"Wyszukiwarki", prawo do bycia zapomnianym, stanowisko RP w sprawie C-131/12

"...Wyszukiwarka internetowa to program lub strona internetowa, której zadaniem jest ułatwienie użytkownikom znalezienia informacji. Przetwarza ona różne dane, w tym dane osobowe użytkowników sieci...". To fragment Stanowiska Rzeczypospolitej Polskiej w sprawie C-131/12 Google Spain i Google, które to stanowisko wydobyła z MSZ Helsińska Fundacja Praw Człowieka. Generalnie, poza wielką dyskusją o wyłączeniach z odpowiedzialności przy świadczeniu usług drogą elektroniczną, o ochronie danych osobowych w globalnym "społeczeństwie informacyjnym", o "praie do bycia zapomnianym" i paru innych jeszcze sprawach, jest to też przyczynek do dyskusji o dostępie do informacji publicznej. Dlaczego właściwie organizacje pozarządowe muszą dopiero wyszarpywać stanowiska polskiego rządu, które to stanowiska przedstawiane są w toku spraw prowadzonych przed Trybunałem Sprawiedliwości? Takie stanowiska powinny być publikowane w Biuletynie Informacji Publicznej niezwłocznie po tym, gdy zostaną przygotowane. Nie ma tu "tajemnicy negocjacji". Temida powinna działać jawnie, a obywatele powinni wiedzieć, co tam w ich imieniu rząd Trybunałowi klaruje.

Dokument opublikowała Helsińska Fundacja Praw Człowieka w swoim serwisie Europa Praw Człowieka, pod tytułem Uwagi na piśmie Rządu RP w sprawie Google Spain – prawo do bycia zapomnianym.

Dla mnie "wyszukiwarki" internetowe nie różnią się wcale od innych serwisów internetowych. Jest tam sobie "front-end" w postaci strony internetowej, jest też sobie baza danych, do której użytkownicy kierują zapytania, a wyniki tych zapytań prezentowane są na front-endowej stronie. Dokładnie tak samo, jak w przypadku tego serwisu, tj. serwisu pod adresem prawo.vagla.pl. Różnica polega na tym, że ja treści wpisuję własnymi palcami (mogąc ponosić odpowiedzialność za naruszenia rozlicznych praw, w tym prawa autorskiego), a przedsiębiorstwa oferujące "wyszukiwarki" pompują swoje bazy danych za pomocą algorytmów i "robotów" (crawler) wtłaczających do ich infrastruktury cały dostępny internet. Nie widzę też zbytniej różnicy między działaniem takiej wyszukiwarki, a np. wyszukiwarki, którą można by postawić na danych z KRS. A przecież - co odnotowywałem niedawno w tekście O (pilnej?) potrzebie dyskusji na temat jawności, re-use i ochrony danych osobowych z publicznych źródeł - istnieją już decyzje GIODO, którymi zobowiązywał niektórych do zrealizowania obowiązku informacyjnego. Nie usiłuję wcale atakować Google. Po prostu zastanawiam się, dlaczego jedni muszą spełnić obowiązki informacyjne, a kiedy trafiam na stronach wynikowych Google, która dotyczy pytania o moje imię i nazwisko i widzę tam moje imię i nazwisko, czasem zdjęcia mojego autorstwa, które ktoś gdzieś przy jakimś artykule umieścił z podaniem autora, etc. - wcześniej takiego obowiązku informacyjnego wobec mnie Google nie spełniło. Taki zgrzyt.

No, ale stanowisko rządu jest interesujące z wielu innych powodów. Dokument ma 20 stron A4, zatem zachęcam do lektury całości. Ja tu tylko niektóre fragmenty przywołam:

(...)
Informacja na temat tego co dana osoba wyszukiwała w internecie (historia wyszukiwania osoby fizycznej) należy do kategorii danych osobowych w sytuacji, gdy jest możliwa identyfikacja osoby fizycznej, której ona dotyczy. Grupa Robocza do spraw Ochrony Danych Osobowych (dalej „GR ds. Ochrony Danych Osobowych”) powołana na mocy art. 29 dyrektywy 95/46/WE2 w opinii 4/20073 stwierdziła, że choć identyfikacja poprzez nazwisko jest w praktyce najczęstsza, w niektórych przypadkach nazwisko nie jest konieczne do zidentyfikowania osoby. Zdarza się tak, jeśli inne „czynniki identyfikujące” pozwalają na wyodrębnienie pewnej osoby. Na przykład pliki komputerowe rejestrujące dane osobowe nadają zazwyczaj każdej osobie niepowtarzalny identyfikator, aby uniknąć pomyłek między dwoma osobami. W internecie narzędzia nadzorowania ruchu w sieci ułatwiają zidentyfikowanie zachowania komputera w sieci, i poprzez komputer, jego użytkownika. Odtwarza się w ten sposób osobowość danego użytkownika i przypisuje mu się pewne decyzje. Nawet nie znając nazwiska i adresu osoby, można ją zaszeregować na podstawie kryteriów społeczno-ekonomicznych, psychologicznych lub innych i przypisać jej pewne decyzje, jako że punkt kontaktowy tej osoby (komputer) nie wymaga ujawnienia jej tożsamości w ścisłym sensie. Innymi słowy, możliwość zidentyfikowania danej osoby nie musi już oznaczać możliwości ustalenia jej nazwiska.”
(...)
17. Druga rola wyszukiwarek polega na dostarczaniu treści. Oznacza to, że wyszukiwarki pomagają w zapewnieniu odbiorcom na całym świecie łatwego dostępu do publikacji internetowych. Występują zatem w tej sytuacji w roli pośrednika. Zgodnie z zasadą proporcjonalności operator wyszukiwarki występujący wyłącznie w roli pośrednika w ramach przetwarzania danych osobowych związanych z treścią nie może zostać uznany za głównego administratora. Głównymi administratorami są w takiej sytuacji podmioty dostarczające informacji. Mając powyższe na uwadze wyszukiwarki internetowe jako dostawcy treści, zdaniem GR ds. Ochrony Danych Osobowych, nie powinny ponosić głównej odpowiedzialności wynikającej z dyrektywy 95/46/WE. Wyjątek stanowić powinny jednak sytuacje, w których wyszukiwarka oferuje długotrwałą pamięć podręczną (ang. cache) oraz operacje na danych osobowych stanowiące wartość dodaną (np. w przypadku wyszukiwarek ukierunkowanych na
budowanie profili osób fizycznych). We wskazanych powyżej sytuacjach wyszukiwarki internetowe pełnią rolę administratorów danych osobowych i w związku z powyższym powinny podlegać odpowiedzialności wynikającej z przepisów dyrektywy 95/46/WE. W ocenie Rzeczypospolitej Polskiej należy zgodzić się z powyższej przedstawioną kwalifikacją ról wyszukiwarek internetowych.

18. Zdaniem Rzeczypospolitej Polskiej do wyszukiwarek działających w drugiej roli oraz określenia ich odpowiedzialności powinny mieć zastosowanie przepisy rozdziału II sekcji 4 dyrektywy 2000/31/WE Parlamentu Europejskiego i Rady z dnia 8 czerwca 2000 r. w sprawie niektórych aspektów prawnych usług społeczeństwa informacyjnego, w szczególności handlu elektronicznego w ramach rynku wewnętrznego (dyrektywa o handlu elektronicznym)
(...)
22. W przypadku „hostingu” (właściciel wyszukiwarki przechowuje informacje przez dłuższy czas) usługodawca nie jest odpowiedzialny za informacje przechowywane na żądanie usługobiorcy, pod warunkiem że: nie ma wiarygodnych wiadomości o bezprawnym charakterze działalności lub informacji, a w odniesieniu do roszczeń odszkodowawczych — nie wie o stanie faktycznym lub okolicznościach, które w sposób oczywisty świadczą o tej bezprawności, lub podejmuje niezwłocznie odpowiednie działania w celu usunięcia lub uniemożliwienia dostępu do informacji, gdy uzyska takie wiadomości lub zostanie o nich powiadomiony. Dodatkowo art. 15 dyrektywy 2000/31 przewiduje brak ogólnego obowiązku nadzoru przez usługodawców świadczących usługi „zwykłego przekazu”, „cachingu” oraz „hostingu” informacji, które przechowują.
(...)
25. Nie ulega wątpliwości, że w przypadku gdy operator wyszukiwarki posiada siedzibę na terytorium jednego lub więcej państw członkowskich i świadczy z tego państwa (państw) wszystkie swoje usługi, przetwarzanie przez niego danych osobowych podlega przepisom dyrektywy 95/46/WE.
(...)
30. W świetle powyższego wyliczenia należy stwierdzić, że Google Spain wypełnia swoją działalnością jedną ze wskazanych przez GR ds. Ochrony Danych Osobowych
przesłanek, a mianowicie uczestniczenie w sprzedaży reklam kierowanych do mieszkańców na terytorium Hiszpanii. Rzeczpospolita Polska podziela opinię GR ds. Ochrony Danych Osobowych co do powiązania tej przesłanki z prowadzeniem działalności gospodarczej. Należy zatem stwierdzić, że do Google i Google Spain, zgodnie z art. 4 ust. 1 lit. a) dyrektywy 95/46/WE, stosuje się przepisy krajowe o ochronie danych osobowych, wdrażające tę dyrektywę.
(...)

I tak dalej.

Słusznie zwraca uwagę HFPC na to, że "w odniesieniu do głównego pytania, dotyczącego ”prawa do bycia zapomnianym” oraz obowiązku nałożonego na wyszukiwarki w tym zakresie Rząd Polski nie przedstawił jednoznacznej odpowiedzi".

Stanowisko rządu polskiego zostało przygotowane w związku ze sprawą C-131/12. Sprawa rozpoczęła się w Hipszanii, a tamtejszy sąd skierował zapytanie w trybie prejudycjalnym do Trybunału. Zadano następujące pytania:

Co się tyczy terytorialnego zakresu stosowania dyrektywy 95/46/WE i w konsekwencji hiszpańskiego ustawodawstwa ochrony danych osobowych:

1.1. Czy należy uznać, iż ma miejsce "działalność gospodarcza" w rozumieniu art. 4 ust. 1 lit. a) dyrektywy 95/46/WE, gdy zachodzi jeden lub kilka z następujących przypadków:

- gdy przedsiębiorstwo będące dostawcą wyszukiwania ustanawia w danym państwie członkowskim biuro lub oddział, których celem jest promocja i sprzedaż powierzchni reklamowych w wyszukiwarce, której działalność jest skierowana do osób zamieszkujących to państwo,

lub

- gdy spółka dominująca wyznacza oddział znajdujący się w tym państwie członkowskim jako swojego przedstawiciela i jednocześnie jako administratora danych odpowiedzialnego za przetwarzanie dwóch określonych zbiorów, które wykazują związek z danymi klientów, którzy zamówili usługi reklamowe w rzeczonym przedsiębiorstwie,

lub

- gdy biuro lub oddział ustanowione w danym państwie członkowskim przekazują swojej spółce dominującej znajdującej się poza Unią Europejską, wnioski i żądania kierowane do niej zarówno przez osoby, których dane dotyczą, jak i przez właściwe organy w związku z przestrzeganiem prawa do ochrony danych osobowych, nawet jeśli taka współpraca jest dobrowolna?

1.2. Czy art. 4 ust. 1 lit. c) dyrektywy 95/46/WE należy interpretować w ten sposób, że "wykorzyst[anie] środk[ów] znajdując[ych] się na terytorium wymienionego państwa członkowskiego" następuje w sytuacji, gdy wyszukiwarka korzysta z robotów internetowych lub tzw. "pająków", by zlokalizować i zindeksować treści stron internetowych umieszczonych na serwerach znajdujących w tym państwie członkowskim,

lub

gdy wyszukiwarka posługuje się nazwą domeny przypisaną do danego państwu członkowskiemu i porządkuje wyszukiwanie i wyniki z uwzględnieniem języka tego państwa członkowskiego?

1.3. Czy można uznać za wykorzystanie środków w rozumieniu art. 4 ust. 1 lit. c) dyrektywy 95/46/WE czasowe przechowywanie informacji zindeksowanych przez wyszukiwarki internetowe? Jeżeli odpowiedź na to ostatnie pytanie będzie twierdząca, czy można uznać, iż ten łącznik występuje, gdy przedsiębiorstwo odmawia wskazania miejsca przechowywania tych indeksów, powołując się na względy konkurencyjności?

1.4. Niezależnie od odpowiedzi na wcześniejsze pytania i w szczególności w przypadku, gdyby Trybunał Sprawiedliwości Unii uznał, że nie występują łączniki przewidziane w art. 4 dyrektywy:

Czy należy stosować dyrektywę 95/46/WE w sprawie ochrony danych, z uwzględnieniem art. 8 Karty praw podstawowych Unii Europejskiej, w tym państwie członkowskim, w którym mieści się punkt ciężkości konfliktu, tak, by umożliwić bardziej skuteczną ochronę praw obywateli Unii Europejskiej?

Co się tyczy działalności wyszukiwarek internetowych jako dostawców treści w odniesieniu do dyrektywy 95/46/WE w sprawie ochrony danych:

2.1. W związku z działalnością wyszukiwarki przedsiębiorstwa "Google" w Internecie jako dostawcy treści, która to działalność polega na zlokalizowaniu informacji opublikowanych lub zamieszczonych w sieci przez osoby trzecie, indeksowaniu ich w sposób automatyczny, czasowym przechowywaniu takich informacji i wreszcie ich udostępnianiu internautom w sposób uporządkowany zgodnie z określonymi preferencjami, w sytuacji gdy takie informacje zawierają dane osobowe osób trzecich:

Czy należy uznać opisaną powyżej działalność za "przetwarzanie danych" w rozumieniu definicji zawartej w 2 lit. b) dyrektywy 95/46/WE?

2.2. W przypadku gdy odpowiedź na powyższe pytanie będzie twierdząca i w związku z taką działalnością jak opisana powyżej: Czy należy interpretować art. 2 lit. d) dyrektywy 95/46/WE, w ten sposób, że przedsiębiorstwo, które zarządza wyszukiwarką "Google" jest "administratorem danych" osobowych zawartych na stronach internetowych indeksowanych przez tę wyszukiwarkę?

2.3. W przypadku gdy odpowiedź na powyższe pytanie będzie twierdząca: Czy krajowy organ ochrony danych (w tym przypadku Agencia Espa?ola de Protección de Datos), strzegąc praw zawartych w art. 12 lit. b) i art. 14 lit. a) dyrektywy 95/46/WE, może zażądać bezpośrednio od przedsiębiorstwa "Google", prowadzącego wyszukiwarkę internetową, usunięcia ze jego indeksów informacji opublikowanych przez osoby trzecie, bez uprzedniego lub jednoczesnego zwrócenia się z takim żądaniem do podmiotu będącego właścicielem strony internetowej, na której zamieszczona została ta informacja?

2.4. W przypadku gdy odpowiedź na to ostatnie pytanie będzie twierdząca: Czy odpowiedzialność podmiotów prowadzących wyszukiwarki internetowe za przestrzeganie tych praw jest wyłączona w sytuacji gdy informacja zawierająca dane osobowe została opublikowana zgodnie z prawem przez osoby trzecie i nadal znajduje się na źródłowej stronie internetowej?"

Co się tyczy zakresu prawa do unieważnienia lub sprzeciwu w kontekście "prawa do bycia zapomnianym", pojawia się następujące pytanie:

3.1. Czy należy interpretować prawo do usunięcia i zablokowania danych ustanowione w art. 12 lit. b) oraz prawo sprzeciwu wynikające z art. 14 lit. a) dyrektywy 95/46/WE jako obejmujące prawo zainteresowanego do zwracania się do wyszukiwarek w celu uniemożliwienia indeksowania dotyczącej go informacji, opublikowanej na stronach internetowych osób trzecich, a takie żądania byłyby podyktowane wolą zainteresowanego, by te informacje nie były dostępne dla internautów, gdyż uważa, że mogą mu zaszkodzić lub też życzy sobie "być zapomnianym", nawet jeśli dotyczy to informacji opublikowanych zgodnie z prawem przez osoby trzecie?"