SKLEPNI PREDLOGI GENERALNEGA PRAVOBRANICA
MACIEJA SZPUNARJA,
predstavljeni 10. januarja 2019(1)
Zadeva C‑507/17
Google LLC, pravna naslednica družbe Google Inc.,
proti
Commission nationale de l'informatique et des libertés (CNIL),
ob udeležbi
Wikimedia Foundation Inc.,
Fondation pour la liberté de la presse,
Microsoft Corp.,
Reporters Committee for Freedom of the Press in drugih,
Article 19 in drugih,
Internet Freedom Foundation in drugih,
Défenseur des droits
(Predlog za sprejetje predhodne odločbe, ki ga je vložilo Conseil d’État (Francija))
„Predhodno odločanje – Osebni podatki – Obseg pravice do odstranitve povezav – Sodba z dne 13. maja 2014, Google Spain in Google, C‑131/12 – Odstranitev povezav na domenski končnici, ki ustreza državi članici vložitve zahteve, ali na domenskih končnicah iskalnika, ki ustrezajo nacionalnim domenskim končnicam tega iskalnika za vse države članice“
I. Uvod
1. Ta predlog Conseil d’État (državni svet, Francija) za sprejetje predhodne odločbe je bil vložen po izdaji sodbe Google Spain in Google(2) in bo za Sodišče med drugim priložnost, da opredeli ozemeljsko veljavnost Direktive 95/46/ES(3). Dobro je znano, da je Sodišče v navedeni zadevi določilo „pravico do pozabe“, kar pomeni, da upravljavec iskalnika pod nekaterimi pogoji posamezniku odstrani internetne povezave. Sodišče mora v obravnavani zadevi opredeliti ozemeljsko veljavnost odstranitve povezave in ugotoviti, ali se z določbami Direktive 95/46 zahteva odstranitev povezav na nacionalni, evropski ali svetovni ravni.
2. V obravnavanem primeru bom Sodišču predlagal odstranitev povezave na evropski ravni: upravljavec iskalnika bi moral odstraniti povezave s seznama zadetkov, ki se prikažejo po iskanju iz kraja, ki je v Evropski uniji.
II. Pravni okvir
A. Pravo Unije
1. Direktiva 95/46
3. V skladu s členom 1 Direktive 95/46 je namen te direktive varstvo temeljnih pravic in svoboščin fizičnih oseb, predvsem njihove pravice do zasebnosti pri obdelavi osebnih podatkov, ter odstranjevanje ovir za prosti prenos teh podatkov.
4. Člen 2 Direktive 95/46 določa, da „[v] tej direktivi:
(a) ‚osebni podatek‘ pomeni katero koli informacijo, ki se nanaša na določeno ali določljivo fizično osebo (‚posameznik, na katerega se nanašajo osebni podatki‘); določljiva oseba je tista, ki se lahko neposredno ali posredno identificira, predvsem s sklicevanjem na identifikacijsko številko ali na enega ali več dejavnikov, ki so značilni za njeno fizično, fiziološko, duševno, ekonomsko, kulturno ali socialno identiteto;
(b) ‚obdelava osebnih podatkov‘ (‚obdelava‘) pomeni kakršen koli postopek ali niz postopkov, ki se izvajajo v zvezi z osebnimi podatki z avtomatskimi sredstvi ali brez njih, kakršno je zbiranje, beleženje, urejanje, shranjevanje, prilagajanje ali predelava, iskanje, posvetovanje, uporaba, posredovanje s prenosom, širjenje ali drugo razpolaganje [dajanje na voljo], prilagajanje ali kombiniranje, blokiranje, izbris ali uničenje;
[…]
(d) ‚upravljavec‘ pomeni fizično ali pravno osebo, javni organ, agencijo ali kateri koli drug organ, ki sam ali skupaj z drugimi določa namene in sredstva obdelave osebnih podatkov; kadar namene in sredstva obdelave določa nacionalna zakonodaja ali zakonodaja Skupnosti, lahko upravljavca ali posebna merila za njegovo imenovanje določi nacionalna zakonodaja ali zakonodaja Skupnosti;
[…]
(h) ,privolitev posameznika, na katerega se nanašajo osebni podatki‘ pomeni vsako prostovoljno dano posebno in informirano izjavo volje, s katero posameznik, na katerega se osebni podatki nanašajo, izrazi soglasje, da se osebni podatki o njem obdelujejo.“
5. Člen 3 navedene direktive, naslovljen „Področje uporabe“, v odstavku 1 določa:
„Ta direktiva se uporablja za obdelavo osebnih podatkov v celoti ali delno z avtomatskimi sredstvi in za drugačno obdelavo kakor z avtomatskimi sredstvi za osebne podatke, ki sestavljajo del zbirke ali so namenjeni sestavljanju dela zbirke.“
6. Člen 4 navedene direktive z naslovom „Uporaba nacionalne zakonodaje“ določa:
„1. Vsaka država članica za obdelavo osebnih podatkov uporablja nacionalne predpise, ki jih sprejme v skladu s to direktivo, kadar:
(a) se obdelava izvaja v okviru dejavnosti ustanovitve [poslovne enote] upravljavca na ozemlju države članice; kadar je isti upravljavec ustanovljen na ozemlju več držav članic, mora sprejeti potrebne ukrepe za zagotovitev, da vsaka od teh ustanovitev [poslovnih enot] izpolnjuje obveznosti, ki jih določa veljavno nacionalno pravo;
[…]“
7. Člen 6 Direktive 95/46 v oddelku I z naslovom „Načela v zvezi s kakovostjo podatkov“, ki je v poglavju II te direktive, določa:
„1. Države članice določijo, da morajo biti osebni podatki:
(a) pošteno in zakonito obdelani;
(b) zbrani za določene, izrecne ter zakonite namene in se ne smejo naprej obdelovati na način, ki je nezdružljiv s temi nameni. Nadaljnja obdelava podatkov v zgodovinske, statistične ali znanstvene namene se ne šteje za nezdružljivo, če države članice zagotovijo ustrezne zaščitne ukrepe;
(c) primerni, ustrezni in ne pretirani glede na namene, za katere se zbirajo in/ali naprej obdelujejo;
(d) točni in po potrebi ažurirani; uporabiti je treba vse primerne ukrepe za zagotovitev, da se podatki, ki so netočni ali nepopolni, zbrišejo ali popravijo, ob upoštevanju namenov, za katere so bili zbrani ali za katere se naprej obdelujejo;
(e) shranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se osebni podatki nanašajo, le toliko časa, kolikor je potrebno za namene, za katere so bili podatki zbrani ali za katere se naprej obdelujejo. Države članice določijo ustrezne zaščitne ukrepe za osebne podatke, shranjene za daljša obdobja za zgodovinsko, statistično ali znanstveno uporabo.
2. Upravljavec mora zagotoviti, da se ravna skladno z odstavkom 1.“
8. Člen 7 Direktive 95/46 v oddelku II, naslovljenem „Merila za zakonitost obdelave podatkov“, ki je v poglavju II te direktive, določa:
„Države članice določijo, da se lahko osebni podatki obdelujejo samo, če:
[…]
(f) je obdelava potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja stranka ali stranke, ki so jim osebni podatki posredovani, razen kadar nad takimi interesi prevladajo temeljne pravice in svoboščine posameznika, na katerega se osebni podatki nanašajo, ki se varujejo na podlagi člena 1(1).“
9. Člen 12 te direktive, naslovljen „Pravica do dostopa“, določa:
„Države članice jamčijo vsakemu posamezniku, na katerega se osebni podatki nanašajo, pravico, da pridobi od upravljavca:
[…]
(b) po potrebi popravke, izbris ali blokiranje podatkov, katerih obdelava ni v skladu z določbami te direktive, predvsem zaradi nepopolnih ali netočnih podatkov;
[…]“
10. Člen 14 Direktive 95/46, naslovljen „Pravica posameznika, na katerega se nanašajo osebni podatki, do ugovora“, določa:
„Države članice priznavajo posamezniku, na katerega se osebni podatki nanašajo, pravico:
(a) da vsaj v primerih iz člena 7(e) in (f) na podlagi zakonitih in nujnih razlogov, povezanih z njegovim posebnim položajem kadar koli ugovarja obdelavi podatkov, ki se nanašajo nanj, razen kjer nacionalna zakonodaja določa drugače. Kadar obstaja utemeljen ugovor, obdelava, ki jo uvede upravljavec, ne sme več vključevati teh podatkov;
[…]“
11. Člen 28 navedene direktive, naslovljen „Nadzorni organ“, določa:
„1. Vsaka država članica določi, da je eden ali več javnih organov na njenem ozemlju odgovornih za spremljanje uporabe predpisov, ki so jih sprejele države članice v skladu s to direktivo.
[…]
3. Vsakemu organu se podeli predvsem:
– preiskovalna pooblastila, kakršna so pooblastila za dostop do podatkov, ki sestavljajo vsebino postopkov obdelave, in pooblastila za zbiranje vseh informacij, ki so potrebne za izvajanje njegovih nadzornih nalog,
– učinkovita pooblastila za posredovanje, kakšna so npr. […] odrejanje blokiranja, izbrisa ali uničenja podatkov, naložitev začasne ali dokončne prepovedi obdelave […],
[…]
Zoper odločitve nadzornega organa je zagotovljeno sodno pravno sredstvo.
4. Vsak nadzorni organ obravnava zahtevke, ki jih je vložila katera koli oseba ali združenje, ki predstavlja to osebo, v zvezi z varstvom svojih pravic in svoboščin glede obdelave osebnih podatkov. Zadevna oseba je obveščena o odločitvah o zahtevkih.
[…]
6. Vsak nadzorni organ je pristojen, da na ozemlju lastne države članice izvaja pooblastila, ki so mu bila podeljena v skladu z odstavkom 3, ne glede na to, kateri nacionalni zakon se uporablja za zadevno obdelavo. Od vsakega nadzornega organa je mogoče zahtevati, da izvaja svoja pooblastila na prošnjo nadzornega organa druge države članice.
Nadzorni organi sodelujejo drug z drugim v obsegu, ki je potreben za izvedbo njihovih dolžnosti, predvsem z izmenjavo vseh koristnih informacij.
[…]“
2. Uredba (EU) 2016/679
12. Uredba (EU) 2016/679(4) se v skladu s svojim členom 99(2) uporablja od 25. maja 2018. Člen 94(1) te uredbe določa, da se Direktiva 95/46 razveljavi z učinkom od tega datuma.
13. Člen 17 te uredbe, naslovljen „Pravica do izbrisa (,pravica do pozabe‘)“, določa:
„1. Posameznik, na katerega se nanašajo osebni podatki, ima pravico doseči, da upravljavec brez nepotrebnega odlašanja izbriše osebne podatke v zvezi z njim, upravljavec pa ima obveznost osebne podatke brez nepotrebnega odlašanja izbrisati, kadar velja eden od naslednjih razlogov:
(a) osebni podatki niso več potrebni v namene, za katere so bili zbrani ali kako drugače obdelani;
(b) posameznik, na katerega se nanašajo osebni podatki, prekliče privolitev, na podlagi katere poteka obdelava v skladu s točko (a) člena 6(1) ali točko (a) člena 9(2), in kadar za obdelavo ne obstaja nobena druga pravna podlaga;
(c) posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(1), za njihovo obdelavo pa ne obstajajo nobeni prevladujoči zakoniti razlogi, ali pa posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(2);
(d) osebni podatki so bili obdelani nezakonito;
(e) osebne podatke je treba izbrisati za izpolnitev pravne obveznosti v skladu s pravom Unije ali pravom države članice, ki velja za upravljavca;
(f) osebni podatki so bili zbrani v zvezi s ponudbo storitev informacijske družbe iz člena 8(1).
2. Kadar upravljavec objavi osebne podatke in je v skladu z odstavkom 1 osebne podatke obvezan izbrisati, ob upoštevanju razpoložljive tehnologije in stroškov izvajanja sprejme razumne ukrepe, vključno s tehničnimi, da upravljavce, ki obdelujejo osebne podatke, obvesti, da posameznik, na katerega se nanašajo osebni podatki, od njih zahteva, naj izbrišejo morebitne povezave do teh osebnih podatkov ali njihove kopije.
3. Odstavka 1 in 2 se ne uporabljata, če je obdelava potrebna:
(a) za uresničevanje pravice do svobode izražanja in obveščanja;
(b) za izpolnjevanje pravne obveznosti obdelave na podlagi prava Unije ali prava države članice, ki velja za upravljavca, ali za izvajanje naloge v javnem interesu ali pri izvajanju javne oblasti, ki je bila dodeljena upravljavcu;
(c) iz razlogov javnega interesa na področju javnega zdravja v skladu s točkama (h) in (i) člena 9(2) ter členom 9(3);
(d) za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 89(1), kolikor bi pravica iz odstavka 1 lahko onemogočila ali resno ovirala uresničevanje namenov te obdelave, ali
(e) za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.“
14. Člen 18 Uredbe 2016/679, naslovljen „Pravica do omejitve obdelave“, določa:
„1. Posameznik, na katerega se nanašajo osebni podatki, ima pravico doseči, da upravljavec omeji obdelavo, kadar velja en od naslednjih primerov:
(a) posameznik, na katerega se nanašajo osebni podatki, oporeka točnosti podatkov, in sicer za obdobje, ki upravljavcu omogoča preveriti točnost osebnih podatkov;
(b) je obdelava nezakonita in posameznik, na katerega se nanašajo osebni podatki, nasprotuje izbrisu osebnih podatkov ter namesto tega zahteva omejitev njihove uporabe;
[…]
(d) je posameznik, na katerega se nanašajo osebni podatki, vložil ugovor v zvezi z obdelavo v skladu s členom 21(1), dokler se ne preveri, ali zakoniti razlogi upravljavca prevladajo nad razlogi posameznika, na katerega se nanašajo osebni podatki.
2. Kadar je bila obdelava osebnih podatkov omejena v skladu z odstavkom 1, se taki osebni podatki z izjemo njihovega shranjevanja obdelujejo le s privolitvijo posameznika, na katerega se ti nanašajo, ali za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov, ali zaradi varstva pravic druge fizične ali pravne osebe, ali zaradi pomembnega javnega interesa Unije ali države članice.
3. Upravljavec pred preklicem omejitve obdelave o tem obvesti posameznika, na katerega se nanašajo osebni podatki in ki je dosegel omejitev obdelave v skladu z odstavkom 1.“
15. Člen 21 te uredbe, naslovljen „Pravica do ugovora“, v odstavku 1 določa:
„Posameznik, na katerega se nanašajo osebni podatki, ima na podlagi razlogov, povezanih z njegovim posebnim položajem, pravico, da kadar koli ugovarja obdelavi osebnih podatkov v zvezi z njim, ki temelji na točki (e) ali (f) člena 6(1), vključno z oblikovanjem profilov na podlagi teh določb. Upravljavec preneha obdelovati osebne podatke, razen če dokaže nujne legitimne razloge za obdelavo, ki prevladajo nad interesi, pravicami in svoboščinami posameznika, na katerega se nanašajo osebni podatki, ali za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.“
16. Člen 85 navedene uredbe, naslovljen „Obdelava ter svoboda izražanja in obveščanja“, določa:
„1. Države članice z zakonom usklajujejo pravico do varstva osebnih podatkov na podlagi te uredbe s pravico do svobode izražanja in obveščanja, vključno z obdelavo v novinarske namene ali zaradi akademskega, umetniškega ali književnega izražanja.
2. Za obdelavo v novinarske namene ali zaradi akademskega, umetniškega ali književnega izražanja države članice določijo izjeme ali odstopanja od poglavja II (načela), poglavja III (pravice posameznika, na katerega se nanašajo osebni podatki), poglavja IV (upravljavec in obdelovalec), poglavja V (prenos osebnih podatkov v tretje države ali mednarodne organizacije), poglavja VI (neodvisni nadzorni organi), poglavja VII (sodelovanje in skladnost) in poglavja IX (posebni primeri obdelave podatkov), če so potrebni za uskladitev pravice do varstva osebnih podatkov s svobodo izražanja in obveščanja.
3. Vsaka država članica Komisijo uradno obvesti o določbah zakonov, ki jih sprejme v skladu z odstavkom 2, brez odlašanja pa tudi o vsakršni naknadni spremembi teh predpisov ali spremembah, ki nanje vplivajo.“
B. Francosko pravo
17. V francoskem pravu se Direktiva 95/46 izvaja z loi nº 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (zakon št. 78-17 z dne 6. januarja 1978 o informatiki, zbirkah in svoboščinah, v nadaljevanju: zakon z dne 6. januarja 1978).
III. Dejansko stanje in postopek v glavni stvari
18. Predsednica Commission nationale de l’informatique et des libertés (nacionalna komisija za informatiko in svoboščine, v nadaljevanju: CNIL) je z odločbo z dne 21. maja 2015 družbo Google Inc. opomnila, da mora v primeru ugoditve zahtevi fizične osebe za odstranitev povezav na spletne strani s seznama zadetkov, ki se prikaže po iskanju, opravljenem na podlagi njenega imena, te povezave odstraniti na vseh domenskih končnicah svojega iskalnika.
19. Družba Google zahteve iz tega opomina ni izpolnila, saj je odstranila samo povezave s seznama zadetkov, ki se prikažejo po iskanju prek različic njenega iskalnika, katerih ime domene ustreza posamezni državi članici Unije.
20. CNIL je poleg tega kot nezadosten ocenila dodatni predlog „geoblokiranja“, ki ga je družba Google podala po izteku roka iz opomina in ki zajema odstranitev možnosti dostopa z naslova IP, za katerega se šteje, da je v državi prebivališča zadevne osebe, do spornih zadetkov, prikazanih po iskanju, opravljenem na podlagi njenega imena, in to neodvisno od različice iskalnika, ki ga je uporabil internetni uporabnik.
21. CNIL je z odločbo z dne 10. marca 2016, potem ko je ugotovila, da družba Google v predpisanem roku ni izpolnila zahteve iz tega opomina, tej družbi izrekla kazen v višini 100.000 EUR, ki je bila javno objavljena.
22. Družba Google s tožbo, ki jo je vložila pri Conseil d’État (državni svet, Francija), predlaga razglasitev ničnosti te odločbe.
23. Conseil d’État (državni svet) je v okviru tega postopka menil, da so intervencije ustanove Wikimedia Foundation Inc., ustanove Fondation pour la liberté de la presse, družbe Microsoft Corp., nevladne organizacije Reporters Committee for Freedom of the Press in drugih, organizacije Article 19 in drugih ter ustanove internet Freedom Foundation in drugih dopustne, saj naj bi te izkazale zadosten interes za razveljavitev ničnosti izpodbijane odločbe.
24. Conseil d’État (državni svet) poudarja, da obdelava osebnih podatkov, opravljena z iskalnikom, ki ga upravlja družba Google, ob upoštevanju dejavnosti trženja in prodaje oglasnega prostora, ki jih v Franciji izvaja njena hčerinska družba Google France, spada na področje uporabe zakona z dne 6. januarja 1978, s katerim je bila v francosko pravo prenesena Direktiva 95/46.
25. Conseil d’État (državni svet) poleg tega ugotavlja, da ima iskalnik, ki ga upravlja družba Google, različne domenske končnice z geografskimi priponami, da lahko prikazane zadetke prilagodi posebnostim, zlasti jezikovnim, različnih držav, v katerih opravlja svojo dejavnost. Kadar se iskanje opravlja z naslova „google.com“, družba Google Inc. načeloma samodejno preusmeri to iskanje na ime domene, ki ustreza državi, iz katere naj bi se glede na identifikacijo naslova IP internetnega uporabnika to iskanje izvajalo. Vendar lahko internetni uporabnik neodvisno od kraja, kjer je, svoja iskanja izvaja na drugih imenih domen iskalnika. Poleg tega, čeprav se lahko zadetki razlikujejo glede na ime domene, s katere je iskanje v iskalniku izvedeno, ni sporno, da povezave, ki se prikažejo po iskanju, izvirajo iz skupnih podatkovnih zbirk in indeksacije.
26. Conseil d’État (državni svet) meni, da je treba – ob upoštevanju dejstva, da so na eni strani vsa imena domen iskalnika družbe Google dostopna s francoskega ozemlja in da na drugi strani obstajajo prehodi med temi različnimi imeni domen, na kar kažeta med drugim samodejno preusmerjanje in poleg tega obstoj piškotkov na iskalniku z domenskimi končnicami, ki so drugačne od končnic iskalnika, na katerem so bili ti piškotki prvotno shranjeni – ta iskalnik, za katerega je bila pri CNIL tudi sicer vložena le ena prijava, z vidika zakona z dne 6. januarja 1978 obravnavati kot enkratno obdelavo osebnih podatkov. Iz navedenega naj bi izhajalo, da se obdelava osebnih podatkov z iskalnikom, ki ga upravlja družba Google, opravlja v okviru ene od njenih poslovnih enot, to je družbe Google France, ki ima sedež na francoskem ozemlju in za katero velja zakon z dne 6. januarja 1978.
27. Družba Google pred Conseil d’État (državni svet) navaja, da sporna kazen temelji na napačni razlagi določb zakona z dne 6. januarja 1978, s katerimi sta bila prenesena člena 12(b) in 14(a) Direktive 95/46, na podlagi katerih je Sodišče v sodbi Google Spain in Google(5) priznalo „pravico do odstranitve povezave“. Družba Google navaja, da ta pravica ne pomeni nujno, da se sporne povezave odstranijo brez geografske omejitve z vseh imen domene njegovega iskalnika. Poleg tega naj bi CNIL s sprejetjem take razlage kršila načeli vljudnosti in nevmešavanja, priznani z mednarodnim javnim pravom, ter nesorazmerno posegla v svobodo izražanja, obveščanja, širjenja vesti in tiska, zagotovljeno zlasti s členom 11 Listine Evropske unije o temeljnih pravicah (v nadaljevanju: Listina).
IV. Vprašanja za predhodno odločanje in postopek pred Sodiščem
28. Conseil d’État (državni svet) je po tem, ko je ugotovil, da se pri tej utemeljitvi pojavlja več resnih težav glede razlage Direktive 95/46, prekinil odločanje in Sodišču predložil ta vprašanja za predhodno odločanje:
„1. Ali je treba ‚pravico do odstranitve povezav‘, kot jo je [Sodišče] potrdilo v sodbi [Google Spain in Google(6)] na podlagi določb členov 12(b) in 14(a) Direktive [95/46], razlagati tako, da mora upravljavec iskalnika, če ugodi zahtevi za odstranitev povezav, te povezave odstraniti z vseh imen domen svojega iskalnika, tako da se sporne povezave ne prikažejo več v nobenem kraju, iz katerega se opravi iskanje na podlagi imena osebe, ki je zahtevala odstranitev, tudi zunaj ozemeljskega področja uporabe Direktive [95/46]?
2. Če je odgovor na to prvo vprašanje nikalen, ali je treba ‚pravico do odstranitve povezav‘, kot jo je [Sodišče] potrdilo v zgoraj navedeni sodbi, razlagati tako, da mora upravljavec iskalnika, če ugodi zahtevi za odstranitev povezav, sporne povezave odstraniti samo s seznama zadetkov, ki se prikažejo po iskanju na podlagi imena osebe, ki je zahtevala odstranitev, na imenu domene, ki ustreza državi, za katero se šteje, da je bila v njej zahteva podana, ali splošneje na imenih domen iskalnika, ki ustrezajo nacionalnim priponam tega iskalnika za vse države članice Evropske unije?
3. Poleg tega, ali je treba poleg obveznosti, navedene [v drugem vprašanju], ‚pravico do odstranitve povezav‘, kot jo je [Sodišče] potrdilo v zgoraj navedeni sodbi, razlagati tako, da mora upravljavec iskalnika, če ugodi zahtevi za odstranitev povezav, s tako imenovano tehniko ‚geoblokiranja‘ z naslova IP, za katerega se šteje, da je v državi prebivališča upravičenca do ‚pravice do odstranitve povezav‘, odstraniti sporne zadetke, ki se prikažejo po iskanju na podlagi njegovega imena, ali celo splošneje z naslova IP, za katerega se šteje, da je v eni od držav članic, za katere velja Direktiva [95/46], in to neodvisno od imena domene, ki ga uporabi internetni uporabnik, ki opravi iskanje?“
29. Pisna stališča so predložili družba Google, CNIL, ustanova Wikimedia Foundation, ustanova Fondation pour la liberté de la presse, nevladna organizacija Reporters Committee for Freedom of the Press in drugi, organizacija Article 19 in drugi, ustanova internet Freedom Foundation in drugi, Défenseur des droits (zagovornik človekovih pravic), francoska, irska, grška, italijanska, avstrijska in poljska vlada ter Evropska komisija.
30. Vse zainteresirane strani, razen Défenseur des droits (zagovornik človekovih pravic), italijanska vlada in družba Microsoft, so na obravnavi, ki je potekala 11. septembra 2018, podale ustne navedbe.
V. Analiza
31. Vprašanja, ki jih je postavilo predložitveno sodišče, se ne nanašajo na razlago določb Uredbe 2016/679, temveč na razlago določb Direktive 95/46. Vendar je bila navedena direktiva razveljavljena s to uredbo, ki se uporablja od 25. maja 2018,(7) z učinkom od istega datuma.(8)
32. Ker se v francoskem upravnem postopkovnem pravu za spor uporablja zakon, ki velja na datum sprejetja izpodbijane odločbe, ni dvoma, da se za spor o glavni stvari uporablja Direktiva 95/46. Zato mora Sodišče razlagati določbe te direktive.
A. Prvo vprašanje za predhodno odločanje
33. Conseil d’État (državni svet) s prvim vprašanjem za predhodno odločanje Sodišče sprašuje, ali mora upravljavec iskalnika, če ugodi zahtevi za odstranitev povezav, te povezave odstraniti z vseh imen domen svojega iskalnika, tako da se sporne povezave ne prikažejo več v nobenem kraju, iz katerega se opravi iskanje na podlagi imena osebe, ki je zahtevala odstranitev.
34. CNIL, Défenseur des droits (zagovornik človekovih pravic) ter francoska, italijanska in avstrijska vlada navajajo potrebo po učinkovitem in popolnem varstvu osebnih podatkov, zagotovljenem s členom 8 Listine, in polni učinek pravice do odstranitve povezave, ki izhaja iz člena 12(b) in člena 14, prvi odstavek, točka (a), Direktive 95/46, pri čemer trdijo, da bi bila za zagotovitev učinkovitosti teh pravic potrebna obveznost odstranitve povezav na svetovni ravni. Zdi se, da je tako tudi stališče, ki ga je izrazila Delovna skupina za varstvo podatkov iz člena 29(9) v svojih „Smernicah v zvezi z izvršitvijo sodbe [Google Spain in Google(10)]“ z dne 26. novembra 2014(11) (v nadaljevanju: Smernice). Ta skupina namreč poudarja, da „[je] treba za polni učinek pravic zadevnih oseb, opredeljenih v sodbi Sodišča, odločbe o odstranitvi povezav izvršiti tako, da se zagotovi učinkovito in popolno varstvo pravic zadevnih oseb ter da ni mogoče zaobiti evropske zakonodaje. V tem smislu omejitve odstranitve povezav na domene Evropske unije, ker uporabniki običajno dostopajo do iskalnikov prek svojih nacionalnih domen, torej ni mogoče šteti za zadosten način za zadovoljivo zagotovitev pravic zadevnih oseb v skladu s sodbo Sodišča. V praksi to pomeni, da bi bilo treba vsako odstranitev povezav uporabiti tudi za vse zadevne domene, vključno z domenami.com“.(12)
35. Nasprotno, družba Google, ustanova Wikimedia Foundation, ustanova Fondation pour la liberté de la presse, nevladna organizacija Reporters Committee for Freedom of the Press in drugi, organizacija Article 19 in drugi, ustanova internet Freedom Foundation in drugi, irska, grška in poljska vlada ter Komisija v bistvu menijo, da uvedba pravice do odstranitve povezave na svetovni ravni na podlagi prava Unije ne bi bila skladna niti s tem pravom niti z mednarodnim javnim pravom ter bi pomenila nevaren precedens, ki bi avtoritarne režime spodbudil, da zahtevajo izvajanje svojih odločitev o cenzuri tudi na svetovni ravni.
36. Ideja odstranitve povezav na svetovni ravni se lahko zdi vabljiva zaradi svoje radikalnosti, jasnosti, enostavnosti in učinkovitosti. Vendar me ta rešitev ne prepriča, saj se pri njej upošteva le ena plat medalje, to je varstvo podatkov posameznika.
1. Sodba Google Spain in Google
37. Izhodišče moje analize je sodba Google Spain in Google(13).
38. V tej sodbi ni opredeljen geografski obseg odstranjevanja povezav. Vendar ta sodba vsebuje vrsto elementov, zlasti v zvezi z vprašanjem ozemeljske veljavnosti Direktive 95/46, ki ga je v tem primeru vredno omeniti.
39. Eno od vprašanj je bilo, pod katerimi pogoji Direktiva 95/46 velja ozemeljsko za obdelavo osebnih podatkov v okviru dejavnosti iskalnika, kot je Google Search, ki ga upravlja družba Google Inc., matična družba skupine Google, katere sedež je v Združenih državah.
40. Sodišče je v zvezi s tem – na podlagi člena 4(1)(a) Direktive 95/46, ki kot merilo določa, da „se obdelava [osebnih podatkov] izvaja v okviru dejavnosti [poslovne enote] upravljavca na ozemlju države članice“ – razsodilo, da ozemeljska veljavnost Direktive 95/46 zajema primere, v katerih upravljavec iskalnika v eni od držav članic ustanovi podružnico ali hčerinsko družbo, ki se ukvarja s trženjem in prodajo oglasnega prostora na iskalniku, katerega dejavnost je usmerjena k prebivalcem tiste države članice (kot sta družba Google Spain ali v obravnavanem primeru Google France).(14)
41. Sodišče je s tem zavrnilo argument družb Google Spain in Google Inc., da se zadevna obdelava osebnih podatkov ni izvajala „v okviru dejavnosti“ družbe Google Spain, temveč naj bi jo izvajala izključno družba Google Inc., ki naj bi očitno iskalnik Google Search upravljala brez pomoči družbe Google Spain, katere dejavnost naj bi bila omejena na pomoč pri oglaševalski dejavnosti družbe Google, ki naj bi bila ločena od storitve iskalnika.
42. V zvezi s tem je Sodišče pojasnilo, da je cilj Direktive 95/46, da se zagotovi učinkovito in popolno varstvo temeljnih pravic in svoboščin fizičnih oseb, predvsem pravice do zasebnosti pri obdelavi osebnih podatkov, in da izraza „v okviru dejavnosti“ ni mogoče razlagati ozko.(15) Poleg tega naj bi iz člena 4 Direktive 95/46 izhajalo, da je želel zakonodajalec Unije s tem, da je določil posebej široko ozemeljsko področje uporabe, preprečiti, da bi bila oseba izključena iz varstva, ki ga zagotavlja ta direktiva, in da bi se to varstvo obšlo.(16)
2. Kraj, iz katerega se opravi iskanje
43. Tako kot v obravnavani zadevi je v zadevi Google Spain in Google(17) šlo za spor med družbo Google,(18) kot tožečo stranko, in državno agencijo za varstvo podatkov(19) v zvezi z odločitvijo te agencije.
44. Vendar je v središču sodbe Google Spain in Google(20) nedvomno oseba, katere osebne podatke je treba zaščititi. Sodišče daje prednost pravicam te osebe. Vidik tistega, ki išče informacije, se v tej sodbi pojavi le posredno.(21) Zato Sodišče s tem, da je navedlo le „seznam zadetkov, ki se prikaže po iskanju, opravljenem na podlagi imena osebe“, ni pojasnilo okvira, v katerem je bilo to iskanje opravljeno, kdo ga je opravil in od kod se je opravljalo.
45. Čeprav je torej namen določb Direktive 95/46 na podlagi členov 7 in 8 Listine zaščititi temeljne pravice „iskane“ osebe, na katero nato „obstajajo povezave“, pa se s temi določbami vseeno ne odgovori na vprašanje ozemeljske veljavnosti odstranitve povezav. Na primer, niti v teh določbah niti v sodbi Google Spain in Google(22) ni pojasnjeno, ali je treba iskalno zahtevo, opravljeno iz Singapurja, obravnavati drugače kot zahtevo, opravljeno iz Pariza ali Katovic.
46. Po mojem mnenju je treba razlikovati glede na kraj, iz katerega se opravlja iskanje. Pri iskalnih zahtevah, opravljenih zunaj ozemlja Unije, se ne bi smele odstraniti povezave z iskalnih zadetkov.
a) Ozemeljska veljavnost Direktive 95/46
47. Na podlagi člena 52(1) PEU se Pogodbi uporabljata za 28 držav članic.(23) Ozemlje države članice je opredeljeno z nacionalnim pravom in mednarodnim javnim pravom.(24) V členu 52(2) PEU je dodano, da je ozemeljska veljavnost Pogodb določena v členu 355 PDEU.(25) Pravo Unije se načeloma zunaj tega ozemlja ne more uporabljati ter posledično ne more ustvariti pravic in obveznosti.
48. Postavlja se torej vprašanje, ali zaradi izrednega razloga področje uporabe Direktive 95/46 presega zgoraj navedene ozemeljske meje, torej ali je treba določbe te direktive razlagati široko, tako da njihov učinek sega prek teh meja.
49. Mislim, da ne.
50. Res je, da obstajajo nekateri položaji, v katerih so v pravu Unije dopustni ekstrateritorialni učinki.
51. Kot poudarja tudi francoska vlada, v skladu z ustaljeno sodno prakso na področju konkurenčnega prava to, da je podjetje, ki sodeluje pri protikonkurenčnem sporazumu ali izvaja tovrstno ravnanje, v tretji državi, ne pomeni ovire za uporabo pravil Unije o konkurenci na podlagi členov 101 PDEU in 102 PDEU, če imata ta sporazum ali to ravnanje učinke na ozemlju Unije.(26)
52. Sodišče je razsodilo, da bi bila na področju prava znamk učinkovitost predpisov v zvezi z varstvom pravic iz znamke(27) ogrožena, če ti ne bi veljali za uporabo znaka, enakega ali podobnega znamki, registrirani v Uniji, v ponudbi za prodajo ali pri oglaševanju na internetu, ki je namenjeno potrošnikom v Uniji, zgolj zato, ker ima tretja oseba, ki tako ponuja ali oglašuje, prebivališče ali sedež v tretji državi, ker je strežnik spletnega mesta, ki ga uporablja, v taki državi ali celo ker je izdelek, ki je predmet navedene ponudbe ali oglaševanja, v tretji državi.(28)
53. Ta položaja sta po mojem mnenju izredna položaja, ki pomenita izjemo. V obeh položajih je ključen učinek na notranji trg (čeprav lahko obstaja vpliv tudi na druge trge). Notranji trg je ozemlje, ki je jasno opredeljeno s Pogodbama. Nasprotno pa je internet globalen in na nek način povsod prisoten. Težko je torej iskati podobnosti in delati primerjave.
b) Ekstrateritorialni učinki temeljnih pravic
54. Po mojem mnenju se ni mogoče sklicevati – tako kot to stori Défenseur des droits (zagovornik človekovih pravic) – niti na sodno prakso Evropskega sodišča za človekove pravice o ekstrateritorialnih učinkih Konvencije o varstvu človekovih pravic in temeljnih svoboščin, podpisane v Rimu 4. novembra 1950, v okviru izročitve osebe v tretjo državo,(29) in sicer iz dveh razlogov.
55. Prvič, področje uporabe Listine ustreza področju uporabe prava Unije, in ne obratno, kar je izrecno pojasnjeno v členu 51(2) Listine.(30)
56. Drugič, ta sodna praksa se nanaša na posebne primere smrtne kazni ali prepovedi mučenja, pri čemer na teh človekovih pravicah temelji vsaka pravna država in od njih ni mogoče odstopati.(31)
57. Nasprotno – in to je nekako jedro obravnavane zadeve – pa je treba „pravico do pozabe“ uravnotežiti z drugimi temeljnimi pravicami.
c) Uravnoteženje temeljnih pravic
58. Ključni argument proti obveznosti odstranitve povezave na svetovni ravni je uravnoteženje temeljnih pravic in nanje nanašajočih se ugotovitev iz sodbe Google Spain in Google.(32) V tej zadevi je Sodišče pripisalo velik pomen uravnoteženju pravice do varstva podatkov in zasebnosti na eni strani ter legitimnega interesa javnosti, da dostopa do iskanih informacij, na drugi strani.
59. Znano je, da sta pravica do varstva podatkov in pravica do zasebnosti pravici, ki izhajata iz členov 7 in 8 Listine, ter da morata izkazovati navezno okoliščino s pravom Unije in njegovo ozemeljsko veljavnostjo. Enako velja za legitimni interes javnosti, da dostopa do iskanih informacij. Kar zadeva Unijo, ta pravica izhaja iz člena 11 Listine. Zadevna javnost ni svetovna javnost, temveč spada na področje uporabe Listine, torej gre za javnost na evropski ravni.
60. Če bi se priznala odstranitev povezav na svetovni ravni, organi Unije ne bi mogli opredeliti in določiti pravice do prejemanja informacij, še težje pa bi jo uravnotežili z drugima temeljnima pravicama do varstva podatkov in do zasebnosti. To velja toliko bolj, ker se bo tak interes javnosti, da dostopa do določene informacije, nujno spreminjal glede na njen geografski položaj, od ene tretje države do druge.
61. Poleg tega bi v tem primeru obstajala nevarnost, da bi Unija osebam v teh tretjih državah preprečevala dostop do informacij. Če bi lahko organ znotraj Unije odredil odstranitev povezave na svetovni ravni, bi bil tretjim državam dan poguben znak, saj bi lahko te države prav tako odredile odstranitev povezav na podlagi svojih zakonov. Predstavljajmo si, da bi iz katerega koli že razloga tretje države nekatere svoje pravice razlagale tako, da je treba osebam, ki so v državi članici Unije, onemogočiti dostop do iskane informacije. Obstajalo bi realno tveganje, da bi prišlo do usklajevanja na nizki ravni, kar bi škodovalo svobodi izražanja, na evropski in svetovni ravni.(33)
62. Glede na zadevne okoliščine torej ni treba, da se določbe Direktive 95/46 uporabljajo tudi zunaj ozemlja Unije. Vendar to ne pomeni, da v pravu Unije nikoli ne more biti uporabniku iskalnika, kot je Google, naloženo, naj sprejme ukrepe na svetovni ravni. Ne izključujem, da lahko pride do položajev, v katerih je treba zaradi interesa Unije uporabiti določbe Direktive 95/46 tudi zunaj ozemlja Unije. Vendar v položaju, kakršen je obravnavani v tej zadevi, ni razloga za tako uporabo določb Direktive 95/46.
63. Sodišču torej predlagam, naj na prvo vprašanje za predhodno odločanje odgovori, da je treba določbe člena 12(b) in člena 14(a) Direktive 95/46 razlagati tako, da upravljavcu iskalnika, če ugodi zahtevi za odstranitev povezav, teh povezav ni treba odstraniti z vseh imen domen svojega iskalnika, tako da se sporne povezave ne prikažejo več v nobenem kraju, iz katerega se opravi iskanje na podlagi imena osebe, ki je zahtevala odstranitev.
B. Drugo in tretje vprašanje za predhodno odločanje
64. Ker predlagam, naj se na prvo vprašanje odgovori nikalno, je treba v nadaljevanju analize drugo in tretje vprašanje obravnavati skupaj.
65. Predložitveno sodišče želi z drugim vprašanjem izvedeti, ali mora upravljavec iskalnika, če ugodi zahtevi za odstranitev povezav, sporne povezave odstraniti samo s seznama zadetkov, ki se prikažejo po iskanju na podlagi imena osebe, ki je zahtevala odstranitev, na imenu domene, ki ustreza državi, za katero se šteje, da je bila v njej zahteva podana, ali splošneje na imenih domen iskalnika, ki ustrezajo nacionalnim priponam tega iskalnika za vse države članice Unije.
66. Namen tretjega vprašanja, ki „dopolnjuje“ drugo vprašanje, je ugotoviti, ali mora upravljavec iskalnika, če ugodi zahtevi za odstranitev povezav, s tako imenovano tehniko „geoblokiranja“ pri dostopu z naslova IP, za katerega se šteje, da je v državi prebivališča upravičenca do „pravice do odstranitve povezav“, odstraniti sporne zadetke, ki se prikažejo po iskanju na podlagi njegovega imena, ali celo splošneje pri dostopu z naslova IP, za katerega se šteje, da je v eni od držav članic, za katere velja Direktiva 95/46, in to neodvisno od imena domene, ki ga uporabi internetni uporabnik, ki opravi iskanje.
67. Predložitveno sodišče v svojih vprašanjih za predhodno odločanje neločljivo povezuje ime domene iskalnika na eni strani(34) in kraj, iz katerega se opravlja iskanje na podlagi imena osebe, na drugi strani(35).
68. Kar zadeva prvo vprašanje za predhodno odločanje, je taka povezava očitna: če upravljavec iskalnika onemogoči dostop do iskalnih zadetkov na vseh svojih imenih domen, se sporne povezave seveda ne pojavijo več, ne glede na kraj, iz katerega se opravlja iskanje.
69. Če pa se, nasprotno, na prvo vprašanje odgovori nikalno, kar tudi predlagam, taka povezava ni več nujna. Kot namreč poudarja samo predložitveno sodišče, lahko oseba še naprej opravlja iskanje prek katerega koli imena domene iskalnika. Na primer, pripona google.fr ni omejena na iskanje, ki se opravlja iz Francije.
70. Vendar je mogoče to možnost omejiti s tako imenovano tehniko „geoblokiranja“.
71. Geoblokiranje je tehnika, s katero se omeji dostop do internetne vsebine glede na geografski položaj uporabnika. V sistemu geoblokiranja se lokacija uporabnika določi s tehnikami geolokalizacije, kot je preverjanje uporabnikovega naslova IP. Geoblokiranje, ki pomeni določeno obliko cenzure, se šteje za neupravičeno v pravu notranjega trga Unije, kadar je, med drugim, predmet ureditve, katere namen je preprečiti trgovcem, ki opravljajo svoje dejavnosti v državi članici, da strankam, ki izvirajo iz drugih držav članic in želijo opravljati čezmejne posle, onemogočijo ali omejijo dostop do njihovih spletnih vmesnikov.(36)
72. Potem ko se geoblokiranje dovoli, ime domene upravljavca uporabljenega iskalnika ni več pomembno. Predlagam torej, da se tretje vprašanje obravnava pred drugim.
73. Sodišče je v sodbi Google Spain in Google(37) razsodilo, da mora upravljavec iskalnika v okviru svojih odgovornosti, pristojnosti in zmožnosti zagotoviti, da dejavnost navedenega iskalnika izpolnjuje zahteve Direktive 95/46, tako da ima lahko varstvo, ki ga ta direktiva zagotavlja, polni učinek ter da se lahko zadevnim osebam dejansko zagotovi učinkovito in popolno varstvo med drugim pravice do spoštovanja zasebnosti.(38)
74. Potem ko se ugotovi, da obstaja pravica do odstranitve povezave, mora torej upravljavec iskalnika sprejeti vse razpoložljive ukrepe za zagotovitev učinkovite in popolne odstranitve povezav.(39) Ta upravljavec mora torej sprejeti vse tehnično izvedljive ukrepe. Kar zadeva spor o glavni stvari, to med drugim vključuje tako imenovano tehniko „geoblokiranja“, in to ne glede na ime domene, ki ga je uporabil internetni uporabnik pri iskanju.
75. Odstranitev povezav je treba izvesti ne na nacionalni ravni, kot bom pojasnil v nadaljevanju, temveč na ravni Evropske unije.
76. Ker je „cilj“ Direktive 95/46 „zagotovitev visoke ravni varstva v [Uniji]“,(40) je njen namen uvesti celovit sistem varstva podatkov, ki presega nacionalne meje. Ta direktiva temelji na členu 100a PES(41), zato zanjo velja logika notranjega trga, ki – naj spomnim – pomeni območje brez notranjih meja.(42) Iz tega sledi, da bi bila odstranitev povezav na nacionalni ravni v nasprotju s tem ciljem usklajevanja in polnim učinkom določb Direktive 95/46.(43)
77. Poleg tega je treba poudariti, da se v okviru Uredbe 2016/679 to vprašanje niti ne bi pojavilo, saj se ta uredba kot taka „neposredno uporablja v vseh državah članicah“.(44) Ker Uredba 2016/679 temelji na členu 16 PDEU, presega pristop notranjega trga iz Direktive 95/46, njen cilj pa je zagotoviti celovit sistem varstva osebnih podatkov v Uniji.(45) V tej uredbi se sistematično uporabljajo pojmi Unija, ozemlje Unije ali države članice(46).
78. Predlagam torej, da se na drugo in tretje vprašanje za predhodno odločanje odgovori, da mora upravljavec iskalnika odpraviti sporne povezave s seznama zadetkov, ki se prikažejo po iskanju na podlagi imena osebe, ki zahteva odstranitev, opravljenem iz kraja, ki je v Evropski uniji. V teh okoliščinah mora ta upravljavec sprejeti vse razpoložljive ukrepe za zagotovitev učinkovite in popolne odstranitve povezav. To med drugim vključuje tako imenovano tehniko „geoblokiranja“ pri uporabi naslova IP, za katerega se šteje, da je v eni od držav članic, za katero velja Direktiva 95/46, ne glede na ime domene, ki jo internetni uporabnik uporabi pri iskanju.
VI. Predlog
79. Ob upoštevanju vseh navedenih ugotovitev Sodišču predlagam, naj na vprašanja za predhodno odločanje, ki jih je predložil Conseil d’État (državni svet, Francija), odgovori:
1. Določbe člena 12(b) in člena 14(a) Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov je treba razlagati tako, da upravljavcu iskalnika, če ugodi zahtevi za odstranitev povezav, teh povezav ni treba odstraniti z vseh imen domen svojega iskalnika, tako da se sporne povezave ne prikažejo več v nobenem kraju, iz katerega se opravi iskanje na podlagi imena osebe, ki je zahtevala odstranitev.
2. Upravljavec iskalnika mora odpraviti sporne povezave s seznama zadetkov, ki se prikažejo po iskanju na podlagi imena osebe, ki zahteva odstranitev, opravljenem iz kraja, ki je v Evropski uniji. V teh okoliščinah mora ta upravljavec sprejeti vse razpoložljive ukrepe za zagotovitev učinkovite in popolne odstranitve povezav. To med drugim vključuje tako imenovano tehniko „geoblokiranja“ pri uporabi naslova IP, za katerega se šteje, da je v eni od držav članic, za katero velja Direktiva 95/46, ne glede na ime domene, ki jo internetni uporabnik uporabi pri iskanju.