Vojtěch Bartoš: Právo být zapomenut? Spíš právo na rozmazané vzpomínky…

Ve svém nedávném rozsudku C-131/12 Google Spain řešil ESD otázku, jestli mají Evropané v dnešní internetové době právo na to, aby byly některé staré, nerelevantní či poškozující osobní údaje smazány nebo znepřístupněny. Španělský občan pan Costeja González měl totiž v minulosti problém s placením příspěvků na sociální zabezpečení a nelíbilo se mu, že i po 18 letech si to internet pamatuje. Rozhodnutí bylo učiněno v kontextu směrnice 95/46 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů („Směrnice“). Je tedy zajímavé se také podívat, jak se Soud vyspořádal s některými aspekty její působnosti.

Osobní působnost

Soud nejprve musel řešit otázku, jestli je vyhledání informace na webu, kam ji umístila 3. strana, její indexace a zpřístupnění uživatelům internetu zpracováváním osobních údajů ve smyslu Směrnice. Následně zdali je provozovatel vyhledávače „správce“ ve smyslu Směrnice a jestli mu tedy mohou být uloženy povinnosti, které z ní vyplývají. Článek 2 písm. b) Směrnice definuje „zpracování osobních údajů“ jako „jakýkoli úkon nebo soubor úkonů, které jsou prováděny s osobními údaji pomocí automatizovaných postupů či bez nich, jako je shromažďování, zaznamenávání, uspořádávání, uchovávání, přizpůsobování nebo pozměňování, vyhledávání, nahlížení, používání, sdělování prostřednictvím přenosu, šíření nebo jakékoli jiné zpřístupnění, srovnávání či kombinování, jakož i blokování, výmaz nebo znehodnocení údajů.“ Soud k tomu dodává, že informace zveřejňované na internetu, jsou „zpracovávané“ (jak vyplývá z dřívější judikatury – případ Lindqvist), a to i pokud už byly dříve zveřejněny např. médii (případ Satakunnan Markkinapörssi a Satamedia). Dále konstatuje, že se v tomto přídě nesporně jedná o osobní údaje (čl. 2 písm. a) Směrnice). Podle Soudu pak činnost vyhledávače spočívající ve vyhledávání informací zveřejněných nebo umístěných na internetu třetími osobami, v jejich automatickém indexování, v jejich dočasném ukládání a konečně v jejich poskytování uživatelům internetu v určitém preferenčním pořadí musí být kvalifikována jako „zpracování osobních údajů“ a provozovatel takového vyhledávače je tedy „správce“. Zdůrazňuje přitom, že činnost vyhledávače je způsobilá výrazným způsobem zasáhnout do práva na soukromí (čl. 7 Listiny EU) a provozovatel proto musí zajistit, že tato činnost splňuje požadavky směrnice.

Místní působnost

Směrnice se aplikuje na osoby, které provádějí popsanou činnost v rámci provozovny na území členského státu. Touto provozovnou může být i pobočka nebo dceřiná společnost správce (vyhledávače) – čl. 4 odst. 1 písm. c) Směrnice. Do působnosti Směrnice tak spadají pouze ty subjekty, které jsou usazené na území Unie a vykonávají zde činnost správce. Potíž je v tom, že Google Spain (dceřiná společnost Google Inc. inkorporovaná ve Španělsku) sám o sobě neprovádí žádnou vyhledávací, indexovací či jinou činnost spojenou se zpracováváním osobních údajů. Nicméně, španělský soud pokládající předběžnou otázku navrhnul, že činnost podpory prodeje a prodeje reklamního prostoru, kterou se zabývá Google Spain ve Španělsku, představuje zásadní část obchodní činnosti skupiny Google a měla by být považována za úzce spojenou s Google Search. ESD upozornil na bod 19 preambule Směrnice, který zmiňuje, že usazení na území členského státu předpokládá účinný a skutečný výkon činnosti prostřednictvím stálého zařízení, o čemž tvrdí, že Google Spain jistě splňuje, a proto se musí Směrnice aplikovat. Je však namístě se ptát: nesměřuje formulace „účinný a skutečný výkon činnosti“ spíše k hlavní náplni činnosti, která je předmětem regulace a sporu – tedy zpracování dat – spíše než k jakékoliv činnosti, která je touto pobočkou či dceřinou společností provozována? V tomto případě se jedná o obchodní a marketingovou podporu vyhledávače, kterou má Google Spain na starost. Užitou interpretací tak logicky dochází k podstatnému rozšíření místní působnosti směrnice – aplikuje se nejen na subjekty zpracovávající údaje skrze provozovnu na území EU, ale také na subjekty, které na tomto území provozují i jinou ekonomickou aktivitu, ač ta souvisí s aktivitou hlavní, spočívající ve zpracování osobních údajů. Nicméně, jak daleko sahá pojem „provádění v rámci provozovny“, případně, jak to vyjádřil španělský nejvyšší soud, „činnost úzce spojená s hlavní činností“? Je nicméně pravdou, že zejména body 18-20 preambule dávají tušit záměr legislativce, aby místní působnost směrnice mohla být výkladem spíše rozšiřována než zužována. Fakt, že v tomto případě Google Spain zajišťuje „podporu prodeje a prodej reklamního prostoru nabízeného uvedeným vyhledávačem, který slouží k zajištění výnosnosti služby nabízené uvedeným vyhledávačem“, je poměrně přesvědčivý pro závěr, že činnost Google Spain a Google Inc. jsou natolik provázané na území Španělska, že se dá hovořit o „zpracovávání v rámci činnosti provozovny“.

Odpovědnost provozovatele vyhledávače – proč vyhledávač a ne původní web?

Zaprvé je třeba říct, že stěžovatel vedl na národní úrovni spor s Googlem, nikoliv se společností provozující webovou stránku, která předmětné informace uveřejnila primárně. Tím je určen i rozsah materie před ESD. 

Jde však i o více. Vyhledávače mají specifické postavení díky své funkci, kterou Soud charakterizoval jako „zpracování, které umožní všem uživatelům internetu získat prostřednictvím seznamu výsledků vyhledávání strukturovaný přehled informací, které se týkají dotčené osoby a jsou dohledatelné na internetu, které se mohou týkat řady aspektů jejího soukromí a které by bez uvedeného vyhledávače nemohly – nebo jen velmi obtížně mohly – být vzájemně propojeny, a vytvořit tak víceméně podrobný profil subjektu údajů. Navíc účinek zásahu do uvedených práv subjektu údajů je znásoben z důvodu významné úlohy, kterou hrají v moderní společnosti internet a vyhledávače, jež činí informace obsažené v takovém seznamu všudypřítomnými.“ (para. 80 rozsudku). Druhým podstatným důvodem byl pro Soud fakt, že „vzhledem k jednoduchosti, s jakou lze informace zveřejněné na webové stránce replikovat na jiných stránkách, a ke skutečnosti, že osoby odpovídající za zveřejnění informací nepodléhají vždy unijnímu právu, by nebylo možné dosáhnout účinné a úplné ochrany subjektů údajů, pokud by tyto subjekty musely předtím nebo současně dosáhnout výmazu informací, které se jich týkají, ze strany vydavatelů webových stránek.“ (para 84 rozsudku). Proto je zřejmě záhodno zabývat se spíš provozovateli vyhledávačů než jednotlivými provozovateli webových stránek – opatření na straně vyhledávače je celkově efektivnější a způsobilé dostatečně ochránit zájem stěžovatele.

Odpovědnost provozovatele vyhledávače – co případně mazat a co ne?

Musíme vzít v potaz, že na jedné straně stojí legitimní zájmy stěžovatele (zhmotněné zejména v čl. 7 a 8 Listiny základních práv EU) a na druhé straně legitimní zájmy uživatelů internetu na přístup k dané informaci. Tyto zájmy musí být opatrně vyvažovány a nikdy nebude možné dát jednomu či druhému absolutní přednost. V zásadě i zpracovávání údajů, které je na počátku v souladu se zákonem (a tedy i se Směrnicí) se může postupem času stát s právem neslučitelné. Zejména v případě, když se takovéto údaje zdají nepřiměřené, jsou nepodstatné nebo již přesahují míru s ohledem na uvedené účely a uplynulý čas, jak plyne z čl. 6 Směrnice a jak se vyjádřil Soud v bodě 93. V takovém případě Směrnice ukládá státům povinnost, aby v implementační legislativě umožnili jednotlivcům přístup k „jejich“ údajům a zejména má jednotlivec právo žádat, aby údaje zpracovávané v rozporu se Směrnicí byly upraveny, smazány nebo aby k nim byl zablokován přístup (čl. 12 písm. b). „Rovnováha bude záviset v konkrétních případech na povaze dotčené informace a její citlivosti v souvislosti se soukromím subjektu údajů, jakož i na zájmu veřejnosti mít k této informaci přístup, jenž se může lišit zejména v závislosti na úloze, kterou má subjekt údajů ve veřejném životě.“ (para. 81 rozsudku).

Cui bono?

Již v průběhu dní následujících po zveřejnění rozsudku podnikl Google kroky k vyhovění. Zřídil formulář, skrze který je možné zažádat o výmaz daného výsledku vyhledávání (přístupný zde https://support.google.com/legal/contact/lr_eudpa?product=websearch&hl=en). Pikantní ovšem je, že pokud chcete smazat z internetu některý osobní údaj, musíte Googlu v rámci své žádosti poskytnout kopii buď občanského průkazu, pasu nebo jiného dokumentu, který vás dostatečně identifikuje, aby bylo možno ověřit, že o smazání žádá skutečně oprávněná osoba. Na jednu stranu je to samozřejmě zcela pochopitelný a legitimní požadavek, na druhou stranu je ironické, že pro ochranu svého soukromí a osobních údajů musíte Googlu sdělovat další neméně citlivé údaje. Znamená vyplnění a zaslání formuláře automatický výmaz z výsledků vyhledávání? Nikoliv. Jak naznačuje rozhodnutí ESD, soudy, národní úřady pro ochranu osobních údajů stejně jako ostatní zpracovatelé mají v rozhodování o smazání postupovat případ od případu. Google již také zřídil jakousi expertní poradní komisi, která sice nebude posuzovat přímo jednotlivé žádosti, ale bude vyhodnocovat fungování celého procesu. Zasedají v ní „googlí“ vysoký manažer Eric Schmidt, hlavní právník Googlu David Drummond, ale například také zvláštní zpravodaj OSN pro podporu a ochranu práva na svobodu názoru a projevu Frank La Rue (omlouvám se, pokud zní oficiální český překlad této pozice jinak) či spoluzakladatel Wikipedie Jimmy Wales. Google tak rozsudek ESD vzal vážně a zdá se, že tentokrát opravdu maximálně vyjde vstříc evropským požadavkům. Nicméně, čeho stěžovatelé ve výsledku dosáhnou? Google rozhodně nemá nástroje a ani povinnost zabývat se smazáním údajů jako takových. Bude tedy mazat pouze výsledky ve svém vyhledávání. Google navíc také plánuje na fakt, že došlo ke smazání výsledku upozornit v rámci výsledků vyhledávání podobně, jako to dělá při mazání výsledků z důvodů porušování autorských práv. Google povinnost mazat výsledky vyhledávání navíc pochopitelně má pouze na území Unie,  a tedy pouze v jazykových mutacích vyhledávače určených pro unijní trh. Budete-li však hledat pomocí enginu na doméně google.com, s žádným omezením se nesetkáte. Zatím také není jasné, jak se k rozsudku ESD postaví minoritní vyhledávače jako Bing, Yahoo nebo např. DuckDuckGo. Google zabírá v jednotlivých zemích EU i více než 90% trhu, a tedy je jasné, to byl právě on, vůči komu směřovala první stížnost, nicméně nevidím důvod, proč by se stejná pravidla neměla uplatnit na všechny vyhledávače působící v Evropě (za předpokladu, že budou spadat do místní působnosti směrnice). Toto však zatím není realitou, kromě Googlu všechni ostatní hráči zatím fungují bez omezení, a tak se zdá, že místo práva být zapomenut máme spíše právo na rozmazané vzpomínky.

Čeho tedy vlastně pan Mario Costeja González docílil? Přiznám se, že mnoho výrazných pozitiv v tomto rozsudku ani v právu být zapomenut osobně nespatřuji. Každopádně ale vím, a spolu se mnou i půlka Evropy a jistě většina současných a budoucích studentů evropského práva, že pan Costeja González měl před 18 lety dluhy na platbách sociálního zabezpečení, kvůli kterým se jeho dům ocitl v dražbě. Vím také, že to určitě jen tak nezapomenu.

P.S. V závěrečné části postu jsem výrazně čerpal z článku na http://searchengineland.com/google-right-to-be-forgotten-form-192837, kde najdete i další zajímavé podrobnosti jako například, že v dosavadním žebříčku počtu obdržených žádostí vedou podvodníci, násilníci a konzumenti dětské pornografie. :)