Analýza praktických dopadů rozhodnutí Soudního dvora EU ve věci Google Spain

autor: Mgr. MgA. Jakub Míšek, Mgr. Jakub Harašta
publikováno: 16.03.2015

Rozsudku Soudního dvora Evropské unie (dále jen „SDEU“) ve věci Google Spain proti Mario Costeja González1 byla již věnována značná pozornost, a to jak odbornou, tak laickou veřejností. Jedná se o poměrně zásadní rozhodnutí pro oblast ochrany osobních údajů v prostředí internetu, které autoritativně definuje postavení internetových vyhledávačů2 a jejich odpovědnost z hlediska ochrany osobních údajů. V tomto článku popisujeme skutkovou i právní podstatu tohoto rozhodnutí. Zároveň tvrdíme, že na rozdíl od jiných rozhodnutí SDEU se v tomto případě skutečně nejedná o rozhodnutí zcela odtržené od běžné právní praxe. Toto rozhodnutí totiž dle našeho názoru poskytuje i velice praktický nástroj pro faktickou realizaci presumpce neviny ve vztahu k medializovaným kauzám. Pokud nedojde k prokázání viny obžalované osoby, umožňuje postup podle rozhodnutí Google Spain promítnout rozhodnutí soudu i do mediální sféry

 Stav vedoucí k podání předběžné otázky    

Vše započalo, když španělskému občanu Mario Costejovi Gonzálezovi byly na konci devadesátých let z důvodu dluhů na sociálním zabezpečení zabaveny nemovitosti a následně byly dány do veřejné dražby, z jejíhož výtěžku měl být dluh uhrazen.[3] Aby se informace o dražbě dostala k co nejširšímu množství zájemců, regionální deník La Vanguardia splnil povinnost vyvěrající z nařízení ministerstva práce a sociálních věcí a otiskl v lednu a březnu 1998 dva články, v nichž bylo krom oznámení dražby uvedeno i Gonzálezovo jméno.[4] Tyto články byly umístěny do internetového archivu novin a při zadání Gonzálezova jména do internetového vyhledávače Google byly zobrazeny mezi prvními nalezenými výsledky.

González tento stav pociťoval jako újmu na svém právu na ochranu osobnosti a tvrdil, že vzhledem k tomu, že se jedná již o dávno uhrazené dluhy a vzhledem k jeho povolání, není důvod, aby tato informace byla stále snadno veřejně dostupná. Roku 2010 proto podal stížnost ke španělskému Státnímu úřadu pro ochranu údajů proti společnostem La Vanguardia, vydavateli regionálních novin stejného jména, Google Inc. a její lokální dceřiné společnosti Google Spain. Dožadoval se odstranění článků z archivu novin, případně odstranění indexace těchto článků Googlem a tedy znemožnění jejich zobrazení jako výsledku vyhledávání.[5]

Státní úřad pro ochranu údajů stížnost zamítl co do publikace článku novinami, jelikož se jednalo o zákonné zveřejnění, ovšem v případě Google stížnosti vyhověl. Google rozhodnutí úřadu napadl žalobou k soudu, který SDEU předložil předběžné otázky, týkající se interpretace směrnice o ochraně osobních údajů č. 95/46/ES. První otázka se týkala místní působnosti směrnice, druhá statusu internetového vyhledávače a třetí, zda má subjekt údajů právo požadovat po vyhledávači, aby odstranil z indexování vyhledávání odkazy na webové stránky třetích stran, které obsahují osobní údaje subjektu údajů. 

Vyhledávač jako správce osobních údajů 

Při řešení otázky, zda je vyhledávač správcem osobních údajů, SDEU vycházel převážně z textového výkladu směrnice. Čl. 2 písm. b) směrnice definuje „zpracování osobních údajů“ jako „jakýkoli úkon nebo soubor úkonů s osobními údaji“[6] a uvádí demonstrativní seznam činností, které je třeba považovat za zpracování osobních údajů. Je to například shromaž­ďování, zaznamenávání, uspořádávání, uchovávání, vyhledávání, použití, sdělení prostřednictvím přenosu, šíření nebo jakékoli jiné zpřístupnění, srovnání či kombinování a další. Tyto činnosti jsou typické pro funkčnost internetového vyhledávače, navíc obsahem indexování a vyhledávání jsou bezpochyby i osobní údaje umístěné na webech třetích stran.[7]Jak je uvedeno v rozsudku: „Vzhledem k tomu, že uvedené úkony jsou výslovně a bezpodmínečně uvedeny v čl. 2 písm. b) směrnice 95/46, musí být kvalifikovány jako „zpracování“ ve smyslu uvedeného ustanovení“.[8] Vyhledávač určuje účel tohoto zpracování (indexování pro funkčnost systému vyhledávání a následné řazení výsledků), a je proto nezbytně správcem těchto údajů ve smyslu směrnice 95/46/ES a tedy i zákona č. 101/2000 Sb., o ochraně osobních údajů (dále „ZoOOU“).[9] Tento argument je posílen poznámkou, že internetové vyhledávače ovlivňují, jak informace vnímáme, a umožňují snadno sestavit na základě jména profil člověka.[10]

Kdo sleduje oblast ochrany osobních údajů dlouhodobě, nemůže být závěrem SDEU překvapen. Postavení internetového vyhledávače jako správce osobních údajů tvrdila ve svém stanovisku i pracovní skupina zřízená dle článku 29 směrnice č. 95/46/ES (dále „WP29“) již v roce 2008.[11] WP29 rozlišuje,[12] kdy vyhledávač působí jako správce údajů svých uživatelů[13] a kdy působí jako správce údajů sesbíraných při indexování, což je právě případ analyzovaného rozsudku. Stanovisko se o druhé variantě bohužel zmiňuje jen okrajově a celé je zaměřeno spíše na variantu první.[14] Nadále se však věnujeme pouze zpracování údajů obsažených na stránkách třetích stran.

Interpretujeme-li vyhledávače jako správce údajů, musí zároveň plnit povinnosti, které ZoOOU a směrnice č. 95/46/ES[15] správcům ukládají. V první řadě je to zákonný důvod zpracování údajů. Vzhledem k tomu, že vyhledávač pracuje s nepředstavitelným množstvím osobních údajů předem neznámých subjektů, je třeba vyloučit zpracování na základě souhlasu[16] nebo z důvodu plnění smlouvy.[17] Jako nejpravděpodobnější se jeví zpracování dle § 5 odst. 2 písm. e), které umožňuje zpracovávat údaje tehdy, když je to nezbytné pro ochranu práv a právem chráněných zájmů správce, což je důvod, který SDEU výslovně označil.[18] Domníváme se však, že by zákonným důvodem pro zpracování mohlo být i to, že jde o oprávněně zveřejněné osobní údaje dle § 5 odst. 2 písm. d). Zveřejněný osobní údaj je dle § 4 písm. l) takový údaj, který je zpřístupněný hromadnými sdělovacími prostředky nebo jiným veřejným způsobem. Jak uvádí Kučerová s odkazem na důvodovou zprávu k ZoOOU, mezi takové způsoby patří i publikace na internetu.[19] Je však třeba přiznat, že tento koncept je poněkud problematický, protože zákon požaduje, aby se jednalo pouze o oprávněně zveřejněné údaje.[20] Při plošném zpracovávání informací celého internetu však není možné zajistit, aby takto nebyly zpracovány i nezákonně zveřejněné osobní údaje.

To se ještě více projevuje v případě zpracování citlivých osobních údajů, protože obdobně se nelze vyhnout ani těm. Paragraf 9 ZoOOU však nenabízí žádnou možnost legalizace jejich zpracování, která by byla aplikovatelná na situaci internetových prohlížečů. Veškeré zpracování citlivých osobních údajů umístěných na webových stránkách třetích stran je tak nezákonné a prohlížeč by je měl ukončit. Jelikož není možné v tomto případě oddělit zpracování citlivých a necitlivých údajů, měl by se zpracováním skončit úplně. Společnost Google se tedy bránila tomu, aby byla označena za správce údajů pocházejících z webových stránek třetích stran,[21] avšak dle SDEU má činnost vyhledávačů na právo na soukromí uživatelů internetu takový vliv, že je nelze vyloučit z rozsahu pojmu správce.[22]

Další povinnost, která správci údajů ze zákona vyplývá, je povinnost informovat subjekt údajů o probíhajícím zpracování a jeho specifikaci (§ 11 ZoOOU). Je jen velmi obtížně představitelné, jak by takové informování mělo vzhledem k nespecifikovanému počtu neznámých subjektů údajů vypadat. Jako možné řešení se jeví oznámení na webových stránkách vyhledávače, které však svojí nezbytnou obecností[23]působí spíše komicky než jakkoliv užitečně. S tím souvisí právo na informace o zpracování osobních údajů, které má subjekt dle § 12 ZoOOU. Správce má povinnost na žádost sdělit, jaké údaje zpracovává a jakými způsoby. I zde je praktická implementace problematická. Nejjednodušší způsob, jak zjistit, jaké údaje vyhledávač indexováním zpracovává, je zadání jména a zobrazení výsledků. Domníváme se však, že, – aby byla zákonná povinnost řádně splněna – měl by subjekt údajů mít přístup ke svým osobním údajům v podobě, která není zatížena jeho preferencemi ve vyhledávání. Vyhledávače bohužel tuto službu neposkytují, protože zobrazené výsledky výrazně závisí na tendencích uživatelů.

Je otázka, jak prakticky vyřešit problémy nastíněné v předchozím odstavci. Pokud by státní orgány měly formalisticky vyžadovat po vyhledávačích plnění všech povinností správce, dostali bychom se do absurdní situace, ve které je nezbytná buď cílená ignorace zákonných povinností ze strany orgánů veřejné správy, nebo nelegálnost internetového vyhledávání, a to pro nezákonnost zpracovávání osobních údajů. Kloníme se k závěru, že situace internetového vyhledávače by měla být do jisté míry analogická se situací poskytovatelů služeb informační společnosti dle § 3 až 6 zákona č. 480/2004 Sb., o některých službách informační společnosti. Zmiňovaná ustanovení není možné na projednávanou situaci přímo aplikovat, jelikož zákon o některých službách informační společnosti o vyhledávačích přímo nehovoří a nedotýká se ani ochrany osobních údajů. Podstatná je však povaha upravených poskytovatelů, která spočívá v omezené odpovědnosti za obsah, nacházející se v oblasti sféry jejich vlivu.[24] 

Místní příslušnost podle směrnice č. 95/46/ES 

Vůbec první ze série otázek, které národní soud položil SDEU, byla, zda z geografického hlediska směrnice a tudíž španělská právní úprava dopadá na projednávaný případ. Google Spain je dceřiná společnost americké korporace Google Inc., provozovatele celosvětového internetového vyhledávače, jehož zisky pramení z reklamních sdělení připojených k výsledkům vyhledávání. Účelem činnosti Google Spain je podpora lokálního prodeje reklamy.[25] Společnost Google tvrdila, že do španělské jurisdikce nespadá, jelikož samotné zpracování osobních údajů probíhalo mimo španělské území a Google Spain je neprovádí.[26] Soud však s odkazem na čl. 4 odst. 1 písm. a) směrnice č. 95/46/ES stanovil, že dostačuje, když je zpracování prováděno v rámci činnosti provozovny správce, což v daném případě je naplněno, protože vzhledem k obchodnímu modelu Google prodej reklamy přímo souvisí se zpracováním osobních údajů, tedy indexací za účelem vyhledávání.

Výsledkem této části rozhodnutí je posílení právní jistoty subjektů údajů, podrývá ovšem zcela zásadním způsobem snahy o zavedení principu one stop shop, které se poslední roky vedou v souvislosti s přípravou nového evropského nařízení o ochraně osobních údajů. One stop shop určuje rozhodující jurisdikci tomu členskému státu EU a jeho orgánům, na jehož území leží hlavní provozovna („main establishment“) správce údajů. Subjekt údajů ovšem i tak mohl podat stížnost u svého lokálního úřadu ochrany osobních údajů, který ji dále předal úřadu, v jehož působnosti hlavní provozovna sídlí. Tento systém je dle našeho názoru vstřícnější ke správcům údajů, při zachování stejných práv subjektů, než je systém navržený soudem. Otázkou, kterou však zatím vzhledem k probíhajícímu připomínkovému řízení nikdo nedokáže zodpovědět, je, který princip se nakonec prosadí v novém evropském nařízení. 

Rozhodnutí Google Spain jako prvek práva na zapomnění 

V odpovědi na poslední otázku soud přiznal subjektu údajů právo požadovat po vyhledávači odstranění odkazů, které způsobují porušení práva na ochranu soukromí a osobních údajů a které se zobrazí po zadání jména subjektu. Tento výrok je klíčový bod celého rozhodnutí, ke kterému směřují výroky o místní příslušnosti a právní povaze internetového vyhledávače, jakkoliv jsou samy o sobě podstatné. Krátce po vynesení rozsudku mnozí autoři vydávali komentáře o tom, že rozsudek je projevem práva na zapomnění, které je součástí návrhu připravovaného nařízení o ochraně osobních údajů.[27] Jakkoliv se tato zkratka může zdát přitažlivou, není zcela pravdivá. Právo na zapomnění dle návrhu evropského nařízení je širší než to, co subjektům údajů v této věci SDEU přiznal.

I v této oblasti tak rozsudek vlastně nepřináší nic nového ve vztahu k právu na zapomnění, protože stále vychází ze směrnice č. 95/46/ES a současné národní právní úpravy. Podíváme-li se opět na český právní řád, může subjekt údajů dle § 21 zákona o ochraně osobních údajů v případě, že se domnívá, že dochází k nezákonnému zpracování, požadovat po správci údajů vysvětlení, případně odstranění nezákonného stavu. To je řešení, o které se Mario Costeja González zákonnou cestou pokoušel.

Zpracování je nezákonné zejména tehdy, když je nepřiměřené svému účelu, nebo správce nemá řádný zákonný důvod, který by ho ke zpracování opravňoval. V tomto případě půjde o situace, kdy právo subjektu údajů na jejich ochranu je proporcionálně závažnější než právo správce na zpracování osobních údajů[28] a právo veřejnosti na informace. Soud správně zhodnotil, že zpracování údajů vyhledávačem je odlišné od zpracování, které provádí provozovatelé zdrojových internetových stránek, jež vyhledávač indexuje,[29] a může zasáhnout do práv subjektu dokonce i tehdy, když je zveřejnění informací na zdrojové stránce v souladu se zákonem, či dokonce povinné ze zákona.

Povinností internetového vyhledávače tak nyní je hodnotit, zda konkrétní odkaz, který zobrazují při zadání jména fyzické osoby, je nebo není porušením jejího práva na ochranu soukromí a osobních údajů. Vyhledávače mají dle rozhodnutí povinnost hodnotit konkrétní žádosti o odstranění odkazů z vyhledávání a individuálně poměřovat zásah do dotčených práv.[30] Vyhledávače proto musí zhodnotit obsah cizích webových stránek a pokud možno co nejpřesněji se seznámit se skutkovým stavem konkrétní situace. Pokud bychom uvažovali pouze v ekonomické rovině, hrozí, že právo na přístup k informacím bude opomíjeno, protože vyhledávačům se nevyplatí takto složité testy provádět, a raději budou rovnou všechny žádosti vyřizovat kladně. Přesná statistika zatím uveřejněna nebyla, ale z dopisu, který Google adresoval WP29, a v němž odpovídá na dotazy pracovní skupiny ohledně praktického plnění povinností vyplývajících z rozsudku, vyplývá, že se snaží k problému přistupovat zodpovědně a v konkrétních případech poměřovat dotčená práva tak, aby žádný zájem neutrpěl více, než je nezbytně nutné.[31]

V případě Google Spain SDEU rozhodl, že když se po vyhledání Gonzálezova jména zobrazí odkaz na stránky La Vanguardie, obsahující informace o dluhu a dražbě, je právo na ochranu soukromí narušeno a Google má povinnost odkaz odstranit. Costeja González tak dosáhl vítězství, které je však doprovázeno silným efektem Streisandové.[32] Jméno Costeja González již navždy bude spojeno s dluhem na platbách na sociálním zabezpečení. 

Praktické použití 

Jak bylo výše zmíněno, rozhodnutí Google Spain neumožňuje žádat odstranění indexovaného obsahu ve vztahu k jakémukoli zadanému dotazu. Odstranění je možné požadovat pouze v situaci, kdy je zadaným dotazem jméno fyzické osoby. V dnešní informační společnosti, která na internetu do značné míry závisí, je možné pozorovat problémy s realizací i tak základní zásady trestního řízení, jakou je presumpce neviny. Vinu vyslovuje až pravomocný odsuzující rozsudek soudu,[33] nicméně v případě medializovaných kauz bohužel může docházet ke zveřejňování informací, které jsou, po případném zproštění obžaloby, způsobilé obžalovaného i nadále poškozovat. Jedná se tak o analogii k situaci, která vedla k rozhodnutí Google Spain.

Nejvyšší soud se v minulosti ve věci sp. zn. 30 Cdo 4280/2011 ze dne 3. 7. 2012 k otázce medializace vyjádřil v rámci kompenzačního řízení podle zákona č. 82/1998 Sb., o odpovědnosti za škodu způsobenou při výkonu veřejné moci rozhodnutím nebo nesprávným úředním postupem. Soud dovodil, že „k tíži státu lze přičíst excesivní způsob jednání orgánů činných v trestním řízení, které mohou mít za následek větší úkor později obžaloby zproštěné osoby.“[34] Zároveň ale konstatoval, že v případě absence „takových vyjádření či postupů ze strany orgánů činných v trestním řízení“ je možné, že medializace může být pouhým „důsledkem zásady veřejnosti trestního řízení a obecných veřejných poměrů případu“. V takovém případě pak „nelze přičítat státu k tíži, že princip presumpce neviny byl narušen sdělovacími prostředky, či dokonce že jimi byl narušen ve značné míře.“ Medializací kauzy tak může v rámci přípravného řízení trestného či trestního stíhání dojít ke značné újmě na právech obviněného či žalovaného. Fakticky pak může dojít k narušení presumpce neviny medializací v duchu zmíněného rozhodnutí Nejvyššího soudu. Informace, které vedly k této faktické negaci presumpce neviny jsou na internetu dostupné i po zprošťujícím rozsudku. Postup podle rozhodnutí Google Spain tak umožňuje promítnout osvobozující rozsudek soudu do mediální sféry. V ní je často posledním „úkonem“ informování o zahájení vyšetřování nebo trestního stíhání.

Pro úspěšné uplatnění nároku plynoucího z rozhodnutí Google Spain je nezbytné rozlišovat hned několik situací:

(1) medializovaná kauza ještě nedospěla k žádnému pravomocnému rozhodnutí a v tomto případě převládá právo veřejnosti na informace v míře přípustné právními předpisy;

(2) medializovaná kauza dospěla k osvobozujícímu rozsudku a v tomto případě převládá právo jednotlivce, který byl zproštěn obžaloby, na ochranu soukromí;

(3) medializovaná kauza dospěla k odsuzujícímu rozsudku a v tomto případě převládá právo veřejnosti na informace v míře přípustné právními předpisy;

(4) medializovaná kauza dospěla k odsuzujícímu rozsudku, který byl ale zahlazen, a v tomto případě převládá právo jednotlivce, jehož odsuzující rozsudek byl zahlazen, na ochranu soukromí.

V případě rozsáhlé medializace (bez ohledu na šanci na úspěch v rámci případného kompenzačního řízení) by tak advokát měl využít možnosti, kterou mu nabízí rozhodnutí Google Spain. Dle našeho názoru by se dokonce mohlo jednat o povinnost dle §16 zákona č. 85/1996 Sb., o advokacii. Požadovat, aby vyhledávače odstranily z výsledků vyhledávání zobrazených po zadání klientova jména odkazy na obsah, který spojuje klienta zproštěného obžaloby s událostmi, které k procesu vedly, je dle našeho názoru nepochybně zákonným prostředkem, jehož využitím je možné klientovi výrazně prospět. 

Závěr analýzy 

Rozhodnutí Google Spain je z hlediska právního rámce ochrany osobních údajů zajímavým judikátem. Zatímco v hmotné části nové evropské nařízení proklamováním práva na zapomenutí předjímá, v procesní části jej naopak odklonem od principu one stop shop popírá. Bohužel v něm není dostatečně odůvodněno, proč tomu tak je. Argumentačně je rozhodnutí problematické celkově. Jak si správně všímá Orla Lynskey,[35] soud zde působí z pozice své moci, málo se snaží argumentačně podložit svá tvrzení a omezuje se na konstatování nutnosti zachování „vysoké úrovně ochrany soukromí osob“.[36] Navíc zcela jednoznačně upřednostňuje právo na ochranu osobních údajů a opomíjí právo na svobodu projevu, které je s prvním jmenovaným ve zřejmé kolizi. Tento fakt dává určitou šanci společnosti Google, pokud se rozhodne, že konečný verdikt španělského soudu napadne u Evropského soudu pro lidská práva.

Je třeba rovněž poznamenat, že smazání odkazu u internetového vyhledávače nezpůsobí, že by informace zmizela z internetu. Stále je možné na internetovou stránku přistoupit jinými cestami, z nichž nejviditelnější je zřejmě použití vyhledávače z geografického umístění, které leží mimo územní působnost evropského práva.[37] Vzhledem k tomu je možné, že SDEU nepovažoval zásah do práva na informace natolik závažný, aby se o něm musel zmiňovat. Jak ale připomíná Lynskey,[38] po precizně argumentovaných rozsudcích jako jsou Promusicae, Scarlet Extended nebo Telekabel UPC působí rozhodnutí Google Spain nepříliš vydařeně.

Mezi uživateli internetu se však rozhodnutí stalo rychle populární. K 3. červnu 2014 Google zaznamenal 41 000 žádostí o odstranění informací z vyhledávání, k 18. červenci 2014 to bylo již 91 000 požadujících odstranění odkazů na téměř 330 000 webových stránek. Nejvíce žádostí pocházelo z Francie (17 500 požadujících odstranění 58 000 URL), Německa (16 500 požadujících odstranění 57 000 URL) a Velké Británie (12 000 požadujících odstranění 44 000 URL).[39] Domníváme se tedy, že i advokáti by se měli tento nástroj v rámci své praxe naučit používat.

Prvý autor je interním doktorandem Ústavu práva a technologií Právnické fakulty Masarykovy univerzity, druhý autor je asistentem a externím doktorandem tamtéž.