31 května 2014

Vojtěch Bartoš: Právo být zapomenut? Spíš právo na rozmazané vzpomínky…

Ve svém nedávném rozsudku C-131/12 Google Spain řešil ESD otázku, jestli mají Evropané v dnešní internetové době právo na to, aby byly některé staré, nerelevantní či poškozující osobní údaje smazány nebo znepřístupněny. Španělský občan pan Costeja González měl totiž v minulosti problém s placením příspěvků na sociální zabezpečení a nelíbilo se mu, že i po 18 letech si to internet pamatuje. Rozhodnutí bylo učiněno v kontextu směrnice 95/46 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů („Směrnice“). Je tedy zajímavé se také podívat, jak se Soud vyspořádal s některými aspekty její působnosti.

Osobní působnost

Soud nejprve musel řešit otázku, jestli je vyhledání informace na webu, kam ji umístila 3. strana, její indexace a zpřístupnění uživatelům internetu zpracováváním osobních údajů ve smyslu Směrnice. Následně zdali je provozovatel vyhledávače „správce“ ve smyslu Směrnice a jestli mu tedy mohou být uloženy povinnosti, které z ní vyplývají. Článek 2 písm. b) Směrnice definuje „zpracování osobních údajů“ jako „jakýkoli úkon nebo soubor úkonů, které jsou prováděny s osobními údaji pomocí automatizovaných postupů či bez nich, jako je shromažďování, zaznamenávání, uspořádávání, uchovávání, přizpůsobování nebo pozměňování, vyhledávání, nahlížení, používání, sdělování prostřednictvím přenosu, šíření nebo jakékoli jiné zpřístupnění, srovnávání či kombinování, jakož i blokování, výmaz nebo znehodnocení údajů.“ Soud k tomu dodává, že informace zveřejňované na internetu, jsou „zpracovávané“ (jak vyplývá z dřívější judikatury – případ Lindqvist), a to i pokud už byly dříve zveřejněny např. médii (případ Satakunnan Markkinapörssi a Satamedia). Dále konstatuje, že se v tomto přídě nesporně jedná o osobní údaje (čl. 2 písm. a) Směrnice). Podle Soudu pak činnost vyhledávače spočívající ve vyhledávání informací zveřejněných nebo umístěných na internetu třetími osobami, v jejich automatickém indexování, v jejich dočasném ukládání a konečně v jejich poskytování uživatelům internetu v určitém preferenčním pořadí musí být kvalifikována jako „zpracování osobních údajů“ a provozovatel takového vyhledávače je tedy „správce“. Zdůrazňuje přitom, že činnost vyhledávače je způsobilá výrazným způsobem zasáhnout do práva na soukromí (čl. 7 Listiny EU) a provozovatel proto musí zajistit, že tato činnost splňuje požadavky směrnice.

Místní působnost

Směrnice se aplikuje na osoby, které provádějí popsanou činnost v rámci provozovny na území členského státu. Touto provozovnou může být i pobočka nebo dceřiná společnost správce (vyhledávače) – čl. 4 odst. 1 písm. c) Směrnice. Do působnosti Směrnice tak spadají pouze ty subjekty, které jsou usazené na území Unie a vykonávají zde činnost správce. Potíž je v tom, že Google Spain (dceřiná společnost Google Inc. inkorporovaná ve Španělsku) sám o sobě neprovádí žádnou vyhledávací, indexovací či jinou činnost spojenou se zpracováváním osobních údajů. Nicméně, španělský soud pokládající předběžnou otázku navrhnul, že činnost podpory prodeje a prodeje reklamního prostoru, kterou se zabývá Google Spain ve Španělsku, představuje zásadní část obchodní činnosti skupiny Google a měla by být považována za úzce spojenou s Google Search. ESD upozornil na bod 19 preambule Směrnice, který zmiňuje, že usazení na území členského státu předpokládá účinný a skutečný výkon činnosti prostřednictvím stálého zařízení, o čemž tvrdí, že Google Spain jistě splňuje, a proto se musí Směrnice aplikovat. Je však namístě se ptát: nesměřuje formulace „účinný a skutečný výkon činnosti“ spíše k hlavní náplni činnosti, která je předmětem regulace a sporu – tedy zpracování dat – spíše než k jakékoliv činnosti, která je touto pobočkou či dceřinou společností provozována? V tomto případě se jedná o obchodní a marketingovou podporu vyhledávače, kterou má Google Spain na starost. Užitou interpretací tak logicky dochází k podstatnému rozšíření místní působnosti směrnice – aplikuje se nejen na subjekty zpracovávající údaje skrze provozovnu na území EU, ale také na subjekty, které na tomto území provozují i jinou ekonomickou aktivitu, ač ta souvisí s aktivitou hlavní, spočívající ve zpracování osobních údajů. Nicméně, jak daleko sahá pojem „provádění v rámci provozovny“, případně, jak to vyjádřil španělský nejvyšší soud, „činnost úzce spojená s hlavní činností“? Je nicméně pravdou, že zejména body 18-20 preambule dávají tušit záměr legislativce, aby místní působnost směrnice mohla být výkladem spíše rozšiřována než zužována. Fakt, že v tomto případě Google Spain zajišťuje „podporu prodeje a prodej reklamního prostoru nabízeného uvedeným vyhledávačem, který slouží k zajištění výnosnosti služby nabízené uvedeným vyhledávačem“, je poměrně přesvědčivý pro závěr, že činnost Google Spain a Google Inc. jsou natolik provázané na území Španělska, že se dá hovořit o „zpracovávání v rámci činnosti provozovny“.

Odpovědnost provozovatele vyhledávače – proč vyhledávač a ne původní web?

Zaprvé je třeba říct, že stěžovatel vedl na národní úrovni spor s Googlem, nikoliv se společností provozující webovou stránku, která předmětné informace uveřejnila primárně. Tím je určen i rozsah materie před ESD. 

Jde však i o více. Vyhledávače mají specifické postavení díky své funkci, kterou Soud charakterizoval jako „zpracování, které umožní všem uživatelům internetu získat prostřednictvím seznamu výsledků vyhledávání strukturovaný přehled informací, které se týkají dotčené osoby a jsou dohledatelné na internetu, které se mohou týkat řady aspektů jejího soukromí a které by bez uvedeného vyhledávače nemohly – nebo jen velmi obtížně mohly – být vzájemně propojeny, a vytvořit tak víceméně podrobný profil subjektu údajů. Navíc účinek zásahu do uvedených práv subjektu údajů je znásoben z důvodu významné úlohy, kterou hrají v moderní společnosti internet a vyhledávače, jež činí informace obsažené v takovém seznamu všudypřítomnými.“ (para. 80 rozsudku). Druhým podstatným důvodem byl pro Soud fakt, že „vzhledem k jednoduchosti, s jakou lze informace zveřejněné na webové stránce replikovat na jiných stránkách, a ke skutečnosti, že osoby odpovídající za zveřejnění informací nepodléhají vždy unijnímu právu, by nebylo možné dosáhnout účinné a úplné ochrany subjektů údajů, pokud by tyto subjekty musely předtím nebo současně dosáhnout výmazu informací, které se jich týkají, ze strany vydavatelů webových stránek.“ (para 84 rozsudku). Proto je zřejmě záhodno zabývat se spíš provozovateli vyhledávačů než jednotlivými provozovateli webových stránek – opatření na straně vyhledávače je celkově efektivnější a způsobilé dostatečně ochránit zájem stěžovatele.

Odpovědnost provozovatele vyhledávače – co případně mazat a co ne?

Musíme vzít v potaz, že na jedné straně stojí legitimní zájmy stěžovatele (zhmotněné zejména v čl. 7 a 8 Listiny základních práv EU) a na druhé straně legitimní zájmy uživatelů internetu na přístup k dané informaci. Tyto zájmy musí být opatrně vyvažovány a nikdy nebude možné dát jednomu či druhému absolutní přednost. V zásadě i zpracovávání údajů, které je na počátku v souladu se zákonem (a tedy i se Směrnicí) se může postupem času stát s právem neslučitelné. Zejména v případě, když se takovéto údaje zdají nepřiměřené, jsou nepodstatné nebo již přesahují míru s ohledem na uvedené účely a uplynulý čas, jak plyne z čl. 6 Směrnice a jak se vyjádřil Soud v bodě 93. V takovém případě Směrnice ukládá státům povinnost, aby v implementační legislativě umožnili jednotlivcům přístup k „jejich“ údajům a zejména má jednotlivec právo žádat, aby údaje zpracovávané v rozporu se Směrnicí byly upraveny, smazány nebo aby k nim byl zablokován přístup (čl. 12 písm. b). „Rovnováha bude záviset v konkrétních případech na povaze dotčené informace a její citlivosti v souvislosti se soukromím subjektu údajů, jakož i na zájmu veřejnosti mít k této informaci přístup, jenž se může lišit zejména v závislosti na úloze, kterou má subjekt údajů ve veřejném životě.“ (para. 81 rozsudku).

Cui bono?

Již v průběhu dní následujících po zveřejnění rozsudku podnikl Google kroky k vyhovění. Zřídil formulář, skrze který je možné zažádat o výmaz daného výsledku vyhledávání (přístupný zde https://support.google.com/legal/contact/lr_eudpa?product=websearch&hl=en). Pikantní ovšem je, že pokud chcete smazat z internetu některý osobní údaj, musíte Googlu v rámci své žádosti poskytnout kopii buď občanského průkazu, pasu nebo jiného dokumentu, který vás dostatečně identifikuje, aby bylo možno ověřit, že o smazání žádá skutečně oprávněná osoba. Na jednu stranu je to samozřejmě zcela pochopitelný a legitimní požadavek, na druhou stranu je ironické, že pro ochranu svého soukromí a osobních údajů musíte Googlu sdělovat další neméně citlivé údaje. Znamená vyplnění a zaslání formuláře automatický výmaz z výsledků vyhledávání? Nikoliv. Jak naznačuje rozhodnutí ESD, soudy, národní úřady pro ochranu osobních údajů stejně jako ostatní zpracovatelé mají v rozhodování o smazání postupovat případ od případu. Google již také zřídil jakousi expertní poradní komisi, která sice nebude posuzovat přímo jednotlivé žádosti, ale bude vyhodnocovat fungování celého procesu. Zasedají v ní „googlí“ vysoký manažer Eric Schmidt, hlavní právník Googlu David Drummond, ale například také zvláštní zpravodaj OSN pro podporu a ochranu práva na svobodu názoru a projevu Frank La Rue (omlouvám se, pokud zní oficiální český překlad této pozice jinak) či spoluzakladatel Wikipedie Jimmy Wales. Google tak rozsudek ESD vzal vážně a zdá se, že tentokrát opravdu maximálně vyjde vstříc evropským požadavkům. Nicméně, čeho stěžovatelé ve výsledku dosáhnou? Google rozhodně nemá nástroje a ani povinnost zabývat se smazáním údajů jako takových. Bude tedy mazat pouze výsledky ve svém vyhledávání. Google navíc také plánuje na fakt, že došlo ke smazání výsledku upozornit v rámci výsledků vyhledávání podobně, jako to dělá při mazání výsledků z důvodů porušování autorských práv. Google povinnost mazat výsledky vyhledávání navíc pochopitelně má pouze na území Unie,  a tedy pouze v jazykových mutacích vyhledávače určených pro unijní trh. Budete-li však hledat pomocí enginu na doméně google.com, s žádným omezením se nesetkáte. Zatím také není jasné, jak se k rozsudku ESD postaví minoritní vyhledávače jako Bing, Yahoo nebo např. DuckDuckGo. Google zabírá v jednotlivých zemích EU i více než 90% trhu, a tedy je jasné, to byl právě on, vůči komu směřovala první stížnost, nicméně nevidím důvod, proč by se stejná pravidla neměla uplatnit na všechny vyhledávače působící v Evropě (za předpokladu, že budou spadat do místní působnosti směrnice). Toto však zatím není realitou, kromě Googlu všechni ostatní hráči zatím fungují bez omezení, a tak se zdá, že místo práva být zapomenut máme spíše právo na rozmazané vzpomínky.

Čeho tedy vlastně pan Mario Costeja González docílil? Přiznám se, že mnoho výrazných pozitiv v tomto rozsudku ani v právu být zapomenut osobně nespatřuji. Každopádně ale vím, a spolu se mnou i půlka Evropy a jistě většina současných a budoucích studentů evropského práva, že pan Costeja González měl před 18 lety dluhy na platbách sociálního zabezpečení, kvůli kterým se jeho dům ocitl v dražbě. Vím také, že to určitě jen tak nezapomenu.

P.S. V závěrečné části postu jsem výrazně čerpal z článku na http://searchengineland.com/google-right-to-be-forgotten-form-192837, kde najdete i další zajímavé podrobnosti jako například, že v dosavadním žebříčku počtu obdržených žádostí vedou podvodníci, násilníci a konzumenti dětské pornografie. :)

4 komentáře:

Jan Slanina řekl(a)...

Podle mne je tento rozsudek důležitý právě tím, že ukázal meze evropské ochrany osobních údajů a zejména "práva být zapomenut".

SDEU dokonce ani neřekl, že po 16 letech automaticky převažuje právo pana Maria Costeja Gonzáleze na ochranu soukromí, ale uvedl, že i po tak dlouhé době by mohly existovat důvody, které by způsobily, že zájem na informování veřejnosti převáží a umožní tak Googlu dále na inkriminované stránky odkazovat.

Obzvláště důležité je to v kontextu rozsudku Lindqvist, který rozpoznal směrnici 95/46/ES o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (ta druhá půlka je důležitá a je škoda, že se nepřenesla i do názvu tuzemského zákona č. 101/2000 Sb. a případně do názvu dotčeného dozorového orgánu) jako plně harmonizační, a rozsudku ASNEF, který výslovně řekl, že členské státy nesmějí omezit zpracování, které podle směrnice je přípustné.

PS: jestli jsem dobře pochopil, tak otázka webových stránek novin, na kterých je originální článek, nebyla u SDEU řešena, protože španělský ÚOOÚ řekl, že na ně se vztahuje výjimka (Španělsko na rozdíl od ČR využilo diskreci a omezilo aplikaci ochrany osobních údajů na noviny apod.). Tudíž noviny neměly důvod žalovat a soud neměl důvod na ně položit předběžnou otázku.

Anonymní řekl(a)...

Váš argument o tom, že si Mr Gonzalese Mario se Sylva budeme pamatovat je sice pravdivý, ale to je právě úloha precendentu, že z něj těží ostatní, kteřá budou anynomní.

K fotokopii občamky : právo může volit jen z možných cest. Pokud znáte nějakou jinou, navrhněte ji. a navíc ono nic nebrání žadatelům poslat jim zfalšovanou fotokopii z photoshopu.

Nechápu víc jednu věc, ta informace o dluhu je na nějakém webu, který vyhledá vyhledávač. proč žádá provozovatele vyhledávače a nikolv originální web ? Konkurenční vyhledávač přeci najde i pak to samé.


Jan Hora

Vojtech Bartos řekl(a)...

Jan Slanina: co se týče původního webu, máte pravdu, že ESD argumentuje tím, že takový provozovatel se může v jednotlivých případech odvolávat na "novinářskou licenci" obsaženou v čl. 9 směrnice (a řekl bych, že je jedno, jesti ČR tuto část výslovně implementovala nebo ne, protože si myslím, že je způsobilá mít přímý účinek vůči státním úřadům), a tedy takovému provozovateli webu by nebylo možno uložit povinnost údaje smazat. Nicméně zaráží mě na tom zejména jedna věc.

Nepatří ke svobodě projevu i možnost tyto informace svobodně a efektivně šířit? Je to přeci jako bychom dovolili vysílat televizní stanici kritické názory na vládní politiku, ale potom měli možnost blokovat šíření TV signálu nebo bychom vyřadili tuto stanici z nabídky TV stanici v digitálním přijímači. ESD tedy říká, že provozovatel webu má sice právo informovat veřejnost a požívá ochranu v rámci oné "novinářské licence" i po letech, ale vyhledávač, který pouze umožňuje efektivní rozšiřování takové nformace tuto ochranu požívat nemusí. Efektivně tím tedy vyprazdňuje onu ochranu v rámci čl. 9. Příjde mi tedy dost pokrytecké říkat: ale jo původní web údaje zveřejňuje oprávněně a lidé mají právo se je tam dočíst, ale nesmí na ně najít odkaz, když je hledají!

Jinak k tomu, co píšete ohledně limitů, které rozsudek dává právu být zapomenut, příjde mi příznačné, že Soud se sice odvolává na čl. 7 a 8 Listiny EU, ale ani jednou nezmiňuje čl. 11. Obecně mi totž přijde právo třetích osob na informace o lidech, jako například pan González, v celém rozsudku spíše marginalizováno. Soud tak sice říká, že nějaký jiný zájem existuje, nicméně už jej nekvalifikuje (že se jedná o základní právo zakotvené v Listině, Úmluvě a velmi široce vykládané ESLP) a dále se mu krom obecné fráze o vyvažování nevěnuje. Tedy fakt, že Směrnice je plně harmonizační a státy nemůžou omezovat šíření informací (resp. chránit osobní údaje) nad rámec je sice pravdivý, nicméně výkladem povinností ze Směrnic plynoucích zpracovatelům v tomto státy nahradil Soud, protože donutil Google nasadit si náhubek.

Jan Hora: Má věta, že panu Gonzálesovi se povedl pravý opak toho, co původně chtěl byla spíše ironickou poznámkou než argumentem ;) Máte pravdu, že s tou autorizací žádosti je to těžká věc a mě samotného nic moc jiného, reálně proveditelného nenapadá. Jen je to prostě ironické, že když chcete chránit své soukromí na internetu tak tomu musíte poskytnout více svých osobních údajů společnosti, o které víte, že vše co se jí dostane do rukou tak schraňuje a předává různým vládním agenturám v rámci "boje proti terorismu". A jak říkáte, pozměnění občanky ve photoshopu nic nebrání. Teda až na to, že se tím dopouštíte trestného činu podle §348 TZ...

Jan Slanina řekl(a)...

Ad novinářská licence:

Podle mne je čl. 9 Směrnice 95/46 diskrece. Tj. říká, že členské státy výjimky ve prospěch novinářů stanovit mohou, ale nemusejí. A rozhodně je nesmí stanovit, pokud nejsou nezbytné.

Takže nějaká ochrana novinářů v ČR by se musela dovozovat z předpisů ústavní úrovně (například právě z toho čl. 11 Listiny EU), nikoli ze Směrnice 95/46. Bohužel. Máte pravdu, že tenhle článek by si asi zasloužil větší podporu.

Na druhou stranu je otázka, jestli právo podle čl. 11 zahrnuje to, že mi Google nějakou informaci naservíruje až pod nos.

Ad náhubek pro Google:

Přiznám se, že já jsem se obával aktivistického výkladu, že SDEU rovnou řekne, že 18 let po dané události je právo být zapomenut automatické.
Výklad, že i v okamžiku, kdy už jde jen o historický fakt (je už dávno zaplaceno) a navíc historický fakt 18 let starý, mohou existovat zásadní důvody pro zpracování, považuji za celkem uměřený.
Pořád si myslím, že musí jít o vyvažování práv. K čemu zveřejnění určité informace slouží a v čem naopak zasahuje do práv subjektu údajů?
Představte si, že by někdo fotil zamilované párky v parku a jejich fotografie zveřejňoval (a rovnou dával do titulku jejich totožnost). To neslouží žádnému rozumnému účelu a tudíž je to podle mne zjevně excesivní, protože v oblasti intimního života jistě máme právo na soukromí.
Naopak pokud někdo chodí k soudu a publikuje rozsudky, kterými byla nařízena povinnost něco zaplatit, včetně osobních údajů, tak to zjevně slouží hned dvěma účelům: (1) občanská kontrola soudní moci a (2) varování před lidmi, na které si mám dát pozor, protože je k placení nutné je nutit soudem.
Zásah do práv dlužníka je oproti tomu IMHO zanedbatelný a hlavně mu tento dlužník mohl předejít.

Ad sken občanky a photoshop:

Trestného činu podle § 348 TrZák (Padělání a pozměňování veřejné listiny) se určitě nedopustíte tím, že si ve photoshopu upravíte sken občanky. Veřejnou listinou je občanka sama, ne její sken. Jestli něco, tak teprve tím, že Googlu ten photoshopovaný sken podstrčíte, se dopustíte trestného činu podle § 181 TrZák (poškození cizích práv, tzv. nemajetkový podvod). Ale osobně si myslím, že i zde je příliš velké spoluzavinění poškozeného: pokud Google chce mít jistotu, že jste to Vy, má si vyžádat předložení občanky svému pracovníkovi nebo úřední ověření podpisu na žádosti.
Pravda, pokud byste ten sken chtěl vytisknout a zalaminovat, mohlo by se jednat o § 348 TrZák ve stadiu pokusu.