Google og EU: Retten til å bli glemt mot retten til å få vite

Vil du bli glemt av Google? EU-domstolens oppsiktsvekkende dom styrker personvernet, men etterlater mange ubesvarte spørsmål.

EU-dom­stolens dom i Google-sak­en har fått en svært bland­et mot­takelse. EU-kom­misjo­nens visepres­i­dent Viviane Red­ing hyller dom­men som «a clear vic­to­ry for the pro­tec­tion of per­son­al data of Euro­peans» og leser den som en bekref­telse på Kom­misjo­nens arbeid for å opp­datere per­son­ver­net fra «the dig­i­tal stone age» og til dagens dig­i­tale virkelighet.

Google selv har nøyd seg med å beteg­ne dom­men som over­rask­ende og skuf­fende, men særlig amerikanske kom­men­ta­tor­er har fordømt den som et sjokkerende angrep på fri­heten til å bli informert — infor­masjons­fri­heten — og dermed på selve ideen om et fritt Inter­nett. De fleste reak­sjonene fra europeiske kom­men­ta­tor­er er mer nyanserte. Det er ingen tvil om at dom­men leg­ger klare føringer i ret­ning av styr­ket per­son­vern, men den etter­later sam­tidig en rekke ubesvarte spørsmål som gjør at det er for tidlig å si noe sikkert om hvilke prak­tiske føl­ger den vil få.

Slette “irrelevante” søkeresultater

Meget kort for­t­alt har EU-dom­stolen avgjort at per­son­verndi­rek­tivet (direk­tiv 95/46/EF) som utgangspunkt og hov­e­dregel gir enkelt­per­son­er rett til å kreve at søke­mo­torsel­skaper som Google slet­ter søk­ere­sul­tater som er «inad­e­quate», «irrel­e­vant», «no longer rel­e­vant» eller «exces­sive» (avs­nitt 94 i dommen).

Ifølge EU-dom­stolen må nem­lig bestem­melsene i EUs Char­ter om grunn­leggende ret­tigheter som gjelder respekt for pri­vatlivet (artikkel 7) og vern av per­son­op­plysninger (artikkel 8) i prin­sip­pet gå foran offent­lighetens inter­esse i å finne slike opplysninger ved søk på den aktuelle per­so­n­ens navn (avs­nitt 97 i dommen).

Unntak fra dette utgangspunk­tet krev­er særlige grun­ner («par­tic­u­lar rea­sons»), noe som først og fremst vil være aktuelt for offentlige per­son­er. Selv her krev­er imi­dler­tid EU-dom­stolen at det fore­lig­ger en tungtveiende offentlig inter­esse («[a] pre­pon­der­ant inter­est of the gen­er­al pub­lic») for at infor­masjons­fri­heten skal gå foran personvernet.

Per­son­verndi­rek­tivet er innlem­met i EØS-avtal­en og det er liten grunn til å tolke det på noen annen måte i EØS-rettslig sam­men­heng. Om spørsmålet skulle bli reist for EFTA-dom­stolen, vil den tem­melig sikkert legge EU-dom­stolens syn til grunn. Dom­men må der­for kunne påberopes også av norske borg­ere som ønsker å bli glemt av Google eller andre søkemotorselskaper.

Google mot Mario Costeja González

I den konkrete sak­en mel­lom Google og Mario Coste­ja González slo EU-dom­stolen fast at Google må sørge for at søk på González’ navn ikke lenger vis­er til en 16 år gam­mel notis i en kata­lan­sk avis som oppl­yser om tvangsauk­sjon av boli­gen hans for å dekke gjeld til sosialt­jen­esten. Den endelige avveinin­gen ble rik­tig­nok som van­lig over­latt til de nasjonale dom­sto­lene, men EU-dom­stolen karak­teris­erte de aktuelle opplysnin­gene som føl­somme for González’ pri­vatliv, viste til tids­for­løpet på 16 år og la til at det ikke synes å fore­ligge tungtveiende offentlig inter­esse av opplysningene.

På veien frem til denne kon­klusjo­nen besvarte EU-dom­stolen flere meget vik­tige spørsmål knyt­tet til rekke­v­id­den av EUs personvernlovgivning.

1. Google behandler personopplysninger

For det første slår dom­men fast at søke­mo­tor­er som Google dri­ver en aktivitet som er omfat­tet av per­son­verndi­rek­tivet. Det bærende syn­spunkt er at når søke­mo­tor­er sys­tem­a­tisk og kon­tin­uerlig gjen­nomgår all infor­masjon som pub­lis­eres på Inter­nett for å gjøre den søk­bar, er dette behan­dling av personopplysninger.

En rett til å bli glemt? Googles eget forslag til søkeord.

En rett til å bli glemt? Googles eget forslag til søkeord.

Dom­stolen lot seg ikke over­be­vise av Googles argu­ment om at søke­mo­tor­er fall­er uten­for direk­tivet for­di de ikke skiller mel­lom per­son­op­plysninger og annen infor­masjon. Ifølge EU-dom­stolen er det tilstrekke­lig at per­son­op­plysninger inngår i den infor­masjo­nen som behan­dles. At opplysnin­gene allerede er blitt offentlig­gjort på Inter­nett av andre og ikke på noe vis endres av Google, hin­dr­er ikke at Google «behan­dler» opplysnin­gene i direk­tivets forstand.

2. Google er “registeransvarlig”

For det annet slår dom­men fast at et sel­skap som dri­ver en søke­mo­tor, er å anse som «reg­is­ter­ans­varlig» i hen­hold til per­son­verndi­rek­tivet. Google argu­menterte forgjeves med at sel­skapet ikke er reg­is­ter­ans­varlig for­di det verken har kjennskap til eller kon­troll med infor­masjo­nens innhold. En av EU-dom­stolens medlem­mer, gen­er­al­ad­vokat­en som i juni 2013 kom med sitt forslag til hvor­dan sak­en burde løs­es, sa seg langt på vei enig med Google på dette punkt.

EU-dom­stolens dom­mere la imi­dler­tid større vekt på for­måls- og kon­sekvens­be­trak­t­ninger: Det er vik­tig at søke­mo­torsel­skaper som Google omfattes av direk­tivet for­di deres virk­somhet kan gripe inn i per­son­ver­net på et særlig omfat­tende vis. Google gjør per­son­op­plysninger tilgjen­gelige for enhver inter­net­tbruk­er, herun­der inter­net­tbrukere som ellers ikke ville fun­net frem til den nett­side hvor opplysnin­gene er offentlig­gjort. På sett og vis er jo dette hele poenget med Google. EU-dom­stolens reson­nement er ganske enkelt at det net­topp av denne grunn er vik­tig at søke­mo­torsel­skaper anerk­jennes som ans­varssub­jekt under direktivet.

3. Gjelder ikke-europeiske selskaper

For det tred­je slår dom­men fast at per­son­verndi­rek­tivet gjelder for ikke-europeiske søke­mo­torsel­skaper der­som de har en fil­ial eller et dat­tersel­skap i et EU-land som markeds­før­er og sel­ger reklame­plass (slik som Google Spain i den konkrete sak­en). Google innvendte at sel­skapets europeiske dat­tersel­skaper ikke behan­dler noen per­son­op­plysninger etter­som de ikke har noe som helst med Googles søke­mo­tor å gjøre – Google Search dri­ves av morsel­skapet Google Inc., som er hjem­me­hørende i Cal­i­for­nia, USA. EU-dom­stolen viste imi­dler­tid til at Google Spains salg av reklame­plass er uløselig for­bun­det med driften av søke­mo­toren og at hen­synet til effek­tiv beskyt­telse av borg­ernes grunn­leggende ret­tigheter tilsi­er at per­son­verndi­rek­tivet må komme til anven­delse også på behan­dling av per­son­op­plysninger som skjer i regi av Google Search.

Tre­ff kan kre­ves slet­tet selv om infor­ma­sjo­nen på den aktu­elle nett­si­den er lov­lig publisert

Dette stand­punk­tet er vik­tig ikke bare i et per­son­vern­per­spek­tiv, men også for den europeiske inter­net­tin­dus­triens mulighet til å konkur­rere med aktør­er fra andre ver­dens­del­er. En rettstil­stand hvor for eksem­pel amerikanske sel­skaper kunne unnslippe EUs per­son­vernlov­givn­ing gjen­nom å legge all behan­dling av EU-borg­eres per­son­op­plysninger til dat­tersel­skaper uten­for EU, ville være øde­leggende for europeiske sel­skapers forsøk på å ta opp konkur­ransen. EU-dom­stolens enkle reson­nement er at der­som man tjen­er penger i EU, så kom­mer EUs per­son­vernlov­givn­ing til anvendelse.

Med dette har dom­stolen i realiteten fore­grepet – og dermed sam­tidig forhånds­god­kjent – Kom­misjo­nens forslag om at EUs nye per­son­vern­forord­ning skal gjelde også for ikke-europeiske sel­skaper så lenge disse tilbyr var­er eller tjen­ester i EU. Rettspoli­tisk er stand­punk­tet velkom­ment, men det må være lov å karak­teris­ere EU-dom­stolens tolkn­ing av det ter­ri­to­rielle anven­delsesom­rådet for dagens per­son­verndi­rek­tiv som tem­melig frisk.

4. Du kan kreve at Google sletter

For det fjerde slår dom­men fast at enkelt­per­son­er kan frem­sette et krav om slet­ting direk­te over­for søke­mo­torsel­skapene. Google hevdet forgjeves at krav om slet­ting alltid må rettes mot den som har pub­lis­ert de aktuelle opplysnin­gene på Inter­nett. EU-dom­stolen fremhevet imi­dler­tid søke­mo­torsel­skapenes selvs­tendi­ge ans­var for de per­son­op­plysninger som de behan­dler. Også på dette punkt i dom­men fremheves søke­mo­torenes helt sen­trale rolle i sam­fun­net: Søke­mo­torenes sys­tem­a­tis­er­ing av per­son­op­plysninger som er lagt ut på net­tet rep­re­sen­ter­er et mer alvorlig inngrep i per­son­ver­net enn den opprin­nelige pub­lis­erin­gen av enkel­top­plysninger net­topp for­di et googlesøk gjør det mulig å sette sam­men en detal­jert pro­fil av en per­son og for­di inter­net­tets tilgjen­ge­lighet gir infor­masjo­nen et allest­ed­snærværende preg.

Også her leg­ger EU-dom­stolen avgjørende vekt på for­måls- og kon­sekvens­be­trak­t­ninger: Når det er resul­tatlis­ten etter et googlesøk som er det største prob­lemet for borg­ere som ønsker å verne om sitt pri­vatliv, er det kort og godt mest effek­tivt at krav om slet­ting kan fremmes direk­te over­for søkemotorselskapet.

5. Ikke journalistisk unntak for søkemotorer

For det femte innebær­er søke­mo­torsel­skapenes selvs­tendi­ge ans­var for de per­son­op­plysninger som de behan­dler at tre­ff kan kreves slet­tet selv om infor­masjo­nen på den aktuelle nettsi­den er lovlig pub­lis­ert. Dette er en meget vik­tig avk­lar­ing, både prak­tisk og prinsipielt.

EU-dom­stolen leg­ger større vekt på per­son­ver­net og min­dre vekt på infor­ma­sjons­fri­he­ten enn forventet

Den konkrete tvis­ten mel­lom Google og Mario Coste­ja González er illus­tr­erende. González krevde opprin­nelig at også den kata­lanske avisen som hadde pub­lis­ert notisen om tvangssal­get av boli­gen hans, skulle fjerne infor­masjo­nen fra net­tet. Dette kravet ble imi­dler­tid avvist av det spanske datatil­synet, som viste til at per­son­verndi­rek­tivet gjør unntak for offentlig­gjøring av per­son­op­plysninger som skjer i jour­nal­is­tisk øyemed. Ifølge EU-dom­stolen kan ikke søke­mo­torsel­skaper som Google påberope seg dette unntaket. Også i til­feller hvor dette unntaket ikke er aktuelt, kan det tenkes at Google må slette tre­ff selv om det ikke er grunnlag for noe krav om slet­ting mot den som har pub­lis­ert de aktuelle opplysnin­gene på Inter­nett. Både hen­synet til ytrings­fri­heten og den oms­tendighet at offentlig­gjøring av per­son­op­plysninger på en nett­side med en begrenset leserkrets rep­re­sen­ter­er et min­dre inngrep i pri­vatlivets fred, kan føre til at Google må forholde seg til stren­gere rettslige krav enn dem som har pub­lis­ert de aktuelle opplysnin­gene på nettet.

Dommerne mot røkla

Først etter å ha ryd­det av veien alle disse under­prob­lem­still­in­gene kunne EU-dom­stolen gi seg i kast med spørsmålet om per­son­verndi­rek­tivet gir borg­erne rett til å kreve slet­tet hen­vis­ninger til per­son­op­plysninger som i og for seg er rik­tige, men som ved­k­om­mende ønsker at skal «bli glemt». På dette punkt stod Mario Coste­ja González nok­så alene – ikke bare Google, men også EU-kom­misjo­nen og de fleste av de EU-statene som involverte seg i sak­en mente at direk­tivet ikke gir opphav til en slik «rett til å bli glemt».

EU-begreper
EUs organ­er ved­tar rettslige bestem­melser som med et felles­be­grep kalles rettsak­ter. To typer rettsak­ter — direk­tiv og forord­ning — er omtalt i tek­sten. Her er en kort begrepsforklaring:

Forord­ning: Bindende rettsakt som skal følges i alle detal­jer i hele EU, hvor den også har direk­te virkn­ing. Når en forord­ning pub­lis­eres i EU-Tidende på EUs 23 off­isielle språk, vil f.eks. den danske utgaven utgjøre dan­sk rett.

Direk­tiv: Rettsakt som fast­set­ter mål som lan­dene skal opp­nå. Det er opp til hvert enkelt land å velge form og utforme innhold­et i nasjon­al rett. Direk­tiv­er er ofte mer generelt utformet enn forordninger.

Kilde: Europalov.no: Ordliste (pdf)

EU-dom­stolens gen­er­al­ad­vokat var av samme opp­fat­ning og uttalte at man i mot­satt fall ville «ofre» ytrings- og infor­masjons­fri­heten på per­son­ver­nets alter. Han advarte også mot en mel­lom­løs­ning hvor søke­mo­torsel­skapene må avveie hen­synet til per­son­ver­net og hen­synet til ytrings- og infor­masjons­fri­heten, for­di dette etter hans opp­fat­ning ville innebære en form for pri­vat sen­sur av (lovlig) offentlig­gjort infor­masjon og dessuten kunne utsette søke­mo­torsel­skapene for et uhåndterlig antall krav om slet­ting. Gen­er­al­ad­vokat­en påpek­te også faren for at søke­mo­torsel­skapene ville kunne rea­gere med nærmest automa­tisk aksept av alle krav om slet­ting, noe som poten­sielt vil få store kon­sekvenser for informasjonsfriheten.

Enigheten mel­lom Google, EU-kom­misjo­nen og gen­er­al­ad­vokat­en er utvil­somt mye av årsak­en til at EU-dom­stolens avvikende stand­punkt kom som en bety­delig over­raskelse. I all enkel­het vis­er dom­men at EU-dom­stolen leg­ger større vekt på per­son­ver­net og min­dre vekt på infor­masjons­fri­heten enn for­ven­tet. Det er meget inter­es­sant hvor­dan gen­er­al­ad­vokatens mange hen­vis­ninger til ytrings­fri­heten for­bigås i still­het. Den nært beslek­t­ede infor­masjons­fri­heten nevnes rik­tig­nok flere sted­er, men den klas­si­fis­eres ikke som en grunn­leggende ret­tighet av samme rang som per­son­ver­net. Tvert imot gjør EU-dom­stolen det tem­melig klart at per­son­ver­net som utgangspunkt og hov­e­dregel må gå foran offent­lighetens inter­esse i å finne per­son­op­plysninger gjen­nom googlesøk – som alt nevnt må det fore­ligge særlige grun­ner for at infor­masjons­fri­heten skal gå foran personvernet.

Med dette ikke bare fore­griper EU-dom­stolen forslaget om å inn­føre en rett til å bli glemt som en del av at EUs nye per­son­vern­forord­ning – ved å slå fast at denne ret­ten kan anføres også over­for søke­mo­torsel­skaper som Google, går dom­stolen enda lenger enn EU-kom­misjo­nens forslag.

Uklare praktiske konsekvenser

Når det likev­el er vanske­lig å si noe sikkert om hvilke prak­tiske kon­sekvenser dom­men vil få, skyldes det dels at den etter­later flere ubesvarte spørsmål og dels at det gjen­står å se hvor­dan Google og andre søke­mo­torsel­skaper vil innrette seg for å etter­leve dommen.

Hva om Google for enkel­hets skyld slet­ter mer enn påkrevd?

For å ta det siste først: Google har på meget kort tid etablert en midler­tidig løs­ning hvor per­son­er som men­er å ha krav på å bli glemt av søke­mo­toren kan hen­vende seg til sel­skapet. Ifølge sel­skapet mot­tok man mer enn 12.000 slike krav allerede første dag. Det gjen­står imi­dler­tid å se hvor­dan Google vil håndtere kravene. EU-dom­stolen leg­ger opp til at sel­skapet skal fore­ta en konkret vur­der­ing av hver enkelt sak, men dette vil være svært ressurskrevende. Det vil dessuten være belas­tende for Google å bli ekspon­ert som en slags semi­off­isiell sen­surmyn­dighet. Det er nok der­for ikke utenke­lig at gen­er­al­ad­vokat­en får rett i at sel­skapet vel­ger å akseptere nær sagt alle krav om slet­ting. Som et pri­vat sel­skap har jo ikke Google noen rettslig for­p­lik­telse til å begrense inngrepet i infor­masjons­fri­heten til det strengt nød­vendi­ge. Av kom­mer­sielle årsak­er vil det imi­dler­tid være prob­lema­tisk for Google der­som andre søke­mo­tor­er – som trolig vil få inn langt færre krav om slet­ting – tar kost­nadene med grundi­gere vur­deringer og der­for ender opp med færre «hull» i resul­tatlis­tene. Det er der­for forståelig at Google har varslet at man vil tenke nøye gjen­nom hvor­dan man skal etter­leve EU-dom­stolens føringer.

Sletting kun av personens navn

I vur­derin­gen av dom­mens poten­sielle føl­ger for infor­masjons­fri­heten er det imi­dler­tid vik­tig å være opp­merk­som på at ret­ten til å bli glemt av søke­mo­torene bare gjelder for søk på en per­sons navn. Flere av de mest kri­tiske kom­men­ta­torene synes å ha over­sett dette vesentlige poenget. Selv om søk på Mario Coste­ja González’ navn ikke lenger vil vise til avis­no­tisen om tvangssal­get av boli­gen hans, så vil notisen fort­satt dukke opp om man søk­er etter tvangsauk­sjon­er i Kat­alo­nia e.l.

Blant de nye spørsmål som dom­men gir opphav til, er det kan­skje særlig unntaket for offentlige per­son­er som må utdypes gjen­nom frem­tidi­ge rettsavgjørelser: Når fore­lig­ger det «[a] pre­pon­der­ant inter­est of the gen­er­al pub­lic» som tilsi­er at infor­masjons­fri­heten må gå foran per­son­ver­net? Og hva om Google for enkel­hets skyld slet­ter mer enn påkrevd? Skal medi­er som på dette vis blir «sen­sur­ert» av Google kunne påk­lage dette? Hvis ja, hvor­dan og til hvem?

Dommere setter grenser for politikk

Lis­ten over ubesvarte spørsmål kunne imi­dler­tid enkelt vært gjort lengre. Sak­en er ganske enkelt at det nesten 20 år gam­le per­son­verndi­rek­tivet ikke er tilpas­set søke­mo­torenes virk­somhet. Forslaget til en ny per­son­vern­forord­ning vil i noen grad avh­jelpe dette, men etter dom­men fra EU-dom­stolen bør EUs lov­givende organ­er klargjøre hvilke føl­ger ulike bestem­melser i den nye forord­nin­gen vil få for søkemotorselskapene.

EU-lov­givers muligheter for å skred­der­sy nye per­son­vern­re­gler for søke­mo­torsel­skaper er imi­dler­tid nå begrenset av EU-dom­stolens syn på avveinin­gen mel­lom per­son­ver­net og infor­masjons­fri­heten. Dom­stolens tolkn­ing av artikkel 7 og 8 i EUs Char­ter om grunn­leggende ret­tigheter etablerer en rettslig ramme som bare kan mykes opp gjen­nom endring av selve EU-trak­tat­en, noe som er tem­melig uprak­tisk. Dom­men er av denne grunn et meget klart uttrykk for rettslig­gjøring av det som i realiteten er vanske­lige poli­tiske avveininger: I EU er det til syvende og sist opp til juris­tene i EU-dom­stolen, ikke poli­tik­erne i EUs lov­givende organ­er, å avveie per­son­ver­net mot informasjonsfriheten.

Kronglete og lite prinsipielt

Uavhengig av hva man måtte mene om den avveinin­gen som EU-dom­stolen kom frem til, så er det prob­lema­tisk at dom­men ikke akku­rat er let­tlest. Doms­grunnene er kro­n­glete, tekniske og pos­tulerende snarere enn åpent drøf­tende. Gen­er­al­ad­vokatens innvendinger for­bigås i still­het og det gis ikke egentlig noen prin­sip­iell begrun­nelse for den avveinin­gen av per­son­ver­net mot infor­masjons­fri­heten som deretter legges til grunn for tolknin­gen av de ulike bestem­melsene i per­son­verndi­rek­tivet. Rel­e­vant rettsprak­sis fra Men­neskerettighets­dom­stolen i Stras­bourg omtales ikke med ett eneste ord. Og for­budet mot offentlige dis­senser led­er til at man ikke får vite om det var intern uenighet i dommerkollegiet.

Kon­trasten er stor til de åpne og prin­sip­ielt anlagte votaene man kunne for­ven­tet fra for eksem­pel U.S. Supreme Court i en tilsvarende sak. Amerikanske kom­men­ta­tor­er har nok fått med seg at man i Europa avveier per­son­ver­net og infor­masjons­fri­heten på en annen måte enn i USA, men det er svært tvil­somt om EU-dom­stolens begrun­nelse er egnet til å over­be­vise noen på den andre siden av Atlanterhavet.

Hva så med Norge? Som alt nevnt er per­son­verndi­rek­tivet innlem­met i EØS-avtal­en. I prak­sis vil der­for EU-dom­stolens avvein­ing av per­son­ver­net mot infor­masjons­fri­heten være styrende også for Norge. Hva norske juris­ter og poli­tikere måtte mene om spørsmålet er der­for sørgelig uin­ter­es­sant – her som ellers er vi i realiteten hen­vist til å ta utviklin­gen i EU til etterretning.

TEMA

Y

tringsf
rihet

64 ARTIKLER FRA VOX PUBLICA

FLERE KILDER - FAKTA - KONTEKST

1 KOMMENTAR

  1. Rudi Wiers says:

    En liten akademisk kjep­ph­est her, Håvard: Du lenker til den danske over­set­telsesver­sjo­nen av EU-dom­stolens prej­u­d­isielle uttalelse, men siter­er fra den engelske ver­sjo­nen. Som kjent er kun den spanske ver­sjo­nen aut­en­tisk, uten at jeg kan nok span­sk til å si om det er menings­forskjell i den danske eller engelske ver­sjo­nen. Men slike ting vet at du er opp­tatt av ellers i ditt virke! :)

til toppen