Úvodem – význam „big data“ pro evropskou ekonomiku
Za posledních pár let se ze zpracování osobních údajů v enormním množství k profilování jednotlivců a následnému využívání těchto informací, populárně označovaného jako „big data“, stal úspěšný byznys. Podle statistiky zveřejněné Evropskou komisí v dubnu 2015, hodnota osobních údajů Evropských občanů má do roku 2020 potenciál stoupat meziročně o 1 trilion eur.[3] Jelikož „big data“ sektor roste meziročně o 40 %, sedmkrát rychleji než IT odvětví, skutečné hodnoty mohou ještě předčit odhady. Vzhledem k těmto číslům snad nikoho ani nepřekvapuje nedávné sdělení Apple, že do nových „evropských data center“ plánuje investovat 1.7 miliardy eur.[4]
Součástí „big data“ byznysu se stalo podněcování životního stylu, ve kterém je sdílení osobních údajů sociální normou. Nadnárodní korporace se snaží pozměnit současnou definici soukromí například tím, že naše životy označují jako „timeline“ a pravidelně mění nastavení ochrany osobních údajů. A dle výsledků průzkumu realizovaného v rámci Evropské unie letos v březnu to vypadá, že se jim daří dobře. Sedm z deseti respondentů souhlasí, že sdělování svých osobních údajů pokládají za součást moderního životního stylu.[5] Nicméně, podle stejného průzkumu jen méně než čtvrtina respondentů důvěřuje firmám provozujícím online byznys, například internetovým vyhledávačům, co se ochrany osobních údajů týče.[6]
Dle české eurokomisařky Věry Jourové, která má ochranu dat na starosti, a místopředsedy Evropské komise pro jednotný digitální trh Andruse Ansipa, potenciál, který „big data“ představuje pro evropskou ekonomiku, může být plně využit, pouze pokud budou lidé důvěřovat způsobům, jakým se s jejich osobními údaji nakládá. Proto si jako jednu z priorit pro rok 2015 Evropská komise stanovila schválení reformy ochrany osobních údajů do konce letošního roku.[7]
Současná právní úprava a její teritoriální rozsah ve světle případu Google Spain
Od schválení Lisabonské smlouvy je v článku 16 Smlouvy o fungování Evropské unie výslovně zakotveno právo na ochranu osobních údajů a stejné ustanovení rovněž vytváří mandát pro Evropský parlament a Radu ke schválení předpisů zabezpečujících dostatečnou ochranu jednotlivců v souladu s tímto právem. Navíc, Listina základních práv EU (dále též jen „Listina“) uznává ve svém článku 8 právo na ochranu osobních údajů jako jedno ze základních práv.
V současnosti je hlavním předpisem regulujícím ochranu osobních údajů na úrovni EU směrnice o ochraně fyzických osob (dále též jen „Směrnice“)[8] v souvislosti se zpracováním osobních údajů z roku 1995. Nutno poznamenat, že v době schvalování znění této směrnice Internet ve své současné podobě vůbec neexistoval a Google byl založen až za tři roky. Směrnice tedy nemohla ani jen předpokládat potenciální problémy vznikající v těchto souvislostech o dvacet let později, natož je efektivně řešit.[9]
Na základě článku 29 Směrnice vznikla na úrovni EU nezávislá pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů (dále též jen „Pracovní skupina“) sestávající z představitelů úřadů pro ochranu osobních údajů jednotlivých členských států, zástupce orgánu vytvořených pro instituce Společenství a zástupce Komise. Jelikož na základě transpozice Směrnice do právních řádů členských států EU vzniklo 28 různých národních právních předpisů upravujících ochranu osobních údajů[10], úlohou Pracovní skupiny je zabezpečení jednotné aplikace národních pravidel kromě jiného prostřednictvím stanovisek ohledně úrovně ochrany osobních údajů v rámci EU. Pracovní skupina má taktéž poradní roli vůči Evropské komisi co se týče návrhů nové právní úpravy v této oblasti.
V roce 2012 Komise schválila návrh evropského obecného nařízení o ochraně osobních údajů (dále též jen „Nařízení“), který pak v březnu 2014 prošel i Evropským parlamentem, kde pro něj hlasovalo 621 z 653 přítomných europoslanců.[11] Ministři spravedlnosti na úrovni Rady EU letos v červnu schválili obecný přístup členských států k návrhu Nařízení, čímž završili tříleté vyjednávaní o podobě reformy ochrany osobních údajů.[12] Na rozdíl od směrnic jsou nařízení přímo aplikovatelná a není je nutno transponovat národními právními předpisy na úrovni členských států. Evropská reforma ochrany osobních údajů tak povede ke sjednocení právní úpravy v této oblasti, což by mělo znamenat nejen víc právní jistoty pro jednotlivce, ale také méně nákladů pro firmy podnikající v „big data“ sektoru na evropské úrovni. Ty se nově budou muset řídit pouze jedním právním předpisem a ne 28 různými zákony. Dle odhadů by reforma měla přinést snížení nákladů souvisejících se současnou roztříštěnou právní úpravou o 2,3 miliardy eur ročně.[13]
V současnosti dle článku 4 odst. 1 písm. a) stále platné Směrnice se její ustanovení uplatní, pokud ke zpracování osobních údajů dochází v rámci činnosti provozovny správce osobních údajů na území členského státu EU, a také podle článku 4 odst. 1 písm. c) Směrnice v případě, že správce není usazen na území Evropské unie, avšak zpracovává osobní údaje za využití prostředků umístněných v kterémkoli členském státu. Loni měl Soudní dvůr Evropské unie (dále též jen „Soudní dvůr“) ve věci Google Spain příležitost analyzovat teritoriální rozsah Směrnice při výkladu výše zmíněných ustanovení.
Případ se dostal před Soudní dvůr v důsledku předběžné otázky španělského Vrchního soudu ve věci stížnosti pana Mario Costeja Gonzaleze adresované španělskému Úřadu pro ochranu osobních údajů proti deníku La Vanguardia a proti společnosti Google Inc. a její španělské dceřiné společnosti Google Spain. Deník La Vanguardia 12 let před datem stížnosti uveřejnil dvě oznámení o dražbě nemovitosti pana Costeja Gonzáleze kvůli jeho dluhům na sociálním zabezpečení a kdykoliv někdo do internetového vyhledávače Google zadal jméno stěžovatele, nejpopulárnější výsledky vyhledávaní odkazovaly právě na tato oznámení. Pan Costeja González kromě jiného požadoval, aby Google Inc. a Google Spain odstranily nebo změnily odkazy na předmětné oznámení uveřejněné v La Vanguardia.[14]
Google Inc. v řízení před SDEU argumentoval, že je společností založenou podle práva Spojených států amerických se sídlem v Kalifornii, ke zpracování osobních údajů dochází mimo území Evropské unie a bez jakéhokoliv zapojení ze strany Google Spain, tedy mimo Evropskou unii a proto není možné Směrnici v případě pana Costeja Gonzalez aplikovat.[15] Soudní dvůr však vzal v potaz ekonomickou podporu poskytovanou Google Spain své mateřské společnosti při prodeji a pronájmu marketingových ploch (pozn. hlavní zdroj příjmů Google Inc.) a úzké propojení obou společností, což vedlo k závěru o aplikaci Směrice v tomto případě.[16]
Někteří akademici po uveřejnění rozsudku varovali, že na základě argumentace Soudního dvora lze dovozovat aplikaci Směrnice v jakémkoli případě v podstatě bez teritoriálních limitů. Prakticky by tedy čínský občan používající americký internetový vyhledávač, který má dceřinou společnost v EU, mohl uplatňovat svoje práva na základě Směrnice, což by mohlo vést k žádostem adresovaným autoritám v EU jednotlivci, kteří nemají žádný vztah k Evropské unii kromě toho, že používají internetové programy dostupné na jejím území.[17] To je vzhledem k právní jistotě jednotlivců i soukromých společností, a také s ohledem na nedostatek peněžních i personálních zdrojů úřadů pro ochranu osobních údajů v jednotlivých členských státech, značně nežádoucí.
Skutečně, i podle Pracovní skupiny se aplikace článku 8 Listiny, na který se v rozsudku Google Spain odkazuje, nelimituje pouze na občany EU. Avšak Pracovní skupina ve svém stanovisku také dodává, že by se národní úřady měly v praxi zaměřit na případy, které mají úzký vztah k Evropské unii, tedy stížnosti občanů nebo rezidentů EU.[18] Princip vyjadřující jasný vztah mezi EU a aktivitami správců dat je momentálně výslovně vyjádřen v článku 3 odst. 2 návrhu Nařízení, dle kterého se zpracování dat osob s bydlištěm v Evropské unii správci usazenými mimo EU bude řídit evropskými právními předpisy, pokud půjde o zpracování dat fyzických osob za účelem nabízení zboží nebo služeb na území Evropské unie. Bude tomu tak i v případě, že správce je usazený mimo území EU avšak zpracuje data jednotlivců s bydlištěm na území Unie za účelem monitorování jejich aktivity na tomto území.[19]
Jak být zapomenut podle evropského práva?
Největší pozornost po uveřejnění rozsudku ve věci Google Spain bezpochyby vzbudilo uznání existence práva být zapomenut Soudním dvorem. Podle článku 12 písm. b) Směrnice mají jednotlivci právo žádat po správci osobních údajů jejich opravu, výmaz nebo blokování, zejména v případě, že se jedná o údaje nepřesné nebo neúplné , a podle článku 14 mají také právo za určitých podmínek právo vznášet námitky proti zpracování svých osobních údajů. Generální advokát Jääskinen ve svém stanovisku ve věci Google Spain radil Soudnímu dvoru, aby existenci práva být zapomenut neuznal, protože podle jeho názoru ani ve světle Listiny toto právo ze znění Směrnice neplynulo.[20]
Nicméně Soudní dvůr nenásledoval názor Generálního advokáta a rozhodl, že s ohledem na článek 7 Listiny stanovící právo na respektování soukromého života a už výše zmíněný článek 8 Listiny stanovící právo na ochranu osobních údajů, mají jednotlivci právo na základě článků 12 písm. b) a 14 Směrnice „požadovat, aby dotčená informace již nebyla nadále poskytována široké veřejnosti prostřednictvím zahrnutí do takového seznamu výsledků“[21], zejména pokud „se zdají nepřiměřenými, jsou nepodstatné nebo již nepodstatné nebo přesahují míru s ohledem na uvedené účely a uplynulý čas“.[22]
Soudní dvůr dokonce řekl, že právo být zapomenut jako takové má v zásadě přednost nejen před „hospodářským zájmem provozovatele vyhledávače, ale rovněž nad zájmem veřejnosti nalézt uvedenou informaci při vyhledávání prováděném na základě jména subjektu údajů“.[23] Každopádně, Soudní dvůr také uznal, že toto právo není absolutní a je potřeba ho stavět do rovnováhy s právem uživatelů Internetu na přístup k určitým informacím v závislosti na jejich povaze, citlivosti vzhledem k osobnímu životu jednotlivce, kterého se tyto údaje týkají, jeho angažovanosti ve veřejném životě a odpovídající zájem veřejnosti na přístup k informacím o tomto jednotlivci.[24]
Jelikož úlohou médií, kterou v současnosti přebírají také internetové vyhledávače, je obeznamovat veřejnost se sociálními a politickými událostmi, jejichž důležitost převažuje nad jejich osobní povahou, někteří akademici kritizovali Soudní dvůr za to, že nedostatečně vyvážil právo být zapomenut oproti právu na informace a svobodě projevu a také za to, že ve věci Google Spain neuplatnil zásadu proporcionality, která je téměř už tradičně součástí rozsudků SDEU v případě střetu dvou základních práv.[25] Na druhé straně, někteří argumentují, že tato interpretace Soudního dvora je v souladu se zněním Směrnice a jejím cílem, kterým je dle článku 1 odst. 1 právě ochrana práv jednotlivců, zejména jejich soukromí v souvislosti se zpracováním osobních údajů.[26]
Soudním dvorem dovozeno pouze na základě její interpretace, návrh Nařízení ve svém článku 17 toto právo výslovně stanoví společně s přesnými podmínkami pro jeho výkon a popisem situací, ve kterých lze právo být zapomenut uplatnit.[27] Například mohou jednotlivci své právo být zapomenut využít v případě, že předmětné údaje již nejsou potřebné pro účely, pro které byly zpracované a, také když zpracování údajů je nezákonné. V případě, že neexistuje jiný zákonný důvod pro zpracování osobních údajů, mohou jednotlivci, za podmínek stanovených v návrhu Nařízení, odejmout souhlas, na jehož základě byly údaje zpracovány nebo vznést proti zpracování údajů námitky. Právo vznést námitku proti zpracování osobních údajů je upraveno v článku 19 návrhu Nařízení. Podle článku 19 odst. 2 návrhu Nařízení má jednotlivec, jedná-li se o zpracování údajů pro účely přímého marketingu, právo kdykoli vznést námitku proti zpracování svých osobních údajů a na toto právo musí být výslovně upozorněn. Pokud subjekt údajů vznese takovouto námitku, nebudou již údaje pro účely marketingu dále zpracovány.
Oproti Směrnici uvádí návrh Nařízení do rovnováhy vztah mezi právem na ochranu osobních údajů a ostatními základními právy, když výslovně stanoví, že v posuzování střetu těchto práv se musí uplatnit zásada proporcionality, a uvádí výčet práv, která Nařízení respektuje, mimo jiné i právo na svobodu projevu a přístup k informacím.[28] Podle článku 80 návrhu Nařízení se v případě zpracování osobních údajů pro žurnalistické účely, nebo pro účely akademického, uměleckého či literárního zpracování uplatní výjimky a odchylky dle příslušných právních předpisů členských států EU, pokud je to nutné pro uvedení práva na ochranu osobních údajů do souladu se svobodou projevu. Například článek 17 odst. 3 návrhu Nařízení výslovně stanoví, že se povinnosti vyplývající pro správce dat z práva jednotlivce být zapomenut neuplatní v případě, že zpracování osobních údajů je nutné pro výkon práva na svobodu projevu a informace.
Vliv správců osobních údajů na výkon práva být zapomenut
Rozsudek ve věci Google Spain také odstartoval debatu o tom, kteří z hráčů v „big data“ sektoru jsou dostatečně kompetentní pro posuzování konkrétních případů jednotlivců a vyvažování mezi dvěma výše zmíněnými právy. Generální advokát Jääskinen argumentoval, že provozovatelé internetových vyhledávačů nemají dostatek dostupných finančních ani personálních prostředků na to, aby dokázali posuzovat jednotlivé případy na individuální bázi a uspokojivě aplikovat zásadu proporcionality, což podle něj představovalo riziko automatického „odstraňování propojení na jakýkoli sporný obsah nebo k nezvládnutelnému počtu žádostí, které by nejoblíbenější a nejdůležitější poskytovatelé služeb internetového vyhledávače museli vyřizovat“.[29] Navíc, když balancování mezi základními právy se někdy zdá být náročnou úlohou pro soudy (a jak vidět z případu Google Spain i pro Soudní dvůr samotný), další příslušné úřady i pro akademickou obec, nemůže být toto uspokojivě vykonáváno soukromými korporacemi.[30]
Po uveřejnění rozsudku ve věci Google Spain zřídila společnost Google Inc. internetový formulář, jehož vyplněním můžou jednotlivci žádat odstranění svých osobních údajů z výsledků vyhledávače.[31] Ke dni 25. srpna 2015 obdržel Google na základě tohoto formuláře 300 097 žádostí, z kterých 41.5 % vedlo k odstranění příslušných URL odkazů.[32] Právnická obec nicméně varuje, že posuzování žádostí jednotlivců soukromými firmami bez dalších legislativních pokynů nebo směrnic může vést k tomu, že nadnárodní korporace budou v zásadě diktovat úroveň ochrany osobních údajů ve vztahu k právu být zapomenut.[33] Navíc, bez dostatečné kontroly ze strany veřejnosti a nejasné odpovědnosti soukromých firem může snadno dojít k tomu, že tyto budou nespravedlivě potlačovat právo na ochranu osobních údajů oproti svobodě projevu nebo obráceně.[34]
Jak je zřejmé z článku 38 návrhu Nařízení, soukromé korporace budou i po vstupu nového právního předpisu v platnost hrát velkou roli co se týče rozhodování o právu jednotlivců být zapomenut. Členské státy, Evropská komise i Evropská rada pro ochranu údajů proto podporují vypracování kodexů chování, které by pak měly být schvalovány příslušnými orgány dozoru, tedy úřady pro ochranu osobních údajů, a tak přispět k řádnému uplatňování Nařízení a zároveň reflektovat konkrétní specifika v odvětvích, kde ke zpracování osobních údajů dochází.
Závěrem
Co se týče výše analyzované teritoriální aplikace právních předpisů EU upravujících ochranu osobních údajů, výslovného uznání práva být zapomenut i konkrétních postupů při jeho uplatňování lze uzavřít, že případ Google Spain poukázal na nedostatky Směrnice z roku 1995. Tyto nedostatky jsou efektivně řešeny v odpovídajících ustanoveních návrhu Nařízení, které reflektuje potřeby rostoucího „big data“ sektoru a technologií 21. století. Lze proto očekávat, že evropská reforma ochrany osobních údajů přinese jednotlivcům i korporacím větší právní jistotu, jak si předsevzala Evropská komise na začátku letošního roku.
Autorka by ráda poděkovala advokátce Mgr. Barboře Rovenské za cenné připomínky k článku.
[1] E. POSNER, We All Have the Right to be Forgotten uveřejněné 14. května 2014 na http://www.slate.com/articles/news_and_politics/view_from_chicago/2014/05/the_european_right_to_be_forgotten_is_just_what_the_internet_needs.html
[2] Rozsudek ve věci Google Spain SL a Google Inc. proti Agencia Española de Protección de Datos (AEPD) a Mario Costeja González, C-131/12, EU:C:2014:317
[3] Evropská komise, The EU Data Protection Reform and Big Data Factsheet, duben 2015 dostupné na http://ec.europa.eu/justice/data-protection/files/data-protection-big-data_factsheet_web_en.pdf
[4] Sdělení Komise Evropskému parlamentu, Radě, Evropskému hospodářskému a sociálnímu výboru a výboru regionů: Strategie pro jednoduchý digitální trh v Evropě, 6. květen 2015, COM(2015) 192 final, str. 14
[5] Evropská komise, Special Eurobarometer 431: Data Protection, červenec 2015, str. 168 dostupné na http://ec.europa.eu/public_opinion/archives/ebs/ebs_431_en.pdf
[6] Ibid., str. 208
[7] Evropská komise, Prohlášení/15/3801 z 28. ledna 2015 dostupné na http://europa.eu/rapid/press-release_STATEMENT-15-3801_en.htm
[8] Směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů [1995] OJ L 281/31
[9] Recent Cases, Case C-131/12, Google Spain, SL, Google Inc v Agecia Espanola de Proteccion de Datos (May 13, 2014) (2014) Harvard Law Review, Issue 2, str. 735
[10] Například, v České republice jde o zákon č. 101/2000 Sb., o ochraně osobních údajů.
[11] Informace o hlasování v Evropském parlamentu dostupné na http://www.europarl.europa.eu/oeil/popups/printsda.pdf?id=23714&l=en
[12] Úplné znění obecného přístupu Rady Evropské unie k návrhu nařízení o ochraně osobních údajů dostupné na http://data.consilium.europa.eu/doc/document/ST-9565-2015-INIT/cs/pdf
[13] Evropská komise, Tisková zpráva IP/15/5176 z 15. června 201, dostupná na http://europa.eu/rapid/press-release_IP-15-5176_en.htm
[14] Rozsudek ve věci Google Spain SL a Google Inc. proti Agencia Española de Protección de Datos (AEPD) a Mario Costeja González, C-131/12, EU:C:2014:317, para. 14-20
[15] Ibid., para. 51
[16] Ibid., para. 46, 60
[17] C. KUNER, The Court of Justice of the EU Judgement on Data Protection and Internet Search Engines (2015), LSE Law, Society and Economy Working Papers, Issue 3, str. 11
[18] Art. 29 Working Party Guidelines on the Implementation of the Court of Justice of the European Union Judgement on “Google Spain and Inc v. Agencia Española de Protección de Datos (AEPD) and Mario Costeja González” C-131/12, 14/EN WP 225 přijaté 26. listopadu 2014, str. 8 http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2014/wp225_en.pdf
[19] Obecný přístup Rady Evropské unie k návrhu nařízení o ochraně osobních údajů, str. 12
[20] Stanovisko Generálního advokáta ve věci Google Spain SL a Google Inc. proti Agencia Española de Protección de Datos (AEPD) a Mario Costeja González, C-131/12, EU:C:2013:424, para. 111, 136
[21] Rozsudek ve věci Google Spain SL a Google Inc. proti Agencia Española de Protección de Datos (AEPD) a Mario Costeja González, C-131/12, EU:C:2014:317, para. 97
[22] Ibid., para. 93
[23] Ibid., para. 97
[24] Ibid., para. 80
[25] E. FRANTZIOU, Further Developments in the Right to be Forgotten: The European Court of Justice's Judgement in Case C-131/12, Google Spain, SL, Google Inc v Agecia Espanola de Proteccion de Datos (2014) Human Rights Law Review, Issue 4, str. 769
[26] Recent Cases, Case C-131/12, Google Spain, SL, Google Inc v Agecia Espanola de Proteccion de Datos (May 13, 2014) (2014) Harvard Law Review, Issue 2, str. 740
[27] A. MANTELERO, The EU Proposal for a General Data Protection Regulation and the roots of the ‘right to be forgotten’ (2013) Computer Law & Security Review, Issue 3, str. 233
[28] Obecný přístup Rady Evropské unie k návrhu nařízení o ochraně osobních údajů, str. 12
[29] Stanovisko Generálního advokáta ve věci Google Spain SL a Google Inc. proti Agencia Española de Protección de Datos (AEPD) a Mario Costeja González, C-131/12, EU:C:2013:424, para. 133
[30] C. KUNER, The Court of Justice of the EU Judgement on Data Protection and Internet Search Engines (2015), LSE Law, Society and Economy Working Papers, Issue 3, str. 19
[31] Formulář je dostupný na https://support.google.com/legal/contact/lr_eudpa?product=websearch&hl=en-GB, internetový vyhledávač Bing od společnosti Microsoft následně zveřejnil obdobný formulář na https://www.bing.com/webmaster/tools/eu-privacy-request
[32] Aktuální informace dostupné na https://www.google.com/transparencyreport/removals/europeprivacy/?hl=en
[33] E. FRANTZIOU, Further Developments in the Right to be Forgotten: The European Court of Justice's Judgement in Case C-131/12, Google Spain, SL, Google Inc v Agecia Espanola de Proteccion de Datos (2014) Human Rights Law Review, Issue 4, str. 770-771
[34] Recent Cases, Case C-131/12, Google Spain, SL, Google Inc v Agecia Espanola de Proteccion de Datos (May 13, 2014) (2014) Harvard Law Review, Issue 2, str. 741
Diskuze k článku ()