony tych danych. Domagał się również, by agencja nakazała spółkom Google usunięcie lub ukrycie jego danych osobowych w taki sposób, by nie były one ujawniane w wynikach wyszukiwania i powiązane z linkami do gazety La Vanguardia.

W tym kontekście rozstrzygnięcie jest ważne dla dyskusji o tzw. "prawie do bycia zapomnianym" (przy czym chichot historii polega na tym, że domagający się usunięcia informacji o sobie stał się głównym aktorem rozstrzygnięcia, które będzie prawdopodobnie cytowane przez wiele następnych lat). Rozstrzygnięcie jest też interesujące z perspektywy polskich przepisów wyłączających stosowanie ustawy o ochronie danych osobowych w tzw. działalności dziennikarskiej. W Hiszpanii agencja ochrony danych osobowych oddaliła skargę wobec wydawcy dziennika. Stwierdziła tu, że wydawca opublikował rozpatrywane informacje zgodnie z prawem. W ten sposób pozostała sprawa wyszukiwarek...

Swoją drogą - jeśli spółka oferująca wyszukiwarkę jest administratorem danych osobowych, to - podobnie jak w sprawie dotyczącej wykorzystania (re-use) danych z KRS (por. Wyrok WSA w Warszawie, sygn. II SA/Wa 720/11) oraz uchylający Wyrok NSA, sygn. I OSK 1827/11) - może się okazać, że taki administrator-wyszukiwarka - powinien spełnić (dość kosztowny) obowiązek informacyjnych wobec wszystkich osób, których dane osobowe przetwarza (por. O (pilnej?) potrzebie dyskusji na temat jawności, re-use i ochrony danych osobowych z publicznych źródeł)...

Aczkolwiek Trybunał Sprawiedliwości nie rozstrzygał dokładnie w tych, zasygnalizowanych powyżej kwestiach. Trybunał odpowiadał na konkretne pytania skierowane doń przez hiszpański Sąd Najwyższy. W Hiszpanii ta sprawa będzie miała jeszcze ciąg dalszy.

Tymczasem Audiencia Nacional, czyli wspomniany Sąd Najwyższy (który rozstrzygał skargi spółek Google, czyli Google Spain i Google Inc., na decyzje agencji ochrony danych osobowych - jest to w tym przypadku sąd sprawujący władzę sądowniczą nad całością terytorium Hiszpanii, a generalnie działa jako sąd I instancji lub apelacyjny z siedzibą w Madrycie), zadał Trybunałowi następujące pytania:

1) Co się tyczy terytorialnego zakresu stosowania dyrektywy [95/46] i w konsekwencji hiszpańskiego ustawodawstwa ochrony danych osobowych:

a) Czy należy uznać, iż ma miejsce »działalność gospodarcza« w rozumieniu art. 4 ust. 1 lit. a) [dyrektywy 95/46], gdy zachodzi jeden lub kilka z następujących przypadków:

– gdy przedsiębiorstwo będące dostawcą wyszukiwania [operator wyszukiwarki internetowej] ustanawia w danym państwie członkowskim biuro lub oddział [oddział lub spółkę zależną], których celem jest promocja i sprzedaż powierzchni reklamowych w wyszukiwarce [przez wyszukiwarkę], której działalność jest skierowana do osób zamieszkujących to państwo,

lub

– gdy spółka dominująca wyznacza oddział znajdujący [spółkę zależną znajdującą] się w tym państwie członkowskim jako swojego przedstawiciela i jednocześnie jako administratora danych odpowiedzialnego za przetwarzanie dwóch określonych zbiorów, które wykazują związek z danymi klientów, którzy zamówili usługi reklamowe w rzeczonym przedsiębiorstwie,

lub

– gdy biuro lub oddział [oddział lub spółka zależna] ustanowione w danym państwie członkowskim przekazują swojej spółce dominującej znajdującej się poza Unią Europejską wnioski i żądania kierowane do niej zarówno przez osoby, których dane dotyczą, jak i przez właściwe organy w związku z przestrzeganiem prawa do ochrony danych osobowych, nawet jeśli taka współpraca jest dobrowolna?

b) Czy art. 4 ust. 1 lit. c) [dyrektywy 94/46] należy interpretować w ten sposób, że »wykorzyst[anie] środk[ów] znajdując[ych] się na terytorium wymienionego państwa członkowskiego« następuje w sytuacji:

– gdy wyszukiwarka korzysta z robotów internetowych lub tzw. pająków, by zlokalizować i zindeksować treści stron internetowych umieszczonych na serwerach znajdujących w tym państwie członkowskim,

lub

– gdy wyszukiwarka posługuje się nazwą domeny przypisaną do danego państwa członkowskiego i porządkuje wyszukiwanie i wyniki z uwzględnieniem języka tego państwa członkowskiego?

c) Czy można uznać za wykorzystanie środków w rozumieniu art. 4 ust. 1 lit. c) [dyrektywy 95/46] czasowe przechowywanie informacji zindeksowanych przez wyszukiwarki internetowe? Jeżeli odpowiedź na to ostatnie pytanie będzie twierdząca, czy można uznać, iż ten łącznik występuje, gdy przedsiębiorstwo odmawia wskazania miejsca przechowywania tych indeksów, powołując się na względy konkurencyjności?

d) Niezależnie od odpowiedzi na wcześniejsze pytania i w szczególności w przypadku, gdyby Trybunał uznał, że nie występują łączniki przewidziane w art. 4 dyrektywy [95/46]:

Czy należy stosować [dyrektywę 95/46] z uwzględnieniem art. 8 [karty], w tym państwie członkowskim, w którym mieści się punkt ciężkości konfliktu, tak by umożliwić bardziej skuteczną ochronę praw obywateli Unii Europejskiej?

2) Co się tyczy działalności wyszukiwarek internetowych jako dostawców treści w odniesieniu do [dyrektywy 95/46]:

a) W związku z działalnością [Google Search] w Internecie jako dostawcy treści, która to działalność polega na zlokalizowaniu informacji opublikowanych lub zamieszczonych w sieci przez osoby trzecie, indeksowaniu ich w sposób automatyczny, czasowym przechowywaniu takich informacji i wreszcie ich udostępnianiu internautom w sposób uporządkowany zgodnie z określonymi preferencjami, w sytuacji gdy takie informacje zawierają dane osobowe osób trzecich, czy należy uznać opisaną powyżej działalność za »przetwarzanie danych« w rozumieniu definicji zawartej w art. 2 lit. b) [dyrektywy 95/46]?

b) W przypadku gdy odpowiedź na powyższe pytanie będzie twierdząca i w związku z taką działalnością jak opisana powyżej: czy należy interpretować art. 2 lit. d) [dyrektywy 95/46] w ten sposób, że przedsiębiorstwo, które zarządza [Google Search], jest »administratorem danych« osobowych zawartych na stronach internetowych indeksowanych przez tę wyszukiwarkę?

c) W przypadku gdy odpowiedź na powyższe pytanie będzie twierdząca:

Czy [AEPD], strzegąc praw zawartych w art. 12 lit. b) i art. 14 [akapit pierwszy] lit. a) [dyrektywy 95/46], może zażądać bezpośrednio od przedsiębiorstwa […] prowadzącego [Google Search] usunięcia z jego indeksów informacji opublikowanych przez osoby trzecie, bez uprzedniego lub jednoczesnego zwrócenia się z takim żądaniem do podmiotu będącego właścicielem [edytora] strony internetowej, na której zamieszczona została ta informacja [zamieszczone zostały te informacje]?

d) W przypadku gdy odpowiedź na to ostatnie pytanie będzie twierdząca:

Czy odpowiedzialność podmiotów prowadzących wyszukiwarki internetowe za przestrzeganie tych praw jest wyłączona w sytuacji gdy informacja zawierająca dane osobowe została opublikowana zgodnie z prawem przez osoby trzecie i nadal znajduje się na źródłowej stronie internetowej?

3) Co się tyczy zakresu prawa do unieważnienia lub sprzeciwu w kontekście [»derecho al olvido«] (»prawa do bycia zapomnianym«), pojawia się następujące pytanie:

Czy należy interpretować prawo do usunięcia i zablokowania danych ustanowione w art. 12 lit. b) oraz prawo sprzeciwu wynikające z art. 14 [akapit pierwszy] lit. a) [dyrektywy 95/46] jako obejmujące prawo zainteresowanego do zwracania się do wyszukiwarek w celu uniemożliwienia indeksowania dotyczącej go informacji, opublikowanej na stronach internetowych osób trzecich, a takie żądania byłyby podyktowane wolą zainteresowanego, by te informacje nie były dostępne dla internautów, gdyż uważa, że mogą mu zaszkodzić, lub też życzy sobie »być zapomnianym«, nawet jeśli dotyczy to informacji opublikowanych zgodnie z prawem przez osoby trzecie?

Trybunał odpowiedział:

1) Artykuł 2 lit. b) i d) dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych należy interpretować w taki sposób, że, po pierwsze, prowadzoną przez wyszukiwarki internetowe działalność, która polega na zlokalizowaniu informacji opublikowanych lub zamieszczonych w Internecie przez osoby trzecie, indeksowaniu ich w sposób automatyczny, czasowym przechowywaniu takich informacji i wreszcie ich udostępnianiu internautom w sposób uporządkowany zgodnie z określonymi preferencjami, w sytuacji, gdy takie informacje zawierają dane osobowe, należy uznać za „przetwarzanie danych osobowych” w rozumieniu art. 2 lit. b) tej dyrektywy oraz, po drugie, że należy uznać operatora tej wyszukiwarki internetowej za „administratora” odpowiedzialnego za przetwarzanie danych w rozumieniu tego art. 2 lit. d).

2) Artykuł 4 ust. 1 lit. a) dyrektywy 95/46 należy interpretować w ten sposób, że przetwarzanie danych osobowych ma miejsce w ramach działalności gospodarczej prowadzonej przez administratora danych odpowiedzialnego za to przetwarzanie na terytorium danego państwa członkowskiego w rozumieniu tego przepisu, jeśli operator wyszukiwarki internetowej ustanawia w danym państwie członkowskim oddział lub spółkę zależną, których celem jest promocja i sprzedaż powierzchni reklamowych oferowanych za pośrednictwem tej wyszukiwarki, a działalność tego oddziału lub spółki zależnej jest skierowana do osób zamieszkujących to państwo.

3) Artykuł 12 lit. b) oraz art. 14 akapit pierwszy lit. a) dyrektywy 95/46 należy interpretować w ten sposób, że ustanowione w tych przepisach normy są przestrzegane, a przewidziane w nich warunki – rzeczywiście spełnione wówczas, gdy operator wyszukiwarki internetowej jest zobowiązany do usunięcia z wyświetlanej listy wyników wyszukiwania mającego za punkt wyjścia imię i nazwisko danej osoby linków do publikowanych przez osoby trzecie stron internetowych zawierających dotyczące tej osoby informacje, również w przypadku, gdy te imię czy nazwisko czy też te informacje nie zostały uprzednio czy też jednocześnie usunięte z tych stron internetowych i, w odpowiednim przypadku, nawet jeśli ich publikacja na tych stronach jest zgodna z prawem.

4) Artykuł 12 lit. b) i art. 14 akapit pierwszy lit. a) dyrektywy 95/46 należy interpretować w taki sposób, iż w ramach oceny tego, czy spełnione zostały warunki zastosowania tych przepisów należy w szczególności przeanalizować kwestię, czy osoba, której dotyczą dane, ma prawo do tego, aby dana dotycząca jej informacja nie była już, w aktualnym stanie rzeczy, powiązana z jej imieniem i nazwiskiem poprzez listę wyświetlającą wyniki wyszukiwania mającego za punkt wyjścia to imię i nazwisko, przy czym stwierdzenie, iż takie prawo przysługuje, pozostaje bez związku z tym, czy zawarcie na tej liście wyników wyszukiwania danej informacji wyrządza szkodę tej osobie. Ponieważ osoba ta może, ze względu na przysługujące jej i przewidziane w art. 7 i 8 karty prawa podstawowe, zażądać tego, aby dana informacja nie była już podawana do wiadomości szerokiego kręgu odbiorców poprzez zawarcie jej na takiej liście wyników wyszukiwania, prawa te są co do zasady nadrzędne nie tylko wobec interesu gospodarczego operatora wyszukiwarki internetowej, lecz również wobec interesu, jaki może mieć ten krąg odbiorców w znalezieniu tej informacji w ramach wyszukiwania prowadzonego w przedmiocie imienia i nazwiska tej osoby. Taka sytuacja nie ma jednak miejsca, jeśli, ze szczególnych powodów, takich rola odgrywana przez tą osobę w życiu publicznym, należałoby uznać, że ingerencja w jej prawa podstawowe jest uzasadniona nadrzędnym interesem tego kręgu odbiorców polegającym na posiadaniu, dzięki temu zawarciu na liście, dostępu do danej informacji.

Nota bene w Polsce też toczył się proces (ze względu na jego "wrażliwość" informacje o tym procesie nie są powszechnie dostępne i nawet nie wiem, czy się zakończył i w jaki sposób się zakończył), w którym pewna studentka domagała się usunięcia z wyników wyszukiwania Google, Onetu i WP takich odesłań, które prowadziły do materiałów naruszających jej prywatność. Chodziło o to, że jej chłopak (potem już były chłopak) nagrał potajemnie ich seks. Po rozstaniu opublikował nagranie na różnych stronach internetowych, ujawniając przy tym jej imie i nazwisko. W efekcie każdy, kto chciałby poszukać informacji na temat dziewczyny (np. sprawdzając jej dorobek naukowy, albo próbując się dowiedzieć czegoś o potencjalnej kandydatce do pracy) trafiłby na takie nagrania. Elementem tej sprawy było też znowelizowanie Kodeksu Karnego w zakresie penalizacji nagrywania z ukrycia osób w sytuacjach intymnych. Ale generalnie chodziło też właśnie o usunięcie danych z wyników wyszukiwania. Sprawa była (i jest nadal) wybitnie delikatna, bo chodziło tam o publikację z imieniem i nazwiskiem i miastem, więc raczej nikt nie chciał nagłaśniać tej historii by nie dokonywać powtórnej wiktymizacji dziewczyny. Natomiast w kontekście odpowiedzialności wyszukiwarek i wczorajszego wyroku TS sprawa jest "analogiczna". Przypuszczam, że koledzy i koleżanki z Google, Onetu i WP nie będą chcieli komentować sprawy. Natomiast sam wyrok (po anonimizacji) byłby interesujący dla dyskusji o odpowiedzialności wyszukiwarek. W tym sporze operatorzy wyszukiwarek nie chcieli usunąć danych z wyników wyszukiwania twierdząc m.in., że tylko ułatwiają dostęp do danych opublikowanych gdzieś indziej i są neutralnym pośrednikiem. To też element większej dyskusji związanej z ustawą o świadczeniu usług drogą elektroniczną, w której pojawiły się głosy o konieczności stworzenia w procedurze notice and takedown warunkowych wyłączeń odpowiedzialności dla wyszukiwarek (które nie chcą ponosić ryzyk prawnych związanych z tym, co za ich pośrednictwem da się wyszukać).

W tym ujęciu zacytujmy koniec komunikatu prasowego po wczorajszym wyroku Trybunału Sprawiedliwości:

[W] odpowiedzi na pytanie, czy rozpatrywana dyrektywa umożliwia osobie, której dotyczą dane, zażądanie od operatora wyszukiwarki internetowej usunięcia z wyświetlanej listy wyników wyszukiwania linków do pewnych stron internetowych ze względu na to, iż życzy ona sobie, aby zawarte na nich informacje zostały po pewnym czasie „zapomniane”, Trybunał uznał, że jeżeli po rozpatrzeniu wniosku złożonego przez osobę, której dotyczą dane, zostanie stwierdzone, iż zawarcie na tej liście wyników wyszukiwania tych linków jest, w aktualnym stanie rzeczy, niezgodne z dyrektywą, należy usunąć z tej listy wyników wyszukiwania te informacje i prowadzące do nich linki. Trybunał zauważył w tym względzie, że nawet początkowo zgodne z prawem przetwarzanie prawidłowych danych może wraz z upływem czasu stać się niezgodne z tą dyrektywą, jeśli, ze względu na całokształt okoliczności danego przypadku, dane te należy uznać za niewłaściwe, (już) niestosowne czy też nadmierne w stosunku do celów, dla których są one przetwarzane lub też ze względu na upływ czasu. Trybunał dodaje, że w ramach oceny wniosku złożonego w przedmiocie przetwarzania przez operatora wyszukiwarki internetowej należy w szczególności przeanalizować to, czy ma ona prawo domagać się, aby dotycząca jej informacja nie była już, w aktualnym stanie rzeczy, powiązana z jej imieniem i nazwiskiem poprzez listę wyników wyszukiwania mającego za punkt wyjścia to imię i nazwisko. W takim przypadku należy usunąć z tej listy wyników wyszukiwania linki do stron internetowych zawierających te informacje, chyba, że zachodzą szczególne powody, takie jakie jak rola odgrywana przez tą osobę w życiu publicznym, uzasadniające nadrzędny interes kręgu odbiorców polegający na posiadaniu w ramach takiego wyszukiwania dostępu do tych informacji.

Trybunał wyjaśnił, że takie wnioski mogą być kierowane bezpośrednio przez osobę, której dane dotyczą, do operatora wyszukiwarki internetowej, który winien następnie należycie zbadać ich zasadność. W przypadku, gdy odpowiedzialny za przetwarzanie danych administrator nie nada dalszego biegu złożonym doń wnioskom, osoba, której dotyczą dane, może zwrócić się do organu nadzorczego czy też sądowniczego, aby te przeprowadziły konieczną kontrolę i nakazały temu administratorowi przyjęcie konkretnych środków.

Przeczytaj również

• Kto ma wyszukiwarkę, ten ma władzę
• Odpowiedzialność za naruszenie dóbr osobistych w "przedruku" internetowym
• Rynek domenowy: czy już zarejestrowali twoje nazwisko?
• Czysta karta raz jeszcze, czyli jak przystąpić do googlowego samobójstwa
• Jak bank przechowywał dane osób ubiegających się o praktyki i staże