13619/14 - consilium

Rada
Unii Europejskiej
Bruksela, 29 września 2014 r.
(OR. en)
13619/14
Międzyinstytucjonalny numer
referencyjny:
2012/0011 (COD)
DATAPROTECT 127
JAI 711
MI 704
DRS 118
DAPIX 132
FREMP 162
COMIX 490
CODEC 1883
NOTA
Od:
Do:
Prezydencja
Komitet Stałych Przedstawicieli / Rada
Nr poprz. dok.:
11289/1/14 REV 1 DATAPROTECT 97 JAI 562 MI 504 DRS 89 DAPIX 94
FREMP 131 COMIX 349 CODEC 1527
Dotyczy:
Wniosek w sprawie rozporządzenia Parlamentu Europejskiego i Rady
w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych
osobowych i w sprawie swobodnego przepływu takich danych (ogólne
rozporządzenie o ochronie danych) [pierwsze czytanie]
– Prawo do bycia zapomnianym a wyrok w sprawie Google – Debata
orientacyjna
1. Jednym z głównych założeń wniosku Komisji w sprawie ogólnego rozporządzenia o ochronie
danych jest przewidziane w art. 17 prawo do bycia zapomnianym i do usunięcia danych. Prawo
to opiera się na prawie do usunięcia danych osobowych i prawie do sprzeciwu wobec operacji
przetwarzania danych, które to prawa obowiązują już na mocy obecnej dyrektywy o ochronie
danych (art. 12 i 14). Wyrok w sprawie Google 1 z dnia 13 maja 2014 r. daje podmiotowi danych
możliwość skorzystania z prawa do usunięcia danych i prawa do sprzeciwu wobec
przetwarzania danych – na mocy obowiązującej dyrektywy – także wobec internetowych
administratorów danych.
1
Wyrok Trybunału z dnia 13 maja 2014 r., sprawa C-131/12.
13619/14
ds/PPA/mak
DG D 2B
1
PL
2. Na posiedzeniach w dniach 10–11 lipca i 11–12 września 2014 r. Grupa Robocza DAPIX
analizowała przepisy ogólnego rozporządzenia o ochronie danych dotyczące prawa do bycia
zapomnianym i prawa do usunięcia danych (zwłaszcza art. 17) w świetle zasad przedstawionych
przez Trybunał Sprawiedliwości Unii Europejskiej we wspomnianym wyroku.
3. Z prawa do bycia zapomnianym korzysta się, jak przewiduje art. 17, występując z wnioskiem
o usunięcie danych, gdy „nie są już potrzebne do celów, do których były zebrane lub
przetwarzane w inny sposób”. Zgodnie z zasadami przedstawionymi w wyroku w sprawie
Google Spain podmiot danych może skorzystać z tych praw względem jakiegokolwiek
administratora danych – niezależnie od tego, czy dane pochodziły bezpośrednio od podmiotu
danych czy od innego administratora danych, od tego, w jakim celu przetwarza je administrator,
oraz od tego, czy podmiot danych uprzednio skorzystał ze swojego prawa względem innego
administratora. Oczywiście, o usunięcie danych podmiot danych może wystąpić nie tylko
bezpośrednio do prywatnego administratora, lecz także za pośrednictwem organu nadzorczego
lub organu sądowego.
4. Prawo przewidziane w art. 17 projektu rozporządzenia nie jest bezwzględne; należy wyważyć je
względem konkurencyjnych praw i interesów. W wyroku Trybunał podkreślił, że w przypadku
przetwarzania, które jest niezbędne do realizacji uzasadnionych interesów administratora (co
dotyczy wyszukiwarek), należy szukać równowagi między odnośnymi przeciwstawnymi
prawami i interesami. Ponieważ skorzystanie z prawa do usunięcia danych (lub z prawa do
sprzeciwu) może wpłynąć na uzasadniony interes internautów potencjalnie zainteresowanych
dostępem do danej informacji, należy szukać równowagi zwłaszcza między tym interesem
a prawami podstawowymi przysługującymi podmiotowi danych na mocy art. 7 i 8 Karty praw
podstawowych UE. Następnie Trybunał stwierdził: „chronione na mocy tych postanowień
prawa osoby, której dotyczą dane, są również co do zasady nadrzędne wobec tego interesu
internautów, ta równowaga może jednak, w szczególnych przypadkach, zależeć od charakteru
rozpatrywanych informacji i tego, jak istotne są one dla prywatności osoby, której dane dotyczą,
oraz publicznego interesu w dysponowaniu tą informacją, który z kolei może być uzależniony
w szczególności od roli odgrywanej przez tę osobę w życiu publicznym” 2.
2
Wyrok Trybunału z dnia 13 maja 2014 r., sprawa C-131/12, pkt 81.
13619/14
ds/PPA/mak
DG D 2B
2
PL
5. W myśl wyroku, rozpatrując wniosek o usunięcie określonych danych (w przypadku
wyszukiwarki – o usunięcie ich z listy wyników wyszukiwania), administrator musi więc
oszacować – między innymi – prawa i interesy wpływające na jego własny interes (tzn.
względem celu danego przetwarzania) oraz inne prawa i interesy, w tym również interes
publiczny polegający na udostępnieniu tych danych. Tego rodzaju interes publiczny może się
wiązać z wolnością wypowiedzi w jej różnych formach (wolność pracy, wolność krytyki
politycznej itp.) – dla administratorów, którzy mogą skorzystać z tego prawa podstawowego.
W myśl art. 11 Karty wolność wypowiedzi to także „wolność posiadania poglądów oraz
otrzymywania [...] informacji i idei bez ingerencji władz publicznych i bez względu na granice
państwowe”.
6. Choć art. 11 Karty mówi o wolności wypowiedzi, a unijny ustawodawca oczywiście ma
obowiązek respektowania tego prawa podstawowego, sposób korzystania z niego jest
regulowany głównie prawem krajowym. I faktycznie sposób, w jaki uregulowana jest wolność
wypowiedzi, różni się zależnie od państwa członkowskiego. Proponowane ogólne
rozporządzenie o ochronie danych (art. 80) – podobnie jak dyrektywa o ochronie danych
z 1995 r. – zobowiązuje państwa członkowskie do zadbania, by ich prawo „godziło prawo do
ochrony danych osobowych na mocy niniejszego rozporządzenia z prawem do wolności
wypowiedzi, w tym przetwarzania danych osobowych do celów dziennikarskich oraz
artystycznych lub literackich”.
7. Podczas dyskusji na szczeblu technicznym niektóre delegacje zwracały uwagę na ryzyko, że
w trakcie poszukiwania równowagi między różnymi prawami i interesami administrator może
nadać wolności wypowiedzi i interesowi publicznemu polegającemu na dostępie do informacji
zbyt małe znaczenie, zwłaszcza gdy administratorem tym jest wyszukiwarka. Argumentowano,
że ochrona wolności wypowiedzi nie jest typowym celem działalności wyszukiwarki (ma ona
raczej charakter komercyjny), choć wiarygodność jest istotną zaletą. Dlatego prawdopodobne
jest, że przy rozpatrywaniu przez wyszukiwarki wniosków o usunięcie danych wolność
wypowiedzi będzie odgrywać niewielką rolę.
13619/14
ds/PPA/mak
DG D 2B
3
PL
8. Wniosek Komisji zobowiązuje administratorów także, by „poinformowali osoby trzecie
przetwarzające takie dane, iż podmiot danych wnioskuje o usunięcie [...] tych danych
osobowych” (art. 17 ust. 2). Obowiązek ten jest niezbędny, gdyż administrator, który jako
pierwszy opublikował określone dane w internecie – np. czasopismo (internetowe) – może
chcieć w inny sposób wyważyć prawa podmiotu danych względem wolności wypowiedzi,
w tym względem interesu/prawa opinii publicznej do dostępu do tych informacji, niż
wyszukiwarka, która zrealizowała wniosek o usunięcie opublikowanych danych osobowych.
Powiadomienie pozwalałoby więc pierwszemu administratorowi podjąć działania w celu obrony
swojego interesu polegającego na udostępnieniu informacji wbrew wnioskowi podmiotu danych
o usunięcie danych.
9. W świetle powyższego delegacje są proszone o omówienie związku między prawem do bycia
zapomnianym a wolnością wypowiedzi.
13619/14
ds/PPA/mak
DG D 2B
4
PL