FÖRSLAG TILL AVGÖRANDE AV GENERALADVOKAT
MACIEJ SZPUNAR
föredraget den 10 januari 2019 (1)
Mål C‑507/17
Google LLC, som har trätt i stället för Google Inc.
mot
Commission Nationale de l’Informatique et des Libertés (CNIL)
ytterligare deltagare i rättegången:
Wikimedia Foundation Inc.,
Fondation pour la liberté de la presse,
Microsoft Corp.,
Reporters Committee for Freedom of the Press m.fl,
Article 19 m.fl.,
Internet Freedom Foundation m.fl.,
Défenseur des droits
(begäran om förhandsavgörande från Conseil d’État (Högsta förvaltningsdomstolen, Frankrike))
”Begäran om förhandsavgörande – Personuppgifter – Tillämpningsområde för rätten till borttagande – Dom av den 13 maj 2014, Google Spain och Google, C‑131/12 – Borttagandet avser den toppdomän som motsvarar begärandemedlemsstaten eller de domännamn för sökmotorn som täcker in den sökmotorns webbplatser för samtliga medlemsstater”
I. Inledning
1. Förevarande begäran om förhandsavgörande från Conseil d’Etat (Högsta förvaltningsdomstolen, Frankrike) är en följd av domen Google Spain och Google(2) och ger domstolen tillfälle att särskilt precisera det territoriella tillämpningsområdet för direktiv 95/46/EG(3). Det är allmänt känt att domstolen i målet fastställde en ”rätt att bli glömd”, vilket innebär att under vissa förutsättningar kan en enskild person få en sökmotorleverantör att ta bort internetlänkar. I det här målet har domstolen ombetts precisera det territoriella tillämpningsområdet för borttagande och att fastställa om bestämmelserna i direktiv 95/46 kräver att borttagandet ska ske på nationell nivå, unionsnivå eller global nivå.
2. I förevarande mål kommer jag till domstolen föreslå ett borttagande på unionsnivå. En sökmotorleverantör ska vara skyldig att avlägsna länkarna från de resultat som visas till följd av en sökning som har gjorts från en plats i Europeiska unionen.
II. Tillämpliga bestämmelser
A. Unionsrätt
1. Direktiv 95/46
3. Enligt artikel 1 är syftet med direktiv 95/46 att skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter, och att undanröja hinder för det fria flödet av sådana uppgifter.
4. I artikel 2 i direktiv 95/46 föreskrivs att ”[i] detta direktiv avses med:
a) personuppgifter: varje upplysning som avser en identifierad eller identifierbar fysisk person (den registrerade). En identifierbar person är en person som kan identifieras, direkt eller indirekt, framför allt genom hänvisning till ett identifikationsnummer eller till en eller flera faktorer som är specifika för hans fysiska, fysiologiska, psykiska, ekonomiska, kulturella eller sociala identitet,
b) behandling av personuppgifter (behandling): varje åtgärd eller serie av åtgärder som vidtas beträffande personuppgifter, vare sig det sker på automatisk väg eller inte, till exempel insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring,
…
d) registeransvarig: den fysiska eller juridiska person, den myndighet, den institution eller det andra organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. När ändamålen och medlen för behandlingen bestäms av nationella lagar och andra författningar eller av gemenskapsrätten kan den registeransvarige eller de särskilda kriterierna för att utse honom anges i nationell rätt eller i gemenskapsrätten,
…
h) den registrerades samtycke: varje slag av frivillig, särskild och informerad viljeyttring genom vilken den registrerade godtar behandling av personuppgifter som rör honom.”
5. I artikel 3 i direktivet, med rubriken ”Tillämpningsområde”, anges följande i punkt 1:
”Detta direktiv gäller för sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg liksom för annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register.”
6. Artikel 4 i direktivet, med rubriken ”Tillämplig nationell rätt”, lyder enligt följande:
”1. Varje medlemsstat skall tillämpa de nationella bestämmelser som den för genomförandet av detta direktiv antar för behandlingen av personuppgifter när
a) behandlingen utförs som ett led i verksamhet inom den medlemsstats territorium, där den registeransvarige är etablerad. Om en registeransvarig är etablerad inom flera medlemsstaters territorier skall han vidta nödvändiga åtgärder för att säkerställa att alla verksamheter uppfyller kraven enligt den tillämpliga nationella lagstiftningen,
…”
7. I kapitel II, avdelning I, som har rubriken ”Principer om uppgifternas kvalitet”, i direktiv 95/46 anges följande i artikel 6:
”1. Medlemsstaterna skall föreskriva att personuppgifter
a) skall behandlas på ett korrekt och lagligt sätt,
b) skall samlas in för särskilda, uttryckligt angivna och berättigade ändamål; senare behandling får inte ske på ett sätt som är oförenligt med dessa ändamål. Senare behandling av uppgifter för historiska, statistiska eller vetenskapliga ändamål skall inte anses oförenlig med dessa ändamål förutsatt att medlemsstaterna beslutar om lämpliga skyddsåtgärder,
c) skall vara adekvata och relevanta och inte får omfatta mer än vad som är nödvändigt med hänsyn till de ändamål för vilka de har samlats in och för vilka de senare behandlas,
d) skall vara riktiga och, om nödvändigt, aktuella. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga eller ofullständiga i förhållande till de ändamål för vilka de samlades in eller för vilka de senare behandlas, utplånas eller rättas,
e) förvaras på ett sätt som förhindrar identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka uppgifterna samlades in eller för vilka de senare behandlades. Medlemsstaterna skall vidta lämpliga skyddsåtgärder för de personuppgifter som lagras under längre perioder för historiska, statistiska eller vetenskapliga ändamål.
2. Det åligger den registeransvarige att säkerställa att punkt 1 efterlevs.”
8. I kapitel II, avdelning II, med rubriken ”Principer som gör att uppgiftsbehandling kan tillåtas”, i direktiv 95/46 föreskrivs följande i artikel 7:
”Medlemsstaterna skall föreskriva att personuppgifter får behandlas endast om
…
f) behandlingen är nödvändig för ändamål som rör berättigade intressen hos den registeransvarige eller hos den eller de tredje män till vilka uppgifterna har lämnats ut, utom när sådana intressen uppvägs av den registrerades intressen eller dennes grundläggande fri- och rättigheter som kräver skydd under artikel 1.1.”
9. Artikel 12 i direktivet har rubriken ”Rätt till tillgång” och föreskriver följande:
”Medlemsstaterna skall säkerställa att varje registrerad har rätt att från den registeransvarige
…
b) i förekommande fall få sådana uppgifter som inte behandlats i enlighet med bestämmelserna i detta direktiv rättade, utplånade eller blockerade, särskilt om dessa är ofullständiga eller felaktiga,
…”
10. I artikel 14 i direktivet, med rubriken ”Den registrerades rätt att göra invändningar”, anges följande:
”Medlemsstaterna skall tillförsäkra den registrerade rätten att
a) åtminstone i de fall som avses i artikel 7 e) och f) när som helst av avgörande och berättigade skäl som rör hans personliga situation motsätta sig behandling av uppgifter som rör honom, utom när den nationella lagstiftningen föreskriver något annat. När invändningen är berättigad får den behandling som påbörjats av den registeransvarige inte längre avse dessa uppgifter,
…”
11. Artikel 28 i samma direktiv har rubriken ”Tillsynsmyndighet” och lyder enligt följande:
”1. Varje medlemsstat skall tillse att det utses en eller flera myndigheter som har till uppgift att inom dess territorium övervaka tillämpningen av de bestämmelser som medlemsstaterna antar till följd av detta direktiv.
…
3. Varje tillsynsmyndighet skall särskilt ha
– undersökningsbefogenheter, såsom befogenhet att få tillgång till uppgifter som blir föremål för behandling och befogenhet att inhämta alla uppgifter som är nödvändiga för att sköta tillsynen,
– effektiva befogenheter att ingripa, som till exempel att kunna … besluta om blockering, utplåning eller förstöring av uppgifter, att kunna besluta om tillfälligt eller slutligt förbud mot behandling …,
…
Sådana beslut av tillsynsmyndigheten som går en part emot kan överklagas till domstol.
4. Var och en kan, på egen hand eller företrädd av en organisation, vända sig till tillsynsmyndigheten med begäran om skydd för sina fri- och rättigheter med avseende på behandling av personuppgifter. Den berörda personen skall informeras om vilka följder hans begäran har fått.
…
6. En tillsynsmyndighet har, oavsett vilken nationell lagstiftning som gäller för den aktuella behandlingen, behörighet att inom sin egen medlemsstats territorium utöva de befogenheter som i enlighet med punkt 3 åligger den. Varje myndighet kan av en myndighet i en annan medlemsstat anmodas att utöva sina befogenheter.
De övervakande myndigheterna skall i den utsträckning som det behövs samarbeta med varandra, särskilt genom att utbyta användbar information.
…”
2. Förordning (EU) 2016/679
12. Enligt artikel 99.2 i förordning (EU) nr 2016/679(4) ska förordningen tillämpas från och med den 25 maj 2018. I artikel 94.1 i förordningen föreskrivs att direktiv 95/46 ska upphöra att gälla med verkan från den dagen.
13. Artikel 17 i förordningen, med rubriken ”Rätt till radering (’rätten att bli bortglömd’)”, har följande lydelse:
”1. Den registrerade ska ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få sina personuppgifter raderade och den personuppgiftsansvarige ska vara skyldig att utan onödigt dröjsmål radera personuppgifter om något av följande gäller:
a) Personuppgifterna är inte längre nödvändiga för de ändamål för vilka de samlats in eller på annat sätt behandlats.
b) Den registrerade återkallar det samtycke på vilket behandlingen grundar sig enligt artikel 6.1 a eller artikel 9.2 a och det finns inte någon annan rättslig grund för behandlingen.
c) Den registrerade invänder mot behandlingen i enlighet med artikel 21.1 och det saknas berättigade skäl för behandlingen som väger tyngre, eller den registrerade invänder mot behandlingen i enlighet med artikel 21.2.
d) Personuppgifterna har behandlats på olagligt sätt.
e) Personuppgifterna måste raderas för att uppfylla en rättslig förpliktelse i unionsrätten eller i medlemsstaternas nationella rätt som den personuppgiftsansvarige omfattas av.
f) Personuppgifterna har samlats in i samband med erbjudande av informationssamhällets tjänster, i de fall som avses i artikel 8.1.
2. Om den personuppgiftsansvarige har offentliggjort personuppgifterna och enligt punkt 1 är skyldig att radera personuppgifterna, ska den personuppgiftsansvarige med beaktande av tillgänglig teknik och kostnaden för genomförandet vidta rimliga åtgärder, inbegripet tekniska åtgärder, för att underrätta personuppgiftsansvariga som behandlar personuppgifterna om att den registrerade har begärt att de ska radera eventuella länkar till, eller kopior eller reproduktioner av dessa personuppgifter.
3. Punkterna 1 och 2 ska inte gälla i den utsträckning som behandlingen är nödvändig av följande skäl:
a) För att utöva rätten till yttrande- och informationsfrihet.
b) För att uppfylla en rättslig förpliktelse som kräver behandling enligt unionsrätten eller enligt en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av eller för att utföra en uppgift av allmänt intresse eller som är ett led i myndighetsutövning som utförs av den personuppgiftsansvarige.
c) För skäl som rör ett viktigt allmänt intresse på folkhälsoområdet enligt artikel 9.2 h och i samt artikel 9.3.
d) För arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål enligt artikel 89.1, i den utsträckning som den rätt som avses i punkt 1 sannolikt omöjliggör eller avsevärt försvårar uppnåendet av syftet med den behandlingen.
e) För att kunna fastställa, göra gällande eller försvara rättsliga anspråk.”
14. Artikel 18 i förordning nr 2016/679 har rubriken ”Rätt till begränsning av behandling” och föreskriver följande:
”1. Den registrerade ska ha rätt att av den personuppgiftsansvarige kräva att behandlingen begränsas om något av följande alternativ är tillämpligt:
a) Den registrerade bestrider personuppgifternas korrekthet, under en tid som ger den personuppgiftsansvarige möjlighet att kontrollera om personuppgifterna är korrekta.
b) Behandlingen är olaglig och den registrerade motsätter sig att personuppgifterna raderas och i stället begär en begränsning av deras användning.
…
d) Den registrerade har invänt mot behandling i enlighet med artikel 21.1 i väntan på kontroll av huruvida den personuppgiftsansvariges berättigade skäl väger tyngre än den registrerades berättigade skäl.
2. Om behandlingen har begränsats i enlighet med punkt 1 får sådana personuppgifter, med undantag för lagring, endast behandlas med den registrerades samtycke eller för att fastställa, göra gällande eller försvara rättsliga anspråk eller för att skydda någon annan fysisk eller juridisk persons rättigheter eller för skäl som rör ett viktigt allmänintresse för unionen eller för en medlemsstat.
3. En registrerad som har fått behandling begränsad i enlighet med punkt 1 ska underrättas av den personuppgiftsansvarige innan begränsningen av behandlingen upphör.”
15. Artikel 21.1 i förordningen, som har rubriken ”Rätt att göra invändningar”, lyder enligt följande:
”Den registrerade ska, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att när som helst göra invändningar mot behandling av personuppgifter avseende honom eller henne som grundar sig på artikel 6.1 e eller f, inbegripet profilering som grundar sig på dessa bestämmelser. Den personuppgiftsansvarige får inte längre behandla personuppgifterna såvida denne inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk.”
16. I artikel 85 i förordningen, som har rubriken ”Behandling och yttrande- och informationsfriheten”, anges följande:
”1. Medlemsstaterna ska i lag förena rätten till integritet i enlighet med denna förordning med yttrande- och informationsfriheten, inbegripet behandling som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande.
2. Medlemsstaterna ska, för behandling som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande, fastställa undantag eller avvikelser från kapitel II (principer), kapitel III (den registrerades rättigheter), kapitel IV (personuppgiftsansvarig och personuppgiftsbiträde), kapitel V (överföring av personuppgifter till tredjeländer eller internationella organisationer), kapitel VI (oberoende tillsynsmyndigheter), kapitel VII (samarbete och enhetlighet) och kapitel IX (särskilda situationer vid behandling av personuppgifter) om dessa är nödvändiga för att förena rätten till integritet med yttrande- och informationsfriheten.
3. Varje medlemsstat ska till kommissionen anmäla de bestämmelser i sin lagstiftning som den antagit i enlighet med punkt 2, samt utan dröjsmål anmäla eventuell senare ändringslagstiftning eller ändringar som berör dem.”
B. Fransk rätt
17. Direktiv 95/46 har genomförts i fransk rätt genom loi nº 78–17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (lag nr 78–17 av den 6 januari 1978 om databehandling, register och friheter) (nedan kallad lagen av den 6 januari 1978).
III. Bakgrund och målet vid den nationella domstolen
18. Genom beslut av den 21 maj 2015 förelade Commission Nationale de l’Informatique et des Libertés (CNIL) (dataskyddsmyndigheten) bolaget Google LLC att, i samband med att det efterkom en begäran från en fysisk person om att länkar till vissa webbsidor skulle avlägsnas från den förteckning över sökresultat som visades till följd av en sökning på vederbörandes namn, ombesörja att länkarna avlägsnades såvitt avsåg dess sökmotors samtliga toppdomäner.
19. Google vägrade att hörsamma föreläggandet och inskränkte sig till att avlägsna de aktuella länkarna från enbart de resultat som visades till följd av sökningar som gjordes från den domännamnsvariant för sökmotorn som motsvarade en av unionens medlemsstater.
20. CNIL ansåg dessutom att det kompletterande förslag om ”geoblockering” som Google hade framfört efter det att tidsfristen för föreläggandet hade löpt ut var otillräckligt. Förslaget innebar att det skulle bli omöjligt att från en IP-adress som ansågs vara belägen i bosättningsstaten för den berörda personen komma åt de omtvistade resultaten till följd av en sökning på den personens namn, oavsett vilken av sökmotorns domännamnsvarianter som den som gjorde sökningen använde.
21. Efter det att CNIL hade konstaterat att Google inte inom den angivna fristen hade rättat sig efter detta föreläggande, ålade CNIL genom beslut av den 10 mars 2016 bolaget en sanktion på 100 000 euro, vilken offentliggjordes.
22. Genom ansökan som inkom till Conseil d’État (Högsta förvaltningsdomstolen), yrkade Google att beslutet skulle upphävas.
23. I förfarandet biföll Conseil d’État (Högsta förvaltningsdomstolen) interventionsansökningar från Wikimedia Foundation Inc., Fondation pour la liberté de la presse, Microsoft Corp., Reporters Committee for Freedom of the Press m.fl., Article 19 m.fl. och Internet Freedom Foundation m.fl., vilka hade visat tillräckligt intresse av att få det angripna beslutet upphävt.
24. Conseil d’État (Högsta förvaltningsdomstolen) uppgav att Google France, ett dotterbolag till bolaget Google, bedriver marknadsföring och försäljning av reklamutrymme i Frankrike. Därför följde det att den behandling av personuppgifter som Googles sökmotor utför omfattas av tillämpningsområdet för lagen av den 6 januari 1978, genom vilken direktiv 95/46 hade införlivats med fransk rätt.
25. Conseil d’État (Högsta förvaltningsdomstolen) konstaterade vidare att den sökmotor som drivs av Google är uppdelad i ett flertal domännamn med olika geografiska toppdomäner, så att de resultat som visas ska kunna anpassas efter de särskilda kännetecknen, bland annat i språkligt hänseende, för de olika länder där bolaget bedriver sin verksamhet. När en sökning görs från ”google.com” utför bolaget Google i princip en automatisk omdirigering av sökningen till det domännamn som motsvarar det land från vilket sökningen anses ha gjorts, vilket fastställs utifrån internetanvändarens IP-adress. Det står emellertid en internetanvändare fritt att, oberoende av var han eller hon befinner sig, utföra sina sökningar i sökmotorns andra domännamn. De länkar som visas i sökmotorn till följd av en sökning härrör dessutom från gemensamma databaser och ett gemensamt indexeringsarbete, även om sökresultaten kan skilja sig åt beroende på vilket domännamn som används för sökningen.
26. Conseil d’État (Högsta förvaltningsdomstolen) ansåg att med beaktande dels av att Googles sökmotors samtliga domännamn är åtkomliga från franskt territorium, dels av att det finns ”bryggor” mellan dessa olika domännamn, något som visas bland annat av den automatiska omdirigeringen och dessutom av att kakor (cookies) återfinns även i sökmotorns andra toppdomäner än den där de ursprungligen lades in, skulle denna sökmotor – som för övrigt inte har blivit föremål för mer än en anmälan till CNIL – anses utgöra en enda behandling av personuppgifter såvitt avsåg tillämpningen av lagen av den 6 januari 1978. Av detta framgick att Googles sökmotors behandling av personuppgifter bedrivs inom ramen för en av Googles inrättningar, Google France, som är etablerad på franskt territorium, och som därmed omfattas av lagen av den 6 januari 1978.
27. Google gjorde vid Conseil d’État (Högsta förvaltningsdomstolen) gällande att den omtvistade sanktionen grundar sig på en felaktig tolkning av bestämmelserna i lagen av den 6 januari 1978 genom vilken artiklarna 12 b och 14 a i direktiv 95/46 hade införlivats. Det var med stöd av dessa bestämmelser som domstolen i domen Google Spain och Google(5) erkände en ”rätt till borttagande”. Google gjorde gällande att denna rätt inte nödvändigtvis innebar att de omtvistade länkarna skulle avlägsnas utan geografiska begränsningar från dess sökmotors samtliga domännamn. Genom en sådan tolkning hade dessutom CNIL åsidosatt dels de i folkrätten knäsatta principerna om hövlighet och icke-inblandning, dels i oproportionerlig grad undergrävt den yttrandefrihet, den informationsfrihet, den kommunikationsfrihet och den tryck- och pressfrihet som garanteras i bland annat artikel 11 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan).
IV. Tolkningsfrågorna och förfarandet vid domstolen
28. Efter det att Conseil d’État (Högsta förvaltningsdomstolen) hade konstaterat att förevarande argument innebar allvarliga problem avseende tolkningen av direktiv 95/46, beslutade den domstolen att vilandeförklara målet och ställa följande frågor till EU-domstolen:
”1) Ska den ’rätt till borttagande’ som [domstolen] slog fast i [domen [Google Spain och Google(6)] på grundval av bestämmelserna i artiklarna 12 b och 14 a i [direktiv 95/46] tolkas så, att en sökmotorleverantör som efterkommer en begäran om borttagande måste genomföra detta borttagande i samtliga domännamnsvarianter av sin sökmotor, så att de omtvistade länkarna inte längre visas oavsett varifrån en sökning på namnet på den person som har framställt begäran görs, inte ens om den görs från en plats utanför det geografiska tillämpningsområdet för [direktiv 95/46]?
2) För den händelse att denna första fråga ska besvaras nekande: ska den ’rätt till borttagande’ som [domstolen] slog fast i den ovannämnda domen tolkas så, att en sökmotorleverantör som efterkommer en begäran om borttagande måste avlägsna de omtvistade länkarna endast från de resultat som till följd av en sökning på namnet på den person som har framställt begäran visas i sökmotorvarianten med det domännamn som motsvarar den stat där begäran anses ha framställts, eller ska nämnda rätt tolkas så, att sökmotorleverantören mer allmänt måste göra detta för samtliga sökmotorvarianter med domännamn motsvarande Europeiska unionens medlemsstaters toppdomäner?
3) Ska vidare den ’rätt till borttagande’ som [domstolen] slog fast i den ovannämnda domen tolkas så, att en sökmotorleverantör som efterkommer en begäran om borttagande, utöver att fullgöra den i [den andra frågan] angivna skyldigheten, även måste avlägsna, med hjälp av tekniken ’geoblockering’, de omtvistade länkarna från de resultat som visas till följd av en sökning på namnet på den person vars ’rätt till borttagande’ är i fråga som utförs från en IP-adress vilken anses vara belägen i den stat där den berörda personen är bosatt, eller ska nämnda rätt till och med tolkas så, att sökmotorleverantören mer allmänt måste göra detta för en sökning som utförs från en IP-adress vilken anses vara belägen i någon av de medlemsstater som omfattas av [direktiv 95/46], i båda fallen oberoende av vilken domännamnsvariant av sökmotorn som den internetanvändare som utför sökningen använder?”
29. Skriftliga yttranden har inkommit från Google, CNIL, Wikimedia Foundation, Fondation pour la liberté de la presse, Reporters Committee for Freedom of the Press m.fl., Article 19 m.fl., Internet Freedom Foundation m.fl., Défenseur des droits, den franska, den irländska, den grekiska, den italienska, den österrikiska och den polska regeringen och Europeiska kommissionen.
30. Alla dessa parter, förutom Défenseur des droits och den italienska regeringen, samt Microsoft hördes vid förhandlingen den 11 september 2018.
V. Bedömning
31. Den hänskjutande domstolens frågor avser inte tolkningen av bestämmelserna i förordning nr 2016/679 utan bestämmelserna i direktiv 95/46. Förordningen, som är tillämplig sedan den 25 maj 2018(7), upphävde emellertid direktivet från och med samma datum.(8)
32. Eftersom det följer av fransk förvaltningsprocessrätt att den lag som är tillämplig på ett mål är den som gällde vid tidpunkten för ett angripet beslutet, råder det inga tvivel om att det är direktiv 95/46 som är tillämpligt i det nationella målet. Följaktligen är det bestämmelserna i direktivet som domstolen ska tolka.
A. Den första tolkningsfrågan
33. Conseil d’État (Högsta förvaltningsdomstolen) har ställt den första tolkningsfrågan för att få klarhet i huruvida en sökmotorleverantör som efterkommer en begäran om borttagande är skyldig att genomföra detta borttagande i sökmotorns samtliga domännamn, så att de omtvistade länkarna inte längre visas oavsett varifrån en sökning på namnet på den person som har framställt begäran görs.
34. CNIL, Défenseur des droits och den franska, den italienska och den österrikiska regeringen har åberopat behovet av ett effektivt och fullständigt skydd av den rätt till skydd av personuppgifter som garanteras i artikel 8 i stadgan och den ändamålsenlig verkan med den rätt till borttagande som följer av artiklarna 12 b och 14 första stycket a i direktiv 95/46. De har samtidigt gjort gällande att det är nödvändigt att skyldigheten att utföra ett borttagande gäller globalt för att säkerställa att dessa rättigheter ges verkan. Detta förefaller också vara den ståndpunkt som ”Artikel 29-arbetsgruppen för dataskydd”(9) framförde i sina ”Riktlinjer rörande verkställandet av domen [Google Spain och Google](10)” av den 26 november 2014(11) (nedan kallade riktlinjerna). Arbetsgruppen angav nämligen att ”[f]ör att ge full verkan till de berörda personernas rättigheter som fastställs i domstolens dom, ska besluten om borttagande verkställas så att skyddet för de berörda personernas rättigheter ges ett effektivt och fullständigt skydd och så att unionslagstiftningen inte kan kringgås. Att begränsa borttagandet till domännamn i Europeiska unionen med anledning av att användare brukar gå via de nationella domännamnen för att få tillgång till en sökmotor kan således inte anses vara tillräckligt för att på ett tillfredsställande sätt garantera de berörda personernas rättigheter i enlighet med domstolens dom. Detta innebär i praktiken att ett borttagande även ska tillämpas på samtliga berörda domännamn, inklusive domännamnen.com.”(12)
35. Google, Wikimedia Foundation, Fondation pour la liberté de la presse, Reporters Committee for Freedom of the Press m.fl., Article 19 m.fl., Internet Freedom Foundation m.fl., den irländska, den grekiska och den polska regeringen och kommissionen har däremot hävdat att om en rätt till borttagande infördes på global nivå med stöd av unionsrätten skulle det vara oförenligt med såväl unionsrätten som folkrätten och utgöra ett farligt prejudikat med uppmaning till auktoritära regimer att även kräva att deras censurbeslut ska genomföras på global nivå.
36. Idén om ett borttagande som gäller på global nivå kan förefalla lockande, då den är radikal, tydlig, enkel och effektiv. Jag är dock inte övertygad av denna lösning i och med att det endast är den ena sida av myntet som beaktas, nämligen den enskilda personens dataskydd.
1. Domen Google Spain och Google
37. Utgångspunkten för min analys är domen Google Spain och Google(13).
38. I domen fastställs inte något geografiskt tillämpningsområde för att genomföra ett borttagande. Den innehåller dock ett antal uppgifter om bland annat det territoriella tillämpningsområdet för direktiv 95/46, vilka är värda att erinra om.
39. En av frågorna gällde under vilka förutsättningar direktiv 95/46 är territoriellt tillämpligt på den behandling av personuppgifter som utförs som ett led i den verksamhet som drivs av en sökmotor som Google Search, som drivs av Google Inc. som är moderbolag i Google-koncernen och har sitt huvudkontor i Förenta staterna.
40. Domstolen fann – på grundval av artikel 4.1 a i direktiv 95/46 vari det föreskrivs ett kriterium på att ”behandlingen [av personuppgifter] utförs som ett led i verksamhet inom den medlemsstats territorium, där den registeransvarige är etablerad” – att det territoriella tillämpningsområdet för direktiv 95/46 omfattar de situationer där sökmotorleverantören etablerar en filial eller ett dotterbolag i en medlemsstat för att marknadsföra och sälja reklamutrymme hos sökmotorn och filialen eller dotterbolagets verksamhet är riktad mot invånarna i den medlemsstaten (såsom Google Spain eller i förevarande fall Google France).(14)
41. Domstolen godtog därmed inte det argument som Google Spain och Google Inc. hade framfört, att den aktuella behandlingen av personuppgifter inte hade utförts ”som ett led i [Google Spains] verksamhet[…]”, utan enbart som ett led i den verksamhet som drevs av Google Inc., som tydligen drev Google Search utan någon som helst inblandning från Google Spain, vars verksamhet inskränkte sig till att stödja Google-koncernens reklamverksamhet, vilken var skild från sökmotortjänsten.
42. Domstolen klargjorde att syftet med direktiv 95/46 var att säkerställa ett effektivt och fullständigt skydd för fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter och att ”som ett led i verksamhet” inte kunde ges en restriktiv tolkning.(15) Dessutom ansåg domstolen att det följde av artikel 4 i direktiv 95/46 att unionslagstiftaren – genom att föreskriva ett särskilt stort tillämpningsområde i territoriellt hänseende – hade avsett att undvika att en enskild person förvägras det skydd som tillkommer honom eller henne enligt direktivet och att detta skydd kringgicks.(16)
2. Den plats från vilken sökningen görs
43. I likhet med förevarande mål var parterna i målet Google Spain och Google(17) å ena sidan Google(18) i egenskap av sökande och å andra sidan en statlig dataskyddsmyndighet,(19) och målet gällde ett beslut från denna myndighet.
44. Det är dock tydligt att det är den person vars personuppgifter som ska skyddas som är i centrum för domen Google Spain och Google.(20) Domstolen ger företräde för denna persons rättigheter. I domen berörs perspektivet för den som söker information endast i förbifarten.(21) I och med att domstolen endast angav ”förteckningen över sökresultat, som visas till följd av en sökning på en persons namn” har domstolen således inte preciserat omständigheterna för sökningen, vem som gjorde sökningen och från vilken plats.
45. Även om bestämmelserna i direktiv 95/46 således syftar till att skydda den ”eftersökta” personens grundläggande rättigheter enligt artiklarna 7 och 8 i stadgan, och som det därefter ”hänvisas till”, anges det inget om borttagandets territoriella tillämpningsområde. Som exempel preciseras det varken i bestämmelserna eller i domen Google Spain och Google(22) om en sökning från Singapore ska behandlas annorlunda än en sökning från Paris eller Katowice.
46. Jag anser att det är nödvändigt att göra skillnad på sökningar beroende på från vilken plats de görs. Sökningar som görs utanför unionen ska inte påverkas av att ett sökresultat tas bort.
a) Den territoriella tillämpningen av direktiv 95/46
47. Enligt artikel 52.1 FEU ska fördragen gälla för de 28 medlemsstaterna.(23) En medlemsstats territorium definieras i dess inhemska rätt och genom folkrätten.(24) I artikel 52.2 FEU påpekas att fördragens territoriella tillämpningsområde anges närmare i artikel 355 FEUF.(25) Utanför detta territorium kan unionsrätten i princip inte tillämpas och följaktligen inte heller skapa rättigheter eller skyldigheter.
48. Frågan är således om tillämpningsområdet för direktiv 95/46 av något exceptionellt skäl sträcker sig utanför de ovannämnda territoriella gränserna, det vill säga om bestämmelserna i direktivet ska tolkas så pass extensivt att de har verkan utanför dessa gränser.
49. Det anser inte jag.
50. Det är riktigt att det finns vissa situationer då unionsrätten erkänner extraterritoriell verkan.
51. Såsom den franska regeringen även har påpekat framgår det av fast rättspraxis på det konkurrensrättsliga området att om ett företag som deltar i ett konkurrensbegränsande avtal eller genomför sådana metoder är beläget i ett tredjeland, så hindrar detta inte att man tillämpar unionens konkurrensregler enligt artiklarna 101 och 102 FEUF om ett sådant avtal eller en sådan metod får effekter inom unionens territorium.(26)
52. När det gäller varumärkesrätten har domstolen slagit fast att det skulle påverka effektiviteten för reglerna om varumärkesskydd(27) negativt om användning, i ett försäljningserbjudande eller i reklam på internet som riktas till konsumenter i unionen, av ett kännetecken som är identiskt med eller liknar ett varumärke som är registrerat i unionen undgick tillämpning av reglerna, enbart på grund av att den tredje man som står bakom erbjudandet eller reklamen har sin hemvist i ett tredjeland, att servern till den webbplats han eller hon använder är förlagd till ett tredjeland eller till och med att varan som erbjudandet eller reklamen gäller befinner sig i ett tredjeland.(28)
53. Dessa två situationer är enligt min uppfattning extrema situationer på grund av deras exceptionella karaktär. Det som är avgörande i båda situationerna är effekten på den inre marknaden (även om andra marknader också kan påverkas). Den inre marknaden är ett område som är tydligt definierat i fördragen. Internet är däremot till sin natur globalt och på ett visst sätt närvarande överallt. Det är därför svårt att göra analogier och jämförelser.
b) De extraterritoriella effekterna av de grundläggande rättigheterna
54. Enligt min uppfattning går det inte heller att, såsom Défenseur des droits har gjort, åberopa praxis från Europeiska domstolen för de mänskliga rättigheterna gällande de extraterritoriella effekterna av konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, som undertecknades i Rom den 4 november 1950, i samband med utlämnandet av en person till ett tredjeland.(29) Det beror på två skäl.
55. För det första följer stadgans tillämpningsområde unionsrättens tillämpningsområde och inte tvärtom, vilket uttryckligen anges i artikel 51.2 i stadgan.(30)
56. För det andra avser förevarande rättspraxis specifika fall som avser dödsstraff eller förbudet mot tortyr, vilka är mänskliga rättigheter som ligger till grund för varje rättsstat och som inte går att inskränka.(31)
57. Däremot, och det är på något sätt det som utgör kärnan i förevarande mål, ska ”rätten att bli bortglömd” vägas mot andra grundläggande rättigheter.
c) Avvägningen mellan grundläggande rättigheter
58. Det huvudsakliga argumentet mot en skyldighet att utföra ett borttagande på global nivå är avvägningen mellan grundläggande rättigheter och den vägledning därom som följer av domen Google Spain och Google(32). I målet lade domstolen stor vikt vid avvägningen mellan å ena sidan rätten till dataskydd och rätten till privatlivet och å andra sidan allmänhetens berättigade intresse av att få tillgång till den eftersökta informationen.
59. Det är fastställt att rätten till dataskydd och till privatlivet är rättigheter som följer av artiklarna 7 och 8 i stadgan och ska ha anknytning till unionsrätten och dess territorium. Samma sak gäller allmänhetens berättigade intresse av att få tillgång till den eftersökta informationen. När det gäller unionen följer denna rättighet av artikel 11 i stadgan. Den allmänhet som åsyftas är inte allmänheten på global nivå, utan den som följer av stadgans tillämpningsområde, alltså allmänheten i unionen.
60. Om ett borttagande på global nivå godkändes, skulle inte unionens myndigheter kunna definiera och fastställa en rätt att ta emot information, och ännu mindre väga borttagandet mot de andra grundläggande rättigheterna till dataskydd och till privatlivet. Detta gäller i än högre grad då ett sådant allmänintresse att få tillgång till information nödvändigtvis varierar beroende på den geografiska lokaliseringen från ett tredjeland till ett annat.
61. Det finns dessutom i det fallet en fara i att unionen hindrar personer i tredjeländer att få tillgång till information. Om en myndighet i unionen kunde besluta om ett borttagande på global nivå, skulle det skicka en ödesdiger signal till tredjeländer, vilka även skulle kunna besluta om ett borttagande enligt deras egna lagar. Anta att tredjeländer av någon anledning tolkar vissa av sina lagar så, att de hindrar personer i en unionsmedlemsstat att få tillgång till eftersökt information. Det skulle innebära en verklig risk för en tillbakagång till skada för yttrandefriheten, på unionsnivå och global nivå.(33)
62. De aktuella frågorna i målet kräver således inte att bestämmelserna i direktiv 95/46 tillämpas utanför unionens territorium. Detta innebär dock inte att unionsrätten aldrig kan ålägga en sökmotorleverantör som Google att vidta åtgärder på global nivå. Jag utesluter inte att det kan finnas situationer där unionens intresse kräver att bestämmelserna i direktiv 95/46 tillämpas utanför unionens territorium. Men i en situation som den i förevarande mål finns det ingen anledning att tillämpa bestämmelserna i direktiv 95/46 på ett sådant sätt.
63. Jag föreslår således att domstolen ska besvara den första tolkningsfrågan på följande sätt: Artiklarna 12 b och 14 a i direktiv 95/46 ska tolkas så, att en sökmotorleverantör som efterkommer en begäran om borttagande inte är skyldig att genomföra detta borttagande under sökmotorns samtliga domännamn, så att de omtvistade länkarna inte längre visas oavsett varifrån en sökning på namnet på den person som har framställt begäran görs.
B. Den andra och den tredje tolkningsfrågan
64. Eftersom jag föreslår att den första tolkningsfrågan ska besvaras nekande, kommer jag att i den fortsatta analysen behandla den andra och den tredje frågan tillsammans.
65. Den hänskjutande domstolen har ställt den andra frågan för att få klarhet i huruvida en sökmotorleverantör som efterkommer en begäran om borttagande är skyldig att avlägsna de omtvistade länkarna endast från de resultat som, till följd av en sökning på namnet på den person som har framställt begäran, visas i det domännamn som motsvarar den stat där begäran anses ha framställts, eller ska nämnda rätt tolkas så, att sökmotorleverantören mer allmänt är skyldig att göra detta för sökmotorns domännamn som motsvarar Europeiska unionens medlemsstaters samtliga toppdomäner.
66. Den tredje frågan, som har ställts utöver den andra frågan, syftar till att fastställa om en sökmotorleverantör som efterkommer en begäran om borttagande ska avlägsna, med hjälp av den teknik som kallas ”geoblockering”, de omtvistade resultaten från de resultat som visas till följd av en sökning på namnet på den person vars ”rätt till borttagande” är i fråga som görs från en IP-adress vilken anses vara belägen i den stat där den berörda personen är bosatt, eller ska nämnda rätt till och med tolkas så, att sökmotorleverantören mer allmänt ska göra detta för en sökning som görs från en IP-adress vilken anses vara belägen i någon av de medlemsstater som omfattas av direktiv 95/46, i båda fallen oberoende av vilken domännamnsvariant av sökmotorn som den internetanvändare som utför sökningen använder.
67. Den hänskjutande domstolen har i sina tolkningsfrågor gjort en oskiljbar koppling mellan en sökmotors domännamn(34) och den plats varifrån en sökning på en persons namn har gjorts.(35)
68. När det gäller den första frågan är det naturligt med ett sådant samband. Om en sökmotorleverantör inte ger tillgång till sökresultaten på en sökning i något av sina domännamn, kommer självfallet inte längre de omtvistade länkarna att visas, oavsett varifrån sökningen har gjorts.
69. Eftersom jag har föreslagit att den första frågan ska besvaras nekande, krävs dock inte längre en sådan koppling. Såsom den hänskjutande domstolen själv har påpekat står det nämligen varje person fritt att göra en sökning i vilket av sökmotorernas domännamn som helst. Till exempel är toppdomänen google.fr inte begränsat till sökningar från Frankrike.
70. Denna möjlighet kan dock begränsas av den teknik som kallas ”geoblockering”.
71. Geoblockering är en teknik som begränsar tillgången till innehåll på internet beroende på var användaren befinner sig. I ett system med geoblockering fastställs användarens lokalisering med hjälp av geolokaliseringsteknik, såsom verifiering av användarens IP-adress. Geoblockering, som utgör en form av censur, anses vara omotiverad enligt unionsrätten avseende den inre marknaden. Inom unionsrätten omfattas geoblockering bland annat av en förordning som syftar till att hindra att näringsidkare som bedriver verksamhet i en medlemsstat blockerar eller begränsar åtkomsten till sina onlinegränssnitt för kunder från andra medlemsstater som vill ingå gränsöverskridande transaktioner.(36)
72. När geoblockering väl är godkänt spelar det ingen roll vilket av sökmotorleverantörens domännamn som används. Jag föreslår således att den tredje frågan ska besvaras före den andra.
73. I domen Google Spain och Google(37) har domstolen slagit fast att sökmotorleverantören måste, inom ramen för sitt ansvar, sin behörighet och sina möjligheter säkerställa att verksamheten uppfyller kraven i direktiv 95/46 för att de garantier som föreskrivs i direktivet ska få full verkan och för att ett effektivt och fullständigt skydd för de berörda personerna ska kunna förverkligas, bland annat när det gäller deras rätt till respekt för privatlivet.(38)
74. När det väl har konstaterats att det föreligger en rätt till borttagande ska således sökmotorleverantören vidta alla åtgärder som står till förfogande för att säkerställa att borttagandet är effektivt och fullständigt.(39) Sökmotorleverantören ska vidta alla åtgärder som är tekniskt möjliga. När det gäller det nationella målet innefattar det bland annat den teknik som kallas geoblockering, oavsett vilket domännamn internetanvändaren använder sig av vid sin sökning.
75. Ett borttagande från förteckningen ska inte enbart ske på nationell nivå, som jag förklarar nedan, utan på unionsnivå.
76. Eftersom direktiv 95/46 ska ”syfta till att garantera en hög skyddsnivå inom [unionen]”(40), inför direktivet ett fullständigt dataskyddssystem som överskrider de nationella gränserna. I och med att direktivet grundar sig på f.d. artikel 100a EG(41) är det en del av den inre marknaden, som – vilket det ska erinras om – ska omfatta ett område utan inre gränser.(42) Det följer härav att ett borttagande på nationell nivå skulle strida mot harmoniseringssyftet och den ändamålsenliga verkan med direktiv 95/46.(43)
77. Det ska dessutom påpekas att enligt förordning 2016/679 är denna fråga inte ens aktuell, eftersom förordningen i sig är ”direkt tillämplig i varje medlemsstat”.(44) Förordning 2016/679 grundar sig på artikel 16 FEU. Den är således en förlängning av det synsättet på den inre marknaden som finns i direktiv 95/46 och syftar till att säkerställa ett fullständigt system till skydd för personuppgifter i unionen.(45) Förordningen anger systematiskt unionen, ”inom unionen” och medlemsstaternas(46) territorium.
78. Jag föreslår således att den andra och den tredje tolkningsfrågan ska besvaras enligt följande. En sökmotorleverantör är skyldig att avlägsna de omtvistade länkarna från de resultat som visas till följd av en sökning från en plats i Europeiska unionen på namnet på den person som har framställt begäran. Sökmotorleverantören ska i detta sammanhang vidta alla åtgärder som står till förfogande för att säkerställa att borttagandet är effektivt och fullständigt. Detta innefattar, bland annat, användning av den teknik som kallas ”geoblockering” från en IP-adress som anses vara belägen i någon av de medlemsstater som omfattas av direktiv 95/46, oavsett vilket domännamn internetanvändaren använder sig av vid sin sökning.
VI. Förslag till avgörande
79. Mot bakgrund av det ovan anförda föreslår jag att domstolen besvarar de tolkningsfrågor som ställts av Conseil d’État (Högsta förvaltningsdomstolen, Frankrike) på följande sätt:
1) Artiklarna 12 b och 14 a i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter ska tolkas så, att en sökmotorleverantör som efterkommer en begäran om borttagande inte är skyldig att genomföra detta borttagande under sökmotorns samtliga domännamn, så att de omtvistade länkarna inte längre visas oavsett varifrån en sökning på namnet på den person som har framställt begäran görs.
2) En sökmotorleverantör är skyldig att avlägsna de omtvistade länkarna från de resultat som visas till följd av en sökning från en plats i Europeiska unionen på namnet på den person som har framställt begäran. Sökmotorleverantören ska i detta sammanhang vidta alla åtgärder som står till förfogande för att säkerställa att borttagandet är effektivt och fullständigt. Detta innefattar, bland annat, användning av den teknik som kallas ”geoblockering” från en IP-adress som anses vara belägen i någon av de medlemsstater som omfattas av direktiv 95/46, oavsett vilket domännamn internetanvändaren använder sig av vid sin sökning.