KOHTUJURISTI ETTEPANEK
MACIEJ SZPUNAR
esitatud 10. jaanuaril 2019(1)
Kohtuasi C‑507/17
Google LLC, Google Inc. õigusjärglane,
versus
Commission nationale de l’informatique et des libertés (CNIL),
menetluses osalesid:
Wikimedia Foundation Inc.,
Fondation pour la liberté de la presse,
Microsoft Corp.,
Reporters Committee forFreedom of the Press jt,
Article 19 jt,
Internet Freedom Foundation jt,
Défenseur des droits
(eelotsusetaotlus, mille on esitanud Conseil d’État (Prantsusmaa kõrgeima halduskohtuna tegutsev riiginõukogu))
Eelotsusetaotlus – Isikuandmed – Õiguse olla unustatud ulatus – 13. mai 2014. aasta kohtuotsus Google Spain ja Google, C‑131/12 – Kustutamine taotluse saanud liikmesriigile vastaval domeeninime laiendil või otsingumootori domeeninime laienditel, mis vastavad selle mootori kõikide liikmesriikide laienditele
I. Sissejuhatus
1. Käesolev eelotsusetaotlus, mille on esitanud Conseil d’État (Prantsusmaa kõrgeima halduskohtuna tegutsev riiginõukogu), järgneb kohtuotsusele Google Spain ja Google(2) ning annab Euroopa Kohtule võimaluse täpsustada direktiivi 95/46/EÜ(3) territoriaalset kohaldamisala. On hästi teada, et selles kohtuotsuses sedastas Euroopa Kohus „õiguse olla unustatud“, mis seisneb selles, et teatud tingimustel võib isik nõuda otsingumootori haldajalt otsingutulemuste kustutamist. Käesolevas kohtuasjas palutakse Euroopa Kohtul täpsustada tulemuste loetelust kustutamise territoriaalset ulatust ja teha kindlaks, kas direktiivi 95/46 sätted nõuavad tulemuste loetelust kustutamist riikide, Euroopa või maailma tasandil.
2. Käesolevas kohtuasjas teen Euroopa Kohtule ettepaneku Euroopa tasandil kustutamise kohta: otsingumootori haldaja peaks olema kohustatud kustutama lingid, mis kuvatakse Euroopa Liidus asuvas kohas tehtud otsingu tulemusel.
II. Õiguslik raamistik
A. Liidu õigus
1. Direktiiv 95/46
3. Direktiivi 95/46 artikli 1 kohaselt on selle direktiivi eesmärk kaitsta isikuandmete töötlemisel füüsiliste isikute põhiõigusi ja -vabadusi ning eelkõige nende õigust eraelu puutumatusele, samuti kõrvaldada selliste andmete vaba liikumise takistused.
4. Direktiivi 95/46 artiklis 2 on sätestatud, et selles direktiivis „kasutatakse järgmisi mõisteid:
a) isikuandmed – igasugune teave tuvastatud või tuvastatava füüsilise isiku (edaspidi „andmesubjekt“) kohta. Tuvastatav isik on isik, keda saab otseselt või kaudselt tuvastada, eelkõige isikukoodi põhjal või ühe või mitme tema füüsilisele, füsioloogilisele, vaimsele, majanduslikule, kultuurilisele või sotsiaalsele identsusele omase joone põhjal;
b) isikuandmete töötlemine (edaspidi „töötlemine“) – iga isikuandmetega tehtav toiming või toimingute kogum, olenemata sellest, kas see on automatiseeritud või mitte, näiteks kogumine, salvestamine, korrastamine, säilitamine, kohandamine või muutmine, väljavõtete tegemine, päringu teostamine, kasutamine, üleandmine, levitamine või muul moel avaldamine, ühitamine või ühendamine, sulgemine, kustutamine või hävitamine;
[…]
d) vastutav töötleja – füüsiline või juriidiline isik, riigiasutus, esindused või mõni muu organ, kes määrab üksi või koos teistega kindlaks isikuandmete töötlemise eesmärgid ja vahendid; kui töötlemise eesmärgid ja vahendid on kindlaks määratud siseriiklike või ühenduse õigusnormidega, võib vastutava töötleja või tema ametissemääramise sätestada siseriiklikus või ühenduse õiguses;
[…]
h) andmesubjekti nõusolek – iga vabatahtlik, konkreetne ja teadlik tahteavaldus, millega andmesubjekt annab nõusoleku töödelda tema kohta käivaid andmeid.“
5. Direktiivi artikli 3 „Reguleerimisala“ lõikes 1 on sätestatud:
„Käesolevat direktiivi kohaldatakse isikuandmete täielikult või osaliselt automatiseeritud töötlemise suhtes ja isikuandmete automatiseerimata töötlemise suhtes, kui kõnealused isikuandmed kuuluvad kataloogi või kui nad kavatsetakse hiljem sellesse kanda.“
6. Direktiivi artikkel 4 „Kohaldatav siseriiklik õigus“ näeb ette:
„1. Iga liikmesriik kohaldab isikuandmete töötlemise suhtes käesoleva direktiivi kohaselt vastuvõetud siseriiklikke õigusnorme, kui:
a) töötlemine toimub liikmesriigi territooriumil paikneva vastutava töötleja asutuse tegevuse raames; kui sama vastutav töötleja on registreeritud mitme liikmesriigi territooriumil, peab ta võtma vajalikke meetmeid tagamaks, et kõik kõnealused asutused järgivad kohaldatavates siseriiklikes õigusnormides sätestatud kohustusi;
[…]“.
7. Direktiivi 95/46 II peatüki I jaos „Põhimõtted andmete kvaliteedi kohta“ on artiklis 6 sätestatud:
„1. Liikmesriigid sätestavad selle, et
a) isikuandmeid töödeldakse õiglaselt ja seaduslikult;
b) isikuandmeid kogutakse täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel ega töödelda hiljem viisil, mis on vastuolus kõnealuste eesmärkidega. Täiendavat töötlemist ajaloo, statistika või teadusega seotud eesmärkidel ei peeta vastuolus olevaks tingimusel, et liikmesriigid kannavad hoolt vajalike tagatiste eest;
c) isikuandmed on piisavad, asjakohased ega ületa selle otstarbe piire, mille tarvis neid kogutakse ja/või hiljem töödeldakse;
d) andmed on täpsed ja vajaduse korral ajakohastatud; võetakse kõik mõistlikud meetmed, et kustutada või parandada andmete kogumise või hilisema töötlemise eesmärgi seisukohast ebaõiged või mittetäielikud andmed;
e) isikuandmeid säilitatakse kujul, mis võimaldab andmesubjekte tuvastada ainult seni, kuni see on vajalik seoses andmete kogumise või hilisema töötlemise eesmärkidega. Liikmesriigid kehtestavad vajalikud tagatised nende isikuandmete jaoks, mida säilitatakse pikema aja jooksul, et neid kasutada seoses ajaloo, statistika või teadusega.
2. Lõike 1 järgimise tagab vastutav töötleja.“
8. Direktiivi 95/46 II peatüki II jaos „Andmetöötluse seaduslikkuse kriteeriumid“ on artiklis 7 sätestatud:
„Liikmesriigid sätestavad, et isikuandmeid võib töödelda ainult juhul, kui:
[…]
f) töötlemine on vajalik vastutava töötleja või andmeid saava kolmanda isiku või kolmandate isikute õigustatud huvide elluviimiseks, kui selliseid huve ei kaalu üles artikli 1 lõike 1 kohaselt kaitstavate andmesubjekti põhiõiguste ja -vabadustega seotud huvid.“
9. Direktiivi artiklis 12 „Õigus tutvuda andmetega“ on ette nähtud:
„Liikmesriigid tagavad, et igal andmesubjektil on õigus nõuda vastutavalt töötlejalt:
[…]
b) võimalust vastavalt vajadusele parandada, kustutada või sulgeda need andmed, mille töötlemine ei vasta käesoleva direktiivi sätetele, eelkõige seetõttu, et andmed on ebatäielikud või ebaõiged;
[…]“.
10. Selle direktiivi artiklis 14 „Andmesubjektide õigus esitada vastuväiteid“ on sätestatud:
„Liikmesriigid annavad andmesubjektidele õiguse:
a) esitada alati konkreetse olukorraga seotud õigustatud ja veenvatel põhjustel vastuväiteid teda käsitlevate andmete töötlemise suhtes vähemalt artikli 7 punktides e ja f osutatud juhtudel, kui siseriiklikes õigusaktides ei ole sätestatud teisiti. Kui tegemist on õigustatud vastuväitega, ei tohi vastutav töötleja kõnealuseid andmeid edasi töödelda;
[…]“.
11. Sama direktiivi artikkel 28 „Järelevalveasutus“ on sõnastatud järgmiselt:
„1. Iga liikmesriik näeb ette ühe või mitu riigiasutust, et teostada järelevalvet tema territooriumil käesoleva direktiivi kohaselt vastuvõetud sätete kohaldamise üle.
[…]
3. Igal sellisel ametiasutusel on eelkõige:
– uurimisvolitused, näiteks volitused tutvuda töödeldavate andmetega ja koguda oma järelevalvekohustuse täitmiseks vajalikku teavet;
– tõhusad sekkumisvolitused, näiteks […] anda korraldus andmete sulgemiseks, kustutamiseks või hävitamiseks, keelata töötlemine ajutiselt või alaliselt […],
[…]
Kui järelevalveasutuse otsustega ei olda rahul, võib need edasi kaevata kohtusse.
4. Iga järelevalveasutus vaatab läbi kõigi isikute või kõnealuseid isikuid esindava ühenduse esitatud avaldused nende õiguste ja vabaduste kaitse kohta seoses isikuandmete töötlemisega. Andmesubjektile teatatakse avalduse tagajärgedest.
[…]
6. Olenemata sellest, milliseid siseriiklikke õigusi kõnealuse töötlemise suhtes kohaldatakse, on iga järelevalveasutus pädev kasutama oma liikmesriigi territooriumil talle lõikega 3 antud volitusi. Teise liikmesriigi asutused võivad igalt järelevalveasutuselt taotleda, et see kasutaks oma volitusi.
Järelevalveasutused teevad üksteisega koostööd, kuivõrd see on vajalik nende ülesannete täitmiseks, eelkõige vahetades kasulikku teavet.
[…]“.
2. Määrus (EL) 2016/679
12. Määrus (EL) 2016/679(4) on selle artikli 99 lõike 2 alusel kohaldatav alates 25. maist 2018. Selle määruse artikli 94 lõikes 1 on sätestatud, et direktiiv 95/46 tunnistatakse samast kuupäevast alates kehtetuks.
13. Selle määruse artikkel 17 „Õigus andmete kustutamisele („õigus olla unustatud“)“ on sõnastatud järgmiselt:
„1. Andmesubjektil on õigus nõuda, et vastutav töötleja kustutaks põhjendamatu viivituseta teda puudutavad isikuandmed ja vastutav töötleja on kohustatud kustutama isikuandmed põhjendamatu viivituseta, kui kehtib üks järgmistest asjaoludest:
a) isikuandmeid ei ole enam vaja sellel eesmärgil, millega seoses need on kogutud või muul viisil töödeldud;
b) andmesubjekt võtab töötlemiseks antud nõusoleku tagasi vastavalt artikli 6 lõike 1 punktile a või artikli 9 lõike 2 punktile a ning puudub muu õiguslik alus isikuandmete töötlemiseks;
c) andmesubjekt esitab vastuväite isikuandmete töötlemise suhtes artikli 21 lõike 1 kohaselt ja töötlemiseks pole ülekaalukaid õiguspäraseid põhjuseid või andmesubjekt esitab vastuväite isikuandmete töötlemise suhtes artikli 21 lõike 2 kohaselt;
d) isikuandmeid on töödeldud ebaseaduslikult;
e) isikuandmed tuleb kustutada selleks, et täita vastutava töötleja suhtes kohaldatava liidu või liikmesriigi õigusega ette nähtud juriidilist kohustust;
f) isikuandmeid koguti seoses artikli 8 lõikes 1 osutatud infoühiskonna teenuste pakkumisega.
2. Juhul kui vastutav töötleja on isikuandmed avalikustanud ja peab lõike 1 kohaselt isikuandmed kustutama, võtab vastutav töötleja kättesaadavat tehnoloogiat ja rakendamise kulusid arvestades tarvitusele mõistlikud abinõud, sealhulgas tehnilised meetmed, et teavitada kõnealuseid isikuandmeid töötlevaid vastutavaid töötlejaid sellest, et andmesubjekt taotleb neilt kõnealustele isikuandmetele osutavate linkide või andmekoopiate või -korduste kustutamist.
3. Lõikeid 1 ja 2 ei kohaldata sel määral mil isikuandmete töötlemine on vajalik
a) sõna- ja teabevabaduse õiguse teostamiseks;
b) selleks, et täita vastutava töötleja suhtes kohaldatava liidu või liikmesriigi õigusega ette nähtud juriidilist kohustust, mis näeb ette isikuandmete töötlemise, või täita avalikes huvides olevat ülesannet või teostada vastutava töötleja avalikku võimu;
c) rahvatervise valdkonnas avaliku huviga seotud põhjustel kooskõlas artikli 9 lõike 2 punktidega h ja i ning artikli 9 lõikega 3;
d) avalikes huvides toimuva arhiveerimise, teadus- või ajaloouuringute või statistilisel eesmärgil kooskõlas artikli 89 lõikega 1 sel määral mil lõikes 1 osutatud õigus tõenäoliselt muudab sellise töötlemise eesmärgi saavutamise võimatuks või häirib seda suurel määral, või
e) õigusnõuete koostamiseks, esitamiseks või kaitsmiseks.“
14. Määruse 2016/679 artiklis 18 „Õigus isikuandmete töötlemise piiramisele“ on sätestatud:
„1. Andmesubjektil on õigus nõuda vastutavalt töötlejalt isikuandmete töötlemise piiramist järgmistel juhtudel:
a) andmesubjekt vaidlustab isikuandmete õigsuse, ajaks, mis võimaldab vastutaval töötlejal isikuandmete õigsust kontrollida;
b) isikuandmete töötlemine on ebaseaduslik, kuid andmesubjekt ei taotle isikuandmete kustutamist, vaid kasutamise piiramist;
[…]
d) andmesubjekt on esitanud isikuandmete töötlemise suhtes artikli 21 lõike 1 kohaselt vastuväite, ajaks, kuni kontrollitakse, kas vastutava töötleja õiguspärased põhjused kaaluvad üles andmesubjekti põhjused.
2. Kui isikuandmete töötlemist on lõike 1 kohaselt piiratud, võib selliseid isikuandmeid töödelda (välja arvatud säilitamine) ainult andmesubjekti nõusolekul või õigusnõuete koostamiseks, esitamiseks või kaitsmiseks või teise füüsilise või juriidilise isiku õiguste kaitsmiseks või seoses liidu või liikmesriigi olulise avaliku huviga.
3. Vastutav töötleja teavitab lõike 1 kohaselt isikuandmete töötlemise piiramist nõudnud andmesubjekti enne isikuandmete töötlemise piiramise lõpetamist.“
15. Selle määruse artikli 21 „Õigus esitada vastuväiteid“ lõikes 1 on ette nähtud:
„Andmesubjektil on õigus oma konkreetsest olukorrast lähtudes esitada igal ajal vastuväiteid teda puudutavate isikuandmete töötlemise suhtes, mis toimub artikli 6 lõike 1 punkti e või f alusel, sealhulgas nendele sätetele tugineva profiilianalüüsi suhtes. Vastutav töötleja ei töötle isikuandmeid edasi, välja arvatud juhul, kui vastutav töötleja tõendab, et töödeldakse mõjuval õiguspärasel põhjusel, mis kaalub üles andmesubjekti huvid, õigused ja vabadused, või õigusnõuete koostamise, esitamise või kaitsmise eesmärgil.“
16. Selle määruse artiklis 85 „Isikuandmete töötlemine ning sõna- ja teabevabadus“ on sätestatud:
„1. Liikmesriigid ühitavad õigusaktiga käesoleva määruse kohase õiguse isikuandmete kaitsele ning sõna- ja teabevabaduse õiguse, muu hulgas seoses isikuandmete töötlemisega ajakirjanduslikel eesmärkidel ning akadeemilise, kunstilise või kirjandusliku eneseväljenduse tarbeks.
2. Seoses isikuandmete töötlemisega ajakirjanduslikel eesmärkidel ning akadeemilise, kunstilise või kirjandusliku eneseväljenduse tarbeks näevad liikmesriigid ette vabastusi või erandeid II peatükist (põhimõtted), III peatükist (andmesubjekti õigused), IV peatükist (vastutav töötleja ja volitatud töötleja), V peatükist (isikuandmete edastamine kolmandatele riikidele ja rahvusvahelistele organisatsioonidele), VI peatükist (sõltumatud järelevalveasutused), VII peatükist (koostöö ja järjepidevus) ja IX peatükist (andmetöötluse eriolukorrad), kui need on vajalikud, et ühitada õigus isikuandmete kaitsele sõna- ja teabevabadusega.
3. Liikmesriik teavitab komisjoni vastavalt lõikele 2 vastu võetud õigusnormidest ning viivitamata kõigist hilisematest neid õigusnorme mõjutavatest muutmise seadustest või muudatustest.“
B. Prantsuse õigus
17. Prantsuse õiguses on direktiiv 95/46 rakendatud 6. jaanuari 1978. aasta andmetöötluse, failide ja vabaduste seadusega nr 78-17 (loi nº 78-17 relative à l’informatique, aux fichiers et aux libertés, edaspidi „6. jaanuari 1978. aasta seadus“).
III. Asjaolud ja põhikohtuasi
18. Commission nationale de l’informatique et des libertés’ (riiklik andmetöötluse ja vabaduste komisjon, edaspidi „CNIL“) esimees hoiatas pärast seda, kui see komisjon rahuldas ühe füüsilise isiku taotluse kustutada nende tulemuste loetelust, mis tema nimega tehtud otsingu peale kuvati, lingid veebisaitidele, 21. mai 2015. aasta otsusega äriühingut Google LLC, paludes viimasel teha see kustutamine oma otsingumootori kõikidel domeeninime laienditel.
19. Google keeldus sellele hoiatusele vastamast, piirdudes sellega, et kustutas kõnealused lingid ainult nendest tulemustest, mis kuvati vastuseks otsingutele, mis olid tehtud domeeninimede kaudu, mis vastasid ühele liidu liikmesriigile.
20. CNIL leidis ühtlasi, et ei piisa täiendavast ettepanekust, milleks on nn „geoblokeering“ – ettepanek, mille tegi Google pärast hoiatuses ette nähtud tähtaja möödumist ja mis seisnes selles, et kaotati võimalus pääseda IP-aadressilt, mida loetakse asuvaks riigis, kus elab andmesubjekt, ligi vaidlusalustele tulemustele, mis saadakse tema nimega tehtud otsingus, ning seda olenemata otsingumootori URL-i teest, mida veebikasutaja kasutas.
21. Tuvastanud, et Google ei olnud seda hoiatust määratud tähtaja jooksul järginud, määras CNIL 10. märtsi 2016. aasta otsusega talle 100 000 euro suuruse karistuse, mis tehti avalikult teatavaks.
22. Google palub Conseil d’État’le (Prantsusmaa kõrgeima halduskohtuna tegutsev riiginõukogu) esitatud kaebusega see otsus tühistada.
23. Conseil d’État (Prantsusmaa kõrgeima halduskohtuna tegutsev riiginõukogu) lubas selles asjas menetlusse astuda sihtasutusel Wikimedia Foundation Inc., ajakirjandusvabaduse sihtasutusel Fondation pour la liberté de la presse, äriühingul Microsoft Corp., ajakirjandusvabaduse reporteritekomiteel Reporters Committee for Freedom of the Press jt, Article 19 jt-l ja internetivabaduse sihtasutusel Internet Freedom Foundation jt, kuna nad tõendasid piisavat huvi vaidlustatud otsuse tühistamiseks.
24. Conseil d’État (Prantsusmaa kõrgeima halduskohtuna tegutsev riiginõukogu) märgib, et isikuandmete töötlemine otsingumootoriga, mida haldab Google, kuulub reklaamipindade turustamise ja müügi tegevuse tõttu, millega tegeleb Prantsusmaal tema tütarettevõtja Google France, direktiivi 95/46 Prantsuse õigusesse üle võtnud 6. jaanuari 1978. aasta seaduse kohaldamisalasse.
25. Conseil d’État (Prantsusmaa kõrgeima halduskohtuna tegutsev riiginõukogu) märgib lisaks, et Google’i hallataval otsingumootoril on geograafiliste laiendite tõttu mitu domeeninime, et kohandada kuvatavad tulemused nende erinevate riikide eripärale – eriti keele eripärale –, kus ta tegutseb. Kui otsing teha aadressilt „google.com“, suunab Google selle otsingu põhimõtteliselt automaatselt domeeninimele, mis vastab riigile, kus see otsing tänu veebikasutaja IP-aadressi tuvastamisele loetakse olevat tehtud. Veebikasutaja võib olenemata oma asukohast siiski vabalt teha otsingud otsingumootori teiste domeeninimede kaudu. Kuigi tulemused võivad olla erinevad, sõltudes domeenist, millelt otsing mootoriga tehakse, on selge, et vastuseks otsingule kuvatud tulemused pärinevad ühtsetest andmebaasidest ja on ühtse indekseerimistöö tulemus.
26. Conseil d’État (Prantsusmaa kõrgeima halduskohtuna tegutsev riiginõukogu) leiab, et võttes arvesse esiteks asjaolu, et Google’i otsingumootori domeeninimed on kõik Prantsusmaa territooriumil kättesaadavad, ja teiseks asjaolu, et nende erinevate domeeninimede vahel eksisteerivad lüüsid, millest annab eelkõige tunnistust automaatne edasisuunamine ja lisaks see, et küpsised (ühendust tuvastavad andmeplokid) eksisteerivad mootori teistelgi laienditel kui see, kuhu need esialgu paigutati, tuleb seda mootorit, mille kohta tehti CNIL-le pealegi ainult üks avaldus, käsitada 6. jaanuari 1978. aasta seaduse kohaldamisel nii, et sellega toimub ühtne isikuandmete töötlemine. Sellest järeldub tema sõnul, et isikuandmete töötlemine Google’i hallatava otsingumootoriga toimub ühes tema käitistest, Google France’is, mis on asutatud Prantsusmaa territooriumil, ning et seepärast kehtib sellele 6. jaanuari 1978. aasta seadus.
27. Google väidab Conseil d’État’s (Prantsusmaa kõrgeima halduskohtuna tegutsev riiginõukogu), et vaidlusalune karistus põhineb 6. jaanuari 1978. aasta seaduse sätete – millega on üle võetud direktiivi 95/46 artikli 12 punkt b ja artikli 14 punkt a, mille alusel Euroopa Kohus tunnustas kohtuotsuses Google Spain ja Google (5) „õigust olla unustatud“ – vääralt tõlgendamisel. Google väidab, et see õigus ei tähenda tingimata, et vaidlusalused lingid tuleb kustutada ilma geograafiliste piiranguteta, st kõikidel tema otsingumootori domeeninimedel. Lisaks on CNIL niisugusest tõlgendusest lähtudes Google’i arvates eiranud rahvusvahelises avalikus õiguses tunnustatud viisakuse ja mittesekkumise põhimõtteid ja rikkunud ebaproportsionaalselt nimelt Euroopa Liidu põhiõiguste harta (edaspidi „harta“) artiklis 11 tagatud sõna-, teabe-, kommunikatsiooni- ja ajakirjandusvabadust.
IV. Eelotsuse küsimused ja menetlus Euroopa Kohtus
28. Olles tuvastanud, et see argument tõstatab mitu tõsist raskust direktiivi 95/46 tõlgendamisel, otsustas Conseil d’État (Prantsusmaa kõrgeima halduskohtuna tegutsev riiginõukogu) menetluse peatada ja esitada Euroopa Kohtule järgmised eelotsuse küsimused:
„1. Kas „õigust olla unustatud“, nagu selle on sedastanud [Euroopa Kohus] kohtuotsuses [Google Spain ja Google(6)] direktiivi [95/46] artikli 12 punkti b ja artikli 14 punkti a põhjal, tuleb tõlgendada nii, et kui otsingumootori haldaja rahuldab kustutamistaotluse, on ta kohustatud tulemused loetelust kustutama oma otsingumootori kõikidel domeeninimedel nii, et vaidlusalused lingid ei tule enam välja, olenemata kohast, kus otsing taotleja nime põhjal tehakse, sealhulgas väljaspool direktiivi [95/46] territoriaalset kohaldamisala?
2. Kas juhul, kui vastus esimesele küsimusele on eitav, tuleb „õigust olla unustatud“ niisugusena, nagu selle sedastas Euroopa Kohus oma eespool viidatud kohtuotsuses, tõlgendada nii, et kui otsingumootori haldaja rahuldab kustutamistaotluse, on ta kohustatud kustutama vaidlusalused lingid ainult nendest tulemustest, mis kuvatakse otsingu peale, mis tehti taotleja nimega selle domeeninime kaudu, mis vastab riigile, kus päring loetakse olevat tehtud, või laiemalt otsingumootori nende domeeninimede kaudu, mis vastavad selle mootori Euroopa Liidu kõikide liikmesriikide laienditele?
3. Kas lisaks teises küsimuses nimetatud kohustusele tuleb „õigust olla unustatud“ niisugusena, nagu selle sedastas [Euroopa Kohus] oma eespool viidatud kohtuotsuses, tõlgendada nii, et otsingumootori haldaja, kes rahuldab kustutamistaotluse, peab nn „geoblokeeringu“ tehnika abil IP-aadressi põhjal, mis loetakse asuvat „õiguse olla unustatud“ omaja elukohariigis, kustutama vaidlusalused lingid, mis kuvatakse taotleja nime põhjal tehtud otsingu tulemusel, või isegi üldisemalt IP-aadressi põhjal, mis loetakse asuvat ühes liikmesriikidest, mille suhtes kohaldatakse direktiivi 95/46, ning seda olenemata domeeninimest, mida kasutab veebikasutaja, kes päringu teeb?“
29. Kirjalikud seisukohad on esitanud Google, CNIL, Wikimedia Foundation, Fondation pour la liberté de la presse, Reporters Committee for Freedom of the Press jt, Article 19 jt, Internet Freedom Foundation jt, Défenseur des droits (õiguste kaitse volinik), Prantsusmaa, Iirimaa, Kreeka, Itaalia, Austria ja Poola valitsus ning Euroopa Komisjon.
30. Kõik need pooled peale õiguste kaitse voliniku ja Itaalia valitsuse ning Microsofti kuulati ära kohtuistungil, mis toimus 11. septembril 2018.
V. Õiguslik analüüs
31. Eelotsusetaotluse esitanud kohtu küsimused ei puuduta mitte määruse 2016/679, vaid direktiivi 95/46 tõlgendamist. Selle määrusega, mis on kohaldatav alates 25. maist 2018(7), aga tunnistati direktiiv alates samast kuupäevast kehtetuks(8).
32. Kuivõrd ilmneb, et Prantsuse halduskohtumenetluse õiguse kohaselt on vaidlusele kohaldatav vaidlustatud otsuse kuupäeval kehtinud seadus, ei ole kahtlust, et põhikohtuasjas on kohaldatav direktiiv 95/46. Seepärast palutaksegi Euroopa Kohtul tõlgendada selle direktiivi sätteid.
A. Esimene eelotsuse küsimus
33. Oma esimese eelotsuse küsimusega küsib Conseil d’État (Prantsusmaa kõrgeima halduskohtuna tegutsev riiginõukogu) Euroopa Kohtult sisuliselt, kas otsingumootori haldaja on kustutamistaotluse rahuldamisel kohustatud andmed kustutama kõikidelt oma otsingumootori domeeninimedelt, mistõttu vaidlusalused lingid enam otsingust välja ei tule, olenemata sellest, kust kohast otsing taotleja nimega tehakse.
34. CNIL, õiguste kaitse volinik ning Prantsuse, Itaalia ja Austria valitsus tuginevad harta artikliga 8 tagatud tõhusa ja täieliku isikuandmete kaitse vajadusele ja direktiivi 95/46 artikli 12 punktist b ja artikli 14 esimese lõigu punktist a tuleneva õiguse olla unustatud kasulikule mõjule, väites, et nende õiguste tõhususe tagamiseks on vaja kohustust tulemused loetelust kustutada kogu maailmas. Näib, et see on ka „artikli 29“ alusel asutatud andmekaitse töörühma(9) seisukoht tema 26. novembri 2014. aasta „Suunistes kohtuotsuse [Google Spain ja Google(10)] täitmise kohta“(11) (edaspidi „suunised“). See töörühm nimelt märgib, et „[s]elleks, et andmesubjektide õigusi, mis on määratletud Euroopa Kohtu otsuses, täielikult jõustada, tuleb tulemuste loetelust kustutamise otsuseid täita nii, et tagada andmesubjektide õiguste tõhus ja täielik kaitse ning et ELi õigusest ei oleks võimalik mööda minna. Selles mõttes ei saa tulemuste loetelust kustutamisel ainult Euroopa Liidu domeenidega piirdumist põhjusel, et kasutajad kalduvad kasutama otsingumootoreid oma riigi domeenide kaudu, pidada seega piisavaks vahendiks, mille abil tagada rahuldavalt andmesubjektide õigused vastavalt Euroopa Kohtu otsusele. Praktikas tähendab see, et igasugust tulemuste loetelust kustutamist tuleks kohaldada ka kõikidele asjaomastele domeenidele, sealhulgas laiendiga.com domeenidele“(12).
35. Seevastu Google, Wikimedia Foundation, Fondation pour la liberté de la presse, Reporters Committee for Freedom of the Press jt, Article 19 jt, Internet Freedom Foundation jt, Iirimaa, Kreeka ja Poola valitsus ning komisjon väidavad sisuliselt, et liidu õiguse alusel tulemuste loetelust kustutamise õiguse kehtestamine kogu maailmas ei oleks kooskõlas ei liidu ega rahvusvahelise avaliku õigusega ning oleks ohtlik pretsedent, mis mõjuks kutsena autoritaarsetele režiimidele nõuda samuti oma tsensuuriotsuste rakendamist kogu maailmas.
36. Tulemuste loetelust kogu maailmas kustutamise idee võib näida ahvatlev selle radikaalsuse, selguse, lihtsuse ja tõhususe tõttu. Selline lahendus ei ole minu jaoks siiski veenev, sest selles võetakse arvesse ainult medali üht külge, nimelt üksikisiku andmete kaitset.
1. Kohtuotsus GoogleSpainjaGoogle
37. Minu analüüsi lähtepunkt on kohtuotsus Google Spain ja Google(13).
38. See kohtuotsus ei määra kindlaks tulemuste loetelust kustutamise rakendamise geograafilist ulatust. Kuid see sisaldab rea elemente, eelkõige direktiivi 95/46 territoriaalse kohaldamisala küsimuse kohta, mis väärivad siinkohal meenutamist.
39. Üks küsimus oli, millistel tingimustel kohaldatakse territoriaalselt direktiivi 95/46 isikuandmete töötlemisele niisuguse otsingumootori tegevuse raames nagu Google Search, mida käitab Google Inc., kes on Google’i kontserni emaettevõtja ja kelle registrijärgne asukoht on Ameerika Ühendriikides.
40. Selle kohta otsustas Euroopa Kohus direktiivi 95/46 artikli 4 lõike 1 punkti a alusel, mis näeb kriteeriumina ette, et „[isikuandmete töötlemine] toimub liikmesriigi territooriumil paikneva vastutava töötleja asutuse tegevuse raames“, et direktiivi 95/46 territoriaalne kohaldamisala hõlmab juhtusid, kus otsingumootori haldaja asutab liikmesriigis filiaali või tütarettevõtja, mille eesmärk on tagada otsingumootori reklaamipinna turustamine ja müük ja mille tegevus on suunatud selle liikmesriigi elanikele (nagu Google Spain või käesoleval juhul Google France)(14).
41. Sellega lükkas Euroopa Kohus tagasi Google Spaini ja Google Inc. argumendi, millega need väitsid, et kõnealune isikuandmete töötlemine ei toimu mitte Google Spaini „tegevuse raames“, vaid seda viib läbi üksnes Google Inc., kes haldab Google Searchi, ilma et selles mingil viisil osaleks Google Spain, kelle tegevus piirdub toe pakkumisega Google’i kontserni reklaamitegevusele, mis erineb tema otsingumootori teenusest.
42. Selle kohta selgitas Euroopa Kohus, et direktiivi 95/46 eesmärk on tagada isikuandmete töötlemisel füüsiliste isikute põhiõiguste ja -vabaduste ning eelkõige nende eraelu puutumatuse tõhus ja täielik kaitse ning et väljendit „tegevuse raames“ ei või tõlgendada kitsalt(15). Lisaks nähtub direktiivi 95/46 artiklist 4, et liidu seadusandja on soovinud vältida seda, et isikud jääksid ilma direktiiviga tagatud kaitsest või et sellest kaitsest mindaks mööda, ning on seetõttu näinud ette eriti laia territoriaalse kohaldamisala(16).
2. Otsingu tegemise koht
43. Nagu käesolevas kohtuasjas, olid kohtuasjas Google Spain ja Google(17) põhikohtuasja poolteks Google(18) kaebajana ja riiklik andmekaitseamet(19) ning vaidlus käsitles selle ameti otsust.
44. Kohtuotsuse Google Spain ja Google(20) keskmes aga on selgelt isik, kelle isikuandmeid tuleb kaitsta. Selle isiku õigusi peabki Euroopa Kohus kõige tähtsamaks. Selle isiku perspektiiv, kes teavet otsib, ilmneb selles kohtuotsuses vaid teisejärgulisena(21). Seega, mainides ainult „tulemuste loetelu […], mis kuvatakse […] isiku [nime] põhjal tehtud otsingu järel“, ei täpsustanud Euroopa Kohus tegevust, mille raames seda otsingut tehti, ega kes ja kus otsingut tegi.
45. Kuigi direktiivi 95/46 eesmärk on harta artiklite 7 ja 8 alusel kaitsta „otsitud“ ja seejärel „tulemustes viidatud“ isiku põhiõigusi, vaikivad selle direktiivi sätted tulemuste loetelust kustutamise territoriaalse ulatuse küsimuse koha pealt. Näiteks ei ole nendes sätetes ega kohtuotsuses Google Spain ja Google (22) täpsustatud, kas otsingut, mis on tehtud Singapuris, tuleb käsitleda erinevalt otsingust, mis tehakse Pariisis või Katowices.
46. Minu arvates on vaja eristada selle järgi, kus otsing tehakse. Väljaspool liidu territooriumi tehtud päringute puhul ei tohiks seega [andmeid] otsingutulemuste loetelust kõrvaldada.
a) Direktiivi 95/46 territoriaalne kohaldamine
47. ELL artikli 52 lõike 1 kohaselt on aluslepingud kohaldatavad 28 liikmesriigi suhtes(23). Liikmesriigi territooriumi määravad liikmesriigi õigus ja rahvusvaheline avalik õigus(24). ELL artikli 52 lõikes 2 on lisatud, et aluslepingute territoriaalne kohaldamisala on täpsustatud ELTL artiklis 355(25). Väljaspool seda territooriumi ei ole liidu õigus põhimõtteliselt kohaldatav ega järelikult tekita õigusi ega kohustusi.
48. Seega tekib küsimus, kas erandlikel põhjustel ulatub direktiivi 95/46 kohaldamisala üle eespool nimetatud territooriumi piiride, st kas selle direktiivi sätteid tuleb tõlgendada nii laialt, et sellel oleks mõju väljaspool nimetatud piire.
49. Arvan, et mitte.
50. Tõsi on, et on teatavaid olukordi, kus territooriumiväline mõju on liidu õiguses lubatav.
51. Nagu rõhutab ka Prantsuse valitsus, ei takista vastavalt väljakujunenud kohtupraktikale konkurentsiõiguses asjaolu, et ettevõtja, kes osaleb konkurentsivastases kokkuleppes või rakendab sedalaadi praktikat, asub kolmandas riigis, ELTL artiklite 101 ja 102 alusel liidu konkurentsieeskirjade kohaldamist, kui niisuguse kokkuleppe või praktika mõju avaldub liidu territooriumil(26).
52. Kaubamärgiõiguses on Euroopa Kohus otsustanud, et kaubamärgiõiguse kaitse eeskirjade(27) tõhusust kahjustaks see, kui need ei kohalduks liidus registreeritud kaubamärgiga identse või sarnase tähise kasutamisele liidus asuvale tarbijale suunatud interneti müügipakkumises või reklaamis ainult selle tõttu, et pakkumise või reklaami taga olev kolmas isik asub kolmandas riigis või asub selles riigis tema poolt kasutatava veebisaidi server või siis asub kolmandas riigis pakkumise või reklaami ese(28).
53. Need kahte tüüpi olukorrad on minu arvates erandlikku laadi äärmuslikud olukorrad. Mõlemal juhul on otsustava tähtsusega tegur mõju siseturule (kuigi mõju võib avalduda ka teistel turgudel). Siseturg on aluslepingutega selgelt määratletud territoorium. Seevastu internet on oma olemuselt ülemaailmne ja teatud viisil kõikjal esinev. Seepärast raske leida analoogiaid ja teha võrdlusi.
b) Põhiõiguste territooriumiväline mõju
54. Minu arvates ei saa tugineda, nagu seda teeb õiguste kaitse volinik, Roomas 4. novembril 1950 allkirjastatud Euroopa inimõiguste ja põhivabaduste kaitse konventsiooni territooriumivälist mõju käsitlevale Euroopa Inimõiguste Kohtu praktikale isiku kolmandale riigile väljaandmise raames(29), ja seda kahel põhjusel.
55. Esiteks järgib harta kohaldamisala liidu õiguse kohaldamisala, ja mitte vastupidi, mida on sõnaselgelt täpsustatud harta artikli 51 lõikes 2(30).
56. Teiseks puudutab see kohtupraktika konkreetseid surmanuhtluse või piinamiskeelu juhtusid – õigusriigi aluseks olevaid inimõigusi, millest ei ole võimalik teha erandeid(31).
57. Seevastu – ja mis on käesoleva kohtuasja omamoodi sõlmpunkt – „õigust olla unustatud“ tuleb kaaluda teiste põhiõigustega.
c) Põhiõiguste kaalumine
58. Põhiline vastuargument kustutamiskohustusele kogu maailma ulatuses on põhiõiguste ja nendega seoses kohtuotsusest Google Spain ja Google(32) tehtud õpetlike järelduste kaalumine. Selles kohtuasjas omistas Euroopa Kohus suurt tähtsust sellele, et omavahel kaalutaks ühelt poolt õigust andmekaitsele ja eraelu puutumatusele ning teiselt poolt üldsuse õigustatud huvi otsitavat teavet saada.
59. On kindlaks tehtud, et õigused andmete kaitsele ja eraelu puutumatusele on õigused, mis tulenevad harta artiklitest 7 ja 8, ning neil peab olema seos liidu õiguse ja selle territoriaalsusega. Sama kehtib üldsuse õigustatud huvi kohta saada otsitud teavet. Liidu puhul tuleneb see õigus harta artiklist 11. Sihtrühm ei ole kogu maailma üldsus, vaid harta kohaldamisalas asuv, seega Euroopa üldsus.
60. Kui eeldada tulemuste loetelust kustutamist kogu maailmas, ei oleks liidu ametivõimudel võimalik määratleda ja kindlaks määrata õigust saada teavet, ja veelgi vähem kaaluda seda õigust teiste andmekaitse ja eraelu puutumatuse põhiõigustega. Seda enam, et niisugune üldsuse huvi teavet saada paratamatult varieerub vastavalt geograafilisele asukohale ja on eri kolmandates riikides erinev.
61. Lisaks oleks sellisel juhul oht, et liit takistab kolmandate riikide isikute juurdepääsu teabele. Kui liidu ametiasutus saaks anda korralduse tulemuste loetelust kustutamiseks kogu maailmas, saadaks see paratamatult signaali kolmandatele riikidele, kes võiksid samuti anda korralduse tulemusi loetelust kustutada enda seaduste alusel. Kujutame ette, et mingil põhjusel tõlgendavad kolmandad riigid teatavaid oma õigusi nii, et see takistab liidu liikmesriigis asuvate isikute juurdepääsu otsitavale teabele. Sel juhul oleks reaalne [õiguste] taseme languse oht sõnavabaduse kahjuks Euroopas ja maailmas(33).
62. Kaalul olevad huvid ei nõua seega, et direktiivi 95/46 sätted oleksid kohaldatavad väljaspool liidu territooriumi. See ei tähenda siiski, et liidu õigusega ei saa kunagi kohustada otsingumootori haldajat, nagu Google, võtma meetmeid kogu maailma tasandil. Ma ei välista, et võib esineda olukordi, kus liidu huvi nõuab direktiivi 95/46 kohaldamist väljaspool liidu territooriumi. Kuid sellises olukorras nagu käesolevas asjas ei ole põhjust kohaldada direktiivi 95/46 sätteid sellisel viisil.
63. Teen seega Euroopa Kohtule ettepaneku vastata esimesele eelotsuse küsimusele, et direktiivi 95/46 artikli 12 punkti b ja artikli 14 punkti a tuleb tõlgendada nii, et kui otsingumootori haldaja rahuldab kustutamistaotluse, ei ole ta kohustatud tulemusi loetelust kustutama oma otsingumootori kõikidel domeeninimedel nii, et vaidlusalused lingid ei tule enam välja, olenemata kohast, kus otsing taotleja nime põhjal tehakse.
B. Teine ja kolmas eelotsuse küsimus
64. Kuna teen ettepaneku vastata esimesele eelotsuse küsimusele eitavalt, on kohane edasi analüüsides käsitleda teist ja kolmandat küsimust koos.
65. Teise küsimusega soovib eelotsusetaotluse esitanud kohus teada, kas juhul, kui otsingumootori haldaja rahuldab kustutamistaotluse, on ta kohustatud kustutama vaidlusalused lingid ainult nendest tulemustest, mis kuvatakse otsingu peale, mis tehti taotleja nimega selle domeeninime kaudu, mis vastab riigile, kus päring loetakse olevat tehtud, või laiemalt otsingumootori nende domeeninimede kaudu, mis vastavad selle mootori liidu kõikide liikmesriikide laienditele.
66. Kolmanda küsimusega, mis on esitatud teise küsimuse „lisaks“, tahetakse teada, kas otsingumootori haldaja, kes rahuldab kustutamistaotluse, peab nn „geoblokeeringu“ tehnika abil IP-aadressi põhjal, mis loetakse asuvat „õiguse olla unustatud“ omaja elukohariigis, kustutama vaidlusalused lingid, mis kuvatakse taotleja nime põhjal tehtud otsingu tulemusel, või isegi üldisemalt IP-aadressi põhjal, mis loetakse asuvat ühes liikmesriikidest, mille suhtes kohaldatakse direktiivi 95/46, ning seda olenemata domeeninimest, mida kasutab veebikasutaja, kes päringu teeb.
67. Eelotsusetaotluse esitanud kohus seob oma eelotsuse küsimustes lahutamatult ühelt poolt otsingumootori domeeninime(34) ja teiselt poolt koha, kus internetiotsing isiku nime põhjal tehakse(35).
68. Esimese eelotsuse küsimuse puhul on see seos loomulik: kui otsingumootori haldaja teeb otsingutulemused kättesaamatuks kõikidel oma domeeninimedel, siis vaidlusalused lingid mõistagi enam välja ei tule, olenemata sellest, kus otsing tehakse.
69. Kui aga vastata esimesele küsimusele eitavalt, nagu ma soovitan teha, ei ole selline seos enam vajalik. Nimelt, nagu eelotsusetaotluse esitanud kohus ise märgib, võib isik otsinguid teha otsingumootori mis tahes domeeninime kaudu. Näiteks laiend google.fr ei piirdu ainult Prantsusmaal tehtavate otsingutega.
70. Seda võimalust saab nn „geoblokeeringu“ tehnika abil siiski piirata.
71. Geoblokeerimine on tehnika, mis piirab interneti infosisule juurdepääsu olenevalt kasutaja asukohast. Geoblokeeringusüsteemis määratakse kasutaja asukoht kindlaks geolokaliseerimistehnikate abil, nagu kasutaja IP-aadressi kontrollimine. Geoblokeeringut, mis on üks tsensuurivorm, loetakse õigustamatuks liidu siseturu õiguses, kus seda reguleerib nimelt määrus, mille eesmärk on takistada, et ühes liikmesriigis tegutsev kaupleja tõkestab või piirab teistes liikmesriikides asuvate, piiriüleseid tehinguid teha soovivate klientide juurdepääsu kaupleja kasutajaliidestele(36).
72. Kui geoblokeering on lubatud, ei ole tähtsust, millist domeeninime otsingumootori haldaja kasutab. Seepärast teen ettepaneku käsitleda kolmandat küsimust enne teist.
73. Kohtuotsuses Google Spain ja Google(37) otsustas Euroopa Kohus, et otsingumootori haldaja peab oma ülesannete, pädevuse ja võimaluste piires tagama, et otsingumootori tegevus vastab direktiivi 95/46 nõuetele, et direktiivis ette nähtud tagatised saaksid oma täielikku mõju avaldada ning et andmesubjektid ja eeskätt nende õigus eraelu puutumatusele oleksid tõepoolest tõhusalt ja täielikult kaitstud(38).
74. Kui õigus olla unustatud on tuvastatud, peab otsingumootori haldaja võtma kõik tema käsutuses olevad abinõud, et tagada tõhus ja täielik tulemuste loetelust kustutamine(39). See haldaja peab võtma kõik meetmed, mis on tehniliselt võimalikud. Põhikohtuasjas hõlmab see nimelt geoblokeerimistehnikat ja seda sõltumata sellest, millist domeeninime internetikasutaja otsingu tegemisel kasutab.
75. Tulemusi ei tule loendist kustutada mitte riigi, vaid Euroopa Liidu tasandil, nagu ma järgnevates ridades selgitan.
76. Kuna direktiivi 95/46 eesmärk on tagada, et „kaitstuse tase [liidus] peab olema kõrgem“(40), nähakse sellega ette täieliku andmekaitsesüsteemi kehtestamine, mis ületab riigipiire. Direktiiv põhineb endisel EÜ artiklil 100a(41) ja kuulub siseturu loogikasse, mis hõlmab – tuleb meeles pidada – sisepiirideta ala(42). Sellest järeldub, et tulemuste loetelust kustutamine riigi tasandil läheks vastuollu selle direktiivi 95/46 ühtlustamiseesmärgiga ja kasuliku mõjuga(43).
77. Tuleks ühtlasi märkida, et määruse 2016/679 kehtivusajal seda küsimust isegi ei tekiks, sest see määrus on iseenesest „vahetult kohaldatav kõikides liikmesriikides“(44). Määrus 2016/679, mis põhineb ELTL artiklil 16, läheb kaugemale direktiivi 95/46 siseturupõhisest käsitlusviisist ja seab eesmärgiks tagada täielik isikuandmete kaitse süsteem kogu liidus(45). Määruses peetakse süstemaatiliselt silmas liitu, liidu territooriumi või liikmesriike(46).
78. Teen seega ettepaneku vastata teisele ja kolmandale eelotsuse küsimusele, et otsingumootori haldaja on kohustatud kustutama vaidlusalused lingid, mis kuvatakse Euroopa Liidus asuvas kohas taotleja nimega tehtud otsingu tulemusel. Sellega seoses on see haldaja kohustatud võtma kõik tema käsutuses olevad abinõud, et tagada tõhus ja täielik tulemuste loetelust kustutamine. See hõlmab eelkõige nn geoblokeerimistehnikat IP-aadressilt, mille asukohaks loetakse ühte liikmesriikidest, mille suhtes kehtib direktiiv 95/46, ja seda olenemata sellest, millist domeeninime internetikasutaja otsingu tegemisel kasutab.
VI. Ettepanek
79. Kõiki esitatud kaalutlusi arvesse võttes teen Euroopa Kohtule ettepaneku vastata Conseil d’État’ (Prantsusmaa kõrgeima halduskohtuna tegutsev riiginõukogu) eelotsuse küsimustele järgmiselt:
1. Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiivi 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta artikli 12 punkti b ja artikli 14 punkti a tuleb tõlgendada nii, et kui otsingumootori haldaja rahuldab kustutamistaotluse, ei ole ta kohustatud tulemusi loetelust kustutama oma otsingumootori kõikidel domeeninimedel nii, et vaidlusalused lingid ei tule enam välja, olenemata kohast, kus otsing taotleja nime põhjal tehakse.
2. Otsingumootori haldaja on kohustatud kustutama vaidlusalused lingid, mis kuvatakse Euroopa Liidus asuvas kohas taotleja nimega tehtud otsingu tulemusel. Sellega seoses on see haldaja kohustatud võtma kõik tema käsutuses olevad abinõud, et tagada tõhus ja täielik tulemuste loetelust kustutamine. See hõlmab eelkõige nn geoblokeerimistehnikat IP-aadressilt, mille asukohaks loetakse ühte liikmesriikidest, mille suhtes kehtib direktiiv 95/46, ja seda olenemata sellest, millist domeeninime internetikasutaja otsingu tegemisel kasutab.