четвъртък, 22 май 2014 г.

Премахване на лични данни от интернет търсачките - Removing personal information from search engines

Европейският съд излезе с решение по дело C‑131/12. То касае следното:

На 5 март 2010 г. г‑н Costeja González, испански гражданин с местожителство в Испания, подава жалба пред AEPD срещу La Vanguardia Ediciones SL, която издава всекидневник с голям тираж по-конкретно в Каталония (Испания) (наричано по-нататък „La Vanguardia“), както и срещу Google Spain и Google Inc. Жалбата се основава на обстоятелството, че когато потребител на интернет въведе името на г‑н Costeja González в интернет търсачката на групата Google (наричана по-нататък „Google Search“), получава връзка към две страници на всекидневника на La Vanguardia съответно от 19 януари и 9 март 1998 г., съдържащи обява, в която е посочено името на г‑н Costeja González във връзка с продажба на недвижимо имущество на търг по повод на възбрана, наложена за събиране на вземания в областта на социалното осигуряване.
В жалбата си г‑н Costeja González иска, от една страна, да са разпореди на La Vanguardia да премахне посочените страници или да измени съдържанието им, за да не се появяват повече личните му данни в тях, или да използва някои от предоставените от интернет търсачките средства за защита на тези данни. От друга страна, той иска да се разпореди на Google Spain или на Google Inc. да заличи или да скрие тези лични данни, така че те да не се появяват повече в резултатите от търсенето и да не се съдържат във връзките към La Vanguardia. Г‑н Costeja González поддържа, че в контекста на наложената му възбрана той е изпълнил изцяло задълженията си още преди няколко години и че посочването ѝ било вече напълно ирелевантно.
С решение от 30 юли 2010 г. AEPD отхвърля жалбата в частта ѝ, отнасяща се до La Vanguardia, като приема, че публикуването от страна на последното на разглежданата информация е правно обосновано, тъй като е извършено по разпореждане на Министерството на труда и социалните въпроси с цел да се оповести в най-широка степен публичният търг и да се привлекат възможно най-голям брой участници в него.
Жалбата обаче е уважена в частта ѝ срещу Google Spain и Google Inc. AEPD приема в това отношение, че спрямо лицата, които управляват интернет търсачки, се прилага законодателството в областта на защитата на данните, тъй като те извършват обработка на данни, за които носят отговорност, и действат като посредници в информационното общество. AEPD смята, че има правомощието да разпореди да се изтегли информация и да се забрани достъпът до някои данни от лицата, които управляват интернет търсачки, когато счете, че местонахождението или разпространяването на тези данни може да засегне основното право на защита на данните или достойнството на лицата в широк смисъл, което обхващало и самото желание на заинтересованото лице тези данни да бъдат известни на трети лица. AEPD приема, че това задължение може да се носи пряко от лицата, които управляват интернет търсачки, без да е необходимо да се заличават данните или информацията от интернет сайта, в който се съдържат, по-специално когато запазването на тази информация на същия сайт е обосновано по силата на законова разпоредба.
Google Spain и Google Inc. подават пред Audiencia Nacional отделни жалби срещу посоченото решение и същата юрисдикция съединява образуваните по жалбите дела.
В акта за преюдициално запитване тази юрисдикция отбелязва, че с посочените жалби се повдига въпросът какви задължения носят лицата, които управляват интернет търсачки, във връзка със защитата на личните данни на заинтересованите лица, които не желаят определена информация, която е публикувана в уебсайтове на трети лица и съдържа техни лични данни, позволяващи информацията да се свърже с тези лица, да бъде качена, индексирана и предоставена свободно на разположение на потребителите на интернет. Отговорът на този въпрос зависел от начина, по който трябва да се тълкува Директива 95/46 в контекста на тези технологии, които са се появили след публикуването ѝ.
При тези обстоятелства Audiencia Nacional решава да спре производството и да постави на Съда следните преюдициални въпроси:
„1) С оглед на териториалното приложение на [Директива 95/46], а и на испанското законодателство в областта на защитата на личните данни:
а) Трябва ли да се счита, че съществува „[обект]“ по смисъла на член 4, параграф 1, буква a) от [Директива 95/46] при наличието на една или повече от следните хипотези:
–   когато предприятието, предоставящо услугите на търсачка, създава в държава членка клон или дъщерно дружество, чиято дейност по рекламиране и продажба на рекламните пространства, предлагани от търсачката, е насочена към жителите на тази държава,
или
–   когато дружеството майка посочва дъщерно дружество, намиращо се в тази държава членка, като свой представител и администратор на две конкретни файлови системи, които са свързани с данни на клиенти, сключили договор за реклама със същото предприятие,
или
–   когато клонът или дъщерното дружество, установен(о) в държава членка, препраща на дружеството майка със седалище извън територията на Европейския съюз заявленията и исканията, които му отправят както засегнатите лица, така и органите, натоварени да осигурят зачитането на правото на защита на личните данни, дори когато това сътрудничество се осъществява на доброволна основа?
б) Трябва ли член 4, параграф 1, буква в) от [Директива 95/46] да се тълкува в смисъл, че е налице „оборудване, намиращо се на територията на дадената държава членка“,
–   когато подобна търсачка използва „паяци“ или роботи за намиране и индексиране на информацията, съдържаща се на уебстраници, съхранявани на сървъри в тази държава членка,
или
–  когато използва името на домейна на държава членка и насочва търсенето и резултатите в зависимост от езика на тази държава членка?
в)  Може ли да се счита, че временното съхраняване на индексираната от търсачките в интернет информация представлява оборудване по смисъла на член 4, параграф 1, буква в) от [Директива 95/46]? При утвърдителен отговор на този въпрос, може ли да се приеме, че този критерий за привръзка се прилага, когато предприятието отказва да разкрие мястото, където съхранява тези данни, изтъквайки съображения, свързани с конкуренцията?
г) Независимо от отговорите на предходните въпроси, и по-конкретно в случай че Съдът приеме, че не са приложими предвидените в член 4 от [Директива 95/46] критерии за привръзка:
Трябва ли да се приложи [Директива 95/46] с оглед на член 8 от [Хартата] в държавата членка, където се намира центърът на тежестта на конфликта и е възможна по-ефикасна защита на правата на гражданите на [Съюза]?
2)      Що се отнася до дейността на търсачките като доставчик на съдържание във връзка с [Директива 95/46]:
a)      Трябва ли да се счита, че дейността на [Google Search] в качеството му на доставчик на съдържание като търсачка в интернет, изразяваща се в намиране на публикувана или включена в мрежата от трети лица информация, автоматичното ѝ индексиране, временно съхраняване и накрая, предоставянето ѝ на разположение на потребителите на интернет в определен ред, представлява дейността, обхваната от понятието за „обработване на лични данни“, посочено в член 2, буква б) от [Директива 95/46], когато тази информация съдържа лични данни на трети лица?
б) При утвърдителен отговор на предходния въпрос и отново във връзка с гореописаната дейност:
Трябва ли член 2, буква г) от [Директива 95/46] да се тълкува в смисъл, че предприятието, което управлява търсачката [Google Search], е „администратор“ на личните данни, съдържащи се на уебстраниците, които тази търсачка индексира?
в) При утвърдителен отговор на предходния въпрос:
Може ли [AEPD, която] защитава правата по член 12, буква б) и член 14, [първа алинея,] буква а) от [Директива 95/46], да изисква пряко от [Google Search] да изтегли от своите каталози публикувана от трети лица информация, без да се обърне предварително или едновременно с това към притежателя на уебстраницата, на която е поместена тази информация?
г)  При утвърдителен отговор на този последен въпрос:
Изключва ли се задължението на търсачките за защита на тези права, ако информацията, съдържаща лични данни, е била публикувана законосъобразно от трети лица и е запазена на уебстраницата, от която произхожда?
3)  Относно обхвата на правото на заличаване и/или правото на възражение [срещу обработването на лични данни] във връзка с „derecho al olvido“ (правото на забрава) възниква следният въпрос:
Трябва ли да се счита, че правата на изтриване и блокиране на данните, предвидени в член 12, буква б), и правото на възражение, предвидено в член 14, [първа алинея,] буква а) от [Директива 95/46], предполагат, че заинтересованото лице може да се обърне към търсачките, за да забрани индексирането на отнасяща се до него информация, публикувана на уебстраници на трети лица, изтъквайки своето желание тя да не бъде видяна от потребителите на интернет, ако счита, че тя може да му навреди, или желае тя да бъде забравена, макар и въпросната информация да е била публикувана правомерно от трети лица?“.

Решението на съда:

1)  Член 2, букви б) и г) от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни трябва да се тълкува в смисъл, че от една страна, дейността на интернет търсачка, изразяваща се в намиране на публикувана или въведена в интернет от трети лица информация, автоматичното ѝ индексиране, временно съхраняване и накрая, предоставянето ѝ на разположение на потребителите на интернет в определен ред на предпочитание, трябва да се квалифицира като „обработване на лични данни“ по смисъла на посочения член 2, буква б), когато тази информация съдържа лични данни, и от друга страна, лицето, което управлява интернет търсачката, трябва да се счита за „администратор“ по смисъла на същия член 2, буква г).
2)  Член 4, параграф 1, буква а) от Директива 95/46 трябва да се тълкува в смисъл, че обработване на лични данни се извършва в контекста на дейностите на установен на територията на държава членка обект на администратора по смисъла на посочената разпоредба, когато лицето, което управлява интернет търсачка, създава в държава членка клон или дъщерно дружество, чието предназначение е да осигури рекламирането и продажбата на рекламните пространства, предлагани от търсачката, и чиято дейност е насочена към жителите на тази държава членка.
3) Член 12, буква б) и член 14, първа алинея, буква a) от Директива 95/46 трябва да се тълкуват в смисъл, че за да зачита правата, предвидени в тези разпоредби и доколкото действително са изпълнени предвидените в тях условия, лицето, което управлява интернет търсачка, е длъжно да заличи от списъка на резултатите, който се показва след търсене въз основа на име на лице, връзки към уебстраници, които са публикувани от трети лица и съдържат информация относно последното, също и в хипотезата, в която това име или тази информация не са заличени предварително или едновременно от тези уебстраници, при това дори когато евентуално самото им публикуване на посочените страници е законосъобразно.
4) Член 12, буква б) и член 14, първа алинея, буква а) от Директива 95/46 трябва да се тълкуват в смисъл, че при преценката на условията за прилагане на тези разпоредби следва по-специално да се провери дали съответното лице има право въпросната информация, отнасяща се до него, да не се свързва повече с името му към настоящия момент посредством списък на резултатите, който се показва след търсене въз основа на неговото име, без обаче констатацията за наличие на такова право да предполага, че включването на въпросната информация в този списък причинява вреда на лицето. Тъй като с оглед на основните си права по членове 7 и 8 от Хартата съответното лице може да поиска въпросната информация да не се предоставя повече на разположение на широката общественост посредством включването ѝ в подобен списък на резултатите, тези права имат по принцип предимство не само пред икономическия интерес на лицето, което управлява интернет търсачката, но и пред интереса на тази общественост да има достъп до посочената информация при търсене, отнасящо се до името на въпросното лице. Такъв не би бил случаят обаче, ако по конкретни причини, като ролята на посоченото лице в обществения живот, е видно, че вмешателството в неговите основни права е обосновано поради приоритетния интерес на посочената общественост да има вследствие на това включване достъп до въпросната информация.

English version

The European Court has ruled in Case C-131/12. It concerns the following:

On 5 March 2010, Mr Costeja González, a Spanish national resident in Spain, lodged with the AEPD a complaint against La Vanguardia Ediciones SL, which publishes a daily newspaper with a large circulation, in particular in Catalonia (Spain) (‘La Vanguardia’), and against Google Spain and Google Inc. The complaint was based on the fact that, when an internet user entered Mr Costeja González’s name in the search engine of the Google group (‘Google Search’), he would obtain links to two pages of La Vanguardia’s newspaper, of 19 January and 9 March 1998 respectively, on which an announcement mentioning Mr Costeja González’s name appeared for a real-estate auction connected with attachment proceedings for the recovery of social security debts.
By that complaint, Mr Costeja González requested, first, that La Vanguardia be required either to remove or alter those pages so that the personal data relating to him no longer appeared or to use certain tools made available by search engines in order to protect the data. Second, he requested that Google Spain or Google Inc. be required to remove or conceal the personal data relating to him so that they ceased to be included in the search results and no longer appeared in the links to La Vanguardia. Mr Costeja González stated in this context that the attachment proceedings concerning him had been fully resolved for a number of years and that reference to them was now entirely irrelevant.
By decision of 30 July 2010, the AEPD rejected the complaint in so far as it related to La Vanguardia, taking the view that the publication by it of the information in question was legally justified as it took place upon order of the Ministry of Labour and Social Affairs and was intended to give maximum publicity to the auction in order to secure as many bidders as possible.
On the other hand, the complaint was upheld in so far as it was directed against Google Spain and Google Inc. The AEPD considered in this regard that operators of search engines are subject to data protection legislation given that they carry out data processing for which they are responsible and act as intermediaries in the information society. The AEPD took the view that it has the power to require the withdrawal of data and the prohibition of access to certain data by the operators of search engines when it considers that the locating and dissemination of the data are liable to compromise the fundamental right to data protection and the dignity of persons in the broad sense, and this would also encompass the mere wish of the person concerned that such data not be known to third parties. The AEPD considered that that obligation may be owed directly by operators of search engines, without it being necessary to erase the data or information from the website where they appear, including when retention of the information on that site is justified by a statutory provision.
Google Spain and Google Inc. brought separate actions against that decision before the Audiencia Nacional (National High Court). The Audiencia Nacional joined the actions.
 That court states in the order for reference that the actions raise the question of what obligations are owed by operators of search engines to protect personal data of persons concerned who do not wish that certain information, which is published on third parties’ websites and contains personal data relating to them that enable that information to be linked to them, be located, indexed and made available to internet users indefinitely. The answer to that question depends on the way in which Directive 95/46 must be interpreted in the context of these technologies, which appeared after the directive’s publication.
In those circumstances, the Audiencia Nacional decided to stay the proceedings and to refer the following questions to the Court for a preliminary ruling:
1. With regard to the territorial application of Directive [95/46] and, consequently, of the Spanish data protection legislation:
(a)  must it be considered that an “establishment”, within the meaning of Article 4(1)(a) of Directive 95/46, exists when any one or more of the following circumstances arise:
–   when the undertaking providing the search engine sets up in a Member State an office or subsidiary for the purpose of promoting and selling advertising space on the search engine, which orientates its activity towards the inhabitants of that State,
or
–   when the parent company designates a subsidiary located in that Member State as its representative and controller for two specific filing systems which relate to the data of customers who have contracted for advertising with that undertaking,
or
–   when the office or subsidiary established in a Member State forwards to the parent company, located outside the European Union, requests and requirements addressed to it both by data subjects and by the authorities with responsibility for ensuring observation of the right to data protection, even where such collaboration is engaged in voluntarily?
(b)  Must Article 4(1)(c) of Directive 95/46 be interpreted as meaning that there is “use of equipment … situated on the territory of the said Member State”:
–   when a search engine uses crawlers or robots to locate and index information contained in web pages located on servers in that Member State,
or
–   when it uses a domain name pertaining to a Member State and arranges for searches and the results thereof to be based on the language of that Member State?
(c)  Is it possible to regard as a use of equipment, in the terms of Article 4(1)(c) of Directive 95/46, the temporary storage of the information indexed by internet search engines? If the answer to that question is affirmative, can it be considered that that connecting factor is present when the undertaking refuses to disclose the place where it stores those indexes, invoking reasons of competition?
(d)  Regardless of the answers to the foregoing questions and particularly in the event that the Court … considers that the connecting factors referred to in Article 4 of [Directive 95/46] are not present:
must Directive 95/46 … be applied, in the light of Article 8 of the [Charter], in the Member State where the centre of gravity of the conflict is located and more effective protection of the rights of … Union citizens is possible?
2.  As regards the activity of search engines as providers of content in relation to Directive 95/46 …:
(a)  in relation to the activity of [Google Search], as a provider of content, consisting in locating information published or included on the net by third parties, indexing it automatically, storing it temporarily and finally making it available to internet users according to a particular order of preference, when that information contains personal data of third parties: must an activity like the one described be interpreted as falling within the concept of “processing of … data” used in Article 2(b) of Directive 95/46?
(b)  If the answer to the foregoing question is affirmative, and once again in relation to an activity like the one described:
must Article 2(d) of Directive 95/46 be interpreted as meaning that the undertaking managing [Google Search] is to be regarded as the “controller” of the personal data contained in the web pages that it indexes?
(c) In the event that the answer to the foregoing question is affirmative:
may the [AEPD], protecting the rights embodied in [Article] 12(b) and [subparagraph (a) of the first paragraph of Article 14] of Directive 95/46, directly impose on [Google Search] a requirement that it withdraw from its indexes an item of information published by third parties, without addressing itself in advance or simultaneously to the owner of the web page on which that information is located?
(d)  In the event that the answer to the foregoing question is affirmative:
would the obligation of search engines to protect those rights be excluded when the information that contains the personal data has been lawfully published by third parties and is kept on the web page from which it originates?
3. Regarding the scope of the right of erasure and/or the right to object, in relation to the “derecho al olvido” (the “right to be forgotten”), the following question is asked:
must it be considered that the rights to erasure and blocking of data, provided for in Article 12(b), and the right to object, provided for by [subparagraph (a) of the first paragraph of Article 14] of Directive 95/46, extend to enabling the data subject to address himself to search engines in order to prevent indexing of the information relating to him personally, published on third parties’ web pages, invoking his wish that such information should not be known to internet users when he considers that it might be prejudicial to him or he wishes it to be consigned to oblivion, even though the information in question has been lawfully published by third parties?’

The Court's decision:


1.  Article 2(b) and (d) of Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data are to be interpreted as meaning that, first, the activity of a search engine consisting in finding information published or placed on the internet by third parties, indexing it automatically, storing it temporarily and, finally, making it available to internet users according to a particular order of preference must be classified as ‘processing of personal data’ within the meaning of Article 2(b) when that information contains personal data and, second, the operator of the search engine must be regarded as the ‘controller’ in respect of that processing, within the meaning of Article 2(d).
2. Article 4(1)(a) of Directive 95/46 is to be interpreted as meaning that processing of personal data is carried out in the context of the activities of an establishment of the controller on the territory of a Member State, within the meaning of that provision, when the operator of a search engine sets up in a Member State a branch or subsidiary which is intended to promote and sell advertising space offered by that engine and which orientates its activity towards the inhabitants of that Member State.
3. Article 12(b) and subparagraph (a) of the first paragraph of Article 14 of Directive 95/46 are to be interpreted as meaning that, in order to comply with the rights laid down in those provisions and in so far as the conditions laid down by those provisions are in fact satisfied, the operator of a search engine is obliged to remove from the list of results displayed following a search made on the basis of a person’s name links to web pages, published by third parties and containing information relating to that person, also in a case where that name or information is not erased beforehand or simultaneously from those web pages, and even, as the case may be, when its publication in itself on those pages is lawful.
4. Article 12(b) and subparagraph (a) of the first paragraph of Article 14 of Directive 95/46 are to be interpreted as meaning that, when appraising the conditions for the application of those provisions, it should inter alia be examined whether the data subject has a right that the information in question relating to him personally should, at this point in time, no longer be linked to his name by a list of results displayed following a search made on the basis of his name, without it being necessary in order to find such a right that the inclusion of the information in question in that list causes prejudice to the data subject. As the data subject may, in the light of his fundamental rights under Articles 7 and 8 of the Charter, request that the information in question no longer be made available to the general public on account of its inclusion in such a list of results, those rights override, as a rule, not only the economic interest of the operator of the search engine but also the interest of the general public in having access to that information upon a search relating to the data subject’s name. However, that would not be the case if it appeared, for particular reasons, such as the role played by the data subject in public life, that the interference with his fundamental rights is justified by the preponderant interest of the general public in having, on account of its inclusion in the list of results, access to the information in question.