Wat leert de boete van de GBA aan Google ons over het One Stop Shop-mechanisme?

29/07/2020 - Een week nadat de Autoriteit Persoonsgegevens aan het BKR de hoogste Nederlandse boete tot nu oplegde was het ook in België raak: een boete van 600.000 euro van de Belgische Gegevensbeschermingsautoriteit (GBA) voor Google België. Google België kreeg de boete omdat de zoekmachine onterecht geen gehoor had gegeven aan een verwijderingsverzoek van zoekresultaten. In dit blog zoom ik in op de reden van de boete en de bevoegdheid van de GBA om hierover te oordelen. Deze zaak is namelijk relevant voor de bevoegdheid van nationale toezichthouders en hun mogelijkheden om zelfstandig op te treden tegen in hun land gevestigde internationale (tech)bedrijven.

Aanleiding onderzoek

Aanleiding voor het onderzoek naar Google was een klacht van een Belg die bekendheid geniet door zijn ‘rol in het openbare leven’. De klager verzocht
Google België om verwijdering van alle zoekresultaten die aan zijn naam waren gekoppeld. De zoekresultaten gingen volgens de klager over niet bestaande connecties die hij zou hebben met een politieke partij en over een pesterijklacht tegen hem die zo’n tien jaar geleden ongegrond was verklaard. Google gaf geen gehoor aan het verzoek om verwijdering en verwijderde geen van beide onderdelen uit de zoekresultaten. De bekende Belg klaagde bij de GBA en deze startte vervolgens een onderzoek.
 

Het standpunt van Google

Google voert aan dat zij het volledige verzoek om verwijdering mocht weigeren omdat de informatie bijdraagt aan het recht van het publiek op toegang tot informatie. Google acht de klacht ongegrond en zet daarnaast vraagtekens bij de bevoegdheid van de GBA om over deze klacht te oordelen. Als redenen daarvoor voert Google aan dat:

  1. De Europese hoofdvestiging van Google is gevestigd in Ierland;
  2. Google Ierland verwerkingsverantwoordelijke in de zin van de AVG voor het verwerken van gebruikersgegevens om zoekresultaten aan te passen; 
  3. Als gevolg van het One Stop Shop-mechanisme, wat inhoudt dat de toezichthoudende autoriteit in het land van de hoofdvestiging leidend is, de Ierse toezichthouder bevoegd is.

Waar het gaat om de verwerkingsactiviteiten die verband houden met indexering van zoekmachines is Google overigens van mening dat niet Google Ierland, maar Google LCC, in de Verenigde Staten, verwerkingsverantwoordelijke is.

Bevoegdheid van de GBA 

De GBA is het niet eens met dit standpunt van Google. De verwerkingsactiviteiten die in het onderhavige geval werden onderzocht, indexering van de zoekmachine, vallen onder de verantwoordelijkheid van de Amerikaanse tak van Google en houden geen verband met de verwerkingsactiviteiten van Google Ierland. Hierdoor is het One Stop Shop-mechanisme niet van toepassing.

De verwerkingsactiviteiten van Google LCC en Google België zijn daarentegen onlosmakelijk met elkaar verbonden. Bovendien is op basis van de AVG de nationale toezichthouder altijd bevoegd om te oordelen over de handhaving van de AVG op haar grondgebied. Het behandelen van door een betrokkene ingediende klachten valt hier ook onder. Omdat de verwerking hierdoor zijn effect heeft in België meent de GBA - in overeenstemming met het Google Spain arrest - dat zij bevoegd is om de boete op te leggen aan Google.

Het verwijderingsverzoek voor het gedeelte van de zoekresultaten met betrekking tot de politieke connecties heeft Google volgens de GBA terecht afgewezen. De vindbaarheid hiervan is volgens de GBA in het algemeen belang. Over de zoekresultaten die betrekking hebben op de pesterijen oordeelt de GBA dat Google deze wel had moeten verwijderen aangezien deze informatie onbewezen is, dateert van lang geleden en de betrokkene reputatieschade oplevert. Google is volgens de GBA nalatig geweest door deze zoekresultaten niet te verwijderen.

Gevolgen voor de praktijk

Deze uitspraak bevestigt dat niet alleen de leidende toezichthouder, op basis van het One Stop Shop-mechanisme, een stem heeft in hoe met een verwijderingsverzoek wordt omgegaan. De basisregel is dat wanneer sprake is van een grensoverschrijdende verwerking, in beginsel het One Stop Shop-mechanisme geldt. In deze uitspraak werd dit mechanisme aan de kant geschoven omdat de verwerkingsactiviteiten van de Europese hoofdvestiging van Google, Google Ierland en Google LCC niet onlosmakelijk met elkaar verbonden zijn. Dit gold wel voor het Belgische filiaal van Google, waardoor de GBA als bevoegde toezichthouder kon worden aangemerkt.

Evelijn van Wanroij Legal Consultant

Kunnen wij u helpen?

Om niet voor verrassingen te komen staan is daarom het voor internationale organisaties van belang om in kaart te brengen welke entiteit voor welke verwerkingen verwerkingsverantwoordelijke is. Dit maakt duidelijk welke toezichthoudende autoriteit leidend is in het geval van een geschil. Wij helpen u hier graag bij!

Meer info