20.4.2020

ASIA

Hakija on saattanut tietosuojavaltuutetun toimistossa vireille asian, jossa on kysymys yhden url-hakutuloslinkin poistamisesta Google Search -hakupalvelusta.

Url-hakutuloslinkki johtaa verkkosisältöön, jossa on kerrottu, että hakija oli vuonna 2016 tuomittu vuoden ja kymmenen kuukauden pituiseen ehdottomaan vankeusrangaistukseen useammasta lapsen seksuaalisesta hyväksikäytöstä. Yhden uhrin hyväksikäyttö oli täyttänyt törkeän rikoksen tunnusmerkistön. […] Hakutuloslinkin takaa on löydettävissä myös tieto hakijan henkilötunnuksesta.

Hakija on perustellut tekemäänsä poistopyyntöä muun muassa sillä, että poistettavaksi pyydetyn url-hakutuloslinkin takaa on löydettävissä tieto hänen henkilötunnuksestaan. Hakijan mukaan tämä tieto ei ole julkisesti muualla saatavilla. Hakija on korostanut, että henkilötunnus on viranomaisen myöntämä luottamuksellinen luonnollisen henkilön identifioiva tieto. Tällaisen tiedon saatavilla olo voi hakijan mukaan johtaa esimerkiksi identiteettivarkauteen. Hakija on lisäksi viitannut Google Search -palveluun omiin poistokäytäntöihin. Hakija on saanut pyyntöönsä kuittauksen, jossa on muun muassa mainittu ”your social security or similar government ID number”.

Rekisterinpitäjältä saatu selvitys

Hakija on esittänyt itse rekisterinpitäjälle hakutuloslinkkien poistamista koskevan pyynnön ja saanut pyyntöönsä kieltävän vastauksen. Rekisterinpitäjältä on niin ikään pyydetty selvitystä tietosuojavaltuutetun toimiston toimesta. Rekisterinpitäjä on antanut selvityksensä 11.3.2020.

Annetussa selvityksessä on todettu, että Google LLC on harkinnut asiaa uudelleen. Google LLC on päättänyt pysyä alkuperäisessä päätöksessään. Perusteluna on esitetty, että saatavilla olevat tiedot liittyvät hakijan äskettäin vakavista rikoksista saamaan tuomioon. Kysymys oli ollut useammasta seksuaalisesta hyväksikäytöstä, joista yksi tapaus oli täyttänyt törkeän rikoksen tunnusmerkistön. Tekoon oli sisältynyt myös seksuaalista kanssakäymistä alaikäisen henkilön kanssa.

Google LLC on lisäksi vedonnut 29 mukaisen artiklan tietosuojatyöryhmän ohjeistukseen, jonka mukaan rikoksiin liittyvissä yhteyksissä tietosuojaviranomaiset harkitsevat todennäköisemmin suhteellisen vähäisiin ja kauan sitten tapahtuneisiin rikoksiin liittyvien hakutulosten poistamista ja epätodennäköisemmin vakaviin ja äskettäin tapahtuneisiin rikoksiin liittyvien tulosten poistamista.

Annetussa selvityksessä on niin ikään todettu, että tässä tapauksessa tiedot kuvaavat rikollista käyttäytymistapaa. Tietojen saatavilla olon on katsottu olevan vahvasti perusteltua hakijan kanssa asioivien henkilöiden turvallisuuden turvaamiseksi.

Google LLC on todennut, että sen käytettävissä olleiden tietojen perusteella ei ole katsottavissa, että kysymys olisi epätarkoista tai vanhentuneista tiedoista. Näin ollen, ja ottaen huomioon rikosten vakavuus ja luonne, rekisterinpitäjä on katsonut, että tietojen saatavilla olo on edelleen perusteltua oikeutetun edun nojalla.

Oikeudellinen kysymys

Apulaistietosuojavaltuutettu arvioi ja ratkaisee hakijan asian yleisen tietosuoja-asetuksen (EU) 2016/679 ja tietosuojalain (1050/2018) pohjalta. Apulaistietosuojavaltuutettu ottaa asiaa ratkaistessaan huomioon myös Euroopan tietosuojaneuvoston oikeudesta tulla unohdetuksi hakukonetapauksissa 2.12.2019 antaman tulkintaohjeen Guidelines 5/2019 on the criteria of the Right to be Forgotten in the search engines cases under the GDPR (myöhemmin Euroopan tietosuojaneuvoston tulkintaohje), EU-tuomioistuimen tuomiot C-131/12 ja C-136/17 sekä soveltuvin osin myös 29 artiklan mukaisen tietosuojatyöryhmän edellä mainitusta tuomiosta C-131/12 26.11.2014 antaman tulkintaohjeen Guidelines on the implementation of the Court of Justice of the European Union judgment on “Google Spain and Inc v. Agencia Española de Protección de Datos (AEPD) and Mario Costeja González” C-131/12 (myöhemmin 29 artiklan mukaisen tietosuojatyöryhmän tulkintaohje).

Apulaistietosuojavaltuutetun on ratkaistava, tuleeko rekisterinpitäjälle antaa yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan c alakohdan mukainen määräys noudattaa rekisteröidyn pyyntöä kysymyksessä olevan url-hakutuloslinkin poistamisesta.

Apulaistietosuojavaltuutettu arvioi hakijan asiaa tässä päätöksessä rekisterinpitäjän suorittaman henkilötietojen käsittelyn ja sen tarjoaman verkkopalvelun kannalta. Päätöksessä ei oteta kantaa siihen, onko asiaan liittyvällä muulla toimijalla, eli tietojen alkuperäisellä julkaisijalla, oikeus pitää tietoja saatavilla omalla verkkosivullaan.

PÄÄTÖS

Hyväksyn jäljempänä ilmenevin perustein hakijan vaatimukset ja annan Google LLC:lle yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan c alakohdan mukaisen määräyksen noudattaa hakijan pyyntöä kysymyksessä olevan url-hakutuloslinkin poistamisesta.

Yleisen tietosuoja-asetuksen 17 artiklan mukaan rekisteröidyllä on artiklassa lueteltujen edellytysten täyttyessä oikeus saada rekisterinpitäjä poistamaan rekisteröityä koskevat henkilötiedot ilman aiheetonta viivytystä. Rekisteröity voi pyytää tietojen poistamista useammalla kuin yhdellä artiklassa mainitulla perusteella. Euroopan tietosuojaneuvosto on edellä mainitulla tulkintaohjeella ( Guidelines 5/2019 on the criteria of the Right to be Forgotten in the search engines cases under the GDPR ) ottanut kantaa yleisen tietosuoja-asetuksen 17 artiklan 1 kohdassa säädettyjen edellytysten soveltamiseen internet-hakukoneita koskevissa asioissa.

EU-tuomioistuimen tuomioissa C-131/12 ja C-136/17 on todettu, että internet-hakukoneiden yhteydessä suoritettu henkilötietojen käsittely silloin, kun haku tehdään rekisteröidyn nimellä, voi merkittävästi vaikuttaa rekisteröidyn yksityisyydensuojaoikeuksiin.

Mainituissa tuomioissa on niin ikään todettu, että tietyllä yksittäisellä verkkosivustolla julkaistuun tietoon ja sen saatavuuteen internet-hakukoneiden hakutuloksissa liittyy aina kaksi itsenäistä, erillistä toimijaa: 1) verkkosivuston ylläpitäjä eli niin sanottu alkuperäinen julkaisija ja 2) internet-hakupalvelun ylläpitäjä. Tuomiossa C-131/12 on todettu, että internet-hakukone on itsenäinen rekisterinpitäjä sen henkilötietojen käsittelyn osalta, jota hakukone suorittaa url-hakutulosten tarjoamiseksi (ks. tuomion kohdat 35−41, 82−83 ja 88). Edellä mainitut kaksi erillistä toimijaa eivät lähtökohtaisesti käsittele henkilötietoja samalla perusteella. Euroopan ihmisoikeustuomioistuimen ratkaisussa M.L. and W.W. vs Germany (annettu 28.6.2018) on puolestaan todettu, että intressipunninnassa voidaan päätyä eri lopputuloksiin riippuen käsillä olevasta asiasta (i) alkuperäisen julkaisijan toiminta voidaan nähdä sanan- ja ilmaisunvapausoikeuksien ytimessä olevana, kun taas ii) internet-hakupalvelun ylläpitäjän ensisijaisena tarkoituksena puolestaan ei ole ollut julkaista kysymyksessä olevaa tietoa per se , vaan koota mikä tahansa rekisteröityä koskeva tieto yhteen paikkaan ja näin mahdollistaa rekisteröidyn henkilökuvan luominen.

Tuomiossa C-131/12 on edelleen todettu, että henkilön julkinen tai julkisen kaltainen asema on eräs seikka, mikä saattaa johtaa siihen, että niin sanotulla suurella yleisöllä on oikeus saada häntä koskevia henkilötietoja internetin hakukoneesta. Tuomiossa on muun muassa todettu seuraavaa: [k]un rekisteröity voi hänellä Euroopan unionin perusoikeuskirjan 7 ja 8 artiklan nojalla olevien perusoikeuksiensa suhteen vaatia, että kyseessä olevia tietoja ei enää aseteta suuren yleisön saataville sisällyttämällä ne tällaiseen hakutulosten luetteloon, on katsottava – kuten muun muassa tuomion 81 kohdasta ilmenee –, että kyseiset oikeudet syrjäyttävät lähtökohtaisesti paitsi hakukoneen ylläpitäjän taloudellisen intressin myös suurella yleisöllä olevan intressin löytää mainitut tiedot tehdessään haun rekisteröidyn nimellä. Tästä ei kuitenkaan olisi kysymys silloin, jos ilmenee, että rekisteröidyllä julkisuudessa olevan aseman kaltaisista erityisistä syistä puuttuminen rekisteröidyn perusoikeuksiin on perusteltavissa sillä ensisijaisella intressillä, joka suurella yleisöllä on saada nuo tiedot saataviinsa kyseisen sisällyttämisen johdosta (ks. tuomion kohta 97).

EU-tuomioistuimen tuomiossa C-136/17 on puolestaan todettu, että […] oikeus henkilötietojen suojaan ei ole absoluuttinen oikeus vaan sitä on […] tarkasteltava suhteessa sen tehtävään yhteiskunnassa ja sen on suhteellisuusperiaatteen mukaisesti oltava oikeassa suhteessa muihin perusoikeuksiin. Edelleen on todettu, että erityisesti tietosuoja-asetuksen 17(3)(a) artiklassa on vahvistettu nimenomaisesti yhtäältä perusoikeuskirjan 7 ja 8 artiklassa vahvistettujen yksityiselämän kunnioittamista ja henkilötietojen suojaa koskevien perusoikeuksien ja toisaalta perusoikeuskirjan 11 artiklassa taatun tiedonvälityksen vapautta koskevan perusoikeuden punnintaa koskeva vaatimus.

Edellä mainituissa tuomioissa on siis todettu, että rekisteröidyn oikeudet lähtökohtaisesti syrjäyttävät paitsi hakukoneen ylläpitäjän taloudellisen intressin myös suurella yleisöllä olevan intressin saada kysymyksessä olevat tiedot saataviinsa rekisteröidyn nimellä tehtävällä haulla. EU-tuomioistuin on kuitenkin tunnistanut useita tekijöitä, jotka on arvioinnissa otettava huomioon. Tällaisia ovat muun muassa kysymyksessä olevan tiedon luonne tai sen arkaluontoisuus, ja erityisesti internet-käyttäjien tiedonsaanti-intressit, joita arvioitaessa puolestaan on otettava huomioon muun muassa rekisteröidyn mahdollinen julkinen tai julkisen aseman kaltainen asema.

Edellä mainitussa 29 artiklan mukaisen tietosuojatyöryhmän tulkintaohjeessa on määritelty julkisen aseman käsitettä. Tämän tulkintaohjeen mukaan julkinen asema tai julkinen henkilö tarkoittaa sitä, että henkilö on toimintansa tai sitoumustensa myötä ainakin jossain määrin niin sanotussa media-altistuksessa. Jos henkilöllä on julkinen asema, tällöin on olemassa peruste siihen, että suurella yleisöllä pitäisi olla mahdollisuus hakea internetin hakukoneesta sellaista tietoa, joka on merkityksellistä henkilön julkisen tai sen kaltaisen roolin kannalta (ks. 29 mukaisen tietosuojatyöryhmän tulkintaohjeen sivut 13−14).

Hakijan asian arviointi

Rikollisen teon tekeminen ja siitä tuomituksi tuleminen tuottaa henkilölle lähtökohtaisesti julkista asemaa yhteiskunnassa ja saattaa häntä niin sanottuun media-altistukseen kyseisen teon osalta. Lähtökohta on, että rikollisen teon tehneellä henkilöllä ei voi olla tekonsa jälkeen samanlaista perusteltua oletusta yksityisyytensä suojan laajuudesta kuin rikokseen syyllistymättömällä henkilöllä.

Edellä todettu periaate ilmenee muun muassa Euroopan ihmisoikeustuomioistuimen tuomiosta Sidabras and Džiautas v. Lithuania (2004, kohta 49), jossa katsotaan, että muun muassa yksityiselämän kunnioitusta turvaava Euroopan ihmisoikeussopimuksen 8 artikla ei suojaa sellaiselta maineen menettämiseltä, joka on ennakoitava seuraus henkilön omista toimista, kuten rikoksen tekemisestä. Myös Euroopan ihmisoikeustuomioistuimen ratkaisu Axel Springer Ag v. Germany (2012, kohta 83) vahvistaa saman linjauksen.

Edellä sanottu ei kuitenkaan tarkoita, että rikokseen syyllistyneellä henkilöllä ei olisi lainkaan yksityisyyden suojaa. Rikollisesta teosta ja siitä saadusta rangaistuksesta huolimatta osa kyseisen henkilön henkilötiedoista jää hänen yksityiselämänsä ja hänen perusoikeutenaan olevan yksityisyyden suojan piiriin.

Hakijan asiassa on riidatonta, että hänet on tuomittu useammasta lapsen seksuaalisesta hyväksikäytöstä yhden vuoden ja kymmenen kuukauden pituiseen ehdottomaan vankeusrangaistukseen. Katson, että hakijalle on tämän myötä syntynyt tuomiossa C-131/12 tarkoitettu julkinen tai julkisen kaltainen asema. Käytän tästä asemasta jäljempänä termiä ”julkinen asema”. Tämä julkinen asema tuo lähtökohtaisesti suurelle yleisölle oikeutetun intressin hakijaa koskevien henkilötietojen saamiseen Google Search -hakupalvelusta tuomiossa C-131/12 linjatulla tavalla (ks. tuomion kohta 97). Todettakoon vielä, että Journalistien ohjeiden mukaan rikoksesta tuomitun nimen, kuvan tai muita tunnistetietoja voi julkaista, ellei se tuomitun asemaan tai tekoon nähden ole selvästi kohtuutonta.

EU-tuomioistuimen tuomioissa C-131/12 on linjattu henkilötietojen (url-hakutulosten) poistamista nimenomaan internet-hakukoneesta. Julkiseen asemaan liittyvien henkilötietojen poistamistarvetta arvioitaessa on suoritettava intressipunninta, jossa huomioidaan myös muiden henkilöiden oikeudet saada rekisteröityä koskevaa tietoa url-hakutulosten kautta Google Search -hakupalvelusta. Intressipunninnassa on pyrittävä löytämään oikeudenmukainen tasapaino suuren yleisön tiedonsaanti-intressin ja rekisteröidyllä Euroopan unionin perusoikeuskirjan 7 ja 8 artiklan nojalla olevien perusoikeuksien välillä. Vaikka kyseisillä artikloilla suojatut rekisteröidyn oikeudet syrjäyttävät pääsääntöisesti internetin käyttäjien mainitun intressin, tasapaino voi tuomion mukaan kuitenkin riippua erityistapauksissa kyseessä olevien tietojen luonteesta ja niiden arkaluonteisuudesta rekisteröidyn yksityiselämän kannalta sekä yleisöllä olevasta intressistä saada kyseiset tiedot käyttöönsä, ja jälkimmäinen intressi voi olla erilainen muun muassa kyseisellä henkilöllä julkisuudessa olevan aseman perusteella (vrt. EU-tuomioistuimen tuomion C-131/12 kohdat 73−74, 81, 97, 99 sekä henkilötietolain 6 § ja 8 §:n 1 momentin 8 kohta).

Edelleen 29 artiklan mukaisen tietosuojatyöryhmän tulkintaohjeessa hakukonetoiminnan yhteydessä käsiteltävät henkilötiedot on jaettu sekä faktatietoon (tosiasiat) että mielipiteisiin/näkemyksiin, joita henkilöillä on jostakin asiasta taikka henkilöstä. Henkilötiedon virheellisyyttä/virheettömyyttä arvioitaessa on otettava huomioon se, onko asiassa kysymys tosiasiasta, jonka oikeellisuutta ei voida kiistää vai onko kysymyksessä subjektiivinen mielipide tai näkemys. Mainitussa tulkintaohjeessa on linjattu, että tietosuojaviranomaiset harkitsevat poistamista todennäköisemmin sellaisen hakutulostiedon osalta, johon liittyy objektiivisesti havaittavissa oleva tosiasiavirhe ja joka antaa sen vuoksi virheellisen, puutteellisen tai harhaanjohtavan kuvan henkilöstä (ks. 29 artiklan mukaisen tietosuojatyöryhmän tulkintaohjeen sivut 15 ja 17).

Hakija ei ole kiistänyt tulleensa tuomituksi useammasta lapsen seksuaalisesta hyväksikäytöstä yhden vuoden ja kymmenen kuukauden pituiseen ehdottomaan vankeusrangaistukseen. Asiassa ei siis ole kysymys siitä, että kysymyksessä olevien url-hakutuloslinkkien takaa olisi saatavilla tietoa sellaisesta hakijaa koskevasta asiasta, joka ei ole totta.

Asiaa arvioitaessa huomioon on otettava myös yleisen tietosuoja-asetuksen 17(1)(c) artiklassa säädetty. Yleisen tietosuoja-asetuksen 21(1) mukaan rekisteröidyllä on oikeus henkilökohtaiseen erityiseen tilanteeseensa liittyvällä perusteella milloin tahansa vastustaa häntä koskevien henkilötietojen käsittelyä, joka perustuu 6 artiklan 1 kohdan e tai f alakohtaan. Rekisterinpitäjä ei saa enää käsitellä henkilötietoja, paitsi jos rekisterinpitäjä voi osoittaa, että käsittelyyn on olemassa huomattavan tärkeä ja perusteltu syy, joka syrjäyttää rekisteröidyn edut, oikeudet ja vapaudet tai jos se on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi. Euroopan tietosuojaneuvoston tulkintaohjeessa on todettu, että esimerkiksi mikä tahansa yleisen tietosuoja-asetuksen 17(3) artiklassa säädetyistä käsittelyperusteista voi muodostaa huomattavan tärkeän ja perustellun syyn, joka syrjäyttää rekisteröidyn edut, oikeudet ja vapaudet (ks. Euroopan tietosuojaneuvoston tulkintaohjeen sivu 7).

Käsillä olevaa asiaa arvioitaessa on edellä mainituista seikoista huolimatta otettava huomioon, että kysymyksessä olevan url-hakutuloslinkin takaa on saatavilla tieto hakijan henkilötunnuksesta. Yleisen tietosuoja-asetuksen 87 artiklassa on säädetty, että jäsenvaltiot voivat määritellä tarkemmin erityiset kansallisen henkilönumeron tai muun yleisen tunnisteen käsittelyn edellytykset.

Tietosuojalain 29 §:ssä on säädetty henkilötunnuksen käsittelystä. Henkilötunnusta saa käsitellä rekisteröidyn suostumuksella tai, jos käsittelystä säädetään laissa. Lisäksi henkilötunnusta saa käsitellä, jos rekisteröidyn yksiselitteinen yksilöiminen on tärkeää muun muassa rekisteröidyn tai rekisterinpitäjän oikeuksien ja velvollisuuksien toteuttamiseksi. Huomionarvoista on se, että henkilötunnuksen käsittely ei ole sallittua esimerkiksi kolmannen osapuolen oikeutettujen etujen toteuttamiseksi. Käsittely ei ole edes sallittua rekisterinpitäjän itsensä oikeutettujen etujen toteuttamiseksi, vaan ainoastaan rekisterinpitäjän oikeuksien ja velvollisuuksien toteuttamiseksi.

Google LLC on katsonut, että tietojen saatavilla olo on perusteltua hakijan kanssa asioivien henkilöiden turvallisuuden turvaamiseksi. Google LLC on edelleen katsonut, että tietojen saatavilla olo on perusteltua oikeutetun edun nojalla. Kuten edellä on todettu, henkilötunnuksen käsittely ei kuitenkaan ole sallittua mainituilla perusteilla.

Edellä esitetyllä perusteella annan Google LLC:lle yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan c alakohdan mukaisen määräyksen noudattaa hakijan pyyntöä kysymyksessä olevan url-hakutuloslinkin poistamisesta.

Päätös ei ole vielä lainvoimainen.