FORSLAG TIL AFGØRELSE FRA GENERALADVOKAT
M. SZPUNAR
fremsat den 10. januar 2019 (1)
Sag C-136/17
G.C.,
A.F.,
B.H.,
E.D.
mod
Commission nationale de l’informatique et des libertés (CNIL)
procesdeltagere:
Premier ministre,
Google Inc.
(anmodning om præjudiciel afgørelse indgivet af Conseil d’État (øverste domstol i forvaltningsretlige sager, Frankrig))
»Præjudiciel forelæggelse – personoplysninger – behandling af personoplysninger – søgemaskineudbyder – anmodning om fjernelse af links – pligtens rækkevidde – behandling af personoplysninger, der udelukkende finder sted i journalistisk øjemed eller med henblik på kunstnerisk eller litterær virksomhed«
I. Indledning
1. Opgaven at forene retten til privatlivets fred og beskyttelsen af oplysninger med informationsfriheden og ytringsfriheden i internetalderen er en af vor tids største udfordringer. Det er derfor ikke overraskende, at der i løbet af de seneste år er anlagt en række sager ved Domstolen, hvori der er rejst retlige spørgsmål i tilknytning til denne problemstilling.
2. Hver gang et spørgsmål er afgjort og afsluttet, rejser der sig nye. Dette fænomen forværres af, at den retlige ramme ofte ikke er blevet tilpasset til internetalderen. Her er den foreliggende hovedsag et godt eksempel i lighed med sag C-507/17, Google (territorial rækkevidde af fjernelsen af links), hvori jeg ligeledes i dag fremsætter mit forslag til afgørelse: Hvordan og i hvilket omfang finder de forpligtelser, som pålægges af et direktiv fra 1995 om beskyttelse af oplysninger, nemlig direktiv 95/46/EF (2), anvendelse på en søgemaskine som f.eks. Google, der er en virksomhed stiftet i 1998?
3. I sin skelsættende dom af 13. maj 2014, Google Spain og Google (3), fastslog Domstolen, at det enkelte menneske i medfør af artikel 12, litra b), og artikel 14, stk. 1, litra a), i direktiv 95/46 har en »ret til at blive glemt« (4), som kan medføre, at søgemaskineudbyderen forpligtes til at fjerne de links, der fører til oplysninger, der berører vedkommende (5). Den foreliggende sag er i naturlig forlængelse af denne dom. Efter denne dom blev der således rejst en lang række nye spørgsmål om navnlig behandlingen af såkaldt »følsomme« oplysninger om racemæssig eller etnisk baggrund, politiske holdninger samt religiøs eller filosofisk overbevisning.
4. Derfor vil jeg i forbindelse med fortolkningen af den eksisterende ret ligeledes henvise til gældende lovgivning såvel som fortolkningen af den i dommen i sagen Google Spain og Google (6).
5. Jeg har kort sagt et dobbelt forslag til Domstolen: På den ene side skal internetlinks til følsomme oplysninger på anmodning fjernes systematisk af søgemaskineudbyderen; på den anden side skal ytringsfriheden respekteres. I denne forbindelse opfordrer jeg Domstolen til at fortolke dommen i sagen Google Spain og Google (7) således, at der tages behørigt hensyn til ytringsfriheden.
II. Retsforskrifter
A. EU-retten
1. Direktiv 95/46
6. Ifølge artikel 1 i direktiv 95/46 har direktivet til formål at beskytte fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af personoplysninger samt at fjerne hindringer for den frie udveksling af disse oplysninger.
7. Artikel 2 i direktiv 95/46 bestemmer, at »[i] dette direktiv forstås ved:
a) »personoplysninger« enhver form for information om en identificeret eller identificerbar fysisk person (»den registrerede«); ved identificerbar person forstås en person, der direkte eller indirekte kan identificeres, bl.a. ved et identifikationsnummer eller et eller flere elementer, der er særlige for denne persons fysiske, fysiologiske, psykiske, økonomiske, kulturelle eller sociale identitet
b) »behandling af personoplysninger« (»behandling«) enhver operation eller række af operationer – med eller uden brug af elektronisk databehandling – som personoplysninger gøres til genstand for, f.eks. indsamling, registrering, systematisering, opbevaring, tilpasning eller ændring, selektion, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring samt blokering, slettelse eller tilintetgørelse
[…]
d) »den registeransvarlige« den fysiske eller juridiske person, offentlige myndighed, institution eller ethvert andet organ, der alene eller sammen med andre afgør, til hvilket formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger; er formålet med og hjælpemidlerne ved behandlingen fastlagt ved nationale love eller forskrifter eller på fællesskabsplan, kan den registeransvarlige, eller de specifikke kriterier for udpegelse af denne, angives i den pågældende nationale ret eller i fællesskabsretten
[…]
h) »registreredes samtykke« enhver frivillig, specifik og informeret viljetilkendegivelse, hvorved den registrerede indvilliger i, at personoplysninger, der vedrører den pågældende selv, gøres til genstand for behandling«.
8. Dette direktivs artikel 3, stk. 1, med overskriften »Anvendelsesområde« bestemmer:
»Dette direktivs bestemmelser anvendes på behandling af personoplysninger, der helt eller delvis foretages ved hjælp af edb, samt på ikke-elektronisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.«
9. Direktivets artikel 4 med overskriften »Gældende national ret« fastsætter:
»1. Medlemsstaterne anvender de nationale bestemmelser, de vedtager til gennemførelse af dette direktiv, på behandling af personoplysninger:
a) der foretages som led i en virksomheds eller et organs aktiviteter inden for den medlemsstats område, hvor den registeransvarlige er etableret; en registeransvarlig, som er etableret på flere medlemsstaters område, skal træffe de nødvendige foranstaltninger til at sikre, at hver af disse virksomheder eller organer opfylder kravene i den gældende nationale lovgivning
[…]«
10. Artikel 6 i direktiv 95/46, der er indeholdt i kapitel II, afdeling I med overskriften »Principper vedrørende oplysningernes pålidelighed«, har følgende ordlyd:
»1. Medlemsstaterne fastsætter bestemmelser om, at personoplysninger
a) skal behandles rimeligt og lovligt
b) skal indsamles til udtrykkeligt angivne og legitime formål, samt at senere behandling heraf ikke må være uforenelig med disse formål; senere behandling af oplysninger i historisk, statistisk eller videnskabeligt øjemed anses ikke for at være uforenelig med disse formål, såfremt medlemsstaterne giver de fornødne garantier
c) skal være relevante og tilstrækkelige og ikke omfatte mere end, hvad der kræves til opfyldelse af de formål, hvortil de indsamles, og til de formål, hvortil de senere behandles
d) skal være korrekte og om nødvendigt ajourførte; der skal tages ethvert rimeligt skridt til at slette eller berigtige oplysninger, der er urigtige eller ufuldstændige i forhold til det formål, hvortil de indsamles, eller i forbindelse med hvilke de behandles på et senere tidspunkt
e) ikke må opbevares på en måde, der giver mulighed for at identificere de registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil de indsamles, eller i forbindelse med hvilke de behandles på et senere tidspunkt. Medlemsstaterne fastsætter de fornødne garantier for personoplysninger, der i historisk, statistisk eller videnskabeligt øjemed opbevares længere end i ovennævnte periode.
2. Det påhviler den registeransvarlige at sikre, at bestemmelserne i stk. 1 overholdes.«
11. Artikel 7 i direktiv 95/46, der er indeholdt i kapitel II, afdeling II med overskriften »Principper vedrørende grundlaget for behandling af oplysninger«, fastsætter:
»Medlemsstaterne fastsætter bestemmelser om, at behandling af personoplysninger kun må finde sted, hvis:
[…]
f) behandlingen er nødvendig, for at den registeransvarlige eller den tredjemand eller de tredjemænd, til hvem oplysningerne videregives, kan forfølge en legitim interesse, medmindre den registreredes interesser eller de grundlæggende rettigheder og frihedsrettigheder, der skal beskyttes i henhold til artikel 1, stk. 1, i dette direktiv, går forud herfor.«
12. Artikel 8 og 9 i direktiv 95/46 er indeholdt i kapitel II, afdeling III med overskriften »Særlige kategorier af behandlinger«. Dette direktivs artikel 8 med overskriften »Behandlinger, der vedrører særlige kategorier af oplysninger«, bestemmer:
»1. Medlemsstaterne forbyder behandling af personoplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold og oplysninger om helbredsforhold og seksuelle forhold.
2. Stk. 1 finder ikke anvendelse, hvis
a) den registrerede udtrykkeligt har givet sit samtykke til en sådan behandling, medmindre det i medlemsstatens lovgivning fastsættes, at det i stk. 1 omhandlede forbud ikke kan hæves ved den registreredes samtykke
eller
b) behandlingen er nødvendig for overholdelsen af den registeransvarliges arbejdsretlige forpligtelser og specifikke rettigheder, for så vidt den er tilladt ifølge nationale lovbestemmelser, som fastsætter de fornødne garantier
eller
c) behandlingen er nødvendig for at beskytte den registreredes eller en anden persons vitale interesser i tilfælde, hvor den pågældende ikke fysisk eller juridisk er i stand til at give sit samtykke
eller
d) behandlingen foretages af en stiftelse, en forening eller et andet almennyttigt organ, hvis sigte er af politisk, filosofisk, religiøs eller faglig art, som led i organets legitime aktiviteter og med de fornødne garantier, på betingelse af, at behandlingen alene vedrører organets medlemmer eller personer, der på grund af organets formål er i regelmæssig kontrakt hermed, og at oplysningerne ikke videregives til tredjemand uden den registreredes samtykke
eller
e) behandlingen vedrører oplysninger, som klart offentliggøres af den registrerede, eller er nødvendig for, at et retskrav kan fastlægges, gøres gældende eller forsvares.
[…]
4. Med forbehold af, at der gives tilstrækkelige garantier, kan medlemsstaterne af grunde, der vedrører hensynet til vigtige samfundsmæssige interesser, fastsætte andre undtagelser end dem, der er nævnt i stk. 2, enten ved national lovgivning eller ved en afgørelse truffet af tilsynsmyndigheden.
5. Behandling af oplysninger om lovovertrædelser, straffedomme eller sikkerhedsforanstaltninger må kun foretages under kontrol af en offentlig myndighed, eller hvis der gælder tilstrækkelige, specifikke garantier i medfør af den nationale lovgivning med forbehold af de undtagelser, som medlemsstaten kan fastsætte på grundlag af nationale lovbestemmelser, hvorefter der gives tilstrækkelige, specifikke garantier. Et fuldstændigt register over straffedomme må dog kun føres under kontrol af en offentlig myndighed.
Medlemsstaterne kan fastsætte bestemmelser om, at behandling af oplysninger vedrørende administrative sanktioner eller civile retssager ligeledes skal foretages under en offentlig myndigheds kontrol.
6. Undtagelser fra stk. 1 som omhandlet i stk. 4 og 5 meddeles til Kommissionen.
[…]«
13. Artikel 9 i direktiv 95/46, med overskriften »Behandling af personoplysninger og ytringsfriheden«, fastsætter:
»Medlemsstaterne fastsætter i forbindelse med behandling af personoplysninger, der udelukkende finder sted i journalistisk øjemed eller med henblik på kunstnerisk eller litterær virksomhed, kun fritagelser eller undtagelser fra bestemmelserne i dette kapitel og i kapitel IV og VI, for så vidt som de er nødvendige for at forene retten til privatlivets fred med reglerne for ytringsfrihed.«
14. Dette direktivs artikel 12 med overskriften »Ret til indsigt« bestemmer:
»Medlemsstaterne sikrer enhver registreret ret til hos den registeransvarlige
[…]
b) efter omstændighederne at få oplysninger, som ikke er blevet behandlet i overensstemmelse med dette direktiv, berigtiget, slettet eller blokeret, navnlig hvis de er ufuldstændige eller urigtige
[…]«
15. Samme direktivs artikel 14 med overskriften »Den registreredes indsigelsesret« foreskriver:
»Medlemsstaterne indrømmer den registrerede ret til
a) i det mindste i de i artikel 7, litra e) og f), omhandlede tilfælde af vægtige legitime grunde, der vedrører den pågældendes særlige situation, til enhver tid at gøre indsigelse mod, at personoplysninger om ham selv gøres til genstand for behandling, medmindre andet er bestemt i den nationale lovgivning; i tilfælde af berettiget indsigelse må den af den registeransvarlige iværksatte behandling ikke længere omfatte de pågældende oplysninger
[…]«
16. Artikel 28 i direktiv 95/46 med overskriften »Ligebehandling« har følgende ordlyd:
»1. Hver medlemsstat drager omsorg for, at der udpeges en eller flere offentlige myndigheder, der har til opgave på dens område at påse overholdelsen af de bestemmelser, medlemsstaten vedtager til gennemførelse af dette direktiv.
[…]
3. Hver tilsynsmyndighed skal bl.a. kunne:
– iværksætte undersøgelser og bl.a. have adgang til de oplysninger, der gøres til genstand for en behandling, og til at indsamle alle oplysninger, der er nødvendige for at varetage dens tilsynsopgaver
– gribe effektivt ind ved f.eks. at […] beordre oplysninger blokeret, slettet eller tilintetgjort, [eller] midlertidigt eller definitivt at forbyde en behandling […]
[…]
Afgørelser truffet af tilsynsmyndigheden, som går en involveret part imod, kan indbringes for en retsinstans.
4. Enhver kan, eventuelt repræsenteret ved en sammenslutning, til tilsynsmyndigheden indgive en anmodning om beskyttelse af sine rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger. Den pågældende underrettes om, hvorledes sagen følges op.
[…]
6. Den enkelte tilsynsmyndighed er, uanset hvilken national lov der måtte gælde for den pågældende behandling, kompetent til på sin medlemsstats område at udøve de beføjelser, der tillægges den i overensstemmelse med stk. 3 i denne artikel. Myndigheden kan blive anmodet om at udøve sine beføjelser af en myndighed i en anden medlemsstat.
Tilsynsmyndighederne samarbejder med hinanden i det omfang, det er nødvendigt for at opfylde deres pligter, navnlig ved at udveksle alle nyttige oplysninger.
[…]«
2. Forordning 2016/679
17. Forordning 2016/679 finder i henhold til artikel 99, stk. 2, anvendelse fra den 25. maj 2018. Denne forordnings artikel 94, stk. 1, bestemmer, at direktiv 95/46 ophæves med virkning fra samme dato.
18. Denne forordnings artikel 9 med overskriften »Behandling af særlige kategorier af personoplysninger« fastsætter:
»1. Behandling af personoplysninger om race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold samt behandling af genetiske data, biometriske data med det formål entydigt at identificere en fysisk person, helbredsoplysninger eller oplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering er forbudt.
2. Stk. 1 finder ikke anvendelse, hvis et af følgende forhold gør sig gældende:
a) Den registrerede har givet udtrykkeligt samtykke til behandling af sådanne personoplysninger til et eller flere specifikke formål, medmindre det i EU-retten eller medlemsstaternes nationale ret er fastsat, at det i stk. 1 omhandlede forbud ikke kan hæves ved den registreredes samtykke.
[…]
e) Behandling vedrører personoplysninger, som tydeligvis er offentliggjort af den registrerede.
[…]
g) Behandling er nødvendig af hensyn til væsentlige samfundsinteresser på grundlag af EU-retten eller medlemsstaternes nationale ret og står i rimeligt forhold til det mål, der forfølges, respekterer det væsentligste indhold af retten til databeskyttelse og sikrer passende og specifikke foranstaltninger til beskyttelse af den registreredes grundlæggende rettigheder og interesser.
[…]«
19. Denne forordnings artikel 10 med overskriften »Behandling af personoplysninger vedrørende straffedomme og lovovertrædelser« bestemmer:
»Behandling af personoplysninger vedrørende straffedomme og lovovertrædelser eller tilknyttede sikkerhedsforanstaltninger på grundlag af artikel 6, stk. 1, må kun foretages under kontrol af en offentlig myndighed, eller hvis behandling har hjemmel i EU-retten eller medlemsstaternes nationale ret, som giver passende garantier for registreredes rettigheder og frihedsrettigheder. Ethvert omfattende register over straffedomme må kun føres under kontrol af en offentlig myndighed.«
20. Samme forordnings artikel 17 med overskriften »Ret til sletning (»retten til at blive glemt«)« har følgende ordlyd:
»1. Den registrerede har ret til at få personoplysninger om sig selv slettet af den dataansvarlige uden unødig forsinkelse, og den dataansvarlige har pligt til at slette personoplysninger uden unødig forsinkelse, hvis et af følgende forhold gør sig gældende:
a) Personoplysningerne er ikke længere nødvendige til at opfylde de formål, hvortil de blev indsamlet eller på anden vis behandlet.
b) Den registrerede trækker det samtykke, der er grundlaget for behandlingen, jf. artikel 6, stk. 1, litra a), eller artikel 9, stk. 2, litra a), tilbage, og der er ikke et andet retsgrundlag for behandlingen.
c) Den registrerede gør indsigelse mod behandlingen i henhold til artikel 21, stk. 1, og der foreligger ikke legitime grunde til behandlingen, som går forud for indsigelsen, eller den registrerede gør indsigelse mod behandlingen i medfør af artikel 21, stk. 2.
d) Personoplysningerne er blevet behandlet ulovligt.
e) Personoplysningerne skal slettes for at overholde en retlig forpligtelse i EU-retten eller medlemsstaternes nationale ret, som den dataansvarlige er underlagt.
f) Personoplysningerne er blevet indsamlet i forbindelse med udbud af informationssamfundstjenester som omhandlet i artikel 8, stk. 1.
2. Hvis den dataansvarlige har offentliggjort personoplysningerne og i henhold til stk. 1 er forpligtet til at slette personoplysningerne, træffer den dataansvarlige under hensyntagen til den teknologi, der er tilgængelig, og omkostningerne ved implementeringen, rimelige foranstaltninger, herunder tekniske foranstaltninger, for at underrette de dataansvarlige, som behandler personoplysningerne, om, at den registrerede har anmodet disse dataansvarlige om at slette alle link til eller kopier eller gengivelser af de pågældende personoplysninger.
3. Stk. 1 og 2 finder ikke anvendelse, i det omfang denne behandling er nødvendig:
a) for at udøve retten til ytrings- og informationsfrihed
b) for at overholde en retlig forpligtelse, der kræver behandling i henhold til EU-retten eller medlemsstaternes nationale ret, og som den dataansvarlige er underlagt, eller for at udføre en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt
c) af hensyn til samfundsinteresser på folkesundhedsområdet i overensstemmelse med artikel 9, stk. 2, litra h) og i), samt artikel 9, stk. 3
d) til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål i overensstemmelse med artikel 89, stk. 1, i det omfang den rettighed, der er omhandlet i stk. 1, sandsynligvis vil gøre det umuligt eller i alvorlig grad hindre opfyldelse af denne behandling, eller
e) for, at retskrav kan fastlægges, gøres gældende eller forsvares.«
21. Artikel 18 i forordning 2016/679 med overskriften »Ret til begrænsning af behandling« har følgende ordlyd:
»1. Den registrerede har ret til fra den dataansvarlige at opnå begrænsning af behandling, hvis et af følgende forhold gør sig gældende:
a) rigtigheden af personoplysningerne bestrides af den registrerede, i perioden indtil den dataansvarlige har haft mulighed for at fastslå, om personoplysningerne er korrekte
b) behandlingen er ulovlig, og den registrerede modsætter sig sletning af personoplysningerne og i stedet anmoder om, at anvendelse heraf begrænses
[…]
d) den registrerede har gjort indsigelse mod behandlingen i medfør af artikel 21, stk. 1, i perioden mens det kontrolleres, om den dataansvarliges legitime interesser går forud for den registreredes legitime interesser.
2. Hvis behandling er blevet begrænset i medfør af stk. 1, må sådanne personoplysninger, bortset fra opbevaring, kun behandles med den registreredes samtykke eller med henblik på, at et retskrav kan fastlægges, gøres gældende eller forsvares eller for at beskytte en anden fysisk eller juridisk person eller af hensyn til Unionens eller en medlemsstats vigtige samfundsinteresser.
3. En registreret, der har opnået begrænsning af behandling i medfør af stk. 1, underrettes af den dataansvarlige, inden begrænsningen af behandlingen ophæves.«
22. Denne forordnings artikel 21, stk. 1, med overskriften »Ret til indsigelse« bestemmer:
»Den registrerede har til enhver tid ret til af grunde, der vedrører den pågældendes særlige situation, at gøre indsigelse mod behandling af sine personoplysninger baseret på artikel 6, stk. 1, litra e) eller f), herunder profilering baseret på disse bestemmelser. Den dataansvarlige må ikke længere behandle personoplysningerne, medmindre den dataansvarlige påviser vægtige legitime grunde til behandlingen, der går forud for registreredes interesser, rettigheder og frihedsrettigheder, eller behandlingen er nødvendig for, at retskrav kan fastlægges, gøres gældende eller forsvares.«
23. Denne forordnings artikel 85 med overskriften »Behandling og ytrings- og informationsfriheden« bestemmer:
»1. Medlemsstaterne forener ved lov retten til beskyttelse af personoplysninger i henhold til denne forordning med retten til ytrings- og informationsfrihed, herunder behandling i journalistisk øjemed og med henblik på akademisk, kunstnerisk eller litterær virksomhed.
2. Til behandling i journalistisk øjemed eller med henblik på akademisk, kunstnerisk eller litterær virksomhed fastsætter medlemsstaterne undtagelser eller fravigelser fra kapitel II (principper), kapitel III (den registreredes rettigheder), kapitel IV (dataansvarlig og databehandler), kapitel V (overførsel af personoplysninger til tredjelande eller internationale organisationer), kapitel VI (uafhængige tilsynsmyndigheder), kapitel VII (samarbejde og sammenhæng) og kapitel IX (specifikke databehandlingssituationer), hvis de er nødvendige for at forene retten til beskyttelse af personoplysninger med ytrings- og informationsfriheden.
3. Hver medlemsstat giver Kommissionen meddelelse om de lovbestemmelser, som den har vedtaget i henhold til stk. 2, og underretter den straks om alle senere ændringslove eller ændringer, der berører dem.«
B. Fransk ret
24. Direktiv 95/46 er blevet gennemført i fransk ret ved loi nº 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (lov af 6.1.1978 om informationsteknologi, registre og frihedsrettigheder).
III. De faktiske omstændigheder og retsforhandlingerne i hovedsagen
25. G.C., A.F., B.H. og E.D. har alle anmodet selskabet Google [Inc] om at fjerne forskellige links til websider, der er offentliggjort af tredjemand, fra listen over resultater, der vises af den søgemaskine, som dette selskab udbyder, når man foretager en søgning, der indeholder deres navn, hvilket dette selskab har nægtet.
26. Nærmere bestemt ønskede G.C. at få fjernet et link til en satirisk fotomontage, der blev lagt online den 18. februar 2011 på YouTube under pseudonym, og som iscenesatte hende ved siden af kommunens borgmester, som hun var borgmestersekretær for, og som udtrykkeligt nævnte deres intime forhold såvel som dette forholds betydning for hendes egen politiske karriere. Denne fotomontage blev lagt online i forbindelse med valgkampen til kantonalvalget, hvor G.C. opstillede som kandidat. På det tidspunkt, hvor hendes anmodning om fjernelse blev nægtet imødekommet, var sagsøgeren hverken valgt eller kandidat til et lokalt mandat, og hun var ikke længere beskæftiget som borgmestersekretær for kommunens borgmester.
27. A.F. anmodede om fjernelse af links til en artikel i dagbladet Libération af 9. september 2008, der var gengivet på webstedet for Centre contre les manipulations mentales (CCMM), og som vedrørte et medlem af Scientology-kirken, der begik selvmord i december 2006. A.F. blev i denne artikel nævnt i sin egenskab af PR-ansvarlig hos Scientology-kirken, en stilling, som han ikke længere bestrider. Desuden har forfatteren til den omtvistede artikel oplyst, at han har kontaktet A.F. for at få hans udlægning af hændelsesforløbet, og har gengivet de udsagn, som han modtog ved den lejlighed.
28. B.H. ønskede at få fjernet links til artikler, der hovedsageligt stammede fra pressen og vedrørte den forundersøgelse af en sag for domstolene, der blev indledt i juni 1995 om finansieringen af Parti républicain (Det Republikanske Parti (PR)) i Frankrig, hvorunder han sammen med en række forretningsmænd og politikere blev genstand for en undersøgelse. Den procedure, der berørte ham, blev afsluttet den 26. februar 2010 ved undersøgelsesdommerens kendelse om ikke at rejse tiltale. Hovedparten af de omtvistede links førte til artikler, der tidsmæssigt var sammenfaldende med, at undersøgelsen blev indledt, og de omtalte derfor ikke sagens udfald.
29. E.D. anmodede om fjernelse af links til to artikler offentliggjort i Nice Matin og le Figaro med referater fra det retsmøde i en straffesag, hvori han blev idømt en straf på syv års fængsel og en tillægsstraf på ti års tilsyn for seksuelle overgreb på mindreårige under 15 år. Et af disse retsreferater omtalte desuden flere intime detaljer om E.D., der kom frem under retsforhandlingerne.
30. Efter at Google havde nægtet at imødekomme anmodningerne, klagede sagsøgerne til Commission nationale de l’informatique et des libertés (CNIL) (Den Nationale Kommission for Databehandling og Frihedsrettigheder, herefter »CNIL«) med krav om, at selskabet blev pålagt at fjerne de omhandlede links. Ved skrivelse af henholdsvis 24. april 2015, 28. august 2015, 21. marts 2016 og 9. maj 2016 meddelte formanden for CNIL sagsøgerne, at CNIL afsluttede behandlingen af deres klager.
31. Sagsøgerne indgav derefter stævning til prøvelse af CNIL’s afvisning af at pålægge Google at foretage de ønskede fjernelser. Den forelæggende ret har vedlagt disse stævninger.
IV. De præjudicielle spørgsmål og retsforhandlingerne for Domstolen
32. Efter at have konstateret, at de nævnte stævninger frembyder flere alvorlige vanskeligheder med hensyn til fortolkningen af direktiv 95/46, besluttede Conseil d’État (øverste domstol i forvaltningsretlige sager, Frankrig) ved afgørelse af 24. februar 2017, som indgik til Domstolen den 15. marts 2017, at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:
»1) Henset til en søgemaskineudbyders specifikke ansvar, kompetencer og muligheder finder det forbud mod at behandle oplysninger henhørende under artikel 8, stk. 1 og 5, i direktiv [95/46,] der gælder for andre registeransvarlige med de i denne tekst fastsatte undtagelser, tillige anvendelse på denne søgemaskineudbyder i sin egenskab af registeransvarlig for den behandling, som søgemaskinen udgør?
2) Såfremt det første spørgsmål besvares bekræftende:
– Skal bestemmelserne i artikel 8, stk. 1 og 5, i direktiv [95/46] fortolkes således, at det forbud mod at behandle oplysninger henhørende under disse bestemmelser, der således gælder for en søgemaskineudbyder med de i dette direktiv fastsatte undtagelser, forpligter denne til konsekvent at efterkomme anmodninger om at fjerne links til websider, der behandler sådanne oplysninger?
– Hvorledes skal – ud fra et sådant perspektiv – undtagelserne i artikel 8, stk. 2, litra a) og e), i direktiv [95/46] fortolkes, når de finder anvendelse på en søgemaskineudbyder, henset til dennes specifikke ansvar, kompetencer og muligheder? Kan en søgemaskineudbyder navnlig nægte at efterkomme en anmodning om at fjerne links, når denne konstaterer, at de omhandlede links fører til indhold, der, skønt det indbefatter oplysninger henhørende under de i artikel 8, stk. 1, opregnede kategorier, tillige er omfattet af anvendelsesområdet for de undtagelser, der er fastsat i samme artikels stk. 2, bl.a. litra a) og e)?
– Skal bestemmelserne i direktiv [95/46] ligeledes fortolkes således, at en søgemaskineudbyder, når de links, som anmodes fjernet, fører til behandlinger af personoplysninger, der udelukkende finder sted i journalistisk øjemed eller med henblik på kunstnerisk eller litterær virksomhed, og hvorved der derfor i henhold til artikel 9 i direktiv [95/46] kan indsamles og behandles oplysninger henhørende under de kategorier, som er nævnt i dette direktivs artikel 8, stk. 1 og 5 – af denne grund kan nægte at efterkomme en anmodning om at fjerne links?
3) Såfremt det første spørgsmål besvares benægtende:
– Hvilke specifikke krav i direktiv [95/46] skal en søgemaskineudbyder opfylde, henset til dennes ansvar, kompetencer og muligheder?
– Når søgemaskineudbyderen konstaterer, at de websider, hvortil linksene anmodes fjernet, indeholder oplysninger, hvis offentliggørelse på de nævnte websider er ulovlig, skal bestemmelserne i direktiv [95/46] da fortolkes således,
– at de pålægger søgemaskineudbyderen at slette disse links fra den resultatliste, der vises efter en søgning på den anmodende persons navn?
– eller således, at de alene indebærer, at søgemaskineudbyderen skal tage denne omstændighed i betragtning ved vurderingen af, om der er grundlag for at efterkomme anmodningen om at fjerne links?
– eller således, at denne omstændighed er uden betydning for den vurdering, som søgemaskineudbyderen skal foretage?
Såfremt denne omstændighed ikke er irrelevant, hvorledes skal man da vurdere lovligheden af offentliggørelsen på websider af omtvistede oplysninger, som stammer fra behandlinger, der ikke er omfattet af det territoriale anvendelsesområde for direktiv [95/46], og dermed lovligheden af de nationale lovgivninger, som gennemfører direktivet?
4) Uanset hvorledes det første spørgsmål skal besvares:
– og uafhængigt af, om offentliggørelsen af personoplysninger på den webside, hvortil det omtvistede link fører, er lovlig, skal bestemmelserne i direktiv [95/46] da fortolkes således, at:
– når den anmodende person godtgør, at disse oplysninger er blevet ufuldstændige eller ukorrekte, eller at de ikke længere er ajourførte, skal en søgemaskineudbyder efterkomme anmodningen om at fjerne det omhandlede link?
– og mere specifikt, når den anmodende person godtgør, at oplysningerne vedrørende en tidligere etape af en retslig procedure, henset til denne procedures forløb, ikke længere afspejler vedkommendes reelle aktuelle [situation], har en søgemaskineudbyder pligt til at fjerne links til websider, der indeholder sådanne oplysninger?
– Skal bestemmelserne i artikel 8, stk. 5, i direktiv [95/46] fortolkes således, at oplysninger om, at en person er blevet gjort til genstand for en undersøgelse, eller som redegør for en retssag og den dom, som er resultatet heraf, udgør oplysninger om lovovertrædelser og straffedomme? Er en webside, når den indeholder oplysninger om domme og retslige procedurer, som vedrører en fysisk person, generelt omfattet af disse bestemmelsers anvendelsesområde?«
33. A.F., B.H., Google, den franske regering, Irland, den græske, den italienske, den østrigske og den polske regering og Det Forenede Kongeriges regering samt Europa-Kommissionen har indgivet skriftlige indlæg.
34. B.H., Google, den franske regering, Irland, den græske, den østrigske og den polske regering samt Kommissionen deltog i retsmødet, der blev afholdt den 11. september 2018.
V. Bedømmelse
A. Indledende bemærkninger
1. Den relevante retsakt: direktiv 95/46
35. Den forelæggende rets spørgsmål vedrører ikke fortolkningen af bestemmelserne i forordning 2016/679, men bestemmelserne i direktiv 95/46. Denne forordning, som har fundet anvendelse siden den 25. maj 2018 (8), har imidlertid ophævet direktivet med virkning fra samme dato (9).
36. Da det af fransk forvaltningsretspleje fremgår, at den lov, der finder anvendelse på en tvist, er den lov, som er gældende på datoen for en anfægtet afgørelse, er der ingen tvivl om, at det er direktiv 95/46, der finder anvendelse på tvisten i hovedsagen. Det er således bestemmelserne i dette direktiv, som Domstolen anmodes om at fortolke.
2. Baggrund: dommen i sagen Google Spain og Google
37. Den forelæggende rets spørgsmål i denne sag er forelagt på baggrund af den principielle dom i sagen Google Spain og Google (10), hvori Domstolen – hvilket er relevant for denne sag – navnlig fastslog:
– at en søgemaskines aktivitet skal kvalificeres som »behandling af personoplysninger« som omhandlet i artikel 2, litra b), i direktiv 95/46, når disse oplysninger indeholder personoplysninger, og når udbyderen af denne søgemaskine anses for at være »registeransvarlig« som omhandlet i dette direktivs artikel 2, litra d) (11)
– at en søgemaskineudbyder med henblik på at overholde de rettigheder, der er fastsat i artikel 12, litra b), og artikel 14, stk. 1, litra a), i direktiv 95/46, og for så vidt som de betingelser, der er fastsat i disse bestemmelser, faktisk er opfyldt, er forpligtet til fra den resultatliste, der vises efter en søgning på en persons navn, at fjerne links til websider, som er offentliggjort af tredjemand og indeholder oplysninger vedrørende denne person, også i det tilfælde, hvor dette navn eller disse oplysninger ikke forudgående eller samtidig slettes fra disse websider, og i givet fald selv når offentliggørelsen på disse sider i sig selv er lovlig (12)
– at det inden for rammerne af bedømmelsen af betingelserne for anvendelsen af artikel 12, litra b), og artikel 14, stk. 1, litra a), i direktiv 95/46 bl.a. skal undersøges, om den berørte person har ret til, at den pågældende oplysning vedrørende personen på nuværende tidspunkt ikke længere knyttes til personens navn på en resultatliste, der vises efter en søgning på personens navn, uden at det med henblik på konstateringen af, at en sådan ret findes, dog herved er et krav, at inklusionen af den pågældende oplysning på resultatlisten skader den berørte person (13), og
– at da den nævnte person, henset til den pågældendes grundlæggende rettigheder i medfør af artikel 7 og 8 i Den Europæiske Unions charter om grundlæggende rettigheder (herefter »chartret«), kan anmode om, at den pågældende oplysning ikke længere stilles til rådighed for den brede offentlighed ved sin inklusion på en sådan resultatliste, går disse rettigheder i princippet forud for ikke blot søgemaskineudbyderens økonomiske interesse, men også for offentlighedens interesse i at finde nævnte oplysning ved en søgning på denne persons navn. Dette er imidlertid ikke tilfældet, såfremt det af særlige grunde, såsom den rolle, som nævnte person har i det offentlige liv, fremgår, at indgrebet i personens grundlæggende rettigheder er begrundet i offentlighedens vægtige interesse i at have adgang til den pågældende oplysning via inklusionen på resultatlisten (14).
38. De faktiske omstændigheder i sagen Google Spain og Google (15) vedrørte oplysninger, der ganske vist var personoplysninger, men som ikke var »følsomme« i den forstand, hvori udtrykket er anvendt i artikel 8 i direktiv 95/46. Hermed er vi nået frem til det første spørgsmål.
B. Det første præjudicielle spørgsmål
39. Med det første spørgsmål ønsker den forelæggende ret oplyst, om det forbud mod at behandle oplysninger, der er omfattet fa artikel 8, stk. 1 og 5, i direktiv af 95/46, som gælder for andre registeransvarlige, tillige finder anvendelse på en søgemaskineudbyder, henset til en sådan udbyders specifikke ansvar, kompetencer og muligheder.
40. I henhold til artikel 8, stk. 1, i direktiv 95/46 forbyder medlemsstaterne behandling af personoplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold og oplysninger om helbredsforhold og seksuelle forhold.
41. Dette direktivs artikel 8, stk. 5, bestemmer, at behandling af oplysninger om lovovertrædelser, straffedomme eller sikkerhedsforanstaltninger kun må foretages under kontrol af en offentlig myndighed, eller hvis der gælder tilstrækkelige, specifikke garantier i medfør af den nationale lovgivning med forbehold af de undtagelser, som medlemsstaten kan fastsætte på grundlag af nationale lovbestemmelser, hvorefter der gives tilstrækkelige, specifikke garantier. Et fuldstændigt register over straffedomme må dog kun føres under kontrol af en offentlig myndighed. Medlemsstaterne kan fastsætte bestemmelser om, at behandling af oplysninger vedrørende administrative sanktioner eller civile retssager ligeledes skal foretages under en offentlig myndigheds kontrol.
42. Det skal her konstateres, at artikel 8 i direktiv 95/46 ikke var omhandlet i sagen Google Spain og Google (16). Ud fra denne enkle konstatering må jeg antage, at svaret på det første præjudicielle spørgsmål, i modsætning til, hvad Google har gjort gældende i sine skriftlige indlæg, ikke kan udledes af denne dom. Den omstændighed, at denne sag ikke vedrørte følsomme oplysninger som omhandlet i artikel 8, stk. 1, i direktiv 95/46, indebærer ikke, at en søgemaskine ikke er omfattet af denne bestemmelse.
43. I sit forslag til afgørelse i sagen Google Spain og Google gav generaladvokat Jääskinen bl.a. følgende begrundelse for sit synspunkt (som ikke blev fulgt af Domstolen) om, at en udbyder af en internetsøgemaskine ikke er »registeransvarlig« for personoplysninger på tredjemands kildewebsider: »Det modsatte synspunkt ville medføre, at søgemaskiner ikke var i overensstemmelse med EU-retten, hvilket efter min opfattelse ville være en absurd konklusion. Nærmere bestemt ville søgemaskineudbyderens virksomhed, hvis denne blev anset for at være registeransvarlig for personoplysninger på tredjemands kildewebsider, og hvis der på en eller flere af disse sider befandt sig »særlige kategorier af oplysninger« som omhandlet i artikel 8 [i direktiv 95/46] f.eks. personoplysninger om politisk eller religiøs overbevisning eller oplysninger om personers helbredsforhold og seksuelle forhold), automatisk blive ulovlig, når de strenge betingelser for behandlingen af disse oplysninger, som er fastsat i denne artikel, ikke var opfyldt« (17).
44. Denne passage fremhæver klart problemstillingen og kernen i den foreliggende sag. Da direktiv 95/46, der stammer fra 1995 og i princippet var rettet mod medlemsstaterne for så vidt angår de deri fastlagte forpligtelser, ikke var affattet med tanke på søgemaskiner, som disse fungerer i dag, egner dets bestemmelser sig ikke til en intuitiv og rent bogstavelig anvendelse på sådanne søgemaskiner. Det er af netop af denne grund, at de forelæggende retter i lighed med den foreliggende sag var i tvivl om behandlingen af sagen Google Spain og Google (18) og derfor rettede henvendelse til Domstolen.
45. Man kan følgelig ikke anlægge en »alt eller intet«-tilgang til, hvorvidt bestemmelserne i direktiv 95/46 kan finde anvendelse på søgemaskiner. Efter min opfattelse bør hver enkelt bestemmelse undersøges med hensyn til, om den er egnet til anvendelse på en søgemaskine.
46. En bogstavelig anvendelse af artikel 8, stk. 1, i direktiv 95/46 på en søgemaskine ville medføre et forbud mod enhver behandling af de oplysninger, som vises i resultatlisten, med forbehold af de undtagelser, der er fastsat i dette direktivs artikel 8, stk. 2.
47. I denne forbindelse bemærker jeg, at ingen af de parter, der har indgivet skriftlige indlæg, taler for en så streng fortolkning, og det med rette.
48. En bogstavelig anvendelse af artikel 8, stk. 1, i direktiv 95/46 ville forpligte en søgemaskine til at kontrollere, at en resultatliste, der vises efter en søgning på en fysisk persons navn, ikke indeholder links til websider med oplysninger, som er omfattet af denne bestemmelse, og dette på forhånd og af egen drift, dvs. også selv om der ikke foreligger en anmodning fra en registreret om fjernelse af links.
49. Efter min opfattelse er en kontrol på forhånd og af egen drift hverken mulig eller ønskelig.
50. I dommen i sagen Google Spain og Google (19) fastslog Domstolen at, »[f]or så vidt som søgemaskinens aktivitet […] i forhold til websideudgiveres aktivitet i væsentligt større og yderligere grad kan påvirke de grundlæggende rettigheder til privatlivets fred og beskyttelse af personoplysninger, skal søgemaskineudbyderen i sin egenskab af den person, som afgør formålet med aktiviteten og hjælpemidlerne hertil, inden for rammerne af sit ansvar, sine kompetencer og sine muligheder sikre, at den opfylder kravene i direktiv 95/46, med henblik på at de garantier, som direktivet fastsætter, kan opnå deres fulde virkning, og at en effektiv og fuldstændig beskyttelse af de berørte personer, bl.a. hvad angår deres ret til privatlivets fred, faktisk kan gennemføres« (20).
51. Det er muligt at drage to konklusioner af denne passage. Først og fremmest tager direktiv 95/46, som Kommissionen har gjort gældende i sine skriftlige indlæg, udgangspunkt i princippet om, at enhver registeransvarlig skal opfylde samtlige krav, som direktivet stiller, herunder kravene i artikel 8.
52. Endvidere, og selv om denne passage er formuleret som en forpligtelse, der påhviler søgemaskineudbyderen (21), kan en sådan udbyder kun handle inden for rammerne af sit ansvar, sine kompetencer og sine muligheder. Med andre ord kan en sådan udbyder netop på grund af sit ansvar, sine kompetencer og sine muligheder, som er begrænsede, ikke være i stand til at sikre den fulde virkning af bestemmelserne i direktiv 95/46.
53. Artikel 8 i direktiv 95/46 bør derfor fortolkes således, at der tages hensyn til en søgemaskineudbyders ansvar, kompetencer og muligheder.
54. I denne forbindelse bør anvendelsen på forhånd af artikel 8, stk. 1, i direktiv 95/46 på en søgemaskineudbyder udelukkes. En forudgående kontrol af websider, som vises som resultat af en søgning, falder ikke ind under en søgemaskines ansvar eller muligheder (22). En søgemaskineudbyders opgave er, som navnet siger, at søge, finde, vise og stille til rådighed og dette ved hjælp af en algoritme, som gør det muligt at finde oplysningerne på den meste effektive måde. Det er til gengæld ikke søgemaskineudbyderens ansvar at kontrollere, endsige censurere. Søgemaskineudbyderen handler for at søge og reagerer for at fjerne links til et søgeresultat. Det er under alle omstændigheder sådan, jeg forstår dommen i sagen Google Spain og Google (23)
55. I tråd hermed, og som Kommissionen har fremhævet, kan de forbud og restriktioner, der er fastlagt i artikel 8, stk. 1, i direktiv 95/46, ikke finde anvendelse på en søgemaskineudbyder, som om denne selv har offentliggjort de følsomme oplysninger på de websider, den viser links til på resultatlisten. Logisk set indtræder en søgemaskines aktivitet, først når der lægges (følsomme) oplysninger online, og er af sekundær karakter.
56. Følgelig kan de forbud og restriktioner, der er fastlagt i artikel 8, stk. 1, i direktiv 95/46, kun finde anvendelse på en søgemaskine på grund af denne visning af links og dermed ved hjælp af en efterfølgende kontrol på grundlag af en anmodning om fjernelse af links fremsat af den registrerede.
57. Jeg foreslår derfor, at det første præjudicielle spørgsmål besvares med, at artikel 8, stk. 1 og 5, i direktiv 95/46 i princippet finder anvendelse på en søgemaskineudbyders aktiviteter inden for rammerne af en sådan søgemaskineudbyders ansvar, kompetencer og muligheder.
58. De nærmere betingelser for en sådan anvendelse undersøges i forbindelse med det andet præjudicielle spørgsmål.
C. Det andet præjudicielle spørgsmål
59. Det andet spørgsmål, som ønskes besvaret, hvis Domstolen fastslår, at artikel 8, stk. 1 og 5, i direktiv 95/46 finder anvendelse på den behandling, som en søgemaskineudbyder foretager, omfatter tre dele.
60. Den forelæggende ret ønsker således nærmere bestemt oplyst
– om det forbud mod at behandle oplysninger henhørende under artikel 8, stk. 1 og 5, i direktiv 95/46, der gælder for en søgemaskineudbyder med de i dette direktiv fastsatte undtagelser, forpligter denne til konsekvent at efterkomme anmodninger om at fjerne links til websider, der behandler sådanne oplysninger
– hvorledes de specifikke undtagelser i artikel 8, stk. 2, litra a) og e), i direktiv 95/46 finder anvendelse på den behandling, som en søgemaskineudbyder foretager, og navnlig om denne kan nægte at efterkomme en anmodning om fjernelse af links på baggrund af disse undtagelser
– hvordan undtagelserne i artikel 9 i direktiv 95/46 finder anvendelse på behandling af oplysninger alene i journalistisk øjemed eller med henblik på kunstnerisk eller litterær virksomhed, og dette alene for så vidt som disse undtagelser er nødvendige for at forene retten til privatlivets fred med reglerne for ytringsfrihed. I denne henseende ønsker den forelæggende ret oplyst, om søgemaskineudbyderen kan nægte at efterkomme en anmodning om at fjerne links, når udbyderen konstaterer, at offentliggørelsen af de oplysninger, der findes på den side, hvortil det omhandlede link henviser, er lovlig, fordi den behandling, som websideudgiveren har foretaget i dette øjemed, er omfattet af denne undtagelse.
61. Jeg behandler disse underspørgsmål i den rækkefølge, de er stillet.
1. Konsekvent fjernelse af links
62. Udgangspunktet er, at hvis der ikke foreligger en begrundelse i henhold til artikel 8 og 9 i direktiv 95/46, er en søgemaskineudbyders nægtelse af at fjerne links til en webside i strid med dette direktivs artikel 8, stk. 1 eller 5.
63. Google har i lighed med Irland, den østrigske regering og Det Forenede Kongeriges regering gjort gældende, at der er tale om en vigtig, men ikke afgørende faktor i forbindelse med den afvejning af rettigheder og interesser, som søgemaskineudbyderen bør foretage for hver anmodning om fjernelse af links, herunder afvejningen vedrørende links til websteder, som behandler særlige kategorier af oplysninger, jf. artikel 8, stk. 1 eller 5, i direktiv 95/46.
64. Den franske, den italienske og den polske regering samt Kommissionen er til gengæld af den opfattelse, at forbuddet mod behandling i artikel 8, stk. 1 og 5, i direktiv 95/46 indebærer, at en søgemaskineudbyder, der modtager en anmodning om fjernelse af links, konsekvent skal efterkomme en sådan, dvs. uden at skulle eller kunne kontrollere andre elementer end den manglende begrundelse.
65. Jeg deler sidstnævnte opfattelse.
66. Ordlyden af artikel 8, stk. 1 og 5, i direktiv 95/46 gør det således ikke muligt at betvivle, at der er tale om en forpligtelse til at forbyde behandlingen af de følsomme oplysninger, som er anført heri. Jeg kan således ikke se, hvordan denne forpligtelse i en sådan situation skal kunne opfattes som et af flere elementer, der skal tages i betragtning i forbindelse med behandlingen af en anmodning om fjernelse af links.
67. En sådan tilgang ligger i logisk forlængelse af sagen Google Spain og Google (24). Denne sag vedrørte som bekendt alene oplysninger, hvis offentliggørelse i sig selv var lovlig. Derfor kunne Domstolen indledningsvis fastslå, at søgemaskineudbyderen var forpligtet til fra den resultatliste, der vises efter en søgning på en persons navn, at fjerne links til websider, som er offentliggjort af tredjemand og indeholder oplysninger vedrørende denne person – selv når denne offentliggørelse i sig selv var lovlig (25) – førend den dernæst kunne foretage en afvejning mellem dels de berørte personers rettigheder, dels søgemaskineudbyderens økonomiske interesse og offentlighedens interesse i at få adgang til de omhandlede oplysninger (26).
68. I denne forbindelse tillader jeg mig at indskyde en parentes om sagen Google Spain og Google. For så vidt som det er almindeligt anerkendt, at hvis en oplysning er lovlig, har afsenderen heraf under alle omstændigheder ytringsfrihed i henhold til chartrets artikel 11, ville det have været nyttigt, om Domstolen udtrykkeligt omtalte denne grundlæggende rettighed. Dermed ville det fremgå tydeligere, at der ikke alene bør foretages en afvejning mellem chartrets artikel 7 og 8 og informationsfriheden, men også ske inddragelse af ytringsfriheden. Jeg vender tilbage til dette emne i bedømmelsen af artikel 9 i direktiv 95/46.
69. Til gengæld finder jeg det ikke nødvendigt at foretage en sådan afvejning i forbindelse med artikel 8 i direktiv 95/46. Når det er slået fast, at der foregår behandling af følsomme oplysninger, skal en anmodning om fjernelse af links efterkommes.
70. Jeg er ganske bevidst om den holdning, som »Artikel 29-gruppen vedrørende databeskyttelse« (27) udtrykte i sine »Retningslinjer for gennemførelsen af [dommen i sagen Google Spain og Google (28)]« af 26. november 2014 (29) (herefter »retningslinjerne«), om, at der for det første i forbindelse med de fleste anmodninger om fjernelse af links skal tages hensyn til mere end ét kriterium, inden der træffes en beslutning, for det andet, at intet kriterium er afgørende i sig selv (30), og for det tredje for så vidt specifikt angår artikel 8 i direktiv 95/46, at »databeskyttelsesmyndighederne er mere tilbøjelige til at gribe ind i tilfælde af en anmodning om fjernelse af links« (31).
71. I denne henseende forekommer det mig indlysende, at der bør tages hensyn til flere kriterier, inden der træffes en beslutning om en anmodning om fjernelse af links. Til gengæld finder jeg ikke udtalelsen om, at en databeskyttelsesmyndighed skulle være mere tilbøjelig til at gribe ind, tilstrækkeligt begrundet og klar. Hvis det viser sig, at oplysningerne henhører under følsomme kategorier, jf. artikel 8, stk. 1 og 5, i direktiv 95/46, er behandlingen heraf forbudt.
72. Følgelig er det min opfattelse, at forebyggelsen af en søgemaskines eventuelle mangfoldiggørelse af sådanne oplysninger ligeledes er omfattet af ratio legis for artikel 8, stk. 1 og 5, i direktiv 95/46. Da lovgiver på baggrund af denne bestemmelse anser behandlingen af visse personoplysninger for at være ulovlig, følger det efter min opfattelse heraf, at en søgemaskineudbyders særskilte behandling også er ulovlig, i det mindste fra det øjeblik, hvor denne udbyder ikke har efterkommet en anmodning om fjernelse af links.
73. Med andre ord har EU-lovgiver med artikel 8 i direktiv 95/46 allerede afgjort spørgsmålet om følsomme oplysninger således, at der ikke kan ske en afvejning. Denne fortolkning styrkes af det forhold, at forordning 2016/679 ikke alene har opretholdt forbuddet (32) mod behandlingen af følsomme oplysninger, men tillige har udvidet disse kategorier (33).
74. Derfor forpligter det forbud mod at behandle oplysninger, der er omfattet af artikel 8, stk. 1 og 5, i direktiv 95/46, som gælder for en søgemaskineudbyder med de i dette direktiv fastsatte undtagelser, denne til konsekvent at efterkomme anmodninger om at fjerne links til websider, der behandler sådanne oplysninger.
2. De specifikke undtagelser, der er fastsat i artikel 8, stk. 2, litra a) og e), i direktiv 95/46
75. Den forelæggende ret har alene ønsket afklaring med hensyn til to ud af de fem undtagelser i artikel 8, stk. 2, i direktiv 95/46.
76. Ifølge artikel 8, stk. 2, litra a), i direktiv 95/46 finder stk. 1 ikke anvendelse, hvis den registrerede udtrykkeligt har givet sit samtykke (34) til en sådan behandling, medmindre det i medlemsstatens lovgivning fastsættes, at det i stk. 1 omhandlede forbud ikke kan hæves ved den registreredes samtykke. Ifølge artikel 8, stk. 2, litra e), i direktiv 95/46 finder artiklens stk. 1 ikke anvendelse, hvis behandlingen vedrører oplysninger, som klart offentliggøres af den registrerede, eller er nødvendig for, at et retskrav kan fastlægges, gøres gældende eller forsvares.
77. For så vidt som jeg ifølge den løsning, jeg foreslår Domstolen, er af den opfattelse, at de forbud mod behandling, der er fastsat i artikel 8, stk. 1 og 5, i direktiv 95/46, finder anvendelse, må undtagelserne i samme artikel 8 i direktiv 95/46 i princippet også finde anvendelse, selv om visse af undtagelserne i artikel 8, stk. 2, i direktiv 95/46 forekommer mig mere teoretiske end praktiske for så vidt angår deres anvendelighed på en søgemaskine (35). Søgemaskineudbyderen kan derfor nægte at efterkomme en anmodning om fjernelse af links, når betingelserne i dette direktivs artikel 8, stk. 2, er opfyldt.
3. Behandlingen af personoplysninger og ytringsfriheden (artikel 9 i direktiv 95/46)
78. I overensstemmelse med artikel 9 i direktiv 95/46 fastsætter medlemsstaterne i forbindelse med behandling af personoplysninger, der udelukkende finder sted i journalistisk øjemed eller med henblik på kunstnerisk eller litterær virksomhed, kun fritagelser eller undtagelser fra navnlig artikel 8 i direktiv 95/46, for så vidt som de er nødvendige for at forene retten til privatlivets fred med reglerne for ytringsfrihed.
79. Det, der ønskes oplyst, er derfor, om søgemaskineudbyderen kan nægte at efterkomme en anmodning om at fjerne links, når udbyderen konstaterer, at offentliggørelsen af de følsomme oplysninger, der findes på den side, hvortil det omhandlede link henviser, er lovlig, fordi den behandling, som websideudgiveren har foretaget i dette øjemed, er omfattet af artikel 9 i direktiv 95/46.
80. Det skal bemærkes, at det i medfør af dommen i sagen Google Spain og Google (36) meget vel kan forholde sig således, at en anmodning om fjernelse af links på grund af artikel 9 i direktiv 95/46 falder ud til ulempe for søgemaskineudbyderen, men til fordel for udgiveren af den webside, som linket henviser til. Domstolen fastslog således følgende: »En websideudgivers behandling, der består i at offentliggøre oplysninger om en fysisk person, kan desuden i givet fald foretages »udelukkende […] i journalistisk øjemed« og kan dermed i medfør af artikel 9 i direktiv 95/46 være fritaget for de krav, der er fastsat i direktivet, mens dette ikke forekommer at være tilfældet for så vidt angår den behandling, der foretages af en søgemaskineudbyder. Det kan således ikke udelukkes, at den berørte person under visse omstændigheder kan udøve rettighederne i artikel 12, litra b), og artikel 14, stk. 1, litra a), i direktiv 95/46 mod søgemaskineudbyderen, men ikke mod websideudgiveren« (37).
81. Denne centrale passage i dommen i sagen Google Spain og Google (38) udgør selve kernen i det ræsonnement, der skulle begrunde indførelsen af en »ret til at blive glemt«, nemlig at det for at beskytte privatlivets fred og den registreredes ret til sine oplysninger er tilladt at »skyde budbringeren«, (selv) hvis en »berigtigelse ved kilden« er umulig på grund af en websideudgivers ytringsfrihed.
82. Det er meget fristende at fortolke denne passage således, at artikel 9 ikke finder anvendelse på søgemaskineudbyderen.
83. Jeg foreslår, at Domstolen modstår en sådan fristelse.
84. For det første fremgår det af Den Europæiske Menneskerettighedsdomstols (herefter »Menneskerettighedsdomstolen«) faste praksis, at »[i]n the light of its accessibility and its capacity to store and communicate vast amounts of information, the Internet plays an important role in enhancing the public’s access to news and facilitating the dissemination of information in general« (39). I en sag om et websted, som udgør en af verdens største fildelingstjenester på internettet (40), fastslog Menneskerettighedsdomstolen nærmere bestemt, at »Article 10 of the European Convention for the Protection of Human Rights and Fundamental Freedoms, signed in Rome on 4 November 1950 (41)applies not only to the content of the information but also to the means of transmission or reception« (42).
85. Offentlighedens ret til at modtage og videregive oplysninger, der er stillet til rådighed på internettet, er beskyttet ved chartrets artikel 11 (43). Denne ret vedrører både information på kildewebsiderne og den information, som stilles til rådighed af søgemaskiner (44).
86. For det andet er den eneste konklusion, som det er muligt at drage af førnævnte passage i dommen i sagen Google Spain og Google (45), at artikel 9 i direktiv 95/46 ikke som sådan finder direkte anvendelse på søgemaskineudbyderens aktivitet. Da en sådan udbyders aktivitet er en sekundær aktivitet i forhold til den primære aktivitet, som afsenderen af oplysningerne udøver, er det logisk, at artikel 9 i direktiv 96/45 først og fremmest tager sigte på denne afsender. Imidlertid kan den omstændighed, at de oplysninger, der vises på den omhandlede webside, henhører under journalistik eller kunstnerisk eller litterær virksomhed i henhold til artikel 9 i direktiv 95/46, ikke medføre, at søgemaskineudbyderen, der, som jeg fastslog ovenfor, er omfattet af forpligtelserne i dette direktivs artikel 8, hindres i at påberåbe sig artikel 9 i direktiv 95/46.
87. Det forhold, at oplysningerne på en webside er omfattet af dette direktivs artikel 9, bør udgøre en omstændighed, der kan gøre det muligt at nægte at efterkomme en anmodning om at fjerne links.
88. Artikel 9 i direktiv 95/46 konkretiserer i den afledte ret ytrings- og informationsfriheden og mediefriheden som fastlagt ved chartrets artikel 11. Med andre ord er det forhold, at oplysningerne stammer fra en journalists værk eller udgør kunstnerisk eller litterær virksomhed, et element, der skal tages i betragtning ved afvejningen mellem på den ene side retten til respekt for privatlivet og retten til beskyttelse af personoplysninger i medfør af chartrets artikel 7 og 8 og på den anden side offentlighedens ret til at få adgang til de pågældende oplysninger.
89. Selv om Domstolen kunne have formuleret sig klarere i visse af sine betragtninger i dommen i sagen Google Spain og Google (46), er det kort sagt ikke udelukket, at ytringsfriheden ikke indgår i den i nævnte dom foretagne undersøgelse af overholdelsen af betingelserne i artikel 12, litra b), og artikel 14, stk. 1, litra a), i direktiv 95/46. Efter min opfattelse skal der ved afvejningen mellem sådanne internetbrugeres interesse, som er potentielt interesserede i at få adgang til en webside via en søgning på den berørte persons navn, og denne persons grundlæggende rettigheder i medfør af chartrets artikel 7 og 8 ligeledes tages hensyn til udgivernes og internetbrugernes ytrings- og informationsfrihed, som sikres ved chartrets artikel 11.
90. Jeg føler mig bekræftet i denne bedømmelse af retningslinjerne, hvorefter »databeskyttelsesmyndighederne anerkender, at det alt efter sammenhængen kan være relevant at undersøge, om oplysningerne er blevet offentliggjort i journalistisk øjemed. Det forhold, at oplysningerne er offentliggjort af en journalist – hvis arbejde består i at oplyse offentligheden – er en faktor, der skal tages i betragtning. Dette kriterium er imidlertid ikke tilstrækkeligt i sig selv til at nægte at efterkomme en anmodning, eftersom Domstolens dom klart sondrer mellem retsgrundlaget for en offentliggørelse i medierne og retsgrundlaget for at tillade søgemaskiner at vise resultaterne af en søgning på en persons navn« (47).
91. Endelig skal det bemærkes, at artikel 17 i forordning 2016/679, hvori »retten til at blive glemt« nu er kodificeret, i stk. 3, litra a), fastsætter en undtagelse fra denne ret, når behandlingen er nødvendig for at udøve retten til ytrings- og informationsfrihed. Denne undtagelse finder anvendelse på alle de begrundelser for retten til at blive glemt, som er angivet i artikel 17, stk. 1, i forordning 2016/679, og derfor også f.eks. i en situation, hvor personoplysningerne er blevet behandlet ulovligt [stk. 1, litra d)]. Forordning 2016/679 anerkender således en begrænsning af retten til at få fjernet links af årsager, der vedrører ytrings- og informationsfriheden, selv hvis behandlingen gælder følsomme oplysninger.
92. Derfor foreslår jeg Domstolen at besvare det andet præjudicielle spørgsmål med, at en søgemaskineudbyder i medfør af artikel 8, stk. 1 og 5, i direktiv 95/46 har pligt til konsekvent at efterkomme anmodninger om fjernelse af links til websider, der behandler de følsomme oplysninger som omhandlet i denne bestemmelse, med forbehold af de i direktiv 95/46 fastsatte undtagelser, f.eks. de undtagelser, der er omfattet af dette direktivs artikel 8, stk. 2, litra a) og e). Til gengæld udgør det forhold, at oplysningerne på den omhandlede webside er omfattet af artikel 9 i direktiv 95/46, en omstændighed, der kan gøre det muligt at nægte at efterkomme en anmodning om at fjerne links. I en sådan situation bliver søgemaskineudbyderen nødt til at foretage en afvejning mellem på den ene side retten til respekt for privatlivet og retten til beskyttelse af oplysninger i medfør af chartrets artikel 7 og 8 og på den anden side offentlighedens ret til at få adgang til de pågældende oplysninger samt retten til ytringsfrihed for afsenderen af oplysningerne i medfør af chartrets artikel 11.
D. Det tredje præjudicielle spørgsmål
93. Der er ingen grund til at besvare det tredje præjudicielle spørgsmål, som er forelagt, »såfremt det første spørgsmål besvares benægtende«, idet jeg netop har foreslået, at det første spørgsmål besvares bekræftende.
E. Det fjerde præjudicielle spørgsmål
94. Det fjerde præjudicielle spørgsmål falder i to dele.
95. Hvad den første del af dette spørgsmål angår ønsker den forelæggende ret oplyst, om en søgemaskineudbyder har pligt til at efterkomme anmodningen om at fjerne et link, når den anmodende person godtgør, at personoplysningerne på den webside, hvortil det omhandlede link henviser, er blevet ufuldstændige, ukorrekte eller ikke er blevet ajourført.
96. Den forelæggende ret ønsker således oplyst, om en sådan pligt består, når den anmodende person godtgør, at oplysningerne vedrørende en tidligere etape af en retslig procedure, henset til denne procedures forløb, ikke længere afspejler vedkommendes reelle aktuelle situation.
97. Med den anden del af det fjerde spørgsmål, som navnlig omhandler hovedsagerne om B.H. og E.D., ønsker den forelæggende ret oplyst, om oplysninger om, at en person er blevet gjort til genstand for en undersøgelse, eller som redegør for en retssag og den dom, som er resultatet heraf, udgør oplysninger om lovovertrædelser og straffedomme i henhold til artikel 8, stk. 5, i direktiv 95/46, og navnlig om en webside, når den indeholder oplysninger om domme og retslige procedurer, som vedrører en fysisk person, er omfattet af denne bestemmelse.
98. Den anden del må besvares før den første del.
99. I overensstemmelse med artikel 8, stk. 5, i direktiv 95/46 må behandling af oplysninger om lovovertrædelser, straffedomme eller sikkerhedsforanstaltninger kun foretages under kontrol af en offentlig myndighed, eller hvis der gælder tilstrækkelige, specifikke garantier i medfør af den nationale lovgivning med forbehold af de undtagelser, som medlemsstaten kan fastsætte på grundlag af nationale lovbestemmelser, hvorefter der gives tilstrækkelige, specifikke garantier. Et fuldstændigt register over straffedomme må dog kun føres under kontrol af en offentlig myndighed. Medlemsstaterne kan fastsætte bestemmelser om, at behandling af oplysninger vedrørende administrative sanktioner eller civile retssager ligeledes skal foretages under en offentlig myndigheds kontrol.
100. Efter min opfattelse udgør oplysninger om retslige procedurer offentliggjort på websider, f.eks. som de i sagerne om B.H. og E.D. omhandlede, oplysninger som fastsat i artikel 8, stk. 5, i direktiv 95/46. Selv om en straffesag ikke fører til domfældelse, er der tale om en oplysning vedrørende en lovovertrædelse.
101. Så er der tilbage at besvare den første del af det fjerde præjudicielle spørgsmål om de konklusioner, der bør drages af denne konstatering vedrørende artikler, navnlig i pressen, som omtaler en tidligere etape af en retslig procedure, som pr. definition ikke længere er ajour.
102. Henset til det svar, jeg har foreslået at give på den tredje del af det andet spørgsmål, er det min opfattelse, at der i forbindelse med en artikel i pressen bør anlægges en nuanceret tilgang, for så vidt som der er tale om personoplysninger, som alene behandles i journalistisk øjemed.
103. I denne forbindelse hedder det i retningslinjerne, at »EU-medlemsstaterne kan anlægge forskellige tilgange til offentliggørelsen af oplysninger om lovovertræderne og deres lovovertrædelser. Der kan forekomme særlige lovbestemmelser, som har indflydelse på, hvor tilgængelige denne type oplysninger er i tidens løb. Databeskyttelsesmyndighederne skal behandle denne type af tilfælde i overensstemmelse med gældende principper og tilgange i deres medlemsstat. Generelt er databeskyttelsesmyndighederne mere tilbøjelige til at ville fjerne links til søgeresultater, der vedrører forholdsvis mindre alvorlige lovovertrædelser, som er blevet begået for længe siden, end links til oplysninger om mere alvorlige, nyligere begåede lovovertrædelser. Imidlertid kræver disse spørgsmål en omhyggelig undersøgelse og skal behandles fra sag til sag« (48).
104. På samme måde er det min opfattelse, at der bør foretages en undersøgelse fra sag til sag, hvor søgemaskineudbyderen bliver nødt til at foretage en afvejning mellem på den ene side retten til respekt for privatlivet og retten til beskyttelse af oplysninger i medfør af chartrets artikel 7 og 8 og på den anden side offentlighedens ret til at få adgang til de pågældende oplysninger, idet der samtidig tages hensyn til, at oplysningerne stammer fra en journalists værk eller udgør kunstnerisk eller litterær virksomhed.
VI. Forslag til afgørelse
105. På baggrund af samtlige ovenstående betragtninger foreslår jeg, at Domstolen besvarer de af Conseil d’État (øverste domstol i forvaltningsretlige sager, Frankrig) forelagte præjudicielle spørgsmål som følger:
»1) Inden for rammerne af en søgemaskineudbyders ansvar, kompetencer og muligheder finder artikel 8, stk. 1 og 5, i Europa-Parlamentet og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger i princippet anvendelse på en sådan udbyders aktiviteter.
2) Visning af links til en webside med oplysninger om en begået lovovertrædelse og strafforfølgning er omfattet af anvendelsesområdet for artikel 8, stk. 5, i direktiv 95/46.
3) I medfør af artikel 8, stk. 1 og 5, i direktiv 95/46 har en søgemaskineudbyder pligt til konsekvent at efterkomme anmodninger om fjernelse af links til websider, der behandler følsomme oplysninger som omhandlet i denne bestemmelse, med forbehold af de i direktiv 95/46 fastsatte undtagelser, f.eks. de undtagelser, der er omfattet af dette direktivs artikel 8, stk. 2, litra a) og e).
4) Til gengæld udgør det forhold, at oplysningerne på den omhandlede webside er omfattet af artikel 9 i direktiv 95/46, en omstændighed, der kan gøre det muligt at nægte at efterkomme en anmodning om at fjerne links. I en sådan situation bliver søgemaskineudbyderen nødt til at foretage en afvejning mellem på den ene side retten til respekt for privatlivet og retten til beskyttelse af oplysninger i medfør af artikel 7 og 8 i Den Europæiske Unions charter om grundlæggende rettigheder og på den anden side offentlighedens ret til at få adgang til de pågældende oplysninger samt retten til ytringsfrihed for afsenderen af oplysningerne i medfør af chartrets artikel 11.«