I ett avgörande den 23 november 2020 konstaterar Förvaltningsrätten i Stockholm att Google brustit i sina rutiner för klagomålshantering, när enskilda begärt att få personuppgifter borttagna från söktjänsten. Den rekordhöga sanktionsavgift som utfärdats av Datainspektionen sätts däremot ner – från 75 till 52 miljoner kronor.
Det aktuella ärendet anknyter till en granskning som Datainspektionen inledde mot Google redan under våren 2015. Granskningen utmynnade i ett beslut i maj 2017, i vilket Datainspektionen förelade Google att åtgärda ett antal klagomål där enskilda begärt att få sina personuppgifter borttagna från Googles sökträfflistor vid sökningar på klagandenas namn.
I juni 2018, strax efter att dataskyddsförordningen (2016/679) trätt i kraft, inleddes ett nytt tillsynsärende hos Datainspektionen med anledning av att klagomålen fortfarande inte var åtgärdade. Myndigheten beslutade att påföra Google en sanktionsavgift på 75 miljoner kronor, den hitintills högsta sanktionsavgiften som utfärdats i Sverige med stöd av dataskyddsförordningen. Datainspektionen utfärdade också ett föreläggande som innebar att Google skulle upphöra med att rutinmässigt informera tillhandahållare av internetsajter om att Google slutat generera sökträffar till sajten i fråga på begäran av en enskild person. Google överklagade Datainspektionens beslut till förvaltningsrätten.
I sitt avgörande den 23 november 2020 fastslår förvaltningsrätten att Google underlåtit att hantera åtminstone ett av klagomålen från det tidigare beslutet utan onödigt dröjsmål, och att Google därmed har behandlat den berörda personens personuppgifter i strid med artikel 9, 10 och 17 i dataskyddsförordningen.
Förvaltningsrätten konstaterar också att Google får anses behandla enskildas personuppgifter när bolaget underrättar tillhandahållare av internetsajter om att en viss webbadress raderats från sökträfflistan på begäran av en enskild. Av beslutet framgår:
Googles meddelanden till webbansvariga innehåller nämligen information om att någon har begärt borttagning av en sökträff, vilken webbadress det gäller och att Google har beviljat begäran. Såsom Datainspektionen har framhållit kan identifiering därmed göras direkt om det bara finns ett namn på webbsidan i fråga. Om det finns flera namn kan identifiering göras genom sökningar på Google på vart och ett av namnen. Vid en av dessa sökningar kommer sökträffen inte att visas. Det krävs därmed inte att namnet på personen framgår av meddelandet från Google för att personen ska kunna identifieras av den webbansvarige. Den information som framgår är tillräcklig och risken för identifiering kan inte anses vara försumbar (jfr EU-domstolens dom den 19 oktober 2016 i Breyer, C-582/14, EU:C:2016:779, punkterna 40–46).
Enligt förvaltningsrätten finns det ingen laglig grund för denna personuppgiftsbehandling. Förvaltningsrätten anser inte heller att behandlingen är förenlig med de ändamål för vilka personuppgifterna hämtats in.
Av samma anledning anser förvaltningsrätten att Googles webbformulär för begäran om borttagning – som informerar användarna om de otillåtna underrättelserutinerna – står i strid med den så kallade öppenhetsprincipen i artikel 5.1 a dataskyddsförordningen.
Förvaltningsrätten delar Datainspektionens uppfattning att Googles rutiner för underrättelser och användarinformation utgör allvarliga överträdelser av dataskyddsförordningen, vilka tillsammans motiverar en sanktionsavgift på 50 miljoner kronor. Vad gäller den bristande hanteringen av det enskilda klagomålet sänks dock sanktionsavgiften jämfört med Datainspektionens beslut till två miljoner kronor.
Den sammanlagda sanktionsavgiften sätts därmed ner från 75 miljoner kronor till 52 miljoner kronor.
Förvaltningsrätten i Stockholms dom den 23 november 2020 i mål nr 7565-20
Om du vill veta mer om personuppgiftsbehandling eller dataskyddförordningen är ni välkomna att kontakta Esa Kymäläinen, advokat och partner, eller Caroline Lorentzen, biträdande jurist, på TIME DANOWSKY Advokatbyrå.
