SODBA SODIŠČA (veliki senat)
z dne 24. septembra 2019(*)
„Predhodno odločanje – Osebni podatki – Varstvo posameznikov pri obdelavi teh podatkov, ki so objavljeni na spletnih straneh – Direktiva 95/46/ES – Uredba (EU) 2016/679 – Internetni iskalniki – Obdelava podatkov, vsebovanih na spletnih straneh – Posebne vrste podatkov iz člena 8 te direktive ter členov 9 in 10 te uredbe – Uporaba teh členov za upravljavca iskalnika – Obseg obveznosti tega upravljavca glede na navedene člene – Objava podatkov na spletnih straneh zgolj v novinarske namene ali zaradi umetniškega ali literarnega izražanja – Vpliv na obravnavo zahteve za odstranitev povezav – Členi 7, 8 in 11 Listine Evropske unije o temeljnih pravicah“
V zadevi C‑136/17,
katere predmet je predlog za sprejetje predhodne odločbe na podlagi člena 267 PDEU, ki ga je vložil Conseil d'État (državni svet, Francija) z odločbo z dne 24. februarja 2017, ki je na Sodišče prispela 15. marca 2017, v postopku
GC,
AF,
BH,
ED
proti
Commission nationale de l'informatique et des libertés (CNIL),
ob udeležbi
Premier ministre,
Google LLC, pravna naslednica družbe Google Inc.,
SODIŠČE (veliki senat),
v sestavi K. Lenaerts, predsednik, A. Arabadjiev, predsednik senata, A. Prechal, predsednica senata, T. von Danwitz, predsednik senata, C. Toader, predsednica senata in F. Biltgen, predsednik senata, M. Ilešič (poročevalec), L. Bay Larsen, M. Safjan, C. G. Fernlund, C. Vajda, in S. Rodin, sodniki,
generalni pravobranilec: M. Szpunar,
sodna tajnica: V. Giacobbo-Peyronnel, administratorka,
na podlagi pisnega postopka in obravnave z dne 11. septembra 2018,
ob upoštevanju stališč, ki so jih predložili:
– AF je stališča predložil sam,
– za BH L. Boré, avocat,
– za Commission nationale de l’informatique et des libertés (CNIL) I. Falque‑Pierrotin, J. Lessi in G. Le Grand, agenti,
– za Google LLC P. Spinosi, Y. Pelosi in W. Maxwell, avocats,
– za francosko vlado D. Colas, R. Coesme, E. de Moustier in S. Ghiandoni, agenti,
– za Irsko M. Browne, G. Hodge, J. Quaney in A. Joyce, agenti, skupaj z M. Gray, BL,
– za grško vlado E.-M. Mamouna, G. Papadaki, E. Zisi in S. Papaioannou, agentke,
– za italijansko vlado G. Palmieri, agentka, skupaj s F. De Luco in P. Gentilijem, avvocati dello Stato,
– za avstrijsko vlado G. Eberhard in G. Kunnert, agenta,
– za poljsko vlado B. Majczyna, M. Pawlicka in J. Sawicka, agenti,
– za vlado Združenega kraljestva S. Brandon, agent, skupaj s C. Knightom, barrister,
– za Evropsko komisijo A. Buchet, H. Kranenborg in D. Nardi, agenti,
po predstavitvi sklepnih predlogov generalnega pravobranilca na obravnavi 10. januarja 2019
izreka naslednjo
Sodbo
1 Predlog za sprejetje predhodne odločbe se nanaša na razlago Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 15, str. 355).
2 Ta predlog je bil vložen v okviru spora med osebami GC, AF, BH in ED na eni strani in Commission nationale de l’informatique et des libertés (nacionalna komisija za informatiko in svoboščine, v nadaljevanju: CNIL) (Francija) na drugi v zvezi s štirimi odločbami zadnjenavedenega organa, s katerimi je zavrnil zahtevo, naj družbo Google Inc., zdaj Google LLC, pozove, naj s seznama zadetkov, ki se prikaže po iskanju, opravljenem na podlagi njihovega imena, odstrani različne povezave do spletnih strani, ki so jih objavile tretje osebe.
Pravni okvir
Pravo Unije
Direktiva 95/46
3 V skladu z njenim členom 1(1) je namen Direktive 95/46 varstvo temeljnih pravic in svoboščin fizičnih oseb in predvsem njihove zasebnosti pri obdelavi osebnih podatkov ter odstranjevanje ovir za prosti prenos teh podatkov.
4 V uvodnih izjavah 33 in 34 Direktive 95/46 je navedeno:
„(33) ker se podatki, ki so po svoji naravi zmožni poseči v temeljne svoboščine ali zasebnost, ne bi smeli obdelovati, razen če posameznik, na katerega se osebni podatki nanašajo, ne da svoje izrecne privolitve; vendar pa se morajo odstopanja od te prepovedi izrecno predvideti glede posebnih potreb […]
(34) ker morajo biti države članice tudi pooblaščene, kadar so zaradi pomembnega javnega interesa upravičene, da odstopijo od prepovedi obdelave občutljivih kategorij podatkov, kadar to upravičujejo pomembni razlogi javnega interesa […]; ker morajo vseeno obvezno poskrbeti za posebne in ustrezne zaščitne ukrepe za varstvo temeljnih pravic in zasebnosti posameznikov“.
5 Člen 2 te direktive določa:
„V tej direktivi:
(a) ,osebni podatek‘ pomeni katero koli informacijo, ki se nanaša na določeno ali določljivo fizično osebo (,posameznik, na katerega se nanašajo osebni podatki‘); […]
(b) ,obdelava osebnih podatkov‘ (,obdelava‘) pomeni kakršen koli postopek ali niz postopkov, ki se izvajajo v zvezi z osebnimi podatki z avtomatskimi sredstvi ali brez njih, kakršno je zbiranje, beleženje, urejanje, shranjevanje, prilagajanje ali predelava, iskanje, posvetovanje, uporaba, posredovanje s prenosom, širjenje ali drugo razpolaganje, prilagajanje ali kombiniranje, blokiranje, izbris ali uničenje;
[…]
(d) ‚upravljavec‘ pomeni fizično ali pravno osebo, javni organ, agencijo ali kateri koli drug organ, ki sam ali skupaj z drugimi določa namene in sredstva obdelave osebnih podatkov; […]
[…]
(h) ,privolitev posameznika, na katerega se nanašajo osebni podatki‘ pomeni vsako prostovoljno dano posebno in informirano izjavo volje, s katero posameznik, na katerega se osebni podatki nanašajo, izrazi soglasje, da se osebni podatki o njem obdelujejo.“
6 Člen 6 navedene direktive v oddelku I z naslovom „Načela v zvezi s kakovostjo podatkov“ poglavja II določa:
„1. Države članice določijo, da morajo biti osebni podatki:
(a) pošteno in zakonito obdelani;
(b) zbrani za določene, izrecne ter zakonite namene in se ne smejo naprej obdelovati na način, ki je nezdružljiv s temi nameni. […]
(c) primerni, ustrezni in ne pretirani glede na namene, za katere se zbirajo in/ali naprej obdelujejo;
(d) točni in po potrebi ažurirani; uporabiti je treba vse primerne ukrepe za zagotovitev, da se podatki, ki so netočni ali nepopolni, zbrišejo ali popravijo, ob upoštevanju namenov, za katere so bili zbrani ali za katere se naprej obdelujejo;
(e) shranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se osebni podatki nanašajo, le toliko časa, kolikor je potrebno za namene, za katere so bili podatki zbrani ali za katere se naprej obdelujejo. Države članice določijo ustrezne zaščitne ukrepe za osebne podatke, shranjene za daljša obdobja za zgodovinsko, statistično ali znanstveno uporabo.
2. Upravljavec mora zagotoviti, da se ravna v skladu z odstavkom 1.“
7 Člen 7 Direktive 95/46 v oddelku II z naslovom „Merila za zakonitost obdelave podatkov“ poglavja II določa:
„Države članice določijo, da se lahko osebni podatki obdelujejo samo, če:
[…]
(f) je obdelava potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja stranka ali stranke, ki so jim podatki posredovani, razen kadar nad takimi interesi prevladajo temeljne pravice in svoboščine posameznika, na katerega se osebni podatki nanašajo, ki se varujejo na podlagi člena 1(1).“
8 Člena 8 in 9 navedene direktive sta del oddelka III, naslovljenega „Posebne vrste obdelave“, poglavja II. Člen 8, naslovljen „Obdelava posebnih vrst podatkov“, določa:
„1. Države članice prepovejo obdelavo osebnih podatkov, ki kažejo na rasni ali etnični izvor, politična mnenja, verska ali filozofska prepričanja, pripadnost sindikatu, in obdelavo podatkov v zvezi z zdravjem ali spolnim življenjem.
2. Odstavek 1 se ne uporablja, kadar:
(a) je posameznik, na katerega se osebni podatki nanašajo, dal svojo izrecno privolitev k obdelavi teh podatkov, razen kadar zakonodaja države članice določi, da se od prepovedi iz odstavka 1 ne sme odstopiti s tem, da posameznik, na katerega se osebni podatki nanašajo, da svojo privolitev;
ali
[…]
(e) se obdelava nanaša na podatke, ki jih posameznik, na katerega se nanašajo, javno objavi ali je potrebna za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.
[…]
4. Ob upoštevanju ustreznih zaščitnih ukrepov lahko države članice zaradi javnega interesa bistvenega pomena določijo dodatne izjeme poleg tistih iz odstavka 2, bodisi z nacionalno zakonodajo ali odločitvijo nadzornega organa.
5. Obdelava podatkov v zvezi s prekrški, kazenskimi obsodbami ali varnostnimi ukrepi se lahko izvaja samo pod nadzorom uradnega organa ali pa če nacionalna zakonodaja določi ustrezne posebne zaščitne ukrepe ob upoštevanju odstopanj, ki jih lahko zagotovi država članica na podlagi nacionalnih predpisov, ki določajo ustrezne posebne zaščitne ukrepe. Vendar pa se popoln register kazenskih obsodb lahko vodi samo pod nadzorom uradnega organa.
Države članice lahko določijo, da se podatki v zvezi z upravnimi kaznimi ali sodbami v civilnih zadevah lahko tudi obdelujejo pod nadzorom uradnega organa.
[…]“.
9 Člen 9 Direktive 95/46, naslovljen „Obdelava osebnih podatkov in svoboda izražanja“, določa:
„Države članice določijo izjeme ali odstopanja od določb tega poglavja, poglavja IV in poglavja VI za obdelavo osebnih podatkov, ki se izvaja zgolj v novinarske namene ali zaradi umetniškega ali literarnega izražanja samo, če so potrebna za uskladitev pravice do zasebnosti s predpisi, ki urejajo svobodo izražanja.“
10 Člen 12 te direktive, naslovljen „Pravica do dostopa“, določa:
„Države članice jamčijo vsakemu posamezniku, na katerega se osebni podatki nanašajo, pravico, da pridobi od upravljavca:
[…]
(b) po potrebi popravke, izbris ali blokiranje podatkov, katerih obdelava ni v skladu z določbami te direktive, predvsem zaradi nepopolnih ali netočnih podatkov;
[…]“.
11 Člen 14 navedene direktive, naslovljen „Pravica posameznika, na katerega se nanašajo osebni podatki, do ugovora“, določa:
„Države članice priznavajo posamezniku, na katerega se osebni podatki nanašajo, pravico:
(a) da vsaj v primerih iz člena 7(e) in (f) na podlagi zakonitih in nujnih razlogov, povezanih z njegovim posebnim položajem kadar koli ugovarja obdelavi podatkov, ki se nanašajo nanj, razen kjer nacionalna zakonodaja določa drugače. Kadar obstaja utemeljen ugovor, obdelava, ki jo uvede upravljavec, ne sme več vključevati teh podatkov;
[…]“.
12 Člen 28 te direktive, naslovljen „Nadzorni organ“, določa:
„1. Vsaka država članica določi, da je eden ali več javnih organov na njenem ozemlju odgovornih za spremljanje uporabe predpisov, ki so jih sprejele države članice v skladu s to direktivo.
[…]
3. Vsakemu organu se podeli predvsem:
– preiskovalna pooblastila, kakršna so pooblastila za dostop do podatkov, ki sestavljajo vsebino postopkov obdelave, in pooblastila za zbiranje vseh informacij, ki so potrebne za izvajanje njegovih nadzornih nalog,
– učinkovita pooblastila za posredovanje, kakšna so npr. […] odrejanje blokiranja, izbrisa ali uničenja podatkov, naložitev začasne ali dokončne prepovedi obdelave […]
[…]
Zoper odločitve nadzornega organa je zagotovljeno sodno pravno sredstvo.
4. Vsak nadzorni organ obravnava zahtevke, ki jih je vložila katera koli oseba ali združenje, ki predstavlja to osebo, v zvezi z varstvom svojih pravic in svoboščin glede obdelave osebnih podatkov. Zadevna oseba je obveščena o odločitvah o zahtevkih.
[…]
6. Vsak nadzorni organ je pristojen, da na ozemlju lastne države članice izvaja pooblastila, ki so mu bila podeljena v skladu z odstavkom 3, ne glede na to, kateri nacionalni zakon se uporablja za zadevno obdelavo. Od vsakega nadzornega organa je mogoče zahtevati, da izvaja svoja pooblastila na prošnjo nadzornega organa druge države članice.
Nadzorni organi sodelujejo drug z drugim v obsegu, ki je potreben za izvedbo njihovih dolžnosti, predvsem z izmenjavo vseh koristnih informacij.
[…]“.
Uredba (EU) 2016/679
13 Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1, in popravek v UL 2018, L 127, str. 2) se na podlagi njenega člena 99(2) uporablja od 25. maja 2018. Člen 94(1) te uredbe določa, da se Direktiva 95/46 razveljavi z učinkom od istega dne.
14 V uvodnih izjavah 1, 4, 51, 52 in 65 te uredbe je navedeno:
„(1) Varstvo posameznikov pri obdelavi osebnih podatkov je temeljna pravica. V členu 8(1) Listine Evropske unije o temeljnih pravicah (v nadaljnjem besedilu: Listina) in členu 16(1) [PDEU] je določeno, da ima vsakdo pravico do varstva osebnih podatkov, ki se nanašajo nanj.
[…]
(4) Obdelava osebnih podatkov bi morala biti oblikovana tako, da služi ljudem. Pravica do varstva osebnih podatkov ni absolutna pravica; v skladu z načelom sorazmernosti jo je treba obravnavati glede na vlogo, ki jo ima v družbi, in jo uravnotežiti z drugimi temeljnimi pravicami. Ta uredba spoštuje vse temeljne pravice in upošteva svoboščine in načela, priznana z Listino, kakor so zajeta v Pogodbah, zlasti spoštovanje zasebnega in družinskega življenja, stanovanja in komunikacij, varstvo osebnih podatkov, svobodo misli, vesti in vere, svobodo izražanja in obveščanja, svobodo gospodarske pobude […]
[…]
(51) Posebno varstvo si zaslužijo osebni podatki, ki so po svoji naravi posebej občutljivi z vidika temeljnih pravic in svoboščin, saj bi lahko okoliščine njihove obdelave resno ogrozile temeljne pravice in svoboščine. […]
(52) Odstopanje od prepovedi obdelave posebnih vrst osebnih podatkov bi moralo biti dovoljeno tudi, kadar je določeno v pravu Unije ali pravu držav članic in so vzpostavljeni ustrezni zaščitni ukrepi, da se zaščitijo osebni podatki in druge temeljne pravice […]
[…]
(65) Posameznik, na katerega se nanašajo osebni podatki, bi moral imeti pravico do popravka osebnih podatkov v zvezi z njim in ‚pravico do pozabe‘, kadar hramba takih podatkov krši to uredbo ali pravo Unije ali pravo države članice, ki velja za upravljavca. […] Vendar bi morala biti nadaljnja hramba osebnih podatkov zakonita, če je to potrebno za uresničevanje pravice do svobode izražanja in obveščanja […]“.
15 V členu 4, točka 11, Uredbe 2016/679 je „privolitev“ opredeljena kot „vsaka prostovoljna, izrecna, informirana in nedvoumna izjava volje posameznika, na katerega se nanašajo osebni podatki, s katero z izjavo ali jasnim pritrdilnim dejanjem izrazi soglasje z obdelavo osebnih podatkov, ki se nanašajo nanj“.
16 Člen 5 te uredbe, naslovljen „Načela v zvezi z obdelavo osebnih podatkov“, v odstavku 1, od (c) do (e), določa:
„Osebni podatki so:
[…]
(c) ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo (,najmanjši obseg podatkov‘);
(d) točni in, kadar je to potrebo, posodobljeni; sprejeti je treba vse razumne ukrepe za zagotovitev, da se netočni osebni podatki brez odlašanja izbrišejo ali popravijo ob upoštevanju namenov, za katere se obdelujejo (,točnost‘);
(e) hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo; […] (,omejitev shranjevanja‘)“.
17 Člen 9 navedene uredbe, naslovljen „Obdelava posebnih vrst osebnih podatkov“, določa:
„1. Prepovedani sta obdelava osebnih podatkov, ki razkrivajo rasno ali etnično poreklo, politično mnenje, versko ali filozofsko prepričanje ali članstvo v sindikatu, in obdelava genetskih podatkov, biometričnih podatkov za namene edinstvene identifikacije posameznika, podatkov v zvezi z zdravjem ali podatkov v zvezi s posameznikovim spolnim življenjem ali spolno usmerjenostjo.
2. Odstavek 1 se ne uporablja, če velja eno od naslednjega:
(a) posameznik, na katerega se nanašajo osebni podatki, je dal izrecno privolitev v obdelavo navedenih osebnih podatkov za enega ali več določenih namenov, razen kadar pravo Unije ali pravo države članice določa, da posameznik, na katerega se nanašajo osebni podatki, ne sme odstopiti od prepovedi iz odstavka 1;
[…]
(e) obdelava je povezana z osebnimi podatki, ki jih posameznik, na katerega se nanašajo osebni podatki, sam objavi;
[…]
(g) obdelava je potrebna iz razlogov bistvenega javnega interesa na podlagi prava Unije ali prava države članice, ki je sorazmerno z zastavljenim ciljem, spoštuje bistvo pravice do varstva podatkov ter zagotavlja ustrezne in posebne ukrepe za zaščito temeljnih pravic in interesov posameznika, na katerega se nanašajo osebni podatki;
[…]“.
18 Člen 10 te uredbe, naslovljen „Obdelava osebnih podatkov v zvezi s kazenskimi obsodbami in prekrški“, določa:
„Obdelava osebnih podatkov v zvezi s kazenskimi obsodbami in prekrški ali s tem povezanimi varnostnimi ukrepi na podlagi člena 6(1) se izvaja le pod nadzorom uradnega organa ali če obdelavo dovoljuje pravo Unije ali pravo države članice, ki zagotavlja ustrezne zaščitne ukrepe za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki. Kakršni koli celoviti registri kazenskih obsodb se vodijo samo pod nadzorom uradnega organa.“
19 Člen 17 Uredbe 2016/679, naslovljen „Pravica do izbrisa (,pravica do pozabe‘)“, določa:
„1. Posameznik, na katerega se nanašajo osebni podatki, ima pravico doseči, da upravljavec brez nepotrebnega odlašanja izbriše osebne podatke v zvezi z njim, upravljavec pa ima obveznost osebne podatke brez nepotrebnega odlašanja izbrisati, kadar velja eden od naslednjih razlogov:
(a) osebni podatki niso več potrebni v namene, za katere so bili zbrani ali kako drugače obdelani;
(b) posameznik, na katerega se nanašajo osebni podatki, prekliče privolitev, na podlagi katere poteka obdelava v skladu s točko (a) člena 6(1) ali točko (a) člena 9(2), in kadar za obdelavo ne obstaja nobena druga pravna podlaga;
(c) posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(1), za njihovo obdelavo pa ne obstajajo nobeni prevladujoči zakoniti razlogi, ali pa posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(2);
(d) osebni podatki so bili obdelani nezakonito;
(e) osebne podatke je treba izbrisati za izpolnitev pravne obveznosti v skladu s pravom Unije ali pravom države članice, ki velja za upravljavca;
(f) osebni podatki so bili zbrani v zvezi s ponudbo storitev informacijske družbe iz člena 8(1).
2. Kadar upravljavec objavi osebne podatke in je v skladu z odstavkom 1 osebne podatke obvezan izbrisati, ob upoštevanju razpoložljive tehnologije in stroškov izvajanja sprejme razumne ukrepe, vključno s tehničnimi, da upravljavce, ki obdelujejo osebne podatke, obvesti, da posameznik, na katerega se nanašajo osebni podatki, od njih zahteva, naj izbrišejo morebitne povezave do teh osebnih podatkov ali njihove kopije.
3. Odstavka 1 in 2 se ne uporabljata, če je obdelava potrebna:
(a) za uresničevanje pravice do svobode izražanja in obveščanja;
[…]“.
20 Člen 21 te uredbe, naslovljen „Pravica do ugovora“, v odstavku 1 določa:
„Posameznik, na katerega se nanašajo osebni podatki, ima na podlagi razlogov, povezanih z njegovim posebnim položajem, pravico, da kadar koli ugovarja obdelavi osebnih podatkov v zvezi z njim, ki temelji na točki (e) ali (f) člena 6(1), vključno z oblikovanjem profilov na podlagi teh določb. Upravljavec preneha obdelovati osebne podatke, razen če dokaže nujne legitimne razloge za obdelavo, ki prevladajo nad interesi, pravicami in svoboščinami posameznika, na katerega se nanašajo osebni podatki, ali za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.“
21 Člen 85 navedene uredbe, naslovljen „Obdelava ter svoboda izražanja in obveščanja“, določa:
„1. Države članice z zakonom usklajujejo pravico do varstva osebnih podatkov na podlagi te uredbe s pravico do svobode izražanja in obveščanja, vključno z obdelavo v novinarske namene ali zaradi akademskega, umetniškega ali književnega izražanja.
2. Za obdelavo v novinarske namene ali zaradi akademskega, umetniškega ali književnega izražanja države članice določijo izjeme ali odstopanja od poglavja II (načela), poglavja III (pravice posameznika, na katerega se nanašajo osebni podatki), poglavja IV (upravljavec in obdelovalec), poglavja V (prenos osebnih podatkov v tretje države ali mednarodne organizacije), poglavja VI (neodvisni nadzorni organi), poglavja VII (sodelovanje in skladnost) in poglavja IX (posebni primeri obdelave podatkov), če so potrebni za uskladitev pravice do varstva osebnih podatkov s svobodo izražanja in obveščanja.
[…]“.
Francosko pravo
22 V francoskem pravu se Direktiva 95/46 izvaja z loi nº 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (zakon št. 78-17 z dne 6. januarja 1978 o informatiki, zbirkah in svoboščinah) v različici, ki se uporablja za dejansko stanje v postopku v glavni stvari.
23 Člen 11 tega zakona določa, da CNIL v okviru svojih nalog zagotavlja, da se osebni podatki obdelujejo v skladu z določbami navedenega zakona in da za ta namen sprejema ugovore, peticije in pritožbe v zvezi z izvajanjem obdelave osebnih podatkov ter njihove vlagatelje obvešča o ukrepih, sprejetih na njihovi podlagi.
Spori o glavni stvari in vprašanja za predhodno odločanje
24 Osebe GC, AF, BH in ED so od družbe Google posamično zahtevale, naj različne povezave do spletnih strani, ki so jih objavile tretje osebe, odstrani s seznama zadetkov, ki se v iskalniku, ki ga upravlja ta družba, prikažejo po iskanju na podlagi njihovega imena, kar pa je navedena družba zavrnila.
25 Natančneje, oseba GC je zahtevala odstranitev povezave, ki napotuje na satirično fotomontažo, ki je bila 18. februarja 2011 pod psevdonimom objavljena na Youtubu in v kateri je prikazana ob županu občine, čigar vodja kabineta je bila, z izrecnim namigovanjem na intimni odnos, ki naj bi ju povezoval, in na posledice tega odnosa za njeno politično pot. Ta fotomontaža je bila objavljena na spletu med volilno kampanjo za kantonske volitve, na katerih je oseba GC takrat kandidirala. Na datum, ko je bila njena zahteva za odstranitev povezave zavrnjena, zadevna oseba ni bila niti izvoljena na lokalno voljeno funkcijo niti kandidatka zanjo in tudi ni več opravljala nalog vodje kabineta župana občine.
26 Oseba AF je zahtevala odstranitev povezav na članek v dnevniku Libération z dne 9. septembra 2008, ki je bil povzet na spletišču Centre contre les manipulations mentales (center za preprečevanje duševnih manipulacij, v nadaljevanju: CCMM) (Francija) in se je nanašal na samomor privrženca Scientološke cerkve decembra 2006. Oseba AF je v tem članku omenjena kot predstavnik za odnose z javnostmi Scientološke cerkve, to funkcijo pa je medtem prenehala opravljati. Poleg tega pisec navedenega članka omenja, da je vzpostavil stik z osebo AF, da bi dobil njeno različico dogodkov, in navaja izjave, ki jih je dobil ob tej priložnosti.
27 Oseba BH je zahtevala odstranitev povezav na članke, predvsem v tiskanih medijih, ki se nanašajo na sodno preiskavo iz junija 1995 o financiranju Parti républicain (republikanska stranka, v nadaljevanju: PR), v okviru katere je bila obdolžena skupaj z več poslovneži in politiki. Postopek v zvezi z njo je bil končan s sklepom o ustavitvi postopka z dne 26. februarja 2010. Večina spornih povezav vodi do člankov, ki so bili izdani ob začetku preiskave, zato v njih ni omenjen izid postopka.
28 Oseba ED je zahtevala odstranitev povezav na članka, ki sta bila objavljena v Nice‑Matin in Le Figaro ter vsebujeta poročilo z obravnave v kazenskem postopku, na kateri je bila obsojena na sedemletno zaporno kazen in dodatno desetletno kazen varstvenega nadzorstva zaradi spolnih napadov na mladoletne osebe, mlajše od petnajstih let. V enem od teh člankov iz črne kronike je poleg tega omenjenih več intimnih podrobnosti o osebi ED, ki so bile razkrite med postopkom.
29 Ker je družba Google zahteve tožečih strank iz postopka v glavni stvari za odstranitev povezav zavrnila, so te pri CNIL vložile pritožbe, s katerimi so predlagale, naj se tej družbi naloži odstranitev zadevnih povezav. Predsednica CNIL je z dopisi z dne 24. aprila 2015, 28. avgusta 2015, 21. marca 2016 in 9. maja 2016 tožeče stranke iz postopka v glavni stvari obvestila, da so postopki na podlagi njihovih pritožb končani.
30 Tožeče stranke iz postopka v glavni stvari so nato pri predložitvenem sodišču, Conseil d’État (državni svet, Francija), vložile tožbe proti tem zavrnitvam CNIL, da družbi Google Inc. odredi, naj zadevne povezave odstrani. Predložitveno sodišče je tožbe združilo.
31 Ker je Conseil d’État (državni svet) ugotovil, da navedene tožbe razkrivajo več resnih težav pri razlagi Direktive 95/46, je prekinil odločanje in Sodišču v predhodno odločanje predložil ta vprašanja:
„1. Ali glede na posebne odgovornosti, pristojnosti in zmožnosti upravljavca iskalnika prepoved drugim upravljavcem podatkov, da obdelujejo podatke iz odstavkov 1 in 5 člena 8 Direktive [95/46] – ob upoštevanju izjem, določenih v tem besedilu – velja tudi za tega upravljavca iskalnika kot upravljavca obdelave podatkov, ki jo zajema ta iskalnik?
2. Če je odgovor na [prvo vprašanje] pritrdilen:
[(a)] Ali je treba določbe člena 8(1) in (5) Direktive [95/46] razlagati tako, da ob upoštevanju izjem, določenih v tej direktivi, taka prepoved upravljavcu iskalnika, da obdeluje podatke, za katere se uporabljajo te določbe, nalaga obveznost, da sistematično ugodi zahtevam za odstranitev povezav na spletne strani, na katerih so obdelani taki podatki?
[(b)] Kako je treba s tega vidika razlagati izjeme iz člena 8(2)(a) in (e) Direktive [95/46], kadar se uporabljajo za upravljavca iskalnika, glede na njegove posebne odgovornosti, pristojnosti in zmožnosti? Natančneje, ali lahko tak upravljavec iskalnika zavrne zahtevo za odstranitev povezav, kadar ugotovi, da zadevne povezave vodijo na vsebine, ki sicer vsebujejo podatke, ki spadajo v vrste, naštete v členu 8(1), vendar spadajo tudi na področje uporabe izjem iz odstavka 2 tega člena, zlasti [iz točk (a) in (e) tega odstavka]?
[(c)] Ali je treba poleg tega določbe Direktive [95/46] razlagati tako, da kadar povezave, katerih odstranitev se zahteva, vodijo do obdelave osebnih podatkov, ki se izvedejo zgolj v novinarske namene ali zaradi umetniškega ali literarnega izražanja, za katere se na tej podlagi v skladu s členom 9 Direktive [95/46] lahko zbirajo in obdelujejo podatki, ki spadajo v vrste, navedene v odstavkih 1 in 5 člena 8 te direktive, upravljavec iskalnika lahko iz tega razloga zavrne zahtevo za odstranitev povezav?
3. Če je odgovor na prvo vprašanje nikalen:
[(a)] Katere posebne zahteve iz Direktive [95/46] mora izpolnjevati upravljavec iskalnika glede na njegove odgovornosti, pristojnosti in zmožnosti?
[(b)] Ali je treba določbe Direktive [95/46], kadar upravljavec iskalnika ugotovi, da spletne strani, na katere vodijo povezave, katerih odstranitev se zahteva, vsebujejo podatke, katerih objava na teh straneh ni zakonita, razlagati tako, da:
– upravljavcu iskalnika nalagajo, da te povezave odstrani s seznama zadetkov, prikazanih po iskanju, opravljenem na podlagi imena prosilca, ali
– nalagajo le, da to okoliščino upošteva pri presoji utemeljenosti zahteve za odstranitev povezav, ali
– ta okoliščina ne vpliva na presojo, ki jo mora opraviti?
Poleg tega, če ta okoliščina ni brezpredmetna, kako je treba presojati zakonitost objave spornih podatkov na spletnih straneh, ki so predmet obdelave, ki ne spada na ozemeljsko področje uporabe Direktive [95/46] in posledično nacionalne zakonodaje, s katero se ta direktiva izvaja?
4. Ne glede na odgovor na prvo vprašanje:
[(a)] Ali je treba določbe Direktive [95/46] neodvisno od zakonitosti objave osebnih podatkov na spletni strani, na katero vodi sporna povezava, razlagati tako, da:
– mora upravljavec iskalnika, kadar prosilec dokaže, da so ti podatki postali nepopolni ali netočni ali da niso posodobljeni, ugoditi zahtevi za odstranitev ustreznih povezav;
– natančneje, mora upravljavec iskalnika, kadar prosilec dokaže, da ob upoštevanju poteka sodnega postopka informacije v zvezi s prejšnjo fazo tega postopka ne ustrezajo več [njegovemu dejanskemu položaju], odstraniti povezave na spletne strani, ki vsebujejo take informacije?
[(b)] Ali je treba določbe člena 8(5) Direktive [95/46] razlagati tako, da informacije v zvezi z obdolžitvijo posameznika ali sodnim postopkom in kazensko obsodbo, ki sledi temu postopku, pomenijo podatke v zvezi s prekrški in kazenskimi obsodbami? Na splošno, ali spletna stran, kadar vsebuje podatke, v katerih so navedene kazenske obsodbe ali sodni postopki v zvezi s fizično osebo, spada na področje uporabe teh določb?“
Vprašanja za predhodno odločanje
32 Predložena vprašanja se nanašajo na razlago Direktive 95/46, ki se je uporabljala v času vložitve predloga za sprejetje predhodne odločbe. Ta direktiva je bila razveljavljena z učinkom od 25. maja 2018 in od tega datuma se uporablja Uredba 2016/679.
33 Sodišče bo postavljena vprašanja preučilo glede na Direktivo 95/46, vendar bo pri njihovi analizi upoštevalo tudi Uredbo 2016/679, da bi zagotovilo, da bodo njegovi odgovori vsekakor koristni za predložitveno sodišče.
Prvo vprašanje
34 Predložitveno sodišče s prvim vprašanjem želi v bistvu izvedeti, ali je treba določbe člena 8(1) in (5) Direktive 95/46 razlagati tako, da se prepoved ali omejitve v zvezi z obdelavo posebnih vrst osebnih podatkov, na katere se te določbe nanašajo, ob upoštevanju izjem, določenih v tej direktivi, v okviru njegovih odgovornosti, pristojnosti in zmožnosti uporabljajo tudi za upravljavca iskalnika kot odgovorno osebo za obdelavo, ki se izvede za potrebe delovanja tega iskalnika.
35 V zvezi s tem je treba opozoriti, da se na eni strani dejavnost iskalnika, ki poišče informacije, ki jih objavijo ali postavijo na internet tretje osebe, jih samodejno indeksira, začasno shrani in končno da na voljo internetnim uporabnikom po prednostnem vrstnem redu, šteje za „obdelavo osebnih podatkov“ v smislu člena 2(b) Direktive 95/46, če te informacije vsebujejo osebne podatke, in da se na drugi strani upravljavec tega iskalnika šteje za „odgovorno osebo“ za navedeno obdelavo v smislu člena 2(d) te direktive (sodba z dne 13. maja 2014, Google Spain in Google, C‑131/12, EU:C:2014:317, točka 41).
36 Obdelava osebnih podatkov, ki se izvede v okviru dejavnosti iskalnika, se namreč razlikuje od obdelave, ki jo izvedejo izdajatelji spletnih mest in s katero se ti podatki vnesejo na internetno stran, in jo dopolnjuje; ta dejavnost ima odločilno vlogo pri globalnem širjenju navedenih podatkov, saj jih daje na voljo vsem internetnim uporabnikom, ki izvedejo iskanje na podlagi imena zadevne osebe, vključno z internetnimi uporabniki, ki sicer ne bi našli spletne strani, na kateri so objavljeni ti podatki. Poleg tega je lahko posledica organiziranja in kopičenja na internetu objavljenih informacij, ki se izvedeta z iskalniki, zato da se uporabnikom olajša dostop do njih, da ti uporabniki – če te informacije iščejo z vnosom imena fizične osebe – na podlagi seznama zadetkov dobijo strukturiran pregled na internetu dostopnih informacij o tej osebi, ki jim omogoča sestaviti bolj ali manj podroben profil zadevne osebe (sodba z dne 13. maja 2014, Google Spain in Google, C‑131/12, EU:C:2014:317, točke od 35 do 37).
37 Zato mora v delu, v katerem lahko dejavnost spletnega iskalnika pomembno in dodatno – poleg dejavnosti izdajateljev spletnih mest – vpliva na temeljni pravici do spoštovanja zasebnosti in varstva osebnih podatkov, upravljavec iskalnika kot oseba, ki določa namene in sredstva te dejavnosti, v okviru svojih odgovornosti, pristojnosti in zmožnosti zagotoviti, da ta dejavnost izpolnjuje zahteve Direktive 95/46, tako da ima lahko varstvo, ki ga ta direktiva zagotavlja, polni učinek in da se lahko zadevnim osebam dejansko zagotovi učinkovito in popolno varstvo med drugim pravice do spoštovanja zasebnosti (sodba z dne 13. maja 2014, Google Spain in Google, C‑131/12, EU:C:2014:317, točka 38).
38 S prvim vprašanjem za predhodno odločanje se želi ugotoviti, ali mora upravljavec iskalnika v okviru svojih odgovornosti, pristojnosti in zmožnosti izpolnjevati tudi zahteve, ki jih Direktiva 95/46 določa glede posebnih vrst osebnih podatkov iz člena 8(1) in (5) te direktive, če se med informacijami, ki jih objavijo ali postavijo na internet tretje osebe, nahajajo taki podatki in jih ta upravljavec obdeluje za potrebe delovanja svojega iskalnika.
39 V zvezi s posebnimi vrstami podatkov člen 8(1) Direktive 95/46 določa, da države članice prepovejo obdelavo osebnih podatkov, ki kažejo na rasni ali etnični izvor, politična mnenja, verska ali filozofska prepričanja, pripadnost sindikatu, in obdelavo podatkov v zvezi z zdravjem ali spolnim življenjem. Nekatere izjeme in odstopanja od te prepovedi so določene zlasti v členu 8(2).
40 Člen 8(5) Direktive 95/46 določa, da se lahko obdelava podatkov v zvezi s prekrški, kazenskimi obsodbami ali varnostnimi ukrepi izvaja samo pod nadzorom uradnega organa ali pa če nacionalna zakonodaja določi ustrezne posebne zaščitne ukrepe ob upoštevanju odstopanj, ki jih lahko zagotovi država članica na podlagi nacionalnih predpisov, ki določajo ustrezne posebne zaščitne ukrepe. Vendar se popoln register kazenskih obsodb lahko vodi samo pod nadzorom uradnega organa. Države članice lahko določijo, da se tudi podatki v zvezi z upravnimi kaznimi ali sodbami v civilnih zadevah lahko obdelujejo pod nadzorom uradnega organa.
41 Vsebina člena 8(1) in (5) Direktive 95/46 je bila z nekaterimi spremembami prevzeta v člen 9(1) in člen 10 Uredbe 2016/679.
42 Najprej je treba ugotoviti, da iz teh določb Direktive 95/46 in Uredbe 2016/679 izhaja, da se prepoved ali omejitve, ki jih določajo, ob upoštevanju izjem, določenih s to direktivo in to uredbo, uporabljajo za kakršno koli obdelavo posebnih vrst podatkov, na katere se nanašajo navedene določbe, in za vse odgovorne osebe, ki opravljajo tako obdelavo.
43 Dalje, nobena določba navedene direktive ali navedene uredbe ne predpisuje splošnega odstopa od te prepovedi ali teh omejitev v korist obdelave, kot je ta, ki se izvede v okviru dejavnosti iskalnika. Nasprotno, kot izhaja iz točke 37 te sodbe, je iz splošne sistematike teh besedil razvidno, da mora upravljavec spletnega iskalnika – podobno kot vsaka druga odgovorna oseba za obdelavo – v okviru svojih odgovornosti, pristojnosti in zmožnosti zagotoviti, da obdelava osebnih podatkov, ki jo izvaja, izpolnjuje zahteve iz Direktive 95/46 ali Uredbe 2016/679.
44 Nazadnje, razlaga člena 8(1) in (5) Direktive 95/46 ali člena 9(1) in člena 10 Uredbe 2016/679, s katero bi se dejavnost iskalnika vnaprej in na splošno izključila iz posebnih zahtev, ki jih te določbe predpisujejo glede obdelave posebnih vrst podatkov, ki so navedene v njih, bi bila v nasprotju z namenom navedenih določb, in sicer zagotovitvijo okrepljenega varstva pred takimi obdelavami, ki – kakor izhaja tako iz uvodne izjave 33 te direktive kot iz uvodne izjave 51 te uredbe – zaradi posebne občutljivosti teh podatkov pomenijo posebno hud poseg v temeljni pravici do spoštovanja zasebnega življenja in varstva osebnih podatkov, ki sta zagotovljeni s členoma 7 in 8 Listine.
45 Čeprav torej v nasprotju s tem, kar navaja zlasti družba Google, posebnosti obdelave, ki jo v okviru dejavnosti iskalnika izvaja njegov upravljavec, ne upravičujejo, da temu upravljavcu ne bi bilo treba spoštovati člena 8(1) in (5) Direktive 95/46 ter člena 9(1) in člena 10 Uredbe 2016/679, lahko te posebnosti vendarle vplivajo na obseg odgovornosti in konkretnih obveznosti navedenega upravljavca glede na te določbe.
46 V zvezi s tem je treba ugotoviti, da, kot poudarja Evropska komisija, upravljavec iskalnika ni odgovoren za to, da se osebni podatki iz navedenih določb nahajajo na spletni strani, ki jo je objavila tretja oseba, temveč za uvrstitev te strani na seznam zadetkov iskanja in natančneje za prikaz povezave do te strani na seznamu zadetkov, ki se internetnim uporabnikom prikaže po iskanju, opravljenem na podlagi imena fizične osebe, ker lahko tak prikaz zadevne povezave na takem seznamu bistveno vpliva na temeljni pravici zadevne osebe do spoštovanja zasebnega življenja in varstva osebnih podatkov, ki se nanašajo nanjo (glej v tem smislu sodbo z dne 13. maja 2014, Google Spain in Google, C‑131/12, EU:C:2014:317, točka 80).
47 V teh okoliščinah se – kot je generalni pravobranilec navedel v točki 56 sklepnih predlogov in kot v bistvu poudarjajo vse zainteresirane osebe, ki so se opredelile glede tega vprašanja – glede na odgovornosti, pristojnosti in zmožnosti upravljavca iskalnika kot odgovorne osebe za obdelavo, ki se izvede v okviru delovanja tega iskalnika, prepovedi in omejitve iz člena 8(1) in (5) Direktive 95/46 ter člena 9(1) in člena 10 Uredbe 2016/679 za tega upravljavca uporabljajo samo zaradi te uvrstitve na seznam zadetkov iskanja in torej prek preverjanja, ki se pod nadzorom pristojnih nacionalnih organov opravi na podlagi zahteve, ki jo vloži zadevna oseba.
48 Iz navedenega izhaja, da je treba na prvo vprašanje odgovoriti, da je treba določbe člena 8(1) in (5) Direktive 95/46 razlagati tako, da se prepoved ali omejitve v zvezi z obdelavo posebnih vrst osebnih podatkov, na katere se te določbe nanašajo, ob upoštevanju izjem, določenih v tej direktivi, v okviru njegovih odgovornosti, pristojnosti in zmožnosti uporabljajo tudi za upravljavca iskalnika kot odgovorno osebo za obdelavo, ki se izvede med delovanjem tega iskalnika, kadar ta upravljavec pod nadzorom pristojnih nacionalnih organov na podlagi zahteve, ki jo vloži zadevna oseba, opravi preverjanje.
Drugo vprašanje
49 Predložitveno sodišče z drugim vprašanjem, ki ima tri dele, v bistvu sprašuje:
– ali je treba določbe člena 8(1) in (5) Direktive 95/46 razlagati tako, da mora upravljavec iskalnika na njihovi podlagi – ob upoštevanju izjem, določenih v tej direktivi – ugoditi zahtevam za odstranitev povezav na spletne strani, na katerih so osebni podatki, ki spadajo v posebne vrste iz teh določb;
– ali je treba člen 8(2)(a) in (e) Direktive 95/46 razlagati tako, da lahko tak upravljavec iskalnika na njegovi podlagi zavrne zahtevo za odstranitev povezav, kadar ugotovi, da zadevne povezave vodijo do vsebin, ki vključujejo osebne podatke, ki spadajo med posebne vrste iz člena 8(1), vendar je njihova obdelava zajeta s katero od izjem iz člena 8(2)(a) in (e) navedene direktive, in
– ali je treba določbe Direktive 95/46 razlagati tako, da lahko upravljavec iskalnika zahtevo za odstranitev povezav zavrne tudi zato, ker povezave, katerih odstranitev se zahteva, vodijo do spletnih strani, na katerih so osebni podatki, ki spadajo v posebne vrste iz člena 8(1) in (5) te direktive, objavljeni zgolj v novinarske namene ali zaradi umetniškega ali literarnega izražanja, in ker je torej ta objava zajeta z izjemo iz člena 9 navedene direktive.
50 Uvodoma je treba navesti, da so v okviru Direktive 95/46 zahteve za odstranitev povezav, kot so te iz postopka v glavni stvari, utemeljene zlasti s členom 12(b) te direktive, v skladu s katerim države članice posameznikom, na katere se osebni podatki nanašajo, jamčijo pravico, da pri odgovorni osebi za obdelavo po potrebi dosežejo izbris podatkov, katerih obdelava ni v skladu z določbami te direktive.
51 Poleg tega države članice v skladu s členom 14, prvi odstavek, (a), Direktive 95/46 priznavajo posamezniku, na katerega se osebni podatki nanašajo, pravico, da vsaj v primerih iz člena 7(e) in (f) te direktive na podlagi zakonitih in nujnih razlogov, povezanih z njegovim posebnim položajem, kadar koli ugovarja obdelavi podatkov, ki se nanašajo nanj, razen če nacionalna zakonodaja določa drugače.
52 V zvezi s tem je treba opozoriti, da je Sodišče razsodilo, da je treba člen 12(b) in člen 14, prvi odstavek, točka (a), Direktive 95/46 razlagati tako, da mora upravljavec iskalnika zaradi spoštovanja pravic iz teh določb, in če so pogoji iz teh določb dejansko izpolnjeni, s seznama zadetkov, ki se prikaže po iskanju, opravljenem na podlagi imena osebe, odstraniti povezave na spletne strani, ki jih objavijo tretje osebe in ki vsebujejo podatke, ki se nanašajo na to osebo, tudi če to ime ali te informacije niso predhodno ali sočasno izbrisane s teh spletnih strani in tudi če je – če gre za tak primer – njihova objava na navedenih straneh sama po sebi zakonita (sodba z dne 13. maja 2014, Google Spain in Google, C‑131/12, EU:C:2014:317, točka 88).
53 Sodišče je poleg tega pojasnilo, da je treba v okviru presoje pogojev za uporabo teh določb med drugim ugotoviti, ali ima zadevna oseba pravico, da zadevna informacija, ki se nanaša nanjo, zdaj ni več povezana z njenim imenom prek seznama zadetkov, ki se prikaže po iskanju, opravljenem na podlagi njenega imena, pri čemer ugotovitev obstoja take pravice ni odvisna od tega, da vključitev zadevne informacije na seznam zadetkov tej osebi povzroča škodo. Ker lahko zadevna oseba v skladu s temeljnimi pravicami, ki jih ima na podlagi členov 7 in 8 Listine, zahteva, da zadevna informacija ni več na voljo splošni javnosti prek vključitve na tak seznam zadetkov, imajo te pravice načeloma prednost ne le nad gospodarskim interesom upravljavca iskalnika, ampak tudi nad interesom te javnosti, da do navedene informacije dostopi z iskanjem na podlagi imena te osebe. Vendar ne bi bilo tako, če bi se izkazalo, da je iz posebnih razlogov, kot je vloga navedene osebe v javnem življenju, poseg v njene temeljne pravice upravičen zaradi prevladujočega interesa navedene javnosti, da ima prek te vključitve dostop do zadevne informacije (sodba z dne 13. maja 2014, Google Spain in Google, C‑131/12, EU:C:2014:317, točka 99).
54 Zakonodajalec Evropske unije je v Uredbo 2016/679, in sicer njen člen 17, vstavil določbo, ki posebej ureja „pravico do izbrisa“, ki je v naslovu tega člena poimenovana tudi „pravica do pozabe“.
55 Na podlagi tega člena 17(1) ima posameznik, na katerega se nanašajo osebni podatki, pravico doseči, da upravljavec brez nepotrebnega odlašanja izbriše osebne podatke v zvezi z njim, upravljavec pa ima obveznost te podatke brez nepotrebnega odlašanja izbrisati, kadar velja eden od razlogov, naštetih v tej določbi. V skladu z navedeno določbo so ti razlogi, da podatki niso več potrebni v namene obdelave, da posameznik, na katerega se nanašajo osebni podatki, prekliče privolitev, na podlagi katere poteka obdelava, in za to ne obstaja nobena druga pravna podlaga, da posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(1) ali (2) Uredbe 2016/679, s katerim je bil nadomeščen člen 14 Direktive 95/46, da so bili podatki obdelani nezakonito, da jih je treba izbrisati za izpolnitev pravne obveznosti ali da so bili zbrani v zvezi s ponudbo storitev informacijske družbe otrokom.
56 Vendar je v členu 17(3) Uredbe 2016/679 pojasnjeno, da se člen 17(1) te uredbe ne uporablja, če je zadevna obdelava potrebna iz enega od razlogov, navedenih v prvi določbi. V členu 17(3)(a) navedene uredbe je med temi razlogi navedeno med drugim uresničevanje pravice do svobode obveščanja.
57 Okoliščina, da člen 17(3)(a) Uredbe 2016/679 zdaj izrecno določa, da je pravica zadevne osebe do izbrisa izključena, če je obdelava potrebna med drugim za uresničevanje pravice do svobode obveščanja, ki je zagotovljena s členom 11 Listine, pomeni izraz dejstva, da pravica do varstva osebnih podatkov ni absolutna pravica, ampak jo je treba v skladu z načelom sorazmernosti, kot je poudarjeno v uvodni izjavi 4 tej uredbe, obravnavati glede na vlogo, ki jo ima v družbi, in jo uravnotežiti z drugimi temeljnimi pravicami (glej tudi sodbo z dne 9. novembra 2010, Volker und Markus Schecke in Eifert, C‑92/09 in C‑93/09, EU:C:2010:662, točka 48, in Mnenje 1/15 (Sporazum PNR med EU in Kanado) z dne 26. julija 2017, EU:C:2017:592, točka 136).
58 V teh okoliščinah je treba opozoriti, da člen 52(1) Listine določa, da je lahko uresničevanje pravic, kakršne so te, ki so priznane s členoma 7 in 8 te listine, omejeno, če so te omejitve predpisane z zakonom, če spoštujejo bistveno vsebino navedenih pravic in svoboščin, če so ob upoštevanju načela sorazmernosti potrebne in če dejansko ustrezajo ciljem splošnega interesa, ki jih priznava Unija, ali so potrebne zaradi zaščite pravic in svoboščin drugih (sodba z dne 9. novembra 2010, Volker und Markus Schecke in Eifert, C‑92/09 in C‑93/09, EU:C:2010:662, točka 50).
59 Uredba 2016/679, natančneje njen člen 17(3)(a), tako izrecno določa zahtevo po tehtanju med, na eni strani, temeljnima pravicama do spoštovanja zasebnega življenja in varstva osebnih podatkov iz členov 7 in 8 Listine ter, na drugi strani, temeljno pravico do svobode obveščanja iz člena 11 Listine.
60 Ob upoštevanju teh preudarkov je treba preučiti, pod katerimi pogoji mora upravljavec iskalnika ugoditi zahtevi za odstranitev povezav in torej s seznama zadetkov, ki se prikaže po iskanju, opravljenem na podlagi imena zadevne osebe, odstraniti povezavo na spletno stran, na kateri so osebni podatki, ki spadajo v posebne vrste iz člena 8(1) in (5) Direktive 95/46.
61 V zvezi s tem je treba najprej ugotoviti, da je obdelava posebnih vrst osebnih podatkov iz člena 8(1) Direktive 95/46 s strani upravljavca iskalnika načeloma lahko zajeta z izjemami iz člena 8(2)(a) in (e), na katerega se sklicuje predložitveno sodišče in ki določa, da se prepoved obdelave teh posebnih vrst podatkov ne uporablja, če je posameznik, na katerega se osebni podatki nanašajo, dal svojo izrecno privolitev k obdelavi teh podatkov, razen kadar zakonodaja države članice prepoveduje tako privolitev, ali če se obdelava med drugim nanaša na podatke, ki jih je posameznik, na katerega se nanašajo, javno objavil. Te izjeme so zdaj prevzete v člen 9(2), (a) in (e), Uredbe 2016/679. Poleg tega člen 9(2)(g), s katerim je v bistvu prevzet člen 8(4) Direktive 95/46, dovoljuje obdelavo navedenih vrst podatkov, kadar je potrebna iz razlogov bistvenega javnega interesa na podlagi prava Unije ali prava države članice, ki je sorazmerno z zastavljenim ciljem, spoštuje bistvo pravice do varstva podatkov ter zagotavlja ustrezne in posebne ukrepe za zaščito temeljnih pravic in interesov posameznika, na katerega se nanašajo osebni podatki.
62 V zvezi z izjemo iz člena 8(2)(a) Direktive 95/46 in člena 9(2)(a) Uredbe 2016/679 je iz opredelitve pojma „privolitev“ v členu 2(h) te direktive in členu 4, točka 11, te uredbe razvidno, da mora biti ta privolitev „posebna“ in se mora torej nanašati posebej na obdelavo v okviru dejavnosti iskalnika in tako na to, da ta obdelava tretjim osebam omogoča, da z iskanjem, opravljenim na podlagi imena te osebe, pridobijo seznam zadetkov, ki vsebuje povezave do spletnih strani, ki vsebujejo občutljive podatke, ki se nanašajo na to osebo. Dejansko pa si je težko predstavljati in poleg tega niti iz spisa, predloženega Sodišču, ne izhaja, da bi upravljavec iskalnika zaprosil za izrecno privolitev zadevnih oseb, preden bi osebne podatke, ki se nanašajo nanje, obdelal za potrebe svoje dejavnosti uvrščanja na seznam zadetkov iskanja. Vsekakor, kot so poudarile zlasti francoska in poljska vlada ter Komisija, že to, da oseba vloži zahtevo za odstranitev povezav, načeloma pomeni, da vsaj ob času vložitve te zahteve več ne soglaša z obdelavo s strani upravljavca iskalnika. V teh okoliščinah je treba tudi spomniti, da je v členu 17(1)(b) navedene uredbe med razlogi, ki upravičujejo „pravico do pozabe“, tudi to, da posameznik, na katerega se nanašajo osebni podatki, prekliče privolitev, na podlagi katere poteka obdelava v skladu s členom 9(2)(a), in za obdelavo ne obstaja nobena druga pravna podlaga.
63 Nasprotno pa se okoliščina iz člena 8(2)(e) Direktive 95/46 in člena 9(2)(e) Uredbe 2016/679, in sicer, da je zadevne podatke objavil posameznik, na katerega se nanašajo – kot so v bistvu poudarile vse zainteresirane osebe, ki so v zvezi s tem podale mnenje – uporablja tako za upravljavca iskalnika kot za izdajatelja zadevne spletne strani.
64 Zato je v takem primeru kljub temu, da so na spletni strani, ki je vključena na seznam zadetkov, osebni podatki, ki spadajo v posebne vrste iz člena 8(1) Direktive 95/46 in člena 9(1) Uredbe 2016/679, obdelava teh podatkov s strani upravljavca iskalnika v okviru dejavnosti tega iskalnika skladna s tema aktoma, če izpolnjuje tudi druge pogoje glede zakonitosti, ki so določeni zlasti v členu 6 te direktive ali členu 5 te uredbe (glej v tem smislu sodbo z dne 13. maja 2014, Google Spain in Google, C‑131/12, EU:C:2014:317, točka 72).
65 Vendar ima lahko posameznik, na katerega se nanašajo osebni podatki, na podlagi člena 14, prvi odstavek, (a), Direktive 95/46 ali člena 17(1)(c) in člena 21(1) Uredbe 2016/679 tudi v takem primeru pravico do odstranitve zadevne povezave na podlagi razlogov, povezanih z njegovim posebnim položajem.
66 Vsekakor mora upravljavec iskalnika, kadar prejme zahtevo za odstranitev povezav, na podlagi razlogov bistvenega javnega interesa iz člena 8(4) Direktive 95/46 ali člena 9(2)(g) Uredbe 2016/679 in ob spoštovanju pogojev iz teh določb preveriti, ali je vključitev povezave do zadevne spletne strani na seznam zadetkov, ki se prikaže po iskanju, opravljenem na podlagi imena zadevne osebe, potrebna za izvrševanje pravice do svobode obveščanja internetnih uporabnikov, ki bi morda imeli interes za dostop do te spletne strani na podlagi takega iskanja, ki je varovana s členom 11 Listine. Čeprav pravice zadevne osebe, ki so varovane s členoma 7 in 8 Listine, na splošno prevladajo nad pravico internetnih uporabnikov do svobode obveščanja, je to ravnotežje lahko v posebnih primerih odvisno od narave zadevne informacije, od tega, kako občutljiva je za zasebnost zadevne osebe, in od interesa javnosti, da razpolaga s to informacijo, ki je lahko med drugim odvisen od vloge, ki jo ima ta oseba v javnem življenju (glej v tem smislu sodbo z dne 13. maja 2014, Google Spain in Google, C‑131/12, EU:C:2014:317, točka 81).
67 Poleg tega je lahko v primeru, da se obdelava nanaša na posebne vrste podatkov iz člena 8(1) in (5) Direktive 95/46 ali člena 9(1) in člena 10 Uredbe 2016/679, poseg v temeljni pravici do spoštovanja zasebnega življenja in varstva osebnih podatkov zadevne osebe, kot je bilo poudarjeno v točki 44 te sodbe, posebno hud zaradi občutljivosti teh podatkov.
68 Zato mora upravljavec iskalnika, kadar prejme zahtevo za odstranitev povezave do spletne strani, na kateri so objavljeni taki občutljivi podatki, na podlagi vseh upoštevnih elementov posameznega primera in ob upoštevanju resnosti posega v temeljni pravici zadevne osebe do spoštovanja zasebnega življenja in varstva osebnih podatkov iz členov 7 in 8 Listine na podlagi razlogov bistvenega javnega interesa iz člena 8(4) Direktive 95/46 ali člena 9(2)(g) Uredbe 2016/679 in ob spoštovanju pogojev iz teh določb preveriti, ali je vključitev te povezave na seznam zadetkov, ki se prikaže po iskanju, opravljenem na podlagi imena te osebe, nujno potrebna za varovanje svobode obveščanja internetnih uporabnikov, ki bi morda imeli interes za dostop do te spletne strani na podlagi takega iskanja, iz člena 11 Listine.
69 Iz vsega navedenega izhaja, da je treba na drugo vprašanje odgovoriti:
– Določbe člena 8(1) in (5) Direktive 95/46 je treba razlagati tako, da mora upravljavec iskalnika na njihovi podlagi – ob upoštevanju izjem, določenih v tej direktivi – načeloma ugoditi zahtevam za odstranitev povezav na spletne strani, na katerih so osebni podatki, ki spadajo v posebne vrste iz teh določb.
– Člen 8(2)(e) Direktive 95/46 je treba razlagati tako, da lahko tak upravljavec iskalnika na njegovi podlagi zavrne zahtevo za odstranitev povezav, kadar ugotovi, da zadevne povezave vodijo do vsebin, ki vključujejo osebne podatke, ki spadajo med posebne vrste iz člena 8(1), vendar je njihova obdelava zajeta tudi z izjemo iz člena 8(2)(e), če ta obdelava izpolnjuje tudi vse druge pogoje glede zakonitosti iz te direktive in če posameznik, na katerega se nanašajo osebni podatki, na podlagi člena 14, prvi odstavek, (a), te direktive nima pravice, da navedeni obdelavi ugovarja na podlagi zakonitih in nujnih razlogov, povezanih z njegovim posebnim položajem.
– Določbe Direktive 95/46 je treba razlagati tako, da mora upravljavec iskalnika, kadar prejme zahtevo za odstranitev povezave do spletne strani, na kateri so objavljeni osebni podatki, ki spadajo v posebne vrste iz člena 8(1) in (5) te direktive, na podlagi vseh upoštevnih elementov posameznega primera in ob upoštevanju resnosti posega v temeljni pravici zadevne osebe do spoštovanja zasebnega življenja in varstva osebnih podatkov iz členov 7 in 8 Listine z vidika razlogov bistvenega javnega interesa iz člena 8(4) navedene direktive in ob spoštovanju pogojev iz zadnjenavedene določbe preveriti, ali je vključitev te povezave na seznam zadetkov, ki se prikaže po iskanju, opravljenem na podlagi imena te osebe, nujno potrebna za varovanje svobode obveščanja internetnih uporabnikov, ki bi morda imeli interes za dostop do te spletne strani na podlagi takega iskanja, iz člena 11 Listine.
Tretje vprašanje
70 Ker je bilo to vprašanje postavljeno le za primer, da bi bil odgovor na prvo vprašanje nikalen, glede na to, da je odgovor na zadnjenavedeno vprašanje pritrdilen, nanj ni treba odgovoriti.
Četrto vprašanje
71 Predložitveno sodišče želi s četrtim vprašanjem v bistvu izvedeti, ali je treba določbe Direktive 95/46 razlagati tako, da:
– na eni strani informacije v zvezi s sodnim postopkom glede fizične osebe in po potrebi z obsodbo, ki je sledila temu postopku, pomenijo podatke v zvezi s „prekrški“ in „kazenskimi obsodbami“ v smislu člena 8(5) Direktive 95/46, in
– mora na drugi strani upravljavec iskalnika ugoditi zahtevi za odstranitev povezav do spletnih strani, na katerih so take informacije, kadar se te informacije nanašajo na prejšnjo fazo zadevnega sodnega postopka in glede na njegov potek ne ustrezajo več sedanjemu položaju.
72 V zvezi s tem je treba ugotoviti, da – kot je generalni pravobranilec navedel v točki 100 sklepnih predlogov in kot so med drugim trdile francoska vlada, Irska, italijanska in poljska vlada ter Komisija – informacije v zvezi s sodnim postopkom, ki se vodi glede fizične osebe, kot so informacije v zvezi z obdolžitvijo ali sojenjem ter morebitno obsodbo na njuni podlagi, pomenijo podatke v zvezi s „prekrški“ in „kazenskimi obsodbami“ v smislu člena 8(5), prvi pododstavek, Direktive 95/46 in člena 10 Uredbe 2016/679, in to ne glede na to, ali je bila v tem sodnem postopku dejansko ugotovljena storitev kaznivega ravnanja, za katero se je oseba preganjala.
73 Upravljavec iskalnika zato s tem, da na seznam zadetkov iskanja, ki se prikaže po iskanju, opravljenem na podlagi imena zadevne osebe, vključi povezave do spletnih strani, na katerih so objavljeni taki podatki, te podatke obdela, za kar v skladu s členom 8(5), prvi pododstavek, Direktive 95/46 in členom 10 Uredbe 2016/679 veljajo posebne omejitve. Kot je opozorila Komisija, je lahko taka obdelava skladna s tema določbama in če izpolnjuje tudi druge pogoje glede zakonitosti iz te direktive in te uredbe, zakonita med drugim, če nacionalno pravo določa ustrezna in posebna jamstva, kar je lahko tako, če so javni organi zadevne informacije objavili ob spoštovanju veljavnega nacionalnega prava.
74 V zvezi z drugimi pogoji za zakonitost je treba opozoriti, da iz zahtev, določenih v členu 6(1), od (c) do (e), Direktive 95/46, ki so zdaj prevzete v člen 5(1), od (c) do (e), Uredbe 2016/679, izhaja, da celo izvorno zakonita obdelava točnih podatkov lahko sčasoma postane nezdružljiva s to direktivo ali to uredbo, če ti podatki niso več potrebni za namene, zaradi katerih so bili zbrani ali obdelani. To med drugim velja, če so neprimerni, neustrezni ali ne več ustrezni ali pretirani glede na te namene in pretečen čas (sodba z dne 13. maja 2014, Google Spain in Google, C‑131/12, EU:C:2014:317, točka 93).
75 Vendar, kot je bilo ugotovljeno v točki 66 te sodbe, tudi v primeru, da obdelava podatkov iz člena 8(5) Direktive 95/46 in člena 10 Uredbe 2016/679 ne izpolnjuje omejitev iz teh določb ali drugih pogojev za zakonitost, kot so pogoji iz člena 6(1), od (c) do (e), te direktive in člena 5(1), od (c) do (e), te uredbe, mora upravljavec iskalnika na podlagi razlogov bistvenega javnega interesa iz člena 8(4) navedene direktive ali člena 9(2)(g) navedene uredbe in ob spoštovanju pogojev iz teh določb preveriti tudi, ali je vključitev povezave do zadevne spletne strani na seznam zadetkov, ki se prikaže po iskanju, opravljenem na podlagi imena zadevne osebe, potrebna za izvrševanje pravice do svobode obveščanja internetnih uporabnikov, ki bi morda imeli interes za dostop do te spletne strani na podlagi takega iskanja, ki je varovana s členom 11 Listine.
76 V zvezi s tem je treba navesti, da iz sodne prakse Evropskega sodišča za človekove pravice izhaja, da je treba v zvezi z zahtevami zadevnih oseb, da se na podlagi člena 8 Evropske konvencije o varstvu človekovih pravic in temeljnih svoboščin, podpisane 4. novembra 1950 v Rimu, različnim medijem prepove, da na internetu objavijo stare reportaže o kazenskem postopku, ki je potekal zoper te osebe, preučiti pravično ravnovesje med pravico navedenih oseb do spoštovanja zasebnega življenja in zlasti pravico javnosti do svobode obveščanja. Pri iskanju tega pravičnega ravnovesja je treba upoštevati bistveno vlogo, ki jo ima tisk v demokratični družbi in ki vključuje redakcijo poročil in komentarjev o sodnih postopkih. Poleg tega se nalogi medijev, da posredujejo take informacije in ideje, pridružuje pravica javnosti do njihovega prejemanja. Evropsko sodišče za človekove pravice je v zvezi s tem priznalo, da javnost nima le interesa, da je obveščena o aktualnem dogodku, temveč tudi do tega, da lahko opravi iskanja glede preteklih dogodkov, pri čemer pa je obseg interesa javnosti glede kazenskih postopkov spremenljiv in se lahko s časom spreminja, zlasti glede na okoliščine primera (ESČP, 28. junij 2018, M. L. in W. W. proti Nemčiji, CE:ECHR:2018:0628JUD006079810, točke 89 in od 100 do 102).
77 Zato mora upravljavec iskalnika v okviru zahteve za odstranitev povezav do spletnih strani, na katerih so objavljene informacije v zvezi s kazenskim sodnim postopkom, ki je potekal zoper navedeno osebo, ki se nanašajo na prejšnjo fazo tega postopka in ne ustrezajo več sedanjemu položaju, preučiti, ali ima ob upoštevanju vseh okoliščin obravnavanega primera, kakršne so zlasti narava in resnost zadevnega kaznivega ravnanja, potek in izid navedenega postopka, čas, ki je potekel, vloga te osebe v javnem življenju in njeno preteklo vedenje, interes javnosti v času zahteve, vsebina in oblika objave ter njene posledice za zadevno osebo, ta oseba pravico, da zadevne informacije v sedanji fazi več ne bodo povezane z njenim imenom prek seznama zadetkov, ki se prikaže po iskanju, opravljenem na podlagi tega imena.
78 Vendar je treba dodati, da mora upravljavec iskalnika, tudi če bi ugotovil, da ni tako, ker je vključitev zadevne povezave nujno potrebna za uskladitev pravic zadevne osebe do spoštovanja zasebnega življenja in varstva osebnih podatkov s svobodo obveščanja potencialno zainteresiranih internetnih uporabnikov, seznam zadetkov vsekakor najkasneje ob prejemu zahteve za odstranitev povezav prilagoditi tako, da splošna slika, ki iz njega izhaja za internetnega uporabnika, odraža sedanje stanje sodnega postopka, za kar je med drugim potrebno, da se povezave do spletnih strani, ki vsebujejo informacije glede tega, na tem seznamu prikažejo na vrhu.
79 Glede na zgornje preudarke je treba na četrto vprašanje odgovoriti, da je treba določbe Direktive 95/46 razlagati tako, da:
– na eni strani informacije v zvezi s sodnim postopkom glede fizične osebe in po potrebi z obsodbo, ki je sledila temu postopku, pomenijo podatke v zvezi s „prekrški“ in „kazenskimi obsodbami“ v smislu člena 8(5) te direktive, in
– mora na drugi strani upravljavec iskalnika ugoditi zahtevi za odstranitev povezav do spletnih strani, na katerih so take informacije, kadar se te informacije nanašajo na prejšnjo fazo zadevnega sodnega postopka in glede na njegov potek ne ustrezajo več sedanjemu položaju, če se v okviru preverjanja razlogov bistvenega javnega interesa iz člena 8(4) navedene direktive ugotovi, da glede na vse okoliščine obravnavanega primera temeljne pravice zadevne osebe, zagotovljene s členoma 7 in 8 Listine, prevladajo nad pravicami potencialno zainteresiranih internetnih uporabnikov, ki so varovane s členom 11 Listine.
Stroški
80 Ker je ta postopek za stranke v postopku v glavni stvari ena od stopenj v postopku pred predložitvenim sodiščem, to odloči o stroških. Stroški za predložitev stališč Sodišču, ki niso stroški omenjenih strank, se ne povrnejo.
Iz teh razlogov je Sodišče (veliki senat) razsodilo:
1. Določbe člena 8(1) in (5) Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov je treba razlagati tako, da se prepoved ali omejitve v zvezi z obdelavo posebnih vrst osebnih podatkov, na katere se te določbe nanašajo, ob upoštevanju izjem, določenih v tej direktivi, v okviru njegovih odgovornosti, pristojnosti in zmožnosti uporabljajo tudi za upravljavca iskalnika kot odgovorno osebo za obdelavo, ki se izvede med delovanjem tega iskalnika, kadar ta upravljavec pod nadzorom pristojnih nacionalnih organov na podlagi zahteve, ki jo vloži zadevna oseba, opravi preverjanje.
2. Določbe člena 8(1) in (5) Direktive 95/46 je treba razlagati tako, da mora upravljavec iskalnika na njihovi podlagi – ob upoštevanju izjem, določenih v tej direktivi – načeloma ugoditi zahtevam za odstranitev povezav na spletne strani, na katerih so osebni podatki, ki spadajo v posebne vrste iz teh določb.
Člen 8(2)(e) Direktive 95/46 je treba razlagati tako, da lahko tak upravljavec iskalnika na njegovi podlagi zavrne zahtevo za odstranitev povezav, kadar ugotovi, da zadevne povezave vodijo do vsebin, ki vključujejo osebne podatke, ki spadajo med posebne vrste iz tega člena 8(1), vendar je njihova obdelava zajeta tudi z izjemo iz navedenega člena 8(2)(e), če ta obdelava izpolnjuje tudi vse druge pogoje glede zakonitosti iz te direktive in če posameznik, na katerega se nanašajo osebni podatki, na podlagi člena 14, prvi odstavek, (a), te direktive nima pravice, da navedeni obdelavi ugovarja na podlagi zakonitih in nujnih razlogov, povezanih z njegovim posebnim položajem.
Določbe Direktive 95/46 je treba razlagati tako, da mora upravljavec iskalnika, kadar prejme zahtevo za odstranitev povezave do spletne strani, na kateri so objavljeni osebni podatki, ki spadajo v posebne vrste iz člena 8(1) in (5) te direktive, na podlagi vseh upoštevnih elementov posameznega primera in ob upoštevanju resnosti posega v temeljni pravici zadevne osebe do spoštovanja zasebnega življenja in varstva osebnih podatkov iz členov 7 in 8 Listine Evropske unije o temeljnih pravicah z vidika razlogov bistvenega javnega interesa iz člena 8(4) navedene direktive in ob spoštovanju pogojev iz zadnjenavedene določbe preveriti, ali je vključitev te povezave na seznam zadetkov, ki se prikaže po iskanju, opravljenem na podlagi imena te osebe, nujno potrebna za varovanje svobode obveščanja internetnih uporabnikov, ki bi morda imeli interes za dostop do te spletne strani na podlagi takega iskanja, iz člena 11 Listine.
3. Določbe Direktive 95/46 je treba razlagati tako, da:
– na eni strani informacije v zvezi s sodnim postopkom glede fizične osebe in po potrebi z obsodbo, ki je sledila temu postopku, pomenijo podatke v zvezi s „prekrški“ in „kazenskimi obsodbami“ v smislu člena 8(5) te direktive, in
– mora na drugi strani upravljavec iskalnika ugoditi zahtevi za odstranitev povezav do spletnih strani, na katerih so take informacije, kadar se te informacije nanašajo na prejšnjo fazo zadevnega sodnega postopka in glede na njegov potek ne ustrezajo več sedanjemu položaju, če se v okviru preverjanja razlogov bistvenega javnega interesa iz člena 8(4) navedene direktive ugotovi, da glede na vse okoliščine obravnavanega primera temeljne pravice zadevne osebe, zagotovljene s členoma 7 in 8 Listine Evropske unije o temeljnih pravicah, prevladajo nad pravicami potencialno zainteresiranih internetnih uporabnikov, ki so varovane s členom 11 te listine.
Podpisi