สิทธิที่จะถูกลืมจากโลกดิจิทัล (1)

Source - ไทยโพสต์ (Th)

Tuesday, June 05, 2018 03:30

16280 XTHAI XOTHER XCLUSIVE XGEN DAS V%PAPERL P%TPD

นายอรรถกร สุขปุณพันธ์

http://lawdrafter.blogspot.com/2018/05/blog-post_22.html

เชื่อว่าท่านผู้อ่านบทความนี้อาจจะเคยมีความจำเป็นหรือเพียงแต่นึกสนุก สืบค้นหาชื่อและนามสกุลของบุคคลที่ท่านสนใจใน website ของผู้ให้บริการ search engine เพื่อตรวจสอบดูประวัติอันเป็นข้อมูลส่วนบุคคล (personal data) ของบุคคลเหล่านั้นไม่มากก็น้อย

แต่หากคำนึงย้อนไปว่าในขณะที่เรากำลังสืบค้นประวัติของผู้อื่นอยู่นั้น เราเองอาจเคยเป็น "ผู้ถูกสืบค้น" เสียเองก็ได้ ความน่ากังวลก็จะบังเกิดขึ้นโดยทันที เพราะผลการสืบค้นที่ปรากฏในโลกออนไลน์อาจจะเคยมีประวัติส่วนตัวที่เกี่ยวข้องกับเจ้าของข้อมูลส่วนบุคคล (data subject) ทั้งที่จริงและเท็จ และเจ้าของข้อมูลส่วนบุคคลเองต้องประสบกับความทุกข์ เพราะไม่ประสงค์ที่จะให้มีการเผยแพร่อยู่เช่นนั้น เนื่องจากอาจเป็นผลเสียต่อชีวิตที่ต้องดำเนินต่อไปทั้งความน่าเชื่อถือในชีวิตการทำงาน การประกอบธุรกิจ หรือกระทั่งความสงบสุขในการใช้ชีวิตส่วนตัว เช่น ผลการศึกษาในอดีตที่ประกาศบน website ของมหาวิทยาลัยที่ระบุชื่อของตนกำกับอยู่ ประวัติการเป็นผู้ต้องหาในคดีซึ่งเป็นข่าวครึกโครมทั้งที่อาจต่อสู้คดีในชั้นศาลจนพิสูจน์ได้ว่าไม่ได้เป็นผู้กระทำความผิดในชั้นที่สุด หรือแม้ต้องโทษแต่ก็พ้นจากโทษไปแล้วเป็นเวลายาวนาน ประวัติการหย่าร้าง คำสั่งศาลให้เป็นบุคคลล้มละลายหรือประกาศขายทอดตลาดทรัพย์สิน ฯลฯ

ปัญหามีอยู่ว่าตัวเจ้าของข้อมูลส่วนบุคคลเหล่านั้นจะทำอย่างไรได้บ้างเพื่อให้เกิดกระบวนการที่ประวัติต่างๆ ของตนนั้นถูกลบเลือนหรือลืมไปเสียจากโลกดิจิทัล (digital obviation) เนื่องจากหากปรับใช้แต่เพียงกฎหมายว่าด้วยละเมิดหรือหมิ่นประมาทเพื่อบังคับให้ลบข้อมูลประวัติต่างๆ ดังกล่าวออกไปแล้วนั้น ก็สู้จะไม่เพียงพอต่อการเยียวยาในยุคดิจิทัล เนื่องจากอาจจะต้องดำเนินการฟ้องร้องดำเนินคดีกับเจ้าของ webpage ต่างๆ ในศาลเป็นจำนวนมากมายทั้งในประเทศและต่างประเทศที่ดำเนินการประมวลผลข้อมูลส่วนบุคคล (data processing) โดยการเผยแพร่ข้อมูลนั้นบน webpage ต่างๆ นับไม่ถ้วน

เรียกได้ว่าคงจะสิ้นเปลืองทรัพยากร เงินทอง แรงกาย แรงใจ และเวลาไปอย่างมหาศาล แตกต่างจากในอดีตที่ข้อมูลส่วนบุคคลจะถูกเผยแพร่โดยสื่อกระแสหลัก เช่น หนังสือพิมพ์ของสำนักพิมพ์เพียงไม่กี่แห่งเท่านั้น

สำหรับประเทศสมาชิกสหภาพยุโรปนั้น แม้ว่าพัฒนาการในการคุ้มครองข้อมูลส่วนบุคคลถือว่าก้าวหน้าเป็นอย่างมาก โดยจะสังเกตได้จากการที่กฎบัตรสิทธิขั้นพื้นฐานของสหภาพยุโรป (Charter of Fundamental Rights of the European Union : CFR) ถึงกับบัญญัติรับรองสิทธิที่จะได้รับการคุ้มครองข้อมูลส่วนบุคคล (right to protection of personal data) แยกต่างหากเป็นการเฉพาะ (lex specialist) จากสิทธิในชีวิตส่วนตัวและครอบครัว (right to respect for private and family life) และยังมี Directive 95/46/EC ที่กำหนดแนวทางให้มีและใช้บังคับกฎหมายภายในว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลของประเทศสมาชิกเป็นการทั่วไป

อย่างไรก็ตาม ไม่มีบัญญัติในส่วนใดใน Directive 95/46/EC ที่กล่าวถึง "สิทธิที่จะถูกลืม" (right to be forgotten) เพื่อให้ข้อมูลส่วนบุคคลของเจ้าของข้อมูลถูกลบเลือนหรือลืมไปเสียจากโลกออนไลน์เป็นลายลักษณ์อักษรแต่อย่างใด ซึ่งก็เป็นการสอดคล้องกับข้อเท็จจริงของพัฒนาการทางเทคโนโลยีภายในสหภาพยุโรปเอง โดยในปี ค.ศ.1998 อันเป็นปีที่ Directive ฉบับดังกล่าวมีผลใช้บังคับนั้น จากสถิติพบว่าประชาชนชาวยุโรปน้อยกว่าร้อยละ 10 เท่านั้นที่ใช้บริการอินเทอร์เน็ตในชีวิตประจำวัน และ Google Inc. เพิ่งก่อตั้งบริษัทเพื่อประกอบธุรกิจเป็นผู้ให้บริการ search engine ได้เพียงหนึ่งปี

right to be forgotten จึงเป็นเพียงข้อกังวลที่ได้รับการกล่าวถึงและพัฒนาในวงวิชาการ จนเมื่อปรากฏการณ์ทางสังคมที่เปลี่ยนแปลงไปสู่ยุคสังคมข้อมูลข่าวสาร (information society) ซึ่งข้อมูลจำนวนมหาศาลในโลกออนไลน์ (big data) มีแนวโน้มที่จะถูกรวบรวม (collected) จัดเก็บ (stored) และประมวลผล (processed) อย่างต่อเนื่องและอัตโนมัติบนเครือข่ายอินเทอร์เน็ตที่สามารถสืบค้นได้ง่าย (searchable) และด้วยเหตุที่ความมีอยู่ของข้อมูลดังกล่าวอาจก่อทั้งผลดีและผลเสียแก่เจ้าของข้อมูล แนวโน้มข้อห่วงกังวลเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลในโลกออนไลน์จึงกลับด้านเป็นว่า "จะทำอย่างไรให้ข้อมูลส่วนบุคคลถูกจดจำในโลกออนไลน์น้อยที่สุดและสิ่งใดบ้างที่ควรถูกลบเลือนไป" (how to remember less and what should be forgotten?)

ท้ายที่สุดในเดือนพฤษภาคม ค.ศ.2014 right to be forgotten จึงได้รับการรับรองและคุ้มครองว่าเป็นส่วนหนึ่งของ right to protection of personal data อย่างเป็นรูปธรรมเป็นครั้งแรกในรูปแบบของการวางหลักเกณฑ์เบื้องต้นจากคำวินิจฉัยของศาล (preliminary ruling) ผ่านการตีความ Directive 95/46/EC ของศาลยุติธรรมสหภาพยุโรป (Court of Justice of the European Union : CJEU) ในคดี Google Spain ซึ่งมีผลผูกพันการใช้การตีความกฎหมายขององค์กรของรัฐในสหภาพยุโรป โดยให้สิทธิเจ้าของข้อมูลส่วนบุคคลที่จะเรียกร้องให้ผู้ให้บริการ search engine ลบ link เชื่อมต่อที่แสดงผลการค้นหาชื่อและนามสกุลของตนไปยัง webpage ต่างๆ ออกจากเครือข่ายอินเทอร์เน็ต (delist) ทั้งนี้ แม้ว่าผลคำวินิจฉัยดังกล่าวได้รับการวิพากษ์วิจารณ์ในแวดวงวิชาการเกี่ยวกับประสิทธิภาพในทางปฏิบัติที่จะให้ความคุ้มครองสิทธิของเจ้าของข้อมูลส่วนบุคคลในโลกดิจิทัล ในท้ายที่สุด right to be forgotten ก็ได้ถูกรับรองโดยการบัญญัติขึ้นอย่างชัดแจ้งในกฎระเบียบว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลแห่งสภาพยุโรป (General Data Protection Regulation : GDPR) ที่จะมีผลใช้บังคับแทน Directive 95/46/EC ในวันที่ 25 พฤษภาคม ค.ศ.2018 โดยได้มีการปรับปรุงและพัฒนาทั้งในด้านเนื้อหาแห่งสิทธิ ผู้มีหน้าที่ และข้อยกเว้นแห่งสิทธิที่ชัดเจนและกว้างขวางมากยิ่งขึ้น

บทความฉบับนี้จะได้นำเสนอสภาพปัญหาของการพยายามปรับใช้กฎหมายของสหภาพยุโรปเท่าที่มีอยู่กับโลกดิจิทัล ผ่านการตีความของ CJEU ในคดี Google Spain และพัฒนาการในกฎหมายฉบับใหม่ของสหภาพยุโรปที่กำลังจะมาถึง อันอาจยังประโยชน์ในการพิจารณาร่างกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลของประเทศไทยที่อาจมีประเด็นต้องพิจารณาระดับการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอต่อ GDPR เพื่อประโยชน์ในการรับโอนข้อมูลส่วนบุคคลจากสหภาพยุโรปต่อไปในอนาคต

1.Right to be forgotten จากแนวทางการตีความของ CJEU ในคดี Google Spain

1.1 มูลเหตุอันเป็นที่มาแห่งคดีโดยสังเขป

นาย Mario Costeja Gonz แlez นักธุรกิจและทนายความที่มีชื่อเสียงชาวสเปน ได้ยื่นข้อร้องเรียนสำนักพิมพ์ La Vanguardia Ediciones SL บริษัท Google Spain และบริษัท Google Inc. ต่อองค์กรคุ้มครองข้อมูลส่วนบุคคลของประเทศสเปน (Agencia Espa ๑ola de Protecci ๓n de Datos : AEPD) ว่าได้กระทำการละเมิดสิทธิในข้อมูลส่วนบุคคลของตน โดยพบว่าเมื่อผู้ใช้บริการอินเทอร์เน็ตได้สืบค้นชื่อและนามสกุลของนาย Gonz แlez ใน website ของ Google แล้วจะพบ link ที่นำไปสู่ webpage ต่างๆ ที่ปรากฏข้อมูลส่วนบุคคลของตน โดยเฉพาะอย่างยิ่ง ข้อมูลเกี่ยวกับการขายทอดตลาดทรัพย์เพื่อนำมาชำระหนี้ที่นาย Gonz แlez เคยตกเป็นผู้ล้มละลายในอดีต โดยมีข้อเรียกร้องให้สำนักพิมพ์ดังกล่าวและ Google ลบ webpage และ link ที่เชื่อมผลการค้นหาจากชื่อของตนไปยัง webpage ตามลำดับ

AEPD ได้มีคำสั่งปฏิเสธข้อร้องเรียนในส่วนของสำนักพิมพ์ La Vanguardia Ediciones SL โดยยืนยันว่าการเผยแพร่ข้อมูลดังกล่าวบน website ของสำนักพิมพ์นั้นชอบด้วยกฎหมายเนื่องจากเป็นข้อมูลที่เผยแพร่อย่างเป็นทางการจากหน่วยงานของรัฐ แต่ AEPD ก็เห็นพ้องด้วยกับข้อร้องเรียนต่อ Google เมื่อพิจารณาแล้วเห็นว่าผู้ให้บริการ search engine มีหน้าที่ตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลที่จะต้องดำเนินการตามคำร้องเรียนของผู้ร้อง

อย่างไรก็ตาม Google ได้โต้แย้งคำสั่งทางปกครองไปยังศาลของประเทศสเปนว่าลักษณะการให้บริการสืบค้นข้อมูลทางอินเทอร์เน็ตของตนนั้นมิได้ตกอยู่ภายใต้นิยามคำว่าผู้ประมวลผลข้อมูล (data processer) และข้อพิพาทได้ถูกนำเสนอขึ้นสู่การพิจารณาของ CJEU โดยคำร้องขอของศาลประเทศสเปนให้ตีความบทบัญญัติของ Directive 95/46/EC ในเบื้องต้นก่อนว่ามีผลบังคับใช้ต่อผู้คัดค้าน คือ Google ในคดีนี้หรือไม่ ตามลำดับ

1.2 ประเด็นในส่วนเนื้อหาแห่งสิทธิ

CJEU วินิจฉัยวางแนวทางการคุ้มครอง right to be forgotten อย่างแคบ โดยจำกัดขอบเขตแต่เพียงสิทธิในการเรียกร้องให้ผู้ให้บริการ search engine (Google สำหรับคดีนี้) ลบ link ที่เกี่ยวข้องกับข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลอันเป็นผลมาจากการสืบค้นผ่านชื่อและนามสกุลของเจ้าของข้อมูลส่วนบุคคล โดยไม่มีการวินิจฉัยวางหลักให้สิทธิในการเรียกร้องให้เจ้าของ webpage ซึ่งเป็นผู้ประมวลผลข้อมูลส่วนบุคคลในชั้นต้นเนื่องจากเป็นผู้เผยแพร่ข้อมูลบน webpage ของตนอันก่อให้เกิด link เชื่อมโยงมายังผลการค้นหาของ Google นั้นต้องดำเนินการลบข้อมูลส่วนบุคคลดังกล่าวแต่อย่างใด

ผลโดยนัยของคำวินิจฉัยฉบับนี้จึงเป็นการจำกัดขอบเขตของ right to be forgotten ภายใต้ Directive 95/46/EC เพียง "สิทธิที่จะลบ link แสดงผลการสืบค้นทางอินเทอร์เน็ต (right to de-listing)" แทนที่จะเป็น "สิทธิที่จะถูกลืมจากโลกดิจิทัล (right to digital oblivion)" อย่างแท้จริง

หลักการดังกล่าวนี้ได้ถูกยืนยันจากเอกสารกำหนดแนวทางทางดำเนินการตามคำพิพากษาโดยคณะทำงานตาม Article 29 แห่ง Directive (Article 29 of the Data Protection Working Party : AWP29) ซึ่งเป็นองค์กรที่ปรึกษาและกำกับดูแลความสอดคล้องในการบังคับใช้ Directive แก่องค์กรคุ้มครองข้อมูลส่วนบุคคลของทุกประเทศสมาชิก ว่าการบังคับข้อเรียกร้องของเจ้าของข้อมูลส่วนบุคคลตามสิทธิที่ได้รับการรับรองตามคำวินิจฉัยในคดี Google Spain นั้น ไม่รวมถึง การลบข้อมูลส่วนบุคคลออกจาก webpage ต้นฉบับที่ปรากฏข้อมูลส่วนบุคคลนั้นๆ ในการนี้ webpage ต้นฉบับดังกล่าวจะยังสามารถเข้าถึงได้ผ่านการสืบค้นโดยใช้ถ้อยคำอื่นที่ไม่ใช่ชื่อและชื่อสกุลของเจ้าของข้อมูลส่วนบุคคล หรือโดยการเข้าถึงโดยตรงผ่าน URL

กรณีจึงเห็นได้ว่าผลของคำวินิจฉัยลดทอนประสิทธิภาพในการคุ้มครองสิทธิของเจ้าของข้อมูลส่วนบุคคลที่ประสงค์จะให้มีการลบเลือนความเสียหายจากความมีอยู่ของข้อมูลส่วนบุคคลดังกล่าวออกจากโลกออนไลน์อย่างถาวร เพราะแม้ว่าในทางปฏิบัติแล้วการลบ link แสดงผลการค้นหาออกก็ยังผลให้เป็นเรื่องยากที่ผู้ใช้อินเทอร์เน็ตจะสามารถสืบค้นเพื่อเข้าถึงข้อมูลส่วนบุคคลดังกล่าวใน webpage ต้นฉบับ แต่หากผู้ใช้ดังกล่าวได้เคยสืบค้นและบันทึก URL ของ webpage ดังกล่าวเอาไว้ก่อนแล้ว หรือเจ้าของ webpage ต้นฉบับดำเนินการจัดพิมพ์เผยแพร่หน้า webpage เดิมซ้ำใน URL ใหม่อยู่เรื่อยๆ ประวัติส่วนตัวอันเป็นความเสียหายของเจ้าของข้อมูลส่วนบุคคลจะไม่สามารถลบเลือนได้ตลอดไป

ภายใต้หลักการที่จำกัดอยู่ที่ right to de-listing นี้ CJEU กลับวางหลักเกณฑ์ที่ค่อนข้างกว้างขวางเพื่อเอื้อให้เจ้าของข้อมูลส่วนบุคคลสามารถใช้สิทธิในการลบ link แสดงผลการสืบค้นได้ง่ายขึ้น โดยได้วางหลักเกณฑ์กว้างๆ เกี่ยวกับลักษณะของข้อมูลส่วนบุคคลที่จะสามารถใช้สิทธิลบ link แสดงผลการสืบค้นได้นั้น เพียงแต่ "ไม่มีความสำคัญจำเป็น ไม่มีความเกี่ยวข้อง ไม่เกี่ยวข้องอีกต่อไป หรือเพียงแต่ไม่เป็นที่ปรารถนา" สำหรับเจ้าของข้อมูลส่วนบุคคล ก็เป็นการเพียงพอ อีกทั้งเจ้าของข้อมูลส่วนบุคคลไม่มีภาระการพิสูจน์ในความเสียหาย และในการลบ link แสดงผลการสืบค้นนั้นไม่จำกัดอยู่แต่เพียงกรณีที่ webpage ต้นฉบับนั้นแสดงข้อมูลไม่ถูกต้อง ไม่สมบูรณ์ หรือไม่ชอบด้วยกฎหมายเท่านั้น

นัยหนึ่งเท่ากับว่าแม้ข้อมูลดังกล่าวจะถูกต้องสมบูรณ์และชอบด้วยกฎหมายทุกประการ แต่หากเจ้าของข้อมูลส่วนบุคคลนั้นไม่ประสงค์ในความคงอยู่ของข้อมูลในโลกออนไลน์แล้ว ก็สามารถเรียกร้องต่อผู้ให้บริการ search engine ให้ดำเนินการลบผลการค้นหาได้เสมอโดยไม่ต้องนำสืบพิสูจน์ความเสียหาย (ซึ่งในประเด็นนี้จะเห็นได้ว่ามีความแตกต่างจากการใช้สิทธิตามกฎหมายแพ่งลักษณะละเมิดหรือกฎหมายอาญาฐานหมิ่นประมาท) แต่ไม่สามารถขอให้เจ้าของ webpage ต้นฉบับลบข้อมูลดังกล่าวได้ ทั้งนี้ CJEU ได้พยายามปรับใช้ Directive 95/46/EC Article 12 (b) ว่าด้วยสิทธิในการเข้าถึงข้อมูลส่วนบุคคลเกี่ยวกับตน และดำเนินการแก้ไข ลบ หรือป้องกันการเข้าถึง ซึ่งข้อมูลส่วนบุคคลที่ไม่เป็นไปตาม Directive นี้ กับผู้ให้บริการ search engine แม้โดยเนื้อแท้แล้วสิทธิดังกล่าวควรจะใช้ยันกับเจ้าของ webpage ซึ่งเป็นผู้ประมวลผลข้อมูลชั้นต้น และแม้ว่าผลของคำวินิจฉัยค่อนข้างเอื้อประโยชน์ต่อเจ้าของข้อมูลส่วนบุคคลให้สามารถบังคับใช้สิทธิได้ค่อนข้างกว้างขวาง

อย่างไรก็ตาม CJEU มิได้วางแนวทางกำหนดหลักเกณฑ์ในการพิจารณาคำร้องขอให้ลบผลการสืบค้นที่ชัดแจ้งไว้ ดังปรากฏในคำวินิจฉัยฉบับนี้ว่าข้อเท็จจริงเกี่ยวกับระยะเวลาที่เนิ่นนานผ่านไปกว่า 16 ปี ความทุกข์ทรมานใจที่ได้รับจากความคงอยู่ของข้อมูลดังกล่าวในโลกออนไลน์ ตลอดจนข้อเท็จจริงเกี่ยวกับสถานะทางการเงินที่เปลี่ยนไปของนาย Gonz แlez ในปัจจุบันที่ไม่มีปัญหาสภาพคล่องอีกแล้วนั้น ไม่ได้ถูกหยิบยกขึ้นมาเป็นข้อพิจารณาในการอนุญาตให้มีการลบผลการสืบค้นในคดีแต่อย่างใด

โดยผลของคำวินิจฉัยฉบับนี้ก่อให้เกิดมาตรการเยียวยาชั้นต้นอย่างไม่เป็นทางการโดยผู้ให้บริการ search engine ที่ได้รับมอบอำนาจโดยพฤตินัยให้ทำการพิจารณาลักษณะของข้อมูลส่วนบุคคลว่าสามารถดำเนินการลบ link แสดงผลการสืบค้นตามคำร้องขอของเจ้าของข้อมูลส่วนบุคคลได้หรือไม่ เป็นรายกรณี ซึ่งมีดุลพินิจที่ค่อนข้างกว้างขวาง ชั้นต่อมาจึงเป็นขั้นตอนของการยื่นข้อร้องเรียนโต้แย้งดุลพินิจของผู้ให้บริการ search engine ในกรณีที่ตอบปฏิเสธคำร้องขอของเจ้าของข้อมูลส่วนบุคคล ไปยังองค์กรคุ้มครองข้อมูลส่วนบุคคลหรือศาลของแต่ละประเทศเพื่อทบทวนดุลพินิจและบังคับการให้เป็นไปตามสิทธิของเจ้าของข้อมูลส่วนบุคคล ในเบื้องต้นแม้จะดูเหมือนว่าแนวทางที่ CJEU วางไว้จะเป็นการอำนวยความสะดวกและประหยัดค่าใช้จ่ายในการเรียกร้องสิทธิโดยตรงไปยังผู้ให้บริการ search engine แทนที่จะเริ่มต้นกระบวนการไปยังองค์กรคุ้มครองข้อมูลส่วนบุคคลหรือศาล โดยมีหลักฐานสนับสนุนจากผู้ตอบแบบสอบถามชาวสหราชอาณาจักรในปี ค.ศ.2014 ว่า มีเพียงร้อยละ 1 ของผู้ตอบแบบสอบถามเท่านั้นที่มีความรู้เกี่ยวกับองค์กรคุ้มครองข้อมูลส่วนบุคคลของสหราชอาณาจักร (Information Commissioner's Office : ICO) ในขณะที่ Google นั้นเป็นที่รู้จักแพร่หลายและเป็นเจ้าตลาดการให้บริการ search engine ในประเทศสมาชิก EU โดยครองส่วนแบ่งการตลาดกว่าร้อยละ 90

สำหรับ Google นั้น เพื่อปฏิบัติตามคำวินิจฉัยในคดี Google Spain นี้ Google ได้ดำเนินการจัดตั้ง web platform เพื่อรับพิจารณาคำร้องขอจำนวนมากจากผู้ร้องที่อยู่ในสหภาพยุโรปเป็นการเฉพาะ

อย่างไรก็ตาม จากรายงานผลการดำเนินงานเพื่อความโปร่งใสของ Google ข้อมูล ณ เดือนเมษายน ค.ศ.2018 นั้น ชี้ให้เห็นว่า จำนวน URL ที่ Google ใช้ดุลพินิจลบตามคำร้องขอของเจ้าของข้อมูลส่วนบุคคลมีจำนวนน้อยกว่าจำนวน URL ที่ได้รับการปฏิเสธไม่ดำเนินการลบ กล่าวคือ จากจำนวน 665,612 คำร้องขอที่ Google ได้รับคิดเป็นจำนวน 2,470,351 URLs นั้น Google ใช้ดุลพินิจลบ link แสดงผลการค้นหาเพียงร้อยละ 43 ของจำนวน URL ขณะที่ปฏิเสธคำร้องขอถึงร้อยละ 56.2 จากจำนวน URL ทั้งหมด

ดังนั้น จึงอาจสรุปผลในด้านของประสิทธิภาพในการคุ้มครองสิทธิของเจ้าของข้อมูลส่วนบุคคลในภาพรวมได้ว่า ในขณะที่ผู้ร้องส่วนน้อยสามารถเร่งรัดการใช้สิทธิลบผลการสืบค้นประวัติส่วนตัวของตนให้สำเร็จผ่านการร้องขอโดยตรงไปยังผู้ให้บริการ search engine นั้น อีกกว่าครึ่งหนึ่งของผู้ยื่นคำร้อง ที่สุดแล้วจะต้องกลับเข้าสู่การดำเนินการในชั้นองค์กรคุ้มครองข้อมูลส่วนบุคคลหรือศาล จึงนับได้ว่าขั้นตอนการยื่นคำร้องโดยตรงไปยังผู้ให้บริการ search engine อาจเป็นความล่าช้าที่เกิดขึ้นโดยไม่จำเป็น (undue delay) สำหรับผู้ร้องกลุ่มหลัง

1.3 ประเด็นในส่วนของผู้มีหน้าที่

CJEU ปรับใช้ Article 2 (b) ของ Directive 95/46/EC โดยตีความอย่างกว้างให้กิจกรรมการให้บริการของผู้ให้บริการ search engine ต้องด้วยการกระทำของผู้ประมวลผลข้อมูล (data controller) ดังนั้น search engine มีหน้าที่ต้องปฏิบัติตาม Directive ในฐานะดังกล่าว โดย CJEU ได้ให้เหตุผลว่า กิจกรรมของผู้ให้บริการ search engine อันประกอบด้วย การจัดพื้นที่แสดงผล (Locating) การจัดลำดับการแสดงผล (Indexing) และกระทำให้ข้อมูลบนหน้า webpage ต้นฉบับอยู่ในสถานะที่สามารถสืบค้นได้ (making available to a searcher) นั้น ต้องด้วยลักษณะของการประมวลผลข้อมูล แม้ว่าโดยเนื้อแท้แล้วการละเมิดสิทธิของเจ้าของข้อมูลส่วนบุคคลในชั้นต้นนั้นเกิดขึ้นจากการประมวลผลข้อมูลโดยแสดงข้อมูลส่วนบุคคลดังกล่าวบนหน้า webpage ต้นฉบับของบุคคลที่สามก็ตาม

CJEU ได้เน้นย้ำว่ากิจกรรมของผู้ให้บริการ search engine ช่วยให้ผู้ใช้งานอินเทอร์เน็ตสามารถเข้าถึงข้อมูลส่วนบุคคลที่ปรากฏอยู่บน webpage ต้นฉบับได้อย่างง่ายดายขึ้นเพียงแค่ค้นหาโดยใช้ชื่อและนามสกุลของเจ้าของข้อมูลส่วนบุคคล มิเช่นนั้นแล้วย่อมจะเข้าถึงยากลำบากหากจะต้องเข้าถึงผ่าน URL ของ webpage นั้นๆ โดยตรง ดังนั้น การตีความอย่างกว้างดังกล่าวนี้จึงเป็นการดำเนินการเพื่อให้เกิดความมั่นใจซึ่งประสิทธิภาพและความครบถ้วนสมบูรณ์ในมาตรการคุ้มครองสิทธิของเจ้าของข้อมูลส่วนบุคคล มิเช่นนั้นแล้ว มาตรการคุ้มครองสิทธิดังกล่าวย่อมแทบไม่มีความหมาย

อย่างไรก็ตาม ในประเด็นนี้ยังมีข้อควรพิจารณาอยู่เช่นกันว่า ในความเป็นจริงแล้วผู้ให้บริการ search engine ที่กิจกรรมของผู้ให้บริการต้องด้วยลักษณะการกระทำของผู้ประมวลผลข้อมูลตาม Directive นั้นมิใช่มีแต่เพียง Google เท่านั้น แต่รวมถึงผู้ให้บริการรายอื่นๆ เช่น Bing Yahoo หรือ Baidu ด้วย กรณีจึงอาจเกิดปัญหาในทางปฏิบัติขึ้นได้ว่าแม้ในกรณีที่ Google เห็นพ้องด้วยกับคำร้องขอให้ลบ link แสดงผลการสืบค้น แต่หากเจ้าของข้อมูลส่วนบุคคลมิได้ยื่นคำร้องขอไปยังผู้ให้บริการรายอื่นด้วย หรือได้ยื่นคำร้องขอแต่ผู้ให้บริการรายอื่นนั้นใช้ดุลพินิจที่แตกต่างออกไปพร้อมทั้งปฏิเสธคำร้องขอนั้น ผู้ใช้บริการอินเทอร์เน็ตย่อมสามารถสืบค้นประวัติข้อมูลส่วนบุคคลผ่านชื่อและนามสกุลของเจ้าของข้อมูลส่วนบุคคลได้ดุจเดิม เพียงแต่ย้ายการสืบค้นไปดำเนินการกับผู้ให้บริการรายอื่นๆ

คำวินิจฉัยในคดี Google Spain นั้น นอกจากจะมิได้วางหลักเกณฑ์โดยตั้งอยู่บนพื้นฐานของ right to digital oblivion ซึ่งโดยผลลัพธ์จากการลบข้อมูลส่วนบุคคลบน webpage ต้นฉบับย่อมสามารถทำให้ผลการสืบค้นบนทุกผู้ให้บริการ search engine เลือนหายไปโดยอัตโนมัติเมื่อไม่มีข้อมูลต้นฉบับคงเหลือให้ค้นหา กลับกัน คำวินิจฉัยฉบับนี้กลับมิได้มีการวางกลไกใดๆ เพื่อที่จะช่วยให้การบังคับใช้ right to de-listing มีความรวดเร็วและครอบคลุมทุกผู้ให้บริการ search engine ภายใต้การยื่นคำร้องขอเพียงฉบับเดียว ดังนั้น เมื่อสรุปเป็นขั้นตอนในภาพรวมสำหรับการบังคับใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลให้เป็นไปอย่างครบถ้วนแล้ว จะประกอบด้วยการยื่นคำร้องแต่ละคำร้องไปยังผู้ให้บริการ search engine แต่ละรายรอผลการพิจารณาจากแต่ละผู้ให้บริการ ตลอดจนการยื่นข้อร้องเรียนเพื่อทบทวนดุลพินิจของผู้ให้บริการรายที่ปฏิเสธคำร้องขอไปยังองค์กรคุ้มครองข้อมูลส่วนบุคคลหรือศาล ซึ่งจะเห็นได้ว่าขั้นตอนกระบวนการทั้งหมดค่อนข้างซับซ้อนและล่าช้าในทางปฏิบัติ

1.4 ประเด็นในส่วนหลักเกณฑ์เกี่ยวกับข้อยกเว้นการใช้สิทธิ

แม้ว่า right to be forgotten เป็นส่วนหนึ่งของ right to protection of personal data ซึ่งถือเป็นสิทธิขั้นพื้นฐานของประชาชนชาวสหภาพยุโรป แต่สิทธิดังกล่าวมิใช่สิทธิเด็ดขาด หากต้องมีการชั่งน้ำหนักกับสิทธิหรือประโยชน์สาธารณะที่อาจขัดหรือแย้งกันของบุคคลอื่นที่มีคุณค่าไม่ยิ่งหย่อนไปกว่ากัน เช่น สิทธิในเสรีภาพในการแสดงความคิดเห็นและการเข้าถึงข้อมูล (right to freedom of expression and information) หรือสิทธิประโยชน์ทางเศรษฐกิจ (economic interest) อันชอบด้วยกฎหมาย

ในบางกรณีที่เมื่อชั่งน้ำหนักตามความจำเป็นและความพอสมควรแก่เหตุแล้ว สิทธิหรือประโยชน์ดังกล่าวนั้นได้รับการคุ้มครองเหนือกว่า right to be forgotten ย่อมถือได้ว่าในกรณีนั้นเป็นข้อยกเว้นที่เจ้าของข้อมูลส่วนบุคคลไม่อาจบังคับใช้สิทธิของตนได้

อย่างไรก็ตาม CJEU มิได้กำหนดแนวทางที่ชัดเจนในการชั่งน้ำหนักสิทธิ เสรีภาพและประโยชน์ต่างๆ ที่ขัดแย้งกันเหล่านี้ โดยเพียงแต่เน้นย้ำว่า ไม่มีสิทธิ เสรีภาพ หรือประโยชน์ใดที่มีลำดับชั้นสูงกว่าในทุกกรณี แต่ต้องพิเคราะห์ชั่งน้ำหนักเป็นรายกรณีตามแต่ข้อเท็จจริง ธรรมชาติและลักษณะของข้อมูลส่วนบุคคลนั้นๆ

กระนั้นก็ตาม คำวินิจฉัยในคดี Google Spain ได้วางแนวทางเบื้องต้นสำหรับการชั่งน้ำหนักระหว่าง right to be forgotten กับสิทธิประโยชน์ทางเศรษฐกิจของผู้ให้บริการ search engine ว่า โดยทั่วไปแล้วย่อมถือว่าสิทธิของเจ้าของข้อมูลส่วนบุคคลย่อมได้รับความคุ้มครองเหนือกว่าประโยชน์ทางเศรษฐกิจของผู้ให้บริการ search engine แต่สำหรับกรณีของสิทธิและประโยชน์อื่นๆ นั้น CJEU มิได้วางแนวทางอื่นใดไว้ว่าจะประกอบด้วยสิทธิหรือประโยชน์ประเภทใดบ้างที่อาจถูกหยิบยกขึ้นมาเป็นข้อยกเว้นได้ นอกเหนือจากหลักเกณฑ์ข้อยกเว้นกรณีหนึ่งว่า หากเป็นกรณีที่เจ้าของข้อมูลส่วนบุคคลเป็น "บุคคลสาธารณะ" (public figure) ประโยชน์สาธารณะเกี่ยวด้วยสิทธิในเสรีภาพในการแสดงความคิดเห็นและการเข้าถึงข้อมูลจะได้รับความคุ้มครองเหนือกว่าสิทธิของเจ้าของข้อมูลส่วนบุคคลนั้น กระนั้น คำวินิจฉัยคดี Google Spain มิได้มีการกำหนดนิยามหรือแนวทางพิจารณาที่ชัดเจนอีกเช่นกันว่ากรณีใดบ้างที่บุคคลหนึ่งๆ จะอยู่ในฐานะบุคคลสาธารณะ

ในส่วนของคณะทำงาน AWP29 นั้น ได้พยายามที่จะพัฒนาหลักเกณฑ์ทั่วไปเพื่อให้องค์กรคุ้มครองข้อมูลส่วนบุคคลของประเทศต่างๆ ใช้ในการพิจารณาทบทวนดุลพินิจของผู้ให้บริการ search engine ซึ่งรวมตลอดจนถึงขอบเขตของคำว่า "บุคคลสาธารณะ" โดยเทียบเคียงจากคำวินิจฉัยคดีของศาลสิทธิมนุษยชนยุโรป (European Court of Human Rights: ECtHR) แต่อย่างไรก็ตาม หลักเกณฑ์ดังกล่าวมิได้มีสภาพบังคับใช้กับผู้ให้บริการ search engine เพื่อให้เป็นมาตรฐานเดียวกันแต่อย่างใด เพราะคณะทำงาน AWP29 เพียงแต่แนะนำให้แต่ละผู้ให้บริการ search engine ประกาศเผยแพร่หลักเกณฑ์ในการพิจารณาและสถิติการดำเนินการตามคำร้องขอของตนเองเพื่อความโปร่งใสเท่านั้น.--จบ--

ที่มา: หนังสือพิมพ์ไทยโพสต์