Zarejestruj się i uzyskaj dostęp do licznych narzędzi

Operatorzy wyszukiwarek internetowych jako administratorzy danych – na tle opinii Grupy Roboczej Art. 29

10/09/2015

Trybunał Sprawiedliwości uznał, że osoba, której dane dotyczą, może zażądać od operatora wyszukiwarki tego, aby dana informacja, dotycząca jej osobiście – a w tym wypadku chodziło o informacje uzyskane w rezultacie wyszukiwań przeprowadzonych na podstawie konkretnego imienia i nazwiska, nie była już podawana do wiadomości szerokiego kręgu odbiorców poprzez zawarcie jej na liście wyników wyszukiwania.


 

Stan faktyczny

 

Sprawa na której opierał się wyrok dotyczyła skargi obywatela Hiszpanii Mario Costeja Gonzáleza wniesionej do Agencia Española de Protección de Datos przeciwko La Vanguardia Ediciones SL, wydawcy jednego z dzienników, oraz przeciwko spółkom Google Spain i Google Inc.

 

Przedmiotem skargi był fakt, że po wpisaniu i wyszukaniu imienia i nazwiska Mario Costeja Gonzáleza w wyszukiwarce Google na liście wyników pojawiał się link do stron dziennika „La Vanguardia” z ogłoszeniem o licytacji jego nieruchomości za zaległości wobec zakładu zabezpieczeń społecznych – chociaż w tym wypadku kwestia ta została rozwiązana i zakończona kilka lat wcześniej.

 

W związku z tym skarżący domagał się usunięcia informacji ze strony dziennika, a także zobowiązania Google Spain (albo Google Inc.) do usunięcia jego danych osobowych w taki sposób, by nie były one ujawniane w wynikach wyszukiwania i powiązane z linkami do stron dziennika „La Vanguardia”.

 

Finałem sprawy było wydanie przez TSUE wyroku, w którym Trybunał Sprawiedliwości potwierdził stosowanie prawa o ochronie danych do wyszukiwarek oraz stwierdzenie, że użytkownicy mogą wnioskować do operatorów wyszukiwarek (jeżeli warunki określone w art. 12 i 14 dyrektywy 95/46/WE są spełnione), o usunięcie określonych linków do informacji mających wpływ na ich prywatność z wyników wyszukiwania wyświetlanych w rezultacie wyszukiwań przeprowadzonych na podstawie ich imienia i nazwiska.

 

Operatorzy wyszukiwarek jako administratorzy danych

 

Zgodnie z wytycznymi Grupy Roboczej ds. Ochrony Osób Fizycznych w Zakresie Przetwarzania Danych Osobowych (w skrócie: Grupa Robocza Art. 29) dotyczącymi wykonania wyroku TSUE w sprawie „Google Spain i Inc przeciwko Agencia Española de Protección de Datos (AEPD) i Mario Costeja Gonzáles” punktem wyjścia jest przyjęcie, zgodnie z wyrokiem, że operatorzy wyszukiwarek przetwarzają dane w rozumieniu art. 2 dyrektywy 95/46/WE, w związku z czym kwalifikują się jako administratorzy danych w oparciu o powyższą dyrektywę.

 

Podstawę prawną przetwarzania danych w tym wypadku stanowi artykuł 7 lit. f) dyrektywy w sprawie ochrony danych, czyli konieczność przetwarzania dla potrzeb wynikających z uzasadnionego interesu administratora lub stron trzecich, którym dane są ujawniane.

 

Wziąwszy jednak pod uwagę, że operator, w tym wypadku Google Spain SL oraz Google Inc. jest administratorem danych osobowych – ponosi również odpowiedzialność za przetwarzanie takich danych. Z tego też powodu operator wyszukiwarki musi mieć na uwadze, że przetwarzanie danych osobowych może znacząco oddziaływać na prawa podstawowe do poszanowania prywatności i ochrony danych osobowych w sytuacji, gdy przeszukiwanie zasobów internetowych za pomocą tej wyszukiwarki jest prowadzone z punktu wyjścia będącego imieniem i nazwiskiem osoby fizycznej – co miało miejsce w omawianej sprawie. W związku z tym osoby, których dane dotyczą, muszą mieć możliwość realizacji swoich praw zgodnie z postanowieniami dyrektywy 95/46/WE, ale także z postanowieniami praw krajowych ją wdrażających.

 

Z opinii Grupy Roboczej Art. 26 dotyczącej wyroku C-131/12 wynika, że prawa osoby, której dane dotyczą, są co do zasady nadrzędne wobec interesu gospodarczego wyszukiwarki. Nie zmienia to jednak faktu, że wyniki nie powinny być usuwane z listy, jeżeli ważniejszy jest interes publiczny w zakresie dostępu do tych informacji. Jednak warto zwrócić uwagę na to, że nawet gdy określony wynik wyszukiwania jest usuwany z listy, treść na stronie źródłowej jest nadal dostępna, a informacje mogą być nadal dostępne poprzez wyszukiwarkę przy użyciu innych terminów wyszukiwania.

 

Zakres działania

 

Wyrok Trybunału Sprawiedliwości uznaje, że krajowe filie (czyli spółki zależne Google – w tym wypadku Google Spain), w UE są formą prowadzenia działalności gospodarczej spółki oraz że przetwarzanie danych osobowych w wyszukiwarce prowadzone jest przez Google w ramach tych form działalności gospodarczej, co powoduje, że zastosowanie mają przepisy o ochronie danych UE.

 

Co prawda dyrektywa 95/46/WE w sprawie ochrony danych nie zawiera żadnego szczegółowego przepisu dotyczącego odpowiedzialności spółek zależnych administratora mieszczących się na terytorium państw członkowskich, a jedyne odniesienie się do tej kwestii – zawarte w art. 4 ust. 1 lit. a), który stanowi, że „jeżeli ten sam administrator danych prowadzi działalność gospodarczą na terytorium kilku Państw Członkowskich, musi on podjąć niezbędne działania, aby zapewnić, że każde z tych przedsiębiorstw wywiązuje się z obowiązków przewidzianych w odpowiednich przepisach prawa krajowego”.

 

Z wyroku jasno wynika, że operator wyszukiwarki jako administrator, czyli osoba określająca cele i sposoby prowadzenia tej działalności, powinien w ramach spoczywającej na nim odpowiedzialności zapewnić, żeby działalność ta spełnia określone w dyrektywie 95/46/WE wymogi tak, aby przewidziane w niej gwarancje były w pełni skuteczne i aby można było rzeczywiście zrealizować jej cel polegający na zapewnieniu skutecznej i pełnej ochrony objętych nią osób, w szczególności w odniesieniu do ich prawa do poszanowania ich prywatności.

 

W opinii Grupy Roboczej Art. 29 odpowiednia implementacja wyroku musi być dokonana w taki sposób, aby skutecznie chronić osoby, których dane dotyczą, przed wpływem, jaki wywołuje rozpowszechnianie danych osobowych oferowanych przez wyszukiwarki i powszechny dostęp do tych danych, szczególnie gdy wyszukiwanie dokonywane jest na podstawie nazwisk osób.

 

 

pdf

Wytyczne dotyczące wykonania wyroku Trybunału Sprawiedliwości Unii Europejskiej w sprawie „Google Spain i Inc przeciwko Agencia Española de Protección de Datos (AEPD) i Mario Costeja Gonzáles” C-131/12

Pobierz plik [305.02 KB]
Pojęcie konieczności i proporcjonalności oraz ochrony danych w sektorze egzekwowania prawa – na tle opinii Grupy Roboczej Art. 29
Pojęcie konieczności i proporcjonalności oraz ochrony danych w sektorze egzekwowania prawa – na tle opinii Grupy Roboczej Art. 29
Zagrożenia wypływające z cloud computingu – na tle opinii Grupy Roboczej Art. 29
Zagrożenia wypływające z cloud computingu – na tle opinii Grupy Roboczej Art. 29
Prawnie uzasadnione interesy administratora danych na mocy artykułu 7 dyrektywy 95/46/WE – na tle opinii Grupy Roboczej Art. 29
Prawnie uzasadnione interesy administratora danych na mocy artykułu 7 dyrektywy 95/46/WE – na tle opinii Grupy Roboczej Art. 29