Costeja-målets inverkan på internettjänster

Den 13 maj 2014, meddelade EU-domstolen dom i målet Costeja (C 131-12), en dom med långtgående konsekvenser för hela internetindustrin och framförallt för sökmotorer. I domen konstaterade domstolen att sökmotorer ska ses som personuppgiftsansvariga enligt dataskyddsdirektivet och inte ska omfattas av undantaget i safe harbour reglerna i e-handelsdirektivet. Efter en balans av de fundamentala rättigheterna för sökmotorer och den registrerade kom EU-domstolen fram till att sökmotorer under vissa omständigheter är skyldig att ta bort sökresultat från dess sökindex.

Fallet som prövades av EU-domstolen har sin upprinnelse i en förfrågan om förhandsavgörande från den spanska appellationsdomstolen, Audiencia Nacional. I målet som stod framför Audiencia Nacional hävdade den sökande att Google måste avlägsna viss information gällande exekutiv försäljning av sökandens egendom på grund av sökandens sociala avgifter för sina sökresultat. Sökningar på bolagets namn på Google hänvisade till den exekutiva försäljningen, vilket senare i själva verket aldrig inträffade och sökanden inledde ett ärende hos den spanska datainspektionen och begärde ett föreläggande mot tidningen som informationen härstammade från samt yrkade föreläggande gentemot Google Spain SL och Google Inc. om att de skulle avlägsna data innehållande den ovan nämnda informationen från Googles sökindex.

Costeja-målet adresserar ett antal kärnfrågor under dataskyddsdirektivet, nämligen (i) den geografiska räckvidden av dataskyddsdirektivet, (ii) huruvida sökmotorer är att ses som registeransvariga (iii) huruvida sökmotorer är undantagna under safe harbour reglerna i e-handelsdirektivet, och (iv) under vilka omständigheter den registrerade kan yrka ”rätt att bli bortglömd”. Sammanfattningsvis kom domstolen fram till följande:

1. Tillhandahållaren av en sökmotor samlar in data och information som sedan hämtas, sparas, organiseras och struktureras, förvaras, offentliggörs och blir allmän tillgänglig för sina användare, vilket innebär att de behandlar data och uppgifter inom ramen för dataskyddsdirektivet.
2. Det är tillhandahållaren av sökmotorn som beslutar om syfte och medel för aktiviteten och således behandlingen av personuppgifter som genomförs inom ramen för den aktiviteten.
3. En sökmotor som hanteras av ett företag som har sitt säte i ett tredjeland men som har en etablering i en medlemsstat behandlar personuppgifter för aktiviteter inom ramen för verksamheten om det senare är tänkt för marknadsföring och försäljning i den medlemsstaten och det marknadsföringsutrymme som erbjuds på sökmotorn tjänar till syfte att göra tjänsten som erbjuds på den sökmotorn lönsam.
4. Tillhandahållaren av en sökmotor har en skyldighet att från listan över sökresultat, ta bort en sökning som grundar sig på en persons namn som länkas till websidor, som publicerats av en tredje part och som innehåller information som rör den personen. Detta gäller även i situationer då namn eller information inte tagits bort i förhand eller simultant från websidorna och även då publiceringen på sidorna är laglig.
5. Den registrerades fundamentala rättigheter under artikel 7 och 8 att kräva att informationen i fråga inte längre ska vara tillgänglig för allmänheten genom att vara inkluderad på sökmotorns indexlista går före operatörens ekonomiska intresse och allmänhetens intresse av att få tillgång till sådan information genom en sökning relaterad till den registrerades namn. Om det däremot finns ett övervägande intresse från allmänheten i att få tillgång till sådan information, såsom den roll som den registrerade har i det offentliga livet, ska rätten att få tillgång till sådan information vinna företräde framför den registrerades intresse.

Det faktum att domstolen kom till slutsatsen att tillhandahållare av sökmotorer är att ses som personuppgiftsansvariga och på så sätt är skyldiga att ta bort information rörande de registrerade från dess index, även då själva publiceringsinnehållet på websidan i sig är lagligt, kommer som en överraskning för många. Slutsatsen är överraskande då generaladvokat Jääskinen, som har avgivit yttranden i flertalet internetrelaterade mål, uttalat sig om att Google inte ska anses vara personuppgiftsansvarig och att den registrerade inte ska ha någon rätt att hindra indexering av sökningar på information som hänför sig till honom eller henne. Vidare är den värdering och balansering av de fundamentala rättigheterna om den enskildes rätt till privatliv och allmänhetens intresse av att ta del av information uppseendeväckande med hänsyn till den betydelse som internet har för allmänhetens möjlighet att få tillgång till nyheter och som i allmänhet underlättar spridning av information, vilket betonats av Europadomstolen för de mänskliga rättigheterna i andra avgöranden (Times Newspapers Ltd v. the United Kingdom (nos. 1 och 2), Wegrzynowski and Smolczewski vs Poland, de internetrelaterade domskälen är summerade av domstolen i ett faktablad).

Domen ger upphov till ett flertal frågor kring tillämpningen av dataskyddsdirektivet på sökmotorer, men även kring tillhandahållare av digitala tjänster vilka används frekvent av allmänheten och som innebär en automatiserad behandling av personuppgifter, såsom sociala medietjänster och auktionssiter. Resultatet av dataskyddsdirektivet vida territoriella tillämpning, samt den relativt vida definitionen av personuppgiftsansvarig innebär att företag etablerade utanför EES måste vidta försiktighet samt bedöma huruvida de omfattas av reglerna i direktivet eller inte. Domslutet i målet sätter ny regulatorisk press på internet-start-up bolag som har svårt att bedöma och hantera integritetsgränser. Slutligen, i ljuset av den nyligen införda rätten om att bli bortglömd, kommer nyhetssidor som tillhandahåller digitala artikeldatabaser samt databasutgivare behöva implementera regler för hur frågor om att bli borttagen eller exkluderad från sökresultat i respektive databas som har adresserats av de registrerade, bör hanteras.

Begäran om borttagning till följd av Costeja-domen    

Costeja domen har en tydlig påverkan på sökmotorer, inte endast gentemot Google utan även gentemot Bing och Yahoo, som med stor sannolikhet är att bedöma som personuppgiftsansvariga i direktivets mening. Sökmotorerna har uppenbarligen svårigheter med att konsekvent tillämpa Costeja-domen samt att bedöma huruvida det finns ett övervägande intresse för allmänheten att få ta del av informationen i fråga. Google har snabbt börjat tillämpa Costeja-domen och som ett initialt försök publicerat två formulär “Search removal request under European Data Protection law” (en för sökningar på websidor och en för bilder) som de registrerade kan fylla i och lämna in till Google. Google kommer därefter att göra en bedömning av den registrerades ansökan och göra en avvägning mellan rätten till information och rätten till privatliv. Detta kan innebära svårheter då Costeja-fallet inte ger mycket vägledning i frågan, men Google kommer bland annat att bedöma allmänhetens intresse och huruvida informationen är irrelevant, föråldrad, icke aktuell eller olämplig. Den registrerade måste fylla i och lämna in den länkade sidan som är aktuell och förklara hur den handlar om honom eller henne samt verifiera sin identitet genom att tillhandahålla en kopia av giltig identitetshandling. Google har även, enligt Financial Times, etablerat en kommitté bestående av företagsledningen inom Google, ledningen på Wikipedia, och akademiker samt forna datakontrollanter från ett flertal europeiska länder. Förfrågningar om borttagningar från resultat från sökmotorer kommer otvivelaktigt att skapa ett växande arbetsflöde för tillhandahållare av sökmotorer och särskilt när det berör omfattande borttagningar av både text och bild och där det är svårt att ta ställning till relevansen och betydelsen av den registrerades förfrågan. Googles försök till regelefterlevnad av Costeja-målet är intressant och kommer att efterföljas av andra sökmotorer. I sinom tid kommer det säkerligen även att finnas nationella domar som tagit ställning till vilken sorts data och information som ska tas bort eller inte, och dessa nationella domstolsbeslut kommer med stor sannolikhet inte vara harmoniserade mellan medlemsstaterna. Datainspektionen har ännu inte uttalat sig kring Costeja-domen och dess tillämpning. Det är troligt att Artikel 29-gruppen kommer att publicera dokument som tar upp fler svårhanterliga frågor som internetoperatörer kommer att behöva handskas med till följd av Costeja-domen.