Google ansvarig för personuppgifter

EU-domstolen kom nyligen med ett uppmärksammat och principiellt intressant avgörande rörande sökmotorn Google i Spanien. De fann att en sökmotorleverantör är personuppgiftsansvarig enligt EU:s dataskyddsdirektiv (95/46/EG). Det innebär exempelvis att sökmotorer kan vara skyldiga att avlägsna sökträffar som relaterar till enskilda individer. Domen väntas även få betydelse för andra digitala tjänster.

EU-domstolen fann att sökmotorleverantören – genom att automatiskt, konstant och systematiskt söka efter information som publicerats på internet – ”insamlar” sådana uppgifter och sedan ”återvinner”, ”registrerar” och ”organiserar” dem i indexeringsprogram. Sedan ”lagrar” de dem på sina servrar och, i förekommande fall, ”utlämnar” och ”tillhandahåller” dem till sina användare i form av förteckningar över sökresultat. Dessa åtgärder är uttryckligen och ovillkorligen angivna i EU:s dataskyddsdirektiv och utgjorde därför ”behandling” i den mening som avses i direktivet. Det spelade ingen roll att aktuella uppgifter redan hade publicerats på internet och att dessa inte ändrades av sökmotorleverantören.

Eftersom sökmotorleverantören konstaterades vara den som ”bestämmer ändamålen och medlen för behandlingen” ansågs den vara ansvarig för behandlingen av de personuppgifter som utförs i dess sökmotor.

Dataskyddsdirektivet ges en extensiv territoriell räckvidd
Beträffande dataskyddsdirektivets territoriella räckvidd noterade domstolen att Google Spain SL är ett spanskt dotterbolag till det amerikanska företaget Google Inc. Genom att marknadsföra och sälja reklamutrymme för söktmotorn, utför Google Spain SL behandling som ett led i verksamheten. Följaktligen är sökmotorleverantören etablerad inom EU i den mening som avses i direktivet.

”Rätt att bli glömd” på internet
EU-domstolen slog vidare fast att sökmotorleverantörens ansvar som personuppgiftsansvarig innebär att bolaget under vissa förutsättningar är skyldigt att avlägsna länkar från sökträffar som avser en fysisk person.  Detta gäller när sökträffarna innefattar personuppgifter som inte är oriktiga, adekvata, relevanta eller omfattar mer än vad som är nödvändigt. I praktiken föreligger därigenom en ”rätt att bli glömd”. Det är också sökmotorleverantörens ansvar att bedöma när sådant avlägsnande ska ske. Vid bedömningen ska en avvägning ske mellan internetanvändarnas legitima intresse av information och den berörda individens grundläggande rättigheter. Särskilt i form av respekten till privatliv och skyddet för personuppgifter. Utan någon närmare vägledning noterade EU-domstolen att en individs rättigheter i allmänhet fick anses överväga internetanvändarnas intresse. Avvägningen är likväl bunden till omständigheter som den aktuella informationens natur samt allmänhetens intresse till informationen, vilket kan variera beroende på om den berörda personen är en offentlig aktör. 

Effekterna
Även om avgörandet inte medför någon absolut ”rätt att bli glömd” på internet har EU-domstolen betonat integritetsskyddets ställning även inom ramen för EU:s nuvarande regelverk. Det har slagits fast att sökmotorer i egenskap av att vara personuppgiftsansvariga, har en skyldighet att agera vid en välgrundad begäran om att personuppgifter ska tas bort. Vilka praktiska och rättsliga konsekvenser avgörandet får har emellertid ännu inte helt utkristalliserat sig.

Den så kallade Artikel 29-gruppen, där experter från EU-ländernas dataskyddsmyndigheter ingår har meddelat att den avser utfärda riktlinjer för hur sökmotorleverantörer och andra personuppgiftsansvariga ska förhålla sig till rätten att bli glömd.

Google har till följd av domen redan skapat en funktion till vilka individer kan vända sig om de önskar få personuppgifter avlägsnade. Enligt rapporter i massmedia har ett stort antal personer redan vänt sig till Google i denna avsikt. Google överväger också att införa en varning i sökresultat där länkar har tagits bort på grund av ”rätten att bli glömd”. Artikel 29-gruppen har i ett uttalande välkomnat Googles initiativ, men samtidigt sagt att det är för tidigt att säga om åtgärderna är tillräckliga.

I avvaktan på ytterligare klargöranden från domstolar och tillsynsmyndigheter såsom Datainspektionen gör sökmotorer, och andra leverantörer av digitala tjänster som innebär en automatiserad behandling av personuppgifter (exempelvis sociala medier och försäljningssajter), klokt i att överväga rutiner för hantering av klagomål från berörda individer. Detsamma gäller för hantering av bland annat personuppgifter som det inte längre finns ett berättigat intresse av att behandla, även om denna en gång varit tillåten.

¹Mål C‑131/12 (Google Spain m.fl.); http://curia.europa.eu/juris/document/document_print.jsf?doclang=SV&text=&pageIndex=0&part=1&mode=req&docid=152065&occ=first&dir=&cid=595905

Erik Ullberg, Wistrand Advokatbyrå, erik.ullberg@wistrand.se, 031-771 21 76
Christel Rockström, Wistrand Advokatbyrå, christel.rockstrom@wistrand.se, 08-50 72 00 45