Stan faktyczny

Sprawa na której opierał się wyrok dotyczyła skargi obywatela Hiszpanii Mario Costeja Gonzáleza wniesionej do Agencia Española de Protección de Datos przeciwko La Vanguardia Ediciones SL, wydawcy jednego z dzienników, oraz przeciwko spółkom Google Spain i Google Inc.

Przedmiotem skargi był fakt, że po wpisaniu i wyszukaniu imienia i nazwiska Mario Costeja Gonzáleza w wyszukiwarce Google na liście wyników pojawiał się link do stron dziennika „La Vanguardia” z ogłoszeniem o licytacji jego nieruchomości za zaległości wobec zakładu zabezpieczeń społecznych – chociaż w tym wypadku kwestia ta została rozwiązana i zakończona kilka lat wcześniej.

W związku z tym skarżący domagał się usunięcia informacji ze strony dziennika, a także zobowiązania Google Spain (albo Google Inc.) do usunięcia jego danych osobowych w taki sposób, by nie były one ujawniane w wynikach wyszukiwania i powiązane z linkami do stron dziennika „La Vanguardia”.

Finałem sprawy było wydanie przez TSUE wyroku, w którym Trybunał Sprawiedliwości potwierdził stosowanie prawa o ochronie danych do wyszukiwarek oraz stwierdzenie, że użytkownicy mogą wnioskować do operatorów wyszukiwarek (jeżeli warunki określone w art. 12 i 14 dyrektywy 95/46/WE są spełnione), o usunięcie określonych linków do informacji mających wpływ na ich prywatność z wyników wyszukiwania wyświetlanych w rezultacie wyszukiwań przeprowadzonych na podstawie ich imienia i nazwiska.

Operatorzy wyszukiwarek jako administratorzy danych

Zgodnie z wytycznymi Grupy Roboczej ds. Ochrony Osób Fizycznych w Zakresie Przetwarzania Danych Osobowych (w skrócie: Grupa Robocza Art. 29) dotyczącymi wykonania wyroku TSUE w sprawie „Google Spain i Inc przeciwko Agencia Española de Protección de Datos (AEPD) i Mario Costeja Gonzáles” punktem wyjścia jest przyjęcie, zgodnie z wyrokiem, że operatorzy wyszukiwarek przetwarzają dane w rozumieniu art. 2 dyrektywy 95/46/WE, w związku z czym kwalifikują się jako administratorzy danych w oparciu o powyższą dyrektywę.

Podstawę prawną przetwarzania danych w tym wypadku stanowi artykuł 7 lit. f) dyrektywy w sprawie ochrony danych, czyli konieczność przetwarzania dla potrzeb wynikających z uzasadnionego interesu administratora lub stron trzecich, którym dane są ujawniane.

Wziąwszy jednak pod uwagę, że operator, w tym wypadku Google Spain SL oraz Google Inc. jest administratorem danych osobowych – ponosi również odpowiedzialność za przetwarzanie takich danych. Z tego też powodu operator wyszukiwarki musi mieć na uwadze, że przetwarzanie danych osobowych może znacząco oddziaływać na prawa podstawowe do poszanowania prywatności i ochrony danych osobowych w sytuacji, gdy przeszukiwanie zasobów internetowych za pomocą tej wyszukiwarki jest prowadzone z punktu wyjścia będącego imieniem i nazwiskiem osoby fizycznej – co miało miejsce w omawianej sprawie. W związku z tym osoby, których dane dotyczą, muszą mieć możliwość realizacji swoich praw zgodnie z postanowieniami dyrektywy 95/46/WE, ale także z postanowieniami praw krajowych ją wdrażających.

Z opinii Grupy Roboczej Art. 26 dotyczącej wyroku C-131/12 wynika, że prawa osoby, której dane dotyczą, są co do zasady nadrzędne wobec interesu gospodarczego wyszukiwarki. Nie zmienia to jednak faktu, że wyniki nie powinny być usuwane z listy, jeżeli ważniejszy jest interes publiczny w zakresie dostępu do tych informacji. Jednak warto zwrócić uwagę na to, że nawet gdy określony wynik wyszukiwania jest usuwany z listy, treść na stronie źródłowej jest nadal dostępna, a informacje mogą być nadal dostępne poprzez wyszukiwarkę przy użyciu innych terminów wyszukiwania.

Zakres działania

Wyrok Trybunału Sprawiedliwości uznaje, że krajowe filie (czyli spółki zależne Google – w tym wypadku Google Spain), w UE są formą prowadzenia działalności gospodarczej spółki oraz że przetwarzanie danych osobowych w wyszukiwarce prowadzone jest przez Google w ramach tych form działalności gospodarczej, co powoduje, że zastosowanie mają przepisy o ochronie danych UE.

Co prawda dyrektywa 95/46/WE w sprawie ochrony danych nie zawiera żadnego szczegółowego przepisu dotyczącego odpowiedzialności spółek zależnych administratora mieszczących się na terytorium państw członkowskich, a jedyne odniesienie się do tej kwestii – zawarte w art. 4 ust. 1 lit. a), który stanowi, że „jeżeli ten sam administrator danych prowadzi działalność gospodarczą na terytorium kilku Państw Członkowskich, musi on podjąć niezbędne działania, aby zapewnić, że każde z tych przedsiębiorstw wywiązuje się z obowiązków przewidzianych w odpowiednich przepisach prawa krajowego”.

Z wyroku jasno wynika, że operator wyszukiwarki jako administrator, czyli osoba określająca cele i sposoby prowadzenia tej działalności, powinien w ramach spoczywającej na nim odpowiedzialności zapewnić, żeby działalność ta spełnia określone w dyrektywie 95/46/WE wymogi tak, aby przewidziane w niej gwarancje były w pełni skuteczne i aby można było rzeczywiście zrealizować jej cel polegający na zapewnieniu skutecznej i pełnej ochrony objętych nią osób, w szczególności w odniesieniu do ich prawa do poszanowania ich prywatności.

W opinii Grupy Roboczej Art. 29 odpowiednia implementacja wyroku musi być dokonana w taki sposób, aby skutecznie chronić osoby, których dane dotyczą, przed wpływem, jaki wywołuje rozpowszechnianie danych osobowych oferowanych przez wyszukiwarki i powszechny dostęp do tych danych, szczególnie gdy wyszukiwanie dokonywane jest na podstawie nazwisk osób.