2016 tavaszán az Európai Parlament, a Bizottság és a Tanács megállapodásra jutott az Adatvédelmi rendelet[1] szabályait illetően, amely 2018. május 25. napjától alkalmazandó, és amely az újításai miatt komoly kihívás minden adatvédelemmel foglalkozó szakember számára. Az új szabályozásra régóta szükség volt, hiszen a korábbi szabályozásnak keretet adó 95/46/EK irányelv[2] hatályba lépése óta lassan 20 év telt el, és gyökeresen változott meg a szabályozási környezet: a GDPR elsődleges célja, hogy a mai információs technológiákhoz alkalmazkodva védje a személyes adatokat a digitális világban. A Rendelet számos újítást tartalmaz, alapjaiban reformálja meg a személyes adatok kezelésének gyakorlatát nemcsak az Európai Unióban, hanem minden adatkezelő tekintetében, aki uniós polgárok adatait kívánja kezelni. Szélesebb körű jogosítványokkal ruházza fel az adatalanyokat, valamint súlyosabb kötelezettséget ró az adatkezelőkre. Az adatalanyokat érintő szélesebb körű jogosítványok között az új rendelet kifejezetten nevesíti az ún. elfeledtetéshez való jogot (right to be forgotten, az interneten található személyes adatok tárolásának megszüntetéséhez való jog), amelyet eredetileg az Európai Unió Bírósága a C-131/12. számú ügyében a törléshez való jog gyakorlásának egyik módjaként fogalmazott meg. Az új jogosultság kifejezett megjelenése az internethasználattal összefüggésben felmerült kihívásokra válaszként jelent meg, és a bírói esetjog normaszöveggé történő transzformálása a személyes adatok végleges, vissza nem állítható, teljes, az internet egészére kiterjedő törlését célozza.
A Google ítélet
Ahhoz, hogy az elfeledtetéshez való jog lényegét megérthessük, szükség van az alapját képező Google ítélet ismeretére.
Az Európai Unió Bírósága (a továbbiakban: Bíróság) 2014. május 13-án hozta meg döntését abban az előzetes döntéshozatali eljárásban, amely egyfelől a Google Spain SL és a Google Inc., másfelől az Agencia Española de Protección de Datos (spanyol adatvédelmi ügynökség, a továbbiakban: AEPD) és M. Costeja González között zajló alapjogvitához kapcsolódva folyt. 2010. március 5-én a spanyol nemzetiségű M. Costeja González panaszt nyújtott be az AEPD-hez a La Vanguardia Ediciones SL ellen, amely egy Spanyolországban működő napilap kiadója, valamint a Google Spain és a Google Inc. ellen. E panasz alapja az volt, hogy ha egy internethasználó beírja González nevét a Google keresőmotorjába, akkor a La Vanguardia napilapjaira mutató linkeket kap, amelyek González nevét egy társadalombiztosítási adótartozás behajtására irányuló lefoglalással kapcsolatos ingatlan-árveréssel összefüggésben említő cikket tartalmaztak.
González e panaszában egyrészt azt kérte, hogy kötelezzék a La Vanguardiát arra, hogy törölje, vagy módosítsa a közleményt, hogy személyes adatai ne jelenjenek meg, továbbá hogy a Google-t kötelezzék arra, hogy ezen adatok ne legyenek a keresési találatok között, és ne kapcsolódjanak a La Vanguardia linkjeihez, mivel az őt érintő lefoglalás már több éve teljesen rendeződött, és annak említése már egyáltalán nem releváns, azonban számára kárt okoz.
Az AEPD az ügyben hozott határozatában a La Vanguardia tekintetében elutasította az említett panaszt, mivel az információk közzététele jogilag megalapozott volt, azt az illetékes minisztérium rendelte el, és célja az volt, hogy a lehető legnagyobb nyilvánosságot biztosítsa az árverésnek, ezáltal emelve a hatékonyságát.[3]
Ezzel ellentétben a Google Spain és a Google Inc. tekintetében a panasznak helyt adott a hatóság. Az AEPD megállapította, hogy a keresőmotorok működtetői adatkezelést végeznek, mivel az információs társadalom közvetítőiként tevékenykednek, s így adatkezelőknek minősülnek. Az AEPD ezek alapján kötelezte a Google-t, hogy törölje a keresési találatok közül a személyes adatokat, ugyanakkor a honlapot üzemeltető La Vanguardia-t nem kötelezte a honlapon közzétett információk törlésére.
A Google keresetet indított az AEPD határozata ellen a spanyol legfelsőbb bíróság, az Audiencia Nacional előtt. Az ügy eldöntéséhez bizonyos előkérdések tisztázása vált szükségessé, úgy, mint hogy a Google adatkezelőnek minősül-e, valamint mi tartozik bele a törléshez való jogba. Az eljárás során az Audiencia Nacional előzetes döntéshozatali eljárás keretében az Európai Unió Bíróságának azt a kérdést vetette fel, hogy milyen kötelezettségek terhelik a keresőmotorok működtetőit azon érintettek személyes adatainak védelme tekintetében, akik nem kívánják, hogy lokalizálják vagy indexálják, illetve korlátozás nélkül hozzáférhetővé tegyék az internethasználók számára a személyes adataikat tartalmazó, harmadik fél honlapjain közétett információkat.
Felmerült továbbá a kérdés, hogy a Google tartalomszolgáltatóként nyújtott tevékenysége az adatkezelés fogalmába tartozik-e? S erre való tekintettel a Google adatkezelőnek minősül-e, amelynek következtében kell-e alkalmazni az Irányelvet rá vonatkozóan? Kizárja-e a törlés kötelezettségét, ha a személyes adatot tartalmazó információt a honlapot üzemeltető harmadik fél jogszerűen tette közzé és tárolja az eredeti honlapon?
Az adatok törléséhez való jogot és adatok zárolásához való jogot, illetve a tiltakozási jogot úgy kell-e értelmezni, hogy az érintett egyéneknek joguk van-e közvetlenül a keresőmotorok üzemeltetőitől kérni az adatok indexálásának megakadályozását, mert rájuk nézve káros, ha az internethasználók nagy nyilvánossága megismerheti azokat?
A Google beadványában azzal védekezett, hogy a keresőmotorok tevékenységét nem lehet adatkezelésnek tekinteni, mivel ezek a keresőmotorok az interneten hozzáférhető információkat a maguk összességében kezelik, és nem tesznek különbséget személyes adatok és más, további információk között, továbbá a keresőmotor üzemeltetője nem ismeri az említett személyes adatokat, nem gyakorol felettük semmilyen ellenőrzést.
A Bíróság döntésében arra jutott, hogy alapvetően nem vitatott, hogy a keresőmotorok által keresett, indexált és tárolt, illetve a keresőmotorok felhasználói számára hozzáférhetővé tett adatok között személyes adatok is vannak. A keresőmotorok az interneten közzétett információk keresése során adatok gyűjtését végzik, amelyeket ezt követően indexáló programokkal rögzítenek és rendszereznek, szervereiken tárolják, illetve adott esetben - a keresés találati listájaként - felhasználóik számára hozzáférhetővé tesznek. Mivel az adatok között személyes adatok is szerepelnek, ez önmagában is adatkezelésnek minősül, nincs jelentősége annak, hogy a keresőmotor működtetője más típusú információkon is végez ugyanilyen műveleteket, és nem tesz különbséget az ilyen információk, illetve a személyes adatok között.
- 87/88 -
Továbbá a keresőmotor működtetője az a személy, aki meghatározza a tevékenysége céljait és módját, és akit ezek alapján adatkezelőnek kell tekinteni.
Mivel a keresőmotorok tevékenysége alkalmas arra, hogy jelentősen érintse a magánélethez és a személyes adatok védelméhez fűződő alapvető személyiségi jogot, a keresőmotor működtetője adatkezelőként egyértelműen felelős azok védelméért.
A Jogkódex-előfizetéséhez tartozó felhasználónévvel és jelszóval is be tud jelentkezni.
Az ORAC Kiadó előfizetéses folyóiratainak „valós idejű” (a nyomtatott lapszámok megjelenésével egyidejű) eléréséhez kérjen ajánlatot a Szakcikk Adatbázis Plusz-ra!
Visszaugrás
