UNIONIN TUOMIOISTUIMEN TUOMIO (suuri jaosto)
24 päivänä syyskuuta 2019 (*)
Ennakkoratkaisupyyntö – Henkilötiedot – Yksilöiden suojelu henkilötietojen käsittelyssä – Direktiivi 95/46/EY – Asetus (EU) 2016/679 – Internethakukoneet – Internetsivuilla olevien tietojen käsittely – Hakutulosten luettelosta poistamista koskevan oikeuden alueellinen ulottuvuus
Asiassa C-507/17,
jossa on kyse SEUT 267 artiklaan perustuvasta ennakkoratkaisupyynnöstä, jonka Conseil d’État (ylin hallintotuomioistuin, Ranska) on esittänyt 19.7.2017 tekemällään päätöksellä, joka on saapunut unionin tuomioistuimeen 21.8.2017, saadakseen ennakkoratkaisun asiassa
Google LLC, jolle Google Inc:n oikeudet ovat siirtyneet,
vastaan
Commission nationale de l’informatique et des libertés (CNIL),
Wikimedia Foundation Inc:n,
Fondation pour la liberté de la pressen,
Microsoft Corp:n,
Reporters Committee for Freedom of the Press ym:iden,
Article 19 ym:iden,
Internet Freedom Foundation ym:iden ja
Défenseur des droits’n
osallistuessa asian käsittelyyn,
UNIONIN TUOMIOISTUIN (suuri jaosto),
toimien kokoonpanossa: presidentti K. Lenaerts, jaostojen puheenjohtajat A. Arabadjiev, E. Regan, T. von Danwitz, C. Toader ja F. Biltgen sekä tuomarit M. Ilešič (esittelevä tuomari), L. Bay Larsen, M. Safjan, D. Šváby, C. G. Fernlund, C. Vajda ja S. Rodin,
julkisasiamies: M. Szpunar,
kirjaaja: hallintovirkamies V. Giacobbo-Peyronnel,
ottaen huomioon kirjallisessa käsittelyssä ja 11.9.2018 pidetyssä istunnossa esitetyn,
ottaen huomioon huomautukset, jotka sille ovat esittäneet
– Google LLC, edustajinaan P. Spinosi, Y. Pelosi ja W. Maxwell, avocats,
– Commission nationale de l’informatique et des libertés (CNIL), asiamiehinään I. Falque-Pierrotin, J. Lessi ja G. Le Grand,
– Wikimedia Foundation Inc., edustajanaan C. Rameix-Seguin, avocate,
– Fondation pour la liberté de la presse, edustajanaan T. Haas, avocat,
– Microsoft Corp., edustajanaan E. Piwnica, avocat,
– Reporters Committee for Freedom of the Press ym., edustajinaan F. Louis, avocat, sekä H.-G. Kamann, C. Schwedler ja M. Braun, Rechtsanwälte,
– Article 19 ym., edustajinaan G. Tapie, avocat, G. Facenna, QC, ja E. Metcalfe, barrister,
– Internet Freedom Foundation ym., edustajanaan T. Haas, avocat,
– Défenseur des droits, asiamiehenään J. Toubon,
– Ranskan hallitus, asiamiehinään D. Colas, R. Coesme, E. de Moustier ja S. Ghiandoni,
– Irlanti, asiamiehinään M. Browne, G. Hodge, J. Quaney ja A. Joyce, avustajanaan M. Gray, BL,
– Kreikan hallitus, asiamiehinään E.-M. Mamouna, G. Papadaki, E. Zisi ja S. Papaioannou,
– Italian hallitus, asiamiehenään G. Palmieri, avustajanaan R. Guizzi, avvocato dello Stato,
– Itävallan hallitus, asiamiehinään G. Eberhard ja G. Kunnert,
– Puolan hallitus, asiamiehinään B. Majczyna, M. Pawlicka ja J. Sawicka,
– Euroopan komissio, asiamiehinään A. Buchet, H. Kranenborg ja D. Nardi,
kuultuaan julkisasiamiehen 10.1.2019 pidetyssä istunnossa esittämän ratkaisuehdotuksen,
on antanut seuraavan
tuomion
1 Ennakkoratkaisupyyntö koskee yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (EYVL 1995, L 281, s. 31) tulkintaa.
2 Tämä pyyntö on esitetty asiassa, jossa ovat vastakkain Google LLC, jolle Google Inc:n oikeudet ovat siirtyneet, ja Commission nationale de l’informatique et des libertés (CNIL) (tietojenkäsittelystä ja perusvapauksista vastaava kansallinen elin, Ranska; jäljempänä CNIL) ja jossa on kyse CNIL:n Googlelle määräämästä 100 000 euron suuruisesta seuraamuksesta sen johdosta, että kyseinen yhtiö on hakutulosten luettelosta poistamista koskevan pyynnön hyväksyessään kieltäytynyt toteuttamasta kyseistä poistamista kaikkien hakukoneensa verkkotunnuspäätteiden osalta.
Asiaa koskevat oikeussäännöt
Unionin oikeus
Direktiivi 95/46
3 Direktiivin 95/46 tavoitteena on sen 1 artiklan 1 kohdan mukaan turvata henkilötietojen käsittelyssä yksilöille heidän perusoikeutensa ja ‑vapautensa ja erityisesti heidän oikeutensa yksityisyyteen sekä poistaa kyseisten tietojen vapaan liikkumisen esteet.
4 Direktiivin 95/46 johdanto-osan 2, 7, 10, 18, 20 ja 37 perustelukappaleessa todetaan seuraavaa:
”(2) tietojenkäsittelyjärjestelmät on tehty palvelemaan ihmistä; järjestelmiä käytettäessä on kunnioitettava yksilöiden perusoikeuksia ja ‑vapauksia heidän kansalaisuudestaan tai asuinpaikastaan riippumatta, erityisesti oikeutta yksityisyyteen, ja osallistuttava – – yksilöiden hyvinvoinnin lisäämiseen,
– –
(7) henkilötietojen käsittelyä koskevat jäsenvaltioiden väliset erot yksilöiden oikeuksien ja vapauksien suojassa, erityisesti oikeudessa yksityisyyteen, voivat estää kyseisten tietojen siirron tietyn jäsenvaltion alueelta toisen jäsenvaltion alueelle; tämän vuoksi nämä erot voivat muodostua esteeksi monelle yhteisön taloudelliselle toiminnalle, – –
– –
(10) henkilötietojen käsittelyä koskevien kansallisten lainsäädäntöjen tavoitteena on taata perusoikeuksien ja ‑vapauksien kunnioittaminen, erityisesti yksityisyyttä koskevan oikeuden kunnioittaminen, joka tunnustetaan myös [Roomassa 4.11.1950 allekirjoitetun,] ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn Euroopan yleissopimuksen 8 artiklassa ja yhteisön oikeuden yleisissä periaatteissa; tämän vuoksi lainsäädäntöjen lähentäminen ei saa johtaa lainsäädännöllä turvattavan tietosuojan heikentymiseen, vaan sillä on päinvastoin varmistettava tietosuojan korkea taso yhteisössä,
– –
(18) jotta yksilö ei jäisi vaille tämän direktiivin mukaisesti taattavaa tietosuojaa, kaiken yhteisössä tapahtuvan henkilötietojen käsittelyn on tapahduttava jonkin jäsenvaltion lainsäädännön mukaisesti; – –
– –
(20) tietojenkäsittelyä suorittavan sijoittautuminen kolmanteen maahan ei saa olla esteenä tässä direktiivissä säädetylle yksilöiden suojelulle; tällaisessa tapauksessa tietojenkäsittelyyn on sovellettava sen jäsenvaltion lakia, jonne kyseisessä tietojenkäsittelyssä käytettävät välineet on sijoitettu, ja on taattava, että tässä direktiivissä säädettyjä oikeuksia ja velvoitteita tosiasiallisesti noudatetaan,
– –
(37) journalistisia tarkoituksia tai kirjallisen tai taiteellisen ilmaisun tarkoituksia varten suoritettavassa henkilötietojen käsittelyssä erityisesti audiovisuaalisella alalla on tehtävä poikkeuksia tiettyihin tämän direktiivin säännöksiin tai rajoituksiin, siltä osin kuin ne ovat tarpeen yksilön perusoikeuksien ja ilmaisuvapauden ja erityisesti ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn Euroopan yleissopimuksen 10 artiklan mukaisesti taatun tietojen vastaanottamis- ja luovuttamisvapauden yhteensovittamiseksi; näin ollen jäsenvaltioiden on perusoikeuksien tasapainon luomiseksi säädettävä tarvittavista poikkeuksista ja rajoituksista tietojenkäsittelyn laillisuutta koskevien yleisten toimenpiteiden – – osalta – –”
5 Kyseisen direktiivin 2 artiklassa säädetään seuraavaa:
”Tässä direktiivissä tarkoitetaan
a) ’henkilötiedoilla’ kaikenlaisia tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä (’rekisteröity’) koskevia tietoja; – –
b) ’henkilötietojen käsittelyllä’ (’käsittely’) kaikenlaisia sellaisia toimintoja tai toimintojen kokonaisuuksia, joita kohdistetaan henkilötietoihin joko automaattisen tietojenkäsittelyn avulla tai manuaalisesti, kuten tietojen kerääminen, tallentaminen, järjestäminen, säilyttäminen, muokkaaminen tai muuttaminen, tiedon haku, kysely, käyttö, luovuttaminen siirtämällä, levittämällä tai asettamalla muutoin saataville, yhteensovittaminen tai yhdistäminen sekä suojaaminen, poistaminen tai tuhoaminen,
– –
d) ’rekisterinpitäjällä’ luonnollista tai oikeushenkilöä, julkista viranomaista, virastoa tai muuta toimielintä, joka, yksin tai yhdessä toisten kanssa, määrittelee henkilötietojen käsittelyn tarkoituksen ja keinot; – –
– –”
6 Mainitun direktiivin 4 artiklassa, jonka otsikko on ”Sovellettava kansallinen oikeus”, säädetään seuraavaa:
”1. Kunkin jäsenvaltion on sovellettava henkilötietojen käsittelyyn kansallisia säännöksiä, jotka se antaa tämän direktiivin mukaisesti, jos
a) käsittely suoritetaan kyseisen jäsenvaltion alueella sijaitsevassa rekisterinpitäjän toimipaikassa tapahtuvan toiminnan yhteydessä; jos sama rekisterinpitäjä on sijoittautunut usean jäsenvaltion alueelle, sen on toteutettava tarvittavat toimenpiteet sen varmistamiseksi, että kussakin toimipaikassa noudatetaan sovellettavan kansallisen oikeuden mukaisia velvoitteita,
b) rekisterinpitäjä ei ole sijoittautunut kyseisen jäsenvaltion alueelle, vaan paikkaan, jossa jäsenvaltion kansallista lakia sovelletaan kansainvälisen julkisoikeuden nojalla,
c) rekisterinpitäjä ei ole sijoittautunut yhteisön alueelle, mutta käyttää henkilötietojen käsittelyssä automatisoituja tai muunlaisia välineitä, jotka sijaitsevat kyseisen jäsenvaltion alueella, paitsi jos näitä välineitä käytetään ainoastaan tiedonsiirtoon yhteisön alueen kautta.
2. Edellä 1 kohdan c alakohdassa tarkoitetussa tapauksessa rekisterinpitäjän on nimettävä kyseisen jäsenvaltion alueelle sijoittautunut edustaja, sanotun kuitenkaan rajoittamatta sellaisia toimia, jotka voitaisiin toteuttaa rekisterinpitäjää itseään vastaan.”
7 Direktiivin 95/46 9 artiklassa, jonka otsikko on ”Henkilötietojen käsittely ja ilmaisuvapaus”, säädetään seuraavaa:
”Jäsenvaltioiden on säädettävä ainoastaan journalistisia tarkoituksia tai taiteellisen tai kirjallisen ilmaisun tarkoituksia varten toteutettua henkilötietojen käsittelyä varten poikkeuksista ja vapautuksista tästä luvusta, IV luvusta ja VI luvusta, ainoastaan jos ne osoittautuvat välttämättömiksi yksityisyyttä koskevan oikeuden ja ilmaisuvapautta koskevien sääntöjen yhteensovittamisessa.”
8 Kyseisen direktiivin 12 artiklassa, jonka otsikko on ”Tiedonsaantioikeus”, säädetään seuraavaa:
”Jäsenvaltioiden on taattava rekisteröidylle oikeus saada rekisterinpitäjältä
– –
b) tapauskohtaisesti, sellaiset tiedot oikaistuiksi, poistetuiksi tai suojatuiksi, joiden käsittely ei ole tämän direktiivin mukaista, erityisesti tietojen puutteellisen tai virheellisen luonteen vuoksi;
– –”
9 Mainitun direktiivin 14 artiklassa, jonka otsikko on ”Rekisteröidyn oikeus vastustaa henkilötietojensa käsittelyä”, säädetään seuraavaa:
”Jäsenvaltioiden on turvattava rekisteröidylle oikeus
a) ainakin 7 artiklan e ja f alakohdassa tarkoitetuissa tapauksissa millä hetkellä tahansa vastustaa itseään koskevien tietojen käsittelyä tilanteeseensa liittyvien huomattavan tärkeiden ja perusteltujen syiden vuoksi, paitsi milloin kansallisessa lainsäädännössä toisin säädetään. Jos vastustus on perusteltua, rekisterinpitäjä ei enää saa käsitellä kyseisiä tietoja,
– –”
10 Direktiivin 95/46 24 artiklassa, jonka otsikko on ”Sanktiot”, säädetään seuraavaa:
”Jäsenvaltioiden on toteutettava tarvittavat toimenpiteet tämän direktiivin säännösten täydellisen soveltamisen varmistamiseksi ja määriteltävä erityisesti sanktiot, joita sovelletaan tämän direktiivin mukaisesti säädettyjen säännösten rikkomistapauksissa.”
11 Kyseisen direktiivin 28 artiklassa, jonka otsikko on ”Valvontaviranomainen”, säädetään seuraavaa:
”1. Kunkin jäsenvaltion on säädettävä siitä, että jäsenvaltioiden tämän direktiivin mukaisesti toteuttamien toimenpiteiden soveltamista sen alueella valvoo yksi tai useampi julkinen viranomainen.
– –
3. Kullakin valvontaviranomaisella on erityisesti oltava:
– tutkintavaltuudet, kuten valtuudet saada käsiteltäviä tietoja ja kerätä kaikki valvontatehtävänsä suorittamiseksi tarvittavat tiedot,
– tehokkaat toimintavaltuudet, kuten esimerkiksi – – valtuudet määrätä tietojen suojaamisesta, poistamisesta tai tuhoamisesta tai kieltää käsittely väliaikaisesti tai lopullisesti – –
– –
Valvontaviranomaisen päätöksistä, jotka antavat aihetta valituksiin, voi valittaa tuomioistuimeen.
4. Kuka tahansa henkilö tai häntä edustava yhdistys voi esittää valvontaviranomaiselle oikeuksiensa ja vapauksiensa suojelua henkilötietojen käsittelyn osalta koskevan vaateen. Rekisteröidylle ilmoitetaan vaateen seurauksista.
– –
6. Riippumatta kyseessä olevaan käsittelyyn sovellettavasta kansallisesta oikeudesta valvontaviranomainen on toimivaltainen käyttämään jäsenvaltionsa alueella valtuuksia, jotka sille kuuluvat 3 kohdan mukaisesti. Toisen jäsenvaltion viranomainen voi pyytää valvontaviranomaista käyttämään valtuuksiaan.
Valvontaviranomaisten on oltava yhteistyössä keskenään siinä määrin kuin on tarpeen tehtäviensä suorittamiseksi, erityisesti vaihtamalla hyödyllisiä tietoja.
– –”
Asetus (EU) 2016/679
12 Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46 kumoamisesta 27.4.2016 annettua Euroopan parlamentin ja neuvoston asetusta (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1), joka on annettu SEUT 16 artiklan nojalla, sovelletaan sen 99 artiklan 2 kohdan mukaan 25.5.2018 alkaen. Kyseisen asetuksen 94 artiklan 1 kohdassa säädetään, että direktiivi 95/46 kumotaan tuosta samasta päivästä alkaen.
13 Mainitun asetuksen johdanto-osan 1, 4, 9–11, 13, 22–25 ja 65 perustelukappaleessa todetaan seuraavaa:
”(1) Luonnollisten henkilöiden suojelu henkilötietojen käsittelyn yhteydessä on perusoikeus. Euroopan unionin perusoikeuskirjan, jäljempänä ’perusoikeuskirja’, 8 artiklan 1 kohdan ja [SEUT] 16 artiklan 1 kohdan mukaan jokaisella on oikeus henkilötietojensa suojaan.
– –
(4) Henkilötietojen käsittely olisi suunniteltava niin, että se palvelee ihmistä. Oikeus henkilötietojen suojaan ei ole absoluuttinen; sitä on tarkasteltava suhteessa sen tehtävään yhteiskunnassa ja sen on suhteellisuusperiaatteen mukaisesti oltava oikeassa suhteessa muihin perusoikeuksiin. Tässä asetuksessa kunnioitetaan kaikkia perusoikeuksia ja otetaan huomioon perusoikeuskirjassa tunnustetut vapaudet ja periaatteet sellaisina kuin ne ovat vahvistettuina perussopimuksissa, erityisesti jokaisen oikeus siihen, että hänen yksityis- ja perhe-elämäänsä – – kunnioitetaan, oikeus henkilötietojen suojaan, ajatuksen, omantunnon ja uskonnon vapaus, sananvapaus ja tiedonvälityksen vapaus, elinkeinovapaus – –
– –
(9) Direktiivin 95/46 – – avulla ei ole pystytty estämään tietosuojan täytäntöönpanon hajanaisuutta eri puolilla unionia – – Jäsenvaltioiden väliset eroavuudet – – suhteessa – – suojeluun – – voivat estää henkilötietojen vapaan liikkuvuuden unionin alueella. Nämä eroavuudet voivat muodostua esteeksi unionin taloudelliselle toiminnalle – –
(10) Jotta voitaisiin varmistaa yhdenmukainen ja korkeatasoinen luonnollisten henkilöiden suojelu ja poistaa henkilötietojen liikkuvuuden esteet unionissa, luonnollisten henkilöiden oikeuksien ja vapauksien suojelun tason näiden tietojen käsittelyssä olisi oltava vastaava kaikissa jäsenvaltioissa. – –
(11) Henkilötietojen suojaaminen tehokkaasti kaikkialla unionissa edellyttää rekisteröityjen oikeuksien ja henkilötietoja käsittelevien ja niiden käsittelystä päättävien velvollisuuksien vahvistamista ja täsmentämistä samoin kuin samantasoisia valtuuksia valvoa henkilötietojen suojaa koskevien sääntöjen noudattamista ja samantasoisia seuraamuksia sääntöjen rikkomisesta jäsenvaltioissa.
– –
(13) Jotta voitaisiin varmistaa luonnollisten henkilöiden yhdenmukainen suoja kaikkialla unionissa ja estää eroavuudet, jotka haittaavat henkilötietojen vapaata liikkuvuutta sisämarkkinoilla, tarvitaan asetus, jolla taataan oikeusvarmuus ja läpinäkyvyys talouden toimijoille, – – annetaan luonnollisille henkilöille kaikissa jäsenvaltioissa samantasoiset, oikeudellisesti täytäntöönpanokelpoiset oikeudet ja rekisterinpitäjille ja henkilötietojen käsittelijöille velvollisuudet ja vastuut, joilla varmistetaan henkilötietojen käsittelyn yhdenmukainen valvonta ja samantasoiset seuraamukset kaikissa jäsenvaltioissa sekä tehokas yhteistyö eri jäsenvaltioiden valvontaviranomaisten välillä. Sisämarkkinoiden moitteeton toiminta edellyttää, että henkilötietojen vapaata liikkuvuutta unionin sisällä ei rajoiteta eikä kielletä syistä, jotka liittyvät luonnollisten henkilöiden suojeluun henkilötietojen käsittelyssä. – –
– –
(22) Tätä asetusta olisi noudatettava kaikessa henkilötietojen käsittelyssä, jota suoritetaan unioniin sijoittautuneen rekisterinpitäjän tai henkilötietojen käsittelijän toiminnan yhteydessä, riippumatta siitä, tapahtuuko itse käsittely unionin alueella. – –
(23) Jotta luonnolliset henkilöt eivät jäisi ilman heille tämän asetuksen mukaisesti kuuluvaa tietosuojaa, tätä asetusta olisi sovellettava kaikkien unionin alueella olevien rekisteröityjen henkilötietojen käsittelyyn, jos sitä suorittava rekisterinpitäjä tai henkilötietojen käsittelijä ei ole sijoittautunut unioniin ja jos käsittelytoimet liittyvät tavaroiden tai palvelujen tarjoamiseen näille rekisteröidyille, riippumatta siitä, liittyykö niihin maksu. Jotta voidaan määrittää, tarjoaako kyseinen rekisterinpitäjä tai henkilötietojen käsittelijä tavaroita ja palveluja unionin alueella oleville rekisteröidyille, olisi varmistettava, onko ilmeistä, että rekisterinpitäjä tai henkilötietojen käsittelijä aikoo tarjota palveluja rekisteröidyille yhdessä tai useammassa jäsenvaltiossa unionissa. – –
(24) Tätä asetusta olisi sovellettava myös unionin alueella olevien rekisteröityjen henkilötietojen käsittelyyn, jos sitä suorittava rekisterinpitäjä tai henkilötietojen käsittelijä ei ole sijoittautunut unioniin ja jos käsittely liittyy näiden rekisteröityjen käyttäytymisen seurantaan niiltä osin kuin käyttäytyminen tapahtuu unionissa. Jotta voidaan määrittää, voidaanko käsittelytoiminta katsoa rekisteröityjen käyttäytymisen seuraamisena, olisi varmistettava, seurataanko luonnollisia henkilöitä internetissä, mukaan lukien sellaisten henkilötietojen käsittelytekniikoiden mahdollinen myöhempi käyttö, jotka käsittävät tietyn yksilön profiloinnin erityisesti häntä koskevien päätösten tekemistä varten tai hänen henkilökohtaisten mieltymystensä, käyttäytymisensä ja asenteidensa analysointia tai ennakoimista varten.
(25) Jos kansainvälisen julkisoikeuden nojalla on sovellettava jäsenvaltion lakia, esimerkiksi jäsenvaltion diplomaatti- tai konsuliedustustossa, tätä asetusta olisi sovellettava myös sellaiseen rekisterinpitäjään, joka ei ole sijoittautunut unioniin.
– –
(65) Luonnollisella henkilöllä olisi oltava – – oikeus ’tulla unohdetuksi’, jos tietojen säilyttäminen rikkoo tätä asetusta tai rekisterinpitäjään sovellettavaa unionin oikeutta tai jäsenvaltion lainsäädäntöä. – – Henkilötietojen edelleen säilyttämisen tulisi kuitenkin olla lainmukaista, jos se on tarpeen sananvapautta ja tiedonvälityksen vapautta koskevan oikeuden käyttämiseksi – –”
14 Asetuksen 2016/679 3 artiklassa, jonka otsikko on ”Alueellinen soveltamisala”, säädetään seuraavaa:
”1. Tätä asetusta sovelletaan henkilötietojen käsittelyyn, jota suoritetaan unionin alueella sijaitsevassa rekisterinpitäjän tai henkilötietojen käsittelijän toimipaikassa toiminnan yhteydessä, riippumatta siitä, suoritetaanko käsittely unionin alueella vai ei.
2. Tätä asetusta sovelletaan unionissa olevia rekisteröityjä koskevien henkilötietojen käsittelyyn, jota suorittava rekisterinpitäjä tai henkilötietojen käsittelijä ei ole sijoittautunut unioniin, jos käsittely liittyy
a) tavaroiden tai palvelujen tarjoamiseen näille rekisteröidyille unionissa riippumatta siitä, edellytetäänkö rekisteröidyltä maksua; tai
b) näiden rekisteröityjen käyttäytymisen seurantaan siltä osin kuin heidän käyttäytymisensä tapahtuu unionissa.
3. Tätä asetusta sovelletaan henkilötietojen käsittelyyn, jota suorittava rekisterinpitäjä ei ole sijoittautunut unioniin vaan toimii paikassa, jossa sovelletaan jonkin jäsenvaltion lakia kansainvälisen julkisoikeuden nojalla.”
15 Kyseisen direktiivin 4 artiklan 23 alakohdan mukaan ”rajatylittävällä käsittelyllä” tarkoitetaan joko
”a) henkilötietojen käsittelyä, joka suoritetaan unionissa rekisterinpitäjän tai henkilötietojen käsittelijän useammassa kuin yhdessä jäsenvaltiossa sijaitsevassa toimipaikassa toteutettavan toiminnan yhteydessä, ja rekisterinpitäjä tai henkilötietojen käsittelijä on sijoittautunut useampaan kuin yhteen jäsenvaltioon; tai
b) henkilötietojen käsittelyä, joka suoritetaan unionissa rekisterinpitäjän tai henkilötietojen käsittelijän ainoassa toimipaikassa toteutettavan toiminnan yhteydessä mutta joka vaikuttaa merkittävästi tai on omiaan vaikuttamaan merkittävästi useammassa kuin yhdessä jäsenvaltiossa oleviin rekisteröityihin”.
16 Mainitun asetuksen 17 artiklassa, jonka otsikko on ”Oikeus tietojen poistamiseen (”oikeus tulla unohdetuksi”), säädetään seuraavaa:
”1. Rekisteröidyllä on oikeus saada rekisterinpitäjä poistamaan rekisteröityä koskevat henkilötiedot ilman aiheetonta viivytystä, ja rekisterinpitäjällä on velvollisuus poistaa henkilötiedot ilman aiheetonta viivytystä, edellyttäen että jokin seuraavista perusteista täyttyy:
a) henkilötietoja ei enää tarvita niihin tarkoituksiin, joita varten ne kerättiin tai joita varten niitä muutoin käsiteltiin;
b) rekisteröity peruuttaa suostumuksen, johon käsittely on perustunut 6 artiklan 1 kohdan a alakohdan tai 9 artiklan 2 kohdan a alakohdan mukaisesti, eikä käsittelyyn ole muuta laillista perustetta;
c) rekisteröity vastustaa käsittelyä 21 artiklan 1 kohdan nojalla eikä käsittelyyn ole olemassa perusteltua syytä tai rekisteröity vastustaa käsittelyä 21 artiklan 2 kohdan nojalla;
d) henkilötietoja on käsitelty lainvastaisesti;
e) henkilötiedot on poistettava unionin oikeuteen tai jäsenvaltion lainsäädäntöön perustuvan rekisterinpitäjään sovellettavan lakisääteisen velvoitteen noudattamiseksi;
f) henkilötiedot on kerätty 8 artiklan 1 kohdassa tarkoitetun tietoyhteiskunnan palvelujen tarjoamisen yhteydessä.
– –
3. Edellä olevaa 1 ja 2 kohtaa ei sovelleta, jos käsittely on tarpeen
a) sananvapautta ja tiedonvälityksen vapautta koskevan oikeuden käyttämiseksi;
– –”
17 Saman asetuksen 21 artiklan, jonka otsikko on ”Vastustamisoikeus”, 1 kohdassa säädetään seuraavaa:
”Rekisteröidyllä on oikeus henkilökohtaiseen erityiseen tilanteeseensa liittyvällä perusteella milloin tahansa vastustaa häntä koskevien henkilötietojen käsittelyä, joka perustuu 6 artiklan 1 kohdan e tai f alakohtaan, kuten näihin säännöksiin perustuvaa profilointia. Rekisterinpitäjä ei saa enää käsitellä henkilötietoja, paitsi jos rekisterinpitäjä voi osoittaa, että käsittelyyn on olemassa huomattavan tärkeä ja perusteltu syy, joka syrjäyttää rekisteröidyn edut, oikeudet ja vapaudet tai jos se on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi.”
18 Asetuksen 2016/679 55 artiklan, jonka otsikko on ”Toimivalta” ja joka kuuluu kyseisen asetuksen VI lukuun, jonka otsikko on puolestaan ”Riippumattomat valvontaviranomaiset”, 1 kohdassa säädetään seuraavaa:
”Jokaisella valvontaviranomaisella on sille tämän asetuksen mukaisesti annettujen tehtävien hoitoa ja valtuuksien käyttöä koskeva toimivalta oman jäsenvaltionsa alueella.”
19 Mainitun asetuksen 56 artiklassa, jonka otsikko on ”Johtavan valvontaviranomaisen toimivalta”, säädetään seuraavaa:
”1. Rekisterinpitäjän tai henkilötietojen käsittelijän päätoimipaikan tai ainoan toimipaikan valvontaviranomaisella on toimivalta toimia johtavana valvontaviranomaisena kyseisen rekisterinpitäjän tai henkilötietojen käsittelijän toteuttaman rajatylittävän käsittelyn osalta 60 artiklassa säädetyn menettelyn mukaisesti, sanotun kuitenkaan rajoittamatta 55 artiklan soveltamista.
2. Poiketen siitä, mitä 1 kohdassa säädetään, jokaisella valvontaviranomaisella on toimivalta käsitellä sille tehtyä valitusta tai tämän asetuksen mahdollista rikkomista, jos kohde liittyy ainoastaan sen jäsenvaltiossa olevaan toimipaikkaan tai vaikuttaa merkittävästi ainoastaan sen jäsenvaltiossa oleviin rekisteröityihin.
3. Edellä tämän artiklan 2 kohdassa tarkoitetuissa tapauksissa valvontaviranomaisen on ilmoitettava johtavalle valvontaviranomaiselle viipymättä tästä asiasta. Johtavan valvontaviranomaisen on kolmen viikon kuluessa ilmoituksen saatuaan päätettävä, käsitteleekö se asian 60 artiklassa säädetyn menettelyn mukaisesti, ja otettava huomioon, onko rekisterinpitäjä tai henkilötietojen käsittelijä sijoittautunut asiasta ilmoittaneen valvontaviranomaisen jäsenvaltioon vai ei.
4. Jos johtava viranomainen päättää käsitellä asiaa, sovelletaan 60 artiklassa säädettyä menettelyä. Johtavalle valvontaviranomaiselle asiasta ilmoittanut valvontaviranomainen voi toimittaa johtavalle valvontaviranomaiselle päätösehdotuksen. Johtavan valvontaviranomaisen on otettava ehdotus huomioon mahdollisimman suuressa määrin laatiessaan 60 artiklan 3 kohdassa tarkoitettua päätösehdotusta.
5. Jos johtava viranomainen päättää olla käsittelemättä asiaa, johtavalle valvontaviranomaiselle ilmoituksen tehnyt valvontaviranomainen käsittelee asiaa 61 ja 62 artiklan mukaisesti.
6. Johtava valvontaviranomainen on rekisterinpitäjän tai henkilötietojen käsittelijän ainoa yhteystaho kyseisen rekisterinpitäjän tai henkilötietojen käsittelijän toteuttaman rajatylittävän käsittelyn osalta.”
20 Saman asetuksen 58 artiklan, jonka otsikko on ”Valtuudet”, 2 kohdassa säädetään seuraavaa:
”Jokaisella valvontaviranomaisella on kaikki seuraavat korjaavat toimivaltuudet:
– –
g) määrätä henkilötietojen – – poistamisesta – – 17 – – artiklan perusteella – –;
– –
i) määrätä – – hallinnollinen sakko tässä kohdassa tarkoitettujen toimenpiteiden lisäksi tai niiden asemesta kunkin yksittäisen tapauksen olosuhteista riippuen.”
21 Asetuksen 2016/679 VII luvun, jonka otsikko on ”Yhteistyö ja yhdenmukaisuus”, I jaksoon, jonka otsikko on ”Yhteistyö”, sisältyvät kyseisen asetuksen 60–62 artikla. Kyseisessä 60 artiklassa, jonka otsikko on ”Johtavan valvontaviranomaisen ja muiden osallistuvien valvontaviranomaisten välinen yhteistyö”, säädetään seuraavaa:
”1. Johtavan valvontaviranomaisen on tehtävä tämän artiklan mukaisesti yhteistyötä muiden osallistuvien valvontaviranomaisten kanssa ja pyr[ittävä] näin konsensukseen. Johtavan valvontaviranomaisen ja osallistuvien valvontaviranomaisten on vaihdettava keskenään kaikki olennaiset tiedot.
2. Johtava valvontaviranomainen voi milloin tahansa pyytää muilta osallistuvilta valvontaviranomaisilta 61 artiklassa tarkoitettua keskinäistä avunantoa ja toteuttaa 62 artiklassa tarkoitettuja yhteisiä operaatioita etenkin toteuttaakseen tutkimuksia tai valvoakseen toisen jäsenvaltion alueelle sijoittautunutta rekisterinpitäjää tai henkilötietojen käsittelijää koskevan toimenpiteen toteuttamista.
3. Johtavan valvontaviranomaisen on viipymättä ilmoitettava asiaa koskevat olennaiset tiedot muille osallistuville valvontaviranomaisille. Sen on viipymättä myös toimitettava päätösehdotus muille osallistuville valvontaviranomaisille lausuntoa varten ja otettava niiden näkemykset asianmukaisesti huomioon.
4. Jos yksikin muista asianomaisista valvontaviranomaisista esittää päätösehdotukseen merkityksellisen ja perustellun vastalauseen neljän viikon kuluessa siitä, kun sitä on tämän artiklan 3 kohdan mukaisesti kuultu, johtavan valvontaviranomaisen on, ellei se noudata vastalausetta tai katso, että vastalause ei ole merkityksellinen eikä perusteltu, toimitettava asia 63 artiklassa tarkoitetulle yhdenmukaisuusmekanismille.
5. Jos johtava valvontaviranomainen aikoo noudattaa esitettyä merkityksellistä ja perusteltua vastalausetta, sen on toimitettava muille osallistuville valvontaviranomaisille tarkistettu päätösehdotus lausuntoa varten. Tähän tarkistettuun päätösehdotukseen sovelletaan 4 kohdassa tarkoitettua menettelyä kahden viikon kuluessa.
6. Jos yksikään muista osallistuvista viranomaisista ei ole vastustanut johtavan viranomaisen toimittamaa päätösehdotusta 4 ja 5 kohdassa tarkoitetun määräajan kuluessa, johtavan valvontaviranomaisen ja asianomaisten valvontaviranomaisten katsotaan hyväksyneen kyseinen päätösehdotus, joka sitoo niitä.
7. Johtavan valvontaviranomaisen on hyväksyttävä päätös ja annettava se tiedoksi tilanteen mukaan rekisterinpitäjän tai henkilötietojen käsittelijän päätoimipaikkaan tai ainoaan toimipaikkaan sekä ilmoitettava muille asianomaisille valvontaviranomaisille ja tietosuojaneuvostolle kyseessä olevasta päätöksestä, mukaan lukien yhteenveto tosiseikoista ja perustelut. Valvontaviranomaisen, jolle valitus on tehty, on ilmoitettava päätöksestä valituksen tekijälle.
8. Jos valitus jätetään tutkimatta tai hylätään, valvontaviranomaisen, jolle valitus on tehty, on 7 kohdasta poiketen hyväksyttävä päätös ja annettava se tiedoksi valituksen tekijälle ja ilmoitettava asiasta rekisterinpitäjälle.
9. Jos johtava valvontaviranomainen ja osallistuvat valvontaviranomaiset ovat yhtä mieltä siitä, että valitus jätetään tutkimatta tai hylätään tietyiltä osin mutta tutkitaan kyseisen valituksen muilta osin, kustakin tällaisesta asian osasta on annettava erillinen päätös. – –
10. Sen jälkeen kun johtavan valvontaviranomaisen päätös on annettu tiedoksi 7 ja 9 kohdan mukaisesti, rekisterinpitäjän tai henkilötietojen käsittelijän on toteutettava tarvittavat toimenpiteet varmistaakseen, että päätöstä noudatetaan sen kaikissa unionin alueella sijaitsevissa toimipaikoissa toteutettavissa käsittelytoimissa. Rekisterinpitäjän tai henkilötietojen käsittelijän on annettava johtavalle valvontaviranomaiselle tiedoksi päätöksen noudattamiseksi toteutetut toimenpiteet, ja johtavan valvontaviranomaisen on ilmoitettava asiasta muille asianomaisille valvontaviranomaisille.
11. Jos asianomaisella valvontaviranomaisella on poikkeuksellisissa olosuhteissa syytä katsoa, että on tarpeen toteuttaa kiireellisiä toimenpiteitä rekisteröidyille kuuluvien etujen suojaamiseksi, sovelletaan 66 artiklassa tarkoitettua kiireellistä menettelyä.
– –”
22 Mainitun asetuksen 61 artiklan, jonka otsikko on ”Keskinäinen avunanto”, 1 kohdassa säädetään seuraavaa:
”Valvontaviranomaisten on annettava toisilleen tarvittavat tiedot ja keskinäistä apua tämän asetuksen johdonmukaisen täytäntöönpanon ja soveltamisen varmistamiseksi ja toteutettava toimenpiteet tehokasta keskinäistä yhteistyötä varten. Keskinäisen avunannon on katettava erityisesti tietopyynnöt ja valvontatoimet, kuten ennakkohyväksyntää ja ‑kuulemista sekä tarkastusten ja tutkimusten toteuttamista koskevat pyynnöt.”
23 Saman asetuksen 62 artiklassa, jonka otsikko on ”Valvontaviranomaisten yhteiset operaatiot”, säädetään seuraavaa:
”1. Valvontaviranomaisten on tarvittaessa toteutettava yhteisiä operaatioita, mukaan lukien yhteisiä tutkimuksia ja yhteisiä täytäntöönpanotoimenpiteitä, joihin osallistuu muiden jäsenvaltioiden valvontaviranomaisten jäseniä tai muuta henkilöstöä.
2. Jos rekisterinpitäjä tai henkilötietojen käsittelijä on sijoittautunut useaan eri jäsenvaltioon tai jos käsittelytoimet todennäköisesti vaikuttavat merkittävästi huomattavan moniin useammassa kuin yhdessä jäsenvaltiossa asuviin rekisteröityihin, kunkin tällaisen jäsenvaltion valvontaviranomaisella on oikeus osallistua yhteisiin operaatioihin. – –”
24 Asetuksen 2016/679 VII luvun 2 jakso, jonka otsikko on ”Yhdenmukaisuus”, sisältää kyseisen asetuksen 63–67 artiklan. Kyseisen 63 artiklan, jonka otsikko on ”Yhdenmukaisuusmekanismi”, sanamuoto on seuraava:
”Jotta voidaan edistää tämän asetuksen yhdenmukaista soveltamista kaikkialla unionissa, valvontaviranomaisten on tehtävä yhteistyötä toistensa ja tarvittaessa komission kanssa tämän jakson mukaisen yhdenmukaisuusmekanismin puitteissa.”
25 Mainitun asetuksen 65 artiklassa, jonka otsikko on ”Euroopan tietosuojaneuvoston kiistanratkaisumenettely”, 1 kohdassa säädetään seuraavaa:
”Varmistaakseen, että tätä asetusta sovelletaan yksittäistapauksissa asianmukaisesti ja yhtenäisesti, tietosuojaneuvosto antaa seuraavissa tapauksissa sitovan päätöksen:
a) jos 60 artiklan 4 kohdassa tarkoitetussa tapauksessa asianomainen valvontaviranomainen on esittänyt johtavan viranomaisen päätösehdotukseen merkityksellisen ja perustellun vastalauseen tai jos johtava viranomainen on hylännyt tällaisen vastalauseen, koska se ei ollut merkityksellinen ja/tai perusteltu. Sitova päätös koskee kaikkia seikkoja, joista merkityksellinen ja perusteltu vastalause on esitetty, erityisesti sen suhteen, onko tätä asetusta rikottu vai ei;
b) jos esiintyy eriäviä näkemyksiä siitä, mikä asianomaisista valvontaviranomaisista on toimivaltainen päätoimipaikan osalta;
– –”
26 Saman asetuksen 66 artiklan, jonka otsikko on ”Kiireellinen menettely”, 1 kohdassa säädetään seuraavaa:
”Jos asianomainen valvontaviranomainen poikkeuksellisissa olosuhteissa katsoo, että on tarpeen toteuttaa kiireellisiä toimenpiteitä rekisteröidyille kuuluvien oikeuksien ja vapauksien suojaamiseksi, se voi 63, 64 ja 65 artiklassa tarkoitetusta yhdenmukaisuusmenettelystä tai 60 artiklassa tarkoitetusta menettelystä poiketen välittömästi hyväksyä väliaikaisia toimenpiteitä, joiden on tarkoitus tuottaa oikeusvaikutuksia sen omalla alueella ja jotka ovat voimassa tietyn ajan, joka voi olla enintään kolme kuukautta. Valvontaviranomaisen on annettava tällaiset toimenpiteet ja perustelut niiden hyväksymiselle viipymättä tiedoksi muille asianomaisille valvontaviranomaisille, tietosuojaneuvostolle ja komissiolle.”
27 Asetuksen 2016/679 85 artiklassa, jonka otsikko on ”Käsittely ja sananvapaus ja tiedonvälityksen vapaus”, säädetään seuraavaa:
”1. Jäsenvaltioiden on lainsäädännöllä sovitettava yhteen tämän asetuksen mukainen oikeus henkilötietojen suojaan sekä oikeus sananvapauteen ja tiedonvälityksen vapauteen, mukaan lukien käsittely journalistisia tarkoituksia ja akateemisen, taiteellisen tai kirjallisen ilmaisun tarkoituksia varten.
2. Käsittelylle journalistisia tarkoituksia varten tai akateemisen, taiteellisen tai kirjallisen ilmaisun tarkoituksia varten jäsenvaltioiden on säädettävä vapautuksia tai poikkeuksia II luvun (periaatteet), III luvun (rekisteröidyn oikeudet), IV luvun (rekisterinpitäjä ja henkilötietojen käsittelijä), V luvun (henkilötietojen siirto kolmansiin maihin tai kansainvälisille järjestöille), VI luvun (riippumattomat valvontaviranomaiset), VII luvun (yhteistyö ja yhdenmukaisuus) ja IX luvun (tietojenkäsittelyyn liittyvät erityistilanteet) säännöksiin, jos ne ovat tarpeen henkilötietojen suojaa koskevan oikeuden sovittamiseksi yhteen sananvapauden ja tiedonvälityksen vapauden kanssa.
– –”
Ranskan oikeus
28 Direktiivi 95/46 on saatettu osaksi Ranskan oikeutta tietojenkäsittelystä, tiedostoista ja perusvapauksista 6.1.1978 annetulla lailla nro 78-17 (loi n° 78-17, du 6 janvier 1978, relative à l’informatique, aux fichiers et aux libertés), sellaisena kuin sitä sovelletaan pääasian tosiseikkoihin (jäljempänä 6.1.1978 annettu laki).
29 Kyseisen lain 45 §:ssä täsmennetään, että jos rekisterinpitäjä ei noudata mainitusta laista ilmeneviä velvollisuuksiaan, CNIL:n puheenjohtaja voi kehottaa sitä lopettamaan todetun velvollisuuksien noudattamatta jättämisen vahvistamassaan määräajassa. Jos rekisterinpitäjä ei noudata sille esitettyä kehotusta, CNIL voi rajatussa kokoonpanossa määrätä kontradiktorisen menettelyn jälkeen muun muassa rahamääräisen seuraamuksen.
Pääasia ja ennakkoratkaisukysymykset
30 CNIL:n puheenjohtaja kehotti 21.5.2015 tehdyllä päätöksellä Googlea silloin, kun se hyväksyy luonnollisen henkilön pyynnön siitä, että hänen nimellään suoritetun haun johdosta näkyvästä hakutulosten luettelosta poistetaan internetsivuille johtavat linkit, toteuttamaan kyseisen poistamisen kaikkien hakukoneensa verkkotunnuspäätteiden osalta.
31 Google kieltäytyi ryhtymästä kyseisen kehotuksen johdosta toimenpiteisiin, ja se tyytyi poistamaan kyseessä olevat linkit vain niistä tuloksista, jotka näkyvät vastauksena hakuihin, jotka on tehty niistä sen hakukoneen versioista, joiden verkkotunnukset vastasivat unionin jäsenvaltioita.
32 CNIL piti lisäksi riittämättömänä maarajoitukseksi kutsuttua täydentävää ehdotusta, jonka Google teki mainittuun kehotukseen vastaamiseksi asetetun määräajan päätyttyä ja joka tarkoitti sen estämistä, että rekisteröidyn asuinvaltiossa sijaitsevaksi katsotusta IP-osoitteesta (Internet Protocol) pääsisi rekisteröidyn nimellä suoritetun haun johdosta katsomaan riidanalaisia tuloksia riippumatta siitä, mistä hakukoneen versiosta internetin käyttäjä on tehnyt haun.
33 Todettuaan, ettei Google ollut noudattanut mainittua kehotusta asetetussa määräajassa, CNIL määräsi 10.3.2016 tekemällään päätöksellä kyseiselle yhtiölle 100 000 euron suuruisen seuraamuksen, joka julkistettiin.
34 Google vaatii Conseil d’État’ssa (ylin hallintotuomioistuin, Ranska) nostamallaan kanteella kyseisen päätöksen kumoamista.
35 Conseil d’État toteaa, että Googlen ylläpitämällä hakukoneella suoritettu henkilötietojen käsittely kuuluu 6.1.1978 annetun lain soveltamisalaan, kun otetaan huomioon mainospaikkojen markkinointi ja myynti, joita sen tytäryhtiö Google France harjoittaa Ranskassa.
36 Conseil d’État huomauttaa lisäksi, että Googlen ylläpitämä hakukone on jaettu erilaisiin verkkotunnuksiin maantieteellisten verkkotunnuspäätteiden avulla hakutulosten mukauttamiseksi niiden eri valtioiden – erityisesti kielellisiin – erityispiirteisiin, joissa kyseinen yhtiö toimii. Kun haku tehdään ”google.comin” kautta, Google lähtökohtaisesti uudelleenohjaa haun automaattisesti verkkotunnukseen, joka vastaa maata, josta tämän haun katsotaan internetin käyttäjän IP-osoitteen tunnistamisen perusteella tulleen. Internetin käyttäjä saa kuitenkin sijaintipaikastaan riippumatta käyttää hakujensa tekemisessä hakukoneen muita verkkotunnuksia. Vaikka tulokset voivat vaihdella sen mukaan, minkä verkkotunnuksen kautta haku hakukoneessa tehdään, on lisäksi selvää, että linkit, jotka näkyvät vastauksena hakuun, ovat peräisin yhteisistä tietokannoista ja yhteisestä indeksointityöstä.
37 Conseil d’État katsoo, että kun otetaan huomioon yhtäältä se, että kaikkiin Googlen hakukoneen verkkotunnuksiin pääsee Ranskan alueelta, ja toisaalta se, että näiden eri verkkotunnusten välillä on käytäviä, mitä kuvaavat erityisesti automaattinen uudelleenohjaus ja lisäksi evästeiden (cookies) olemassaolo hakukoneen muissa osissa kuin siinä, johon ne on alun perin tallennettu, tämän hakukoneen, josta on sitä paitsi tehty CNIL:lle vain yksi ilmoitus, on katsottava 6.1.1978 annettua lakia sovellettaessa suorittavan vain yhden ainoan henkilötietojen käsittelyn. Tästä seuraa, että Googlen ylläpitämällä hakukoneella suoritettu henkilötietojen käsittely on toteutettu yhdessä sen toimipaikassa eli Google Francessa, joka on sijoittautunut Ranskan alueelle, ja että siihen sovelletaan tällä perusteella 6.1.1978 annettua lakia.
38 Google väittää Conseil d’État’ssa, että riidanalainen seuraamus perustuu niiden 6.1.1978 annetun lain säännösten virheelliseen tulkintaan, joilla saatetaan osaksi kansallista oikeutta direktiivin 95/46 12 artiklan b alakohta ja 14 artiklan ensimmäisen kohdan a alakohta, joiden perusteella unionin tuomioistuin on 13.5.2014 antamassaan tuomiossa Google Spain ja Google (C‑131/12, EU:C:2014:317) tunnustanut ”hakutulosten luettelosta poistamista koskevan oikeuden”. Google väittää, ettei tämä oikeus välttämättä edellytä, että riidanalaiset linkit on poistettava ilman maantieteellistä rajausta sen hakukoneen kaikkien verkkotunnusten osalta. CNIL on tällaiseen tulkintaan päätyessään loukannut sen mukaan lisäksi kohteliaisuusperiaatetta ja puuttumattomuusperiaatetta, jotka tunnustetaan kansainvälisessä julkisoikeudessa, ja vahingoittanut suhteettomasti sananvapautta, tiedonvälityksen vapautta, viestinnän vapautta ja lehdistönvapautta, jotka taataan muun muassa perusoikeuskirjan 11 artiklassa.
39 Conseil d’État totesi, että näihin perusteluihin liittyy useita direktiivin 95/46 tulkintaa koskevia vakavia vaikeuksia, minkä jälkeen se päätti lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:
”1) Onko ’hakutulosten luettelosta poistamista koskevaa oikeutta’, sellaisena kuin [unionin tuomioistuin] on 13.5.2014 antamassaan tuomiossa [Google Spain ja Google, (C‑131/12, EU:C:2014:317)] vahvistanut sen [direktiivin 95/46] 12 artiklan b alakohdan ja 14 artiklan [ensimmäisen kohdan] a alakohdan perusteella, tulkittava siten, että kun hakukoneen ylläpitäjä hyväksyy hakutulosten luettelosta poistamista koskevan pyynnön, sen on toteutettava kyseinen poistaminen hakukoneensa kaikkien verkkotunnusten osalta niin, etteivät riidanalaiset linkit enää näy siitä riippumatta, mistä paikasta pyynnön esittäjän nimeä koskeva haku tehdään, [direktiivin 95/46] alueellisen soveltamisalan ulkopuolelle jäävät paikat mukaan lukien?
2) Jos ensimmäiseen kysymykseen vastataan kieltävästi, onko ’hakutulosten luettelosta poistamista koskevaa oikeutta’, sellaisena kuin [unionin tuomioistuin] on vahvistanut sen edellä mainitussa tuomiossaan, tulkittava siten, että kun hakukoneen ylläpitäjä hyväksyy hakutulosten luettelosta poistamista koskevan pyynnön, se on velvollinen poistamaan pyynnön esittäjän nimellä suoritetun haun johdosta näkyvien tulosten riidanalaiset linkit vain sen verkkotunnuksen osalta, joka vastaa valtiota, jossa pyyntö katsotaan esitetyksi, vai yleisemmin niiden hakukoneen verkkotunnusten osalta, jotka vastaavat hakukoneen kansallisia verkkotunnuspäätteitä kaikissa – – jäsenvaltioissa?
3) Onko ’hakutulosten luettelosta poistamista koskevaa oikeutta’, sellaisena kuin [unionin tuomioistuin] on vahvistanut sen edellä mainitussa tuomiossaan, lisäksi tulkittava toisessa kysymyksessä esiin tuodun velvollisuuden täydentämiseksi siten, että kun hakukoneen ylläpitäjä hyväksyy hakutulosten luettelosta poistamista koskevan pyynnön, se on velvollinen poistamaan maarajoitukseksi kutsutulla tekniikalla ’hakutulosten luettelosta poistamista koskevan oikeuden’ haltijan nimellä suoritetun haun johdosta näkyvät riidanalaiset tulokset hänen asuinvaltiossaan sijaitsevaksi katsotusta IP-osoitteesta tai jopa yleisemmin IP-osoitteesta, jonka katsotaan sijaitsevan jossakin [direktiivin 95/46] soveltamisalaan kuuluvassa jäsenvaltiossa siitä riippumatta, mitä verkkotunnusta haun suorittava internetin käyttäjä käyttää?”
Ennakkoratkaisukysymysten tarkastelu
40 Pääasian taustalla on Googlen ja CNIL:n välinen riita siitä, millä tavoin hakukoneen ylläpitäjän on silloin, kun se toteaa, että rekisteröidyllä on oikeus siihen, että yksi tai useampi linkki internetsivuille, joilla on häntä koskevia henkilötietoja, poistetaan hänen nimellään suoritetun haun johdosta näkyvästä hakutulosten luettelosta, pantava kyseinen hakutulosten luettelosta poistamista koskeva oikeus täytäntöön. Vaikka ennakkoratkaisupyynnön tekemispäivänä sovellettiinkin direktiiviä 95/46, kyseinen direktiivi on kumottu 25.5.2018 alkaen, jolloin asetusta 2016/679 alettiin soveltaa.
41 Unionin tuomioistuin tarkastelee esitettyjä kysymyksiä sekä kyseisen direktiivin että kyseisen asetuksen kannalta sen varmistamiseksi, että sen vastauksista on kaikissa tilanteissa hyötyä ennakkoratkaisua pyytäneelle tuomioistuimelle.
42 Google on väittänyt unionin tuomioistuimessa vireillä olevassa menettelyssä, että se on ennakkoratkaisupyynnön esittämisen jälkeen ottanut käyttöön hakukoneensa kansallisten versioiden uuden esitystavan, jonka yhteydessä internetin käyttäjän käyttämä verkkotunnus ei enää ratkaise sitä hakukoneen kansallista versiota, johon internetin käyttäjä pääsee. Internetin käyttäjä ohjataan siten vastedes automaattisesti Googlen hakukoneen kansalliseen versioon, joka vastaa paikkaa, josta kyseisen käyttäjän oletetaan tekevän haun, ja haun tulokset näytetään riippuen kyseisestä paikasta, jonka Google määrittää paikannusmenetelmän avulla.
43 Esitetyt kysymykset, joita on tarkasteltava yhdessä, on siis ymmärrettävä siten, että niillä pyritään selvittämään lähinnä, onko direktiivin 95/46 12 artiklan b alakohtaa ja 14 artiklan ensimmäisen alakohdan a alakohtaa sekä asetuksen 2016/679 17 artiklan 1 kohtaa tulkittava siten, että kun hakukoneen ylläpitäjä hyväksyy hakutulosten luettelosta poistamista koskevan pyynnön näiden säännösten perusteella, sen on toteutettava kyseinen poistaminen kaikkien hakukoneensa versioiden osalta, vai onko sen päinvastoin toteutettava poistaminen vain hakukoneen niiden versioiden osalta, jotka vastaavat kaikkia jäsenvaltioita, tai jopa yksinomaan sen version osalta, joka vastaa sitä jäsenvaltiota, jossa hakutulosten luettelosta poistamista koskeva pyyntö on esitetty, mahdollisesti turvautumalla myös maarajoitukseksi kutsuttuun tekniikkaan, sen takaamiseksi, ettei internetin käyttäjä voi riippumatta siitä, mitä hakukoneen kansallista versiota käytetään, saada saataviinsa sellaisesta IP-osoitteesta tehdyn haun yhteydessä, jonka katsotaan sijaitsevan hakutulosten luettelosta poistamista koskevan oikeuden haltijan asuinjäsenvaltiossa tai laajemmin jossakin jäsenvaltiossa, linkit, joita hakutulosten luettelosta poistaminen koskee.
44 Aluksi on huomautettava, että unionin tuomioistuin on todennut, että direktiivin 95/46 12 artiklan b alakohtaa ja 14 artiklan ensimmäisen kohdan a alakohtaa on tulkittava siten, että kyseisissä säännöksissä säädettyjen oikeuksien kunnioittamiseksi – ja kunhan noissa säännöksissä säädetyt edellytykset ovat todellakin täyttyneet – hakukoneen ylläpitäjä on velvollinen poistamaan henkilön nimellä suoritetun haun johdosta näkyvästä hakutulosten luettelosta linkit sivullisten julkaisemille internetsivuille, joilla on kyseistä henkilöä koskevaa tietoa, myös siinä tilanteessa, että kyseistä nimeä tai kyseisiä tietoja ei ole poistettu ensin tai poisteta samanaikaisesti näiltä internetsivuilta, ja näin on tilanteen mukaan jopa silloin, kun niiden julkaiseminen mainituilla sivuilla on itsessään laillista (tuomio 13.5.2014, Google Spain ja Google, C-131/12, EU:C:2014:317, 88 kohta).
45 Unionin tuomioistuin on lisäksi täsmentänyt, että näiden samojen säännösten soveltamisedellytyksiä arvioitaessa on muun muassa tutkittava, onko rekisteröidyllä oikeus siihen, ettei kyseessä olevia hänen henkilöään koskevia tietoja liitetä enää arviointiajankohtana hänen nimeensä sellaisessa hakutulosten luettelossa, joka tulee näkyviin hänen nimellään suoritetun haun johdosta, ilman, että tällaisen oikeuden toteaminen edellyttäisi kuitenkaan sitä, että kyseessä olevien tietojen sisällyttäminen hakutulosten luetteloon aiheuttaa vahinkoa rekisteröidylle. Kun rekisteröity voi hänellä perusoikeuskirjan 7 ja 8 artiklan nojalla olevien perusoikeuksiensa suhteen vaatia, ettei kyseessä olevia tietoja aseteta enää suuren yleisön saataville sisällyttämällä ne tällaiseen hakutulosten luetteloon, kyseiset oikeudet syrjäyttävät lähtökohtaisesti paitsi hakukoneen ylläpitäjän taloudellisen intressin myös suurella yleisöllä olevan intressin saada mainitut tiedot saataviinsa tehdessään haun rekisteröidyn nimellä. Tästä ei kuitenkaan olisi kyse, jos ilmenee, että rekisteröidyllä julkisuudessa olevan aseman kaltaisista erityisistä syistä puuttuminen rekisteröidyn perusoikeuksiin on perusteltavissa sillä ensisijaisella intressillä, joka suurella yleisöllä on saada nuo tiedot saataviinsa kyseisen sisällyttämisen johdosta (tuomio 13.5.2014, Google Spain ja Google, C‑131/12, EU:C:2014:317, 99 kohta).
46 Asetuksen 2016/679 yhteydessä kyseinen rekisteröidyn oikeus hakutulosten luettelosta poistamiseen perustuu nykyään kyseisen asetuksen 17 artiklaan, jossa säännellään nimenomaisesti ”oikeutta tietojen poistamiseen”; kyseisestä oikeudesta käytetään tuon artiklan otsikossa myös nimitystä ”oikeus tulla unohdetuksi”.
47 Rekisteröidyllä on asetuksen 2016/679 17 artiklan 1 kohdan mukaan oikeus saada rekisterinpitäjä poistamaan rekisteröityä koskevat henkilötiedot ilman aiheetonta viivytystä, ja rekisterinpitäjällä on velvollisuus poistaa henkilötiedot ilman aiheetonta viivytystä, edellyttäen että jokin kyseisessä säännöksessä luetelluista perusteista täyttyy. Kyseisen asetuksen 17 artiklan 3 kohdassa täsmennetään, että mainitun 17 artiklan 1 kohtaa ei sovelleta, jos kyseessä oleva käsittely on tarpeen jonkin ensin mainitussa säännöksessä luetellun perusteen kannalta. Näihin perusteisiin kuuluu mainitun asetuksen 17 artiklan 3 kohdan a alakohdan mukaan muun muassa tiedonvälityksen vapautta koskevan oikeuden käyttäminen.
48 Direktiivin 95/46 4 artiklan 1 kohdan a alakohdasta ja asetuksen 2016/679 3 artiklan 1 kohdasta seuraa, että sekä kyseisen direktiivin että kyseisen asetuksen mukaan rekisteröidyt voivat vedota hakutulosten luettelosta poistamista koskevaan oikeuteensa sellaista hakukoneen ylläpitäjää vastaan, jolla on yksi tai useampi toimipaikka unionin alueella, niiden toimintojen yhteydessä, joissa tämä käsittelee näitä rekisteröityjä koskevia henkilötietoja, ja näin on siitä riippumatta, suoritetaanko tämä käsittely unionin alueella vai ei.
49 Unionin tuomioistuin on tältä osin todennut, että henkilötietojen käsittely suoritetaan jäsenvaltion alueella sijaitsevassa rekisterinpitäjän toimipaikassa tapahtuvan toiminnan yhteydessä silloin, kun hakukoneen ylläpitäjä perustaa jäsenvaltioon sivuliikkeen tai tytäryhtiön, jonka tehtävänä on markkinoida ja myydä hakukoneen tarjoamia mainospaikkoja ja jonka toiminta kohdistuu kyseisen jäsenvaltion asukkaisiin (tuomio 13.5.2014, Google Spain ja Google, C‑131/12, EU:C:2014:317, 60 kohta).
50 Tällaisessa tilanteessa hakukoneen ylläpitäjän toiminnot ja sen unionin alueella sijaitsevan toimipaikan toiminnot liittyvät erottamattomasti toisiinsa, koska mainospaikkoja koskevat toiminnot ovat keino tehdä kyseisestä hakukoneesta taloudellisesti kannattava ja koska kyseinen hakukone on samanaikaisesti väline, jolla nuo toiminnot voidaan suorittaa, ja hakutulosten ilmoittamisen lisäksi samalla sivulla esitetään myös hakusanoihin liittyviä mainoksia (ks. vastaavasti tuomio 13.5.2014, Google Spain ja Google, C‑131/12, EU:C:2014:317, 56 ja 57 kohta).
51 Näin ollen siitä, että kyseistä hakukonetta ylläpitää kolmannesta valtiosta oleva yritys, ei voi olla seurauksena, että kyseisen hakukoneen toimintaa varten jäsenvaltion alueella sijaitsevassa rekisterinpitäjän toimipaikassa tapahtuvan mainos- ja liiketoiminnan yhteydessä suoritettu henkilötietojen käsittely jää direktiivissä 95/46 ja asetuksessa 2016/679 säädettyjen velvollisuuksien ja takeiden ulkopuolelle (ks. vastaavasti tuomio 13.5.2014, Google Spain ja Google, C‑131/12, EU:C:2014:317, 58 kohta)
52 Nyt käsiteltävässä asiassa ennakkoratkaisupyynnössä esitetyistä tiedoista ilmenee yhtäältä, että Googlella Ranskan alueella olevassa toimipaikassa harjoitetaan etenkin liike- ja mainostoimintoja, jotka liittyvät erottamattomasti asianomaisen hakukoneen toimintaa varten suoritettuun henkilötietojen käsittelyyn, ja toisaalta, että kyseisellä hakukoneella on – kun otetaan huomioon etenkin sen eri kansallisten versioiden välillä olevat käytävät – katsottava suoritettavan yksi ainoa henkilötietojen käsittely. Ennakkoratkaisua pyytänyt tuomioistuin on sitä mieltä, että tässä tilanteessa mainittu käsittely suoritetaan Ranskan alueella sijaitsevan Googlen toimipaikan yhteydessä. On siis ilmeistä, että tällainen tilanne kuuluu direktiivin 95/46 ja asetuksen 2016/679 alueelliseen soveltamisalaan.
53 Ennakkoratkaisua pyytänyt tuomioistuin pyrkii kysymyksillään määrittämään, millainen alueellinen ulottuvuus hakutulosten luettelosta poistamisella on katsottava olevan tällaisessa tilanteessa.
54 Direktiivin 95/46 johdanto-osan kymmenennestä perustelukappaleesta ja asetuksen 2016/679, joka on annettu SEUT 16 artiklan nojalla, johdanto-osan 10, 11 ja 13 perustelukappaleesta ilmenee tältä osin, että kyseisen direktiivin ja kyseisen asetuksen tavoitteena on taata korkeatasoinen henkilötietojen suoja kaikkialla unionissa.
55 Hakutulosten luettelosta poistamisella hakukoneen kaikkien versioiden osalta kyseinen tavoite voidaan tosin saavuttaa täysimääräisesti.
56 Internet on näet maailmanlaajuinen verkosto ilman rajoja, ja hakukoneiden myötä luonnollisen henkilön nimellä suoritetun haun johdosta näkyvään hakutulosten luetteloon sisältyvistä tiedoista ja linkeistä tulee sellaisia, että niitä voidaan katsella kaikkialla (ks. vastaavasti tuomio 13.5.2014, Google Spain ja Google, C‑131/12, EU:C:2014:317, 80 kohta sekä tuomio 17.10.2017, Bolagsupplysningen ja Ilsjan, C‑194/16, EU:C:2017:766, 48 kohta).
57 Globalisoituneessa maailmassa etenkin unionin ulkopuolella olevien internetin käyttäjien mahdollisuudella päästä sellaisen linkin sisältävään hakutulosten luetteloon, joka johtaa tietoihin henkilöstä, jonka etujen keskus on unionissa, voi siten olla kyseiseen henkilöön välittömiä ja olennaisia vaikutuksia itse unionin sisällä.
58 Tällaisilla näkökohdilla voidaan oikeuttaa se, että unionin lainsäätäjällä on toimivalta säätää hakukoneen ylläpitäjällä olevasta velvollisuudesta toteuttaa silloin, kun hakukoneen ylläpitäjä hyväksyy tällaisen henkilön esittämän hakutulosten luettelosta poistamista koskeva pyynnön, hakutulosten luettelosta poistaminen sen hakukoneen kaikkien versioiden osalta.
59 On kuitenkin korostettava, että lukuisissa kolmansissa valtioissa ei tunneta hakutulosten luettelosta poistamista koskevaa oikeutta tai niissä on omaksuttu kyseisen oikeuden osalta erilainen lähestymistapa.
60 Oikeus henkilötietojen suojaan ei myöskään ole absoluuttinen oikeus vaan sitä on tarkasteltava suhteessa sen tehtävään yhteiskunnassa ja sen on suhteellisuusperiaatteen mukaisesti oltava oikeassa suhteessa muihin perusoikeuksiin (ks. vastaavasti tuomio 9.11.2010, Volker und Markus Schecke ja Eifert, C‑92/09 ja C-93/09, EU:C:2010:662, 48 kohta ja lausunto 1/15 (EU:n ja Kanadan välinen PNR-sopimus), 26.7.2017, EU:C:2017:592, 136 kohta). Tämän lisäksi on otettava huomioon se, että tasapaino yhtäältä yksityiselämän kunnioittamista ja henkilötietojen suojaa koskevan oikeuden ja toisaalta internetin käyttäjien tiedonvälityksen vapauden välillä voi vaihdella merkittävästi eri puolilla maailmaa.
61 Vaikka unionin lainsäätäjä on asetuksen 2016/679 17 artiklan 3 kohdan a alakohdassa punninnut kyseistä oikeutta ja kyseistä vapautta unionin osalta (ks. vastaavasti tänään annettu tuomio GC ym. (Arkaluonteisten tietojen poistaminen hakutulosten luettelosta), C‑136/17, 59 kohta), on kuitenkin todettava, ettei se ole unionin oikeuden nykytilassa suorittanut tällaista punnintaa siltä osin kuin on kyse hakutulosten luettelosta poistamista koskevan oikeuden ulottuvuudesta unionin ulkopuolella.
62 Erityisesti on todettava, ettei direktiivin 95/46 12 artiklan b alakohdan ja 14 artiklan ensimmäisen kohdan a alakohdan tai asetuksen 2016/679 17 artiklan sanamuodosta ilmene mitenkään, että unionin lainsäätäjä olisi tämän tuomion 54 kohdassa mainitun tavoitteen toteuttamisen takaamiseksi päättänyt antaa näissä säännöksissä vahvistetuille oikeuksille jäsenvaltioiden aluetta laajemman ulottuvuuden ja että sen tarkoituksena olisi ollut asettaa Googlen kaltaiselle toimijalle, joka kuuluu kyseisen direktiivin tai kyseisen asetuksen soveltamisalaan, hakutulosten luettelosta poistamista koskeva velvollisuus, joka koskee myös tämän hakukoneen sellaisia kansallisia versioita, jotka eivät vastaa jäsenvaltioita.
63 Vaikka asetuksen 2016/679 56 ja 60–66 artiklassa jäsenvaltioiden valvontaviranomaisille annetaan sellaiset välineet ja mekanismit, joiden avulla ne voivat tarvittaessa toimia yhteistyössä tehdäkseen yhteisen päätöksen, joka perustuu rekisteröidyllä olevan, hänen yksityiselämänsä kunnioittamista ja häntä koskevien henkilötietojen suojaa koskevan oikeuden ja eri jäsenvaltioiden yleisöllä olevan, jonkin tiedon saamista koskevan intressin väliseen punnintaan, on lisäksi todettava, että unionin oikeudessa ei säädetä tällä hetkellä tällaisista yhteistyövälineistä ja ‑mekanismeista siltä osin kuin on kyse hakutulosten luettelosta poistamisen ulottuvuudesta unionin ulkopuolella.
64 Tästä seuraa, että hakukoneen ylläpitäjällä, joka hyväksyy rekisteröidyn esittämän hakutulosten luettelosta poistamista koskevan pyynnön mahdollisesti jäsenvaltion valvontaviranomaisen tai tuomioistuinviranomaisen antaman määräyksen johdosta, ei ole unionin oikeuden nykytilassa unionin oikeuteen perustuvaa velvollisuutta toteuttaa tällaista hakutulosten luettelosta poistamista hakukoneensa kaikkien versioiden osalta.
65 Kaikkien näiden näkökohtien perusteella hakukoneen ylläpitäjällä ei voi olla direktiivin 95/46 12 artiklan b alakohdan ja 14 artiklan ensimmäisen kohdan a alakohdan sekä asetuksen 2016/679 17 artiklan 1 kohdan perusteella velvollisuutta toteuttaa linkkien poistamista hakukoneensa kaikkien versioiden osalta.
66 Siltä osin kuin on kyse siitä, onko tällainen hakutulosten luettelosta poistaminen toteutettava hakukoneen niiden versioiden osalta, jotka vastaavat jäsenvaltioita, vai ainoastaan hakukoneen sen version osalta, joka vastaa sitä jäsenvaltiota, jossa hakutulosten luettelosta poistamista koskevan oikeuden haltija asuu, on todettava, että etenkin siitä, että unionin lainsäätäjä on vastedes päättänyt vahvistaa tietosuojaa koskevat säännöt asetuksella, jota sovelletaan välittömästi kaikissa jäsenvaltioissa – jotta voidaan, kuten asetuksen 2016/679 johdanto-osan kymmenennessä perustelukappaleessa korostetaan, varmistaa yhdenmukainen ja korkeatasoinen suojelu kaikkialla unionissa ja poistaa tietojen liikkuvuuden esteet unionissa – seuraa, että kyseessä oleva hakutulosten luettelosta poistaminen on lähtökohtaisesti toteutettava kaikkien jäsenvaltioiden osalta.
67 On kuitenkin todettava, että yleisön intressi saada jokin tieto voi vaihdella jopa unionin sisällä jäsenvaltiosta toiseen, joten sen punninnan tulos, joka on suoritettava yhtäältä kyseisen intressin ja toisaalta rekisteröidyllä olevien, yksityiselämän kunnioittamista ja henkilötietojen suojaa koskevien oikeuksien välillä, ei väistämättä ole sama kaikissa jäsenvaltioissa varsinkaan, koska direktiivin 95/46 9 artiklan ja asetuksen 2016/679 85 artiklan nojalla jäsenvaltioiden on säädettävä muun muassa ainoastaan journalistisia tarkoituksia tai taiteellisen tai kirjallisen ilmaisun tarkoituksia varten toteutettua käsittelyä varten vapautuksista ja poikkeuksista, jotka ovat välttämättömiä näiden oikeuksien sovittamiseksi yhteen muun muassa tiedonvälityksen vapauden kanssa.
68 Etenkin asetuksen 2016/679 56 ja 60 artiklasta seuraa, että kyseisen asetuksen 4 artiklan 23 alakohdassa tarkoitetun rajatylittävän käsittelyn osalta on niin, että jollei kyseisen 56 artiklan 2 kohdasta muuta johdu, asianomaisten eri kansallisten valvontaviranomaisten on tehtävä kyseisissä säännöksissä säädetyn menettelyn mukaisesti yhteistyötä pyrkiäkseen konsensukseen ja tehdäkseen yhden ainoan päätöksen, joka sitoo kaikkia näitä viranomaisia ja jonka noudattaminen rekisterinpitäjän on varmistettava siltä osin kuin on kyse sillä unionin alueella sijaitsevissa toimipaikoissa toteutettavista käsittelytoimista. Asetuksen 2016/679 61 artiklan 1 kohdassa valvontaviranomaiset velvoitetaan lisäksi muun muassa antamaan toisilleen tarvittavat tiedot ja keskinäistä apua kyseisen asetuksen johdonmukaisen täytäntöönpanon ja soveltamisen varmistamiseksi kaikkialla unionissa, ja mainitun asetuksen 63 artiklassa täsmennetään, että saman asetuksen 64 ja 65 artiklassa käyttöön otetusta yhdenmukaisuusmekanismista on säädetty juuri tässä tarkoituksessa. Asetuksen 2016/679 66 artiklassa säädetyn kiireellisen menettelyn avulla on lopuksi mahdollista, jos asianomainen valvontaviranomainen poikkeuksellisissa olosuhteissa katsoo, että on tarpeen toteuttaa kiireellisiä toimenpiteitä rekisteröidyille kuuluvien oikeuksien ja vapauksien suojaamiseksi, välittömästi hyväksyä väliaikaisia toimenpiteitä, joiden on tarkoitus tuottaa oikeusvaikutuksia sen omalla alueella ja jotka ovat voimassa tietyn ajan, joka voi olla enintään kolme kuukautta.
69 Tällä sääntelykehyksellä kansallisille valvontaviranomaisille annetaan siten välineet ja mekanismit, jotka ovat tarpeen rekisteröidyllä olevien, yksityiselämän kunnioittamista ja henkilötietojen suojaa koskevien oikeuksien sovittamiseksi yhteen jäsenvaltioiden koko yleisöllä olevan, kyseessä olevan tiedon saamista koskevan intressin kanssa, ja jotta siten voidaan tarvittaessa tehdä hakutulosten luettelosta poistamista koskeva päätös, joka kattaa kaikki haut, jotka tehdään rekisteröidyn nimellä unionin alueelta käsin.
70 Hakukoneen ylläpitäjän on lisäksi toteutettava tarvittaessa riittävän tehokkaat toimenpiteet rekisteröidyn perusoikeuksien tosiasiallisen suojan varmistamiseksi. Kyseisten toimenpiteiden on itsessään täytettävä kaikki laissa asetetut vaatimukset, ja niillä on estettävä tai ainakin tehtävä merkittävästi vähemmän houkuttelevaksi se, että internetin käyttäjät jäsenvaltioissa saavat kyseessä olevat linkit saatavilleen kyseisen rekisteröidyn nimellä tehdyn haun johdosta (ks. analogisesti tuomio 27.3.2014, UPC Telekabel Wien, C‑314/12, EU:C:2014:192, 62 kohta ja tuomio 15.9.2016, Mc Fadden, C‑484/14, EU:C:2016:689, 96 kohta).
71 Ennakkoratkaisua pyytäneen tuomioistuimen on tarkastettava, täyttävätkö Googlen toteuttamat tai ehdottamat toimenpiteet kyseiset vaatimukset myös tämän tuomion 42 kohdassa esitettyjen sen hakukoneeseen tehtyjen viimeaikaisten muutosten perusteella.
72 Lopuksi on korostettava, että vaikka – kuten tämän tuomion 64 kohdassa on huomautettu – unionin oikeudessa ei sen nykytilassa edellytetäkään, että hakutulosten luettelosta poistaminen, joka hyväksyttäisiin, koskee kyseessä olevan hakukoneen kaikkia versioita, siinä ei myöskään kielletä sitä. Jäsenvaltion valvontaviranomainen tai tuomioistuinviranomainen on siis edelleen toimivaltainen punnitsemaan perusoikeuksien suojan kansallisen tason valossa (ks. vastaavasti tuomio 26.2.2013, Åkerberg Fransson, C‑617/10, EU:C:2013:105, 29 kohta ja tuomio 26.2.2013, Melloni, C‑399/11, EU:C:2013:107, 60 kohta) yhtäältä rekisteröidyn henkilön oikeutta yksityiselämänsä kunnioittamiseen ja häntä koskevien henkilötietojen suojaan ja toisaalta oikeutta tiedonvälityksen vapauteen ja tämän punninnan päätteeksi määräämään tarvittaessa kyseisen hakukoneen ylläpitäjän toteuttamaan hakutulosten luettelosta poistamisen mainitun hakukoneen kaikkien versioiden osalta.
73 Kaiken edellä esitetyn perusteella kysymyksiin on vastattava, että direktiivin 95/46 12 artiklan b alakohtaa ja 14 artiklan ensimmäisen alakohdan a alakohtaa sekä asetuksen 2016/679 17 artiklan 1 kohtaa on tulkittava siten, että kun hakukoneen ylläpitäjä hyväksyy hakutulosten luettelosta poistamista koskevan pyynnön näiden säännösten perusteella, se ei ole velvollinen toteuttamaan kyseistä poistamista hakukoneensa kaikkien versioiden osalta vaan se on velvollinen toteuttamaan sen hakukoneen niiden versioiden osalta, jotka vastaavat kaikkia jäsenvaltioita, ja sen on toteutettava tarvittaessa myös toimenpiteet, jotka täyttävät laissa asetetut vaatimukset ja joilla voidaan estää tosiasiallisesti tai ainakin tehdä merkittävästi vähemmän houkuttelevaksi se, että internetin käyttäjät, jotka tekevät jossakin jäsenvaltiossa haun rekisteröidyn nimellä, saavat kyseisen haun johdosta näkyvän hakutulosten luettelon kautta saataviinsa linkit, joihin kyseinen pyyntö kohdistuu.
Oikeudenkäyntikulut
74 Pääasian asianosaisten osalta asian käsittely unionin tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä unionin tuomioistuimelle, ei voida määrätä korvattaviksi.
Näillä perusteilla unionin tuomioistuin (suuri jaosto) on ratkaissut asian seuraavasti:
Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY 12 artiklan b alakohtaa ja 14 artiklan ensimmäisen alakohdan a alakohtaa sekä luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46 kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 17 artiklan 1 kohtaa on tulkittava siten, että kun hakukoneen ylläpitäjä hyväksyy hakutulosten luettelosta poistamista koskevan pyynnön näiden säännösten perusteella, se ei ole velvollinen toteuttamaan kyseistä poistamista hakukoneensa kaikkien versioiden osalta vaan se on velvollinen toteuttamaan sen hakukoneen niiden versioiden osalta, jotka vastaavat kaikkia jäsenvaltioita, ja sen on toteutettava tarvittaessa myös toimenpiteet, jotka täyttävät laissa asetetut vaatimukset ja joilla voidaan estää tosiasiallisesti tai ainakin tehdä merkittävästi vähemmän houkuttelevaksi se, että internetin käyttäjät, jotka tekevät jossakin jäsenvaltiossa haun rekisteröidyn nimellä, saavat kyseisen haun johdosta näkyvän hakutulosten luettelon kautta saataviinsa linkit, joihin kyseinen pyyntö kohdistuu.
Allekirjoitukset