Google v. CNIL

Cap & Corp Forum

เมื่อวันอังคารที่ 24 กันยายน 2562 ที่ผ่านมา ศาลยุติธรรมแห่งสหภาพยุโรปได้วินิจฉัยปัญหาข้อกฎหมายเบื้องต้นในคดีพิพาทระหว่าง Google และ Commission nationale de l’informatique et des libertés (“CNIL”) หรือคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลของประเทศฝรั่งเศสในประเด็นเกี่ยวเนื่องกับการบังคับใช้ GDPR ซึ่งเป็นกฎหมายคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรป และถือเป็นคดีสำคัญคดีหนึ่งที่กำหนดกรอบนโยบายกฎหมายเกี่ยวกับ “Right to be Forgotten” หรือการขอให้ถูกลืมซึ่งเป็นสิทธิของเจ้าของข้อมูลส่วนบุคคลที่จะขอให้ผู้ควบคุมหรือครอบครองข้อมูลส่วนบุคคล ลบหรือทำลายข้อมูลส่วนบุคคลนั้นได้ แม้ว่าข้อมูลส่วนบุคคลนั้นจะถูกต้องและชอบด้วยกฎหมายก็ตาม

ก่อนที่จะมาพิจารณาข้อเท็จจริงในคดีนี้ ผู้เขียนขอย้อนไปในคดี Google Spain (Case C-131/12) ซึ่งตัดสินเมื่อวันที่ 13 พฤษภาคม 2557 เสียก่อน โดยศาลยุติธรรมแห่งสหภาพยุโรปได้เคยตีความ Data Protection Directive 1995 ซึ่งเป็นกฎหมายคุ้มครองข้อมูลส่วนบุคคลฉบับเก่าของสหภาพยุโรปว่ารองรับ “สิทธิในการขอให้ถูกลืม” และปรากฏว่าในช่วงเริ่มต้นของการได้สิทธิดังกล่าวโดยผลของคำพิพากษา พลเมืองชาวยุโรปได้เรียกร้องไปยัง Google ผ่านเว็บไซต์ Google EU Privacy Removal เพื่อให้ถอดข้อมูลส่วนบุคคลจากการการค้นเจอโดย Google (delisted) มากขึ้น ๆ เป็นลำดับ แต่ทั้งนี้ Google ได้นำผลลัพธ์บางรายการของคำค้นหาที่มีชื่อบุคคลดังกล่าวออกเท่านั้น  ที่สำคัญคือ Google เพียงแต่นำ URL ออกจากโดเมน Google Search ในยุโรปทั้งหมด อาทิ google.fr, google.de, google.es เป็นต้น แต่ยังอาจค้นเจอผ่าน google.co.th หรือ Domain อื่น ๆ ที่อยู่นอกสหภาพยุโรป และ Google ยังใช้ข้อมูลที่บ่งบอกตำแหน่งทางภูมิศาสตร์เพื่อจำกัดการเข้าถึง URL ดังกล่าวจากประเทศของผู้ที่ขอให้นำเนื้อหาออกจากโดเมนทั้งหมดอีกด้วย

ต่อมาในคดี Google v. CNIL (Case C-507/17) ซึ่งถือได้ว่าเป็นภาคต่อของคดี Google Spain ก็ว่าได้ เพียงแต่คดีนี้เกิดขึ้นในประเทศฝรั่งเศส โดย CNIL ได้มีคำสั่งปรับ Google เป็นเงินจำนวน 100,000 ยูโร เนื่องจาก Google ไม่ปฏิบัติตามคำสั่งของ CNIL ที่กำหนดให้บริษัทปฏิบัติตามคำขอยกเลิกการอ้างอิง (de-referencing request) หรือลบข้อมูลส่วนบุคคลของผู้ร้องจากการค้นหาผ่านเว็บไซต์ของ Google ทั้งหมดทั้งที่มีและไม่มีโดเมนในสหภาพยุโรป (global de-referencing)

ตาม GDPR สิทธิในการขอให้ลบข้อมูลส่วนบุคคลกำหนดไว้ในมาตรา 17 โดยวรรคแรกเป็นเรื่อง “สิทธิในการขอให้ลบ” (Right to erasure) และมาตรา 17 วรรคสอง เรื่อง “สิทธิในการขอให้ถูกลืม” (Right to be forgotten) โดยกฎหมายกำหนดว่าเจ้าของข้อมูลส่วนบุคคลมีสิทธิขอให้ผู้ควบคุมข้อมูลส่วนบุคคลลบข้อมูลส่วนบุคคลโดยทันทีและผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ที่จะต้องลบตามที่ได้รับการร้องขอโดยไม่ชักช้า หากปรากฏข้อเท็จจริงตามที่กฎหมายกำหนด

Google ไม่เห็นด้วยกับคำสั่งปรับของ CNIL จึงนำคดีไปฟ้องต่อศาลปกครองของฝรั่งเศสเพื่อขอให้ศาลเพิกถอนคำสั่งกำหนดค่าปรับทางปกครอง ต่อมา Conseil d’État (Council of State) หรือสภาแห่งรัฐของประเทศฝรั่งเศสซึ่งทำหน้าที่เป็นศาลปกครองสูงสุดของฝรั่งเศสด้วยได้หยุดการพิจารณาไว้ชั่วคราวและส่งคำร้องไปให้ศาลยุติธรรมแห่งสภาพยุโรปเพื่อวินิจฉัยปัญหาข้อกฎหมายเบื้องต้นว่าตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรปนั้น Google  มีหน้าที่ต้องปฏิบัติตามคำขอยกเลิกการอ้างอิงจากการค้นหาของ Google ในทุก ๆ โดเมนหรือไม่ หรือมีหน้าที่เพียงดำเนินการภายใต้โดเมนที่จดทะเบียนและเข้าถึงในสหภาพยุโรปเท่านั้น ซึ่งในส่วนนี้ คดี Google Spain ยังไม่ได้วินิจฉัยไว้และ Data Protection Directive 1995 กับ GDPR ก็มิได้กำหนดไว้ชัดเจนเช่นกัน

ศาลยุติธรรมแห่งสหภาพยุโรปวินิจฉัยปัญหาข้อกฎหมายดังกล่าวและมีความเห็นที่น่าสนใจ ดังนี้

1) แม้ว่าสิทธิในการได้รับความคุ้มครองข้อมูลส่วนบุคคลจะเป็นสิทธิมนุษยชนหรือสิทธิขั้นพื้นฐานประการหนึ่งของพลเมืองสหภาพยุโรปก็ตาม แต่สิทธิในการได้รับความคุ้มครองข้อมูลส่วนบุคคลดังกล่าวมิใช่สิทธิเด็ดขาด (absolute right) การบังคับใช้สิทธิจึงต้องคำนึงถึงหน้าที่ของสิทธิดังกล่าวในสังคมด้วย และต้องให้ได้สมดุลกับการรักษาสิทธิอื่น ๆ ตามกฎหมายบนพื้นฐานของหลักความได้สัดส่วน (principle of proporationality) นอกจากนี้ สิทธิในการได้รับความคุ้มครองข้อมูลส่วนบุคคลและสิทธิในการเข้าถึงข้อมูลของผู้ใช้งานอินเทอร์เน็ต (freedom of information) ยังมีความแตกต่างกันอย่างมากในประเทศต่าง ๆ ดังนั้น การรักษาสมดุลแห่งสิทธิจึงเป็นเรื่องที่ต้องพิจารณาอย่างเหมาะสม

2) เมื่อศาลได้พิจารณาขอบเขตแห่งการบังคับใช้กฎหมายคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรปแล้ว ไม่ปรากฏว่ากฎหมายได้กำหนดเขตแดนแห่งการขอบังคับใช้สิทธิในส่วนการขอยกเลิกการอ้างอิงหรือการขอให้ลบไว้กว้างขวางเพียงใดและจะให้รวมไปถึงนอกเขตแดนแห่งสหภาพยุโรปหรือไม่ ดังนั้น จึงต้องถือว่ากฎหมายใช้บังคับได้เฉพาะเพียงเขตแดนแห่งรัฐสมาชิกของสภาพยุโรปเท่านั้น

ดังนั้น จากคำวินิจฉัยของศาลยุติธรรมแห่งสหภาพยุโรปดังกล่าวหมายความว่า Google ไม่มีหน้าที่ในการลบ หรือ de-lited หรือ de-reference ข้อมูลส่วนบุคคลสำหรับเว็บไซต์หรือโดเมนที่อยู่นอกสหภาพยุโรป คดีนี้ต้องถือว่าเป็นก้าวเล็ก ๆ แต่สำคัญของ Google ที่ชนะคดีในสหภาพยุโรปและสามารถกำหนดทิศทางการดำเนินธุรกิจของตนเองได้ในระดับหนึ่ง

จากกรณีศึกษาข้างต้น หากคดีดังกล่าวเกิดขึ้นในประเทศไทย พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 33 กำหนดหลักการว่า เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการลบ หรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ ในกรณีดังต่อไปนี้

1. เมื่อข้อมูลส่วนบุคคลหมดความจำเป็นในการเก็บรักษาไว้ตามวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
2. เมื่อเจ้าของข้อมูลส่วนบุคคลถอนความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลและผู้ควบคุมข้อมูลส่วนบุคคลไม่มีอำนาจตามกฎหมายที่จะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้นได้ต่อไป
3. เมื่อเจ้าของข้อมูลส่วนบุคคลคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
4. เมื่อข้อมูลส่วนบุคคลได้ถูกเก็บรวบรวม ใช้ หรือเปิดเผยโดยไม่ชอบด้วยกฎหมายตามที่กำหนด

แต่ความข้างต้นมิให้นำมาใช้บังคับกับการเก็บรักษาไว้เพื่อวัตถุประสงค์ในการใช้เสรีภาพในการแสดงความคิดเห็น และในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลได้ทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่เปิดเผยต่อสาธารณะและผู้ควบคุมข้อมูลส่วนบุคคลถูกขอให้ลบหรือทำลายหรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ และผู้ควบคุมข้อมูลส่วนบุคคลต้องเป็นผู้รับผิดชอบดำเนินการทั้งในทางเทคโนโลยีและค่าใช้จ่ายเพื่อให้เป็นไปตามคำขอนั้น  และในกรณีผู้ควบคุมข้อมูลส่วนบุคคลไม่ดำเนินการ เจ้าของข้อมูลส่วนบุคคลมีสิทธิร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญเพื่อสั่งให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการได้

…

ศุภวัชร์ มาลานนท์

คณะนิติศาสตร์ มหาวิทยาลัยสงขลานครินทร์

Fulbright Hubert H. Humphrey Fellowship

American University Washington College of Law