Google, gällande rätten att bli glömd

Google Inc. Google Sweden AB Kungsbron 2, 5 tr 111 22 Stockholm

Tillsyn enligt personuppgiftslagen (1998:204) - Google Inc. och Google Sweden AB

Datainspektionens beslut

Datainspektionen konstaterar att Google Inc. är personuppgiftsansvarig för den personuppgiftsbehandling som förekommer i Googles söktjänster vilka är anknutna till Googles sökmotor.

Datainspektionen konstaterar att Google Inc. behandlar personuppgifter i strid med 5 a § andra stycket personuppgiftslagen vid visning av sökträffar i Googles söktjänster avseende de sökträffar som avses i - klagomål 2 (Google nr 0-5877000003906), - klagomål 4 (Google nr 7-3495000005136), - klagomål 5 (Google nr okänt), - klagomål 8 (Google nr 1-8544000003955), sökträffen som länkar till en artikel på webbplatsen www.sydsvenskan.se samt - klagomål 9 (Google nr 8-3100000005274) sökträffarna som länkar till webbplatserna www.kriminellt.com och www.brottostraff.wordpress.com.

Datainspektionen förelägger Google Inc. att vidta åtgärder så att de ovan nämnda sökträffarna inte visas vid sökningar med hjälp av Googles söktjänster som kan göras från Sverige. Åtgärderna ska vara genomförda senast den 2 augusti 2017.

Datainspektionen förelägger Google Inc. att ta bort sökträffar som kan visas vid sökningar på den registrerades namn med hjälp av Googles söktjänster

som kan göras från andra länder än Sverige när det i det enskilda fallet kan bedömas vara fråga om sökträffar som har en sådan särskild anknytning till Sverige och den registrerade att de innebär en kränkning av den registrerades personliga integritet.

Datainspektionen avslutar ärendet med de rekommendationer som finns på sidan 11 och 19.

Redogörelse för tillsynsärendet

Den 13 maj 2014 meddelade EU-domstolen dom i målet Google Spain SL och Google Inc. v. Agencia Española de Protección de Datos (AEPD) and Mario Costeja González (C-131/12, EU:C:2014:317), härefter Google Spain-domen eller domen. Sammanfattningsvis innebär Google Spain-domen att en enskild, under vissa förutsättningar, har en rätt att få sökträffar som visas i sökresultatet efter en sökning på hans eller hennes namn i en sökmotor borttagna (den s.k. rätten att bli glömd). I domen konstaterar domstolen att en sökmotorleverantör är registeransvarig (personuppgiftsansvarig) för den behandling av personuppgifter som förekommer i en sökmotor (lokalisering av information på internet, indexering på automatisk väg, tillfällig lagring och tillhandahållande av informationen för internetanvändare). Vidare konstaterar domstolen att en leverantör av en sökmotor är etablerad i en med– lemsstat när leverantören etablerar en filial eller ett dotterbolag i medlemsstaten för att marknadsföra och sälja reklamutrymme hos sökmotorn och filialens eller dotterbolagets verksamhet är riktad mot invånarna i medlems– staten. Domstolen konstaterar även att en enskilds rätt till privatliv och rätt till skydd för personuppgifter enligt artiklarna 7 och 8 i EU:s grundläggande stadga i dessa sammanhang i princip inte bara väger tyngre än sökmotor– leverantörens ekonomiska intressen, utan också tyngre än den breda allmänhetens intresse av att få tillgång till information om den enskilde vid sökningen på hans eller hennes namn i sökmotorn. Så är emellertid enligt domstolen inte fallet om ingreppet i den berörda personens grundläggande rättigheter av särskilda skäl, till exempel om det med hänsyn till den roll som den enskilde spelar i det offentliga livet, är motiverat av ”den breda allmänhetens övervägande intresse av att få tillgång till informationen i fråga genom att den upptas i förteckningen över sökresultat”.

Samarbetsorganet för dataskyddsmyndigheter inom EU, Artikel 29 arbetsgruppen för dataskydd (Artikel 29-gruppen), antog den 26 november 2014 en

vägledning för tolkning av Google Spain-domen. Vägledningen innehåller en redogörelse för hur arbetsgruppen har tolkat domen samt en lista med gemensamma kriterier för bedömningen av klagomål till dataskyddsmyndigheterna. Listan med de gemensamma kriterierna är avsedd att vara ett flexibelt arbetsverktyg som kan användas i dataskyddsmyndigheternas beslutsprocesser. De gemensamma kriterierna ska tillämpas i enlighet med relevant nationell lagstiftning. Vägledningen har beaktats vid Datainspektionens bedömning av de klagomål som behandlas inom ramen för detta tillsynsärende.

Under hösten 2014 och våren 2015 kom det till Datainspektionen in ett antal klagomål från personer som dessförinnan, utan resultat, hade vänt sig till Google och begärt att Google skulle ta bort vissa sökträffar.

Datainspektionen inledde, med anledning av 13 av dessa klagomål, tillsyn mot Google Sweden AB och Google Inc. den 27 maj 2015 och begärde att bolagen skulle redogöra för hur de hanterar en begäran från en enskild person om att Google ska ta bort vissa sökträffar från Googles Sök. Datainspektionen begärde även svar på frågan hur Google-bolagen har hanterat och bedömt de sökträffar som avsågs i de aktuella klagomålen. Därutöver begärde Datainspektionen även svar på frågan om, och i sådana fall på vilka sätt, bolagen har ändrat inställning och/eller praxis i förhållande till de svar på en enkät som Google (genom Google France Sarl) lämnade till Artikel 29-gruppen den 31 juli 2014 om vilka åtgärder de hade vidtagit efter Google Spain-domen.

Vad Google Inc. och Google Sweden AB har uppgett i sina svar till Datainspektionen redovisas nedan under skälen för beslutet.

Skäl för beslutet

Datainspektion har begränsat sin tillsyn i detta ärende till de ställningstaganden som följer nedan.

Google Inc. är personuppgiftsansvarig och etablerat i Sverige

Datainspektionen konstaterar att Google Inc. är personuppgiftsansvarig för den personuppgiftsbehandling som förekommer vid visning av sökträffar i Googles söktjänster och att Google Inc. genom Google Sweden AB:s verksamhet, är etablerat i Sverige samt att personuppgiftslagen är tillämplig på den personuppgiftsbehandling som utförs som ett led i verksamheten i Google Sweden AB.

Personuppgiftsansvarig är, enligt 3 § personuppgiftslagen, den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Bestämmelsen bygger på artikel 2 d i dataskyddsdirektivet.

Personuppgiftslagen gäller, enligt 4 § första stycket, för sådana personuppgiftsansvariga som är etablerade i Sverige. Bestämmelsen bygger på artikel 4.1 a i dataskyddsdirektivet. Av artikeln följer att de nationella bestämmelserna i medlemsstaten ska tillämpas när personuppgiftsbehandlingen utförs som ett led i verksamhet inom medlemsstatens territorium, där den registeransvarige är etablerad.

EU-domstolen har i Google Spain-domen konstaterat att det utförs en behandling av personuppgifter som ett led i verksamheterna vid ett etableringsställe tillhörande den registeransvarige på en medlemsstats territorium i den mening som avses i artikel 4.1 a i dataskyddsdirektivet, när sökmotorleverantören etablerar en filial eller ett dotterbolag i en medlemsstat för att marknadsföra och sälja reklamutrymme hos sökmotorn och filialens eller dotterbolagets verksamhet är riktad mot invånarna i den medlemsstaten (skäl 60 och beslutspunkt 2).

Google Inc. har uppgett att Googles sökmotor tillhandahålls av Google Inc. och att Google Sweden AB – i likhet med Google Spain SL:s relation till den spanska annonsmarknaden – stödjer försäljning av reklamutrymme på nätet på den svenska annonsmarknaden vilket inkluderar reklamutrymme som genereras på resultatsidor från Google Sök. I likhet med Google Spain SL kontrollerar Google Sweden AB inte Google Inc:s web crawler-mjukvara, och

har varken möjlighet att få tillgång till Googles sökindex eller möjlighet att modifiera det tillhandahållna sökresultatet. Google Sweden AB har uppgett att de inte tillhandahåller tjänsten Google Sök och att bolaget inte har möjlighet att ändra sökresultat som visas efter sökning i tjänsten.

Google Inc. anser därför att det är Google Inc. som ensamt är personuppgiftsansvarig för den personuppgiftsbehandling som förekommer vid tillhandahållandet av sökmotorn.

Datainspektionen ser inte skäl att ifrågasätta vad de båda Google-bolagen har uppgett och konstaterar därför att Google Inc. är personuppgiftsansvarig för den personuppgiftsbehandling som förekommer när sökningen görs med någon av Googles söktjänster, såsom Google Sök, Google Bilder, Google Videor, Google Nyheter, med användning av Googles sökmotor. Datainspektionen konstaterar även att Google Inc. genom Google Sweden AB:s verksamhet, är etablerad i Sverige och att personuppgiftslagen är tillämplig på den personuppgiftsbehandling som utförs som ett led i verksamheten i Google Sweden AB.

I fortsättningen avses således endast Google Inc. med ”Google” såvida inte något annat anges.

Googles behandling av personuppgifter omfattas inte av undantaget för journalistiska ändamål

Datainspektionen anser att Googles personuppgiftsbehandling inte omfattas av undantaget i 7 § andra stycket personuppgiftslagen vilket innebär att behandlingen av den anledningen inte är undantagen från personuppgiftslagens bestämmelser.

Behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller för konstnärligt eller litterärt skapande är, enligt 7 § andra stycket personuppgiftslagen, undantagen från huvuddelen av bestämmelserna i den lagen. Bestämmelsen motsvaras av artikel 9 i dataskyddsdirektivet.

EU-domstolen har i Google Spain-domen ansett att den behandling av personuppgifter som utförs av en sökmotorleverantör vid tillhandahållandet av en sökmotor inte omfattas av undantaget i artikel 9 för journalistiska ändamål m.m. även om den webbsida som har indexerats av sökmotorn omfattas av undantaget (p. 85). Enligt Högsta domstolen avses med journalistiska

ändamål enligt 7 § andra stycket personuppgiftslagen bland annat att informera, utöva kritik och väcka debatt om samhällsfrågor av betydelse för allmänheten (NJA 2001 s. 409).

Mot bakgrund av att Google endast förmedlar söklänkar till vad andra har publicerat på nätet och då denna hantering sker automatiskt och utan hänsyn till innehållet på de framsökta webbsidorna anser Datainspektionen att Googles personuppgiftsbehandling inte omfattas av undantaget i 7 § andra stycket personuppgiftslagen.

Bestämmelsen i 5 a § personuppgiftslagen är tillämplig

Datainspektionen anser att bestämmelsen i 5 a § personuppgiftslagen är tillämplig på den personuppgiftsbehandling som förekommer vid visning av sökträffar i Googles söktjänster.

Enligt 5 a § personuppgiftslagen behöver inte huvuddelen av bestämmelserna i personuppgiftslagen tillämpas på behandling av personuppgifter som inte ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av personuppgifter.

Avsikten med den s.k. missbruksregeln i 5 a § personuppgiftslagen är att sådant som inte framstår som något regelrätt personregister eller någon annan form av system, som upprättats för att påtagligt underlätta sökning efter och sammanställning av personuppgifter, ska vara undantaget från hanteringsreglerna i personuppgiftslagen. Det är strukturen på det material i vilket de aktuella personuppgifterna ingår som avgör vilka regler i personuppgiftslagen som ska tillämpas (prop. 2005/06:173 s. 21, se även HFD 2015 ref. 3). En generell strukturering av ett material medför inte att hanteringsreglerna ska tillämpas. Med generell strukturering menas att ett material har strukturerats, till exempel genom indexering, med avseende på flera olika slags uppgifter utan att just personuppgifter har markerats som sådana. Som exempel på det nämns i förarbetena sökmotorer på internet där teckensträngar m.m. i material som finns tillgängligt på internet indexeras (prop. 2005/06:173 s. 20 f.).

Mot den bakgrunden anser Datainspektionen att bestämmelsen i 5 a § personuppgiftslagen är tillämplig på den personuppgiftsbehandling som förekommer vid visning av sökträffar i Googles söktjänster.

Kränkningsbedömning enligt 5 a § andra stycket personuppgiftslagen

Datainspektionen finner att kränkningsbedömningen enligt 5 a § andra stycket personuppgiftslagen måste ske utifrån en tolkning som beaktar EUdomstolens tolkning i Google Spain-domen av dataskyddsdirektivet och enskildas rätt till skydd för sina grundläggande fri- och rättigheter.

Enligt den så kallade missbruksregeln i 5 a § andra stycket personuppgiftslagen får inte behandling av personuppgifter i ostrukturerat material utföras om den innebär en kränkning av den registrerades personliga integritet.

Bestämmelsen i 5 a § personuppgiftslagen innebär att huvuddelen av bestämmelserna i personuppgiftslagen inte behöver tillämpas. Den personuppgiftsansvarige kan dock välja att tillämpa de undantagna bestämmelserna även då 5 a § personuppgiftslagen är tillämplig. I förarbetena anges att bestämmelserna om grundläggande krav i 9 § och om när behandling av personuppgifter är tillåten enligt 10 § personuppgiftslagen kan tas som utgångspunkt för bedömningen av om en behandling av personuppgifter innebär en kränkning av den registrerades personliga integritet. Har dessa bestämmelser följts, trots att de i och för sig inte är tillämpliga på behandlingen, kan behandlingen inte betraktas som en kränkning. Enligt de grundläggande kraven följer bland annat en skyldighet för den personuppgiftsansvarige att vidta alla rimliga åtgärder för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen (9 § första stycket h personuppgiftslagen).

Kränkningsbedömningen i 5 a § ska enligt förarbetena bygga på en intresseavvägning där den registrerades intresse av en fredad, privat sfär vägs mot andra motstående intressen i det enskilda fallet. Vad som är en kränkning ska bedömas i varje enskilt fall utifrån vilka uppgifter som behandlas, i vilket sammanhang uppgifterna förekommer, för vilket syfte de behandlas, vilken spridning de har fått eller riskerar att få samt vad behandlingen kan leda till. Om uppgifterna behandlas med syfte att förfölja eller skandalisera en person får behandlingen, enligt förarbetena, givetvis anses innebära en kränkning av den personliga integriteten. Ett annat exempel som nämns i förarbetena är spridning av uppgifter om meningsmotståndare i syfte att möjliggöra angrepp på dessa på grund av till exempel deras politiska uppfattning, sexuella läggning eller etniska ursprung. En spridning av personuppgifter som innebär förtal eller förolämpning är enligt förarbetena givetvis också att betrakta som en kränkning av den personliga integriteten. Vidare får det oftast anses

innebära en kränkning av den registrerades personliga integritet om den personuppgiftsansvarige medvetet behandlar personuppgifter som är klart felaktiga eller missvisande (prop. 2005/06:173 s. 26 ff.).

Härtill kommer att bestämmelsen i 5 a § personuppgiftslagen är ett genomförande av dataskyddsdirektivet och därför ska tolkas på ett sätt som inte står i strid med bland annat de grundläggande rättigheter som skyddas genom EU:s rättsordning (jfr prop. 2005/06:173 s. 27).

I Google Spain-domen uttolkar EU-domstolen omfattningen av sökmotorleverantörers skyldigheter och berörda personers rättigheter till skydd med avseende på behandling enligt såväl dataskyddsdirektivet som EU:s stadga om de grundläggande rättigheterna.

I domen konstaterar EU-domstolen att sökmotorleverantörens behandling kan vara tillåten efter en intresseavvägning enligt artikel 7 f dataskyddsdirektivet (skäl 73), vilken motsvaras av bestämmelsen i 10 § f personuppgiftslagen. Domstolen konstaterar även att den registrerade har rätt att kräva rättelse enligt artikel 12 b och att göra invändningar mot en pågående behandling enligt artikel 14 första stycket a. Vid bedömningen av om den registrerade har rätt till rättelse bedömer domstolen om de grundläggande kraven i artikel 6.1 c-e är uppfyllda, särskilt vad gäller kraven på att de behandlade personuppgifterna, med hänsyn till ändamålet med behandlingen, är adekvata, relevanta eller inte är fler än vad som är nödvändigt, att de är uppdaterade eller att de inte lagras under längre tid än vad som är nödvändigt (skäl 94).

I bedömningen av om en registrerad har rätt att begära att sökträffar ska tas bort från sökresultatet beaktar EU-domstolen den registrerades grundläggande rättigheter till skydd för privatliv och skydd för personuppgifter enligt artiklarna 7 och 8 i EU:s grundläggande stadga. Domstolen konstaterar därvid att dessa rättigheter i princip inte bara väger tyngre än sökmotorleverantörens ekonomiska intressen, utan också tyngre än den breda allmänhetens intresse av att hitta information vid sökning på den berörda personens namn. Så är emellertid inte fallet om ingreppet i den berörda personens grundläggande rättigheter av särskilda skäl, såsom den roll den berörda personen spelar i det offentliga livet, är motiverat av den breda allmänhetens övervägande intresse av att få tillgång till informationen i fråga genom att den upptas i förteckningen över sökresultat (skäl 97).

Domstolen påpekar även att den personuppgiftsbehandling som utförs av en sökmotorleverantör (skäl 80)

I Google Spain-domen tar EU-domstolen ställning till sökträffar som var länkade till webbsidor i en dagstidnings online-arkiv som innehåller annonser som nämner den aktuella personens namn och som rör en försäljning av dennes fasta egendom på auktion i samband med en utmätning på grund av skulder avseende socialförsäkringsavgifter. EU-domstolen finner att den berörda personen hade rätt att kräva att sökträffarna togs bort från sökresultatet bland annat mot bakgrund av hur känslig informationen i annonserna var och att den ursprungliga publiceringen gjordes 16 år tidigare. Domstolen konstaterar även att det inte tycktes finnas några särskilda skäl som talade för att det förelåg ett övervägande intresse för allmänheten att ta del av informationen genom en sökning på den berörda personens namn (skäl 98).

EU-domstolens dom i Google Spain-målet är en uttolkning av vilket skydd som berörda personer måste garanteras enligt EU:s rättsordning. Datainspektionen finner mot den bakgrunden att tillämpningen av 5 a § andra stycket personuppgiftslagen i detta fall måste ske utifrån en tolkning som beaktar EU-domstolens tolkning i Google Spain-domen av dataskyddsdirektivet och enskildas rätt till skydd för sina grundläggande frioch rättigheter.

Googles rutiner då en enskild person begär att en sökträff ska tas bort

Datainspektionen har granskat Googles rutiner då enskilda begär att Google ska ta bort sökträffar som visas i Googles söktjänster efter sökning på deras namn. Inspektionens slutsatser nedan bygger på vad Google har uppgett och

vad som framkommit av de 13 klagomål som behandlas inom ramen för detta tillsynsärende.

Former för en begäran om att en sökträff ska tas bort

Datainspektionen har inga synpunkter på formerna för hur registrerade kan begära att Google ska ta bort sökträffar.

Google har uppgett att bolaget med anledning av Google Spain-domen har inrättat en rutin för att ta emot och utvärdera en enskilds begäran om borttagning av sökträffar. Rutinen har uppdaterats vid ett flertal tillfällen och utvecklas fortfarande. Rutinen innebär att den som begär borttagande måste fylla i ett webbformulär med uppgifter om bland annat vilket lands lag som gäller för begäran, namn som använts vid sökningen av de sökträffar som begäran avser, e-postadress, webbadress (URL) till varje webbsida som sökträffarna länkar till, förklaring av hur innehållet på varje länkad webbsida relaterar till den enskilde, förklaring av på vilket sätt inkluderandet av sökträffen i sökresultatet är irrelevant, inaktuell eller på annat sätt är föremål för invändningar. Den enskilde måste även bifoga en kopia av ett dokument som verifierar hans eller hennes identitet och intyga att informationen i begäran är korrekt samt att han eller hon är den som berörs av innehållet på de länkade webbsidor som anges i begäran. När Google mottar en begäran skickas en bekräftelse av mottagandet samt ett ärendenummer till den epostadress som den enskilde har angett.

Vidare har Google uppgett att webbformuläret finns tillgängligt i flera olika språkversioner inklusive svenska. Google tillhandahåller ingen alternativ rutin för att ta emot en begäran från en enskild. Om en enskild lämnar en begäran på annat sätt till exempel via fax, brev eller e-post hänvisas denne normalt till webbformuläret. Men om en enskild insisterar på att inte använda webbformuläret behandlar Google ändå begäran.

Som EU-domstolen konstaterar i Google-domen har var och en enligt EU:s rättighetsstadga en rätt att få insamlade uppgifter som rör honom eller henne rättade. Dataskyddsdirektivet innehåller inga uttryckliga bestämmelser om formen för hur den registrerade kan motsätta sig en behandling och utöva sin rätt till rättelse. Inte heller personuppgiftslagen innehåller något sådant formkrav.

Med hänsyn till det stora antalet begäran om borttagande av sökträffar som Google tar emot och de praktiska fördelarna som ett webbformulär ger, har Datainspektionen förståelse för att Google i första hand hänvisar till webbformuläret. Det bör dock enligt Datainspektionens mening inte vara den enda vägen för den enskilde att begära att en sökträff ska tas bort (jfr Artikel 29-gruppens vägledning s. 7 p. 13). Det bör vara möjligt att även framföra en begäran på annat lämpligt sätt, såsom via brev eller e-post.

Mot bakgrund av att Google även tar emot och behandlar en begäran som lämnas in på annat sätt än genom webbformuläret har Datainspektionen inga synpunkter på Googles rutiner för hantering av en enskilds begäran om att ta bort sökträffar (jfr klagomål 1 och 5 nedan).

Skyldighet att utreda omständigheterna i en begäran om att ta bort en sökträff Datainspektionen rekommenderar Google att vidta nödvändiga åtgärder för att utreda en oklar och ofullständig begäran om borttagande av sökträffar.

Google har uppgett att en inkommen begäran om att ta bort en sökträff tas om hand av Googles removals-team som gör en bedömning i det enskilda fallet. En begäran som är skriven på svenska behandlas av personer som har svenska som modersmål. Vid behov begär Google kompletteringar från den enskilde. Google frågar normalt inte om utdrag från belastningsregistret men det förekommer att en enskild självmant skickar in ett sådant utdrag för att underlätta Googles bedömning. Efter att Google tog emot Datainspektionens tillsynsskrivelse har Google uppdaterat sina rutiner och begär inte längre in ytterligare dokumentation från den enskilde när det är fråga om sökträffar som leder till information som innehåller anklagelser om brott.

Google har uppgett att bolaget har haft problem med att bedöma en enskilds begäran om att ta bort sökträffar då de vanligtvis uteslutande har att förlita sig på den information som den enskilde lämnar och då det kan vara svårt att bedöma det större sammanhang i vilket informationen på de länkande webbsidorna är publicerat.

Artikel 29-gruppen har i sin vägledning påpekat att Google måste följa nationell rätt när det gäller formerna för en begäran om att ta bort sökträffar. Gruppen har även angett följande (Artikel 29-gruppens vägledning s. 7 p. 14).

Det finns, som nämnts ovan, inga formkrav för en begäran om rättelse enligt dataskyddsdirektivet eller personuppgiftslagen. När det gäller hanteringen av en begäran kan, även om bestämmelsen i 28 § personuppgiftslagen inte är direkt tillämplig i detta fall, förarbetena till den bestämmelsen tjäna som vägledning. Enligt dessa är det tillräckligt att det av begäran framgår att den registrerade är missnöjd med behandlingen i något visst avseende och vill att korrigering ska vidtas. Framställs en sådan begäran bör den personuppgiftsansvarige skyndsamt utreda om de framförda anmärkningarna är befogade och, om så är fallet, snarast vidta korrigeringar. Omfattningen av utredningen får bero av de anmärkningar som den registrerade har framställt (prop. 1997/98:44 s. 133).

Enligt Datainspektionen bör det i första hand åligga den enskilde att ange tillräckliga uppgifter för att Google ska kunna behandla hans eller hennes begäran. Uppgift om vilken sökträff som avses med en begäran bör företrädesvis identifieras med angivande av webbadress till den webbsida som sökträffen länkar till. I de fall den enskilde hänvisar till namnet på en webbplats, en blogg eller liknande och det är möjligt att identifiera webbsidan och den information på webbsidan som avses bör det åligga Google att vidta åtgärder för att identifiera den sökträff som begäran avser. Detsamma gäller om den enskilde har tagit fel på toppdomänen i webbadressen till exempel .se i stället för .com och det framgår av bland annat sökresultatet vilken sökträff som han eller hon avser (jfr klagomål 5).

Uppgifter om sakförhållanden – till exempel att den enskilde har friats från åtal – som lämnas av den enskilde bör normalt godtas om det saknas anledning att ifrågasätta dem.

Om Google, trots vidtagna utredningsåtgärder, bedömer att det inte är möjligt att identifiera den sökträff som den enskilde har begärt att Google ska ta bort eller om Google inte godtar hans eller hennes uppgifter om sakförhållanden bör den enskilde informeras om detta och ges möjlighet att komplettera sina uppgifter (jfr klagomål 1 nedan).

Mot denna bakgrund rekommenderar Datainspektionen Google att vidta nödvändiga åtgärder för att utreda en oklar och ofullständig begäran om att sökträffar ska tas bort.

Hur ska en sökträff tas bort?

Google ska föreläggas att vidta åtgärder så att de sökträffar som Datainspektionen i detta beslut konstaterar står i strid med 5 a § andra stycket personuppgiftslagen, inte visas vid sökningar med hjälp av Googles söktjänster som kan göras från Sverige.

Google ska föreläggas att även ta bort sökträffar som kan visas vid sökningar på den registrerades namn med hjälp av Googles söktjänster som kan göras från andra länder än Sverige när det i det enskilda fallet kan bedömas vara fråga om sökträffar som har en sådan särskild anknytning till Sverige och den registrerade att de innebär en kränkning av den registrerades personliga integritet.

Google har uppgett att när bolaget beslutar att ta bort en sökträff innebär det att den borttagna sökträffen inte längre visas vid sökning på den aktuella personens namn. Innehållet på den webbsida som sökträffen länkar till kan fortfarande vara tillgänglig vid sökning på andra sökord. Borttagande sker vid alla sökfrågor som innehåller den enskildes namn, även då det anges i kombination med andra sökord.

Vidare har Google uppgett att när Google beslutar om att ta bort en sökträff visas inte sökträffen vid sökningar som görs från sådana domäner som är knutna till EU/EFTA-länder, t.ex. google.se. Under ärendets handläggning har Google vidtagit åtgärder som innebär att europeiska användare som använder den amerikanska versionen av Googles söktjänster, google.com, omdirigeras till europeiska ccTLD (country code top level domains).

Artikel 29-gruppen har i sin vägledning gjort följande bedömning (Artikel 29gruppens vägledning s. 3).

Med anledning av Artikel 29-gruppens vägledning och med anledning av påpekanden från flera dataskyddsmyndigheter om att Googles åtgärder vid borttagande inte var tillräckliga för att garantera ett tillräckligt skydd för de registrerade, vidtog Google ytterligare åtgärder som innebär att när Google beslutar om att ta bort en sökträff tas den liksom tidigare bort på domäner som kan kopplas till EU/EFTA-länder samt därutöver även vid sökningar som Google kan bedöma har sitt ursprung i det land där den enskilde bor oavsett vilken domän som sökningen görs ifrån. Bedömningen görs huvudsakligen utifrån den IP-adress som används för en sökning. Google anser därför att bolagets beslut om att ta bort en sökträff får effekt på sökningar som görs från alla versioner av Googles söktjänster som är direkt tillgängliga från det land där den enskilde som begärt att sökträffen ska tas bort bor.

Den franska dataskyddsmyndigheten, Commission nationale de l’informatique et des libertés (CNIL), har i ett beslut den 10 mars 2016 bedömt att Googles borttagande av sökträffar ska omfatta sådana sökträffar som skapas vid behandling som utförs i Googles sökmotor oavsett från vilken domän och vilken geografisk position användaren har gjort sökningen. CNIL har även ansett att de av Google vidtagna åtgärderna inte är tillräckliga för att ge de registrerade ett effektivt och komplett skydd för deras grundläggande rättigheter enligt dataskyddsdirektivet. Googles åtgärder hindrar inte att användare får tillgång till de borttagna sökträffarna när de befinner sig utanför Frankrike eller om de använder tekniska lösningar som gör det möjligt att välja IP-adress och därigenom den geografiska position som är knuten till IP-adressen. Vidare anser CNIL att skyddet för de grundläggande rättigheterna inte kan vara beroende av var mottagaren av personuppgifterna befinner sig. Endast åtgärder som riktas mot all den behandling av personuppgifter som sker i Googles sökmotor oavsett från vilken domän som sökningen görs kan uppfylla de krav som uppställs av EU-domstolen i Google Spain-domen. Mot denna bakgrund har CNIL förelagt Google att utvidga borttagandet av sökträffar till samtliga domäner på internet. CNIL:s beslut har överklagats av Google.

Datainspektionen har inga synpunkter på hur Google tar bort kränkande sökträffar vid sökningar som görs från Sverige. Vad gäller frågan om Google är skyldig att ta bort kränkande sökträffar som visas vid sökningar som görs från

andra länder än Sverige anser Datainspektionen att två förutsättningar måste vara uppfyllda för att sådan skyldighet ska föreligga.

En första förutsättning för att Google ska vara skyldig att ta bort sökträffar vid sökningar som görs utanför Sverige är att personuppgiftslagen är tillämplig på den behandling som sker även vid en sådan sökning.

Datainspektionen har ovan konstaterat att personuppgiftslagen är tillämplig på den personuppgiftsbehandling som utförs som ett led i verksamheten i Google Sweden AB. Grunden för denna bedömning är EU-domstolens tolkning av artikel 4.1 a i dataskyddsdirektivet, vilken innebär ”att det utförs en behandling av personuppgifter som ett led i verksamheterna vid ett etableringsställe tillhörande den registeransvarige på en medlemsstats territorium, i den mening som avses i denna bestämmelse, när sökmotorleverantören etablerar en filial eller ett dotterbolag i en medlemsstat för att marknadsföra och sälja reklamutrymme hos sökmotorn och filialen eller dotterbolagets verksamhet är riktad mot invånarna i den medlemsstaten” (beslutspunkt 2).

Domstolens uttalande avser frågan om vilken medlemsstats lagstiftning som ska tillämpas på behandling som omfattas av direktivets tillämpningsområde. Domen ger, enligt Datainspektionens uppfattning, emellertid inte svar på frågan om de nationella bestämmelserna i de medlemsstater där Google anses vara etablerat ska tillämpas på all personuppgiftsbehandling som förekommer i Googles sökmotor när behandlingen sker utanför EU men ändå påverkar integritetsskyddet för registrerade som befinner sig inom EU.

En möjlig tolkning av domen är att de nationella bestämmelserna endast ska tillämpas på personuppgiftsbehandling som kan kopplas till Google Sweden AB:s marknadsföring och försäljning av reklamutrymme. Google har uppgett att verksamheten hos Google Sweden AB stödjer ”försäljningen av reklamutrymme på nätet på den svenska annonsmarknaden vilket inkluderar reklamutrymme som genereras på resultatsidor från Google Sök”. Såvitt Datainspektionen erfarit avser verksamhet hos Google Sweden AB huvudsakligen marknadsföring och försäljning av reklamutrymme som visas vid sökningar som görs från Sverige. Det kan tala för att personuppgiftslagen endast är tillämplig på behandling av personuppgifter då sökningar görs i Googles sökmotor från Sverige.

För Datainspektionen framstår det emellertid som klart att den behandling av personuppgifter som utförs för att Googles sökmotor ska fungera bygger på en global insamling av personuppgifter. Den underliggande insamlingen av personuppgifter förändras inte av att Google har infört funktioner som gör att en användare som befinner sig inom EU inte, utan att använda sig av exempelvis proxyservrar för att inte avslöja från vilket land sökningen görs, kan se sökträffar som tagits bort från visning inom EU-domäner med stöd av ”rätten att bli glömd”. Även om Google har infört sådana funktioner så är det uppenbarligen så att den behandling av personuppgifter som utförs för att Googles sökmotor ska fungera inkluderar sådana ”borttagna” sökträffar dvs. personuppgifter som exempelvis samlas in från webbplatser på svenska domäner, webbplatser skrivna på svenska och riktade till svenskar. Det innebär enligt Datainspektionens bedömning att behandling av personuppgifter i Googles sökmotor generellt sett får, vid sidan om vad som kan anses ske som ett i led i Googles verksamhet i andra etableringsställen, anses ske som ett led i verksamheten vid etableringsstället i Sverige (Google Sweden AB). Det innebär att personuppgiftslagen måste anses tillämplig även vid sökningar som sker utanför Sverige.

En andra förutsättning för att Google ska vara skyldig att ta bort sökträffar vid sökningar som görs utanför Sverige är att personuppgiftslagen i det enskilda fallet anses ha en sådan extraterritoriell räckvidd. Varken lagtexten eller förarbetena till personuppgiftslagen ger någon vägledning i denna fråga.

Datainspektionen bedömer i likhet med Artikel 29-gruppen och CNIL att ett effektivt och komplett skydd av den rätt som tillerkänns de registrerade i Google Spain-domen förutsätter att tillsynsbeslut om att ta bort sökträffar utformas på ett sådant sätt att de inte kan kringgås. Ett borttagande som endast görs vid sökningar som sker från Sverige innebär att den borttagna sökträffen fortfarande kan visas för personer som befinner sig utanför Sverige.

Det är inte ovanligt att personer, särskilt ungdomar, har ett socialt umgänge via internet med personer i flera länder över hela världen. Det är inte heller ovanligt att personer från Sverige söker arbete hos utländska arbetsgivare. För sådana personer ger ett borttagande av en kränkande sökträff som endast får effekt vid sökningar som sker från Sverige inte ett fullgott skydd för personens grundläggande fri- och rättigheter.

Bestämmelserna i dataskyddsdirektivet liksom i personuppgiftslagen som genomför direktivet i svensk rätt, ska tolkas mot bakgrund av de rättigheter som garanteras enskilda genom EU:s stadga om de grundläggande rättigheterna, särskilt vad avser rätten till privatliv, artikel 7, och rätten till skydd för personuppgifter, artikel 8 (Google Spain-domen p. 68). Dataskyddsdirektivets syfte är att skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter (artikel 1.1, se även Google Spain-domen p. 53 och 58).

Som domstolen anger i skäl 58 kan det inte godtas att den behandling av personuppgifter som utförs för att sökmotorn ska fungera undantas från skyldigheterna och garantierna i direktiv 95/46. Detta skulle nämligen enligt domstolen påverka direktivets ändamålsenliga verkan samt det effektiva och fullständiga skydd för fysiska personers grundläggande fri- och rättigheter som direktivet avser att säkerställa, bland annat när det gäller respekten för privatlivet med avseende på behandling av personuppgifter, vilket direktivet tillmäter en särskild betydelse och som bland annat framgår av artikel 1.1 och skälen 2 och 10 i direktivet.

Datainspektionen bedömer mot denna bakgrund att personuppgiftslagen måste anses tillämplig och kunna ge skydd för registrerades grundläggande fri- och rättigheter vid kränkande personuppgiftsbehandling som förekommer vid tillhandahållandet av Googles söktjänster oavsett om visningen av personuppgifterna sker i Sverige eller inte. Enligt Datainspektionen är det emellertid tydligt att det krävs en särskild anknytning till Sverige och den registrerade för att denne med stöd av de svenska bestämmelserna i personuppgiftslagen ska kunna kräva att Google förhindrar visning av en sökträff när sökningen görs från ett annat land än Sverige. Faktorer som kan tyda på en sådan särskild anknytning kan exempelvis vara att informationen på den länkade webbsidan är skriven på svenska, riktar sig till en svensk publik, innehåller uppgifter om den registrerade som befinner sig i Sverige eller att informationen har publicerats på den svenska domänen .se. samt att man kan anta att visningen av sökträffen i utlandet får konsekvenser för den registrerades personliga integritet.

De klagomål som Datainspektionen i detta tillsynsärende har bedömt stå i strid med 5 a § andra stycket personuppgiftslagen berör såvitt Datainspektionen kan bedöma endast svenska förhållanden. Det finns inget i dessa klagomål som tyder på att de klagandes intresse av skydd för den personliga

integriteten kräver att sökträffarna ska tas bort även vid sökningar som görs från ett annat land än Sverige.

Sammanfattningsvis ska Google därför föreläggas att vidta åtgärder så att de sökträffar som Datainspektionen i detta beslut konstaterar står i strid med 5 a § andra stycket personuppgiftslagen, inte visas vid sökning med hjälp av Googles söktjänster som kan göras från Sverige. Google ska även föreläggas att ta bort sökträffar som kan visas vid sökningar på den registrerades namn med hjälp av Googles söktjänster som kan göras från andra länder när det i det enskilda fallet kan bedömas vara fråga om sökträffar som har en sådan särskild anknytning till Sverige och den registrerade att de innebär en kränkning av den registrerades personliga integritet.

Information om borttagande i sökresultatet

Datainspektionen bedömer att den information som lämnas i sökresultatet om att sökträffar kan ha tagits bort inte är kränkande enligt 5 a § andra stycket personuppgiftslagen.

Google har uppgett att när Googles system känner av att en sökning avser en persons namn anges i slutet av sökresultatet att en sökträff kan ha tagits bort i enlighet med dataskyddslagstiftningen i Europa. Texten visas även i de fall någon sökträff inte har tagits bort och Googles system känner av att sökning görs på namn.

Datainspektionen bedömer inledningsvis om Google har en skyldighet att informera användarna av deras söktjänster om att sökträffar kan ha tagits bort. Den personuppgiftsansvariges skyldighet enligt 28 § personuppgiftslagen att rätta personuppgifter innefattar även en skyldighet att underrätta tredje man till vilken uppgifterna har lämnats ut om rättelsen, om den registrerade begär det eller om mer betydande skada eller olägenhet för den registrerade skulle kunna undvikas genom en underrättelse. Någon sådan underrättelse behöver dock inte lämnas, om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Som nämnts ovan behöver inte bestämmelsen i 28 § tillämpas då behandlingen sker i sådant ostrukturerat material som avses i 5 a § första stycket. Bestämmelsen ger dock vägledning i bedömningen om behandlingen ska anses kränkande enligt 5 a § andra stycket.

När en enskild begär att en sådan sökträff i Googles söktjänster som visas efter sökning på hans eller hennes namn ska tas bort torde avsikten vara att spridning av informationen på den sida som sökträffen länkar till ska begränsas. Att informera användarna av Googles söktjänster om att en sökträff har tagits bort utan att den enskilde särskilt har begärt det torde inte ligga i dennes intresse. Det torde sällan eller aldrig heller vara nödvändigt att informera om en borttagen sökträff i sökresultatet för att undvika en skada eller olägenhet för den enskilde. Det finns således i normala fall ingen skyldighet för Google att informera om att en sökträff har tagits bort vid sökning på den enskildes namn.

Datainspektionen bedömer härefter om Googles information till användarna strider mot bestämmelserna i personuppgiftslagen. Artikel 29-gruppen har i sin vägledning ansett att information i sökresultatet om borttagande endast kan vara tillåten om användarna inte i något fall kan dra slutsatsen av informationen att en enskild har begärt borttagande om honom eller henne (jfr Artikel 29-gruppens vägledning s. 9 p. 22).

Datainspektionen bedömer att Googles behandling i detta avseende sker i sådan ostrukturerad form som avses i 5 a § första stycket personuppgiftslagen. Den är i sådana fall tillåten enligt andra stycket i samma bestämmelse så länge som den inte innebär en kränkning av den registrerades personliga integritet.

Den information Google lämnar anger inte att en sökträff har tagits bort – endast att en sökträff kan ha tagits bort. Texten innehåller således ingen information som är specifik för den som sökresultatet avser (jfr dock klagomål 7 nedan). Det är därför inte möjligt att, enbart med ledning av denna information, konstatera om en sökträff har tagits bort. Mot den bakgrunden bedömer Datainspektionen att informationen inte är kränkande enligt 5 a § andra stycket personuppgiftslagen.

Information till webbansvariga om att länkar till sökträffar har tagits bort Datainspektionen rekommenderar Google att endast skicka information till webbansvariga när det står klart att sådan information inte innebär en kränkning av de registrerades personliga integritet.

Google har uppgett att när Google tar bort en sökträff skickar bolaget ett meddelande till den webbansvarige vars webbsida är berörd om denne har anmält sig till Googles tjänst Webmaster Tools. Meddelandet innehåller

endast information om vilken webbadress som är berörd och ingen övrig information om begäran till exempel vem som har begärt borttagandet. Sådana meddelanden skickas dock inte till webbansvariga för webbsidor som innehåller flagranta fall av sexuellt material som lagts upp utan samtycke.

Datainspektionen gör följande bedömning. I de klagomål som Datainspektionen har granskat i detta ärende förekommer vanligtvis endast ett eller ett fåtal namn på de webbsidor som sökträffarna länkar till. Det torde därför vara relativt enkelt för den webbansvarige att avgöra vem som har begärt borttagande. Google måste därför utgå från att information om vilka webbsidor som berörs av ett borttagande indirekt innebär en personuppgiftsbehandling. Spridningen av meddelandet måste således ha rättsligt stöd i personuppgiftslagen.

Datainspektionen konstaterar att en webbansvarig, i förhållande till Google, inte är en sådan tredje man som avses i 28 § personuppgiftslagen. Google har därför inte någon skyldighet att informera en webbansvarig om ett borttagande som gäller en webbsida som denne ansvarar för.

Datainspektionen bedömer att Googles behandling i detta avseende sker i sådan ostrukturerad form som avses i 5 a § första stycket personuppgiftslagen. Den är i sådana fall tillåten enligt andra stycket i samma bestämmelse så länge som den inte innebär en kränkning av den registrerades personliga integritet. Datainspektionen anser att meddelanden som skickas till webbansvariga vars webbsidor berörs av ett borttagande kan innebära en sådan kränkning som avses i 5 a § andra stycket personuppgiftslagen. En bedömning måste dock göras i varje enskilt fall (jfr Artikel 29-gruppens vägledning s. 10, p. 23).

Mot denna bakgrund rekommenderar Datainspektionen Google att skicka information till webbansvariga endast när det står klart att sådan information inte innebär en kränkning av de registrerades personliga integritet.

Googles bedömning i 13 fall av begäran om borttagning

Datainspektionen har granskat 13 klagomål där Google efter de registrerades begäran har vägrat att ta bort sökträffar. Vid granskningen har Datainspektionen genomfört egna sökningar med Googles söktjänster och granskat sökresultatet, sökträffar och länkade webbsidor.

Googles bedömning av de klagandes begäran

Google har uppgett följande. Vid bedömningen av en begäran om att ta bort en sökträff granskas innehållet på varje webbsida som finns på de webbadresser som klaganden har angett. Bedömningen görs normalt på den begränsade information som klaganden har uppgett samt den information som finns på webbsidan vid tidpunkten för granskningen. Bedömningen görs endast av sådana sökträffar som visas efter en sökning på klagandens namn och om det är lämpligt och klaganden har begärt det även smeknamn. Googles rutin omfattar borttagning av resultat från Googles söktjänster såsom Google Sök, Google Bilder, Google Videor, Google Nyheter.

Vid bedömningen kontrollerar Google om de länkade webbsidorna innehåller inaktuell eller oriktig information om klaganden. Google väger även in om det finns ett allmänt intresse av att informationen förblir en del av sökresultatet till exempel om den berör ekonomiska bedrägerier, tjänstefel, fällande domar eller klagandens agerande som tjänsteman.

I bedömningen tas också hänsyn till om klaganden är en offentlig person, vem som har publicerat informationen på de länkade webbsidorna, till exempel om publiceringen har gjorts av en ansedd nyhetskälla eller myndighet, karaktären på informationen på de länkade webbsidorna, till exempel om den har ett opinionsbildande syfte (political speech), är publicerad av klaganden själv eller avser klagandens yrkesliv eller brottmålsdomar.

När Google har fattat ett beslut får klaganden ett meddelande via e-post med information om Googles bedömning och, för det fall Google har bedömt att sökträffar inte ska tas bort, en kort förklaring.

Datainspektionens granskning

Datainspektionen har i tillsynsärendet valt att granska Googles hantering och bedömningar av 13 av de klagomål som har inkommit till Datainspektionen. Klagomålen avser fall där Google har beslutat att inte ta bort de sökträffar som de klagande har begärt att Google ska ta bort. I tillsynsskrivelsen till Google har Datainspektionen bland annat begärt svar på om Google vidhåller tidigare beslut och motiveringarna till dessa. I vissa fall har Google vid en förnyad prövning efter det att de mottagit Datainspektionens tillsynskrivelse beslutat att ta bort de aktuella sökträffarna. I andra fall har Google vidhållit sina tidigare beslut och lämnat en motivering i sitt yttrande till Datainspektionen.

Datainspektionen har vid granskningen av de 13 klagomålen utfört egna sökningar med Googles söktjänster (google.se) och därvid undersökt om de sökträffar som de klagande har angivit i sina klagomål finns med bland de 100 första sökträffarna som visas efter sökning på klagandens namn. Om en sökträff påträffats i sökresultatet och den länkar till en webbsida som fanns tillgänglig vid Datainspektionens sökning har inspektionen även granskat den webbsidan under förutsättning att klagandens namn finns med på sidan. Granskningen har även omfattat den text från den länkade webbsidan som återges i sökträffen i sökresultatet.

Datainspektionen har begränsat sin granskning till de sökträffar som Google beslutat att inte ta bort och som visas vid sökning på google.se. Någon granskning har därför inte skett av de sökträffar som Google har uppgett att de har tagit bort efter att de mottagit Datainspektionens tillsynsskrivelse eller som kan visas vid sökning på andra versioner av Googles söktjänster. Någon granskning har inte heller skett av andra sökträffar i sökresultatet än sådana som klaganden har begärt borttagande av i sin begäran till Google.

Klagomål 1 (Google nr okänt)

Klaganden har, enligt sitt klagomål till Datainspektionen, försökt förmå Google att ta bort en sökträff som länkar till en bloggartikel vilken innehåller kränkande innehåll. Google har svarat att sökträffen tas bort om den webbansvarige tar bort den ursprungliga artikeln. Klaganden uppger vidare att artikeln ”har länkats till Google varför den blivit allmänt åtkomlig om man söker på mitt namn i kombination med min bostadsort” samt att han är dåligt insatt i internetvärlden.

Google har i sitt svar till Datainspektionen angett att de efter det att de mottagit klagomålet till Datainspektionen återigen har granskat en webbsida i den av klaganden angivna bloggen utan att hitta information som är relaterad till klaganden. Som en möjlig förklaring anger Google att det kan bero på att någon har raderat innehållet från webbsidan.

Datainspektionen konstaterar att klaganden i sitt klagomål till Datainspektionen inte har angivit adressen till den sökträff som han vill ha bort från sökresultatet vid sökning i Googles söktjänster. Klaganden har dock angett namnet på en blogg där den webbsida till vilken sökträffen länkar ska finnas. Av Googles svar till Datainspektionen framgår att Google har identifierat en webbsida på den angivna bloggen och att Google har konstaterat att den inte

innehåller någon information som kan hänföras till klaganden. Datainspektionen kan vid egen sökning utförd den 11 oktober 2016 inte heller finna information som kan hänföras till klaganden på den webbsida som Google har identifierat.

Av klagomålet framgår inte vilken information som klaganden har lämnat till Google vid sin begäran. Datainspektionen kan därför inte ta ställning till om Google har uppfyllt sina skyldigheter enligt personuppgiftslagen.

Datainspektionen konstaterar att den sökträff som Google har identifierat länkar till en webbsida som inte innehåller någon information som kan hänföras till klaganden. Datainspektionen har därför inga synpunkter på Googles personuppgiftsbehandling med anledning av vad som framförts i klagomålet.

Klagomål 2 (Google nr 0-5877000003906)

Klaganden har begärt att Google ska ta bort en sökträff som länkar till en webbsida, en s.k. diskussionstråd, i forumet Flashback. I tråden påstås bland annat att klaganden har blivit åtalad för att ha haft sex med en patient som klaganden har behandlat i sin egenskap som psykiatriker. Klaganden anser att sökträffen är ”i högsta grad privat, irrelevant, av ringa allmänt intresse och extremt excessivt”.

Till Google har klaganden bland annat angett att innehållet på den länkade webbsidan utgör förtal eftersom klaganden har blivit frikänd och att det är hämtat från delvis sekretessbelagt förundersökningsmaterial. Klaganden har ifrågasatt hur en webbsida som innehåller utförlig, irrelevant privat information – såsom etnicitet, religiös övertygelse, mental hälsa, sexuella preferenser – kan vara relevant för allmänheten att ha tillgång till genom sökning i Googles söktjänster. Klaganden påpekar även att han inte är känd för allmänheten och att han har blivit friad från anklagelserna både i tingsrätt och i hovrätt. Klaganden tillägger också att han har ett ovanligt namn och att sökträffen är den första som visas i sökresultatet. Detta medför konsekvenser för klaganden när arbetsgivare, studenter, patienter, familjemedlemmar, vänner, bekanta och fiender söker på dennes namn på nätet, till exempel för att få fram telefonnummer.

Google har inte vidtagit någon åtgärd med anledning av klagandens begäran. Google anser att innehållet på den länkade webbsidan verkar relatera till

klagandens yrkesliv och därför är ”av allmänhetens intresse”, bland annat för nuvarande och potentiella framtida kunder, användare och konsumenter av klagandens tjänster.

I yttrandet till Datainspektionen har Google bland annat angett att den länkade webbadressen innehåller information om att klaganden har varit åtalad för sexuellt utnyttjade av person i beroendeställning. Vid tidpunkten för händelsen var klaganden verksam som psykiatriker. Google påpekar även att klaganden inte har ifrågasatt riktigheten i uppgifterna på webbplatsen. Med hänvisning till att klaganden intar en roll i det offentliga livet, anser Google att det finns ett legitimt intresse enligt 10 § f personuppgiftslagen av att allmänheten har fortsatt tillgång till informationen i fråga eftersom den informerar allmänheten om klagandens handlande och fortsätter att vara ytterst relevant med hänsyn till att klaganden som psykiatriker har ett stort ansvar och åtnjuter en hög grad av förtroende och tillförlit från samhället. Nuvarande och framtida klienter, arbetsgivare och affärspartners kan ha ett berättigat intresse av att ta del av informationen. Google har därför beslutat att inte vidta någon åtgärd.

Datainspektionen konstaterar att diskussionstråden visas som första sökträff i sökresultatet vid en sökning utförd den 10 oktober 2016. Tråden innehåller en omfattande redogörelse om uppgifter från, vad som påstås vara, polisens förundersökning. Enligt uppgift i tråden friades klaganden av tingsrätten i en dom som ska ha meddelats den 9 maj 2012. Det framgår inte att klaganden även blev friad i hovrätten vilket klaganden påstår. I diskussionstråden förekommer även påståenden om att klaganden har varit föremål för psykiatrisk vård, att klaganden har separerat från sin sambo samt detaljerade uppgifter om den privata relationen klaganden har haft med den patient som klaganden var åtalad för att ha utnyttjat sexuellt liksom en beskrivning av hur det påstådda övergreppet ska ha gått till. En adressuppgift som påstås vara klagandens hemadress anges i tråden.

Sammanfattningsvis innehåller diskussionstråden en, i stort sett, saklig och generell diskussion om hur psykiatriker bör uppträda mot patienter. I vissa delar tar diskussionen utgångspunkt i om klaganden kan anses vara en lämplig psykiatriker. I flera fall redovisas tämligen omfattande och högst privata uppgifter om honom. Några kommentarer i tråden tycks ha till syfte att varna allmänheten för att anlita klaganden som psykiatriker. I andra fall

tycks syftet vara att stilla deltagarnas nyfikenhet om vem den åtalade psykiatrikern är.

I sin egenskap som psykiatriker intar klaganden till viss del en sådan offentlig roll som medför att han måste acceptera granskning av sin tjänsteutövning och de eventuella integritetskränkningar som kan vara en följd av en sådan granskning. I vissa fall kan det vara relevant att behandla mycket privata uppgifter i en sådan granskning om till exempel en psykisk sjukdom påverkar klagandens lämplighet som psykiatriker. I detta fall är det emellertid inte fråga om att bedöma diskussionen som sådan utan frågan som ska bedömas är om det är förenligt med personuppgiftslagen att allmänheten får tillgång till uppgifterna via sökning på klagandens namn med hjälp av Googles söktjänster. I denna bedömning måste hänsyn tas till att klaganden, enligt uppgift från honom, har friats från åtalet i tingsrätt och i hovrätt. Det finns inte anledning att ifrågasätta denna uppgift. Därtill kommer att diskussionstråden innehåller en omfattande kartläggning av klagandens liv. I en sammanvägd bedömning anser Datainspektionen att allmänhetens intresse av att få tillgång till uppgifter om klaganden via sökning i Googles söktjänster inte motiverar de integritetskränkningar som behandlingen medför för klaganden.

Mot denna bakgrund och med hänsyn till att klaganden har motsatt sig behandlingen anser Datainspektionen att Googles behandling i Googles söktjänster av klagandens personuppgifter i den aktuella sökträffen innebär en sådan kränkning av klagandens personliga integritet som avses i 5 a § andra stycket personuppgiftslagen. Google ska därför föreläggas att upphöra med behandlingen.

Klagomål 3 (Google nr 5-9982000003840)

Klaganden har begärt att Google ska ta bort tre sökträffar som länkar till tre olika webbsidor. Enligt klaganden återpubliceras på dessa tre främlingsfientliga webbsidor en kommentar som klaganden tidigare har lämnat på Facebook.

Google har i sitt svar till Datainspektionen angett att de, efter förnyad kontakt med klaganden, har påbörjat arbetet med att ta bort de aktuella sökträffarna.

Datainspektionen konstaterar att inga av de tre i klagomålet angivna sökträffarna finns med i sökresultatet vid en sökning på klagandens namn med hjälp av Google söktjänster (google.se). Sökningen gjordes den 10 oktober

2016. Datainspektionen har därför inga synpunkter på Googles personuppgiftsbehandling med anledning av vad som framförts i klagomålet. Datainspektionen har inte granskat om sökträffarna förekommer på andra versioner av Googles söktjänster.

Klagomål 4 (Google nr 7-3495000005136)

Klaganden har begärt att Google tar bort en sökträff som länkar till en, enligt klaganden, främlingsfientlig webbsida som har som mål att smutskasta människor och deras etniska tillhörighet. Klaganden menar att anledningen till att hennes namn nämns på webbsidan är att hon har varit med och startat en förening för ensamkommande flyktingbarn. På webbsidan förekommer, enligt klaganden, bilder av privat karaktär på klaganden och nedsättande uttalanden om hennes privatliv. Google har avslagit klagandens begäran med motiveringen att den länkade webbsidan innehåller information om klaganden som är relevant och aktuell och att sökträffen motiveras av allmänhetens intresse av att ha tillgång till den.

Google har i sitt svar till Datainspektionen angett att webbsidan till vilken sökträffen länkar innehåller politisk kritik av klaganden och hennes engagemang i bildandet av ett riksförbund för ensamkommande ungdomar. Google anser att när uppgifter rör politiska händelser, politisk kritik eller en individs roll i det offentliga livet, talar detta i allmänhet för att det är legitimt att behandla sådana uppgifter. Vidare anser Google att när en individ frivilligt väljer att delta i det offentliga livet kan information som gäller denna individs roll i det offentliga livet anses vara av faktiskt allmänintresse. I det aktuella fallet har klaganden startat ett riksförbund och därigenom åtagit sig en roll i det offentliga livet. Google har därför beslutat att inte vidta några åtgärder med avseende på klagandens begäran.

Datainspektionen konstaterar att det på den länkade webbsidan förekommer kritik mot den organisation som klaganden har varit med att bilda. Som företrädare för denna organisation intar klaganden en sådan offentlig roll som medför att klaganden måste acceptera granskning av hennes roll i organisationen och de eventuella integritetskränkningar som kan vara en följd av en sådan granskning. I vissa fall kan det vara relevant att behandla mycket privata uppgifter i en sådan granskning om det till exempel kan motiveras på grund av att den granskade personens privatliv får betydelse för dennes offentliga roll. Den länkade webbsidan innehåller emellertid uppgifter om

klagandens privatliv som inte kan anses vara relevanta och adekvata i förhållande till den kritik som riktas mot klaganden som föreningens företrädare. Bland annat innehåller webbsidan bilder av privat karaktär på klaganden och hennes närstående. Därutöver förekommer ett flertal kommentarer bland annat med påståenden om klagandens sexualliv.

Datainspektionen anser att det förekommer uppgifter på den länkade webbsidan som är av privat karaktär och som saknar relevans för den kritik som riktas mot klaganden som företrädare för en förening. I en sammanvägd bedömning anser Datainspektionen att allmänhetens intresse av att få tillgång till uppgifter om klaganden via sökning i Googles söktjänster inte motiverar de integritetskränkningar som behandlingen medför för klaganden.

Mot denna bakgrund och med hänsyn till att klaganden har motsatt sig behandlingen anser Datainspektionen att Googles behandling i Googles söktjänster av klagandens personuppgifter i den aktuella sökträffen innebär en sådan kränkning av klagandens personliga integritet som avses i 5 a § andra stycket personuppgiftslagen. Google ska därför föreläggas att upphöra med behandlingen.

Klagomål 5 (Google nr okänt)

Klaganden har begärt att Google ska ta bort åtta sökträffar som visas i Googles söktjänster efter sökning på dennes namn. De länkade webbsidorna innehåller, enligt klaganden, ospecificerad kritik mot denne i rollen som lagman vid en tingsrätt. Klaganden anges ofta som ”landsförrädare” eller ”pedofilen”. Klaganden har haft problem att begära borttagande via det webbformulär som Google tillhandahåller och har därför framfört sin begäran via brev till Google.

Google har i ett svar till klaganden bedömt att de länkade webbsidorna innehåller information om klaganden som är av intresse för allmänheten. Google har därför meddelat klaganden att de inte vidtar någon åtgärd med anledning av klagandens begäran.

Google har i sitt svar till Datainspektionen meddelat att efter ytterligare granskning har åtta sökträffar blockerats från den europeiska versionen av Googles sökresultat för sökfrågor som gäller klagandens namn.

Datainspektionen konstaterar att av de åtta sökträffar som Google har uppgett att de har tagit bort finns en kvar i sökresultatet vid en sökning på klagandens namn den 11 oktober 2016. Den kvarvarande sökträffen länkar till en webbsida under adressen http://polismyndigheten.blogspot.se. Webbsidan får anses innehålla kritik mot klaganden i dennes egenskap som domstolschef och domare. Kritiken framförs i kombination med påståenden om att klaganden är grovt kriminell och yrkesbrottsling.

Datainspektionen anser att klaganden i sin egenskap av domstolschef och domare intar en sådan offentlig roll som medför att klaganden måste acceptera att vissa integritetskränkningar kan förekomma i samband med granskning av dennes tjänsteutövning. Med hänsyn till den ställning som klaganden intar inom rättsväsendet måste ett relativt stort utrymme lämnas för personlig kritik mot denne. Påståendena om klaganden framförs dock utan någon närmare förklaring och framstår ha till syfte att skandalisera klaganden. De kan därför inte anses vara adekvata i förhållande till den kritik som riktas mot klaganden i dennes tjänsteutövning.

Mot denna bakgrund och med hänsyn till att klaganden har motsatt sig behandlingen anser Datainspektionen att Googles behandling i Googles söktjänster av klagandens personuppgifter i den aktuella sökträffen innebär en sådan kränkning av klagandens personliga integritet som avses i 5 a § andra stycket personuppgiftslagen. Google ska därför föreläggas att upphöra med behandlingen.

Klagomål 6 (Google nr 2-7433000005374)

Två företagsledare för ett större svenskt företag har begärt att Google ska ta bort ett stort antal sökträffar som länkar till webbsidor vilka innehåller personnamn och bilder på de båda klagande, i flera fall tillsammans med barn

och andra familjemedlemmar samt ett antal uttalanden som de båda upplever som kränkande.

Google har i sitt yttrande till Datainspektionen uppgett att de har genomfört en förnyad granskning av de sökträffar som de klagande har begärt att Google ska ta bort. Vid granskningen konstaterades att ett antal av webbsidorna inte innehåller information som är relaterade till någon av de klagande eller endast uppgifter om deras företag (bilaga 7.1 och 7.4 till Googles svar, aktbilaga 5). Dessa sökträffar togs därför inte bort.

Därutöver har Google angett att Google redan vid den tidigare begäran från de klagande har tagit bort ett antal sökträffar som länkar till webbsidor med ärekränkande information från den svenska och den europeiska versionen av Googles sökresultat (bilaga 7.2 till Googles svar, aktbilaga 5). Vidare har Google uppgett att de bedömer att ett antal sökträffar innehåller länkar till webbsidor med politisk kritik och/eller satir som rör de klagande. Google anser därför att informationen på dessa webbsidor är av allmänintresse bland annat med hänsyn till de klagandes roll som företagsledare och deras roll i det offentliga livet (bilaga 7.3 till Googles svar, aktbilaga 5). Sökträffarna har därför inte tagits bort.

Datainspektionen har begränsat sin granskning till de sökträffar som länkar till webbsidor med information som Google har ansett vara av allmänintresse och därför beslutat att inte ta bort (bilaga 7.3 i Googles svar, aktbilaga 5). Vid en sökning på de båda klagandes namn med hjälp av Googles söktjänster (google.se) den 11 oktober 2016 förekommer inga av dessa sökträffar i sökresultaten. Datainspektionen har därför inga synpunkter på Googles personuppgiftsbehandling med anledning av vad som framförts i klagomålet. Datainspektionen har inte granskat om sökträffarna förekommer på andra versioner av Googles söktjänster.

Klagomål 7 (Google nr 7-8711000005477)

Klaganden har begärt att Google ska ta bort en sökträff som visas i sökresultatet efter sökning på hans fars namn. Sökträffen länkar till en blogg där klagandens far omtalas på ett negativt sätt, bland annat anges att han har fått sparken och att han är en ”idiot”. Enligt klaganden har hans far förlorat konsultuppdrag på grund av sökträffen. Klaganden förmådde i november 2011 Google att ta bort sökträffen med motiveringen att den utgjorde förtal. Vid sökning på klagandens fars namn år 2014 upptäckte klaganden att Google

hade lagt in en text i slutet av sökresultatet. I texten angavs att Google har tagit bort en sökträff på grund av rättsliga krav som tillställts Google och att man kan läsa om det på webbplatsen ChillingEffects.org. Genom att följa länken till ChillingEffects.org fick läsaren uppgift om den webbplats till vilken sökträffen hade tagits bort. Där angavs även klagandens namn och att denne har begärt att Google ska ta bort sökträffen. Klaganden har därefter begärt att Google tar bort länken till ChillingEffects.org i sökresultatet men inte fått gehör för detta hos Google.

Google har i sitt svar till Datainspektionen angett att den aktuella sökträffen länkar till en webbsida som innehåller information som det finns ett legitimt intresse av att få fortsatt tillgång till ”eftersom att den informerar allmänheten om den klagandes handlande och denna information fortsätter att vara ytterst relevant för allmänheten och i synnerhet potentiella kunder och affärspartners”. Google har därför beslutat att inte ta bort sökträffen. Google har också svarat att klagandens namn inte längre förekommer på webbsidorna på adressen ChillingEffects.org och att sökträffen till dessa sidor av den anledningen inte visas vid sökning på klagandens namn i Googles söktjänster.

Datainspektionen konstaterar att den sökträff som gäller klagandens far inte visas vid en sökning den 11 oktober 2016. I sökresultatet anges dock att en sökträff har tagits bort till följd av en juridisk begäran till Google samt att mer information om begäran kan finnas på LumenDatadata.org. Någon information om begäran finns dock inte tillgänglig på den angivna webbsidan. Därutöver anges i sökresultatet att vissa resultat kan ha tagits bort i enlighet med dataskyddslagstiftningen i Europa.

Publicering av ett meddelande i sökresultatet om att en sökträff har tagits bort med hänsyn till rättsliga krav kan medföra en kränkning enligt 5 a § andra stycket personuppgiftslagen om den borttagna sökträffen går att finna genom att följa en länk som anges i meddelandet och sökträffen innehåller information som är kränkande enligt 5 a § andra stycket personuppgiftslagen. Någon sådan information finns dock inte på den webbplats som det hänvisas till i sökresultatet vid sökning på klagandens fars namn. Texten som anger att vissa resultat kan ha tagits bort i enlighet med dataskyddslagstiftningen i Europa visas vid alla sökningar som bedöms innehålla namn och oavsett om någon sökträff har tagits bort.

Mot den bakgrunden bedömer Datainspektionen att informationen inte är kränkande enligt 5 a § andra stycket personuppgiftslagen. Datainspektionen har därför inga synpunkter på Googles personuppgiftsbehandling med anledning av vad som framförts i klagomålet.

Klagomål 8 (Google nr 1-8544000003955)

Klaganden har begärt att Google ska ta bort ett antal sökträffar i det sökresultat som visas efter sökning på klagandens namn i Googles söktjänster. Datainspektionen har valt att begränsa sin granskning till den sökträff som länkar till en artikel som är publicerad på Sydsvenskans webbplats. Artikeln innehåller, enligt klaganden, felaktiga uppgifter om att han har åtalats och dömts för bedrägeri. Vidare har klaganden uppgett att publiceringen gör situationen ohållbar för honom eftersom han inte får något arbete och blir påmind om att vad som hände för tio år sedan under en tid då han var under mycket press och sjuk. Klaganden har också angett att han aldrig har blivit dömd för bedrägeri, vilket han har bevisat genom att skicka ett utdrag från belastningsregistret till Google.

Google har beslutat att inte ta bort sökträffen med anledning av klagandens begäran bland annat med motiveringen att den tycks relatera till hans yrkesliv och därför är av allmänhetens intresse. Innehållet på webbsidan kan, enligt Google, till exempel vara av intresse för nuvarande eller potentiella framtida kunder, användare och konsumenter av klagandens tjänster. Google påpekar även att webbsidan dit sökträffen länkar innehåller information om att 80 personer har polisanmält klaganden för bedrägeri.

Google har mot denna bakgrund ansett att det, enligt 10 § f personuppgiftslagen, finns ett legitimt intresse av att den aktuella informationen fortsatt finns tillgänglig, eftersom den informerar allmänheten om klagandens handlande och då denna information fortsätter att vara ytterst relevant med hänsyn till att klaganden i sin roll som bostadsförmedlare åtnjuter ett stort förtroende från samhället, särskilt med tanke på att hyresgästerna ofta anförtror bostadsförmedlaren stora summor pengar i samband med en bostadsförmedling. Google har därför beslutat att inte vidta några åtgärder avseende den aktuella sökträffen.

Datainspektionen konstaterar att artikeln på Sydsvenskans webbplats är publicerad i en sådan databas som omfattas av grundlagsskyddet i 1 kap. 9 §

första stycket yttrandefrihetsgrundlagen. Bestämmelserna i personuppgiftslagen ska därför inte tillämpas i den utsträckning det skulle strida mot bestämmelserna i yttrandefrihetsgrundlagen eller tryckfrihetsförordningen (7 § andra stycket personuppgiftslagen). Av 1 kap. 3 § första stycket yttrandefrihetsgrundlagen följer att det inte är tillåtet för myndigheter att utan stöd i grundlagen, på grund av det kända eller väntade innehållet i en databas som avses i 1 kap. 9 §, förbjuda eller hindra dess offentliggörande eller spridning bland allmänheten.

En tillämpning av personuppgiftslagen som innebär att Google föreläggs att ta bort en sökträff som länkar till en artikel på Sydsvenskans webbplats innebär att användare av Googles söktjänster inte kan söka fram artikeln med klagandens namn som sökord. En sådan tillämpning hindrar emellertid inte att artikeln tillhandahålls via Sydsvenskas webbplats och inte heller att artikeln är sökbar med andra sökord än klagandens namn. Datainspektionen anser därför att förbudet mot hindrande åtgärder i 1 kap. 3 § första stycket yttrandefrihetsgrundlagen inte hindrar tillämpning av personuppgiftslagen i detta fall. Datainspektionen bedömer även att inga andra bestämmelser i tryckfrihetsförordningen och yttrandefrihetsgrundlagen hindrar tillämpning av personuppgiftslagen.

Den artikel på Sydsvenskans webbplats till vilken den aktuella sökträffen länkar innehåller i stort sett de uppgifter som Google har beskrivit. Artikeln publicerades, enligt uppgift på webbsidan, den 23 mars 2006 och behandlar händelser som inträffade samma år och året före.

Datainspektionen konstaterar att uppgifterna i artikeln huvudsakligen hänför sig till klagandens yrkesliv. Det kan därför finnas ett intresse för allmänheten, inklusive framtida kunder, att känna till de anklagelser som har riktats mot klaganden. Det ska emellertid beaktas att artikeln innehåller uppgifter om brott som klaganden påstås ha begått. Uppgifter om lagöverträdelser som innefattar brott utgör sådana uppgifter vilka, enligt 21 § personuppgiftslagen, är förbjudet att behandla av andra än myndigheter. Uppgifterna får därför anses vara särskilt integritetskänsliga. Det ska också beaktas att uppgifterna avser händelser som påstås ha inträffat för mer än tio år sedan. Uppgifterna kan därför anses vara mindre relevanta för allmänheten att få del av. Enligt uppgift från klaganden ska anklagelserna mot honom aldrig lett till att han blev fälld för brott i domstol.

Mot denna bakgrund och med hänsyn till att klaganden har motsatt sig behandlingen anser Datainspektionen att Googles behandling i Googles söktjänster av klagandens personuppgifter i den aktuella sökträffen innebär en sådan kränkning av klagandens personliga integritet som avses i 5 a § andra stycket personuppgiftslagen. Google ska därför föreläggas att upphöra med behandlingen.

Klagomål 9 (Google nr 8-3100000005274)

Klaganden har begärt att Google ska ta bort två sökträffar gällande klagandens pojkvän som visas vid sökning på pojkvännens namn. Sökträffarna länkar till två webbsidor på webbplatserna www.kriminellt.com och www.brottostraff.wordpress.com. På de aktuella webbsidorna finns i stort sett likalydande texter som innehåller pojkvännens namn, personnummer, bostadsort och uppgift om att denne har blivit dömd till fängelse för bland annat våldtäkt samt målnummer och domstol. Enligt texterna har domen ett målnummer från år 2008.

Klaganden menar att publiceringen av texterna om att pojkvännen har dömts för ett visst brott utan att samtidigt publicera domen ger en skev bild och är integritetskränkande. I sin begäran till Google har pojkvännen angett att han har blivit utsatt för flera försök till bedrägeri och identitetskapning på grund av publiceringen. Han har också till Google angett att han inte har varit inblandad i något ”polisiärt” efter det han hade avtjänat sitt straff år 2010. Hans tre barn har mått dåligt av den information som florerar på nätet om honom.

Google har svarat klaganden att informationen på de angivna webbadresserna – med hänsyn till alla omständigheter i fallet som Google är medvetna om – fortfarande är relevant för databearbetningssyften och att hänvisningen till dokumenten i sökresultatet motiveras av allmänhetens intresse. Google har därför inte vidtagit någon åtgärd med anledning av klagandens begäran.

I sitt yttrande till Datainspektionen har Google bland annat angett att de i avvägningen mellan allmänhetens legitima intresse av att få tillgång till information angående brott och klagandens grundläggande rättigheter beaktar faktorer såsom brottets svårighetsgrad, dess relevans för allmänheten, klagandens ålder vid tiden för brottet samt hur lång tid som har gått sedan brottet begicks. I det aktuella fallet har Google uppgett att det finns ett starkt

berättigat intresse hos allmänheten att få fortsatt tillgång till denna information i syfte att garantera allmänhetens och den personliga säkerheten. Med tanke på brottens allvarliga och våldsamma karaktär, samt den relativt korta tid som gått sedan dessa begicks, har Google bedömt att det finns ett legitimt intresse av att ge allmänheten tillgång till informationen. Google har därför beslutat att inte vidta några åtgärder vid den förnyade prövningen.

Datainspektionen konstaterar att det angivna syftet med webbplatsen brottostraff.wordpress.com är att framhäva strafflängden vid olika brott bland annat sexualbrott. Av information på webbplatserna framgår att webbplatsinnehavarna anser att strafflängden för sexualbrott är alldeles för korta i jämförelse med andra brott. I bloggen anges även att de redovisade brotten är slumpvis utvalda och även rör brott som begåtts för länge sedan. Webbplatsen www.kriminellt.com tycks drivas med samma syfte. På båda webbplatserna är de angivna brotten indexerade på bland annat län vilket får antas vara länet där de dömda personerna är bosatta. På www.kriminellt.com anges även adresserna till de dömda personerna på en karta. I flera fall visas bilder på en person bredvid uppgifter om de redovisade brotten. Bilderna får antas föreställa personerna som uppges ha dömts för brotten.

Informationen som gäller klagandens pojkvän innehåller uppgifter om att han har blivit dömd för våldtäkt, grov kvinnofridskränkning, misshandel och olaga hot till 3 år och 6 månaders fängelse. Därutöver anges pojkvännens fullständiga namn och personnummer samt uppgift om målnummer och namnet på domstolen som meddelat domen. På www.kriminellt.com anges därutöver en adress som får antas vara pojkvännens hemadress. Uppgifterna anges på ett fåtal rader och är inte inkluderade i någon artikel eller annan löpande text.

Datainspektionen konstaterar att de länkade webbsidorna innehåller uppgifter om vilka brott som klagandens pojkvän har blivit dömd för. Dessa uppgifter utgör sådana uppgifter om brott som enligt 21 § personuppgiftslagen är förbjudna att behandla av andra än myndigheter. Uppgifterna får därför anses vara särskilt integritetskänsliga vid bedömningen av om sökträffarna är kränkande enligt 5 a § andra stycket personuppgiftslagen. Uppgifterna avser brott som klagandens pojkvän blev dömd för 2008 och för vilka pojkvännen hade avtjänat sitt straff 2010. Även om uppgifterna avser relativt sett grova brott får de – med hänsyn till tiden som förflutit sedan de begicks – anses vara relativt sett inaktuella. Det finns inte heller något som tyder på att klagandens

pojkvän har en sådan roll i det offentliga livet att han behöver tåla större integritetskränkningar än andra.

Mot denna bakgrund och med hänsyn till att klaganden har motsatt sig behandlingen anser Datainspektionen att Googles behandling i Googles söktjänster av klagandens personuppgifter i den aktuella sökträffen innebär en sådan kränkning av klagandens personliga integritet som avses i 5 a § andra stycket personuppgiftslagen. Google ska därför föreläggas att upphöra med behandlingen.

Klagomål 10 (Google nr 8-2627000005362)

Klaganden har begärt att Google ska ta bort sökträffar till ett stort antal webbsidor på bland annat tjänster som blogspot.com, scribd.com och wordpress.com. Klaganden menar att webbsidorna innehåller kränkande uppgifter om denne och kontaktuppgifter till dennes anhöriga.

Google har svarat klaganden att de anser att sökträffarna relaterar till klagandes yrkesliv och därför är av allmänhetens intresse. Google har därför inte vidtagit någon åtgärd med anledning av klagandens begäran.

Google har vid en förnyad granskning med anledning av Datainspektionens tillsynsskrivelse tagit bort flertalet av de aktuella sökträffarna. Tre sökträffar har dock Google beslutat att inte ta bort med hänvisning till att de berör klagandens yrkesliv och att allmänhetens legitima intresse väger tyngre än klagandens grundläggande rättigheter. Google har därvid beaktat att de länkade webbsidorna innehåller kritik mot klaganden i klagandes roll som polis.

Datainspektionen konstaterar att inga av de tre i klagomålet angivna sökträffarna finns med i sökresultatet vid en sökning på klagandens namn med hjälp av Googles söktjänster (google.se). Sökningen gjordes den 12 oktober 2016. Datainspektionen har därför inga synpunkter på Googles personuppgiftsbehandling med anledning av vad som framförts i klagomålet. Datainspektionen har inte granskat om sökträffarna förekommer på andra versioner av Googles söktjänster.

Klagomål 11 (Google nr 8-7851000004745)

Klaganden har begärt att Google ska ta bort en sökträff som visas som första sökträff vid sökning på klagandens namn. Sökträffen länkar till en webbsida

som innehåller en diskussionstråd på forumet Flashback vilken innehåller en mycket omfattande diskussion med fler än 800 inlägg. Diskussionen avser ett välkänt mord som begicks 1995. Klaganden har uppgett att han har samma för- och efternamn som en av de personer som enligt uppgifter i diskussionstråden anges ha dömts för mordet. Eftersom namnet är ovanligt och de är i samma ålder finns det, enligt klaganden, risk för att potentiella arbetsgivare tror att det är klaganden som är den som avses i sökträffen.

Google har svarat klaganden att det verkar som innehållet på den angivna webbadressen inte gäller honom. Google anser därför att det inte förekommer något brott mot klagandens rättigheter. Google har beslutat att inga åtgärder kommer att vidtas med anledning av klagandens begäran.

Google har i sitt yttrande till Datainspektionen vidhållit sin bedömning.

En personuppgift är, enligt 3 § personuppgiftslagen, all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Uppgifter om en persons för- och efternamn anses normalt vara uppgifter som direkt kan hänföras till honom eller henne. Undantag måste dock göras för de fall då för- och efternamnet delas med ett större antal personer och där det inte av sammanhanget eller av andra uppgifter framgår vem av dessa personer som avses. Framgår det i en sådan situation att uppgifterna avser en av personerna med det aktuella namnet utgör informationen personuppgifter endast om den personen. Det måste med andra ord vara möjligt att identifiera personen i fråga för att informationen ska anses utgöra en personuppgift om honom eller henne. En sådan tolkning av begreppet personuppgifter har även stöd i dataskyddsdirektivets definition av personuppgifter (art. 2 a). Enligt direktivets definition avses med personuppgifter varje upplysning som avser en identifierad eller identifierbar fysisk person.

Datainspektionen konstaterar att den text som hämtats från den länkade webbsidan och som visas i anslutning till sökträffen i Google innehåller klagandens för- och efternamn och ett påstående om att en person med samma namn som klaganden har dömts för misshandel.

Datainspektionen anser att det namn som nämns i den text och som visas i anslutning till sökträffen och på den länkade webbsidan är en uppgift som kan uppfattas avse klaganden i och med att det är samma namn. Även om klagandens namn är relativt ovanligt bedömer emellertid Datainspektionen

att det inte enbart med namnet som vägledning är möjligt att identifiera klaganden. På den länkande webbsidan framgår även att det finns flera personer med samma namn som klaganden.

Mot den bakgrunden bedömer Datainspektionen att det inte är möjligt att identifiera klaganden enbart med hjälp av uppgifterna i sökträffen och i diskussionstråden. Uppgifterna utgör därför inte personuppgifter om klaganden. Datainspektionen anser av den anledningen att Googles behandling av personuppgifter i samband med visning av sökträffen i Googles söktjänster inte utgör en kränkning av klagandens personliga integritet enligt 5 a § andra stycket personuppgiftslagen. Datainspektionen har därmed inga synpunkter på Googles personuppgiftsbehandling med anledning av vad som framförts i klagomålet. Datainspektionen har därvid inte tagit ställning till om Googles behandling kan vara kränkande för någon annan till vilken uppgifterna i sökträffen kan hänföras.

Klagomål 12 (Google nr 5-0341000006432)

Klaganden har begärt att Google ska ta bort en sökträff som länkar till en webbsida på webbplatsen lexbase.se där det anges att klaganden förekommer i Lexbases databas. Klaganden påpekar att han har avtjänat sitt straff och att Googles visning av sökträffen försvårar hans möjligheter att hitta nytt arbete och att överklaga till Högsta domstolen.

Google har svarat klaganden att information på webbplatsen, med hänsyn till alla omständigheter i fallet som Google är medvetna om, fortfarande är relevant för databearbetningssyfte. Därför motiveras hänvisningen till informationen i sökresultatet av allmänhetens intresse.

Google har i sitt yttrande till Datainspektionen uppgett att sökträffen länkar till information om klaganden som tycks vara korrekt, vilket klaganden inte heller har bestridit. Google anser att korrekt information generellt sett är i allmänhetens intresse och har därför beslutat att inte vidta några åtgärder avseende den aktuella sökträffen.

Datainspektionen konstaterar att ett utgivningsbevis enligt 1 kap. 9 § yttrandefrihetsgrundlagen är utfärdat för lexbase.se och att webbplatsen därmed omfattas av det särskilda grundlagsskyddet för yttrandefriheten. Bestämmelserna i personuppgiftslagen ska inte tillämpas i den utsträckning

det skulle strida mot bestämmelserna i yttrandefrihetsgrundlagen eller tryckfrihetsförordningen (7 § andra stycket personuppgiftslagen). Av 1 kap. 3 § första stycket yttrandefrihetsgrundlagen följer att det inte är tillåtet för myndigheter att utan stöd i grundlagen, på grund av det kända eller väntade innehållet i en databas som avses i 1 kap. 9 §, förbjuda eller hindra dess offentliggörande eller spridning bland allmänheten.

En tillämpning av personuppgiftslagen som innebär att Google föreläggs att ta bort en sökträff som länkar till en webbsida på lexbase.se innebär att användare av Googles söktjänster inte kan söka fram webbsidan med klagandens namn som sökord. En sådan tillämpning hindrar emellertid inte att webbsidan tillhandahålls via lexbase.se och inte heller att webbsidan är sökbar med andra sökord än klagandens namn. Datainspektionen anser därför att förbudet mot hindrande åtgärder i 1 kap. 3 § första stycket yttrandefrihetsgrundlagen inte hindrar tillämpning av personuppgiftslagen i detta fall. Datainspektionen bedömer även att inga andra bestämmelser i tryckfrihetsförordningen och yttrandefrihetsgrundlagen hindrar tillämpning av personuppgiftslagen.

Lexbase är, enligt uppgift på webbplatsen, en webbtjänst som på ett och samma ställe tillgängliggör brott- och tvistemålsdomar från samtliga svenska domstolar och en rad andra myndigheter. Personer som förekommer i domarna är sökbara på webbplatsen. Enligt Lexbases egna etiska regler är personer som endast förekommer som vittnen eller brottsoffer inte sökbara i tjänsten. Detsamma gäller personer som är under 18 år. Brottmålsdomar gallras efter en viss tid beroende på vad det är fråga om för brott men tidigast efter fem år. Tvistemålsdomar gallras efter 20 år.

Om en persons namn är sökbart i Lexbase visas det som en sökträff vid sökning med hjälp av Googles söktjänster på personens namn. Sökträffen länkar till en webbsida som innehåller sökresultatet vid sökning i Lexbase med samma namn. På webbsidan visas den sökta personens namn tillsammans med uppgift om hans eller hennes ålder och postort. Därutöver anges att personen i fråga förekommer i Lexbase. Det framgår inte varför klagandens namn förekommer i Lexbase, dvs. om denne förekommer till exempel i en brottmålsdom, tvistemålsdom eller om han eller hon har blivit dömd eller friad i ett brottmål. Sådana uppgifter kan vara tillgängliga via en länk på webbsidan för den som köper ett abonnemang. Datainspektionen har dock inte haft tillgång till den information som tillhandahålls mot abonnemang. På

webbsidan anges att personer som finns med i databasen förekommer som tilltalad i ”ett brottmål vilka vanligen avser talan förd av åklagare med anledning av misstanke om brott” eller som ”part i ett tvistemål vilka vanligen avser tvist avseende ekonomiska värden, t.ex. en lånefordran eller ett skadestånd”.

Lexbase har under de senaste åren utökat sina tjänster så att det nu även är möjligt att söka på uppgifter om företag och om läkare och tandläkare. Sökning av sådana uppgifter sker dock i särskilda sökformulär på Lexbases webbplats. Förekomsten av personuppgifter i dessa informationsmängder ger inte, vad Datainspektionen kan erfara, sökträffar i Googles söktjänster. En sökträff som länkar till Lexbases webbplats där det anges att personen förekommer i Lexbase innebär således en uppgift om att personen i fråga förekommer som tilltalad i brottmål eller part i tvistemål.

Datainspektionen konstaterar att uppgiften om att en person förekommer i Lexbase inte utgör en sådan uppgift som har kvalificerats till att avse ett visst brott och att den därför inte utgör en uppgift om lagöverträdelser enligt 21 § personuppgiftslagen. Frågan är då om uppgiften ändå kan anses kränkande. Enligt Datainspektionens bedömning kan en uppgift om att en person förekommer i Lexbase inte med automatik anses vara kränkande enligt 5 a § andra stycket personuppgiftslagen. Utan den information som endast är tillgänglig för Lexbases abonnenter framgår inte varför en person förekommer i Lexbase. Behandlingen bör därför inte anses kränkande enligt 5 a § andra stycket personuppgiftslagen.

Mot den bakgrunden bedömer Datainspektionen att informationen i den aktuella sökträffen inte är kränkande enligt 5 a § andra stycket personuppgiftslagen. Datainspektionen har därför inga synpunkter på Googles personuppgiftsbehandling med anledning av vad som framförts i klagomålet.

Klagomål 13 (Google nr 8-8970000006531)

Klaganden har begärt att Google tar bort fyra sökträffar som visas i Googles söktjänster vid sökning på klagandens namn. Klaganden som arbetar som kriminalreporter på en större svensk dagstidning uppger att han av säkerhetsskäl har begärt och fått ett beslut från Skatteverket om skyddade personuppgifter (markering för särskild sekretessprövning) i folkbokföringsregistret.

Google har tagit bort två av de fyra sökträffar som klaganden har begärt borttagning av. Vad gäller de två andra sökträffarna har dock Google ansett att

dessa är relaterade till klagandens yrkesliv och därför är av allmänhetens intresse. Google har därför beslutat att inte vidta åtgärder med anledning av klagandens begäran i dessa delar.

Vid Datainspektionens granskning den 12 oktober 2016 visades inte de två återstående sökträffarna i sökresultatet efter en sökning på klagandens namn med hjälp av Googles söktjänster (google.se). Datainspektionen har därför inga synpunkter på Googles personuppgiftsbehandling med anledning av vad som framförts i klagomålet. Datainspektionen har inte granskat om sökträffarna förekommer på andra versioner av Googles söktjänster.

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till Datainspektionen. Ange i skrivelsen vilket beslut som överklagas och den ändring som ni begär. Överklagandet ska ha kommit in till Datainspektionen senast tre veckor från den dag ni fick del av beslutet. Datainspektionen sänder överklagandet vidare till Förvaltningsrätten i Stockholm för prövning om inspektionen inte själv ändrar beslutet på det sätt ni har begärt.

Detta beslut har fattats av generaldirektören Kristina Svahn Starrsjö efter föredragning av juristen Martin Brinnen. Vid den slutliga handläggningen har även chefsjuristen Hans-Olof Lindblom och enhetschefen Catharina Fernquist deltagit.

Kristina Svahn Starrsjö

Martin Brinnen