Ochrona danych osobowych w internetowych wyszukiwarkach

Działanie wyszukiwarek internetowych, które polega na lokalizowaniu informacji opublikowanych lub zamieszczonych w Internecie przez osoby trzecie, indeksowaniu ich w sposób automatyczny, czasowym przechowywaniu takich informacji i wreszcie udostępnianiu ich internautom w sposób uporządkowany zgodnie z określonymi preferencjami, należy w sytuacji gdy informacje takie zawierają dane osobowe, uznać za „przetwarzanie danych osobowych” w rozumieniu art. 4 ust. 1 i 2 RODO.

Operatora wyszukiwarki internetowej należy uznać za „administratora” odpowiedzialnego za przetwarzanie danych w rozumieniu art. 4 pkt 7 tego rozporządzenia [zob. podobnie wyroki: z dnia 13 maja 2014 r., Google Spain i Google, C-131/12; a także z dnia z dnia 24 września 2019 r., GC i in., C-136/17).

Przetwarzanie danych osobowych, które ma miejsce w ramach działania wyszukiwarki, różni się od tego dokonywanego przez wydawców stron internetowych, polegającego na zamieszczaniu tych danych na stronie internetowej, oraz ma dodatkowy względem niego charakter. Działanie to odgrywa decydującą rolę w rozpowszechnianiu tych danych na globalną skalę ze względu na to, iż dzięki niemu są one dostępne wszystkim internautom prowadzącym wyszukiwanie mające za punkt wyjścia imię i nazwisko danej osoby, w tym również tym z nich, którzy w przeciwnym razie nie znaleźliby strony internetowej, na której publikowane są te same dane.

Dokonywane za pomocą wyszukiwarek internetowych porządkowanie i łączenie w poszczególne całości publikowanych w Internecie informacji w celu ułatwienia ich użytkownikom dostępu do nich może – w sytuacji gdy prowadzą oni wyszukiwanie, przyjmując za punkt wyjścia imię i nazwisko osoby fizycznej – prowadzić do tego, że użytkownicy ci otrzymają, w postaci listy wyników wyszukiwania, ustrukturyzowany przegląd dotyczących tej osoby informacji, jakie można znaleźć w Internecie, umożliwiających im sporządzenie mniej lub bardziej szczegółowego profilu danej osoby [zob. podobnie wyroki: z dnia 13 maja 2014 r., Google Spain i Google, C-131/12; a także z dnia z dnia 24 września 2019 r., GC i in., C-136/17).

Ze względu na to, że działalność wyszukiwarki internetowej może znacząco oddziaływać na prawa podstawowe do poszanowania prywatności i ochrony danych osobowych w dodatkowy w stosunku do działalności prowadzonej przez wydawców stron internetowych sposób, operator tej wyszukiwarki, jako osoba określająca cele i sposoby prowadzenia tej działalności, winien w ramach spoczywającej na nim odpowiedzialności zapewnić, by działalność ta spełniała określone w RODO wymogi, tak aby przewidziane w tych uregulowaniach gwarancje były w pełni skuteczne i aby można było rzeczywiście zrealizować ich cel polegający na skutecznej i pełnej ochronie objętych nią osób, w szczególności w odniesieniu do ich prawa do poszanowania ich prywatności [zob. podobnie wyroki: z dnia 13 maja 2014 r., Google Spain i Google, C-131/12; a także z dnia z dnia 24 września 2019 r., GC i in., C-136/17).

Jeśli chodzi o zakres odpowiedzialności i konkretne obowiązki operatora wyszukiwarki, operator ponosi odpowiedzialność nie za to, iż pewne dane osobowe znajdują się na stronie internetowej opublikowanej przez osobę trzecią, ale za odsyłanie do tej strony i, w szczególności, za wyświetlenie prowadzącego do niej linku na udostępnianej internautom liście wyników wyszukiwania, którego punktem wyjścia jest imię i nazwisko danej osoby fizycznej, gdyż takie wyświetlenie danego linku na takiej liście może znacząco oddziaływać na prawa podstawowe do poszanowania życia prywatnego i do ochrony danych osobowych osoby, której te dane dotyczą [zob. podobnie wyroki: z dnia 13 maja 2014 r., Google Spain i Google, C-131/12; a także z dnia z dnia 24 września 2019 r., GC i in., C-136/17).

W tych okolicznościach, przy uwzględnieniu zobowiązań, kompetencje i możliwości operatora wyszukiwarki jako administratora danych dokonującego przetwarzania w ramach działania tej wyszukiwarki, zakazy i ograniczenia przewidziane w RODO mogą mieć zastosowanie do tego operatora tylko w zakresie dotyczącym wspomnianego odsyłania do stron internetowych i, co za tym idzie, po przeprowadzeniu pod nadzorem właściwych organów krajowych kontroli mającej za podstawę żądanie wniesione przez osobę, której dane dotyczą [zob. podobnie wyrok z dnia 24 września 2019 r., GC i in. (Usunięcie linków do danych wrażliwych), C-136/17).

Wyrok TSUE z dnia 8 grudnia 2022 r., C-460/20

Standard: 84097 (pełna treść orzeczenia)

Działanie wyszukiwarek internetowych, które polega na lokalizowaniu informacji opublikowanych lub zamieszczonych w internecie przez osoby trzecie, indeksowaniu ich w sposób automatyczny, czasowym przechowywaniu takich informacji i, wreszcie, udostępnianiu ich internautom w sposób uporządkowany zgodnie z określonymi preferencjami, należy uznać za „przetwarzanie” danych osobowych w rozumieniu art. 4 pkt 2 RODO, jeżeli informacje te zawierają dane osobowe, oraz, po drugie, że operatora tej wyszukiwarki internetowej należy uznać za „administratora” odpowiedzialnego za to przetwarzanie danych w rozumieniu art. 4 pkt 7 wspomnianego rozporządzenia, a zatem również w rozumieniu art. 17 ust. 2 tegoż rozporządzenia [zob. podobnie wyrok z dnia 24 września 2019 r., GC i in., C‑136/17).

Wyrok TSUE z dnia 27 października 2022 r., C-129/21

Standard: 84151 (pełna treść orzeczenia)