Právo na to být zapomenut

Před nedávnem proběhla médii vlna zpráv typu „Když chcete, musí vás Google zapomenout“ nebo „Google musí na žádost občanů vymazat jejich data“. Základem těchto zpráv byl rozsudek Soudního dvora Evropské unie ve věci C 131/12 Google Spain SL, Google Inc. proti Agencia Española de Protección de Datos (AEPD), Mario Costeja González. Co ale tento rozsudek skutečně přinesl?

Otázka osobních údajů

Prvním kamenem úrazu byla vůbec otázka, jestli se evropské předpisy o ochraně osobních údajů (Směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů, pro jednoduchost dále též jen „Směrnice 95/46“, a její národní transpoziční předpisy, například český zákon č. 101/2000 Sb., o ochraně osobních údajů, ve znění pozdějších předpisů) vůbec vztahují na činnost internetových vyhledávačů obecně a na Google, který samotné vyhledávací činnosti provádí na serverech mimo Evropskou unii, zvláště. Odpověď na druhou otázku byla celkem jednoznačná: Google sice má své hlavní servery mimo EU, nicméně jeho obchodní činnost se fakticky na evropský trh zaměřuje: má své národní domény (google.cz), vyhledávač je lokalizovaný do evropských jazyků a má v členských zemích EU své pobočky či dceřiné společnosti.

O něco složitější již byla otázka věcná: představuje činnost vyhledávače vůbec zpracování osobních údajů? Tedy, je jasné, že vyhledávač často s osobními údaji pracuje. Ovšem pracuje s nimi v rámci obrovských balíků dat, ve kterých nijak nediferencuje. A svým způsobem neví, co v tomto balíku dat je. Nezjišťuje, jestli údaje na konkrétní stránce jsou údaji osobními nebo ne. Proto ze strany generálního advokáta (zvláštní funkcionář Evropského soudního dvora, který soudu dává nezávislý názor a návrh, jak rozhodnout) zazněl názor, že Google vůbec není správcem osobních údajů a že po něm tedy nelze žádný výmaz požadovat. Soudní dvůr nicméně tento názor nepřijal a rozhodl, že provozovatel vyhledávače správcem osobních údajů je.

Po posouzení těchto dvou otázek přešel Soudní dvůr k otázce hlavní, a to té, zda je možné uplatňovat „právo být zapomenut“, tedy chtít po správci osobních údajů, aby zpracovávané osobní údaje vymazal, jen proto, že se mi tyto údaje nelíbí. V konkrétním případě šlo o to, že o španělském právníku p. Gonzálezovi vyšel v roce 1998 novinový článek, který informoval o tom, že v důsledku dluhu na sociálním pojištění byla dána do dražby jeho nemovitost. P. Gonzálezovi se nelíbilo, že tato informace může stále být prostřednictvím Googlu nalezena, ačkoli dluh byl již dávno zaplacen. Obrátil se proto na španělský úřad pověřený ochranou osobních údajů, který nařídil, aby společnost Google Inc. přijala opatření nezbytná k odstranění osobních údajů týkajících se p. Gonzáleze ze svého indexu a zabránila přístupu k těmto údajům v budoucnosti (nic podobného ovšem nenařídil samotnému novinovému serveru, takže na jeho stránkách je článek k nalezení i nadále). Věc byla následně předložena španělskému nejvyššímu soudu, který se obrátil na Soudní dvůr EU se žádostí o zodpovězení předběžných otázek.

Jen když jsou údaje neúplné či nepřesné

V řízení o zodpovězení předběžných otázek Soudní dvůr EU nerozhoduje o samotném sporu, ale dává soudům členských států návod, jak mají vykládat evropské právo (zde tedy Směrnici 95/46). Nelze tedy striktně říci, zda bude muset Google p. Gonzáleze vymazat – o tom bude teprve rozhodovat španělský soud (pokud Google svou žalobu nestáhne nebo nedojde k jiné dohodě). V uvedené Směrnici nenajdete žádný článek nadepsaný „právo být zapomenut“ ani nic podobného. Nároky p. Gonzáleze se proto opíraly o jednotlivá detailní ustanovení směrnice. Z jejich komplexu Soudní dvůr EU vyhodnotil, že pro zpracovávání osobních údajů musí být důvody po celou dobu jejich zpracovávání. Nelze tedy říci „teď mám zákonný důvod osobní údaje zpracovávat a proto je mohu zpracovávat už navždy“. Pokud osobní údaje ztratí svůj význam, nebo se dokonce stanou nepravdivými, není možné je nadále zpracovávat a lze požadovat jejich výmaz. Pan González svůj dluh splatil před mnoha lety, takže údaje o něm není možno zpracovávat jen proto, aby veřejnost mohla uspokojit svou zvědavost. Kdyby ale pan González působil ve veřejné funkci nebo do ní kandidoval, bude věc potřeba posoudit zcela jinak, protože voliči přirozeně mají právo na podrobné informace o veřejných funkcionářích a kandidátech na tyto funkce. Veřejné působení je přitom jen jedním z možných důvodů, které by mohly odůvodnit uchovávání této informace i po tak dlouhé době. Pokud by informace byla aktuálnější, například by pan González na sociálním pojištění stále dlužil nebo by od úhrady uplynula jen velmi krátká doba, bylo by nepochybně relevantní i informování osob, které s ním chtějí uzavřít nějaký smluvní vztah a podobně.

Nelze tedy bez dalšího říci, že by Soudní dvůr Evropské unie dal subjektům údajů do ruky nějaké univerzální právo požadovat, aby je Google nebo jiný vyhledávač (či nějaký jiný správce osobních údajů) bez dalšího vymazal, „zapomenul“. Naopak. Soudní dvůr potvrdil, že osobní údaje mohou být zpracovávány z řady důvodů, a to i v případě, kdy se to subjektu údajů nelíbí. Vymazání osobních údajů lze úspěšně požadovat pouze tehdy, když je zpracování těchto osobních údajů v rozporu se směrnicí, tedy například když jsou tyto údaje neúplné, nepřesné, zastaralé, anebo když je zásah do jeho práv neúměrný k účelu, který je jejich zpracováním sledován.

Google již na rozsudek reagoval a nabídl formulář žádosti o odstranění obsahu z vyhledávání.

Ve formuláři musíte nejprve označit zemi, podle jejíhož práva žádáte. To je důležité, neboť některé členské státy uplatňují pro zpracování osobních údajů různé výjimky (např. ve prospěch novinářů: proto také p. González nebyl úspěšný se svým požadavkem vůči novinám, na jejichž webu inkriminovaný článek je, ale jen vůči vyhledávači Google). Poté musíte vyplnit své jméno a příjmení (případně osobu, jejímž jménem žádáte, a právní důvod tohoto zastupování). Musíte označit odkazy, které mají být z výsledků vyhledávání odstraněny, vysvětlit, jak se Vás týkají a vysvětlit důvody, které Vás k této žádosti vedou. Tyto důvody posoudí komise, kterou Google k tomuto účelu vytvořil.

Konečně musíte prokázat svoji totožnost kopií (skenem) průkazu Vaší totožnosti s fotografií. Zde je zajímavý rozdíl mezi českou a anglickou verzí stránky: v anglické verzi je výslovně uvedeno, že se nemusí jednat o úřední doklad a že mohou být začerněny některé údaje, které pro identifikaci nejsou nezbytné, zatímco česká verze tuto informaci neobsahuje, což lze chápat tak, že Google v ČR trvá na úředním dokladu totožnosti bez začerňování. Zřejmě se zde Google snaží dostát povinnosti chránit osobní údaje před neoprávněnou změnou či zničením – tuto ochranu mu velmi ostře nařizuje § 13 odst. 1 zákona č. 101/2000 Sb., o ochraně osobních údajů, ve znění pozdějších předpisů, zatímco evropská směrnice je zde podstatně mírnější. Nebo je možná jen Google vzhledem ke špatné pověsti České republiky opatrnější, a proto trvá na úředním dokladu. Uvidíme, jak budou v tomto směru postupovat české vyhledávače. K postupu Googlu se již stihl vyjádřit i český Úřad pro ochranu osobních údajů, který vyslovil obavu o bezpečnost zasílaných kopií dokladů. Je tedy na Googlu, aby tuto obavu vyvrátil.