Eens gepost, altijd online?
De Spaanse Autoriteit Persoonsgegevens heeft in mei 2022 een boete van
€ 10.000.000 opgelegd aan Google voor het onrechtmatig doorgeven van persoonsgegevens aan een derde partij en het belemmeren van de uitoefening van het recht om vergeten te worden.
Het recht om vergeten te worden op Google
Voordat we ingaan op de concrete feiten van deze zaak is het belangrijk om even teruggrijpen naar de eerdere problemen rond het recht om vergeten te worden op Google.
In 2014, nog voor de inwerkingtreding van de GDPR, heeft het Europees Hof van Justitie zich uitgesproken over het recht om vergeten te worden.
In het Arrest Google Spain (HvJ EU 13 mei 2014, zaak C-131/12 ging het om een geschil tussen Mario Costeja González en Google.
De klacht van de heer Costeja González vloeide voort uit het feit dat indien er op de naam González werd gegoogled zoekresultaten verschenen over de openbare verkoop van gebouwen van de betrokkenen in het kader van een beslag ter terugvordering van socialezekerheidsschulden. De veiling dateerde echter al van vele jaren daarvoor.
Het Europees Hof van Justitie oordeelde in deze zaak dat de activiteiten van een zoekmachine als Google aangemerkt moeten worden als verwerken in de zin van de oude privacyrichtlijn.
Dit komt erop neer dat Google steeds een rechtmatige grondslag voor de verwerking van deze persoonsgegevens dient te hebben, waarbij het privacybelang van de aanvrager en het belang van het recht op vrijheid van meningsuiting en recht op informatie tegen elkaar dienen te worden afgewogen.
Concreet kreeg in deze zaak het recht op privacy van de heer Costeja González voorrang op het eventueel economisch belang van Google én op het belang van het publiek om informatie te verkrijgen.
Het google/spanje arrest en de GDPR
Het recht om vergeten te worden werd voor het eerste erkend in het Google/Spanje arrest.
Bij de inwerkingtreding van de GDPR werd dit beginsel expleciet als recht neergelegd.
Artikel 17 van de GDPR bepaald dat er een aantal gevallen zijn waarin bedrijven zoals Google uw gegevens moeten wissen als u hierom verzoekt, concreet kan dit wanneer:
- uw persoonsgegevens niet langer nodig zijn;
- u uw toestemming intrekt;
- u bezwaar maakt tegen de verwerking van uw gegevens ;
- de persoonsgegevens onrechtmatig zijn verwerkt, of
- je jonger bent dan 16 jaar en de persoonsgegevens zijn verkregen bij het gebruik van een online dienst.
Dit verzoek kan geweigerd worden wanneer de verwerking van uw persoonsgegevens noodzakelijk is:
- voor het uitoefenen van het recht op vrijheid van meningsuiting en het recht op informatie;
- voor het naleven van een wet waarvoor het noodzakelijk is dat gegevens worden verwerkt of voor het vervullen van een taak van algemeen belang of het uitoefenen van het openbaar gezag;
- voor redenen van algemeen belang op het gebied van volksgezondheid;
- voor wetenschappelijk of historisch onderzoek of voor statistische doeleinden;
- voor de instelling, uitoefening of onderbouwing van een rechtsvordering.
Waarom kreeg Google in 2022 een boete van de Spaanse autoriteit gegevensbescherming?
In 2018 ontving de Spaanse gegevensbeschermingsautoriteit een klacht die twijfel deed ontstaan over de vraag of Google, als verwerkingsverantwoordelijke, de verzoeken om inhoud ( in het kader van het recht om vergeten te worden) op een juridisch correcte manier te verwijderen, afhandelde.
Men beschuldigde Google ervan dat ze onrechtmatige kopieën van verwijderingsverzoeken van gebruikers naar een derde partij (het “Lumen-project”) stuurde.
Het Lumen-project een in de VS gevestigd academisch project van het Berkman Klein Center for Internet & Society aan de Harvard University, dat tot doel heeft juridische verzoeken voor het verwijderen van online-informatie te verzamelen en te bestuderen. Dit doen ze door een database met verwijderingsverzoeken voor content aan te leggen.
Conclusie
Google heeft reeds meerdere malen het recht om vergeten te worden geschonden, dit zowel voor als na de inwerkingtreding van de GDPR.
Het wordt hoog tijd dat Google zowel het recht om vergeten te worden als de GDPR serieus gaan nemen.
De huidige werkwijze van Google kan leiden tot zeer onaangename gevolgen, denk aan ongepaste foto’s die als eerste hit bovenkomen als uw aanstaande werkgever uw naam op Google intypt, of bepaalde informatie waarvan u niet wilt dat het nog steeds met uw geassocieerd wordt.
Een strenge handhaving van de GDPR zou erin kunnen bijdragen bedrijven als Google aan te moedigen om haar praktijken te verbeten.
