SKLEPNI PREDLOGI GENERALNEGA PRAVOBRANILCA
MACIEJA SZPUNARJA,
predstavljeni 10. januarja 2019(1)
Zadeva C‑136/17
G. C.,
A. F.,
B. H.,
E. D.
proti
Commission nationale de l’informatique et des libertés (CNIL),
ob udeležbi
Premier ministre,
Google Inc.
(Predlog za sprejetje predhodne odločbe, ki ga je vložil Conseil d’État (državni svet, Francija))
„Predhodno odločanje – Osebni podatki – Obdelava podatkov – Upravljavec internetnega iskalnika – Zahteva za izbris povezave – Obseg obveznosti – Obdelava osebnih podatkov zgolj v novinarske namene ali zaradi umetniškega ali literarnega izražanja“
I. Uvod
1. V dobi interneta je usklajevanje pravice do zasebnosti in varstva osebnih podatkov s pravico do obveščenosti in svobode izražanja eden od glavnih izzivov našega časa. Zato ni presenetljivo, da je Sodišče v zadnjih letih obravnavalo kar nekaj zadev, v katerih so se postavljala pravna vprašanja, povezana s to problematiko.
2. Ko je o vprašanju odločeno in je zadeva urejena, se pojavijo nova vprašanja. Ta pojav je toliko izrazitejši, ker pravni okvir pogosto ni bil sprejet ob upoštevanju dobe interneta. Postopek v glavni stvari, tako kot zadeva C‑507/17, Google (Ozemeljski obseg izbrisa povezave), v kateri sem sklepne predloge predstavil isti dan kot v tej zadevi, to dobro ponazarja: kako in v kolikšnem obsegu se obveznosti, določene z direktivo o varstvu podatkov iz leta 1995, to je Direktivo 95/46/ES,(2) uporabljajo za iskalnik, kot je Google, podjetje, ustanovljeno leta 1998?
3. Sodišče je v načelni sodbi z dne 13. maja 2014, Google Spain in Google,(3) odločilo, da imajo posamezniki v skladu s členom 12(b) in členom 14, prvi odstavek, točka (a), Direktive 95/46 „pravico do pozabe“,(4) ki lahko povzroči, da mora upravljavec iskalnika izbrisati povezave do informacij, ki se nanašajo nanje.(5) Ta zadeva je nadaljevanje te sodbe. Po tej sodbi so se namreč pojavila številna nova vprašanja, med drugim v zvezi z obdelavo tako imenovanih „občutljivih“ podatkov o rasnem ali etničnem poreklu, političnih mnenjih ter verskih ali filozofskih prepričanjih.
4. Zato se bom pri razlagi pravice, kot obstaja, skliceval tako na veljavno zakonodajo kot na razlago, ki je bila v zvezi z njo podana v sodbi Google Spain in Google.(6)
5. Na kratko, Sodišču predlagam dvoje: na eni strani bi moral upravljavec iskalnika praviloma na zahtevo sistematično izbrisati internetne povezave do občutljivih podatkov, na drugi strani pa je treba spoštovati svobodo izražanja. V zvezi s tem Sodišče pozivam, naj sodbo Google Spain in Google(7) razlaga tako, da ustrezno upošteva svobodo izražanja.
II. Pravni okvir
A. Pravo Unije
1. Direktiva 95/46
6. Člen 1 Direktive 95/46 določa, da je njen namen varstvo temeljnih pravic in svoboščin fizičnih oseb in predvsem njihove pravice do zasebnosti pri obdelavi osebnih podatkov ter odstranjevanje ovir za prosti prenos teh podatkov.
7. Člen 2 Direktive 95/46 določa, da „[v] tej direktivi:
(a) ‚osebni podatek‘ pomeni katero koli informacijo, ki se nanaša na določeno ali določljivo fizično osebo (‚posameznik, na katerega se nanašajo osebni podatki‘); določljiva oseba je tista, ki se lahko neposredno ali posredno identificira, predvsem s sklicevanjem na identifikacijsko številko ali na enega ali več dejavnikov, ki so značilni za njeno fizično, fiziološko, duševno, ekonomsko, kulturno ali socialno identiteto;
(b) ,obdelava osebnih podatkov‘ (,obdelava‘) pomeni kakršen koli postopek ali niz postopkov, ki se izvajajo v zvezi z osebnimi podatki z avtomatskimi sredstvi ali brez njih, kakršno je zbiranje, beleženje, urejanje, shranjevanje, prilagajanje ali predelava, iskanje, posvetovanje, uporaba, posredovanje s prenosom, širjenje ali drugo razpolaganje, prilagajanje ali kombiniranje, blokiranje, izbris ali uničenje;
[…]
(d) ‚upravljavec‘ pomeni fizično ali pravno osebo, javni organ, agencijo ali kateri koli drug organ, ki sam ali skupaj z drugimi določa namene in sredstva obdelave osebnih podatkov; kadar namene in sredstva obdelave določa nacionalna zakonodaja ali zakonodaja Skupnosti, lahko upravljavca ali posebna merila za njegovo imenovanje določi nacionalna zakonodaja ali zakonodaja Skupnosti;
[…]
(h) ,privolitev posameznika, na katerega se nanašajo osebni podatki‘ pomeni vsako prostovoljno dano posebno in informirano izjavo volje, s katero posameznik, na katerega se osebni podatki nanašajo, izrazi soglasje, da se osebni podatki o njem obdelujejo.“
8. Člen 3(1) te direktive, naslovljen „Področje uporabe“, določa:
„Ta direktiva se uporablja za obdelavo osebnih podatkov v celoti ali delno z avtomatskimi sredstvi in za drugačno obdelavo kakor z avtomatskimi sredstvi za osebne podatke, ki sestavljajo del zbirke ali so namenjeni sestavljanju dela zbirke.“
9. Člen 4 navedene direktive, naslovljen „Uporaba nacionalne zakonodaje“, določa:
„1. Vsaka država članica za obdelavo osebnih podatkov uporablja nacionalne predpise, ki jih sprejme v skladu s to direktivo, kadar:
(a) se obdelava izvaja v okviru dejavnosti ustanovitve upravljavca na ozemlju države članice; kadar je isti upravljavec ustanovljen na ozemlju več držav članic, mora sprejeti potrebne ukrepe za zagotovitev, da vsaka od teh ustanovitev izpolnjuje obveznosti, ki jih določa veljavno nacionalno pravo;
[…]“
10. Člen 6 Direktive 95/46 v oddelku I, naslovljenem „Načela v zvezi s kakovostjo podatkov“, poglavja II določa:
„1. Države članice določijo, da morajo biti osebni podatki:
(a) pošteno in zakonito obdelani;
(b) zbrani za določene, izrecne ter zakonite namene in se ne smejo naprej obdelovati na način, ki je nezdružljiv s temi nameni. Nadaljnja obdelava podatkov v zgodovinske, statistične ali znanstvene namene se ne šteje za nezdružljivo, če države članice zagotovijo ustrezne zaščitne ukrepe;
(c) primerni, ustrezni in ne pretirani glede na namene, za katere se zbirajo in/ali naprej obdelujejo;
(d) točni in po potrebi ažurirani; uporabiti je treba vse primerne ukrepe za zagotovitev, da se podatki, ki so netočni ali nepopolni, zbrišejo ali popravijo, ob upoštevanju namenov, za katere so bili zbrani ali za katere se naprej obdelujejo;
(e) shranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se osebni podatki nanašajo, le toliko časa, kolikor je potrebno za namene, za katere so bili podatki zbrani ali za katere se naprej obdelujejo. Države članice določijo ustrezne zaščitne ukrepe za osebne podatke, shranjene za daljša obdobja za zgodovinsko, statistično ali znanstveno uporabo.
2. Upravljavec mora zagotoviti, da se ravna v skladu z odstavkom 1.“
11. Člen 7 Direktive 95/46 v oddelku II, naslovljenem „Merila za zakonitost obdelave podatkov“, poglavja II določa:
„Države članice določijo, da se lahko osebni podatki obdelujejo samo, če:
[…]
(f) je obdelava potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja stranka ali stranke, ki so jim osebni podatki posredovani, razen kadar nad takimi interesi prevladajo temeljne pravice in svoboščine posameznika, na katerega se osebni podatki nanašajo, ki se varujejo na podlagi člena 1(1).“
12. Člena 8 in 9 Direktive 95/46 sta del oddelka III, naslovljenega „Posebne vrste obdelave“, poglavja II. Člen 8 te direktive, naslovljen „Obdelava posebnih vrst podatkov“, določa:
„1. Države članice prepovejo obdelavo osebnih podatkov, ki kažejo na rasni ali etnični izvor, politična mnenja, verska ali filozofska prepričanja, pripadnost sindikatu, in obdelavo podatkov v zvezi z zdravjem ali spolnim življenjem.
2. Odstavek 1 se ne uporablja, kadar:
(a) je posameznik, na katerega se osebni podatki nanašajo, dal svojo izrecno privolitev k obdelavi teh podatkov, razen kadar zakonodaja države članice določi, da se od prepovedi iz odstavka 1 ne sme odstopiti s tem, da posameznik, na katerega se osebni podatki nanašajo, da svojo privolitev;
ali
(b) je obdelava potrebna zaradi izpolnjevanja obveznosti in posebnih pravic upravljavca na področju prava zaposlovanja [delovnega prava], če jo dovoljuje nacionalna zakonodaja, ki zagotovi ustrezne zaščitne ukrepe;
ali
(c) je obdelava potrebna za varstvo življenjskih interesov posameznika, na katerega se osebni podatki nanašajo, ali druge osebe, kadar posameznik, na katerega se osebni podatki nanašajo, fizično ali pravno ni sposoben dati svoje privolitve;
ali
(d) obdelavo pri svojih zakonitih dejavnostih z ustreznimi garancijami izvaja ustanova, združenje ali kateri drug neprofitni organ s političnim, filozofskim, verskim ali sindikalnim ciljem in pod pogojem, da se obdelava nanaša samo na člane organa ali na osebe, ki so v rednem stiku z njim v zvezi z njegovimi nameni, in da se podatki ne posredujejo tretji stranki brez privolitve posameznikov, na katere se nanašajo;
ali
(e) se obdelava nanaša na podatke, ki jih posameznik, na katerega se nanašajo, javno objavi ali je potrebna za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.
[…]
4. Ob upoštevanju ustreznih zaščitnih ukrepov lahko države članice zaradi javnega interesa bistvenega pomena določijo dodatne izjeme poleg tistih iz odstavka 2, bodisi z nacionalno zakonodajo ali odločitvijo nadzornega organa.
5. Obdelava podatkov v zvezi s prekrški, kazenskimi obsodbami ali varnostnimi ukrepi se lahko izvaja samo pod nadzorom uradnega organa ali pa če nacionalna zakonodaja določi ustrezne posebne zaščitne ukrepe ob upoštevanju odstopanj, ki jih lahko zagotovi država članica na podlagi nacionalnih predpisov, ki določajo ustrezne posebne zaščitne ukrepe. Vendar pa se popoln register kazenskih obsodb lahko vodi samo pod nadzorom uradnega organa.
Države članice lahko določijo, da se podatki v zvezi z upravnimi kaznimi ali sodbami v civilnih zadevah lahko tudi obdelujejo pod nadzorom uradnega organa.
6. Komisija je uradno obveščena o odstopanjih od odstavka 1, ki jih opredeljujeta odstavka 4 in 5.
[…]“
13. Člen 9 Direktive 95/46, naslovljen „Obdelava osebnih podatkov in svoboda izražanja“, določa:
„Države članice določijo izjeme ali odstopanja od določb tega poglavja, poglavja IV in poglavja VI za obdelavo osebnih podatkov, ki se izvaja zgolj v novinarske namene ali zaradi umetniškega ali literarnega izražanja samo, če so potrebna za uskladitev pravice do zasebnosti s predpisi, ki urejajo svobodo izražanja.“
14. Člen 12 navedene direktive, naslovljen „Pravica do dostopa“, določa:
„Države članice jamčijo vsakemu posamezniku, na katerega se osebni podatki nanašajo, pravico, da pridobi od upravljavca:
[…]
(b) po potrebi popravke, izbris ali blokiranje podatkov, katerih obdelava ni v skladu z določbami te direktive, predvsem zaradi nepopolnih ali netočnih podatkov;
[…]“
15. Člen 14 navedene direktive, naslovljen „Pravica posameznika, na katerega se nanašajo osebni podatki, do ugovora“, določa:
„Države članice priznavajo posamezniku, na katerega se osebni podatki nanašajo, pravico:
(a) da vsaj v primerih iz člena 7(e) in (f) na podlagi zakonitih in nujnih razlogov, povezanih z njegovim posebnim položajem kadar koli ugovarja obdelavi podatkov, ki se nanašajo nanj, razen kjer nacionalna zakonodaja določa drugače. Kadar obstaja utemeljen ugovor, obdelava, ki jo uvede upravljavec, ne sme več vključevati teh podatkov;
[…]“
16. Člen 28 Direktive 95/46, naslovljen „Nadzorni organ“, določa:
„1. Vsaka država članica določi, da je eden ali več javnih organov na njenem ozemlju odgovornih za spremljanje uporabe predpisov, ki so jih sprejele države članice v skladu s to direktivo.
[…]
3. Vsakemu organu se podeli predvsem:
– preiskovalna pooblastila, kakršna so pooblastila za dostop do podatkov, ki sestavljajo vsebino postopkov obdelave, in pooblastila za zbiranje vseh informacij, ki so potrebne za izvajanje njegovih nadzornih nalog,
– učinkovita pooblastila za posredovanje, kakšna so npr. […] odrejanje blokiranja, izbrisa ali uničenja podatkov, naložitev začasne ali dokončne prepovedi obdelave […],
[…]
Zoper odločitve nadzornega organa je zagotovljeno sodno pravno sredstvo.
4. Vsak nadzorni organ obravnava zahtevke, ki jih je vložila katera koli oseba ali združenje, ki predstavlja to osebo, v zvezi z varstvom svojih pravic in svoboščin glede obdelave osebnih podatkov. Zadevna oseba je obveščena o odločitvah o zahtevkih.
[…]
6. Vsak nadzorni organ je pristojen, da na ozemlju lastne države članice izvaja pooblastila, ki so mu bila podeljena v skladu z odstavkom 3, ne glede na to, kateri nacionalni zakon se uporablja za zadevno obdelavo. Od vsakega nadzornega organa je mogoče zahtevati, da izvaja svoja pooblastila na prošnjo nadzornega organa druge države članice.
Nadzorni organi sodelujejo drug z drugim v obsegu, ki je potreben za izvedbo njihovih dolžnosti, predvsem z izmenjavo vseh koristnih informacij.
[…]“
2. Uredba 2016/679
17. Uredba 2016/679 se v skladu s členom 99(2) uporablja od 25. maja 2018. Člen 94(1) te uredbe določa, da se Direktiva 95/46 razveljavi z učinkom od istega dne.
18. Člen 9 te uredbe, naslovljen „Obdelava posebnih vrst osebnih podatkov“, določa:
„1. Prepovedani sta obdelava osebnih podatkov, ki razkrivajo rasno ali etnično poreklo, politično mnenje, versko ali filozofsko prepričanje ali članstvo v sindikatu, in obdelava genskih podatkov, biometričnih podatkov za namene edinstvene identifikacije posameznika, podatkov v zvezi z zdravjem ali podatkov v zvezi s posameznikovim spolnim življenjem ali spolno usmerjenostjo.
2. Odstavek 1 se ne uporablja, če velja eno od naslednjega:
(a) posameznik, na katerega se nanašajo osebni podatki, je dal izrecno privolitev v obdelavo navedenih osebnih podatkov za enega ali več določenih namenov, razen kadar pravo Unije ali pravo države članice določa, da posameznik, na katerega se nanašajo osebni podatki, ne sme odstopiti od prepovedi iz odstavka 1;
[…]
(e) obdelava je povezana z osebnimi podatki, ki jih posameznik, na katerega se nanašajo osebni podatki, sam objavi;
[…]
(g) obdelava je potrebna iz razlogov bistvenega javnega interesa na podlagi prava Unije ali prava države članice, ki je sorazmerno z zastavljenim ciljem, spoštuje bistvo pravice do varstva podatkov ter zagotavlja ustrezne in posebne ukrepe za zaščito temeljnih pravic in interesov posameznika, na katerega se nanašajo osebni podatki;
[…]“
19. Člen 10 navedene uredbe, naslovljen „Obdelava osebnih podatkov v zvezi s kazenskimi obsodbami in prekrški“, določa:
„Obdelava osebnih podatkov v zvezi s kazenskimi obsodbami in prekrški ali s tem povezanimi varnostnimi ukrepi na podlagi člena 6(1) se izvaja le pod nadzorom uradnega organa ali če obdelavo dovoljuje pravo Unije ali pravo države članice, ki zagotavlja ustrezne zaščitne ukrepe za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki. Kakršni koli celoviti registri kazenskih obsodb se vodijo samo pod nadzorom uradnega organa.“
20. Člen 17 te uredbe, naslovljen „Pravica do izbrisa (,pravica do pozabe‘)“, določa:
„1. Posameznik, na katerega se nanašajo osebni podatki, ima pravico doseči, da upravljavec brez nepotrebnega odlašanja izbriše osebne podatke v zvezi z njim, upravljavec pa ima obveznost osebne podatke brez nepotrebnega odlašanja izbrisati, kadar velja eden od naslednjih razlogov:
(a) osebni podatki niso več potrebni v namene, za katere so bili zbrani ali kako drugače obdelani;
(b) posameznik, na katerega se nanašajo osebni podatki, prekliče privolitev, na podlagi katere poteka obdelava v skladu s točko (a) člena 6(1) ali točko (a) člena 9(2), in kadar za obdelavo ne obstaja nobena druga pravna podlaga;
(c) posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(1), za njihovo obdelavo pa ne obstajajo nobeni prevladujoči zakoniti razlogi, ali pa posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(2);
(d) osebni podatki so bili obdelani nezakonito;
(e) osebne podatke je treba izbrisati za izpolnitev pravne obveznosti v skladu s pravom Unije ali pravom države članice, ki velja za upravljavca;
(f) osebni podatki so bili zbrani v zvezi s ponudbo storitev informacijske družbe iz člena 8(1).
2. Kadar upravljavec objavi osebne podatke in je v skladu z odstavkom 1 osebne podatke obvezan izbrisati, ob upoštevanju razpoložljive tehnologije in stroškov izvajanja sprejme razumne ukrepe, vključno s tehničnimi, da upravljavce, ki obdelujejo osebne podatke, obvesti, da posameznik, na katerega se nanašajo osebni podatki, od njih zahteva, naj izbrišejo morebitne povezave do teh osebnih podatkov ali njihove kopije.
3. Odstavka 1 in 2 se ne uporabljata, če je obdelava potrebna:
(a) za uresničevanje pravice do svobode izražanja in obveščanja;
(b) za izpolnjevanje pravne obveznosti obdelave na podlagi prava Unije ali prava države članice, ki velja za upravljavca, ali za izvajanje naloge v javnem interesu ali pri izvajanju javne oblasti, ki je bila dodeljena upravljavcu;
(c) iz razlogov javnega interesa na področju javnega zdravja v skladu s točkama (h) in (i) člena 9(2) ter členom 9(3);
(d) za namene arhiviranja v javnem interesu, za znanstveno ‑ ali zgodovinsko‑raziskovalne namene ali statistične namene v skladu s členom 89(1), kolikor bi pravica iz odstavka 1 lahko onemogočila ali resno ovirala uresničevanje namenov te obdelave, ali
(e) za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.“
21. Člen 18 Uredbe 2016/679, naslovljen „Pravica do omejitve obdelave“, določa:
„1. Posameznik, na katerega se nanašajo osebni podatki, ima pravico doseči, da upravljavec omeji obdelavo, kadar velja en od naslednjih primerov:
(a) posameznik, na katerega se nanašajo osebni podatki, oporeka točnosti podatkov, in sicer za obdobje, ki upravljavcu omogoča preveriti točnost osebnih podatkov;
(b) je obdelava nezakonita in posameznik, na katerega se nanašajo osebni podatki, nasprotuje izbrisu osebnih podatkov ter namesto tega zahteva omejitev njihove uporabe;
[…]
(d) je posameznik, na katerega se nanašajo osebni podatki, vložil ugovor v zvezi z obdelavo v skladu s členom 21(1), dokler se ne preveri, ali zakoniti razlogi upravljavca prevladajo nad razlogi posameznika, na katerega se nanašajo osebni podatki.
2. Kadar je bila obdelava osebnih podatkov omejena v skladu z odstavkom 1, se taki osebni podatki z izjemo njihovega shranjevanja obdelujejo le s privolitvijo posameznika, na katerega se ti nanašajo, ali za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov, ali zaradi varstva pravic druge fizične ali pravne osebe, ali zaradi pomembnega javnega interesa Unije ali države članice.
3. Upravljavec pred preklicem omejitve obdelave o tem obvesti posameznika, na katerega se nanašajo osebni podatki in ki je dosegel omejitev obdelave v skladu z odstavkom 1.“
22. Člen 21(1) te uredbe, naslovljen „Pravica do ugovora“, določa:
„Posameznik, na katerega se nanašajo osebni podatki, ima na podlagi razlogov, povezanih z njegovim posebnim položajem, pravico, da kadar koli ugovarja obdelavi osebnih podatkov v zvezi z njim, ki temelji na točki (e) ali (f) člena 6(1), vključno z oblikovanjem profilov na podlagi teh določb. Upravljavec preneha obdelovati osebne podatke, razen če dokaže nujne legitimne razloge za obdelavo, ki prevladajo nad interesi, pravicami in svoboščinami posameznika, na katerega se nanašajo osebni podatki, ali za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.“
23. Člen 85 navedene uredbe, naslovljen „Obdelava ter svoboda izražanja in obveščanja“, določa:
„1. Države članice z zakonom usklajujejo pravico do varstva osebnih podatkov na podlagi te uredbe s pravico do svobode izražanja in obveščanja, vključno z obdelavo v novinarske namene ali zaradi akademskega, umetniškega ali književnega izražanja.
2. Za obdelavo v novinarske namene ali zaradi akademskega, umetniškega ali književnega izražanja države članice določijo izjeme ali odstopanja od poglavja II (načela), poglavja III (pravice posameznika, na katerega se nanašajo osebni podatki), poglavja IV (upravljavec in obdelovalec), poglavja V (prenos osebnih podatkov v tretje države ali mednarodne organizacije), poglavja VI (neodvisni nadzorni organi), poglavja VII (sodelovanje in skladnost) in poglavja IX (posebni primeri obdelave podatkov), če so potrebni za uskladitev pravice do varstva osebnih podatkov s svobodo izražanja in obveščanja.
3. Vsaka država članica Komisijo uradno obvesti o določbah zakonov, ki jih sprejme v skladu z odstavkom 2, brez odlašanja pa tudi o vsakršni naknadni spremembi teh predpisov ali spremembah, ki nanje vplivajo.“
B. Francosko pravo
24. Direktiva 95/46 je bila v francosko pravo prenesena z zakonom št. 78/17 z dne 6. januarja 1978 o informatiki, evidencah in svoboščinah.
III. Dejansko stanje in postopek v glavni stvari
25. G. C., A. F., B. H. in E. D. so od družbe Google Inc. zahtevali, naj različne povezave na spletne strani, ki so jih objavile tretje osebe, izbriše s seznama zadetkov, ki se v iskalniku, ki ga upravlja ta družba, prikažejo po iskanju na podlagi njihovega imena, kar je navedena družba zavrnila.
26. Natančneje, G. C. je zahtevala izbris povezave, ki napotuje na satirično fotomontažo, ki je bila 18. februarja 2011 pod psevdonimom objavljena na YouTubu in v kateri je tožeča stranka prikazana ob županu občine, čigar vodja kabineta je bila, z izrecnim namigovanjem na intimni odnos, ki naj bi ju povezoval, in na posledice tega odnosa za njeno politično pot. Ta fotomontaža je bila objavljena na spletu med kampanjo za kantonske volitve, na katerih je bila G. C. takrat kandidatka. Ko je bila njena zahteva za izbris povezave zavrnjena, zadevna oseba ni bila niti izvoljena na lokalno voljeno funkcijo niti kandidatka zanjo, poleg tega ni več opravljala nalog vodje kabineta župana občine.
27. A. F. je zahteval izbris povezav na članek v dnevniku Libération z dne 9. septembra 2008, ki je bil povzet na spletišču Centre contre les manipulations mentales (center za preprečevanje duševnih manipulacij, CCMM) in se je nanašal na samomor privrženca Scientološke cerkve decembra 2006. A. F. je v tem članku omenjen kot predstavnik za odnose z javnostmi Scientološke cerkve, to funkcijo pa je medtem prenehal opravljati. Poleg tega pisec spornega članka navaja, da je vzpostavil stik z A. F., da bi dobil njegovo različico dogodkov, in navaja izjave, ki jih je dobil ob tej priložnosti.
28. B. H. je zahteval izbris povezav na članke, predvsem v tiskanih medijih, ki se nanašajo na sodno preiskavo iz junija 1995 o financiranju Parti républicain (republikanska stranka, PR), v okviru katere je bil obdolžen skupaj z več poslovneži in politiki. Postopek v zvezi z njim je bil končan s sklepom o ustavitvi postopka z dne 26. februarja 2010. Večina spornih povezav vodi na članke, ki so bili izdani ob začetku preiskave, zato v njih ni omenjen izid postopka.
29. E. D. je zahteval izbris povezav na članka, ki sta bila objavljena v Nice Matin in Le Figaro ter vsebujeta poročilo z obravnave v kazenskem postopku, na kateri je bil obsojen na sedemletno zaporno kazen in dodatno desetletno kazen varstvenega nadzorstva zaradi spolnih napadov na mladoletne osebe, mlajše od 15 let. V enem od člankov iz črne kronike je poleg tega omenjenih več intimnih podrobnosti o E. D., ki so bile razkrite med postopkom.
30. Ker je družba Google Inc. zahteve tožečih strank zavrnila, so te pri Commission nationale de l’informatique et des libertés (nacionalna komisija za informatiko in svoboščine, CNIL) vložile pritožbe, s katerimi so predlagale, naj se tej družbi naloži izbris zadevnih povezav. Predsednica CNIL je z dopisi z dne 24. aprila 2015, 28. avgusta 2015, 21. marca 2016 in 9. maja 2016 tožeče stranke obvestila, da so postopki na podlagi njihovih pritožb končani.
31. Tožeče stranke so nato vložile tožbe proti tem zavrnitvam CNIL, da družbo Google Inc. opomni, naj izbriše zadevne povezave. Predložitveno sodišče je tožbe združilo.
IV. Vprašanja za predhodno odločanje in postopek pred Sodiščem
32. Ker je Conseil d’État (državni svet, Francija) v odločbi z dne 24. februarja 2017, ki je na Sodišče prispela 15. marca 2017, ugotovil, da navedene tožbe pomenijo več resnih težav pri razlagi Direktive 95/46, je prekinil odločanje in Sodišču v predhodno odločanje predložil ta vprašanja:
„1. Ali glede na posebne odgovornosti, pristojnosti in zmožnosti upravljavca iskalnika prepoved drugim upravljavcem podatkov, da obdelujejo podatke iz odstavkov 1 in 5 člena 8 Direktive [95/46] – ob upoštevanju izjem, določenih v tem besedilu – velja tudi za tega upravljavca iskalnika kot upravljavca obdelave podatkov, ki jo zajema ta iskalnik?
2. Če je odgovor na prvo vprašanje pritrdilen:
– Ali je treba določbe člena 8(1) in (5) Direktive [95/46] razlagati tako, da ob upoštevanju izjem, določenih v tej direktivi, taka prepoved upravljavcu iskalnika, da obdeluje podatke, za katere se uporabljajo te določbe, nalaga obveznost, da sistematično ugodi zahtevam za odstranitev povezav na spletne strani, na katerih so obdelani taki podatki?
– Kako je treba s tega vidika razlagati izjeme iz člena 8(2)(a) in (e) Direktive [95/46], kadar se uporabljajo za upravljavca iskalnika, glede na njegove posebne odgovornosti, pristojnosti in zmožnosti? Natančneje, ali lahko tak upravljavec iskalnika zavrne zahtevo za odstranitev povezav, kadar ugotovi, da zadevne povezave vodijo na vsebine, ki – če vsebujejo podatke, ki spadajo v vrste, naštete v členu 8(1) – spadajo tudi na področje uporabe izjem iz odstavka 2 tega člena, zlasti iz točk (a) in (e)?
– Ali je treba poleg tega določbe Direktive [95/46] razlagati tako, da kadar povezave, katerih odstranitev se zahteva, vodijo do obdelave osebnih podatkov, ki se izvedejo zgolj v novinarske namene ali zaradi umetniškega ali literarnega izražanja, za katere se na tej podlagi v skladu s členom 9 Direktive [95/46] lahko zbirajo in obdelujejo podatki, ki spadajo v vrste, navedene v odstavkih 1 in 5 člena 8 te direktive, upravljavec iskalnika lahko iz tega razloga zavrne zahtevo za odstranitev povezav?
3. Če je odgovor na prvo vprašanje nikalen:
– Katere posebne zahteve iz Direktive [95/46] mora izpolnjevati upravljavec iskalnika glede na njegove odgovornosti, pristojnosti in zmožnosti?
– Ali je treba določbe Direktive [95/46], kadar upravljavec iskalnika ugotovi, da spletne strani, na katere vodijo povezave, katerih odstranitev se zahteva, vsebujejo podatke, katerih objava na teh straneh ni zakonita, razlagati tako, da:
– upravljavcu iskalnika nalagajo, da te povezave odstrani s seznama zadetkov, prikazanih po iskanju, opravljenem na podlagi imena prosilca, ali
– nalagajo le, da to okoliščino upošteva pri presoji utemeljenosti zahteve za odstranitev povezav, ali
– ta okoliščina ne vpliva na presojo, ki jo mora opraviti?
Poleg tega, če ta okoliščina ni brezpredmetna, kako je treba presojati zakonitost objave spornih podatkov na spletnih straneh, ki so predmet obdelave, ki ne spada na ozemeljsko področje uporabe Direktive [95/46] in posledično nacionalne zakonodaje, s katero se ta direktiva izvaja?
4. Ne glede na odgovor na prvo vprašanje:
– Ali je treba določbe Direktive [95/46] neodvisno od zakonitosti objave osebnih podatkov na spletni strani, na katero vodi sporna povezava, razlagati tako, da:
– mora upravljavec iskalnika, kadar prosilec dokaže, da so ti podatki postali nepopolni ali netočni ali da niso več posodobljeni, ugoditi zahtevi za odstranitev ustreznih povezav;
– natančneje, mora upravljavec iskalnika, kadar prosilec dokaže, da ob upoštevanju poteka sodnega postopka informacije v zvezi s prejšnjo fazo tega postopka ne ustrezajo več dejanski resničnosti njegovega položaja, odstraniti povezave na spletne strani, ki vsebujejo take informacije?
– Ali je treba določbe člena 8(5) Direktive [95/46] razlagati tako, da informacije v zvezi z obdolžitvijo posameznika ali sodnim postopkom in kazensko obsodbo, ki sledi temu postopku, pomenijo podatke v zvezi s prekrški in kazenskimi obsodbami? Na splošno, ali spletna stran, kadar vsebuje podatke, v katerih so navedene kazenske obsodbe ali sodni postopki v zvezi s fizično osebo, spada na področje uporabe teh določb?“
33. Pisna stališča so predložili A. F., B. H., družba Google, francoska, irska, grška, italijanska, avstrijska in poljska vlada, vlada Združenega kraljestva ter Evropska komisija.
34. B. H., družba Google, francoska, irska, grška, avstrijska in poljska vlada ter Komisija so svoja stališča predstavili na obravnavi 11. septembra 2018.
V. Analiza
A. Uvodne ugotovitve
1. Upoštevni pravni akt: Direktiva 95/46
35. Vprašanja, ki jih je postavilo predložitveno sodišče, se ne nanašajo na razlago določb Uredbe 2016/679, temveč na razlago določb Direktive 95/46. Vendar je bila navedena direktiva razveljavljena s to uredbo, ki se uporablja od 25. maja 2018,(8) z učinkom od istega datuma.(9)
36. Ker se v francoskem upravnem postopkovnem pravu za spor uporablja zakon, ki velja na datum sprejetja izpodbijane odločbe, ni dvoma, da se za spor o glavni stvari uporablja Direktiva 95/46. Zato mora Sodišče razlagati določbe te direktive.
2. Ozadje: sodba Google Spain in Google
37. Vprašanja predložitvenega sodišča v tej zadevi temeljijo na načelni sodbi Google Spain in Google,(10) v kateri je Sodišče med drugim – in kar je pomembno v tej zadevi – odločilo, da:
– se dejavnost iskalnika šteje za „obdelavo osebnih podatkov“ v smislu člena 2(b) Direktive 95/46, če te informacije vsebujejo osebne podatke, in se družba, ki upravlja iskalnik, šteje za „upravljavca“ navedene obdelave v smislu člena 2(d) te direktive;(11)
– mora upravljavec iskalnika zaradi spoštovanja pravic iz člena 12(b) in člena 14, prvi odstavek, točka (a), Direktive 95/46 in če so pogoji iz teh določb dejansko izpolnjeni, s seznama zadetkov, ki se prikaže po iskanju, opravljenem na podlagi imena osebe, odstraniti povezave na spletne strani, ki jih objavijo tretje osebe in ki vsebujejo podatke, ki se nanašajo na to osebo, tudi če to ime ali te informacije niso predhodno ali sočasno izbrisane s teh spletnih strani in tudi če je – če gre za tak primer – njihova objava na navedenih straneh sama po sebi zakonita;(12)
– je treba v okviru presoje pogojev za uporabo člena 12(b) in člena 14, prvi odstavek, točka (a), Direktive 95/46 med drugim ugotoviti, ali ima zadevna oseba pravico, da zadevna informacija, ki se nanaša nanjo, zdaj ni več povezana z njenim imenom prek seznama zadetkov, ki se prikaže po iskanju, opravljenem na podlagi njenega imena, pri čemer ugotovitev obstoja take pravice ni odvisna od tega, da vključitev zadevne informacije na seznam zadetkov tej osebi povzroča škodo;(13) in
– ker lahko navedena oseba v skladu s temeljnimi pravicami, ki jih ima na podlagi členov 7 in 8 Listine Evropske unije o temeljnih pravicah (v nadaljevanju: Listina), zahteva, da zadevna informacija ni več na voljo splošni javnosti prek vključitve na tak seznam zadetkov, imajo te pravice načeloma prednost ne le nad gospodarskim interesom upravljavca iskalnika, ampak tudi nad interesom te javnosti, da do navedene informacije dostopi z iskanjem na podlagi imena te osebe. Vendar ne bi bilo tako, če bi se izkazalo, da je zaradi posebnih razlogov, kot je vloga navedene osebe v javnem življenju, poseg v njene temeljne pravice upravičen zaradi prevladujočega interesa navedene javnosti, da ima prek te vključitve dostop do zadevne informacije.(14)
38. Dejansko stanje v zadevi, v kateri je bila izdana sodba Google Spain in Google,(15) se je nanašalo na podatke, ki so resda osebni, vendar niso „občutljivi“ v smislu člena 8 Direktive 95/46. To me vodi k prvemu vprašanju.
B. Prvo vprašanje za predhodno odločanje
39. Predložitveno sodišče s prvim vprašanjem sprašuje, ali glede na posebne odgovornosti, pristojnosti in zmožnosti upravljavca iskalnika prepoved drugim upravljavcem podatkov, da obdelujejo podatke iz člena 8(1) in (5) Direktive 95/46, velja tudi za takega upravljavca iskalnika.
40. V skladu s členom 8(1) Direktive 95/46 države članice prepovejo obdelavo osebnih podatkov, ki kažejo na rasni ali etnični izvor, politična mnenja, verska ali filozofska prepričanja, pripadnost sindikatu, in obdelavo podatkov v zvezi z zdravjem ali spolnim življenjem.
41. Člen 8(5) te direktive določa, da se lahko obdelava podatkov v zvezi s prekrški, kazenskimi obsodbami ali varnostnimi ukrepi izvaja samo pod nadzorom uradnega organa ali pa če nacionalna zakonodaja določi ustrezne posebne zaščitne ukrepe ob upoštevanju odstopanj, ki jih lahko zagotovi država članica na podlagi nacionalnih predpisov, ki določajo ustrezne posebne zaščitne ukrepe. Vendar pa se popoln register kazenskih obsodb lahko vodi samo pod nadzorom uradnega organa. Države članice lahko določijo, da se podatki v zvezi z upravnimi kaznimi ali sodbami v civilnih zadevah lahko tudi obdelujejo pod nadzorom uradnega organa.
42. Ugotoviti je treba, da člen 8 Direktive 95/46 ni bil predmet zadeve, v kateri je bila izdana sodba Google Spain in Google.(16) Že na podlagi te ugotovitve predpostavljam, da v nasprotju s tem, kar družba Google navaja v svojem stališču, odgovor na prvo vprašanje za predhodno odločanje ne more izhajati iz te sodbe. Dejstvo, da se ta zadeva ni nanašala na občutljive podatke iz člena 8(1) Direktive 95/46, ne pomeni, da se ta določba ne uporablja za iskalnik.
43. Generalni pravobranilec N. Jääskinen je v sklepnih predlogih v zadevi Google Spain in Google svojo tezo (ki je Sodišče ni upoštevalo), v skladu s katero ponudnik storitev internetnega iskalnika ni „upravljavec“ osebnih podatkov na izvornih spletnih straneh tretjih oseb, med drugim obrazložil tako: „Nasprotno stališče bi pomenilo, da internetni iskalniki niso združljivi s pravom EU, tak sklep pa bi se mi zdel nesmiseln. Natančneje, če bi se ponudniki storitve internetnega iskalnika šteli za upravljavce osebnih podatkov na izvornih spletnih straneh tretjih oseb in če bi katere od teh strani vsebovale ‚posebne vrste podatkov‘, navedene v členu 8 Direktive [95/46] (na primer osebne podatke, ki razkrivajo politična stališča ali verska prepričanja, ali podatke v zvezi z zdravjem ali spolnim življenjem posameznikov), bi dejavnost ponudnika storitve internetnega iskalnika samodejno postala nezakonita, če ne bi bili izpolnjeni strogi pogoji iz navedenega člena o obdelavi takih podatkov.“(17)
44. V tem odlomku sta zelo dobro izpostavljena problematika in bistvo te zadeve. Ker Direktiva 95/46, ki je bila sprejeta leta 1995 in s katero so bile obveznosti načeloma naložene državam članicam, ni bila napisana ob upoštevanju iskalnikov, kot obstajajo danes, njenih določb ni mogoče intuitivno in povsem dobesedno uporabljati za take iskalnike. Prav zato so predložitvena sodišča – kot v tej zadevi – dvomila o zadevi, v kateri je bila izdana sodba Google Spain in Google,(18) in so Sodišču postavljala vprašanja.
45. Zato pri uporabi določb Direktive 95/46 za iskalnike ni mogoče sprejeti pristopa „vse ali nič“. Po mojem mnenju je treba vsako določbo preučiti z vidika možnosti, da se uporabi za iskalnik.
46. Če bi se člen 8(1) Direktive 95/46 dobesedno uporabil za iskalnik, bi to povzročilo prepoved vsakršne obdelave podatkov, ki so našteti v tej določbi, ob upoštevanju izjem iz člena 8(2) te direktive.
47. V zvezi s tem ugotavljam, da nobena od strank, ki so predložile stališča, ne zagovarja tako stroge razlage, in to upravičeno.
48. Ob dobesedni uporabi člena 8(1) Direktive 95/46 bi moral iskalnik preverjati, ali seznam zadetkov, ki se prikaže po iskanju, opravljenem na podlagi imena fizične osebe, ne vsebuje povezave na internetne strani, ki vsebujejo podatke iz te določbe, in to ex ante in po uradni dolžnosti, se pravi tudi če posameznik, na katerega se nanašajo osebni podatki, ne zahteva izbrisa povezave.
49. Po mojem mnenju nadzor ex ante in po uradni dolžnosti ni niti možen niti zaželen.
50. Sodišče je v sodbi Google Spain in Google(19) ugotovilo, da „[v] delu, v katerem lahko dejavnost spletnega iskalnika pomembno in dodatno – poleg dejavnosti izdajateljev spletnih mest – vpliva na temeljni pravici do zasebnosti in varstva osebnih podatkov, mora družba, ki upravlja iskalnik, kot oseba, ki določa namene in sredstva te dejavnosti, v okviru svojih odgovornosti, pristojnosti in zmožnosti zagotoviti, da ta dejavnost izpolnjuje zahteve Direktive 95/46, tako da ima lahko varstvo, ki ga ta direktiva zagotavlja, polni učinek in da se lahko zadevnim osebam dejansko zagotovi učinkovito in popolno varstvo med drugim pravice do spoštovanja zasebnosti“.(20)
51. Iz tega odlomka je mogoče izpeljati dva sklepa. Najprej, kot trdi Komisija v svojem stališču, Direktiva 95/46 izhaja iz načela, da mora vsak upravljavec podatkov izpolnjevati vse zahteve iz te direktive, vključno z zahtevami iz njenega člena 8.
52. Dalje, in tudi če je ta odlomek oblikovan kot obveznost za upravljavca iskalnika,(21) tak upravljavec lahko deluje samo v okviru svojih odgovornosti, pristojnosti in zmožnosti. Drugače povedano, tak upravljavec morda ne more zagotoviti polnega učinka določb Direktive 95/46 prav zaradi svojih omejenih odgovornosti, pristojnosti in zmožnosti.
53. Člen 8 Direktive 95/46 je torej treba razlagati ob upoštevanju odgovornosti, pristojnosti in zmožnosti upravljavca iskalnika.
54. V zvezi s tem je treba izključiti uporabo ex ante člena 8(1) Direktive 95/46 za upravljavca iskalnika. Nadzor ex ante internetnih strani, na katere obstajajo povezave kot zadetek iskanja, ne spada med odgovornosti in zmožnosti(22) iskalnika. Naloga upravljavca iskalnika je, kot opozarja njegov naziv, iskati, najti, odkriti in dajati na voljo, in to z algoritmom, s katerim je mogoče najbolj učinkovito najti informacije. Nasprotno pa ni naloga upravljavca iskalnika, da nadzira ali celo cenzurira. Upravljavec iskalnika deluje za namene iskanja in se odziva za namene izbrisa zadetka iskanja. Tako vsekakor razumem sodbo Google Spain in Google.(23)
55. V istem smislu in kot poudarja tudi Komisija, se prepovedi in omejitve, določene v členu 8(1) Direktive 95/46, ne morejo uporabljati za upravljavca iskalnika, kot da je sam objavil občutljive podatke na internetnih straneh, na katere obstajajo povezave. Logično je, da dejavnost iskalnika šele sledi objavi (občutljivih) podatkov in da je sekundarna.
56. Posledično se prepovedi in omejitve iz člena 8(1) Direktive 95/46 lahko uporabljajo za iskalnik samo zaradi te uvrstitve na seznam zadetkov in torej prek preverjanja ex post na podlagi zahteve za izbris povezave, ki jo vloži posameznik, na katerega se nanašajo osebni podatki.
57. Zato predlagam, naj se na prvo vprašanje za predhodno odločanje odgovori, da se – v okviru odgovornosti, pristojnosti in zmožnosti upravljavca iskalnika – člen 8(1) in (5) Direktive 95/46 načeloma uporablja za dejavnosti takega upravljavca iskalnika.
58. Podrobna pravila take uporabe so predmet drugega vprašanja za predhodno odločanje.
C. Drugo vprašanje za predhodno odločanje
59. Drugo vprašanje, ki se postavlja, če bi Sodišče ugotovilo, da se člen 8(1) in (5) Direktive 95/46 uporablja za obdelavo, ki jo izvaja upravljavec iskalnika, je sestavljeno iz treh delov.
60. Predložitveno sodišče namreč v bistvu želi:
– izvedeti, ali ob upoštevanju izjem, določenih v Direktivi 95/46, prepoved upravljavcu iskalnika, da obdeluje podatke, za katere se uporablja člen 8(1) in (5) te direktive, nalaga obveznost, da sistematično ugodi zahtevam za izbris povezav na spletne strani, na katerih so taki podatki;
– izvedeti, kako se posebne izjeme, določene v členu 8(2)(a) in (e) Direktive 95/46, uporabljajo za obdelavo, ki jo izvaja upravljavec iskalnika, in zlasti ali lahko ta zavrne zahtevo za izbris povezav na podlagi teh izjem, ter
– dobiti pojasnila o izjemah, ki so v členu 9 Direktive 95/46 določene za obdelavo, ki se izvaja zgolj v novinarske namene ali zaradi umetniškega ali literarnega izražanja, in to samo če so te izjeme potrebne za uskladitev pravice do zasebnosti s predpisi, ki urejajo svobodo izražanja. V zvezi s tem predložitveno sodišče sprašuje, ali upravljavec iskalnika lahko zavrne zahtevo za izbris povezave, če ugotovi, da so podatki na strani, na katero vodi zadevna povezava, objavljeni zakonito, ker je obdelava, ki jo v zvezi s tem izvaja izdajatelj spletne strani, zajeta s to izjemo.
61. Ta podvprašanja bom obravnaval v vrstnem redu, v katerem so postavljena.
1. Sistematični izbris povezav
62. Izhaja se iz tega, da je zavrnitev upravljavca iskalnika, da izbriše povezavo na internetno stran, če ni utemeljena v smislu členov 8 in 9 Direktive 95/46, v nasprotju s členom 8(1) ali (5) te direktive.
63. Družba Google, irska in avstrijska vlada ter vlada Združenega kraljestva trdijo, da je to pomemben, vendar ne odločilen dejavnik v okviru tehtanja pravic in interesov, ki bi ga upravljavec iskalnika moral opraviti za vsako zahtevo za izbris povezave, vključno v zvezi s povezavami na internetne strani, na katerih se obdelujejo posebne vrste podatkov v smislu člena 8(1) ali (5) Direktive 95/46.
64. Nasprotno pa francoska, italijanska in poljska vlada ter Komisija menijo, da prepoved obdelave, določena v členu 8(1) in (5) Direktive 95/46, pomeni, da mora upravljavec iskalnika, ki prejme zahtevo za izbris povezave, sistematično ugoditi tej zahtevi, to je, ne da bi moral ali mogel preveriti druge elemente, razen neobstoja utemeljitve.
65. Strinjam se z zadnjenavedenim stališčem.
66. Besedilo člena 8(1) in (5) Direktive 95/46 namreč ne dovoljuje dvoma, da gre za obveznost prepovedi obdelave občutljivih podatkov, naštetih v teh določbah. Ne razumem namreč, kako bi se v takem položaju ta obveznost lahko štela za samo enega od elementov, ki jih je treba upoštevati pri obravnavi zahteve za izbris povezave.
67. Tak pristop je logično nadaljevanje zadeve, v kateri je bila izdana sodba Google Spain in Google.(24) Naj spomnim, ta zadeva se je nanašala samo na podatke, katerih objava je bila sama po sebi zakonita. Zato je Sodišče najprej lahko ugotovilo, da mora upravljavec iskalnika s seznama zadetkov, ki se prikaže po iskanju, opravljenem na podlagi imena osebe, izbrisati povezave na spletne strani, ki jih objavijo tretje osebe in ki vsebujejo informacije, ki se nanašajo na to osebo – tudi če je bila ta objava sama po sebi zakonita –(25) preden nato pretehta med pravicami posameznika, na katerega se nanašajo osebni podatki, ter gospodarskim interesom upravljavca iskalnika in interesom javnosti, da dostopa do zadevne informacije.(26)
68. V zvezi s tem si dovoljujem odmik od zadeve Google Spain in Google. Ker je splošno priznano, da če je informacija zakonita, ima oseba, ki jo objavi, vsekakor pravico do svobode izražanja iz člena 11 Listine, bi bilo koristno, da Sodišče izrecno omeni to temeljno pravico. Tako bi bilo bolj jasno, da ni treba samo pretehtati med členoma 7 in 8 Listine na eni strani ter svobodo obveščanja na drugi, temveč da se mora upoštevati tudi svoboda izražanja. K temu se bom vrnil v analizi člena 9 Direktive 95/46.
69. Nasprotno pa se mi tako tehtanje ne zdi potrebno v okviru člena 8 Direktive 95/46. Kadar je dokazano, da gre za obdelavo občutljivih podatkov, je treba ugoditi zahtevi za izbris povezave.
70. Poznam stališče, ki ga je „delovna skupina za varstvo podatkov iz člena 29“(27) izrazila v „Smernicah za izvrševanje sodbe [Google Spain in Google(28)]“ z dne 26. novembra 2014(29) (v nadaljevanju: smernice), prvič, da je treba v večini primerov zahtev za izbris s seznama zadetkov iskanj pri sprejemanju odločitev upoštevati več kot eno merilo, drugič, da nobeno posamezno merilo ni samo po sebi odločilno,(30) in tretjič, kar zadeva posebej člen 8 Direktive 95/46, da je „[p]osredovanje organov za varstvo podatkov […] verjetneje v primeru zavrnitev zahtevkov za izbris s seznama zadetkov iskanj“.(31)
71. V zvezi s tem se mi zdi očitno, da je treba pred sprejetjem odločitve o zahtevi za izbris povezave upoštevati več meril. Nasprotno pa se mi trditev, da je posredovanje organov za varstvo podatkov verjetneje, ne zdi dovolj odločna in jasna. Če se dokaže, da podatki spadajo na občutljiva področja iz člena 8(1) in (5) Direktive 95/46, je njihova obdelava torej prepovedana.
72. Zato se mi zdi, da je preprečevanje morebitnega razširjanja takih podatkov v iskalniku prav tako zajeto z ratio legis člena 8(1) in (5) Direktive 95/46. Ker zakonodajalec na podlagi te določbe meni, da obdelava nekaterih podatkov ni zakonita, iz tega po mojem mnenju izhaja, da tudi ločena obdelava upravljavca iskalnika ni zakonita vsaj od trenutka, ko ta upravljavec ni ugodil zahtevi za izbris povezave.
73. Drugače povedano, zakonodajalec Unije je s členom 8 Direktive 95/46 o vprašanju občutljivih podatkov že odločil tako, da ne sme biti tehtanja. To razlago podpira dejstvo, da je bila v Uredbi 2016/679 ne le ohranjena prepoved(32) obdelave občutljivih podatkov, temveč so bile z njo te vrste podatkov celo razširjene.(33)
74. Zato ob upoštevanju izjem, določenih v Direktivi 95/46, prepoved upravljavcu iskalnika, da obdeluje podatke, za katere se uporablja člen 8(1) in (5) te direktive, nalaga obveznost, da sistematično ugodi zahtevam za izbris povezav na spletne strani, na katerih so taki podatki.
2. Posebne izjeme iz člena 8(2)(a) in (e) Direktive 95/46
75. Predložitveno sodišče želi dobiti pojasnila samo o dveh od petih izjem, določenih v členu 8(2) Direktive 95/46.
76. V skladu s členom 8(2)(a) Direktive 95/46 se odstavek 1 ne uporablja, če je posameznik, na katerega se osebni podatki nanašajo, dal svojo izrecno privolitev(34) k obdelavi teh podatkov, razen kadar zakonodaja države članice določa, da se od prepovedi iz odstavka 1 ne sme odstopiti s tem, da navedeni posameznik da svojo privolitev. Člen 8(2)(e) Direktive 95/46 določa, da se odstavek 1 tega člena ne uporablja, če se obdelava nanaša na podatke, ki jih posameznik, na katerega se nanašajo, javno objavi, ali je potrebna za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.
77. Ker se v skladu z rešitvijo, ki jo predlagam Sodišču, prepovedi obdelave, določene v členu 8(1) in (5) Direktive 95/46, uporabljajo, menim, da se izjeme iz istega člena 8 Direktive 95/46 načeloma prav tako uporabljajo, tudi če se mi nekatere od izjem iz člena 8(2) Direktive 95/46 zdijo bolj teoretične kot praktične, kar zadeva njihovo uporabo za iskalnik.(35) Upravljavec iskalnika torej lahko zavrne zahtevo za izbris povezave, če so izpolnjeni pogoji iz člena 8(2) te direktive.
3. Obdelava osebnih podatkov in svoboda izražanja (člen 9 Direktive 95/46)
78. V skladu s členom 9 Direktive 95/46 države članice določijo odstopanja od, med drugim, člena 8 Direktive 95/46, za obdelavo osebnih podatkov, ki se izvaja zgolj v novinarske namene ali zaradi umetniškega ali literarnega izražanja, če so potrebna za uskladitev pravice do zasebnosti s predpisi, ki urejajo svobodo izražanja.
79. Postavlja se vprašanje, ali upravljavec iskalnika lahko zavrne zahtevo za izbris povezave, če ugotovi, da so občutljivi podatki na strani, na katero vodi zadevna povezava, objavljeni zakonito, ker je obdelava, ki jo v zvezi s tem opravi izdajatelj internetne strani, zajeta s členom 9 Direktive 95/46.
80. Ugotoviti je treba, da je v skladu s sodbo Google Spain in Google(36) čisto mogoče, da je zaradi člena 9 Direktive 95/46 zahteva za izbris povezave uspešna pri upravljavcu iskalnika, vendar neuspešna pri izdajatelju spletne strani, na katero vodi povezava. Sodišče je namreč menilo, da „je mogoče, da je obdelava, ki jo opravi izdajatelj spletne strani in pri kateri se objavijo informacije o fizični osebi, v nekaterih okoliščinah izvedena ,zgolj v novinarske namene‘ in je tako na podlagi člena 9 Direktive 95/46 lahko izvzeta iz zahtev, določenih v tej direktivi, medtem ko to ni mogoče za obdelavo, ki jo izvede upravljavec iskalnika. Mogoče je torej, da zadevna oseba v nekaterih okoliščinah pravice iz člena 12(b) in 14, prvi odstavek, (a) Direktive 95/46 uveljavlja proti upravljavcu, ne pa proti izdajatelju navedene spletne strani“.(37)
81. Ta ključni odlomek sodbe Google Spain in Google(38) je osnovno jedro razlogovanja, katerega namen je utemeljiti uvedbo „pravice do pozabe“: da bi se zaščitili zasebnost posameznika, na katerega se nanašajo osebni podatki, in njegova pravica do podatkov, se lahko „krivi sla“, (tudi) če „popravek pri viru“ ni mogoč zaradi pravice do svobode izražanja, ki jo ima izdajatelj internetne strani.
82. Skušnjava, da bi se ta odlomek razlagal tako, da se člen 9 ne uporablja za upravljavca iskalnika, je velika.
83. Sodišču predlagam, naj se taki skušnjavi upre.
84. Prvič, v skladu z ustaljeno sodno prakso Evropskega sodišča za človekove pravice (v nadaljevanju: sodišče v Strasbourgu) „spletne strani – ker so dostopne ter omogočajo hranjenje in razširjanje velikih količin podatkov – veliko pripomorejo k izboljšanju seznanjanja javnosti z aktualnimi dogodki ter na splošno lažji komunikaciji in obveščanju“.(39) Natančneje, v zadevi, v kateri je bilo obravnavano spletišče, ki je ena od glavnih storitev spletne izmenjave datotek na svetu,(40) je sodišče v Strasbourgu ugotovilo, da „člen 10 Konvencije o varstvu človekovih pravic in temeljnih svoboščin, podpisane 4. novembra 1950 v Rimu,(41) zadeva ne samo vsebino informacij, ampak tudi sredstva za pošiljanje ali zbiranje“.(42)
85. Pravica javnosti, da sprejema in širi informacije, ki so na voljo na internetu, je varovana s členom 11 Listine.(43) To se nanaša na informacije na izvornih spletnih straneh, pa tudi na informacije, zagotovljene z internetnimi iskalniki.(44)
86. Drugič, iz zgoraj navedenega odlomka sodbe Google Spain in Google(45) je mogoče sklepati samo, da se člen 9 Direktive 95/46 ne uporablja neposredno za dejavnost upravljavca iskalnika. Ker je dejavnost takega upravljavca sekundarna glede na primarno dejavnost osebe, ki je informacijo objavila, je logično, da se člen 9 Direktive 95/46 najprej nanaša na to osebo. Vendar to, da podatki, objavljeni na zadevni internetni strani, spadajo na področje novinarstva ali umetniškega ali literarnega izražanja v smislu člena 9 Direktive 95/46, upravljavcu iskalnika, za katerega, kot sem ugotovil zgoraj, veljajo obveznosti iz člena 8 te direktive, ne more preprečiti, da se sklicuje na člen 9 Direktive 95/46.
87. Dejstvo, da podatki na internetni strani spadajo na področje uporabe člena 9 te direktive, mora biti okoliščina, ki lahko omogoči zavrnitev zahteve za izbris povezave.
88. S členom 9 Direktive 95/46 so na ravni sekundarne zakonodaje uresničene svobodi izražanja in obveščanja ter svoboda medijev, določene v členu 11 Listine. Drugače povedano, pri nujnem tehtanju med pravico do spoštovanja zasebnosti in pravico do varstva podatkov na podlagi členov 7 in 8 Listine na eni strani ter pravico javnosti, da dostopa do zadevne informacije, na drugi, je to, da je to informacijo objavil novinar ali da je umetniški ali literarni izraz, element, ki ga je treba upoštevati.
89. Skratka, čeprav bi lahko Sodišče nekatere preudarke v sodbi Google Spain in Google(46) izrazilo jasneje, ni izključeno, da se svoboda izražanja ne upošteva pri preučitvi izpolnjevanja pogojev iz člena 12(b) in člena 14, prvi odstavek, točka (a), Direktive 95/46, opravljeni v navedeni sodbi. Po mojem mnenju je treba pri tehtanju med interesom uporabnikov interneta, ki bi morda želeli dostopati do internetne strani prek iskanja, opravljenega na podlagi imena posameznika, na katerega se nanašajo osebni podatki, in temeljnimi pravicami, ki jih ima ta posameznik na podlagi členov 7 in 8 Listine, upoštevati tudi svobodo izražanja in obveščanja, ki jo imajo izdajatelji in uporabniki interneta, zagotovljeno s členom 11 Listine.
90. To analizo potrjujejo smernice, v skladu s katerimi „[o]rgani za varstvo podatkov priznavajo, da je v določenem kontekstu morda primerno proučiti, ali so bile informacije objavljene v novinarske namene. Dejstvo, da je informacije objavil novinar, katerega poklic vključuje obveščanje javnosti, je treba upoštevati pri vzpostavljanju ravnotežja. Vendar to merilo samo po sebi ni zadostna podlaga za zavrnitev zahtevka, saj sodna odločba jasno razlikuje med pravno podlago, potrebno za objavo s strani medijev, in pravno podlago, ki jo iskalniki potrebujejo za organiziranje zadetkov iskanj na podlagi imena osebe“.(47)
91. Nazadnje, ugotoviti je treba, da člen 17 Uredbe 2016/679, v katerem je zdaj kodificirana „pravica do pozabe“, v odstavku 3(a) določa izjemo od te pravice, če je obdelava potrebna za uresničevanje pravice do svobode izražanja in obveščanja. Ta izjema se uporablja za vse razloge, na katerih lahko temelji pravica do pozabe in ki so našteti v členu 17(1) Uredbe 2016/679, in posledično celo na primer v položaju, v katerem osebni podatki niso bili zakonito obdelani (odstavek 1(d)). Z Uredbo 2016/679 je torej priznana omejitev pravice do izbrisa povezave iz razlogov, povezanih s svobodo izražanja in obveščanja, tudi če se obdelava nanaša na občutljive podatke.
92. Zato Sodišču predlagam, naj na drugo vprašanje za predhodno odločanje odgovori, da je v skladu s členom 8(1) in (5) Direktive 95/46 upravljavcu iskalnika naložena obveznost, da sistematično ugodi zahtevam za odstranitev povezav na spletne strani, na katerih so občutljivi podatki iz te določbe, ob upoštevanju izjem iz Direktive 95/46, kot so določene v členu 8(2)(a) in (e) te direktive. Nasprotno pa je dejstvo, da podatki na zadevni internetni strani spadajo na področje uporabe člena 9 Direktive 95/46, okoliščina, ki lahko omogoči zavrnitev zahteve za izbris povezave. V takem primeru mora upravljavec iskalnika pretehtati med, na eni strani, pravico do spoštovanja zasebnosti in pravico do varstva podatkov na podlagi členov 7 in 8 Listine ter, na drugi strani, pravico javnosti, da dostopa do zadevne informacije, in pravico do svobode izražanja osebe, ki informacijo objavi, na podlagi člena 11 Listine.
D. Tretje vprašanje za predhodno odločanje
93. Ker je bilo tretje vprašanje za predhodno odločanje postavljeno, „če bi bil odgovor na prvo vprašanje nikalen“, glede na to, da predlagam pritrdilen odgovor na prvo vprašanje, na tretje ni treba odgovoriti.
E. Četrto vprašanje za predhodno odločanje
94. Četrto vprašanje za predhodno odločanje je sestavljeno iz dveh delov.
95. Predložitveno sodišče s prvim delom tega vprašanja Sodišče sprašuje, ali mora upravljavec iskalnika, kadar prosilec dokaže, da so osebni podatki, objavljeni na internetni strani, na katero vodi sporna povezava, postali nepopolni ali netočni ali da niso več aktualni, ugoditi zahtevi za odstranitev povezave.
96. Predložitveno sodišče želi tako izvedeti, ali taka obveznost obstaja, kadar prosilec dokaže, da ob upoštevanju poteka sodnega postopka informacije v zvezi s prejšnjo fazo tega postopka ne ustrezajo več dejanski resničnosti njegovega položaja.
97. Predložitveno sodišče želi z drugim delom četrtega vprašanja, ki se nanaša posebej na postopka v glavni stvari v zvezi z B. H. in E. D., izvedeti, ali informacije v zvezi z obdolžitvijo posameznika ali sodnim postopkom in kazensko obsodbo, ki sledi temu postopku, pomenijo podatke v zvezi s prekrški in kazenskimi obsodbami v smislu člena 8(5) Direktive 95/46, ter zlasti, ali spletna stran – kadar vsebuje podatke, v katerih so navedene kazenske obsodbe ali sodni postopki v zvezi s fizično osebo – spada na področje uporabe te določbe.
98. Pred prvim delom je treba najprej obravnavati drugi.
99. V skladu s členom 8(5) Direktive 95/46 se lahko obdelava podatkov v zvezi s prekrški, kazenskimi obsodbami ali varnostnimi ukrepi izvaja samo pod nadzorom uradnega organa ali pa če nacionalna zakonodaja določi ustrezne posebne zaščitne ukrepe ob upoštevanju odstopanj, ki jih lahko zagotovi država članica na podlagi nacionalnih predpisov, ki določajo ustrezne posebne zaščitne ukrepe. Vendar pa se popoln register kazenskih obsodb lahko vodi samo pod nadzorom uradnega organa. Države članice lahko določijo, da se tudi podatki v zvezi z upravnimi kaznimi ali sodbami v civilnih zadevah lahko obdelujejo pod nadzorom uradnega organa.
100. Menim, da so informacije o sodnih postopkih, objavljene na internetnih straneh, kakršne so informacije iz postopkov v zvezi z B. H. in E. D., podatki v smislu člena 8(5) Direktive 95/46. Tudi če se kazenski postopek ne konča z obsodbo, gre za podatke v zvezi s kaznivim dejanjem.
101. Odgovoriti je treba še na prvi del četrtega vprašanja za predhodno odločanje, ki se nanaša na sklepe, ki jih je treba iz te ugotovitve izpeljati v zvezi s članki, predvsem v tiskanih medijih, v katerih se je poročalo o prejšnji fazi sodnega postopka in ki po definiciji niso več aktualni.
102. Glede na odgovor, ki ga predlagam v okviru tretjega dela drugega vprašanja, menim, da bi bilo treba v zvezi s časopisnim člankom sprejeti drugačen pristop, ker gre za osebne podatke, navedene zgolj v novinarske namene.
103. V zvezi s tem je v smernicah navedeno, da imajo „[d]ržave članice EU […] morda različne pristope k dostopu javnosti do informacij o storilcih kaznivega dejanja in njihovih kaznivih dejanjih. Obstajajo morda posebne zakonske določbe, ki vplivajo na razpoložljivost takšnih informacij v nekem časovnem obdobju. Organi za varstvo podatkov bodo takšne primere obravnavali v skladu z ustreznimi nacionalnimi načeli in pristopi. Praviloma je verjetneje, da bodo organi za varstvo podatkov obravnavali izbris zadetkov iskanja s seznama, če se ti zadetki nanašajo na prekrške, storjene dolgo nazaj, in manj verjetno, da bodo obravnavali izbris zadetkov, ki se nanašajo na nedavno storjena resnejša kazniva dejanja. Vendar je ta vprašanja treba pozorno proučiti in se bodo obravnavala za vsak primer posebej“.(48)
104. V istem smislu menim, da bi bilo treba preučiti posebej vsak primer, v katerem bi moral upravljavec iskalnika pretehtati med, na eni strani, pravico do spoštovanja zasebnosti in pravico do varstva podatkov na podlagi členov 7 in 8 Listine ter, na drugi strani, pravico javnosti, da dostopa do zadevne informacije, ob upoštevanju dejstva, da ta informacija spada na področje novinarstva ali umetniškega ali literarnega izražanja.
VI. Predlog
105. Ob upoštevanju vseh navedenih ugotovitev Sodišču predlagam, naj na vprašanja za predhodno odločanje, ki jih je predložil Conseil d’État (državni svet, Francija), odgovori:
1. V okviru odgovornosti, pristojnosti in zmožnosti upravljavca iskalnika se člen 8(1) in (5) Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov načeloma uporablja za dejavnosti takega upravljavca.
2. Uvrstitev internetne strani s podatki o storitvi kaznivega dejanja ali kazenskem pregonu na seznam zadetkov iskanja spada na področje uporabe člena 8(5) Direktive 95/46.
3. V skladu s členom 8(1) in (5) Direktive 95/46 mora upravljavec iskalnika sistematično ugoditi zahtevam za odstranitev povezav na spletne strani, na katerih so občutljivi podatki iz te določbe, ob upoštevanju izjem iz Direktive 95/46, kot so določene v členu 8(2)(a) in (e) te direktive.
4. Nasprotno pa je dejstvo, da podatki na internetni strani spadajo na področje uporabe člena 9 Direktive 95/46, okoliščina, ki lahko omogoči zavrnitev zahteve za izbris povezave. V takem primeru mora upravljavec iskalnika pretehtati med, na eni strani, pravico do spoštovanja zasebnosti in pravico do varstva podatkov na podlagi členov 7 in 8 Listine Evropske unije o temeljnih pravicah ter, na drugi strani, pravico javnosti, da dostopa do zadevne informacije, in pravico do svobode izražanja osebe, ki informacijo objavi, na podlagi člena 11 Listine.