Un spaniol a cerut Autorităţii de supraveghere din Spania să oblige Google să nu mai indexeze referirile la persoana sa – acesta fusese executat silit de către stat, în urmă cu 12 ani, pentru nişte datorii la asigurările sociale, lucru care a apărut în presă, în cotidianul La Vanguardia. Speţa a ajuns până la CJUE (cauza Gonzalez vs. Google - decizia CJUE
Curtea de la Luxemburg a stabilit că indexarea rezultatelor căutărilor pe Google este o operaţiune de prelucrare a datelor cu caracter personal, ce este supusă legislaţiei europene şi, implicit, celei naţionale din fiecare ţară membră a UE. Totodată, instanţa a decis că nu poate obliga La Vanguardia să şteargă articolele în cauză, pentru că publicaţia şi-a făcut treaba în mod onest.
Potrivit deciziei CJUE, operatorii site-urilor de căutare trebuie să scoată de la indexare acele date care fac referire la o persoană, dacă cererea iniţiată de persoana respectivă este întemeiată, chiar dacă link-urile la care face referire motorul de căutare nu conţin informaţii eronate. Informaţia nu trebuie să cauzeze neapărat un prejudiciu persoanei care cere eliminarea datelor de la indexare, ci trebuie avute în vedere drepturile fundamentale ale individului.
Care sunt datele cu caracter personal
Datele cu caracter personal nu înseamnă numai codul numeric personal sau adresa de locuinţă. Definiţia din legea 677/2001 pentru protecţia persoanelor cu privire la prelucrarea datelor cu caracter personal şi libera circulaţie a acestor date este cu mult mai cuprinzătoare. Practic, datele cu caracter personal reprezintă cam orice informaţie despre o persoană prin care aceasta poate fi identificată sau identificabilă, direct sau indirect.
"date cu caracter personal - orice informaţii referitoare la o persoană fizică identificată sau identificabilă; o persoană identificabilă este acea persoană care poate fi identificată, direct sau indirect, în mod particular prin referire la un număr de identificare ori la unul sau la mai mulţi factori specifici identităţii sale fizice, fiziologice, psihice, economice, culturale sau sociale".
Cum dispari de pe internet
Dacă o persoană nu mai doreşte ca Google să indexeze rezultatele care se referă la persoana sa, atunci îşi poate exercita dreptul de opoziţie. Totul porneşte de la o cerere scrisă adresată operatorului, în care sunt specificate informaţiile care trebuie suprimate. Operatorul e obligat să soluţioneze cererea în termen de 15 zile. Decizia CJUE se referă la toate companiile care operează motoare de căutare, fie că vorbim de firme mari precum Google, Yahoo! sau Microsoft – în cazul Bing.
Dacă în termen de 15 zile nu primeşte un răspuns sau primeşte un răspuns nesatisfăcător, atunci acesta este liber fie să depună o acţiune în instanţă, fie să se adreseze Autorităţii Naţionale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), care îi comunică rezultatele în termen de 30 de zile.
ANSPDCP poate dispune eliminarea acestor date, iar deciziile sale pot fi contestate în instanţă.
ECONOMICA.NET a întrebat Autoritatea în ce condiţii poate un utilizator să ceară ştergerea datelor cu caracter personal de pe internet şi cum stabileşte dacă o cerere este îndreptăţită sau nu.
Potrivit răspunsului ANSPDCP, plângerile sunt judecate în funcţie art. 14 şi/sau 15 din legea 677, în care sunt prezentate drepturile de intervenţie asupra datelor şi drepturile de opoziţie. Relevant pentru cei care vor să fie scutiţi de prezenţa pe Google este dreptul la opoziţie.
Potrivit art. 15, „persoana vizată are dreptul de a se opune în orice moment, din motive întemeiate şi legitime legate de situaţia sa particulară, ca date care o vizează să facă obiectul unei prelucrări, cu excepţia cazurilor în care există dispoziţii legale contrare. În caz de opoziţie justificată prelucrarea nu mai poate viza datele în cauză".
Dacă este vorba de prelucrări în scop de marketing, atunci persoana în cauză nu trebuie să ofere nicio justificare.
Amintim că decizia CJUE în cauza Gonzalez spune că nu trebuie neapărat ca informaţiile prelucrate să creeze un prejudiciu persoanei care cere îndepărtarea acestora, însă existenţa unui prejudiciu de imagine este un argument cu atât mai puternic.
Chiar oricine poate să ceară ştergerea referinţelor din Google?
Decizia CJUE naşte şi întrebarea dacă cei care au un istoric întunecat pot solicita ca datelor lor să fie şterse. Însă, Curtea spune că acolo unde există un interes public poate exista o ingerinţă în drepturile fundamentale ale individului.
Ce răspunde Autoritatea din România la întrebarea „care sunt caracteristicile după care se hotărăşte că intersul public primează asupra drepturilor fundamentale ale individului?
„În ceea ce priveşte interesul public, art. 2 lit. r) din Legea nr. 554/2004 a contenciosului administrativ, modificată şi completată, defineşte interesul legitim public ca fiind interesul care vizează ordinea de drept şi democraţia constituţională, garantarea drepturilor, libertăţilor şi îndatoririlor fundamentale ale cetăţenilor, satisfacerea nevoilor comunitare, realizarea competenţei autorităţilor publice. În acest sens, în funcţie de un caz determinat, în măsura în care se impune respectarea acestor exigenţe, întrucât dreptul la viaţă privată nu are un caracter absolut, se urmăreşte realizarea unui echilibru între acesta şi necesitatea satisfacerii interesului public, raportat la calitatea persoanelor implicate şi la scopul prelucrării datelor de către operator, cu respectarea principiului proporţionalităţii.
În acest context, precizăm că art. 11 din Legea nr. 677/2001, modificată şi completată stabileşte un regim derogatoriu pentru prelucrările de date efectuate de operator exclusiv în scopuri jurnalistice, literare sau artistice, în considerarea asigurării libertăţii presei şi a celei de exprimare, recunoscute şi garantate de art. 30 din Constituţia României.
În acelaşi timp, art. 11 din aceeaşi lege menţionată mai sus stabileşte anumite condiţii de excepţie, în care nu este necesar consimţământul persoanei vizate, în situaţia în care prelucrarea datelor se face exclusiv în scopuri jurnalistice, literare sau artistice, dacă prelucrarea priveşte date cu caracter personal care au fost făcute publice în mod manifest de către persoana vizată sau care sunt strâns legate de calitatea de persoană publică a persoanei vizate ori de caracterul public al faptelor în care este implicată", se arată în răspunsul ANSPDCP.
Astfel, există unele restricţii pentru solicitările de îndepărtare a datelor. Dar decizia CJUE nu a obiectat asupra corectitudinii unor acte jurnalistice, ci asupra oportunităţii listării informaţiilor în motoarele de căutare.
Legea mai spune că atunci când este vorba despre informaţii care privesc funcţionarii publici, interesul social priveşte doar partea care afectează capacitatea de a exercita funcţia publică a acelui funcţionar. Cu alte cuvinte, informaţiile despre un funcţionar public care şi-a înţelat nevasta sau a dat chix în afaceri înainte de a ocupa funcţia publică ar putea fi blocate la cererea acestuia.
„De asemenea, precizăm că informaţiile deţinute de către o autoritate sau instituţie publică cu privire la datele personale ale unui cetăţean (care poate avea şi calitatea de angajat - funcţionar public - al autorităţii sau instituţiei publice respective) pot deveni informaţii de interes public numai în măsura în care afectează capacitatea de exercitare a unei funcţii publice, potrivit dispoziţiilor art. 14 alin. (1) din Legea nr. 544/2001, modificată şi completată", se arată în răspunsul ANSPDCP.
În timpul scurs de la decizia CJUE nu au fost înregistrate plângeri la Autoritate împotriva Google sau a altor motoare de căutare.
Cei de la ANSPDCP au indicat o altă speţă în care au dat o decizie în acest an.
"Autoritatea de Supraveghere a efectuat investigaţii în cazul în care datele personale au fost publicate pe site-uri deţinute de operatorii cărora li se aplică Legea nr. 677/2001, respectiv desfăşoară activitate pe teritoriul României. Într-un astfel de caz, în cursul acestui an, Autoritatea de Supraveghere a efectuat o investigaţie ca urmare a primirii unei plângeri şi a sancţionat contravenţional operatorul Indaco Systems SRL cu amendă în cuantum de 4.000 lei, fiind emisă şi decizie de ştergere a datelor personale ale petentului respectiv. Operatorul a contestat amenda primită, în prezent litigiul fiind pe rolul instanţelor judecătoreşti", spune Autoritatea.
În cazul de mai sus, firma Indaco a fost sancţionată pentru că a încărcat pe portalul lege5.ro un dosar în instanţă care privea reclamantul.
________
CE a decis de fapt CJUE?
CJUE a hotărât că este obligaţia companiilor care operează motoare de căutare să şteargă orice referinţă la o persoană privată dacă există o cerere în acest sens. Decizia este obligatorie pentru întreaga Uniune Europeană.
Motoarele de căutare trebuie să nu mai afişeze răspunsurile la interogările care privesc persoanele private, dacă există o cerere din partea acestora, în temeiul dreptului de protecţie a datelor cu caracter personal, a decis Curtea de Justiţie a Uniunii Europene.
CJUE s-a pronunţat într-o cauză trimisă de o instanţă din Spania în 2012. Curtea a fost chemată să răspundă în ce fel se aplică Directiva 95/46/CE provind protecţia datelor cu caracter personal asupra motoarelor de căutare.
Curtea de la Luxemburg a decis că acele companii care operează motoare de căutare trebuie considerate ca fiind operatori de date cu caracter personal care fac o prelucrare a acestor date atunci când le indexează.
Aceasta a mai decis că trebuie scoase de la indexare acele date care fac referire la o persoană, dacă cererea iniţiată de presoana respectivă este întemeiată, chiar dacă link-urile la care face referire motorul de căutare nu conţin informaţii eronate. Informaţia nu trebuie să cauzeze neapărat un prejudiciu persoanei care cere eliminarea datelor de la indexare, ci trebuie avute în vedere drepturile fundamentale ale individului.
În schimb, apreciză Curtea, poate exista o ingerinţă în aceste drepturi, în cazuri speciale, dacă persoana în cauză are un anumit rol în viaţa socială (aici am putea specula că CJUE se referă la persoanele cunoscute, publice).
Care este speța folosită ca pretext
La 5 martie 2010, spaniolul Costeja González a formulat o reclamație la Agenţia Spaniolă pentru Protecţia Datelor (AEPD) împotriva cotidianului „La Vanguardia" şi a Google Spain și Google Inc. Potrivit reclamaţiei, atunci când un utilizator de internet introducea numele Costeja González în motorul de căutare în „Google Search", se afișau linkuri către două pagini ale La Vanguardia, din 19 ianuarie 1998 și, respectiv, din 9 martie 1998, pe care figura un anunț, în care se menționa numele Costeja González, cu privire la o vânzare la licitație a unor imobile asociată unei proceduri de executare silită desfășurate în vederea plății unor datorii la asigurările sociale, se arată în decizia CJUE.
González a solicitat, pe de o parte, ca La Vanguardia fie să elimine sau să modifice paginile menționate astfel încât să nu mai apară datele sale cu caracter personal, fie să utilizeze anumite instrumente puse la dispoziție de motoarele de căutare pentru a proteja aceste date. Pe de altă parte, a solicitat să se dispună ca Google Spain sau Google Inc. să elimine sau să oculteze datele sale cu caracter personal, astfel încât acestea să nu mai apară printre rezultatele căutării și să nu mai figureze în linkuri ale La Vanguardia.
Spaniolul a susţinut că executarea silită al cărei obiect a fost s-a finalizat în întregime în urmă cu mai mulți ani și că menționarea acesteia este în prezent lipsită de orice relevanță.
În 30 iulie 2010, AEPD a respins reclamația menționată în măsura în care privea La Vanguardia, pentru că publicarea acelor informaţii era justificată din punct de vedere legal, dat fiind că a avut loc la ordinul Ministerului Muncii și Afacerilor Sociale și a avut ca scop să confere vânzării la licitație publică o publicitate maximă pentru a reuni un număr cât mai mare de licitanți.
În schimb, respectiva reclamație a fost admisă partea care era îndreptată împotriva Google Spain și a Google Inc.
"AEPD a considerat în această privință că operatorii de motoare de căutare sunt supuși legislației în materie de protecție a datelor, dat fiind că realizează o prelucrare a datelor pentru care sunt răspunzători și că acționează în calitate de intermediari ai societății informaționale. AEPD a apreciat că este abilitată să dispună ca operatorii de motoare de căutare să retragă datele și să interzică accesul la anumite date în cazul în care ea consideră că găsirea și difuzarea lor pot aduce atingere dreptului fundamental la protecția datelor și demnității persoanelor în sens larg, ceea ce ar include și simpla voință a persoanei interesate ca datele respective să nu fie cunoscute de terți. AEPD a considerat că această obligație poate incumba direct operatorilor de motoare de căutare, fără a fi necesară ștergerea datelor sau a informațiilor de pe site-ul web pe care figurează, în special în cazul în care menținerea acestor informații pe site-ul respectiv este justificată printr-o dispoziție legală", se arată în decizia Curţii.
Goole a atacat în instanţă decizia AEDP, iar instanţa naţională „arată în decizia de trimitere că aceste acțiuni ridică problema obligațiilor care incumbă operatorilor de motoare de căutare în ceea ce privește protecția datelor cu caracter personal ale persoanelor interesate care nu doresc ca anumite informații, publicate pe site-urile web ale unor terți și conținând datele lor cu caracter personal care permit asocierea acestor informații cu aceste persoane, să fie găsite, indexate și puse la dispoziția utilizatorilor de internet în mod nedefinit. Soluționarea acestei probleme ar depinde de modul în care trebuie interpretată Directiva 95/46 în contextul acestor tehnologii, care au apărut după publicarea sa", se arată în decizia CJUE.
Definiţia din directivă cu privire la datele cu caracter personal este cuprinzătoare şi trimite la orice referire despre o persoană prin care aceasta poate fi indentifcată.
„date cu caracter personal" înseamnă orice informație cu referitoare la o persoană fizică identificată sau identificabilă (persoana vizată); o persoană identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un număr de identificare sau la unul sau mai multe elemente specifice, proprii identității sale fizice, fiziologice, psihice, economice, culturale sau sociale;
Decizia CJUE:
1) Articolul 2 literele (b) și (d) din Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date trebuie interpretat în sensul că, pe de o parte, activitatea unui motor de căutare care constă în găsirea informațiilor publicate sau introduse pe internet de către terți, indexarea acestora în mod automat și stocarea lor temporară și, în cele din urmă, punerea acestora la dispoziția utilizatorilor de internet într‑o anumită ordine de preferință trebuie calificată drept „prelucrare a datelor cu caracter personal", în sensul acestui articol 2 litera (b), atunci când informațiile respective conțin date cu caracter personal și, pe de altă parte, operatorul acestui motor de căutare trebuie considerat „operator" în sensul articolului 2 litera (d) menționat.
2) Articolul 4 alineatul (1) litera (a) din Directiva 95/46 trebuie interpretat în sensul că o prelucrare a datelor cu caracter personal este efectuată în cadrul activităților unui sediu al operatorului pe teritoriul unui stat membru, în sensul acestei dispoziții, în cazul în care operatorul unui motor de căutare înființează într‑un stat membru o sucursală sau o filială destinată promovării și vânzării spațiului publicitar de pe pagina acestui motor, a cărei activitate este orientată către locuitorii acelui stat membru.
3) Articolul 12 litera (b) și articolul 14 primul paragraf litera (a) din Directiva 95/46 trebuie interpretate în sensul că, pentru respectarea drepturilor prevăzute de aceste dispoziții și în măsura în care condițiile prevăzute de acestea sunt îndeplinite efectiv, operatorul unui motor de căutare este obligat să elimine de pe lista de rezultate, afișată în urma unei căutări efectuate plecând de la numele unei persoane, linkurile către paginile web publicate de terți și care conțin informații referitoare la această persoană și în ipoteza în care acest nume sau aceste informații nu sunt șterse în prealabil sau simultan de pe paginile web respective, iar aceasta, dacă este cazul, chiar dacă publicarea lor în sine pe paginile menționate este licită.
4) Articolul 12 litera (b) și articolul 14 primul paragraf litera (a) din Directiva 95/46 trebuie interpretate în sensul că, în cadrul aprecierii condițiilor de aplicare a acestor dispoziții, trebuie să se examineze în special dacă persoana vizată are dreptul ca informația respectivă referitoare la persoana sa să nu mai fie, în stadiul actual, asociată cu numele său de o listă de rezultate, afișată în urma unei căutări efectuate plecând de la numele său, fără însă ca constatarea unui asemenea drept să presupună ca includerea informației respective pe această listă să cauzeze un prejudiciu acestei persoane. Întrucât persoana vizată poate, având în vedere drepturile sale fundamentale prevăzute la articolele 7 și 8 din cartă, să solicite ca informația în cauză să nu mai fie pusă la dispoziția marelui public prin intermediul includerii sale într‑o asemenea listă de rezultate, aceste drepturi prevalează în principiu nu numai asupra interesului economic al operatorului motorului de căutare, ci și asupra interesului acestui public de a avea acces la informația respectivă cu ocazia unei căutări referitoare la numele acestei persoane. Nu aceasta ar fi însă situația dacă ar reieși că, din motive speciale, precum rolul jucat de persoana respectivă în viața publică, ingerința în drepturile sale fundamentale este justificată de interesul preponderent al publicului menționat de a avea acces, prin intermediul acestei includeri, la informația în cauză.
Comentează