Суд справедливости Европейского Союза (высший судебный орган ЕС) постановил, что поисковые сервисы обязаны удалять информацию о личных данных интернет-пользователей из результатов поиска, если эти данные устарели или не соответствуют действительности. Решение № C-131/12 принято по иску к компании Google Inc. В 2010 году гражданин Испании Марио Гонсалес пожаловался Agencia Espaola de Proteccin de Datos (испанское агентство по защите персональных данных, AEPD) на Google. Поиск по его имени давал ссылки на материалы газеты «La Vanguardia» более чем десятилетней давности, где речь шла о непогашенной на тот момент задолженности Гонсалеса и продаже его дома за долги. Истец отмечал, что аукцион давно состоялся и информация о продаже, содержащая его личные данные, устарела, проблема уже давно решена, и теперь неактуальная информация нарушает его право на конфиденциальность, а значит, ссылки не должны быть доступны посторонним пользователям. При рассмотрении дела в Испании требование об удалении информации с сайта газеты было отклонено (AEPD в ответ на жалобу пояснило, что информация была размещена на сайте газеты на законных основаниях), а спор с Google в итоге был передан на рассмотрение суда ЕС. При этом только в Испании подано более 200 аналогичных исков.

По мнению суда, обязавшего Google удовлетворить запрос испанца, поисковые сервисы «обрабатывают информацию», то есть на них распространяются требования о защите персональных данных, в том числе выдаваемых в ответ на поисковые запросы. В то же время суд признал необходимость учитывать и общественные интересы, особенно если речь идет о людях, играющих важную роль в жизни общества.

Несмотря на прогнозируемую негативную реакцию на это решение, оно полностью соответствует политике ЕС, направленной на усиление защиты персональных данных. «Право быть забытым» в этом контексте рассматривается как еще один шаг в сторону развития прав субъектов персональных данных.

Законодательное поле

Основным документом, регулирующим право граждан стран ЕС на защиту персональных данных, является Директива 95/46/ЕС «О защите физических лиц при обработке персональных данных и о свободном перемещении таких данных». Статья 7 (а) данного документа отражает главный принцип, которым руководствуется ЕС в проведении политики защиты личной информации. С одной стороны, в документе декларируется стремление к свободному перемещению информации между странами — членами ЕС, с другой — предоставляются гарантии защиты основных прав граждан, в число которых входит право на неприкосновенность личных данных и их защиту от третьих лиц.

«Право быть забытым» входит в число пяти основных правил обнародованного Европейской комиссией в 2012 году законопроекта «О защите персональных данных». Этот документ призван заменить действующую Директиву 95/46/ЕС. Изменения направлены прежде всего на гармонизацию режима защиты персональных данных в Европе и предоставление потребителям возможности получать полную и корректную информацию о том, что происходит с их данными. Основываясь на формулировке «личные данные принадлежат личности», разработчики предложили узаконить ряд правил:

1) Прозрачность — политики безопасности должны быть ясными и написаны понятным и простым языком. Граждане должны знать, как обрабатывается их персональная информация.

2) Согласие — для использования персональных данных должно быть получено явное и прямое согласие пользователя.

3) Переносимость и мобильность — персональные данные принадлежат пользователю, и он должен иметь возможность забрать свои данные у одного поставщика услуг и передать их другому.

4) Компании и организации будут обязаны в течение 24 часов уведомлять пользователей о возникших проблемах, связанных с безопасностью их личных данных. Также в известность должны быть поставлены надзорные органы.

5) И, наконец, «право быть забытым». Оно связано с утверждением, что персональные данные принадлежат индивидууму. Если пользователь хочет отказаться от услуг сервиса и забрать свои данные, у него должна быть возможность сделать это.

Таким образом, предлагается существенно изменить подход к получению согласия лица на обработку его данных. Суть изменений заключается в отходе от существующей концепции предоставления согласия путем конклюдентных действий. По новым правилам согласие должно выражать свободное волеизъявление лица на основании исчерпывающей информации с четким указанием воли лица, дающего согласие.

Также ожидается, что в 2014 году в законодательство ЕС в области защиты персональных данных будут внесены изменения, а к 2016 году возможно принятие нового законодательства в этой сфере. При этом гражданам Евросоюза может быть предоставлено право удалить все свои персональные данные из Интернета, не просто из социальных сетей или поисковых систем, а именно из глобальной сети Интернет. В нынешних условиях эту задачу практически нереально решить технически, но над ней уже работают.

Аргументация суда ЕС

Постановление высшего судебного органа Евросоюза по делу основывается на положениях Директивы 95/46/EC относительно защиты персональных данных.

При принятии решения № C‑131/12 суд ЕС исходил из того, что деятельность оператора поисковой системы в контексте Директивы следует рассматривать как «обработку» информации, несмотря на то что она осуществляется в автоматическом режиме. Причем это распространяется и на сведения, ранее опубликованные в СМИ. Кроме того, суд решил, что оператор поисковой системы по смыслу Директивы является «контролером» в отношении этой обработки, поскольку именно он определяет цели и средства такой обработки.

Суд ЕС в этой связи отмечает, что оператор поисковой системы наряду с владельцами веб-ресурсов, на которых размещена информация, содержащая персональные данные, обязан обеспечить в рамках своих обязанностей, полномочий и возможностей соответствие его деятельности требованиям Директивы. «Это единственный способ достижения эффективности гарантий, предусмотренных Директивой, и защиты в полном объеме данных субъектов (в частности относительно их личной жизни)» — сказано в решении суда ЕС.

В решении также подчеркивается, что обработка персональных данных оператором поисковой системы позволяет любому интернет-пользователю, осуществляющему поиск на основе имени индивида, получить по списку результатов структурированный обзор информации, относящейся к этому лицу, в Интернете. Эта информация потенциально касается огромного количества аспектов его личной жизни и без использования поисковой системы не могла бы быть собранной или же сбор был бы затруднен. Интернет-пользователи могут тем самым создать более-менее подробный профиль человека. Кроме того, эффект от вмешательства в права человека усиливается в связи с важной ролью Интернета и поисковых систем в современном обществе. В свете его потенциальной серьезности такое вмешательство не может, по мнению суда, быть оправдано только экономическими интересами оператора. Суд ЕС считает, что справедливый баланс следует искать, в частности, между этими интересами и основными правами субъекта данных: к примеру, правом на неприкосновенность частной жизни и правом на защиту персональных данных. При этом сделана оговорка относительно информации, представляющей общественный интерес: при защите персональных данных необходимо учитывать баланс интересов интернет-пользователей и принимать во внимание характер данных, на удаление которых поступает запрос. Также подчеркивается, что даже изначально законная обработка достоверных данных со временем может стать несовместимой с требованиями Директивы ЕС, информация с учетом всех обстоятельств дела и новых сведений — неадекватной, неуместной или чрезмерной по отношению к целям, для которых она была в свое время обработана.

Говоря об ответственности оператора поисковой системы, суд указал, что такой оператор при определенных обстоятельствах обязан удалить ссылки на веб-стра­ницы, которые публикуются третьими лицами, из списка отображаемых результатов, если они содержат персональные данные лица, обратившегося с соответствующим запросом. Причем такое удаление не связано с одновременным удалением информации с ресурса, на котором она изначально размещена. Запрос должен быть направлен непосредственно оператору поисковой системы, а в случае отказа последнего — передан на рассмотрение национальному регулятору или суду.

Первые последствия

Спустя две недели после принятия решения судом ЕС компания Google начала выполнять его предписания, запустив инструмент для удаления из поисковой системы личной информации по запросу пользователя. Была запущена специальная онлайн-форма, посредством которой европейцы могут указать конкретные нежелательные данные. В этой форме необходимо указать свое имя, страну, адрес электронной почты, ссылки на данные, которые пользователь хочет удалить, с объяснением причин, а также копию его личного документа с фотографией — паспорта или ID-карты. В первый же день после предоставления Google возможности удалять ссылки из результатов поиска было подано около 12 000 заявок. В последующие дни поток жалоб не сильно уменьшился: в среднем ежедневно поступает около 10 тысяч запросов.