Ny dom: Google skal skjule personoplysninger

Internetgiganten taber principiel sag om »retten til at blive glemt« ved EU-Domstolen. Dommen vil få vidtrækkende konsekvenser, vurderer persondataekspert.

Foto: ARND WIEGMANN

Alle har ret til at kræve at få fjernet upassende eller forældede oplysninger, som de store internetsøgemaskiner finder frem om dem, fra søgemaskinernes resultatliste.

Det har EU-Domstolen afgjort tirsdag morgen i en principiel sag, som internetgiganten Google dermed har tabt.

Afgørelsen betyder, at Google holdes ansvarlig for den måde, som resultatlisten sammensættes på, og at Google dermed kan blive pålagt at fjerne henvisninger til sider, hvorpå der er oplysninger, som man selv finder krænkende eller forældet.

Retten til at blive glemt

Selve siden, som rummer oplysningerne, f.eks. en ældre avisartikel, ændrer dommen dog ikke på.

»Når den resultatliste, der vises efter en søgning på en persons navn, viser et link til en webside, der indeholder oplysninger om den pågældende person, kan den berørte person således henvende sig direkte til udbyderen eller, såfremt udbyderen ikke efterkommer personens anmodning, indgive en anmodning til de kompetente myndigheder med henblik på, at dette link under visse omstændigheder fjernes fra resultatlisten,« hedder det i EU-Domstolens afgørelse.

Sagen handler om det, som EU-Kommissionen har døbt »retten til at blive glemt«, og som skal være en del af den nye fælles datalovgivning i EU som erstatning for de nuværende regler fra 1995, og dermed grænsen mellem ytringsfrihed og privatlivets fred. Det er en spanier, Mario Costeja González, som i 2010 klagede til det spanske datatilsyn over, at når man søgte på hans navn på Googles søgemaskine, dukkede to artikler fra 1998 i avisen La Vanguardia om tvangsauktion over fast ejendom i forbindelse med beslaglæggelse for at inddrive gæld, som Mario Costeja González havde.

Datatilsynet afviste, at artiklerne skulle fjernes fra La Vanguardias arkiv, men Mario Costeja González fik medhold i, at Google skulle lade være med at vise dem i resultatlisten. Det klagede Google så over og har nu tabt ved EU-Domstolen i Luxembourg, som er EUs øverste, juridiske myndighed.

Advokat: Vidtrækkende konsekvenser

»Dommen er principiel i mere end én forstand. For det første fastslår domstolen, at en søgemaskine ikke kan undlade at efterleve persondatalovgivningen med henvisning til, at søgeresultaterne blot er en gengivelse af, hvad der allerede ligger på nettet. Derudover skaber dommen i hvert fald umiddelbart mere klarhed om, at også virksomheder, der er beliggende i et land uden for EU efter omstændigheder skal efterleve EUs databeskyttelsesregler, hvis de udfører aktiviteter i EU gennem f.eks. et datterselskab,« forklarer Michael Hopp, advokat med speciale i persondataret fra advokatfirmaet Plesner, til Berlingske.

Han vurderer, at dommen nok vil have begrænset effekt her og nu, fordi det tager lidt tid, før datatilsynene og virksomhederne finder ud af, hvor grænserne går.

»På den lange bane er der ingen tvivl om, at denne dom vil få vidtrækkende konsekvenser, dels i forhold til hvilke rettigheder vi som individer har, når vi færdes på internettet, dels hvilke muligheder de nationale datatilsynsmyndigheder har for at kræve databeskyttelsesreglerne håndhævet over for multinationale virksomheder som Google. Endelig må dommen forventes at få en vis betydning for udformningen af den nye databeskyttelsesforordning, som EU ventes at vedtage i 2015,« siger Michael Hopp.

Søgemaskinerne er ansvarlige

Domstolen slår fast, at søgemaskinerne indsamler oplysninger ved »automatisk, konstant og systematisk« at undersøge Internet. Bagefter udvælger, registrerer og systematiserer søgemaskinere oplysningerne og viderebringer dem på søgeresultatlisten.

Søgemaskinen er dermed registeransvarlig for databehandlingen.

»Domstolen anfører i denne forbindelse, at for så vidt som søgemaskinens aktivitet er mere omfattende end websideudgiveres og i væsentligt grad kan påvirke de grundlæggende rettigheder til privatlivets fred og beskyttelse af personoplysninger, skal søgemaskineudbyderen inden for rammerne af sit ansvar, sine kompetencer og sine muligheder sikre, at dens aktivitet opfylder kravene i direktivet,« skriver domstolen og understreger dermed, at kravene til privatlivets fred kun på den måde kan opfyldes.

Kun søgemaskiner kan finde så meget

Google kan ikke henholde sig til, at databehandlingen måtte foregå uden for EU. Google i Spanien regnes som en del af Google-koncernen og skal dermed følge reglerne.

»Søgemaskineudbyderen [er] under visse omstændigheder forpligtet til fra den resultatliste, der vises efter en søgning på en persons navn, at fjerne link til websider, som er offentliggjort af tredjemand og indeholder oplysninger vedrørende denne person. Domstolen anfører nærmere, at en sådan forpligtelse ligeledes kan foreligge i det tilfælde, hvor dette navn eller disse oplysninger ikke forudgående eller samtidig slettes fra disse websider, og i givet fald selv når offentliggørelsen på disse sider i sig selv er lovlig,« hedder det.

Årsagen er, at søgemaskinerne leverer så mange oplysninger, som man eller ikke - eller kun med stort besvær - ville kunne sammenkæde.

»Internetbrugerne kan således fastlægge en mere eller mindre detaljeret profil af de personer, de søger på. Virkningen af indgrebet i personens rettigheder forstærkes desuden som følge af den vigtige rolle, internettet og søgemaskinerne har i det moderne samfund, hvilket giver oplysningerne på resultatlister en allestedsnærværende karakter. Henset til, at et sådant indgreb potentielt kan være alvorligt, kan det ifølge Domstolen ikke begrundes alene med henvisning til søgemaskineudbyderens økonomiske interesse i behandlingen af oplysningerne,« hedder det i dommen.

Man skal selv henvende sig

Dog skal det i hvert tilfælde afvejes, hvor følsom oplysningen er for den berørte persons privatliv, ligesom offentlighedens interesse kan variere, alt efter hvad den pågældendes rolle er i det offentlige liv.

EU-Domstolen fastslår, at man selv skal henvende sig til søgemaskinen, som derefter omhyggeligt skal undersøge, om der er noget at komme efter. Får man afslag, kan man klage til datatilsynet eller gå rettens vej.

Læs mere: Se EU-Domstolens afgørelse (på dansk, PDF-fil)