OPINIA RZECZNIKA GENERALNEGO
MACIEJA SZPUNARA
przedstawiona w dniu 10 stycznia 2019 r.(1)
Sprawa C‑507/17
Google LLC, która wstąpiła w prawa Google Inc.
przeciwko
Commission nationale de l’informatique et des libertés (CNIL),
przy udziale
Wikimedia Foundation Inc.,
Fondation pour la liberté de la presse,
Microsoft Corp.,
Reporters Committee for Freedom of the Press i in.,
Article 19 i in.,
Internet Freedom Foundation i in.,
Défenseur des droits
[wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Conseil d’État (rada państwa, Francja)]
Odesłanie prejudycjalne – Dane osobowe – Zakres prawa do usunięcia linków – Wyrok z dnia 13 maja 2014 r. Google Spain i Google, C‑131/12 – Usunięcie linków w odniesieniu do rozszerzeń nazwy domeny odpowiadającej państwu członkowskiemu, z którego skierowane zostało żądania lub w odniesieniu do rozszerzeń nazwy domeny wyszukiwarki odpowiadającym krajowym rozszerzeniom tej wyszukiwarki dla wszystkich państw członkowskich Unii Europejskiej
I. Wstęp
1. Niniejszy wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Conseil d’État (rada państwa, Francja) stanowi kontynuację wyroku w sprawie Google Spain i Google(2) i stanowi w szczególności okazję, aby Trybunał doprecyzował terytorialny zakres zastosowania dyrektywy 95/46/WE(3). Powszechnie wiadomo, że w tej sprawie Trybunał zajął się „prawem do bycia zapomnianym” i stwierdził, że, pod pewnymi warunkami, osoba fizyczna jest uprawniona do uzyskania usunięcia przez operatora wyszukiwarki internetowej linków do stron internetowych. W niniejszej sprawie zwrócono się do Trybunału o wyjaśnienie tego, jaki jest terytorialny zakres zastosowania takiego żądania usunięcia linków oraz ustalenie, czy przepisy dyrektywy 95/46 ustanawiają wymóg tego usunięcia na poziomie krajowym, europejskim lub globalnym.
2. W niniejszej sprawie zaproponuję, aby Trybunał przyjął to usuwanie linków na poziomie europejskim: operator wyszukiwarki internetowej będzie zobowiązany do usuwania linków z listy wyników wyświetlanej w następstwie wyszukiwania prowadzonego z miejsca znajdującego się w Unii Europejskiej.
II. Ramy prawne
A. Prawo Unii
1. Dyrektywa 95/46
3. Zgodnie z art. 1 dyrektywy 95/46 ma na celu ochronę podstawowych praw i wolności osób fizycznych, w szczególności ich prawa do prywatności w odniesieniu do przetwarzania danych osobowych, jak również usuwanie przeszkód w swobodnym przepływie tych danych:
4. Artykuł 2 dyrektywy 95/46 stanowi, że „do celów niniejszej dyrektywy”:
a) »dane osobowe«: oznacza[ją] wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (»osoby, której dane dotyczą«); osoba możliwa do zidentyfikowania to osoba, której tożsamość można ustalić bezpośrednio lub pośrednio, szczególnie przez powołanie się na numer identyfikacyjny lub jeden bądź kilka szczególnych czynników określających jej fizyczną, fizjologiczną, umysłową, ekonomiczną, kulturową lub społeczną tożsamość;
b) »przetwarzanie danych osobowych« (»przetwarzanie«) oznacza każdą operację lub zestaw operacji dokonywanych na danych osobowych przy pomocy środków zautomatyzowanych lub innych, jak np. gromadzenie, rejestracja, porządkowanie, przechowywanie, adaptacja lub modyfikacja, odzyskiwanie, konsultowanie, wykorzystywanie, ujawnianie poprzez transmisję, rozpowszechnianie lub udostępnianie w inny sposób, układanie lub kompilowanie, blokowanie, usuwanie lub niszczenie;
[…]
d) »administrator danych« oznacza osobę fizyczną lub prawną, władzę publiczną, agencję lub inny organ, który samodzielnie lub wspólnie z innymi podmiotami określa cele i sposoby przetwarzania danych; jeżeli cele i sposoby przetwarzania danych są określane w przepisach ustawowych i wykonawczych lub przepisach wspólnotowych, administrator danych może być powoływany lub kryteria jego powołania mogą być ustalane przez ustawodawstwo krajowe lub wspólnotowe;
[…]
h) »zgoda osoby, której dane dotyczą« oznacza konkretne i świadome, dobrowolne wskazanie przez osobę, której dane dotyczą na to, że wyraża przyzwolenie na przetwarzanie odnoszących się do niej danych osobowych”.
5. Artykuł 3 wspomnianej dyrektywy, zatytułowany „Zakres obowiązywania”, stanowi w ust. 1:
„Niniejsza dyrektywa stosuje się do przetwarzania danych osobowych w całości lub w części w sposób zautomatyzowany oraz innego przetwarzania danych osobowych, stanowiących część zbioru danych lub mających stanowić część zbioru danych”.
6. Artykuł 4 tej samej dyrektywy, zatytułowany „Odpowiednie prawo krajowe”, przewiduje:
„1. Każde państwo członkowskie stosuje, w odniesieniu do przetwarzania danych osobowych, przepisy prawa krajowego przyjmowane na mocy niniejszej dyrektywy wówczas, gdy:
a) przetwarzanie danych odbywa się w kontekście prowadzenia przez administratora danych działalności gospodarczej na terytorium państwa członkowskiego; jeżeli ten sam administrator danych prowadzi działalność gospodarczą na terytorium kilku państw członkowskich, musi on podjąć niezbędne działania, aby zapewnić, że każde z tych przedsiębiorstw wywiązuje się z obowiązków przewidzianych w odpowiednich przepisach prawa krajowego;
[…]”
7. Artykuł 6, zawarty w rozdziale II sekcji 1 dyrektywy 95/46, zatytułowanej „Zasady dotyczące jakości danych”, stanowi:
„1. Państwa członkowskie zapewniają, aby dane osobowe były:
a) przetwarzane rzetelnie i legalnie;
b) gromadzone do określonych, jednoznacznych i legalnych celów oraz nie były poddawane dalszemu przetwarzaniu w sposób niezgodny z tym celem. Dalsze przetwarzanie danych w celach historycznych, statystycznych lub naukowych nie jest uważane za niezgodne z przepisami pod warunkiem ustanowienia przez państwa członkowskie odpowiednich środków zabezpieczających;
c) prawidłowe, stosowne oraz nienadmierne ilościowo w stosunku do celów, dla których zostały zgromadzone i/lub dalej przetworzone;
d) prawidłowe oraz, w razie konieczności, aktualizowane; należy podjąć wszelkie uzasadnione działania, aby zapewnić usunięcie lub poprawienie nieprawidłowych lub niekompletnych danych, biorąc pod uwagę cele, dla których zostały zgromadzone lub dla których są dalej przetwarzane;
e) przechowywane w formie umożliwiającej identyfikację osób, których dane dotyczą, przez czas nie dłuższy niż jest to konieczne do celów, dla których dane zostały zgromadzone lub dla których są dalej przetwarzane. Państwa członkowskie ustanowią odpowiednie środki zabezpieczające dla danych przechowywanych przez dłuższe okresy dla potrzeb historycznych, statystycznych i naukowych.
2. Na administratorze danych spoczywa obowiązek zapewnienia przestrzegania przepisów ust. 1.
8. Artykuł 7, zawarty w rozdziale II sekcji II dyrektywy 95/46, zatytułowanej „Kryteria legalności przetwarzania danych”, stanowi:
„Państwa członkowskie zapewniają, że dane osobowe mogą być przetwarzane tylko wówczas, gdy:
[…]
f) przetwarzanie danych jest konieczne dla potrzeb wynikających z uzasadnionych interesów administratora danych lub osoby trzeciej, lub osobom, którym dane są ujawniane, z wyjątkiem sytuacji, kiedy interesy takie podporządkowane są interesom związanym z podstawowymi prawami i wolnościami osoby, której dane dotyczą, które gwarantują ochronę na podstawie art. 1 ust. 1”.
9. Artykuł 12 tej samej dyrektywy, zatytułowany „Prawo dostępu do danych”, przewiduje:
„Państwa członkowskie zapewniają każdej osobie, której dane dotyczą, prawo do uzyskania od administratora danych:
[…]
b) odpowiednio do przypadku, sprostowania, usunięcia lub zablokowania danych, których przetwarzanie jest niezgodne z przepisami niniejszej dyrektywy, szczególnie ze względu na niekompletność lub niedokładność danych;
[…]”
10. Artykuł 14 tej dyrektywy, zatytułowany „Prawo sprzeciwu przysługujące osobie, której dane dotyczą”, stanowi:
„Państwa członkowskie przyznają osobie, której dane dotyczą, prawo:
a) przynajmniej w przypadkach wymienionych w art. 7 lit. e) i f), w dowolnym czasie z ważnych i uzasadnionych przyczyn wynikających z jego konkretnej sytuacji, sprzeciwu co do przetwarzania dotyczących jej danych, z zastrzeżeniem odmiennych postanowień ustawodawstwa krajowego. W przypadku uzasadnionego sprzeciwu przetwarzanie danych przez administratora danych nie może już obejmować tych danych;
[…]”
11. Artykuł 28 wspomnianej dyrektywy, zatytułowany „Organ nadzorczy”, ma następujące brzmienie:
„1. Każde państwo członkowskie zapewni, że jeden lub więcej organów władzy publicznej będzie odpowiedzialnych za kontrolę stosowania na jego terytorium przepisów przyjętych przez państwa członkowskie na mocy niniejszej dyrektywy.
[…]
3. Każdy organ jest w szczególności wyposażony w:
– uprawienia dochodzeniowe, jak np. prawo dostępu do danych stanowiących przedmiot operacji przetwarzania danych oraz prawo gromadzenia wszelkich informacji potrzebnych do wykonywania jego funkcji nadzorczych,
– skuteczne uprawnienia interwencyjne, jak np. […] zarządzania blokady, usunięcia lub zniszczenia danych, nakładania czasowego lub ostatecznego zakazu przetwarzania danych […],
[…]
Od decyzji organu nadzorczego, co do którego zgłaszane są zastrzeżenia [która jest niekorzystna], przysługuje odwołanie do właściwego sądu.
4. Każdy organ nadzorczy rozpatruje skargi zgłaszane przez dowolną osobę lub przez stowarzyszenie ją reprezentujące, odnośnie do ochrony jej praw i wolności w zakresie przetwarzania danych osobowych. Zainteresowana osoba zostanie poinformowana o wyniku sprawy.
[…]
6. Każdy organ nadzorczy jest właściwy, niezależnie od krajowych przepisów dotyczących danego przypadku przetwarzania danych, do wykonywania na terytorium państwa członkowskiego uprawnień powierzonych mu zgodnie z ust. 3. Do każdego organu można się zwrócić z żądaniem wykonania jego uprawnień przez odpowiedni organ innego państwa członkowskiego.
Organy nadzorcze współpracują ze sobą w zakresie koniecznym do wykonywania swoich obowiązków, zwłaszcza poprzez wymianę wszelkich przydatnych informacji.
[…]”
2. Rozporządzenie (UE) 2016/679
12. Zgodnie ze swoim art. 99 ust. 2 rozporządzenie (UE) 2016/679(4) ma zastosowanie od dnia 25 maja 2018 r. Artykuł 94 ust. 1 tego rozporządzenia stanowi, że dyrektywa 95/46/WE zostaje uchylona ze skutkiem od tego dnia.
13. Artykuł 17 tego rozporządzenia, zatytułowany „Prawo do usunięcia danych (»prawo do bycia zapomnianym«)”, brzmi następująco:
„1. Osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, jeżeli zachodzi jedna z następujących okoliczności:
a) dane osobowe nie są już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane;
b) osoba, której dane dotyczą, cofnęła zgodę, na której opiera się przetwarzanie zgodnie z art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a), i nie ma innej podstawy prawnej przetwarzania;
c) osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 1 wobec przetwarzania i nie występują nadrzędne prawnie uzasadnione podstawy przetwarzania lub osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 2 wobec przetwarzania;
d) dane osobowe były przetwarzane niezgodnie z prawem;
e) dane osobowe muszą zostać usunięte w celu wywiązania się z obowiązku prawnego przewidzianego w prawie Unii lub prawie państwa członkowskiego, któremu podlega administrator;
f) dane osobowe zostały zebrane w związku z oferowaniem usług społeczeństwa informacyjnego, o których mowa w art. 8 ust. 1.
2. Jeżeli administrator upublicznił dane osobowe, a na mocy ust. 1 ma obowiązek usunąć te dane osobowe, to – biorąc pod uwagę dostępną technologię i koszt realizacji – podejmuje rozsądne działania, w tym środki techniczne, by poinformować administratorów przetwarzających te dane osobowe, że osoba, której dane dotyczą, żąda, by administratorzy ci usunęli wszelkie łącza do tych danych, kopie tych danych osobowych lub ich replikacje.
3. Ustępy 1 i 2 nie mają zastosowania w zakresie, w jakim przetwarzanie jest niezbędne:
a) do korzystania z prawa do wolności wypowiedzi i informacji;
b) do wywiązania się z prawnego obowiązku wymagającego przetwarzania na mocy prawa Unii lub prawa państwa członkowskiego, któremu podlega administrator, lub do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
c) z uwagi na względy interesu publicznego w dziedzinie zdrowia publicznego zgodnie z art. 9 ust. 2 lit. h) oraz i) i art. 9 ust. 3;
d) do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych zgodnie z art. 89 ust. 1, o ile prawdopodobne jest, że prawo, o którym mowa w ust. 1, uniemożliwi lub poważnie utrudni realizację celów takiego przetwarzania; lub
e) do ustalenia, dochodzenia lub obrony roszczeń”.
14. Artykuł 18 rozporządzenia 2016/679, zatytułowany „Prawo do ograniczenia przetwarzania”, stanowi:
„1. Osoba, której dane dotyczą, ma prawo zażądać od administratora ograniczenia przetwarzania w następujących przypadkach:
a) osoba, której dane dotyczą, kwestionuje prawidłowość danych osobowych – na okres pozwalający administratorowi sprawdzić prawidłowość tych danych;
b) przetwarzanie jest bezprawne i podmiot danych sprzeciwia się ich wykasowaniu, żądając w zamian ich zablokowania;
[…]
d) osoba, której dane dotyczą, wniosła sprzeciw na mocy art. 21 ust. 1 wobec przetwarzania – do czasu stwierdzenia, czy prawnie uzasadnione podstawy po stronie administratora są nadrzędne wobec podstaw sprzeciwu osoby, której dane dotyczą.
2. Jeżeli na mocy ust. 1 przetwarzanie zostało ograniczone, takie dane osobowe można przetwarzać, z wyjątkiem przechowywania, wyłącznie za zgodą osoby, której dane dotyczą, lub w celu ustalenia, dochodzenia lub obrony roszczeń, lub w celu ochrony praw innej osoby fizycznej lub prawnej, lub z uwagi na ważne względy interesu publicznego Unii lub państwa członkowskiego.
3. Przed uchyleniem ograniczenia przetwarzania administrator informuje o tym osobę, której dane dotyczą, która żądała ograniczenia na mocy ust. 1.”
15. Artykuł 21 tego rozporządzenia, zatytułowany „Prawo do sprzeciwu”, stanowi w ust. 1:
„Osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw – z przyczyn związanych z jej szczególną sytuacją – wobec przetwarzania dotyczących jej danych osobowych opartego na art. 6 ust. 1 lit. e) lub f), w tym profilowania na podstawie tych przepisów. Administratorowi nie wolno już przetwarzać tych danych osobowych, chyba że wykaże on istnienie ważnych prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń”.
16. Artykuł 85 tego rozporządzenia, zatytułowany „Przetwarzanie a wolność wypowiedzi i informacji”, stanowi:
„1. Państwa członkowskie przyjmują przepisy pozwalające pogodzić prawo do ochrony danych osobowych na mocy niniejszego rozporządzenia z wolnością wypowiedzi i informacji, w tym do przetwarzania dla potrzeb dziennikarskich oraz do celów wypowiedzi akademickiej, artystycznej lub literackiej.
2. Dla przetwarzania do celów dziennikarskich lub do celów wypowiedzi akademickiej, artystycznej lub literackiej państwa członkowskie określają odstępstwa lub wyjątki od rozdziału II (Zasady), rozdziału III (Prawa osoby, której dane dotyczą), rozdziału IV (Administrator i podmiot przetwarzający), rozdziału V (Przekazywanie danych osobowych do państw trzecich lub organizacji międzynarodowych), rozdziału VI (Niezależne organy nadzorcze), rozdziału VII (Współpraca i spójność) oraz rozdziału IX (Szczególne sytuacje związane z przetwarzaniem danych), jeżeli są one niezbędne, by pogodzić prawo do ochrony danych osobowych z wolnością wypowiedzi i informacji.
3. Każde państwo członkowskie zawiadamia Komisję o przepisach, które przyjęło zgodnie z ust. 2, a następnie niezwłocznie o wszelkich późniejszych aktach zmieniających lub zmianach ich dotyczących.”
B. Prawo francuskie
17. Dyrektywa 95/46 została wdrożona do prawa francuskiego przez loi nº 78–17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (ustawę nr 78–17 z dnia 6 stycznia 1978 r. dotyczącą informatyki, danych i wolności (zwaną dalej „ustawą z dnia 6 stycznia 1978 r.”).
III. Stan faktyczny i postępowanie główne
18. Decyzją z dnia 21 maja 2015 r. przewodnicząca Commission nationale de l’informatique et des libertés (krajowa komisja ds. informatyki i swobód, CNIL) wezwała spółkę Google LLC do tego, aby w sytuacji, gdy uwzględnia żądanie osoby fizycznej o usunięcie z listy wyników, wyświetlanej w następstwie wyszukiwania według jej imienia i nazwiska, linków prowadzących do stron internetowych, zastosowała owo usunięcie do wszystkich rozszerzeń nazwy domeny swojej wyszukiwarki.
19. Spółka Google nie zastosowała się do tego wezwania, ograniczając się do usunięcia owych łączy jedynie z rezultatów wyświetlanych w następstwie wyszukiwania prowadzonego z domen o nazwach odpowiadających wersjom jej wyszukiwarki w państwach członkowskich Unii Europejskiej.
20. CNIL uznała ponadto za niewystarczającą złożoną przez spółkę Google Inc. po upływie terminu do usunięcia uchybienia dodatkową propozycję „geo-blokowania”, polegającą na uniemożliwieniu dostępu z adresu IP uważanego za zlokalizowany w państwie miejsca zamieszkania danej osoby do spornych wyników uzyskanych w następstwie wyszukiwania według jej imienia i nazwiska, niezależnie od wersji wyszukiwarki, z której internauta korzystał.
21. Po stwierdzeniu, że spółka Google nie zastosowała się do tego wezwania w wyznaczonym na to terminie, uchwałą z dnia 10 marca 2016 r. CNIL nałożyła na nią karę w wysokości 100 000 EUR, która została podana do publicznej wiadomości.
22. We wniesionej do Conseil d’État (rada państwa, Francja) skardze spółka Google zażądała uchylenia tej uchwały.
23. W ramach postępowania Conseil d’État dopuściła w charakterze interwenientów do udziału w sprawie Wikimedia Foundation Inc., Fondation pour la liberté de la presse (Fundacja na rzecz wolności prasy), Microsoft Corp., Reporters Committee for Freedom of the Press i in., Article 19 i in. (Artykuł 19) oraz Internet Freedom Foundation i in., które uzasadniły istnienie po ich stronie wystarczającego interesu w uchyleniu zaskarżonej uchwały.
24. Conseil d’État twierdzi, że przetwarzanie danych osobowych za pomocą prowadzonej przez spółkę Google Inc. wyszukiwarki jest, biorąc pod uwagę działalność promocyjną i sprzedaż powierzchni reklamowych prowadzoną we Francji przez jej spółkę zależną Google France, objęta zakresem stosowania ustawy z dnia 6 stycznia 1978 r., transponującej dyrektywę 95/46 do prawa francuskiego.
25. Ponadto Conseil d’État stwierdziła, że prowadzona przez Google wyszukiwarka internetowa działa pod różnymi nazwami domen z rozszerzeniami geograficznymi w celu dostosowania wyświetlanych wyników do specyfiki – zwłaszcza językowej – poszczególnych państw, w których spółka prowadzi swoją działalność. Jeżeli wyszukiwanie zostanie uruchomione z domeny „google.com”, spółka Google Inc. dokonuje, co do zasady, automatycznego przekierowania tego wyszukiwania do domeny o nazwie odpowiadającej krajowi, z którego wyszukiwanie to – w oparciu o identyfikację adresu IP internauty – najpewniej pochodzi. Niemniej jednak, niezależnie od jego lokalizacji, internauta może prowadzić wyszukiwania w innych nazwach domen wyszukiwarki. Ponadto, choć te wyniki wyniki wyszukiwania mogą być różne w zależności od danej nazwy domeny, z której prowadzone jest wyszukiwanie w wyszukiwarce, bezspornym jest, że linki wyświetlane w odpowiedzi na wyszukiwanie pochodzą ze wspólnej bazy danych i oparte są na wspólnej indeksacji.
26. Conseil d’État jest zdania, że, mając na uwadze, po pierwsze, fakt, iż wszystkie nazwy domeny wyszukiwarki Google są dostępne z terytorium francuskiego, i, po drugie, istnienie możliwości przechodzenia między różnymi nazwami domen, o czym świadczą w szczególności automatyczne przekierowanie, a ponadto obecność plików cookies w rozszerzeniach wyszukiwarki innych niż te, w których zostały one pierwotnie umieszczone – należy uznać, że owa wyszukiwarka, która była zresztą przedmiotem tylko jednego zgłoszenia do CNIL, dokonuje pojedynczego aktu przetwarzania danych osobowych w rozumieniu ustawy z dnia 6 stycznia 1978 r. Wynika z tego, że przetwarzanie danych osobowych przez wyszukiwarkę prowadzoną przez Google jest dokonywane w ramach jednego z jej podmiotów zależnych, mianowicie Google France, mającą siedzibę na terytorium francuskim i z tej racji podlegającą ustawie z dnia 6 stycznia 1978 r.
27. W postępowaniu przed Conseil d’État Google utrzymuje, że sporna kara oparta została na błędnej wykładni przepisów ustawy z dnia 6 stycznia 1978 r. transponujących art. 12 lit. b) i art. 14 lit. a) dyrektywy 95/46 […], na podstawie których Trybunał w wyroku Google Spain i Google(5)potwierdził istnienie „prawa do usunięcia linków”. Google twierdzi, że prawo to nie musi wiązać się z tym, że sporne linki mają zostać usunięte, bez ograniczeń geograficznych, we wszystkich nazwach domen jej wyszukiwarki. Ponadto, przyjmując taką wykładnię CNIL naruszyła uznane w międzynarodowym prawie publicznym zasady okazywania przez państwa wzajemnego szacunku i nieingerencji oraz nieproporcjonalnie naruszyła prawa do wolności wypowiedzi, do otrzymywania i przekazywania informacji, jak również wolności prasy, które zostały zagwarantowane przez art. 11 Karty praw podstawowych Unii Europejskiej (zwanej dalej „kartą”).
IV. Pytania prejudycjalne i postępowanie przed Trybunałem
28. Stwierdziwszy, że ta argumentacja dotyczy szeregu poważnych trudności w wykładni dyrektywy 95/46, Conseil d’État (rada państwa, Francja) postanowiła zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:
„1) Czy »prawo do usunięcia łączy« w postaci ustalonej przez [Trybunał] w wyroku [Google Spain i Google(6)] na podstawie przepisów art. 12 lit. b) i art. 14 lit. a) dyrektywy [95/46] należy interpretować w ten sposób, że operator wyszukiwarki internetowej jest zobowiązany, w razie uwzględnienia wniosku o usunięcie łączy, do usunięcia łączy we wszystkich nazwach domen swojej wyszukiwarki w taki sposób, aby sporne łącza nie pojawiały się już niezależnie od miejsca, z którego uruchomiono wyszukiwanie według imienia i nazwiska wnioskodawcy, w tym poza terytorialnym zakresem stosowania dyrektywy [95/46]?
2) W przypadku udzielenia odpowiedzi przeczącej na pytanie pierwsze, czy »prawo do usunięcia łączy« w postaci ustalonej przez [Trybunał] w ww. wyroku należy interpretować w ten sposób, że operator wyszukiwarki internetowej w razie uwzględnienia wniosku o usunięcie łączy jest jedynie zobowiązany do usunięcia spornych łączy z wyników wyświetlanych w następstwie wyszukiwania według imienia i nazwiska wnioskodawcy w nazwie domeny odpowiadającej państwu, w którym, jak się uznaje, złożono wniosek lub – szerzej – w nazwach domeny wyszukiwarki, które odpowiadają krajowym rozszerzeniom tej wyszukiwarki dla wszystkich państw członkowskich Unii Europejskiej?
3) Czy ponadto w uzupełnieniu zobowiązania, o którym mowa w pytaniu drugim, »prawo do usunięcia łączy« w postaci ustalonej przez [Trybunał] w ww. wyroku powinno być interpretowane w ten sposób, że operator wyszukiwarki internetowej uwzględniający wniosek o usunięcie łączy jest zobowiązany do usunięcia za pomocą techniki zwanej »geo-blokowaniem« dla adresu IP uznanego za zlokalizowany w państwie miejsca zamieszkania beneficjenta »prawa do usunięcia łączy« spornych wyników wyszukiwania według jego imienia i nazwiska, lub – bardziej ogólnie – dla adresu IP uznanego za zlokalizowany w jednym z państw członkowskich podlegających dyrektywie 95/46/WE, niezależnie od nazwy domeny wykorzystanej przez internautę dokonującego wyszukiwania?”
29. Uwagi na piśmie przedstawiły: Google, CNIL, Fundacja Wikimedia, Fondation pour la liberté de la presse (Fundacja na rzecz wolności prasy), Reporters Committee for Freedom of the Press i in., Article 19 i in. (Artykuł 19), Internet Freedom Foundation i in., Défenseur des droits (francuski rzecznik praw obywatelskich), rządy francuski, Irlandia, grecki, włoski, austriacki i polski oraz Komisja Europejska.
30. Wszystkie wymienione strony oprócz Défenseur des droits (rzecznika praw) i rządu włoskiego, a także spółka Microsoft zostały wysłuchane na rozprawie, która odbyła się w dniu 11 września 2018 r.
V. Ocena
31. Pytania, z którymi zwrócił się sąd odsyłający nie dotyczą wykładni przepisów rozporządzenia 2016/679, ale dyrektywy 95/46. Rozporządzenie to, mające zastosowanie od dnia 25 maja 2018 r.(7), uchyliło tę dyrektywę ze skutkiem od tej właśnie daty(8).
32. Z uwagi na to, że należy uznać, iż zgodnie z francuskim prawem regulującym postępowanie administracyjne właściwe dla sprawy jest prawo obowiązujące w dniu wydania zaskarżonej decyzji, to nie ulega wątpliwości, że wobec sporu postępowaniu głównym należy stosować dyrektywę 95/46. Oznacza to, że do Trybunału zwrócono się o dokonanie wykładni przepisów tej właśnie dyrektywy.
A. Pierwsze pytanie prejudycjalne
33. W pierwszym pytaniu prejudycjalnym Conseil d’État zwraca się do Trybunału w istocie o ustalenie, czy operator wyszukiwarki jest, w razie uwzględnienia żądania usunięcia linków z listy wyników wyszukiwania, zobowiązany do ich usunięcia we wszystkich nazwach domen swojej wyszukiwarki w taki sposób, aby sporne linki nie pojawiały się już niezależnie od miejsca, z którego uruchomiono wyszukiwanie według imienia i nazwiska wnioskodawcy.
34. CNIL, Défenseur des droits (francuski rzecznik praw obywatelskich) oraz rządy francuski, włoski i austriacki powołują się na konieczność skutecznej i pełnej ochrony zagwarantowanego w art. 8 karty prawa do ochrony danych osobowych oraz na skuteczność (effet utile) prawa do usunięcia linków wynikającego z art. 12 lit. b) i art. 14 akapit pierwszy lit. a) dyrektywy 95/46, twierdząc, że ustanowienie obowiązku usuwania linków na poziomie światowym jest niezbędne do tego, aby zapewnić skuteczność wymienionych praw. Takie zdaje się być także stanowisko „grupę roboczą ds. ochrony osób fizycznych w zakresie przetwarzania danych osobowych”(9) zawarte w sporządzonych przez nią „wytycznych w sprawie wykonania wyroku [Google Spain i Google(10)]” z dnia 26 listopada 2014 r.(11). (zwanych dalej „wytycznymi”). Otóż grupa ta stwierdziła, że: „aby prawa osoby, której dane dotyczą, określone w wyroku Trybunału, były w pełni skuteczne, decyzje o usunięciu linków z listy wyników wyszukiwania muszą być wdrażane w sposób gwarantujący skuteczną i pełną ochronę praw osób, których dane dotyczą, oraz uniemożliwiający łatwe obejście prawa UE. W tym sensie ograniczenie usuwania z listy wyników wyszukiwania do domen UE na takiej podstawie, że użytkownicy mają tendencję uzyskiwania dostępu do wyszukiwarek poprzez ich domeny krajowe nie może być uznane za wystarczający środek służący skutecznemu zagwarantowaniu praw osób, których dane dotyczą, zgodnie z wyrokiem. W praktyce oznacza to, że w każdym przypadku usunięcie z listy wyników wyszukiwania powinno mieć zastosowanie także wobec wszystkich właściwych domen, w tym .com”(12).
35. Natomiast Google, Wikimedia Foundation, Fondation pour la liberté de la presse (Fundacja na rzecz wolności prasy), Reporters Committee for Freedom of the Press i in., Article 19 i in. (Artykuł 19), Internet Freedom Foundation i in., Irlandia, rządy grecki i polski oraz Komisja co do zasady twierdzą, że ustanowienie na podstawie prawa Unii prawa do żądania usunięcia linków na poziomie światowym nie byłoby do pogodzenia ani z prawem Unii, ani z prawem międzynarodowym i stanowiłoby niebezpieczny precedens zachęcający reżimy autorytarne do żądania, aby przyjmowane przez nie decyzje w sprawie cenzury były także wdrażane na poziomie światowym.
36. Pomysł globalnego usuwania łączy zdaje się być interesujący z uwagi na swoją radykalność, jasność, prostotę i skuteczność. Jednakże nie przekonuje mnie takie rozwiązanie, ponieważ uwzględnia tylko jedną stronę medalu, a mianowicie ochronę danych jednostki.
1. W przedmiocie wyroku Google Spain i Google
37. Punktem wyjścia dla mojej analizy jest wyrok Google Spain i Google(13).
38. Wyrok ten nie definiuje zakresu geograficznego egzekwowania prawa do uzyskania usunięcia linków. Poruszono w nim jednak szereg kwestii, w szczególności odnoszących się do terytorialnego zakresu stosowania dyrektywy 95/46, które warto tutaj przypomnieć.
39. Jedna z tych kwestii dotyczyła ustalenia tego, w jakich warunkach dyrektywa 95/46 ma pod względem terytorialnym zastosowanie do przetwarzania danych osobowych w ramach działalności wyszukiwarki takiej jak Google Search, prowadzonej przez Google Inc., spółkę dominującą grupy Google z siedzibą w Stanach Zjednoczonych.
40. Artykuł 4 ust. 1 lit. a) dyrektywy 95/46 ustanawia kryterium, że „przetwarzanie danych [osobowych] odbywa się w kontekście prowadzenia przez administratora danych działalności gospodarczej na terytorium państwa członkowskiego”. W tym względzie na podstawie tego przepisu Trybunał uznał, że zakres terytorialny stosowania dyrektywy 95/46 obejmuje przypadki, w których operator wyszukiwarki internetowej ustanawia w danym państwie członkowskim oddział lub spółkę zależną, których celem jest promocja i sprzedaż powierzchni reklamowych oferowanych za pośrednictwem tej wyszukiwarki, a działalność tego oddziału lub tej spółki zależnej jest skierowana do osób zamieszkujących to państwo członkowskie (tak jak Google Spain lub, jak w niniejszej sprawie, Google France)(14).
41. W ten sposób Trybunał odrzucił podniesiony przez Google Spain i Google Inc. argument, w którym spółki te podniosły, że to przetwarzanie danych osobowych nie było dokonywane „w kontekście prowadzenia działalności” przez Google Spain, lecz wyłącznie przez Google Inc., która najwyraźniej prowadziła Google Search całkowicie niezależnie od Google Spain, której działalność ograniczała się do wspierania działalności reklamowej grupy Google, która jest odrębna od usługi wyszukiwarki.
42. W tym względzie Trybunał wyjaśnił, że celem dyrektywy 95/46 jest zapewnienie skutecznej i pełnej ochrony podstawowych praw i wolności osób fizycznych, a szczególnie prawa do prywatności w zakresie przetwarzania danych osobowych i że w odniesieniu do wyrażenia „w kontekście prowadzenia działalności” nie powinno się przyjmować wykładni zawężającej(15). Poza tym z art. 4 dyrektywy 95/46 wynika, że celem prawodawcy unijnego było niedopuszczenie do pozbawienia jednostek ochrony, do której mają one prawo na mocy tej dyrektywy, i dlatego przewidział on w przypadku tejże ochrony szczególnie szeroki zakres terytorialny jej zastosowania(16).
2. W przedmiocie miejsca, z którego uruchomione zostało wyszukiwanie
43. Podobnie jak w niniejszej sprawie, w sprawie Google Spain i Google(17) w sporze przed sądem krajowym spółka Google(18) występowała przeciwko państwowej agencji ochrony danych(19) kwestionując wydaną przez tę agencję decyzję.
44. Niemniej jednak głównym przedmiotem zainteresowania Trybunału w wyroku Google Spain i Google(20) jest ewidentnie osoba, której dane osobowe powinny być chronione. To prawom tej osoby Trybunał daje pierwszeństwo. Perspektywa osoby wyszukującej informacje zdaje się być w tym wyroku marginalna(21). Posługując się zaś jedynie wyrażeniem „wyświetlana lista wyników wyszukiwania mającego za punkt wyjścia imię i nazwisko danej osoby” Trybunał nie określił ram, w których prowadzono to wyszukiwanie, kto je prowadził i skąd.
45. Wprawdzie przepisy dyrektywy 95/46 mają na celu ochronę, zgodnie z art. 7 i 8 karty, praw podstawowych osoby „wyszukiwanej”, a następnie „osoby wymienionej na stronie, do której prowadzi link”, to jednak nie poruszono w nich kwestii zakresu terytorialnego usuwania linków. Przykładowo ani w przepisach dyrektywy ani wyroku w sprawie Google Spain i Google(22) nie wyjaśniono tego, czy wyszukiwanie prowadzone z Singapuru należy traktować odmiennie w porównaniu z tym prowadzonym z Paryża czy Katowic.
46. Moim zdaniem należy wprowadzić rozróżnienie w zależności od miejsca, z którego prowadzone jest to wyszukiwanie. I tak, wyniki wyszukiwania uruchamianego poza terytorium Unii nie powinny być usuwane.
a) W przedmiocie zakresu terytorialnego obowiązywania dyrektywy 95/46
47. Na mocy art. 52 ust. 1 TUE traktaty stosuje się do 28 państw członkowskich(23). Terytorium państwa członkowskiego jest zdefiniowane w prawie krajowym i prawie międzynarodowym publicznym(24). W art. 52 ust. 2 TUE uściślone zostało, że terytorialny zakres stosowania traktatów określony jest szczegółowo w art. 355 TFUE(25). Co do zasady prawo Unii nie może być stosowane poza zdefiniowanym w ten sposób terytorium, i, co za tym idzie, nie może ono ustanawiać wykraczających poza to terytorium praw i obowiązków.
48. Powstaje zatem pytanie, czy, z wyjątkowych przyczyn, zakres zastosowania dyrektywy 95/46 wykracza poza ww. granice terytorialne, w związku z czym przepisy tej dyrektywy powinny być interpretowane w sposób rozszerzający do tego stopnia, że wywierać będą skutki poza tymi granicami.
49. Moim zdaniem nie.
50. Prawdą jest, że istnieją sytuacje, w których prawo Unii dopuszcza skutki poza jej terytorium.
51. Jak podkreśla również rząd francuski, zgodnie z utrwalonym orzecznictwem dotyczącym prawa konkurencji okoliczność polegająca na tym, że uczestniczące w porozumieniu antykonkurencyjnym lub stosujące tego rodzaju praktykę przedsiębiorstwo znajduje się w państwie trzecim, nie stanowi przeszkody w stosowaniu reguł konkurencji Unii zgodnie z artykułami 101 i 102 TFUE, jeśli tego rodzaju porozumienie lub praktyka wywołują skutki na terytorium Unii(26).
52. W dziedzinie znaków towarowych Trybunał orzekł, że skuteczność norm regulujących tę dziedzinę prawa(27) mogłaby zostać naruszona, gdyby używanie oznaczenia identycznego ze znakiem towarowym zarejestrowanym w Unii lub do niego podobnego w ofercie sprzedaży lub reklamie zamieszczonej w Internecie i skierowanej do konsumentów przebywających na terytorium Unii nie było objęte zaskresem ich stosowania tylko z tego względu, że osoba trzecia, od której pochodzi ta oferta lub reklama, ma siedzibę w państwie trzecim, że serwer serwisu internetowego, z którego korzysta ta osoba, znajduje się w takim państwie lub że towar będący przedmiotem wspomnianej oferty lub reklamy znajduje się w państwie trzecim(28).
53. Obydwie z wymienionych sytuacji są moim zdaniem wyjątkowe. W obu tych przypadkach decydujące znaczenie ma wywieranie skutków na rynku wewnętrznym (nawet jeśli w sytuacjach tych wywierany jest też wpływ na inne rynki). Rynek wewnętrzny stanowi terytorium jasno określone w traktatach. Natomiast internet jest z natury globalny i, w pewien sposób, wszechobecny. Trudno jest tu zatem formułować analogie i porównania.
b) W przedmiocie eksterytorialności skutków praw podstawowych
54. Moim zdaniem nie można także, jak to czyni Défenseur des droits (francuski rzecznik praw obywatelskich) powoływać się na orzecznictwo Europejskiego Trybunału Praw Człowieka w zakresie eksterytorialnych skutków Europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności, podpisanej w Rzymie w dniu 4 listopada 1950 r. w odniesieniu ekstradycji osób do państwa trzeciego(29) i to z dwóch powodów.
55. Po pierwsze, zakres stosowania karty odpowiada zakresowi stosowania prawa Unii, nie zaś odwrotnie, co zostało wyraźnie określone w art. 51 ust. 2 tej karty(30).
56. Po drugie, przytoczone orzecznictwo dotyczy szczególnych przypadków kary śmierci lub zakazu tortur, czyli praw człowieka leżących u podstaw każdego państwa prawa, od których odstępstwa nie są możliwe(31).
57. „Prawo do bycia zapomnianym” winno natomiast zostać wyważone z innymi prawami podstawowymi i to w pewnym sensie stanowi sedno niniejszej sprawy.
c) W przedmiocie wyważenia między prawami podstawowymi
58. Głównym argumentem podnoszonym przeciwko obowiązkowi usuwania linków na poziomie światowym jest konieczność wyważenia między prawami podstawowymi oraz odnoszącymi się do nich wnioskami wynikającymi z wyroku Google Spain i Google(32). W tej sprawie Trybunał nadał szczególne znaczenie wyważeniu między, z jednej strony, prawem do ochrony danych i prywatności i, z drugiej strony, uzasadnionym interesem opinii publicznej w uzyskaniu dostępu do poszukiwanej informacji.
59. Zostało ustalone, że prawa do ochrony danych i prywatności wynikają z art. 7 i 8 karty i muszą pozostawać w związku z prawem Unii i terytorialnym zakresem jego obowiązywania. Podobnie jest w przypadku istniejącego po stronie opinii publicznej uzasadnionego interesu w uzyskaniu dostępu do poszukiwanej informacji. W przypadku Unii prawo to wynika z art. 11 karty. Docelową opinią publiczną nie jest zaś opinia światowa, tylko europejska, objęta zakresem zastosowania karty.
60. Gdyby przyjąć istnienie obowiązku usuwania linków w skali światowej, organy Unii nie byłyby w stanie zdefiniować i określić ani prawa do otrzymywania informacji, ani, tym bardziej, dokonać jego wyważenia z innymi podstawowymi prawami do ochrony danych i do prywatności. Należy przy tym wziąć pod uwagę fakt, że istniejący po stronie opinii publicznej interes w uzyskaniu dostępu do informacji musi podlegać w poszczególnych państwach trzecich pewnemu zróżnicowaniu, w zależności od lokalizacji geograficznej.
61. W przypadku istnienia możliwości dokonania usunięcia linków w skali światowej istniałoby prawdopodobieństwo uniemożliwienia dostępu do informacji podmiotom z państwach trzecich. Jeżeli organ Unii mógłby nakazać usunięcie linków w skali światowej, stanowiłoby to niebezpieczny przekaz dla państw trzecich, które mogłyby także nakazywać usuwanie linków w zastosowaniu swojego ustawodawstwa. Wyobraźmy sobie, że z jakiegokolwiek powodu państwa trzecie interpretują któres ze swoich przepisów prawnych w sposób uniemożliwiający osobom znajdującym się w państwie członkowskim Unii uzyskanie dostępu do wyszukiwanych informacji. Powstałoby wówczas rzeczywiste ryzyko równania praw w dół ze szkodą dla prawa do wolności wypowiedzi na poziomie europejskim i światowym(33).
62. Z uwagi na te właśnie uwarunkowania nie można wymagać, aby przepisy dyrektywy 95/46 miały zastosowanie poza terytorium Unii. Nie oznacza to jednak, że prawo Unii nie może nałożyć na operatora wyszukiwarki takiej jak Google obowiązku podjęcia działań na poziomie światowym. Nie wykluczam, że mogą zaistnieć sytuacje, w których interes Unii będzie wymagał stosowania przepisów dyrektywy 95/46 poza terytorium Unii. Jednak w sytuacji takiej jak ta będąca przedmiotem niniejszej sprawy nie ma powodów do zastosowania przepisów dyrektywy 95/46 w taki sposób.
63. Proponuję zatem, by Trybunał odpowiedział na pierwsze pytanie prejudycjalne, że przepisy art. 12 lit. b) i art. 14 lit. a) dyrektywy 95/46 należy interpretować w ten sposób, że w sytuacji, gdy operator wyszukiwarki internetowej uwzględnia żądanie usunięcia linków z listy wyników wyszukiwania, nie ma on obowiązku zastosowania tego usunięcia do wszystkich rozszerzeń nazwy domeny swojej wyszukiwarki w taki sposób, aby sporne linki nie były już wyświetlane niezależnie od miejsca, z którego uruchomiono wyszukiwanie mającego za punkt wyjścia imię i nazwisko osoby żądającej usunięcia linków.
B. W przedmiocie drugiego i trzeciego pytania prejudycjalnego
64. Ponieważ proponuję, aby na pierwsze pytanie udzielić odpowiedzi przeczącej, pytania drugie i trzecie należy przeanalizować łącznie.
65. W pytaniu drugim sąd odsyłający dąży do ustalenia, czy w sytuacji, gdy operator wyszukiwarki internetowej uwzględnia żądanie usunięcia linków z listy wyników wyszukiwania, jest on jedynie zobowiązany do usunięcia spornych linków z listy wyników wyświetlanej w następstwie wyszukiwania mającego za punkt wyjścia imię i nazwisko osoby żądającej usunięcia linków w nazwie domeny odpowiadającej państwu uznanemu za miejsce skierowania tego żądania lub – bardziej ogólnie rzecz ujmując – w nazwach domeny wyszukiwarki, które odpowiadają krajowym rozszerzeniom nazwy tej wyszukiwarki dla wszystkich państw członkowskich Unii Europejskiej.
66. Pytanie trzecie, które zostało zadane „w uzupełnieniu” pytania drugiego, ma na celu ustalenie, czy w sytuacji, gdy operator wyszukiwarki internetowej uwzględnia żądanie usunięcie linków, jest on zobowiązany do dokonania usunięcia – za pomocą techniki zwanej „geo-blokowaniem” z adresu IP uznanego za zlokalizowany w państwie miejsca zamieszkania podmiotu, któremu przysługuje „prawo do usunięcia linków” – spornych wyników wyszukiwania mającego za punkt wyjścia imię i nazwisko osoby żądającej usunięcia linków, czy też – bardziej ogólnie rzecz ujmując – dla adresu IP uznanego za zlokalizowany w jednym z państw członkowskich objętych dyrektywą 95/46/WE, niezależnie od nazwy domeny używanej przez internautę wyszukiwarki.
67. W swoich pytaniach prejudycjalnych sąd odsyłający łączy w sposób nierozerwalny nazwę domeny wyszukiwarki(34), z jednej strony, z miejscem, z którego prowadzono wyszukiwanie mające za punkt wyjścia imienię i nazwisko danej osoby(35), z drugiej strony.
68. W odniesieniu do pierwszego pytania prejudycjalnego istnienie takiego związku jest naturalne: jeżeli operator wyszukiwarki internetowej uniemożliwi dostęp do wyników wyszukiwania na wszystkich nazwach swoich domen, sporne linki oczywiście już się nie pojawią, niezależnie od miejsca, z którego uruchomiono wyszukiwanie.
69. Skoro jednak na pierwsze pytanie proponuję udzielić odpowiedzi przeczącej, istnienie takiego związku nie jest już konieczne. Jak bowiem wskazuje sam sąd odsyłający, dana osoba może prowadzić wyszukiwanie na dowolnej nazwie domeny wyszukiwarki. Na przykład zastosowanie rozszerzenia google.fr nie ogranicza się do wyszukiwania prowadzonego z Francji.
70. Niemniej jednak taka możliwość może być ograniczona w drodze techniki zwanej „geo-blokowaniem”.
71. Geo-blokowanie jest techniką uniemożliwiająca dostęp do treści w internecie w zależności od lokalizacji geograficznej użytkownika. W ramach systemu geo-blokowania lokalizacja użytkownika jest ustalana za pomocą technik geo-lokalizacji takich jak sprawdzanie adresu IP użytkownika. Geo-blokowanie stanowi formę cenzury i nie znajduje uzasadnienia w prawie regulującym rynek wewnętrzny Unii, w ramach którego zostało ono między innymi regulowane rozporządzeniem mającym na celu uniemożliwienie handlowcom prowadzącym działalność w jednym państwie członkowskim blokowania lub ograniczania dostępu do swoich interfejsów internetowych klientom z innych państw członkowskich, którzy chcą zawierać transakcje transgraniczne(36).
72. W przypadku zezwolenia na geo-blokowanie nazwa używanej domeny operatora wyszukiwarki nie ma znaczenia. Proponuję zatem, aby przed udzieleniem odpowiedzi na pytanie drugie zająć się pytaniem trzecim.
73. W wyroku Google Spain i Google(37), Trybunał stwierdził, że administrator danych w rozumieniu dyrektywy 95/46 winien w ramach swych zobowiązań, kompetencji i możliwości zapewnić, by działalność operatora wyszukiwarki internetowej spełniała określone w dyrektywie 95/46 wymogi, tak aby przewidziane w niej gwarancje były w pełni skuteczne i aby można było rzeczywiście zrealizować jej cel polegający na skutecznej i pełnej ochronie objętych nią osób, w szczególności w odniesieniu do ich prawa do poszanowania ich prywatności(38).
74. Po tym jak stwierdzone zostanie przysługiwanie prawa do uzyskania usunięcia linków operator wyszukiwarki musi podjąć wszelkich dostępnych środków, aby zapewnić skuteczne i całkowite usunięcie linków(39). Operator ten musi podjąć wszelkie kroki, które są mu dostępne technicznie. W sprawie zawisłej w postępowaniu głównym chodzi w szczególności o technikę „geo-blokowania” i to niezależnie od nazwy domeny wyszukiwarki używanej przez internautę.
75. Usuwanie linków powinno zostać przeprowadzone nie na poziomie krajowym, co wyjaśnię poniżej, ale na poziomie Unii Europejskiej.
76. Ponieważ dyrektywa 95/46 realizuje cel „zapewnienia jak najwyższego stopnia ochrony w [Unii]”(40), to w tym zakresie dąży ona do ustanowienia całościowego systemu ochrony danych, wykraczającego poza granice krajowe. Podstawę prawną dyrektywy stanowi dawny art. 100a TWE(41) co powoduje, że wpisuje się ona w logikę rynku wewnętrznego, który, co należy przypomnieć, obejmuje obszar bez granic wewnętrznych(42). Wynika z tego, że usunięcie linków na poziomie krajowym byłoby sprzeczne z zamierzonym w dyrektywie 95/46 celem harmonizacji i skutecznością (effet utile) jej przepisów(43).
77. Ponadto należy zauważyć, że pod rządami rozporządzenia 2016/679 problem ten nie istnieje, gdyż jest ono „bezpośrednio stosowane we wszystkich państwach członkowskich”(44). Podstawą prawną tego rozporządzenia jest art. 16 TFUE i wykracza ono poza podejście do rynku wewnętrznego przyjęte w dyrektywie 95/46, mając na celu zapewnienie całościowego systemu ochrony danych osobowych w UE(45). Rozporządzenie to odnosi się zawsze do Unii, do terytorium Unii lub państw członkowskich(46).
78. Proponuję zatem odpowiedzieć na pytania drugie i trzecie, że operator wyszukiwarki internetowej jest zobowiązany do usunięcia spornych linków z wyników wyświetlanych w następstwie mającego za punkt wyjścia imię i nazwisko osoby żądającej usunięcia linków wyszukiwania prowadzonego z miejsca znajdującego się w Unii Europejskiej. W tym względzie operator wyszukiwarki musi podjąć wszelkie dostępne mu środki, aby zapewnić skuteczne i całkowite usunięcia linków. Do środków tych należy w szczególności technika „geo-blokowania” z adresu IP uznanego za zlokalizowany w jednym z państw członkowskich, którego obowiązuje dyrektywa 95/46, niezależnie od nazwy domeny używanej przez internautę wyszukiwarki.
VI. Wnioski
79. Mając na uwadze powyższe rozważania, proponuję Trybunałowi, aby na przedłożone przez Cour de cassation (rada państwa, Francja) pytania prejudycjalne odpowiedział w następujący sposób:
1) Wykładni przepisów art. 12 lit. b) i art. 14 lit. a) dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych należy dokonywać w ten sposób, że w sytuacji, gdy operator wyszukiwarki internetowej uwzględnia żądanie usunięcia linków z listy wyników wyszukiwania, nie ma on obowiązku zastosowania tego do wszystkich rozszerzeń nazwy domeny swojej wyszukiwarki w taki sposób, aby sporne linki nie były już wyświetlane niezależnie od miejsca, z którego uruchomione zostało wyszukiwanie mające za punkt wyjścia imię i nazwisko osoby żądającej usunięcia linków.
2) Operator wyszukiwarki internetowej jest zobowiązany do usunięcia spornych linków z wyników wyświetlanych w następstwie mającego za punkt wyjścia imię i nazwisko osoby żądającej usunięcia linków wyszukiwania prowadzonego z miejsca znajdującego się w Unii Europejskiej. W tym względzie operator wyszukiwarki musi podjąć wszelkie dostępne mu środki, aby zapewnić skuteczne i całkowite usunięcia linków. Do środków tych należy w szczególności technika „geo-blokowania” z adresu IP uznanego za zlokalizowany w jednym z państw członkowskich, którego obowiązuje dyrektywa 95/46, niezależnie od nazwy domeny używanej przez internautę wyszukiwarki.