Recht om vergeten te worden wordt niet strikt toegepast

Inleiding
1. Het belang van de bescherming van persoonsgegevens en de persoonlijke levenssfeer neemt alleen maar toe.[1] Het Google Spain arrest[2] is echter de eerste zaak waarin een beroep op het Hof van Justitie van de Europese Unie (hierna: het Hof) wordt gedaan om de gegevensbeschermingsrichtlijn[3] uit te leggen in de context van internetzoekmachines.[4]

Feitelijke omstandigheden
2. De feitelijke aanleiding voor de verwijzing ligt in een publicatie van krantenuitgever La Vanguardia  in 1998 met daarin twee aankondigingen van een openbare veiling van onroerend goed ter terugvordering van sociale zekerheidsschulden. De aankondigingen werden ook gepubliceerd in de online versie van de krant.[5] Mario Costeja González werd in de publicaties aangeduid als de eigenaar van het onroerend goed. Als via Google op de naam Mario Costeja González werd gezocht, dan toonde de zoekmachine links naar pagina’s van La Vanguardia.

3. Het ging in 1998 om een rechtmatige publicatie. De publicatie werd gerechtvaardigd omdat de vermelding op last van de minister had plaatsgevonden om publiciteit te verwerven om zo veel mogelijk bieders te bereiken. Vanwege de schadelijkheid voor zijn reputatie verzocht Costeja González in 2010 Google om zijn persoonsgegevens te verwijderen of te verbergen uit het online archief wanneer er op zijn naam werd gezocht. Hij stelt dat het beslag al geruime tijd volledig was afgehandeld en dat de vermelding in de zoekindex inmiddels elke relevantie verloren had. Nadat Google geen gehoor gaf aan zijn verzoek volgde een handhavingsklacht bij de AEPD, de Spaanse privacytoezichthouder. Deze oordeelde dat Google moest voldoen aan de privacywetgeving. Volgens het AEPD bestaat er voor de exploitant van de zoekmachine een rechtstreekse verplichting om persoonsgegevens te verwijderen. Google stelde tegen de beslissing van de AEDP beroep in bij de Audiencia Nacional (het hoogste gerechtshof van Spanje, hierna: Spaanse rechter). De Spaanse rechter stelde vervolgens prejudiciële vragen aan het Hof betreffende de uitleg van de Richtlijn bescherming persoonsgegevens.

Het recht om vergeten te worden
4. Van de drie categorieën prejudiciële vragen wordt in deze annotatie enkel ingegaan op de omvang van het recht op verwijdering en/of verzet tegen de verwerking van de gegevens die over een betrokkene gaan. De territoriale werkingssfeer van de richtlijn en de materiële werkingssfeer (de juridische kwalificering van de activiteit van de zoekmachine) worden hiermee buiten beschouwing gelaten.

5. Het Hof kwam in dit verband uiteindelijk tot het oordeel dat betrokkenen het recht hebben om de resultaten van een zoekopdracht op hun op hun naam te laten verwijderen, namelijk wanneer deze zoekresultaten, gelet op het geheel van de omstandigheden van het onderhavige geval, ontoereikend, niet of niet meer ter zake dienend of bovenmatig is ten aanzien van het doel van de desbetreffende verwerking door de exploitant van de zoekmachine.[6] Dit recht is bekend komen te staan als het recht om vergeten te worden (‘right to be forgotten’). Deze annotatie bespreekt drie belangrijke aspecten van het arrest, namelijk de afweging van fundamentele rechten, het niet toekennen van de artikel 9 media exceptie en het indexeren van bijzondere persoonsgegevens.

Afweging fundamentele rechten
6. De advocaat-generaal heeft er in zijn conclusie op gewezen dat de zaak aanleiding geeft voor een fundamentele afweging tussen de rechten op bescherming van het privéleven en de bescherming van persoonsgegevens (artikelen 7 en 8 Handvest voor de Grondrechten) enerzijds en het recht op vrijheid van meningsuiting (artikel 11 Handvest voor de Grondrechten) en de vrijheid van ondernemerschap (artikel 16 Handvest voor de Grondrechten) anderzijds.[7]

7. Ook het Hof meent dat gezocht moet worden naar een juist evenwicht tussen het recht op vrije meningsuiting; het legitieme belang van het publiek – internetgebruikers – en het recht op privacy van de betrokkene.[8] Desondanks stelt het Hof dat de privacy in de regel voor gaat op de andere belangen, zonder een evenwicht te zoeken.[9] Hiermee wijkt het Hof af van de jurisprudentie van het Europese Hof van de Rechten voor de mens (hierna: EHRM), waarin het EHRM stelt: ‘as a matter of principle these rights deserve equal respect.’[10] Het EHRM heeft een gedetailleerd en genuanceerd kader ontwikkeld om dergelijke afwegingen te maken.[11]

8. Het Hof bekijkt de problematiek van de verwijdering van zoekresultaten echter vanuit het oogpunt van privacybescherming. Dit levert in de argumentatie van het Hof een focus op het recht op privacy en de bescherming van persoonsgegevens op.

9. Deze houding van het Hof valt te verklaren aangezien het Hof in zijn voorafgaande jurisprudentie consequent een breed toepassingsbereik heeft gegeven aan gegevensbescherming.[12] Aan de andere kant stemmen het Hof en het EHRM al gedurende lange tijd hun rechtspraak op elkaar af en verwijzen zij naar elkaars rechtsbronnen bij het nemen van beslissingen.[13]

Geen artikel 9 media-exceptie
10. Door de zoekmachine-exploitant als verantwoordelijke te kwalificeren met betrekking tot de verwerking van persoonsgegevens op bronpagina’s van derden, draagt het Hof de exploitant de taak op om de fundamentele rechten af te wegen. Het Hof had wellicht voor een beter alternatief kunnen kiezen door de zoekmachine-exploitanten de mogelijkheid te bieden om te profiteren van de media-exceptie uit artikel 9 van de richtlijn. Artikel 9 van de richtlijn bepaalt dat lidstaten kunnen afwijken van enkele vastgestelde bepalingen voor de verwerking van persoonsgegevens voor uitsluitend journalistieke, artistieke of literaire doeleinden voor zover dit nodig blijkt om het recht op privacy te verzoenen met het recht op vrijheid van meningsuiting. Deze media-exceptie is door het Hof in de Satamedia-zaak al eerder zeer ruim uitgelegd.[14] Activiteiten zijn, volgens het Hof, journalistieke activiteiten ‘indien zij de bekendmaking aan het publiek van informatie, meningen of ideeën tot doel hebben, ongeacht het overdrachtsmedium’.[15]  De lidstaten hadden dan ook voor zoekmachine-exploitanten in uitzonderingen kunnen voorzien in hun nationale wetgeving om een balans te vinden tussen vrijheid van meningsuiting en de bescherming van persoonsgegevens.[16] Het Hof sluit dit echter uitdrukkelijk uit.[17]

Bijzondere persoonsgegevens
11. De keuze van het Hof heeft daarnaast nog een ander opmerkelijk gevolg, namelijk dat een zoekmachine-exploitant in principe uitdrukkelijke toestemming van de betrokkenen moet vragen voor het indexeren van pagina’s die bijzondere persoonsgegevens bevatten.[18] Voornamelijk om dit te voorkomen had de advocaat-generaal geadviseerd om de zoekmachine-exploitant niet te kwalificeren als een verantwoordelijke voor de verwerking van persoonsgegevens op bronpagina’s van derden.[19] Door de kwalificatie heeft een zoekmachine-exploitant na het arrest geen verwerkingsgrondslag voor het indexeren van pagina’s die bijzondere persoonsgegevens bevatten. Dit probleem wordt door het Hof echter genegeerd.[20]

Nasleep
12. Google heeft naar aanleiding van de uitspraak voor de Europese gebruikers van zijn dienst een webformulier beschikbaar gesteld met behulp waarvan een gemotiveerd verzoek tot Google kan worden gericht om zoekresultaten te verwijderen. Binnen één jaar zijn er ongeveer 250.000 verwijderingsverzoeken via dit formulier ingediend. In Nederland werden er 15.000 verwijderingsverzoeken gedaan, waarvan ruim 57 procent werd afgewezen.[21]

13. Op 18 september 2014 is voor het eerst door de Nederlandse rechter een uitspraak gedaan in een zaak tegen Google waarin bovenstaande uitspaak wordt toegepast. De Nederlandse rechter besloot het recht om vergeten te worden niet toe te wijzen aan een man die tot celstraf was veroordeeld vanwege een poging tot uitlokking van een huurmoord.[22] Ook een partner van accountantskantoor KPMG die een conflict had met zijn aannemer kreeg ditzelfde oordeel.[23]De rechter vond in beide zaken het algemeen belang van vrijheid van meningsuiting en recht op informatie zwaarder wegen dan de rechten van het individu. Daarmee kan geconcludeerd worden dat het ‘recht om vergeten te worden’, in ieder geval, door de Nederlandse rechter niet al te strikt lijkt te worden toegepast.[24] De Nederlandse rechter doet hiermee wel recht aan de jurisprudentie van het EHRM met betrekking tot de afweging van fundamentele rechten.

Blik vooruit: nieuwe AVG
14. Inmiddels is op 25 mei 2016 de Algemene Verordening Gegevensbescherming (hierna: AVG) in werking getreden en zal op 25 mei 2018 van toepassing zijn. Omdat het hier gaat om een Verordening zijn de bepalingen rechtstreeks geldig in het nationale recht van de lidstaten. Implementatie is dus niet meer vereist. Op het moment dat de AVG in werking treedt wordt dan ook de Richtlijn bescherming persoonsgegevens ingetrokken en treedt de AVG in de plaats van de wetgeving waarmee de richtlijn in het nationale recht van de lidstaten werd geïmplementeerd. Het recht op gegevenswissing is opgenomen in artikel 17 van de AVG.[25] Het derde lid van artikel 17 (‘recht op vergetelheid’) bepaalt uitdrukkelijk dat er uitzonderingen zijn op het recht op vergetelheid, onder meer voor zover verwerking nodig is voor uitoefening van het recht op vrijheid van meningsuiting en informatie.[26]De nieuwe bepaling lijkt hiermee ruimte aan de lidstaten te geven om meer gewicht toe te kennen aan de vrijheid van meningsuiting dan het Hof daar in zijn Google Spain-arrest aan toegekend heeft.

[1] Opinie A-G Jääskinen bij HvJ EU 13 mei 2014, C-131/12, ECLI:EU:C:2013:424 (Google Spain) r.o. 2.
[2] HvJ EU 13 mei 2014, C-131/12, ECLI:EU:C:2014:317 (Google Spain).
[3] Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en  betreffende het vrije verkeer van die gegevens (PbEG L281/31).
[4] Opinie A-G Jääskinen bij Google Spain (supra noot 1), r.o. 7.
[5] De originele publicatie is te vinden op de website van La Vanguardia: hemeroteca.lavanguardia.com/preview/1998/01/19/pagina-23/33842001/pdf.html.
[6] HvJ EU Google Spain(supra noot 2), r.o. 94.
[7] Opinie A-G Jääskinen bij Google Spain (supra noot 1), r.o. 134.
[8] HvJ EU Google Spain (supa noot 2), r.o. 36-38 en 80-81.
[9] HvJ EU Google Spain (supra noot 2), r.o. 100 punt 4.
[10] EHRM 7 februari 2012, appl.no. 39954/08 (Axel Springer AG/Duitsland), r.o. 87.
[11] Bijvoorbeeld: EHRM 7 februari 2012, appl.no. 39954/08 (Axel Springer AG/Duitsland); EHRM 7 februari 2012, appl.no. 40660/08 en 60641/08 (Von Hannover/Duitsland); EHRM 16 juli 2013, appl.no. 33846/07 (Wêgrzynowski en Smolczewski/Polen).
[12] Ibid.
[13] Gerards en Glas, ‘De verhouding tussen het EHRM en het HvJ EU’, Ars Aequi, juli/augustus 2012, p. 523 – 524.
[14] HvJ EG 16 december 2008, C-73/07 (Tietosuojavaltuutettu/Satakunnan Markkinapörssi Oy en Satamedia Oy).
[15] Ibid, r.o. 61.
[16] Kulk en Borgesius, ‘De implicaties van het Google Spain-arrest voor de vrijheid van meningsuiting’, NJCM-Bulletin, 2015-1,  p. 8-12.
[17] HvJ EUGoogle Spain(supra noot 2), par. 85.
[18] Artikel 8 lid 1 Richtlijn bescherming persoonsgegevens.
[19] Opinie A-G Jääskinen bij Google Spain (supra noot 1), r.o. 90.
[20] Kulk en Borgesius, De implicaties van het Google Spain-arrest voor de vrijheid van meningsuiting, NJCM-Bulletin, 2015-1,  p. 13-14.
[21] Trouw, 14 mei 2015, te raadplegen via: http://www.trouw.nl/tr/nl/5133/Media-technologie/article/detail/4019395/2015/05/14/Google-veegt-uw-lei-niet-snel-schoon.dhtml.
[22] Rb. Amsterdam 18 september 2014, ECLI:NL:RBAMS:2014:6118.
[23] Rb. Amsterdam, 12 februari 2015, ECLI:NL:RBAMS:2015:716.
[24] Borgesius, Freedom of Expression and ‘Right to Be Forgotten’ Cases in the Netherlands after Google Spain, European Data Protection Law Review, 2015-2, p. 113-125.
[25] Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van de Richtlijn 95/46/EG (algemene verordening gegevensbescherming).
[26] H. de Vries en M. Goudsmit, ‘Voorsorteren op de Algemene Verordening Gegevensbescherming’, NJB 31 mei 2016, p. 6-7.