FÖRSLAG TILL AVGÖRANDE AV GENERALADVOKAT
MACIEJ SZPUNAR
föredraget den 10 januari 2019(1)
Mål C‑136/17
G.C.
A.F.
B.H.
E.D.
mot
Commission Nationale de l’Informatique et des Libertés (CNIL)
ytterligare deltagare i rättegången:
Premier ministre,
Google Inc.
(begäran om förhandsavgörande från Conseil d’État (Högsta förvaltningsdomstolen, Frankrike))
”Begäran om förhandsavgörande – Personuppgifter – Behandling av uppgifter – Sökmotorleverantör på internet – Begäran om borttagande – Skyldighetens räckvidd – Behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande”
I. Inledning
1. En av de största utmaningarna i vår tid är att förena rätten till privatliv och rätten till skydd av personuppgifter med rätten till information och yttrandefrihet under internets tidsålder. Det är därför inte förvånande att en rad mål med juridiska frågor kring denna problematik har hänskjutits till domstolen under de senaste åren.
2. När en fråga väl är löst uppkommer nya frågor. Detta fenomen blir ännu tydligare i och med att den rättsliga ramen oftast inte har antagits med hänsyn till internets tidsålder. Det nationella målet, i likhet med målet C‑507/17, Google (Territoriellt tillämpningsområde för borttagande), i vilket mitt förslag till avgörande meddelas samma dag som i förevarande mål, är ett bra exempel. Hur och i vilken omfattning ska skyldigheterna enligt 1995 års dataskyddsdirektiv, det vill säga direktiv 95/46/EG,(2) tillämpas på en sökmotor som Google, ett företag som bildades år 1998?
3. I den vägledande domen av den 13 maj 2014, Google Spain och Google,(3) slog domstolen fast att enligt artiklarna 12 b och 14 första stycket a i direktiv 95/46 har enskilda personer en ”rätt att bli bortglömd”(4) som kan medföra att sökmotorleverantörer blir skyldiga att avlägsna länkar till information om personen.(5) Det här målet är en vidareutveckling av den domen. Till följd av den domen uppkom nämligen ett stort antal nya frågor, bland annat vad gäller behandling av så kallade känsliga uppgifter som avser ras eller etniskt ursprung, politiska åsikter eller religiös eller filosofisk övertygelse.
4. Det är anledningen till att jag även kommer att hänvisa till såväl gällande lagstiftning som till tolkningen i domen Google Spain och Google(6) i min tolkning av rätten såsom den är utformad.
5. Kortfattat är mitt förslag till domstolen dubbelt. För det första ska generellt en sökmotorleverantör, på begäran, systematiskt avlägsna internetlänkar till känsliga uppgifter. För det andra ska yttrandefriheten respekteras. I detta avseende uppmanar jag domstolen att tolka domen Google Spain och Google(7) med vederbörlig hänsyn till yttrandefriheten.
II. Tillämpliga bestämmelser
A. Unionsrätt
1. Direktiv 95/46
6. Enligt artikel 1 är syftet med direktiv 95/46 att skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter, och att undanröja hinder för det fria flödet av sådana uppgifter.
7. I artikel 2 i direktiv 95/46 föreskrivs att ”[i] detta direktiv avses med:
a) personuppgifter: varje upplysning som avser en identifierad eller identifierbar fysisk person (den registrerade). En identifierbar person är en person som kan identifieras, direkt eller indirekt, framför allt genom hänvisning till ett identifikationsnummer eller till en eller flera faktorer som är specifika för hans fysiska, fysiologiska, psykiska, ekonomiska, kulturella eller sociala identitet,
b) behandling av personuppgifter (behandling): varje åtgärd eller serie av åtgärder som vidtas beträffande personuppgifter, vare sig det sker på automatisk väg eller inte, till exempel insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring,
…
d) registeransvarig: den fysiska eller juridiska person, den myndighet, den institution eller det andra organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. När ändamålen och medlen för behandlingen bestäms av nationella lagar och andra författningar eller av gemenskapsrätten kan den registeransvarige eller de särskilda kriterierna för att utse honom anges i nationell rätt eller i gemenskapsrätten,
…
h) den registrerades samtycke: varje slag av frivillig, särskild och informerad viljeyttring genom vilken den registrerade godtar behandling av personuppgifter som rör honom.”
8. I artikel 3 i direktivet, med rubriken ”Tillämpningsområde”, anges följande i punkt 1:
”Detta direktiv gäller för sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg liksom för annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register.”
9. Artikel 4 i direktivet, med rubriken ”Tillämplig nationell rätt”, lyder enligt följande:
”1. Varje medlemsstat skall tillämpa de nationella bestämmelser som den för genomförandet av detta direktiv antar för behandlingen av personuppgifter när
a) behandlingen utförs som ett led i verksamhet inom den medlemsstats territorium, där den registeransvarige är etablerad. Om en registeransvarig är etablerad inom flera medlemsstaters territorier skall han vidta nödvändiga åtgärder för att säkerställa att alla verksamheter uppfyller kraven enligt den tillämpliga nationella lagstiftningen,
…”
10. I kapitel II, avdelning I, som har rubriken ”Principer om uppgifternas kvalitet”, i direktiv 95/46 anges följande i artikel 6:
”1. Medlemsstaterna skall föreskriva att personuppgifter
a) skall behandlas på ett korrekt och lagligt sätt,
b) skall samlas in för särskilda, uttryckligt angivna och berättigade ändamål; senare behandling får inte ske på ett sätt som är oförenligt med dessa ändamål. Senare behandling av uppgifter för historiska, statistiska eller vetenskapliga ändamål skall inte anses oförenlig med dessa ändamål förutsatt att medlemsstaterna beslutar om lämpliga skyddsåtgärder,
c) skall vara adekvata och relevanta och inte får omfatta mer än vad som är nödvändigt med hänsyn till de ändamål för vilka de har samlats in och för vilka de senare behandlas,
d) skall vara riktiga och, om nödvändigt, aktuella. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga eller ofullständiga i förhållande till de ändamål för vilka de samlades in eller för vilka de senare behandlas, utplånas eller rättas,
e) förvaras på ett sätt som förhindrar identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka uppgifterna samlades in eller för vilka de senare behandlades. Medlemsstaterna skall vidta lämpliga skyddsåtgärder för de personuppgifter som lagras under längre perioder för historiska, statistiska eller vetenskapliga ändamål.
2. Det åligger den registeransvarige att säkerställa att punkt 1 efterlevs.”
11. I kapitel II, avdelning II, med rubriken ”Principer som gör att uppgiftsbehandling kan tillåtas”, i direktiv 95/46 föreskrivs följande i artikel 7:
”Medlemsstaterna skall föreskriva att personuppgifter får behandlas endast om
…
f) behandlingen är nödvändig för ändamål som rör berättigade intressen hos den registeransvarige eller hos den eller de tredje män till vilka uppgifterna har lämnats ut, utom när sådana intressen uppvägs av den registrerades intressen eller dennes grundläggande fri- och rättigheter som kräver skydd under artikel 1.1.”
12. Under kapitel II, avdelning III, med rubriken ”Särskilda behandlingskategorier”, i direktiv 95/46 finns artiklarna 8 och 9. Artikel 8 i direktivet, med rubriken ”Behandlingen av särskilda kategorier av uppgifter”, har följande lydelse:
”1. Medlemsstaterna skall förbjuda behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv.
2. Punkt 1 gäller inte om
a) den registrerade har lämnat sitt uttryckliga samtycke till en sådan behandling, utom när det enligt medlemsstatens lagstiftning anges att förbudet i punkt 1 inte kan upphävas genom den registrerades samtycke, eller
b) behandlingen är nödvändig för att fullgöra de skyldigheter och särskilda rättigheter som åligger den registeransvarige inom arbetsrätten, i den omfattning detta är tillåtet enligt en nationell lagstiftning som föreskriver lämpliga skyddsåtgärder, eller
c) behandlingen är nödvändig för att skydda den registrerades eller någon annan persons grundläggande intressen när den registrerade är fysiskt eller rättsligt förhindrad att ge sitt samtycke, eller
d) behandlingen utförs inom ramen för berättigad verksamhet hos en stiftelse, en förening eller ett annat icke vinstdrivande organ, som har ett politiskt, filosofiskt, religiöst eller fackligt syfte, förutsatt att behandlingen endast rör sådana organs medlemmar eller personer som på grund av organets ändamål har regelbunden kontakt med detta och uppgifterna inte lämnas ut till tredje man utan den registrerades samtycke, eller
e) behandlingen rör uppgifter som på ett tydligt sätt offentliggörs av den registrerade eller är nödvändiga för att kunna fastslå, göra gällande eller försvara rättsliga anspråk.
…
4. Under förutsättning av lämpliga skyddsåtgärder och av hänsyn till ett viktigt allmänt intresse får medlemsstaterna antingen i sin nationella lagstiftning eller genom ett beslut av tillsynsmyndigheten besluta om andra undantag än de som nämns i punkt 2.
5. Behandling av uppgifter om lagöverträdelser, brottmålsdomar eller säkerhetsåtgärder får utföras endast under kontroll av en myndighet eller – om lämpliga skyddsåtgärder finns i nationell lag – med förbehåll för de ändringar som medlemsstaterna kan tillåta med stöd av nationella bestämmelser som innehåller lämpliga och specifika skyddsåtgärder. Ett fullständigt register över brottmålsdomar får dock föras endast under kontroll av en myndighet.
Medlemsstaterna får föreskriva att uppgifter som rör administrativa sanktioner eller avgöranden i tvistemål också skall behandlas under kontroll av en myndighet.
6. De undantag från punkt 1 som anges i punkterna 4 och 5 skall anmälas till kommissionen.
…”
13. Artikel 9 i direktiv 95/46, som har rubriken ”Behandling av personuppgifter och yttrandefriheten”, lyder enligt följande:
”Medlemsstaterna skall med avseende på behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande besluta om undantag och avvikelser från bestämmelserna i detta kapitel, kapitel IV och kapitel VI endast om de är nödvändiga för att förena rätten till privatlivet med reglerna om yttrandefriheten.”
14. I artikel 12 i direktivet, med rubriken ”Rätt till tillgång”, anges följande:
”Medlemsstaterna skall säkerställa att varje registrerad har rätt att från den registeransvarige
…
b) i förekommande fall få sådana uppgifter som inte behandlats i enlighet med bestämmelserna i detta direktiv rättade, utplånade eller blockerade, särskilt om dessa är ofullständiga eller felaktiga,
…”
15. Artikel 14 i samma direktiv har rubriken ”Den registrerades rätt att göra invändningar” och föreskriver följande:
”Medlemsstaterna skall tillförsäkra den registrerade rätten att
a) åtminstone i de fall som avses i artikel 7 e) och f) när som helst av avgörande och berättigade skäl som rör hans personliga situation motsätta sig behandling av uppgifter som rör honom, utom när den nationella lagstiftningen föreskriver något annat. När invändningen är berättigad får den behandling som påbörjats av den registeransvarige inte längre avse dessa uppgifter,
…”
16. Artikel 28 i direktiv 95/46 har rubriken ”Tillsynsmyndighet” och lyder enligt följande:
”1. Varje medlemsstat skall tillse att det utses en eller flera myndigheter som har till uppgift att inom dess territorium övervaka tillämpningen av de bestämmelser som medlemsstaterna antar till följd av detta direktiv.
…
3. Varje tillsynsmyndighet skall särskilt ha
– undersökningsbefogenheter, såsom befogenhet att få tillgång till uppgifter som blir föremål för behandling och befogenhet att inhämta alla uppgifter som är nödvändiga för att sköta tillsynen,
– effektiva befogenheter att ingripa, som till exempel att kunna … besluta om blockering, utplåning eller förstöring av uppgifter, att kunna besluta om tillfälligt eller slutligt förbud mot behandling …,
…
Sådana beslut av tillsynsmyndigheten som går en part emot kan överklagas till domstol.
4. Var och en kan, på egen hand eller företrädd av en organisation, vända sig till tillsynsmyndigheten med begäran om skydd för sina fri- och rättigheter med avseende på behandling av personuppgifter. Den berörda personen skall informeras om vilka följder hans begäran har fått.
…
6. En tillsynsmyndighet har, oavsett vilken nationell lagstiftning som gäller för den aktuella behandlingen, behörighet att inom sin egen medlemsstats territorium utöva de befogenheter som i enlighet med punkt 3 åligger den. Varje myndighet kan av en myndighet i en annan medlemsstat anmodas att utöva sina befogenheter.
De övervakande myndigheterna skall i den utsträckning som det behövs samarbeta med varandra, särskilt genom att utbyta användbar information.
…”
2. Förordning 2016/679
17. Enligt artikel 99.2 i förordning nr 2016/679 ska förordningen tillämpas från och med den 25 maj 2018. I artikel 94.1 i förordningen föreskrivs att direktiv 95/46 ska upphöra att gälla med verkan från den dagen.
18. Artikel 9 i förordningen har rubriken ”Behandling av särskilda kategorier av personuppgifter” och föreskriver följande:
”1. Behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning ska vara förbjuden.
2. Punkt 1 ska inte tillämpas om något av följande gäller:
a) Den registrerade har uttryckligen lämnat sitt samtycke till behandlingen av dessa personuppgifter för ett eller flera specifika ändamål, utom då unionsrätten eller medlemsstaternas nationella rätt föreskriver att förbudet i punkt 1 inte kan upphävas av den registrerade.
…
e) Behandlingen rör personuppgifter som på ett tydligt sätt har offentliggjorts av den registrerade.
…
g) Behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen.
…”
19. I artikel 10 i förordningen, som har rubriken ”Behandling av personuppgifter som rör fällande domar i brottmål samt överträdelser”, anges följande:
”Behandling av personuppgifter som rör fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhetsåtgärder enligt artikel 6.1 får endast utföras under kontroll av myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får endast föras under kontroll av en myndighet.”
20. Artikel 17 i samma förordning, med rubriken ”Rätt till radering (’rätten att bli bortglömd’)”, har följande lydelse:
”1. Den registrerade ska ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få sina personuppgifter raderade och den personuppgiftsansvarige ska vara skyldig att utan onödigt dröjsmål radera personuppgifter om något av följande gäller:
a) Personuppgifterna är inte längre nödvändiga för de ändamål för vilka de samlats in eller på annat sätt behandlats.
b) Den registrerade återkallar det samtycke på vilket behandlingen grundar sig enligt artikel 6.1 a eller artikel 9.2 a och det finns inte någon annan rättslig grund för behandlingen.
c) Den registrerade invänder mot behandlingen i enlighet med artikel 21.1 och det saknas berättigade skäl för behandlingen som väger tyngre, eller den registrerade invänder mot behandlingen i enlighet med artikel 21.2.
d) Personuppgifterna har behandlats på olagligt sätt.
e) Personuppgifterna måste raderas för att uppfylla en rättslig förpliktelse i unionsrätten eller i medlemsstaternas nationella rätt som den personuppgiftsansvarige omfattas av.
f) Personuppgifterna har samlats in i samband med erbjudande av informationssamhällets tjänster, i de fall som avses i artikel 8.1.
2. Om den personuppgiftsansvarige har offentliggjort personuppgifterna och enligt punkt 1 är skyldig att radera personuppgifterna, ska den personuppgiftsansvarige med beaktande av tillgänglig teknik och kostnaden för genomförandet vidta rimliga åtgärder, inbegripet tekniska åtgärder, för att underrätta personuppgiftsansvariga som behandlar personuppgifterna om att den registrerade har begärt att de ska radera eventuella länkar till, eller kopior eller reproduktioner av dessa personuppgifter.
3. Punkterna 1 och 2 ska inte gälla i den utsträckning som behandlingen är nödvändig av följande skäl:
a) För att utöva rätten till yttrande- och informationsfrihet.
b) För att uppfylla en rättslig förpliktelse som kräver behandling enligt unionsrätten eller enligt en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av eller för att utföra en uppgift av allmänt intresse eller som är ett led i myndighetsutövning som utförs av den personuppgiftsansvarige.
c) För skäl som rör ett viktigt allmänt intresse på folkhälsoområdet enligt artikel 9.2 h och i samt artikel 9.3.
d) För arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål enligt artikel 89.1, i den utsträckning som den rätt som avses i punkt 1 sannolikt omöjliggör eller avsevärt försvårar uppnåendet av syftet med den behandlingen.
e) För att kunna fastställa, göra gällande eller försvara rättsliga anspråk.”
21. Artikel 18 i förordning nr 2016/679 har rubriken ”Rätt till begränsning av behandling” och föreskriver följande:
”1. Den registrerade ska ha rätt att av den personuppgiftsansvarige kräva att behandlingen begränsas om något av följande alternativ är tillämpligt:
a) Den registrerade bestrider personuppgifternas korrekthet, under en tid som ger den personuppgiftsansvarige möjlighet att kontrollera om personuppgifterna är korrekta.
b) Behandlingen är olaglig och den registrerade motsätter sig att personuppgifterna raderas och i stället begär en begränsning av deras användning.
…
d) Den registrerade har invänt mot behandling i enlighet med artikel 21.1 i väntan på kontroll av huruvida den personuppgiftsansvariges berättigade skäl väger tyngre än den registrerades berättigade skäl.
2. Om behandlingen har begränsats i enlighet med punkt 1 får sådana personuppgifter, med undantag för lagring, endast behandlas med den registrerades samtycke eller för att fastställa, göra gällande eller försvara rättsliga anspråk eller för att skydda någon annan fysisk eller juridisk persons rättigheter eller för skäl som rör ett viktigt allmänintresse för unionen eller för en medlemsstat.
3. En registrerad som har fått behandling begränsad i enlighet med punkt 1 ska underrättas av den personuppgiftsansvarige innan begränsningen av behandlingen upphör.”
22. Artikel 21.1 i förordningen, som har rubriken ”Rätt att göra invändningar”, lyder enligt följande:
”Den registrerade ska, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att när som helst göra invändningar mot behandling av personuppgifter avseende honom eller henne som grundar sig på artikel 6.1 e eller f, inbegripet profilering som grundar sig på dessa bestämmelser. Den personuppgiftsansvarige får inte längre behandla personuppgifterna såvida denne inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk.”
23. I artikel 85 i förordningen, som har rubriken ”Behandling och yttrande- och informationsfriheten”, anges följande:
”1. Medlemsstaterna ska i lag förena rätten till integritet i enlighet med denna förordning med yttrande- och informationsfriheten, inbegripet behandling som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande.
2. Medlemsstaterna ska, för behandling som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande, fastställa undantag eller avvikelser från kapitel II (principer), kapitel III (den registrerades rättigheter), kapitel IV (personuppgiftsansvarig och personuppgiftsbiträde), kapitel V (överföring av personuppgifter till tredjeländer eller internationella organisationer), kapitel VI (oberoende tillsynsmyndigheter), kapitel VII (samarbete och enhetlighet) och kapitel IX (särskilda situationer vid behandling av personuppgifter) om dessa är nödvändiga för att förena rätten till integritet med yttrande- och informationsfriheten.
3. Varje medlemsstat ska till kommissionen anmäla de bestämmelser i sin lagstiftning som den antagit i enlighet med punkt 2, samt utan dröjsmål anmäla eventuell senare ändringslagstiftning eller ändringar som berör dem.”
B. Fransk rätt
24. Direktiv 95/46 införlivades med fransk rätt genom loi nº 78–17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (lag nr 78–17 av den 6 januari 1978 om databehandling, register och friheter).
III. Bakgrund och målet vid den nationella domstolen
25. G.C., A.F., B.H. och E.D. begärde att Google LLC skulle ta bort olika länkar till webbsidor, publicerade av tredje parter, i den förteckning över sökresultat som Googles sökmotor visar vid en sökning på deras respektive namn, vilket bolaget vägrade.
26. G.C. begärde särskilt borttagande av en länk som ledde till ett satiriskt fotomontage som någon under pseudonym hade lagt ut på YouTube den 18 februari 2011, vilket visade henne tillsammans med borgmästaren i den kommun där hon var chef för borgmästarens kansli, och som på ett explicit sätt insinuerade att de två skulle ha en intim relation och att denna relation skulle ha påverkat hennes politiska karriär. Detta fotomontage lades ut i samband med valkampanjen inför regionalvalen vid vilka G.C. var en av kandidaterna. Vid tidpunkten för vägran att ta bort länkarna var G.C. varken folkvald eller kandidat i något lokalt val, och var inte längre chef för borgmästarens kansli.
27. A.F. begärde borttagande av länkar som ledde till en artikel från dagstidningen Libération från den 9 september 2008 som återgavs på webbplatsen Centre contre les manipulations mentales (CCMM) (centrum mot mentala manipulationer), angående en scientologikyrkoanhängares självmord i december 2006. I denna artikel angavs att A.F. var scientologikyrkans informationsansvarige, vilket var en position som han därefter hade lämnat. Vidare uppgav artikelförfattaren att han hade kontaktat A.F. för att erhålla dennes version av omständigheterna och återgav de uttalanden som A.F. hade gjort härvidlag.
28. B.H. begärde borttagande av länkar som ledde till artiklar, i huvudsak från tidningar, angående den förundersökning som hade inletts i juni 1995 avseende finansieringen av partiet ”Parti républicain” (PR) i vilken B.H. ingick i utredningen tillsammans med ett flertal affärsmän och politiker. Förundersökningen lades ned genom beslut att inte väcka åtal av den 26 februari 2010. De flesta av de omtvistade länkarna ledde till artiklar från tiden för inledandet av förundersökningen och nämnde således inte något om utgången av förfarandet.
29. E.D. begärde borttagande av länkar som ledde till två artiklar som hade publicerats i Nice Matin och Le Figaro vilka redogjorde för den brottmålsförhandling vid vilken han dömdes till sju års fängelse och tio års social och rättslig uppföljning för sexuella övergrepp på minderåriga under 15 år. En av dessa artiklar nämnde även flera intima detaljer angående E.D. vilka hade kommit i dagen under rättegången.
30. Efter det att Google hade vägrat att ta bort dessa länkar vände sig sökandena till Commission nationale de l’informatique et des libertés (CNIL) (dataskyddsmyndigheten) och yrkade att bolaget skulle föreläggas att ta bort de aktuella länkarna. Genom skrivelser av den 24 april 2015, den 28 augusti 2015, den 21 mars 2016 och den 9 maj 2016, informerade CNIL:s ordförande sökandena om att deras klagomål inte skulle föranleda någon ytterligare åtgärd.
31. Sökandena inkom då med ansökningar avseende CNIL:s beslut att inte förelägga Google att göra de begärda borttagandena. Den hänskjutande domstolen har bifogat dessa ansökningar.
IV. Tolkningsfrågorna och förfarandet vid domstolen
32. Efter det att Conseil d’État (Högsta förvaltningsdomstolen, Frankrike) hade konstaterat att dessa ansökningar innebar allvarliga problem med att tolka direktiv 95/46, beslutade den genom beslut av den 24 februari 2017, som inkom till domstolen den 15 mars 2017, att vilandeförklara målet och ställa följande frågor till EU-domstolen:
”1. Med beaktande av sökmotorleverantörens specifika skyldigheter, befogenheter och möjligheter, är förbudet för andra registeransvariga att behandla uppgifter som avses i artikel 8.1 och 8.5 i direktiv 95/46, bortsett från i de undantagsfall som anges i denna rättsakt, även tillämpligt för sökmotorleverantören i dess egenskap av registeransvarig för den behandling som denna sökmotor medför?
2) För det fall fråga 1 ska besvaras jakande:
– Ska bestämmelserna i artikel 8.1 och 8.5 i direktiv 95/46 tolkas så, att förbudet för sökmotorleverantören att behandla de uppgifter som omfattas av dessa bestämmelser – med förbehåll för de undantag som föreskrivs i direktivet – innebär att sökmotorleverantören har en generell skyldighet att efterkomma begäranden om att ta bort länkar till webbplatser som behandlar sådana uppgifter?
– Hur ska mot denna bakgrund undantagen i artikel 8.2 a och e i direktiv 95/46 tolkas, när de tillämpas på en sökmotorleverantör, med beaktande av dennes specifika skyldigheter, befogenheter och möjligheter? I synnerhet, kan en sökmotorleverantör vägra att efterkomma en begäran om att ta bort länkar när denne konstaterar att länkarna i fråga leder till innehåll som även om det innehåller uppgifter som omfattas av de kategorier som räknas upp i artikel 8.1 även ingår i tillämpningsområdet för undantagen i artikel 8.2, särskilt leden a och e?
– Ska på samma sätt bestämmelserna i direktiv 95/46 tolkas så, att när de länkar vilka begäran om borttagande avser leder till behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande vilka i enlighet med artikel 9 i direktiv 95/46 kan samla in och behandla uppgifter som omfattas av de kategorier som nämns i artikel 8.1 och 8.5 i detta direktiv, kan sökmotorleverantören med hänvisning till denna omständighet vägra att efterkomma en begäran om borttagande?
3) För det fall fråga 1 ska besvaras nekande:
– Vilka av de specifika kraven i direktiv 95/46 måste sökmotorleverantören uppfylla, med beaktande av dennes skyldigheter, befogenheter och möjligheter?
– När sökmotorleverantören konstaterar att de länkar vilka begärts borttagna leder till webbplatser som innehåller uppgifter vilkas publicering på dessa webbplatser är otillåten, ska bestämmelserna i direktiv 95/46 tolkas så, att
– sökmotorleverantören är skyldig att ta bort dessa länkar från listan med sökresultat som visas efter en sökning på namnet på den som begärt borttagande,
– eller att de endast innebär att sökmotorleverantören behöver beakta denna omständighet för att bedöma huruvida den inkomna begäran om borttagande är välgrundad,
– eller att denna omständighet helt saknar betydelse för nämnda bedömning?
För det fall denna omständighet inte helt saknar betydelse: Hur ska man bedöma huruvida det är tillåtet att publicera de omtvistade uppgifterna på webbplatser som härrör från behandlingar som inte omfattas av det territoriella tillämpningsområdet för direktiv 95/46, och följaktligen för de nationella lagstiftningar genom vilket det genomförs?
4) Oavsett hur fråga 1 ska besvaras:
– Oberoende av tillåtligheten av publiceringen av personuppgifter på webbplatsen till vilken den omtvistade länken leder, ska bestämmelserna i direktiv 95/46 tolkas så, att
– när den som begärt borttagande visat att dessa uppgifter är ofullständiga eller felaktiga, eller inte är uppdaterade, är sökmotorleverantören skyldig att efterkomma motsvarande begäran om borttagande,
– i synnerhet, när den som begärt borttagande visar att, med beaktande av utgången av det rättsliga förfarandet, uppgifterna om ett tidigare skede i förfarandet inte längre motsvarar den faktiska situationen, är sökmotorleverantören skyldig att ta bort länkar till webbplatser som innehåller sådana uppgifter?
– Ska bestämmelserna i artikel 8.5 i direktiv 95/46 tolkas så, att uppgifter om förundersökning avseende en person eller om en rättsprocess, och den efterföljande domen, utgör uppgifter om lagöverträdelser och brottmålsdomar? När en webbplats innehåller uppgifter om fällande domar och rättsliga förfaranden avseende en fysisk person, omfattas den då generellt av tillämpningsområdet för dessa bestämmelser?”
33. A.F., B.H., Google, den franska, den irländska, den grekiska, den italienska, den österrikiska och den polska regeringen, Förenade kungarikets regering och Europeiska kommissionen har inkommit med skriftliga yttranden.
34. B.H., Google, den franska, den irländska, den grekiska, den österrikiska och den polska regeringen och kommissionen yttrade sig muntligen vid förhandlingen den 11 september 2018.
V. Bedömning
A. Inledande anmärkningar
1. Relevant rättsakt: direktiv 95/46
35. Den hänskjutande domstolens frågor avser inte tolkningen av bestämmelserna i förordning nr 2016/679 utan bestämmelserna i direktiv 95/46. Förordningen, som är tillämplig sedan den 25 maj 2018,(8) upphävde emellertid direktivet från och med samma datum.(9)
36. Eftersom det följer av fransk förvaltningsprocessrätt att den lag som är tillämplig på ett mål är den som gällde vid tidpunkten för ett angripet beslut, råder det inga tvivel om att det är direktiv 95/46 som är tillämpligt i det nationella målet. Följaktligen är det bestämmelserna i direktivet som domstolen ska tolka.
2. Bakgrund: domen Google Spain och Google
37. Den hänskjutande domstolens frågor i förevarande mål har sin bakgrund i den vägledande domen Google Spain och Google(10) i vilken domstolen bland annat slog fast följande som är av intresse i förevarande fall:
– En sökmotors verksamhet ska anses utgöra ”behandling av personuppgifter” i den mening som avses i artikel 2 b i direktiv 95/46 när informationen innehåller personuppgifter, och att sökmotorleverantören ska anses vara ”registeransvarig” för nämnda behandling av personuppgifter i den mening som avses i artikel 2 d i direktivet.(11)
– För att respektera de rättigheter som föreskrivs i artiklarna 2 b och 14 första stycket a i direktiv 95/46 och i den mån villkoren i dessa bestämmelser är uppfyllda, är sökmotorleverantören skyldig att från förteckningen över sökresultat, som visas till följd av en sökning på en persons namn, avlägsna länkar till webbsidor som publicerats av tredje män och som innehåller information om denna person, även för det fall detta namn eller denna information inte tidigare eller samtidigt avlägsnas från dessa webbsidor och, i förekommande fall, även om själva publiceringen av informationen på nämnda webbsidor är laglig.(12)
– Vid prövningen av rekvisiten för att artiklarna 12 b och 14 första stycket a i direktiv 95/46 ska vara tillämpliga ska det bland annat undersökas huruvida den berörda personen har en rätt att i nuvarande skede förhindra att informationen i fråga rörande hans eller hennes person inte längre ska kopplas till vederbörandes namn genom en förteckning över sökresultat som visas efter det att en sökning gjorts på vederbörandes namn. För att en sådan rätt ska anses föreligga krävs det inte att den berörda personen orsakas skada av att informationen i fråga återfinns i förteckningen över sökresultat.(13)
– Eftersom den berörda personen, med beaktande av dennes grundläggande rättigheter enligt artiklarna 7 och 8 i Europeiska unionens stadga om de grundläggande rättigheterna får begära att informationen i fråga inte längre ska göras tillgänglig för den breda allmänheten genom att upptas i en sådan förteckning över sökresultat, väger dessa rättigheter i princip inte bara tyngre än sökmotorleverantörens ekonomiska intressen, utan också tyngre än den breda allmänhetens intresse av att få tillgång till denna information vid en sökning på den berörda personens namn. Så är emellertid inte fallet om ingreppet i den berörda personens grundläggande rättigheter av särskilda skäl, såsom den roll den berörda personen spelar i det offentliga livet, är motiverat av den breda allmänhetens övervägande intresse av att få tillgång till informationen i fråga genom att den upptas i förteckningen över sökresultat.(14)
38. De faktiska omständigheterna i målet Google Spain och Google(15) rörde visserligen personuppgifter, men inte ”känsliga” sådana i den mening som avses i artikel 8 i direktiv 95/46. Detta för oss till den första frågan.
B. Den första tolkningsfrågan
39. Den hänskjutande domstolen har ställt den första frågan för att få klarhet i följande: Med beaktande av sökmotorleverantörens specifika ansvar, behörighet och möjligheter, är förbudet för andra registeransvariga att behandla uppgifter som avses i artikel 8.1 och 8.5 i direktiv 95/46 även tillämpligt på en sådan sökmotorleverantör?
40. Enligt artikel 8.1 i direktiv 95/46 ska medlemsstaterna förbjuda behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening eller uppgifter som rör hälsa och sexualliv.
41. I artikel 8.5 i direktivet föreskrivs att behandling av uppgifter om lagöverträdelser, brottmålsdomar eller säkerhetsåtgärder får utföras endast under kontroll av en myndighet eller – om lämpliga skyddsåtgärder finns i nationell lag – med förbehåll för de ändringar som medlemsstaterna kan tillåta med stöd av nationella bestämmelser som innehåller lämpliga och specifika skyddsåtgärder. Ett fullständigt register över brottmålsdomar får dock endast föras under kontroll av en myndighet. Medlemsstaterna får föreskriva att uppgifter som rör administrativa sanktioner eller avgöranden i tvistemål också ska behandlas under kontroll av en myndighet.
42. Det ska konstateras att artikel 8 i direktiv 95/46 inte var aktuell i målet Google Spain och Google.(16) Detta konstaterande i sig gör att jag, i motsats till vad Google har gjort gällande i sina yttranden, förutsätter att svaret på den första tolkningsfrågan inte kan följa av domen. Det faktum att målet inte rörde känsliga uppgifter i den mening som avses i artikel 8.1 i direktiv 95/46 betyder inte att en sökmotor inte omfattas av bestämmelsen.
43. Generaladvokaten Jääskinen försvarade i sitt förslag till avgörande i målet Google Spain och Google bland annat ståndpunkten (som domstolen inte godtog) att sökmotorleverantörer på internet inte är registeransvariga för de personuppgifter som finns på källwebbsidor tillhörande tredje man: ”En motsatt ståndpunkt skulle innebära att sökmotorer inte var förenliga med unionsrätten, vilket enligt min uppfattning vore en orimlig slutsats. Om sökmotorleverantörer ansågs vara registeransvariga för de personuppgifter som finns på källwebbsidor tillhörande tredje man och om det på en sådan sida fanns ’särskilda kategorier av uppgifter’ i den bemärkelse som avses i artikel 8 i [direktiv 95/46] (till exempel personuppgifter som avslöjar politiska åsikter eller religiös övertygelse eller uppgifter som rör hälsa eller sexualliv) skulle sökmotorleverantörens verksamhet automatiskt vara olaglig om de stränga villkor som artikeln uppställer för behandling av sådana uppgifter inte uppfylls.”(17)
44. Detta avsnitt belyser problemet med och kärnan i det aktuella målet. Med beaktade av att direktiv 95/46, som är från år 1995 och som föreskriver skyldigheter som i princip är riktade till medlemsstaterna, inte utformades med hänsyn till sådana sökmotorer som finns i dag, är inte bestämmelserna lämpade för en intuitiv tillämpning eller en ren bokstavstolkning på sådana sökmotorer. Det är skälet till att de hänskjutande domstolarna, såsom i förevarande fall hyste tvivel gällande målet Google Spain och Google(18) och vände sig till EU-domstolen.
45. Följaktligen går det inte att anta ett ”allt eller inget”-synsätt när det gäller frågan om direktiv 95/46 är tillämpligt på sökmotorer. Jag anser att varje bestämmelse ska granskas för att avgöra om den kan tillämpas på en sökmotor.
46. Att strikt tillämpa artikel 8.1 i direktiv 95/46 på en sökmotor skulle medföra ett förbud för all sådan databehandling som anges i artikeln, med förbehåll för de undantag som föreskrivs i artikel 8.2 i direktivet.
47. Jag vill påpeka att ingen av de parter som inkommit med yttranden har åberopat en så restriktiv tolkning, och det med rätta.
48. En bokstavlig tolkning av artikel 8.1 i direktiv 95/46 skulle ålägga en sökmotor att kontrollera att en förteckning över sökresultat, som visas efter en sökning på en fysisk persons namn, inte innehåller någon länk till internetsidor som innehåller de uppgifter som avses i bestämmelsen, och detta på förhand och ex officio, det vill säga även utan att den berörda personen begär borttagande.
49. Enligt min mening är inte en förhandskontroll eller en kontroll ex officio vare sig möjlig eller önskvärd.
50. I domen Google Spain och Google(19) angav domstolen att ”[e]n sökmotorleverantörs verksamhet kan således på ett betydande sätt, och utöver vad som redan skett genom webbplatsutgivarnas verksamhet, påverka grundläggande rättigheter avseende privatlivet och skyddet för personuppgifter. Därför måste sökmotorleverantören, i egenskap av en person som bestämmer ändamålen och medlen för behandlingen av personuppgifter, inom ramen för sitt ansvar, sin behörighet och sina möjligheter säkerställa att verksamheten uppfyller kraven i direktiv 95/46 för att de garantier som föreskrivs i direktivet ska få full verkan och för att ett effektivt och fullständigt skydd för de berörda personerna ska kunna förverkligas, bland annat när det gäller deras rätt till respekt för privatlivet”.(20)
51. Det är möjligt att dra två slutsatser av förevarande avsnitt. Såsom kommissionen har hävdat i sitt yttrande utgår direktiv 95/46 från att varje registeransvarig måste uppfylla alla krav i direktivet, även de som föreskrivs i artikel 8.
52. Även om avsnittet är formulerat som en skyldighet för sökmotorleverantören,(21) kan denne endast handla inom ramen för sitt ansvar, sin behörighet och sina möjligheter. Med andra ord är det möjligt att en sådan sökmotorleverantör inte kan garantera full verkan av bestämmelserna i direktiv 95/46, just på grund av dennes begränsade ansvar, behörighet och möjligheter.
53. Artikel 8 i direktiv 95/46 ska således tolkas med beaktande av en sökmotorleverantörs ansvar, behörighet och möjligheter.
54. Det ska således uteslutas att artikel 8.1 i direktiv 95/46 tillämpas på förhand på en sökmotorleverantör. En sökmotorleverantör har varken ansvar för eller möjlighet(22) att på förhand kontrollera de internetsidor som det hänvisas till i resultatet av en sökning. En sökmotorleverantörs uppgift är, såsom framgår av benämningen, att söka, hitta, samla in och tillgängliggöra uppgifter med hjälp av en algoritm som gör det möjligt att hitta information på det mest effektiva sättet. Det ankommer däremot inte på sökmotorleverantören att kontrollera eller att till och med censurera. Sökmotorleverantören agerar i syfte att söka och reagerar i syfte att ta bort ett sökresultat. Det är i vart fall så jag uppfattar domen Google Spain och Google.(23)
55. På samma sätt, och såsom även kommissionen har understrukit, kan inte de förbud och begränsningar som fastställs i artikel 8.1 i direktiv 95/46 tillämpas på en sökmotorleverantör som om den själv hade angett känsliga uppgifter på de internetsidor som det hänvisas till. Logiskt sett inträder en sökmotors verksamhet endast efter det att (känsliga) uppgifter har lagts upp på internet och är av sekundär betydelse.
56. De förbud och begränsningar som föreskrivs i artikel 8.1 i direktiv 95/46 kan endast tillämpas på en sökmotor med anledning av borttagandet, och således genom en prövning i efterhand, på grundval av en begäran om borttagande som ingetts av den berörda personen.
57. Jag föreslår således att den första tolkningsfrågan ska besvaras så, att inom ramen för en sökmotorleverantörs ansvar, behörighet och möjligheter är i princip artikel 8.1 och 8.5 i direktiv 95/46 tillämplig på en sådan sökmotorleverantörs verksamhet.
58. Hur en sådan tolkning ska gå till kommer att behandlas i samband med den andra frågan.
C. Den andra tolkningsfrågan
59. Den andra frågan, som ställdes för det fall domstolen ansåg att artikel 8.1 och 8.5 i direktiv 95/46 var tillämplig på den behandling som utförs av en sökmotorleverantör, består av tre delar.
60. Den hänskjutande domstolen vill
– få klarhet i om förbudet för sökmotorleverantörer att behandla de uppgifter som omfattas av artikel 8.1 och 8.5 i direktivet – med förbehåll för de undantag som föreskrivs i direktiv 95/46 – innebär att sökmotorleverantören är skyldig att systematiskt efterkomma begäranden om att ta bort länkar till webbsidor med sådana uppgifter,
– få klarhet i hur de specifika undantagen i artikel 8.2 a och e i direktiv 95/46 ska tillämpas på den behandling som en sökmotorleverantör utför, och i synnerhet om sökmotorleverantören kan vägra att efterkomma en begäran med stöd av dessa undantag, och
– få förtydliganden om de undantag som föreskrivs i artikel 9 i direktiv 95/46 för behandling som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande, och som endast får föreskrivas om de är nödvändiga för att förena rätten till privatlivet med reglerna om yttrandefriheten. Den hänskjutande domstolen vill få klarhet i huruvida en sökmotorleverantör kan vägra att efterkomma en begäran om borttagande när sökmotorleverantören konstaterar att de uppgifter som finns på den sida dit den aktuella länken leder har publicerats lagligt på grund av att den behandling som utförs av utgivaren av webbsidan omfattas av undantaget.
61. Jag ska behandla dessa delfrågor i den ordning de har ställts.
1. Systematiskt borttagande
62. Utgångspunkten är att en sökmotorleverantörs vägran att ta bort en internetsida strider mot artikel 8.1 och 8.5 i direktiv 95/46, såvida inte vägran är berättigad enligt artiklarna 8 och 9 i direktivet.
63. Google, den irländska och den österrikiska regeringen och Förenade kungarikets regering har hävdat att det är fråga om en viktig men inte avgörande faktor i den avvägning mellan rättigheter och intressen som en sökmotorleverantör ska utföra vid varje begäran om borttagande, inklusive begäranden som avser länkar till internetsidor som behandlar kategorier av särskilda uppgifter i den mening som avses i artikel 8.1 och 8.5 i direktiv 95/46.
64. Däremot anser den franska, den italienska och den polska regeringen samt kommissionen att förbudet mot behandling i artikel 8.1 och 8.5 i direktiv 95/46 innebär att en sökmotorleverantör som ska pröva en begäran om borttagande ska efterkomma denna systematiskt, det vill säga utan att behöva eller kunna beakta andra omständigheter än att det inte är berättigat att vägra ta bort uppgifterna.
65. Jag delar den sistnämnda ståndpunkten.
66. Lydelsen av artikel 8.1 och 8.5 i direktiv 95/46 lämnar nämligen inget utrymme att betvivla att det är fråga om en skyldighet att förbjuda behandling av de känsliga uppgifter som är angivna. Jag har nämligen svårt att i en sådan situation se hur denna skyldighet skulle kunna anses som en av flera omständigheter att beakta vid prövningen av en begäran om borttagande.
67. Ett sådant synsätt är en logisk förlängning av domen Google Spain och Google.(24) Målet avsåg som sagt enbart uppgifter som i sig hade publicerats lagligt. Följaktligen kunde domstolen först slå fast att en sökmotorleverantör är skyldig att från förteckningen över sökresultat, som visas till följd av en sökning på en persons namn, avlägsna länkar till webbsidor som publicerats av tredje män och som innehåller information om denna person – även om själva publiceringen av informationen på nämnda webbsidor är laglig(25) – och därefter göra en avvägning mellan å ena sidan den berörda personens rättigheter och å andra sidan sökmotorleverantörens ekonomiska intressen och den breda allmänhetens intresse av att få tillgång till den aktuella informationen.(26)
68. I detta avseende vill jag göra en utvikning om domen Google Spain och Google. Det är allmänt erkänt att om en uppgift är laglig har den person som publicerade uppgiften under alla omständigheter rätt till yttrandefrihet enligt artikel 11 i stadgan. Således hade det varit lämpligt att domstolen uttryckligen tog upp denna grundläggande rättighet. Det hade då blivit tydligare att det inte endast är artiklarna 7 och 8 i stadgan som ska vägas mot informationsfriheten, utan även yttrandefriheten ska tas i beaktande. Jag kommer att återkomma till detta i analysen av artikel 9 i direktiv 95/46.
69. Däremot har jag svårt att se ett utrymme för en sådan avvägning inom ramen för artikel 8 i direktiv 95/46. När det är fastställt att känsliga uppgifter har behandlats ska således en begäran om borttagande efterkommas.
70. Jag är väl medveten om den ståndpunkt som framfördes av ”Artikel 29-arbetsgruppen för dataskydd”(27) i dess ”Riktlinjer rörande verkställandet av domen [Google Spain och Google(28)]” av den 26 november 2014(29) (nedan kallade riktlinjerna). I riktlinjerna anges det för det första att i de flesta fall av begäranden om borttagande ska fler än ett kriterium beaktas innan beslut fattas, för det andra att inget kriterium i sig är avgörande,(30) och för det tredje, vad gäller specifikt artikel 8 i direktiv 95/46, att det ”är mer sannolikt att dataskyddsmyndigheterna ingriper när en begäran om borttagande avslås”.(31)
71. Jag anser att det är självklart att flera kriterier ska beaktas innan ett beslut fattas om en begäran om borttagande. Att påstå att det är mer sannolikt att en dataskyddsmyndighet ingriper anser jag däremot inte är tillräckligt bestämt och klart. Om det visar sig att uppgifter omfattas av de känsliga områden som avses i artikel 8.1 och 8.5 i direktiv 95/46, är det i så fall förbjudet att behandla dem.
72. Jag anser därmed att en sökmotorleverantörs förebyggande av en eventuell spridning av sådana uppgifter även omfattas av ratio legis för artikel 8.1 och 8.5 i direktiv 95/46. I och med att det av bestämmelsen framgår att lagstiftaren anser att behandlingen av vissa uppgifter är olaglig, innebär det enligt min mening att en sökmotorleverantörs egen behandling av sådana uppgifter även är olaglig, åtminstone från och med att sökmotorleverantören inte efterkommer en begäran om borttagande.
73. Med andra ord har unionslagstiftaren när det gäller artikel 8 i direktiv 95/46 redan avgjort frågan om känsliga uppgifter i den meningen att en avvägning inte kan genomföras. Denna tolkning stöds av att förordning nr 2016/679 inte endast har vidhållit förbudet(32) mot behandling av känsliga uppgifter utan även utvidgat dessa kategorier.(33)
74. Förbudet för sökmotorleverantörer att behandla de uppgifter som omfattas av artikel 8.1 och 8.5 i direktivet – med förbehåll för de undantag som föreskrivs i direktiv 95/46 – innebär följaktligen att sökmotorleverantörerna systematiskt ska efterkomma begäranden om borttaganden som avser länkar till webbsidor där sådana uppgifter finns.
2. De särskilda undantag som föreskrivs i artikel 8.2 a och e i direktiv 95/46
75. Den nationella domstolen önskar endast få klarhet i två av de fem undantag som föreskrivs i artikel 8.2 i direktiv 95/46.
76. Enligt artikel 8.2 a i direktiv 95/46 gäller inte punkt 1 om den registrerade har lämnat sitt uttryckliga samtycke(34) till en sådan behandling, utom när det enligt medlemsstatens lagstiftning anges att förbudet i punkt 1 inte kan upphävas genom den registrerades samtycke. I artikel 8.2 e i direktiv 95/46 föreskrivs att punkt 1 inte gäller om behandlingen rör uppgifter som på ett tydligt sätt offentliggörs av den registrerade eller är nödvändiga för att kunna fastslå, göra gällande eller försvara rättsliga anspråk.
77. Eftersom jag enligt den lösning som jag föreslog för domstolen anser att de förbud mot behandling som föreskrivs i artikel 8.1 och 8.5 i direktiv 95/46 är tillämpliga, finner jag i princip att undantagen i samma artikel i direktiv 95/46 också är tillämpliga även om vissa av undantagen i artikel 8.2 i direktiv 95/46 tycks mer teoretiska än praktiska vad gäller deras tillämplighet på en sökmotorleverantör.(35) En sökmotorleverantör kan således avslå en begäran om borttagande när förutsättningarna i artikel 8.2 i direktivet är uppfyllda.
3. Behandling av personuppgifter och yttrandefriheten (artikel 9 i direktiv 95/46)
78. I enlighet med artikel 9 i direktiv 95/46 ska medlemsstaterna med avseende på behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande besluta om undantag och avvikelser från bland annat artikel 8 i direktiv 95/46 om de är nödvändiga för att förena rätten till privatlivet med reglerna om yttrandefriheten.
79. Frågan är om en sökmotorleverantör får avslå en begäran om borttagande när den konstaterar att publiceringen av känsliga uppgifter på den sida dit den aktuella länken leder är laglig, eftersom den behandling som utgivaren av internetsidan har utfört omfattas av artikel 9 i direktiv 95/46.
80. Enligt domen Google Spain och Google(36) är det möjligt att en begäran om borttagande går emot en sökmotorleverantör, men är till fördel för utgivaren av den webbsida som det hänvisas till, på grund av artikel 9 i direktiv 95/46. Domstolen ansåg nämligen att ”[d]en behandling som utgivaren av en webbsida utför, vilken består av publicering av information rörande en fysisk person, kan i förekommande fall utföras uteslutande för journalistiska ändamål och således, enligt artikel 9 i direktiv 95/46, omfattas av undantag från de krav som uppställs i direktivet, medan så inte är fallet när det gäller den behandling som utförs av sökmotorleverantören. Det kan således inte uteslutas att den berörda personen under vissa särskilda omständigheter kan göra gällande de rättigheter som avses i artiklarna 12 b och 14 första stycket a i direktiv 95/46 i förhållande till sökmotorleverantören, men inte i förhållande till utgivaren av webbsidan”.(37)
81. Detta avsnitt i domen Google Spain och Google(38) är kärnan i det resonemang som syftar till att motivera att en ”rätt att bli bortglömd” infördes. För att skydda den berörda personens privatliv och rätt till sina uppgifter kan man ”skjuta budbäraren” (även) om det är omöjligt med en ”rättelse vid källan” på grund av den yttrandefrihet som tillkommer utgivaren av en internetsida.
82. Det är frestande att tolka förevarande avsnitt på ett sådant sätt att artikel 9 inte är tillämplig på en sökmotorleverantör.
83. Jag föreslår att domstolen ska stå emot en sådan frestelse.
84. För det första framgår det av fast praxis från Europeiska domstolen för de mänskliga rättigheterna (nedan kallad Europadomstolen) att ”tack vare webbplatsers tillgänglighet samt förmåga att lagra och sprida stora mängder uppgifter bidrar de i stor utsträckning till att förbättra allmänhetens tillgång till nyheter och allmänt att underlätta informationsförmedling”.(39) I ett mål som rörde en webbplats som utgör en av viktigaste fildelningstjänsterna på internet i världen,(40) fann Europadomstolen närmare bestämt att ”artikel 10 i Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, som undertecknades i Rom den 4 november 1950(41), avser inte endast innehållet i informationen utan även hur de förmedlas och inhämtas”.(42)
85. Allmänhetens rätt att ta emot och sprida uppgifter som har tillgängliggjorts på internet skyddas genom artikel 11 i stadgan.(43) Denna rätt avser både uppgifter på källwebbsidor och uppgifter som tillhandahålls av sökmotorer på internet.(44)
86. För det andra är den enda slutsats som kan dras av ovannämnda avsnitt i domen Google Spain och Google(45) att artikel 9 i direktiv 95/46 i sig inte är direkt tillämplig på en sökmotorleverantörers verksamhet. Eftersom en sådan sökmotorleverantörs verksamhet är sekundär i förhållande till den huvudsakliga verksamhet som utövas av den som sprider informationen, är det logiskt att artikel 9 i direktiv 95/46 i första hand avser den som sprider uppgifterna. Den omständigheten att uppgifterna på den aktuella internetsidan omfattas av journalism eller konstnärligt eller litterärt skapande, i den mening som avses i artikel 9 i direktiv 95/46, kan dock inte få som följd att sökmotorleverantören – som, vilket jag konstaterade ovan, är underkastad skyldigheterna i artikel 8 i direktivet – hindras att göra gällande artikel 9 i direktiv 95/46.
87. Det faktum att uppgifter på en internetsida omfattas av artikel 9 i detta direktiv ska utgöra en omständighet som kan innebära att en begäran om borttagande avslås.
88. Artikel 9 i direktiv 95/46 utgör en konkretisering på sekundärrättsnivå av yttrandefriheten, informationsfriheten och mediernas frihet, som föreskrivs i artikel 11 i stadgan. I avvägningen mellan å ena sidan rätten till respekt för privatlivet och skydd av personuppgifterenligt artiklarna 7 och 8 i stadgan och å andra sidan allmänhetens rätt att få tillgång till den aktuella informationen ska det med andra ord beaktas att informationen kommer från en journalist eller utgör ett konstnärligt eller litterärt skapande.
89. Även om domstolen hade kunnat formulera vissa överväganden i domen Google Spain och Google(46) tydligare, är det sammanfattningsvis inte uteslutet att yttrandefriheten inte ska beaktas vid den prövning av huruvida villkoren i artiklarna 12 b och 14 första stycket a i direktiv 95/46 har iakttagits som gjordes i domen. Jag anser att vid avvägningen mellan intresset hos internetanvändare som eventuellt kan vara intresserade av att få tillgång till en internetsida via en sökning på namnet på den berörda personen och den personens grundläggande rättigheter enligt artiklarna 7 och 8 i stadgan, ska man även beakta utgivarnas och internetanvändarnas yttrande- och informationsfrihet, som säkerställs genom artikel 11 i stadgan.
90. Jag anser att det finns stöd för min bedömning i riktlinjerna, där det anges att ”[d]ataskyddsmyndigheterna medger att beroende på sammanhanget kan det vara relevant att undersöka om informationen har publicerats för journalistiska ändamål. Det faktum att information har publicerats av en journalist – vars arbete går ut på att ge information till allmänheten – är en faktor som ska beaktas. Förevarande kriterium är dock i sig inte tillräckligt för att avslå en begäran, eftersom det i domstolens dom görs en klar skillnad mellan den rättsliga grunden för en publicering i medier och den rättsliga grund som tillåter sökmotorer att organisera sökresultat utifrån en persons namn”.(47)
91. Slutligen ska det noteras att artikel 17 i förordning nr 2016/679, som numera kodifierat ”rätten att bli bortglömd”, föreskriver ett undantag i artikel 17.3 a till denna rätt när behandlingen är nödvändig för att utöva rätten till yttrande- och informationsfrihet. Detta undantag är tillämpligt på samtliga grunder i artikel 17.1 i direktiv 95/46 som kan medföra en rätt att bli bortglömd och följaktligen till och med i exempelvis en situation där personuppgifter har behandlats på ett otillåtet sätt (17.1 d). Förordning 2016/679 erkänner således en begränsning av rätten till borttagande av skäl som rör yttrandefrihet och informationsfrihet, även om det är känsliga uppgifter som har behandlats.
92. Jag föreslår således att domstolen ska besvara den andra tolkningsfrågan så, att enligt artikel 8.1 och 8.5 i direktiv 95/46 är en sökmotorleverantör skyldig att systematiskt efterkomma begäranden om borttagande som avser länkar till webbsidor där det finns känsliga uppgifter i den mening som avses i bestämmelsen, med förbehåll för de undantag som föreskrivs i direktiv 95/46, såsom de som föreskrivs i artikel 8.2 a och e i direktivet. Den omständigheten att den aktuella internetsidan omfattas av artikel 9 i direktiv 95/46 utgör däremot en omständighet som kan innebära att begäran om borttagande avslås. I en sådan situation ska sökmotorleverantören göra en avvägning mellan å ena sidan rätten till respekt för privatlivet och skydd av personuppgifter enligt artiklarna 7 och 8 i stadgan, och å andra sidan allmänhetens rätt att få tillgång till den aktuella informationen och den yttrandefrihet som tillkommer den som sprider informationen enligt artikel 11 i stadgan.
D. Den tredje tolkningsfrågan
93. Den tredje frågan har ställts för det fall den första frågan ”besvaras nekande”. Med beaktande av att jag besvarar den jakande saknas det anledning att besvara frågan.
E. Den fjärde tolkningsfrågan
94. Den fjärde frågan består av två delar.
95. Genom den första delen av frågan undrar den hänskjutande domstolen om en sökmotorleverantör är skyldig att efterkomma en begäran om borttagande när den som begärt borttagandet visat att personuppgifter, som har offentliggjorts på den internetsida dit den omtvistade länken leder, är ofullständiga eller felaktiga eller inte är uppdaterade.
96. Den hänskjutande domstolen vill således få klarhet i om en sådan skyldighet föreligger när den som begärt borttagandet visar att, med beaktande av utgången av det rättsliga förfarandet, uppgifterna om ett tidigare skede i förfarandet inte längre motsvarar den faktiska situationen.
97. Genom den andra delen av den fjärde frågan, som särskilt avser de nationella mål som rör B.H. och E.D, undrar den hänskjutande domstolen om uppgifter om en förundersökning avseende en person eller om en rättsprocess, och den efterföljande domen, utgör uppgifter om lagöverträdelser och brottmålsdomar i den mening som avses i artikel 8.5 i direktiv 95/46, och särskilt om en webbsida som innehåller uppgifter om fällande domar och rättsliga förfaranden avseende en fysisk person omfattas av bestämmelsen.
98. Det är nödvändigt att undersöka den andra delen före den första.
99. Enligt artikel 8.5 i direktiv 95/46 får behandling av uppgifter om lagöverträdelser, brottmålsdomar eller säkerhetsåtgärder utföras endast under kontroll av en myndighet eller – om lämpliga skyddsåtgärder finns i nationell lag – med förbehåll för de ändringar som medlemsstaterna kan tillåta med stöd av nationella bestämmelser som innehåller lämpliga och specifika skyddsåtgärder. Ett fullständigt register över brottmålsdomar får dock föras endast under kontroll av en myndighet. Medlemsstaterna får föreskriva att uppgifter som rör administrativa sanktioner eller avgöranden i tvistemål också ska behandlas under kontroll av en myndighet.
100. Jag anser att information om rättsliga förfaranden som har publicerats på internetsidor, såsom den information som är aktuell i målen rörande B.H. och E.D., utgör uppgifter i den mening som avses i artikel 8.5 i direktiv 95/46. Även om straffrättsliga förfaranden inte har lett till en fällande dom, är det fråga om uppgifter om en lagöverträdelse.
101. Nu återstår den andra delen av den fjärde tolkningsfrågan som avser de slutsatser som ska dras av förevarande konstaterande när det gäller artiklar, bland annat i tidningar, som avser ett tidigare skede i ett rättsligt förfarande och som per definition inte längre är aktuella.
102. Mot bakgrund av det svar som föreslagits i samband med den tredje delen av den andra frågan anser jag att när det gäller en tidningsartikel är det lämpligt att anta ett nyanserat synsätt, eftersom det handlar om personuppgifter som uteslutande har återgetts för journalistiska ändamål.
103. Av riktlinjerna framgår att ”[u]nionsmedlemsstaterna kan ha olika tillvägagångssätt när det gäller publicering av information om lagöverträdare och deras överträdelser. Det kan finnas särskilda rättsliga bestämmelser som påverkar tillgången till sådan information över tiden. Dataskyddsmyndigheterna kommer att hantera sådana fall i enlighet med de principer och metoder som är i kraft i varje medlemsstat. I allmänhet är det mer sannolikt att dataskyddsmyndigheterna överväger att ta bort sökresultat som avser relativt ringa överträdelser som begicks för länge sedan än att ta bort sökresultat för grövre brott som begicks närmare i tiden. Det är dock nödvändigt att analysera dessa frågor med försiktighet och att de prövas från fall till fall”.(48)
104. På samma sätt anser jag att det är lämpligt att göra en bedömning från fall till fall när en sökmotorleverantör ska göra en avvägning mellan å ena sidan rätten till respekt för privatlivet och skydd av personuppgifter enligt artiklarna 7 och 8 i stadgan och å andra sidan allmänhetens rätt att få tillgång till den aktuella informationen, samtidigt som det ska beaktas att informationen omfattas av journalism eller konstnärligt eller litterärt skapande.
VI. Förslag till avgörande
105. Mot bakgrund av det ovan anförda föreslår jag att domstolen besvarar de frågor som ställts av Conseil d’État (Högsta förvaltningsdomstolen, Frankrike) på följande sätt:
1) Inom ramen för en sökmotorleverantörs ansvar, behörighet och möjligheter är i princip artikel 8.1 och 8.5 i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, tillämplig på en sådan sökmotorleverantörs verksamhet.
2) Borttagande av en internetsida med uppgifter om att en överträdelse har begåtts eller om lagföring omfattas av tillämpningsområdet för artikel 8.5 i direktiv 95/46.
3) Enligt artikel 8.1 och 8.5 i direktiv 95/46 är en sökmotorleverantör skyldig att systematiskt efterkomma begäranden om borttagande som avser länkar till webbsidor där det finns känsliga uppgifter i den mening som avses i bestämmelsen, med förbehåll för de undantag som föreskrivs i direktiv 95/46, såsom de som föreskrivs i artikel 8.2 a och e i direktivet.
4) Den omständigheten att den aktuella internetsidan omfattas av artikel 9 i direktiv 95/46 utgör däremot en omständighet som kan innebära att begäran om borttagande avslås. I en sådan situation ska sökmotorleverantören göra en avvägning mellan å ena sidan rätten till respekt för privatlivet och rätten till dataskydd enligt artiklarna 7 och 8 i Europeiska unionens stadga om de grundläggande rättigheterna och å andra sidan allmänhetens rätt att få tillgång till den aktuella informationen och den yttrandefrihet som tillkommer den som sprider informationen enligt artikel 11 i stadgan.