Birting niðurstöðu leitar á vefleitarvél Google
Úrskurður
Hinn 14. desember 2015 kvað stjórn Persónuverndar upp svohljóðandi úrskurð í máli nr. 2014/1713:
I.
Málavextir og bréfaskipti
1.
Hinn 10. desember 2014 barst Persónuvernd kvörtun [A][…], dags. 9. s.m., yfir að Google hefði synjað um að afmá niðurstöðu leitar á vefleitarvél sinni […]. Hinn 23. mars 2015 var […] greint frá því að tekið yrði til umfjöllunar hvort umkvörtunarefnið félli undir landfræðilegt gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, en slíkt væri forsenda þess að málið yrði tekið til efnislegrar umfjöllunar hjá Persónuvernd. Með bréfi, dags. 11. maí 2015, óskaði Persónuvernd tiltekinna skýringa frá félaginu Google Iceland ehf. í því sambandi. Félagið Google Sweden AB svaraði með tölvubréfi hinn 26. maí 2015, sem kvartandi fékk sent afrit af með bréfi Persónuverndar, dags. 15. júlí s.á.
Á grundvelli fyrrgreindra skýringa Google Sweden AB tók Persónuvernd þá ákvörðun að umrætt mál félli undir landfræðilegt gildissvið laga nr. 77/2000 og þar með valdsvið stofnunarinnar, en sú ákvörðun var tilkynnt Google Sweden AB og kvartanda með bréfi, dags. 3. september 2015. Með bréfinu var Google Sweden AB einnig veitt færi á að tjá sig um fyrrnefnda kvörtun. Svarað var með bréfi, dags. 16. september 2015, frá Google Inc., móðurfélagi Google Sweden AB og Google Iceland ehf. Kvartanda var veitt færi á að tjá sig um það svar með bréfi, dags. 23. s.m. Ekki barst skriflegt svar, en hinn 21. október 2015 hafði kvartandi samband símleiðis og áréttaði kvörtun sína[…].
2.
Í kvörtun kemur fram að [kvartandi var nýlega dæmdur til skilorðsbundinnar fangelsisrefsingar fyrir fjármunabrot í starfi sínu].
[Eftir] að dómur féll hafi umfjöllun birst um hann í [fjölmiðli]. Þá umfjöllun upplifi kvartandi sem meiðandi og beri hún það með sér að henni sé ætlað að rýra trúverðugleika kvartanda í [núverandi] starfi [sínu]. Með vísan til dóms Evrópudómstólsins frá 13. maí 2014 í máli nr. C-131/12 hafi kvartandi sent Google beiðni um að afmá niðurstöðu leitar um málið. Hafi þeirri beiðni verið hafnað á þeirri forsendu að um almannahagsmuni væri að ræða. Þeirri afstöðu sé kvartandi hins vegar ósammála. Frétt um umrætt mál hafi birst, hún fengið sinn líftíma og nú sé honum lokið. Segir að það að hafa fréttina hangandi yfir […] verði seint túlkað sem almannahagsmunir. […]
3.
Eins og fyrr greinir óskaði Persónuvernd tiltekinna skýringa frá Google Iceland ehf. með bréfi, dags. 11. maí 2015. Nánar tiltekið var óskað skýringa á því hvort einhver starfsemi væri á vegum félagsins og þá hvaða. Samkvæmt fyrrgreindu svari Google Sweden AB fyrir hönd Google Iceland ehf. hinn 26. maí 2015 hefur síðarnefnda félagið aðeins einn starfsmann sem vinnur að heiman. Segir að engin skrifstofa sé til staðar. Einnig segir að um sé að ræða verkfræðing sem vinni við Chrome-vafrann og sé snúinn aftur til Íslands eftir að hafa unnið í Kaliforníu. Hann sé hvorki talsmaður fyrir íslensku eininguna né berist honum bréf og tilkynningar til félagsins. Vinnan, sem hann hafi með höndum, tengist ekki á neinn hátt leitarvél Google, en þá þjónustu hafi Google Inc. í Kaliforníu með höndum. Auk þess hafi starfsmaðurinn ekki með höndum neina kynningu eða sölu á auglýsingaplássi, né heldur vinni hann með neins konar upplýsingar viðskiptavina í AdWords-þjónustu. Þá segir að hann komi ekki að því að fjarlægja leitarniðurstöður vegna sambærilegra krafna og fjallað er um í fyrrnefndum dómi Evrópudómstólsins.
Einnig óskaði Persónuvernd tiltekinna skýringa frá Google Inc., þ.e. með bréfi, dags. 3. september 2015, eins og áður segir. Í svari Google Inc., dags. 16. s.m., er lýst afstöðu félagsins til efnishliðar málsins. Er þar vísað til þess að samkvæmt fyrrgreindum dómi Evrópudómstólsins getur birting leitarniðurstaðna um tiltekinn einstakling í vefleitarvél átt stoð í f-lið 7. gr. persónuverndartilskipunarinnar nr. 95/46/EB, en samkvæmt því ákvæði skal vinnsla, sem nauðsynleg er til að gæta lögmætra hagsmuna ábyrgðaraðila, þriðja aðila eða viðtökuaðila, teljast heimil nema grundvallarréttindi og frelsi hins skráða vegi þyngra. Einnig er vísað til þess að samkvæmt dóminum verði að líta til lögmætra hagsmuna netnotenda af að hafa aðgang að upplýsingum, en þá hagsmuni verði að vega og meta andspænis hagsmunum hins skráða í tengslum við vinnslu persónuupplýsinga um sig. Niðurstaða slíks hagsmunamats geti, samkvæmt dóminum, oltið á eðli viðkomandi upplýsinga, því hversu nærgöngular þær geti talist og hagsmunum almennings af aðgengi að upplýsingum.
Fram kemur að Google Inc. hafi útbúið viðmið sem litið sé til við mat félagsins á beiðnum um eyðingu leitarniðurstaðna sem varða refsiverða háttsemi. Nánar tiltekið sé þá litið til þátta á borð við alvarleika brots; hvaða vægi það hafi vegna opinberrar umræðu; aldurs viðkomandi einstaklings þegar brot var framið; og hversu langt sé liðið síðan. […] Sé það mat Google Inc. að verulegir, lögmætir hagsmunir í skilningi fyrrgreinds ákvæðis tilskipunar 95/46/EB séu af aðgengi að umræddum upplýsingum. Í ljósi þess sé birting leitarniðurstaðna um umrætt mál heimil.
II.
Forsendur og niðurstaða
1.
Efnislegt gildissvið laga nr. 77/2000
Efnislegt gildissvið hérlendra persónuupplýsingalaga, þ.e. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af þessu er ljóst að mál þetta lýtur að vinnslu persónuupplýsinga sem fellur undir efnislegt gildissvið laga nr. 77/2000, sem og eftirlitshlutverk Persónuverndar, sbr. 37. gr. laganna.
2.
Landfræðilegt gildissvið laga nr. 77/2000
Svo að um vinnslu fari eftir lögum nr. 77/2000 verður hún einnig að falla undir landfræðilegt gildissvið laganna eins og það er afmarkað í 6. gr. þeirra, en þar segir að lögin gildi um vinnslu persónuupplýsinga á vegum ábyrgðaraðila sem hefur staðfestu hér á landi, enda fari vinnsla persónuupplýsinganna fram á Evrópska efnahagssvæðinu, í aðildarríki stofnsamnings Fríverslunarsamtaka Evrópu eða í landi eða á stöðum sem Persónuvernd auglýsir í Stjórnartíðindum. Með ábyrgðaraðila í ákvæðinu er átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna, sbr. 4. tölul. 2. gr. laganna.
Lög nr. 77/2000 fela í sér innleiðingu á Evróputilskipun um vernd persónuupplýsinga nr. 95/46/EB, en í 4. gr. tilskipunarinnar að finna ákvæði um landfræðilegt gildissvið sem var haft að fyrirmynd við setningu 6. gr. laganna. Í umræddu ákvæði tilskipunarinnar kemur meðal annars fram að aðildarríkin skulu beita innlendum ákvæðum, sem þau samþykkja á grundvelli hennar, þegar um ræðir vinnslu persónuupplýsinga sem fram fer í tengslum við starfsemi fyrirtækis ábyrgðaraðila sem staðfestu hefur á yfirráðasvæði aðildarríkis, sbr. a-lið 1. mgr. ákvæðisins. Þá hefur tilskipunin að geyma efnislega sömu skilgreiningu á ábyrgðaraðilahugtakinu og að framan greinir, sbr. d-lið 2. gr. tilskipunarinnar. Segir þar nánar tiltekið að með ábyrgðaraðila sé átt við þann sem ákveður, einn eða í samvinnu við aðra, markmið og aðferðir við vinnslu persónuupplýsinga.
Google Inc. telst vera ábyrgðaraðili að vinnslu persónuupplýsinga vegna leitarvélar Google í skilningi 4. tölul. 2. gr. laga nr. 77/2000 og d-liðar 2. gr. tilskipunar 95/46/EB. Við mat á því hvort Google Inc. hafi jafnframt staðfestu hér á landi samkvæmt 6. gr. laganna og a-lið 1. mgr. 4. gr. tilskipunarinnar ber að líta til 19. liðar formálsorða hennar, en þar segir að með staðfestu sé átt við virka og raunverulega starfsemi með föstu fyrirkomulagi óháð rekstrarfomi, t.d. hvort um sé að ræða útibú eða dótturfyrirtæki. Stofnað hefur verið íslenskt félag á vegum Google Inc., þ.e. félagið Google Iceland ehf. sem fyrr er nefnt, en til þess hefur verið ráðinn einn starfsmaður eins og fram kemur í áðurnefndu tölvubréfi Google Sweden AB frá 26. maí 2015. Telst Google Iceland ehf. vera dótturfyrirtæki Google Inc. sem hefur með höndum starfrækslu umræddrar leitarvélar. Í ljósi framangreindrar starfsemi dótturfyrirtækisins telst Google Inc. hafa staðfestu hér á landi í gegnum það.
Í dómi Evrópudómstólsins frá 13. maí 2014 í máli nr. C-131/12, voru veitt bindandi svör við spurningum frá spænskum dómstóli um mál varðandi niðurstöður í leitarvél Google. Meðal annars var fjallað um það hvort sú vinnsla persónuupplýsinga, sem um ræddi í málinu, teldist falla undir spænska persónuupplýsingalöggjöf, en um var að ræða upplýsingar um spænskan einstakling sem aðgengilegar voru í áðurnefndri leitarvél. Fyrir lá að starfsstöð Google á Spáni var ekki deild í meginfyrirtækinu heldur sjálfstætt dótturfyrirtæki sem ekki kom beint að því að færa upplýsingar í leitarvélina heldur hafði með höndum sölu auglýsinga sem birtast notendum hennar. Var talið að umrædd vinnsla persónuupplýsinga á vegum meginfyrirtækisins færi jafnframt fram í tengslum við þessa starfsemi spænska dótturfyrirtækisins sem teldist hafa staðfestu á Spáni, sbr. fyrrnefnt ákvæði a-liðar 1. mgr. 4. gr. tilskipunar 95/46/EB. Var því litið svo á að spænsk lög giltu um vinnsluna (sjá 51.–60. mgr. dómsins).
Fyrir liggur að kjarnastarfsemi Google snýr að umræddri netleitarvél. Þá er til þess að líta, eins og fram kemur í 54. mgr. áðurnefnds dóms, að við setningu tilskipunar 95/46/EB var leitast við að afmarka landfræðilegt gildissvið rúmt og koma þannig í veg fyrir að einstaklingar færu á mis við vernd persónuupplýsinga og að farið yrði fram hjá reglum tilskipunarinnar, sbr. meðal annars 18.–20. lið formálsorða hennar. Í ljósi þessa telur Persónuvernd að leggja verði til grundvallar að sú vinnsla persónuupplýsinga, sem starfræksla leitarvélarinnar felur í sér, hafi slík tengsl við starfsemi Google Iceland ehf. sem greinir í fyrrgreindum dómi Evrópudómstólsins, sbr. og áðurnefnt ákvæði a-liðar 1. mgr. 4. gr. tilskipunar 95/46/EB sem hafa ber til hliðsjónar við beitingu 6. gr. laga nr. 77/2000.
Samkvæmt 6. gr. laga nr. 77/2000 þarf vinnsla persónuupplýsinga að fara fram í tilteknum löndum eða á ákveðnum stöðum, eins og fyrr greinir, til að falla undir landfræðilegt gildissvið laganna. Í ljósi tæknilegrar uppbyggingar vefleitarvéla, sem krefst þess að til staðar sé nauðsynlegur samskiptabúnaður í hverju því landi sem þeim tengjast, telur Persónuvernd að leggja verði til grundvallar að vinnsla persónuupplýsinga í þágu þeirra fari fram í þeim öllum. Þar sem vefleitarvél Google Inc. er aðgengileg hér á landi telst því umræddu skilyrði 6. gr. laga nr. 77/2000 vera fullnægt.
Í ljósi alls framangreinds telur Persónuvernd umrædda vinnslu persónuupplýsinga falla undir landfræðilegt gildissvið laga nr. 77/2000.
3.
Heimildarákvæði laga nr. 77/2000
Undanþága vegna tjáningarfrelsis
Svo að heimilt sé að vinna með persónuupplýsingar þarf vinnslan ávallt að fullnægja einhverri af kröfum 8. gr. laga nr. 77/2000. Svo að heimilt sé að vinna með viðkvæmar persónuupplýsingar þarf einnig að vera fullnægt einhverri af viðbótarkröfum 9. gr. sömu laga til vinnslu slíkra upplýsinga. Samkvæmt b-lið 8. tölul. 2. gr. laganna eru upplýsingar um hvort maður hafi verið grunaður, kærður, ákærður eða dæmdur fyrir refsiverðan verknað viðkvæmar.
Af kröfum 8. gr. laga nr. 77/2000 verður einkum talið að 7. tölul. 1. mgr. geti hér átt við, þess efnis að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að ábyrgðaraðili, eða þriðji maður eða aðilar sem upplýsingum er miðlað til, geti gætt lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra. Aftur á móti verður ekki séð að einhver af kröfum 9. gr. laganna geti átt við um umrædda vinnslu. Til þess er hins vegar að líta að víkja má frá ákvæðum laga nr. 77/2000 í þágu meðal annars fjölmiðlunar að því marki sem það er nauðsynlegt til að samrýma sjónarmið um rétt til einkalífs annars vegar og tjáningarfrelsis hins vegar, en líta verður svo á að það tilheyri nútímafjölmiðlun að fréttir séu gerðar aðgengilegar og leitarbærar á Netinu.
Eins og hér háttar til telur Persónuvernd reyna á tjáningarfrelsisákvæði 73. gr. stjórnarskrárinnar, sbr. og 10. gr. mannréttindasáttmála Evrópu, en hann hefur lagagildi hér á landi, sbr. lög nr. 62/1994. Samkvæmt umræddu ákvæði hans felur tjáningarfrelsið meðal annars í sér rétt til að taka við og skila áfram upplýsingum heima og erlendis án afskipta stjórnvalda.
Vega verður og meta réttinn til tjáningarfrelsis andspænis réttinum til friðhelgi einkalífs, sbr. 71. gr. stjórnarskrárinnar, sbr. og 8. gr. mannréttindasáttmála Evrópu. Reynir þar á hagsmunamat sem um leið hefur áhrif á beitingu laga nr. 77/2000. Hefur Persónuvernd litið svo á að hún sé ekki bær til að taka ákvörðun um hvort einhver hafi tjáð sig með slíkum hætti að í því felist misnotkun á stjórnarskrárvörðum rétti til tjáningarfrelsis. Þess í stað heyri ágreiningur um slíkt undir dómstóla. Hér reynir hins vegar ekki á hvort um hafi verið að ræða slíka tjáningu og að framan greinir heldur hvort fréttaumfjöllun megi vera aðgengileg í niðurstöðu leitar á vefleitarvél. Í ljósi atvika í máli þessu telur Persónuvernd ekki hafa komið fram að óheimilt sé, samkvæmt lögum nr. 77/2000 eins og þeim ber að beita með hliðsjón af stjórnarskránni og mannréttindasáttmálanum, að gera umrædda niðurstöðu leitar aðgengilega á Netinu.
Ú r s k u r ð a r o r ð:
Google Inc. er heimilt að veita aðgengi um vefleitarvél sína að niðurstöðu leitar um fjölmiðlaumfjöllun um dóm í sakamáli yfir [A].