PRESUDA SUDA (veliko vijeće)
24. rujna 2019.(*)
„Zahtjev za prethodnu odluku – Osobni podaci – Zaštita fizičkih osoba u pogledu obrade tih podataka – Direktiva 95/46/EZ – Uredba (EU) 2016/679 – Internetski pretraživači – Obrada podataka koji se nalaze na internetskim stranicama – Teritorijalni doseg prava na uklanjanje poveznica”
U predmetu C‑507/17,
povodom zahtjeva za prethodnu odluku na temelju članka 267. UFEU‑a, koji je uputio Conseil d’État (Državno vijeće, Francuska), odlukom od 19. srpnja 2017., koju je Sud zaprimio 21. kolovoza 2017., u postupku
Google LLC, pravni sljednik Googlea Inc.,
protiv
Commission nationale de l’informatique et des libertés (CNIL),
uz sudjelovanje:
Wikimedia Foundation Inc.,
Fondation pour la liberté de la presse,
Microsoft Corp.,
Reporters Committee for Freedom of the Press i dr.,
Article 19 i dr.,
Internet Freedom Foundation i dr.,
Défenseur des droits,
SUD (veliko vijeće),
u sastavu: K. Lenaerts, predsjednik, A. Arabadjiev, E. Regan, T. von Danwitz, C. Toader i F. Biltgen, predsjednici vijeća, M. Ilešič (izvjestitelj), L. Bay Larsen, M. Safjan, D. Šváby, C. G. Fernlund, C. Vajda i S. Rodin, suci,
nezavisni odvjetnik: M. Szpunar,
tajnik: V. Giacobbo‑Peyronnel, administratorica,
uzimajući u obzir pisani postupak i nakon rasprave održane 11. rujna 2018.,
uzimajući u obzir očitovanja koja su podnijeli:
– za Google LLC, P. Spinosi, Y. Pelosi i W. Maxwell, avocats,
– za Commission nationale de l’informatique et des libertés (CNIL), I. Falque‑Pierrotin, J. Lessi i G. Le Grand, u svojstvu agenata,
– za Wikimedia Foundation Inc., C. Rameix‑Seguin, avocate,
– za Fondation pour la liberté de la presse, T. Haas, avocat,
– za Microsoft Corp., E. Piwnica, avocat,
– za Reporters Committee for Freedom of the Press i dr., F. Louis, avocat, i H.-G. Kamann, C. Schwedler i M. Braun, Rechtsanwälte,
– za Article 19 i dr., G. Tapie, avocat, G. Facenna, QC, i E. Metcalfe, barrister,
– za Internet Freedom Foundation i dr., T. Haas, avocat,
– za Défenseur des droits, J. Toubon, u svojstvu agenta,
– za francusku vladu, D. Colas, R. Coesme, E. de Moustier i S. Ghiandoni, u svojstvu agenata,
– za Irsku, M. Browne, G. Hodge, J. Quaney i A. Joyce, u svojstvu agenata, uz asistenciju M. Gray, BL,
– za vladu Helenske Republike, E.-M. Mamouna, G. Papadaki, E. Zisi i S. Papaioannou, u svojstvu agenata,
– za talijansku vladu, G. Palmieri, u svojstvu agenta, uz asistenciju R. Guizzi, avvocato dello Stato,
– za austrijsku vladu, G. Eberhard i G. Kunnert, u svojstvu agenata,
– za poljsku vladu, B. Majczyna, M. Pawlicka i J. Sawicka, u svojstvu agenata,
– za Europsku komisiju, A. Buchet, H. Kranenborg i D. Nardi, u svojstvu agenata,
saslušavši mišljenje nezavisnog odvjetnika na raspravi održanoj 10. siječnja 2019.,
donosi sljedeću
Presudu
1 Zahtjev za prethodnu odluku odnosi se na tumačenje Direktive 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL 1995., L 281, str. 31.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.).
2 Zahtjev je upućen u okviru spora između društva Google LLC, pravnog sljednika društva Google Inc., s jedne strane, i Commission nationale de l’informatique et des libertés (Državna komisija za informacijske tehnologije i slobode, u daljnjem tekstu: CNIL) (Francuska), s druge strane, povodom sankcije u iznosu od 100 000 eura koju je potonja izrekla Googleu zbog toga što je to društvo odbilo prilikom prihvaćanja zahtjeva za uklanjanje poveznica primijeniti taj zahtjev na svim nastavcima naziva domene svojeg pretraživača.
Pravni okvir
Pravo Unije
Direktiva 95/46
3 U skladu s člankom 1. stavkom 1. Direktive 95/46, njezin je cilj zaštita temeljnih prava i sloboda fizičkih osoba, a posebno njihovih prava na privatnost u vezi s obradom osobnih podataka, kao i uklanjanje zapreka slobodnom prijenosu tih podataka.
4 Uvodne izjave 2., 7., 10., 18., 20. i 37. Direktive 95/46 glase:
„(2) budući da su sustavi za obradu podataka osmišljeni da služe čovjeku; budući da moraju, bez obzira na nacionalnost ili boravište fizičkih osoba, poštivati njihova temeljna prava i slobode, pravo na privatnost, te doprinositi […] dobrobiti pojedinaca;
[…]
(7) budući da razlika u razinama zaštite prava i sloboda pojedinaca, posebno pravo na privatnost, u vezi obrade osobnih podataka u državama članicama može spriječiti prijenos takvih podataka s područja jedne države članice na područje druge države članice; budući da ta razlika može prema tome predstavljati zapreku provedbi niza gospodarskih aktivnosti na razini Zajednice, […]
[…]
(10) budući da je cilj nacionalnog zakonodavstva u vezi obrade osobnih podataka zaštiti[ti] temeljna prava i slobode, posebno pravo na privatnost koje je priznato u članku 8. Europske konvencije za zaštitu ljudskih prava i temeljnih sloboda[, potpisane u Rimu 4. studenoga 1950.,] te u općim načelima prava Zajednice; budući da iz tog razloga usklađivanje tih zakona ne smije dovesti do bilo kakvog smanjenja zaštite koju pružaju, nego naprotiv moraju težiti tome da osiguraju visoku razinu zaštite u Zajednici;
[…]
(18) budući da, kako bi se osiguralo da pojedinci nisu lišeni zaštite na koju imaju pravo na temelju ove Direktive, bilo kakva obrada osobnih podataka u Zajednici mora se izvršavati u skladu sa zakonodavstvom jedne od država članica; […]
[…]
(20) budući da obrada podataka koju provodi osoba s poslovnim nastanom u trećoj zemlji ne smije sprečavati zaštitu pojedinaca predviđenu ovom Direktivom; budući da u tim slučajevima obrada mora biti uređena zakonodavstvom države članice u kojoj su sredstva koja se koriste smještena te da moraju postojati jamstva koja će osigurati da se prava i obveze predviđene ovom Direktivom poštuju u praksi;
[…]
(37) budući da je obradu osobnih podataka u svrhe novinarstva ili književnog ili umjetničkog izražavanja, posebno na audiovizualnom području, potrebno izuzeti od zahtjeva nekih odredbi ove Direktive u onoj mjeri u kojoj je to potrebno da bi se uskladila temeljna prava pojedinaca sa slobodom obavješćivanja i posebno s pravom na dobivanje i pružanje podataka, kako je zajamčeno posebno člankom 10. Europske konvencije za zaštitu ljudskih prava i temeljnih sloboda; budući da bi prema tome države članice morale propisati iznimke i odstupanja potrebna u svrhu uspostave ravnoteže između temeljnih prava u odnosu na opće mjere o opravdanosti obrade podataka, […]”
5 Članak 2. te direktive propisuje:
„U smislu ove Direktive:
(a) ‚osobni podaci’ znači bilo koji podaci koji se odnose na utvrđenu fizičku osobu ili fizičku osobu koju se može utvrditi (‚osoba čiji se podaci obrađuju’); […]
(b) ‚obrada osobnih podataka' (‚obrada') znači bilo koji postupak ili skup postupaka koji se provode nad osobnim podacima, bilo automatskim putem ili ne, kao što je prikupljanje, snimanje, organiziranje, pohrana, prilagođavanje ili mijenjanje, vraćanje, obavljanje uvida, uporaba, otkrivanje prijenosom i širenjem ili stavljanje na raspolaganje drugim načinom, poravnavanje ili kombiniranje, blokiranje, brisanje ili uništavanje;
[…]
(d) ‚nadzornik’ znači fizička ili pravna osoba, javno tijelo, agencija ili bilo koje drugo tijelo koje samo ili zajedno s drugima utvrđuje svrhu i načine obrade osobnih podataka; […]
[…]”
6 Članak 4. navedene direktive, naslovljen, „Primjena nacionalnog prava”, predviđa:
„1. Svaka država članica na obradu osobnih podataka primjenjuje nacionalne propise koje donese u skladu s ovom Direktivom kada:
(a) se obrada provodi u [okviru] aktivnosti poslovnog nastana nadzornika na području države članice; kada taj nadzornik ima poslovni nastan na području nekoliko država članica, on mora poduzeti potrebne mjere kako bi osigurao da svaki od tih poslovnih nastana ispunjava obveze propisane važećim nacionalnim pravom;
(b) nadzornik nema poslovni nastan na području države članice, nego na mjestu na kojem se njezino nacionalno pravo primjenjuje na temelju međunarodnog javnog prava;
(c) nadzornik nema poslovni nastan na području Zajednice i u svrhu obrade osobnih podataka koristi opremu, bilo da je automatizirana ili ne, smještenu na području navedene države članice, ako se takva oprema ne koristi isključivo u svrhe prijenosa preko područja Zajednice.
2. U okolnostima iz stavka 1. točke (c) ovog članka nadzornik mora imenovati zastupnika s poslovnim nastanom na području te države članice, ne dovodeći u pitanje pravna sredstva koja se mogu podnijeti protiv samog nadzornika.”
7 Članak 9. Direktive 95/46, naslovljen „Obrada osobnih podataka i sloboda izražavanja”, propisuje:
„Države članice utvrđuju iznimke ili odstupanja od odredbi ovog poglavlja, poglavlja IV. i poglavlja VI. za obradu osobnih podataka izvršen[u] isključivo u novinarske svrhe ili radi umjetničkog ili književnog izražavanja jedino ako su potrebni radi usklađivanja prava na privatnost s propisima o slobodi izražavanja.”
8 Članak 12. te direktive, naslovljen „Pravo na pristup”, predviđa:
„Države članice osiguravaju da svaka osoba čiji se podaci obrađuju ima pravo dobiti od nadzornika:
[…]
(b) prema potrebi, ispravak, brisanje ili blokiranje podataka čija obrada nije u skladu s ovom Direktivom, posebno zbog nepotpunih ili netočnih podataka;
[…]”
9 Članak 14. navedene direktive, naslovljen „Pravo osobe čiji se podaci obrađuju na prigovor”, propisuje:
„Države članice odobravaju osobi čiji se podaci obrađuju pravo:
(a) barem u slučajevima iz članka 7. stavaka (e) i (f) ove Direktive, da prigovori u bilo kojem trenutku zbog jakih i zakonitih razloga u vezi njezine određene situacije na obradu podataka koji se odnose na nju, osim kada je drugačije propisano nacionalnim zakonodavstvom. Ako je prigovor osnovan, obrada koju je započeo nadzornik ne smije više obuhvaćati te podatke;
[…]”
10 Članak 24. Direktive 95/46, naslovljen „Sankcije”, propisuje:
„Države članice donose odgovarajuće mjere kako bi osigurale potpunu provedbu odredbi ove direktive i posebno propisuju sankcije koje se nameću u slučaju kršenja odredbi donesenih u skladu s ovom direktivom.”
11 Članak 28. te direktive, naslovljen „Nadzorno tijelo”, glasi:
„1. Svaka država članica osigurava da je jedno ili više javnih tijela na njenom području odgovorno za nadzor primjene odredbi koje su donijele države članice u skladu s ovom Direktivom.
[…]
3. Svako tijelo posebno ima:
– istražne ovlasti, kao što je ovlast pristupa podacima koji su predmet postupaka obrade i ovlasti za prikupljanje svih podataka potrebnih za izvršavanje svojih nadzornih dužnosti,
– učinkovite ovlasti za posredovanje, kao što je na primjer […] ovlasti naređivanja blokiranja, brisanja ili uništavanja podataka, nametanja privremene ili konačne zabrane obrade […]
[…]
Protiv odluka nadzornog tijela mogu se izjaviti žalbe putem sudova.
4. Svako nadzorno tijelo razmatra zahtjeve koje podnese bilo koja osoba ili bilo koja udruga koja zastupa tu osobu, u vezi zaštite njezinih prava i sloboda u odnosu na obradu osobnih podataka. Tu osobu se izvještava o ishodu tog zahtjeva.
[…]
6. Svako nadzorno tijelo je na području svoje države članice nadležno za provedbu ovlasti koje su mu dodijeljene u skladu sa stavkom 3. ovog članka, neovisno o tome koje se nacionalno pravo primjenjuje na tu obradu. Svako tijelo može zatražiti tijelo druge države članice da provodi svoje ovlasti.
Nadzorna tijela međusobno surađuju u mjeri potrebnoj za izvršavanje svojih ovlasti, posebno razmjenom korisnih podataka.
[…]”
Uredba (EU) 2016/679
12 Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46 (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravak SL 2018., L 127, str. 2.), koja se temelji na članku 16. UFEU‑a, primjenjuje se, na temelju svojeg članka 99. stavka 2., od 25. svibnja 2018. Članak 94. stavak 1. te uredbe propisuje da se Direktiva 95/46 stavlja izvan snage s učinkom od istog datuma.
13 Uvodne izjave 1., 4., 9. do 11., 13., 22. do 25. i 65. navedene uredbe glase:
„(1) Zaštita pojedinaca s obzirom na obradu osobnih podataka temeljno je pravo. Člankom 8. stavkom 1. Povelje Europske unije o temeljnim pravima (‚Povelja’) te člankom 16. stavkom 1. [UFEU‑a] utvrđuje se da svatko ima pravo na zaštitu svojih osobnih podataka.
[…]
(4) Obrada osobnih podataka trebala bi biti osmišljena tako da bude u službi čovječanstva. Pravo na zaštitu osobnih podataka nije apsolutno pravo; mora ga se razmatrati u vezi s njegovom funkcijom u društvu te ga treba [odvagnuti] s drugim temeljnim pravima u skladu s načelom proporcionalnosti. Ovom se Uredbom poštuju sva temeljna prava i uvažavaju slobode i načela priznata Poveljom koja su sadržana u Ugovorima, osobito poštovanje privatnog i obiteljskog života, […] zaštita osobnih podataka, sloboda mišljenja, savjesti i vjeroispovijedi, sloboda izražavanja i informiranja, sloboda poduzetništva, […]
[…]
(9) […] Direktiv[om] 95/46[…] nisu spriječeni rascjepkanost provedbe zaštite podataka u Uniji […]. Razlike u razini zaštite […] koj[u] pružaju države članice […] mogu spriječiti slobodni protok osobnih podataka u Uniji. Te razlike stoga mogu predstavljati prepreku obavljanju gospodarskih djelatnosti na razini Unije […].
(10) Kako bi se osigurala postojana i visoka razina zaštite pojedinaca te uklonile prepreke protoku osobnih podataka unutar Unije, razina zaštite prava i sloboda pojedinaca u vezi s obradom takvih podataka trebala bi biti jednaka u svim državama članicama. […]
(11) Djelotvorna zaštita osobnih podataka širom Unije zahtijeva jačanje i detaljno određivanje prava ispitanika i obveza onih koji obrađuju i određuju obradu osobnih podataka, kao i jednake ovlasti praćenja i osiguravanja poštovanja pravila za zaštitu osobnih podataka i jednake sankcije za kršenja u državama članicama.
[…]
(13) Kako bi se osigurala dosljedna razina zaštite pojedinaca širom Unije i spriječila razilaženja koja ometaju slobodno kretanje osobnih podataka na unutarnjem tržištu, potrebna je Uredba radi pružanja pravne sigurnosti i transparentnosti gospodarskim subjektima […] te pružanja pojedincima u svim državama članicama ist[e] razin[e] pravno primjenjivih prava i obveza te odgovornosti za voditelje obrade i izvršitelje obrade kako bi se osiguralo postojano praćenje obrade osobnih podataka i jednake sankcije u svim državama članicama, kao i djelotvorn[a] suradnj[a] između nadzornih tijela različitih država članica. Za ispravno funkcioniranje unutarnjeg tržišta ne ograničava se niti zabranjuje slobodno kretanje osobnih podataka u Uniji zbog razloga povezanih sa zaštitom pojedinaca u vezi s obradom osobnih podataka. […]
[…]
(22) Svaka obrada osobnih podataka u Uniji s obzirom na djelatnosti poslovnog nastana voditelja obrade ili izvršitelja obrade trebala bi se obavljati u skladu s ovom Uredbom, neovisno o tome obavlja li se sama obrada u Uniji. […]
(23) Kako bi se osiguralo da pojedincima nije uskraćena zaštita na koju imaju pravo na temelju ove Uredbe, na obradu osobnih podataka ispitanika koji se nalaze u Uniji, a koju obavlja voditelj obrade ili izvršitelj obrade bez poslovnog nastana u Uniji, trebala bi se primjenjivati ova Uredba ako su aktivnosti obrade povezane s ponudom robe ili usluga takvim ispitanicima, bez obzira na to ima li ta ponuda veze s plaćanjem. Kako bi se utvrdilo nudi li takav voditelj obrade ili izvršitelj obrade robu ili usluge ispitanicima koji se nalaze u Uniji, trebalo bi utvrditi je li očito da voditelj obrade ili izvršitelj obrade namjerava ponuditi usluge ispitanicima koji se nalaze u jednoj ili više država članica Unije. […]
(24) Na obradu osobnih podataka ispitanika koji se nalaze u Uniji, a koju obavlja voditelj obrade ili izvršitelj obrade bez poslovnog nastana u Uniji, također bi se trebala primjenjivati ova Uredba kada se odnosi na praćenje ponašanja takvih ispitanika ako se njihovo ponašanje odvija unutar Unije. Kako bi se odredilo može li se aktivnost obrade smatrati praćenjem ponašanja ispitanika, trebalo bi utvrditi prati li se pojedince na internetu među ostalim mogućom naknadnom upotrebom tehnika obrade osobnih podataka koje se sastoje od izrade profila pojedinca, osobito radi donošenja odluka koje se odnose na njega ili radi analize ili predviđanja njegovih osobnih sklonosti, ponašanja i stavova.
(25) Kada se pravo države članice primjenjuje na temelju međunarodnog javnog prava, ova Uredba trebala bi se primjenjivati i na voditelje obrade koji nemaju poslovni nastan u Uniji, kao na primjer u diplomatskom ili konzularnom predstavništvu države članice.
[…]
(65) Ispitanik bi trebao imati […] ‚pravo na zaborav’ ako zadržavanje takvih podataka krši ovu Uredbu ili pravo Unije ili pravo države članice koje se primjenjuje na voditelja obrade. […] No daljnja pohrana osobnih podataka trebala bi biti zakonita ako je nužna za ostvarivanje prava na slobodu izražavanja i na slobodu informiranja […]”
14 Članak 3. Uredbe 2016/679, naslovljen „Teritorijalno područje primjene”, glasi:
„1. Ova se Uredba odnosi na obradu osobnih podataka u okviru aktivnosti poslovnog nastana voditelja obrade ili izvršitelja obrade u Uniji, neovisno o tome obavlja li se obrada u Uniji ili ne.
2. Ova se Uredba primjenjuje na obradu osobnih podataka ispitanikâ u Uniji koju obavlja voditelj obrade ili izvršitelj obrade bez poslovnog nastana u Uniji, ako su aktivnosti obrade povezane s:
(a) nuđenjem robe ili usluga takvim ispitanicima u Uniji, neovisno o tome treba li ispitanik izvršiti plaćanje; ili
(b) praćenjem njihova ponašanja dokle god se njihovo ponašanje odvija unutar Unije.
3. Ova se Uredba primjenjuje na obradu osobnih podataka koju obavlja voditelj obrade koji nema poslovni nastan u Uniji, već na mjestu gdje se pravo države članice primjenjuje na temelju međunarodnog javnog prava.”
15 Članak 4. točka 23. te uredbe pojam „prekogranična obrada” definira na sljedeći način:
„(a) obrada osobnih podataka koja se odvija u Uniji u kontekstu aktivnosti poslovnih nastana u više od jedne države članice voditelja obrade ili izvršitelja obrade, a voditelj obrade ili izvršitelj obrade ima poslovni nastan u više od jedne države članice; ili
(b) obrada osobnih podataka koja se odvija u Uniji u kontekstu aktivnosti jedinog poslovnog nastana voditelja obrade ili izvršitelja obrade, ali koja bitno utječe ili je izgledno da će bitno utjecati na ispitanike u više od jedne države članice”.
16 Članak 17. te uredbe, naslovljen „Pravo na brisanje (‚pravo na zaborav’)”, glasi:
„1. Ispitanik ima pravo od voditelja obrade ishoditi brisanje osobnih podataka koji se na njega odnose bez nepotrebnog odgađanja te voditelj obrade ima obvezu obrisati osobne podatke bez nepotrebnog odgađanja ako je ispunjen jedan od sljedećih uvjeta:
(a) osobni podaci više nisu nužni u odnosu na svrhe za koje su prikupljeni ili na drugi način obrađeni;
(b) ispitanik povuče privolu na kojoj se obrada temelji u skladu s člankom 6. stavkom 1. točkom (a) ili člankom 9. stavkom 2. točkom (a) i ako ne postoji druga pravna osnova za obradu;
(c) ispitanik uloži prigovor na obradu u skladu s člankom 21. stavkom 1. te ne postoje jači legitimni razlozi za obradu, ili ispitanik uloži prigovor na obradu u skladu s člankom 21. stavkom 2.;
(d) osobni podaci nezakonito su obrađeni;
(e) osobni podaci moraju se brisati radi poštovanja pravne obveze iz prava Unije ili prava države članice kojem podliježe voditelj obrade;
(f) osobni podaci prikupljeni su u vezi s ponudom usluga informacijskog društva iz članka 8. stavka 1.
[…]
3. Stavci 1. i 2. ne primjenjuju se u mjeri u kojoj je obrada nužna:
(a) radi ostvarivanja prava na slobodu izražavanja i informiranja;
[…]”
17 Članak 21. te uredbe, naslovljen „Pravo na prigovor”, u stavku 1. predviđa:
„Ispitanik ima pravo na temelju svoje posebne situacije u svakom trenutku uložiti prigovor na obradu osobnih podataka koji se odnose na njega, u skladu s člankom 6. stavkom 1. točkom (e) ili (f), uključujući izradu profila koja se temelji na tim odredbama. Voditelj obrade više ne smije obrađivati osobne podatke osim ako voditelj obrade dokaže da postoje uvjerljivi legitimni razlozi za obradu koji nadilaze interese, prava i slobode ispitanika ili radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva.”
18 Članak 55. Uredbe 2016/679, naslovljen „Nadležnost”, koji se nalazi u njezinu poglavlju VI., naslovljenom „Neovisna nadzorna tijela”, u stavku 1. propisuje:
„Svako nadzorno tijelo nadležno je za obavljanje zadaća koje su mu povjerene i izvršavanje ovlasti koje su mu dodijeljene u skladu s ovom Uredbom na državnom području vlastite države članice.”
19 Članak 56. te uredbe, naslovljen „Nadležnost vodećeg nadzornog tijela”, propisuje:
„1. Ne dovodeći u pitanje članak 55., nadzorno tijelo glavnog poslovnog nastana ili jedinog poslovnog nastana voditelja obrade ili izvršitelja obrade nadležno je djelovati kao vodeće nadzorno tijelo za prekograničnu obradu koju provodi taj voditelj obrade ili izvršitelj obrade u skladu s postupkom utvrđenim u članku 60.
2. Odstupajući od stavka 1., svako nadzorno tijelo nadležno je za rješavanje pritužbe koja mu je podnesena ili mogućeg kršenja ove Uredbe, ako se predmet odnosi samo na poslovni nastan u njegovoj državi članici ili bitno utječe samo na ispitanike u njegovoj državi članici.
3. U slučajevima iz stavka 2. ovog članka nadzorno tijelo bez odgode obavješćuje vodeće nadzorno tijelo o tom pitanju. U roku od tri tjedna nakon primitka obavijesti vodeće nadzorno tijelo odlučuje hoće li rješavati predmet u skladu s postupkom predviđenim u članku 60., uzimajući u obzir to ima li voditelj obrade ili izvršitelj obrade poslovni nastan u državi članici čije mu je nadzorno tijelo uputilo obavijest.
4. Ako vodeće nadzorno tijelo odluči riješiti predmet, primjenjuje se postupak iz članka 60. Nadzorno tijelo koje je uputilo obavijest vodećem nadzornom tijelu može vodećem nadzornom tijelu podnijeti nacrt za odluku. Vodeće nadzorno tijelo uzima u obzir što je više moguće taj nacrt prilikom izrade nacrta odluke iz članka 60. stavka 3.
5. Ako vodeće nadzorno tijelo odluči da neće rješavati predmet, rješava ga nadzorno tijelo koje je uputilo obavijest vodećem nadzornom tijelu, u skladu s člancima 61. i 62.
6. Vodeće nadzorno tijelo jedini je sugovornik voditelja obrade ili izvršitelja obrade u prekograničnoj obradi koju provodi taj voditelj obrade ili izvršitelj obrade.”
20 Članak 58. te uredbe, naslovljen „Ovlasti”, u stavku 2. predviđa:
„Svako nadzorno tijelo ima sve sljedeće korektivne ovlasti:
[…]
(g) narediti […] brisanje osobnih podataka […] u skladu s člancima […] 17. […];
[…]
(i) izreći upravnu novčanu kaznu […] uz mjere, ili umjesto mjera koje se navode u ovom stavku, ovisno o okolnostima svakog pojedinog slučaja”.
21 U poglavlju VII. Uredbe 2016/679, naslovljenom „Suradnja i konzistentnost”, odjeljak I., naslovljen „Suradnja”, sadržava članke 60. do 62. te uredbe. Taj članak 60., naslovljen „Suradnja vodećeg nadzornog tijela i drugih predmetnih nadzornih tijela”, propisuje:
„1. Vodeće nadzorno tijelo surađuje s drugim predmetnim nadzornim tijelima u skladu s ovim člankom kako bi se nastojao postići konsenzus. Vodeće nadzorno tijelo i predmetna nadzorna tijela međusobno razmjenjuju sve bitne informacije.
2. Vodeće nadzorno tijelo može u bilo kojem trenutku od drugih predmetnih nadzornih tijela zatražiti pružanje uzajamne pomoći u skladu s člankom 61. te može provoditi zajedničke operacije u skladu s člankom 62., posebno vođenje istraga ili praćenja provedbe mjere u vezi s voditeljem obrade ili izvršiteljem obrade s poslovnim nastanom u drugoj državi članici.
3. Vodeće nadzorno tijelo bez odgađanja obavješćuje o bitnim informacijama u vezi s predmetom druga predmetna nadzorna tijela. Bez odgađanja podnosi nacrt odluke drugim predmetnim nadzornim tijelima kako bi ona dala svoje mišljenje te pridaje dužnu pozornost njihovim stajalištima.
4. Ako neko od drugih predmetnih nadzornih tijela u roku od četiri tjedna nakon što je u skladu sa stavkom 3. ovog članka bilo obaviješteno izrazi relevantan i obrazložen prigovor na nacrt odluke, ako relevantan i obrazložen prigovor ne uzme u obzir ili smatra da prigovor nije relevantan ili obrazložen, vodeće nadzorno tijelo predmet predaje na rješavanje u sklopu mehanizma konzistentnosti iz članka 63.
5. Ako vodeće nadzorno tijelo namjerava uzeti u obzir relevantan i obrazložen prigovor, revidirani nacrt odluke podnosi drugim predmetnim nadzornim tijelima kako bi ona dala svoje mišljenje. Na taj revidirani nacrt odluke primjenjuje se postupak iz stavka 4. u roku od dva tjedna.
6. Ako ni jedno od drugih predmetnih nadzornih tijela ne uloži prigovor na nacrt odluke koju je podnijelo vodeće nadzorno tijelo u roku navedenom u stavcima 4. i 5. smatra se da se vodeće nadzorno tijelo i predmetna nadzorna tijela slažu s tim nacrtom odluke i on je za njih obvezujući.
7. Vodeće nadzorno tijelo donosi odluku i dostavlja je u glavni ili jedini poslovni nastan voditelja obrade ili izvršitelja obrade, prema potrebi, te obavješćuje druga predmetna nadzorna tijela i Odbor o dotičnoj odluci prilažući i bitne činjenice i obrazloženja. Nadzorno tijelo kojem je podnesena pritužba obavješćuje podnositelja pritužbe o odluci.
8. Odstupajući od stavka 7., ako je pritužba odbačena ili odbijena, nadzorno tijelo kojem je podnesena pritužba donosi odluku i dostavlja je podnositelju pritužbe te o tome obavješćuje voditelja obrade.
9. Ako su se vodeće nadzorno tijelo i predmetna nadzorna tijela složili odbaciti ili odbiti dijelove pritužbe, a u obzir uzeti druge dijelove te pritužbe, donosi se odvojena odluka za svaki dio predmeta. […]
10. Nakon što ga vodeće nadzorno tijelo u skladu sa stavcima 7. i 9. obavijesti o odluci, voditelj obrade ili izvršitelj obrade poduzima potrebne mjere kako bi osigurao da se odluka poštuje u odnosu na aktivnosti obrade, s obzirom na sve njegove poslovne nastane u Uniji. Voditelj obrade ili izvršitelj obrade o poduzetim mjerama za poštivanje odluke obavješćuju vodeće nadzorno tijelo koje izvješćuje druga predmetna nadzorna tijela.
11. Ako u izuzetnim okolnostima predmetno nadzorno tijelo ima razloga smatrati da postoji hitna potreba za djelovanjem kako bi se zaštitili interesi ispitanika, primjenjuje se hitni postupak iz članka 66.
[…]”
22 Članak 61. te uredbe, naslovljen „Uzajamna pomoć”, u stavku 1. propisuje:
„Nadzorna tijela međusobno si pružaju bitne informacije i uzajamnu pomoć kako bi konzistentno provela i primijenila ovu Uredbu i uspostavljaju mjere za djelotvornu uzajamnu suradnju. Uzajamna pomoć obuhvaća osobito zahtjeve za informacijama i mjerama nadzora, kao što su zahtjevi za provedbom prethodnog odobravanja i savjetovanja, inspekcija i istraga.”
23 Članak 62. te uredbe, naslovljen „Zajedničke operacije nadzornih tijela”, propisuje:
„1. Nadzorna tijela prema potrebi provode zajedničke operacije, uključujući zajedničke istrage i zajedničke mjere provedbe u kojima sudjeluju članovi ili osoblje nadzornih tijela drugih država članica.
2. Ako voditelj obrade ili izvršitelj obrade ima poslovne nastane u nekoliko država članica ili kad postoji vjerojatnost da će postupci obrade bitno utjecati na znatan broj ispitanika u više od jedne države članice, nadzorno tijelo svake od tih država članica ima pravo na sudjelovanje u zajedničkim operacijama. […]”
24 Odjeljak 2., naslovljen „Konzistentnost”, u poglavlju VII. Uredbe 2016/679 sadržava članke 63. do 67. te uredbe. Taj članak 63., naslovljen „Mehanizam konzistentnosti”, glasi:
„Kako bi se doprinijelo dosljednoj primjeni ove Uredbe u cijeloj Uniji, nadzorna tijela surađuju međusobno i prema potrebi s Komisijom u okviru mehanizma konzistentnosti, kako je utvrđeno u ovom odjeljku.”
25 Članak 65. navedene uredbe, naslovljen „Rješavanje sporova pri Odboru”, u stavku 1. propisuje:
„Kako bi se osigurala ispravna i dosljedna primjena ove Uredbe u pojedinačnim slučajevima, Odbor donosi obvezujuću odluku u sljedećim slučajevima:
(a) ako je, u slučaju iz članka 60. stavka 4., predmetno nadzorno tijelo podnijelo relevantan i obrazložen prigovor na nacrt odluke vodećeg nadzornog tijela, a vodeće nadzorno tijelo nije uzelo u obzir prigovor ili je takav prigovor odbilo kao nerelevantan ili neobrazložen. Obvezujuća odluka odnosi se na sva pitanja koja su predmet relevantnog i obrazloženog prigovora, a posebno na pitanje kršenja ove Uredbe;
(b) ako postoje oprečna stajališta oko toga koje je od predmetnih nadzornih tijela nadležno za glavni poslovni nastan;
[…]”
26 Članak 66. te uredbe, naslovljen „Hitni postupak”, u stavku 1. propisuje:
„U izuzetnim okolnostima, ako predmetno nadzorno tijelo smatra da postoji hitna potreba za djelovanjem kako bi se zaštitila prava i slobode ispitanika, ono može, odstupajući od mehanizma konzistentnosti iz članak[a] 63., 64. i 65. ili postupka iz članka 60., odmah donijeti privremene mjere kojima se proizvode pravni učinci na svom području na određeno razdoblje valjanosti koje nije duže od tri mjeseca. Nadzorno tijelo bez odgađanja obavješćuje druga predmetna nadzorna tijela, Odbor i Komisiju o tim mjerama i razlozima za njihovo donošenje.”
27 Članak 85. Uredbe 2016/679, naslovljen „Obrada i sloboda izražavanja i informiranja”, propisuje:
„1. Države članice zakonom usklađuju pravo na zaštitu osobnih podataka u skladu s ovom Uredbom s pravom na slobodu izražavanja i informiranja, što uključuje obradu u novinarske svrhe i svrhe akademskog, umjetničkog ili književnog izražavanja.
2. U vezi s obradom koja se obavlja u novinarske svrhe ili u svrhe akademskog, umjetničkog ili književnog izražavanja, države članice predviđaju izuzeća ili odstupanja od poglavlja II. (načela), poglavlja III. (prava ispitanika), poglavlja IV. (voditelj obrade i izvršitelj obrade), poglavlja V. (prijenos osobnih podataka trećim zemljama ili međunarodnim organizacijama), poglavlja VI. (neovisna nadzorna tijela), poglavlja VII. (suradnja i konzistentnost) i poglavlja IX. (posebne situacije obrade) ako su ona potrebna kako bi se uskladilo pravo na zaštitu osobnih podataka sa slobodom izražavanja i informiranja.
[…]”
Francusko pravo
28 Direktiva 95/46 prenesena je u francusko pravo posredstvom loi nº 78‑17, du 6 janvier 1978, relative à l’informatique, aux fichiers et aux libertés (Zakon br. 78‑17 od 6. siječnja 1978. o informacijskim tehnologijama, datotekama i slobodama), u verziji koja se primjenjuje na činjenice u glavnom postupku (u daljnjem tekstu: Zakon od 6. siječnja 1978.).
29 Člankom 45. tog zakona određeno je da, kad voditelj obrade ne poštuje obveze iz tog zakona, predsjednik CNIL‑a može mu naložiti da prestane s utvrđenom povredom u roku koji odredi. Ako voditelj obrade ne postupi u skladu s nalogom koji mu je upućen, uži sastav CNIL‑a može nakon kontradiktornog postupka izreći, među ostalim, novčanu kaznu.
Glavni postupak i prethodna pitanja
30 Predsjednica CNIL‑a naložila je odlukom od 21. svibnja 2015., na temelju zahtjeva fizičke osobe koji se odnosio na uklanjanje poveznica prema mrežnim stranicama s popisa rezultata prikazanog nastavno na izvršenu pretragu po njezinu osobnom imenu, društvu Google da to uklanjanje izvrši na svim nastavcima naziva domene svojeg pretraživača.
31 Google je odbio postupiti u skladu s tim nalogom, pri čemu je uklonio samo predmetne poveznice za rezultate koji se prikazuju nakon izvršenih pretraga na verzijama njegova pretraživača čiji nazivi domena odgovarajuće postoje u državama članicama.
32 Osim toga, CNIL je smatrao nedovoljnim dodatan prijedlog takozvanog „geografskog blokiranja”, koji je iznio Google nakon isteka roka za izvršenje naloga, a kojim se onemogućuje da se s adrese IP (Internet Protocol) za koju se smatra da se nalazi u državi članici u kojoj je ispitanik rezident pristupi spornim rezultatima nastavno na izvršenu pretragu po njegovu osobnom imenu, neovisno o različitoj verziji pretraživača kojom se koristio internetski korisnik.
33 Nakon što je CNIL utvrdio da Google u određenom roku nije postupio u skladu s tim nalogom, odlukom od 10. ožujka 2016. izrekao je protiv njega javno objavljenu sankciju od 100 000 eura.
34 Google je u zahtjevu koji je podnio Conseilu d’État (Državno vijeće) tražio poništenje te odluke.
35 Conseil d’État (Državno vijeće) ističe da je obrada osobnih podataka koju provodi pretraživač kojim se koristi Google, uzimajući u obzir aktivnosti promicanja i prodaje oglašivačkih prostora koje se provode u Francuskoj posredstvom njegova društva kćeri Google France, obuhvaćena područjem primjene Zakona od 6. siječnja 1978.
36 Osim toga, Conseil d’État (Državno vijeće) utvrđuje da se pretraživač kojim se koristi Google razlikuje prema geografskim nastavcima nazivâ domene, radi prilagođavanja rezultata koji se prikazuju prema osobitostima, osobito jezičnima, različitih država u kojima to društvo obavlja svoju djelatnost. Kad se pretraga izvršava s domene „google.com”, Google u načelu automatski preusmjerava tu pretragu na naziv domene koji odgovarajuće postoji u državi iz koje se, s pomoću identifikacije IP adrese internetskog korisnika, ta pretraga smatra izvršenom. Međutim, neovisno o svojoj lokaciji, internetski korisnik može izvršavati svoje pretrage na drugim nazivima domena pretraživača. Osim toga, iako se rezultati mogu razlikovati prema tome s kojeg je naziva domene pretraga na pretraživaču izvršena, nesporno je da poveznice koje se prikazuju kao odgovor na pretragu proizlaze iz zajedničkih baza podataka i postupka indeksacije.
37 Conseil d’État (Državno vijeće) smatra da, uzimajući u obzir, s jedne strane, činjenicu da se svim nazivima domene Googleova pretraživača može pristupiti s francuskog državnog područja te, s druge strane, postojanje mrežnih pristupnika između tih različitih naziva domena – kojih su primjer, među ostalim, automatsko preusmjeravanje te usto prisutnost kolačića (cookies) na nastavcima pretraživača različitima od onog nastavka na kojem su prvotno spremljeni, pri čemu je, uostalom, CNIL‑u u pogledu tog pretraživača podnesena samo jedna prijava – treba smatrati da se tim pretraživačem provodi jedinstvena obrada osobnih podataka u smislu Zakona od 6. siječnja 1978. Iz toga proizlazi da obradu osobnih podataka pretraživača kojim se koristi Google provodi jedan od njegovih poslovnih nastana, odnosno Google France, sa sjedištem na francuskom državnom području, te da se na temelju toga na njega primjenjuje Zakon od 6. siječnja 1978.
38 Pred Conseilom d’État (Državno vijeće) Google tvrdi da se sporna sankcija temelji na pogrešnom tumačenju odredbi Zakona od 6. siječnja 1978. kojima se prenosi članak 12. točka (b) i članak 14. prvi stavak točka (a) Direktive 95/46, na temelju kojih je Sud u presudi od 13. svibnja 2014., Google Spain i Google (C‑131/12, EU:C:2014:317) priznao „pravo na uklanjanje poveznica”. Google tvrdi da to pravo ne znači nužno da se sporne poveznice uklanjaju bez geografskih ograničenja, na svim nazivima domene njegova pretraživača. K tomu, CNIL je prihvaćanjem takvog tumačenja povrijedio načela uljudnosti i neuplitanja, priznatih u međunarodnom javnom pravu, te je nerazmjerno ugrozio slobode izražavanja, informiranja, priopćavanja i tiska, zajamčene, među ostalim, člankom 11. Povelje.
39 Budući da je Conseil d’État (Državno vijeće) utvrdio da ta argumentacija postavlja nekoliko ozbiljnih teškoća u tumačenju Direktive 95/46, odlučio je prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:
„1. Treba li ‚pravo na uklanjanje poveznica’, kako ga je [Sud] utvrdio u svojoj presudi od 13. svibnja 2014., [Google Spain i Google (C‑131/12, EU:C:2014:317),] na temelju odredbi članka 12. točke (b) i članka 14. [prvog stavka] točke (a) Direktive [95/46], tumačiti na način da je operator pretraživača, prilikom ispunjavanja zahtjeva za uklanjanje poveznica, dužan izvršiti to uklanjanje na svim nazivima domene svojeg pretraživača, tako da se sporne poveznice više ne pojavljuju bez obzira na mjesto s kojeg se izvršava pretraga po osobnom imenu podnositelja zahtjeva, uključujući izvan teritorijalnog područja primjene Direktive [95/46]?
2. U slučaju negativnog odgovora na to prvo pitanje, treba li ‚pravo na uklanjanje poveznica’, kako ga je [Sud] utvrdio u svojoj prethodno navedenoj presudi, tumačiti na način da je operator pretraživača prilikom ispunjavanja zahtjeva za uklanjanje poveznica dužan ukloniti samo sporne poveznice na rezultate prikazane nastavno na izvršenu pretragu po osobnom imenu podnositelja zahtjeva na nazivu domene koji odgovarajuće postoji u državi iz koje se zahtjev smatra izvršenim ili, općenitije, na nazivima domene pretraživača koji odgovaraju nacionalnim nastavcima tog pretraživača za sve države članice […]?
3. K tomu, kako bi se dopunila obveza navedena u drugom pitanju, treba li ‚pravo na uklanjanje poveznica’, kako ga je [Sud] utvrdio u svojoj prethodno navedenoj presudi, tumačiti na način da je operator pretraživača koji ispunjava zahtjev za uklanjanje poveznica dužan ukloniti sporne rezultate pretrage prikazane nastavno na izvršenu pretragu po osobnom imenu podnositelja zahtjeva tehnikom zvanom „geografsko blokiranje”, s IP adrese za koju se smatra da se nalazi u državi članici u kojoj je nositelj ‚prava na uklanjanje poveznica’ rezident, ili pak, općenitije, s IP adrese za koju se smatra da se nalazi u nekoj od država članica na koje se primjenjuje Direktiva [95/46], neovisno o nazivu domene koji upotrebljava internetski korisnik koji izvršava pretragu?”
O prethodnim pitanjima
40 Glavni predmet proizlazi iz spora između Googlea i CNIL‑a u vezi s time kako operator pretraživača – kada utvrdi da ispitanik ima pravo na to da jedna poveznica ili više njih prema mrežnim stranicama na kojima se nalaze njegovi osobni podaci bude uklonjeno s popisa rezultata koji se prikazuje nastavno na izvršenu pretragu po osobnom imenu – mora provesti to pravo na uklanjanje poveznica. Iako je na dan upućivanja zahtjeva za prethodnu odluku bila primjenjiva Direktiva 95/46, ona je stavljena izvan snage s učinkom od 25. svibnja 2018., datuma od kojeg se primjenjuje Uredba 2016/679.
41 Sud će ispitati postavljena pitanja kako s obzirom na tu direktivu tako i na tu uredbu, kako bi osigurao da njegovi odgovori u svakom slučaju budu korisni sudu koji je uputio zahtjev.
42 Tijekom postupka pred Sudom Google je naveo da je nakon podnošenja zahtjeva za prethodnu odluku uspostavio novi prikaz nacionalnih verzija svojeg pretraživača, u okviru kojeg naziv domene koji unese internetski korisnik više ne određuje nacionalnu verziju pretraživača kojoj on pristupa. Stoga se internetski korisnik sada automatski usmjerava na nacionalnu verziju pretraživača Googlea koja odgovara mjestu s kojeg se pretpostavlja da se provodi pretraga i njezini rezultati prikazuju se ovisno o tom mjestu, koje Google utvrđuje postupkom geografskog lociranja.
43 U tim okolnostima postavljena pitanja, koja treba razmotriti zajedno, valja razumjeti na način da se njima u biti želi znati treba li članak 12. točku (b) i članak 14. prvi stavak točku (a) Direktive 95/46 te članak 17. stavak 1. Uredbe 2016/679 tumačiti na način da je operator pretraživača, kad prihvati zahtjev za uklanjanje poveznica u skladu s tim odredbama, dužan izvršiti to uklanjanje na svim verzijama svojeg pretraživača, ili ga je, naprotiv, obvezan provesti samo na njegovim verzijama koje odgovarajuće postoje u svim državama članicama, odnosno samo na onoj koja odgovarajuće postoji u državi članici u kojoj je zahtjev za uklanjanje poveznica podnesen, prema potrebi, u kombinaciji s primjenom tehnike „geografskog blokiranja”, kako bi se osiguralo da internetski korisnik ne može u okviru pretrage s adrese IP za koju se smatra da je smještena u državi članici rezidentnosti korisnika prava na uklanjanje poveznica ili, šire, u nekoj državi članici pristupiti poveznicama obuhvaćenima uklanjanjem, neovisno o korištenoj nacionalnoj verziji pretraživača.
44 Uvodno valja podsjetiti na to da je Sud presudio da članak 12. točku (b) i članak 14. prvi stavak točku (a) Direktive 95/46 treba tumačiti na način da je, u cilju poštovanja prava predviđenih tim odredbama i kad su stvarno ispunjeni njima predviđeni uvjeti, operator pretraživača obvezan izbrisati s popisa rezultata, prikazanog nastavno na izvršenu pretragu po osobnom imenu osobe, poveznice prema mrežnim stranicama koje su objavile treće stranke i koje sadržavaju informacije u vezi s tom osobom, također i pod pretpostavkom da to osobno ime ili te informacije nisu prethodno ili istodobno izbrisane s tih mrežnih stranica, i to, ako je primjenjivo, čak i kad je njihovo objavljivanje na navedenim stranicama samo po sebi zakonito (presuda od 13. svibnja 2014., Google Spain i Google, C‑131/12, EU:C:2014:317, t. 88.).
45 Sud je usto pojasnio da u okviru ocjene uvjeta primjene tih odredaba valja posebno ispitati ima li ispitanik pravo na to da se informacija o kojoj je riječ, a koja se odnosi na njegovu osobu, u trenutačnom stanju više ne povezuje s njegovim osobnim imenom na popisu rezultata, prikazanom nastavno na izvršenu pretragu po osobnom imenu osobe, te da pritom tvrdnja o postojanju takvog prava ne presumira da uključivanje informacije o kojoj je riječ u popis rezultata ispitaniku uzrokuje štetu. Ispitanik, s obzirom na svoja temeljna prava na temelju članaka 7. i 8. Povelje, može zatražiti da se informacija o kojoj je riječ više ne stavlja na raspolaganje širokoj javnosti njezinim uključivanjem u takav popis rezultata zbog toga što ta prava načelno prevaguju ne samo nad gospodarskim interesom operatora pretraživača nego i nad interesom javnosti u vezi s pronalaženjem navedene informacije prilikom pretrage po osobnom imenu te osobe. Međutim, to ne bi bio slučaj ako se pokaže da je zbog posebnih razloga, kao što je to uloga navedene osobe u javnom životu, miješanje u njezina temeljna prava opravdano prevagujućim javnim interesom da se takvim uključivanjem ima pristup informaciji o kojoj je riječ (presuda od 13. svibnja 2014., Google Spain i Google, C‑131/12, EU:C:2014:317, t. 99.).
46 U okviru Uredbe 2016/679 to ispitanikovo pravo na uklanjanje poveznica sada se temelji na njezinu članku 17., koji posebno uređuje „pravo na brisanje”, koje je u naslovu tog članka također nazvano „pravo na zaborav”.
47 U skladu s člankom 17. stavkom 1. Uredbe 2016/679, ispitanik ima pravo od voditelja obrade ishoditi brisanje osobnih podataka koji se na njega odnose bez nepotrebne odgode te voditelj obrade ima obvezu izbrisati te podatke bez nepotrebne odgode ako je ispunjen jedan od uvjeta navedenih u toj odredbi. Članak 17. stavak 3. te uredbe navodi da se navedeni članak 17. stavak 1. ne primjenjuje u mjeri u kojoj je obrada nužna zbog nekog od razloga navedenih u toj prvoj odredbi. Među tim su razlozima, na temelju članka 17. stavka 3. točke (a) te uredbe, ostvarivanje prava internetskih korisnika na informiranje.
48 Iz članka 4. stavka 1. točke (a) Direktive 95/46 i članka 3. stavka 1. Uredbe 2016/679 proizlazi da i ta direktiva i ta uredba omogućuju ispitanicima da ostvare svoje pravo na uklanjanje poveznica prema operatoru pretraživača koji ima jedan poslovni nastan na području Unije ili više njih, u okviru kojih provodi aktivnosti obrade osobnih podataka u vezi s tim osobama, i to neovisno o tome odvija li se ta obrada u Uniji ili ne.
49 U tom je smislu Sud presudio da je obrada osobnih podataka izvršena u okviru aktivnosti poslovnog nastana voditelja obrade na području države članice kad operator pretraživača u državi članici osnuje podružnicu ili društvo kćer u cilju promocije i prodaje oglašivačkih prostora na pretraživaču i čija je aktivnost usmjerena na stanovnike te države članice (presuda od 13. svibnja 2014., Google Spain i Google, C‑131/12, EU:C:2014:317, t. 60.).
50 Naime, u tim su okolnostima aktivnosti operatora pretraživača i njegova poslovnog nastana smještenog u Uniji neodvojivo povezane, s obzirom na to da aktivnosti povezane s oglašivačkim prostorima predstavljaju način na koji je pretraživač o kojem je riječ ekonomski isplativ i budući da je taj pretraživač istodobno sredstvo koje omogućuje ostvarenje tih aktivnosti jer je prikaz popisa rezultata na istoj stranici popraćen prikazom oglasa povezanih s traženim pojmovima (vidjeti u tom smislu presudu od 13. svibnja 2014., Google Spain i Google, C‑131/12, EU:C:2014:317, t. 56. i 57.).
51 U tim uvjetima okolnost da se tim pretraživačem koristi poduzetnik treće države ne može imati za posljedicu to da je obrada osobnih podataka koja je izvršena u svrhu funkcioniranja navedenog pretraživača u okviru oglašivačke i komercijalne djelatnosti poslovnog nastana voditelja te obrade na državnom području države članice izuzeta od obveza i jamstava predviđenih Direktivom 95/46 i Uredbom 2016/679 (vidjeti u tom smislu presudu od 13. svibnja 2014., Google Spain i Google, C‑131/12, EU:C:2014:317, t. 58.).
52 U ovom slučaju iz podataka koji su dostavljeni u odluci kojom se upućuje zahtjev proizlazi, s jedne strane, da Googleov poslovni nastan na francuskom državnom području obavlja aktivnosti, osobito komercijalne i oglašivačke, koje su neodvojivo povezane s obradom osobnih podataka koja se provodi u svrhu funkcioniranja predmetnog pretraživača i, s druge strane, da se za taj pretraživač treba smatrati, uzimajući u obzir, među ostalim, postojanje mrežnih pristupnika između njegovih različitih nacionalnih verzija, da provodi jedinstvenu obradu osobnih podataka. Sud koji je uputio zahtjev smatra da se u tim okolnostima navedena obrada provodi u okviru Googleova poslovnog nastana koji se nalazi na francuskom državnom području. Stoga je očito da je takva situacija obuhvaćena teritorijalnim područjem primjene Direktive 95/46 i Uredbe 2016/679.
53 Sud koji je uputio zahtjev svojim pitanjima želi utvrditi teritorijalni doseg koji treba dati uklanjanju poveznica u sličnoj situaciji.
54 U tom pogledu iz uvodne izjave 10. Direktive 95/46 i uvodnih izjava 10., 11. i 13. Uredbe 2016/679, koja je donesena na temelju članka 16. UFEU‑a, proizlazi da je cilj te direktive i te uredbe zajamčiti visoku razinu zaštite osobnih podataka u cijeloj Uniji.
55 Točno je da uklanjanje poveznica koje se provodi na svim verzijama pretraživača u potpunosti ispunjava taj cilj.
56 Naime, internet je mreža na svjetskoj razini bez granica i pretraživači daju globalan karakter informacijama i poveznicama sadržanima na popisu rezultata prikazanom nastavno na izvršenu pretragu po osobnom imenu fizičke osobe (vidjeti u tom smislu presude od 13. svibnja 2014., Google Spain i Google, C‑131/12, EU:C:2014:317, t. 80. i od 17. listopada 2017., Bolagsupplysningen i Ilsjan, C‑194/16, EU:C:2017:766, t. 48.).
57 U globaliziranom svijetu pristup internetskih korisnika, osobito onih izvan Unije, poveznicama koje upućuju na informacije o osobi čije se središte interesa nalazi u Uniji stoga može na nju proizvesti trenutačne i bitne učinke unutar same Unije.
58 Takva razmatranja mogu opravdati postojanje nadležnosti zakonodavca Unije da predvidi obvezu operatora pretraživača da provede uklanjanje poveznica na svim verzijama svojeg pretraživača, kad prihvati zahtjev takve osobe za uklanjanje poveznica.
59 S obzirom na to, valja naglasiti da mnogobrojne treće države ne poznaju pravo na uklanjanje poveznica ili usvajaju drukčiji pristup tom pravu.
60 Usto, pravo na zaštitu osobnih podataka nije apsolutno pravo, nego se mora razmatrati u odnosu na svoju funkciju u društvu te se treba odvagnuti s drugim temeljnim pravima u skladu s načelom proporcionalnosti (vidjeti u tom smislu presudu od 9. studenoga 2010., Volker und Markus Schecke i Eifert, C‑92/09 i C‑93/09, EU:C:2010:662, t. 48. i mišljenje 1/15 (Sporazum između Kanade i Europske unije o prijenosu i obradi podataka iz popisa imena putnika), od 26. srpnja 2017., EU:C:2017:592, t. 136.). Tomu se pridodaje činjenica da ravnoteža između prava na poštovanje privatnosti i osobnih podataka, s jedne strane, i slobode informiranja internetskih korisnika, s druge strane, može znatno varirati diljem svijeta.
61 Međutim, iako je zakonodavac Unije u članku 17. stavku 3. točki (a) Uredbe 2016/679 proveo odvagivanje između tog prava i te slobode u odnosu na Uniju (vidjeti u tom smislu današnju presudu GC i dr. (Uklanjanje osjetljivih podataka), C‑136/17, t. 59.), valja utvrditi da, s druge strane, u trenutačnom stanju nije proveo takvo odvagivanje u odnosu na doseg uklanjanja poveznica izvan Unije.
62 Konkretno, iz teksta članka 12. točke (b) i članka 14. prvog stavka točke (a) Direktive 95/46 ili članka 17. Uredbe 2016/679 ni na koji način ne proizlazi da je zakonodavac Unije, kako bi osigurao ostvarenje cilja spomenutog u točki 54. ove presude, odabrao pravima utvrđenima tim odredbama dati doseg koji bi prelazio državno područje država članica i da je namjeravao operatoru koji je, kao što je to Google, obuhvaćen područjem primjene te direktive ili te uredbe nametnuti obvezu uklanjanja poveznica koja se odnosi i na nacionalne verzije njegova pretraživača koje ne postoje odgovarajuće u državama članicama.
63 Uostalom, iako Uredba 2016/679 u člancima 56. i 60. do 66. pruža nadzornim tijelima država članica instrumente i mehanizme koji im, prema potrebi, omogućuju da surađuju kako bi postigli zajedničku odluku koja se temelji na odvagivanju između ispitanikovih prava na poštovanje njegove privatnosti i na zaštitu njegovih osobnih podataka te interesa javnosti različitih država članica na pristup informacijama, valja utvrditi da se u pravu Unije trenutačno ne predviđaju takvi instrumenti i mehanizmi suradnje u pogledu dosega uklanjanja poveznica izvan Unije.
64 Iz toga slijedi da prema trenutačnom stanju u pogledu operatora pretraživača koji prihvati zahtjev za uklanjanje poveznica koji je podnio ispitanik – ovisno o slučaju, nastavno na nalog nadzornog tijela ili pravosudnog tijela države članice – ne postoji obveza koja proizlazi iz prava Unije da se takvo uklanjanje poveznica provede na svim verzijama njegova pretraživača.
65 S obzirom na sva ta razmatranja, operator pretraživača ne može na temelju članka 12. točke (b) i članka 14. prvog stavka točke (a) Direktive 95/46 te članka 17. stavka 1. Uredbe 2016/679 biti obvezan na uklanjanje poveznica na svim verzijama svojeg pretraživača.
66 Što se tiče pitanja mora li se takvo uklanjanje poveznica provesti na verzijama tog pretraživača koje odgovarajuće postoje u državama članicama ili samo na verziji tog pretraživača koja odgovarajuće postoji u državi članici rezidentnosti korisnika uklanjanja poveznica, iz činjenice da je zakonodavac Unije sada odlučio utvrditi pravila u području zaštite podataka uredbom koja je izravno primjenjiva u svim državama članicama – i to, kao što je to naglašeno u uvodnoj izjavi 10. Uredbe 2016/679, kako bi se osigurala dosljedna i visoka razina zaštite u cijeloj Uniji i ukinule prepreke protoku podataka unutar Unije – proizlazi da se predmetno uklanjanje u načelu treba provesti za sve države članice.
67 Međutim, valja utvrditi da interes javnosti za pristup informacijama može, čak i unutar Unije, varirati od jedne države članice do druge, tako da rezultat odvagivanja između tog interesa, s jedne strane, i pravâ na poštovanje privatnosti i na zaštitu ispitanikovih osobnih podataka, s druge strane, nije nužno jednak za sve države članice, to više što je na temelju članka 9. Direktive 95/46 i članka 85. Uredbe 2016/679 na državama članicama da predvide, među ostalim, za potrebe isključivo novinarstva ili umjetničkog i književnog izražavanja, iznimke i odstupanja potrebna za usklađivanje tih prava, među ostalim, sa slobodom informiranja.
68 Osobito iz članaka 56. i 60. Uredbe 2016/679 proizlazi da, u slučaju prekograničnih obrada u smislu njezina članka 4. točke 23., a podložno tom članku 56. stavku 2., različita predmetna nacionalna nadzorna tijela moraju surađivati u skladu s postupkom predviđenim tim odredbama kako bi postigla konsenzus i jedinstvenu odluku koja obvezuje sva ta tijela te u odnosu na koju voditelj obrade mora osigurati poštovanje u pogledu aktivnosti obrade koje se provode u okviru svih njegovih poslovnih nastana u Uniji. Osim toga, članak 61. stavak 1. Uredbe 2016/679 obvezuje nadzorna tijela, među ostalim, da si međusobno pružaju bitne informacije i uzajamnu pomoć kako bi konzistentno provela i primijenila tu uredbu u cijeloj Uniji, a njezin članak 63. navodi da je u tu svrhu predviđen mehanizam nadzora konzistentnosti iz članaka 64. i 65. te iste uredbe. Naposljetku, hitni postupak predviđen člankom 66. Uredbe 2016/679 dopušta da, u iznimnim okolnostima, ako predmetno nadzorno tijelo smatra da postoji hitna potreba za djelovanjem kako bi se zaštitila ispitanikova prava i slobode, ono može odmah donijeti privremene mjere kojima se proizvode pravni učinci na svojem području na određeno razdoblje valjanosti koje nije dulje od tri mjeseca.
69 Taj regulatorni okvir tako daje nacionalnim nadzornim tijelima instrumente i mehanizme koji su potrebni radi usklađivanja pravâ na poštovanje privatnosti i na zaštitu ispitanikovih osobnih podataka s interesom sveukupne javnosti država članica da pristupi predmetnim informacijama i na taj način radi omogućivanja, ako je to potrebno, donošenja odluke o uklanjanju poveznica koja obuhvaća sve pretrage po osobnom imenu te osobe izvršene s područja Unije.
70 Usto, operator pretraživača dužan je, ako je to potrebno, poduzeti dovoljno učinkovite mjere za osiguranje djelotvorne zaštite ispitanikovih temeljnih prava. Same te mjere moraju udovoljavati svim pravnim zahtjevima i imati za učinak sprečavanje ili barem ozbiljno odvraćanje internetskih korisnika u državama članicama da imaju pristup predmetnim poveznicama kad izvrše pretragu po osobnom imenu te osobe (vidjeti prema analogiji presude od 27. ožujka 2014., UPC Telekabel Wien, C‑314/12, EU:C:2014:192, t. 62. i od 15. rujna 2016., Mc Fadden, C‑484/14, EU:C:2016:689, t. 96.).
71 Na sudu koji je uputio zahtjev je da provjeri, i s obzirom na nedavne izmjene Googleova pretraživača navedene u točki 42. ove presude, ispunjavaju li mjere koje je Google usvojio ili predložio te zahtjeve.
72 Naposljetku valja naglasiti da, iako – kao što je to navedeno u točki 64. ove presude – pravo Unije prema trenutačnom stanju ne nameće obvezu da se prihvaćeno uklanjanje poveznica odnosi na sve verzije predmetnog pretraživača, ono ga ni ne zabranjuje. Prema tome, nadzorno tijelo ili pravosudno tijelo države članice ostaje nadležno za provedbu, s obzirom na nacionalne standarde zaštite temeljnih prava (vidjeti u tom smislu presude od 26. veljače 2013., Åkerberg Fransson, C‑617/10, EU:C:2013:105, t. 29. i od 26. veljače 2013., Melloni, C‑399/11, EU:C:2013:107, t. 60.), odvagivanja između ispitanikovih prava na poštovanje njegove privatnosti i na zaštitu njegovih osobnih podataka, s jedne strane, i prava na slobodu informiranja, s druge strane, te, nakon tog odvagivanja, za nalaganje, prema potrebi, operatoru tog pretraživača da ukloni poveznice na svim njegovim verzijama.
73 S obzirom na sve prethodno navedeno, na postavljena pitanja valja odgovoriti tako da članak 12. točku (b) i članak 14. prvi stavak točku (a) Direktive 95/46 te članak 17. stavak 1. Uredbe 2016/679 treba tumačiti na način da operator pretraživača, kad prihvati zahtjev za uklanjanje poveznica u skladu s tim odredbama, nije dužan izvršiti to uklanjanje poveznica na svim verzijama svojeg pretraživača, nego na njegovim verzijama koje odgovarajuće postoje u svim državama članicama, i to, ako je to potrebno, u kombinaciji s mjerama koje, uz poštovanje pravnih zahtjeva, djelotvorno onemogućuju ili barem ozbiljno obeshrabruju internetske korisnike koji iz neke od država članica obavljaju pretragu po ispitanikovu osobnom imenu da pomoću popisa rezultata prikazanog nastavno na to pretraživanje pristupe poveznicama koje su predmet tog zahtjeva.
Troškovi
74 Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.
Slijedom navedenog, Sud (veliko vijeće) odlučuje:
Članak 12. točku (b) i članak 14. prvi stavak točku (a) Direktive 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka te članak 17. stavak 1. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46 (Opća uredba o zaštiti podataka) treba tumačiti na način da operator pretraživača, kad prihvati zahtjev za uklanjanje poveznica u skladu s tim odredbama, nije dužan izvršiti to uklanjanje poveznica na svim verzijama svojeg pretraživača, nego na njegovim verzijama koje odgovarajuće postoje u svim državama članicama, i to, ako je to potrebno, u kombinaciji s mjerama koje, uz poštovanje pravnih zahtjeva, djelotvorno onemogućuju ili barem ozbiljno obeshrabruju internetske korisnike koji iz neke od država članica obavljaju pretragu po ispitanikovu osobnom imenu da pomoću popisa rezultata prikazanog nastavno na to pretraživanje pristupe poveznicama koje su predmet tog zahtjeva.
Potpisi