A skoro wczoraj było o tym, że ocznie i manualnie zindeksowałem swój własny tekst w portalu „Gazety Prawnej”, to dziś czas na kilka akapitów o świeżym wyroku TSUE, w którym stwierdzono oczywistą oczywistość — czyli że przetwarzanie danych wrażliwych przez wyszukiwarki internetowe podlega wymogom RODO, w konsekwencji czego Google ma obowiązek sprawdzać czy linki do archiwalnych informacji nadal są legalne z punktu widzenia RODO.
wyrok Trybunału Sprawiedliwości EU z 24 września 2019 r. w sprawie CNIL/Google (C-136/17)
1) Zakaz lub ograniczenia przetwarzania szczególnych kategorii danych osobowych, o których mowa w tych przepisach, mają zastosowanie również do operatora wyszukiwarki.
2) Operator wyszukiwarki jest co do zasady zobowiązany do uwzględniania żądań usunięcia linków prowadzących do stron internetowych zawierających dane osobowe należące do szczególnych kategorii danych.
Operator może odmówić uwzględnienia żądania usunięcia linków, jeżeli stwierdzi, że rozpatrywane linki prowadzą do treści zawierających dane osobowe należące do szczególnych kategorii danych, lecz których przetwarzanie jest objęte jednym z wyjątków, pod warunkiem że przetwarzanie to spełnia wszystkie inne warunki zgodności przetwarzania z prawem ustanowione w niniejszej dyrektywie i o ile osoba, której dane dotyczą nie sprzeciwi się takiemu przetwarzaniu z ważnych i uzasadnionych przyczyn związanych z jej szczególną sytuacją.
Wydane w trybie prejudycjalnym wydano w sprawie czterech obywateli francuskich, którzy wezwali Google do usunięcia z wyników wyszukiwania odnośników do informacji, które dotyczyły tych osób (do satyrycznego fotomontażu na YT, w którym sugerowano, że kobieta ma romans z burmistrzem, którego była podwładną; do artykułu prasowego, w którym sugerowano powiązanie z samobójstwem członka kościoła scjentologicznego; do tekstu, w którym pisano o wszczęciu postępowania w/s nielegalnego finansowania partii politycznej (postępowanie umorzono, ale większość linków prowadzi do informacji o jego podjęciu); informacji o skazaniu na więzienie za napaści na tle seksualne na osoby małoletnie).
art. 9 ust. 1 rozporządzenia 2016/679
Przetwarzanie szczególnych kategorii danych osobowych
Zabrania się przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby.
Google odmówiła usunięcia zakwestionowanych danych z wyszukiwarki, zatem osoby złożyły skargi do CNIL (francuskiego GIODO/PUODO), jednak organ odmówił wezwania Google do usunięcia linków; sprawa trafiła do Conseil d’État, która znów zwróciła się do TSUE z pytaniami dotyczącymi roli wyszukiwarek internetowych jako administratorów danych osobowych.
TSUE (sentencja orzeczenia jest bardzo rozbudowana, więc pozwoliłem ją sobie mocno skompresować) stwierdził, że:
- przepisy o przetwarzaniu szczególnych kategorii danych osobowych (tzw. danych wrażliwych) odnoszą się także do operatorów wyszukiwarek, które lokalizują, indeksują, czasowo przechowują i udostępniają informacje w internecie — a zatem przetwarzają dane osobowe (jeśli te informacje dotyczą danych osobowych). Efektem takich zabiegów będzie, jeśli punktem wyjścia jest imię i nazwisko osoby, ustrukturyzowany przegląd informacji dotyczących tej osoby, który umożliwia sporządzenie jej profilu (wyrok TSUE z 13 maja 2014 r., Google Spain i Google, C‑131/12);
art. 10 rozporządzenia 2016/679
Przetwarzanie danych osobowych dotyczących wyroków skazujących i czynów zabronionych
Przetwarzania danych osobowych dotyczących wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa na podstawie art. 6 ust. 1 wolno dokonywać wyłącznie pod nadzorem władz publicznych lub jeżeli przetwarzanie jest dozwolone prawem Unii lub prawem państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw i wolności osób, których dane dotyczą. Wszelkie kompletne rejestry wyroków skazujących są prowadzone wyłącznie pod nadzorem władz publicznych.
- oznacza to, że operator wyszukiwarki musi spełniać prawne wymogi dotyczące przetwarzania wrażliwych danych osobowych, które podlega szczególnym obostrzeniom, a to ze względu na szczególne ryzyko ingerencji w prywatność jednostki (orzeczenie dotyczy dyrektywy 95/46, ale treść tych przepisów została, „po wprowadzeniu kilku zmian, powielona w art. 9 ust. 1 i art. 10 rozporządzenia 2016/679„);
- wyszukiwarka oczywiście nie jest „źródłem danych”, więc nie ponosi odpowiedzialności za to, że informacje zostały udostępnione na jakiejś stronie internetowej — ale może ponosić odpowiedzialność za odesłanie do takiej strony w wynikach wyszukiwania dla frazy obejmującej imię i nazwisko człowieka (por. art. 17 RODO);
- z tego względu Google ma także obowiązek usuwania linków prowadzących do wrażliwych danych osobowych, nawet jeśli informacje te nie zostały usunięte z docelowej strony internetowej i nawet jeśli ich publikacja jest zgodna z prawem. Nie może bowiem budzić wątpliwości, że każdemu przysługuje prawo do zapomnienia — żądania, by konkretna informacja nie była już powiązana z jej imieniem i nazwiskiem;
- prawo do zapomnienia nie jest prawem bezwzględnym, zaś uprawnienie do przetwarzania danych wrażliwych może wynikać m.in. ze szczególnych powodów wynikających z prawa do informacji (np. roli jaką dana osoba nadal odgrywa w życiu publicznym — wówczas ingerencja w jej prawa podstawowe jest uzasadniona nadrzędnym interesem odbiorców tych informacji) lub też dane zostały upublicznione przez tę osobę, albo też za zgodą tej osoby (przy czym żądanie usunięcia danych można interpretować jako cofnięcie ewentualnej zgody);
- danymi osobowymi szczególnej kategorii są także informacje o postawieniu w stan oskarżenia i relacjach z procesu, a także o wydanym wyroku, niezależnie od tego czy faktycznie stwierdzono popełnienie przestępstwa przez tę osobę („wyroków skazujących oraz czynów zabronionych” w rozumieniu art. 10 RODO) — reguła ta odnosi się także do przetwarzania danych osobowych przez wyszukiwarki;
- należy też pamiętać, że nawet początkowo zgodne z prawem przetwarzanie danych osobowych może stać się nielegalne wraz z upływem czasu — na przykład jeśli ich przetwarzanie nie jest niezbędne dla realizacji celu, dla którego zostały zgromadzone, np. niewłaściwie, niestosowne lub nadmierne w stosunku do celu lub ze względu na upływ czasu;
- z tego względu operator wyszukiwarki ma obowiązek sprawdzać czy wyniki wyszukiwania nadal odpowiadają ważnym interesom społecznym jako podstawie legalizującej przetwarzanie danych osobowych (art. 9 ust. 2 lit. g RODO), czyli czy możliwość wyszukania określonych informacji w odpowiedzi na zapytanie obejmujące imię i nazwisko osoby jest chronione prawem do informacji;
- niezależnie od tego, nawet się okaże, że taki interes nadal przeważa nad prawem do prywatności jednostki, to na żądanie zainteresowanej osoby Google powinno uporządkować listę wyników, w taki sposób, by ich układ odzwierciedlał aktualną sytuację prawną — czyli świeższe informacje powinny być na pierwszym miejscu na liście wyników.
Bardzo ciekawe, głównie przez to, że chociaż orzeczenie tyczy się tego jak powinno wyglądać przetwarzanie danych wrażliwych przez wyszukiwarki, to oczywiście uwagi te odnoszą się do wszystkich administratorów.