Speech at: STARTUP LAUNCHPAD, Saturday, 13/9/2014, at 18:00
http://www.gdgplayground.org/startups/
Thessaloniki , Pavillion 14, Egnatia 154
http://www.gdgplayground.org/startups/
Thessaloniki , Pavillion 14, Egnatia 154
Σάββατο 13 Σεπτεμβρίου 2014
Δευτέρα 25 Αυγούστου 2014
The Right to Be Forgotten in the Google Spain Case (Case C-131/12): A Clear Victory for Data Protection or an Obstacle for the Internet?
Paper uploaded in SSRN, available at: http://ssrn.com/abstract=2472323
Ioannis Iglezakis
Aristotle University of Thessaloniki - Faculty of Law
July 26, 2014
Abstract:
The right to be forgotten is a new right that is introduced in the Draft Proposal for a General Data Protection Regulation of 2012, which has been widely discussed. Critics, on the one hand, disagree with its necessity and hold the view that it represents the biggest threat to free speech on the Internet in the coming years. Viviane Reding, former EU Justice Commissioner and currently Vice-President of the EU Commission, on the other hand, describes this right as a modest expansion of existing data privacy rights. The Court of Justice of the EU with its decision of 13 May 2014 in case C-131/12 confirmed this view, interpreting the provisions of Directive 95/46/EEC in such a way as to include a right ‘to be forgotten’ on the Net. The case refers particularly to search engines and their obligation to remove links to web pages from their lists of results, following requests of data subjects on the grounds that information should no longer be linked to their name by means of such a list and taking into account that even initially lawful processing of accurate data may, in the course of time, become incompatible with the directive where those data are no longer necessary in the light of the purposes for which they were collected or processed. This ruling addresses only one aspect of the ‘right to be forgotten’, which concerns the role of Internet Intermediaries, but has wider implications that need to be examined.
Number of Pages in PDF File: 17
Keywords: Data protection, freedom of expression, right to be forgotten, right to oblivion, search engines
JEL Classification: K39
working papers series Κυριακή 17 Αυγούστου 2014
Προδικαστικό ερώτημα προς το ΔΕΕ σχετικά με τη δικαιοδοσία των εθνικών αρχών προστασίας προσωπικών δεδομένων
Στο ΔΕΕ παραπέμπεται μια υπόθεση (C-230/14) που αφορά την προστασία προσωπικών δεδομένων και τη δικαιοδοσία, συγκεκριμένα, μιας εθνικής αρχής προστασίας προσωπικών δεδομένων, έναντι κατόχου ιστοσελίδας με εγκατάσταση σε άλλο κράτος μέλος της ΕΕ.
H συγκεκριμένη υπόθεση έχει ως εξής: Η Ουγγρική αρχή προστασίας προσωπικών δεδομένων επέβαλε το μέγιστο προβλεπόμενο διοικητικό πρόστιμο (€ 35.700) σε ένα διαδικτυακό μεσιτικό κατάστημα για παράνομη επεξεργασία προσωπικών δεδομένων που έχει ως έδρα τη Σλοβακία. Η εν λόγω εταιρία εξαπατούσε τους καταναλωτές, προσφέροντας αρχικώς δωρεάν υπηρεσίες, αλλά μετά από δοκιμαστική περίοδο τους χρέωνε με υψηλά ποσά. Ο υπεύθυνος επεξεργασίας αρνούνταν στους πελάτες να υπαναχωρήσουν και να αφαιρέσουν τις αγγελίες που έβαζαν, η ισχύς των οποίων έληγε εφόσον ο πελάτης δεν πλήρωνε. Και επίσης, μεταβίβαζαν τα δεδομένα των πελατών σε εξωτερικούς παροχείς χωρίς τη συναίνεσή τους και χωρίς ενημέρωση (βλ. αναλυτικά εδώ). Η Ουγγρική Αρχή προστασίας προσωπικών δεδομένων που διερεύνησε τις καταγγελίες των πελατών του καταστήματος αυτού καταδίκασε την εταιρία σε πρόστιμο και η τελευταία άσκησε προσφυγή ενώπιον δικαστηρίου. Στην κατ' έφεση δίκη, το δικαστήριο απηύθυνε προδικαστικό ερώτημα προς το ΔΕΕ σχετικά με τη δικαιοδοσία της Ουγγρικής Αρχής και το εφαρμοστέο δίκαιο.
Ειδικότερα, τα προδικαστικά ερωτήματα είναι τα εξής:
Έχει το άρθρο 28, παράγραφος 1, της οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (στο εξής: οδηγία για την προστασία των δεδομένων), την έννοια ότι η εθνική νομοθεσία κράτους μέλους μπορεί να εφαρμοσθεί, εντός του εδάφους του κράτους μέλους αυτού στην περίπτωση υπευθύνου επεξεργασίας δεδομένων με πλήρη εγκατάσταση σε άλλο κράτος μέλος, ο οποίος εκμεταλλεύεται διαδικτυακό ιστότοπο μεσιτείας ακινήτων και προωθεί, μεταξύ άλλων, ακίνητα ευρισκόμενα στο έδαφος του πρώτου κράτους μέλους, των οποίων οι ιδιοκτήτες διαβίβασαν τα δεδομένα προσωπικού χαρακτήρα που τους αφορούν σε μέσο (εξυπηρετητή) αποθηκεύσεως και επεξεργασίας δεδομένων που ανήκει στον διαχειριστή του δικτυακού τόπου και βρίσκεται σε άλλο κράτος μέλος;
Έχει το άρθρο 4, παράγραφος 1, στοιχείο α΄, της οδηγίας για την προστασία των δεδομένων, υπό το πρίσμα των αιτιολογικών σκέψεων 18 έως 20 και των άρθρων 1, παράγραφος 2, και 28, παράγραφος 1, την έννοια ότι η Magyar Adatvédelmi és Információszabadság Hatóság (στο εξής: αρχή προστασίας δεδομένων) δεν μπορεί να εφαρμόσει το ουγγρικό δίκαιο περί προστασίας δεδομένων, ως εθνικό δίκαιο, στην περίπτωση διαχειριστή δικτυακού τόπου μεσιτείας ακινήτων εγκαταστημένου αποκλειστικώς σε άλλο κράτος μέλος, ούτε καν όταν αυτός προωθεί, μεταξύ άλλων, ουγγρικά ακίνητα των οποίων οι ιδιοκτήτες διαβίβασαν, πιθανώς από την Ουγγαρία, τα δεδομένα που αφορούν τα ακίνητά τους σε μέσο (εξυπηρετητή) αποθηκεύσεως και επεξεργασίας δεδομένων που ανήκει στον διαχειριστή του δικτυακού τόπου και βρίσκεται σε άλλο κράτος μέλος;
Έχει σημασία για την ερμηνεία το γεγονός ότι η υπηρεσία που παρέχει ο υπεύθυνος επεξεργασίας δεδομένων, ο οποίος εκμεταλλεύεται τον διαδικτυακό ιστότοπο, αφορά το έδαφος άλλου κράτους μέλους;
Έχει σημασία για την ερμηνεία το γεγονός ότι τα δεδομένα που αφορούν τα ακίνητα που βρίσκονται στο έδαφος του άλλου κράτους μέλους και τα δεδομένα προσωπικού χαρακτήρα των ιδιοκτητών των ακινήτων μεταφορτώθηκαν εντός του εδάφους του εν λόγω άλλου κράτους μέλους;
Έχει σημασία για την ερμηνεία το γεγονός ότι τα δεδομένα προσωπικού χαρακτήρα που αφορούν τα εν λόγω ακίνητα είναι δεδομένα προσωπικού χαρακτήρα πολιτών άλλου κράτους μέλους;
Έχει σημασία για την ερμηνεία το γεγονός ότι οι ιδιοκτήτες της εγκαταστημένης στη Σλοβακία επιχειρήσεως διαμένουν στην Ουγγαρία;
Εάν από τις απαντήσεις στα προηγούμενα ερωτήματα προκύπτει ότι η ουγγρική αρχή προστασίας των δεδομένων μπορεί να κινήσει διαδικασία, αλλά δεν μπορεί να εφαρμόσει το εθνικό δίκαιο και πρέπει να εφαρμόσει το δίκαιο του κράτους μέλους εγκαταστάσεως, έχει το άρθρο 28, παράγραφος 6, της οδηγίας για την προστασία των δεδομένων την έννοια ότι η ουγγρική αρχή προστασίας δεδομένων μπορεί να ασκήσει μόνον τις εξουσίες που προβλέπονται στο άρθρο 28, παράγραφος 3, της οδηγίας για την προστασία των δεδομένων σύμφωνα με τα οριζόμενα στη νομοθεσία του κράτους μέλους εγκαταστάσεως και ότι, για τον λόγο αυτό, δεν έχει εξουσία επιβολής προστίμου;
Βλ. σχετικά:CARLO PILTZ, Vorlagefragen an den EuGH: Wie weit reicht der Arm nationaler Datenschutzbehörden? Posted on
Σάββατο 19 Ιουλίου 2014
Απόφαση ΔΕΕ στην υπόθεση C-360/13: Το δικτυακό ξεφύλλισμα (browsing) δεν εμπίπτει στο δικαίωμα του δημιουργού
Το Δικαστήριο έκρινε αίτηση προδικαστικής αποφάσεως που αφορά την ερμηνεία του άρθρου 5, παράγραφος 1, της οδηγίας 2001/29/ΕΚ. Η εν λόγω αίτηση υποβλήθηκε στο πλαίσιο ένδικης διαφοράς μεταξύ της Public Relations Consultants Association Ltd (στο εξής: PRCA) και της Newspaper Licensing Agency Ltd κ.λπ. (στο εξής: NLA) με αντικείμενο την υποχρέωση λήψεως άδειας από τους δικαιούχους των δικαιωμάτων του δημιουργού πριν την επίσκεψη σε ιστοσελίδες, η οποία συνεπάγεται τη δημιουργία αντιγράφων των συγκεκριμένων ιστοσελίδων στην οθόνη του υπολογιστή του χρήστη καθώς και στην κρυφή μνήμη του σκληρού δίσκου του εν λόγω υπολογιστή.
Το Δικαστήριο ερμήνευσε την ως άνω διάταξη σύμφωνα με την οποία, μια πράξη αναπαραγωγής εξαιρείται του δικαιώματος αναπαραγωγής του άρθρου 2 της οδηγίας αυτής, αν:
– είναι προσωρινή·
– είναι μεταβατική ή παρεπόμενη·
– αποτελεί αναπόσπαστο και ουσιώδες τμήμα μιας τεχνολογικής μεθόδου·
– έχει ως αποκλειστικό σκοπό να επιτρέψει την εντός δικτύου μετάδοση μεταξύ τρίτων μέσω διαμεσολαβητή ή τη νόμιμη χρήση ενός έργου ή άλλου προστατευομένου αντικειμένου και
– η πράξη αυτή δεν έχει καμία αυτοτελή οικονομική σημασία.
Σχετικά δέχθηκε ότι:
α) Όσον αφορά την πρώτη προϋπόθεση, κατά την οποία η πράξη αναπαραγωγής πρέπει να είναι προσωρινή, από τη δικογραφία προκύπτει ότι τα αντίγραφα στην οθόνη καταργούνται μόλις ο χρήστης του Διαδικτύου απομακρυνθεί από την ιστοσελίδα την οποία επισκέφθηκε. Αφετέρου, τα αντίγραφα στην κρυφή μνήμη αντικαθίστανται κατά κανόνα αυτομάτως από άλλο υλικό μετά από κάποιο διάστημα, το οποίο εξαρτάται από τη χωρητικότητα της κρυφής μνήμης και από τον βαθμό και τη συχνότητα της χρήσεως του Διαδικτύου από τον συγκεκριμένο χρήστη. Ως εκ τούτου, τα εν λόγω αντίγραφα έχουν προσωρινό χαρακτήρα.
β) τα αντίγραφα στην οθόνη και τα αντίγραφα στην κρυφή μνήμη πρέπει να θεωρηθεί ότι αποτελούν αναπόσπαστο και ουσιώδες τμήμα της επίμαχης τεχνολογικής μεθόδου.
γ) Η πράξη αναπαραγωγής πρέπει να είναι είτε μεταβατική είτε παρεπόμενη. Σύμφωνα με το ΔΕΕ, τα αντίγραφα στην κρυφή μνήμη δεν έχουν ούτε αυτοτελή ύπαρξη ούτε αυτοτελή σκοπό σε σχέση με την επίμαχη τεχνολογική μέθοδο και πρέπει, για τον λόγο αυτό, να χαρακτηρισθούν ως «παρεπόμενα». Επομένως, τα αντίγραφα στην οθόνη και τα αντίγραφα στην κρυφή μνήμη πληρούν τη δεύτερη προϋπόθεση του άρθρου 5, παράγραφος 1, της οδηγίας 2001/29.
δ) τα επίμαχα έννομα συμφέροντα των δικαιούχων των δικαιωμάτων του δημιουργού προστατεύονται προσηκόντως, καθ' ότι τα εν λόγω αντίγραφα δεν θίγουν αδικαιολογήτως τα έννομα συμφέροντα των δικαιούχων των δικαιωμάτων δημιουργού, μολονότι παρέχουν καταρχήν στους χρήστες του Διαδικτύου τη δυνατότητα προσβάσεως, χωρίς την άδεια των δικαιούχων αυτών, σε έργα που έχουν αναρτηθεί σε ιστοσελίδες.
ε) Τέλος, διαπιστώνεται ότι η δημιουργία αντιγράφων στην οθόνη και αντιγράφων στην κρυφή μνήμη δεν αντίκειται στην κανονική εκμετάλλευση των έργων.
Για τους λόγους αυτούς, το Δικαστήριο (τέταρτο τμήμα) αποφαίνεται:
Το άρθρο 5 της οδηγίας 2001/29/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 22ας Μαΐου 2001, για την εναρμόνιση ορισμένων πτυχών του δικαιώματος του δημιουργού και συγγενικών δικαιωμάτων στην κοινωνία της πληροφορίας, έχει την έννοια ότι τα αντίγραφα στην οθόνη και τα αντίγραφα στην κρυφή μνήμη που δημιουργούνται από τον τελικό χρήστη κατά την προβολή ιστοσελίδας πληρούν τις προϋποθέσεις κατά τις οποίες τα εν λόγω αντίγραφα πρέπει να είναι προσωρινά, να έχουν μεταβατικό ή παρεπόμενο χαρακτήρα και να αποτελούν αναπόσπαστο και ουσιώδες τμήμα μιας τεχνολογικής μεθόδου, καθώς και τις προϋποθέσεις του άρθρου 5, παράγραφος 5, της εν λόγω οδηγίας, και μπορούν, ως εκ τούτου, να δημιουργούνται χωρίς την άδεια των δικαιούχων των δικαιωμάτων του δημιουργού.
Ψηφιακές βιβλιοθήκες: υπόθεση C-117/13 ΔΕΚ
Το Bundesgerichtshof (Γερμανία) υπέβαλε αίτηση προδικαστικής αποφάσεως στις 14 Μαρτίου 2013 - Technische Universität Darmstadt κατά Eugen Ulmer KG (Υπόθεση C-117/13).
Η αίτηση προδικαστικής αποφάσεως αφορά την ερμηνεία του άρθρου 5, παράγραφος 3, στοιχείο ιδ΄, της οδηγίας 2001/29/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 22ας Μαΐου 2001, για την εναρμόνιση ορισμένων πτυχών του δικαιώματος του δημιουργού και [των] συγγενικών δικαιωμάτων στην κοινωνία της πληροφορίας.
Η διαφορά της κύριας δίκης έχει ανακύψει μεταξύ του Technische Universität Darmstadt (στο εξής: TU Darmstadt) και ενός εκδοτικού οίκου, της εταιρίας Eugen Ulmer KG, με αντικείμενο τη διάθεση εκ μέρους του πρώτου στο κοινό, μέσω τερματικών εγκατεστημένων στους χώρους του αναγνωστηρίου βιβλιοθήκης, επιστημονικού συγγράμματος το οποίο ανήκει στη συλλογή της εν λόγω βιβλιοθήκης και του οποίου τα δικαιώματα εκμεταλλεύσεως κατέχει η Eugen Ulmer KG.
Τα προδικαστικά ερωτήματα που έχει υποβάλει το Bundesgerichtshof (Ανώτατο Ομοσπονδιακό Δικαστήριο της Γερμανίας) έχουν σχέση με βιβλιοθήκη ανοικτή στο κοινό και αφορούν, πρώτον, την ερμηνεία της έννοιας του «έργου που υπόκειται σε όρους αγοράς ή άδειας», δεύτερον, την ψηφιοποίηση έργων που ανήκουν σε βιβλιοθήκες και, τρίτον, το ζήτημα αν οι χρήστες μπορούν όχι μόνο να συμβουλεύονται (διαβάζουν) τα ψηφιοποιημένα έργα, αλλά επίσης να τα εκτυπώνουν σε χαρτί και να τα αποθηκεύουν σε φορητή μνήμη USB.
Ειδικότερα, πρόκειται για τα εξής ερωτήματα:
1) Ισχύουν όροι αγοράς ή άδειας, κατά την έννοια του άρθρου 5, παράγραφος 3, στοιχείο ιδ΄, της οδηγίας 2001/29/ΕΚ , στην περίπτωση στην οποία ο δικαιούχος έχει προτείνει στα ιδρύματα που μνημονεύονται στη διάταξη αυτή τη σύναψη υπό εύλογους όρους συμβάσεων παραχωρήσεως άδειας για τη χρήση ορισμένου έργου;
2) Απονέμει το άρθρο 5, παράγραφος 3, στοιχείο ιδ΄, της οδηγίας 2001/29/ΕΚ στα κράτη μέλη την εξουσία να παρέχουν στα προαναφερθέντα ιδρύματα το δικαίωμα να ψηφιοποιούν τα έργα που περιλαμβάνονται στις συλλογές τους, εφόσον η ψηφιοποίηση είναι αναγκαία προκειμένου να καταστεί δυνατή η διάθεση των έργων αυτών στο κοινό μέσω τερματικών;
3) Επιτρέπεται τα δικαιώματα τα οποία έχουν προβλέψει τα κράτη μέλη δυνάμει του άρθρου 5, παράγραφος 3, στοιχείο ιδ΄, της οδηγίας 2001/29/ΕΚ να έχουν τόσο ευρύ περιεχόμενο, ώστε να παρέχουν στους χρήστες των τερματικών τη δυνατότητα να εκτυπώνουν σε χαρτί ή να αποθηκεύουν σε φορητή μνήμη USB τα έργα που τίθενται στη διάθεση των εν λόγω χρηστών μέσω των τερματικών αυτών;
Η κύρια δίκη έχει τον χαρακτήρα δίκης-«πιλότου» και αυτό είναι ενδεικτικό της σημασίας που έχει η υπό κρίση υπόθεση για τις βιβλιοθήκες, τους δημιουργούς και τους εκδοτικούς οίκους, ιδίως τους εκδοτικούς οίκους στον χώρο των επιστημονικών συγγραμμάτων.
Ο Γεν. Εισαγγελέας NIILO JÄÄSKINEN με τις προτάσεις της της 5ης Ιουνίου 2014 προτείνει στο Δικαστήριο την εξής απάντηση στα προδικαστικά ερωτήματα:
1) Το άρθρο 5, παράγραφος 3, στοιχείο ιδ΄, της οδηγίας 2001/29/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 22ας Μαΐου 2001, για την εναρμόνιση ορισμένων πτυχών του δικαιώματος του δημιουργού και [των] συγγενικών δικαιωμάτων στην κοινωνία της πληροφορίας, έχει την έννοια ότι ένα έργο δεν υπόκειται σε όρους αγοράς ή άδειας, όταν ο δικαιούχος προτείνει στα διαλαμβανόμενα στη διάταξη αυτή ιδρύματα τη σύναψη υπό εύλογους όρους συμβάσεων παραχωρήσεως άδειας για τη χρήση του έργου αυτού.
2) Το άρθρο 5, παράγραφος 3, στοιχείο ιδ΄, της οδηγίας 2001/29, ερμηνευόμενο υπό το πρίσμα του άρθρου 5, παράγραφος 2, στοιχείο γ΄, της εν λόγω οδηγίας, δεν απαγορεύει στα κράτη μέλη να παρέχουν στα ιδρύματα που διαλαμβάνονται στην εν λόγω διάταξη το δικαίωμα να ψηφιοποιούν τα έργα που περιλαμβάνονται στις συλλογές τους, εφόσον αυτό είναι αναγκαίο για τη διάθεση των ως άνω έργων στο κοινό μέσω εξειδικευμένων τερματικών.
3) Τα δικαιώματα που μπορούν να προβλέπουν τα κράτη μέλη σύμφωνα με το άρθρο 5, παράγραφος 3, στοιχείο ιδ΄, της οδηγίας 2001/29 δεν παρέχουν στους χρήστες των εξειδικευμένων τερματικών τη δυνατότητα να εκτυπώνουν σε χαρτί ή να αποθηκεύουν σε φορητή μνήμη USB τα έργα που τίθενται στη διάθεσή τους μέσω των εν λόγω τερματικών.
Ακολούθως, την 11.9.2014 εκδόθηκε η απόφαση του Δικαστηρίου, η οποία ουσιαστικά έκανε δεκτές τις προτάσεις του Γεν. Εισαγγελέα και ανοίγει το δρόμο για την ψηφιοποίηση βιβλίων από τις βιβλιοθήκες.
Το ΔΕΕ δέχθηκε, καταρχήν ότι η έννοια «όροι αγοράς ή άδειας», η οποία χρησιμοποιείται στο άρθρο 5, παράγραφος 3, στοιχείο ιδ΄, της οδηγίας 2001/29, πρέπει να ερμηνευθεί ως σημαίνουσα ότι ο δικαιούχος δικαιωμάτων του δημιουργού και ένα ίδρυμα αναφερόμενο στη διάταξη αυτή, όπως είναι μια βιβλιοθήκη ανοικτή στο κοινό, πρέπει να έχουν συνάψει σύμβαση παραχώρησης άδειας για την εκμετάλλευση ή τη χρήση του οικείου έργου, η οποία να προβλέπει τους όρους υπό τους οποίους το εν λόγω ίδρυμα μπορεί να χρησιμοποιεί το έργο αυτό.
Η απάντηση που έδωσε, στη συνέχεια, το Δικαστήριο στο δεύτερο ερώτημα αφορά το δικαίωμα των βιβλιοθηκών να ψηφιοποιούν τα έργα περιλαμβάνονται στις συλλογές τους. Το Δικαστήριο επισήμανε ότι δεν αμφισβητείται ότι η ψηφιοποίηση ενός έργου αποτελεί πράξη αναπαραγωγής του έργου, αφού συνίσταται κυρίως στη μετατροπή του αναλογικού μορφοτύπου του έργου σε ψηφιακό μορφότυπο. Το ερώτημα που τέθηκε συναφώς ήταν αν το δικαίωμα αναπαραγωγής στις ανοικτές στο κοινό βιβλιοθήκες, μολονότι, κατά το άρθρο 2 της οδηγίας αυτής, οι δημιουργοί έχουν το αποκλειστικό δικαίωμα να επιτρέπουν ή να απαγορεύουν την αναπαραγωγή των έργων τους.
Το ΔΕΕ δέχθηκε ότι η παροχή πρόσβασης σε έργα που ανήκουν στη συλλογή μιας βιβλιοθήκης, στο κοινό, δηλαδή στο σύνολο των ιδιωτών που χρησιμοποιούν εξειδικευμένα τερματικά, τα οποία είναι εγκατεστημένα στους χώρους του, με σκοπό την έρευνα ή την ιδιωτική μελέτη, πρέπει να χαρακτηριστεί «διάθεση» και, κατά συνέπεια, «πράξη παρουσίασης» υπό την έννοια του άρθρου 3, παράγραφος 1, της οδηγίας 2001/29. Τα εν λόγω ιδρύματα δεν έχουν, κατά κανόνα, το δικαίωμα να ψηφιοποιούν όλα τα έργα που ανήκουν στις συλλογές τους. Αντίθετα, η προϋπόθεση αυτή πληρούται καταρχήν όταν η ψηφιοποίηση ορισμένων από τα έργα που ανήκουν σε μια συλλογή είναι αναγκαία για τη «χρήση, με παρουσίαση ή διάθεση, με σκοπό την έρευνα ή την ιδιωτική μελέτη, σε μέλη του κοινού μέσω εξειδικευμένων τερματικών».
Όσον αφορά τη δυνατότητα των βιβλιοθηκών να θέτουν έργα που περιλαμβάνονται στις συλλογές τους στη διάθεση των χρηστών μέσω εξειδικευμένων τερματικών που καθιστούν δυνατή την εκτύπωσή τους σε χαρτί ή την αποθήκευσή τους σε φορητή μνήμη USB, το Δικαστήριο δέχθηκε ότι αυτές οι πράξεις αναπαραγωγής, αντίθετα από ό,τι ισχύει για ορισμένες πράξεις ψηφιοποίησης ενός έργου, δεν είναι δυνατόν να επιτρέπονται, αφού δεν είναι αναγκαίες για να μπορεί το έργο αυτό να τίθεται στη διάθεση των χρηστών, μέσω εξειδικευμένων τερματικών, ενώ δεν πραγματοποιούνται από τα ιδρύματα, αλλά από τους χρήστες των τερματικών.
Ως εκ τούτου, το ΔΕΕ έδωσε την απάντηση στο τρίτο ερώτημα ότι το άρθρο 5, παράγραφος 3, στοιχείο ιδ΄, της οδηγίας 2001/29 έχει την έννοια ότι δεν καλύπτει πράξεις όπως είναι η εκτύπωση έργων σε χαρτί ή η αποθήκευσή τους σε φορητή μνήμη USB, τις οποίες πραγματοποιούν οι χρήστες μέσω εξειδικευμένων τερματικών, τα οποία είναι εγκατεστημένα εντός βιβλιοθηκών που είναι ανοικτές στο κοινό και τις οποίες αφορά η εν λόγω διάταξη. Αντίθετα, οι πράξεις αυτές είναι δυνατόν να επιτρέπονται βάσει της εθνικής νομοθεσίας που μεταφέρει στην εθνική έννομη τάξη τις εξαιρέσεις ή τους περιορισμούς που προβλέπονται στο άρθρο 5, παράγραφος 2, στοιχείο α΄ ή β΄, της οδηγίας αυτής, εφόσον πληρούνται σε κάθε συγκεκριμένη περίπτωση οι προϋποθέσεις που θέτουν οι διατάξεις αυτές.
Το ΔΕΕ δέχθηκε, καταρχήν ότι η έννοια «όροι αγοράς ή άδειας», η οποία χρησιμοποιείται στο άρθρο 5, παράγραφος 3, στοιχείο ιδ΄, της οδηγίας 2001/29, πρέπει να ερμηνευθεί ως σημαίνουσα ότι ο δικαιούχος δικαιωμάτων του δημιουργού και ένα ίδρυμα αναφερόμενο στη διάταξη αυτή, όπως είναι μια βιβλιοθήκη ανοικτή στο κοινό, πρέπει να έχουν συνάψει σύμβαση παραχώρησης άδειας για την εκμετάλλευση ή τη χρήση του οικείου έργου, η οποία να προβλέπει τους όρους υπό τους οποίους το εν λόγω ίδρυμα μπορεί να χρησιμοποιεί το έργο αυτό.
Η απάντηση που έδωσε, στη συνέχεια, το Δικαστήριο στο δεύτερο ερώτημα αφορά το δικαίωμα των βιβλιοθηκών να ψηφιοποιούν τα έργα περιλαμβάνονται στις συλλογές τους. Το Δικαστήριο επισήμανε ότι δεν αμφισβητείται ότι η ψηφιοποίηση ενός έργου αποτελεί πράξη αναπαραγωγής του έργου, αφού συνίσταται κυρίως στη μετατροπή του αναλογικού μορφοτύπου του έργου σε ψηφιακό μορφότυπο. Το ερώτημα που τέθηκε συναφώς ήταν αν το δικαίωμα αναπαραγωγής στις ανοικτές στο κοινό βιβλιοθήκες, μολονότι, κατά το άρθρο 2 της οδηγίας αυτής, οι δημιουργοί έχουν το αποκλειστικό δικαίωμα να επιτρέπουν ή να απαγορεύουν την αναπαραγωγή των έργων τους.
Το ΔΕΕ δέχθηκε ότι η παροχή πρόσβασης σε έργα που ανήκουν στη συλλογή μιας βιβλιοθήκης, στο κοινό, δηλαδή στο σύνολο των ιδιωτών που χρησιμοποιούν εξειδικευμένα τερματικά, τα οποία είναι εγκατεστημένα στους χώρους του, με σκοπό την έρευνα ή την ιδιωτική μελέτη, πρέπει να χαρακτηριστεί «διάθεση» και, κατά συνέπεια, «πράξη παρουσίασης» υπό την έννοια του άρθρου 3, παράγραφος 1, της οδηγίας 2001/29. Τα εν λόγω ιδρύματα δεν έχουν, κατά κανόνα, το δικαίωμα να ψηφιοποιούν όλα τα έργα που ανήκουν στις συλλογές τους. Αντίθετα, η προϋπόθεση αυτή πληρούται καταρχήν όταν η ψηφιοποίηση ορισμένων από τα έργα που ανήκουν σε μια συλλογή είναι αναγκαία για τη «χρήση, με παρουσίαση ή διάθεση, με σκοπό την έρευνα ή την ιδιωτική μελέτη, σε μέλη του κοινού μέσω εξειδικευμένων τερματικών».
Όσον αφορά τη δυνατότητα των βιβλιοθηκών να θέτουν έργα που περιλαμβάνονται στις συλλογές τους στη διάθεση των χρηστών μέσω εξειδικευμένων τερματικών που καθιστούν δυνατή την εκτύπωσή τους σε χαρτί ή την αποθήκευσή τους σε φορητή μνήμη USB, το Δικαστήριο δέχθηκε ότι αυτές οι πράξεις αναπαραγωγής, αντίθετα από ό,τι ισχύει για ορισμένες πράξεις ψηφιοποίησης ενός έργου, δεν είναι δυνατόν να επιτρέπονται, αφού δεν είναι αναγκαίες για να μπορεί το έργο αυτό να τίθεται στη διάθεση των χρηστών, μέσω εξειδικευμένων τερματικών, ενώ δεν πραγματοποιούνται από τα ιδρύματα, αλλά από τους χρήστες των τερματικών.
Ως εκ τούτου, το ΔΕΕ έδωσε την απάντηση στο τρίτο ερώτημα ότι το άρθρο 5, παράγραφος 3, στοιχείο ιδ΄, της οδηγίας 2001/29 έχει την έννοια ότι δεν καλύπτει πράξεις όπως είναι η εκτύπωση έργων σε χαρτί ή η αποθήκευσή τους σε φορητή μνήμη USB, τις οποίες πραγματοποιούν οι χρήστες μέσω εξειδικευμένων τερματικών, τα οποία είναι εγκατεστημένα εντός βιβλιοθηκών που είναι ανοικτές στο κοινό και τις οποίες αφορά η εν λόγω διάταξη. Αντίθετα, οι πράξεις αυτές είναι δυνατόν να επιτρέπονται βάσει της εθνικής νομοθεσίας που μεταφέρει στην εθνική έννομη τάξη τις εξαιρέσεις ή τους περιορισμούς που προβλέπονται στο άρθρο 5, παράγραφος 2, στοιχείο α΄ ή β΄, της οδηγίας αυτής, εφόσον πληρούνται σε κάθε συγκεκριμένη περίπτωση οι προϋποθέσεις που θέτουν οι διατάξεις αυτές.
Το συμπέρασμα είναι ότι οι βιβλιοθήκες έχουν τη δυνατότητα να ψηφιοποιούν τα έργα τους και να τα θέτουν στη διάθεση του κοινού - εντός της βιβλιοθήκης - μέσω τερματικών, αλλά όχι και να καθιστούν δυνατή την εκτύπωσή τους ή την αποθήκευσή τους σε μνήμη USB, εκτός εάν το επιτρέψει αυτό η εθνική νομοθεσία. Ωστόσο, η απόφαση αυτή δεν καλύπτει καταρχήν την επιγραμμική διάθεση των έργων από online - ψηφιακές βιβλιοθήκες, αλλά κατά την άποψή μας, λόγω του ότι η απόφαση αναφέρεται στην παρουσίαση των έργων, θα μπορούσαν και οι επιγραμμικές ψηφιακές βιβλιοθήκες να επωφεληθούν από τη νομολογία αυτή.
Τετάρτη 16 Ιουλίου 2014
Βιντεοεπιτήρηση από ιδιώτες - η υπόθεση František Ryneš κατά Úřad pro ochranu osobních údajů στο ΔΕΕ
ΠΡΟΤΑΣΕΙΣ ΤΟΥ ΓΕΝΙΚΟΥ ΕΙΣΑΓΓΕΛΕΑ
NIILO JÄÄSKINEN
της 10ης Ιουλίου 2014 (Υπόθεση C‑212/13)
František Ryneš
κατά
Úřad pro ochranu osobních údajů
[αίτηση του Nejvyšší správní soud (Τσεχική Δημοκρατία) για την έκδοση προδικαστικής αποφάσεως]
Προτάσεις
1. Γενικά
Το Nejvyšší správní soud (Ανώτατο διοικητικό δικαστήριο, Τσεχική Δημοκρατία) υπέβαλε προδικαστικό ερώτημα προς το Δικαστήριο σε σχέση με την ερμηνεία της εξαιρέσεως στο άρθρο 3 παρ. 2 περ. β΄της οδηγίας 95/46, σύμφωνα με την οποία, η εν λόγω οδηγία δεν εφαρμόζεται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα «η οποία πραγματοποιείται από φυσικό πρόσωπο στο πλαίσιο αποκλειστικά προσωπικών ή οικιακών δραστηριοτήτων». Το ζήτημα προέκυψε στο πλαίσιο διαφοράς μεταξύ του František Ryneš και του Úřad pro ochranu osobních údajů (Γραφείου για την προστασία των δεδομένων προσωπικού χαρακτήρα, στο εξής: Γραφείο), που έχει ως αντικείμενο απόφαση με την οποία το εν λόγω Γραφείο διαπίστωσε ότι ο F. Ryneš, τοποθετώντας κάτω από το γείσο της στέγης της οικίας του κάμερα ασφαλείας η οποία κατέγραφε όχι μόνον την οικία του, αλλά και τη δημόσια οδό και την απέναντι οικία, παρέβη πλειστάκις τη νομοθεσία περί προστασίας των δεδομένων προσωπικού χαρακτήρα.
2. Ιστορικό της υπόθεσης
Κατά την περίοδο από 5 Οκτωβρίου 2007 έως 11 Απριλίου 2008, ο F. Ryneš χρησιμοποιούσε κάμερα τοποθετηθείσα κάτω από το γείσο της στέγης της οικίας του. Η κάμερα αυτή ήταν στερεωμένη, χωρίς δυνατότητα περιστροφής, και μαγνητοσκοπούσε την είσοδο της οικίας του, τη δημόσια οδό καθώς και την είσοδο της απέναντι οικίας. Το σύστημα παρείχε μόνο τη δυνατότητα καταγραφής, η οποία αποθηκευόταν σε μηχανισμό μαγνητοσκοπήσεως συνεχούς ροής, ήτοι σε σκληρό δίσκο. Άπαξ η μέγιστη χωρητικότητά του εξαντλείτο, διέγραφε την υπάρχουσα καταγραφή προκειμένου να υπάρξει χώρος για νέες καταγραφές. Ο μηχανισμός καταγραφής δεν διέθετε οθόνη, οπότε δεν υπήρχε δυνατότητα άμεσης επισκοπήσεως σε πραγματικό χρόνο. Μόνον ο F. Ryneš είχε άμεση πρόσβαση στο σύστημα και στα καταγεγραμμένα δεδομένα.Το αιτούν δικαστήριο επισημαίνει ότι ο μόνος λόγος για τη χρήση της κάμερας αυτής από τον F. Ryneš ήταν η προστασία των αγαθών, της υγείας και της ζωής του, καθώς και της οικογενείας του. Συγκεκριμένα, τόσο ο ίδιος όσο και η οικογένεια του υπήρξαν θύματα επιθέσεων επί σειρά ετών από άγνωστο πρόσωπο το οποίο δεν κατέστη δυνατό να ταυτοποιηθεί. Περαιτέρω, μεταξύ 2005 και 2007 σημειώθηκαν επανειλημμένως επιθέσεις με θραύση των υαλοπινάκων των παραθύρων της ανήκουσας στη σύζυγό του οικίας.
Τη νύχτα της 6ης προς 7η Οκτωβρίου 2007, βλήμα ριφθέν από σφενδόνη έθραυσε υαλοπίνακα της οικίας του F. Ryneš. Χάρις στο επίμαχο σύστημα παρακολουθήσεως με κάμερα ασφαλείας, κατέστη δυνατό να εντοπιστούν δύο ύποπτοι. Οι καταγραφές παρεδόθησαν στην αστυνομία και, εν συνεχεία, απετέλεσαν αποδεικτικό στοιχείο του οποίου έγινε επίκληση στο πλαίσιο της ποινικής διαδικασίας.
Κατόπιν αιτήματος ενός εκ των υπόπτων να εξεταστεί το σύστημα παρακολουθήσεως του F. Ryneš, το Γραφείο διαπίστωσε, με απόφαση της 4ης Αυγούστου 2008, ότι ο F. Ryneš είχε παραβεί πλειστάκις τον νόμο 101/2000 εκ του λόγου ότι:
– ως υπεύθυνος της επεξεργασίας, είχε συλλέξει, μέσω κάμερας, δεδομένα προσωπικού χαρακτήρα χωρίς τη συγκατάθεση των προσώπων που διέρχονταν κατά μήκος της οδού ή εισέρχονταν στην κείμενη από την άλλη πλευρά της οδού οικία,
– οι ενδιαφερόμενοι δεν είχαν ενημερωθεί για την επεξεργασία αυτών των δεδομένων προσωπικού χαρακτήρα, για την έκταση και τους σκοπούς της επεξεργασίας αυτής, για το πρόσωπο που πραγματοποιεί την επεξεργασία και για τον τρόπο με τον οποίον γινόταν η εν λόγω επεξεργασία ούτε για τα πρόσωπα που θα μπορούσαν να έχουν πρόσβαση στα εν λόγω δεδομένα,
– ως υπεύθυνος της επεξεργασίας, ο F. Ryneš δεν είχε τηρήσει την απαίτηση περί κοινοποιήσεως της εν λόγω επεξεργασίας στο Γραφείο.
Την ασκηθείσα κατά της αποφάσεως αυτής προσφυγή του F. Ryneš απέρριψε το Městský soud της Πράγας με απόφαση της 25ης Απριλίου 2012. Ο F. Ryneš άσκησε αναίρεση κατά της αποφάσεως αυτής ενώπιον του αιτούντος δικαστηρίου.
Υπό τις συνθήκες αυτές, το Nejvyšší správní soud αποφάσισε, με απόφαση της 20ής Μαρτίου 2013, να αναστείλει τη διαδικασία και να υποβάλει στο Δικαστήριο το ακόλουθο προδικαστικό ερώτημα: «Μπορεί η λειτουργία συστήματος παρακολούθησης με κάμερα σε κατοικία με σκοπό την προστασία της ιδιοκτησίας, της υγείας και της ζωής των ιδιοκτητών της κατοικίας να χαρακτηριστεί ως επεξεργασία δεδομένων προσωπικού χαρακτήρα “η οποία πραγματοποιείται από φυσικό πρόσωπο στο πλαίσιο αποκλειστικά προσωπικών ή οικιακών δραστηριοτήτων” κατά την έννοια του άρθρου 3, παράγραφος 2, της οδηγίας 95/46 [...], παρά το γεγονός ότι η κάμερα βιντεοσκοπεί και δημόσιο χώρο;»
3. Σκεπτικό
Η παρακολούθηση με κάμερα ασφαλείας χαρακτηρίζεται από το γεγονός ότι λειτουργεί σε μόνιμη και συστηματική βάση, ανεξαρτήτως της διαρκείας της ενδεχόμενης διατηρήσεως των καταγραφών η οποία μπορεί να ποικίλλει (20). Τονίζω ότι το παρόν προδικαστικό ερώτημα αφορά ένα είδος σταθερού συστήματος παρακολουθήσεως του δημόσιου χώρου, καθώς και της θύρας εισόδου της απέναντι οικίας και, με τον τρόπο αυτόν, παρέχει τη δυνατότητα ταυτοποιήσεως ενός απροσδιόριστου αριθμού προσώπων που βρίσκονται στα σημεία αυτά χωρίς προηγουμένως να έχουν ενημερωθεί σχετικά με την εν λόγω παρακολούθηση. Αντιθέτως, τα νομικά ζητήματα που συνδέονται με τις πραγματοποιούμενες μέσω κινητών τηλεφώνων, καμερών ή ψηφιακών φωτογραφικών μηχανών καταγραφές είναι διαφορετικής φύσεως, οπότε δεν προτίθεμαι να τα εξετάσω στο πλαίσιο των παρουσών προτάσεων.
Πράγματι, το γεγονός ότι η παρακολούθηση με κάμερα ασφαλείας με καταγραφή εικόνων εμπίπτει στο πεδίο της οδηγίας 95/46, στον βαθμό που αυτή συνιστά καθ’ εαυτήν αυτόματη επεξεργασία (πράγμα το οποίο συμβαίνει στην περίπτωση των ψηφιακών καταγραφών) ή παρέχει τη δυνατότητα μιας τέτοιας επεξεργασίας, απορρέει ευθύς εξαρχής από την αιτιολογική σκέψη της
Η συνεκτίμηση του σκοπού της επεξεργασίας ως κριτηρίου για την εφαρμογή της οδηγίας 95/46
Κατά την επ’ ακροατηρίου συζήτηση, το ζήτημα εάν η εφαρμογή της εξαιρέσεως μπορεί να εξαρτάται από την πρόθεση του οικείου προσώπου εξετάστηκε σε μεγάλη έκταση. Πιο συγκεκριμένα, το ζήτημα που τίθεται είναι εάν μπορεί να διαπιστώνεται ο «αποκλειστικά προσωπικός ή οικιακός χαρακτήρας» της επεξεργασίας των δεδομένων υπό το πρίσμα του επιδιωκόμενου από τον υπεύθυνο της επεξεργασίας των δεδομένων σκοπού.Υπό τις συνθήκες αυτές, πρέπει να προσδιοριστεί εάν η επεξεργασία δεδομένων προσωπικού χαρακτήρα στην οποία προέβη ο F. Ryneš εμπίπτει στο πεδίο εφαρμογής της οδηγίας, λαμβανομένης υπόψη της προθέσεώς του, στον βαθμό που η πρόθεση αυτή θα μπορούσε να θεωρηθεί ότι προσδίδει στην εν λόγω επεξεργασία δεδομένων αποκλειστικά προσωπικό ή οικιακό χαρακτήρα.
Φρονώ ότι το πεδίο εφαρμογής ενός νομοθετήματος της Ένωσης δεν μπορεί να εξαρτάται από την πρόθεση του ενδιαφερομένου, εν προκειμένω του υπευθύνου της επεξεργασίας, στον βαθμό που μια τέτοια πρόθεση δεν είναι ούτε αντικειμενικώς επαληθεύσιμη επί τη βάσει εξωτερικών παραγόντων ούτε είναι κρίσιμη σε σχέση με τα ενδιαφερόμενα πρόσωπα των οποίων τα δικαιώματα και τα συμφέροντα πλήττονται από την εν λόγω δραστηριότητα.
Δραστηριότητα αποκλειστικώς οικιακή ή αποκλειστικώς προσωπική
Στο πλαίσιο της οδηγίας 95/46, προκειμένου η εν λόγω εξαίρεση να μπορεί να τύχει εφαρμογής, δεν αρκεί όπως οι περιγραφείσες δραστηριότητες συνδέονται με προσωπικές ή οικιακές δραστηριότητες, αλλά πρέπει, πέραν τούτου, ο σύνδεσμος αυτός να είναι αποκλειστικός. Προσθέτω συναφώς ότι, κατά την άποψή μου, ουδεμία αμφιβολία υφίσταται ως προς το γεγονός ότι η προϋπόθεση περί αποκλειστικότητας εφαρμόζεται τόσο στις προσωπικές όσο και στις οικιακές δραστηριότητες. Διαπιστώνω ότι η παρακολούθηση κάποιου τρίτου με κάμερα ασφαλείας, ήτοι η συστηματική παρακολούθηση χώρων μέσω συσκευής που παράγει σήμα βίντεο καταγραφόμενο για τους σκοπούς της ταυτοποιήσεως προσώπων, έστω και εντός μιας οικίας, δεν μπορεί να θεωρείται ως αποκλειστικώς προσωπική, πλην όμως τούτο δεν αποκλείει το ενδεχόμενο να εμπίπτει στην έννοια της οικιακής δραστηριότητας. Αντιθέτως, είναι αληθές, όπως υποστηρίζει η Κυβέρνηση του Ηνωμένου Βασιλείου, ότι η προστασία του απαραβίαστου μιας ιδιωτικής κατοικίας και η προστασία της από κλοπές και από κάθε παράνομη είσοδο συνιστούν δραστηριότητες που είναι βασικές για κάθε νοικοκυριό και, για τον λόγο αυτόν, μπορούν να θεωρηθούν ως οικιακές δραστηριότητες.
Εντούτοις, φρονώ ότι η παρακολούθηση με κάμερα ασφαλείας η οποία εκτείνεται στον δημόσιο χώρο δεν μπορεί να θεωρηθεί ως αποκλειστικώς οικιακήδραστηριότητα, διότι εκτείνεται σε πρόσωπα τα οποία δεν έχουν καμία σχέση με την εν λόγω οικογένεια και τα οποία επιθυμούν να διατηρήσουν την ανωνυμία τους. Όπως επισήμανε το Δικαστήριο, «το γεγονός ότι η διατήρηση δεδομένων και η εν συνεχεία χρήση τους πραγματοποιούνται χωρίς ο συνδρομητής ή ο εγγεγραμμένος χρήστης να ενημερώνονται σχετικώς μπορεί να προκαλέσει στα οικεία πρόσωπα […] την αίσθηση ότι η ιδιωτική τους ζωή αποτελεί το αντικείμενο διαρκούς παρακολουθήσεως».
Έτσι, η συστηματική παρακολούθηση με κάμερα ασφαλείας ενός δημόσιου χώρου από φυσικό πρόσωπο δεν εξαιρείται από την τήρηση των απαιτήσεων οι οποίες απορρέουν από την προστασία των δεδομένων προσωπικού χαρακτήρα που εφαρμόζονται επί της παρακολουθήσεως με κάμερα ασφαλείας από τα νομικά πρόσωπα και τις δημόσιες αρχές. Κατά τα λοιπά, η ερμηνεία αυτή παρέχει τη δυνατότητα να μην τυγχάνουν προνομιακής μεταχειρίσεως τα πρόσωπα που παρακολουθούν με κάμερα ασφαλείας τον έμπροσθεν μιας μονοκατοικίας δημόσιο χώρο σε σχέση με την παρακολούθηση που πραγματοποιείται πέριξ άλλων κτιρίων με καθεστώς συνιδιοκτησίας, διότι όλοι οι υπεύθυνοι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, είτε φυσικά είτε νομικά πρόσωπα, υπόκεινται στην περίπτωση αυτή στις αυτές απαιτήσεις.
Ως εκ τούτου, καταλήγω ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα, όπως είναι αυτή στην οποία προέβη ο F. Ryneš δεν εμπίπτει στην έννοια των «αποκλειστικά προσωπικών ή οικιακών δραστηριοτήτων» και, ως εκ τούτου, η εν λόγω επεξεργασία εμπίπτει στο πεδίο εφαρμογής της οδηγίας 95/46 και όχι στο ευνοϊκό καθεστώς της εν λόγω εξαιρέσεως.
Εάν το Δικαστήριο αποφανθεί, όπως προτείνω, ότι η οδηγία 95/46 είναι εφαρμοστέα, η δραστηριότητα του F. Ryneš θα πρέπει να αναλυθεί στο πλαίσιο της εν λόγω οδηγίας η οποία σκοπεί να δημιουργήσει και να διασφαλίσει την ισορροπία μεταξύ των θεμελιωδών δικαιωμάτων και των συμφερόντων των προσώπων. Πράγματι, το άρθρο 7, στοιχείο στ΄, της οδηγίας 95/46 προβλέπει δύο σωρευτικές προϋποθέσεις προκειμένου η επεξεργασία δεδομένων προσωπικού χαρακτήρα να είναι σύννομη, ήτοι, αφενός, να είναι απαραίτητη για την ικανοποίηση εννόμου συμφέροντος που επιδιώκει ο υπεύθυνος της επεξεργασίας ή ο τρίτος ή οι τρίτοι στους οποίους ανακοινώνονται τα δεδομένα, και, αφετέρου, να μην προέχουν τα δικαιώματα και οι θεμελιώδεις ελευθερίες του ενδιαφερομένου προσώπου. Πρέπει να ληφθεί υπόψη ότι η δεύτερη από τις προϋποθέσεις αυτές επιβάλλει στάθμιση των εμπλεκομένων δικαιωμάτων και συμφερόντων η οποία εξαρτάται, κατ’ αρχήν, από τις συγκεκριμένες περιστάσεις κάθε περιπτώσεως, στο πλαίσιο δε της σταθμίσεως αυτής το πρόσωπο ή το όργανο που προβαίνει στη στάθμιση πρέπει να λαμβάνει υπόψη τη σημασία των δικαιωμάτων του ενδιαφερομένου τα οποία απορρέουν από τα άρθρα 7 και 8 του Χάρτη. Εν προκειμένω, φρονώ ότι η δραστηριότητα του F. Ryneš σκοπεί στην προστασία της ασκήσεως άλλων θεμελιωδών δικαιωμάτων, όπως είναι το δικαίωμα της ιδιοκτησίας και το δικαίωμα στην οικογενειακή ζωή.
Πέμπτη 29 Μαΐου 2014
The Right To Be Forgotten in the Google Spain Case (case C-131/12): A Clear Victory for Data Protection or an Obstacle for the Internet?
Ioannis Iglezakis
Assistant Professor
Faculty of Law,
Aristotle University of Thessaloniki
Abstract
The right to be forgotten is a new right that is introduced
in the Draft Proposal for a General Data Protection Regulation of 2012, which
has been widely discussed. Critics, on the one hand, disagree with its
necessity and hold the view that it represents the biggest threat to free
speech on the Internet in the coming years. Viviane Reding, former EU Justice
Commissioner and currently Vice-President of the EU Commission, on the other
hand, described this right as a modest expansion of existing data privacy
rights. The ECJ with its decision of 13 May 2014 in case C-131/12 confirmed
this view, interpreting the provisions of Directive 95/46/EEC in such a way as
to include a right ‘to be forgotten’ on the Net. The case referred particularly
to search engines and their obligation to remove links to web pages from their
lists of results, following requests of data subjects on the grounds that
information should no longer be linked to their name by means of such a list
and taking into account that even initially lawful processing of accurate data
may, in the course of time, become incompatible with the directive where those
data are no longer necessary in the light of the purposes for which they were
collected or processed. This ruling addresses only one aspect of the ‘right to
be forgotten’, which concerns the role of Internet Intermediaries, but has
wider implications that need to be examined.
Keywords: Freedom of speech, right to be forgotten, right to
oblivion, data protection, search engines, digital forgetting
I. Introduction
In 2012, the EU Commission presented the proposal for a
Regulation on the protection of individuals with regard to the processing of
personal data and on the free movement of such data (‘General Data Protection
Regulation’, GDPR), repealing Directive 95/46/EEC, with the aim to modernize
the legal framework for data protection in the EU. A central provision in the proposed
Regulation is Article 17 introducing the ‘right to be forgotten’ in the digital
environment, which draws its origins from the ‘right of oblivion’ – or le droit à l’oubli, recognized by
case-law in France and other countries (A. Mantelero).
The intended effect of the right to be forgotten is to
enhance users’ rights on the Internet and remedy the lack of control over their
personal data. It also presents an attempt to deal with the issue of digital
forgetting, in other words, with the privacy issues arising in a Web that never
forgets (Rosen, 2011). In more particular, in the digital age the ‘default of
forgetting’ has gradually shifted towards a ‘default of remembering’ as pointed
out by Mayer-Schönberder (Mayer-Schönberder, 2009), and this causes major
privacy risks in a world of big data (Koops, 2011). This is a world in which it
is almost impossible to escape the past, since every status update or
photograph, and every tweet may be still available online, even if it has been
deleted in its initial place.
In this context, the introduction of a right to be forgotten
is the recognition of the enhanced capacity of cyberspace to disseminate and
distribute huge amounts of data, including personal data, hence making it impossible
to control the flow of personal information.
The provision of Article 17 GDPR basically includes a right
to erasure of data that requires the controller to delete personal data and
preclude any further dissemination of this data, but also to oblige third
parties, e.g. search engines, etc., to delete any links to, or copies or
replication of that data. This applies in four instances, which derive from
data protection principles (Costa, Poullet, 2012): a) where data are no longer
necessary in relation to the purposes for which they were collected or
otherwise processed; b) where the data subject withdraws consent on which the
processing is based or when the storage period consented to has expired and
there is no other legal ground for the processing of the data; c) where the
data subject objects to the processing of personal data; or d) where the data
has been unlawfully processed.
The right to be forgotten which is enshrined in the GDPR is
not conceived as an absolute right; thus, a number of exceptions restrict its
ambit, the most important being the freedom of expression and information.
There is consensus that such a right cannot amount to a right of erasure of
history and turn our modern society into a society of ‘lotus eaters’
(Iglezakis, 2014), which would be the case if the Internet was programmed to
forget, e.g. if Internet content was programmed to auto-expire (see Fleischer,
2011).
However, there are concerns expressed by US authors that
this right will have chilling effects on free expression, as it might force
Internet intermediaries to censor the contents that they publish or to which
they link, and hence, lose their neutral status (see, e.g., Rosen, 2012,
Fleischer, 2011).
Viviane Reding, the former EU Justice Commissioner and
current Vice-President of the EU Commission, pointed out that this right builds
on already existing rules, and is not an ex novo right (Redding, 2012). Indeed,
the European Union Court of Justice issued a decision on May 13 2014, in case
C-131/12 (Google Spain SL, Google Inc. v. Agencia Espanola de Proteccion de
Datos, Mario Costeja Gonzalez), in which it confirmed that view, as it found
that the ‘right to be forgotten’ is rooted in the provisions of Directive
95/46/EEC. Consequently, Vivian Reding referred to this decision in a post on
Facebook as a ‘clear victory for the protection of personal data of Europeans’[1].
It should be underlined that this decision comes one month
after the decision of the Court in case C-293/12 and C0594/12 (Digital Rights
Ireland and Seitlinger and Others), which declared the Data Retention Directive
to be invalid. This does not suggest that the EU Court is carrying out judicial
activism in favor of informational privacy, since the rulings in both cases are
justified. It is a clear message, nevertheless; particularly as far as the
Google case is concerned, it is clear that the Court supports the reform of the
EU legal framework on data protection and the introduction of a control right,
such as the ‘right to be forgotten’.
Moreover, it is evident that the ruling of the CJEU in this case,
which recognized a right to have Google delete links to data that are
irrelevant and outdated, will have significant repercussions, particularly to
Internet companies, such as search engines. Google, shortly after the decision
was issued, received certain takedown requests; more specifically, an
ex-politician seeking re-election demanded to have links to an article about
his behavior in office removed, a man convicted of possessing child abuse
images also requested links to pages about his convictions to be erased and, a
doctor asked for the removal of negative reviews from patients from the results
on searches[2].
From Google’s perspective this represents a very negative situation, as it
anticipates receiving an overflow of takedown requests, on the basis of the
CJEU decision. It actually announced that it would create a new process for the
erasure of data, which may take some time, as it this a complicated task[3].
Thus, it should be discussed whether this ruling is actually
a victory for data protection, and not an obstacle for the Internet, impeding
its potential by restricting free expression and information, and curtailing the
right to conduct a business.
II. The ECJ decision
in the Google case
1. The dispute and
the request for a preliminary ruling
The dispute in this case arose when Mario Costeja González submitted
a request against the editor of a Spanish newspaper (La Vanguardia Ediciones SL) and against Google Spain
and Google Inc. due to the reason that a search of his name in Google produced
articles published in that newspaper (‘La
Vanguardia’) sixteen years ago concerning a real-estate auction connected with attachment proceedings
for the recovery of social security debts. Mr. González sustained that the
attachment proceedings concerning him had been fully resolved a number of years
back and that reference to them was now entirely irrelevant.
Thus,
he requested that the relevant pages of the La Vanguardia’s newspaper be
removed or altered so that the personal data relating to him no longer appeared
or to use certain tools made available by search engines in order to protect
the data. He also requested that Google Spain or Google Inc. be required to
remove or conceal the personal data relating to him so that they ceased to be
included in the search results and no longer appeared in the links to that
newspaper.
The Spanish Data Protection Agency (AEPD) rejected the complaint in so far
as it related to La Vanguardia, for it considered that the publication by it of
the information in question was legally justified; however, the complaint was
upheld in so far as it was directed against Google Spain and Google Inc. Subsequently,
Google Spain and Google Inc. brought separate actions against that decision
before the National High Court. That court issued an order for reference to the
CJEU, stating that Directive
95/46 must be interpreted in order to answer the question of what obligations
are owed by operators of search engines to protect personal data of persons
concerned who do not wish that certain information, which is published on third
parties’ websites and contains personal data relating to them that enable that
information to be linked to them, be located, indexed and made available to
internet users indefinitely.
In particular the National High Court referred nine
questions to the CJEU for a preliminary ruling, which concern: a) the
territorial application of Directive 95/46, b) the activity of search engines
as providers of content in relation to the Directive and c) the scope of the
right of erasure and the right to object in relation to the ‘right to be
forgotten’.
The Advocate General opined that the rights to erasure and
blocking of data foreseen in Article 12(b) and the right to object foreseen in
Article 14(a) of the Directive do not confer on the data subject a right to
address himself to a search engine service provider in order to prevent
indexing of the information relating to him personally, published legally on
third parties’ web pages, invoking his wish that such information should not be
known to internet users when he considers that it might be prejudicial to him
or he wishes it to be consigned to oblivion.
The CJEU did not adhere to this view, but essentially
granted a right to any Internet user to request that information be erased, if
it considered it to be inadequate, irrelevant or no longer relevant. In
particular, an analysis of this decision shall be undertaken in this paper.
2. The CJEU decision
in more detail
The CJEU decision first addressed some preliminary issues.
It examined whether Article 2(b) of Directive 95/46 is to be interpreted
as meaning that the activity of a search engine as a provider of content which
consists in finding information published or placed on the internet by third
parties, indexing it automatically, storing it temporarily and, finally, making
it available to internet users according to a particular order of preference
must be classified as ‘processing of personal data’ within the meaning of that
provision when that information contains personal data. And further, whether
Article 2(d) of Directive 95/46 is to be interpreted as meaning that the
operator of a search engine must be regarded as the ‘controller’ in respect of
that processing of the personal data, within the meaning of that provision.
The Court made reference to previous case law in the
Lindqvist case, in which it was held that the operation of loading personal
data on an Internet page must be considered to constitute such processing. It
then stated that the data found, indexed and stored by search engines and made
available to their users include information relating to identified or
identifiable natural persons and thus, ‘personal data’. Subsequently, it found
that the operator of a search engine who collects personal data in that it
explores the Internet automatically, constantly and systematically in search of
information published there, then stores this data on its servers and discloses
or makes such information available, carries out processing of personal data.
It does not make any difference that such processing concerns material already
published on the web, because the exemption of such cases from the field of
application of Directive would deprive the Directive of its effect.
Consequently, the CJEU held that the operator of a search
engine must be held as a controller in respect of that processing, pursuant to
Article 2(d), since it is the search operator which determines the purposes and
means of that activity and thus of the processing of personal data that it
itself carries out within the framework of that activity.
Next, the CJEU answered the question of the territorial
application of Directive 95/46 in the affirmative. Although Google Search is
operated and managed by Google Inc. which is established in the United States
and does not carry out any activity directly linked to the indexing or storage
of information contained on third parties websites, its subsidiary Google Spain
attends the promotion and sale of advertising space in Spain and its activity
is closely linked to Google Search. The activities of the operator of the
search engine and those of its establishment situated in Spain are, according
to the Court’s decision, inextricably linked and thus, the processing of
personal data carried out for the purposes of the operation of the search
engine takes place in the context of the commercial and advertising activity of
the controller’s establishment on the territory of Spain. Subsequently, the
CJEU interpreted the provision of Article 4 (1)(a) of the Directive as meaning that
processing of personal data is carried out in the context of the activities of
an establishment of the controller on the territory of a Member State, within
the meaning of that provision, when the operator of a search engine sets up in
a Member State a branch or subsidiary which is intended to promote and sell
advertising space offered by that engine and which orientates its activity
towards the inhabitants of that Member State.
Furthermore, the CJEU addressed the issue of the role played
by an Internet Intermediary such as Google with regard to the provisions of the
Directive imposing obligations on controllers. In particular, it discussed the question
whether the operator of a search engine is obliged to remove from the list of
results following a search made on the basis of a person’s name links to web
pages, published by third parties and containing information relating to that
person, also in a case where that name or information is not erased beforehand
or simultaneously from those web pages, and even when its publication in itself
on those pages is lawful. Google Spain and Google Inc. relied on the argument
that any request for removal of information must be addressed to the publisher
of the website concerned, since it is he who is responsible for making the
information public, who can defend the publication and who has the means to
make it inaccessible.
The CJEU considered that an effective and comprehensive
protection of data users could not be achieved if he had to obtain first or in
parallel the erasure of the information relating to them from the publishers of
websites, since information published on a website can be replicated very easily
on other sites and the persons responsible for its publication are not always
subject to EU legislation. It also mentioned that a publisher of a website may
rely on the exception of Article 9 of the Directive, if the publication of
information relating to an individual is carried out for journalistic purposes,
but the operator of a search engine may not rely on such an exception. And in
addition, it stressed that the activities of a search engine must be justified
under Article 7 of the Directive and a weighing of interests at issue must be
carried out under Article 7 (f) and Article 14 (a), while it should be taken
into account that the inclusion in the list of results of information relating
to a natural person, following a search, facilitates the finding of personal
information and plays a decisive role in the dissemination of such information.
Thus, this constitutes a more significant interference with the data subject’s
fundamental right to privacy than the publication on the web page.
Subsequently, the Court answered this question with assent.
The main issue at stake, however, was whether the relevant
provisions of the Directive might serve as a legal basis for claims of removal
of personal data from the list of search names displayed after a search is made
on the basis of the name of an individual.
The CJEU considered first the provisions of Article 12 (b)
of the Directive, which states that ‘Member States shall guarantee every data
subject the right to obtain from the controller as appropriate the rectification,
erasure or blocking of data the processing of which does not comply with the
Directive, in particular because of the incomplete or inaccurate nature of the
data’. The list of the reasons that justify such a claim is not an exhausting
one, so the Court held that the incompatibility of the processing with the
provisions of the Directive may also result from the fact that such data are
inadequate, irrelevant or excessive in relation to the purposes of the
processing, that they are not kept up to date, or that they are kept for longer
than is necessary, unless they are required to be kept for historical,
statistical or scientific purposes. This is a particular reference to the data
quality principle as enshrined in the provisions of Article 6 (1) (c) to (e) of
the Directive.
The Court further makes the argument that even initially
lawful processing of accurate data may, in the course of time, become
incompatible with the directive where those data are no longer necessary in the
light of the purposes for which they were collected or processed. It is evident
that this line of argumentation is influenced by the provisions of the Draft
Regulation establishing the right to be forgotten and shows the commitment of
the Court to the data protection reform process.
Subsequently, the Court applied this maxim to the
circumstances of the case; it stated in particular that if a request by the
data subject is made, in accordance with Article 12 (b) of the Directive, clarifying
that the inclusion in the list of results displayed following a search made on
the basis of his name of the links to web pages published lawfully by third
parties and containing true information relating to him personally is, at this
point in time, incompatible with Article 6(1)(c) to (e) of the Directive
because that information appears, having regard to all the circumstances of the
case, to be inadequate, irrelevant or no longer relevant, or excessive in
relation to the purposes of the processing at issue carried out by the operator
of the search engine, then the information and links in the list of results
must be erased.
Further, in case the data subject exercises his/her right to
object on compelling legal grounds relating to his/her particular situation to
the processing of personal data relating to him/her, according to Article 14
(a) of the Directive, the Court supported the view that where such requests are
based on alleged non-compliance with the conditions laid down in Article 7(f)
of the Directive, the processing must be authorized under Article 7 for the
entire period during which it is carried out.
The time factor appears to play a role in this case, and
thus, the Court found that in such requests it should be examined whether the
data subject has a right that the information relating to him/her personally
should, at this point in time, no longer be linked to his/her name by a list of
results displayed following a search made on the basis of his name.
The CJEU went even further; it emphasized that the right of
the data subject to request the removal of information from the search results
of search engines is based on Articles 7 and 8 of the Charter of Fundamental
Rights of the EU and these rights override not only the economic interest of
the operator of the search engine, but also the interest of the general public
in finding information concerning a data subject.
An exception from this rule is made in case the data subject
is a public figure, because then the interference with his fundamental rights
is justified by the preponderant interest of the general public in having, on
account of inclusion in the list of results, access to the information in
question.
Finally, the Court made particular reference to the issue in
the main proceedings concerning the display, in the list of results that the
internet user obtains by making a search by means of Google Search on the basis
of the data subject’s name, of links to pages of the on-line archives of a
daily newspaper that contain announcements mentioning the data subject’s name
and relating to a real-estate auction connected with attachment proceedings for
the recovery of social security debts. The Court’s decision is that, taking
into account the sensitivity of this information and the fact that this
information had taken place 16 years earlier, the data subject substantiated a
right not to have this information linked to his name by means of a list of
search results.
III. Conclusion
The CJEU decision is addressing one aspect of the right to
be forgotten as included in Article 17 GDPR and does amount to a comprehensive
recognition of the right to be forgotten. Also, it only
applies to Internet search engines and as far as it concerns the right to
erasure links to information of data subjects by a list of results displayed following
a search made on the basis of his name.
The most important consequence of this case law is that an
Internet search service provider needs to put itself in the position of the
provider of the web page, in which personal information is initially published
and make a privacy assessment of the facts underlying the dissemination of
personal information on the Internet. The Attorney General supported the view
that this would have as a result that the service provider would need to
abandon its intermediary function between the user and the publisher and assume
responsibility for the content of the source web page, and when needed, to censor
the content by preventing or limiting access to it[4].
This argument is not convincing, since an Internet search
engine provider is not responsible for the initial publishing of information on
the Internet, however, it provides a service, which has significant privacy
implications as pointed out by the CJEU. Therefore, the provider of such
services needs to assume responsibility for the processing of personal data
which it undertakes. In our view, the removal of any links to websites does not
constitute censorship, if it is ordered by a court or an administrative
authority and on the basis of legitimate grounds to protect privacy.
However, the court decision did not elaborate as much as
necessary on that aspect and on the relation between the obligations of a
search engine provider as a controller and the safe harbor principles of the
e-commerce Directive (2000/31), establishing a neutral position of Internet
intermediaries.
Furthermore, the CJEU made only a brief reference to the
need to reconcile privacy rights with the right to freedom of expression and
freedom of the press. It is evident that the exceptions from the right to be
forgotten should be clearly formulated by law or otherwise, be developed by
case law, which would evidently take a lot of time.
In conclusion, it would be accurate to say that this
decision leaves open questions that should be addressed by the EU legislator in
the data protection reform process.
REFERENCES
Jeffrey Rosen, Free
Speech, Privacy, and the Web that Never Forgets, 9 J. on Telecomm. and High Tech. L. 345 (2011).
J. Rosen, The Right to
Be Forgotten, 64 Stan. L. Rev. Online 88, February 13, 2012, online
available at: http://www.stanfordlawreview.org/sites/default/files/online/topics/64-SLRO-88.pdf
Costa, L./Poullet, Y., Privacy and the regulation of 2012, CLSR 2012, pp. 254-262.
Koops, B.–J., Forgetting
Footprints, Shunning Shadows. A Critical Analysis of the “Right to Forgotten”
in Big Data Practice, scripted vol.
8, Issue 3, Dec. 2011.
V. Mayer-Schönberder, Delete:
The Virtue of Forgetting in the Digital Age, 2009.
Alessandro
Mandelero, U.S. Concern about the European Right to Be Forgotten and Free
Speech: Much Ado about Nothing?, Contratto e impresa, 2012, pp. 727-740, online
available at: http://porto.polito.it/2503514/
V. Reding, The EU Data Protection Reform 2012: Making Europe
the Standard Setter for Modern Data Protection Rules in the Digital Age, Munich
22 January 2012, Speech/12/26.
I. Iglezakis, The right to digital oblivion and its
restrictions, Thessaloniki 2014 (in Greek).
Peter Fleischer, Foggy
Thinking About the Right to Oblivion, Privacy . . . ?
(Mar. 9, 2011), online available at: http://peterfleischer.blogspot.com/2011/03/foggy-thinking-about-right-to-oblivion.html
[2] J. Wakefield, Politican and paedophile ask Google to ‘be
forgotten’, bbc.com, 15 May 2014, http://www.bbc.com/news/technology-27423527
[4] See Opinion of Advocate
General in cases c-131/12, nr. 109.
Εγγραφή σε:
Αναρτήσεις (Atom)