Google zelf verantwoordelijk voor naleving EU-richtlijn persoongegevens

Het gaat om het arrest van het EU-Hof (Grote Kamer) van 12 mei 2014 in zaak C-131/12, Google Spain SL, Google Inc / Agencia Española de Protección de Datos, en G.

In 2010 heeft G, Spaans staatsburger, bij de Agencia Española de Protección de Datos (Spaans agentschap voor de gegevensbescherming, AEPD) een klacht ingediend tegen La Vanguardia Ediciones SL (uitgeefster van een dagblad met grote oplage in met name de regio Catalonië) en tegen Google Spain en Google Inc. G betoogde dat wanneer een internetgebruiker zijn naam in de zoekmachine van het Googleconcern („Google Search”) invoerde, de resultatenlijst koppelingen weergaf naar twee pagina’s van het dagblad La Vanguardia van respectievelijk januari en maart 1998. In deze pagina’s werd met name een verkoop per opbod van gebouwen aangekondigd die was georganiseerd na een beslag ter terugvordering van de door G verschuldigde socialezekerheidsschulden.

Met deze klacht verzocht G ten eerste dat La Vanguardia zou worden gelast hetzij de betrokken pagina’s te verwijderen of te wijzigen (zodat zijn persoonsgegevens niet langer zichtbaar zouden zijn), hetzij deze gegevens te beschermen via bepaalde door de zoekmachines geboden instrumenten. Ten tweede verzocht G dat Google Spain of Google Inc zouden worden gelast zijn persoonsgegevens te verwijderen of te maskeren zodat deze van de resultatenlijsten en van de koppelingen van La Vanguardia zouden verdwijnen. In die context stelde G dat het ten aanzien van hem toegepaste beslag sedert meerdere jaren volledig was afgehandeld en dat de vermelding ervan thans elke relevantie had verloren.

De AEPD heeft de klacht tegen La Vanguardia afgewezen,  maar de tegen Google Spain en Google Inc ingediende klacht gegrond verklaard. De AEPD heeft deze twee ondernemingen verzocht om de noodzakelijke maatregelen te nemen om de gegevens van hun index te verwijderen en de toegang daartoe voor de toekomst onmogelijk te maken. Google Spain en Google Inc hebben tegen deze beslissing afzonderlijk beroep ingesteld bij de Audiencia Nacional (Spanje) waarbij zij de nietigverklaring van het besluit van de AEPD hebben gevorderd. Daarop heeft de Spaanse rechter het Hof van Justitie een reeks vragen voorgelegd over EU-richtlijn 95/46/EG betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens.

Het Hof stelt allereerst vast dat door geautomatiseerd, onophoudelijk en systematisch op het internet te zoeken naar aldaar gepubliceerde informatie, de exploitant van een zoekmachine gegevens „verzamelt” in de zin van de EU-richtlijn. Het Hof is bovendien van oordeel dat de exploitant deze gegevens „opvraagt”, „vastlegt” en „ordent” in het kader van zijn indexeringsprogramma’s voordat hij ze „bewaart” op zijn servers en ze in voorkomend geval „verstrekt aan” en „ter beschikking stelt van” zijn gebruikers in de vorm van resultatenlijsten. Deze verrichtingen, die uitdrukkelijk en onvoorwaardelijk in de richtlijn worden vermeld, moeten als „verwerking” worden gekwalificeerd, ongeacht de omstandigheid dat de exploitant van de zoekmachine deze verrichtingen ongewijzigd op andere informatie dan persoonsgegevens toepast. Het Hof brengt bovendien in herinnering dat de door de richtlijn beoogde verrichtingen als verwerking moeten worden gekwalificeerd, zelfs wanneer zij uitsluitend informatie betreffen die reeds als zodanig in de media is gepubliceerd. Bij een algemene afwijking van de toepassing van de richtlijn in een dergelijke hypothese zou deze richtlijn grotendeels zinloos worden.

Bovendien oordeelt het Hof dat de exploitant van de zoekmachine de voor deze verwerking „verantwoordelijke” is, in de zin van de richtlijn, aangezien hij het doel en de middelen van deze verwerking vaststelt. Het Hof merkt in dit verband op dat, aangezien de activiteit van een zoekmachine bovenop de activiteit van webredacteurs komt en de grondrechten op privéleven en op bescherming van persoonsgegevens aanzienlijk kan aantasten, de exploitant van een zoekmachine in het kader van zijn verantwoordelijkheden, zijn bevoegdheden en zijn mogelijkheden moet verzekeren dat zijn activiteit voldoet aan de vereisten van de richtlijn. Enkel op die wijze kunnen de in de richtlijn vervatte waarborgen hun volle werking krijgen en kan een doelmatige en volledige bescherming van de betrokkenen (en met name van hun privéleven) daadwerkelijk tot stand worden gebracht.

Over de territoriale werkingssfeer van de richtlijn merkt het Hof op dat Google Spain een dochteronderneming van Google Inc op het Spaanse grondgebied vormt en, derhalve, een „vestiging” in de zin van de richtlijn. Het Hof verwerpt het argument dat Google Search de persoonsgegevens niet in het kader van de activiteiten van deze Spaanse vestiging verwerkt. Het Hof is in dit verband van oordeel dat wanneer dergelijke gegevens worden verwerkt ten behoeve van een zoekmachine die wordt geëxploiteerd door een onderneming die, hoewel zij in een derde land is gevestigd, een vestiging in een lidstaat heeft, de verwerking is verricht „in het kader van de activiteiten” van deze vestiging, in de zin van de richtlijn, indien die vestiging is bestemd om in de betrokken lidstaat de promotie en de verkoop te verzekeren van door de zoekmachine aangeboden advertentieruimte teneinde de door deze machine aangeboden dienst rendabel te maken.

Wat vervolgens de omvang van de verantwoordelijkheid van de exploitant van de zoekmachine betreft, stelt het Hof vast dat deze exploitant onder bepaalde voorwaarden verplicht is om van de resultatenlijst die na een zoekopdracht op de naam van een persoon wordt weergegeven, koppelingen te verwijderen naar door derden gepubliceerde webpagina’s waarop informatie over deze persoon is te vinden. Het Hof preciseert dat de exploitant van de zoekmachine daartoe ook kan verplicht zijn indien deze naam of deze informatie niet vooraf of gelijktijdig van deze webpagina’s is gewist en, in voorkomend geval, zelfs wanneer de publicatie ervan op deze webpagina’s op zich rechtmatig is.

Het Hof benadrukt in deze context dat een door een dergelijke exploitant verrichte verwerking van persoonsgegevens elke internetgebruiker in staat stelt om, wanneer hij op de naam van een natuurlijke persoon zoekt, via de resultatenlijst een gestructureerd overzicht te krijgen van de over deze persoon op het internet beschikbare informatie. Het Hof merkt bovendien op dat deze informatie potentieel betrekking heeft op tal van aspecten van het privéleven, die zonder de zoekmachine niet of slechts zeer moeilijk met elkaar in verband hadden kunnen worden gebracht. De internetgebruikers kunnen aldus een min of meer gedetailleerd profiel opstellen van de personen waarop is gezocht. Overigens is de inmenging in de rechten van de betrokkene des te groter door de belangrijke rol van internet en zoekmachines in de moderne samenleving, waardoor de informatie in de resultatenlijsten overal beschikbaar wordt. Gelet op de potentiële ernst van een dergelijke inmenging, kan zij volgens het Hof niet worden gerechtvaardigd door louter het economisch belang van de exploitant van de zoekmachine bij de gegevensverwerking.

Het Hof stelt echter vast dat, voor zover de verwijdering van koppelingen uit de resultatenlijst, naargelang van de betrokken informatie, gevolgen kan hebben voor het gerechtvaardigde belang van internetgebruikers die potentieel toegang tot de betrokken informatie willen krijgen, naar een juist evenwicht moet worden gezocht tussen met name dit belang en de grondrechten van de betrokkene, in het bijzonder het recht op eerbiediging van het privéleven en het recht op bescherming van persoonsgegevens. Het Hof merkt in dit verband op dat de rechten van de betrokkene in de regel weliswaar tevens voorrang hebben op dit belang van de internetgebruikers, maar dat dit evenwicht echter in bijzondere gevallen kan afhangen van de aard van de betrokken informatie en de gevoeligheid ervan voor het privéleven van de betrokkene en van het belang dat het publiek erbij heeft om over deze informatie te beschikken, wat met name wordt bepaald door de rol die deze persoon in het openbare leven speelt.

Tot slot behandelt het Hof de vraag of de betrokkene op grond van de richtlijn kan verlangen dat koppelingen naar webpagina’s van een dergelijke resultatenlijst worden verwijderd omdat hij wenst dat de daarop over hem beschikbare informatie na zekere tijd wordt „vergeten”. Het Hof merkt op dat indien na een verzoek van de betrokkene is vastgesteld dat de opneming van deze koppelingen in de resultatenlijst op dat moment onverenigbaar is geworden met de richtlijn, de in deze lijst weergegeven informatie en koppelingen moeten worden gewist. Het Hof merkt in dit verband op dat het mogelijk is dat zelfs een aanvankelijk rechtmatige verwerking van juiste gegevens na verloop van tijd niet langer met deze richtlijn verenigbaar is wanneer, gelet op het geheel van de omstandigheden van de concrete zaak, deze gegevens ontoereikend, niet of niet meer ter zake dienend of bovenmatig zijn ten aanzien van het doel waarvoor zij zijn verwerkt en de verstreken tijd. Het Hof voegt daaraan toe dat in het kader van de beoordeling van een dergelijk verzoek dat is ingediend door de betrokkene ten aanzien van de door de exploitant van een zoekmachine verrichte verwerking, met name moet worden onderzocht of deze persoon recht erop heeft dat de betrokken informatie over hem thans niet meer met zijn naam wordt verbonden via een resultatenlijst die wordt weergegeven nadat op zijn naam is gezocht. Indien dit het geval is, moeten de koppelingen naar de webpagina’s die deze informatie bevatten van deze resultatenlijst worden verwijderd, tenzij er bijzondere redenen zijn, zoals de rol die deze persoon in het openbare leven speelt, die een overwegend belang van het publiek rechtvaardigen om in het kader van een dergelijke zoekopdracht toegang tot deze informatie te krijgen.

Het Hof preciseert dat de betrokkene dergelijke verzoeken rechtstreeks aan de exploitant van de zoekmachine kan richten, die vervolgens naar behoren de gegrondheid van deze verzoeken moet onderzoeken. Wanneer de voor de verwerking verantwoordelijke aan deze verzoeken geen gevolg geeft, kan de betrokkene een verzoek indienen bij de toezichthoudende autoriteit of de rechter, zodat zij de nodige controles uitvoeren en naar aanleiding daarvan deze verantwoordelijke nauwkeurige maatregelen opleggen.