Google har som rutin att informera webbansvariga när en sökträff har tagits bort från listan över sökresultat i enlighet med ”rätten att bli bortglömd”.
Kammarrätten anser att detta inte är tillåtet enligt dataskyddsförordningen (GDPR).
Målet handlar om ”rätten att bli bortglömd” och Googles rutiner i samband med att en enskild person begär att få en eller flera länkar till webbsidor med personuppgifter raderade från den lista över sökresultat som visas vid en sökning på personens namn.
EU-domstolen har i en dom den 13 maj 2014 uttalat att en sökmotors verksamhet – som består i att lokalisera information som har publicerats eller lagts ut på internet av tredje män, indexera den på automatisk väg, lagra den tillfälligt och slutligen ställa den till förfogande för internetanvändare enligt en viss prioriteringsordning – ska anses utgöra ”behandling av personuppgifter” i den mening som avses i direktiv 95/46/EG (dataskyddsdirektivet) när informationen innehåller personuppgifter, och att sökmotorleverantören ska anses vara ”registeransvarig” för nämnda behandling av personuppgifter.
I maj 2015 inledde Datainspektionen ett tillsynsärende mot Google Inc., numera Google LCC. Granskningen gällde Googles generella hantering av en enskilds begäran om att vissa sökträffar inte ska visas vid en sökning på dennes namn på Googles söktjänster. Granskningen omfattade även specifika klagomål som kommit in till Datainspektionen från personer som menade att Google felaktigt avslagit deras begäran om borttagande.
Datainspektionen kritisk
Den 25 maj 2018 trädde förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (dataskyddsförordningen) i kraft, kanske mer känd som GDPR.
Genom förordningen kodifierades den rätt att bli bortglömd som slagits fast av EU-domstolen i Google Spain och Google. Bestämmelser om rätt till radering (“rätten att bli bortglömd”) återfinns numera i artikel 17 i dataskyddsförordningen. Den registrerade ska under vissa angivna förutsättningar ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få sina personuppgifter raderade, det gäller bland annat om personuppgifterna inte längre är nödvändiga för de ändamål för vilka de samlats in eller på annat sätt behandlats.
I juni 2018 inledde Datainspektionen ett tillsynsärende mot Google efter att ha funnit att sökträffar från två klagande fortfarande visades vid sökning på de enskilda personernas namn trots att de tidigare begärt att bli bortglömda. Ärendet avslutades genom att Datainspektionen fattade det nu aktuella beslutet att Google ska betala en administrativ sanktionsavgift på 75 miljoner kronor. Dessutom förelades Google att dels upphöra att lämna viss vilseledande information till enskilda i sitt webbformulär för begäran om borttagande, dels upphöra att informera webbansvariga efter att en sådan begäran har beviljats av Google.
Inte försumbar risk
Google yrkade i Förvaltningsrätten i Stockholm att Datainspektionens beslut om sanktionsavgift i första hand ska upphävas, i andra hand att sanktionsavgiften ska sänkas. Google anser att informationen till webbansvariga är nödvändig för ändamål som rör sökmotorleverantörers, webbansvarigas och internetanvändares grundläggande rätt till yttrande- och informationsfrihet.
Frågan är om Googles rutin, att regelmässigt informera webbansvariga om att Google har tagit bort en webbadress till följd av en begäran från en enskild, innebär att Google behandlar personuppgifter i strid med artikel 5.1 b och artikel 6 dataskyddsförordningen.
Förvaltningsrätten kom fram till att det inte krävs att namnet på personen framgår av meddelandet från Google för att personen ska kunna identifieras av den webbansvarige. Den information som framgår är tillräcklig och risken för identifiering kan inte anses vara försumbar.
Grundar sig inte på enskildas samtycke
Använde Google personuppgifterna med stöd av samtycke? Förvaltningsrätten fann att den behandling av personuppgifter som sker då Google skickar meddelanden till webbansvariga inte grundar sig på den enskildes samtycke. Den enskilde har visserligen informerats om att information kan komma att skickas till den webbansvarige och genom att kryssa i en ruta godkänt detta. Av Googles webbformulär framgår emellertid att enskilda som begär borttagning inte har möjlighet att lämna ett separat samtycke för den behandling som avser information till webbansvariga. En enskild är tvärtom tvungen att godkänna behandlingen för att Google över huvud taget ska ta ställning till begäran om borttagning. Det samtycke som en enskild lämnar i fråga om information till webbansvariga kan därmed inte anses vara frivilligt lämnat i den mening som avses i dataskyddsförordningen.
Förvaltningsrätten fann att den administrativa sanktionsavgiften skulle bestämmas till sammanlagt 52 miljoner kronor, varav 2 miljoner avser klagomål 2 och 50 miljoner kronor avser meddelanden till webbansvariga och information till enskilda.
Sänker sanktionsavgiften till 50 miljoner
Kammarrätten i Göteborg konstaterar att rätten att bli bortglömd innebär att en enskild person har rätt att få en eller flera länkar till webbsidor med personuppgifter raderade från den lista över sökresultat som visas vid en sökning på personens namn.
Kammarrätten anser vidare att Googles rutin att regelmässigt informera webbansvariga om att sökträffar har tagits bort utgör en behandling av personuppgifter som inte är förenlig med dataskyddsförordningen.
Kammarrätten finner dock att Google har tagit bort enskilda sökträffar utan onödigt dröjsmål. Kammarrätten sänker därför sanktionsavgiften med ytterligare 2 miljoner kronor, i förhållande till förvaltningsrättens dom, till sammanlagt 50 miljoner kronor. (Blendow Lexnova)
