Riktlinjer 5/2019 om kriterier för rätten att bli bortglömd av sökmotorer enligt dataskyddsförordningen (del 1) - version adopted after public consultation

Europeiska dataskyddsstyrelsen har antagit följande riktlinjer

med beaktande av artikel 70.1 e i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (nedan kallad dataskyddsförordningen),

med beaktande av EES-avtalet, särskilt bilaga XI och protokoll 37 till detta, ändrat genom gemensamma EES-kommitténs beslut nr 154/2018 av den 6 juli 2018 , och

med beaktande av artikel 12 och artikel 22 i arbetsordningen.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

INLEDNING

1. Enligt domen i målet Costeja från Europeiska unionens domstol (nedan kallad EU-domstolen) av den 13 maj 2014 kan en registrerad begära att en aktör som tillhandahåller en sökmotor på internet (nedan kallad sökmotorleverantör) raderar en eller flera länkar till webbsidor från de sökresultat som visas vid en sökning på dennes namn.

2. Andelen URL som Google inte avlägsnade har inte ökat, enligt Googles Transparency Report , under de 5 år som förflutit sedan den domen. Men efter EU-domstolens dom förefaller registrerade bättre känna till sin rätt att lägga fram överklaganden av avslag på begäran om avlägsnande eftersom tillsynsmyndigheterna har observerat en ökning av antalet klagomål avseende vägran från sökmotorleverantörer att avlägsna länkar.

3. Europeiska dataskyddsstyrelsen (EDPB) håller i enlighet med sin handlingsplan på att utarbeta riktlinjer beträffande artikel 17 i dataskyddsförordningen. Innan dessa riktlinjer har färdigställts ska tillsynsmyndigheterna i den mån det är möjligt fortsätta att hantera och utreda klagomål från registrerade så snabbt som möjligt.

4. Syftet med detta dokument är därmed att tolka rätten att bli bortglömd med avseende på sökmotorer mot bakgrund av artikel 17 i dataskyddsförordningen (nedan kallad rätten att begära avlägsnande). Rätten att bli bortglömd har införts i artikel 17 i dataskyddsförordningen särskilt för att beakta den rätt att begära avlägsnande som fastställts i domen i målet Costeja.

5. I likhet med det som anges i direktiv 95/46/EG av den 24 oktober 1995 (nedan kallat direktivet) och såsom EU-domstolen har uppgett i den ovannämnda domen i målet Costeja omfattar rätten att begära avlägsnande emellertid två rättigheter (rätten att göra invändningar och rätten till radering i dataskyddsförordningen). Tillämpningen av artikel 21 anges även uttryckligen som den tredje grunden för rätten till radering. Detta innebär att både artikel 17 och artikel 21 i dataskyddsförordningen kan tjäna som rättslig grund för begäran om avlägsnande. Rätten att göra invändningar och rätten till radering beviljades redan enligt direktivet. Såsom ska behandlas nedan medför ordalydelsen i dataskyddsförordningen emellertid att tolkningen av dessa rättigheter måste justeras.

6. Det bör inledningsvis påpekas att, medan artikel 17 i dataskyddsförordningen är tillämplig på alla personuppgiftsansvariga, ligger fokus i detta dokument enbart på behandling som utförs av sökmotorleverantörer och begäranden om avlägsnande från registrerade.

7. Vid tillämpningen av artikel 17 i dataskyddsförordningen i samband med sökmotorleverantörernas behandling bör vissa beaktanden göras. I detta hänseende är det nödvändigt att ange att den behandling av personuppgifter som utförs i samband med sökmotorleverantörens verksamhet måste särskiljas från den behandling som utförs av utgivare av webbplatser som tillhör tredje man, såsom medier som tillhandahåller tidningsinnehåll på internet .

8. Om en registrerad får till stånd att ett visst innehåll avlägsnas medför detta att det särskilda innehållet kommer att raderas från förteckningen över sökresultat avseende den registrerade när sökningen, i allmänhet, baseras på dennes namn. Detta innehåll kommer emellertid fortfarande att vara tillgängligt om andra sökkriterier används.

9. En begäran om avlägsnande innebär inte att personuppgifterna raderas helt. Personuppgifterna kommer varken att raderas från källwebbplatsen eller från sökmotorleverantörens index och cache. Den registrerade kan till exempel begära avlägsnande av personuppgifter som härstammar från en mediekanal, såsom en tidningsartikel, från en sökmotors index. I detta fall kan länken till personuppgifterna avlägsnas från sökmotorns index, men den aktuella artikeln kommer fortfarande att kontrolleras av mediekanalen och kan fortsätta att vara tillgänglig och åtkomlig även om den inte längre är synlig i det sökresultat som grundas på sökningar som i princip omfattar den registrerades namn.

10. Sökmotorleverantörer är emellertid inte generellt undantagna från en skyldighet att radera uppgifter fullständigt. I vissa undantagsfall har de en faktisk och fullständig skyldighet att radera sina index eller cacheminnen. Om sökmotorleverantörerna till exempel slutade att respektera uppmaningen robots.txt från den ursprungliga utgivaren skulle de vara skyldiga att helt radera den webbadress som är knuten till innehållet, till skillnad från vid ett avlägsnande, vilket huvudsakligen avser den registrerades namn.

11. Detta dokument är indelat i två ämnen. Det första ämnet rör de skäl som den registrerade kan åberopa vid en begäran om avlägsnande som skickats till en sökmotorleverantör enligt artikel 17.1 i dataskyddsförordningen. Det andra ämnet avser undantag från rätten att begära avlägsnande enligt artikel 17.3 i dataskyddsförordningen. Detta dokument kompletteras med en bilaga som avser bedömningen av kriterier för att hantera klagomål vid vägran av avlägsnande.

12. I detta dokument behandlas inte artikel 17.2 i dataskyddsförordningen. Enligt denna artikel är personuppgiftsansvariga som har offentliggjort personuppgifterna skyldiga att underrätta personuppgiftsansvariga som sedan har återanvänt dessa personuppgifter genom länkar, kopior eller reproduktioner. En sådan informationsskyldighet gäller inte för sökmotorleverantörer när de lokaliserar information som innehåller personuppgifter som har publicerats eller lagts ut på internet av tredje man, indexerar den automatiskt, lagrar den tillfälligt och ställer den till förfogande för internetanvändare enligt en viss prioriteringsordning . Dessutom krävs det inte att sökmotorleverantörer som har erhållit en begäran om avlägsnande från en registrerad ska informera den tredje part som har offentliggjort informationen på internet. Syftet med en sådan skyldighet är att ursprungliga personuppgiftsansvariga ska ha ett större ansvar samt att försöka förhindra ett mångfaldigande av initiativ från registrerade. I detta hänseende är uttalandet från artikel 29-gruppen, enligt vilket sökmotorleverantörer inte som allmän praxis ska informera webbadministratörerna för de sidor som påverkas av avlägsnandet om att vissa webbsidor inte kan nås från sökmotorn som svar på vissa sökningar eftersom sådan kommunikation saknar rättslig grund enligt EU:s dataskyddslagstiftning , fortfarande giltigt. Vidare är särskilda riktlinjer planerade med avseende på artikel 17.2 i dataskyddsförordningen.

1 GRUNDER FÖR RÄTTEN ATT BEGÄRA AVLÄGSNANDE ENLIGT DATASKYDDSFÖRORDNINGEN

13. Den rätt att begära avlägsnande som föreskrivs i artikel 17 i dataskyddsförordningen påverkar inte slutsatserna i domen i målet Costeja, i vilken EU-domstolen slog fast att en begäran om avlägsnande grundas på rätten till rättelse/radering och på rätten att göra invändningar enligt artiklarna 12 respektive 14 i direktivet.

14. I artikel 17.1 föreskrivs en allmän rätt till radering av uppgifter i de sex följande fallen: a. Personuppgifterna är inte längre nödvändiga för de ändamål för vilka de samlats in eller på annat sätt behandlats (artikel 17.1 a). b. Den registrerade återkallar det samtycke på vilket behandlingen grundar sig (artikel 17.1 b). c. Den registrerade har utnyttjat sin rätt att invända mot behandlingen av sina personuppgifter i enlighet med artikel 21.1 och 21.2 i dataskyddsförordningen. d. Personuppgifterna har behandlats på olagligt sätt (artikel 17.1 d). e. Personuppgifterna måste raderas för att uppfylla en rättslig förpliktelse (artikel 17.1 e). f. Personuppgifterna har samlats in i samband med erbjudande av informationssamhällets tjänster till en minderårig (artikel 17.1 f, i vilken hänvisas till artikel 8.1).

15. Fastän alla grunder i artikel 17 teoretiskt sett är tillämpliga när det gäller avlägsnande kommer vissa grunder sällan eller aldrig att tillämpas i praktiken, såsom vid en återkallelse av samtycke (se andra grunden nedan).

16. En registrerad skulle emellertid kunna åberopa flera grunder för en begäran om avlägsnande till en sökmotorleverantör. Till exempel skulle en registrerad kunna begära avlägsnande för att han eller hon anser att det inte längre är nödvändigt att sökmotorn behandlar dennes personuppgifter (artikel 17.1 a) och även utöva sin rätt att invända mot behandlingen enligt artikel 21.1 i dataskyddsförordningen (artikel 17.1 c).

17. För att tillsynsmyndigheterna ska kunna bedöma klagomål som rör en sökmotorleverantörs vägran att radera ett visst sökresultat enligt artikel 17 i dataskyddsförordningen bör de fastställa huruvida det innehåll till vilket en webbadress hänvisar bör avlägsnas eller inte. När tillsynsmyndigheterna analyserar huruvida klagomålet är välgrundat bör de således beakta vilken typ av innehåll som tillgängliggjorts av utgivare av webbplatser som tillhör tredje man.

1.1 Första grunden: Rätten att begära avlägsnande när personuppgifterna inte längre är nödvändiga för sökmotorleverantörens behandling (artikel 17.1 a)

18. Enligt artikel 17.1 a i dataskyddsförordningen får en registrerad begära att en sökmotorleverantör, efter en sökning som i allmänhet genomförts på grundval av den registrerades namn, avlägsnar ett innehåll från sina sökresultat om de personuppgifter från den registrerade som kommer upp i dessa sökresultat inte längre är nödvändiga för ändamålet med sökmotorleverantörens behandling.

19. Denna bestämmelse gör det möjligt för en registrerad att begära ett avlägsnande av personuppgifter som rör honom eller henne och som har tillgängliggjorts längre än vad som är nödvändigt för sökmotorleverantörens behandling. Denna behandling utförs emellertid främst i syfte att göra information mer lättillgänglig för internetanvändarna. I samband med rätten att begära avlägsnande krävs det en avvägning mellan integritetsskyddet och internetanvändarnas intresse av att tillgå informationen. I synnerhet krävs det en bedömning av huruvida personuppgifterna har blivit föråldrade över tiden eller inte har uppdaterats.

20. Till exempel kan en registrerad utöva sin rätt att begära avlägsnande enligt artikel 17.1 a om  den information om honom eller henne som ett företag innehar har avlägsnats från det offentliga registret,  en länk till ett företags webbplats innehåller hans eller hennes kontaktuppgifter trots att denne inte längre arbetar för detta företag,  det föreligger en skyldighet att offentliggöra informationen på internet i ett antal år för att uppfylla en rättslig förpliktelse och informationen är fortsatt tillgänglig på internet längre än den tidsperiod som föreskrivs enligt lag.

21. Såsom framgår av dessa exempel kan en registrerad särskilt begära att innehåll avlägsnas när personuppgifterna är uppenbart felaktiga på grund av tidens gång, eller är föråldrade. En sådan bedömning kommer för övrigt att bero på ändamålet med den ursprungliga behandlingen. Följaktligen bör tillsynsmyndigheterna, i förekommande fall, beakta den ursprungliga lagringstiden för personuppgifter när de genomför sin analys av begäranden om avlägsnande enligt artikel 17.1 a i dataskyddsförordningen.

1.2 Andra grunden: Rätten att begära avlägsnande när den registrerade återkallar sitt samtycke där artikel 6.1 a eller artikel 9.2 a i dataskyddsförordningen utgör rättslig grund för behandlingen och det inte finns någon annan rättslig grund för behandlingen (artikel 17.1 b)

22. Enligt artikel 17.1 b i dataskyddsförordningen kan en registrerad få personuppgifter som rör honom eller henne raderade om denne återkallar sitt samtycke till behandlingen.

23. Vad gäller avlägsnande betyder detta att sökmotorleverantören har använt den registrerades samtycke som laglig grund för sin behandling. Artikel 17.1 i dataskyddsförordningen ger upphov till frågan om vilken laglig grund för behandling som sökmotorleverantören kan förlita sig på vad gäller sökmotorresultat som innehåller personuppgifter.

24. Mot denna bakgrund förefaller det osannolikt att en registrerad skulle inge en begäran om avlägsnande som grundas på att denne vill återkalla sitt samtycke, eftersom den personuppgiftsansvarige till vilken den registrerade har lämnat sitt samtycke är webbutgivaren, inte sökmotoroperatören som indexerar uppgifterna. Denna tolkning har godkänts av EU-domstolen i dess dom av den 24 september 2019 i mål C-136/17 (nedan kallad domen i målet Google 2) . Domstolen uppger att ”[...] detta samtycke ska vara ’specifikt’, det vill säga specifikt avse den behandling som utförs inom ramen för sökmotorverksamheten [...]. Det är emellertid i praktiken svårt att tänka sig [...] att sökmotorleverantören ska begära ett uttryckligt medgivande från de registrerade innan den påbörjar behandlingen av deras personuppgifter för att kunna presentera ett sökresultat. Under alla omständigheter innebär [...] den omständigheten i sig att en person begär borttagande av länkar i princip att denne åtminstone vid tidpunkten för denna begäran inte längre samtycker till den behandling som utförs av sökmotorleverantören.”.

25. Om en registrerad skulle återkalla sitt samtycke till att dennes uppgifter används på en viss webbsida bör den ursprungliga webbutgivaren emellertid informera sökmotorleverantörer som har indexerat dessa uppgifter enligt artikel 17.2 i dataskyddsförordningen. Den registrerade skulle således fortfarande ha rätt att begära avlägsnande av personuppgifter som rör honom eller henne, men i sådana fall enligt artikel 17.1 c.

1.3 Tredje grunden: Rätten att begära avlägsnande när den registrerade har utövat sin rätt att göra invändningar mot behandlingen av sina personuppgifter (artikel 17.1 c)

26. Enligt artikel 17.1 c i dataskyddsförordningen kan en registrerad få igenom att sökmotorleverantören raderar personuppgifter som rör honom eller henne om denne invänder mot behandlingen enligt artikel 21.1 i dataskyddsförordningen och det saknas berättigade skäl för den personuppgiftsansvariges behandling som väger tyngre.

27. Rätten att göra invändningar medför kraftfullare skyddsåtgärder för de registrerade eftersom den inte omfattar någon begränsning av de grunder enligt vilka registrerade kan begära avlägsnande enligt artikel 17.1 i dataskyddsförordningen.

28. Rätten att göra invändningar mot behandlingen föreskrevs i artikel 14 i direktivet och utgjorde, sedan domen i målet Costeja, en grund för att begära avlägsnande. Skillnaderna i ordalydelse mellan artikel 21 i dataskyddsförordningen och artikel 14 i direktivet talar emellertid för att det även kan föreligga skillnader vid tillämpningen.

29. Enligt direktivet skulle den registrerade grunda sin begäran på ”avgörande och berättigade skäl som rör hans [eller hennes] personliga situation”. När det gäller dataskyddsförordningen kan en registrerad göra invändningar mot behandlingen ”av skäl som hänför sig till hans eller hennes specifika situation”. Det krävs således inte längre att den registrerade påvisar ”avgörande berättigade skäl”.

30. Genom dataskyddsförordningen har alltså bevisbördan ändrats med en presumtion till den registrerades fördel, och det är tvärtom den personuppgiftsansvarige som har ålagts att påvisa ”avgörande berättigade skäl för behandlingen” (artikel 21.1). Detta innebär att en sökmotorleverantör som erhåller en begäran om avlägsnande som grundas på den registrerades specifika situation nu måste radera personuppgifterna enligt artikel 17.1 c i dataskyddsförordningen, såvida denne inte kan påvisa “berättigade skäl [...] som väger tyngre” för listningen av det specifika sökresultatet, vilket jämfört med artikel 21.1 är “avgörande berättigade skäl [...] som väger tyngre än den registrerades intressen, rättigheter och friheter”. Sökmotorleverantören kan påvisa ”berättigade skäl [...] som väger tyngre”, inbegripet eventuella undantag enligt artikel 17.3 i dataskyddsförordningen. Om sökmotorleverantören emellertid inte kan påvisa berättigade skäl som väger tyngre, har den registrerade rätt till avlägsnande enligt artikel 17.1 c i dataskyddsförordningen. Faktum är att begäranden om avlägsnande numera innebär en avvägning mellan de skäl som hänför sig till den registrerades specifika situation och sökmotorleverantörens avgörande berättigade skäl. Vid en sådan bedömning kan det vara relevant att beakta avvägningen mellan integritetsskyddet och internetanvändarnas intressen av att få tillgång till informationen, såsom EU-domstolen har slagit fast i domen i målet Costeja, samt den avvägning som Europadomstolen gör i mål om pressfrihet.

31. De kriterier för avlägsnande som artikel 29-gruppen utarbetade i riktlinjerna om genomförandet av domstolen dom om ”Google Spain and Inc v. Agencia Española de Protección de Datos (AEPD) and Mario Costeja González” C-131/12 kan därför fortfarande användas av sökmotorleverantörer och tillsynsmyndigheter för att bedöma en begäran om avlägsnande som grundas på rätten att göra invändningar (artikel 17.1 c i dataskyddsförordningen).

32. I detta avseende kommer en begäran om avlägsnande att grundas på den registrerades specifika situation (t.ex. om ett sökresultat medför en nackdel för den registrerade när denne söker jobb, eller skadar den registrerades anseende eller privatliv) och denna situation kommer att beaktas vid avvägningen mellan personliga rättigheter och rätten till information, utöver de klassiska kriterierna för att hantera begäranden om avlägsnande, såsom  om han eller hon inte är någon offentlig person,  om den aktuella informationen inte har något samband med personens yrkesliv men påverkar dennes privatliv,  om informationen består av hatpropaganda, förtal, ärekränkning eller liknande yttrandefrihetsbrott mot honom eller henne enligt ett rättsligt avgörande,  om uppgifterna förefaller utgöra verifierade fakta men är sakligt felaktiga,  om uppgifterna hänför sig till ett relativt sett mindre allvarligt brott som begicks för länge sedan och är till skada för den registrerade.

33. Det krävs emellertid inte någon bedömning av dessa kriterier om det saknas bevis för avgörande berättigade skäl för att avslå begäran.

1.4 Fjärde grunden: Rätten att begära avlägsnande om personuppgifterna har behandlats på olagligt sätt (artikel 17.1 d)

34. Enligt artikel 17.1 d i dataskyddsförordningen kan en registrerad begära att personuppgifter som rör honom eller henne raderas om de har behandlats på olagligt sätt.

35. Begreppet olaglig behandling ska först och främst tolkas mot bakgrund av artikel 6 i dataskyddsförordningen, i vilken laglig behandling av personuppgifter regleras. Andra principer som föreskrivs i dataskyddsförordningen (såsom principerna i artikel 5 i dataskyddsförordningen eller andra bestämmelser i kapitel II) kan användas vid denna tolkning.

36. Begreppet ska vidare tolkas extensivt som en överträdelse av en annan lagbestämmelse än dataskyddsförordningen. Tillsynsmyndigheterna ska genomföra tolkningen på ett objektivt sätt i enlighet med nationell lagstiftning eller ett domstolsbeslut. Exempelvis ska en begäran om avlägsnande beviljas om angivandet av personuppgifterna uttryckligen har förbjudits enligt ett rättsligt avgörande. En begäran om avlägsnande kan omfattas av artikel 17.1 d i dataskyddsförordningen i situationer där en sökmotorleverantör inte kan påvisa en rättslig grund för sin behandling, eftersom behandlingen av personuppgifter i sådana situationer måste anses vara olaglig. Det ska emellertid erinras om att den registrerade fortfarande har rätt att begära avlägsnande enligt artikel 17.1 c i dataskyddsförordningen om den ursprungliga behandlingen är olaglig.

1.5 Femte grunden: Rätten att begära avlägsnande om personuppgifterna måste raderas för att uppfylla en rättslig förpliktelse (artikel 17.1 e)

37. Enligt artikel 17.1 e i dataskyddsförordningen kan en registrerad begära att en sökmotorleverantör avlägsnar ett eller flera sökresultat om personuppgifterna måste raderas för att uppfylla en rättslig förpliktelse i unionsrätten eller i medlemsstaternas nationella rätt som sökmotorleverantören omfattas av.

38. Uppfyllelse av en rättslig förpliktelse kan följa av ett föreläggande, ett uttryckligt krav enligt nationell rätt eller unionsrätten på en rättslig förpliktelse att radera eller endast för att den sökmotorleverantören har underlåtit att iaktta lagringstiden. Av illustrativa skäl fastställs lagringstiden för uppgifter i en text, men följs sedan inte (detta antagande rör dock huvudsakligen offentliga handlingar). Denna situation kan eventuellt omfatta uppgifter som inte är anonymiserade eller kan identifieras i öppna data.

1.6 Sjätte grunden: Rätten att begära avlägsnande om personuppgifterna har samlats in i samband med erbjudande av informationssamhällets tjänster till ett barn (artikel 17.1 f)

39. Enligt artikel 17.1 f i dataskyddsförordningen kan en registrerad begära att en sökmotorleverantör avlägsnar ett eller flera resultat om personuppgifter har samlats in i samband med erbjudande av informationssamhällets tjänster till ett barn, till vilket hänvisas i artikel 8.1 i dataskyddsförordningen.

40. Artikeln omfattar endast direkt tillhandahållande av informationssamhällets tjänster och inga andra typer av behandlingar. Informationssamhällets tjänster definieras inte i dataskyddsförordningen; i stället hänvisas till befintliga definitioner i EU-lagstiftningen . Definitionen medför vissa tolkningssvårigheter, eftersom det i skäl 18 i Europaparlamentets och rådets direktiv 2000/31/EG av den 8 juni 2000 föreskrivs en både vidsträckt och tvetydig definition av begreppet direkt tillhandahållande av informationssamhällets tjänster. Där anges huvudsakligen att dessa tjänster ”omfattar en mängd näringsverksamheter som bedrivs online”, men det specificeras även att de inte begränsas till ”tjänster som föranleder avtal online utan gäller även tjänster, i den mån de utgör näringsverksamhet, som inte betalas av de som mottar dem, exempelvis tillhandahållande av information eller kommersiella meddelanden online eller tillhandahållande av sökmöjligheter samt åtkomst till och hämtning av data” med tyngdpunkt på kriteriet näringsverksamhet.

41. Det framgår av ovanstående att verksamhet från sökmotorleverantörer sannolikt utgör direkt tillhandahållande av informationssamhällets tjänster. Emellertid ifrågasätter inte sökmotorleverantörer huruvida de personuppgifter som de indexerar rör ett barn. Mot bakgrund av deras särskilda ansvar, och om inte annat följer av artikel 17.3 i dataskyddsförordningen, har de en skyldighet att avlägsna innehåll som rör ett barn enligt artikel 17.1 c i dataskyddsförordningen, i medvetenhet om att ett barn är ett giltigt skäl som hänför sig till en specifik situation (artikel 21 i dataskyddsförordningen) och att ”[b]arns personuppgifter förtjänar särskilt skydd” (skäl 38 i dataskyddsförordningen). I detta fall måste hänsyn tas till sammanhanget vid den ursprungliga personuppgiftsansvariges insamling av personuppgifter. I synnerhet måste det datum när behandlingen av den ursprungliga webbplatsen påbörjades beaktas när en registrerad begär avlägsnande av ett innehåll.

2 UNDANTAGEN FRÅN RÄTTEN ATT BEGÄRA AVLÄGSNANDE ENLIGT ARTIKEL 17.3

42. I artikel 17.3 i dataskyddsförordningen anges att artikel 17.1 och 17.2 i dataskyddsförordningen inte ska gälla i den utsträckning som behandlingen är nödvändig av följande skäl: a. För att utöva rätten till yttrande- och informationsfrihet (artikel 17.3 a). b. För att uppfylla en rättslig förpliktelse som kräver behandling enligt unionsrätten eller enligt en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av eller för att utföra en uppgift av allmänt intresse eller som är ett led i myndighetsutövning som utförs av den personuppgiftsansvarige (artikel 17.3 b). c. För skäl som rör ett viktigt allmänt intresse på folkhälsoområdet enligt artikel 9.2 h och i samt artikel 9.3 (artikel 17.3 c). d. För arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål enligt artikel 89.1, i den utsträckning som den rätt som avses i punkt 1 sannolikt omöjliggör eller avsevärt försvårar uppnåendet av syftet med den behandlingen (artikel 17.3 d). e. För att kunna fastställa, göra gällande eller försvara rättsliga anspråk (artikel 17.3 e).

43. Syftet med denna del är att visa att de flesta undantagen enligt artikel 17.3 i dataskyddsförordningen inte förefaller lämpliga vid en begäran om avlägsnande. Denna otillräcklighet talar för en tillämpning av artikel 21 i dataskyddsförordningen vid en begäran om avlägsnande. Hur som helst ska det erinras om att de undantag som föreskrivs i artikel 17.3 i dataskyddsförordningen kan åberopas som avgörande berättigade skäl enligt artikel 17.1 c i dataskyddsförordningen.

2.1 Behandlingen är nödvändig för att utöva rätten till yttrande- och informationsfrihet

44. Detta undantag från tillämpningen av artikel 17.1 i dataskyddsförordningen ska tolkas och tillämpas inom ramen för de kännetecken som är utmärkande för radering. Artikel 17.1 i dataskyddsförordningen är formulerad som ett klart och ovillkorligt uppdrag som riktas till personuppgiftsansvariga. Om villkoren i artikel 17.1 i dataskyddsförordningen är uppfyllda ska den personuppgiftsansvarige ”vara skyldig att utan onödigt dröjsmål radera personuppgifter”. Detta är dock ingen absolut rättighet. Undantagen i artikel 17.3 i dataskyddsförordningen rör situationer när denna skyldighet inte är tillämplig.

45. Avvägningen mellan skyddet för berörda parters rättigheter och yttrandefriheten, inbegripet fri tillgång till information, utgör emellertid en viktig del av artikel 17 i dataskyddsförordningen.

46. EU-domstolen fann i domen i målet Costeja, och mer nyligen i Google 2-domen, att en behandling som görs av en sökmotorleverantör på ett betydande sätt kan påverka den grundläggande rätten till personlig integritet och dataskyddslagstiftningen om sökningen görs med användning av den registrerades namn.

47. Vid avvägningen mellan de registrerades rättigheter och friheter samt internetanvändarnas intressen av att ta del av informationen genom sökmotorleverantören konstaterade EU-domstolen att ”[d]en berörda personens rättigheter enligt dessa artiklar överväger visserligen i allmänhet internetanvändarnas intresse, men avvägningen kan emellertid i särskilda fall bero på typen av information och dess känslighet för den berörda personens privatliv samt allmänhetens intresse av informationen, vilket kan variera bland annat beroende på den roll som denna person spelar i det offentliga livet” .

48. Domstolen beaktade även att den registrerades rättigheter i allmänhet har företräde över internetanvändarnas intresse av att få tillgång till information genom sökmotorleverantören. Domstolen identifierade dock flera faktorer som kan påverka denna bedömning. Dessa omfattar bland annat typen av information och dess känslighet och särskilt internetanvändarnas intresse av att få tillgång till informationen, vilket kan variera beroende på vilken roll som den berörda parten spelar i det offentliga livet.

49. En analys av EU-domstolens rättspraxis avseende avlägsnande visar att beslutet om bevarande eller blockering av sökresultat från en sökmotorleverantör, vid bedömningen av begäran om avlägsnande, måste ta hänsyn till vilken påverkan ett beslut om avlägsnande skulle få på internetanvändarnas tillgång till information . Denna påverkan innebär inte nödvändigtvis att en begäran om avlägsnande avslås. Såsom EU-domstolen har bekräftat måste ett sådant ingrepp i den registrerades grundläggande rättigheter vara motiverat av den breda allmänhetens övervägande intresse av att få tillgång till informationen i fråga.

50. Domstolen skiljer även mellan den legitimitet som en webbutgivare kan ha när det gäller att sprida information och sökmotorleverantörens legitimitet. Domstolen har noterat att en webbutgivares verksamhet uteslutande kan tjäna journalistiska ändamål, och i detta fall skulle webbutgivaren åtnjuta de undantag som medlemsstaterna skulle kunna fastställa i sådan situationer på grundval av artikel 9 i direktivet (numera artikel 85.2 i dataskyddsförordningen). I detta hänseende talar Europadomstolens dom av den 28 juni 2018 i målet M.L. och W.W. mot Tyskland för att den aktuella intresseavvägningen kan få olika resultat beroende på begäran i fråga (särskiljande mellan i) en begäran om radering mot den ursprungliga utgivaren vars verksamhet är central när det gäller skyddet för yttrandefriheten, och ii) en begäran mot en sökmotorleverantör vars huvudsakliga intresse inte är att offentliggöra den ursprungliga informationen om den registrerade, utan att göra det möjligt att identifiera eventuell tillgänglig information om personen och således fastställa dennes profil).

51. Dessa överväganden bör bedömas såsom i dessa mål när det gäller klagomål enligt artikel 17 i dataskyddsförordningen, och en avvägning måste göras mellan rättigheterna hos den registrerade som begärt avlägsnande och internetanvändarnas intresse av att ta del av informationen.

52. Såsom EU-domstolen förklarar i sin dom i målet Google 2 är artikel 17.3 a i dataskyddsförordningen ”ett uttryck för att rätten till skydd av personuppgifter inte är någon absolut rättighet, utan [...] måste förstås utifrån sin funktion i samhället och vägas mot andra grundläggande rättigheter i enlighet med proportionalitetsprincipen” . Det ”ställs därför uttryckligen krav på en avvägning mellan, å ena sidan, de grundläggande rättigheterna till respekt för privatlivet och skyddet för personuppgifter, vilka stadfästs i artiklarna 7 och 8 i stadgan, och, å andra sidan, den grundläggande rätten till informationsfrihet som garanteras i artikel 11 i stadgan”.

53. Domstolen slår fast att ”när en sökmotorleverantör mottar en begäran om borttagande som avser en länk till en webbsida där personuppgifter som omfattas av de särskilda [kategorierna] [...] ska denne – på grundval av samtliga relevanta omständigheter i det enskilda fallet och med beaktande av ingreppets allvar i den registrerades grundläggande rätt till respekt för privatlivet och till skydd för personuppgifter, som slås fast i artiklarna 7 och 8 i stadgan – pröva om det, med hänsyn till de viktiga [skälen] av allmänintresse [...] är strikt nödvändigt att inkludera länken till webbsidan i fråga bland de sökresultat som redovisas efter en sökning på den registrerades namn för att skydda informationsfriheten för de internetanvändare som eventuellt är intresserade av att få tillgång till den webbsidan genom en sådan sökning, en frihet som slås fast i artikel 11 i stadgan” .

54. Sammanfattningsvis får sökmotorleverantörer, beroende på omständigheterna i det enskilda fallet, avslå en begäran om avlägsnande av ett innehåll om de kan visa att det är strikt nödvändigt att inkludera det bland sökresultaten för att skydda internetanvändarnas informationsfrihet.

2.2 Behandlingen är nödvändig för att uppfylla en rättslig förpliktelse som den personuppgiftsansvarige omfattas av eller för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning som utförs av den personuppgiftsansvarige

55. Innehållet i detta undantag gör det svårt att tillämpa det på sökmotorleverantörers verksamhet och den kan påverka besluten att avlägsna vissa resultat eftersom sökmotorleverantörernas behandling av uppgifter i princip grundas på deras legitima intressen.

2.2.1 Rättslig förpliktelse

56. Det är svårt att föreställa sig att det finns lagbestämmelser i vilka det föreskrivs en förpliktelse för sökmotorleverantörer att sprida en viss information. Detta är en följd av den typ av verksamhet de bedriver. Sökmotorleverantörer varken framställer eller presenterar information.

57. Det förefaller därför osannolikt att medlemsstaternas nationella rätt skulle omfatta förpliktelser för sökmotorleverantörer att offentliggöra en viss typ av information, i stället för en förpliktelse att genomföra det offentliggörandet på andra webbsidor som sedan skulle länkas av sökmotorleverantörerna.

58. Denna bedömning kan även utvidgas till möjligheten att unionslagstiftningen eller medlemsstaternas lagstiftning gör det möjligt för en myndighet att fatta beslut som medför en förpliktelse för sökmotorleverantörer att offentliggöra information direkt och inte genom en adresslänk till den webbsida där informationen är tillgänglig.

59. Om det enligt medlemsstaternas nationella rätt finns situationer där det föreskrivs en skyldighet för sökmotorleverantörer att offentliggöra beslut eller dokument som innehåller personlig information, eller som ger myndigheter rätt att begära ett sådant offentliggörande, bör undantaget i artikel 17.3 b i dataskyddsförordningen tillämpas.

60. Vid tillämpningen krävs ett beaktande av de villkor på vilka den är upprättad, dvs. att bevarandet av informationen i fråga är nödvändigt för att uppfylla den rättsliga förpliktelsen till offentliggörande. Det kan exempelvis vara att en rättslig förpliktelse, eller ett beslut från en myndighet som har rättslig befogenhet att anta den, kan omfatta en tidsfrist för offentliggörandet, eller uttryckligen angivna ändamål som kan ha uppnåtts inom en viss tidsperiod. I sådana fall bör undantaget inte längre anses tillämpligt om begäran om avlägsnande görs när dessa tidsfrister har löpt ut.

61. Däremot är det vanligt att det i medlemsstaternas nationella rätt föreskrivs att information som innehåller personuppgifter får offentliggöras på webbsidor. Denna rättsliga förpliktelse att offentliggöra eller bevara offentliggjord information kan inte anses omfattas av undantaget i artikel 17.3 b i dataskyddsförordningen eftersom den inte riktas till sökmotorleverantören, utan till webbutgivarna, vars innehåll är länkat genom sökmotorleverantörens index. Sökmotorleverantören kan därför inte åberopa att det föreligger en sådan förpliktelse att avslå en begäran om avlägsnande.

62. Den rättsliga förpliktelsen till offentliggörande som riktas till andra webbutgivare bör däremot beaktas vid avvägningen mellan de registrerades rättigheter och internetanvändarnas intresse av att få tillgång till informationen. Att informationen måste offentliggöras online på grund av en lagstadgad förpliktelse, eller efter ett beslut från en myndighet som har rättslig befogenhet att anta den, talar för att det ligger i allmänhetens intresse att få tillgång till informationen.

63. Antagandet att allmänheten har ett omfattande intresse är inte tillämpligt på samma sätt med avseende på de ursprungliga webbsidorna i jämförelse med en sökmotorleverantörs resultatindex. Även om en rättslig förpliktelse att offentliggöra information på en viss webbplats kan leda till slutsatsen att denna information inte bör raderas från webbplatsen kan beslutet bli ett annat i fråga om de resultat som tillhandahålls av sökmotorleverantören om namnet från en registrerad i allmänhet används som ett sökord.

64. Vid bedömningen av begäran om avlägsnande i dessa situationer bör det inte antas att förekomsten av en rättslig förpliktelse till offentliggörande, i den mån denna förpliktelse åläggs de ursprungliga webbutgivarna, nödvändigtvis innebär att sökmotorleverantören inte kan godkänna ett avlägsnande.

65. I allmänhet bör detta beslut fattas genom en avvägning mellan den registrerades rättigheter och internetanvändarnas intresse av att få tillgång till denna information genom sökmotorleverantören.

2.2.2 Utförande av en uppgift av allmänt intresse eller som ett led i myndighetsutövning

66. Sökmotorleverantörer är inte myndigheter och bedriver således inte själva myndighetsutövning.

67. De skulle emellertid kunna bedriva myndighetsutövning om de tilldelats denna uppgift genom en medlemsstats nationella rätt eller genom unionsrätten. På samma sätt skulle de kunna utföra uppgifter av allmänt intresse om deras verksamhet ansågs nödvändig för att tillgodose detta allmänintresse i enlighet med nationell lagstiftning .

68. Med hänsyn till vad som är kännetecknande för sökmotorleverantörernas verksamhet är det osannolikt att medlemsstaterna kommer att bevilja dem offentliga befogenheter eller finna att deras verksamhet eller delar av den är nödvändig för att uppnå ett i lag fastställt allmänt intresse.

69. Om det trots detta skulle föreligga en situation där medlemsstater i sin lagstiftning ger sökmotorleverantörer offentliga befogenheter eller knyter deras verksamhet till uppnåendet av ett allmänt intresse kan de utnyttja det undantag som föreskrivs i artikel 17.3 b i dataskyddsförordningen. De överväganden som gjorts ovan avseende situationer där det i en medlemsstats nationella rätt har fastställts en rättslig förpliktelse för sökmotorleverantörer att behandla information är även tillämpliga i denna situation.

70. Vid ett beslut att inte följa en begäran om avlägsnande av skäl med anknytning till detta undantag krävs ett fastställande av huruvida det är nödvändigt att bevara informationen i sökmotorresultaten för att uppnå det allmänna intresse som eftersträvas eller för utövande av fullmakt.

71. Å andra sidan skulle legaldefinitionen av befogenhet eller allmänt intresse ha fastställts av en medlemsstat, och om sökmotorleverantören avvisar begäran om avlägsnande på grund av detta undantag är det även underförstått att detta beror på att den anser att dess verksamhet är nödvändig för att uppnå allmänna intressen. Sökmotorleverantören bör i sådana fall motivera varför den anser att dess verksamhet utförs i allmänt intresse. Utan en sådan förklaring kan ett nekande att följa en begäran om avlägsnande från en registrerad inte åberopa detta undantag.

72. Det skulle följaktligen även vara tillsynsmyndigheten i den medlemsstat vars lagstiftning är tillämplig som är ansvarig för att pröva ett eventuellt klagomål enligt artikel 55.2 i dataskyddsförordningen.

2.3 Skäl av allmänt intresse på folkhälsoområdet

73. Detta utgör ett särskilt undantag där behandlingen är nödvändig för utförandet av en uppgift av allmänt intresse.

74. I detta fall är det allmänna intresset begränsat till folkhälsoområdet, men den lagliga grunden för behandlingen ska, i likhet med skäl av allmänt intresse inom andra områden, fastställas i unionsrätten eller i medlemsstaternas nationella rätt.

75. Vad gäller tillämpningen av detta undantag i samband med sökmotorleverantörens verksamhet är samma slutsatser tillämpliga som ovan. Det förefaller osannolikt att det i en medlemsstats nationella rätt eller i unionsrätten skulle fastställas ett samband mellan sökmotorleverantörens verksamhet och bevarande av information eller en kategori av information i sökmotorleverantörens resultat och uppnåendet av ändamål av allmänt intresse på folkhälsoområdet.

76. Detta är ännu mer uppenbart med hänsyn till att avlägsnandet endast får till följd att vissa resultat som erhålls när endast namnet inges som ett sökkriterium raderas från resultatsidan. Informationen raderas emellertid inte från sökmotorleverantörens index och kan erhållas genom att använda andra sökord.

77. Det är därför svårt att föreställa sig att det generellt sett skulle kunna anses nödvändigt att dessa resultat fortsätter att vara synliga vid sökningar som huvudsakligen grundas på den registrerades namn av skäl av allmänt intresse på folkhälsoområdet.

78. Kriterierna för att tillämpa nationella standarder och fastställa vilken tillsynsmyndighet som ska behandla möjliga krav i mål som rör artikel 17 i dataskyddsförordningen där en begäran har avslagits med tillämpning av detta undantag har diskuterats ovan.

2.4 Arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål enligt artikel 89.1, i den utsträckning som den rätt som avses i punkt 1 sannolikt omöjliggör eller avsevärt försvårar uppnåendet av syftet med den behandlingen

79. I detta scenario måste sökmotorleverantören kunna visa att avlägsnandet av ett visst innehåll från resultatsidan utgör ett avsevärt hinder eller helt förhindrar uppnåendet av vetenskapliga eller historiska forskningsändamål eller statistiska ändamål.

80. Det förutsätts att dessa ändamål objektivt eftersträvas av sökmotorleverantören. Möjligheten att ett undertryckande av resultat avsevärt kommer att påverka forskningsändamål eller statistiska ändamål som eftersträvas av användarna av sökmotorleverantörernas tjänster är inte relevant vid tillämpningen av detta undantag. Dessa ändamål bör, om de existerar, beaktas vid avvägningen mellan den registrerades rättigheter och internetanvändarnas intressen av att få tillgång till informationen genom sökmotorleverantören.

81. Det ska även noteras att sökmotorleverantören objektivt kan eftersträva dessa ändamål utan att det krävs något koppling mellan i princip den registrerades namn och sökresultaten.

2.5 Fastställa, göra gällande eller försvara rättsliga anspråk

82. I princip är det mycket osannolikt att sökmotorleverantörer kan använda detta undantag för att avslå begäran om avlägsnande enligt artikel 17 i dataskyddsförordningen.

83. Det ska vidare framhållas att en begäran om avlägsnande förutsätter att vissa resultat undertrycks från den sida med sökresultat som sökmotorleverantören tillhandahåller när den registrerades namn normalt sett används som sökkriterium. Informationen är fortfarande tillgänglig om andra sökord används.