Przetwarzanie danych wrażliwych przez operatorów wyszukiwarek internetowych
Trybunał Sprawiedliwości Unii Europejskiej orzekł, że operatorzy wyszukiwarek internetowych podlegają zakazowi przetwarzania danych wrażliwych, nawet jeśli dane te znajdują się na stronach osób trzecich. Decyzja ta dotyczyła skarg złożonych w związku z wyświetlaniem linków prowadzących do stron zawierających dane wrażliwe, takie jak fotomontaże czy informacje o postępowaniach sądowych.
Tematyka: TSUE, operatorzy wyszukiwarek internetowych, dane wrażliwe, linki, usunięcie linków, przetwarzanie danych osobowych, wyroki sądowe, RODO
Trybunał Sprawiedliwości Unii Europejskiej orzekł, że operatorzy wyszukiwarek internetowych podlegają zakazowi przetwarzania danych wrażliwych, nawet jeśli dane te znajdują się na stronach osób trzecich. Decyzja ta dotyczyła skarg złożonych w związku z wyświetlaniem linków prowadzących do stron zawierających dane wrażliwe, takie jak fotomontaże czy informacje o postępowaniach sądowych.
Trybunał Sprawiedliwości Unii Europejskiej orzekł, że zakaz lub ograniczenie przetwarzania szczególnych kategorii danych osobowych (wrażliwych) dotyczy również operatora wyszukiwarki internetowej w zakresie zobowiązań, kompetencji i możliwości, jako administratora danych. Odpowiedzialność operatora wyszukiwarki istnieje nie za to, że dane wrażliwe zostały zamieszczone na stronie internetowej udostępnianej przez osobę trzecią, ale za odsyłanie do tej strony, a w szczególności za wyświetlanie linku do niej na udostępnionej internautom liście wyników wyszukiwania, którego punktem wyjścia jest imię i nazwisko danej osoby fizycznej. Stan faktyczny G.C., A.F., B.H. i E.D. złożyli skargi do Conseil d’État (rada stanu, Francja) przeciwko Commission nationale de l’informatique et des libertés (CNIL – Francja) na decyzje o odmowie wezwania spółki Google do usunięcia linków zamieszczonych na wyświetlanej liście wyników wyszukiwania, mającego za punkt wyjścia imię i nazwisko. Linki kierują do stron internetowych prowadzonych przez osoby trzecie i zawierają: opublikowany pod pseudonimem satyryczny fotomontaż dotyczący polityka, artykuły wymieniające skarżącego jako osobę odpowiedzialną za tworzenie wizerunku kościoła scjentologicznego oraz artykuły na temat postępowania sądowego prowadzonego przeciwko politykowi oraz skazanie innego zainteresowanego za napaści. Pytanie prejudycjalne Conseil d’État zwróciła się z pytaniami prejudycjalnymi do Trybunału Sprawiedliwości, przez które dąży do ustalenia czy zakaz, ograniczenia dotyczące przetwarzania szczególnych kategorii danych (wrażliwych) mają zastosowanie (z zastrzeżeniem wyjątków przewidzianych w prawie) również do operatora wyszukiwarki internetowej w ramach jego zobowiązań, kompetencji oraz możliwości jako administratora danych. W dalszej kolejności, czy jest on zobowiązany do uwzględnienia żądania usunięcia linków prowadzących do stron internetowych zawierających dane wrażliwe, czy i kiedy może odmówić uwzględnienia tego żądania. Wreszcie do ustalenia, czy informacje o postępowaniu sądowym dotyczącym osoby fizycznej oraz informacje o wyroku skazującym stanowią dane dotyczące „przestępstw (czynów zabronionych)” i „wyroków skazujących” i czy operator wyszukiwarki jest zobowiązany do uwzględnienia żądania usunięcia linków, które prowadzą do stron internetowych zawierających takie informacje, jeżeli dotyczą one wcześniejszego etapu rozpatrywanego postępowania sądowego i nie odpowiadają już – biorąc pod uwagę jego przebieg – aktualnej sytuacji. Stanowisko Trybunału Trybunał zbadał pytania pod kątem dyrektywy Nr 96/46/WE Parlamentu Europejskiego i Rady z 24.10.1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz. Urz. L z 1995 r. Nr 281, s. 31; dalej jako: dyrektywa 95/46) oraz rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.4.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46 (Dz. Urz. L z 2016 r. Nr 119, s. 1 ze zm.; dalej jako: RODO), pomimo tego, że pytania dotyczą jedynie wykładni przepisów dyrektywy 95/46. Zakaz przetwarzania danych wrażliwych przez operatora wyszukiwarki internetowej Trybunał wskazał, że p rzetwarzanie danych osobowych przez wydawców stron internetowych polega zasadniczo na zamieszczeniu danych osobowych na stronie internetowej. Przetwarzanie przez operatora wyszukiwarki internetowej ma względem przetwarzania przez wydawcę strony dodatkowy charakter. Dokonywane przez wyszukiwarki internetowe porządkowanie i łączenie w poszczególne całości publikowanych w internecie informacji może prowadzić do tego, że użytkownicy otrzymają w postaci listy wyników wyszukiwania, przegląd informacji dotyczący tej osoby, który umożliwia im sporządzenie jej profilu. Dyrektywa 95/46 (art. 8 ust. 1, 2, 5) i RODO (art. 9 ust. 1 i art. 10) wyraża zakaz przetwarzania danych wrażliwych z określeniem pewnych odstępstw i wyjątków. Zakaz oraz ograniczenia dotyczące przetwarzania szczególnych kategorii danych mają zastosowanie do wszystkich administratorów dokonujących takiego przetwarzania. Szczególne cechy przetwarzania przez operatora wyszukiwarki nie uzasadniają zwolnienia go z obowiązku przestrzegania zasad przetwarzania takich danych, ale mogą wpływać na zakres odpowiedzialności operatora i konkretnych obowiązków spoczywających na nim w świetle tych przepisów. W zakresie powyższej odpowiedzialności, Trybunał wskazał, że operator wyszukiwarki odpowiada nie za to, że dane osobowe objęte tymi przepisami znajdują się na stronie internetowej opublikowanej przez osobę trzecią, ale za odesłanie do tej strony, a w szczególności za wyświetlenie linku do niej na udostępnianej internautom liście wyników wyszukiwania, którego punktem wyjścia jest imię i nazwisko danej osoby fizycznej. W konsekwencji Trybunał uznał, że zakazy i ograniczenia dotyczące szczególnych kategorii danych osobowych (art. 8 ust. 1 i 5 dyrektywy 95/46 i art. 10 RODO) mają zastosowanie do operatora wyszukiwarki internetowej, ale tylko w zakresie odesłania do stron internetowych, w rezultacie kontroli przeprowadzonych pod nadzorem właściwych organów krajowych po wniesieniu żądania przez osobę, której dane dotyczą. Obowiązek usunięcia linków i okoliczności uzasadniające odmowę Formułując swoje stanowisko Trybunał wskazał, że przepisy dyrektywy 95/46 i RODO należy interpretować w ten sposób, iż operator wyszukiwarki internetowej co do zasady jest zobowiązany do uwzględnienia żądań usunięcia linków prowadzących do stron internetowych zawierające dane osobowe wrażliwe. Operator wyszukiwarki internetowej może odmówić żądaniu usunięcia linków, jeżeli stwierdzi, że prowadzą one do treści zawierających dane osobowe wrażliwe, których przetwarzanie jest objęte jednym wyjątków przewidzianych w prawie, a zatem dopuszczalne. Te wyjątki to: wyraźna zgoda na przetwarzanie takich danych (chyba że ustawodawstwo danego państwa członkowskiego zabrania takiego wyrażenia zgody), przetwarzanie dotyczy danych podanych do wiadomości publicznej, niezbędność ujawnienia z uwagi na ważny interes publiczny, pod warunkiem jednak, że przetwarzanie to spełnia wszystkie inne warunki zgodności przetwarzania z prawem ustanowione w dyrektywie i jeżeli osoba której dane dotyczą nie sprzeciwi się takiemu przetwarzaniu danych wrażliwych z ważnych i uzasadnionych przyczyn związanych z jej szczególną sytuacją (art. 8 ust. 2 lit. a, e; art. 8 ust. 4 dyrektywy 95/46 i art. 9 ust. 2 lit. a, e, g RODO). Gdy do operatora wyszukiwarki wpłynie żądanie usunięcia linków do strony internetowej, na której są publikowane dane wrażliwe to operator wyszukiwarki jest zobowiązany do dokonania uprzedniej analizy, czy osoba której dane dotyczą, ma prawo do tego, aby konkretna dotycząca jej informacja nie była już w aktualnym stanie rzeczy powiązana z jej imieniem i nazwiskiem przez listę wyświetlającą wyniki wyszukiwania mającego za punkt wyjścia to imię i nazwisko. Uznanie prawa osoby do usunięcia linku pozostaje bez związku z tym, czy zawarcia na tej liście wyników wyszukiwania danej informacji wyrządza szkodę tej osobie. Informacje dotyczące postępowania sądowego i wyroków skazujących Trybunał wskazał, że informacje dotyczące postępowania sądowego prowadzonego przeciwko osobie fizycznej (postawienie w stan oskarżenia, relacjonujące proces oraz w stosownych wypadkach wyrok skazujący jaki w nim zapadał), stanowią dane dotyczące „przestępstw (czynów zabronionych)” i „wyroków skazujących” w rozumieniu art. 8 ust. 5 dyrektywy 95/46 i art. 10 RODO. Jest tak niezależnie do faktu, czy w toku tego postępowania sądowego faktycznie stwierdzono popełnienie przestępstwa (czynu zabronionego), za które dana osoba była ścigana. Przetwarzanie takich danych podlega szczególnym ograniczeniom. Warunki zgodności z prawem przetwarzania takich danych to: ustanowienie w przepisach prawa krajowego odpowiednich i określonych środków zabezpieczających np. podanie tych informacji do wiadomości publicznej przez władze publiczne zgodnie z prawem krajowym. Odbywa się to pod kontrolą władz publicznych. Trybunał wskazał, że odnośnie zgodności z prawem przetwarzania takich danych, to nawet początkowo zgodne z prawem przetwarzanie może z upływem czasu stać się niezgodne z prawem. Jest tak, jeżeli te dane nie są już potrzebne do realizacji celów, ze względu na które były gromadzone i przetwarzane. W zakresie stron internetowych zawierających informacje dotyczące postępowania sądowego w sprawie karnej przeciwko danej osobie, które odnoszą się do wcześniejszego etapu takiego postępowania i nie odpowiadają już aktualnej sytuacji, to do operatora wyszukiwarki internetowej należy ocena, czy osoba ta jest uprawniona, aby rozpatrywane informacje nie były już aktualnie związane z jej imieniem i nazwiskiem za pomocą listy wyników wyszukiwania mającego za początek jej imię i nazwisko. Operator wyszukiwarki internetowej dokonuje tej oceny w ramach rozpatrywania żądania usunięcia linków do stron internetowych zawierających wskazane wyżej informacje i czyni to, biorąc pod uwagę wszystkie okoliczności sprawy (w szczególności charakter i waga przestępstwa, przebieg i wynik postępowania, czas jaki upłynął, rolę odgrywaną przez tę osobę w życiu publicznym i jej zachowanie w przeszłości, interes publiczny istniejący w chwili skierowania żądania, treść i formę publikacji oraz skutki tej publikacji dla tej osoby). Trybunał wskazał, ze nawet jeśli operator wyszukiwarki internetowej po dokonaniu wspomnianej analizy stwierdzi, że nie uwzględni żądania usunięcia linku, to jest on zobowiązany, najpóźniej w momencie skierowania żądania usunięcia linków, do uporządkowania listy wyników w taki sposób, aby wynikający z niej dla internauty ogólny obraz odzwierciedlał aktualną sytuację prawną, co wymaga w szczególności aby linki do stron internetowych zawierających informacje na ten temat znajdowały się na pierwszym miejscu na tej liście. TSUE w wyroku z 24.9.2019 r. (C-136/17) wskazał, że zakaz i ograniczenia w przetwarzaniu danych osobowych wrażliwych mają zastosowanie do operatora wyszukiwarki internetowej jako administratora. Wyjaśnił obowiązki operatora w ramach rozpatrywania żądania usunięcia linków do stron zawierających dane wrażliwe i informacje dotyczące postępowania sądowego i wyroków skazujących. Wskazał, że operator ma obowiązek uwzględnić takie żądanie, chyba że zachodzą wskazane w przepisach odstępstwa. W wyroku wskazano kryteria oceny przez operatora żądania usunięcia linków, gdy przepisy pozwalają na takie przetwarzanie. Wyrok TSUE z 24.9.2019 r., C-136/17, GC, AF, BH, ED/ Commission nationale de l’informatique et des libertés
Trybunał wskazał, że operatorzy wyszukiwarek internetowych mają obowiązek usuwać linki prowadzące do stron zawierających dane osobowe wrażliwe, chyba że istnieją wyjątki przewidziane w prawie. Decyzja TSUE nakłada na operatorów obowiązek analizy żądań usunięcia linków i uwzględnienia ich zgodnie z przepisami prawa.