Právo na výmaz osobních údajů v rámci internetového vyhledávače

Právo na výmaz osobních údajů je jedním z obecně známých, a trochu obávaných, právních institutů GDPR[1]. Právo na výmaz bylo strašákem před pěti lety, když se blížila účinnost GDPR, a je jím dodnes. A to přesto, že právo fyzické osoby požadovat nezobrazování konkrétního výsledku při vyhledání jejího jména internetovým vyhledávačem, populárně řečeno tedy právo na výmaz nebo právo být zapomenut, formuloval Soudní dvůr Evropské unie (SDEU) již za předchozí právní úpravy.[2][3]

Zbytečné obavy z práva na výmaz

Proč je právo na výmaz osobních údajů takovým strašákem? A rovnou řekněme, že nezaslouženě?

V praxi totiž nemusí být zcela snadné na vyžádání dohledat veškeré osobní údaje týkající se konkrétního člověka, který toto právo uplatnil. Ve všech systémech, databázích, dalších úložištích, u dodavatelů. A na vyžádání tato data vymazat nebo nevratně anonymizovat. Nemluvě o tom, že řada správců se obává obchodních dopadů realizace práva na výmaz, pokud by jejich klienty bylo využíváno v masivnějším měřítku. Tyto obavy tím více platí v online světě.

Zde už se ale dostáváme k tomu, že právo na výmaz je strašákem tak trochu nezaslouženým. Nejedná se totiž o žádné absolutní právo, neplatí nade vše ostatní. Pokud je zpracování osobních údajů, včetně jejich pouhého uchování, nezbytné například ke splnění právní povinnosti správce[4] nebo pro plnění smlouvy s dotyčným klientem[5], pak správce tyto osobní údaje na žádost dotčené osoby vymazat nemusí.[6]

Reklama

AI a LinkedIn efektivně (online - živé vysílání) - 7.1.2025

7.1.2025 13:003 975 Kč s DPH
3 285 Kč bez DPH

Koupit

Nejasnosti přetrvávají

Právo na výmaz není absolutní. Neuplatní se vždy a všude, musí být vyvažováno s dalšími zájmy a právy jiných osob. To ovšem neznamená, že praxe nenabízí řadu dalších otázek a nejasností.

Jak má správce údajů, typicky internetový vyhledávač, postupovat, pokud uživatel namítá, že zpracovávané, resp. zobrazované údaje jsou nepravdivé? Zavádějící, urážlivé, fakticky nesprávné? Vyhledávač totiž sice je správcem jím zobrazovaných osobních údajů, není ale tím, kdo tyto údaje na internet umístil. Nemá proto k dispozici žádné další údaje kromě těch, které byly na zdrojové stránce zveřejněny.

Právě tím, jak má provozovatel vyhledávače postupovat, se zabýval Soudní dvůr Evropské unie v „nové“ kauze Google.[7]

Tento případ je o to zajímavější, že se týkal veřejně činných osob a článků o nich na internetu. Soud tak musel zvážit nejen otázku ochrany jejich soukromí a pravidel pro zpracování osobních údajů, ale práva na svobodu projevu, resp. šíření informací.

Kromě toho, že Soudní dvůr EU narýsoval základní mantinely odpovědností a rolí zúčastněných stran (subjekt údajů, správce atd.), rovněž fakticky aplikoval zásadu Safe Harbor známou z jiných oblastí práva, zejména regulace elektronického obchodu.

Co to vše znamená pro praxi a jestli v tomto postupu můžeme vysledovat jistý trend, i s ohledem na novou datovou legislativu EU, to si řekneme dále v článku.

Legitimní investiční nabídka, nebo letadlo?

Jaký skutkový stav a jaké předběžné otázky SDEU v tomto případě posuzoval?

Majitel německé investiční společnosti a jeho družka požádali Google o nezobrazování konkrétních výsledků vyhledávání spojených s jejich jmény. Jednalo se o sérií novinových článků, které zpochybňovaly jejich obchodní model. A to i pomocí nevybíravých slov, jako třeba vydírání.

Google jejich žádost odmítl, v zásadě ze dvou důvodů:

1. Články se týkaly profesního života žadatelů o výmaz.
2. Google nemá dostatek informací o tom, že by články obsahovaly nepravdivé informace.

Vnitrostátní soud, který tento spor posuzoval, se obrátil na SDEU se dvěma předběžnými otázkami. Pro náš článek je relevantní ta první, která zní takto:

„Je pro uplatnění práva na výmaz rozhodující, jestli se subjekt údajů, který uplatňuje právo na výmaz vůči provozovateli vyhledavače, mohl obrátit nebo obrátil na soud se žalobou proti nepravdivému tvrzení na zobrazené stránce?“

Jinak řečeno, co vše má doložit subjekt údajů, který uplatňuje právo na výmaz z důvodů nepravdivosti zpracovávaných údajů? Je k tomu nutné soudní rozhodnutí, alespoň předběžné? Otázkou také je, jak má postupovat provozovatel internetového vyhledavače, resp. obecně správce údajů. Může takovouto žádost odmítnout a odkázat žadatele na soud? Nebo má naopak pravdivost, resp. namítanou nepravdivost zobrazovaných dat sám ověřovat?

Žadatel o výmaz ani internetový vyhledávač nejsou soud

Jak tuto otázku posoudil, a rozsoudil, SDEU?

Na prvém místě uvedl, že je nutno vážit všechna dotčená práva, aby právo na výmaz osobních údajů mohlo být realizováno, nebylo příliš obtížné, ale zároveň aby vyhledavač nezasahoval do práva na svobodu projevu. Ke svobodě projevu pak soud doplnil, že u veřejně činných osob za určitých okolností může právo na svobodu projevu a informace převážit nad jejich právem na ochranu soukromého života a ochranu osobních údajů, to ovšem neplatí, pokud se jedná o nepravdivé informace. Jejich zveřejnění či šíření ochraně nepodléhá.

Po tomto shrnutí základních principů soud pokračoval k posouzení rolí a povinností obou hlavních aktérů, dotčené osoby žádající o výmaz, resp. odstranění výsledku vyhledávání, a provozovatele internetového vyhledavače. Soud se zabýval otázkou, zda a případně v jakém rozsahu musí osoba, která uplatnila žádost o odstranění výsledku vyhledávání, prokázat své tvrzení o nepravdivosti odkazovaného textu, a dále zda provozovatel vyhledavače má sám usilovat o objasnění skutečností, jejichž pravdivost je předmětem sporu.

Soudní dvůr uvedl, že osoba, která žádá o odstranění výsledku vyhledávání, má doložit zjevnou nepravdivost zobrazených informací. Tento požadavek však nesmí být vykládán příliš extenzivně, nesmí od ní být požadováno, aby předložila důkaz či podklady, které od ní nemohou být rozumně požadovány. Mezi ně, mezi podklady, které nemusí být při uplatnění práva na odstranění výsledku vyhledávání předloženy, patří i soudní rozhodnutí, a nelze vyžadovat existenci takového rozhodnutí ani ve formě předběžného opatření. Uložení takové povinnosti uvedené osobě by totiž vedlo k nepřiměřené zátěži pro tuto osobu.

A co provozovatel internetového vyhledávače?

Provozovatel internetového vyhledávače je následně povinen posoudit, zda předložené skutečnosti zjevně vypovídají o tom, že zobrazované informace jsou nepravdivé. Pokud ano, pak by měl žádosti o odstranění výsledku vyhledávaní vyhovět.

Podle soudu však provozovateli internetového vyhledávače, analogicky ani jinému správci v obdobném postavení, nelze uložit povinnost prošetřit skutkový stav, posuzovat, jestli jsou zobrazené informace pravdivé, získávat k tomu dodatečné informace atd. Takto praktikované právo na výmaz by totiž představovalo vážné nebezpečí, že by byl odstraněn obsah, který odpovídá oprávněné a převažující potřebě veřejnosti získávat informace.

Jak se rozsudek v kauze Google uplatní v nové datové regulaci?

Význam komentovaného rozsudku přesahuje rámec ochrany osobních údajů. Přístup, který SDEU zaujal k povinnostem vyhledávače ohledně ověřování stížností osob dotčených „zdrojovými“ články, resp. jejich zjevné nepravdivosti, totiž může být relevantní i pro výklad povinnosti online platforem podle nového nařízení o digitálních službách (nařízení (EU) 2022/2065, Digital Services Act, dále jen „DSA“).

Toto nařízení zejména nahrazuje čl. 12 až 15 původní směrnice o elektronickém obchodu[8], které obsahují úpravu tzv. Safe Harbor, výjimek z odpovědnosti poskytovatelů tzv. zprostředkovatelských služeb za obsah jimi šířený, který ovšem generují jejich uživatelé.

Zprostředkovatelskou službou se rozumí 3 základní typy služeb:

1. služba „prostého přenosu“ spočívající v přenosu informací poskytovaných příjemcem služby v komunikační síti nebo ve zprostředkování přístupu ke komunikační síti
2. služba „ukládání do mezipaměti“ spočívající v přenosu informací poskytovaných příjemcem služby v komunikační síti a zahrnující automatické dočasné přechodné ukládání informací, které slouží pouze pro co nejúčinnější následný přenos informací jiným příjemcům na jejich žádost
3. „hostingová“ služba spočívající v ukládání informací poskytovaných příjemcem služby na jeho žádost

Internetový vyhledávač jako zprostředkovatelská služba?

Zde je důležité upozornit na to, že u původní směrnice o elektronickém obchodu nebylo zcela jasné, zda je možné vyhledávače považovat za zprostředkovatelské služby. V principu bylo na členských státech, zda vyhledávače pod režim této směrnice zahrnou[9]. Judikatura SDEU však obecnou aplikaci směrnice o elektronickém obchodu na činnost vyhledávačů neakceptovala. Pokud by totiž SDEU měl za to, že vyhledávače pravidlům Safe Harbor podléhají, jistě by to v komentovaném rozhodnutí či v některém z předchozích rozhodnutí týkajících se vyhledávače Google výslovně uvedl a směrnici o elektronickém obchodu aplikoval. K tomu ovšem nedošlo ani v rozhodnutí C-136/17, ani v rozhodnutí C‑507/17 a ani v zásadním rozhodnutí C-131/12 ve věci Google Spain.

Generální advokát Niila Jääskinen se přitom ve věci C-131/12 postavením vyhledávače detailně zabýval a uvedl k němu (bod. 37 stanoviska) následující: Úloha a právní postavení poskytovatelů služeb internetového vyhledávače nejsou v unijních předpisech upraveny. „Nástroje na vyhledávání informací“ jako takové jsou „poskytovány na dálku, elektronicky a na základě individuální žádosti příjemce služeb“, a představují tedy služby informační společnosti spočívající v poskytování nástrojů, jež umožňují vyhledávání údajů, přístup k údajům a prohlížení údajů. Poskytovatelé služeb internetového vyhledávače, jako například společnost Google, kteří neposkytují své služby za odměnu od uživatelů internetu, však jako takoví nespadají do působnosti směrnice 2000/31 o elektronickém obchodu.[10]

Jaké změny přináší Digital Services Act?

Do působnosti DSA již jsou vyhledávače zahrnuty výslovně (čl. 3 písm. j) DSA), byť do něj byly začleněny až v pozdějších fázích legislativního procesu. Proto je sice v DSA poměrně jasně deklarováno, že vyhledávač je zprostředkovatelskou službou, nicméně není zcela zjevné, do které z výše uvedených kategorií má spadat. Z povahy věci se však bude jednat pravděpodobně o službu ukládání do mezipaměti, nebo o hostingovou službu.

Podle čl. 5 odst. 1 písm. e) DSA pak poskytovatel služby ukládání do mezipaměti není odpovědný za automatické, přechodné a dočasné ukládání těchto informací, které slouží pouze pro účelnější či bezpečnější následný přenos informací jiným příjemcům služby na jejich žádost, pokud „urychleně přijme opatření vedoucí k odstranění jím uložených informací nebo ke znemožnění přístupu k nim, jakmile zjistí, že tyto informace byly na výchozím místě přenosu ze sítě odstraněny nebo k nim byl znemožněn přístup nebo justiční nebo správní orgán nařídil odstranění těchto informací nebo znemožnění přístupu k nim.“

Podle čl. 6 odst. 1 DSA není poskytovatel hostingové služby odpovědný za informace ukládané na žádost příjemce služby, pokud:

1. poskytovatel služby nemá konkrétní vědomost o protiprávní činnosti nebo nezákonném obsahu a s ohledem na nárok na náhradu škody mu nejsou známy skutečnosti nebo okolnosti, z nichž by byly protiprávní činnost nebo nezákonný obsah zjevné, nebo
2. jakmile poskytovatel služby zjistí protiprávní činnost nebo nezákonný obsah nebo se o nich dozví, urychleně přijme opatření k odstranění dotyčného nezákonného obsahu nebo ke znemožnění přístupu k němu

Ačkoliv by z povahy věci vyhledávač splňoval spíše podmínky pro službu ukládání do mezipaměti, z komentovaného rozhodnutí a povinností, které v něm SDEU provozovateli vyhledávače uložil (byť za právního stavu před přijetím DSA) se zdá, že SDEU bude vykládat DSA tak, že na vyhledávač se aplikují pravidla platná pro hostingové služby. A to i přesto, že provozovatel vyhledávače žádné informace přímo mu poskytnuté příjemci služby neukládá.

Ať již bude vyhledávač posouzen jako kterákoliv ze dvou výše uvedených kategorií, v komentovaném rozsudku však SDEU vyložil, jaké požadavky bude na vyhledávač klást. Komentovaný rozsudek se sice zabýval výlučně výkladem GDPR, podle autorů však nelze očekávat, že by tyto požadavky pro účely DSA změnil. Navíc závěry SDEU v dotčeném případě korespondují s textem čl. 16 DSA, který stanoví pro poskytovatele hostingových služeb povinnost zavést tzv. mechanismus notice & action. Tím se rozumí mechanismy, které osobám a subjektům umožní oznamovat těmto poskytovatelům výskyt konkrétních informací v rámci jejich služby, které dotyčná osoba nebo subjekt považují za nezákonný obsah. Jejich povinné zavedení v celé EU zakotvil právě až DSA, byť byly užívány (ve formě tzv. notice & take down) již dříve.

Jak se může dotčená osoba bránit podle nového DSA?

Čl. 16 odst. 2 DSA vyžaduje, aby poskytovatelé hostingových služeb umožnili příjemcům služby (v našem případě dotčeným subjektům údajů) podávat oznámení s obsahem v tomto odstavci uvedeným. To poskytovatelé zajistí např. vhodným nastavením svého rozhraní, které stěžovatele „navede“ k poskytnutí všech relevantních informací a zveřejněním poučení, co má oznámení obsahovat.

Čl. 16 odst. 3 zároveň zavádí vyvratitelnou domněnku, že oznámení s obsahem odpovídajícím čl. 16 odst. 2 DSA umožňují odhalit nezákonnost dotyčné činnosti či informace za podmínky, že provozovatel vyhledávače bude postupovat při jejich ověřování s náležitou péčí a protiprávnost informací bude zjevná, aniž by provozovatel vyhledávače byl nucen podrobit obdržené informace podrobnému právnímu přezkumu.

Pro aplikaci této domněnky je nutné, aby oznámení o nezákonném obsahu obsahovalo (ve smyslu čl. 16 odst. 2 DSA) tyto údaje:

1. dostatečně podložené vysvětlení důvodů, proč daná osoba či subjekt tvrdí, že dotčené informace představují nezákonný obsah
2. jednoznačný údaj o přesném elektronickém umístění těchto informací, například přesnou jednotnou adresu URL nebo adresy URL, a v případě potřeby dodatečné informace umožňující identifikovat nezákonný obsah v závislosti na typu obsahu a konkrétním typu hostingové služby
3. jméno osoby nebo název subjektu podávajících oznámení a jejich e-mailovou adresu, kromě případu informací, o nichž se usuzuje, že představují jeden z trestných činů uvedených v článcích 3 až 7 směrnice 2011/93/EU
4. prohlášení potvrzující, že se osoba nebo subjekt podávající oznámení v dobré víře domnívají, že informace a tvrzení obsažené v oznámení jsou přesné a úplné.

Zejména body 71 až 73 komentovaného rozsudku přitom do značné míry korespondují s požadavkem na „dostatečně podložené vysvětlení důvodů“, který stanoví čl. 16 odst. 2 písm. a) DSA. Doplňují jej však o výslovnou deklaraci, že provozovatel vyhledávače není povinen provádět vlastní prošetřování skutkového stavu, tedy vlastní vyhledávání důkazů a skutečností, které by měly podpořit nárok stěžovatele na odstranění výsledků vyhledávání. Není ovšem ani povinen vyhledávat důkazy a skutečnosti, které by takovýto nárok vyvracely. Pokud tak však učiní dobrovolně, nelze mu to klást k tíži a neztrácí beneficium Safe Harbor, viz k tomu ustanovení o tzv. dobrém samaritánovi podle čl. 7 DSA.[11]

Ochrana uživatelů a jejich práv od GDPR až k DSA

Komentovaný rozsudek SDEU upřesňuje, jak aplikovat právo na výmaz, resp. právo na odstranění výsledku vyhledávání v online prostředí.

Svým významem však tento rozsudek přesahuje rámec regulace zpracování osobních údajů. Velmi relevantní bude i při výkladu DSA. Ačkoliv vykládá stav před přijetím tohoto nařízení, není důvodu závěry v něm uvedené neaplikovat i na jeho výklad. Přijetím DSA by sice mohlo dojít i k určité modifikaci předchozí judikatury SDEU ve věcech vyhledávačů, nicméně komentovaný rozsudek ukazuje, že v praxi taková modifikace spíše nebude potřeba. Předchozí judikatura, a zejména komentovaný rozsudek ve věci C-460/20, zůstanou použitelné i s touto novou regulací.

Mgr. František Nonnemann,
konzultant v oblasti compliance a řízení rizik zejména ve finančním sektoru, člen Výboru Spolku pro ochranu osobních údajů

e-mail: nonnemann@volny.cz

JUDr. Vladan Rámiš, Ph.D.,
ředitel právního úseku mediální skupiny MAFRA, předseda Výboru Spolku pro ochranu osobních údajů

© EPRAVO.CZ – Sbírka zákonů, judikatura, právo | www.epravo.cz

• Tweet