FORSLAG TIL AFGØRELSE FRA GENERALADVOKAT
M. SZPUNAR
fremsat den 10. januar 2019 (1)
Sag C-507/17
Google LLC, indtrådt i Google Inc.’s rettigheder,
mod
Commission nationale de l’informatique et des libertés (CNIL)
procesdeltagere:
Wikimedia Foundation Inc.,
Fondation pour la liberté de la presse,
Microsoft Corp.,
Reporters Committee for Freedom of the Press m.fl.,
Article 19 m.fl.,
Internet Freedom Foundation m.fl.,
Défenseur des droits
(anmodning om præjudiciel afgørelse indgivet af Conseil d’État (øverste domstol i forvaltningsretlige sager, Frankrig))
»Præjudiciel forelæggelse – personoplysninger – rækkevidde af retten til at få fjernet links – dom af 13. maj 2014, Google Spain og Google, C-131/12 – fjernelse af links fra domæneendelsen svarende til den medlemsstat, som anmodningen omhandler, eller fra søgemaskinens domæneendelser svarende til søgemaskinens nationale domæneendelser for samtlige medlemsstater«
I. Indledning
1. Den foreliggende anmodning om præjudiciel afgørelse fra Conseil d’État (øverste domstol i forvaltningsretlige sager, Frankrig) er indgivet i forlængelse af dommen i sagen Google Spain og Google (2) og giver navnlig Domstolen lejlighed til at præcisere det territoriale anvendelsesområde for direktiv 95/46/EF (3). Det er velkendt, at Domstolen i den nævnte sag har fastslået en »ret til at blive glemt«, idet en person på visse betingelser kan få søgemaskineudbyderen til at fjerne links. I den foreliggende sag anmodes Domstolen om at præcisere den territoriale rækkevidde af en fjernelse af links og fastslå, om bestemmelserne i direktiv 95/46 kræver en sådan fjernelse på nationalt, europæisk eller globalt plan.
2. I den foreliggende sag foreslår jeg Domstolen en fjernelse af links på europæisk plan, dvs. at søgemaskineudbyderen bør være forpligtet til at fjerne de links, der vises på resultatlisten efter en søgning foretaget fra et sted inden for Den Europæiske Union.
II. Retsforskrifter
A. EU-retten
1. Direktiv 95/46
3. Ifølge artikel 1 i direktiv 95/46 har direktivet til formål at beskytte fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af personoplysninger samt at fjerne hindringer for den frie udveksling af disse oplysninger.
4. Artikel 2 i direktiv 95/46 bestemmer, at »[i] dette direktiv forstås ved:
a) »personoplysninger« enhver form for information om en identificeret eller identificerbar fysisk person (»den registrerede«); ved identificerbar person forstås en person, der direkte eller indirekte kan identificeres, bl.a. ved et identifikationsnummer eller et eller flere elementer, der er særlige for denne persons fysiske, fysiologiske, psykiske, økonomiske, kulturelle eller sociale identitet
b) »behandling af personoplysninger« (»behandling«) enhver operation eller række af operationer – med eller uden brug af elektronisk databehandling – som personoplysninger gøres til genstand for, f.eks. indsamling, registrering, systematisering, opbevaring, tilpasning eller ændring, selektion, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring samt blokering, slettelse eller tilintetgørelse
[…]
d) »den registeransvarlige« den fysiske eller juridiske person, offentlige myndighed, institution eller ethvert andet organ, der alene eller sammen med andre afgør, til hvilket formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger; er formålet med og hjælpemidlerne ved behandlingen fastlagt ved nationale love eller forskrifter eller på fællesskabsplan, kan den registeransvarlige, eller de specifikke kriterier for udpegelse af denne, angives i den pågældende nationale ret eller i fællesskabsretten
[…]
h) »den registreredes samtykke« enhver frivillig, specifik og informeret viljetilkendegivelse, hvorved den registrerede indvilliger i, at personoplysninger, der vedrører den pågældende selv, gøres til genstand for behandling«.
5. Dette direktivs artikel 3 med overskriften »Anvendelsesområde« bestemmer i stk. 1:
»Dette direktivs bestemmelser anvendes på behandling af personoplysninger, der helt eller delvis foretages ved hjælp af edb, samt på ikke-elektronisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.«
6. Direktivets artikel 4 med overskriften »Gældende national ret« fastsætter:
»1. Medlemsstaterne anvender de nationale bestemmelser, de vedtager til gennemførelse af dette direktiv, på behandling af personoplysninger:
a) der foretages som led i en virksomheds eller et organs aktiviteter inden for den medlemsstats område, hvor den registeransvarlige er etableret; en registeransvarlig, som er etableret på flere medlemsstaters område, skal træffe de nødvendige foranstaltninger til at sikre, at hver af disse virksomheder eller organer opfylder kravene i den gældende nationale lovgivning
[…]«
7. Artikel 6 i direktiv 95/46, der er indeholdt i kapitel II, afdeling I, med overskriften »Principper vedrørende oplysningernes pålidelighed«, har følgende ordlyd:
»1. Medlemsstaterne fastsætter bestemmelser om, at personoplysninger
a) skal behandles rimeligt og lovligt
b) skal indsamles til udtrykkeligt angivne og legitime formål, samt at senere behandling heraf ikke må være uforenelig med disse formål; senere behandling af oplysninger i historisk, statistisk eller videnskabeligt øjemed anses ikke for at være uforenelig med disse formål, såfremt medlemsstaterne giver de fornødne garantier
c) skal være relevante og tilstrækkelige og ikke omfatte mere end, hvad der kræves til opfyldelse af de formål, hvortil de indsamles, og til de formål, hvortil de senere behandles
d) skal være korrekte og om nødvendigt ajourførte; der skal tages ethvert rimeligt skridt til at slette eller berigtige oplysninger, der er urigtige eller ufuldstændige i forhold til det formål, hvortil de indsamles, eller i forbindelse med hvilke de behandles på et senere tidspunkt
e) ikke må opbevares på en måde, der giver mulighed for at identificere de registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil de indsamles, eller i forbindelse med hvilke de behandles på et senere tidspunkt[; m]edlemsstaterne fastsætter de fornødne garantier for personoplysninger, der i historisk, statistisk eller videnskabeligt øjemed opbevares længere end i ovennævnte periode.
2. Det påhviler den registeransvarlige at sikre, at bestemmelserne i stk. 1 overholdes.«
8. Artikel 7 i direktiv 95/46, der er indeholdt i kapitel II, afdeling II, med overskriften »Principper vedrørende grundlaget for behandling af oplysninger«, fastsætter:
»Medlemsstaterne fastsætter bestemmelser om, at behandling af personoplysninger kun må finde sted, hvis:
[…]
f) behandlingen er nødvendig for, at den registeransvarlige eller den tredjemand eller de tredjemænd, til hvem oplysningerne videregives, kan forfølge en legitim interesse, medmindre den registreredes interesser eller de grundlæggende rettigheder og frihedsrettigheder, der skal beskyttes i henhold til artikel 1, stk. 1, i dette direktiv, går forud herfor.«
9. Dette direktivs artikel 12 med overskriften »Ret til indsigt« bestemmer:
»Medlemsstaterne sikrer enhver registreret ret til hos den registeransvarlige
[…]
b) efter omstændighederne at få oplysninger, som ikke er blevet behandlet i overensstemmelse med dette direktiv, berigtiget, slettet eller blokeret, navnlig hvis de er ufuldstændige eller urigtige
[…]«
10. Det nævnte direktivs artikel 14 med overskriften »Den registreredes indsigelsesret« bestemmer:
»Medlemsstaterne indrømmer den registrerede ret til
a) i det mindste i de i artikel 7, litra e) og f), omhandlede tilfælde af vægtige legitime grunde, der vedrører den pågældendes særlige situation, til enhver tid at gøre indsigelse mod, at personoplysninger om ham selv gøres til genstand for behandling, medmindre andet er bestemt i den nationale lovgivning; i tilfælde af berettiget indsigelse må den af den registeransvarlige iværksatte behandling ikke længere omfatte de pågældende oplysninger
[…]«
11. Samme direktivs artikel 28 med overskriften »Tilsynsmyndighed« har følgende ordlyd:
»1. Hver medlemsstat drager omsorg for, at der udpeges en eller flere offentlige myndigheder, der har til opgave på dens område at påse overholdelsen af de bestemmelser, medlemsstaten vedtager til gennemførelse af dette direktiv.
[…]
3. Hver tilsynsmyndighed skal bl.a. kunne:
– iværksætte undersøgelser og bl.a. have adgang til de oplysninger, der gøres til genstand for en behandling, og til at indsamle alle oplysninger, der er nødvendige for at varetage dens tilsynsopgaver
– gribe effektivt ind ved f.eks. at […] beordre oplysninger blokeret, slettet eller tilintetgjort, [eller] midlertidigt eller definitivt at forbyde en behandling […]
[…]
Afgørelser truffet af tilsynsmyndigheden, som går en involveret part imod, kan indbringes for en retsinstans.
4. Enhver kan, eventuelt repræsenteret ved en sammenslutning, til tilsynsmyndigheden indgive en anmodning om beskyttelse af sine rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger. Den pågældende underrettes om, hvorledes sagen følges op.
[…]
6. Den enkelte tilsynsmyndighed er, uanset hvilken national lov der måtte gælde for den pågældende behandling, kompetent til på sin medlemsstats område at udøve de beføjelser, der tillægges den i overensstemmelse med stk. 3 i denne artikel. Myndigheden kan blive anmodet om at udøve sine beføjelser af en myndighed i en anden medlemsstat.
Tilsynsmyndighederne samarbejder med hinanden i det omfang, det er nødvendigt for at opfylde deres pligter, navnlig ved at udveksle alle nyttige oplysninger.
[…]«
2. Forordning (EU) 2016/679
12. Forordning (EU) 2016/679 (4) finder i henhold til artikel 99, stk. 2, anvendelse fra den 25. maj 2018. Denne forordnings artikel 94, stk. 1, bestemmer, at direktiv 95/46 ophæves med virkning fra samme dato.
13. Denne forordnings artikel 17 med overskriften »Ret til sletning (»retten til at blive glemt«)« har følgende ordlyd:
»1. Den registrerede har ret til at få personoplysninger om sig selv slettet af den dataansvarlige uden unødig forsinkelse, og den dataansvarlige har pligt til at slette personoplysninger uden unødig forsinkelse, hvis et af følgende forhold gør sig gældende:
a) Personoplysningerne er ikke længere nødvendige til at opfylde de formål, hvortil de blev indsamlet eller på anden vis behandlet.
b) Den registrerede trækker det samtykke, der er grundlaget for behandlingen, jf. artikel 6, stk. 1, litra a), eller artikel 9, stk. 2, litra a), tilbage, og der er ikke et andet retsgrundlag for behandlingen.
c) Den registrerede gør indsigelse mod behandlingen i henhold til artikel 21, stk. 1, og der foreligger ikke legitime grunde til behandlingen, som går forud for indsigelsen, eller den registrerede gør indsigelse mod behandlingen i medfør af artikel 21, stk. 2.
d) Personoplysningerne er blevet behandlet ulovligt.
e) Personoplysningerne skal slettes for at overholde en retlig forpligtelse i EU-retten eller medlemsstaternes nationale ret, som den dataansvarlige er underlagt.
f) Personoplysningerne er blevet indsamlet i forbindelse med udbud af informationssamfundstjenester som omhandlet i artikel 8, stk. 1.
2. Hvis den dataansvarlige har offentliggjort personoplysningerne og i henhold til stk. 1 er forpligtet til at slette personoplysningerne, træffer den dataansvarlige under hensyntagen til den teknologi, der er tilgængelig, og omkostningerne ved implementeringen, rimelige foranstaltninger, herunder tekniske foranstaltninger, for at underrette de dataansvarlige, som behandler personoplysningerne, om, at den registrerede har anmodet disse dataansvarlige om at slette alle link til eller kopier eller gengivelser af de pågældende personoplysninger.
3. Stk. 1 og 2 finder ikke anvendelse, i det omfang denne behandling er nødvendig:
a) for at udøve retten til ytrings- og informationsfrihed
b) for at overholde en retlig forpligtelse, der kræver behandling i henhold til EU-retten eller medlemsstaternes nationale ret, og som den dataansvarlige er underlagt, eller for at udføre en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt
c) af hensyn til samfundsinteresser på folkesundhedsområdet i overensstemmelse med artikel 9, stk. 2, litra h) og i), samt artikel 9, stk. 3
d) til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål i overensstemmelse med artikel 89, stk. 1, i det omfang den rettighed, der er omhandlet i stk. 1, sandsynligvis vil gøre det umuligt eller i alvorlig grad hindre opfyldelse af denne behandling, eller
e) for, at retskrav kan fastlægges, gøres gældende eller forsvares.«
14. Artikel 18 i forordning 2016/679 med overskriften »Ret til begrænsning af behandling« har følgende ordlyd:
»1. Den registrerede har ret til fra den dataansvarlige at opnå begrænsning af behandling, hvis et af følgende forhold gør sig gældende:
a) [R]igtigheden af personoplysningerne bestrides af den registrerede, i perioden indtil den dataansvarlige har haft mulighed for at fastslå, om personoplysningerne er korrekte.
b) [B]ehandlingen er ulovlig, og den registrerede modsætter sig sletning af personoplysningerne og i stedet anmoder om, at anvendelse heraf begrænses.
[…]
d) [D]en registrerede har gjort indsigelse mod behandlingen i medfør af artikel 21, stk. 1, i perioden mens det kontrolleres, om den dataansvarliges legitime interesser går forud for den registreredes legitime interesser.
2. Hvis behandling er blevet begrænset i medfør af stk. 1, må sådanne personoplysninger, bortset fra opbevaring, kun behandles med den registreredes samtykke eller med henblik på, at et retskrav kan fastlægges, gøres gældende eller forsvares eller for at beskytte en anden fysisk eller juridisk person eller af hensyn til Unionens eller en medlemsstats vigtige samfundsinteresser.
3. En registreret, der har opnået begrænsning af behandling i medfør af stk. 1, underrettes af den dataansvarlige, inden begrænsningen af behandlingen ophæves.«
15. Denne forordnings artikel 21, stk. 1, med overskriften »Ret til indsigelse« bestemmer:
»Den registrerede har til enhver tid ret til af grunde, der vedrører den pågældendes særlige situation, at gøre indsigelse mod behandling af sine personoplysninger baseret på artikel 6, stk. 1, litra e) eller f), herunder profilering baseret på disse bestemmelser. Den dataansvarlige må ikke længere behandle personoplysningerne, medmindre den dataansvarlige påviser vægtige legitime grunde til behandlingen, der går forud for registreredes interesser, rettigheder og frihedsrettigheder, eller behandlingen er nødvendig for, at retskrav kan fastlægges, gøres gældende eller forsvares.«
16. Denne forordnings artikel 85 med overskriften »Behandling og ytrings- og informationsfriheden« bestemmer:
»1. Medlemsstaterne forener ved lov retten til beskyttelse af personoplysninger i henhold til denne forordning med retten til ytrings- og informationsfrihed, herunder behandling i journalistisk øjemed og med henblik på akademisk, kunstnerisk eller litterær virksomhed.
2. Til behandling i journalistisk øjemed eller med henblik på akademisk, kunstnerisk eller litterær virksomhed fastsætter medlemsstaterne undtagelser eller fravigelser fra kapitel II (principper), kapitel III (den registreredes rettigheder), kapitel IV (dataansvarlig og databehandler), kapitel V (overførsel af personoplysninger til tredjelande eller internationale organisationer), kapitel VI (uafhængige tilsynsmyndigheder), kapitel VII (samarbejde og sammenhæng) og kapitel IX (specifikke databehandlingssituationer), hvis de er nødvendige for at forene retten til beskyttelse af personoplysninger med ytrings- og informationsfriheden.
3. Hver medlemsstat giver Kommissionen meddelelse om de lovbestemmelser, som den har vedtaget i henhold til stk. 2, og underretter den straks om alle senere ændringslove eller ændringer, der berører dem.«
B. Fransk ret
17. Direktiv 95/46 er blevet gennemført i fransk ret ved loi nº 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (lov nr. 78-17 af 6.1.1978 om informationsteknologi, registre og frihedsrettigheder) (herefter »lov af 6. januar 1978«).
III. De faktiske omstændigheder og retsforhandlingerne i hovedsagen
18. Ved afgørelse af 21. maj 2015 pålagde formanden for Commission nationale de l’informatique et des libertés (CNIL) (Den Nationale Kommission for Databehandling og Frihedsrettigheder, herefter »CNIL«), idet hun efterkom en anmodning fra en fysisk person om fjernelse af links, selskabet Google LLC at fjerne links til websider fra den resultatliste, der vises efter en søgning på den anmodende persons navn, og at foretage fjernelsen på alle sin søgemaskines domæneendelser.
19. Google nægtede at efterkomme dette pålæg og nøjedes med alene at slette de omhandlede links fra den resultatliste, der vises efter søgninger foretaget via udgaver af dens søgemaskine, hvis domæneendelse svarer til en EU-medlemsstat.
20. Endvidere fandt CNIL, at det supplerende forslag om såkaldt »geoblokering«, som Google fremsatte efter udløbet af fristen for pålægget, og som bestod i at fjerne muligheden for fra en IP-adresse, der antages at være lokaliseret i den stat, hvor den omhandlede person er bosat, at få adgang til de omtvistede resultater af en søgning foretaget på den pågældendes navn, uanset hvilken udgave af søgemaskinen internetbrugeren benytter, var utilstrækkeligt.
21. Efter at have fastslået, at Google ikke inden den fastsatte frist havde efterkommet pålægget, udstedte CNIL ved afgørelse af 10. marts 2016 en bøde til Google på 100 000 EUR og offentliggjorde denne sanktion.
22. Ved stævning indgivet til Conseil d’État (øverste domstol i forvaltningsretlige sager) nedlagde Google påstand om annullation af denne afgørelse.
23. I forbindelse med denne procedure gav Conseil d’État (øverste domstol i forvaltningsretlige sager) Wikimedia Foundation Inc., Fondation pour la liberté de la presse, Microsoft Corp., Reporters Committee for Freedom of the Press m.fl., Article 19 m.fl. samt Internet Freedom Foundation m.fl. tilladelse til at indtræde i sagen, idet de godtgjorde at have en tilstrækkelig interesse i en annullation af den anfægtede afgørelse.
24. Conseil d’État (øverste domstol i forvaltningsretlige sager) har anført, at den behandling af personoplysninger, som den af Google udbudte søgemaskine udfører, er omfattet af anvendelsesområdet for lov af 6. januar 1978, som gennemfører direktiv 95/46 i fransk ret, når henses til den reklame og det salg af reklameplads, som dets datterselskab Google France varetager i Frankrig.
25. Conseil d’État (øverste domstol i forvaltningsretlige sager) har i øvrigt konstateret, at Google driver sin søgemaskine med forskellige domænenavne ved hjælp af geografiske domæneendelser for at tilpasse de viste resultater til de særlige træk, især sproglige, der kendetegner de lande, hvori dette selskab driver virksomhed. Når søgningen foretages fra »google.com«, foretager Google i princippet en automatisk omdirigering af denne søgning til det domænenavn, hvis endelse svarer til det land, hvorfra søgningen takket være identificeringen af internetbrugerens IP-adresse antages at være foregået. Uafhængigt af denne lokalisering har internetbrugeren imidlertid mulighed for at foretage sine søgninger på søgemaskinens andre domænenavne. Selv om resultaterne kan variere, alt efter hvilket af søgemaskinens domænenavne søgningen er foregået på, er det imidlertid ubestridt, at de links, der vises som resultat af en søgning, hidrører fra fælles databaser og en fælles indeksering.
26. I betragtning af den omstændighed, dels at domænenavnene for Googles søgemaskine alle kan tilgås fra fransk område, dels at der findes gateways mellem disse domænenavne, hvilket navnlig illustreres af den automatiske omdirigering og oven i købet forekomsten af cookies på andre af søgemaskinens domæneendelser end den, hvor de først blev lagret, er det Conseil d’États (øverste domstol i forvaltningsretlige sager) opfattelse, at denne søgemaskine, som i øvrigt kun har været genstand for en enkelt anmeldelse over for CNIL, i henhold til lov af 6. januar 1978 bør anses for at foretage én enkelt behandling af personoplysninger. Det følger heraf, at den behandling af personoplysninger, som foretages af Googles søgemaskine, foregår hos en af selskabets enheder, Google France, som er etableret på fransk område og dermed er omfattet af lov af 6. januar 1978.
27. Google har for Conseil d’État (øverste domstol i forvaltningsretlige sager) gjort gældende, at den omtvistede sanktion er baseret på en fejlagtig fortolkning af bestemmelserne i lov af 6. januar 1978, som gennemfører artikel 12, litra b), og artikel 14, litra a), i direktiv 95/46, på grundlag af hvilke bestemmelser Domstolen i sin dom i sagen Google Spain og Google (5) anerkendte en »ret til at få fjernet links«. Google har gjort gældende, at denne ret ikke nødvendigvis indebærer, at de omtvistede links skal fjernes, uden geografisk begrænsning, fra alle søgemaskinens domænenavne. I øvrigt er det Googles opfattelse, at CNIL ved at vælge en sådan fortolkning har tilsidesat princippet om venskabeligt samkvem og princippet om ikke-indblanding som anerkendt i folkeretten og har foretaget et uforholdsmæssigt indgreb i ytrings-, informations-, kommunikations- og pressefriheden, som navnlig garanteres af bestemmelserne i artikel 11 i Den Europæiske Unions charter om grundlæggende rettigheder (herefter »chartret«).
IV. De præjudicielle spørgsmål og retsforhandlingerne for Domstolen
28. Efter at have konstateret, at denne argumentation frembyder flere alvorlige vanskeligheder med hensyn til fortolkningen af direktiv 95/46, har Conseil d’État (øverste domstol i forvaltningsretlige sager) besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:
»1) Skal »retten til at få fjernet links« som fastslået af [Domstolen] i [dommen i sagen Google Spain og Google (6)] på grundlag af artikel 12, litra b), og artikel 14, litra a), i direktiv [95/46] fortolkes således, at en søgemaskineudbyder, når denne efterkommer en anmodning om at få fjernet links, skal foretage denne fjernelse af links fra alle domænenavnene i dennes søgemaskine, således at de omtvistede links ikke længere kommer frem, uanset hvorfra søgningen foretages på det navn, der søges slettet, herunder uden for det territoriale anvendelsesområde for direktiv [95/46]?
2) Såfremt det første spørgsmål besvares benægtende, skal »retten til at få fjernet links«, som fastslået af [Domstolen] i den førnævnte dom, da fortolkes således, at en søgemaskineudbyder alene er forpligtet til, når denne efterkommer en anmodning om fjernelse af links, at fjerne de omtvistede links fra resultaterne af en søgning foretaget på det navn, der ønskes slettet, fra det domænenavn, der svarer til den stat, hvorfra anmodningen antages at hidrøre, eller mere generelt er forpligtet til at fjerne de pågældende links fra de domænenavne i søgemaskinen, der svarer til de nationale [domæneendelser] af denne søgemaskine i alle Den Europæiske Unions medlemsstater?
3) I tillæg til forpligtelsen i [det andet spørgsmål] skal »retten til at få fjernet links«, således som fastslået af [Domstolen] i den førnævnte dom, fortolkes således, at en søgemaskineudbyder, der efterkommer en anmodning om fjernelse af links, er forpligtet til ved hjælp af teknikken »geoblokering« at fjerne de omtvistede resultater af en søgning foretaget på den pågældendes navn fra en IP-adresse, der antages at være lokaliseret i den stat, hvor den person, der har »ret til at få fjernet links«, er bosat, eller mere generelt er forpligtet til at fjerne de omtvistede søgeresultater fra en IP-adresse, der antages at være lokaliseret i en hvilken som helst af de medlemsstater, der er omfattet af direktiv [95/46], uafhængigt af, hvilket domænenavn den internetbruger, der udfører søgningen, anvender?«
29. Der er indgivet skriftlige indlæg af Google, CNIL, Wikimedia Foundation, Fondation pour la liberté de la presse, Reporters Committee for Freedom of the Press m.fl., Article 19 m.fl., Internet Freedom Foundation m.fl., Défenseur des droits, den franske regering, Irland, den græske, den italienske, den østrigske og den polske regering samt Europa-Kommissionen.
30. Alle disse parter, med undtagelse af Défenseur des droits og den italienske regering, samt Microsoft deltog i retsmødet, der blev afholdt den 11. september 2018.
V. Bedømmelse
31. Den forelæggende rets spørgsmål vedrører fortolkningen af bestemmelserne i direktiv 95/46 og ikke bestemmelserne i forordning 2016/679. Denne forordning, som har fundet anvendelse siden den 25. maj 2018 (7), har imidlertid ophævet direktivet med virkning fra samme dato (8).
32. Da det af fransk forvaltningsretspleje fremgår, at den lov, der finder anvendelse på en tvist, er den lov, som er gældende på datoen for en anfægtet afgørelse, er der ingen tvivl om, at det er direktiv 95/46, der finder anvendelse på tvisten i hovedsagen. Det er således bestemmelserne i dette direktiv, som Domstolen anmodes om at fortolke.
A. Det første præjudicielle spørgsmål
33. Med det første præjudicielle spørgsmål ønsker Conseil d’État (øverste domstol i forvaltningsretlige sager) nærmere bestemt oplyst, om en søgemaskineudbyder, når denne efterkommer en anmodning om at få fjernet links, skal foretage denne fjernelse af links fra alle sin søgemaskines domænenavne, således at de omtvistede links ikke længere kommer frem, uanset hvorfra søgningen foretages på det navn, der søges slettet.
34. CNIL, Défenseur des droits samt den franske, den italienske og den østrigske regering har gjort gældende, at det er nødvendigt med en effektiv og fuldstændig beskyttelse af retten til beskyttelse af personoplysninger, som er garanteret ved chartrets artikel 8, og den effektive virkning af retten til at få fjernet links, som udspringer af artikel 12, litra b), og artikel 14, stk. 1, litra a), i direktiv 95/46, idet de har anført, at en pligt til at fjerne links på globalt plan er nødvendig for at sikre, at disse rettigheder får en effekt. Dette forekommer også at være den holdning, som »Artikel 29-gruppen vedrørende databeskyttelse« (9) udtrykte i sine »Retningslinjer for gennemførelsen af [dommen i sagen Google Spain og Google (10)]« af 26. november 2014 (11) (herefter »retningslinjerne«). Denne gruppe har nemlig anført, »at for at sikre den effektive virkning af de berørte personers rettigheder som defineret i Domstolens dom, bør afgørelserne om at fjerne links efterleves således, at den effektive og fuldstændige beskyttelse af de berørte personers rettigheder garanteres, og at EU-lovgivningen ikke kan omgås. I denne henseende kan begrænsningen af fjernelsen af links til kun at omfatte EU-domæner med den begrundelse, at brugerne har tendens til at tilgå søgemaskinerne gennem disses nationale domæner, derfor ikke påtænkes anvendt som et tilstrækkeligt middel til på tilfredsstillende vis at garantere de berørte personers rettigheder i overensstemmelse med Domstolens dom. I praksis betyder dette, at enhver fjernelse af links ligeledes bør foretages på alle de berørte domæner, herunder med domæneendelsen.com« (12).
35. Derimod har Google, Wikimedia Foundation, Fondation pour la liberté de la presse, Reporters Committee for Freedom of the Press m.fl., Article 19 m.fl., Internet Freedom Foundation m.fl., Irland, den græske og den polske regering samt Kommissionen i det væsentlige gjort gældende, at indførelsen af en global ret til fjernelse af links på grundlag af EU-retten hverken er forenelig med denne eller med folkeretten og vil danne en farlig præcedens, der kan tilskynde autoritære regimer til ligeledes at kræve deres censurafgørelser gennemført på verdensplan.
36. Tanken om en global fjernelse af links kan forekomme forførende i al sin radikalitet, klarhed, enkelhed og effektivitet. Ikke desto mindre er denne løsning ikke overbevisende i mine øjne, for den tager kun hensyn til den ene side af medaljen, nemlig beskyttelsen af en persons rettigheder.
1. Om dommen i sagen Google Spain og Google
37. Min bedømmelse tager udgangspunkt i dommen i sagen Google Spain og Google (13).
38. Den geografiske rækkevidde af gennemførelsen af en fjernelse af links fastslås ikke i denne dom. Ikke desto mindre indeholder den en række elementer, navnlig vedrørende spørgsmålet om det territoriale anvendelsesområde for direktiv 95/46, som bør nævnes her.
39. Et af spørgsmålene var, på hvilke betingelser direktiv 95/46 finder territorial anvendelse på behandling af personoplysninger, der foretages i forbindelse med en søgemaskines aktivitet, f.eks. Google Search, som drives af Google Inc., der er moderselskab i Google-koncernen, hvis hovedsæde er beliggende i USA.
40. I denne forbindelse har Domstolen – på grundlag af artikel 4, stk. 1, litra a), i direktiv 95/46, hvorefter kriteriet er, at »[behandlingen] af personoplysninger foretages som led i aktiviteter, der inden for en medlemsstats område udføres af en registeransvarligs virksomhed eller organ« – fastslået, at det territoriale anvendelsesområde for direktiv 95/46 omfatter tilfælde, hvor søgemaskineudbyderen etablerer en filial eller et datterselskab i en medlemsstat, der skal sørge for reklame og salg af reklameplads i søgemaskinen, og hvis aktivitet er rettet mod indbyggerne i denne medlemsstat (som f.eks. Google Spain eller i den foreliggende sag Google France) (14).
41. Dermed afviste Domstolen det af Google Spain og Google Inc. fremførte argument om, at den omhandlede behandling af personoplysninger ikke blev foretaget »som led i aktiviteter«, der udførtes af Google Spain, men udelukkende af Google Inc., som åbenbart udbød Google Search uden nogen som helst mellemkomst fra Google Spain, hvis aktivitet var begrænset til at understøtte Google-koncernens reklameaktiviteter, der var adskilt fra søgemaskineydelsen.
42. I denne forbindelse har Domstolen slået fast, at formålet med direktiv 95/46 er at sikre en effektiv og fuldstændig beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af personoplysninger, og at udtrykket »som led i aktiviteter« ikke kan fortolkes indskrænkende (15). Det fremgår i øvrigt af artikel 4 i direktiv 95/46, at EU-lovgiver ved at fastsætte et særligt bredt territorialt anvendelsesområde har ønsket at forhindre, at en person unddrages den beskyttelse, der sikres ved direktivet, og at denne beskyttelse omgås (16).
2. Om det sted, hvorfra søgningen foretages
43. Ligesom i den foreliggende sag gjaldt tvisten i hovedsagen i sagen Google Spain og Google (17) mellem Google (18) som sagsøger på den ene side og et statsligt databeskyttelsesagentur (19) på den anden side en afgørelse truffet af dette agentur.
44. Ikke desto mindre er den centrale person i dommen i sagen Google Spain og Google (20) tydeligvis den person, hvis personoplysninger skal beskyttes. Det er denne persons rettigheder, som Domstolen giver en fortrinsstilling. Den informationssøgende persons perspektiv optræder kun indirekte i denne dom (21). Domstolen har således ved kun at nævne »den resultatliste, der vises efter en søgning på en persons navn«, ikke præciseret den ramme, inden for hvilken denne søgning er foretaget, af hvem og hvorfra.
45. Selv om bestemmelserne i direktiv 95/46 således har til formål i medfør af chartrets artikel 7 og 8 at beskytte de grundlæggende rettigheder for den person, hvis navn »googles« og efterfølgende »vises på en resultatliste«, anføres der intet i bestemmelserne om spørgsmålet om territorial afgrænsning af fjernelsen af links. Eksempelvis præciseres det hverken i disse bestemmelser eller i dommen i sagen Google Spain og Google (22), om en søgning foretaget fra Singapore skal behandles anderledes end en søgning foretaget fra Paris eller Katowice.
46. Efter min opfattelse bør der sondres alt efter det sted, hvorfra søgningen er foretaget. Søgninger foretaget uden for Unionens område bør ikke underlægges en fjernelse af links fra søgeresultaterne.
a) Om det territoriale anvendelsesområde for direktiv 95/46
47. I medfør af artikel 52, stk. 1, TEU gælder traktaterne for de 28 medlemsstater (23). En medlemsstats område fastsættes ved national ret og ved folkeretten (24). Det fremgår af artikel 52, stk. 2, TEU, at traktaternes territoriale anvendelsesområde er præciseret i artikel 355 TEUF (25). Uden for dette område kan EU-retten i princippet ikke finde anvendelse eller følgelig ej heller skabe rettigheder og forpligtelser.
48. Derfor opstår spørgsmålet, hvorvidt anvendelsesområdet for direktiv 95/46 af en særlig grund rækker ud over de førnævnte territoriale grænser, dvs. om dette direktivs bestemmelser skal fortolkes så bredt, at de har virkninger ud over disse grænser.
49. Det skal de efter min opfattelse ikke.
50. Ganske vist forekommer der visse situationer, hvor EU-retten tillader ekstraterritoriale virkninger.
51. Som den franske regering ligeledes har fremhævet, er det forhold, at en virksomhed, der deltager i en konkurrencebegrænsende aftale eller udøver en praksis af en sådan art, har hjemsted i et tredjeland, i medfør af fast retspraksis inden for konkurrenceretten ikke en hindring for anvendelsen af EU’s konkurrenceregler i henhold til artikel 101 TEUF og 102 TEUF, når en sådan aftale eller en sådan praksis udfolder sine virkninger på Unionens område (26).
52. Inden for varemærkeretten har Domstolen fastslået, at det vil skade den effektive virkning af de EU-retlige regler om beskyttelse af varemærker (27), hvis brugen i et salgsudbud eller i en reklame på internettet, som henvender sig til forbrugere i Unionen, af et tegn, der er identisk med eller ligner et varemærke, der er registreret i Unionen, ikke er omfattet af disse regler, alene af den grund, at den tredjemand, som står bag dette salgsudbud eller reklamen, er bosat i et tredjeland, at serveren til det websted, som vedkommende benytter sig af, befinder sig i et tredjeland, eller at den udbudte vare befinder sit i et tredjeland (28).
53. Disse to typer af situationer udgør efter min opfattelse ekstreme situationer af usædvanlig karakter. Det, der er afgørende i begge situationer, er virkningen for det indre marked (om end andre markeder ligeledes kan være påvirket). Det indre marked er et område, der er klart afgrænset af traktaterne. Derimod er internettet i sagens natur globalt og på sin vis allestedsnærværende. Det er således vanskeligt at opstille analogier og sammenligninger.
b) Om de grundlæggende rettigheders ekstraterritoriale virkninger
54. Det er efter min opfattelse heller ikke muligt, således som Défenseur des droits har gjort, at påberåbe sig Den Europæiske Menneskerettighedsdomstols praksis vedrørende de ekstraterritoriale virkninger af den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder, undertegnet i Rom den 4. november 1950, i forbindelse med udvisning af en person til et tredjeland (29), af følgende to grunde.
55. For det første følger chartrets anvendelsesområde EU-rettens anvendelsesområde og ikke omvendt, hvilket udtrykkeligt er fastsat i chartrets artikel 51, stk. 2 (30).
56. For det andet vedrører denne retspraksis de specifikke tilfælde forbud mod dødsstraf og mod tortur, som er menneskerettigheder, der ligger til grund for enhver retsstat, og som ikke kan fraviges (31).
57. Derimod skal »retten til at blive glemt« – hvilket på sin vis er genstanden i den foreliggende sag – afvejes mod andre grundlæggende rettigheder.
c) Om afvejningen mellem de grundlæggende rettigheder
58. Det centrale argument mod en pligt til at fjerne links på verdensplan er argumentet om afvejningen af de grundlæggende rettigheder og den relevante vejledning fra dommen i sagen Google Spain og Google (32). I denne sag tillagde Domstolen det stor betydning at foretage en afvejning mellem på den ene side retten til beskyttelse af oplysninger og til privatlivets fred og på den anden side offentlighedens legitime interesse i at få adgang til de søgte oplysninger.
59. Det er ubestridt, at retten til beskyttelse af oplysninger og privatlivets fred er rettigheder, der udspringer af chartrets artikel 7 og 8 og skal have en tilknytning til EU-retten og dens territoriale anvendelsesområde. Det samme gør sig gældende for offentlighedens legitime interesse i at få adgang til de søgte oplysninger. For så vidt angår Unionen udspringer denne ret af chartrets artikel 11. Den omhandlede offentlighed er ikke en global offentlighed, men befinder sig inden for chartrets anvendelsesområde, dvs. det europæiske.
60. Hvis det antages, at fjernelsen af links gælder globalt, vil myndighederne i Den Europæiske Union ikke være i stand til at definere og fastslå en ret til at modtage oplysninger og endnu mindre foretage en afvejning mod de øvrige grundlæggende rettigheder til beskyttelse af oplysninger og privatlivets fred. Dette gælder især, da denne interesse hos offentligheden i at få adgang til oplysninger nødvendigvis vil variere alt efter dens geografiske placering, fra et tredjeland til et andet.
61. Endvidere vil der derfor være fare for, at Unionen hindrer personer i tredjelande i at få adgang til oplysningerne. Hvis en myndighed i Den Europæiske Union kunne anordne en global fjernelse af links, ville det sende et fatalt signal til tredjelandene, som ligeledes kunne anordne en fjernelse af links i medfør af deres egne love. Lad os antage, at nogle tredjelande af en eller anden grund fortolker visse af deres love således, at de hindrer personer, der befinder sig i en EU-medlemsstat, i at få adgang til en oplysning, der søges. Der ville da være en reel risiko for et kapløb mod laveste fællesnævner på bekostning af ytringsfriheden på europæisk og globalt plan (33).
62. De foreliggende spørgsmål kræver således ikke, at bestemmelserne i direktiv 95/46 finder anvendelse uden for Unionens område. Det betyder dog ikke samtidig, at EU-retten aldrig kan pålægge en søgemaskineudbyder som Google at foretage handlinger på globalt plan. Jeg udelukker ikke, at der kan forekomme situationer, hvor Unionens interesse kræver anvendelse af bestemmelserne i direktiv 95/46 uden for dens område. I en situation som i den foreliggende sag er der imidlertid ikke grund til at anvende bestemmelserne i direktiv 95/46 på denne måde.
63. Jeg foreslår derfor, at Domstolen besvarer det første præjudicielle spørgsmål med, at bestemmelserne i artikel 12, litra b), og artikel 14, litra a), i direktiv 95/46 fortolkes således, at en søgemaskineudbyder, når denne efterkommer en anmodning om at få fjernet links, ikke skal foretage denne fjernelse af links fra alle sin søgemaskines domænenavne, således at de omtvistede links ikke længere kommer frem, uanset hvorfra søgningen foretages på det navn, der søges slettet.
B. Det andet og det tredje præjudicielle spørgsmål
64. Da jeg har foreslået, at det første spørgsmål besvares benægtende, vil jeg nu foretage en bedømmelse af det andet og det tredje spørgsmål under ét.
65. Med det andet spørgsmål ønsker den forelæggende ret oplyst, om en søgemaskineudbyder alene er forpligtet til, når denne efterkommer en anmodning om fjernelse af links, at fjerne de omtvistede links fra resultaterne af en søgning foretaget på det navn, der ønskes slettet, fra det domænenavn, der svarer til den stat, hvorfra anmodningen antages at hidrøre, eller mere generelt er forpligtet til at fjerne de pågældende links fra de domænenavne i søgemaskinen, der svarer til de nationale domæneendelser af denne søgemaskine i alle Den Europæiske Unions medlemsstater.
66. Med det tredje spørgsmål, som forelægges »i tillæg til« det andet spørgsmål, ønsker den forelæggende ret oplyst, om en søgemaskineudbyder, der efterkommer en anmodning om fjernelse af links, er forpligtet til ved hjælp af teknikken »geoblokering« at fjerne de omtvistede resultater af en søgning foretaget på den pågældendes navn fra en IP-adresse, der antages at være lokaliseret i den stat, hvor den person, der har »ret til at få fjernet links«, er bosat, eller mere generelt er forpligtet til at fjerne de omtvistede søgeresultater fra en IP-adresse, der antages at være lokaliseret i en hvilken som helst af de medlemsstater, der er omfattet af direktiv 95/46, uafhængigt af, hvilket domænenavn den internetbruger, der udfører søgningen, anvender.
67. I de præjudicielle spørgsmål er der efter den forelæggende rets opfattelse en uadskillelig forbindelse mellem på den ene side en søgemaskines domænenavn (34) og på den anden side det sted, hvorfra en søgning på internettet på en persons navn er foretaget (35).
68. For så vidt angår det første præjudicielle spørgsmål er denne forbindelse naturlig, for hvis søgemaskineudbyderen gør søgeresultaterne utilgængelige på samtlige sine domænenavne, vises de omtvistede links naturligvis ikke længere, uanset hvorfra søgningen foretages.
69. Når det første spørgsmål besvares benægtende, som jeg foreslår, er der derimod ikke længere en sådan naturlig forbindelse. Som den forelæggende ret selv har anført, er det nemlig fortsat tilladt en person at foretage sine søgninger på et hvilket som helst af søgemaskinens domænenavne. Domænenavnet google.fr er f.eks. ikke begrænset til søgninger foretaget fra Frankrig.
70. Denne mulighed kan ikke desto mindre begrænses ved hjælp af den teknologi, der kaldes »geoblokering«.
71. Geoblokering er en teknik, der begrænser adgangen til internetindholdet alt efter brugerens geografiske placering. I et system med geoblokering fastslås brugerens placering ved hjælp af geolokaliseringsteknikker såsom verificering af brugerens IP-adresse. Geoblokering, som er en form for censur, anses for ubegrundet ifølge reglerne om EU’s indre marked, hvor den navnlig er omfattet af en forordning, der skal hindre, at erhvervsdrivende, der driver virksomhed i én medlemsstat, blokerer for eller begrænser adgangen til deres onlinegrænseflader for kunder fra andre medlemsstater, som ønsker at foretage transaktioner på tværs af grænserne (36).
72. Når en geoblokering først er indført, er det ligegyldigt, hvilket af søgemaskineudbyderens domænenavne der anvendes. Jeg foreslår derfor, at det tredje spørgsmål undersøges før det andet.
73. I dommen i sagen Google Spain og Google (37) fastslog Domstolen, at en søgemaskineudbyder inden for rammerne af sit ansvar, sine kompetencer og sine muligheder skal sikre, at den nævnte søgemaskines aktivitet opfylder kravene i direktiv 95/46, således at de garantier, som direktivet fastsætter, kan opnå deres fulde virkning, og at en effektiv og fuldstændig beskyttelse af de berørte personer, bl.a. hvad angår deres ret til privatlivets fred, faktisk kan gennemføres (38).
74. Når der er konstateret en ret til fjernelse af links, påhviler det derfor søgemaskineudbyderen at træffe enhver foranstaltning, som vedkommende har til rådighed, til at sikre en effektiv og fuldstændig fjernelse af links (39). Denne udbyder skal træffe alle teknisk mulige foranstaltninger. For så vidt angår hovedsagen indebærer dette bl.a. den såkaldte »geoblokeringsteknik«, hvilket gælder uafhængigt af det domænenavn, som internetbrugeren anvender ved sin søgning.
75. En fjernelse af links skal ikke foretages på nationalt plan, hvilket jeg vil forklare i det følgende, men på EU-plan.
76. Idet direktiv 95/46 har »til formål at sikre et højt beskyttelsesniveau overalt i [Unionen]« (40), er det sigtet med direktivet at indføre et fuldstændigt system til beskyttelse af oplysninger, som rækker ud over de nationale grænser. Da direktivet hviler på den tidligere artikel 100a TEF (41), stemmer dette med logikken for det indre marked, som jo er et område uden indre grænser (42). Det følger heraf, at en fjernelse af links på nationalt plan vil stride mod dette harmoniseringsmål og den effektive virkning af bestemmelserne i direktiv 95/46 (43).
77. I øvrigt bemærker jeg, at dette spørgsmål slet ikke opstår i forbindelse med forordning 2016/679, idet denne forordning som sådan »gælder umiddelbart i hver medlemsstat« (44). Idet artikel 16 TEUF er grundlaget for forordning 2016/679, går denne forordning ud over tilgangen til det indre marked i direktiv 95/46 og sigter mod et fuldstændigt system til beskyttelse af personoplysninger i EU (45). Denne forordning henviser systematisk til Unionen, Unionens område eller medlemsstaterne (46).
78. Jeg foreslår derfor Domstolen at besvare det andet og det tredje præjudicielle spørgsmål med, at en søgemaskineudbyder er forpligtet til at fjerne de omtvistede links fra resultaterne af en søgning foretaget på det navn, der ønskes slettet, fra et sted inden for Den Europæiske Union. I denne forbindelse har udbyderen pligt til at træffe enhver foranstaltning, som vedkommende har til rådighed, til at sikre en effektiv og fuldstændig fjernelse af links. Dette indbefatter bl.a. anvendelsen af den såkaldte »geoblokeringsteknik« i forhold til en IP-adresse, som antages at være lokaliseret i en hvilken som helst af de medlemsstater, der er omfattet af direktiv 95/46, uafhængigt af hvilket domænenavn den internetbruger, der udfører søgningen, anvender.
VI. Forslag til afgørelse
79. På baggrund af samtlige ovenstående betragtninger foreslår jeg, at Domstolen besvarer de af Conseil d’État (øverste domstol i forvaltningsretlige sager, Frankrig) forelagte præjudicielle spørgsmål som følger:
»1) Bestemmelserne i artikel 12, litra b), og artikel 14, litra a), i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger skal fortolkes således, at en søgemaskineudbyder, når denne efterkommer en anmodning om at få fjernet links, ikke skal foretage denne fjernelse af links fra alle sin søgemaskines domænenavne, således at de omtvistede links ikke længere kommer frem, uanset hvorfra søgningen foretages på det navn, der søges slettet.
2) En søgemaskineudbyder er forpligtet til at fjerne de omtvistede links fra resultaterne af en søgning foretaget på det navn, der ønskes slettet, fra et sted inden for Den Europæiske Union. I denne forbindelse har udbyderen pligt til at træffe enhver foranstaltning, som vedkommende har til rådighed, til at sikre en effektiv og fuldstændig fjernelse af links. Dette indbefatter bl.a. anvendelsen af den såkaldte geoblokeringsteknik i forhold til en IP-adresse, som antages at være lokaliseret i en hvilken som helst af de medlemsstater, der er omfattet af direktiv 95/46, uafhængigt af, hvilket domænenavn den internetbruger, der udfører søgningen, anvender.«