Первый вопрос касался применимости Директивы 95/46/ЕС к американской корпорации (Google Inc.). Хотя этот вопрос и не связан напрямую с правом быть забытым, он подчеркивает серьезную проблему, обусловленную глобализацией виртуального мира. Определение норм, применимых к организациям, работающим в интернете, лежит в основе более широкого обсуждения, ставящего под сомнение то, в какой степени законодательная и институциональная власти должны вмешиваться в онлайн-среду. право забытый директива евросоюз суд защита данный
Второй вопрос касался того, квалифицируется ли поисковая система как «контролер данных» в соответствии с определением, предлагаемым Директивой 95/46/ЕС. Если ответ будет положительным, поисковые системы должны будут столкнуться с теми же стандартами, что и классически признанный термин «контролер данных» с точки зрения того, как последние работают с данными и конфиденциальностью своих пользователей, что, безусловно, окажет значительное влияние на будущее развитие интернета.
Третий вопрос, наиболее важный, заключался в том, чтобы оценить, обладают ли отдельные лица правом быть забытыми в свете существовавшей в то время системы ЕС, и если ответ будет положительным, то каким будет его содержание, особенно в отношении поисковых систем с учетом социальной функции, которую они выполняют.
Суд ЕС провел подробный анализ каждого из поднятых вопросов, стремясь сбалансировать постановленные вопросы с законодательством ЕС, а также с интересами всех заинтересованных сторон. Он также изучил мнения, высказанные сторонами, рабочей группой и генеральным адвокатом (далее адвокат), который представил Суду ЕС свое консультативное заключение.
По первому вопросу Суд ЕС счел, что Директива 95/46/ЕС непосредственно применима к компании Google Inc., несмотря на то что последняя была учреждена в США, приняв во внимание несколько аспектов. Во-первых, Google Spain была местной дочерней компанией Google Inc., что сделало ее «учреждением», и это не оспаривалось сторонами. Во-вторых, обработка данных осуществлялась «в контексте ее деятельности», что, по мнению Суда ЕС, было достаточно для применения правил обработки данных, даже если учреждение лишь анализировало данные (Google Spain не осуществляла обработку данных). Наконец, Суд ЕС счел, что, хотя Google Spain преследует коммерческие цели и, следовательно, в большей степени ориентирована на рекламу, все эти виды деятельности неразрывно связаны с поисковой системой Google Inc., непосредственно способствующей ее прибыльности. Кроме того, результаты поиска были отображены на одной странице, что усиливает вывод о том, что существует неотъемлемая взаимосвязь между рекламной деятельностью, выполняемой Google Spain, и обработкой данных, выполняемой поисковой системой Google Inc. По сути, это указывает на то, что поисковые системы, такие как Google, Yahoo или Bing, должны соблюдать правила защиты данных, пока осуществляют свою деятельность в Европе и прямо или косвенно связаны с обработкой данных, даже если территориально находятся вне ЕС.
Второй вопрос вызвал бурную дискуссию между адвокатом и судьями Суда ЕС. Генеральный адвокат занял позицию, согласующуюся с общим мнением, высказанным до принятия решения Суда ЕС, с целью доказать, что поисковые системы не осведомлены об обработке данных о личности, не контролируют этот процесс и, как следствие, не могут считаться сборщиками или контролерами данных. Он утверждал, что вопрос о том, следует ли считать поисковую систему сборщиком или контролером данных, должен анализироваться с использованием принципа необходимости и соразмерности, подчеркивая, что дебаты актуальны только в отношении персональных данных, о которых контролер данных должен знать. Что касается поисковых систем, то адвокат также указал, что поисковые системы сами по себе не осведомлены об обработке персональных данных, а используют лишь статистический подход. Более того, как и рабочая группа, он утверждал, что обработку отображаемого контента контролируют не поисковые системы, а веб-сайты.
Суд выразил несогласие, предложив столь же подробное обоснование того, почему понятие «контролер данных» необходимо толковать широко: чтобы установить правильный баланс между всеми соответствующими правами и конкурирующими интересами. Статья 2 Директивы определяла контролера как «лицо, которое определяет цели и средства обработки персональных данных». В отличие от веб-сайтов, являющихся простыми поставщиками контента, поисковые системы вносят значительный вклад в то, чтобы сделать информацию более доступной с помощью алгоритмов поиска, которые они используют. Кроме того, отображая результаты поиска, поисковые системы способны создавать «подробные профили» людей на основе информации, к которой они имеют доступ, и «маневрировать», создавая потенциальные серьезные угрозы их конфиденциальности.
По мнению генерального адвоката, ни одно из этих оснований не может служить оправданием для права быть забытым: согласно п. «b» ст.12 Директивы право на удаление данных (right to erasure) будет существовать, в частности, если информация неполна или неточна. По словам адвоката, «Директива не предусматривает общего права быть забытым, и субъект данных не имеет права ограничить или прекратить распространение персональных данных, которые он считает вредными или противоречащими его интересам» (§108). Адвокат также утверждал, что возложение такой роли на поисковую систему повлияет на роль такой системы как посредника, возлагая на нее бремя активного мониторинга и контроля данных, которые она использует и отображает в результатах поиска.
Относительно третьего вопроса Суд ЕС указал, что поисковые системы должны принимать запросы пользователей и рассматривать каждый из них отдельно. Возникает вопрос: может ли физическое лицо требовать от поисковой системы удаления информации, законно размещенной и обработанной третьими сторонами, из результатов проведенного поиска? Рассматривая поисковую систему в качестве сборщика данных, Суд ЕС решил, что пользователи могут обращаться к ним напрямую с просьбами удалить ссылки, которые содержат информацию о них, даже до обращения к самим издателям веб-сайта. Таким образом, Суд ЕС установил, что пользователи поисковых систем имеют право быть забытыми в рамках Директивы о защите данных, широко интерпретируя ее положения и ссылаясь на общие принципы прав человека ЕС. Однако удаление данных не может быть оправдано, если «роль субъекта данных в общественной жизни такова, что вмешательство в его основные права оправдано преобладающим интересом широкой общественности» (§98).
Суд ЕС также счел, что оператор поисковой системы является контролером данных в отношении этой обработки по смыслу Директивы, так как именно он определяет цели и средства обработки. В связи с этим Суд ЕС отметил: поскольку деятельность поисковой системы является дополнительной по отношению к деятельности издателей веб-сайтов и может существенно затрагивать основные права на уважение частной жизни и защиту персональных данных, оператор поисковой системы должен в рамках своих обязанностей обеспечить соответствие своей деятельности требованиям Директивы 95/46/ЕС.
Что касается степени ответственности оператора поисковой системы, Суд ЕС отметил, что оператор при определенных обстоятельствах обязан удалить ссылки на веб-страницы из списка результатов, отображаемых после поиска, которые публикуются третьими лицами и содержат информацию о рассматриваемом лице. Суд ЕС указал, что субъект данных может направить такой запрос непосредственно оператору поисковой системы (контролеру), который затем должен надлежащим образом рассмотреть его по существу. В тех случаях, когда контролер не удовлетворяет запрос, субъект данных может обратиться с этим вопросом в контролирующий орган или судебный орган, чтобы последние провели необходимые проверки и в случае необходимости обязали контролера принять соответствующие меры.
Определив, что деятельность Google и Google Spain подпадает под действие Директивы 1995 г., Суд ЕС затем должен был изучить, в какой степени решение компании не удовлетворять запрос подпадало под действие права быть забытым. Обнаружив, что право быть забытым было доступно г-ну Гонсалесу, Суд ЕС напомнил, что целью Директивы 95/46/ЕС является обеспечение права человека на уважение частной жизни (§66).
Резюмируя позиции Суда ЕС по рассматриваемому делу, отметим следующее:
- согласно Постановлению Суда ЕС по делу Google Spain, операторы поисковых систем обрабатывают и контролируют персональные данные по смыслу ст.2 Директивы 95/46/EC, а в настоящее время ст.2 GDPR; это означает, что обработка персональных данных, т. е. индексация результатов поиска, должна отличаться от обработки таких данных, выполняемой издателями веб-сайтов, и является дополнением;
- решение устанавливает, что в соответствии со ст.7 и 8 Хартии основных прав ЕС Хартия Европейского союза об основных правах. 2000. Дата обращения 25 июня, 2023. субъект данных имеет право быть забытым, т.е. требовать, чтобы информация больше не предоставлялась широкой общественности через список поиска результатов, выполненный со ссылкой на имя субъекта данных; на основании решения GoogleSpain субъект данных не должен доказывать, что включение этой информации в список результатов поиска нанесло ему значительный ущерб; кроме того, поисковые системы не обязаны заранее уведомлять веб-сайты об исключении из списка конкретных ссылок;
- решение Google Spain не устанавливает права субъекта данных на удаление: никакая информация не удаляется из исходного источника, она лишь исключается, т.е. не отображается; исходная информация все еще может быть доступна путем ссылки на другие поисковые запросы или путем прямого доступа к веб-странице, на которой эта информация была первоначально опубликована;
- в постановлении содержится призыв к установлению справедливого баланса между основными правами субъекта данных и интересами широкой общественности в получении доступа к соответствующей информации; указанный баланс зависит от ряда важных факторов, таких как характер и чувствительность обрабатываемых данных, своевременность или актуальность информации, роль субъекта данных в общественной жизни и т.д.
Ироничным во всей этой истории является то, что, изо всех сил стараясь удалить свое имя из поиска Google, Марио Костеха Гонсалес привлек к себе внимание СМИ, став, по сути, публичной личностью. Google мог бы использовать этот аргумент, чтобы предположить, что имя Гонсалеса не нужно удалять из результатов поиска вследствие его публичности (Arthur 2014).
Значение Дела Google Spain
Заявив, что субъекты данных должны контролировать свои личные данные, Суд ЕС повлиял на изменение парадигмы в том, как общество должно относиться к конфиденциальности и к своим персональным данным. Это ценное дополнение к дебатам о том, следует ли рассматривать персональные данные как часть права на уважение частной жизни или объект права собственности. Суд ЕС также постановил, что это дело не универсально, а право быть забытым не абсолютно: решения по аналогичным делам будут выноситься на основе конкретных обстоятельств, чтобы исключить их противоречие с иными фундаментальными правами человека (принцип a case-by-case assessment).
Названное решение Суда ЕС обсуждалось много лет; одни государства приняли правовые позиции Суда ЕС, изложенные в нем, другие отказались принять позиции Суда ЕС или просто игнорировали его. Однако это решение представляет собой поворотный момент в том, как суды, законодатели и правоведы рассматривают взаимодействие между пользователями и интернет-провайдерами в виртуальной среде; это говорит о том, что право быть забытым невозможно больше отрицать.
Значимость решения Суда ЕС подтверждается несколькими аспектами, имеющими большое значение, выходящее за рамки юрисдикции ЕС.
Во-первых, формально признав право быть забытым, Суд ЕС сделал больше, чем просто заставил Google и другие поисковые системы ввести специальную процедуру для соблюдения постановления Суда ЕС: он занял позицию в пользу личной конфиденциальности и контроля над данными, навязав новые стандарты защиты данных всем субъектам, которые хотят осуществлять свою деятельность в ЕС. Кроме того, Суд ЕС дал пользователям интернета прямой инструмент для защиты их интересов и репутации каждый раз, когда поисковые системы не выполняют условия, изложенные в постановлении и законодательстве ЕС. Это решение привело к огромному количеству запросов на удаление (исключение) ссылок из результатов поиска, что вызвало серьезную административную нагрузку на Google. Только в день вступления решения в силу компания Google получила более 12 тыс. запросов на удаление (исключение) данных “Removal of Google personal information could become work intensive”. Europe News. 2014. Article 29 data protection working party. Guidelines on the implementation of the CJEU judgment on “Google Spain and inc v. Agencia espanola de proteccion de datos (aepd) and Mario Coste- ja Gonzalez”, C-131/12..
Во-вторых, в решении разъясняются некоторые практические аспекты реализации этого права. Суд ЕС установил территориальные параметры, в которых следует обеспечивать право быть забытым, определив, какими должны быть отношения между дочерней компанией и деятельностью главных компаний. Кроме того, Суд ЕС дал широкое толкование Директивы, прямо указав, в каких случаях поисковые системы должны удалять или исключать ссылку (например, когда информация больше не актуальна и т.д.).
Кроме того, правом быть забытым могут воспользоваться только лица, проживающие в странах ЕС. В руководящих принципах, опубликованных 26.11.2014 Рабочей группой «Статья 29», содержится разъяснение относительно процедурных аспектов, поскольку при реализации права быть забытым органы по защите данных должны сосредоточиться на тех случаях, когда наблюдается четкая связь между субъектом данных и ЕС, например по гражданству или месту жительства (п. 19)9.