EU-domstolen i C-507/17 Google v. CNIL: Retten til å bli glemt gjelder i utgangspunktet ikke utenfor EU

Den 24. september avsa EU-domstolen i storkammer avgjørelse i C-507/17 Google v. CNIL. Det ble her lagt til grunn at retten til avindeksering i utgangspunktet ikke gjelder utenfor EU. EU-retten hindrer derimot ikke uten videre medlemsstatene i å ha nasjonale regler som pålegger slik global avindeksering. 

Foto: The Pancake of Heaven - CC BY SA

«Retten til å bli glemt» har sitt opphav i sak C-131/12 Google v. Costeja González fra 2014, hvor EU-domstolen slo fast at EUs personverndirektiv av 1995 og nasjonal personvernlovgivning gjaldt for søkemotorselskaper som hadde tilstedeværelse i et EU-land. Slike selskaper har dermed et selvstendig behandlingsansvar for personopplysningene som indekseres selv om opplysningene først ble publisert av andre medier. Under visse omstendigheter har enkeltpersoner rett til å få fjernet indeksering av eget navn i søkemotoren. Dette kan gjelde informasjon som i utgangspunktet var riktig, men som med tiden kunne ha blitt utilstrekkelig, irrelevant eller overdimensjonert. Selv om Google og andre søkemotorer har lagt til rette for at den registrerte kan be om å få fjernet belastende informasjon som nettsaker fra aviser eller liknende knyttet til eget navn, er det ingen automatikk i denne prosessen. Søkemotorselskaper tar en avgjørelse om en eventuell avindeksering ut fra en sammensatt vurdering av hvert enkelt tilfelle.

I 2018 vedtok EU sin nye personvernforordning – GDPR – som den nye personopplysningsloven av 20. juli 2018 bygger på.  Et viktig spørsmål som hverken EU-domstolen i C-131/12 Google v. Costeja González  eller personvernforordningen artikkel 17, som kodifiserte retten til avindeksering, svarer på er om retten til avindeksering også gjelder i tredjeland, dvs. utenfor EU. Spørsmålet kom på spissen da det franske datatilsynet (CNIL) i 2015 påla Google å avindeksere også utenfor EU. Google nektet å rette seg etter pålegget, og foreslå i stedet at den samme virkningen kunne oppnås gjennom «geoblokkering». Dette anså CNIL som utilstrekkelig og Google ble ilagt en bot på  €100,000. Google anket CNILs avgjørelse til Conseil d’État (den øverste forvaltningsdomstol i Frankrike) som forela en rekke spørsmål for EU-domstolen.

For det første la EU-domstolen til grunn at EU-lovgivning ikke pålegger søkemotorselskaper avindeksering på alle sine domener, dvs. både i EU og i tredjeland. For å komme til denne konklusjonen vurderte EU-domstolen argumenter for og imot at «retten til å bli glemt» skal gjelde utenfor EU. EU-domstolen påpekte at formålet med både det gamle personverndirektivet og personvernforordningen er å sikre et høyt nivå av vern av personopplysninger innenfor EU. Avindeksering på alle versjoner av en søkemotor ville utvilsomt oppnå dette formålet. Dette er fordi internett gjør det mulig å søke i opplysninger om de registrerte som befinner seg i EU fra tredjeland.

Hensynene for avindeksering også utenfor EU måtte likevel veies opp mot argumenter mot et slikt pålegg. Flere tredjeland anerkjenner ikke «retten til å bli glemt» eller de har en annen tilnærming til problemstillingen. I tillegg er «retten til å bli glemt» ikke absolutt – den må balanseres mot andre grunnleggende rettigheter i samsvar med proporsjonalitetsprinsippet. Denne avveiningen mellom retten til vern av personopplysninger og informasjonsfrihet på internett kan dessuten slå ulikt ut i ulike tredjeland. Mens personvernforordningens artikkel 17(3)(a) sørger for en slik balansering innenfor EU, er dette ikke tilfelle utenfor EU. Især fremgår det ikke av personverndirektivet artikler 12 b) og 14(1)(a) eller personvernforordningen artikkel 17 at for å sørge et høyt nivå av vern av personopplysninger ønsket EU-lovgiver at retten til avindeksering også skulle gjelde utenfor EU. Selv om personvernforordningen artikkel 56 og 60-66 legger til rette for at nasjonale myndigheter kan samarbeide i saker som gjelder en avveining mellom vern av personopplysninger og allmenhetens interesse i ulike medlemsstater, gir ikke EU-lovgiving i sin nåværende form en tilsvarende mulighet for å samarbeide når det gjelder retten til avindeksering utenfor EU. 

For det andre er søkemorselskaper i prinsippet pålagt å avindeksere på alle sine domener innenfor EU. Dette fordi EU-lovgiver valgte å regulere vern av personopplysninger i en forordning som gjelder direkte i alle EU-land. Det må likevel påpekes at informasjonsfriheten kan variere selv i ulike EU land slik at resultatet av balansering mellom allmenhetens interesse og vern av personopplysninger kan variere. Det er særlig fordi både personverndirektivet og personvernforordningen åpner for at medlemsstater kan fastsette unntak som gjelder journalistiske, akademiske, kunstneriske og litterære formål. Som påpekt ovenfor sørger likevel personvernforordningen for at nasjonale myndigheter skal kunne treffe av felles avgjørelse som gjelder grenseoverskridende behandling av personopplysninger, inkludert avindeksering, innenfor EU.

For det tredje skal et søkemotorselskap – om nødvendig – treffe tiltak for å sørge for et effektivt vern av den registrertes grunnleggende rettigheter. Slike tiltak skal oppfylle alle rettslige krav og ha som virking å hindre eller i det minste avskrekke (discourage) internettbrukere bosatt i EU fra å søke på avindekserte lenker ved å bruke navn til den registrerte som søkeord. Det er opp til den franske domstolen å vurdere om geoblokkering som ble foreslå av Google oppfyller disse kravene

Avslutningsvis understreket EU-domstolen at selv om den nåværende EU-lovgivningen ikke krever avindeksering i tredjeland, forbyr den heller ikke en slik praksis. Nasjonale myndigheter eller domstoler har på grunnlag av nasjonale regler som verner grunnleggende rettigheter, kompetanse til å avveie vernet av personopplysninger opp mot informasjonsfriheten. Denne avveiningen kan resultere et pålegg om avindeksering på alle domener, inkludert utenfor EU.

Malgorzata Cyndecka