I måndags föll en dom i Stockholms Förvaltningsrätt rörande Googles överklagande av en sanktionsavgift från Datainspektionen.
Det var i mars i år som Datainspektionen utfärdade en för Sverige rekordhög sanktionsavgift mot Google på grund av brister i Googles hantering av rätten att bli bortglömd. I de fall tillsynen handlade om fokuserade Datainspektionen på Googles hantering av rättigheten i förhållande till radering av sökresultat, s.k. de-listing.
Förvaltningsrätten går på Datainspektionens linje
Förvaltningsrätten dömer enligt Datainspektionens linje men sänker sanktionsavgiften till 52 miljoner kronor, vilket fortfarande med stor marginal är den högsta sanktionsavgift som Sverige sett sedan GDPR trädde i kraft den 25 maj 2018.
Googles agerande riskerade att urholka rätten att bli bortglömd
Kärnan av Datainspektionens kritik, som Förvaltningsrätten nu instämmer i, är att Google när de raderar sökresultat också informerar ägare av hemsidor som sökresultaten pekat på.
Informationen från Google var så specifik att den också beskrev vilka resultat som tagits bort, något som Förvaltningsrätten menar är en användning av personuppgifter som Google saknat laglig grund för.
Förvaltningsrätten påpekar att det också riskerar att urholka rätten att bli bortglömd, om innehavare av hemsidor väljer att publicera informationen som sökresultaten pekat på under nya adresser (s.k. URL:er).
Bristande information till registrerade
Datainspektionen upprepar också den kritik som Google fick av den franska tillsynsmyndigheten i början av 2019 – då i förening med en sanktionsavgift på 50 miljoner euro - att Googles information om hur personuppgifter behandlas är otydlig och vilseledande.
Google har bland annat invänt att registrerade som begärt att få sökresultat raderade i samband med detta fått godkänna att "Om webbadresser tas bort från våra sökresultat till följd av din begäran kan vi ge information till de webbansvariga för de borttagna webbadresserna."
Förvaltningsrätten menar att informationen är otydlig och att den ger det felaktiga intrycket av att Google var skyldigt att lämna ut informationen till webbansvariga, vilket i sig utgör ett brott mot GDPR.