Διαγραφή δεδομένων από τις μηχανές αναζήτησης

Όπως είναι γνωστό, με την απόφαση  Google Spain SL και Google Inc. κατά Agencia Española de Protección de Datos (AEPD) και Mario Costeja González του Δικαστηρίου της Ευρωπαϊκής Ένωσης αναγνωρίσθηκε το δικαίωμα στη λήθη, έναντι - καταρχήν - των μηχανών αναζήτησης στο διαδίκτυο.

Ειδικότερα, η απόφαση δέχθηκε τα εξής:

..... ο φορέας εκμετάλλευσης μηχανής αναζήτησης υποχρεούται να απαλείφει από τον κατάλογο αποτελεσμάτων, ο οποίος εμφανίζεται κατόπιν αναζήτησης που έχει διενεργηθεί με βάση το ονοματεπώνυμο ενός προσώπου, συνδέσμους προς δημοσιευμένες από τρίτους ιστοσελίδες που περιέχουν πληροφορίες σχετικές με το πρόσωπο αυτό, και στην περίπτωση κατά την οποία το ονοματεπώνυμο αυτό ή οι πληροφορίες αυτές δεν έχουν διαγραφεί προηγουμένως ή ταυτοχρόνως από τις ως άνω ιστοσελίδες, η υποχρέωση δε αυτή ισχύει ακόμη και όταν αυτή καθαυτή η δημοσίευση των επίμαχων πληροφοριών στις εν λόγω ιστοσελίδες είναι νόμιμη.

 ...πρέπει μεταξύ άλλων να εξετάζεται αν το υποκείμενο των δεδομένων έχει δικαίωμα να πάψει η σχετική με το πρόσωπό του πληροφορία να συνδέεται, επί του παρόντος, με το ονοματεπώνυμό του μέσω του καταλόγου αποτελεσμάτων ο οποίος προκύπτει κατόπιν αναζήτησης που έχει διενεργηθεί με βάση το ονοματεπώνυμο αυτό, χωρίς πάντως η αναγνώριση του δικαιώματος αυτού να προϋποθέτει ότι η εμφάνιση της επίμαχης πληροφορίας στον κατάλογο αποτελεσμάτων προκαλεί βλάβη στο υποκείμενο των δεδομένων.

Αυτό δεν ισχύει όταν, για ειδικούς λόγους, όπως ο ρόλος που διαδραματίζει το εν λόγω υποκείμενο στον δημόσιο βίο, προκύπτει ότι η επέμβαση στα θεμελιώδη δικαιώματα του υποκειμένου δικαιολογείται από το υπέρτερο συμφέρον του κοινού για πρόσβαση στην επίμαχη πληροφορία συνεπεία της εμφάνισής της στον προαναφερθέντα κατάλογο.

Κάνοντας πράξη την απόφαση αυτή, η Google και οι άλλες μηχανές αναζήτησης, έθεσαν σε λειτουργία συστήματα διαγραφής. Ειδικά, η Google, λειτουργεί στη σελίδα: https://www.google.com/webmasters/tools/legal-removal-request?complaint_type=rtbf&visit_id=1-636314061776069401-4215593786&rd=1&pli=1  ένα σύστημα κατάργησης συνδέσμων προς ιστοσελίδες, στο οποίο περιλαμβάνεται μια φόρμα που πρέπει να συμπληρώσει ο αιτούμενος τη διαγραφή.

Μέχρι σήμερα, η Google έχει λάβει έναν πολύ μεγάλο αριθμό αιτημάτων (727.522, παγκοσμίως και 3.337 αιτήματα στην Ελλάδα), τα αιτήματα δε αυτά προέρχονται σε ποσοστό 95% από πολίτες που επιθυμούν να προστατεύσουν προσωπικές και απόρρητες πληροφορίες και όχι από πολιτικά πρόσωπα ή εγκληματήσαντες. Γίνεται, έτσι, σαφές ότι το δικαίωμα στη λήθη δεν καλύπτει τις "ασχήμιες" του παρελθόντος, αλλά αφορά εύλογα αιτήματα με σκοπό την προστασία της ιδιωτικότητας.

Ως προς το ερώτημα, "με ποια κριτήρια θα αποφασίζουν οι μηχανές αναζήτησης για τη διαγραφή αποτελεσμάτων αναζήτησης;", η ομάδα εργασίας του άρθρου 29, εξέδωσε ένα σχετικό έγγραφο:

GUIDELINES ON THE IMPLEMENTATION OF THE COURT OF JUSTICE OF THE EUROPEAN UNION JUDGMENT ON “GOOGLE SPAIN AND INC V. AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS (AEPD) AND MARIO COSTEJA GONZÁLEZ” C-131/12

Σε αυτό περιλαμβάνονται μια λίστα κριτηρίων, με βάση τα οποία θα πρέπει να γίνεται η αξιολόγηση των αιτημάτων διαγραφής. Εν περιλήψει, τα κριτήρια είναι τα εξής:

1. Το αποτέλεσμα αναζήτησης αφορά φυσικό πρόσωπο, δηλ. άτομο; Και το αποτέλεσμα αναζήτησης εμφανίζεται με βάση το όνομα του υποκειμένου των δεδομένων; 
2. το υποκείμενο των δεδομένων διαδραματίζει ρόλο στη δημόσια ζωή; Είναι δημόσιο πρόσωπο; 
3. Το υποκείμενο των δεδομένων είναι ανήλικος; 
4. Τα δεδομένα είναι ακριβή; 
5. Τα δεδομένα είναι συναφή κι όχι περισσότερα από όσα χρειάζονται; 
6. Αφορούν την επαγγελματική ζωή του υποκειμένου; 
7. Το αποτέλεσμα της αναζήτησης συνδέεται με πληροφορίες που φέρεται να συνιστούν ρητορική μίσους/συκοφαντία/δυσφήμιση ή ανάλογα αδικήματα στον τομέα της έκφρασης κατά του προσφεύγοντος; 
8. Τα δεδομένα αντικατοπτρίζουν προσωπική γνώμη ή φαίνεται να είναι επιβεβαιωμένο γεγονός; 
9. Είναι ευαίσθητα προσωπικά δεδομένα; 
10. Είναι τα δεδομένα επικαιροποιημένα; Τα στοιχεία διατίθενται για χρονικό διάστημα μεγαλύτερο από όσο απαιτείται για τον επιδιωκόμενο σκοπό; 
11. Η δημοσιοποίηση των δεδομένων έχει δυσανάλογες αρνητικές επιπτώσεις για την ιδιωτική ζωή του υποκειμένου των δεδομένων; 
12. Το αποτέλεσμα της αναζήτησης συνδέεται με πληροφορίες που θέτουν το υποκείμενο των δεδομένων σε κίνδυνο; 
13. Ποιο είναι το περικείμενο μέσα στο οποίο δημοσιεύτηκαν τα δεδομένα; Δημοσιοποιήθηκαν τα δεδομένα αυτά από το ίδιο το υποκείμενο; Θα μπορούσε να υπάρξει εύλογη προσδοκία από το υποκείμενο ότι τα δεδομένα θα δημοσιοποιηθούν; 
14. Το αρχικό κείμενο έχει δημοσιευθεί στο πλαίσιο δημοσιογραφικών σκοπών; 
15. Ο εκδότης των δεδομένων έχει τη νομική δύναμη ή τη νομική υποχρέωση να καθιστά τα δεδομένα διαθέσιμα στο κοινό; 
16. Τα δεδομένα αφορούν σε ποινικό αδίκημα;

Στην Ελλάδα, η Αρχή προστασίας δεδομένων προσωπικού χαρακτήρα έχει εκδώσει τρεις σημαντικές αποφάσεις στο θέμα αυτό. Δείτε σχετικά: https://www.lawspot.gr/nomika-blogs/vasilis-karkatzoynis/dikaioma-sti-lithi-3-simantikes-apofaseis-tis-apdph-gia-tin

Δικαίωμα στη λήθη για προσωπικά δεδομένα που περιλαμβάνονται σε μητρώο εταιριών

Μετά την απόφαση του ΔΕΕ της 13ης Μαΐου 2014, Google Spain και Google (C‑131/12, EU:C:2014:317),  με την οποία θεμελιώθηκε το δικαίωμα στην λήθη (βλ. σχετικά Ι. Ιγγλεζάκη, Η απόφαση του ΔΕΕ στην υπόθεση Google Spain (c-131/12): Το δικαίωμα στην ψηφιακή λήθη και οι μηχανές αναζήτησης στο Διαδίκτυο, ProJustitia 2015, διαθέσιμο εδώ, επίσης βλ. τον ίδιο, Το δικαίωμα στη λήθη: ένα νέο ψηφιακό δικαίωμα για τον κυβερνοχώρο, διαθέσιμο εδώ), το ΔΕΕ κλήθηκε εκ νέου, να διευκρινίσει τα όρια του δικαιώματος των φυσικών προσώπων να ζητούν τη διαγραφή ή την ανωνυμοποίηση των δεδομένων τους προσωπικού χαρακτήρα, όσον αφορά την εκ του νόμου δημοσιότητα των πληροφοριών που αφορούν τις εταιρίες, στην υπόθεση C-398/15.

Σημειώνεται ότι η απόφαση στην υπόθεση Google Spain αναγνώρισε το δικαίωμα του υποκειμένου των δεδομένων να διαγράφονται προσωπικά δεδομένα που το αφορούν και τα οποία περιλαμβάνονται στις λίστες αποτελεσμάτων των μηχανών αναζήτησης πληροφοριών στο Διαδίκτυο μετά από μια έρευνα, βάσει του ονοματεπωνύμου του υποκειμένου των δεδομένων (βλ. Ιγγλεζάκη, ό.π.), εφόσον το έννομο συμφέρον του υποκειμένου υπερέχει όχι μόνο του οικονομικού συμφέροντος του φορέα εκμετάλλευσης της μηχανής αναζήτησης, αλλά και του συμφέροντος του κοινού να αποκτήσει πρόσβαση στην πληροφορία αυτή στο πλαίσιο αναζήτησης με βάση το ονοματεπώνυμο του εν λόγω υποκειμένου, με εξαίρεση, όμως, την περίπτωση όπου το εν λόγω πρόσωπο διαδραματίζει ένα σημαντικό ρόλο στο δημόσιο βίο.

Η ένδικη περίπτωση στην υπόθεση Camera di Commercio κλπ. κατά Salvatore Manni, επί της οποίας το ΔΕΕ εξέδωσε την απόφαση της 9-3-2017, αφορούσε τη διατήρηση προσωπικών δεδομένων σε μητρώα εταιριών. Συγκεκριμένα, ο Manni είναι διαχειριστής ιταλικής εταιρίας στην οποία ανατέθηκε το έργο της ανεγέρσεως τουριστικού συγκροτήματος και υπό την ιδιότητά του αυτή άσκησε προσφυγή κατά του εμπορικού επιμελητηρίου της πόλης του Lecce, ισχυριζόμενος ότι τα ακίνητα του εν λόγω συγκροτήματος δεν εύρισκαν αγοραστές επειδή στο μητρώο εταιριών εμφανίζονταν ως διαχειριστής και εκκαθαριστής μιας εταιρίας που είχε κηρυχθεί σε πτώχευση και είχε διαγραφεί από το μητρώο εταιριών, ενώ τα στοιχεία αυτά έτυχαν επεξεργασίας από μια εταιρία που κάνει συλλογή και επεξεργασία πληροφοριών της αγοράς και εκτίμηση κινδύνων, ζήτησε δε να διαταχθεί, αφενός, το επιμελητήριο να διαγράψει, να ανωνυμοποιήσει ή να μην επιτρέπει την πρόσβαση σε δεδομένα που τον συνδέουν με την πτώχευση της ως άνω εταιρίας και, αφετέρου, να υποχρεωθεί  να τον αποζημιώσει.

Το ΔΕΕ στην υπόθεση αυτή κλήθηκε  να ερμηνεύσει τις διατάξεις δύο οδηγιών, της πρώτης οδηγίας 68/151/ΕΟΚ περί εταιριών και της οδηγίας 95/46/ΕΚ για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών. Εν προκειμένω, το ζητούμενο ήταν να συμβιβαστούν δύο αρχές, ήτοι η αρχή της δημοσιότητας των μητρώων εταιριών και η αρχή της διατηρήσεως των δεδομένων προσωπικού χαρακτήρα για χρόνο που δεν υπερβαίνει το αναγκαίο μέτρο προς επίτευξη των σκοπών για τους οποίους τα δεδομένα αυτά τυγχάνουν επεξεργασίας. 

Το Δικαστήριο, ακολούθως, έλαβε υπόψη τις διατάξεις των άρθρων 7 και 7 του Χάρτη Θεμελιωδών Δικαιωμάτων της ΕΕ, με τις οποίες προστατεύεται η ιδιωτική ζωή και τα δεδομένα προσωπικού χαρακτήρα και στις οποίες εκτίθεται ότι η επεξεργασία δεδομένων πρέπει να γίνεται νόμιμα, για καθορισμένους σκοπούς και με βάση τη συγκατάθεση του προσώπου που αφορούν ή για άλλους θεμιτούς λόγους κοκ. Συνακόλουθα, δέχθηκε ότι: "η δραστηριότητα μιας δημόσιας αρχής που συνίσταται στην καταχώριση, σε βάση δεδομένων, στοιχείων τα οποία οι εταιρίες υποχρεούνται να γνωστοποιούν βάσει εκ του νόμου υποχρεώσεων, στην παροχή της δυνατότητας στους ενδιαφερόμενους να συμβουλεύονται τα στοιχεία αυτά και στη χορήγηση αντιγράφων τους εμπίπτει στην άσκηση προνομίων δημοσίας εξουσίας (βλ. απόφαση της 12ης Ιουλίου 2012, Compass-Datenbank, C‑138/11, EU:C:2012:449, σκέψεις 40 και 41). Εξάλλου, μια τέτοια δραστηριότητα συνιστά επίσης έργο δημοσίου συμφέροντος, κατά την έννοια της ίδιας διατάξεως" (βλ. σκέψη αρ. 43).

Συγκεκριμένα, όσον αφορά το ζήτημα της διαγραφής των προσωπικών δεδομένων μετά από ορισμένο χρόνο, το ΔΕΕ αναφέρει από την οδηγία  68/151 προκύπτει πως η δημοσιότητα στην οποία αυτή αποβλέπει αποσκοπεί ιδίως στην προστασία των συμφερόντων των τρίτων και για αυτό η δημοσιότητα πρέπει να τους παρέχει τη δυνατότητα να γνωρίζουν τις ουσιώδεις καταστατικές πράξεις της οικείας εταιρίας και ορισμένα στοιχεία που την αφορούν, όπως είναι τα στοιχεία ταυτότητας των διαχειριστών ή εκπροσώπων τους.

Για το ζήτημα που αφορά την καταχώριση προσωπικών δεδομένων και μετά την παύση της δραστηριότητας μιας εταιρίας, το Δικαστήριο έκρινε ότι, λόγω του ότι και μετά τη λύση μιας εταιρίας εξακολουθούν να υφίστανται δικαιώματα και έννομες σχέσεις σχετικά με αυτήν και, συνεπώς, τα δεδομένα που είναι καταχωρημένα ενδέχεται να είναι αναγκαία, ιδίως για να εξακριβωθεί το κύρος πράξεων που γίνονται στο όνομα της εταιρίας κατά την περίοδο της δραστηριότητάς της ή για να ασκήσουν τρίτοι αγωγή κατά των μελών της εταιρίας ή των εκκαθαριστών της. Βεβαίως, δικαιολογείται η υποχρέωση των φυσικών προσώπων που ασκούν οικονομικής δραστηριότητα μέσω μιας εταιρίας να υποχρεώνονται να δημοσιοποιούν τα στοιχεία της ταυτότητάς τους και τις αρμοδιότητές τους.

Έτσι, κατά την επιβαλλόμενη στάθμιση συμφερόντων προκύπτει ότι υπερέχει, καταρχήν, η ανάγκη προστασίας των συμφερόντων των τρίτων όσον αφορά τις μετοχικές εταιρίες και τις ΕΠΕ και η προστασία της ασφάλειας δικαίου, της εντιμότητας των εμπορικών συναλλαγών και της εύρυθμης λειτουργίας της εσωτερικής αγοράς. Βεβαίως, δεν αποκλείεται όταν έχει παρέλθει ένα μεγάλο διάστημα από τη λύση της εταιρίας να συντρέχει επιτακτικοί και θεμιτοί λόγοι που συνδέονται με συγκεκριμένη περίπτωση και να δικαιολογούν εξαιρετικά τον περιορισμό της πρόσβασης εκ μέρους τρίτων στα καταχωρισμένα στο μητρώο προσωπικά δεδομένα.

To δικαίωμα στην ψηφιακή λήθη

(Προδημοσίευση από το περιοδικό Συνήγορος, τεύχος 94/2012).
Ιωάννη Δ. Ιγγλεζάκη
Επ. Καθηγητή ΑΠΘ
Δικηγόρου




Μία σημαντική καινοτομία της πρότασης Κανονισμού του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου για την προστασία δεδομένων, ο οποίος πρόκειται να αντικαταστήσει την οδηγία 95/46/ΕΚ για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών, είναι η εισαγωγή του δικαιώματος στην ψηφιακή λήθη, δηλ. του δικαιώματος των φυσικών πρόσωπων «να λησμονηθούν», σύμφωνα με την ορολογία της πρότασης Κανονισμού (άρθρο 17).

Το δικαίωμα στην ψηφιακή λήθη, το οποίο εισάγεται με την πρόταση Κανονισμού, έχει ιδιαίτερη σημασία. Στη σύγχρονη τεχνολογική πραγματικότητα είναι σχεδόν αδύνατο να διαγράψει κανείς πλήρως το ψηφιακό του παρελθόν, ιδίως λόγω της διάδοσης μεγάλου όγκου προσωπικών πληροφοριών στο πλαίσιο του συμμετοχικού Διαδικτύου (Web 2.0), στο οποίο οι πληροφορίες των χρηστών του Διαδικτύου είναι ευρέως και διαρκώς διαθέσιμες, με αποτέλεσμα να χάνουν τον έλεγχο οι χρήστες επί των πληροφοριών που τους αφορούν.


Στην ψηφιακή εποχή προβάλλει ως απαραίτητο ένα νέο δικαίωμα, το δικαίωμα του πρόσωπου να λησμονηθεί, το οποίο έχει ως περιεχόμενο την αμετάκλητη διαγραφή των προσωπικών τους δεδομένων. Σύμφωνα με την Επιτροπή της ΕΕ, το δικαίωμα αυτό συνίσταται στη δυνατότητα των φυσικών πρόσωπων να ζητήσουν τα δεδομένα που τους αφορούν να μην υποβάλλονται σε επεξεργασία και να διαγραφούν όταν δεν είναι πλέον απαραίτητα για νόμιμους σκοπούς .

Στο άρθρο 17 της πρότασης Κανονισμού ρυθμίζεται εξαντλητικά το δικαίωμα της ψηφιακής λήθης. Ειδικότερα, στην παρ. 1 προβλέπονται οι προϋποθέσεις για τη διαγραφή των προσωπικών δεδομένων και η μη περαιτέρω διάδοσή τους, ιδίως σε σχέση με όσα διατέθηκαν κατά την παιδική ηλικία του, όταν δεν είχε πλήρη επίγνωση των κινδύνων της επεξεργασίας και θέλει αργότερα να τα αφαιρέσει, κυρίως από το Διαδίκτυ . Το ενδιαφερόμενο πρόσωπο πρέπει να επικαλεστεί έναν από τους παρακάτω λόγους:
α) τα δεδομένα δεν είναι πλέον απαραίτητα σε σχέση με τους σκοπούς για τους οποίους συλλέχθηκαν ή υποβλήθηκαν άλλως πως σε επεξεργασία·
β) το πρόσωπο στο οποίο αναφέρονται τα δεδομένα αποσύρει τη συγκατάθεση επί της οποίας βασίζεται η επεξεργασία σύμφωνα με το άρθρο 6 παράγραφος 1 στοιχείο α), ή εάν το χρονικό διάστημα αποθήκευσης για το οποίο παρασχέθηκε συγκατάθεση έληξε, και εάν δεν υπάρχει άλλος νομικός λόγος για την επεξεργασία των δεδομένων·
γ) το πρόσωπο στο οποίο αναφέρονται τα δεδομένα αντιτάσσεται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα δυνάμει του άρθρου 19·
δ) η επεξεργασία των δεδομένων δεν είναι σύμφωνη προς τον παρόντα κανονισμό για άλλους λόγους.

Εξαίρεση από το δικαίωμα διαγραφής προβλέπεται στις εξής περιπτώσεις (παρ. 3):
α) για την άσκηση του δικαιώματος ελευθερίας της έκφρασης, η οποία διενεργείται αποκλειστικά για δημοσιογραφικούς σκοπούς ή για σκοπούς καλλιτεχνικής ή λογοτεχνικής έκφρασης·
β) για λόγους δημόσιου συμφέροντος στον τομέα της δημόσιας υγείας σύμφωνα με το άρθρο 81·
γ) για ιστορικούς και στατιστικούς σκοπούς ή για σκοπούς ιστορικής έρευνας·
δ) για την τήρηση εκ του νόμου υποχρεώσεως διατήρησης των δεδομένων προσωπικού χαρακτήρα την οποία υπέχει ο υπεύθυνος επεξεργασίας·
ε) στις περιπτώσεις της παρ. 4 .

Ιδιαίτερα αποτελεσματικές είναι οι διοικητικές κυρώσεις που προβλέπονται στο άρθρο 7 § 5 στοιχ. γ΄, όπου προβλέπεται ότι η αρχή ελέγχου επιβάλλει πρόστιμο ύψους έως 500.000 ευρώ, ή σε περίπτωση επιχείρησης, έως 1% του ετήσιου παγκόσμιου κύκλου εργασιών της, σε οποιονδήποτε που από δόλο ή αμέλεια δεν συμμορφώνεται προς το δικαίωμα των προσώπων στα οποία αναφέρονται τα δεδομένα να λησμονηθούν ή το δικαίωμα διαγραφής ή δεν θεσπίζει μηχανισμούς ώστε να διασφαλίζεται η τήρηση προθεσμιών ή δεν λαμβάνει όλα τα απαραίτητα μέτρα για να ενημερώσει τρίτους ότι το πρόσωπο στο οποίο αναφέρονται τα δεδομένα ζητεί να διαγραφεί κάθε σύνδεσμος, ή αντίγραφο ή αναπαραγωγή των δεδομένων προσωπικού χαρακτήρα.


Συμπέρασμα: Το δικαίωμα στην ψηφιακή λήθη, όπως κατοχυρώνεται στο άρθρο 17 της πρότασης Κανονισμού είναι ένα ισορροπημένο δικαίωμα, αλλά η πρακτική του εφαρμογή ενέχει πολλές δυσχέρειες, καθώς είναι τεχνικά πολύ δύσκολο να εντοπίσει κανείς όλους τους διαδικτυακούς τόπους, στους οποίους δημοσιεύονται τα προσωπικά δεδομένα των χρηστών και να πετύχει τη διαγραφή τους.