Op 24 september vorig jaar kwam het Hof van Justitie van de EU (HvJ EU) met twee arresten waarin het vragen beantwoordt over het vergeetrecht dat het Hof ruim vijf jaren eerder had erkend in het Google/Costeja-arrest.[1] In het eerste hieronder besproken arrest, aangeduid als het CNIL/Google-arrest, gaat het Hof in op de territoriale werking van het vergeetrecht. Het hof geeft antwoord op de vraag in hoeverre op grond van de privacywetgeving van een zoekmachineaanbieder kan worden verlangd dat die wereldwijd bepaalde zoekresultaten uit de zoekresultatenlijst verwijderd. In het tweede arrest, aangeduid als het GC/CNIL-arrest, geeft het Hof antwoord op de vraag wat de betekenis is van het verbod op de verwerking van bijzondere gegevens en strafrechtelijke gegevens voor een aanbieder van internetzoekdiensten. Of, meer in het bijzonder, in hoeverre zo een aanbieder gebruik kan maken van de in deze wetgeving mogelijk gemaakte uitzonderingen op dat verwerkingsverbod. In de beide arresten ging het over de toepassing van Privacyrichtlijn 95/46/EG (de richtlijn). Zoals bekend is deze richtlijn op 25 mei 2018 vervangen door de Algemene Verordening Gegevensbescherming (AVG of de verordening), waarvan artikel 17 een regeling bevat voor het wissingsrecht of het ‘recht op vergetelheid’. Het Hof houdt daarmee rekening en beantwoordt de vragen niet alleen vanuit het oogpunt van die richtlijn maar ook vanuit dat van de verordening. Dit om ervoor te zorgen dat deze antwoorden in elk geval van nut zullen zijn voor het verwijzend rechtscollege en ook, naar we aannemen, voor de rechtspraktijk.[2]
We bespreken hier het eerste arrest, CNIL/Google, over de territorialiteit. We beginnen met een korte uiteenzetting van de overwegingen waarvan het Hof gebruik maakt om de gestelde vragen te beantwoorden en bespreken vervolgens wat we ervan vinden.
Het arrest
De aanleiding voor de zaak was een boetebesluit van de Franse privacytoezichthouder, de Commissie Nationale de l’Informatique et des Libertes (“CNIL”). In dit besluit had CNIL aan Google LLC (“Google”) een boete opgelegd van €100.000 voor het niet volledig voldoen aan het verwijderen van zoekresultaten uit de door haar zoekmachine gegenereerde resultatenlijst. De zoekmachineaanbieder had volstaan met het verwijderen van de desbetreffende zoekresultaten uit de overzichten die werden weergegeven als gebruik wordt gemaakt van de zoekmachines die werden aangeboden onder een domeinnaam van een van de lidstaten van de unie (zeg: google.fr, google.be, google.nl etc.). Google weigerde echter de zoekresultaten te verwijderen uit de zoekmachines die buiten de unie werden aangeboden (zoals via google.com, google.au, google.co.jp etc.). CNIL kon zich daarin niet vinden. De toezichthouder verlangde dat Google de zoekresultaten wereldwijd zou verwijderen, dat wil zeggen: van al haarzoekmachines waar ook ter wereld aangeboden en onder welke domeinnaam dan ook. Ook vond de toezichthouder het onvoldoende dat Google als tegemoetkoming geoblocking was gaan toepassen, wat erop neerkomt dat de zoekmachine de zoekresultaten ook verwijdert als bij de zoekactie gebruik wordt gemaakt van een IP-adres uit een van de EU-lidstaten, ook als de gebruikte zoekmachine wordt aangeboden met een domeinnaam van een zgn. derde land, d.w.z. een land buiten de unie.[3]
De door het Hof te beantwoorden vraag was dus of, zoals CNIL stelde, Google gehouden is om over te gaan tot wereldwijde verwijdering van zoekresultaten uit al haar zoekmachines, of dat de zoekmachineaanbieder had mogen volstaan met het verwijderen van die zoekresultaten uit de in de desbetreffende lidstaat aangeboden nationale versie van haar zoekmachine, al dan niet gecombineerd met geoblocking.[4]
Het Hof begint, na het gebruikelijke overzicht van de relevante bepalingen uit het Europese en het nationale recht, met een korte uiteenzetting van de belangrijkste overwegingen uit het arrest in de Google/Costeja-zaak. Daarin had het Hof uitgemaakt dat de privacyrechten van betrokkenen in beginsel voorrang hebben op de economische belangen van de zoekmachine én ook op het belang van het grote publiek om toegang tot die informatie te krijgen bij een op de naam van de betrokkene uitgevoerde zoekopdracht. Dat kan anders zijn als er sprake is van een overwegend belang van dat grOp grond van dergelijke overwegingen kan worden gerechtvaardigd dat de Uniewetgever bevoegd is aan de exploitant van een zoekmachine de verplichting op te leggen om, bij de inwilliging van een door die persoon ingediend verzoek tot verwijdering van links, tot deze verwijdering over te gaan voor alle versies van zijn zoekmachine.ote publiek om toch kennis te kunnen nemen van deze informatie. Bijvoorbeeld als de betrokkene een rol in het openbare leven speelt.[5]
In het CNIL/Google-arrest werkt het Hof dit uit. Het begint met de overweging dat zowel de richtlijn als de verordening uitdrukkelijk een hoog niveau van bescherming van persoonsgegevens tot doel hebben.[6] En, zoals dat in de Nederlandse versie van het arrest wordt gezegd, het staat dan ook buiten kijf dat verwijdering van zoekresultaten voor alle, waar ook ter wereld aangeboden zoekmachines volledig aan dat doel beantwoordt. In een geglobaliseerde wereld maakt het weinig uit via welke versie van een zoekmachine informatie over iemand kan worden gevonden. Ook als de zoekresultaten alleen via een buiten de unie aangeboden zoekmachine te zien zijn, kunnen de gevolgen daarvan voor de desbetreffende betrokkene in de unie aanzienlijk zijn.[7]
Om deze reden zou het, gelet op het door de richtlijn en verordening beoogde hoge beschermingsniveau, in de rede liggen dat de zoekresultaten wereldwijd worden verwijderd, dus uit alle versies van de zoekmachine, waar ook ter wereld aangeboden. In overweging 58 zegt het Hof het zo:
Op grond van dergelijke overwegingen kan worden gerechtvaardigd dat de Uniewetgever bevoegd is aan de exploitant van een zoekmachine de verplichting op te leggen om, bij de inwilliging van een door die persoon ingediend verzoek tot verwijdering van links, tot deze verwijdering over te gaan voor alle versies van zijn zoekmachine.
Maar wereldwijde verwijdering gaat het Hof te ver. Het noemt een aantal omstandigheden die zo een wereldwijd, voor alle versies van de zoekmachine geldend verwijderingsrecht problematiseren. Zo stelt het vast dat veel landen buiten de unie, de zgn. derde landen, niet bekend zijn met het vergeetrecht of dit recht anders benaderen. Verder wijst het erop, zoals ook de advocaat-generaal met zoveel woorden doet in zijn conclusie,[8] dat het recht op gegevensbescherming geen absolute gelding heeft maar moet worden beschouwd in relatie tot zijn functie in de samenleving en overeenkomstig het evenredigheidsbeginsel worden afgewogen tegen andere grondrechten – iets wat ook blijkt uit overweging 4 van de verordening. Ook merkt het op dat er wereldwijd nogal wat verschillen zijn waar het gaat om de afweging van het recht op bescherming van persoonsgegeven tegen de vrijheid van informatie van internetgebruikers.[9]
Vervolgens stelt het Hof vast dat de gemeenschaps- resp. uniewetgever nergens heeft bepaald dat er, wat betreft het vergeetrecht, moet worden uitgegaan van een werkingssfeer die verder gaat dan grondgebied van de lidstaten. De wetgever heeft, zo zegt het Hof in overweging 62, niet ervoor gekozen om:
‘aan de in die bepalingen neergelegde rechten een werkingssfeer toe te kennen die verder reikt dan het grondgebied van de lidstaten, noch dat hij binnen de werkingssfeer van die richtlijn of die verordening vallende marktdeelnemers als Google een verplichting tot verwijdering van links heeft willen opleggen die zich tevens uitstrekt tot de nationale versies van hun zoekmachine die niet specifiek zijn voor de lidstaten’.
Weliswaar biedt de verordening inmiddels wel de instrumenten en mechanismen waarmee toezichthouders in gezamenlijkheid kunnen komen tot een afweging van privacyrechten en informatievrijheid. Maar de verordening voorziet niet in dergelijke instrumenten en mechanismen voor de reikwijdte van het vergeetrecht buiten de unie.[10]
Op basis van een en ander komt het Hof dan tot de conclusie dat er bij de huidige stand van zaken geen sprake van is dat Google de zoekresultaten ook moet verwijderen uit de versies van haar zoekmachines die buiten de unie worden aangeboden.[11]
Een volgende door het Hof te beantwoorden vraag betreft de verwijdering van zoekresultaten binnen de unie. De vraag is of Google de zoekresultaten moet verwijderen uit alle zoekmachines in de unie, of dat Google kan volstaan met de verwijdering van de zoekresultaten uit de zoekmachine van de lidstaat van de persoon die het verwijderverzoek deed. Voor deze vraag is van belang dat de uniewetgever er inmiddels voor heeft gekozen om de regels voor gegevensbescherming vast te leggen in een voor alle lidstaten geldende verordening. En dit met het uitdrukkelijke doel, zo blijkt uit overweging 10 van de preambule bij de verordening, om te komen tot een hoog, consistent en gelijkwaardig beschermingsniveau in alle lidstaten en de belemmeringen voor het verkeer van persoonsgegevens binnen de unie op te heffen. Het Hof leidt daaruit af dat de zoekresultaten in beginsel zouden moeten worden verwijderd voor alle lidstaten.[12]
Maar ook dat kan niet zonder meer. Het Hof stelt vast de belangenafweging over verwijderverzoeken van lidstaat tot lidstaat kan verschillen, onder andere omdat lidstaten de mogelijkheid hebben om bij nationale wet te voorzien in eigen, lidstaat-specifieke uitzonderingen voor verwerkingen voor journalistieke doeleinden of ten behoeve van artistieke of literaire uitdrukkingsvormen.[13] Als dat in de unie tot problemen leidt is het, zo legt het Hof uit, aan de nationale toezichthouders om die op te lossen. Het regelgevingskader biedt hen de instrumenten en mechanismen om enerzijds de privacy- en gegevensbeschermingsrechten van betrokkenen te verzoenen met anderzijds de belangen van het publiek bij het kennis kunnen nemen van zoekresultaten. Daarmee kunnen deze toezichthouders in voorkomend geval een besluit te nemen dat betrekking heeft op alle zoekopdrachten die vanuit de unie worden gedaan.[14]
Verder kan, zo overweegt het Hof onder verwijzing naar arresten over de Auteursrechtrichtlijn en de Richtlijn elektronische handel,[15] worden verwacht dat Google zo nodig doeltreffende maatregelen neemt de rechten van de betrokkene te waarborgen. Deze maatregelen moeten voldoen aan de wettelijke vereisten en beletten, of op zijn minst ernstig ontmoedigen, dat de internetgebruikers in de lidstaten via een zoekopdracht die wordt uitgevoerd op de naam van de betrokkene toegang hebben tot de desbetreffende zoekresultaten.[16] De nationale rechter kan beoordelen of de zoekmachine hieraan heeft voldaan. En daarbij kan de nationale rechter, zo blijkt uit de voorlaatste overweging van het arrest, een afweging maken van tussen privacyrechten en de informatievrijheid. Het unierecht voorziet niet in een regeling daarvoor en daarom moet de nationale rechter dat doen volgens de nationale maatstaven voor de bescherming van grondrechten. Als deze afweging daartoe aanleiding geeft kan de nationale rechter vervolgens de zoekmachineaanbieder opdragen de zoekresultaten te verwijderen uit alle versies van haar zoekmachines, waar ook ter wereld aangeboden.[17]
Op grond van de privacywetgeving is de zoekmachineaanbieder dus nog niet gehouden wereldwijd zoekresultaten te verwijderen, maar dezelfde wetgeving verbiedt dat ook niet. De nationale rechter kan wel zo een wereldwijde verwijderverplichting opleggen, bijvoorbeeld als hij vindt dat de door de aanbieder genomen maatregelen onvoldoende effectief zijn.
Bespreking
Over het arrest is in uiteenlopende vakbladen en juridische tijdschriften veel gezegd en dat is natuurlijk terecht. Uit het arrest wordt duidelijk hoe lastig het is om in de context van een wereldwijd werkend internet typisch Europese regels toe te passen en te handhaven.[18] In het Google/Costeja-arrest van 13 mei 2014 heeft het Hof dan wel gezegd dat het recht op gegevensbescherming van een individu in beginsel voorrang heeft op rechten van internetgebruikers om kennis te kunnen nemen van persoonsgegevens over dat individu. Maar de toepassing en handhaving daarvan blijkt problematisch. En om deze reden heeft het Hof uiteindelijk toch ervoor gekozen dat het recht op gegevensbescherming toch niet altijd voorrang heeft, of kan hebben, op deze rechten van internetgebruikers bij het kennisnemen van persoonsgegevens. In het hier besproken arrest heeft het Hof ervoor gekozen dat gegevensbeschermingsrechten niet, althans niet zonder meer, voorrang hebben als het gaat om de zoekresultaten die worden gepresenteerd als gebruik wordt gemaakt van een buiten de unie aangeboden zoekmachine. Wat dat aangaat kan het arrest dus worden gezien als een beduidende nuancering van het Google/Costeja-arrest. In zoverre kan het arrest weldegelijk worden opgevat als een overwinning van Google, misschien geen knock-out maar toch wel een overwinning op punten.[19]
In de laatste overwegingen van het arrest geeft het Hof nog wel aan dat er enige ruimte is voor nationale rechters en toezichthouders om in voorkomend geval wel een zoekmachineaanbieder te verplichten om wereldwijd zoekresultaten te verwijderen. De vraag is of daarvan veel gebruik kan gaan worden gemaakt. Een andere vraag is of we dat moeten willen. In zijn conclusie bij het arrest noemde A-G Spuznar enkele belangrijke bezwaren tegen een verplichting tot wereldwijde verwijdering van zoekresultaten. Zo een wereldwijd verwijderingsrecht zou, volgens de A-G, de autoriteiten in de unie belemmeren om het recht op ontvangst van informatie te bepalen en vast te leggen, alsook omdat recht af te wegen tegen privacy- en gegevensbeschermingsrechten. Ook zou zo een verwijderingsrecht ertoe kunnen leiden dat landen buiten de unie op grond van hun wetgeving gaan verlangen dat zoekmachineaanbieders de in deze landen ongeoorloofde zoekresultaten verwijderen. Er is dan een reëel risico van een neerwaartse spiraal (‘race to the bottom’), ten koste van de vrijheid van meningsuiting.
Het Hof gaat daarop niet uitvoerig in maar volstaat met de opmerking, ontleend aan overweging 4 van de preambule bij de verordening, dat het recht op bescherming van persoonsgegevens geen absolute gelding heeft en moet het worden beschouwd in relatie tot zijn functie in de samenleving en overeenkomstig het evenredigheidsbeginsel worden afgewogen tegen andere grondrechten. Ook merkt het Hof op dat het evenwicht tussen het recht op eerbiediging van het privéleven en op bescherming van persoonsgegevens enerzijds en de vrijheid van informatie van internetgebruikers anderzijds wereldwijd aanzienlijk kan variëren.[20]
De A-G en het Hof bespreken deze bezwaren tegen een wereldwijd verwijderingsrecht bij de beantwoording van de eerste aan het Hof voorgelegde vraag, zijnde de vraag of de zoekmachineaanbieder gehouden is om wereldwijd zoekresultaten te verwijderen. Dezelfde bezwaren zijn ook aan de orde als nationale rechters en toezichthouders gaan beoordelen of een zoekmachineaanbieder voldoende doeltreffende maatregelen heeft genomen om gegevensbeschermingsrechten te waarborgen. Een toezichthouder of nationale rechter heeft in voorkomend geval dan wel de mogelijkheid om een wereldwijd verwijderingsplicht op te leggen, maar ook dan is er een reëel risico van de door de A-G genoemde neerwaartse spiraal. Het is daarom de vraag of het wenselijk is dat een toezichthouders of nationale rechter, anders dan bij hoge uitzondering, gebruik gaat maken van deze mogelijkheid.
We kunnen ons dan de vraag stellen welke andere maatregelen dan geo-blocking een zoekmachineaanbieder moet inzetten om, zoals het arrest zegt, te beletten of op zijn minst ‘ernstig ontmoedigen’ dat internetgebruikers in de lidstaten via een zoekopdracht toegang kunnen hebben tot de desbetreffende zoekresultaten.[21] We kunnen ons wel een voorstelling maken van dat soort maatregelen. Voorstelbaar is dat de aanbieder maatregelen neemt tegen het gebruik van VPN-diensten en andere in de unie gemakkelijk te verkrijgen diensten, waarmee geoblocking wordt omzeild. Een internetgebruiker kan met dergelijke diensten zijn zoekopdracht routeren via een IP-adres van een land buiten de unie, waar de zoekresultaten niet op grond van de verordening behoeven te worden verwijderd. Op deze wijze krijgt deze internetgebruiker ook de zoekresultaten te zien die op grond van de verordening moet worden verwijderd.[22]
Een ‘effectieve maatregel’ daartegen zou kunnen zijn dat de zoekmachineaanbieder de desbetreffende zoekresultaten ook al verwijdert als wordt vastgesteld dat de internetgebruiker gebruik maakt van dergelijke middelen. Het arrest lijkt toezichthouders en nationale rechters de mogelijkheid te bieden dat van de aanbieder te verlangen. De vraag is of we dat moeten willen. Wij denken van niet. Al was het maar omdat ook dat kan leiden, en waarschijnlijk ook zal leiden, tot voornoemde negatieve spiraal ten koste van de informatievrijheid. Een andere, haast retorische vraag is of autoriteiten in landen buiten de unie überhaupt geneigd zijn te accepteren dat toezichthouders of nationale rechters uit de unie met behulp van dergelijke effectieve maatregelen in hun jurisdicties de werking van zoekmachines zou beperken.[23]
Eindnoten
1 HJEU 14 mei 2014, C-131/12, ECLI:EU:C:2014:317 (Google/Costeja).
2 Google/CNIL, overw. 41; GC/CNIL, overw. 33.
3 Conclusie AG Spuznar, 10 januari 2019, C-507/17, ECLI:EU:C:2019:15, nrs. 18- 20; HJEU 24 september 2019, C-507, ECLI:EU:C:2019:772 (Google/CNIL), overw. 2, 30-32.
4 Google/CNIL, overw. 43; zie ook Conclusie AG Spuznar, randnrs. 70-74.
5 Google/CNIL, overw. 45; Costeja/Google Spain, overw. 81 en 99.
6 Google/CNIL, overw. 55; overw. 10 van de richtlijn en overw. 10, 11 en 13 van de AVG.
7 Google/CNIL, overw. 56-58.
8 Conclusie AG Spuznar, 10 januari 2019, randnr. 61
9 Google/CNIL, overw. 59-60.
10 Google/CNIL, overw. 63.
11 Google/CNIL, overw. 64.
12 Google/CNIL, overw. 66.
13 Google/CNIL, overw. 67; zie resp. art. 9 van de richtlijn en art. 85 AVG en art. 43 van de Uitvoeringswet AVG.
14 Google/CNIL, overw. 68-69.
15 HJEU 15 september 2016, C-484/14, ECLI:EU:C:2016:689 (Mc Fadden), overw. 95 en HJEU 27 maart 2014, C-314/12, ECLI:EU:C:2014:192 (UPC Telekabel Wien), overw. 62.
16 Google/CNIL, overw. 70.
17 Google/CNIL, overw. 71-72.
18 Zie ook J. Meeusen in zijn annotatie bij het arrest in SEW 2020/2, 98-101.
19 Anders: G.H. Spruyt, ‘Begrenzing én versterking van het recht om vergeten te worden’, Tijdschrift voor internetrecht, 2019/6, p. 247.
20 Zie daarover J. Meeusen in zijn annotatie bij het arrest in SEW 2020/2, 98- 101.
21 Google/CNIL, overw. 70.
22 Zie ook P.T.J. Wolters, ‘De territoriale werking van het recht op vergetelheid na Google/CNIL’, Tijdschrift voor Consumentenrecht en handelspraktijken, 2020/2, p. 62-63.
23 In die zin ook Dommering in zijn noot bij het arrest in NJ 2019/435.