Het vergeetrecht is sinds 2016 vastgelegd in artikel 17 van de Europese Algemene Verordening Gegevensbescherming. Het concept van het recht om vergeten te worden bestaat echter al langer, met name in de Europese landen. Zo mogen in het Verenigd Koninkrijk de criminele vergrijpen van personen na verloop van tijd niet meer worden meegewogen bij het toewijzen van bijvoorbeeld een verzekering of een woning. In Europa wordt het recht op privacy over het algemeen even zwaar gewogen als het recht op vrijheid van meningsuiting en vrijheid van informatie. Dit is een verschil met bijvoorbeeld de Verenigde Staten, waar vrijheid van informatiestromen veel hoger wordt aangeslagen dan privacy. Dit leidt tot extra botsingen tussen Europese wetgeving en Amerikaanse internationale bedrijven. Het vastleggen van het vergeetrecht in de Europese wet was het gevolg van een dergelijke botsing.

De Costeja-rechtszaak

De vastlegging van het recht om vergeten te worden is voortgekomen uit een rechtszaak die werd aangespannen door de Spanjaard Mario Costeja González tegen Google. In 1998 was een advertentie in een Spaanse krant geplaatst waarin het huis van Costeja te koop werd aangeboden wegens zijn financiële problemen. Zijn naam werd daarbij genoemd. Toen Costeja in 2009 erachter kwam dat dit artikel ook online verscheen tussen de zoekresultaten van Google als er naar zijn naam werd gezocht, verzocht hij de krant om de webpagina te verwijderen. Toen de krant dit weigerde wendde Costeja zich tevergeefs tot Google met het verzoek om het zoekresultaat te verbergen. Costeja vroeg vervolgens om hulp van de Spaanse autoriteit gegevensbescherming (Agencia Española de Protección de Datos, AEPD) om zowel de advertentie als het zoekresultaat te verwijderen. De autoriteit vond niet dat de advertentie verwijderd diende te worden, maar sloot zich aan bij het verzoek van Costeja dat het zoekresultaat verborgen moest worden op basis van EU richtlijn 95/46/EG betreffende databescherming. Deze richtlijn is van toepassing op alle ‘data controllers’ (beheerders en verwerkers van persoonsgegevens). Er volgde een rechtszaak aan het Spaanse Hooggerechtshof tussen enerzijds Costeja en de AEPD en anderzijds Google. Google stelde ter verdediging dat zij zich als in de VS gevestigd bedrijf niet aan de Europese richtlijn hoefden te houden en dat zij bovendien niet beschouwd konden worden als gegevensverwerker. Het Spaanse Hooggerechtshof vroeg vervolgens om raad bij het Hof van Justitie van de Europese Unie ter verduidelijking van de richtlijn databescherming. Drie punten dienden verduidelijkt te worden voor een uitspraak kon worden gedaan:

1. Valt Google, een in de VS gebaseerd bedrijf, onder de Europese richtlijn?
2. Kan een zoekmachine als Google beschouwd worden als gegevensverwerker?
3. Leidt de richtlijn in de praktijk tot het ‘vergeetrecht’?

Er werd een advocaat-generaal aangesteld door de Europese Unie om advies uit te brengen over de genoemde drie punten. In juni 2013 stelde hij vast dat:

1. Het zakenmodel van Google leidt ertoe dat het zich ook aan Europese richtlijnen dient te houden.
2. Google verwerkt weliswaar ook persoonsgegevens, maar zolang dit op een willekeurige en ondoelmatige manier gebeurt kan Google niet als gegevensverwerker beschouwd worden.
3. Het recht op vrije toegang tot informatie en de vrijheid van meningsuiting hebben over het algemeen de voorkeur boven het vergeetrecht, terwijl individuele behandeling per zaak zou leiden tot een onhandelbaar aantal verzoeken.

Bij het uitbrengen van het advies wees hij er wel op dat Richtlijn 95/46/EG nog stamde uit een tijd voor Google (1995).

Op 14 mei 2014 volgde de uitspraak van het Europese Hooggerechtshof. De rechter oordeelde dat Google zich aan de Europese richtlijn diende te houden wegens de activiteiten en vestigingen op Europees grondgebied. Ook beschouwde de rechter Google uiteindelijk weldegelijk als gegevensverwerker, vanwege “het actief verzamelen, opslaan en beschikbaar stellen van persoonsgegevens”. Daaruit volgde dat Google verzocht kan worden om de zoekresultaten aan te passen als daar een wettelijke grond voor is. Tot slot kan dit in de praktijk ook leiden tot een recht om vergeten te worden, waarbij het verboden is om data over personen te verwerken die irrelevant, niet langer relevant of bewezen onjuist is. Het gerechtshof benadrukte dat vanwege de mate waarin zoekmachines op grote schaal informatie over personen verwerken, individuen beschermd dienen te worden. Daarbij moeten de belangen van de individuen over het algemeen zwaarder wegen dan de economische belangen van zoekmachines of het belang van de samenleving bij openheid van informatie. Wanneer er sprake is van een publiek figuur wordt hier echter een uitzondering op gemaakt, in dat geval kan het belang van openheid van informatie zwaarder wegen dan het persoonlijke vergeetrecht.

De uitspraak leidde ertoe dat men bij Google een formulier kan invullen met het verzoek om specifieke zoekresultaten voor specifieke zoektermen (namen of bijnamen) te laten verwijderen. Ook andere zoekmachines zoals Bing beschikken soms over dergelijke formulieren. Als een right to be forgotten verzoek wordt afgewezen door de zoekmachine kan de betreffende persoon ervoor kiezen om hulp te vragen bij een lokale autoriteit voor persoonsgegevens of om naar de rechter te stappen.

Europese Algemene Verordening Gegevensbescherming

De uitspraak in de Costeja-zaak werd gebaseerd op de databeschermingsrichtlijn 95/46/EC, onderdeel van Europese wetgeving op het gebied van privacy en mensenrechten. Deze richtlijn werd echter vastgesteld in 1995, in een tijd waarin het internet nog niet zo ontwikkeld was als nu. Daarom is per april 2016 deze richtlijn vervangen door de Algemene Verordening Gegevensbescherming (AVG, of General Data Protection Regulation). Voor 25 mei 2018 moeten alle bedrijven die onder deze verordening vallen hun bedrijfsvoering hebben aangepast aan de nieuwe wetgeving. In artikel 17 van de AVG is ook het recht om vergeten te worden vastgelegd onder de naam ‘right to erasure’. Het doel van de verordening is om meer controle aan de EU-burgers te geven over hun persoonsgegevens en om een universelere en duidelijkere wetgeving te creëren voor internationale bedrijven. Het niet voldoen aan de wetgeving kan leiden tot forse boetes, tot wel 2 procent van de wereldwijde omzet. In Nederland is de AVG voor het grootste deel opgenomen in de Wet bescherming persoonsgegevens (Wbp). Niet alle soorten bedrijven of instellingen die in aanmerking zouden kunnen komen als gegevensverwerker vallen geheel onder deze wet. Zo zijn er uitzonderingen voor journalistieke bedrijven en voor inlichtingendiensten.

Franse eis wereldwijd vergeetrecht

Volgens de Europese wetgeving moeten zoekmachines zoals Google zoekresultaten verbergen wanneer deze verwijzen naar persoonsgegevens van EU-burgers die onjuist of niet (meer) relevant zijn en daarbij niet van algemeen belang zijn. Als Google overgaat tot het verbergen van een zoekresultaat, dan wordt dit resultaat alleen niet langer getoond op de specifieke domeinen van alle Europese lidstaten, bijvoorbeeld www.google.de, www.google.nl of www.google.es. Op alle andere domeinen is het zoekresultaat echter nog steeds zichtbaar. Vanaf begin 2016 verbergt Google ook de zoekresultaten op hoofddomein www.google.com wanneer de zoekopdracht afkomstig is uit het EU-land van de aanvrager. Volgens de Franse autoriteit persoonsgegevens, CNIL, gaat dit echter niet ver genoeg en Google werd een boete van 112.000 dollar opgelegd. CNIL ziet graag dat een verzoek met betrekking tot het vergeetrecht wereldwijd wordt uitgevoerd. Google ging in beroep tegen deze eis van CNIL en stelt dat het wereldwijd toepassen van Franse en Europese wetgeving een situatie creëert waarin andere landen dezelfde soort eisen gaan stellen, waarbij uiteindelijk informatie die legaal is in sommige landen, daar niet meer beschikbaar is door de strengere wetgeving van andere landen. In september 2019 oordeelde het Europese Hof dat de zoekresultaten niet wereldwijd verwijderd hoeven te worden. Wel werd de reikwijdte binnen de EU uitgebreid: zoekresultaten moeten geblokkeerd worden in álle EU-landen, ongeacht welk Google-domein wordt gebruikt, in plaats van alleen in het land van de verzoeker.