Personvernnemndas vedtak 30. august 2018 (Mari Bø Haugstad, Bjørnar Borvik, Line Coll, Gisle Hannemyr, Hans Marius Graasvold, Ellen Økland Blinkenberg)
Saken gjelder klage fra Google Inc./Google Norway (heretter Google) på Datatilsynets vedtak 6. juni 2017 der Google fikk pålegg om sletting av søketreff i søkemotoren Google.
Sakens bakgrunn
A har forsøkt å få Google til å slette følgende søketreff på sitt navn:
[…]
Søketreffet leder til en anonym blogg […], der bloggeren har skrevet et artikkellignende innlegg om hvordan A angivelig har opptrådt i sin tidligere stilling som seksjonsleder i en statlig virksomhet. Bloggeren er etter det opplyste en person A hadde fag- og personalansvar for i stillingen som seksjonsleder. Artikkelen stiller spørsmål ved A’s mentale helse. Flere anonyme personer som skal ha jobbet for A har angivelig blitt intervjuet av bloggeren. Innlegget gir også en generell utredning av diagnosen […] en utredning som er klippet fra en nettartikkel fra NRK. I blogginnleggets kildehenvisning er det linket til [www.nrk.no…].
A kontaktet Google 20. september 2016 og ba om å få fjernet søkeresultatet fra resultatlisten. A opplyste at bloggen inneholder injurierende og fornærmende påstander om A, som ikke har rot i virkeligheten. A viste også til at innlegget ikke har noen samfunnsinteresse, men er skrevet for å sverte A.
Den 7. oktober 2016 avslo Google begjæringen om fjerning av søkeresultatet. Google viste til at URL-en knytter seg til A’s profesjonelle liv, og er i allmenhetens interesse. Google presiserte i sitt avslag at A’s forespørsel om å gjennomgå angivelig ærekrenkende innhold, ikke ble behandlet fra deres side.
A brakte Googles beslutning inn for Datatilsynet 13. oktober 2016.
Datatilsynet varslet Google i brev 3. februar 2017 om at tilsynet ville fatte vedtak om å pålegge Google å fjerne søketreffet fra søkemotoren Google ved søk på navnet A.
Google fastholdt sitt standpunkt i sine merknader til Datatilsynet 3. mars 2017.
Datatilsynet fattet følgende vedtak 6. juni 2017:
«Med hjemmel i personopplysningsloven § 46 pålegges Google Inc. å fjerne følgende søketreff fra søkemotoren Google ved søk på navnet [A] da publisering av søketreffet ikke har rettslig grunnlag etter personopplysningsloven § 11 bokstav a, jf. § 8 [lov nr. 31/2000]».
Google framsatte rettidig klage over Datatilsynets vedtak. De fikk utsatt frist for å begrunne klagen nærmere. Begrunnelse ble gitt 20. september 2017.
Datatilsynet vurderte klagen, men fant ikke grunnlag for å endre sitt vedtak. A kontaktet tilsynet med spørsmål om vedtakets effektuering ettersom søketreffet fremdeles var tilgjengelig ved søk på A’s navn. I e-post 25. august 2017 til Google gjorde tilsynet oppmerksom på at vedtaket var gyldig fra vedtakstidspunktet 6. juni 2017, og at vedtaket ikke hadde oppsettende virkning, jf. forvaltningsloven § 42. Tilsynet satte frist til 8. september 2017 for Google å effektivisere vedtaket, og ba om en bekreftelse på at søketreffet på A’s navn var slettet.
Saken ble oversendt til Personvernnemnda 22. mars 2018. Partene ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med eventuelle kommentarer. Google har i brev til nemnda 22. mai 2018 gitt sine kommentarer.
Saken ble behandlet i nemndas møte 20. august 2018. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Line Coll, Gisle Hannemyr, Hans Marius Graasvold og Ellen Økland Blinkenberg. Nemndas sekretær, Anette Klem Funderud var også tilstede.
Google har i hovedsak anført
Behandlingsgrunnlag
Googles behandling av personopplysninger i denne saken har tilstrekkelig rettslig grunnlag, og står i forhold til det legitime formål behandlingen skal oppnå, jf. personopplysningsloven 2000 § 8 f.
Det er ikke primært Googles egne interesser som står på spill i slike saker. Googles søkemotor er først og fremst et middel for individer til å praktisere informasjons- og ytringsfrihet. Forskjellen på Google og tradisjonelle medier er at Google ikke filtrerer hvem som får anledning til å uttrykke sine syn og meninger. Google beskytter og legger til rette for ytrings- og informasjonsfriheten til alle internettbrukere.
Betydningen av søkemotorer for ytrings- og informasjonsfrihet har blitt understreket i Artikkel 29-gruppens retningslinjer gitt i WP 225.
Ytrings- og informasjonsfrihet nyter spesielt vern i Norge gjennom Den Europeiske Menneskerettighetskonvensjon artikkel 10 (EMK) og Grunnloven § 100.
I denne saken er retten til informasjonsfrihet særlig viktig. Ytringsfrihetskommisjonen understreket informasjonsfrihetens betydning i NOU 1999:27 kap 10.3.3.1:
«Normalt vil det være vanskeligere å forsvare et inngrep i informasjonsfriheten enn et inngrep i den klassiske ytringsfriheten – det er f. eks. lettere å forsvare et forbud mot å reklamere for tobakk enn å forsvare et forbud mot å motta slike annonser f. eks. gjennom utenlandske tidsskrift»
Også Den europeiske menneskerettighetsdomstol (EMD) har framhevet Internetts betydning for beskyttelse av informasjonsfrihet og ytringsfrihet 19. januar 2016 i saken Kalda v. Estonia, no.17429/10 (avsnitt 44, 50 og 52).
Tilsynet har ikke lagt tilstrekkelig vekt på hensynene til ytrings- og informasjonsfrihet. Fjerning av søkeresultater er et inngrep i ytringsfriheten for den som publiserer, og et inngrep i informasjonsfriheten for allmennheten. Da søkeresultatet i denne saken relaterer seg til kritikk av en offentlig ansatt i en ledende stilling, bør hensynet til ytrings- og informasjonsfrihet veie tyngre enn personverninteressen.
Reglene i arbeidsmiljøloven og tjenestemannsloven for beskyttelse av varslere er ikke ment å etablere begrensinger i ytringsfriheten. Disse reglene kan ikke brukes som argument for fjerne søkeresultater når en person ytrer seg på nettet.
Bevisbyrden for opplysningenes korrekthet
Bevisbyrden for at informasjonen i blogginnlegget er feil hviler på den registrerte, jf. Artikkel 29-gruppen. Den registrerte har ikke sannsynliggjort at innholdet i bloggen er feil, heller ikke at A har fått god omtale i medarbeiderundersøkelser. Datatilsynet opererer med en betydelig lavere bevisbyrde enn Artikkel 29-gruppens retningslinjer. Datatilsynet baserer vedtaket sitt på udokumenterte opplysninger fra klageren i saken, som er uten direkte relevans for forholdene det aktuelle blogginnlegget gjelder.
At blogginnlegget ikke inneholder kildehenvisninger eller annen verifisering av informasjon, er ikke relevant.
Blogginnlegget fastslår ikke som et faktautsagn at den registrerte er […psykisk syk], i motsetning til hva Datatilsynet legger til grunn. Derimot former og utrykker bloggeren en mening om den registrerte og A’s oppførsel. Dette er beskyttet av ytringsfriheten. Temaet som tas opp som et spørsmål i innlegget er basert på anonyme kilder som siteres i innlegget. Ingen av sitatene brukt i blogginnlegget sier eksplisitt av den registrerte er […psykisk syk].
Det er ikke korrekt som Datatilsynet hevder at «Bloggeren fremstiller i tillegg informasjonen på en måte som gjør at det ser ut som en sannhet». Innlegget er skrevet slik at det uttrykker meningene til bloggeren og personene som er sitert.
Når Datatilsynet uttaler at «[i]nformasjonen fremtrer av den grunn ikke som bloggerens personlige mening, men som fakta om den registrertes personlighetstrekk og adferd, uten at det finnes holdepunkter for at dette faktisk er korrekt», flytter tilsynet bevisbyrden fra den registrerte over til bloggeren som utøver sin ytringsfrihet. Det er ikke grunnlag for å flytte bevisbyrden på en slik måte, verken etter norsk lov, Costeja González-dommen eller Artikkel 29-gruppens retningslinjer (WP 225).
Selv om informasjonen i innlegget er sårende eller ubehagelig fører ikke det automatisk til at det er nødvendig å fjerne søkeresultatet, jf. Artikkel 29-gruppens retningslinjer WP 225 nr. 5 c.
Interesseavveiningen
Klageren i saken har en rolle i det offentlige liv grunnet sine flere ledende stillinger i staten, henholdsvis som seksjonssjef, seksjonsleder og assisterende regionsdirektør. A har uttalt seg på vegne av staten i to avisartikler og har utad representert myndighetsorganene A har arbeidet for.
Den registrerte har derfor en offentlig rolle slik denne er definert i Costeja González-dommen og i Artikkel 29-gruppens retningslinjer. Datatilsynets vedtak er ikke i overensstemmelse med dette, men bygger på en feilaktig interesseavveining. I Costeja González-dommen understrekes viktigheten av rollen den registrerte har i offentligheten. A var leder i et offentlig organ, som fatter avgjørelser med stor innvirkning på mennesker som berøres. Organet er gjenstand for betydelig offentlig og politisk debatt. Det offentlige har derfor en betydelig interesse i hvordan organets ledende ansatte utfører sine plikter.
Innholdet i blogginnlegget må leses i konteksten profesjonell kritikk, som relaterer seg til den registrertes oppførsel i arbeid og i rollen som leder og kollega. Informasjonen er derfor relevant yrkesmessig kritikk, som personer i ledende stillinger, særlig i staten, må tåle.
I innlegget retter også bloggeren oppmerksomheten mot organet: […]. Dette ligger innenfor kjernen av ytringsfriheten og må bli tungt vektlagt i vurderingen av om søkeresultatet skal fjernes.
Forholdet til ulovlig publisert innhold på nett
Informasjonen som framgår av blogginnlegget er ikke sjikanerende eller ærekrenkende. Datatilsynet skal i slike saker henvise den registrerte til politiet eller til domstolene, ikke fatte vedtak om sletting av søketreffet, jf. Artikkel 29-gruppens retningslinjer nr. 5 bokstav b.
A har i hovedsak anført
Innlegget inneholder sensitive personopplysninger om A’s påståtte helseforhold som er uriktige. Påstandene er uten rot i virkeligheten. A har fått gode tilbakemeldinger i medarbeiderundersøkelser. Det vises til EU-domstolens avgjørelse i sak C 131/12 av 13. mai 2014 (Costeja González-dommen), der domstolen slo fast et det skal vektlegges hvorvidt personopplysningene som framlegges er uriktige.
Verken forfatteren av innlegget eller Google har behandlingsgrunnlag for å behandle slike opplysninger. Google plikter å slette ulovlig innhold fra søkeresultatet, jf. Costeja González-dommen, hvor EU-domstolen fastslo at manglende behandlingsgrunnlag medførte at søketreffet måtte fjernes fra søkeresultatet.
Manglende behandlingsgrunnlag for forfatteren av innlegget gir Google enda større grunn til å slette søketreffet.
Seksjonen i den statlige etaten A arbeidet i bedriver offentlig myndighetsutøvelse, men har ikke «kunder eller brukere» av sine tjenester, slik Google hevder. A var seksjonsleder, ikke toppleder, og er ikke en offentlig person. Blogginnlegget inneholder grove beskyldninger av sjikanerende art, som er usanne og derfor svært belastende for A. Innlegget omtaler A’s påståtte mentale helse, og at A som seksjonsleder skapte frykt. Blogginnlegget omtaler ikke hvordan den offentlige myndighetsutøvelsen ble utøvd i seksjonen, men fokuserer på A som person. Innholdet i innlegget er ikke i allmennhetens interesse. A’s påståtte mentale helse er derfor ikke relevant.
Blogginnlegget er det første søkeresultatet som kommer opp når det søkes på A’s navn, og vil være det første som møter enhver som «googler» navnet, herunder fremtidige arbeidsgivere, kollegaer, foreldrene til barnas skolevenner, barnas klasseforstandere og alle A vil inngå et kjøp/salg med.
A’s interesse i å få slettet søkeresultatet er vesentlig større enn allmennhetens interesse i at informasjonen skal være tilgjengelig via Google-søk.
Datatilsynets vurdering
Datatilsynet legger til grunn at personopplysningsloven (lov nr. 31/2000) kommer til anvendelse i denne saken. Siden Google Inc. er etablert i Norge ved selskapet Google Norge AS, kan tilsynet behandle klagen.
Behandlingsgrunnlag
Lovlig behandling av personopplysninger forutsetter at Google har et behandlingsgrunnlag, jf. personopplysningsloven 2000 § 11 bokstav a, jf. § 8. Har den ikke det, skal søketreffet som utgangspunkt slettes, jf. personopplysningsloven 2000 § 27.
Googles indeksering av det aktuelle søketreffet har etter tilsynets vurdering ikke behandlingsgrunnlag. Søketreffet må derfor slettes.
Det aktuelle behandlingsgrunnlaget for indeksering på Googles søkemotor er Costeja González-dommen avsnitt 73, jf. personverndirektivet artikkel 7 f, jf. personopplysningsloven 2000 § 8 bokstav f.
Personopplysningsloven 2000 § 8 bokstav f lyder:
«Personopplysninger (jf. § 2 nr. 1) kan bare behandles dersom [...] behandlingen er nødvendig for
[…]
f) at den behandlingsansvarlige eller tredjepersoner som opplysningene utleveres til kan vareta en berettiget interesse, og hensynet til den registrertes personvern ikke overstiger denne interessen.»
Bestemmelsen gir anvisning på en konkret interesseavveining, en såkalt balansetest. Interessen til den behandlingsansvarlige (Google) og tredjepersoner personopplysningene utleveres til (allmennheten), skal veies opp mot personvernet til den registrerte. Hensynet til den registrertes personvern må veie tyngst for at Google kan pålegges å slette søketreffet.
I Costeja González-dommen uttaler EU-domstolen at hensynet til den registrerte som hovedregel veier tyngst dersom vedkommende aktivt ber om at søketreffet ikke dukker opp ved søk på navnet. EU-domstolen viser til den registrertes innsigelsesrett mot behandling av personopplysninger, forankret i personverndirektivet artikkel 14 bokstav a.
Bestemmelsen er ikke direkte innlemmet i personopplysningsloven 2000, men Datatilsynet tolker forarbeidene til personopplysningsloven 2000 slik at manglende implementering ikke er ment å frata den registrerte rettigheter etter direktivet, jf. Ot.prp. nr. 92 (1998–1999) punkt 5.4.1.5, jf. punkt 5.4.1.3.
Selv om hovedregelen er at hensynet til den registrerte skal veie tyngst, uttaler EU-domstolen at interesseavveiningen likevel vil kunne slå annerledes ut. Dette kan gjelde når den registrerte har hatt en rolle i det offentlige liv eller har en bakgrunn som tilsier at personverninteressen må vike for allmenhetens interesse i å finne informasjonen ved navnesøk. Dette kan eksempelvis være på grunn av den registrertes arbeid, engasjement eller oppslag i media. Personopplysningenes karakter og sensitivitet, samt opplysningenes betydning for den registrertes privatliv har også betydning i interesseavveiningen.
Ytrings- og informasjonsfriheten
Hensynet til informasjonsfriheten veiet opp mot hensynet til personvernet, slik Costeja González-dommen anviser, er vurdert. Det er også tatt hensyn til offentlighetens interesse i å finne informasjonen, og relevante momenter i Artikkel 29-gruppens retningslinjer er vektlagt.
Arbeidsmiljøloven og tjenestemannsloven begrenser ikke ytringsfriheten. Ansatte har et vidt spillerom for å uttale seg offentlig. Datatilsynet har også vurdert hensynet til ytringsfriheten, selv om Costeja González-dommen ikke direkte refererer til denne. I denne sammenheng er det viktig å skille mellom sletting av selve innholdet, og avindeksering av den registrertes navn, jf. Artikkel 29-gruppens uttalelse om at «[i]n practice, the impact of the de-listing on individuals’ rights to freedom of expression and access to information will prove to be very limited». Bloggerens ytringer blir ikke begrenset i særlig grad ved avindeksering av et konkret navn.
Googles videreformidling av informasjonen ved søketreff har ikke et «utelukkende journalistisk formål», jf. Costeja González-dommen. Personopplysningsloven 2000 § 7 er derfor ikke nødvendig å vurdere som et selvstendig moment i vurderingen. Ytringsfriheten inngår likevel i helhetsvurderingen av hvor tungtveiende informasjonsfriheten veier i den enkelte sak.
Bevisbyrden for opplysningenes korrekthet
Tilsynet er enig med Google i at det som hovedregel er den registrerte som må framlegge informasjon som eventuelt viser om innholdet i et søketreff er misvisende eller feilaktig.
Et moment i Artikkel 29-gruppens retningslinjer er hvorvidt treffet gir korrekte opplysninger om den registrerte. Selv om Datatilsynet ikke er egnet til å vurdere om omtalene på blogginnleggene er korrekte, mener tilsynet at det må stilles krav til kildehenvisning eller verifisering for at belastende personopplysninger om den registrerte på bloggsidene skal kunne betegnes som korrekte og relevante. Kildehenvisningene eller verifiseringen av informasjonen er ikke tilstrekkelig på nettsidene i denne saken. Bloggen er anonym og den registrerte har ingen mulighet til å imøtegå påstandene. Den registrerte [A] har framlagt medarbeiderundersøkelsen for Datatilsynet, hvor A har vist til at A har gjort det godt. Dette taler for at informasjonen i bloggen, i mangel av andre holdepunkter, må betegnes som ikke korrekt.
Det er en vesentlig forskjell mellom det å ytre seg negativt om en person, og det å framsette udokumenterte påstander om at personen er […psykisk syk]. Det er uforholdsmessig, og overdrevent ut fra formålet, å påstå at den registrerte er [...psykisk syk] uten å ha noen form for dokumentasjon eller holdepunkter for at dette er korrekt. Slike påstander er det svært vanskelig å forvare seg mot, eller dokumentere at er feil.
Terskelen skal ikke være så høy at den registrerte må legge fram en legeerklæring eller lignende for å avkrefte påstandene. Datatilsynet kan ikke se at det finnes noen gode metoder for den registrerte å dokumentere at slike påstander er feilaktige.
I innlegget framstiller bloggeren informasjonen på en måte som gjør at det ser ut som en sannhet, og angivelig framsatt av den registrertes kolleger: […]. Innlegget viser også til medarbeidere som er skjelt ut for bagateller.
Informasjonen framtrer ikke som bloggerens mening, men som fakta om den registrertes personlighetstrekk og adferd, uten at det finnes holdepunkter for at dette faktisk er korrekt. Dette taler for at søketreffet bør avindekseres i samsvar med Artikkel 29-gruppens retningslinjer nr. 5 bokstav c. Det følger av disse retningslinjene at det skal vektlegges om opplysningene i søketreffet er å regne som sensitive slik de er definert i personopplysningsloven 2000 § 2 nr. 8.
Uavhengig av om opplysningene er korrekte eller ikke, er de like fullt opplysninger knyttet til en enkeltperson, jf. personopplysningsloven 2000 § 2 nr. 1. Opplysninger om en persons helse er å regne som sensitive opplysninger, jf. personopplysningsloven 2000 § 2 nr. 8 bokstav c. Slike opplysninger utgjør et større inngrep i en persons privatliv, noe som i seg selv taler for avindeksering.
Interesseavveiningen
Når den registrerte anmoder søkemotoren om å fjerne søketreffene, er utgangspunktet at den registrertes interesse skal veie tyngst, med mindre vedkommende har hatt en rolle i det offentlige liv som tilsier at personverninteressen må vike for offentlighetens interesse i å finne informasjonen ved navnesøk.
A har vært seksjonsleder i en statlig virksomhet med ansvar for 15 ansatte, og har innehatt mellomlederfunksjoner i andre virksomheter. Ved søk på A’s navn i søkemotoren Google er blogginnlegget indeksert som søketreff nummer én. Øvrige søketreff på A er rent private, slik som treff i telefonkataloger og sosiale medier. Seksjonsleder i staten er en generell stillingstittel som et stort antall ansatte i staten har. Tilsynet legger til grunn at A ikke er en offentlig person. Heller ikke A’s uttalelser i media om en konkret sak fører til at A blir betraktet som en «offentlig person» eller en person som har en rolle i det offentlige liv. Det er svært mange saksbehandlere og ledere som uttaler seg om konkrete saker i media uten å blir ansett som offentlige personer.
Søketreffet sier noe om hvordan A har opptrådt i sitt yrkesliv. Slik informasjon vil kunne være av interesse for framtidige arbeidsgivere, eller arbeidssøkere som er interessert i stillinger hvor A jobber. Det taler for en indeksering av søketreffet. Informasjonen som framkommer i søketreffet framstår imidlertid som overdreven fordi de går langt i å sette fram påstander om A som privatperson og A’s mentale helsetilstand. Informasjonen framstår heller ikke som en kritikk av offentlig myndighet eller myndighetspersoner, men som et angrep på A som person.
Google har anført at innholdet i blogginnlegget må leses i konteksten profesjonell kritikk som allmennheten har en interesse i. I Norge finnes det andre framgangsmåter enn publisering av kritikk for å sikre et godt arbeidsmiljø. Arbeidsmiljøloven og tjenestemannsloven regulerer arbeidstakers rett til å varsle om kritikkverdige forhold på arbeidsplassen. Loven skal bidra til å styrke den reelle ytringsfriheten i et ansettelsesforhold, samt sikre at framgangsmåten ved varslingen er forsvarlig. Arbeidstaker kan varsle flere ulike tilsyn om forhold en mener er lovstridig.
Forholdet til ulovlig publisert innhold på nett
Datatilsynet vurderer kun om det foreligger brudd på personopplysingsloven, og sørger eventuelt for at feil eller mangler blir rettet, jf. personopplysningsloven 2000 § 42 tredje ledd nr. 3.
Hvorvidt blogginnlegget er sjikanerende eller ærekrenkende i straffelovens forstand, er ikke vurdert og skal ikke vurderes av Datatilsynet. Det er ikke noe krav til Datatilsynet om at tilsynet skal henvise til politi og domstoler. Artikkel 29-gruppen har imidlertid i retningslinjene nr. 5 bokstav b presisert at dersom en anmodning om avindeksering blir avslått kan tilsynet gjøre dette.
Personvernnemndas vurdering
Innledning
Personvernnemnda skal ta stilling til om Google plikter å slette søketreffet på A, slik selskapet er pålagt av Datatilsynet i vedtak 6. juni 2017. Pålegget gitt i vedtaket er begrunnet i at Google mangler behandlingsgrunnlag i personopplysningsloven 2000 for indekseringen av det aktuelle søketreffet. Personvernnemnda skal følgelig ikke vurdere lovligheten av ytringene som framkommer på bloggen […].
Nemnda vil, som Datatilsynet, understreke at sletting av søketreff fra en søkemotor ikke handler om fjerning av informasjon fra Internett som sådan. All informasjon vil fremdeles være tilgjengelig på nettet i den opprinnelig publiserte bloggen/artikkelen. Når et søketreff slettes vil imidlertid lenken til informasjonen ikke lenger dukke opp ved navnesøk. Lenken vil dukke opp ved bruk av andre relevante søkeord. De begrensningene av lovens virkeområde som følger av personopplysningsloven 2000 § 3 for behandling av personopplysninger utelukkende til journalistiske formål, kommer ikke til anvendelse for den behandlingen av personopplysninger som skjer ved en søkemotors framvisning av personopplysninger. Dette er i tråd med EU-domstolens avgjørelse i sak C-131/12 (Google/Costeja Conzález). Allmennhetens interesse i få enkel tilgang til ulike opplysninger ved bruk av søkemotorer er imidlertid en av de interessene som skal avveies mot den registrertes interesse i å få søketreffet slettet. Nemnda kommer tilbake til dette nedenfor.
Lovvalg
Nemnda må først ta stilling til hvilken lov som kommer til anvendelse.
Ny lov om behandling av personopplysninger (personopplysningsloven nr. 38/2018) trådte i kraft 20. juli 2018. Personopplysningsloven 2018 har overgangsregler i § 33. Disse reglene gjelder bare vedtak om overtredelsesgebyr og har derfor ikke betydning i denne saken.
I forskrift om overgangsregler om behandling av personopplysninger (FOR-2018-06-15-877) § 2 framgår det følgende:
«Pålegg vedtatt etter lov 14. april 2000 nr. 31 om behandling av personopplysninger som ikke er etterkommet ved ikrafttredelsen, fortsetter å gjelde så langt de ikke strider mot personvernforordningen eller personopplysningsloven.
Tvangsmulkt som løper ved lovens ikrafttreden, opphører å løpe. Datatilsynet kan fastsette tvangsmulkt i medhold av personopplysningsloven § 29 så langt pålegget fortsetter å gjelde i henhold til første ledd.»
I forarbeidene til personopplysingsloven 2018, Prop. 56 LS (2017-2018) side 196 uttaler departementet blant annet følgende om overgangsreglene:
«Det vil være en rekke saker som verserer for tilsynsmyndigheten og Personvernnemnda på ikraftsettingstidspunktet for den nye personopplysningsloven. Forordningen inneholder ingen overgangsbestemmelser som regulerer behandlingen av slike saker. Utgangspunktet vil være at vedtak hos Datatilsynet og Personvernnemnda vil måtte fattes på grunnlag av de til enhver tid gjeldende materielle regler».
Selv om denne saken oppsto før den nye loven trådte i kraft, og Datatilsynet har vurdert saken etter personopplysningsloven 2000, skal nemnda altså behandle denne saken etter personopplysningsloven 2018.
Europaparlaments- og rådsforordning (EU) 679/2016 av 27. april 2016 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger samt om oppheving av direktiv 95/46/EF (GDPR eller "forordningen") gjelder som norsk lov fra 20. juli 2018, jf. personopplysningsloven 2018 § 1.
Forordningen oppstiller et omfattende regelverk, blant annet om de grunnleggende prinsippene og vilkårene for å behandle personopplysninger, rettigheter for enkeltpersoner, overføring av personopplysninger over landegrensene og om tilsyn og sanksjoner. Reglene gjelder for både private og offentlige aktører. De materielle reglene i forordningen er i stor grad en videreføring og videreutvikling av gjeldende rett. Samtidig innebærer reglene en rekke endringer, både på detaljnivå og av mer grunnleggende karakter. De registrertes rettigheter er på flere punkter styrket, jf. forarbeidene til loven, Prop. 56 LS (2017–2018) side 9. Samtidig som GDPR ble en del av norsk rett 20. juli 2018, ble personverndirektivet 95/46/EF opphevet, jf. GDPR artikkel 94, som i nr. 2 fastslår at:
«Henvisninger til det opphevede direktiv skal forstås som henvisninger til denne forordning. Henvisninger til arbeidsgruppen for personvern i forbindelse med behandling av personopplysninger nedsatt ved artikkel 29 i direktiv 95/46/EF skal forstås som henvisninger til Det europeiske personvernråd nedsatt ved denne forordning.»
Det er ikke tvilsomt at denne saken omfattes av personopplysningslovens geografiske virkeområde, jf. personopplysningsloven 2018 § 4. Videre legges til grunn at Googles indeksering av søketreff på A’s navn i søkemotoren Google, regnes som behandling av personopplysninger slik dette defineres i GDPR artikkel 4 nr. 2, og Google anses som behandlingsansvarlig, jf. GDPR artikkel 4 nr. 7.
Behandlingsgrunnlag
Spørsmålet om sletting av søketreffet må avgjøres på grunnlag av en vurdering av om det foreligger behandlingsgrunnlag.
De alminnelige reglene om behandlingsgrunnlag følger av GDPR artikkel 6. Etter artikkel 9 er behandling av «særlige kategorier av personopplysninger», herunder helseopplysninger, i utgangspunktet forbudt, med mindre et av vilkårene i artikkel 9 nr. 2 er oppfylt. I tillegg må det foreligge behandlingsgrunnlag etter artikkel 6, jf. fortalepunkt 51, hvor det framgår at også de allmenne prinsippene og de andre reglene i forordningen får anvendelse, «særlig når det gjelder vilkårene for lovlig behandling», jf. Prop. 56 LS (2017–2018) side 39. Helseopplysninger er definert i artikkel 4 nr. 15 som «personopplysninger om en fysisk persons fysiske eller psykiske helse, herunder om ytelse av helsetjenester, som gir informasjon om vedkommendes helsetilstand».
Datatilsynet viste i sin vurdering til Artikkel 29-gruppens retningslinjer hvor det framgår at det skal vektlegges om opplysningene i søketreffet er å regne som sensitive slik de er definert i personopplysningsloven 2000 § 2 nr. 8. Tilsynet la deretter til grunn at opplysningene om A’s helse i blogginnlegget er å anse som sensitive opplysninger, og at slike opplysninger utgjør et større inngrep i en persons privatliv, noe som i seg selv taler for sletting av søketreffet. Nemnda legger til grunn at opplysningene om A i den anonyme bloggen ikke anses som helseopplysninger, jf. GDPR artikkel 4 nr. 15. Selv om bloggeren reiser spørsmålet om A mentale helse, er ikke omtalen av A, i den konteksten opplysningene er gitt, å anse som helseopplysninger om A. Nemnda viser i denne sammenheng til forordningens fortalepunkt 35 som utfyller artikkel 4 nr. 15:
«Personopplysninger om helse bør omfatte alle opplysninger om den registrertes helsetilstand som avdekker den registrertes tidligere, nåværende eller fremtidige fysiske eller psykiske helsetilstand. Dette omfatter opplysninger om den fysiske personen innsamlet under registrering av vedkommende med henblikk på eller under yting av helsetjenester, som nevnt i europaparlaments- og rådsdirektiv 2011/24/EU, til den aktuelle fysiske personen; et tall, symbol eller kjennetegn som tildeles en fysisk person for på en entydig måte å identifisere vedkommende for helseformål; opplysninger som stammer fra tester eller undersøkelser av en kroppsdel eller en kroppssubstans, herunder fra genetiske opplysninger og biologiske prøver; og enhver opplysning om den registrerte med hensyn til f.eks. sykdom, funksjonshemning, sykdomsrisiko, sykehistorie, klinisk behandling eller fysiologisk eller biomedisinsk tilstand uavhengig av hvor dette stammer fra, f.eks. fra en lege eller annet helsepersonell, et sykehus, medisinsk utstyr eller in vitro-diagnostikk.»
Nemnda legger etter dette til grunn at det er GDPR artikkel 6 nr. 1 bokstav f som er aktuelt behandlingsgrunnlag for Google i denne saken. Denne lyder slik:
«1. Behandlingen er bare lovlig dersom og i den grad minst ett av følgende vilkår er oppfylt:
[…]
f) behandlingen er nødvendig for formål knyttet til de berettigede interessene som forfølges av den behandlingsansvarlige eller en tredjepart, med mindre den registrertes interesser eller grunnleggende rettigheter og friheter går foran og krever vern av personopplysninger, særlig dersom den registrerte er et barn.»
I forståelsen av hva som kan innfortolkes i dette kravet uttaler departementet i Prop. 56 LS (2017–2018), side 31 og 32, at forordningens regler om behandlingsgrunnlag svarer i stor grad til gjeldende rett. Videre legges det opp til at GDPR artikkel 6 nr. 1 bokstav f viderefører personopplysningsloven 2000 § 8 første ledd bokstav f, og gir adgang til å behandle opplysninger på grunnlag av en interesseavveining.
Behandlingen av opplysningene må også oppfylle de grunnleggende prinsippene i GDPR artikkel 5 for behandling av personopplysninger. Prinsippene tilsvarer i betydelig grad prinsippene som følger av personopplysningsloven 2000 § 11 første og annet ledd, jf. departementets vurdering i lovavdelingens høringsnotat 6. juli 2017, Snr. 17/4200, side 22.
Interesseavveiningen
Nemnda har i tidligere saker som også har omhandlet spørsmål om sletting av søketreff ved bruk av søkemotorer, uttalt seg om det rettslige utgangspunktet for den interesseavveiningen som skal foretas. I sak PVN-2017-17 uttalte nemnda:
«Personvernnemnda legger til grunn at de kriteriene som ble utformet av EU-domstolen i sak C-131/12 (Google/Costeja González) vil være helt sentrale i denne interesseavveiningen. Domstolen kom til at artikkel 12 (b) sammenholdt med artikkel 14 underpunkt (a) i direktiv 95/46/ inneholdt en rett til å bli glemt, men at det måtte bero på en interesseavveining i den enkelte sak om datasubjektet kunne gjøre retten gjeldende (domsslutningens punkt 4):
"As the data subject may, in the light of his fundamental rights under Articles 7 and 8 of the Charter, request that the information in question no longer be made available to the general public on account of its inclusion in such a list of results, those rights override, as a rule, not only the economic interest of the operator of the search engine but also the interest of the general public in having access to that information upon a search relating to the data subject's name. However, that would not be the case if it appeared, for particular reasons, such as the role played by the data subject in public life, that the interference with his fundamental rights is justified by the preponderant interest of the general public in having, on account of its inclusion in the list of results, access to the information in question."
Nemnda vil her særlig framheve at domstolen med dette etablerer en presumsjon for at den registrerte har rett til å få søketreffet slettet, med mindre særlige hensyn gjør seg gjeldende.
Artikkel 29-gruppen har senere utarbeidet veiledende retningslinjer («list of common criteria») for hvordan retten til å bli glemt skal praktiseres (14/EN WP 225). Disse kriteriene er:
- Does the search result relate to a natural person - i.e. an individual? And does the earch result come up against a search on the data subject's name?
- Does the data subject play a role in public life? Is the data subject a public figure?
- Is the data subject a minor?
- Is the data accurate?
- Is the data relevant and not excessive?
- Does the data relate to the working life of the data subject?
- Does the search result link to information which allegedly constitutes hate speech/slander/libel or similar offences in the area of expression against the complainant?
- Is it clear that the data reflect an individual's personal opinion or does it appear to be verified fact?
- Is the information sensitive within the meaning of Article 8 of the Directive 95/46/EC?
- Is the data up to date? Is the data being made available for longer than is necessary for the purpose of the processing?
- Is the data processing causing prejudice to the data subject? Does the data have a disproportionately negative privacy impact on the data subject?
- Does the search result link to information that puts the data subject at risk?
- In what context was the information published?
- Was the content voluntarily made public by the data subject?
- Was the content intended to be made public? Could the data subject have reasonably known that the content would be made public?
- Was the original content published in the context of journalistic purposes?
- Does the publisher of the data have a legal power - or a legal obligation - to make the personal data publicly available?
- Does the data relate to a criminal offence?
Det understrekes at «no single criterion is, in itself, determinative», og videre at «the list of criteria is non-exhaustive and will evolve over time». Nemnda mener at disse retningslinjene utgjør et fornuftig utgangspunkt for interesseavveiningen, og at de utfyller dommen fra EU-domstolen. Nemnda finner samtidig grunn til å påpeke at retningslinjer fra Artikkel 29-gruppen har begrenset vekt som rettskilde, og de har ikke, som Datatilsynet anfører, stor rettskildemessig vekt.»
Nemnda tar, som Datatilsynet, utgangspunkt i at disse kriteriene for interesseavveiningen også gjør seg gjeldende etter forordningen artikkel 17 nr. 1 bokstav c, jf. artikkel 21 nr. 1.
GDPR artikkel 17 nr. 1 bokstav c slår fast at den registrerte har rett til sletting med mindre det ikke finnes mer «tungtveiende berettigede grunner» til behandlingen og den registrerte protesterer mot behandlingen, jf. GDPR artikkel 21 nr. 1 hvor det heter:
«Den registrerte skal til enhver tid, av grunner knyttet til vedkommendes særlige situasjon, ha rett til å protestere mot behandling av personopplysninger om vedkommende, og som har grunnlag i artikkel 6 nr. 1 bokstav e) eller f), herunder profilering med grunnlag i nevnte bestemmelser. Den behandlingsansvarlige skal ikke lenger behandle personopplysningene, med mindre vedkommende kan påvise at det foreligger tvingende berettigede grunner for behandlingen som går foran den registrertes interesser, rettigheter og friheter, eller for å fastsette, gjøre gjeldende eller forsvare rettskrav.»
Dette innebærer at Googles behandling av personopplysninger må ses i lys av ytringsfriheten til de som publiserer informasjon på Internett, deres interesse i å ha informasjonen søkbar gjennom Googles søkemotor og andre søkemotorer, samt informasjonsfriheten til allmennheten og deres interesse i å finne nyttig informasjon gjennom søkemotorer. Disse hensynene må veies mot A’s ulike personverninteresser. Personverninteressene til den registrerte veier tyngst med mindre det kan påvises «tungtveiende berettigede grunner» som anses å gå foran. Med dette som rettslig utgangspunkt, er Personvernnemnda enig i resultatet av den interesseavveiningen Datatilsynet har foretatt. Nemnda vil redegjøre nærmere for begrunnelsen i det følgende.
Nemnda legger til grunn at offentlige personer (personer som spiller eller har spilt en rolle i det offentlige liv) i større grad enn privatpersoner må akseptere at personverninteressen må vike for allmennhetens interesse i å finne informasjon om dem ved navnesøk, jf. Artikkel 29-gruppens punkt 2. Det er ingen klar definisjon av hva som er en offentlig person eller hvem som anses å spille en rolle i det offentlige liv. Datatilsynet nevner som eksempler på offentlige personer «offentlige tjenestemenn med høytstående verv, som ministre, politikere eller direktører. […] kjente forretningspersoner eller personer i regulerte yrker som advokater, leger eller lignende», men gir uttrykk for at eksemplene ikke er uttømmende og at det må foretas en helhetsvurdering. Nemnda er enig i den vurderingen.
Ved søk på A’s navn i søkemotoren Google er blogginnlegget indeksert som søketreff nummer én. A har vært seksjonsleder i en offentlig virksomhet med 15 ansatte og omtalen av A i den aktuelle bloggen er knyttet til A’s egenskaper som leder på denne arbeidsplassen. Øvrige søketreff på A’s navn er rent private, som treff i telefonkataloger og sosiale medier. Nemnda er enig med Datatilsynet i at A’s stilling som seksjonsleder i seg selv ikke innebærer at A er å anse som en offentlig person som «spiller en rolle i det offentlige liv». Omtalen av A i bloggen er dessuten utelukkende knyttet til A som person og A’s egenskaper som leder, ikke knyttet til utøvelsen av den offentlige myndigheten den aktuelle statlige virksomheten bedriver. Nemnda mener på denne bakgrunn at blogginnlegget har begrenset interesse «in the context of professional criticism», slik Google har anført at det har.
Det følger av Artikkel 29-gruppens retningslinjer at det skal legges vekt på om personopplysningene er «accurate» og «up to date». Det samme framgår av GDPR artikkel 5 nr. 1 bokstav d hvor det heter at personopplysninger skal:
«være korrekte og om nødvendig oppdaterte; det må treffes ethvert rimelig tiltak for å sikre at personopplysninger som er uriktige med hensyn til de formålene de behandles for, uten opphold slettes eller rettes («riktighet»)»
Datatilsynet er enig med Google i at det som hovedregel er den registrerte som må framlegge informasjon som eventuelt viser om innholdet i et søketreff er misvisende eller feilaktig. Tilsynet mener imidlertid, i motsetning til Google, at informasjonen i bloggen, i mangel av andre holdepunkter, må betegnes som ikke korrekt. Slik nemnda ser det er det ikke mulig, med de opplysningene som foreligger, å ta stilling til om de publiserte opplysningene er korrekte eller ikke. Nemnda er følgelig uenig med Datatilsynet og Google i at den registrerte i et tilfelle som dette bærer bevisbyrden for at opplysningene ikke er korrekte. Den aktuelle bloggen/artikkelen framstår ikke som en rent objektiv beskrivelse av fakta, men må ses som et uttrykk for forfatterens personlige syn, selv om forfatteren også hevder å ha fått tilsvarende opplysninger fra andre ansatte på den aktuelle arbeidsplassen. Slik nemnda ser det, er det verken naturlig eller mulig å motbevise denne typen subjektive betraktninger.
Nemnda vil påpeke at forfatteren av bloggen har valgt å være anonym og heller ikke har navngitt sine andre påståtte kilder. Både allmennhetens interesse i å finne fram til disse opplysningene og bloggerens interesse i å få oppmerksomhet om teksten ved at navnet til A framvises ved lenke til forfatterens blogg ved hjelp av søkemotoren Google, må i et slikt tilfelle stille svakere enn om vedkommende stod fram med fullt navn og navnga sine kilder, eller om påstandene ble formidlet i et redaksjonsstyrt medium. Når det i tillegg dreier seg om grove beskyldninger som framstår som ensidig negative, styrker det den registrertes interesse i å kunne protestere mot fortsatt behandling og kreve søketreffet slettet.
I forlengelsen av dette vil nemnda peke på Artikkel 29-gruppens retningslinjer, hvor det i pkt. 5 c, under overskriften «Is it clear that the data reflect an individual’s personal opinion or does it appear to be verified fact?», framgår:
«The status of the information contained in a search result mays also be relevant, in particular the difference between personal opinion and verified fact. DPAs recognise that some search results will contain links to content that may be part of a personal campaign against someone, consisting of ‘rants’ and perhaps unpleasant personal comments. Although the availability of such information may be hurtful and unpleasant, this does not necessarily mean that DPAs will consider it necessary to have the relevant search result de-listed. However, DPAs will be more likely to consider the de-listing of search results containing data that appears to be verified fact but that is factually inaccurate.»
Til dette vil nemnda bemerke at påstandene i nærværende sak i stor grad framstår som subjektive og svakt funderte betraktninger. Isolert sett er dette forhold som taler mot sletting av søketreffet, jf. det siterte. Samtidig framføres enkelte av påstandene som en formidling av hva tredjepersoner skal ha opplevet og/eller mener om A. Nemndas samlede inntrykk av teksten er at den ikke utelukkende gjengir bloggerens subjektive synspunkter, og at de forholdene som taler mot sletting som er nevnt i Artikkel 29-gruppens retningslinjer ikke gjør seg gjeldende i like stor grad i denne saken.
Google har ikke fått medhold i klagen.
Nemndas vedtak er enstemmig.
Avslutningsvis vil nemnda bemerke at denne saken har versert i svært lang tid. A kontaktet Google allerede 20. september 2016 og ba om å få fjernet søkeresultatet fra Googles søketreff. Det må kunne legges til grunn at når en person ber om sletting av et søketreff oppleves det som påkrevet å få slettet dette så raskt som mulig.
Etter at A brakte saken inn for Datatilsynet 17. oktober 2016 tok det nærmere åtte måneder før tilsynet fattet sitt vedtak 6. juni 2017. Google påklaget dette vedtaket rettidig, og ble gitt utsatt frist til 20. september 2017 for å begrunne klagen nærmere. Nemnda har merket seg at tilsynet brukte seks måneder på å vurdere omgjøring av eget vedtak i denne saken. Det har nå gått nærmere to år siden A kontaktet Google med anmodning om sletting av det aktuelle søketreffet, og saksbehandlingen i tilsynet er på til sammen 14 måneder. Nemnda finner grunn til å presisere at dersom retten til sletting av søketreff skal ha relevans for den registrerte, så må spørsmålet om sletting avklares atskillig raskere enn hva som er tilfellet i denne saken.
Nemnda viser i denne sammenheng til GDPR artikkel 17 nr. 1 c som fastslår at den registrerte skal ha rett til å få personopplysninger om seg selv slettet av den behandlingsansvarlige «uten ugrunnet opphold», og den behandlingsansvarlige skal ha plikt til å slette personopplysninger «uten ugrunnet opphold» dersom den registrerte protesterer mot behandlingen og det ikke finnes mer «tungtveiende berettigede grunner» til behandlingen., jf. artikkel 21 nr. 1. Datatilsynet har ikke gitt klagen oppsettende virkning, jf. forvaltningsloven § 42. Det innebærer at Google siden Datatilsynet traff sitt vedtak har vært pålagt å slette det aktuelle søketreffet. Nemnda registrerer at søketreffet fortsatt ikke er slettet, hvilket er svært uheldig.
Vedtak
Datatilsynets vedtak om å pålegge Googles Inc. å fjerne det omtalte søketreffet fra søkemotoren Google, opprettholdes.
Oslo, 30. august 2018
Mari Bø Haugstad
Leder