Het Hof van Justitie heeft op 13 mei 2014
een baanbrekend arrest gewezen over de rol van Google met betrekking tot het privacyrecht. Het Hof oordeelt dat Google (ook) voor de in de zoekindex opgenomen gegevens moet voldoen aan de strenge regels van het privacyrecht. Dit betekent onder meer dat iedereen die opgenomen is in die index nu een verzoek tot inzage, correctie en verwijdering kan indienen. De vraag is hoe Google op de uitspraak zal reageren.
Achtergronden bij het arrest
De achtergronden bij het arrest zijn redelijk overzichtelijk. In de Spaanse krant La Vanguardia van 19 januari en 9 maart 1998 stond gepubliceerd dat gebouwen van dhr. Costeja González, een Spaanse burger, per opbod zouden worden verkocht vanwege terugvordering van sociale zekerheidsschulden. Het archief van deze krant stond kennelijk integraal op internet, want dhr. Costeja González ontdekte dat wie zijn naam intypte op Google, al snel bij deze oude krantenartikelen terechtkwam.
Dhr. González diende daarop bij de Spaanse toezichthouder een verzoek in om zowel de krant als Google te gelasten deze gegevens te verwijderen. De Spaanse toezichthouder wees dit verzoek ten aanzien van de krant af en ten aanzien van Google toe. Google ging daarop in beroep bij de Spaanse rechter, die vervolgens vragen van uitleg stelde aan het Hof van Justitie.
Pragmatische benadering advocaat-generaal
Alvorens in te gaan op het arrest van het Hof van Justitie, sta ik allereerst kort stil bij de conclusie van de advocaat-generaal in deze kwestie (een adviseur van het Hof). In deze (omvangrijke) conclusie bepleitte de A-G namelijk een (enigszins) pragmatische benadering van het privacyrecht. Hij stelde namelijk voor - en ik parafraseer het wat - om het privacyrecht niet toe te passen op aanbieders van zoekmachines, voor zover zij gegevens kopieren voor hun zoekindex (tenzij ze bij dat kopieren de wensen van websitehouders negeren). Of anders gezegd: wie volautomatisch gegevens kopieert en daarbij min of meer "toevallig" ook persoonsgegevens kopieert, valt nog niet direct onder het privacyrecht. De achtergrond bij deze meer pragmatische benadering was o.m. dat het privacyrecht is vormgegeven in een tijd dat niemand nog kon voorzien dat iedere moderne dienst bijna automatisch de verwerking van persoonsgegevens met zich meebrengt. Zoals hierna zal blijken kiest het Hof echter voor een radicaal andere koers.
Hof van Justitie: Google is verantwoordelijke
Het Hof van Justitie hanteert een vrij rechtlijnige redenering: het begrip verwerken van persoonsgegevens is heel ruim omschreven in de privacyrichtlijn (r/o 25), wat Google doet valt onder die omschrijving (r/o 28), het overnemen van reeds gepubliceerde gegevens ontslaat iemand niet van eigen privacyrechtelijke verantwoordelijkheden (r/o 29-31) en Google stelt bovendien zelf het doel en middelen van dit gehele proces vast (r/o 32-33). Google is daarmee aan te merken als verantwoordelijke.
Dat Google de inhoud van de geindexeerde pagina's niet controleert vindt het Hof niet relevant, nu dit immers afbreuk zou doen aan de privacy van de betrokkenen (r/o 34). Daarbij lijkt zwaar mee te wegen dat zoekmachines het eenvoudiger maken een inbreuk te plegen op het priveleven van iemand (r/o 36-38). Dat de website-eigenaren geen uitlsuitingscodes hebben toegevoegd, ontslaat Google niet van de eigen verantwoordelijkheid (r/o 39-41).
De redenering van het Hof is eigenlijk wel elegant in zijn eenvoud: verwerken is nu eenmaal ruim omschreven en Google valt onder die ruime omschrijving. Dat dit verstrekkende consequenties heeft, zal hierna blijken.
Europees privacyrecht is van toepassing op Google
In deze kwestie speelde ook de vraag of het Europese privacyrecht wel van toepassing is op een buitenlandse partij. De Europese privacyrichtlijn kent hiervoor een hele genuanceerde (of zo u wilt: complexe) regeling. Het Hof van Justitie pakt het geheel echter wat pragmatischer aan.
Google had (samengevat) betoogd dat het Spaanse kantoor slechts een verkoopkantoor voor de (Spaanse) advertenties is en dat alle diensten met betrekking tot de zoekindex vanuit de USA worden verricht. En in de USA is de de Spaanse toezichthouder niet bevoegd.
Het Hof van Justitie volgt deze lijn echter niet. In enkele rechtsvormende overwegingen wordt gesteld dat voor toepasselijkheid van Europees recht niet per se vereist is dat de Europese vestiging ook persoonsgegevens verwerkt (r/o 52) en dat een te strikte lezing van de (genuanceerde) regels over toepasselijkheid van Europees recht afbreuk zou doen aan de privacy van de betrokkenen (r/o 53-54). Om die redenen moet het verkoopkantoor als het ware als de "verlengde arm" worden gezien van Google USA, mede omdat de advertentieverkoop en de zoekdiensten "onlosmakelijk met elkaar verbonden" zijn (r/o 56).
Hoog niveau van privacybescherming
Het Hof overweegt vervolgens dat het Europese privacyrecht een hoog niveau van bescherming beoogt (r/o 66) en dat het privacyrecht moet worden uitgelegd op basis van de grondrechten en de algemene rechtsbeginselen van de Unie (r/o 68). Alle verwerkingen van persoonsgegevens moeten aan deze hoge normen en de normen van de privacyrichtijn voldoen (r/o 73).
Correctierecht bedoeld ter correctie van onrechtmatige verwerkingen
De privacyrichtlijn geeft de betrokkene een inzage, correctie en verzetrecht. In de richtlijn staat dat het correctierecht bedoeld is " met name op grond van het onvolledige of onjuiste karakter van de gegevens". Het Hof benadrukt dat het correctierecht echter breder bedoeld is dan alleen ter correctie van onvolledige of onjuiste gegevens. Het is bedoeld om alle onrechtmatige vormen van gegevensverwerking te corrigeren:
Grondslag gerechtvaardigd belang, dus verzet staat open
Het Hof geeft echter ook een tweede spoor dat gehanteerd kan worden. Het wijst er namelijk op dat de grondslag voor de verwerkingen die Google verricht het gerechtvaardigd belang kan zijn (r/o 73). Die grondslag vergt een afweging van belangen (r/o 74), welke afweging nogmaals (en specifieker) moet worden gemaakt op het moment dat de betrokkene zijn rech van verzet inroept (r/o 75-77).
Omstandigheden om mee te wegen
Zowel bij een verzoek tot correctie als het doen van verzet, zijn de feiten en omstandigheden van groot belang. Er moet immers in beide gevallen een hernieuwde belangenafweging plaatsvinden.
Het is in dat kader (zeer) opvallend dat het Hof feiten en omstandigheden aanvoert die allemaal in het voordeel van de betrokkene wegen. Zo is relevant dat een zoekmachine een "ernstige" inbreuk op het priveleven mogelijk maakt door een overzicht over een persoon te bieden dat zonder een zoekmachine niet mogelijk was geweest (r/o 80) en het economisch belang van de zoekmachineexploitant en het belang van internetter bij vrije beschikbaarheid van informatie wegen in principe allebei niet zwaarder (r/o 81). Dit is alleen anders indien de persoon een rol van publieke betekenis speelt.
Geen absoluut verwijderingsrecht
Levert dit nu een absoluut recht van verwijdering uit de Google-index op? Nee, anders dan wel in sommige media is te lezen. Het Hof zegt in feite alleen maar dat er een recht bestaat om een verwijderingsverzoek in te dienen. Google moet daar vervolgens op reageren. Bij de beantwoording moet door Google een "juist evenwicht" worden gevonden tussen de verschillende belangen (zij het dat het belang van de betrokkene kennelijk zwaar weegt, zie hiervoor). Van een absoluut "recht om vergeten te worden" is dus geen sprake.
Google-light in Europa op komst?
Interessanter vind ik zelf de vaststelling van het Hof dat het Europese privacyrecht integraal op Google van toepassing is. Dit heeft namelijk verstrekkende consequenties. Het betekent namelijk dat Google:
Ga er maar aanstaan als Google. Volgens http://www.dzw.gr/695c5 bevat het internet maar liefst 4,73 miljard pagina's. Het is schier onmogelijk om voor al die pagina's in je index die persoonsgegevens bevatten (bijna alle pagina's), een beleid vast te stellen dat voldoet aan voornoemde beginselen. Alleen al de gerechtvaardigde bewaartermijn zal per pagina verschillen (een pagina met gegevens over minderjarigen bewaar je minder lang dan een pagina met gegevens over volwassenen, om een voorbeeld te noemen).
Als er al een beleid komt, dan is dat dus overkoepelend. En dan bestaat dus het gevaar dat Google aan de veilige kant van de streep gaat zitten en gegevens afkomstig uit Europa dus minder indexeert of minder lang bewaart. Het privacyrecht zou dan met zich meebrengen dat er een light versie van Google in de Europese Unie komt.
Ik schat zo in dat Google die richting niet ingaat, maar gegevens net zo lang blijft bewaren als ze nu al doet. Dat roept weer de vraag op of de de privacyautoriteiten zo stevig in hun schoenen staan en durven door te pakken. Wordt ongetwijfeld vervolgd....
En bijzondere persoonsgegevens dan?
Er is een tweede reden waarom er naar de letter van de wet een light versie van Google zou moeten komen. Op grond van het Europese privacyrecht is het verwerken van bijzondere persoonsgegevens verboden (ras, politiek, vakvereniging, gezondheid, seksualiteit, religie, strafrecht). Nu Google verantwoordelijke is, zal zij moeten kunnen aanwijzen op grond van welke uitzondering zij toch die bijzondere persoonsgegevens verwerkt. Dat zal Google vermoedelijk niet (kunnen) lukken. Google heeft immers geen toestemming voor die indexatie en valt ook niet onder een uitzondering (het is bijvoorbeeld geen zorginstelling).
In lijn met het voorgaande geldt dus strikt genomen dat Google eigenlijk de indexatie van alle pagina's met bijzondere persoonsgegevens moet staken. Denk aan discussiefora waar (terloops of structureel) wordt gediscussieerd over gezondheid, websites van vakverenigingen, websites van patientenverenigingen, etc.
Opnieuw denk ik niet dat Google die kant op zal gaan en opnieuw is de vraag of de autoriteiten dan, met deze uitspraak in de hand, zullen optreden richting Google.
Tenslotte
Deze uitspraak van het Hof van Justitie is met recht een landmark case te noemen. Toch zou ik denk ik niet snel aanraden een correctieverzoek in te dienen bij Google. Het blijft in de regel nog steeds slimmer om in reactie op negatieve publiciteit te zorgen voor eigen positieve alternatieve publicitieit. Als het even meezit eindigt die nieuwe publicitieit vanzelf hoger in de index dan de oude publicitieit en is een (in dit geval vier jaar durende) gang naar de instanties niet nodig. Want als er iets is dat Costeja González nu heeft bereikt is dat nu de hele wereld weet dat in 1998 panden van hem zijn geveild wegens socialezekerheidsschulden....
Achtergronden bij het arrest
De achtergronden bij het arrest zijn redelijk overzichtelijk. In de Spaanse krant La Vanguardia van 19 januari en 9 maart 1998 stond gepubliceerd dat gebouwen van dhr. Costeja González, een Spaanse burger, per opbod zouden worden verkocht vanwege terugvordering van sociale zekerheidsschulden. Het archief van deze krant stond kennelijk integraal op internet, want dhr. Costeja González ontdekte dat wie zijn naam intypte op Google, al snel bij deze oude krantenartikelen terechtkwam.
Dhr. González diende daarop bij de Spaanse toezichthouder een verzoek in om zowel de krant als Google te gelasten deze gegevens te verwijderen. De Spaanse toezichthouder wees dit verzoek ten aanzien van de krant af en ten aanzien van Google toe. Google ging daarop in beroep bij de Spaanse rechter, die vervolgens vragen van uitleg stelde aan het Hof van Justitie.
Pragmatische benadering advocaat-generaal
Alvorens in te gaan op het arrest van het Hof van Justitie, sta ik allereerst kort stil bij de conclusie van de advocaat-generaal in deze kwestie (een adviseur van het Hof). In deze (omvangrijke) conclusie bepleitte de A-G namelijk een (enigszins) pragmatische benadering van het privacyrecht. Hij stelde namelijk voor - en ik parafraseer het wat - om het privacyrecht niet toe te passen op aanbieders van zoekmachines, voor zover zij gegevens kopieren voor hun zoekindex (tenzij ze bij dat kopieren de wensen van websitehouders negeren). Of anders gezegd: wie volautomatisch gegevens kopieert en daarbij min of meer "toevallig" ook persoonsgegevens kopieert, valt nog niet direct onder het privacyrecht. De achtergrond bij deze meer pragmatische benadering was o.m. dat het privacyrecht is vormgegeven in een tijd dat niemand nog kon voorzien dat iedere moderne dienst bijna automatisch de verwerking van persoonsgegevens met zich meebrengt. Zoals hierna zal blijken kiest het Hof echter voor een radicaal andere koers.
Hof van Justitie: Google is verantwoordelijke
Het Hof van Justitie hanteert een vrij rechtlijnige redenering: het begrip verwerken van persoonsgegevens is heel ruim omschreven in de privacyrichtlijn (r/o 25), wat Google doet valt onder die omschrijving (r/o 28), het overnemen van reeds gepubliceerde gegevens ontslaat iemand niet van eigen privacyrechtelijke verantwoordelijkheden (r/o 29-31) en Google stelt bovendien zelf het doel en middelen van dit gehele proces vast (r/o 32-33). Google is daarmee aan te merken als verantwoordelijke.
Dat Google de inhoud van de geindexeerde pagina's niet controleert vindt het Hof niet relevant, nu dit immers afbreuk zou doen aan de privacy van de betrokkenen (r/o 34). Daarbij lijkt zwaar mee te wegen dat zoekmachines het eenvoudiger maken een inbreuk te plegen op het priveleven van iemand (r/o 36-38). Dat de website-eigenaren geen uitlsuitingscodes hebben toegevoegd, ontslaat Google niet van de eigen verantwoordelijkheid (r/o 39-41).
De redenering van het Hof is eigenlijk wel elegant in zijn eenvoud: verwerken is nu eenmaal ruim omschreven en Google valt onder die ruime omschrijving. Dat dit verstrekkende consequenties heeft, zal hierna blijken.
Europees privacyrecht is van toepassing op Google
In deze kwestie speelde ook de vraag of het Europese privacyrecht wel van toepassing is op een buitenlandse partij. De Europese privacyrichtlijn kent hiervoor een hele genuanceerde (of zo u wilt: complexe) regeling. Het Hof van Justitie pakt het geheel echter wat pragmatischer aan.
Google had (samengevat) betoogd dat het Spaanse kantoor slechts een verkoopkantoor voor de (Spaanse) advertenties is en dat alle diensten met betrekking tot de zoekindex vanuit de USA worden verricht. En in de USA is de de Spaanse toezichthouder niet bevoegd.
Het Hof van Justitie volgt deze lijn echter niet. In enkele rechtsvormende overwegingen wordt gesteld dat voor toepasselijkheid van Europees recht niet per se vereist is dat de Europese vestiging ook persoonsgegevens verwerkt (r/o 52) en dat een te strikte lezing van de (genuanceerde) regels over toepasselijkheid van Europees recht afbreuk zou doen aan de privacy van de betrokkenen (r/o 53-54). Om die redenen moet het verkoopkantoor als het ware als de "verlengde arm" worden gezien van Google USA, mede omdat de advertentieverkoop en de zoekdiensten "onlosmakelijk met elkaar verbonden" zijn (r/o 56).
Hoog niveau van privacybescherming
Het Hof overweegt vervolgens dat het Europese privacyrecht een hoog niveau van bescherming beoogt (r/o 66) en dat het privacyrecht moet worden uitgelegd op basis van de grondrechten en de algemene rechtsbeginselen van de Unie (r/o 68). Alle verwerkingen van persoonsgegevens moeten aan deze hoge normen en de normen van de privacyrichtijn voldoen (r/o 73).
Correctierecht bedoeld ter correctie van onrechtmatige verwerkingen
De privacyrichtlijn geeft de betrokkene een inzage, correctie en verzetrecht. In de richtlijn staat dat het correctierecht bedoeld is " met name op grond van het onvolledige of onjuiste karakter van de gegevens". Het Hof benadrukt dat het correctierecht echter breder bedoeld is dan alleen ter correctie van onvolledige of onjuiste gegevens. Het is bedoeld om alle onrechtmatige vormen van gegevensverwerking te corrigeren:
Aangezien deze laatste precisering betreffende het geval waarin bepaalde vereisten van artikel 6, lid 1, sub d, van richtlijn 95/46 niet zijn nageleefd, illustratief en niet exhaustief is, kan ook de niet-naleving van andere voorwaarden van deze richtlijn met betrekking tot de rechtmatige verwerking van persoonsgegevens ertoe leiden dat deze verwerking onrechtmatig is, waardoor de betrokkene in aanmerking kan komen voor het recht dat door artikel 12, sub b, van deze richtlijn wordt gewaarborgd.
Grondslag gerechtvaardigd belang, dus verzet staat open
Het Hof geeft echter ook een tweede spoor dat gehanteerd kan worden. Het wijst er namelijk op dat de grondslag voor de verwerkingen die Google verricht het gerechtvaardigd belang kan zijn (r/o 73). Die grondslag vergt een afweging van belangen (r/o 74), welke afweging nogmaals (en specifieker) moet worden gemaakt op het moment dat de betrokkene zijn rech van verzet inroept (r/o 75-77).
Omstandigheden om mee te wegen
Zowel bij een verzoek tot correctie als het doen van verzet, zijn de feiten en omstandigheden van groot belang. Er moet immers in beide gevallen een hernieuwde belangenafweging plaatsvinden.
Het is in dat kader (zeer) opvallend dat het Hof feiten en omstandigheden aanvoert die allemaal in het voordeel van de betrokkene wegen. Zo is relevant dat een zoekmachine een "ernstige" inbreuk op het priveleven mogelijk maakt door een overzicht over een persoon te bieden dat zonder een zoekmachine niet mogelijk was geweest (r/o 80) en het economisch belang van de zoekmachineexploitant en het belang van internetter bij vrije beschikbaarheid van informatie wegen in principe allebei niet zwaarder (r/o 81). Dit is alleen anders indien de persoon een rol van publieke betekenis speelt.
Geen absoluut verwijderingsrecht
Levert dit nu een absoluut recht van verwijdering uit de Google-index op? Nee, anders dan wel in sommige media is te lezen. Het Hof zegt in feite alleen maar dat er een recht bestaat om een verwijderingsverzoek in te dienen. Google moet daar vervolgens op reageren. Bij de beantwoording moet door Google een "juist evenwicht" worden gevonden tussen de verschillende belangen (zij het dat het belang van de betrokkene kennelijk zwaar weegt, zie hiervoor). Van een absoluut "recht om vergeten te worden" is dus geen sprake.
Google-light in Europa op komst?
Interessanter vind ik zelf de vaststelling van het Hof dat het Europese privacyrecht integraal op Google van toepassing is. Dit heeft namelijk verstrekkende consequenties. Het betekent namelijk dat Google:
- persoonsgegevens alleen mag verwerken voor welbepaalde en gerechtvaardigde doeleinden (artikel 6 lid 1 sub b privacyrichtlijn);
- moet borgen dat de gegevens toereikend, ter zake dienen en niet bovenmatig zijn (artikel 6 lid 1 sub c privacyrichtlijn, zie ook r/o 93 arrest);
- moet borgen dat persoonsgegevens nauwkeurig zijn (artikel 6 lid 1 sub d privacyrichtlijn, zie ook r/o 93 arrest);
- persoonsgegeens niet langer mag bewaren dan noodzakelijk (artikel 6 lid 1 sub e privacyrichtlijn, zie ook r/o 93 arrest);
- steeds een gerechtvaardigd belang moet kunnen aantonen de gegevens te (blijven) verwerken (artikel 7 sub f privacyrichtlijn, zie ook r/o 95 arrest).
Ga er maar aanstaan als Google. Volgens http://www.dzw.gr/695c5 bevat het internet maar liefst 4,73 miljard pagina's. Het is schier onmogelijk om voor al die pagina's in je index die persoonsgegevens bevatten (bijna alle pagina's), een beleid vast te stellen dat voldoet aan voornoemde beginselen. Alleen al de gerechtvaardigde bewaartermijn zal per pagina verschillen (een pagina met gegevens over minderjarigen bewaar je minder lang dan een pagina met gegevens over volwassenen, om een voorbeeld te noemen).
Als er al een beleid komt, dan is dat dus overkoepelend. En dan bestaat dus het gevaar dat Google aan de veilige kant van de streep gaat zitten en gegevens afkomstig uit Europa dus minder indexeert of minder lang bewaart. Het privacyrecht zou dan met zich meebrengen dat er een light versie van Google in de Europese Unie komt.
Ik schat zo in dat Google die richting niet ingaat, maar gegevens net zo lang blijft bewaren als ze nu al doet. Dat roept weer de vraag op of de de privacyautoriteiten zo stevig in hun schoenen staan en durven door te pakken. Wordt ongetwijfeld vervolgd....
En bijzondere persoonsgegevens dan?
Er is een tweede reden waarom er naar de letter van de wet een light versie van Google zou moeten komen. Op grond van het Europese privacyrecht is het verwerken van bijzondere persoonsgegevens verboden (ras, politiek, vakvereniging, gezondheid, seksualiteit, religie, strafrecht). Nu Google verantwoordelijke is, zal zij moeten kunnen aanwijzen op grond van welke uitzondering zij toch die bijzondere persoonsgegevens verwerkt. Dat zal Google vermoedelijk niet (kunnen) lukken. Google heeft immers geen toestemming voor die indexatie en valt ook niet onder een uitzondering (het is bijvoorbeeld geen zorginstelling).
In lijn met het voorgaande geldt dus strikt genomen dat Google eigenlijk de indexatie van alle pagina's met bijzondere persoonsgegevens moet staken. Denk aan discussiefora waar (terloops of structureel) wordt gediscussieerd over gezondheid, websites van vakverenigingen, websites van patientenverenigingen, etc.
Opnieuw denk ik niet dat Google die kant op zal gaan en opnieuw is de vraag of de autoriteiten dan, met deze uitspraak in de hand, zullen optreden richting Google.
Tenslotte
Deze uitspraak van het Hof van Justitie is met recht een landmark case te noemen. Toch zou ik denk ik niet snel aanraden een correctieverzoek in te dienen bij Google. Het blijft in de regel nog steeds slimmer om in reactie op negatieve publiciteit te zorgen voor eigen positieve alternatieve publicitieit. Als het even meezit eindigt die nieuwe publicitieit vanzelf hoger in de index dan de oude publicitieit en is een (in dit geval vier jaar durende) gang naar de instanties niet nodig. Want als er iets is dat Costeja González nu heeft bereikt is dat nu de hele wereld weet dat in 1998 panden van hem zijn geveild wegens socialezekerheidsschulden....
Gerelateerd
Privacy
