Становище на КЗЛД по Решение на Съда на ЕС от 13.05.2014 г. по дело С-131/12

ОТНОСНО: Решение на Съда на ЕС от 13.05.2014г. по дело С-131/12

Комисията за защита на личните данни (КЗЛД) в състав: Председател: Венцислав Караджов и членове: Цанко Цолов, Цветелин Софрониев, Мария Матева и Веселин Целков на заседание, проведено на 06.08.2014г., разгледа преписка с вх.№С-400/ 01.08.2014г. във връзка с решението на Съда на ЕС от 13.05.2014г. по дело С-131/12.

На 5 март 2010г. испанският гражданин г-н Costeja González подава жалба пред испанския надзорен орган- Испанската Агенция за защита на данните (AEPD – Agencia Española de Protección de Datos)срещу La Vanguardia Ediciones SL, като издател на всекидневник с голям тираж в Каталония (Испания), както и срещу Google Spain и Google Inc. В жалбата се посочва, че при изписването на името на г-н Costeja González в интернет търсачката на Google (наричана за по-кратко в решението Google Search), се получава връзка към две страници на всекидневника, съответно от две различни дати, съдържащи обява, в която е посочено името на жалбоподателя във връзка с продажба на недвижимо имущество на търг по повод възбрана, наложена за събиране на вземания в областта на социалното осигуряване.

С жалбата си г-н González отправя следните искания:

1. Да се разпореди наLa Vanguardia да премахне посочените страници или да измени съдържанието им, по начин, който не позволява личните данни на лицето да се появяват в тях, или да използва някои от предоставените от интернет търсачките средства за защита на тези данни.

2. Да се разпореди на Google Spain илина Google Inc. да заличи или да скрие тези лични данни, така че те да не се появяват повече в резултатите от търсенето и да не се съдържат във връзките към La Vanguardia.

В контекста на направените искания г-н González уточнява, че във връзка с наложената му възбрана, той е вече изпълнил изцяло задълженията си и поради това посочването ѝ било напълно ирелевантно.

Испанската агенция за защита на данните, със свое решение от 30 юли 2010г.:

1. Отхвърля жалбата в частта ѝ, отнасяща се до всекидневника. Приема, че публикацията в него е правно обоснована, тъй като е по разпореждане на Министерството на труда и социалните въпроси с цел оповестяване в най-широка степен публичния търг и привличане на възможно най-голям брой участници в него.

2. Уважава жалбата в частта ѝ срещу Google Spain и Google Inc., като приема, че спрямо лицата, които управляват интернет търсачките, се прилага законодателството в областта на защитата на данните, тъй като извършват обработване на данните, за които носят отговорност. Като се основава на собствените си правомощия, Испанската Агенция за защита на данните разпорежда да се изтегли информация и да се забрани достъп до някои данни от лицата, които управляват интернет търсачки, в случай, че местонахождението или разпространяването на тези данни може да засегне основното право на защита на данните или достойнството на лицата, както и самото желание на заинтересованото лице тези данни да бъдат известни на трети лица. AEPD приема, че това задължение може да се носи пряко от лицата, които управляват интернет търсачки, без да е необходимо да се заличават данните или информацията от интернет сайта, в който се съдържат, по-специално когато запазването на тази информация на същия сайт е обосновано по силата на законова разпоредба.

Google Spain и Google Inc., поотделно, подават жалби пред Върховния съд на Испания (Audiencia Nacional) срещу посоченото решение на AEPD. Съдът съединява образуваните по жалбите дела и счита, че пред него се повдигат въпроси, зависещи от тълкуването на Директива 95/46 в контекста на нови интернет технологии, които са се появили след публикуването ѝ. Поради това, Audiencia Nacional решава да спре производството и да постави пред Съда на ЕС преюдициални въпроси.

След като излага своите съображения, Съдът на ЕС се произнася с решение, според което:

1. Дейността на интернет търсачка, изразяваща се в намиране на публикувана или въведена в интернет от трети лица информация, автоматичното ѝ индексиране, временно съхраняване и накрая, предоставянето ѝ на разположение на потребителите на интернет в определен ред на предпочитание, се определя като „обработване на лични данни“ по смисъла на член 2, буква б) от Директива 95/46, когато тази информация съдържа лични данни, и от друга страна, лицето, което управлява интернет търсачката, трябва да се счита за „администратор“ по смисъла на член 2, буква г) от Директива 95/46.

2. Обработване на лични данни се извършва в контекста на дейностите на установен на територията на държава членка обект на администратора по смисъла на чл.4, параграф 1, буква а) от Директива 95/46, когато лицето, което управлява интернет търсачка, създава в държава членка клон или дъщерно дружество, чието предназначение е да осигури рекламирането и продажбата на рекламните пространства, предлагани от търсачката, и чиято дейност е насочена към жителите на тази държава членка.

3. Лицето, което управлява интернет търсачка, е длъжно да заличи от списъка на резултатите, който се показва след търсене въз основа на име на лице, връзки към уебстраници, които са публикувани от трети лица и съдържат информация относно последното, също и в хипотезата, в която това име или тази информация не са заличени предварително или едновременно от тези уебстраници, при това дори когато евентуално самото им публикуване на посочените страници е законосъобразно.

4. При преценката на условията за прилагане на чл.12, буква б) и чл.14, първа алинея, буква а) от Директива 95/46, следва по-специално да се провери дали съответното лице има право въпросната информация, отнасяща се до него, да не се свързва повече с името му към настоящия момент посредством списък на резултатите, който се показва след търсене въз основа на неговото име, без обаче констатацията за наличие на такова право да предполага, че включването на въпросната информация в този списък причинява вреда на лицето. Тъй като с оглед на основните си права по членове 7 и 8 от Хартата съответното лице може да поиска въпросната информация да не се предоставя повече на разположение на широката общественост посредством включването ѝ в подобен списък на резултатите, тези права имат по принцип предимство не само пред икономическия интерес на лицето, което управлява интернет търсачката, но и пред интереса на тази общественост да има достъп до посочената информация при търсене, отнасящо се до името на въпросното лице. Такъв не би бил случаят обаче, ако по конкретни причини, като ролята на посоченото лице в обществения живот, е видно, че вмешателството в неговите основни права е обосновано поради приоритетния интерес на посочената общественост да има вследствие на това включване достъп до въпросната информация.

След като Съдът приема, че лицето, което управлява интернет търсачката, е администратор по смисъла на директивата, тъй като само определя целите и средствата на обработването, то трябва да гарантира в рамките на своята отговорност и компетентност, че извършва своята дейност в съответствие с изискванията на директивата. Следва да се отбележи също така, че информацията, която може да се получи от списъка с резултатите, се отнася до различни аспекти от личния живот на едно лице. В тази връзка потребителите могат да си изградят в различна степен профил на лицата, за които е направено търсенето, като последиците от такова вмешателство в личния живот да се окажат сериозни.

В своето решение Съдът приема, че трябва да се търси баланс между законния интерес на потребителите в интернет да търсят и получават достъп до въпросната информация, от една страна, и основните права на конкретно лице, по отношение зачитане правото му на личен живот и правото на защита на неговите лични данни, от друга. По принцип превес имат правата на съответното лице, но преценката в различните случаи следва да отчита естеството на информацията, чувствителността ѝ по отношение на конкретното лице, интереса в зависимост от ролята на лицето в обществения живот.

С решението си Съда на ЕС отговаря на въпроса дали директивата (95/46) позволява едно лице да поиска връзките към уебстраници да бъдат заличени от списъка с резултатите, тъй като то желае съдържащата се в тях информация за него да бъде „забравена“. Посочва се, че ако вследствие на депозирано искане, направено от съответното лице, се установи, че съдържащата се във връзките информация е несъвместима с принципите, заложени в директивата, то те трябва да бъдат изтрити. При преценката по подобно искане, лицето, което управлява интернет търсачката трябва да провери дали засегнатото лице има правно основание да иска това и да заличи от списъка съответната информация и/или връзки. В случай, че не са налице конкретни причини и ролята на лицето в обществения живот обосновава приоритетен интерес на обществеността, т.нар. търсачка може да откаже изтриването на въпросната информация.

С оглед на изложената по-горе информация, решението на Съда на ЕС от 13.05.2014г. създаде възможност за реализация на правото на достъп и заличаване от страна на заинтересовано физическо лице по отношение на компаниите, предлагащи услугата търсене в интернет (т. н. търсачки), като потвърди, че те попадат в обхвата на понятието администратор на лични данни. Решението още веднъж утвърждава високите стандарти за защита, достигнати с действащата директива, на която се основава. То може да се възприеме като основа за изключително важен напредък по отношение защитата на личното пространство.

Друга теза е, че по този начин се създава възможност за цензура и ограничаване на информация, която е от обществен интерес. Поради сложността на разглежданите проблеми и търсенето на баланс е необходимо и по-детайлно нормативно уреждане, предвидено с предложението за нов Общ регламент за защита на данните.

Важността на разглежданите въпроси се свързва и с една от най-важните промени по отношение на правата на гражданите, които са залегнали в модернизиращото се законодателство на европейско ниво,свързани с регламентирането на правото "да бъдеш забравен". Това право дава възможност, когато лицето не желае данните му да бъдат обработвани и не съществуват законни основания за тяхното съхранение, те да бъдат заличавани. Предлага се въвеждането на изрично, ясно, недвусмислено съгласие за обработване на лични данни, което впоследствие се отразява на по-лесното прехвърляне на лични данни от един администратор на друг.

Ефектът, който се очаква от тази регламентация, се свързва с по-лесен достъп на лицата до техни собствени лични данни. От друга страна се улеснява и възможността за контрол върху собствени лични данни.

В своята практика Комисията за защита на личните данни винаги е търсила справедливото равновесие между правото на личен живот и обществения интерес. Наличието на надделяващ обществен интерес по смисъла на Закона за достъп до обществена информация (ЗДОИ), също се отчита като причина да се прилага по-занижена степен на защита по отношение на определени със закон категории физически лица. Към настоящия момент, Комисията за защита на личните данни, както и българския съд са обвързани с направеното тълкуване и са длъжни да се произнасят по конкретно възникнали спорове в съответствие с постановеното Решение на ЕС от 13 май 2014г.

С Решението на Съда на ЕС се уточнява, че всяко лице може да отправи искане пряко към лицето, което управлява интернет търсачката (като администратор), което от своя страна е длъжно да го разгледа надлежно и да прецени основателността му. За да предприеме изтриване, показваните резултати трябва да са „неточни, неподходящи, вече неактуални или прекомерни по отношение на целите, за които са били обработени“.

Всеки потребител на услугата търсене в Google, например, което счете, че негови лични данни се обработват от лицето, което управлява търсачката, така че списъкът с резултатите съдържа връзки с информация, която е неточна, неподходяща, вече неактуална или прекомерна по отношение на целите, за които е била обработена, има възможност да попълни заявление на следния адрес:

Следва да се отбележи, че в резултат на удовлетворяване на искането от страна на „търсачката“ ще бъдат изтрити връзките към конкретни сайтове, но не и наличната във въпросните сайтове информация.

В случай, че администраторът не уважи искането, засегнатото лице има възможност да сезира с него националния надзорен орган или компетентния съд с цел извършване на проверка и предприемане на съответните мерки.

В духа на разглежданото решение, обаче, следва да се отбележи, че лицата, администриращи отделните сайтове, към които „търсачката“ прави връзки, също са администратори на лични данни. Упражнявайки правото на достъп по смисъла на чл.12 от Директива 95/46, всяко лице може да се обърне към тях и да поиска да бъде коригирана или изтрита информация, публикувана и разпространена от тях без правно основание. В този смисъл, много добре трябва да се прецени наличието на правно основание – то може да съществува за един администратор, но за друг- да е абсолютно неприложимо с оглед целите, които преследва.

Правото на достъп и правото на коригиране и изтриване са въведени в българското законодателство с чл.26-28а от Закона за защита на личните данни. Съгласно чл.26, ал.1 от ЗЗЛД всяко физическо лице има право на достъп до отнасящи се за него лични данни. Разпоредбата на чл.28, ал.1 от ЗЗЛД посочва, че упражнявайки това право, лицето може по всяко време да поиска от администратора на лични данни:

1. потвърждение за това, дали отнасящи се до него данни се обработват, информация за целите на това обработване, за категориите данни и за получателите или категориите получатели, на които данните се разкриват;

2. съобщение до него в разбираема форма, съдържащо личните му данни, които се обработват, както и всяка налична информация за техния източник;

3. информация за логиката на всяко автоматизирано обработване на лични данни, отнасящи се до него, поне в случаите на автоматизирани решения по чл.34б.

Други права на лицата в същия контекст са разписани в чл.28а. Съгласно неговата разпоредба физическото лице има право по всяко време да поиска от администратора да:

1. заличи, коригира или блокира негови лични данни, обработването на които не отговаря на изискванията на този закон;

2. уведоми третите лица, на които са били разкрити личните му данни, за всяко заличаване, коригиране или блокиране, извършено в съответствие с т.1, с изключение на случаите, когато това е невъзможно или е свързано с прекомерни усилия.

В посочените случаи администраторът на лични данни или изрично оправомощено от него лице разглежда заявлението и се произнася или предприема съответните мерки или отказва исканите действия в 14-дневен срок от неговото подаване.

В случай, че по преценка на физическото лице личните му данни се обработват в нарушение на ЗЗЛД, то има следните възможности:

1. Да сезира Комисията за защита на личните данни – чл.38, ал.1 от ЗЗЛД в едногодишен срок от узнаване на нарушението, но не по-късно от пет години от извършването му.

2. Да обжалва действията на администратора пред съответния административен съд или пред Върховния административен съд по общите правила за подсъдност и при условията на чл.39, ал.1 и ал.4 от ЗЗЛД.

С оглед изложеното по-горе лицата, чиито права и интереси са засегнати, имат различни възможности по отношение на различните администратори, предлагащи услугата търсене в зависимост от тяхното местоустановяване. Такива са изводите на Съда на ЕС, посочени в Решението от 13.05.2014г.. Съществен момент в Решението е, че с него се потвърждава приложимостта на Директива 95/46/ЕО по отношение на „търсачките“, които осъществяват дейността си или част от нея по обработване на лични данни на територията на страна членка на ЕС. В тази връзка трябва да се направи уточнение по отношение действието на ЗЗЛД, транспониращ Директивата и правомощията на КЗЛД във връзка с него. Съгласно чл.1, ал.4 ЗЗЛД се прилага за обработването на лични данни, когато администраторът на лични данни:

1. е установен на територията на Република България и обработва лични данни във връзка със своята дейност;

2. не е установен на територията на Република България, но е задължен да прилага този закон по силата на международното публично право;

3. не е установен на територията на държава- членка на Европейския съюз, както и в друга държава- членка на Европейското икономическо пространство, но за целите на обработването използва средства, разположени на българска територия, освен когато тези средства се използват само за транзитни цели; в този случай администраторът трябва да посочи представител, установен на територията на Република България, без това да го освобождава от отговорност.

Описаният по-горе ред за упражняване на разглежданите права е приложим по отношение на администраторите, посочени в чл.1, ал.4 от ЗЗЛД. Във всички останали случаи, субектите на данни – български граждани, могат да се обърнат с искане към съответните администратори и в случай, че получат отказ, могат да сезират КЗЛД за съдействие. Следва да се отбележи, че в такива случаи, КЗЛД няма да е компетентна да предприеме правнообвързващи действия и мерки. Нейното съдействие може да се изрази в препращане на искането за разглеждане от компетентен надзорен орган в страна-членка на ЕС по линия на международното сътрудничество. В друг случай може да се наложи искането да се препрати до компетентния орган в страна с одобрено адекватно ниво на защита с решение на Европейската комисия.

В хода на разглеждането на предложението за становище, госпожа Мария Матева – член на КЗЛД, изрази особено мнение, както следва:

„Изразявам съгласие с обстоятелствената част, но считам, че в изводите е допуснат съществен пропуск за възможността на всяко лице да се обърне към КЗЛД, не в рамките на обжалване действията на администратор на лични данни, но и като директно поиска от Комисията, като надзорен орган, да задължи съответния администратор с всяко едно искане, което лицето би могло да отправи към този администратор. Това произтича от правомощието на КЗЛД, регламентирано с разпоредбата на чл.10, ал.1, т.5 от ЗЗЛД. Това правомощие е съвсем различно от правомощието по чл.10, ал.1, т.7 от ЗЗЛД, касаещо производствата по жалби срещу актове и действия на администраторите.

За разлика от Испанското законодателство в областта на защитата на личните данни, ЗЗЛД не съдържа разпоредба, задължаваща физическите лица първо да се обърнат с искане към администратора на лични данни и чак след това да могат да обжалват действията на същия пред надзорния орган. Такава процедура българският закон предвижда само и единствено при осъществяване правата на достъп на физическите лица до личните им данни, обработвани от администраторите.

Ето защо, при анализа на цитираното в становището съдебно решение и при съответните изводи от този анализ, следва да се отчита разликата в националните ни законодателства. Считам, че не следва да се дерогира правомощието на КЗЛД, дадено й по силата на чл.10, ал.1, т.5 от ЗЗЛД.

Становището на КЗЛД следва да отразява факта, че решенията на Съда в Люксембург и Съда в Страсбург са задължителни по отношение на целия Европейски съюз и представляват т.нар. вътрешно право на Съюза. Ето защо, без да се транспонира на национално ниво, тяхното приложение е задължително във всички страни членки на ЕС.

Предвид гореизложеното, считам, че изводите в становището са непълни и неотговарящи на законовите правомощия на КЗЛД, съгласно действащото ни законодателство и следва да бъдат допълнени в горния смисъл.“

Във връзка с горното и на основание чл.10, ал.1, т.4 от Закона за защита на личните данни,Комисията за защита на лични данни изразява следното

1. Всяко физическо лице може да отправи искане пряко към лицето, управляващо определена търсачка, спрямо което е приложим българския Закон за защита на личните данни на основание чл.1, ал.4,с което да поиска връзките към уебстраници, съдържащи информация за него, да бъдат заличени от списъка с резултатите, който се генерира в резултат на търсенето. В случай, че исканото заличаване не бъде уважено, заинтересованото лице може да обжалва този отказ пред Комисията за защита на личните данни.

В случаите, посочени в чл.1, ал.4 от ЗЗЛД, когато намери искането за заличаване за основателно Комисията за защита на личните данни може да предприеме необходимите правнообвързващи мерки по отношение на т.нар. „търсачка“ с цел изтриване на съответните връзки.

Всяко физическо лице може да обжалва действията на администратора по смисъла на чл.1, ал.4 от ЗЗЛД и директно пред съответния административен съд или пред Върховния административен съд по общите правила за подсъдност и при условията на чл.39, ал.1 и ал.4 от ЗЗЛД.

2. Извън случаите, посочени в чл.1, ал.4 от ЗЗЛД и когато администраторът, управляващ „търсачката“ е разположен на територията на ЕС или в държава, на територията, на която е налице адекватно ниво на защита на данните, Комисията за защита на личните данни може да окаже съдействие, за да бъде препратено искането до компетентния надзорен орган в съответната държава по линия на международното сътрудничество. Следва да се отбележи, че решенията на съответния компетентен надзорен орган могат да бъдат обжалвани пред съда в съответната държава.

Независимо от искането, отправено до лицето, управляващо „търсачката“ за заличаване на връзки, налични в списъка с резултатите, всяко физическо лице може да се обърне и към администратора на сайт, публикувал конкретна информация, без да има правно основание за това. В тези случаи следва да се иска заличаване на съдържание.

Особено внимание заслужава факта, че Директива 95/46/ЕО, на която се основава решението на Съда на ЕС, действа на територията на ЕС. Това е и причината, администраторите, предоставящи услугата търсене, и разположени на територията на трети държави, да не попадат в обхвата на посочените разпоредби и решението на Съда да няма правнообвързващо действие по отношение на тяхната дейност.

3. Във всички случаи упражняването на правата по защита на личните данни и неприкосновеността на личния живот не трябва да се противопоставят на правото на свободно изразяване и правото на достъп до информация. Товаса основни права и свободи по смисъла на Хартата на основните права на ЕС, които трябва да се упражняват успоредно.