EU-domstolens dom i Google-saken har fått en svært blandet mottakelse. EU-kommisjonens visepresident Viviane Reding hyller dommen som «a clear victory for the protection of personal data of Europeans» og leser den som en bekreftelse på Kommisjonens arbeid for å oppdatere personvernet fra «the digital stone age» og til dagens digitale virkelighet.
Google selv har nøyd seg med å betegne dommen som overraskende og skuffende, men særlig amerikanske kommentatorer har fordømt den som et sjokkerende angrep på friheten til å bli informert — informasjonsfriheten — og dermed på selve ideen om et fritt Internett. De fleste reaksjonene fra europeiske kommentatorer er mer nyanserte. Det er ingen tvil om at dommen legger klare føringer i retning av styrket personvern, men den etterlater samtidig en rekke ubesvarte spørsmål som gjør at det er for tidlig å si noe sikkert om hvilke praktiske følger den vil få.
Slette “irrelevante” søkeresultater
Meget kort fortalt har EU-domstolen avgjort at personverndirektivet (direktiv 95/46/EF) som utgangspunkt og hovedregel gir enkeltpersoner rett til å kreve at søkemotorselskaper som Google sletter søkeresultater som er «inadequate», «irrelevant», «no longer relevant» eller «excessive» (avsnitt 94 i dommen).
Ifølge EU-domstolen må nemlig bestemmelsene i EUs Charter om grunnleggende rettigheter som gjelder respekt for privatlivet (artikkel 7) og vern av personopplysninger (artikkel 8) i prinsippet gå foran offentlighetens interesse i å finne slike opplysninger ved søk på den aktuelle personens navn (avsnitt 97 i dommen).
Unntak fra dette utgangspunktet krever særlige grunner («particular reasons»), noe som først og fremst vil være aktuelt for offentlige personer. Selv her krever imidlertid EU-domstolen at det foreligger en tungtveiende offentlig interesse («[a] preponderant interest of the general public») for at informasjonsfriheten skal gå foran personvernet.
Personverndirektivet er innlemmet i EØS-avtalen og det er liten grunn til å tolke det på noen annen måte i EØS-rettslig sammenheng. Om spørsmålet skulle bli reist for EFTA-domstolen, vil den temmelig sikkert legge EU-domstolens syn til grunn. Dommen må derfor kunne påberopes også av norske borgere som ønsker å bli glemt av Google eller andre søkemotorselskaper.
Google mot Mario Costeja González
I den konkrete saken mellom Google og Mario Costeja González slo EU-domstolen fast at Google må sørge for at søk på González’ navn ikke lenger viser til en 16 år gammel notis i en katalansk avis som opplyser om tvangsauksjon av boligen hans for å dekke gjeld til sosialtjenesten. Den endelige avveiningen ble riktignok som vanlig overlatt til de nasjonale domstolene, men EU-domstolen karakteriserte de aktuelle opplysningene som følsomme for González’ privatliv, viste til tidsforløpet på 16 år og la til at det ikke synes å foreligge tungtveiende offentlig interesse av opplysningene.
På veien frem til denne konklusjonen besvarte EU-domstolen flere meget viktige spørsmål knyttet til rekkevidden av EUs personvernlovgivning.
1. Google behandler personopplysninger
For det første slår dommen fast at søkemotorer som Google driver en aktivitet som er omfattet av personverndirektivet. Det bærende synspunkt er at når søkemotorer systematisk og kontinuerlig gjennomgår all informasjon som publiseres på Internett for å gjøre den søkbar, er dette behandling av personopplysninger.
En rett til å bli glemt? Googles eget forslag til søkeord.
Domstolen lot seg ikke overbevise av Googles argument om at søkemotorer faller utenfor direktivet fordi de ikke skiller mellom personopplysninger og annen informasjon. Ifølge EU-domstolen er det tilstrekkelig at personopplysninger inngår i den informasjonen som behandles. At opplysningene allerede er blitt offentliggjort på Internett av andre og ikke på noe vis endres av Google, hindrer ikke at Google «behandler» opplysningene i direktivets forstand.
2. Google er “registeransvarlig”
For det annet slår dommen fast at et selskap som driver en søkemotor, er å anse som «registeransvarlig» i henhold til personverndirektivet. Google argumenterte forgjeves med at selskapet ikke er registeransvarlig fordi det verken har kjennskap til eller kontroll med informasjonens innhold. En av EU-domstolens medlemmer, generaladvokaten som i juni 2013 kom med sitt forslag til hvordan saken burde løses, sa seg langt på vei enig med Google på dette punkt.
EU-domstolens dommere la imidlertid større vekt på formåls- og konsekvensbetraktninger: Det er viktig at søkemotorselskaper som Google omfattes av direktivet fordi deres virksomhet kan gripe inn i personvernet på et særlig omfattende vis. Google gjør personopplysninger tilgjengelige for enhver internettbruker, herunder internettbrukere som ellers ikke ville funnet frem til den nettside hvor opplysningene er offentliggjort. På sett og vis er jo dette hele poenget med Google. EU-domstolens resonnement er ganske enkelt at det nettopp av denne grunn er viktig at søkemotorselskaper anerkjennes som ansvarssubjekt under direktivet.
3. Gjelder ikke-europeiske selskaper
For det tredje slår dommen fast at personverndirektivet gjelder for ikke-europeiske søkemotorselskaper dersom de har en filial eller et datterselskap i et EU-land som markedsfører og selger reklameplass (slik som Google Spain i den konkrete saken). Google innvendte at selskapets europeiske datterselskaper ikke behandler noen personopplysninger ettersom de ikke har noe som helst med Googles søkemotor å gjøre – Google Search drives av morselskapet Google Inc., som er hjemmehørende i California, USA. EU-domstolen viste imidlertid til at Google Spains salg av reklameplass er uløselig forbundet med driften av søkemotoren og at hensynet til effektiv beskyttelse av borgernes grunnleggende rettigheter tilsier at personverndirektivet må komme til anvendelse også på behandling av personopplysninger som skjer i regi av Google Search.
Treff kan kreves slettet selv om informasjonen på den aktuelle nettsiden er lovlig publisert
Dette standpunktet er viktig ikke bare i et personvernperspektiv, men også for den europeiske internettindustriens mulighet til å konkurrere med aktører fra andre verdensdeler. En rettstilstand hvor for eksempel amerikanske selskaper kunne unnslippe EUs personvernlovgivning gjennom å legge all behandling av EU-borgeres personopplysninger til datterselskaper utenfor EU, ville være ødeleggende for europeiske selskapers forsøk på å ta opp konkurransen. EU-domstolens enkle resonnement er at dersom man tjener penger i EU, så kommer EUs personvernlovgivning til anvendelse.
Med dette har domstolen i realiteten foregrepet – og dermed samtidig forhåndsgodkjent – Kommisjonens forslag om at EUs nye personvernforordning skal gjelde også for ikke-europeiske selskaper så lenge disse tilbyr varer eller tjenester i EU. Rettspolitisk er standpunktet velkomment, men det må være lov å karakterisere EU-domstolens tolkning av det territorielle anvendelsesområdet for dagens personverndirektiv som temmelig frisk.
4. Du kan kreve at Google sletter
For det fjerde slår dommen fast at enkeltpersoner kan fremsette et krav om sletting direkte overfor søkemotorselskapene. Google hevdet forgjeves at krav om sletting alltid må rettes mot den som har publisert de aktuelle opplysningene på Internett. EU-domstolen fremhevet imidlertid søkemotorselskapenes selvstendige ansvar for de personopplysninger som de behandler. Også på dette punkt i dommen fremheves søkemotorenes helt sentrale rolle i samfunnet: Søkemotorenes systematisering av personopplysninger som er lagt ut på nettet representerer et mer alvorlig inngrep i personvernet enn den opprinnelige publiseringen av enkeltopplysninger nettopp fordi et googlesøk gjør det mulig å sette sammen en detaljert profil av en person og fordi internettets tilgjengelighet gir informasjonen et allestedsnærværende preg.
Også her legger EU-domstolen avgjørende vekt på formåls- og konsekvensbetraktninger: Når det er resultatlisten etter et googlesøk som er det største problemet for borgere som ønsker å verne om sitt privatliv, er det kort og godt mest effektivt at krav om sletting kan fremmes direkte overfor søkemotorselskapet.
5. Ikke journalistisk unntak for søkemotorer
For det femte innebærer søkemotorselskapenes selvstendige ansvar for de personopplysninger som de behandler at treff kan kreves slettet selv om informasjonen på den aktuelle nettsiden er lovlig publisert. Dette er en meget viktig avklaring, både praktisk og prinsipielt.
EU-domstolen legger større vekt på personvernet og mindre vekt på informasjonsfriheten enn forventet
Den konkrete tvisten mellom Google og Mario Costeja González er illustrerende. González krevde opprinnelig at også den katalanske avisen som hadde publisert notisen om tvangssalget av boligen hans, skulle fjerne informasjonen fra nettet. Dette kravet ble imidlertid avvist av det spanske datatilsynet, som viste til at personverndirektivet gjør unntak for offentliggjøring av personopplysninger som skjer i journalistisk øyemed. Ifølge EU-domstolen kan ikke søkemotorselskaper som Google påberope seg dette unntaket. Også i tilfeller hvor dette unntaket ikke er aktuelt, kan det tenkes at Google må slette treff selv om det ikke er grunnlag for noe krav om sletting mot den som har publisert de aktuelle opplysningene på Internett. Både hensynet til ytringsfriheten og den omstendighet at offentliggjøring av personopplysninger på en nettside med en begrenset leserkrets representerer et mindre inngrep i privatlivets fred, kan føre til at Google må forholde seg til strengere rettslige krav enn dem som har publisert de aktuelle opplysningene på nettet.
Dommerne mot røkla
Først etter å ha ryddet av veien alle disse underproblemstillingene kunne EU-domstolen gi seg i kast med spørsmålet om personverndirektivet gir borgerne rett til å kreve slettet henvisninger til personopplysninger som i og for seg er riktige, men som vedkommende ønsker at skal «bli glemt». På dette punkt stod Mario Costeja González nokså alene – ikke bare Google, men også EU-kommisjonen og de fleste av de EU-statene som involverte seg i saken mente at direktivet ikke gir opphav til en slik «rett til å bli glemt».
EU-begreper
EUs organer vedtar rettslige bestemmelser som med et fellesbegrep kalles rettsakter. To typer rettsakter — direktiv og forordning — er omtalt i teksten. Her er en kort begrepsforklaring:
Forordning: Bindende rettsakt som skal følges i alle detaljer i hele EU, hvor den også har direkte virkning. Når en forordning publiseres i EU-Tidende på EUs 23 offisielle språk, vil f.eks. den danske utgaven utgjøre dansk rett.
Direktiv: Rettsakt som fastsetter mål som landene skal oppnå. Det er opp til hvert enkelt land å velge form og utforme innholdet i nasjonal rett. Direktiver er ofte mer generelt utformet enn forordninger.
Kilde: Europalov.no: Ordliste (pdf)
EU-domstolens generaladvokat var av samme oppfatning og uttalte at man i motsatt fall ville «ofre» ytrings- og informasjonsfriheten på personvernets alter. Han advarte også mot en mellomløsning hvor søkemotorselskapene må avveie hensynet til personvernet og hensynet til ytrings- og informasjonsfriheten, fordi dette etter hans oppfatning ville innebære en form for privat sensur av (lovlig) offentliggjort informasjon og dessuten kunne utsette søkemotorselskapene for et uhåndterlig antall krav om sletting. Generaladvokaten påpekte også faren for at søkemotorselskapene ville kunne reagere med nærmest automatisk aksept av alle krav om sletting, noe som potensielt vil få store konsekvenser for informasjonsfriheten.
Enigheten mellom Google, EU-kommisjonen og generaladvokaten er utvilsomt mye av årsaken til at EU-domstolens avvikende standpunkt kom som en betydelig overraskelse. I all enkelhet viser dommen at EU-domstolen legger større vekt på personvernet og mindre vekt på informasjonsfriheten enn forventet. Det er meget interessant hvordan generaladvokatens mange henvisninger til ytringsfriheten forbigås i stillhet. Den nært beslektede informasjonsfriheten nevnes riktignok flere steder, men den klassifiseres ikke som en grunnleggende rettighet av samme rang som personvernet. Tvert imot gjør EU-domstolen det temmelig klart at personvernet som utgangspunkt og hovedregel må gå foran offentlighetens interesse i å finne personopplysninger gjennom googlesøk – som alt nevnt må det foreligge særlige grunner for at informasjonsfriheten skal gå foran personvernet.
Med dette ikke bare foregriper EU-domstolen forslaget om å innføre en rett til å bli glemt som en del av at EUs nye personvernforordning – ved å slå fast at denne retten kan anføres også overfor søkemotorselskaper som Google, går domstolen enda lenger enn EU-kommisjonens forslag.
Uklare praktiske konsekvenser
Når det likevel er vanskelig å si noe sikkert om hvilke praktiske konsekvenser dommen vil få, skyldes det dels at den etterlater flere ubesvarte spørsmål og dels at det gjenstår å se hvordan Google og andre søkemotorselskaper vil innrette seg for å etterleve dommen.
Hva om Google for enkelhets skyld sletter mer enn påkrevd?
For å ta det siste først: Google har på meget kort tid etablert en midlertidig løsning hvor personer som mener å ha krav på å bli glemt av søkemotoren kan henvende seg til selskapet. Ifølge selskapet mottok man mer enn 12.000 slike krav allerede første dag. Det gjenstår imidlertid å se hvordan Google vil håndtere kravene. EU-domstolen legger opp til at selskapet skal foreta en konkret vurdering av hver enkelt sak, men dette vil være svært ressurskrevende. Det vil dessuten være belastende for Google å bli eksponert som en slags semioffisiell sensurmyndighet. Det er nok derfor ikke utenkelig at generaladvokaten får rett i at selskapet velger å akseptere nær sagt alle krav om sletting. Som et privat selskap har jo ikke Google noen rettslig forpliktelse til å begrense inngrepet i informasjonsfriheten til det strengt nødvendige. Av kommersielle årsaker vil det imidlertid være problematisk for Google dersom andre søkemotorer – som trolig vil få inn langt færre krav om sletting – tar kostnadene med grundigere vurderinger og derfor ender opp med færre «hull» i resultatlistene. Det er derfor forståelig at Google har varslet at man vil tenke nøye gjennom hvordan man skal etterleve EU-domstolens føringer.
Sletting kun av personens navn
I vurderingen av dommens potensielle følger for informasjonsfriheten er det imidlertid viktig å være oppmerksom på at retten til å bli glemt av søkemotorene bare gjelder for søk på en persons navn. Flere av de mest kritiske kommentatorene synes å ha oversett dette vesentlige poenget. Selv om søk på Mario Costeja González’ navn ikke lenger vil vise til avisnotisen om tvangssalget av boligen hans, så vil notisen fortsatt dukke opp om man søker etter tvangsauksjoner i Katalonia e.l.
Blant de nye spørsmål som dommen gir opphav til, er det kanskje særlig unntaket for offentlige personer som må utdypes gjennom fremtidige rettsavgjørelser: Når foreligger det «[a] preponderant interest of the general public» som tilsier at informasjonsfriheten må gå foran personvernet? Og hva om Google for enkelhets skyld sletter mer enn påkrevd? Skal medier som på dette vis blir «sensurert» av Google kunne påklage dette? Hvis ja, hvordan og til hvem?
Dommere setter grenser for politikk
Listen over ubesvarte spørsmål kunne imidlertid enkelt vært gjort lengre. Saken er ganske enkelt at det nesten 20 år gamle personverndirektivet ikke er tilpasset søkemotorenes virksomhet. Forslaget til en ny personvernforordning vil i noen grad avhjelpe dette, men etter dommen fra EU-domstolen bør EUs lovgivende organer klargjøre hvilke følger ulike bestemmelser i den nye forordningen vil få for søkemotorselskapene.
EU-lovgivers muligheter for å skreddersy nye personvernregler for søkemotorselskaper er imidlertid nå begrenset av EU-domstolens syn på avveiningen mellom personvernet og informasjonsfriheten. Domstolens tolkning av artikkel 7 og 8 i EUs Charter om grunnleggende rettigheter etablerer en rettslig ramme som bare kan mykes opp gjennom endring av selve EU-traktaten, noe som er temmelig upraktisk. Dommen er av denne grunn et meget klart uttrykk for rettsliggjøring av det som i realiteten er vanskelige politiske avveininger: I EU er det til syvende og sist opp til juristene i EU-domstolen, ikke politikerne i EUs lovgivende organer, å avveie personvernet mot informasjonsfriheten.
Kronglete og lite prinsipielt
Uavhengig av hva man måtte mene om den avveiningen som EU-domstolen kom frem til, så er det problematisk at dommen ikke akkurat er lettlest. Domsgrunnene er kronglete, tekniske og postulerende snarere enn åpent drøftende. Generaladvokatens innvendinger forbigås i stillhet og det gis ikke egentlig noen prinsipiell begrunnelse for den avveiningen av personvernet mot informasjonsfriheten som deretter legges til grunn for tolkningen av de ulike bestemmelsene i personverndirektivet. Relevant rettspraksis fra Menneskerettighetsdomstolen i Strasbourg omtales ikke med ett eneste ord. Og forbudet mot offentlige dissenser leder til at man ikke får vite om det var intern uenighet i dommerkollegiet.
Kontrasten er stor til de åpne og prinsipielt anlagte votaene man kunne forventet fra for eksempel U.S. Supreme Court i en tilsvarende sak. Amerikanske kommentatorer har nok fått med seg at man i Europa avveier personvernet og informasjonsfriheten på en annen måte enn i USA, men det er svært tvilsomt om EU-domstolens begrunnelse er egnet til å overbevise noen på den andre siden av Atlanterhavet.
Hva så med Norge? Som alt nevnt er personverndirektivet innlemmet i EØS-avtalen. I praksis vil derfor EU-domstolens avveining av personvernet mot informasjonsfriheten være styrende også for Norge. Hva norske jurister og politikere måtte mene om spørsmålet er derfor sørgelig uinteressant – her som ellers er vi i realiteten henvist til å ta utviklingen i EU til etterretning.
En liten akademisk kjepphest her, Håvard: Du lenker til den danske oversettelsesversjonen av EU-domstolens prejudisielle uttalelse, men siterer fra den engelske versjonen. Som kjent er kun den spanske versjonen autentisk, uten at jeg kan nok spansk til å si om det er meningsforskjell i den danske eller engelske versjonen. Men slike ting vet at du er opptatt av ellers i ditt virke! :)