In de week voorafgaand aan de Europese verkiezingen, waarin journalisten, politici en burgers in de media over elkaar heen buitelen over de vraag of we méér of minder Europa willen (daar gaat Brussel trouwens helemaal niet over maar Den Haag en als je dus meer of minder Europa wil, moet je dat kenbaar maken in de verkiezingen voor de Tweede Kamer en niet in die voor het Europees Parlement), is een vrijwel onzichtbaar Europees instituut in Luxemburg bezig het internet te ordenen. Het Europees Hof van Justitie deed deze week namelijk een belangwekkende uitspraak over privacy. Vrijwel geen enkele uitspraak van het Hof haalt het Journaal, maar deze wel. Kennelijk was er iets bijzonders aan de hand.

In een Spaanse zaak deed het Hof een uitspraak die vergaande gevolgen zal gaan hebben voor bedrijven en burgers in Nederland op privacygebied en mogelijk ook voor de onderhandelingen in Brussel over een nieuwe Europese privacywet. Wat was er aan de hand? Een Spaanse man had Google verzocht om een link uit haar zoekmachine te verwijderen naar de website van een krant waarop informatie stond over de gedwongen verkoop van zijn huis in 1998. Google had daaraan geen gehoor gegeven, waarop de man via de Spaanse privacytoezichthouder had geprobeerd om dit af te dwingen. Het Hof deed in deze zaak twee zeer verstrekkende uitspraken die grote gevolgen hebben voor het Internet.

1. Het recht op privacy kan in sommige gevallen vóór het recht op vrije meningsuiting gaan.

Uitgangspunt is dat grondrechten gelijk zijn en dat de rechter in concrete gevallen een afweging moet maken welk grondrecht het wint van de andere. Maar in deze zaak zegt het Hof onomwonden: “Als rechtmatig gepubliceerde informatie veroudert, gaat het recht op vrije meningsuiting minder zwaar wegen en wordt het recht op privacy belangrijker. En dus heeft iemand het recht om op enig moment te vragen of die informatie wordt verwijderd.” In Brussel wordt al een hele tijd gesteggeld over de vraag of mensen het recht hebben om vergeten te worden. En zo ja, aan welke verplichtingen (online) bedrijven dan moeten worden onderworpen. Het Hof maakt resoluut een einde aan deze discussie: er is zoiets als een recht ok vergeten te worden en ook Google, die als ‘secundaire publiceerder’ de informatie openbaar maakt, moet dit recht respecteren. En dus moet Google de informatie uit haar zoekmachine verwijderen, ongeacht de vraag of de informatie bij de originele bron wordt verwijderd.

Moeten we ons nu zorgen gaan maken over geschiedvervalsing? Nee! Er zit volgens het Hof verschil tussen de verplichtingen van Google en die van het krant. Als de krant de informatie rechtmatig openbaar maakt, hoeft de krant niet opeens zijn (online) archieven te gaan opschonen. Maar Google en andere online diensten maken deze (archief)informatie verder openbaar strikt dan nodig en daar zit hem de kneep. Veel mensen die informatie zoeken over de Spaanse klager zouden volgens het Hof die oude zaak helemaal nooit hebben gevonden als Google er geen link naar had gemaakt. Het Hof zegt dus eigenlijk: “Als je als online dienst informatie verspreidt, dan heb je ook een verplichting om die verspreiding te beperken als dat nodig is in het (privacy)belang van een persoon wiens informatie via jouw dienst wordt verspreid. En dus moet óók de online dienst een afweging maken tussen het privacybelang van de betrokkene en de vrijheid van meningsuiting.”

Die stelling heeft niet alleen grote gevolgen voor Google, maar voor allerlei online platforms zoals online fora en social media. Als informatie via jouw dienst wordt verspreid, mag iemand dus bij jou aankloppen om die informatie uit jouw dienst te laten verwijderen. En dus bestaat kennelijk inderdaad zoiets als een recht om vergeten te worden. Zonder twijfel gaat deze uitspraak grote impact hebben op de redactie van artikel 17 van de concept-Europese Privacy Verordening, waarin het recht om vergeten te worden zal worden neergelegd.

2. Het promoten van een dienst is een aanknopingspunt voor de toepasselijkheid van het Europese privacyrecht

Het is al jaren een punt van discussie tussen privacyjuristen: welk privacyrecht is eigenlijk van toepassing op internet? De Amerikanen houden het simpel: “Verwerk je als bedrijf gegevens van Amerikaanse inwoners, dan is Amerikaans privacyrecht van toepassing, dus ongeacht waar jij in de wereld bent gevestigd”. De Europese benadering staat daar haaks op: “Als je als bedrijf in Europa bent gevestigd, moet je je aan Europees privacyrecht houden, ongeacht waar de personen wonen over wie jij persoonsgegevens verwerkt”. En dus heeft een Amerikaan, raar maar waar, in Europa wél privacyrechten, maar heeft een European In Amerika géén privacyrechten. Europa is bezig op dit punt in de nieuwe Europese Privacy Verordening een omslag te maken á la Amerika: “Doe je zaken met Europeanen, dan is Europees privacyrecht van toepassing. Punt”.

Maar ook binnen Europa was het onduidelijk. Het ‘Europese privacyrecht’ bestaat niet. Er is alleen Nederlands privacyrecht, Spaanse privacyrecht, Frans privacyrecht, etc. Tot de uitspraak van het Hof deze week gingen de meeste privacyjuristen er van uit dat de diensten van Google en Facebook onder Iers privacyrecht vielen, omdat daar hun Europese hoofdkantoren staan die door de Amerikaanse hoofdkantoren als verantwoordelijke waren aangewezen. Daarmee stonden de andere landen buitenspel. En dat stond velen niet aan: onlangs bepaalde een Duitse rechter nog dat Facebook Ierland irrelevant was en dat dus Facebook Inc. in Amerika zich voor wat betreft de verwerking van de persoonsgegevens van Duitsers aan de Duitse wet moest houden in plaats van aan de Ierse wet.

Het Hof zet in de genoemde Spaanse zaak een streep door zowel de uitspraak van de Duitse rechter als door de opvattingen van het gros van de privacyjuristen. Het Hof stelt dat Google Spanje (mede)verantwoordelijke is voor de verwerking van de persoonsgegevens omdat Google Spanje via de verkoop van advertenties in Spanje de diensten van Google Inc. (de Amerikaanse moeder) promoot. Met andere woorden, de persoonsgegevens worden volgens het Hof door Google Inc. mede verwerkt “in het kader van de activiteiten van Google Spanje (art. 4 Richtlijn 95/46/EG)”. Dit heeft verstrekkende gevolgen voor de toepasselijkheid van nationale privacywetten en de bevoegdheden van Europese privacytoezichthouders. Waar men vroeger zou hebben gezegd: “Google Ierland is de verantwoordelijke en dus is Iers recht van toepassing en niet Spaans of Nederlands recht”, kan nu worden gezegd dat Spaans of Nederlands recht wel van toepassing is.

Niet alleen heeft deze uitspraak gevolgen voor allerlei online diensten, de redenering van het Hof kan denk ik ook worden toegepast op de global websites van andere bedrijven. Heb je als Nederlandse multinational een verkoopkantoor in Italië en laat je je Italiaanse klanten zich via je global website (.com) registeren, dan kan het zomaar zijn dat Italiaans recht van toepassing op die global website. En dus moet je je behalve aan de Nederlandse WBP ook aan het Italiaanse privacyrecht houden. Dat is buitengewoon problematisch. Immers alle – van elkaar verschillende – rechten en verplichtingen uit Europa zijn dan tegelijk van toepassing op je website. En dat is lastig zakendoen, tenzij je steeds kiest voor de strengste norm. En ook dat kan het zakendoen belemmeren.

Ook dit punt gaat waarschijnlijk grote gevolgen hebben voor de nieuwe Europese Privacy Verordening. Momenteel zit de politieke discussie tussen de Lidstaten over de zogeheten ‘One-stop-shop’ (de toezichthouder van één land gaat over de verwerking van gegevens in heel Europa) muurvast. Het zou zomaar kunnen zijn dat deze uitspraak ban het Hof in deze discussie een doorbraak forceert. Aan de andere kant zou het ook zomaar kunnen zijn dat de discussie nog meer op slot komt te staan dan nu omdat Lidstaten mogelijk de gevolgen van de redenering van het Hof niet aanvaardbaar achten: er moet één Verordening komen en dus één norm. Immers, als ieder land bevoegd is om zich tegen een Europa-brede dienst aan te bemoeien, kunnen er verschillen ontstaan in de toepassing van die norm, waardoor het karakter van de Verordening verloren gaat.

Pyrrusoverwinning

De ironie wil dat de bewuste Spaanse klager (laten we zijn naam even in het midden laten) uiteindelijk een pyrrusoverwinning heeft gehaald: Google moet dan wel de link naar de betreffende website van de krant verwijderen, maar de uitspraak van het Hof met daarin met naam en toenaam alle details van de zaak is zo’n groot nieuws dat nu de hele wereld weet dat in 1998 gedwongen zijn huis werd verkocht. En Google hoeft waarschijnlijk, zelfs na deze uitspraak, noch de links naar deze uitspraak noch naar de nieuwsberichten er over te verwijderen. Tja, online privacy blijft een lastig punt.