De reikwijdte van het recht om vergeten te worden

Het recht om vergeten te worden is sinds het Costeja-arrest vele malen voor de Nederlandse rechter uitgevochten. [3] Op 24 september 2019 was het Europese Hof van Justitie aan de beurt over de reikwijdte van het inzageverzoek. [4] Het Hof oordeelt dat Google zoekresultaten op basis van het recht om vergeten te worden in beginsel niet wereldwijd hoeft te verwijderen. Voor internetgebruikers buiten de EU moet het mogelijk blijven om in de EU verwijderde zoekresultaten te ontvangen.

De Nederlandse rechter over de reikwijdte van het recht om vergeten te worden

De Nederlandse rechter kreeg in 2016 voor het eerst de vraag voorgelegd wat de reikwijdte van een verwijderingsverzoek is. [5] De zaak betrof een advocaat die veroordeeld was voor verboden wapenbezit, waarover een blogger een stuk had gepubliceerd met naam en foto van de advocaat. Google heeft aangevoerd dat de advocaat geen belang heeft bij een eventuele verwijdering van zoekresultaten met een ruimere toepassing dan de Nederlandse versie van Google Search, te weten google.nl. Daartoe stelt Google dat Google Search zijn gebruikers op basis van hun locatie naar de lokale versie van de zoekmachine stuurt, zoals google.nl, als er vanuit Nederland wordt gezocht via google.com. De advocaat had hiertegen aangevoerd dat het automatisch doorsturen naar de locatie van de gebruiker van Google Search afhankelijk is van de instellingen die de gebruiker van Google Search heeft ingevoerd. Dit betekent dat door andere instellingen van Google Search de gebruiker van de zoekmachine niet meer automatisch zal worden doorgestuurd naar de versie google.nl. Aangezien Google deze stelling niet had betwist, zag de rechtbank geen aanleiding om het verzoek van de advocaat te beperken tot de Nederlandse versie van Google Search. [6]

In een andere zaak stelt Google dat de Nederlandse rechter geen rechtsmacht heeft om een uitspraak te doen over een verzoek tot verwijdering van informatie van buitenlandse versies van Google Search, omdat die informatie onder de rechtsmacht van de buitenlandse rechter valt. In die zaak werd dit verweer gepasseerd omdat het op zich mogelijk is dat een gebruiker van Google Search ook in Nederland gebruik maakt van google.com. De Wet bescherming persoonsgegevens (Wbp) was in een dergelijke situatie op grond van artikel 4 lid 2 Wbp ook van toepassing, nu de verwerkingsverantwoordelijke (Google) gebruikmaakt van zich in Nederland bevindende geautomatiseerde middelen. [7]

Hof van Justitie

Ook buiten Nederland is er discussie geweest over de reikwijdte van het recht om vergeten te worden. De Franse gegevensbeschermingsautoriteit (de Commission nationale de l’informatique et des libertés – de CNIL) had Google bij besluit van 10 maart 2016 een boete van EUR 100.000 opgelegd, omdat Google de zoekresultaten op grond van het recht om vergeten te worden niet wereldwijd verwijdert. Google verwijdert de zoekresultaten namelijk niet van de .com-extensie, maar alleen van de lokale Europese extensie. Dit betekent dat gebruikers buiten Europa de resultaten waar het verwijderverzoek betrekking op heeft, wel kunnen blijven zien.

In maart 2016 heeft Google naar aanleiding van “specific discussions that we’ve had with EU data protection regulators in recent months” toch besloten het verwijderingsverzoek te verruimen zodat Google de zoekresultaten niet alleen verwijderde van alle Europese versies van Google Search (zoals naast Google.nl ook Google.be, Google.fr etc.), maar bij een (veroordeling tot) verwijdering van een zoekresultaat, ook ervoor zorgde dat (op basis van de locatie van de internetgebruiker (geoblocking), aan de hand van bijvoorbeeld het IP-adres) de desbetreffende zoekresultaten niet meer getoond werden aan gebruikers die vanuit Nederland zoeken, ongeacht welke versie van Google Search, inclusief google.com, wordt gebruikt:[8]

“So for example, let’s say we delist a URL as a result of a request from John Smith in the United Kingdom. Users in the UK would not see the URL in search results for queries containing [john smith] when searching on any Google Search domain, including google.com. Users outside of the UK could see the URL in search results when they search for [john smith] on any non-European Google Search domain.” Een verwijderingsverzoek heeft dus geen impact op internetgebruikers buiten de EU, die in de EU verwijderde zoekresultaten nog steeds kunnen vinden.

Omdat de CNIL ook geoblocking onvoldoende achtte, is uiteindelijk overgegaan tot het opleggen van de boete. Het wereldwijd verwijderen van zoekresultaten, dus ook voor internetgebruikers buiten de EU, gaat Google echter veel te ver: ”The right to be forgotten can sometimes seem complex, and discussions about jurisdiction online certainly are complicated. But this issue is simple: should the balance between the right to free expression and the right to privacy be struck by each country—based on its culture, its traditions, its courts—or should one view apply for all?” [9]

Google ging daarom in beroep bij de hoogste rechter in Frankrijk die vervolgens vragen heeft gesteld aan het Hof van Justitie. De Franse Raad van State vroeg het Hof of de zoekresultaten wereldwijd moeten worden verwijderd en zo niet, of de resultaten dan op Europees of nationaal niveau moeten worden verwijderd. Verder heeft de Franse Raad van State gevraagd of het recht om vergeten te worden moet worden toegepast op extensies of op basis van IP-adressen waaruit afgeleid kan worden in welk land de gebruiker zich bevindt.

Het Hof van Justitie stelt ten eerste voorop dat een betrokkene op basis van artikel 17(1) AVG het recht heeft om van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van hem betreffende persoonsgegevens te verkrijgen en is de verwerkingsverantwoordelijke verplicht deze gegevens zonder onredelijke vertraging te wissen wanneer een van de in die bepaling vermelde gevallen van toepassing is. In artikel 17(3) AVG is gepreciseerd dat het recht om vergeten te worden niet van toepassing is voor zover de verwerking in kwestie nodig is om een van de in artikel 17(3), vermelde redenen. Volgens artikel 17(3)(a) AVG strekken deze redenen zich mede uit tot de uitoefening van het recht van de internetgebruikers op onder meer vrijheid van informatie.

Op basis van de overwegingen van de AVG (10, 11 en 13), stelt het Hof van Justitie vast dat de AVG tot doel heeft in de gehele EU een hoog niveau van bescherming van persoonsgegevens te waarborgen. Het staat daarom buiten kijf dat de verwijdering van zoekresultaten voor alle versies van een zoekmachine ten volle aan dat doel beantwoordt. “Het internet is immers een wereldwijd netwerk zonder grenzen, en zoekmachines zorgen ervoor dat de informatie en de links in de resultatenlijst die wordt weergegeven na een op de naam van een natuurlijke persoon uitgevoerde zoekopdracht, overal beschikbaar is.” Op grond van voornoemde overwegingen overweegt het Hof van Justitie dat de Uniewetgever bevoegd is aan de zoekmachine de verplichting op te leggen om, bij de inwilliging van een verzoek tot verwijdering, tot deze verwijdering over te gaan voor alle versies van zijn zoekmachine.

Desalniettemin benadrukt het Hof van Justitie dat tal van derde staten het recht op verwijdering van zoekresultaten niet kennen of met betrekking tot dit recht een andere benadering volgen. Ook heeft het recht op bescherming van persoonsgegevens geen absolute gelding, maar moet het overeenkomstig het evenredigheidsbeginsel worden afgewogen tegen andere grondrechten. Daarbij komt dat het evenwicht tussen het recht op eerbiediging van het privéleven en op bescherming van persoonsgegevens enerzijds en de vrijheid van informatie van internetgebruikers anderzijds wereldwijd aanzienlijk kan variëren.

Uit de AVG blijkt niet dat er een dergelijke afweging is gemaakt met betrekking tot de reikwijdte van de verwijdering van links buiten de EU. Daarnaast blijkt uit de AVG ook niet dat het recht om vergeten te worden verder reikt dan de EU. Het Hof van Justitie benadrukt wel dat de zoekmachine doeltreffende maatregelen moet nemen die beletten of op zijn minst ernstig ontmoedigen dat de internetgebruikers in de EU via een zoekopdracht op de naam van de betrokkene toegang hebben tot de verwijderde zoekresultaten op de niet-EU-versies van de zoekmachine, (Google deed dat, zoals hierboven uiteengezet, door middel van geoblocking). Als Google zoekresultaten moet verwijderen, moet dat dus wel gebeuren op versies binnen de EU, dus op google.nl, google.de, google.fr etc., maar niet op google.com.

Het Hof van Justitie plaatst hier nog een belangrijke kanttekening bij. De AVG voorziet weliswaar niet in de verplichting om zoekresultaten wereldwijd (buiten de EU) te verwijderen, maar verbiedt dat ook niet. De toezichthoudende gegevensbeschermingsautoriteiten en nationale rechters in de EU zijn daarom nog steeds bevoegd om een eigen afweging te maken tussen het recht van de betrokkene op eerbiediging van zijn privéleven en op bescherming van zijn persoonsgegevens enerzijds en de vrijheid van informatie anderzijds, en om na deze afweging de zoekmachine te gelasten de betreffende zoekresultaten te verwijderen voor alle versies van die zoekmachine.

Conclusie

De uitspraak van het Hof van Justitie is een nieuwe stap in de jarenlange strijd om het recht op vergeten te worden. Het (verruimde) beleid van Google omtrent het recht om vergeten te worden is in lijn met de overwegingen van het Hof. Google verwijdert zoekresultaten immers van alle EU versies van Google Search en door middel van geoblocking zorgt Google er ook voor dat verwijderde zoekresultaten niet meer getoond worden aan internetgebruikers die vanuit Nederland zoeken, ongeacht welke versie van Google Search, inclusief google.com, wordt gebruikt. De vraag of dit als ‘doeltreffende’ maatregelen moet worden beschouwd zoals het Hof heeft bedoeld, is aan de nationale rechter.

[1] HvJ EU 13 mei 2014, C-131/12, ECLI:EU:C:2014:317 (Google Spain).

[2] Zie echter Rechtbank Amsterdam 22 maart 2018, ECLI:NL:RBAMS:2018:3354 waarin de rechter overwoog dat toepassing van de AVG in die zaak waarschijnlijk niet tot een ander resultaat had geleid.

[3] L. Mourcous en mr. M. Weij, Drie jaar het recht om vergeten te worden: een analyse van de Nederlandse rechtspraak, Tijdschrift voor Internetrecht 2017 nr. 4. L. Mourcous en M. Weij, 2018 het jaar van Google: het recht om vergeten te worden in de rechtspraak, Tijdschrift voor Internetrecht 2018, nr. 5/6, p. 189-194

[4] C‑507/17, ECLI:EU:C:2019:772.

[5] Rechtbank Rotterdam 29 maart 2016, ECLI:NL:RBROT:2016:2395, r.o. 4.5-4.7.

[6] Zie ook: Rechtbank Amsterdam 19 april 2017, ECLI:NL:RBAMS:2017:2896, r.o. 4.4: “Zij zal worden veroordeeld om de twee maatregelen te nemen die in dit soort gevallen gebruikelijk zijn voor haar, te weten ervoor zorgen dat de hiervoor onder 2.2. bedoelde URL niet meer wordt getoond aan gebruikers die vanuit Nederland zoeken op “ [naam 8] ” en ook dat dit zoekresultaat wordt verwijderd van alle lokale EU/EFTA versies van Google Search.”