Case Summary and Outcome

W następstwie orzeczenia Europejskiego Trybunału Sprawiedliwości z 2014 r. w sprawie Google Spain SL v. Spanish Data Protection Agency (AEPD), w którym uznano prawo do bycia zapomnianym, AEPD wydała kilka nakazów nakazujących Google Spain usunięcie pewnych informacji dotyczących obywateli Hiszpanii. Google Spain zaskarżyła te nakazy argumentując, że jako spółka zależna Google Inc. nie miała kontroli nad treścią, ponieważ jej funkcja ograniczała się do promocji usług i przejęć. W odwołaniu Izba Administracyjna Sądu Najwyższego Hiszpanii przyznała rację, stwierdzając, że Google Inc. była jedynym administratorem danych i że w związku z tym ponosiła wyłączną odpowiedzialność za usuwanie treści.

Fakty

Poprzedzając niniejsze odwołanie do Izby Administracyjnej Sądu Najwyższego Hiszpanii, AEPD wydała kilka nakazów, w których zażądała od Google Spain usunięcia danych osobowych na podstawie prawa do bycia zapomnianym. Google Spain zakwestionowała te nakazy, argumentując, że jej funkcja ogranicza się do promocji usług i zakupów oraz że nie ingeruje w treść ani w zarządzanie wyszukiwarką. Google Spain twierdziła zatem, że nie można jej uznać za „administratora” danych w rozumieniu dyrektywy UE 95/46/WE, hiszpańskiej ustawy 15/1999 o ochronie danych, a także orzeczenia Europejskiego Trybunału Sprawiedliwości z 2014 r. w sprawie Google Spain SL v. Agencia Española de Protección de Datos.

Początkowo Sąd Krajowy Hiszpanii odrzucił stanowisko Google Spain, argumentując, że Google Inc. i jej lokalna spółka zależna tworzą jednostkę biznesową i że ta ostatnia była niezbędnym elementem funkcjonowania wyszukiwarki. Google Spain odwołała się od tej decyzji do Izby Administracyjnej Sądu Najwyższego Hiszpanii.

Przegląd orzeczeń

Główną kwestią rozpatrywaną przez Izbę Administracyjną Sądu Najwyższego było to, czy Google Spain, jako spółka zależna kalifornijskiej spółki Google Inc, mogła być uznana za administratora danych i w związku z tym odpowiedzialna za usunięcie informacji uznanych za sprzeczne z prawem osoby fizycznej do bycia zapomnianym.

W oparciu o orzeczenie Europejskiego Trybunału Sprawiedliwości z 2014 r. w sprawie Google Spain SL v. Agencia Española de Protección de Datos, dyrektywę UE 95/46/WE, hiszpańską ustawę 15/1999 o ochronie danych oraz opinię Grupy Roboczej ds. Ochrony Danych 1/2010, Sąd stwierdził, że administrator danych to podmiot, który określa środki i cele przetwarzania danych osobowych. W odniesieniu do wyszukiwarek internetowych Izba Administracyjna stwierdziła, że administrator danych wyszukuje i indeksuje informacje zamieszczone lub opublikowane przez osoby trzecie, tymczasowo je przechowuje i udostępnia użytkownikom online.

W przedmiotowej sprawie Izba Administracyjna stwierdziła, że funkcja Google Spain była ograniczona do promowania produktów i usług reklamowych. Orzekła ona, że chociaż Europejski Trybunał Sprawiedliwości ustalił już, że Google Inc. i jej spółka zależna są „nierozerwalnie związane”, Google Spain nie posiada funkcji wymaganych do uznania jej za administratora danych.

Izba Administracyjna orzekła, że Google Inc. jest wyłącznie odpowiedzialna za określanie celów, warunków i środków przetwarzania danych, a zatem Google Spain nie jest odpowiedzialna za dane i nie można od niej wymagać przestrzegania nakazów AEPD.