Google moet gevoelige informatie uit de zoekresultaten verwijderen als personen hierom vragen, meldde Het Parool gisteren. Dat is iets té kort door de bocht: Google mag niet meer eenvoudigweg doorverwijzen naar de bronnen van die informatie maar moet zelf een afweging maken tussen de privacy van de klager en de informatiewaarde van de publicaties.
De rechtszaak waar dit arrest uit voortkomt, ging over een publicatie uit 1998 die in 2010 opdook in Google-zoekresultaten via een krantenarchief. Het onderwerp van de publicatie wilde dit verwijderd, omdat het bericht achterhaald en irrelevant was geworden. (Hij had in 1998 een beslaglegging tegen zich gekregen maar dat was al lang weer opgelost.) De Spaanse rechter stelde vragen over uitleg van de privacwetgeving aan het Europese Hof, omdat het hier om een fundamentele kwestie ging.
Allereerst bepaalt het Hof dat zoekresultaten van een online zoekmachine onder de privacywet (Wbp) vallen. Er worden persoonsgegevens verwerkt op die manier, want het verzamelen, indexeren en (na zoekopdrachten) tonen daarvan valt onder de zeer brede definitie die de wet hanteert. Alle privacyjuristen roepen nu, “ja natuurlijk, Lindqivst” – want in die zaak werd ooit bepaald dat op internet zetten “De vrijwilligersmiddag gaat niet door want Wim heeft zijn enkel gekneusd” een verwerking van (bijzondere) persoonsgegevens opleverde.
Belangrijk is wel dat het Hof zegt dat dit óók geldt als je alleen maar informatie van elders plukt en die in je eigen volgorde et cetera vormgeeft. Dus ook als je niets verandert aan de informatie. Privacy vervalt niet wanneer de informatie al ergens openbaar is. En privacy stopt ook niet enkel omdat de informatie juist is. Iedere (her-)publiceerder moet zijn eigen rechtvaardiging hebben onder de privacywet om informatie te mogen publiceren of gebruiken.
Google is een ‘publiceerder’, juridisch gezegd een verantwoordelijke. Zij pakken informatie en maken die doorzoekbaar. Dat is ook een vorm van verwerking, en Google bepaalt hoe en waarom dat gebeurt. Dat is de definitie van “verantwoordelijke”.
Hoewel het waarom formeel geen rol speelt (je bent verantwoordelijk of niet), vindt het Hof het toch belangrijk aan te stippen dat Googles rol een hele grote is. Google is niet zomaar een kaartenbak, Google ontsluit het onmogelijk te doorkruisen internet:
Bovendien staat vast dat deze activiteit van zoekmachines een beslissende rol speelt bij de wereldwijde verspreiding van deze gegevens, doordat zij deze toegankelijk maakt voor elke internetgebruiker die op de naam van de betrokkene zoekt, daaronder begrepen de internetgebruikers die anders de webpagina waarop diezelfde gegevens zijn gepubliceerd niet hadden gevonden.
Dit is in zoverre belangrijk dat de privacy-inbreuk die via Google gepleegd kan worden, zeer ver kan gaan. Iedereen kan die informatie vinden en gebruiken. En vanwege die belangrijke rol die Google zichzelf zo aanneemt, is het wenselijk dat Google gewoon aan de privacywet gehouden wordt, zo bepaalt het Hof. De privacy online bestaat niet daadwerkelijk als Google buiten de Wbp zou vallen. Een stevige stelling.
Dat Google een opt-out hanteert (robots.txt en noindex tag) maakt daarbij niet uit. Google mag de keuze wat ze opneemt en wat ze toont, niet bij een ander laten. Zij heeft een eigen verantwoordelijkheid als verantwoordelijke onder de Wbp.
Verder wordt Google Spanje aansprakelijk gehouden (volgens mij naast Google Inc) omdat deze dochter de advertentieruimte verkoopt op de zoekresultaatpagina’s. Zonder de dienst van de Amerikaanse moeder kan Google Spanje niet bestaan, dus is ze er mede-verantwoordelijk voor. Wederom vanuit de achterliggende wens dat Google aan te pakken móet zijn omdat anders de Europese privacy door datagrabbelende Amerikaanse molochen waardeloos gemaakt wordt. (Oké die was tendentieus. Maar weerleg ‘m maar eens.)
Maar zoekmachines zijn toch niet aansprakelijk voor wat ze tonen? Dat argument komt hier niet naar voren. Mogelijk omdat de e-commercerichtlijn (waarin deze bescherming is geregeld) expliciet zegt dat deze niet van toepassing is op diensten die onder de privacyrichtlijn 95/46/EG vallen (zoals bij ons al eens in de Kleinkindonbereikbaar-zaak). Dus ook vanuit dat licht ontkom je niet aan verantwoordelijkheid onder de privacywet.
En dan komt de échte klap: Google (.com en .es) moet zélf zorgen voor een goede balans tussen de privacy van geïndexeerde mensen en de informatievrijheid. Ze mag niet verwijzen naar de bronsites, of volstaan met “zolang de rechter het niet verboden heeft, houden wij het doorzoekbaar”.
Dit kan dus leiden tot een situatie waarin de informatie wél op de bronsite mag staan maar niet via Google te vinden is, althans niet met een op de persoon gerichte zoekopdracht. Krantenarchieven hoeven dus niet te vrezen dat zij nu hun site ook ondoorzoekbaar moeten maken.
Ook betekent het niet dat Google nu direct na een klacht van alles moet blokkeren. De klacht moet wel terecht zijn. Zo zou een actueel en relevant journalistiek artikel over iemand niet uit een gerichte zoekopdracht over die persoon hoeven te worden verwijderd. Een verouderd en irrelevant artikel wel. En het Hof zegt daarbij dat “in beginsel” de privacy het wint van de informatievrijheid/meningsuiting – wat een opmerkelijke is, want de standaard is dat twee grondrechten gelijkwaardig zijn en de afweging per geval moet gebeuren. In het kader van privacy zegt het Hof dat enkel bij “bijzondere redenen, zoals de rol die deze persoon in het openbare leven speelt” de informatievrijheid het kan winnen.
Het fameuze “recht te worden vergeten” komt ook nog langs. Zoekresultaten uit oude bronnen kunnen vervelend zijn, die moet een zoekmachine op zeker moment maar eens vergeten te tonen. Of je scháde hebt, is daarbij irrelevant. Het gaat enkel om de afweging privacy versus informatievrijheid, wat weegt in dit geval het zwaarste. En bij dat zestien jaar oude artikel over een inmiddels volslagen irrelevante beslaglegging weegt de privacy het zwaarste. Eruit dus.
Oef. Dat is nogal wat. Privacy wint het van zoekresultaten, Google moet aan de Europese regels voldoen. En ik denk dat ze nu ook zélf een privacy-takedownteam moeten opzetten, want het Hof zegt toch echt dat het Google is die dat moet uitzoeken en niet de bronsite. Hoewel ze ook een paar keer opmerken dat de nationale rechter dat moet uitzoeken, wat een hint kan zijn dat Google mag wachten totdat de rechter haar veroordeelt tot opschonen. Dus ik gok dat dat de spin is die Google eraan gaat geven, en vervolgens overgaat tot de orde van de dag. Maar dit arrest gaat écht nog een staartje krijgen.
Arnoud