Language of document : ECLI:EU:C:2019:773

Mål C136/17

GC m.fl.

mot

Commission nationale de l'informatique et des libertés (CNIL)

(begäran om förhandsavgörande från Conseil d’État (Frankrike))

 Domstolens dom (stora avdelningen) av den 24 september 2019

”Begäran om förhandsavgörande – Personuppgifter – Skydd för fysiska personer med avseende på behandling av sådana uppgifter på webbsidor – Direktiv 95/46/EG – Förordning (EU) 2016/679 – Sökmotorer på internet – Behandling av uppgifter som finns på webbplatser – Sådana särskilda kategorier av uppgifter som avses i artikel 8 i direktivet och artiklarna 9 och 10 i förordningen – Frågan huruvida de bestämmelserna är tillämpliga på en sökmotorleverantör – Omfattningen av sökmotorleverantörens skyldigheter enligt de bestämmelserna – Publicering av uppgifterna på webbplatser uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande – Inverkan på behandlingen av en begäran om borttagande av länkar – Artiklarna 7, 8 och 11 i Europeiska unionens stadga om de grundläggande rättigheterna”

1.        Tillnärmning av lagstiftning – Skydd för enskilda personer med avseende på behandling av personuppgifter – Artikel 2 i direktiv 95/46 – Behandling av personuppgifter – Begrepp – Sökmotorverksamhet bestående i att finna information som publicerats eller placerats på internet av tredje man, indexera den, lagra den och ställa den till internetanvändarnas förfogande – Omfattas – Ansvarig för behandlingen – Begrepp – Sökmotorleverantör – Omfattas

(Europaparlamentets och rådets direktiv 95/46, artikel 2 b och d)

(se punkterna 35–37)

2.        Tillnärmning av lagstiftning – Skydd för enskilda personer med avseende på behandling av personuppgifter – Direktiv 95/46 – Behandling av särskilda kategorier av personuppgifter – Förbud mot eller begränsningar av behandlingen av de kategorierna av uppgifter – Tillämplighet på en sökmotorleverantör – Villkor

(Europaparlamentets och rådets förordning nr 2016/679, artiklarna 9.1 och 10, Europaparlamentets och rådets direktiv 95/46, artikel 8.1 och 8.5)

(se punkterna 42–48 samt punkt 1 i domslutet)

3.        Tillnärmning av lagstiftning – Skydd för enskilda personer med avseende på behandling av personuppgifter – Artiklarna 12 och 14 i direktiv 95/46 – Rätt för den berörda personen att få tillgång till personuppgifter och rätt att motsätta sig att de behandlas – Rätt att begära att de tas bort från listan över sökresultat med länkar till webbsidor – Villkor

(Europaparlamentets och rådets direktiv 95/46, artiklarna 12 b och 14 första stycket a)

(se punkterna 50–52)

4.        Tillnärmning av lagstiftning – Skydd för enskilda personer med avseende på behandling av personuppgifter – Artiklarna 12 och 14 i direktiv 95/46 – Rätt för den berörda personen att få tillgång till personuppgifter och rätt att motsätta sig att de behandlas – Sökning med en sökmotor på en persons namn – Lista över sökresultat – Rätt att begära att den informationen inte längre ska hållas tillgänglig för allmänheten

(Europeiska unionens stadga om de grundläggande rättigheterna, artiklarna 7 och 8; Europaparlamentets och rådets direktiv 95/46, artiklarna 6.1 c–e, 12 b och 14 första stycket a)

(se punkt 53)

5.        Grundläggande rättigheter – Respekt för privatlivet – Skydd för personuppgifter – Begränsningar – Villkor

(Europeiska unionens stadga om de grundläggande rättigheterna, artiklarna 7, 8 och 52.1)

(se punkt 58)

6.        Tillnärmning av lagstiftning – Skydd för enskilda personer med avseende på behandling av personuppgifter – Direktiv 95/46 – Behandling av särskilda kategorier av personuppgifter – Begäran om borttagande – Skyldighet för en sökmotorleverantör att efterkomma en sådan begäran – Undantag – Uppgifter som uppenbart offentliggjorts av den berörda personen – Villkor

(Europaparlamentets och rådets förordning nr 2016/679, artiklarna 9.2 a, e och g, 17.1 b och c och 21.1;. Europaparlamentets och rådets direktiv 95/46, artiklarna 8.1, 8.2 a och e, 8.4 och 14 första stycket a)

(se punkterna 61–65 samt punkt 2 i domslutet)

7.        Tillnärmning av lagstiftning – Skydd för enskilda personer med avseende på behandling av personuppgifter – Direktiv 95/46 – Behandling avseende särskilda kategorier av personuppgifter – Begäran om borttagande – Skyldighet för en sökmotorleverantör att efterkomma en sådan begäran – Undantag – Skydd för internetanvändarnas informationsfrihet – Prövning som ska utföras av sökmotorleverantören

(Europeiska unionens stadga om de grundläggande rättigheterna, artiklarna 7, 8 och 52.1; Europaparlamentets och rådets förordning nr 2016/679, artiklarna 9.1 och 10; Europaparlamentets och rådets direktiv 95/46, artikel 8.1 och 8.5)

(se punkterna 66–69 samt punkt 2 i domslutet)

8.        Tillnärmning av lagstiftning – Skydd för enskilda personer med avseende på behandling av personuppgifter – Direktiv 95/46 – Behandling avseende särskilda kategorier av personuppgifter – Uppgifter om överträdelser och fällande domar i brottmål – Begrepp – Uppgifter om ett domstolsförfarande – Omfattas – Begäran om borttagande – Skyldighet för en sökmotorleverantör att efterkomma en sådan begäran – Villkor – Avvägning mellan den berörda personens rätt till skydd för privatlivet och internetanvändarnas informationsfrihet – Prövning som ska utföras av sökmotorleverantören

(Europeiska unionens stadga om de grundläggande rättigheterna, artiklarna 7, 8 och 11; Europaparlamentets och rådets förordning nr 2016/679, artiklarna 5.1 c–e och 10; Europaparlamentets och rådets direktiv 95/46, artiklarna 6.1 c–e, 8.4 och 8.5)

(se punkterna 72–79 samt punkt 3 i domslutet)

Resumé

Förbudet mot att behandla vissa kategorier av känsliga personuppgifter gäller även sökmotorleverantörer

Genom dom av den 24 september 2019 i mål C‑136/17, GC m.fl. (borttagande av länkar till känsliga uppgifter), preciserade domstolen (stora avdelningen) vilka skyldigheter en sökmotorleverantör har vid en begäran om borttagande av länkar till känsliga uppgifter.

Google hade vägrat att bifalla fyra personers begäran om att, från den lista över sökresultat som visas av sökmotorn efter en sökning på personernas respektive namn, ta bort olika länkar som ledde till webbsidor publicerade av tredje man, med bland annat tidningsartiklar. De fyra personerna gav in klagomål till Commission nationale de l’informatique et des libertés (CNIL) (Frankrike), som dock inte ålade Google att ta bort länkarna i fråga. Efter överklagande till Conseil d’État (Högsta förvaltningsdomstolen, Frankrike) begärde den domstolen att EU-domstolen skulle precisera vilka skyldigheter som åligger en sökmotorleverantör vid en begäran om borttagande enligt direktiv 95/46.(1)

EU-domstolen erinrade för det första om att behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv är förbjuden,(2) med vissa undantag. När det gäller behandling av uppgifter om lagöverträdelser, brottmålsdomar eller säkerhetsåtgärder kan den i princip endast utföras under kontroll av en myndighet eller om lämpliga och specifika garantier föreskrivs i nationell rätt.(3)

Domstolen har slagit fast att förbudet mot och begränsningarna av behandlingen av dessa särskilda kategorier av uppgifter är tillämpliga på en sökmotorleverantör i likhet med alla andra ansvariga för behandling av personuppgifter. Syftet med dessa förbud och begränsningar är nämligen att säkerställa ett utökat skydd mot sådan behandling som, på grund av att uppgifterna är särskilt känsliga, kan utgöra ett särskilt allvarligt ingrepp i den grundläggande rätten till respekt för privatlivet och skydd för personuppgifter.(4)

Sökmotorleverantören är emellertid inte ansvarig för den omständigheten att personuppgifter återfinns på en webbsida som publicerats av tredje man, utan för hänvisningen till den sidan. Förbudet mot och begränsningarna av behandlingen av känsliga uppgifter gäller således endast sökmotorleverantören vad beträffar hänvisningen, och därmed i samband med den prövning som sökmotorleverantören, under tillsyn av behöriga nationella myndigheter, gör när den har mottagit en begäran från den berörda personen.

För det andra har domstolen slagit fast att när en sökmotorleverantör har mottagit en begäran om borttagande som avser känsliga uppgifter är denne, med vissa undantag, i princip skyldig att efterkomma denna begäran. När det gäller dessa undantag kan sökmotorleverantören bland annat vägra att efterkomma en sådan begäran när denne konstaterar att länkarna leder till uppgifter som offentliggjorts av den berörda personen själv,(5) förutsatt att hänvisningen till länkarna uppfyller övriga villkor för att behandling av personuppgifter ska vara tillåten och såvida inte personen i fråga av skäl som hänför sig till hans eller hennes specifika situation har rätt att göra invändningar mot hänvisningen.(6)

I alla händelser ska en sökmotorleverantör som mottar en begäran om borttagande pröva om det är strikt nödvändigt att inkludera en länk till en webbsida med känsliga uppgifter som redovisas efter en sökning på den registrerades namn för att skydda informationsfriheten för de internetanvändare(7) som eventuellt är intresserade av att få tillgång till den webbsidan genom en sådan sökning. Domstolen har betonat att även om rätten till respekt för privatlivet och skydd för personuppgifter i allmänhet har företräde framför internetanvändarnas informationsfrihet, kan denna avvägning i det enskilda fallet vara beroende av uppgifternas art och hur känsliga de är beträffande den berörda personens privatliv samt allmänhetens intresse av att få tillgång till denna information, vilket kan variera bland annat med hänsyn till personens roll i det offentliga livet.

För det tredje har domstolen slagit fast att det vid en begäran om borttagande av länkar till uppgifter om ett straffrättsligt förfarande mot den berörda personen, som hänför sig till ett tidigare skede i förfarandet och inte längre motsvarar den aktuella situationen, ankommer på sökmotorleverantören att bedöma om nämnda person, med beaktande av samtliga omständigheter i det enskilda fallet, har rätt att kräva att uppgifterna i det aktuella skedet inte längre kopplas till dennes namn genom en lista över sökresultat som visas efter en sökning på dennes namn. Även om så inte skulle vara fallet, av den anledningen att det är strikt nödvändigt att inkludera länken för att förena rätten till respekt för privatlivet och till skydd för den registrerades personuppgifter med eventuellt intresserade internetanvändares informationsfrihet, måste sökmotorleverantören i alla händelser, senast i samband med begäran om borttagande av länkar, ordna listan över sökresultat på ett sådant sätt att det helhetsintryck som listan ger internetanvändarna återspeglar den aktuella rättsliga situationen, vilket bland annat fordrar att länkar till webbsidor med information om detta redovisas överst på listan.


1      Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31). Det direktivet upphävdes, med verkan från den 25 maj 2018, genom Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1).


2      Artikel 8.1 i direktiv 95/46 och artikel 9.1 i förordning 2016/679.


3      Artikel 8.5 i direktiv 95/46 och artikel 10 i förordning 2016/679.


4      Rätten till respekt för privatlivet och skydd för personuppgifter garanteras genom artiklarna 7 och 8 i Europeiska unionens stadga om de grundläggande rättigheterna.


5      Artikel 8.2 e i direktiv 95/46 och artikel 9.2 e i förordning 2016/679.


6      Artikel 14 första stycket a i direktiv 95/46 och artikel 21.1 i förordning 2016/679.


7      Yttrande- och informationsfriheten är stadfäst i artikel 11 i Europeiska unionens stadga om de grundläggande rättigheterna.