Operatorul unui motor de cautare raspunde pentru prelucrarea datelor cu caracter personal

Astfel, in cazul in care, ca urmare a unei cautari efectuate plecand de la numele unei persoane, lista de rezultate afiseaza un link catre o pagina web care contine informatii referitoare la aceasta persoana, persoana vizata se poate adresa direct operatorului sau, daca acesta nu da curs cererii sale, poate sesiza autoritatile competente pentru a obtine, in anumite conditii, eliminarea acestui link de pe lista de rezultate

O directiva a Uniunii¹ are ca obiectiv protejarea drepturilor si a libertatilor fundamentale ale persoanelor fizice (in special a dreptului la viata privata) cu ocazia prelucrarii datelor cu caracter personal, precum si eliminarea obstacolelor din calea liberei circulatii a acestor date . In 2010, domnul Mario Costeja Gonzalez, cetatean spaniol, a formulat o reclamatie la Agencia EspaA�ola de Proteccion de Datos (Agentia Spaniola de Protectie a Datelor, AEPD) impotriva La Vanguardia Ediciones SL (editorul unui cotidian cu difuzare larga in Spania, in special in regiunea Catalonia), precum si impotriva Google Spain si a Google Inc. Domnul Costeja Gonzalez a aratat ca, atunci cand numele sau era introdus de un utilizator de internet in motorul de cautare al grupului Google (``Google Search``), lista de rezultate afisa linkuri catre doua pagini ale cotidianului La Vanguardia, publicate in ianuarie 1998 si, respectiv, in martie 1998. Pe aceste pagini figura printre altele un anunt cu privire la o vanzare la licitatie a unor imobile organizata ca urmare a unei proceduri de executare silita desfasurate in vederea recuperarii datoriilor pe care le avea domnul Costeja Gonzalez la asigurarile sociale.

Prin aceasta reclamatie, domnul Costeja Gonzalez a solicitat, pe de o parte, sa se dispuna ca La Vanguardia fie sa elimine sau sa modifice paginile mentionate (astfel incat pe acestea sa nu mai apara datele sale personale), fie sa utilizeze anumite instrumente puse la dispozitie de motoarele de cautare pentru a proteja aceste date . Pe de alta parte, domnul Costeja Gonzalez a solicitat sa se dispuna ca Google Spain sau Google Inc. sa elimine sau sa oculteze datele sale cu caracter personal, astfel incat acestea sa dispara din rezultatele cautarii si din linkurile La Vanguardia. In acest context, domnul Costeja Gonzalez a afirmat ca executarea silita al carei obiect a fost s-a finalizat in intregime in urma cu mai multi ani si ca mentionarea acesteia este in prezent lipsita de orice relevanta.

AEPD a respins reclamatia formulata impotriva La Vanguardia, apreciind ca editorul a publicat in mod legal informatiile in cauza. In schimb, respectiva reclamatie a fost admisa in privinta Google Spain si a Google Inc. AEPD a dispus ca cele doua societati sa ia masurile necesare pentru retragerea datelor din indexul lor si pentru interzicerea accesului la acestea pe viitor. Google Spain si Google Inc. au introdus doua actiuni la Audiencia Nacional (Spania) prin care au solicitat anularea deciziei AEPD. In acest context, instanta spaniola a formulat o serie de intrebari la Curtea de Justitie . Prin hotararea pronuntata astazi, Curtea constata mai intai ca, prin explorarea in mod automat, constant si sistematic a informatiilor publicate pe internet, operatorul unui motor de cautare efectueaza o ``colectare`` a datelor in sensul directivei. In plus, Curtea apreciaza ca operatorul ``extrage``, ``inregistreaza`` si ``organizeaza`` aceste date in cadrul programelor sale de indexare, dupa care le ``stocheaza`` pe serverele sale si, dupa caz, le ``dezvaluie`` si le pune la dispozitia utilizatorilor sai sub forma unor liste de rezultate. Aceste operatiuni, mentionate in mod explicit si neconditionat de directiva, trebuie calificate drept ``prelucrare`` indiferent de faptul ca operatorul motorului de cautare le aplica in mod nediferentiat atat in privinta datelor cu caracter personal cat si in privinta altor informatii. De asemenea, Curtea aminteste ca operatiunile mentionate de directiva trebuie calificate drept prelucrare chiar daca privesc exclusiv informatii deja publicate ca atare in mass-media. O derogare generala de la aplicarea directivei intr-o asemenea ipoteza ar lipsi directiva in mare parte de sens.

Pe de alta parte, Curtea statueaza ca operatorul motorului de cautare este si operatorul prelucrarii datelor cu caracter personal, in sensul directivei, dat fiind ca el este cel care stabileste scopurile si mijloacele acesteia. In aceasta privinta, Curtea arata ca, intrucat activitatea unui motor de cautare se adauga la cea a editorilor de site-uri web si este susceptibila sa afecteze semnificativ drepturile fundamentale la viata privata si la protectia datelor cu caracter personal, operatorul motorului de cautare trebuie sa asigure, in cadrul responsabilitatilor, al competentelor si al posibilitatilor sale, ca aceasta activitate este conforma cu cerintele directivei. Doar astfel garantiile prevazute de directiva vor putea sa isi produca efectul deplin, iar o protectie eficienta si completa a persoanelor in cauza (si in special a vietii lor private) va putea sa fie realizata efectiv.

In ceea ce priveste domeniul de aplicare teritorial al directivei, Curtea retine ca Google Spain constituie o filiala a Google Inc. pe teritoriul spaniol si, prin urmare, un ``sediu`` in sensul directivei. Curtea respinge argumentul potrivit caruia prelucrarea datelor cu caracter personal de catre Google Search nu este efectuata in cadrul activitatilor sediului respectiv in Spania. In aceasta privinta, Curtea considera ca, in cazul in care astfel de date sunt prelucrate pentru nevoile functionarii unui motor de cautare operat de o intreprindere care, desi este stabilita intr-un stat tert, dispune de un sediu intr-un stat membru, prelucrarea este efectuata ``in cadrul activitatilor`` sediului respectiv, in sensul directivei, din moment ce acesta este destinat sa asigure, in acel stat membru, promovarea si vanzarea spatiului publicitar oferit de motorul de cautare pentru rentabilizarea serviciului oferit de motorul amintit.

In continuare, in ceea ce priveste intinderea raspunderii operatorului unui motor de cautare, Curtea constata ca acesta este obligat, in anumite conditii, sa elimine de pe lista de rezultate, afisata in urma unei cautari efectuate plecand de la numele unei persoane, linkurile catre paginile web publicate de terti si care contin informatii referitoare la aceasta persoana . Curtea precizeaza ca o astfel de obligatie poate exista si in ipoteza in care acest nume sau aceste informatii nu sunt sterse in prealabil sau simultan de pe paginile web respective, iar aceasta, daca este cazul, chiar daca publicarea lor in sine pe paginile mentionate este licita.

In acest context, Curtea subliniaza ca o prelucrare a datelor cu caracter personal realizata de un astfel de operator permite oricarui utilizator de internet sa isi formeze, prin intermediul listei de rezultate obtinute ca urmare a unei cautari efectuate plecand de la numele unei persoane fizice, o idee de ansamblu structurata cu privire la informatiile referitoare la aceasta persoana care pot fi gasite pe internet. In plus, Curtea arata ca aceste informatii ating in mod potential o multitudine de aspecte ale vietii sale private si ca, fara motorul de cautare, acestea nu ar fi putut sau ar fi putut doar foarte greu sa fie combinate. Astfel, utilizatorii de internet pot sa stabileasca un profil mai mult sau mai putin detaliat al persoanelor cautate. Pe de alta parte, efectul ingerintei in drepturile persoanei este agravat ca urmare a rolului important pe care il au in societatea moderna internetul si motoarele de cautare, acestea din urma conferind informatiilor cuprinse in listele de rezultate un caracter ubicuu. Avand in vedere gravitatea potentiala a unei asemenea ingerinte, aceasta nu poate fi justificata, potrivit Curtii, doar prin interesul economic al operatorului motorului de cautare privind prelucrarea datelor.

Totusi, intrucat eliminarea unor linkuri de pe lista de rezultate ar putea avea, in functie de informatia in cauza, repercusiuni asupra interesului legitim al utilizatorilor de internet potential interesati de a avea acces la aceasta informatie, Curtea constata ca trebuie cautat un echilibru just intre acest interes si drepturile fundamentale ale persoanei vizate, in special dreptul la respectarea vietii private si dreptul la protectia datelor cu caracter personal. In aceasta privinta, Curtea arata ca, desi, desigur, drepturile persoanei vizate prevaleaza, ca regula generala, si asupra interesului mentionat al utilizatorilor de internet, acest echilibru poate sa depinda insa, in cazuri particulare, de natura informatiei in discutie si de caracterul sensibil al acesteia in ceea ce priveste viata privata a persoanei vizate, precum si de interesul publicului de a dispune de informatia respectiva, care poate varia in special in functie de rolul jucat de persoana mentionata in viata publica.

In sfarsit, fiind solicitata sa stabileasca daca directiva permite persoanei vizate sa solicite eliminarea de pe o astfel de lista de rezultate a unor linkuri catre pagini web, pentru motivul ca doreste ca informatiile referitoare la persoana sa care figureaza pe aceste pagini sa fie ``uitate`` dupa un anumit timp, Curtea arata ca, in ipoteza in care se constata, ca urmare a unei cereri formulate de persoana vizata, ca includerea acestor linkuri pe lista de rezultate este, in stadiul actual, incompatibila cu directiva, informatiile si linkurile cuprinse in lista amintita trebuie sa fie sterse. In aceasta privinta, Curtea observa ca si o prelucrare initial licita a unor date exacte poate deveni cu timpul incompatibila cu aceasta directiva in cazul in care, avand in vedere ansamblul imprejurarilor caracteristice spetei, aceste date sunt inadecvate, nu sunt sau nu mai sunt pertinente ori sunt excesive in raport cu scopurile pentru care au fost prelucrate si cu timpul care s-a scurs.

Curtea adauga ca, in cadrul aprecierii unei astfel de cereri formulate de persoana vizata impotriva prelucrarii realizate de operatorul unui motor de cautare, trebuie sa se examineze in special daca aceasta persoana are dreptul ca informatiile respective referitoare la persoana sa sa nu mai fie, in stadiul actual, asociate cu numele sau de o lista de rezultate care este afisata in urma unei cautari efectuate plecand de la numele sau. Daca aceasta este situatia, linkurile catre paginile web care contin informatiile respective trebuie eliminate de pe lista de rezultate, cu exceptia cazului in care exista motive speciale, precum rolul jucat de aceasta persoana in viata publica, care sa justifice un interes preponderent al publicului de a avea acces, in cadrul unei asemenea cautari, la informatiile in cauza.

Curtea precizeaza ca persoana vizata poate adresa astfel de cereri direct operatorului motorului de cautare, care trebuie apoi sa examineze in mod corespunzator temeinicia acestora. In cazul in care operatorul nu da curs acestor cereri, persoana vizata poate sesiza autoritatea de supraveghere sau autoritatea judecatoreasca pentru ca acestea sa efectueze verificarile necesare si, pe cale de consecinta, sa dispuna ca operatorul respectiv sa adopte masuri precise.

Hotararea in cauza C-131/12 Google Spain SL, Google Inc./Agencia EspaA�ola de Proteccion de Datos, Mario Costeja Gonzalez

¹ Directiva 95/46/CE a Parlamentului European si a Consiliului din 24 octombrie 1995 privind protectia persoanelor fizice in ceea ce priveste prelucrarea datelor cu caracter personal si libera circulatie a acestor date (JO L 281, p. 31, Editie speciala, 13/vol. 17, p. 10).