На
5 март 2010 г. г‑н Costeja González, испански гражданин с
местожителство в Испания, подава жалба пред AEPD срещу La Vanguardia
Ediciones SL, която издава всекидневник с голям тираж по-конкретно в
Каталония (Испания) (наричано по-нататък „La Vanguardia“), както и срещу
Google Spain и Google Inc. Жалбата се основава на обстоятелството, че
когато потребител на интернет въведе името на г‑н Costeja González в
интернет търсачката на групата Google (наричана по-нататък „Google
Search“), получава връзка към две страници на всекидневника на La
Vanguardia съответно от 19 януари и 9 март 1998 г., съдържащи обява, в
която е посочено името на г‑н Costeja González във връзка с продажба на
недвижимо имущество на търг по повод на възбрана, наложена за събиране
на вземания в областта на социалното осигуряване.
В
жалбата си г‑н Costeja González иска, от една страна, да са разпореди
на La Vanguardia да премахне посочените страници или да измени
съдържанието им, за да не се появяват повече личните му данни в тях, или
да използва някои от предоставените от интернет търсачките средства за
защита на тези данни. От друга страна, той иска да се разпореди на
Google Spain или на Google Inc. да заличи или да скрие тези лични данни,
така че те да не се появяват повече в резултатите от търсенето и да не
се съдържат във връзките към La Vanguardia. Г‑н Costeja González
поддържа, че в контекста на наложената му възбрана той е изпълнил изцяло
задълженията си още преди няколко години и че посочването ѝ било вече
напълно ирелевантно.
С
решение от 30 юли 2010 г. AEPD отхвърля жалбата в частта ѝ, отнасяща се
до La Vanguardia, като приема, че публикуването от страна на последното
на разглежданата информация е правно обосновано, тъй като е извършено
по разпореждане на Министерството на труда и социалните въпроси с цел да
се оповести в най-широка степен публичният търг и да се привлекат
възможно най-голям брой участници в него.
Жалбата
обаче е уважена в частта ѝ срещу Google Spain и Google Inc. AEPD приема
в това отношение, че спрямо лицата, които управляват интернет търсачки,
се прилага законодателството в областта на защитата на данните, тъй
като те извършват обработка на данни, за които носят отговорност, и
действат като посредници в информационното общество. AEPD смята, че има
правомощието да разпореди да се изтегли информация и да се забрани
достъпът до някои данни от лицата, които управляват интернет търсачки,
когато счете, че местонахождението или разпространяването на тези данни
може да засегне основното право на защита на данните или достойнството
на лицата в широк смисъл, което обхващало и самото желание на
заинтересованото лице тези данни да бъдат известни на трети лица. AEPD
приема, че това задължение може да се носи пряко от лицата, които
управляват интернет търсачки, без да е необходимо да се заличават
данните или информацията от интернет сайта, в който се съдържат,
по-специално когато запазването на тази информация на същия сайт е
обосновано по силата на законова разпоредба.
Google
Spain и Google Inc. подават пред Audiencia Nacional отделни жалби срещу
посоченото решение и същата юрисдикция съединява образуваните по
жалбите дела.
В
акта за преюдициално запитване тази юрисдикция отбелязва, че с
посочените жалби се повдига въпросът какви задължения носят лицата,
които управляват интернет търсачки, във връзка със защитата на личните
данни на заинтересованите лица, които не желаят определена информация,
която е публикувана в уебсайтове на трети лица и съдържа техни лични
данни, позволяващи информацията да се свърже с тези лица, да бъде
качена, индексирана и предоставена свободно на разположение на
потребителите на интернет. Отговорът на този въпрос зависел от начина,
по който трябва да се тълкува Директива 95/46 в контекста на тези
технологии, които са се появили след публикуването ѝ.
При
тези обстоятелства Audiencia Nacional решава да спре производството и
да постави на Съда следните преюдициални въпроси:
„1) С
оглед на териториалното приложение на [Директива 95/46], а и на
испанското законодателство в областта на защитата на личните данни:
а) Трябва
ли да се счита, че съществува „[обект]“ по смисъла на член 4,
параграф 1, буква a) от [Директива 95/46] при наличието на една или
повече от следните хипотези:
– когато
предприятието, предоставящо услугите на търсачка, създава в държава
членка клон или дъщерно дружество, чиято дейност по рекламиране и
продажба на рекламните пространства, предлагани от търсачката, е
насочена към жителите на тази държава,
или
– когато
дружеството майка посочва дъщерно дружество, намиращо се в тази държава
членка, като свой представител и администратор на две конкретни файлови
системи, които са свързани с данни на клиенти, сключили договор за
реклама със същото предприятие,
или
– когато
клонът или дъщерното дружество, установен(о) в държава членка, препраща
на дружеството майка със седалище извън територията на Европейския съюз
заявленията и исканията, които му отправят както засегнатите лица, така
и органите, натоварени да осигурят зачитането на правото на защита на
личните данни, дори когато това сътрудничество се осъществява на
доброволна основа?
б) Трябва ли
член 4, параграф 1, буква в) от [Директива 95/46] да се тълкува в
смисъл, че е налице „оборудване, намиращо се на територията на дадената
държава членка“,
– когато
подобна търсачка използва „паяци“ или роботи за намиране и индексиране
на информацията, съдържаща се на уебстраници, съхранявани на сървъри в
тази държава членка,
или
– когато
използва името на домейна на държава членка и насочва търсенето и
резултатите в зависимост от езика на тази държава членка?
в) Може
ли да се счита, че временното съхраняване на индексираната от
търсачките в интернет информация представлява оборудване по смисъла на
член 4, параграф 1, буква в) от [Директива 95/46]? При утвърдителен
отговор на този въпрос, може ли да се приеме, че този критерий за
привръзка се прилага, когато предприятието отказва да разкрие мястото,
където съхранява тези данни, изтъквайки съображения, свързани с
конкуренцията?
г) Независимо от
отговорите на предходните въпроси, и по-конкретно в случай че Съдът
приеме, че не са приложими предвидените в член 4 от [Директива 95/46]
критерии за привръзка:
Трябва ли да се приложи
[Директива 95/46] с оглед на член 8 от [Хартата] в държавата членка,
където се намира центърът на тежестта на конфликта и е възможна
по-ефикасна защита на правата на гражданите на [Съюза]?
2) Що се отнася до дейността на търсачките като доставчик на съдържание във връзка с [Директива 95/46]:
a) Трябва
ли да се счита, че дейността на [Google Search] в качеството му на
доставчик на съдържание като търсачка в интернет, изразяваща се в
намиране на публикувана или включена в мрежата от трети лица информация,
автоматичното ѝ индексиране, временно съхраняване и накрая,
предоставянето ѝ на разположение на потребителите на интернет в
определен ред, представлява дейността, обхваната от понятието за
„обработване на лични данни“, посочено в член 2, буква б) от [Директива
95/46], когато тази информация съдържа лични данни на трети лица?
б) При утвърдителен отговор на предходния въпрос и отново във връзка с гореописаната дейност:
Трябва
ли член 2, буква г) от [Директива 95/46] да се тълкува в смисъл, че
предприятието, което управлява търсачката [Google Search], е
„администратор“ на личните данни, съдържащи се на уебстраниците, които
тази търсачка индексира?
в) При утвърдителен отговор на предходния въпрос:
Може
ли [AEPD, която] защитава правата по член 12, буква б) и член 14,
[първа алинея,] буква а) от [Директива 95/46], да изисква пряко от
[Google Search] да изтегли от своите каталози публикувана от трети лица
информация, без да се обърне предварително или едновременно с това към
притежателя на уебстраницата, на която е поместена тази информация?
г) При утвърдителен отговор на този последен въпрос:
Изключва
ли се задължението на търсачките за защита на тези права, ако
информацията, съдържаща лични данни, е била публикувана законосъобразно
от трети лица и е запазена на уебстраницата, от която произхожда?
3) Относно
обхвата на правото на заличаване и/или правото на възражение [срещу
обработването на лични данни] във връзка с „derecho al olvido“ (правото
на забрава) възниква следният въпрос:
Трябва ли
да се счита, че правата на изтриване и блокиране на данните, предвидени в
член 12, буква б), и правото на възражение, предвидено в член 14,
[първа алинея,] буква а) от [Директива 95/46], предполагат, че
заинтересованото лице може да се обърне към търсачките, за да забрани
индексирането на отнасяща се до него информация, публикувана на
уебстраници на трети лица, изтъквайки своето желание тя да не бъде
видяна от потребителите на интернет, ако счита, че тя може да му
навреди, или желае тя да бъде забравена, макар и въпросната информация
да е била публикувана правомерно от трети лица?“.
Решението на съда:
1) Член 2,
букви б) и г) от Директива 95/46/ЕО на Европейския парламент и на Съвета
от 24 октомври 1995 година за защита на физическите лица при
обработването на лични данни и за свободното движение на тези данни
трябва да се тълкува в смисъл, че от една страна, дейността на интернет
търсачка, изразяваща се в намиране на публикувана или въведена в
интернет от трети лица информация, автоматичното ѝ индексиране, временно
съхраняване и накрая, предоставянето ѝ на разположение на потребителите
на интернет в определен ред на предпочитание, трябва да се квалифицира
като „обработване на лични данни“ по смисъла на посочения член 2,
буква б), когато тази информация съдържа лични данни, и от друга страна,
лицето, което управлява интернет търсачката, трябва да се счита за
„администратор“ по смисъла на същия член 2, буква г).
2) Член 4,
параграф 1, буква а) от Директива 95/46 трябва да се тълкува в смисъл,
че обработване на лични данни се извършва в контекста на дейностите на
установен на територията на държава членка обект на администратора по
смисъла на посочената разпоредба, когато лицето, което управлява
интернет търсачка, създава в държава членка клон или дъщерно дружество,
чието предназначение е да осигури рекламирането и продажбата на
рекламните пространства, предлагани от търсачката, и чиято дейност е
насочена към жителите на тази държава членка.
3) Член 12,
буква б) и член 14, първа алинея, буква a) от Директива 95/46 трябва да
се тълкуват в смисъл, че за да зачита правата, предвидени в тези
разпоредби и доколкото действително са изпълнени предвидените в тях
условия, лицето, което управлява интернет търсачка, е длъжно да заличи
от списъка на резултатите, който се показва след търсене въз основа на
име на лице, връзки към уебстраници, които са публикувани от трети лица и
съдържат информация относно последното, също и в хипотезата, в която
това име или тази информация не са заличени предварително или
едновременно от тези уебстраници, при това дори когато евентуално самото
им публикуване на посочените страници е законосъобразно.
4) Член 12,
буква б) и член 14, първа алинея, буква а) от Директива 95/46 трябва да
се тълкуват в смисъл, че при преценката на условията за прилагане на
тези разпоредби следва по-специално да се провери дали съответното лице
има право въпросната информация, отнасяща се до него, да не се свързва
повече с името му към настоящия момент посредством списък на
резултатите, който се показва след търсене въз основа на неговото име,
без обаче констатацията за наличие на такова право да предполага, че
включването на въпросната информация в този списък причинява вреда на
лицето. Тъй като с оглед на основните си права по членове 7 и 8 от
Хартата съответното лице може да поиска въпросната информация да не се
предоставя повече на разположение на широката общественост посредством
включването ѝ в подобен списък на резултатите, тези права имат по
принцип предимство не само пред икономическия интерес на лицето, което
управлява интернет търсачката, но и пред интереса на тази общественост
да има достъп до посочената информация при търсене, отнасящо се до името
на въпросното лице. Такъв не би бил случаят обаче, ако по конкретни
причини, като ролята на посоченото лице в обществения живот, е видно, че
вмешателството в неговите основни права е обосновано поради
приоритетния интерес на посочената общественост да има вследствие на
това включване достъп до въпросната информация.
English version
The European Court has ruled in Case C-131/12. It concerns the following:
On
5 March 2010, Mr Costeja González, a Spanish national resident in
Spain, lodged with the AEPD a complaint against La Vanguardia Ediciones
SL, which publishes a daily newspaper with a large circulation, in
particular in Catalonia (Spain) (‘La Vanguardia’), and against Google
Spain and Google Inc. The complaint was based on the fact that, when an
internet user entered Mr Costeja González’s name in the search engine of
the Google group (‘Google Search’), he would obtain links to two pages
of La Vanguardia’s newspaper, of 19 January and 9 March 1998
respectively, on which an announcement mentioning Mr Costeja González’s
name appeared for a real-estate auction connected with attachment
proceedings for the recovery of social security debts.
By
that complaint, Mr Costeja González requested, first, that La
Vanguardia be required either to remove or alter those pages so that the
personal data relating to him no longer appeared or to use certain
tools made available by search engines in order to protect the data.
Second, he requested that Google Spain or Google Inc. be required to
remove or conceal the personal data relating to him so that they ceased
to be included in the search results and no longer appeared in the links
to La Vanguardia. Mr Costeja González stated in this context that the
attachment proceedings concerning him had been fully resolved for a
number of years and that reference to them was now entirely irrelevant.
By
decision of 30 July 2010, the AEPD rejected the complaint in so far as
it related to La Vanguardia, taking the view that the publication by it
of the information in question was legally justified as it took place
upon order of the Ministry of Labour and Social Affairs and was intended
to give maximum publicity to the auction in order to secure as many
bidders as possible.
On
the other hand, the complaint was upheld in so far as it was directed
against Google Spain and Google Inc. The AEPD considered in this regard
that operators of search engines are subject to data protection
legislation given that they carry out data processing for which they are
responsible and act as intermediaries in the information society. The
AEPD took the view that it has the power to require the withdrawal of
data and the prohibition of access to certain data by the operators of
search engines when it considers that the locating and dissemination of
the data are liable to compromise the fundamental right to data
protection and the dignity of persons in the broad sense, and this would
also encompass the mere wish of the person concerned that such data not
be known to third parties. The AEPD considered that that obligation may
be owed directly by operators of search engines, without it being
necessary to erase the data or information from the website where they
appear, including when retention of the information on that site is
justified by a statutory provision.
Google
Spain and Google Inc. brought separate actions against that decision
before the Audiencia Nacional (National High Court). The Audiencia
Nacional joined the actions.
That
court states in the order for reference that the actions raise the
question of what obligations are owed by operators of search engines to
protect personal data of persons concerned who do not wish that certain
information, which is published on third parties’ websites and contains
personal data relating to them that enable that information to be linked
to them, be located, indexed and made available to internet users
indefinitely. The answer to that question depends on the way in which
Directive 95/46 must be interpreted in the context of these
technologies, which appeared after the directive’s publication.
In
those circumstances, the Audiencia Nacional decided to stay the
proceedings and to refer the following questions to the Court for a
preliminary ruling:
1. With
regard to the territorial application of Directive [95/46] and,
consequently, of the Spanish data protection legislation:
(a) must
it be considered that an “establishment”, within the meaning of
Article 4(1)(a) of Directive 95/46, exists when any one or more of the
following circumstances arise:
– when
the undertaking providing the search engine sets up in a Member State
an office or subsidiary for the purpose of promoting and selling
advertising space on the search engine, which orientates its activity
towards the inhabitants of that State,
or
– when
the parent company designates a subsidiary located in that Member State
as its representative and controller for two specific filing systems
which relate to the data of customers who have contracted for
advertising with that undertaking,
or
– when
the office or subsidiary established in a Member State forwards to the
parent company, located outside the European Union, requests and
requirements addressed to it both by data subjects and by the
authorities with responsibility for ensuring observation of the right to
data protection, even where such collaboration is engaged in
voluntarily?
(b) Must
Article 4(1)(c) of Directive 95/46 be interpreted as meaning that there
is “use of equipment … situated on the territory of the said Member
State”:
– when a search
engine uses crawlers or robots to locate and index information contained
in web pages located on servers in that Member State,
or
– when
it uses a domain name pertaining to a Member State and arranges for
searches and the results thereof to be based on the language of that
Member State?
(c) Is it possible
to regard as a use of equipment, in the terms of Article 4(1)(c) of
Directive 95/46, the temporary storage of the information indexed by
internet search engines? If the answer to that question is affirmative,
can it be considered that that connecting factor is present when the
undertaking refuses to disclose the place where it stores those indexes,
invoking reasons of competition?
(d) Regardless
of the answers to the foregoing questions and particularly in the event
that the Court … considers that the connecting factors referred to in
Article 4 of [Directive 95/46] are not present:
must
Directive 95/46 … be applied, in the light of Article 8 of the
[Charter], in the Member State where the centre of gravity of the
conflict is located and more effective protection of the rights of …
Union citizens is possible?
2. As regards the activity of search engines as providers of content in relation to Directive 95/46 …:
(a) in
relation to the activity of [Google Search], as a provider of content,
consisting in locating information published or included on the net by
third parties, indexing it automatically, storing it temporarily and
finally making it available to internet users according to a particular
order of preference, when that information contains personal data of
third parties: must an activity like the one described be interpreted as
falling within the concept of “processing of … data” used in
Article 2(b) of Directive 95/46?
(b) If
the answer to the foregoing question is affirmative, and once again in
relation to an activity like the one described:
must
Article 2(d) of Directive 95/46 be interpreted as meaning that the
undertaking managing [Google Search] is to be regarded as the
“controller” of the personal data contained in the web pages that it
indexes?
(c) In the event that the answer to the foregoing question is affirmative:
may
the [AEPD], protecting the rights embodied in [Article] 12(b) and
[subparagraph (a) of the first paragraph of Article 14] of Directive
95/46, directly impose on [Google Search] a requirement that it withdraw
from its indexes an item of information published by third parties,
without addressing itself in advance or simultaneously to the owner of
the web page on which that information is located?
(d) In the event that the answer to the foregoing question is affirmative:
would
the obligation of search engines to protect those rights be excluded
when the information that contains the personal data has been lawfully
published by third parties and is kept on the web page from which it
originates?
3. Regarding the
scope of the right of erasure and/or the right to object, in relation to
the “derecho al olvido” (the “right to be forgotten”), the following
question is asked:
must it be considered that
the rights to erasure and blocking of data, provided for in
Article 12(b), and the right to object, provided for by [subparagraph
(a) of the first paragraph of Article 14] of Directive 95/46, extend to
enabling the data subject to address himself to search engines in order
to prevent indexing of the information relating to him personally,
published on third parties’ web pages, invoking his wish that such
information should not be known to internet users when he considers that
it might be prejudicial to him or he wishes it to be consigned to
oblivion, even though the information in question has been lawfully
published by third parties?’
The Court's decision:
1. Article 2(b)
and (d) of Directive 95/46/EC of the European Parliament and of the
Council of 24 October 1995 on the protection of individuals with regard
to the processing of personal data and on the free movement of such data
are to be interpreted as meaning that, first, the activity of a search
engine consisting in finding information published or placed on the
internet by third parties, indexing it automatically, storing it
temporarily and, finally, making it available to internet users
according to a particular order of preference must be classified as
‘processing of personal data’ within the meaning of Article 2(b) when
that information contains personal data and, second, the operator of the
search engine must be regarded as the ‘controller’ in respect of that
processing, within the meaning of Article 2(d).
2. Article 4(1)(a)
of Directive 95/46 is to be interpreted as meaning that processing of
personal data is carried out in the context of the activities of an
establishment of the controller on the territory of a Member State,
within the meaning of that provision, when the operator of a search
engine sets up in a Member State a branch or subsidiary which is
intended to promote and sell advertising space offered by that engine
and which orientates its activity towards the inhabitants of that Member
State.
3. Article 12(b) and
subparagraph (a) of the first paragraph of Article 14 of Directive 95/46
are to be interpreted as meaning that, in order to comply with the
rights laid down in those provisions and in so far as the conditions
laid down by those provisions are in fact satisfied, the operator of a
search engine is obliged to remove from the list of results displayed
following a search made on the basis of a person’s name links to web
pages, published by third parties and containing information relating to
that person, also in a case where that name or information is not
erased beforehand or simultaneously from those web pages, and even, as
the case may be, when its publication in itself on those pages is
lawful.
4. Article 12(b) and
subparagraph (a) of the first paragraph of Article 14 of Directive 95/46
are to be interpreted as meaning that, when appraising the conditions
for the application of those provisions, it should inter alia be
examined whether the data subject has a right that the information in
question relating to him personally should, at this point in time, no
longer be linked to his name by a list of results displayed following a
search made on the basis of his name, without it being necessary in
order to find such a right that the inclusion of the information in
question in that list causes prejudice to the data subject. As the data
subject may, in the light of his fundamental rights under Articles 7 and
8 of the Charter, request that the information in question no longer be
made available to the general public on account of its inclusion in
such a list of results, those rights override, as a rule, not only the
economic interest of the operator of the search engine but also the
interest of the general public in having access to that information upon
a search relating to the data subject’s name. However, that would not
be the case if it appeared, for particular reasons, such as the role
played by the data subject in public life, that the interference with
his fundamental rights is justified by the preponderant interest of the
general public in having, on account of its inclusion in the list of
results, access to the information in question.
