Právo být zapomenut a další dopady rozsudku SDEU C-131/12 Google Spain

Rozsudek Google Spain se zabývá problematikou upravenou Směrnicí Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (dále též jen „Směrnice 95/46“). Spor nastal mezi skupinou Google a P. Gonzálezem, který si přál vymazat z veřejného povědomí nepříjemnou epizodu z roku 1998, kdy byla v tisku zveřejněna informace o nuceném prodeji jeho nemovitosti z důvodu nesplaceného dluhu na sociálním pojištění (který byl následně splacen). Obrátil se proto na španělský úřad pověřený ochranou osobních údajů (Agencia Española de Protección de Datos), který nařídil, aby společnost Google Inc. přijala opatření nezbytná k odstranění osobních údajů týkajících se p. Gonzáleze ze svého indexu a zabránila přístupu k těmto údajům v budoucnosti. Věc byla následně předložena španělskému nejvyššímu soudu (Audiencia Nacional). Ten se obrátil na Soudní dvůr EU celkem se třemi předběžnými otázkami, které se postupně zaměřovaly na otázku místní působnosti Směrnice 95/46, na otázku věcné působnosti této směrnice a konečně na výklad práva subjektu údajů „být zapomenut“. Čtenáře možná napadne, proč se pan Gonzáles nedomáhal výmazu svých osobních údajů přímo z internetových stránek novin La Vanguardia, na kterých je inkriminovaný článek. Pokud by totiž dosáhl jeho smazání tam, článek by časem zmizel i z vyrovnávací paměti Googlu a problém by byl vyřešen. Pan González se toho ve skutečnosti domáhal. Ovšem podle čl. 9 Směrnice 95/46 mohou členské státy přijmout odchylky a výjimky z ochrany osobních údajů pro zpracování osobních údajů prováděné výlučně pro účely žurnalistiky nebo uměleckého či literárního projevu. Španělsko na rozdíl od České republiky takovou odchylku do svého právního řádu promítlo. Proto pan González se svým požadavkem na výmaz vůči samotnému novinovému serveru neuspěl už u Agencia Española de Protección de Datos, vůbec tedy v tomto směru nedošlo k soudnímu sporu, který by mohl vést k položení předběžné otázky SDEU.

Věcná působnost směrnice

Směrnice 95/46 je již staršího data a tak byla v návaznosti na svou transpozici do národních právních řádů[1] předmětem již většího počtu interpretujících rozsudků SD EU, z nichž patrně nejvýznamnější jsou rozsudky Lindqvist[2] a ASNEF[3]. Otázek nastolených ve věci Google se však dosavadní judikatura dotýkala jen vzdáleně. Již v rozsudku Lindqvist bylo konstatováno, že umístění osobních údajů na internetovou stránku představuje jejich zpracování. Představuje jejich zpracování ale i pouhá činnost internetového prohlížeče, který s daty pracuje takříkajíc „ve velkém“, bez toho, aby vůbec s jistotou věděl, že se vůbec jedná o osobní údaje? I když v textu narazím např. na jméno a příjmení, není vždy možné jednoznačně určit (přinejmenším ne způsobem, kterého je schopen počítačový program), zda se jedná o osobu skutečnou či fiktivní, případně nějakého generického „Jana Nováka“, a zda se tedy jedná o osobní údaje. Slovy generálního advokáta Niila Jääskinena „poskytovateli služby je „známa“ existence osobních údajů pouze v tom smyslu, že je statisticky pravděpodobné, že internetové stránky budou obsahovat osobní údaje“[4]. S odkazem na pracovní skupinu zřízenou podle čl. 29 Směrnice 95/46 upřednostnil generální advokát faktické posouzení před formálním a vyšel z předpokladu, že správcem osobních údajů může být jen ten, kdo o svém postavení ve vztahu ke konkrétním osobním údajů a konkrétnímu subjektu údajů ví[5]. To jej vedlo k závěru, že Google vůbec není správcem osobních údajů pana Gonzáleze[6].

SDEU se naopak v této otázce soustředil na materiální dopad činnosti vyhledávače, která podle něj „hraje rozhodující roli v globálním šíření uvedených údajů, neboť je činí přístupnými všem uživatelům internetu provádějícím vyhledávání na základě jména dotčené osoby, včetně uživatelů internetu, kteří by jinak nenašli webovou stránku, na které byly uvedené údaje zveřejněny“[7]. Na rozdíl od generálního advokáta aplikoval SDEU definici obsaženou v čl. 2 písm. a), b) a d) Směrnice 95/46  takříkajíc objektivně – správcem osobních údajů je i ten, kdo to v daném okamžiku neví, protože stejné prostředky používá pro zpracování osobních údajů i dat, která osobními údaji nejsou. Důležité ve výkladu SDEU je, že „automatickým, neustálým a systematickým prohlížením internetu za účelem vyhledávání tam zveřejněných informací provozovatel vyhledávače „shromažďuje“ takové údaje, které „vyhledává“, „zaznamenává“ a následně v rámci svých programů indexování „uspořádává“, „uchovává“ na svých serverech a případně „sděluje“ a „zpřístupňuje“ svým uživatelům ve formě seznamů výsledků jejich vyhledávání. Vzhledem k tomu, že uvedené úkony jsou výslovně a bezpodmínečně uvedeny v čl. 2 písm. b) směrnice 95/46, musí být kvalifikovány jako „zpracování“ ve smyslu uvedeného ustanovení, aniž je důležité, zda vyhledávač používá tytéž úkony rovněž na další druhy informací a nerozlišuje mezi nimi a osobními údaji“[8]. Tento výklad SDEU je zásadní v tom, že správcem osobních údajů je možné se stát i neúmyslně či dokonce nevědomky. Každý, kdo pracuje s většími objemy dat, by tedy měl posoudit, zda jím zpracovávaná data v celém svém souhrnu a kontextu nemohou představovat (alespoň někdy) osobní údaje a, pokud ano, ujistit se, že plní povinnosti podle předpisů o zpracování osobních údajů.

Územní působnost směrnice

Při posouzení otázky územní působnosti Směrnice 95/46 si generální advokát a SDEU do jisté míry prohodili role. Generální advokát postupoval spíše formálněji a detailně rozebral jednotlivá ustanovení čl. 4 Směrnice 95/46, která definují její územní působnost[9]. Naopak SDEU postupoval spíše teleologicky a konstatoval, že „zejména z bodů 18 až 20 odůvodnění a z článku 4 směrnice 95/46 vyplývá, že unijní zákonodárce zamýšlel stanovením obzvláště široké územní působnosti zabránit tomu, aby jakákoli osoba mohla být vyloučena z jím zaručené ochrany a aby docházelo k obcházení této ochrany“[10]. Závěr je ovšem v obou případech stejný: skutečnost, že činnost Google Inc. je prostřednictvím jeho dceřiné společnosti Google Spain SL zaměřena na území Španělska, zakládá aplikaci španělského vnitrostátního práva (a jeho prostřednictvím Směrnice 95/46, která je do tohoto vnitrostátního práva transponována)[11].

Právo být zapomenut

Za nejdůležitější však považuji rozbor otázky „práva být zapomenut“, které představovalo samotný obsah požadavku pana Gonzáleze. Je třeba poznamenat, že tento pojem se ve Směrnici 95/46 vůbec neobjevuje. Jedná se spíše o určitý konstrukt od právní úpravy této směrnice odvozený. SDEU si položenou předběžnou otázku vyložil takto: „zda čl. 12 písm. b) a čl. 14 první pododstavec písm. a) směrnice 95/46 musí být vykládány v tom smyslu, že umožňují subjektu údajů požadovat od provozovatele vyhledávače, aby vymazal ze zobrazeného seznamu výsledků vyhledávání provedeného na základě jména tohoto subjektu odkazy na webové stránky legálně zveřejněné třetími osobami a obsahující pravdivé informace týkající se tohoto subjektu z důvodu, že ho uvedené informace mohou poškodit nebo protože si přeje, aby uvedené informace byly po určité době „zapomenuty“.“[12] Jde tedy o to, zda je subjekt údajů suverénem ohledně toho, kdo o něm jaké osobní údaje zpracovává, a zda může správci osobních údajů nadiktovat ukončení zpracovávání osobních údajů prostě proto, že si toto zpracování nepřeje či je považuje pro sebe za nevýhodné.

Ustanovení čl. 12 písm. b) Směrnice 95/46 stanoví, že subjekt údajů může získat „podle daného případu opravu, výmaz nebo blokování údajů, jejichž zpracování není v souladu s touto směrnicí, zejména z důvodů neúplné nebo nepřesné povahy údajů“. O ani jeden z těchto taxativně vymezených případů zde ovšem nešlo: osobní údaje nebyly ani neúplné ani nepřesné. Bylo by tedy třeba hledat nějaký jiný potenciální rozpor se Směrnicí 95/46. Nadějnější je již ustanovení čl. 14 písm. a) Směrnice 95/46, které zakládá subjektu údajů právo z důvodů (ovšem jen důvodů vážných a legitimních, nepochybně tedy ne z důvodu pouhého frivolního přání) souvisejících s jeho osobní situací uplatnit námitku proti zpracování osobních údajů, která, je-li oprávněná, musí vést k ukončení zpracování osobních údajů. SDEU dovodil, že neslučitelnost zpracování osobních údajů se Směrnicí 95/46 „může plynout nejen ze skutečnosti, že uvedené údaje jsou nepřesné, ale konkrétně také ze skutečnosti, že jsou nepřiměřené, nepodstatné a přesahují míru s ohledem na účely, pro které jsou zpracovávány, že nejsou aktualizovány nebo že jsou uchovávány po dobu delší, než je nezbytně nutné, pokud nejsou uchovávány pro historické, statistické nebo vědecké účely“[13]. Zpracování osobních údajů musí být odůvodněno nejen na počátku zpracování, ale po celou jeho dobu. Čl. 6 odst. 1 písm. e) zde výslovně říká, že osobní údaje mohou být „uchovávány ve formě umožňující identifikaci subjektů údajů po dobu ne delší než je nezbytné pro uskutečnění cílů, pro které jsou shromažďovány nebo dále zpracovávány“. Je ovšem třeba poznamenat, že slovo „nezbytné“ (v anglickém znění „necessary“, ve francouzském „nécessaire“) nelze vykládat jako „nevyhnutelné, nezastupitelné“, jak by snad mohlo vyplývat z čistě gramatického výkladu českého znění, ale, s přihlédnutím k ostatním jazykovým zněním a judikatuře, nezbytným je i zpracování, které prostě jen není zbytné, tedy je důležité, má svůj podstatný význam[14]. V případě p. Gonzáleze, který svůj dluh na sociálním zabezpečení před mnoha lety splatil, je evidentní, že informace o tomto dluhu může být chápána jako zbytná. Rozhodně je její význam menší, nežli byl v době, kdy od splacení tohoto dluhu uplynula jen krátká doba, případně dokonce v době, kdy dotčený dluh byl aktuálně po splatnosti. Přestože v případě p. Gonzáleze od původního zveřejnění předmětné informace uplynulo již 16 let, konstatoval SDEU, že mohou existovat konkrétní důvody, které by odůvodňovaly převažující zájem veřejnosti mít v rámci vyhledávání prostřednictvím Google přístup k uvedeným informacím. Případnou existenci těchto důvodů (z pohledu SDEU jejich existence není zjevná) ponechal SDEU na posouzení národního soudu[15]. Určitý návod mu ovšem SDEU poskytl: „tato práva v zásadě převládají nejen nad hospodářským zájmem provozovatele vyhledávače, ale rovněž nad zájmem veřejnosti nalézt uvedenou informaci při vyhledávání prováděném na základě jména subjektu údajů. Avšak není tomu tak v případě, kdy se z konkrétních důvodů, jako je úloha subjektu údajů ve veřejném životě, jeví, že zásah do jeho základních práv je odůvodněný převažujícím zájmem uvedené veřejnosti mít na základě tohoto zahrnutí k dotčené informaci přístup“[16]. Pouhá snaha provozovatele vyhledávače ke svému hospodářskému prospěchu s osobními údaji obchodovat či zájem na uspokojení pouhé frivolní zvědavosti veřejnosti tedy nad právy subjektu údajů nepřevažuje. Situace se však mění, jakmile je zpracování osobních údajů potřebné k uskutečnění zájmu závažnějšího, kterým zde může být např. občanská kontrola veřejných funkcionářů, výběr kandidáta, kterého se volič rozhodne podpořit, ale bezpochyby také důvody (zájmy) soukromoprávní zmíněné v čl. 7 Směrnice 95/46, například rozhodnutí o uzavření smlouvy se subjektem údajů či ochrana práva a povinností správce či příjemce osobních údajů.

Závěr

Je třeba brát v úvahu, že činnost Googlu, který je dominantním vyhledávaček a zpřístupňuje informace široké (přes dílčí omezení daná větší či menší známostí toho kterého jazyka fakticky celosvětové) veřejnosti, představuje z hlediska okruhu adresátů v zásadě největší v současné době představitelný zásah do práva subjektu údajů na ochranu jeho soukromí. Správce osobních údajů, který zpracovává tytéž osobní údaje pouze pro své účely nebo pro úzkou skupinu příjemců, bude nesporně zasahovat do práv subjektu údajů nepoměrně méně. Bude mu tedy svědčit právo zpracovávat osobní údaje i tam, kde by Googlu (v rámci činnosti vyhledávače) již nesvědčilo. Proto se domnívám, že rozsudek SDEU Google Spain ukázal, že „právo být zapomenut“ je ve své podstatě právem velmi omezeným. Požadavek subjektu údajů na výmaz jeho osobních údajů je relevantní pouze tehdy, pokud subjekt údajů upozorní na to, že osobní údaje jsou fakticky zpracovávány protiprávně, ať už tato protiprávnost vychází z plynutí času, z toho, že rozsah zpracovávaných osobních údajů je od počátku excesivní, či z věcné nesprávnosti osobních údajů. Nebo pokud ve smyslu čl. 14 písm. a) Směrnice 95/46 upozorní na důvody hodné zvláštního zřetele. Pouhé přání subjektu údajů, aby jeho osobní údaje nebyly zpracovávány, však z pohledu rozsudku SDEU Google Spain valnou relevanci nemá. Generální advokát, jehož stanovisko je celkově podrobnější, se to vyjádřil explicitně: „směrnice neupravuje všeobecné právo být zapomenut v tom smyslu, že subjekt údajů má nárok na omezení nebo ukončení šíření osobních údajů, které jsou podle jeho názoru škodlivé, nebo odporují jeho zájmům. Kritérii, která mají být uplatněna v případě zpracování údajů bez souhlasu subjektu údajů, jsou účel zpracování a zájmy, kterým zpracování slouží, ve srovnání se zájmy subjektu údajů, a nikoli subjektivní preference uvedené osoby. Samotná subjektivní preference nepředstavuje naléhavý legitimní důvod ve smyslu čl. 14 písm. a) směrnice.“[17]

Je tedy třeba konstatovat, že správci osobních údajů se nemusejí ve světle rozsudku SDEU obávat nějaké zásadní povinnosti mazat velké množství osobních údajů, byť jim může hrozit určité administrativní zatížení vyřizováním žádostí či námitek subjektů údajů[18]. Naopak subjekty (a to nejen subjekty podnikatelské), které se doposud za správce osobních údajů nepovažovaly, mohou být donuceny tento svůj postoj přehodnotit. Další přehodnocení potom může čekat na fyzické osoby, které se doposud domnívaly, že osobní údaje zpracovávají čistě pro své osobní či domácí činnosti, a tedy se na ně právní úprava ochrany osobních údajů podle č. 3 odst. 2 Směrnice 95/46 vůbec nevztahuje, pokud český Úřad pro ochranu osobních údajů prosadí svůj právní názor, který z rozsahu této výjimky vylučuje i pouhé použití kamerového systému k ochraně vlastního majetku jen proto, že v závěru kamery se nachází i veřejný prostor před domem[19].

Mgr. Jan Slanina

--------------------------------------------------------------------------------
[1] V ČR zákonem 101/2000 Sb., o ochraně osobních údajů, ve znění pozdějších předpisů
[2] Rozsudek SDEU ve věci C‑101/01, Lindqvist
[3] Rozsudek SDEU ve spojených věcech C-468/10 a C-469/10, ASNEF
[4] Stanovisko generálního advokáta Niila Jääskinena přednesené dne 25. června 2013, odstavec 84
[5] Tamtéž, odstavec 83
[6] Tamtéž, odstavec 89
[7] Odstavec 36 rozsudku
[8] Odstavec 28 rozsudku
[9] Stanovisko generálního advokáta Niila Jääskinena přednesené dne 25. června 2013, odstavec 55 až 68
[10] Odstavec 54 rozsudku
[11] Odstavec 59 rozsudku a shodně Stanovisko generálního advokáta Niila Jääskinena přednesené dne 25. června 2013, odstavec 68
[12] Odstavec 89 rozsudku
[13] Odstavec 92 rozsudku
[14] Srov. rozsudek Evropského soudu pro lidská práva ve věci Handyside proti Spojenému Království (5493/72)
[15] Odstavec 98 rozsudku
[16] Odstavec 97 rozsudku
[17] Stanovisko generálního advokáta Niila Jääskinena přednesené dne 25. června 2013, odstavec 108
[18] Již první den poté, co Google zveřejnil proceduru pro realizaci práva být zapomenut, údajně obdržel více než 12 000 takových požadavků – více např. >>> zde.
[19] Žádost o rozhodnutí o předběžné otázce podaná Nejvyšším správním soudem (Česká republika) dne 19. dubna 2013 – František Ryneš v. Úřad pro ochranu osobních údajů (Věc C-212/13)

© EPRAVO.CZ – Sbírka zákonů, judikatura, právo | www.epravo.cz