Målsammanfattning och resultat
Efter Europadomstolens dom från 2014 i målet Google Spain SL mot den spanska dataskyddsmyndigheten (AEPD), som erkände rätten till att bli bortglömd, utfärdade AEPD flera förelägganden som ålade Google Spain att ta bort viss information om spanska medborgare. Google Spanien ifrågasatte dessa förelägganden och hävdade att företaget i egenskap av dotterbolag till Google Inc. saknade kontroll över innehållet eftersom dess funktion var begränsad till marknadsföring av tjänster och förvärv. Vid överklagandet höll Spaniens högsta domstols administrativa avdelning med och fastställde att Google Inc. var den enda personuppgiftsansvariga och att företaget därför var ensamt ansvarigt för att ta bort innehållet.
Fakta
För detta överklagande till Spaniens högsta domstols administrativa avdelning utfärdade AEPD flera förelägganden, där Google Spanien uppmanades att ta bort personuppgifter på grundval av rätten att bli bortglömd. Google Spain ifrågasatte föreläggandena och hävdade att dess funktion är begränsad till marknadsföring av tjänster och förvärv och att den inte ingriper i innehåll eller sökmotorhantering. Google Spain hävdade därför att företaget inte kan betraktas som ”registeransvarig” för uppgifter i den mening som avses i EU:s direktiv 95/46/EG, den spanska lagen 15/1999 om dataskydd samt i Europadomstolens dom från 2014 i målet Google Spain SL mot Agencia Española de Protección de Datos.
Inledningsvis avvisade Spaniens nationella domstol Google Spaniens ståndpunkt, med motiveringen att Google Inc. och dess lokala dotterbolag bildar en affärsenhet och att det sistnämnda är en oumbärlig del av sökmotorns verksamhet. Google Spain överklagade detta beslut till den administrativa avdelningen vid Spaniens högsta domstol.
Beslutsöversikt
Den huvudsakliga frågan inför den administrativa avdelningen vid högsta domstolen var huruvida Google Spain, i egenskap av dotterbolag till det Kalifornienbaserade Google Inc, kunde betraktas som personuppgiftsansvarig och därmed vara ansvarig för att ta bort information som ansågs strida mot en individs rätt att bli glömd.
Med utgångspunkt i Europadomstolens dom från 2014 i målet Google Spain SL mot Agencia Española de Protección de Datos, EU:s direktiv 95/46/EG, den spanska lagen 15/1999 om dataskydd och yttrande 1/2010 från dataskyddsarbetsgruppen, konstaterade domstolen att en personuppgiftsansvarig är den enhet som bestämmer medlen för och syftena med behandlingen av personuppgifter. När det gäller sökmotorer på Internet ansåg förvaltningsdomstolen att den personuppgiftsansvarige hittar och indexerar information som läggs upp eller publiceras av tredje part, och lagrar den tillfälligt och gör den tillgänglig för användare på nätet.
I det här fallet konstaterade förvaltningsdomstolen att Google Spaniens funktion var begränsad till att marknadsföra produkter och annonsera tjänster. Den ansåg att även om EG-domstolen redan hade fastställt att Google Inc. och dess dotterbolag var ”oupplösligt förbundna”, saknade Google Spanien de funktioner som krävs för att betraktas som personuppgiftsansvarig.
Administrationskammaren slog fast att Google Inc. uteslutande ansvarar för att fastställa ändamål, villkor och medel för behandlingen av uppgifter och att Google Spanien därför inte är ansvarigt för uppgifterna och därför inte kan åläggas att följa AEPD:s order.