Personvernnemndas vedtak 10. november 2020 (Mari Bø Haugstad, Bjørnar Borvik, Gisle Hannemyr, Line Coll, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem)
Saken gjelder klage fra A på Datatilsynets vedtak 5. juli 2019 om avslag på krav om sletting av søketreff i søkemotoren Google.
Sakens bakgrunn
Saken har sin bakgrunn i en avisartikkel publisert i en nettavis høsten 2012 som omtaler As oppsigelse som leder ved en utdanningsinstitusjon. I artikkelen, som har overskriften «[…]», framgår det at A sa opp stillingen etter tre måneder etter at de ansatte sendte et brev til styret der de krevde lederens avgang. Ifølge artikkelen mente de ansatte at A ikke hadde den riktige bakgrunnen for stillingen. Daværende styreleder og fungerende direktør bekrefter i artikkelen at de mottok et slikt brev, men kommenterer ikke dets innhold eller forholdet for øvrig. Det framkommer av artikkelen at nettavisen har forsøkt å kontakte A flere ganger, men at de ikke har lyktes i å få en kommentar fra henne.
Da utdanningsinstitusjonen gikk konkurs våren 2014, kjøpte B konkursboet og fortsatte driften av utdanningsinstitusjonen i et nytt selskap.
A kontaktet Google 14. september 2017 og ba om sletting av søketreffet på hennes navn i Google som ledet til den aktuelle avisartikkelen, […]. I e-post til A 18. september 2018 avslo Google å slette søkeresultatet.
A klaget på avgjørelsen 17. oktober 2017 og 22. desember 2018, men Google opprettholdt avslaget i e-poster til A 18. oktober 2017 og 24. desember 2018.
A kontaktet også redaktøren i nettavisen nettavisen og medieselskapet Amedia, som eier avisen, og anmodet om sletting av artikkelen. Redaktøren avslo sletteforespørselen under henvisning til at avisen av prinsipp ikke sletter artikler fra sin nettside. Amedia opplyste at de ikke griper inn i avisens redaksjonelle innhold.
A brakte Googles avslag inn for Datatilsynet 31. desember 2018 og anmodet om bistand til å få slettet søketreffet ved søk på hennes navn i Google. Datatilsynet foretok en interesseavveining mellom hensynet til informasjonsfriheten og allmennhetens interesse i å ha tilgang til søketreffet ved navnesøk og As rett til å protestere mot at søketreffet vises, og avslo hennes krav om sletting i vedtak 5. juli 2019.
A framsatte rettidig klage over Datatilsynets vedtak 14. juli 2019.
Datatilsynet vurderte klagen, men fant ikke grunn til å endre sitt vedtak. Saken ble oversendt Personvernnemnda 27. august 2020. Partene ble orientert om saken i brev fra nemnda 28. august 2020, og fikk anledning til å komme med kommentarer. Ingen av partene har inngitt kommentarer.
Saken ble behandlet i nemndas møte 10. november 2020. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Gisle Hannemyr, Line Coll, Hans Marius Graasvold, Ellen Økland Blinkenberg og Hans Marius Tessem. Sekretariatsleder Anette Klem Funderud var også tilstede.
Datatilsynets vurdering i hovedtrekk
Datatilsynet fastslår innledningsvis i vedtaket at tilsynet er rett tilsynsmyndighet og har kompetanse til å behandle saken, samt at personopplysningsloven § 3 ikke kommer til anvendelse for saker som gjelder sletting av søketreff.
Datatilsynet redegjør deretter for de rettslige utgangspunktene i saken og viser til personvernforordningen artikkel 6 nr. 1 bokstav f som relevant gyldig behandlingsgrunnlag, samt artikkel 21 nr. 1 om den registrertes rett til å protestere. Videre vises det til den tidligere Artikkel-29 gruppens (forløperen til Personvernrådet etter personvernforordningen) utarbeidede retningslinjer for hvordan personvernet og informasjonsfriheten skal avveies i saker som gjelder sletting av søketreff, som fortsatt anses relevante også etter ikrafttredelsen av personvernforordningen.
For sin vurdering av saken tar tilsynet utgangspunkt i at søkemotoren, etter artikkel 21, kun kan fortsette behandlingen dersom det foreligger en offentlig interesse i å ha tilgang til personopplysningene. I tillegg må den offentlige interessen utgjøre tvingende berettigede grunner for behandlingen som går foran den registrertes interesse.
Tilsynet peker på at det er nesten syv år siden den aktuelle artikkelen ble publisert, og at informasjonen etter hvert mister sin relevans. Selv om seks-syv år isolert sett ikke er lang tid, mener Datatilsynet at tidsaspektet, sett i lys av at selskapet ikke lenger eksisterer, taler for avindeksering.
Personopplysningene ble publisert i forbindelse med at A sa opp stillingen som leder i et selskap og det vil etter Datatilsynets vurdering ofte være av offentlig interesse å kjenne til et selskaps ledere, styreform og endringer på ledelsesnivå. Som leder må man i utgangspunktet regne med at ens navn blir brukt i sammenhenger hvor selskapet omtales. Dette taler etter Datatilsynets vurdering mot avindeksering. Tilsynet har lagt særlig vekt på at det kun er opplysninger om A i kraft av hennes yrkesstilling som er publisert.
Datatilsynet har også vurdert konsekvensene søketreffet anses å ha for A. Det redegjøres for at A opplyser at hun ikke har problem med å stå i saker som gjelder hennes person, men at useriøse rekrutteringsmetoder gjør at tilfeldigheter påvirker utvelgelser ettersom artikkelens alder overses. Datatilsynet påpeker at dette kan ha en negativ innvirkning for A selv om konsekvensene vanskelig kan måles.
Datatilsynet viser videre til at personopplysningene opprinnelig ble publisert av en avis mens saken var aktuell og hadde nyhetsverdi. At opplysningene framkommer i en journalistisk kontekst er et forhold Datatilsynet mener taler mot avindeksering.
Etter en konkret interesseavveiing kom Datatilsynet til at As protest mot at søketreffene vises ved navnesøk, ikke kan tas til følge. Informasjonsfriheten og allmennhetens interesse i å ha tilgang til søketreffet ved navnesøk utgjør i dette tilfellet tvingende berettigede grunner som går foran hennes protest, jf. personvernforordningen artikkel 21 nr. 1, jf. personopplysningsloven § 1.
As syn på saken i hovedtrekk
Søketreffet i Google som leder til avisartikkelen i en nettavis fra 17. august 2012 må slettes fordi:
1. Artikkelen er åtte år gammel og har ikke lenger relevans eller allmenn interesse.
2. Belastningen for henne er urettmessig.
3. Utdanningsinstitusjonen som omtales i artikkelen eksisterer ikke i dag.
4. Personvernet er sterkere enn før, og retten til å bli glemt er reell.
5. Hun er ikke å anse som en offentlig person som stadig vekk omtales.
6. Useriøse rekrutteringsmetoder gjør at tilfeldigheter påvirker utvelgelser da alder på artikkelen overses.
7. Google responderer ikke med svar som tar opp i seg informasjonen som oversendes dem, men sender et ulovlig robotsvar som innebærer en ignorering og ansvarsfraskrivelse både av Datatilsynets og Googles egne guidelines. Google foretar altså ingen vurdering av sunn fornuft.
8. Avisen det gjelder responderer ikke på sletteforespørselen som er sendt dem.
Datatilsynets håndtering av saken er lettvint og uprofesjonell. Tilsynet tør ikke ta nødvendige skritt overfor Google. Tilsynet burde foretatt undersøkelser knyttet til selskapets ledergjennomtrekk. Hun fikk munnkurv i forbindelse med sin fratreden og artikkelen som søketreffet leder til viser ikke helheten. Etter alle disse årene er artikkelen uansett ikke lenger relevant. Tilsynet klarer ikke å skille mellom hva som lenger er relevant og ikke i sin vurdering av «tvingende berettigede grunner».
Datatilsynet har ved sin tidsbruk og saksbehandling bidratt til ytterligere og unødvendig belastning for henne.
Googles syn på saken
Google har ikke gitt noen uttalelse i saken, verken for Datatilsynet eller Personvernnemnda. Nedenfor gjengis det svaret Google ga A ved hennes henvendelse til dem med krav om sletting av søketreff:
«I denne saken ser det ut som at URL’en relaterer til ditt profesjonelle yrkesliv, og derfor er den i allmennhetens interesse. Innholdet i URL’en kan for eksempel være av interesse for nåværende og potensielle fremtidige kunder eller brukere av dine tjenester. Informasjon om nylige virksomheter kan ha interesse for potensielle eller nåværende kunder eller brukere av dine tjenester. Vi kan derfor ikke fjerne dette dokumentet fra vårt søkeresultat, fordi ditt navn er av allmennhetens interesse.
Vi i Google har for øyeblikket avgjort at vi ikke skal treffe tiltak mot disse nettadressene.
Du kan imidlertid sende forespørselen din om fjerning direkte til nettredaktøren som kontrollerer det aktuelle nettstedet. Nettredaktøren har muligheten til å fjerne det aktuelle innholdet fra nettet eller blokkere det fra å vises i søkemotorene. Hvis du lurer på hvordan du kan kontakte nettredaktøren for et nettsted, kan du gå til https://support.google.comlwebsearch/answer/9109.
Hvis det fortsatt vises foreldet innhold fra et nettsted i Googles søkeresultater, kan du be Google om å oppdatere eller fjerne den aktuelle siden. Bruk i så fall verktøyet vårt for forespørsler om fjerning av nettsteder, som du finner på http://www.google.com/webmastersltools/removals.
Du kan også ha rett til å ta opp saken med myndighetene for datatilsyn i landet ditt, hvis du ikke er fornøyd med beslutningen Google har truffet. Hvis du velger å kontakte dem kan det være lurt å oppgi referansenummeret 8-3457000019013 og en kopi av bekreftelsen på skjemainnsendelsen for denne forespørselen til Google. Hvis Google fungerer som nettredaktør for det aktuelle nettstedet, kan du prøve å kontakte eieren eller forfatteren av siden for å be dem om å fjerne innholdet.»
Personvernnemndas vurdering
Personvernnemnda skal ta stilling til om Google skal pålegges å slette det aktuelle søketreffet på As navn som leder til avisartikkelen fra 2012 hvor hennes oppsigelse av stillingen som leder for en utdanningsinstitusjon omtales.
Datatilsynet har i sitt vedtak benyttet begrepet avindeksering. Etter nemndas vurdering er det mer korrekt å omtale dette som sletting av søketreff. Informasjonen vil fremdeles være indeksert av Google og være tilgjengelig ved navnesøk i Googles søkegrensesnitt dersom dette gjøres for eksempel fra en ikke-europeisk IP-adresse, jf. tilsvarende vurdering i PVN-2020-08.
Det rettslige utgangspunktet for vurderingen
Det er ingen tvil om at det som skjer når en søkemotor samler inn personopplysninger og presenterer søketreff for allmenheten, representerer en behandling av personopplysninger og reguleres av personvernforordningen, jf. artikkel 4 nr. 2. Søkemotortilbyderen er behandlingsansvarlig for den behandlingen av personopplysninger som skjer i den forbindelse, jf. artikkel 4 nr. 7. Dette er også lagt til grunn av EU-domstolen, både i dom C-131/12 av 13. mai 2014 (Google Spain og Google) og i dom C-136/17 av 24. september 2019 (G.C. & Others v CNIL). Dette er også i tråd med etablert forvaltningspraksis fra Datatilsynet og Personvernnemnda, se for eksempel PVN-2020-08 og PVN-2019-02.
Selv om de nevnte dommene fra EU-domstolen direkte avklarer forståelsen av EUs personopplysningsdirektiv (direktiv 95/46) er dommene også relevante for tolkningen av personvernforordningen. Dette skyldes at bestemmelsene i forordningen om hva som utgjør behandling av personopplysninger og hvem som er å anse som behandlingsansvarlig er en videreføring av bestemmelsene i direktivet.
I likhet med Datatilsynet legger nemnda til grunn at det er personvernforordningen artikkel 6 nr. 1 bokstav f som i utgangspunktet gir Google behandlingsgrunnlag til å samle inn personopplysninger og presentere søketreff for allmennheten.
I og med at A har protestert mot behandlingen av personopplysningene, jf. personvernforordningen artikkel 21 nr. 1, følger det av artikkel 17 nr. 1 bokstav c at Google har plikt til slette opplysningene (dvs. fjerne søketreffet) med mindre det foreligger mer tungtveiende berettigede grunner for behandlingen som går foran den registrertes interesser, rettigheter og friheter. Det skal med andre ord foretas en interesseavveining mellom den registrertes interesse i å få søketreffet slettet, mot allmennhetens interesse i å få lett tilgang til denne informasjonen via en søkemotor. Nemnda vil i den forbindelse minne om at sletting av søketreff fra en søkemotor ikke handler om å fjerne informasjonen fra Internett som sådan. All informasjon vil fremdeles være tilgjengelig på de opprinnelige nettstedene, for eksempel avisers og andre massemediers nettsteder, og på disse nettstedene vil informasjonen fortsatt også dukke opp ved navnesøk. Videre vil informasjonen være tilgjengelig fra søkemotorer, men da må det brukes andre søkeord enn personnavn, for eksempel sakens tema, eller det må søkes via en ikke-europeisk IP-adresse.
EU-domstolen slår i Google Spain og Google fast at det i interesseavveiningen gjelder en presumsjon for at den registrerte har rett til å få søketreffet slettet, med mindre særlige hensyn gjør seg gjeldende. Googles svar på As slettekrav er etter Personvernnemndas oppfatning ikke i tråd med dette rettslige utgangspunktet. Det er ikke holdepunkter for at avslaget på slettekravet bygger på en reell interesseavveining:
«[…]
Vi i Google har for øyeblikket avgjort at vi ikke skal treffe tiltak mot disse nettadressene.
Du kan imidlertid sende forespørselen din om fjerning direkte til nettredaktøren som kontrollerer det aktuelle nettstedet. […]»
I og med at det dreier seg om en publisert artikkel i en nettavis, vil den behandlingen av personopplysninger som skjer der være omfattet av unntaket i personopplysningsloven § 3, og den registrerte vil dermed ikke ha noe krav om å få opplysningene slettet av nettredaktøren. Det er Google, som behandlingsansvarlig, som etter artikkel 21 nr. 1 skal påvise at det foreligger tvingende berettigede grunner for behandlingen som går foran den registrertes interesser og som dermed også er pålagt å foreta denne interesseavveiningen i første hånd når de mottar et krav om sletting.
I Google Spain og Google påpeker EU-domstolen at søkemotortilbyderens behandling av personopplysninger adskiller seg fra, og representerer noe i tillegg til den behandling som gjøres av den som publiserer internettsider (avsnitt 35). Det innebærer at utfallet av den interesseavveiningen direktivet gir anvisning på, kan være et annet for søkemotortilbyderen enn for den som publiserer internettsidene. Dels kan dette skyldes at interessene som begrunner behandlingen av personopplysningene kan være forskjellige, og dels kan det skyldes at konsekvensene av databehandlingen vil være forskjellige. EU-domstolen slo i Google Spain og Google fast at den som tilbyr søkemotortjenester kan ha en plikt til å slette et søketreff etter anmodning fra den søketreffet gjelder, selv om utgiveren av internettsiden har behandlingsgrunnlag for å publisere opplysningene på sin nettside (avsnitt 88). Dette standpunktet videreføres i G.C. & Others v CNIL (avsnitt 52).
Om den konkrete interesseavveiningen sier EU-domstolen i Google Spain og Google, avsnitt 81:
«Selv om rettighederne for den berørte person, der er beskyttet ved disse artikler, ganske vist også generelt vejer tungest i forhold til internetbrugernes interesse, kan denne afvejning dog i særlige tilfælde afhænge af den pågældende oplysnings art, og hvor følsom den er for den berørte persons privatliv, samt offentlighedens interesse i at råde over denne oplysning, hvilket bl.a. kan variere, alt efter hvilken rolle denne person har i det offentlige liv.»
Personvernrådet har utgitt en veileder som gjelder retten til å bli glemt av en søkemotor, jf. «Guidelines 5/2019 on the criteria of the Right to be Forgotten in the search engine cases under the GDPR (part 1) - version adopted after public consultation» av 7. juli 2020. Veilederen er utgitt i kjølvannet av Google Spain og Google og G.C. & Others v CNIL, og erstatter veilederen som tidligere ble utviklet av Artikkel 29-gruppen. Nemnda legger til grunn at Personvernrådets veileder, i likhet med Artikkel 29-gruppens veileder, har begrenset verdi som rettskilde, men gir nyttig veiledning som uttrykk for forvaltningspraksis hos tilsynene i EU og EØS. For den interesseavveiningen som skal gjøres i denne saken viser nemnda særlig til avsnittene 44 til 52 i veilederen fra Personvernrådet.
Den konkrete interesseavveiningen
Opplysningene som framkommer i artikkelen gjelder As yrkesutøvelse, og er ikke knyttet til hennes privatliv. Det dreier seg heller ikke om opplysninger som omfattes av de særlige kategorier av personopplysninger, jf. personvernforordningen artikkel 9, eller andre opplysninger som er underlagt særlige regler, jf. artikkel 10. Det er derfor ikke noe ved opplysningenes art i seg selv som tilsier at søketreffet skal slettes.
Selve publiseringen av nyhetsartikkelen skjedde i journalistisk øyemed. Selv om søkemotorenes behandling av personopplysninger adskiller seg fra, og representerer noe i tillegg til, den behandling av personopplysninger som gjøres av den som publiserer en nyhetsartikkel på en internettside, så vil det forhold at den opprinnelige publiseringen er skjedd i journalistisk øyemed være et moment som tilsier at søketreffet ikke skal slettes. Hvor sterkt dette hensynet gjør seg gjeldende, vil imidlertid avhenge av en rekke ulike forhold. Nemnda vil gå nærmere inn på de ulike forholdene i det følgende.
Utdanningsinstitusjonen ble etablert i 2004 av X fylkeskommune som en utdanningsinstitusjon for videregående opplæring innenfor tekniske og yrkesrettede fag og har mottatt økonomisk støtte fra det offentlige. Nemnda legger til grunn at både ansettelse og oppsigelse av ledere ved en slik utdanningsinstitusjon har offentlig interesse. I Norge er det dessuten vanlig med offentlighet ved ansettelser i det offentlige, blant annet gjennom ordningen med offentlige søkerlister. Da A sa opp stillingen som leder for utdanningsinstitusjonen i 2012, var utdanningsinstitusjonen fortsatt eid av fylkeskommunen. As oppsigelse var klart nok av offentlig interesse på dette tidspunktet, og allmenhetens tilgang på informasjon tilsier videre at artikler som omhandler denne saken også inngår blant søketreffene ved søk på As navn på et langt senere tidspunkt. Det vil likevel være slik at denne interessen svekkes etterhvert som årene går. I vår sak er det over åtte år siden artikkelen ble publisert.
Nemnda kan ikke se at det har betydning for interesseavveiningen som nå skal foretas at utdanninginstitusjonen opphørte å eksistere som selvstendig institusjon etter at B kjøpte opp institusjonen da denne gikk konkurs i 2014.
Hva som skjer ved en utdanningsinstitusjon og hvordan virksomheten ledes er etter nemndas vurdering også av offentlig interesse. Graden av offentlig interesse vil likevel variere med hvilken institusjon saken gjelder; det vil som et utgangspunkt være større offentlig interesse knyttet til ledelsen av store utdanningsinstitusjoner enn til ledelsen av en mindre institusjon som denne saken gjelder. Ved utdanningsinstitusjonen var det i en periode hyppige lederskifter, og A var ansatt som leder i en periode på bare tre måneder. Dette er informasjon som allmennheten har en berettiget forventning om å få tilgang til.
Av særlig betydning for nemndas vurdering har vært at avisartikkelen som søketreffet leder til gir svært begrenset informasjon om bakgrunnen for at A sa opp sin stilling, ut over at det var sendt et brev fra de ansatte til styret hvor de krevde lederens avgang. Det framgår av en annen artikkel fra nettavisen (publisert […] 2012) at As etterfølger var den fjerde lederen ved utdanningsinstitusjonen på to år. Artikkelen om lederskiftene ligger imidlertid lett tilgjengelig på nettsiden til nettavisen, som er lokalavisen der utdanningsinstitusjonen ligger. Artikkelen som søketreffet leder til ligger også her, og denne gjenfinnes ved søk på utdanningsinstitusjonens eller As navn. Den som har interesse av å finne eldre nyhetsartikler om utdanningsinstitusjonen, vil derfor enkelt finne disse ved å søke på nettsiden til nettavisen. Nemnda kan på denne bakgrunn ikke se at allmenhetens tilgang på informasjon om de hyppige lederskiftene ved utdanningsinstitusjonen i perioden 2010-2012 tilsier at artikkelen også skal dukke opp ved søk på As navn på Google.
Søketreffets konsekvenser for den registrerte er også av betydning. Det er uttrykkelig sagt av EU-domstolen i Google Spain og Google at retten til å bli glemt ikke er betinget av at de aktuelle personopplysningene har medført negative konsekvenser («skader») for den registrerte. Dersom det er tilstrekkelige holdepunkter for slike konsekvenser, vil det imidlertid være et moment som trekker i retning av at den registrerte skal gis medhold i kravet om sletting. For spørsmålet om hvilke konsekvenser behandlingen faktisk har hatt, må det kunne legges til grunn en mer objektiv vurdering basert på sakens faktum.
A har vist til at hun har levd med dette søketreffet i flere år, og at hun opplever det som en stor belastning. Nemnda ser ingen grunn til å betvile dette. Hun mener videre at søketreffet gir negativt utslag for henne i nye ansettelsesprosesser. Nemnda finner det ikke sannsynliggjort at søketreffet på As navn har hatt en slik innvirkning på ansettelsesprosesser som A har vært involvert i. Det vil uansett framgå av hennes CV at hun var leder ved utdanningsinstitusjonen i en svært kort periode i 2012 og bakgrunnen for dette vil være noe en mulig ny arbeidsgiver normalt vil være interessert i å vite mer om.
Nemnda har vært i en viss tvil i denne saken, men har etter en samlet vurdering kommet til at As interesse i å få søketreffet slettet veier tyngre enn hensynet til informasjonsfriheten og allmennhetens interesse i å ha tilgang til søketreffet ved navnesøk. Nemnda kan ikke se at det foreligger tvingende berettigede grunner som går foran den registrertes interesser, rettigheter og friheter, og da skal As protest etterkommes, jf. artikkel 21 nr.1.
A gis etter dette medhold i sitt krav om sletting av søketreffet og Datatilsynets vedtak omgjøres.
Nemnda finner grunn til å bemerke at denne saken ble innledet med As anmodning til Datatilsynet 31. desember 2018 om bistand til å få slettet søketreffet ved søk på hennes navn i Google. Datatilsynet avslo anmodningen i vedtak 5. juli 2019. Vedtaket ble påklaget innen klagefristen på tre uker. Tilsynet fant ikke grunnlag for omgjøring. Nemnda mottok saken først 27. august 2020, dvs. ett år og en måned etter at A klaget på Datatilsynets vedtak. En så lang saksbehandlingstid etter at vedtak er truffet og påklaget bidrar til at retten til å bli glemt langt på vei mister sin realitet. Dette er uheldig i alle saker, men spesielt alvorlig i saker som gjelder den registrertes utøvelse av sine rettigheter etter artikkel 21 nr. 1. Nemnda vil derfor anmode tilsynet om å gjennomgå sine saksbehandlingsrutiner for å sikre at slike forsinkelser unngås.
Konklusjon
Google pålegges å slette søketreff […] ved søk på As navn.
Vedtaket er enstemmig.
Oslo, 10. november 2020
Mari Bø Haugstad
Leder