Language of document : ECLI:EU:C:2019:772

Mål C507/17

Google LLC

mot

Commission nationale de l’informatique et des libertés (CNIL)

(begäran om förhandsavgörande från Conseil d’État (Frankrike))

 Domstolens dom (stora avdelningen) av den 24 september 2019

”Begäran om förhandsavgörande – Personuppgifter – Skydd för fysiska personer med avseende på behandling av sådana uppgifter – Direktiv 95/46/EG – Förordning (EU) 2016/679 – Sökmotorer på internet – Behandling av uppgifter som finns på webbsidor – Territoriell räckvidd för rätten till borttagande av länkar”

1.        Tillnärmning av lagstiftning – Skydd för enskilda personer med avseende på behandling av personuppgifter – Direktiv 95/46, artiklarna 12 och 14 – Rätt för den berörda personen att få tillgång till personuppgifterna och rätt att motsätta sig behandling av dem – Rätt att begära att länkar till webbplatser avlägsnas från förteckningen över sökresultat – Villkor

(Europaparlamentets och rådets direktiv 95/46, artikel 12 b och artikel 14 första stycket a)

(se punkt 44)

2.        Tillnärmning av lagstiftning – Skydd för enskilda personer med avseende på behandling av personuppgifter – Direktiv 95/46, artiklarna 12 och 14 – Rätt för den berörda personen att få tillgång till personuppgifterna och rätt att motsätta sig behandling av dem – Sökning på en persons namn med hjälp av en sökmotor – Visning av en lista över sökresultat – Rätt att begära att informationen inte längre ska göras tillgänglig för den breda allmänheten

(Europeiska unionens stadga om de grundläggande rättigheterna, artiklarna 7 och 8; Europaparlamentets och rådets direktiv 95/46, artikel 6.1 c–e, artikel 12 b och artikel 14 första stycket a)

(se punkt 45)

3.        Tillnärmning av lagstiftning – Skydd för enskilda personer med avseende på behandling av personuppgifter – Direktiv 95/46, artikel 4 – Tillämplig nationell rätt – Behandling av uppgifter inom ramen för verksamheten vid en sökmotorleverantörs etableringsställe i en medlemsstat – Räckvidd – Genom detta etableringsställe marknadsför och säljer sökmotorleverantören reklamutrymme riktat till invånarna i den medlemsstaten – Omfattas

(Europaparlamentets och rådets direktiv 95/46, artikel 4.1 a; Europaparlamentets och rådets förordning 2016/679, artikel 3.1)

(se punkterna 49–51)

4.        Tillnärmning av lagstiftning – Skydd för enskilda personer med avseende på behandling av personuppgifter – Direktiv 95/46 – Rätt att få uppgifterna rättade eller utplånade – Rätten till borttagande av länkar – Territoriell räckvidd – Skyldighet för sökmotorleverantören att ta bort länkar som endast omfattar de versioner av dess sökmotor som motsvarar medlemsstaternas landsdomäner – Skyldighet för sökmotorleverantören att vidta effektiva åtgärder för att hindra eller avhålla internetanvändarna från att skaffa sig tillgång till de länkar som tas bort – Kontroll av den nationella domstolen

(Europaparlamentets och rådets direktiv 95/46, artikel 12 b och artikel 14 första stycket a; Europaparlamentets och rådets förordning 2016/679, artikel 17.1)

(se punkterna 60–73 samt domslutet)

Resumé

Sökmotorleverantören är inte skyldig att ta bort länkarna från samtliga versioner av dess sökmotor

Genom domen av den 24 september 2019, Google (Territoriell räckvidd för borttagandet av länkar) slog domstolens stora avdelning fast att en sökmotorleverantörs skyldighet att ta bort länkar i princip endast omfattar de versioner av dess sökmotor som motsvarar medlemsstaternas landsdomäner.

Commission Nationale de l’Informatique et des Libertés (CNIL) (Frankrike) utfärdade ett föreläggande mot Google. Föreläggandet innebar att när en person har begärt att länkar till vissa webbsidor som innehåller personuppgifter om honom eller henne ska tas bort från den träfflista som visas vid en sökning på personens namn, och Google efterkommer denna begäran, så är bolaget skyldigt att se till att länkarna tas bort oavsett vilken toppdomän som har använts vid sökningen i Googles sökmotor. Efter Googles vägran att rätta sig efter föreläggandet beslutade CNIL att påföra bolaget en sanktionsavgift om 100 000 euro. Google överklagade beslutet till Conseil d’État, som ansökte om att EU-domstolen närmare skulle precisera den territoriella räckvidden för sökmotorleverantörens skyldighet att genomföra rätten till borttagande av länkar med tillämpningen av direktiv 95/46(1).

Först och främst erinrade EU-domstolen om att fysiska personer har möjlighet att med stöd av unionsrätten göra gällande sin rätt till borttagande av länkar mot en sökmotorleverantör som förfogar över ett eller flera verksamhetsställen inom unionen oavsett om behandlingen av personuppgifter (i det aktuella fallet länkningen till webbsidor som innehåller personuppgifter om den person som gör denna rätt gällande) utförs inom unionen eller inte.(2)

När det gäller räckvidden för rätten till borttagande av länkar fann domstolen att sökmotorleverantörens skyldighet att ta bort länkarna inte omfattar samtliga versioner av dess sökmotor, men däremot samtliga de versioner av sökmotorn som motsvarar medlemsstaternas landsdomäner. Domstolen framhöll i detta avseende att ett universellt borttagande visserligen, med hänsyn till internets och sökmotorernas egenskaper, kan leda till att unionslagstiftarens syfte att säkerställa en hög skyddsnivå för personuppgifter i hela unionen uppfylls. Det framgår dock inte på något sätt av unionsrätten(3) att lagstiftaren, i syfte att säkerställa att detta syfte uppfylls, skulle ha valt att tillerkänna rätten till borttagande av länkar räckvidd utöver medlemsstaternas territorier. Domstolen angav särskilt att medan unionsrätten har inrättat mekanismer för samarbete mellan medlemsstaternas tillsynsmyndigheter för att dessa ska kunna nå fram till ett gemensamt beslut, grundat på en avvägning mellan å ena sidan rätten till respekt för privatlivet och till skydd för personuppgifter och å andra sidan det intresse som allmänheten i olika medlemsstater har av att få tillgång till viss information, så är några sådana mekanismer i nuläget inte planerade vad gäller borttagande av länkar utanför unionen.

Den skyldighet att ta bort länkar som sökmotorleverantören har enligt unionsrätten omfattar i nuläget inte endast den version av sökmotorn som motsvarar landsdomänen för den medlemsstat där den person som har rätt till borttagandet av länkar är bosatt, utan samtliga versioner som motsvarar medlemsstaternas landsdomäner. Syftet med detta är bland annat att säkra en enhetlig och hög skyddsnivå i hela unionen. Dessutom åligger det sökmotorleverantören att vid behov vidta åtgärder som är tillräckligt effektiva för att hindra, eller åtminstone i betydande utsträckning avhålla, unionens internetanvändare från att, i förekommande fall med användning av en version av sökmotorn som motsvarar landsdomänen för en stat utanför unionen, skaffa sig tillgång till de länkar som borttagandet avser, och det ankommer på den nationella domstolen att pröva huruvida de åtgärder som vidtagits av sökmotorleverantören uppfyller detta krav.

Slutligen underströk EU-domstolen att även om unionsrätten inte kräver att ett borttagande av länkar ska omfatta samtliga versioner av sökmotorn, så innehåller den inte heller något förbud mot detta. Medlemsstaternas myndigheter och domstolar förblir således behöriga att tillämpa de nationella normerna för skydd av grundläggande rättigheter för att göra en avvägning mellan den registrerades rätt till respekt för sitt privatliv och till skydd för personuppgifter som rör honom eller henne, och å andra sidan rätten till informationsfrihet, och de behåller sin behörighet att efter denna avvägning, i förekommande fall, förelägga sökmotorleverantören att ta bort länkarna från samtliga versioner av sökmotorn.


1      Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31). Det direktivet upphävdes, med verkan från den 25 maj 2018, genom Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1).


2      Artikel 4.1 a i direktiv 95/46 och artikel 3.1 i förordning 2016/679.


3      Artikel 12 b och artikel 14 första stycket a i direktiv 95/46 och artikel 17.1 i förordning 2016/679.