Exploitant zoekmachine verantwoordelijk voor door hem verrichte verwerking van persoonsgegevens, die zijn gepubliceerd op websites van derden

Verwerking van persoonsgegevens door exploitant van zoekmachine in zoekresultaten. Exploitant van zoekmachine is verantwoordelijke voor deze verwerking: stelt doel van en middelen voor de verwerking vast. Verwerking persoonsgegevens door zoekmachine wordt verricht in kader van activiteiten van vestiging van verantwoordelijke op grondgebied van lidstaat, wanneer vestiging is opgericht ten behoeve van promotie en verkoop van door zoekmachine aangeboden advertentieruimte. Exploitant zoekmachine kan onder bepaalde voorwaarden verplicht zijn om links naar door derden gepubliceerde webpagina’s met persoonsgegevens uit zoekresultaten te verwijderen, zelfs indien publicatie ervan op deze webpagina’s rechtmatig is. Recht om vergeten te worden, wanneer verwerking door zoekmachine thans onverenigbaar is met richtlijn, tenzij bijzondere redenen zich hiertegen verzetten.

PERSOONSGEGEVENS

In 2010 heeft Mario Costeja González, Spaans staatsburger, bij het Spaanse agentschap voor de gegevensbescherming (AEPD) een klacht ingediend tegen de Spaanse uitgever La Vanguardia en tegen Google Spain. Met deze klacht verzocht Costeja González ten eerste dat La Vanguardia zou worden gelast twee artikelen van haar website te verwijderen dan wel te wijzigen (zodat zijn persoonsgegevens niet langer zichtbaar zouden zijn) en ten tweede dat Google Spain zou worden gelast zijn persoonsgegevens te verwijderen of te maskeren zodat deze van de resultatenlijsten en van de koppelingen van La Vanguardia zouden verdwijnen. De AEPD heeft de tegen La Vanguardia ingediende klacht afgewezen en daarbij geoordeeld dat het dagblad de betrokken informatie rechtmatig had gepubliceerd.

Daarentegen is de tegen Google Spain ingediende klacht gegrond verklaard en is Google Spain gelast de nodige maatregelen te treffen om de persoonsgegevens uit haar index te verwijderen en de toegang daartoe voor de toekomst onmogelijk te maken. Google Spain heeft tegen deze beslissing beroep ingesteld bij de Audiencia Nacional, die vervolgens een reeks vragen aan het HvJEU heeft gesteld. Het verzoek om een prejudiciële beslissing betreft de uitlegging van de gegevensbeschermingsrichtlijn.

Het Hof stelt voorop dat de exploitant van een zoekmachine persoonsgegevens verwerkt door het geautomatiseerd, onophoudelijk en systematisch op het internet verzamelen, opvragen, vastleggen, ordenen en op zijn servers bewaren van persoonsgegevens, en het verstrekken en ter beschikking stellen van deze gegevens aan gebruikers in de vorm van resultatenlijsten van hun zoekopdrachten. Hierbij is niet van belang dat de exploitant dezelfde verrichtingen verricht op andere soorten informatie, niet zijnde persoonsgegevens, en daarbij geen onderscheid maakt tussen deze informatie en persoonsgegevens. Het feit dat de persoonsgegevens reeds op het internet zijn gepubliceerd en niet door de zoekmachine zijn gewijzigd doet evenmin hieraan af. De exploitant van de zoekmachine dient vervolgens als verantwoordelijke voor deze verwerking beschouwd te worden, aangezien hij het doel van en de middelen voor deze verwerking vaststelt.

Vervolgens oordeelt het Hof dat de verwerking van persoonsgegevens door een zoekmachine plaats vindt in het kader van de activiteiten van een vestiging (Google Spain) van de voor de verwerking verantwoordelijke (Google Inc.) op het grondgebied van een lidstaat, wanneer deze vestiging is opgericht ten behoeve van promotie en verkoop van de door deze zoekmachine aangeboden advertentieruimte.

Wat betreft de omvang van de verantwoordelijkheid van de exploitant van de zoekmachine, kan deze exploitant onder bepaalde voorwaarden verplicht zijn om van de resultatenlijst die na een zoekopdracht op de naam van een persoon wordt weergegeven, koppelingen te verwijderen naar door derden gepubliceerde webpagina’s waarop informatie over deze persoon is te vinden. Dit geldt ook indien deze naam of deze informatie niet vooraf of gelijktijdig van deze webpagina’s is gewist en zelfs wanneer de publicatie ervan op deze webpagina’s op zich rechtmatig is.

De betrokkene kan dergelijke verzoeken rechtstreeks aan de exploitant van de zoekmachine richten, dan wel aan de toezichthoudende autoriteit of de rechter. Indien na een verzoek van de betrokkene is vastgesteld dat de opneming van deze koppelingen in de resultatenlijst thans onverenigbaar is met de richtlijn (en dus zelfs na een aanvankelijk rechtmatige verwerking van juiste gegevens), omdat deze gegevens ontoereikend, niet of niet meer ter zake dienend of bovenmatig zijn ten aanzien van het doel waarvoor zij zijn verwerkt en de verstreken tijd, dienen de in deze lijst weergegeven informatie en koppelingen te worden gewist ("recht om vergeten te worden"). Dit zal echter niet het geval zijn, indien de inmenging in de grondrechten van de betrokkene wegens bijzondere redenen, zoals de rol die deze persoon speelt in het openbare leven, wordt gerechtvaardigd door het overwegende belang dat het publiek erbij heeft om toegang tot de betrokken informatie te krijgen.

IEPT20140513, HvJEU, Google Spain v AEPD

Het perscommuniqué vindt u hier.