Personvernnemndas vedtak 14. oktober 2019 (Mari Bø Haugstad, Bjørnar Borvik, Gisle Hannemyr, Hans Marius Graasvold, Heidi Talsethagen, Hans Marius Tessem)
Saken gjelder klage fra A på Datatilsynets vedtak 3. oktober 2017 der tilsynet avslo anmodningen om å pålegge sletting av søketreff i søkemotoren Google.
Sakens bakgrunn
A ble i august 2013 dømt i Oslo tingrett til fengsel i to år og fire måneder, hvorav ett år betinget med en prøvetid på tre år, for medvirkning til fire grove bedragerier og ett grovt uaktsomt grovt bedrageri. Han ble også – i solidaransvar med andre domfelte – dømt til å betale DNB Bank ASA drøyt 3,5 millioner kroner i erstatning, samt dømt til å tåle inndragning av 527 980 kroner. Handlingene var begått i perioden fra 2005 til 2011. Saken var del av et større sakskompleks som omfattet et betydelig antall lånebedragerier hvor flere tiltalte var dømt i ulike saker til lange fengselsstraffer og til dels også rettighetstap for å ha bedratt flere banker ved hjelp av forfalskede dokumenter og uriktige opplysninger ved opptak av bolig- og billån. Etterforskningen av sakskomplekset startet i 2009 og A ble pågrepet sommeren 2010.
Tingretten fant bevist at bankene og finansinstitusjonene ble forledet til å utbetale til sammen 29 millioner kroner på de tiltalepostene A ble dømt for. De hadde sikkerhet (pant i eiendommene/bilene) for en stor del av dette beløpet, men risikerte likevel store tap fordi sikkerheten var dårligere enn de la til grunn. Retten la til grunn at det faktiske tapet for bankene og finansinstitusjonene var på 8,3 millioner kroner. As egen vinning var 527 980 kroner for de forholdene han ble dømt for.
Det sentrale elementet i de straffbare forholdene, slik de er beskrevet av tingretten, er at finansinstitusjonene i forbindelse med innvilgelse av lånene ble forelagt kjøpekontrakter som hadde oppgitt en høyere pris på eiendommene eller bilene enn den som reelt sett var avtalt mellom partene. På den måten ble finansinstitusjonene forledet til å finansiere hele kjøpesummen – og i noen tilfeller utbetale mer enn reelt avtalt kjøpesum i lån til lånesøkerne – uten at kjøperne har stilt med noen egenkapital slik som oppgitt i lånesøknadene.
A arbeidet som advokat i den aktuelle perioden og hadde ansvaret for oppgjøret ved de ulike salgene. Han ble av tingretten ansett å ha hatt en underordnet rolle og hadde ikke selv tatt initiativ til eller hatt stor personlig vinning av bedrageriene. Retten la til grunn at han bare delvis hadde hatt oversikt over det totale bildet. Hovedmannen i saken ble dømt til fengsel i seks år for grove bedragerier med et samlet faktisk tap for finansieringsinstitusjonene på 29 millioner kroner.
Straffesaken var i 2013 og 2014 omtalt i flere medier. A har kontaktet flere medier med sletteforespørsel og anmodet om fjerning av hans navn. Ifølge A har Tvedestrandposten.no slettet hele sin avisartikkel, men DN.no og E24.no har avslått forespørselen med henvisning til behovet for å ha et oppdatert arkiv.
A kontaktet Google 20. mai 2017 og ba om å få slettet følgende søketreff ved søk på eget navn:
[…]
Google avslo 22. mai 2017 begjæringen om å slette søkeresultatet knyttet til hans navn. Google begrunnet avslaget slik:
«In this case, it appears that the URLs in question relates to matters of substantial interest to the public regarding your professional life. For example, these URLs may be of interest to potential or current consumers, users, or participants of your services. Information about recent professions or businesses you were involved with may also be of interest to potential or current consumers, users, or participants of your services. Accordingly, the reference to this document in our search results for your name is justified by the interest of the general public in having access to it.
At this time, Google has decided not to take action on these URLs [...]»
A klaget Googles avslag inn for Datatilsynet ved brev 30. mai 2017, og anmodet tilsynet om bistand til sletting av søketreff ved søk på hans navn i søkemotoren Google.
Datatilsynet foretok en interesseavveining mellom allmennhetens rett til å finne informasjon om straffesaken og As rett til å motsette seg at slik informasjon er tilgjengelig fra søkemotorene ved navnesøk, og avslo As krav om sletting av søketreff ved vedtak 3. oktober 2017.
A framsatte rettidig klage over Datatilsynets vedtak 27. oktober 2017 og utdypet klagen med en begrunnelse 22. desember 2017.
Datatilsynet vurderte klagen, men fant ikke grunnlag for å endre sitt vedtak. Saken ble oversendt til Personvernnemnda som mottok saken 7. mars 2019. Partene ble orientert om saken i brev fra nemnda 14. mars 2019, og fikk anledning til å komme med eventuelle kommentarer. Nemnda har etterspurt ytterligere opplysninger fra A som har gitt sin redegjørelse i e-post 18. august 2019. Google v/advokat Knut Glad har inngitt merknader i brev 11. september 2019.
Saken ble behandlet i nemndas møter 24. juni, 2. september og 14. oktober 2019. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Gisle Hannemyr, Hans Marius Graasvold, Heidi Talsethagen og Hans Marius Tessem. Nemndas sekretær, Anette Klem Funderud var også tilstede.
As syn på saken i korte trekk
Denne saken dreier seg om behandling av sensitive personopplysninger jf. personopplysningsloven § 2 nr. 8. Datatilsynet har forutsatt at interesseavveiningen er lik – og vurderingskriteriene de samme – uavhengig av om man legger til grunn at behandlingsgrunnlaget for sensitive personopplysninger er hjemlet i personopplysningsloven § 9 eller § 8 f.
Det følger av dom C-131/12 fra EU-domstolen av 13. mai 2014 (Google Spain og Google) og guiden fra Artikkel 29-gruppen at Datatilsynet skal gjøre konkrete vurderinger fra sak til sak. Datatilsynet har basert sin skjønnsvurdering på uriktige forutsetninger, vedtaket fremstår urimelig og medfører en forskjellsbehandling. Vedtaket er i strid med læren som setter krav til forholdsmessighet ved forvaltningsvedtak etter norsk rett. Disse forholdene har virket bestemmende for vedtakets innhold og vedtaket må derfor omgjøres.
Det følger av kriterium nr. 4 fra Artikkel 29-gruppen at det er av betydning for den interesseavveiningen som skal gjøres om opplysningene som fremkommer i de aktuelle artiklene er uriktige. Datatilsynet har uriktig lagt til grunn at det ikke er noen holdepunkter for at avisenes fremstilling er uriktig.
I artikkelen:
[…]
publisert i DN.no 14. februar 2013, og oppdatert 11. februar 2014, etter at dommen var rettskraftig, beskrives for eksempel et forhold han ble frifunnet for. Det er også andre eksempler på uriktige beskrivelser.
Sammen med informasjon om at han er dømt i en straffesak - som i seg selv er en stor nok belastning - er det også publisert feilaktigheter om As rolle i saken. Dette er blitt en uoverkommelig belastning knyttet til hans stadige forsøk på å komme seg tilbake i inntektsgivende arbeid.
I kriterium nr. 5 fra Artikkel 29-gruppen er det av betydning for interesseavveiningen om opplysningene er relevante i relasjon til yrkeslivet til den personen opplysningene gjelder. A arbeider ikke lenger som advokat og søker nå andre ordinære juristjobber. De krav og regler som gjelder for å praktisere som advokat er helt spesielle, strengere og av en annen karakter enn de krav man må oppfylle for å bli ansatt som jurist i en virksomhet. Det kan derfor heller ikke – slik Datatilsynet gjør i sitt vedtak – legges til grunn for interesseavveiningen, at det å arbeide som jurist innebærer de samme krav som knytter seg til det å drive advokatpraksis. De opplysningene som fremkommer i søketreffene er ikke lenger relevante og Googles begrunnelse for å nekte sletting av søketreff er ikke treffende og bærer preg av å være en «standardbegrunnelse».
Det har vist seg svært vanskelig å komme tilbake i inntektsgivende arbeid som følge av at de aktuelle artiklene dukker opp ved søk på hans navn. Han får avslag på stillinger som innehar juridisk arbeid fordi potensielle arbeidsgivere googler navnet i ansettelsesprosessen. Han har derfor ulønnet praksisplass i eiendomsutviklingsbransjen, og mottar støtte fra NAV. Dette representerer en stor belastning for han.
Koblingen mellom hans navn og søketreffene på Google oppleves som en «livstidsdom» som hindrer ham i å legge saken bak seg, leve et normalt liv og komme ut i arbeidslivet for å kunne forsørge seg og sine. Belastningen dette påfører han, overstiger allmennhetens interesse i å få informasjon om ham. Behandlingen av hans personopplysninger er av den grunn uforholdsmessig. A har gjort opp for seg ved å sone sin dom og skal i tråd med strafferettens grunnleggende motiv ha en mulighet for rehabilitering og tilbakeføring i samfunnet.
Sletting av søketreff vil bare medføre at informasjonen ikke lenger dukker opp ved søk på hans navn. Linken vil dukke opp ved bruk av andre relevante søkeord, for eksempel om sakens tema. Allmenhetens krav på å kunne gjøre seg kjent med den aktuelle informasjonen, om det legges til grunn at den fortsatt er relevant, vil derfor fortsatt være oppfylt, men mer proporsjonalt og i balanse med hensynet til vernet av sensitive personopplysninger i denne konkrete saken.
As rolle i saken tilsier at søketreffene kan slettes. Han var ingen hovedmann, men ble brukt og lurt på lik linje med flere andre denne hovedmannen hadde med å gjøre.
Tidsmomentet er av betydning og det vil gjennomgående være slik at informasjon som ble publisert for 15 år siden er mindre relevant enn informasjon som ble publisert for ett år siden. Hvor man skal sette skjæringstidspunktet for når informasjonen ikke lenger anses for å være i allmenhetens interesse, beror på den konkrete sakens faktum. Det er over seks år siden rettsaken ble avviklet og det eldste forholdet han ble dømt for er over 14 år gammelt.
I PVN 2015-06 heter det at:
«Selv om saken er alvorlig vil imidlertid individet ha rett til å bli glemt etter en viss tid, typisk når straffen er sonet og individet er resosialisert i samfunnet.»
Den saken gjaldt omtalen av et drap og det var åtte år siden drapet fant sted da saken ble behandlet av Personvernnemnda. Det utslagsgivende for at Datatilsynet i den saken kom til at artiklene fortsatt hadde offentlig interesse og derfor ikke kunne slettes, var blant annet at klager fortsatt var under tvungent psykisk helsevern og at dette var en del av statens reaksjon på handlingen som var utført. Det ble som en del av denne begrunnelsen også vist til at saken hadde relevans i forbindelse med norsk asylpolitikk.
Om ikke de ovennevnte feil og uklarheter enkeltvis fører til at Datatilsynets vedtak omgjøres, må feilene og uklarhetene i alle fall samlet sett medføre en omgjøring.
Googles syn på saken i korte trekk
Google er enig med utfallet av Datatilsynets analyse i saken, og støtter at de aktuelle søketreffene ikke burde besluttes fjernet.
Google er enig med og støtter Datatilsynets uttalelse angående behandlingsgrunnlag for behandling av sensitive personopplysninger hvor Datatilsynet legger til grunn at det er riktig å benytte personopplysningsloven § 8 bokstav f i saker om fjerning av søketreff, også når det gjelder sensitive opplysninger. Dette samsvarer også med det Artikkel 29-gruppen uttaler i sin publiserte veiledning, hvor det fremgår tydelig at personopplysningenes sensitivitet er et element som skal vurderes i interesseavveiningen.
Lovligheten av tilnærmingen over støttes av hvordan «retten til å bli glemt» har blitt implementert i GDPR. Artikkel 9 nr. 2 bokstav g og artikkel 17 bekrefter at det skal gjennomføres en interesseavveining. Artikkel 9 ekskluderer automatisk fjerning av søketreff og gir et uttrykkelig unntak fra forbudet mot å behandle sensitive personopplysninger «av hensyn til viktige allmenne interesser». Artikkel 17 om retten til sletting og retten til å bli glemt angir unntak når behandlingen er begrunnet i «tungtveiende berettigede grunner», «nødvendig for å utøve retten til ytrings- og informasjonsfrihet» eller til og med for «arkivformål i allmennhetens interesse». EU-retten krever følgelig at disse interessene og frihetene tas til vurdering.
Saken har frem til nå blitt vurdert under personopplysningsloven 2000. Google anser at Datatilsynets argumenter og analyse også vil gjøre seg gjeldende under personopplysningsloven 2018, dersom Personvernnemnda skulle komme til at dette er korrekt lovgrunnlag. Til støtte for dette bemerker Google at bestemmelsene om behandlingsgrunnlag har blitt videreført i personopplysningsloven 2018. For eksempel er behandling av informasjon som nevnt i GDPR artikkel 10 uttrykkelig regulert i § 11 i personopplysningsloven 2018.
EU-domstolen har til behandling en sak av betydning for nemndas vurdering. Den 24. september 2019 vil EU-domstolen (sak C-136/17) avgjøre følgende spørsmål:
«Must Article 8 (5) of Directive 95/46 be interpreted as meaning that information relating to the investigation of an individual or reporting a trial and the resulting conviction and sentencing constitutes data relating to offences and to criminal convictions? More generally, does a web page comprising data referring to the convictions of or legal proceedings involving a natural person fall within the ambit of those provisions? »
EU-domstolens avgjørelse kan være særlig relevant for den foreliggende saken til Personvernnemnda. For å sikre samsvar mellom Personvernnemndas beslutning og avgjørelsen i EU-domstolen, anbefales det at Personvernnemnda avventer sin beslutning inntil en avgjørelse foreligger i EU-domstolen.
Datatilsynets vurdering
Datatilsynet har vurdert saken etter personopplysningsloven 2000 og har tatt utgangspunkt i at lovlig behandling av personopplysninger forutsetter at Google har et behandlingsgrunnlag, jf. § 11 bokstav a, jf. § 8. Foreligger det ikke behandlingsgrunnlag, skal søketreffet som utgangspunkt slettes, jf. personopplysningsloven 2000 § 27. Datatilsynet har videre lagt til grunn at det aktuelle behandlingsgrunnlaget for indeksering av søketreff er personopplysningsloven 2000 § 8 bokstav f.
Bestemmelsen gir anvisning på en konkret interesseavveining, en såkalt balansetest. Interessen til søkemotoren og tredjepersoner som personopplysningene skal utleveres til skal veies opp mot personvernet til den registrerte. Datatilsynet kan bare pålegge sletting av søketreffet dersom hensynet til den registrertes personvern veier tyngst.
I Google Spain og Google uttaler EU-domstolen at hensynet til den registrerte som hovedregel veier tyngst dersom vedkommende aktivt ber om at søketreffet ikke dukker opp ved søk på navnet. EU-domstolen viser til den registrertes innsigelsesrett mot behandling av personopplysninger, forankret i personverndirektivet artikkel 14 bokstav a. Bestemmelsen er ikke direkte innlemmet i personopplysningsloven 2000, men Datatilsynet tolker forarbeidene til personopplysningsloven 2000 slik at manglende implementering ikke er ment å frata den registrerte rettigheter etter direktivet, jf. Ot.prp. nr. 92 (1998–1999) punkt 5.4.1.5, jf. punkt 5.4.1.3.
Selv om hovedregelen er at hensynet til den registrerte veier tyngst, uttaler EU-domstolen at interesseavveiningen kan slå annerledes ut dersom den registrerte har hatt en rolle i det offentlige liv som tilsier at personverninteressen må vike for allmenhetens interesse i å finne søketreffet ved navnesøk. Personopplysningenes karakter og sensitivitet har også betydning i interesseavveiningen.
Artikkel 29-guppen, en europeisk arbeidsgruppe som arbeider med å tolke personverndirektivet, har utarbeidet retningslinjer for hvordan innholdet i Google Spain og Google skal implementeres i de europeiske landene, jf. 14/EN WP 225. Gruppen har laget og publisert en liste med 13 kriterier som er relevante når datatilsynsmyndighetene vurderer et krav om sletting av søketreff. Arbeidsgruppens uttalelse har stor juridisk vekt for tolkningen av avgjørelser fra EU-domstolen og tolkningen av personverndirektivet. Datatilsynet har i behandlingen av denne saken derfor sett hen til disse kriteriene.
Personvernnemnda har lagt til grunn at søkemotorer bare kan behandle søketreff som inneholder sensitive personopplysninger dersom det foreligger et behandlingsgrunnlag i personopplysningsloven § 9, jf. PVN-2016-10.
Personvernnemnda og Datatilsynet er enig i at retten til sletting av sensitive søketreff beror på en interesseavveining mellom ytrings- og informasjonsfrihet og personvern. Datatilsynet mener likevel det er riktig å benytte personopplysningsloven 2000 § 8 bokstav f i saker om fjerning av søketreff som omhandler sensitive opplysninger. Hensynene som personopplysningsloven § 9 beskytter blir ikke tilsidesatt selv om behandlingsgrunnlaget er personopplysningsloven 2000 § 8 bokstav f. Personopplysningenes sensitivitet er et moment som kan tale for at den registrerte har rett til å kreve sletting av søketreffet, jf. Artikkel 29-gruppens momenter. Beskyttelseshensynene som ligger bak personopplysningsloven 2000 § 9 gjør seg derfor indirekte gjeldende i vurderingen i personopplysningsloven 2000 § 8 bokstav f i saker om fjerning av søketreff som omhandler sensitive opplysninger.
Uavhengig av behandlingsgrunnlag, er derfor interesseavveiningen lik og vurderingskriteriene de samme.
Datatilsynet har i denne saken foretatt en interesseavveining mellom allmennhetens rett til å finne informasjon om straffesaken og As rett til å motsette seg at slik informasjon er tilgjengelig fra søkemotorene ved navnesøk, i tråd med de retningslinjene som er utarbeidet av Artikkel 29-gruppen.
Datatilsynet har behandlet flere saker som gjelder søketreff om straffbare forhold. En sammenlignbar sak omhandlet en finansmanns underslag i egen virksomhet på 1990-tallet. Finansmannens sak fikk mye oppmerksomhet i nyhetsmedier på nett. Datatilsynet avslo kravet i saken fordi den omhandlet finansmannens yrkesliv, og at han fremdeles hadde økonomisk ansvar i hans nåværende yrke selv om han ikke lenger jobbet i samme bransje. Saken var i tillegg av alvorlig og særegen karakter.
I nærværende sak er forbrytelsen også av alvorlig karakter, og saken er ikke særlig gammel. Datatilsynet har fått opplyst at A avsluttet soningen i 2014. Dette betyr at A til en viss grad må tåle at saken er tilgjengelig for allmennheten, og at han ikke kan ha en berettiget forventning om hemmelighold. Søketreffene omhandler dessuten hans opptreden som advokat, og ikke som privatperson. Dette taler også mot fjerning av søketreff. Selv om A ikke lenger arbeider som advokat, er han etter hva han selv har opplyst på søken etter arbeid av juridisk karakter. Arbeid som jurist er nært tilknyttet arbeidet som advokat, og krever et betydelig ansvar og tillit på lik linje med advokatbransjen. Tilsynet kan derfor ikke se at søketreffene om straffesaken er irrelevante eller utdaterte på nåværende tidspunkt.
Det har også betydning om opplysningene er korrekte, men Datatilsynet har ingen holdepunkter for at avisenes fremstilling av saken er uriktig. A har ikke fremlagt informasjon eller dokumentasjon som viser at innholdet i søketreffet er feil, annet enn konkrete påstander. I denne typen saker er det den registrerte som har bevisbyrden dersom han eller hun påstår at den publiserte informasjonen er feil, jf. Artikkel 29-gruppens kriterium nr. 4. A har ikke sannsynliggjort sine påstander på en slik måte at tilsynet kan legge dem til grunn. Dersom A mener at informasjonen er uriktig eller misvisende er det mulig å ta opp saken med Pressens Faglige Utvalg.
Etter Datatilsynets vurdering er belastningen for A ikke stor nok til at søketreffene kan fjernes. As rolle i saken, selv om han ikke var hovedmann, og sakens tema, tilsier at saken fremdeles har offentlig interesse. Det at saken ligger såpass nært i tid tilsier at søketreffene om straffesaken som omtales i avisartiklene ikke er irrelevante eller utdaterte.
Datatilsynet har derfor etter en konkret interesseavveining kommet til at A ikke kan få medhold i kravet om sletting av søketreffene.
Personvernnemndas vurdering
Personvernnemnda skal ta stilling til om Google skal pålegges å fjerne de aktuelle søketreffene på As navn knyttet til straffesaken mot ham i 2013/2014.
Som det framgår av redegjørelsen ovenfor, ble denne saken innledet med As anmodning 30. mai 2017 til Datatilsynet om fjerning av nærmere angitte søketreff. Datatilsynet avslo anmodningen i vedtak 3. oktober 2017. Vedtaket ble påklaget senere samme måned og utdypet med en mer detaljert begrunnelse 22. desember 2017. Tilsynet fant ikke grunnlag for omgjøring. Nemnda mottok saken først 7. mars 2019, dvs. nesten ett og et halvt år etter at A klaget på Datatilsynets vedtak. En så lang saksbehandlingstid etter at et vedtak er truffet og påklaget bidrar til at retten til å bli glemt langt på vei mister sin realitet. Dette er alvorlig, og nemnda vil derfor anmode tilsynet om å gjennomgå sine saksbehandlingsrutiner for å sikre at slike forsinkelser unngås.
Nemnda går så over til å si noe om hvilken lov som kommer til anvendelse.
Ny lov om behandling av personopplysninger (personopplysningsloven 2018) trådte i kraft 20. juli 2018. Samtidig ble EUs personvernforordning 679/2016 av 27. april 2016 (GDPR eller forordningen) en del av norsk rett. Fra samme tidspunkt ble personopplysningsloven 2000 opphevet.
Datatilsynet traff sitt vedtak 3. oktober 2017 etter personopplysningsloven 2000. Ved oversendelse av saken til Personvernnemnda i mars 2019 vurderte Datatilsynet at lovendringene i 2018 ikke ville ha noen betydning for sakens utfall idet de relevante materielle reglene er videreført i personopplysningsloven 2018 og GDPR. Ved gjennomgang av saken, før oversendelse til nemnda, har tilsynet fortsatt anvendt personopplysningsloven 2000.
Nemnda vil i henhold til klare uttalelser i forarbeidene og fast etablert praksis, behandle saken etter personopplysningsloven 2018 og GDPR.
Personvernnemnda legger til grunn at den behandlingen av personopplysninger som skjer når en søkemotor samler inn opplysninger og presenterer søketreff for allmenheten omfattes av personopplysningsloven 2018, jf. GDPR artikkel 4 nr. 2 og nr. 7. At søkemotortilbyderen behandler personopplysninger og må regnes som behandlingsansvarlig, er også blitt lagt til grunn av EU-domstolen, både i Google Spain og Google og i dom C-136/17 av 24. september 2019 (G.C. & Others v CNIL). I den sistnevnte dommen uttales følgende i avsnitt 35:
«I denne henseende bemærkes for det første, at en søgemaskines aktivitet, der består i at finde oplysninger, der er offentliggjort eller lagt på internettet af tredjemand, indeksere disse automatisk, lagre dem midlertidigt og sluttelig gøre dem tilgængelige for internetbrugerne i en vis prioriteret orden, skal kvalificeres som »behandling af personoplysninger« som omhandlet i artikel 2, litra b), i direktiv 95/46, når oplysningerne indeholder personoplysninger, og for det andet skal udbyderen af denne søgemaskine anses for at være »registeransvarlig« som omhandlet i direktivets artikel 2, litra d) ...»
Selv om begge disse dommene direkte avklarer forståelsen av EUs personopplysningsdirektiv (direktiv 95/46) er dommene også relevante for tolkningen av GDPR. Dette har sammenheng med at bestemmelsene i forordningen om hva som utgjør behandling av personopplysninger og hvem som er å anse som behandlingsansvarlig er en videreføring av bestemmelsene i direktivet.
I Google Spain og Google påpeker EU-domstolen at søkemotortilbyderens behandling av personopplysninger adskiller seg fra, og representerer noe i tillegg til den behandling som gjøres av den som publiserer internettsider (avsnitt 35). Videre fremheves det som sentralt i denne vurderingen at søkemotortilbyderen spiller en vesentlig rolle i formidlingen av informasjon som er publisert på Internett (avsnitt 36), samt at organiseringen og sammenstillingen av slik informasjon gjør det mulig å få en strukturert oversikt over all informasjon om et enkeltindivid som er publisert (avsnitt 37). Disse utgangspunktene gjentas i G.C. & Others v CNIL (avsnitt 36).
I samsvar med dette påpeker EU-domstolen i Google Spain og Google at utfallet av interesseavveiningen som artikkel 7 bokstav f i direktivet gir anvisning på, også kan være et annet for søkemotortilbyderen enn for den som publiserer internettsidene. Dels kan dette skyldes at interessene som begrunner behandlingen av personopplysningene kan være forskjellige, og dels kan det skyldes at konsekvensene av databehandlingen vil være forskjellige (avsnitt 86). EU-domstolen slo i Google Spain og Google fast at den som tilbyr søkemotortjenester kan ha en plikt til å slette et søketreff etter anmodning fra den søketreffet gjelder, selv om utgiveren av internettsiden har behandlingsgrunnlag for å publisere opplysningene på sin nettside (avsnitt 88). Dette standpunktet videreføres i G.C. & Others v CNIL (avsnitt 52).
De opplysningene som søketreffet ledet til i Google Spain og Google-dommen var personopplysninger, men de var ikke sensitive etter definisjonen i direktiv 95/46 artikkel 8. Spørsmålet om sletteplikt måtte da avgjøres etter en interesseavveining med grunnlag i direktiv 95/46 artikkel 7 bokstav f. Vår sak gjelder personopplysninger om straffedommer og lovovertredelser. Dette er opplysninger som nå omfattes av GDPR artikkel 10. Rettstilstanden for søketreff som leder frem til nettsider med slike opplysninger, kan derfor ikke utledes direkte fra Google Spain og Google-dommen. Her vil derimot G.C. & Others v CNIL gi den nødvendige avklaring av de rettslige utgangspunktene.
GDPR artikkel 10 slår fast et forbud mot behandling av personopplysninger om straffedommer og lovovertredelser. EU-domstolen legger til grunn at søkemotortilbydere i utgangspunktet er omfattet av det forbud og de restriksjoner for behandling av slike personopplysninger som framgår av artikkel 10 (avsnitt 42).
Domstolen viser deretter til at det heller ikke finnes andre bestemmelser i forordningen som åpner for at søkemotortilbydere unntas fra det forbud og de restriksjoner som er nedfelt i GDPR artikkel 10 (avsnitt 43). Og i avsnitt 44 poengteres det at:
«Endelig ville en fortolkning af artikel 8, stk. 1 og 5, i direktiv 95/46 eller af artikel 9, stk.1, og artikel 10 i forordning 2016/679, som a priori og generelt udelukker en søgemaskines aktivitet fra de særlige krav, der er fastsat i disse bestemmelser for behandlingen af de heri omhandlede særlige kategorier af personoplysninger, være i strid med disse bestemmelsers formål, der består i at sikre en øget beskyttelse mod sådanne behandlinger, der som følge af disse oplysningers særligt følsomme karakter, således som det ligeledes fremgår af 33. betragtning til dette direktiv og af 51. betragtning til denne forordning, kan udgøre et særligt alvorligt indgreb i de grundlæggende rettigheder til respekt for privatliv og beskyttelse af personoplysninger, der er sikret ved chartrets artikel 7 og 8.»
Domstolen tar likevel forbehold om at forbudet og restriksjonene som følger av GDPR artikkel 10 må tolkes i lys av de særlige forhold som gjør seg gjeldende for søkemotortilbydernes behandling av personopplysninger (avsnitt 45 og 46), og at pliktene som kan utledes av denne bestemmelsen må fastlegges innenfor søkemotortilbyderens ansvar, kompetanse og muligheter (avsnitt 47 og 48). I avsnitt 56 i generaladvokatens uttalelse - som EU-domstolen sluttet seg til - ble det lagt til grunn at søkemotortilbyderen derfor vil ha en plikt etter GDPR artikkel 10 til å foreta en «efterfølgende kontrol på grundlag af en anmodning om fjernelse af links fremsat af den registrerede.» Det samme standpunktet er også lagt til grunn av EU-domstolen i Google Spain og Google (avsnitt 38 og 83).
Selv om GDPR artikkel 10 slår fast et forbud mot behandling av personopplysninger om straffedommer og lovovertredelser, åpnes det likevel opp for at det i «unionsretten eller medlemsstatenes nasjonale rett som sikrer nødvendige garantier for de registrertes rettigheter og friheter» kan etableres grunnlag for behandling av slike opplysninger.
Nemnda har kommet til at det ikke er nødvendig å ta særskilt stilling til om det finnes grunnlag for den behandling av personopplysninger som søkemotortilbyderen foretar i denne saken, og støtter seg her på uttalelser fra EU-domstolen i G.C. & Others v. CNIL. I avsnitt 75 uttaler nemlig domstolen at søkemotortilbyderen:
«…selv i det tilfælde, hvor behandlingen af oplysningerne i artikel 8, stk. 5, i direktiv 95/46 og i artikel 10 i forordning 2016/679 ikke opfylder restriktionerne heri eller de øvrige lovlighedsbetingelser såsom de i direktivets artikel 6, stk. 1, litra c)-e), og forordningens artikel 5, stk. 1, litra c)-e), opstillede, stadig ud fra de vigtige samfundsmæssige interesser i artikel 8, stk. 4, i nævnte direktiv eller artikel 9, stk. 2, litra g), i nævnte forordning og under overholdelse af de heri fastsatte betingelser prøve, om medtagelsen af et link til den pågældende webside på resultatlisten, som vises efter en søgning på den registreredes navn, er nødvendig for, at de internetbrugere, som potentielt kunne være interesserede i at få adgang til denne webside ved en sådan søgning, kan udøve deres ret til informationsfrihed, som er beskyttet i henhold til chartrets artikel 11.»
Selv om behandlingen av personopplysninger om straffedommer og lovovertredelser ikke oppfyller vilkårene for behandling som er nedfelt i GDPR artikkel 10, er det altså ikke dermed sagt at den registrerte uten videre må gis medhold i sitt krav om fjerning av søketreffet. EU-domstolen legger opp til at dette spørsmålet må avgjøres på grunnlag av en interesseavveining (en nødvendighetsvurdering) der hensynet til personvernet skal avveies mot hensynet til informasjonsfriheten. Personvernet er forankret i EMK artikkel 8 og i EU-charteret artiklene 7 og 8, mens ytringsfriheten (herunder informasjonsfriheten) er forankret i EMK artikkel 10 og EU-charteret artikkel 11.
Den samme tilnærmingsmåten kommer til uttrykk i GDPR artikkel 17, som i nr. 1 slår fast en rett til sletting dersom et av de alternative vilkårene i bokstav a til f er oppfylte. Ett av disse alternative vilkårene er at «personopplysningene er blitt behandlet ulovlig» (bokstav d), for eksempel at det mangler behandlingsgrunnlag. Retten til sletting er ikke unntaksfri, og av GDPR artikkel 17 nr. 3 bokstav a følger det at det skal gjøres en interesseavveining:
«Nr. 1 og 2 får ikke anvendelse dersom nevnte behandling er nødvendig ... for å utøve retten til ytrings- og informasjonsfrihet, ...»
GDPR artikkel 17 nr. 3 anerkjenner med andre ord en begrensning i retten til å få slettet personopplysninger av hensyn til ytrings- og informasjonsfriheten, selv om behandlingen f.eks. mangler behandlingsgrunnlag. At spørsmålet om sletting av søketreff må avgjøres på grunnlag av en interesseavveining, har derfor støtte både i praksis fra EU-domstolen og i den tilnærmingsmåten som er nedfelt i GDPR artikkel 17.
Artikkel 29-gruppen utarbeidet retningslinjer for hvordan innholdet i Google Spain og Google-dommen skulle implementeres i de europeiske landene, jf. 14/EN WP 225. Gruppen utarbeidet en liste med 13 kriterier som ble brukt når de nasjonale tilsynsmyndighetene avgjorde krav om sletting av søketreff. Artikkel 29-gruppen er nå erstattet av Personvernrådet, jf. GDPR artikkel 94, jf. artikkel 68, som EU-kommisjonens rådgivende organ for personvernspørsmål.
Artikkel 29-gruppens liste over 13 kriterier lyder slik:
- Does the search result relate to a natural person - i.e. an individual? And does the search result come up against a search on the data subject's name?
- Does the data subject play a role in public life? Is the data subject a public figure?
- Is the data subject a minor?
- Is the data accurate?
- Is the data relevant and not excessive?
- Does the data relate to the working life of the data subject?
- Does the search result link to information which allegedly constitutes hate speech/slander/libel or similar offences in the area of expression against the complainant
- Is it clear that the data reflect an individual's personal opinion or does it appear to be verified fact?
- Is the information sensitive within the meaning of Article 8 of the Directive 95/46/EC?
- Is the data up to date? Is the data being made available for longer than is necessary for the purpose of the processing?
- Is the data processing causing prejudice to the data subject? Does the data have a disproportionately negative privacy impact on the data subject?
- Does the search result link to information that puts the data subject at risk?
- In what context was the information published?
- Was the content voluntarily made public by the data subject?
- Was the content intended to be made public? Could the data subject have reasonably known that the content would be made public?
- Was the original content published in the context of journalistic purposes?
- Does the publisher of the data have a legal power - or a legal obligation - to make the personal data publicly available?
- Does the data relate to a criminal offence?
Det understrekes av gruppen selv at «no single criterion is, in itself, determinative», og videre at «the list of criteria is non-exhaustive and will evolve over time». Foranlediget av Datatilsynets uttrykte oppfatning om at disse retningslinjene har «stor juridisk vekt», vil nemnda minne om at retningslinjene har sitt utspring i de klagesakene nasjonale tilsynsmyndigheter mottok i tiden etter at i Google Spain og Google-dommen var avsagt:
«A first analysis of the complaints so far received from data subjects whose de-listing requests were refused by the search engines, has enabled DPAs to establish a list of common criteria to be used by them to evaluate whether data protection law has been complied with.»
Det ligger i dette at listen inneholder de momentene nasjonale tilsynsmyndigheter har vurdert i sine avgjørelser, og retningslinjene har således mye til felles med forvaltningspraksis som rettskilde. Det må dessuten tas i betraktning at retningslinjene ble vedtatt i november 2014, altså bare seks måneder etter at Google Spain og Google-dommen ble avsagt. Erfaringsmaterialet som ligger til grunn for retningslinjene er med andre ord nokså begrenset. Samlet sett tilsier dette varsomhet med å legge altfor stor vekt på retningslinjene. Artikkel 29-gruppen har også selv forutsatt at listen over kriterier «will evolve over time, building on the experience of DPAs». Etter nemndas oppfatning er det altså ikke grunnlag for å mene at retningslinjene har stor juridisk vekt.
Nemnda finner her grunn til å vise til at heller ikke EU-domstolen bygger interesseavveiningen i G.C. & Others v NCIL på Artikkel 29-gruppens retningslinjer. Domstolen nøyer seg i avsnitt 66 med å konstatere at det skal foretas en interesseavveining og gir en nokså løselig anvisning på hvilke momenter som skal inngå i denne avveiningen:
«Under alle omstændigheder skal søgemaskineudbyderen, når denne forelægges en anmodning om fjernelse, ud fra de vigtige samfundsmæssige interesser i artikel 8, stk. 4, i direktiv 95/46 eller artikel 9, stk.2, litra g), i forordning 2016/679 og under overholdelse af de heri fastsatte betingelser prøve, om medtagelsen af et link til den pågældende webside på resultatlisten, som vises efter en søgning på den registreredes navn, er nødvendig for, at de internetbrugere, som potentielt kunne være interesserede i at få adgang til denne webside ved en sådan søgning, kan udøve deres ret til informationsfrihed, som er beskyttet i henhold til chartrets artikel 11. Selv om rettighederne for den registrerede, der er beskyttet ved chartrets artikel 7 og 8, generelt vejer tungest i forhold til internetbrugernes informationsfrihed, kan denne afvejning dog i særlige tilfælde afhænge af den pågældende oplysnings art, og hvor følsom den er for den registreredes privatliv, samt offentlighedens interesse i at råde over denne oplysning, hvilket bl.a. kan variere, alt efter hvilken rolle denne person har i det offentlige liv (jf. i denne retning dom af 13.5.2014, Google Spain og Google, C-131/12, EU:C:2014:317, præmis 81).»
Nemnda ser det likevel slik at retningslinjene fra Artikkel 29-gruppen spiller en viss rolle i den interesseavveiningen som skal foretas. De kan likevel bare vektlegges så langt de har relevans for den aktuelle saken, og en nærmest mekanisk anvendelse av alle 13 kriteriene ved avgjørelsen av saker om sletting av søketreff innebærer en risiko for at man taper den overordnede interesseavveiningen av syne. Nemnda antar at noen av kriteriene med fordel kan vurderes under ett fordi det er nære bånd mellom dem, og samlet sett sammenfaller retningslinjene i det vesentlige med de momentene som EMD bygger sine avgjørelser på i saker om avveiningen mellom ytringsfriheten og kolliderende rettigheter.
Nemnda har festet seg ved at EU-domstolen i Google Spain og Google-dommen legger til grunn at det i interesseavveiningen gjelder en presumsjon («those rights override, as a rule») for at den registrerte har rett til å få søketreffet slettet, med mindre særlige hensyn gjør seg gjeldende. Dette utgangpunktet må etter nemndas vurdering stå enda sterkere når det dreier seg om sensitive opplysninger som er omfattet av GDPR artikkel 10. EU-domstolen har påpekt det samme i avsnitt 67 i G.C. & Others v NCIL:
«Hertil kommer den omstændighed, at i det tilfælde, hvor behandlingen vedrører de særlige kategorier af oplysninger i artikel 8, stk.1 og 5, i direktiv 95/46 eller i artikel 9, stk. 1, og artikel 10 i forordning 2016/679, vil indgrebet i den registreredes grundlæggende rettigheder til privatlivets fred og beskyttelsen af personoplysninger som anført i nærværende doms præmis 44 kunne være særligt alvorligt på grund af disse oplysningers følsomme karakter.»
Nemnda finner også grunn til å minne om at sletting av søketreff fra en søkemotor ikke handler om å fjerne informasjon fra Internett som sådan. All informasjon vil fremdeles være tilgjengelig på de opprinnelige nettstedene, for eksempel avisers og andre massemediers nettsteder, og på disse nettstedene vil informasjonen fortsatt også dukke opp ved navnesøk. Videre vil informasjonen være tilgjengelig fra søkemotorer, men da må det brukes andre søkeord enn personnavn, for eksempel sakens tema. Et pålegg om sletting av søketreff kan derfor ikke sies å være et særlig intensivt inngrep i ytringsfriheten (informasjonsfriheten).
Med dette som et bakteppe, går nemnda nå over til selve interesseavveiningen.
Er opplysningene av offentlig interesse (herunder fortsatt relevante) og gjelder de en person som spiller en rolle i offentligheten?
Dette vurderingstemaet knytter seg til Artikkel 29-gruppens kriterier nr. 2 og nr. 5. Søketreffene leder til opplysninger om en advokat som er dømt for grove bedragerier. Advokater er en yrkesgruppe som er sentral for rettspleien i samfunnet og det er uten tvil relevant og har allmenn offentlig interesse når personer innenfor denne yrkesgruppen domfelles for alvorlig kriminalitet. Dette tilsier i utgangspunktet at også interessen i å ha informasjonen søkbar gjennom en søkemotor og på den måten gjøre informasjonen lettere tilgjengelig for Internettbrukere bør være godt vernet.
Nemnda vil imidlertid understreke at sletting av søketreff hos en søkemotor ikke har noen innvirkning for medienes løpende nyhetsdekning, og at et eventuelt pålegg om sletting ikke vil ha som konsekvens at de aktuelle artiklene ikke lenger er tilgjengelig gjennom søk i nettarkivene til de ulike nyhetsmediene. Nemnda antar at det finnes andre personer, med viktigere roller innenfor det offentlige liv enn advokater, hvor det i lengre tid vil være en sterk interesse for å ha informasjonen om dem lett tilgjengelig. Når det gjelder omtalen av straffbare handlinger begått av en advokat vil den offentlige interessen for dette klart svekkes over tid. Nemnda vil her framheve at det finnes egne tilsyns- og disiplinærsystemer for advokater, som har til oppgave å sikre at de som har advokatbevilling er skikket til denne jobben. Hensynet til det rettssøkende publikum ivaretas med andre ord ikke bare gjennom at opplysninger som i foreliggende sak er lett tilgjengelige i offentligheten.
I tillegg kommer at det nå er over seks år siden A ble dømt, og de straffbare forholdene han ble dømt for, ble begått i en periode fra 8 til 14 år siden. Straffen er ferdig sonet for lenge siden, og personer som har sonet sin straff må gis en mulighet for å legge fortiden bak seg. Den lange tiden som er gått, det faktum at han ikke lenger praktiserer som advokat, samt at han ble vurdert å ha en mindre rolle i bedrageriene uten oversikt over det totale bildet, er forhold som alle trekker i retning av at søketreffene nå skal slettes.
Er opplysningene korrekte og oppdaterte?
Dette vurderingstemaet dekker Artikkel 29-gruppens kriterier nr. 4 og 7. Det følger av GDPR artikkel 5 nr. 1 bokstav d at personopplysninger skal «være korrekte og om nødvendig oppdaterte». De artiklene som dukker opp ved søk på As navn er blant annet henholdsvis en artikkel i nettutgaven av Dagens Næringsliv hvor en dom mot hovedmannen […] omtales, men hvor også As navn nevnes, samt en artikkel i E24.no hvor Oslo tingretts dom mot A omtales.
I en annen artikkel i DN.no omtaler tiltalen fra Økokrim mot A og omfatter forhold A senere ble frifunnet for. Dette gjelder blant annet antall tilfeller av grovt bedrageri og bedrageriets omfang. Nemnda legger til grunn at artikkelen inneholder personopplysninger om A som ikke er korrekte og nødvendig oppdaterte, jf. GDPR artikkel 5 nr. 1 bokstav d. Dette er ikke et forhold som medfører at søketreffet uten videre skal slettes, jf. G.C. & Others v NCIL, avsnitt 78 og 79, men det er utvilsomt et moment som vil tale i den retning.
De to publiserte artiklene i DN.no og E24.no har en korrekt gjengivelse av saksforholdet og dommen mot A. At A er uenig i domfellelsen og mener at retten har tatt feil, kan etter nemndas vurdering ikke tillegges vekt. Hensynet til korrekte og oppdaterte opplysninger er derfor ikke et forhold som tilsier at søketreffene til disse to artiklene skal slettes.
Er opplysningene sensitive eller på annen måte belastende?
Dette vurderingstemaet omhandler Artikkel 29-gruppens kriterier nr. 6, 8 og 13. Opplysningene søketreffene leder til omfattes av GDPR artikkel 10 som i utgangspunktet setter forbud mot behandling av personopplysninger om straffedommer og lovovertredelser. Dette er et forhold som i utgangspunktet tilsier at søketreffet skal slettes, jf. G.C. & Others v CNIL avsnitt 67.
A har også vist til at søketreffet oppleves svært belastende og at det er vanskelig for han å få fast arbeid som følge av dette. Nemnda er usikker på om sletting av søketreff ved søk på hans navn er avgjørende for dette spørsmålet, eller om ikke hans forhistorie vil hefte ved han i mange sammenhenger uavhengig av den behandling av personopplysningene som foretas av søkemotortilbyderen. Det er imidlertid uttrykkelig sagt av EU-domstolen i Google Spain og Google at retten til å bli glemt ikke er betinget av at de aktuelle personopplysningene har medført negative konsekvenser («prejudice») for den registrerte. Dette er også klargjort i Artikkel 29-gruppens retningslinjer:
«There is no obligation for the data subject to demonstrate prejudice in order to request de-listing, in other words prejudice is not a condition for exercising the right recognized by the CJEU. However, where there is evidence that the availability of a search result is causing prejudice to the data subject, this would be a factor in favour of de-listing.»
Det er med andre ord ikke en forutsetning for sletting av søketreffene at behandlingen av de aktuelle personopplysningene har hatt negative konsekvenser for den registrerte eller hans familie. Dersom det er tilstrekkelige holdepunkter for slike konsekvenser, vil det klart nok være et moment som trekker i retning av at den registrerte skal gis medhold i kravet om sletting. For spørsmålet om hvilke konsekvenser behandlingen faktisk har hatt, må det kunne legges til grunn en mer objektiv vurdering basert på sakens faktum. Nemnda anser det som sannsynlig at A i ulike sammenhenger har blitt konfrontert med de opplysningene som fremkommer av gamle nyhetsartikler ved søk på hans navn, og at han opplever dette som en stor belastning. Det må videre antas at denne belastningen vil bli redusert dersom søketreffene slettes slik at artiklene blir mindre tilgjengelige på nettet. Dette trekker i retning av at søketreffene skal slettes.
I hvilken sammenheng ble opplysningene opprinnelig publisert?
Dette vurderingsmomentet dekker artikkel 29-gruppens kriterier nr. 10 og 11. De opprinnelige opplysningene ble publisert som nyhetsartikler i blant annet DN.no og E24.no og omtaler As rolle i et større sakskompleks hvor flere personer deltok i omfattende bedragerier overfor banker og finansieringsinstitusjoner. A hadde all grunn til å forvente at dette var et forhold som ville få mediedekning og som ville bli omtalt i offentligheten. Selve publiseringen skjedde i journalistisk øyemed og faller inn under personopplysningsloven 2018 § 3. Selv om søkemotorenes behandling av personopplysninger adskiller seg fra og representerer noe i tillegg til den behandling av personopplysninger som gjøres av den som publiserer en nyhetsartikkel på en internettside, så vil det forhold at den opprinnelige publiseringen er skjedd i journalistisk øyemed være et moment som tilsier at søketreffet ikke skal slettes. Hvor sterkt dette hensynet gjøre seg gjeldende, vil imidlertid avhenge av en rekke ulike forhold, jf. gjennomgangen ovenfor med hensyn til hvor lang tid som er gått siden publiseringen, om de publiserte opplysningene er korrekte og oppdaterte, osv.
Samlet vurdering
Som redegjort for ovenfor, vil ikke enkeltkriterier i seg selv kunne være avgjørende. Vekten av det enkelte kriterium vil også variere ut fra faktumet i den aktuelle saken. Det må derfor foretas en samlet vurdering av alle de momentene som inngår i interesseavveiningen.
Nemnda er kommet til at A skal gis medhold i sitt krav om sletting av søketreff. Nemnda har lagt avgjørende vekt på at det er gått lang tid siden A begikk de straffbare handlingene han ble dømt for (8–14 år siden), og videre at det er lenge siden domfellelsen (seks år). A praktiserer ikke lenger som advokat. Han ble vurdert å ha en mindre rolle i bedrageriene, uten oversikt over det totale bildet. A opplever søketreff til de publiserte opplysningene svært belastende. Det er videre vektlagt at det dreier seg om opplysninger som er omfattet av GDPR artikkel 10.
As rett til privatliv og rett til å få sine personopplysninger beskyttet, herunder retten til å bli glemt er veid opp mot ytringsfriheten til de som publiserer informasjonen på Internett, deres interesse i å ha informasjonen søkbar gjennom Google og andre søkemotorer, samt informasjonsfriheten til Internettbrukere og deres interesse i å finne nyttig informasjon ved bruk av søkemotorer. Nemnda er kommet til at As interesse i dette tilfellet veier tyngst.
Vedtaket er enstemmig.
Særmerknad fra medlemmet Gisle Hannemyr:
Verken generaladvokat Szpunar i sin rådgivende uttalelse i saken G.C. & Others v CNIL i EU-domstolen (C 136/17), EU-domstolens avgjørelse i samme sak, eller personvernnemnda i den foreliggende sak, drøfter hvilke behandlinger som faktisk gjøres av en søkemotor. For å kunne avgjøre hvilke behandlinger som må vurderes i forhold til GDPR, må man først ha oversikt over hvilke behandlingsaktiviteter som utføres. En slik oversikt foreligger ikke i denne sak, men innleder denne særmerknad:
En søkemotors behandling av data er basert på at en «robot» (også kalt «spider», «crawler» eller «drone») leter rundt på nettet, besøker websider og samler inn data. Når roboten kommer til en ny webside, vil den kopiere alle data som finnes på siden inn i en enorm database som er en del av søkemotoren. Summen av alle data i denne databasen utgjør det søkbare settet. Det er denne databasen som gjøres tilgjengelig for søk, og når lenker til andre nettsider refereres på søkeresultatsiden, er lenkene hentet fra denne databasen.
Punktvis kan det derfor stilles opp følgende behandlingsaktiviteter for en søkemotortilbyder:
- Robotinnsamling fra primære nettsteder.
- Lagring av innsamlede data, herunder lenker, i søkemotortilbyderens database.
- Indeksering av innsamlede data for å gjøre databasens innhold søkbart.
- Framvisning en søkeresultatside med lenker til primære nettsteder.
Slik GDPR er innrettet skal samtlige separate behandlingsaktivitetene følge prinsippene for behandling av personopplysning (artikkel 5) og behandles lovlig (artikkel 6).
I sin rådgivende uttalelse fra EUs generaladvokat Szpunar i saken G.C. & Others v CNIL i EU-domstolen (C 136/17) uttaler generaladvokat Szpunar blant annet følgende (avsnitt 55):
«I tråd hermed, og som Kommissionen har fremhævet, kan de forbud og restriktioner, der er fastlagt i artikel 8, stk. 1, i direktiv 95/46, ikke finde anvendelse på en søgemaskineudbyder, som om denne selv har offentliggjort de følsomme oplysninger på de websider, den viser links til på resultatlisten. Logisk set indtræder en søgemaskines aktivitet, først når der lægges (følsomme) oplysninger online, og er af sekundær karakter.»
Dette avsnittet slår fast at loven ikke kan gjøres gjeldende for en søkemotortilbyder før en utgiver har lagt ut data på sine websider, og at den behandling som skjer i søkemotoren er av «sekundær» karakter i forhold til den opprinnelige publisering. Dette er selvsagt korrekt.
Deretter skriver generaladvokaten i avsnitt 56:
«Følgelig kan de forbud og restriktioner, der er fastlagt i artikel 8, stk. 1, i direktiv 95/46, kun finde anvendelse på en søgemaskine på grund af denne visning af links og dermed ved hjælp af en efterfølgende kontrol på grundlag af en anmodning om fjernelse af links fremsat af den registrerede.»
Ordet «følgelig» indikerer at dette er en logisk slutning som følger av avsnitt 55.
Jeg oppfatter dette som en logisk feilslutning (også kalt en non sequitur).
Ikke noe av det som anføres i avsnitt 55 begrunner hvorfor de rettslige forpliktelser som påhviler den behandlingsansvarlige skal avgrenses til kun å finne anvendelse ved etterkontroll som følge av en anmodning av fjerning av lenker.
Siden den avgrensing i søkemotortilbyderens ansvar som postuleres i generaladvokatens avsnitt 56 ikke har en gyldig begrunnelse, mener jeg det er feil å legge til grunn at en slik avgrensing i søkemotortilbyderes ansvar har gyldig rettslig grunnlag.
EU-domstolen i saken G.C. & Others v CNIL slår bare fast (avsnitt 47) at man kan legge til grunn en slik avgrensing, uten annen begrunnelse enn en henvising til generaladvokatens feilslutning (som sitert over). Også nemnda henviser i sitt vedtak til den samme feilslutning uten å problematisere den eller stille spørsmål ved den.
Dette medlem mener at den avgrensing i søkemotorenes ansvar som postuleres er uten rettslig grunnlag i relevant lovgiving og derfor ikke kan legges til grunn for gyldig vedtak.
Vedtak
Google pålegges å slette søketreff ved søk på As navn som leder til nettsider som omtaler straffesaken mot A.
Oslo, 14. oktober 2019
Mari Bø Haugstad
Leder