Google odpowiedzialne za przetwarzanie danych osobowych publikowanych przez osoby trzecie

Odpowiadając na pytanie prejudycjalne w sprawie C-131/12 - Google Spain i Google (Komunikat prasowy) Trybunał Sprawiedliwości stwierdził, że "operator wyszukiwarki internetowej przeszukując Internet w zautomatyzowany, stały i systematyczny sposób w poszukiwaniu opublikowanych w nim informacji „gromadzi” takie dane w rozumieniu dyrektywy [w sprawie ochrony danych]" co w powiązaniu z innymi czynnościami pozwala stwierdzić, że w efekcie operacje należy uznać za „przetwarzanie”, nawet jeżeli informacje zostały opublikowane przez podmiot trzeci. Tym samym, wbrew stanowisku Rzecznika Generalnego Niilo Jaaskinen w zakresie statusu prawnego dostawcy usług (zobacz nasz post tutaj), operator wyszukiwarki jest administratorem danych w rozumieniu Dyrektywy.

W kwestii się do terytorialnego zakresu stosowania unijnych regulacji w zakresie danych osobowych tj. relacji między Google Spain, prowadzącym działalność reklamową, a mającym siedzibę w państwie  trzecim Google Inc. świadczącym usługi wyszukiwania, zgodnie z sugestią Rzecznika uwzględnienia modelu biznesowego, przetwarzanie danych uznano za realizowane „w kontekście prowadzenia działalności gospodarczej w rozumieniu dyrektywy, jeśli ma ona na celu zapewnienie w tym państwie członkowskim promocji i sprzedaży powierzchni reklamowych oferowanych przez wyszukiwarkę mających zapewniać rentowność oferowanej przez tą wyszukiwarkę usługi". 

Odnosząc się do pytań dotyczących odpowiedzialności prawnej operatora Trybunał uznał, że operator wyszukiwarki może być zobowiązany do usunięcia  z listy wyników wyszukiwania "mającego za punkt wyjścia imię i nazwisko danej osoby linków do publikowanych przez osoby trzecie stron internetowych zawierających dotyczące tej osoby informacje. Trybunał wyjaśnił, że jest on do tego zobowiązany również w przypadku, gdy te imię czy nazwisko czy też te informacje nie zostały uprzednio czy też jednocześnie usunięte z tych stron internetowych i, w odpowiednim przypadku, nawet jeśli ich publikacja na tych stronach jest zgodna z prawem". Zarazem sędziowie podkreślili konieczność zachowania równowagi między jednostkowym prawem do ochrony życia prywatnego a prawem internautów do dostępu do informacji.

Wreszcie badając prawo do bycia zapomnianym Trybunał stwierdził, że "jeżeli po rozpatrzeniu wniosku złożonego przez osobę, której dotyczą dane, zostanie stwierdzone, iż zawarcie na tej liście wyników wyszukiwania tych linków jest, w aktualnym stanie rzeczy, niezgodne z dyrektywą, należy usunąć z tej listy wyników wyszukiwania te informacje i prowadzące do nich linki", nawet jeżeli udostępnianie takich informacji było uprzednio dopuszczalne. W takiej sytuacji osoba, której dane opublikowano, może się zwrócić do administratora danych z żądaniem ich usunięcia, a gdyby ten się doń nie zastosował dochodzić swoich praw na drodze sądowej lub administracyjnej.

Jak podkreśla FT (Google loses landmark case over data privacy in Europe) orzeczenie jest przełomowe dla koncernów ICT, które będą odtąd ponosić odpowiedzialność prawną za przetwarzanie danych osobowych niezależnie do stopnia automatyzacji procesu. 

Jest to zarazem kolejna w ostatnich dniach sądowa porażka dla Google, po tym jak w ubiegłym tygodniu amerykański sąd apelacyjny uchylił korzystny dla spółki wyrok w sporze z Oracle o naruszenie praw własności intelektualnej konkurenta.

Zobacz także:

• nasz post dotyczący kontrowersyjnej ugody między Google a Komisją ws. naruszenia unijnych zasad konkurencji,
• post nt. postępowania przeciwko spółce przed Commission nationale de l’informatique et des libertés, w którym Google odmówiło współpracy z administracją francuską (CNIL, Google : failure to comply before deadline set in the enforcement notice), co zakończyło się nałożeniem na spółkę grzywny w rekordowej wysokości 150'000 euro (CNIL, The CNIL's Sanctions Committee issues a 150 000 € monetary penalty to GOOGLE Inc).