Googles rutin att informera webbansvariga vid sökträffsborttagningar enligt dataskyddsförordningen har lett till rekordstora sanktionsavgifter. Nu fastställer även kammarrätten att informationsrutinen strider mot GDPR.
Förra året beslutade Förvaltningsrätten i Stockholm att påföra Google en sanktionsavgift om 52 miljoner kronor för överträdelser av dataskyddsförordningen. Förvaltningsrättens avgörande gällde dels Googles hantering av ett enskilt klagomål angående rätten att bli glömd, dels bolagets rutin att systematiskt informera webbansvariga då Google slutat generera sökträffar till deras webbsida på begäran av en registrerad.
Förvaltningsrättens avgörande överklagades av såväl Google som Integritetsskyddsmyndigheten – vars initiala sanktionsbeslut hade uppgått till rekordhöga 75 miljoner kronor. I kammarrätten gjorde myndigheten gällande att sanktionsavgiften skulle bestämmas till 66 miljoner kronor.
Kammarrätten fastställer: Googles rutiner saknar rättslig grund
Under tisdagen meddelade Kammarrätten i Göteborg sitt avgörande i målet. Enligt avgörandet påförs Google en sanktionsavgift om 50 miljoner kronor för överträdelse av dataskyddsförordningen.
Kammarrätten anser, till skillnad från förvaltningsrätten, att Googles hantering av det enskilda klagomålet hade skett utan onödigt dröjsmål. Däremot instämmer kammarrätten i förvaltningsrättens bedömning att Googles meddelanden till webbansvariga vid sökträffsborttagningar står i strid med dataskyddsförordningen.
Enligt kammarrätten utgör meddelandena en personuppgiftsbehandling som saknar rättslig grund. Dessutom anser kammarrätten att behandlingen inte är förenlig med det ändamål för vilket uppgifterna ursprungligen samlades in och att behandlingen strider mot öppenhetsprincipen i dataskyddsförordningen.
Plattformsförordningen utan betydelse för ”rätten att bli glömd”
I både förvaltningsrätten och kammarrätten hade Google invänt att bolaget haft en skyldighet att meddela webbansvariga om förekommande sökträffsborttagningar enligt artikel 5.4 i EU:s plattformsförordning (2019/1150). Bestämmelsen, som började gälla i juni 2020, innebär att sökmotorleverantörer ska göra det möjligt för företagsanvändare av webbplatser att ta del av innehållet i en anmälan från tredje part, om leverantören tagit bort en viss webbplats från sökresultaten efter anmälan.
Förvaltningsrätten pekade på att bestämmelsen inte hade trätt i kraft vid tidpunkten för Integritetsskyddsmyndighetens (vid den tiden: Datainspektionens) beslut – och att plattformsförordningen, enligt vad som anges i artikel 1.5 i förordningen, inte ska påverka tillämpningen av EU:s dataskyddsregler.
Invändningen godtas inte heller av kammarrätten – om än med hänvisning till andra skäl än förvaltningsrätten.
Kammarrätten konstaterar de aktuella bestämmelserna i plattformsförordningen har ett konkurrensrättsligt syfte och att de inte kan anses omfatta sökträffsborttagningar som skett efter begäran från en registrerad enligt dataskyddsförordningen. Kammarrätten tar bland annat fasta på att ”rätten att bli glömd” enligt dataskyddsförordningen avser just personuppgifter – och inte sökträffar på varor eller tjänster.
Rätten till effektivt rättsmedel motiverar inte informationsrutin
I processen hade Google också invänt att sökträffsborttagningar efter klagomål enligt dataskyddsförordningen kan innebära en begränsning av de webbansvarigas yttrande- och informationsfrihet (i det konkreta ärendet berördes bland annat en nyhetssajt tillhandahållen av ett massmedieföretag). Att inte meddela de webbansvariga om en sökträffsborttagning, menade Google, medför att de webbansvariga inte kan få tillgång till ett effektivt rättsmedel enligt Europakonventionen.
Kammarrätten konstaterar att rätten till effektivt rättsmedel enligt Europakonventionen – och även enligt dataskyddsförordningen – i princip bara gäller mot myndighetsbeslut. Rätten till effektivt rättsmedel tar däremot inte sikte på raderingsbeslut som fattats av sökmotorleverantören själv, menar kammarrätten.
Ändå lämnas Googles argument inte helt utan avseende. I sitt avgörande konstaterar kammarrätten:
Google har dock en poäng i att om Google inte meddelar webbansvariga att en sökträff tagits bort får webbansvariga inte reda på att sökträffen tagits bort och kan då inte heller föra talan om att det var fel att ta bort sökträffen.
Däremot, fortsätter kammarrätten:
Ett beslut att enligt dataskyddsförordning att ta bort en sökträff påverkar bara sökningar på personuppgifter. De aktuella webbsidorna finns fortfarande kvar och är tillgängliga vid sökningar på andra begrepp än till exempel en enskild persons namn. Googles beslut att ta bort en sökträff på en enskild persons namn kan därför inte anses utgöra någon allvarlig inskränkning av den webbansvariges rättigheter.
Kammarrätten konstaterar därför att Googles informationsrutiner inte kan motiveras med hänvisning till rätten till effektivt rättsmedel.
Reprimand eller föreläggande otillräckligt – sanktionsavgiften sänks marginellt
Med hänsyn bland annat till att Google frångått vägledande uttalanden från Artikel 29-gruppen om information till webbansvariga vid sökträffborttagningar, samt att Googles bristfälliga informationsrutin varit systematisk och pågått under lång tid, anser kammarrätten att sanktionen inte kan stanna vid en reprimand eller ett föreläggande.
Kammarrätten instämmer i förvaltningsrättens bedömning om sanktionsavgiftens storlek, och utfärdar en sanktionsavgift motsvarande 50 miljoner kronor för Googles otillåtna informationsrutin. Däremot utfärdas ingen sanktionsavgift för Googles hantering av det enskilda klagomålet – varför sanktionsavgiften sänks med två miljoner kronor jämfört med förvaltningsrättens avgörande.
Kammarrättens pressmeddelande om avgörandet finns tillgängligt här.
Om du vill veta mer om personuppgiftsbehandling eller dataskyddförordningen är du välkommen att kontakta Esa Kymäläinen, advokat och partner, eller Caroline Lorentzen, biträdande jurist, på TIME DANOWSKY Advokatbyrå.
