DOMSTOLENS DOM (Store Afdeling)
13. maj 2014 (*)
»Personoplysninger – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – direktiv 95/46/EF – artikel 2, 4, 12 og 14 – materielt og territorialt anvendelsesområde – søgemaskiner på internettet – behandling af oplysninger på websider – søgning i samt indeksering og lagring af disse oplysninger – ansvaret for udbyderen af søgemaskinen – virksomhed eller organ på en medlemsstats område – rækkevidden af udbyderens forpligtelser og den berørte persons rettigheder – Den Europæiske Unions charter om grundlæggende rettigheder – artikel 7 og 8«
I sag C-131/12,
angående en anmodning om præjudiciel afgørelse i henhold til artikel 267 TEUF, indgivet af Audiencia Nacional (Spanien) ved afgørelse af 27. februar 2012, indgået til Domstolen den 9. marts 2012, i sagen:
Google Spain SL,
Google Inc.
mod
Agencia Española de Protección de Datos (AEPD),
Mario Costeja González,
har
DOMSTOLEN (Store Afdeling)
sammensat af præsidenten, V. Skouris, vicepræsidenten, K. Lenaerts, afdelingsformændene M. Ilešič (refererende dommer), L. Bay Larsen, T. von Danwitz og M. Safjan samt dommerne J. Malenovský, E. Levits, A. Ó Caoimh, A. Arabadjiev, M. Berger, A. Prechal og E. Jarašiūnas,
generaladvokat: N. Jääskinen
justitssekretær: ekspeditionssekretær M. Ferreira,
på grundlag af den skriftlige forhandling og efter retsmødet den 26. februar 2013,
efter at der er afgivet indlæg af:
– Google Spain SL og Google Inc. ved abogados F. González Díaz, J. Baño Fos og B. Holles
– Mario Costeja González ved abogado J. Muñoz Rodríguez
– den spanske regering ved A. Rubio González, som befuldmægtiget
– den græske regering ved E.-M. Mamouna og K. Boskovits, som befuldmægtigede
– den italienske regering ved G. Palmieri, som befuldmægtiget, bistået af avvocato dello Stato P. Gentili
– den østrigske regering ved G. Kunnert og C. Pesendorfer, som befuldmægtigede
– den polske regering ved B. Majczyna og M. Szpunar, som befuldmægtigede
– Europa-Kommissionen ved I. Martínez del Peral og B. Martenczuk, som befuldmægtigede,
og efter at generaladvokaten har fremsat forslag til afgørelse i retsmødet den 25. juni 2013,
afsagt følgende
Dom
1 Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 2, litra b) og d), artikel 4, stk. 1, litra a) og c), artikel 12, litra b), og artikel 14, stk. 1, litra a), i Europa-Parlamentet og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT L 281, s. 31) samt artikel 8 i Den Europæiske Unions charter om grundlæggende rettigheder (herefter »chartret«).
2 Anmodningen er blevet indgivet under en sag mellem Google Spain SL (herefter »Google Spain«) og Google Inc. på den ene side og Agencia Española de Protección de Datos (AEPD) (databeskyttelsesagenturet, herefter »AEPD«) og Mario Costeja González på den anden side vedrørende en afgørelse truffet af dette agentur, hvorved Mario Costeja González fik medhold i en klage over disse to selskaber, og hvorved Google Inc. blev pålagt at vedtage de nødvendige foranstaltninger med henblik på at fjerne personoplysninger om Mario Costeja González fra sit indeks og forhindre fremtidig adgang hertil.
Retsforskrifter
EU-retten
3 I direktiv 95/46, som ifølge artikel 1 har til formål at beskytte fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af personoplysninger samt at fjerne hindringer for den frie udveksling af disse oplysninger, er følgende anført i 2., 10., 18.-20. og 25. betragtning:
»(2) Databehandlingssystemer er til for menneskets skyld; de skal være i overensstemmelse med de grundlæggende rettigheder og frihedsrettigheder, der gælder for fysiske personer, uanset statsborgerskab og bopæl, herunder retten til privatlivets fred, og bidrage til […] det enkelte menneskes velfærd.
[...]
(10) Medlemsstaternes lovgivning om behandling af personoplysninger skal sikre overholdelsen af de grundlæggende rettigheder og frihedsrettigheder, navnlig den ret til privatlivets fred, der er fastslået i artikel 8 i den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder[, undertegnet i Rom den 4. november 1950,] og i fællesskabsrettens generelle principper; af denne grund må en indbyrdes tilnærmelse af lovgivningerne ikke medføre en forringelse af den beskyttelse, disse yder, men skal tværtimod have til formål at sikre et højt beskyttelsesniveau overalt i Fællesskabet.
[...]
(18) For at forhindre, at en person unddrages den beskyttelse, der sikres ved dette direktiv, skal enhver behandling af personoplysninger inden for Fællesskabet være i overensstemmelse med lovgivningen i en af medlemsstaterne; med henblik herpå bør enhver behandling af oplysninger være underkastet lovgivningen i den medlemsstat, hvor den registeransvarlige, under hvis myndighed behandlingen udføres, er etableret.
(19) Ved etablering på en medlemsstats område forstås faktisk udøvelse af aktiviteter gennem en mere permanent struktur; den pågældende strukturs retlige form, hvad enten det blot er en filial eller et datterselskab med status som juridisk person, har ikke afgørende betydning i denne forbindelse; en registeransvarlig, som er etableret på flere medlemsstaters område, især i form af datterselskaber, skal, navnlig for at undgå omgåelse, sikre sig, at hver enkelt struktur opfylder kravene i den gældende nationale lovgivning.
(20) Den omstændighed, at den registeransvarlige er etableret i et tredjeland, må ikke hindre personer i at nyde den beskyttelse, der fastsættes ved dette direktiv; den pågældende behandling bør i så fald underkastes lovgivningen i den medlemsstat, hvor de hjælpemidler, der benyttes til behandlingen, befinder sig, og der bør stilles garanti for, at de rettigheder og forpligtelser, der følger af dette direktiv, også overholdes.
[...]
(25) Principperne om beskyttelse skal dels afspejles i de forskellige forpligtelser, der påhviler [databehandlingsansvarlige] personer […], navnlig for så vidt angår oplysningernes pålidelighed, den tekniske sikkerhed, anmeldelse til tilsynsmyndigheden og de omstændigheder, hvorunder behandlingen må udføres, og dels i de rettigheder, der tilkommer de personer, hvis personoplysninger gøres til genstand for behandling, bl.a. retten til at blive underrettet om en behandling, til indsigt, til at kunne kræve oplysninger berigtiget, men også til under visse omstændigheder at gøre indsigelse mod en behandling.«
4 Artikel 2 i direktiv 95/46 bestemmer, at »[i] dette direktiv forstås ved:
a) »personoplysninger« enhver form for information om en identificeret eller identificerbar fysisk person (»den registrerede«); ved identificerbar person forstås en person, der direkte eller indirekte kan identificeres, bl.a. ved et identifikationsnummer eller et eller flere elementer, der er særlige for denne persons fysiske, fysiologiske, psykiske, økonomiske, kulturelle eller sociale identitet
b) »behandling af personoplysninger« (»behandling«) enhver operation eller række af operationer – med eller uden brug af elektronisk databehandling – som personoplysninger gøres til genstand for, f.eks. indsamling, registrering, systematisering, opbevaring, tilpasning eller ændring, selektion, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring samt blokering, slettelse eller tilintetgørelse
[...]
d) »den registeransvarlige«: den fysiske eller juridiske person, offentlige myndighed, institution eller ethvert andet organ, der alene eller sammen med andre afgør, til hvilket formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger; er formålet med og hjælpemidlerne ved behandlingen fastlagt ved nationale love eller forskrifter eller på fællesskabsplan, kan den registeransvarlige, eller de specifikke kriterier for udpegelse af denne, angives i den pågældende nationale ret eller i fællesskabsretten
[...]«.
5 Direktivets artikel 3 med overskriften »Anvendelsesområde« fastsætter følgende i stk. 1:
»Dette direktivs bestemmelser anvendes på behandling af personoplysninger, der helt eller delvis foretages ved hjælp af edb, samt på ikke-elektronisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.«
6 Samme direktivs artikel 4 med overskriften »Gældende national ret« fastsætter:
»1. Medlemsstaterne anvender de nationale bestemmelser, de vedtager til gennemførelse af dette direktiv, på behandling af personoplysninger:
a) der foretages som led i en virksomheds eller et organs aktiviteter inden for den medlemsstats område, hvor den registeransvarlige er etableret; en registeransvarlig, som er etableret på flere medlemsstaters område, skal træffe de nødvendige foranstaltninger til at sikre, at hver af disse virksomheder eller organer opfylder kravene i den gældende nationale lovgivning
b) der foretages af en registeransvarlig, der ikke er etableret på den pågældende medlemsstats område, men på et sted, hvor dens nationale lovgivning gælder i henhold til folkeretten
c) der foretages af en registeransvarlig, der ikke er etableret på Fællesskabets område, og som med henblik på behandling af personoplysninger anvender midler, det være sig elektroniske eller ikke-elektroniske, som befinder sig på den pågældende medlemsstats område, medmindre disse midler kun benyttes med henblik på forsendelse gennem Det Europæiske Fællesskabs område.
2. I det i stk. 1, litra c), omhandlede tilfælde udpeger den registeransvarlige en repræsentant, der er etableret på den pågældende medlemsstats område, uden at dette i øvrigt berører eventuelle retslige skridt mod den registeransvarlige selv.«
7 Artikel 6 i direktiv 95/46 er indeholdt i kapitel II, afdeling 1, med overskriften »Principper vedrørende oplysningernes pålidelighed« og har følgende ordlyd:
»1. Medlemsstaterne fastsætter bestemmelser om, at personoplysninger
a) skal behandles loyalt og lovligt
b) skal indsamles til udtrykkeligt angivne og legitime formål, samt at senere behandling heraf ikke må være uforenelig med disse formål; senere behandling af oplysninger i historisk, statistisk eller videnskabeligt øjemed anses ikke for at være uforenelig med disse formål, såfremt medlemsstaterne giver de fornødne garantier
c) skal være relevante og tilstrækkelige og ikke omfatte mere end, hvad der kræves til opfyldelse af de formål, hvortil de indsamles, og til de formål, hvortil de senere behandles
d) skal være korrekte og om nødvendigt ajourførte; der skal tages ethvert rimeligt skridt til at slette eller berigtige oplysninger, der er urigtige eller ufuldstændige i forhold til det formål, hvortil de indsamles, eller i forbindelse med hvilke de behandles på et senere tidspunkt
e) ikke må opbevares på en måde, der giver mulighed for at identificere de registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil de indsamles, eller i forbindelse med hvilke de behandles på et senere tidspunkt. Medlemsstaterne fastsætter de fornødne garantier for personoplysninger, der i historisk, statistisk eller videnskabeligt øjemed opbevares længere end i ovennævnte periode.
2. Det påhviler den registeransvarlige at sikre, at bestemmelserne i stk. 1 overholdes.«
8 Artikel 7 i direktiv 95/46, der er indeholdt i kapitel II, afdeling II, med overskriften »Principper vedrørende grundlaget for behandling af oplysninger«, bestemmer følgende:
»Medlemsstaterne fastsætter bestemmelser om, at behandling af personoplysninger kun må finde sted hvis:
[...]
f) behandlingen er nødvendig, for at den registeransvarlige eller den tredjemand eller de tredjemænd, til hvem oplysningerne videregives, kan forfølge en legitim interesse, medmindre den registreredes interesser eller de grundlæggende rettigheder og frihedsrettigheder, der skal beskyttes i henhold til artikel 1, stk. 1, i dette direktiv, går forud herfor.«
9 Direktivets artikel 9 med overskriften »Behandling af personoplysninger og ytringsfriheden« bestemmer:
»Medlemsstaterne fastsætter i forbindelse med behandling af personoplysninger, der udelukkende finder sted i journalistisk øjemed eller med henblik på kunstnerisk eller litterær virksomhed, kun fritagelser eller undtagelser fra bestemmelserne i dette kapitel og i kapitel IV og VI, for så vidt som de er nødvendige for at forene retten til privatlivets fred med reglerne for ytringsfrihed.«
10 Samme direktivs artikel 12 med overskriften »Ret til indsigt« bestemmer:
»Medlemsstaterne sikrer enhver registreret ret til hos den registeransvarlige
[...]
b) efter omstændighederne at få oplysninger, som ikke er blevet behandlet i overensstemmelse med dette direktiv, berigtiget, slettet eller blokeret, navnlig hvis de er ufuldstændige eller urigtige.
[...]«
11 Artikel 14 i direktiv 95/46 med overskriften »Den registreredes indsigelsesret« bestemmer:
»Medlemsstaterne indrømmer den registrerede ret til
a) i det mindste i de i artikel 7, litra e) og f), omhandlede tilfælde af vægtige legitime grunde, der vedrører den pågældendes særlige situation, til enhver tid at gøre indsigelse mod, at personoplysninger om ham selv gøres til genstand for behandling, medmindre andet er bestemt i den nationale lovgivning; i tilfælde af berettiget indsigelse må den af den registeransvarlige iværksatte behandling ikke længere omfatte de pågældende oplysninger.
[...]«
12 Direktivets artikel 28 med overskriften »Tilsynsmyndighed« har følgende ordlyd:
»1. Hver medlemsstat drager omsorg for, at der udpeges en eller flere offentlige myndigheder, der har til opgave på dens område at påse overholdelsen af de bestemmelser, medlemsstaten vedtager til gennemførelse af dette direktiv.
[...]
3. Hver tilsynsmyndighed skal bl.a. kunne:
– iværksætte undersøgelser og bl.a. have adgang til de oplysninger, der gøres til genstand for en behandling, og til at indsamle alle oplysninger, der er nødvendige for at varetage dens tilsynsopgaver
– gribe effektivt ind ved f.eks. at […] beordre oplysninger blokeret, slettet eller tilintetgjort, [eller] midlertidigt eller definitivt at forbyde en behandling […]
– [...]
Afgørelser truffet af tilsynsmyndigheden, som går en involveret part imod, kan indbringes for en retsinstans.
4. Enhver kan, eventuelt repræsenteret ved en sammenslutning, til tilsynsmyndigheden indgive en anmodning om beskyttelse af sine rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger. Den pågældende underrettes om, hvorledes sagen følges op.
[...]
6. Den enkelte tilsynsmyndighed er, uanset hvilken national lov der måtte gælde for den pågældende behandling, kompetent til på sin medlemsstats område at udøve de beføjelser, der tillægges den i overensstemmelse med stk. 3 i denne artikel. Myndigheden kan blive anmodet om at udøve sine beføjelser af en myndighed i en anden medlemsstat.
Tilsynsmyndighederne samarbejder med hinanden i det omfang, det er nødvendigt for at opfylde deres pligter, navnlig ved at udveksle alle nyttige oplysninger.
[...]«
Spansk ret
13 Direktiv 95/46 er gennemført i spansk ret ved lov nr. 15/1999 af 13. december 1999 om beskyttelse af personoplysninger (BOE nr. 298 af 14.12.1999, s. 43088).
Tvisten i hovedsagen og de præjudicielle spørgsmål
14 Den 5. marts 2010 indgav Mario Costeja González, der er spansk statsborger med bopæl i Spanien, en klage til AEPD over La Vanguardia Ediciones SL, som udgiver en avis med et stort oplagstal, bl.a. i Catalonien (herefter »La Vanguardia«), samt over Google Spain og Google Inc. Klagen var baseret på den omstændighed, at internetbrugere ved en søgning på hans navn på Googlekoncernens søgemaskine (herefter »Google Search«) får vist et link til to sider i avisen La Vanguardia fra henholdsvis den 19. januar og den 9. marts 1998 med en annonce, der nævner Mario Costeja González’ navn vedrørende en tvangsauktion over fast ejendom i forbindelse med en beslaglæggelse på grund af gæld til den sociale sikringsordning.
15 Med klagen anmodede Mario Costeja González for det første om, at La Vanguardia blev pålagt enten at fjerne eller ændre disse sider, således at hans personoplysninger ikke længere fremgik, eller at anvende visse værktøjer i søgemaskinerne til beskyttelse af disse oplysninger. For det andet anmodede han om, at Google Spain eller Google Inc. blev pålagt at fjerne eller skjule hans personoplysninger, således at de ikke længere indgik i søgeresultaterne og ikke længere fremgik af linket til La Vanguardia. Mario Costeja González anførte herved, at den beslaglæggelse, som han havde været genstand for, havde været fuldstændig afgjort i flere år, og at det ikke havde nogen aktuel relevans at nævne den.
16 Ved afgørelse af 30. juli 2010 afviste AEPD klagen for så vidt angik La Vanguardia, idet dennes offentliggørelse af de omhandlede oplysninger var retligt begrundet, eftersom den skete efter ordre fra Arbejds- og Socialministeriet og havde til formål at gøre mest mulig reklame for auktionen med henblik på at opnå flest mulige tilbudsgivere.
17 For så vidt angik Google Spain og Google Inc. fik Mario Costeja González derimod medhold i klagen. AEPD fandt i denne forbindelse, at søgemaskineudbydere er undergivet lovgivningen om beskyttelse af personoplysninger, eftersom de foretager en behandling af oplysninger, som de er ansvarlige for, og optræder som mellemled i informationssamfundet. AEPD fandt, at det har beføjelse til at bestemme, at oplysningerne skal fjernes, og til at forbyde søgemaskineudbyderne adgang til visse oplysninger, når AEPD finder, at oplysningernes placering og formidling krænker den grundlæggende ret til beskyttelse af oplysninger og personers værdighed i bred forstand, hvilket også omfatter, at den berørte person blot ønsker, at tredjemand ikke kan gøre sig bekendt med disse oplysninger. Ifølge AEPD kan denne forpligtelse påhvile søgemaskineudbyderne direkte, uden at det er nødvendigt at slette oplysningerne eller informationerne på den webside, hvor de fremgår, bl.a. når opretholdelsen af oplysningerne på siden er begrundet i henhold til en lovbestemmelse.
18 Google Spain og Google Inc. har anlagt to særskilte sager til prøvelse af nævnte afgørelse ved Audiencia Nacional, som har forenet sagerne.
19 Audiencia Nacional har anført i forelæggelsesafgørelsen, at nævnte søgsmål rejser spørgsmålet om, hvilke forpligtelser der påhviler søgemaskineudbydere med hensyn til beskyttelse af personoplysninger for berørte personer, der ikke ønsker, at visse oplysninger, som er offentliggjort på tredjemands webside og indeholder deres personoplysninger på en sådan måde, at de kan forbindes til disse personer, lokaliseres, indekseres og stilles ubegrænset til rådighed for internetbrugere. Svaret på dette spørgsmål afhænger af, hvordan direktiv 95/46 skal fortolkes i forbindelse med disse teknologier, som er opstået efter dets offentliggørelse.
20 På denne baggrund har Audiencia Nacional besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:
»1) Hvad angår den territoriale anvendelse af direktiv 95/46 og følgelig de spanske databeskyttelsesregler:
a) Kan der siges at foreligge en »virksomhed eller et organ« som omhandlet i artikel 4, stk. 1, litra a), i direktiv 95/46, når der foreligger en eller flere af følgende situationer:
– såfremt den virksomhed, der leverer søgemaskinen, i en medlemsstat etablerer en filial eller et datterselskab, der skal sørge for reklame og salg af reklameplads, der udbydes af søgemaskinen, og som retter sine aktiviteter mod borgerne i denne stat
eller
– såfremt modervirksomheden udpeger et datterselskab, der er etableret i denne medlemsstat, som sin repræsentant og registeransvarlige for to konkrete edb-registre, der har forbindelse til oplysninger om de kunder, der har indgået aftale med den nævnte virksomhed om visning af reklamer
eller
– såfremt kontoret eller datterselskabet, der er etableret i en medlemsstat, videregiver de anmodninger og krav, som både de berørte personer og de kompetente databeskyttelsesmyndigheder sender til kontoret eller datterselskabet, til modervirksomheden, der er etableret uden for Den Europæiske Union, selv om dette samarbejde foregår på frivilligt grundlag?
b) Skal artikel 4, stk. 1, litra c), i direktiv 95/46 fortolkes således, at der anvendes »midler […], som befinder sig på den pågældende medlemsstats område«:
– såfremt en søgemaskine gør brug af spiders eller robotter for at lokalisere og indeksere oplysninger fra websider, der befinder sig på servere i denne medlemsstat
eller
– såfremt der gøres brug af en medlemsstats domænenavn, og søgningerne og resultaterne organiseres afhængigt af denne medlemsstats sprog?
c) Kan en midlertidig lagring af de af søgemaskinerne indekserede oplysninger fra internettet anses for at være anvendelse af midler som omhandlet i artikel 4, stk. 1, litra c), i direktiv 95/46? Såfremt det sidste spørgsmål besvares bekræftende, kan tilknytningskriteriet da siges at være opfyldt, når virksomheden under henvisning til konkurrencemæssige årsager nægter at oplyse, hvor den lagrer dette indeks?
d) Uafhængigt af besvarelsen af ovenstående spørgsmål og især i tilfælde af, at Domstolen finder, at tilknytningskriterierne, der er fastsat i artikel 4 i direktiv 95/46, ikke foreligger:
Skal [direktiv 95/46] da finde anvendelse i lyset af [chartrets] artikel 8 […] i den medlemsstat, hvor konfliktens tyngdepunkt befinder sig, og hvor der er mulighed for en mere effektiv beskyttelse af EU-borgernes rettigheder?
2) Hvad angår søgemaskinernes aktivitet som leverandør af oplysninger set i forhold til [direktiv 95/46]:
a) For så vidt angår den internetaktivitet, der foretages af [Google Search] som leverandør af oplysninger, og som består i at lokalisere oplysninger, der er offentliggjort eller lagt på nettet af tredjemænd, indeksere disse automatisk, lagre dem midlertidigt og sluttelig gøre dem tilgængelige for internetbrugerne i en vis prioriteret orden, når oplysningerne indeholder personoplysninger om tredjemand […] skal en aktivitet som den beskrevne da fortolkes som værende omfattet af begrebet »behandling af personoplysninger« som omhandlet i artikel 2, litra b), i direktiv 95/46?
b) Såfremt det foregående spørgsmål besvares bekræftende og i forhold til en aktivitet som beskrevet ovenfor: Skal artikel 2, litra d), i direktiv 95/46 fortolkes således, at den virksomhed, der forvalter [Google Search], er »registeransvarlig« for de personoplysninger, der er indeholdt på de websider, den har indekseret?
c) Såfremt det foranstående spørgsmål besvares bekræftende: Kan [AEPD], der skal beskytte de rettigheder, der er omhandlet i artikel 12, litra b), og artikel 14, litra a), i direktiv 95/46, rette direkte henvendelse til [Google Search] for at kræve, at denne virksomhed fra sit indeks fjerner oplysninger, der er offentliggjort af tredjemand, uden først eller samtidigt at rette henvendelse til indehaveren af den webside, hvorpå disse oplysninger ligger?
d) Såfremt det foregående spørgsmål besvares bekræftende:
Bortfalder forpligtelsen for disse søgemaskiner til at overholde nævnte rettigheder da, når de oplysninger, der omfatter personoplysninger, er offentliggjort lovligt af tredjemand og fortsat fremgår af den oprindelige webside?
3) For så vidt angår rækkevidden af retten til sletning og retten til indsigelse i forhold til den såkaldte ret til at blive glemt forelægges følgende spørgsmål:
Skal retten til sletning og blokering af oplysninger, der er reguleret i artikel 12, litra b), i direktiv 95/46, og retten til indsigelse, der er reguleret i samme direktivs artikel 14, litra a), fortolkes således, at de omfatter den berørte parts ret til at rette henvendelse til søgemaskinerne for at forhindre indeksering af den pågældendes personoplysninger, der er offentliggjort på tredjemands webside, under påberåbelse af, at den pågældende ikke ønsker, at oplysningerne kommer til internetbrugernes kendskab, fordi den pågældende finder, at oplysningerne kan komme ham til skade eller ønsker, at de slettes, selv om der er tale om oplysninger, der er offentliggjort lovligt af tredjemand?«
Om de præjudicielle spørgsmål
Om det andet spørgsmål, litra a) og b), vedrørende det materielle anvendelsesområde for direktiv 95/46
21 Med det andet spørgsmål, litra a) og b), som skal behandles først, ønsker den forelæggende ret nærmere bestemt oplyst, om artikel 2, litra b), i direktiv 95/46 skal fortolkes således, at en søgemaskines aktivitet som leverandør af oplysninger, der består i at finde oplysninger, der er offentliggjort eller lagt på internettet af tredjemand, indeksere disse automatisk, lagre dem midlertidigt og sluttelig gøre dem tilgængelige for internetbrugerne i en vis prioriteret orden, skal kvalificeres som »behandling af personoplysninger« som omhandlet i denne bestemmelse, når oplysningerne indeholder personoplysninger. Såfremt dette spørgsmål besvares bekræftende, ønsker den forelæggende ret desuden oplyst, om artikel 2, litra d), skal fortolkes således, at søgemaskineudbyderen i bestemmelsens forstand skal anses for »registeransvarlig« for behandlingen af disse personoplysninger.
22 Ifølge Google Spain og Google Inc. kan en søgemaskines virksomhed ikke anses for at være en behandling af de oplysninger, som er indeholdt på de websider tilhørende tredjemand, der optræder på listen over søgeresultater, eftersom disse søgemaskiner behandler de oplysninger, der er tilgængelige på internettet, under ét uden at sortere mellem personoplysninger og andre oplysninger. Selv hvis det antages, at denne virksomhed skal kvalificeres som »behandling af personoplysninger«, kan en søgemaskineudbyder ikke anses for »registeransvarlig« i forbindelse med denne behandling, idet udbyderen ikke har kendskab til oplysningerne og ikke har nogen kontrol herover.
23 Mario Costeja González, den spanske, den italienske, den østrigske og den polske regering samt Europa-Kommissionen er derimod af den opfattelse, at nævnte virksomhed helt klart indebærer en »behandling af personoplysninger« som omhandlet i direktiv 95/46, og at denne behandling adskiller sig fra den behandling af oplysninger, der foretages af websideudgivere, samt forfølger andre formål end denne. En søgemaskineudbyder er »registeransvarlig« for den behandling af oplysninger, som den foretager, idet det er udbyderen, som afgør, til hvilket formål og med hvilke hjælpemidler denne behandling foretages.
24 Ifølge den græske regering udgør den omhandlede virksomhed en sådan »behandling«, men for så vidt som søgemaskiner blot fungerer som mellemled, kan de virksomheder, der udbyder dem, ikke anses for »registeransvarlige«, medmindre de lagrer oplysningerne i en »midlertidig hukommelse« eller »cache« i en periode, som overstiger den periode, der er teknisk nødvendig.
25 I denne forbindelse bemærkes, at artikel 2, litra b), i direktiv 95/46 definerer »behandling af personoplysninger« som »enhver operation eller række af operationer – med eller uden brug af elektronisk databehandling – som personoplysninger gøres til genstand for, f.eks. indsamling, registrering, systematisering, opbevaring, tilpasning eller ændring, selektion, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring samt blokering, slettelse eller tilintetgørelse«.
26 Navnlig hvad angår internettet har Domstolen allerede haft lejlighed til at fastslå, at en operation, der består i at lægge personoplysninger ud på en internetside, skal anses for en »behandling« som omhandlet i artikel 2, litra b), i direktiv 95/46 (jf. dom Lindqvist, C-101/01, EU:C:2003:596, præmis 25).
27 Hvad angår den i hovedsagen omhandlede aktivitet er det ubestridt, at der blandt de oplysninger, som søgemaskinerne finder, indekserer og lagrer, også findes oplysninger vedrørende fysiske personer, der direkte eller indirekte kan identificeres, og således er »personoplysninger« som omhandlet i direktivets artikel 2, litra a).
28 Det bemærkes, at en søgemaskineudbyder, idet den automatisk, konstant og systematisk undersøger internettet for de oplysninger, der offentliggøres dér, »indsamler« sådanne oplysninger, som den dernæst »selektionerer«, »registrerer« og »systematiserer« inden for rammerne af sine indekseringsprogrammer, »opbevarer« på sine servere og i givet fald »videregiver« og »overlader« til sine brugere i form af resultatlister af brugernes søgninger. Da disse operationer udtrykkeligt og uden forbehold er omfattet af artikel 2, litra b), i direktiv 95/46, skal de kvalificeres som »behandling« i denne bestemmelses forstand, uden at det herved har betydning, at søgemaskineudbyderen ligeledes anvender de samme operationer på andre typer oplysninger og ikke sondrer mellem disse og personoplysninger.
29 Den foregående konstatering berøres endvidere ikke af den omstændighed, at disse oplysninger allerede er blevet offentliggjort på internettet og ikke er blevet ændret af søgemaskinen.
30 Domstolen har således allerede fastslået, at de operationer, der er omhandlet i artikel 2, litra b), i direktiv 95/46, ligeledes skal kvalificeres som en sådan behandling, når de udelukkende vedrører oplysninger, der som sådan allerede har været offentliggjort i medierne. Domstolen har nemlig i denne henseende udtalt, at en generel undtagelse fra at anvende direktivet for så vidt angår offentliggjorte oplysninger i vid udstrækning vil gøre direktivet indholdsløst (jf. i denne retning dom Satakunnan Markkinapörssi og Satamedia, C-73/07, EU:C:2008:727, præmis 48 og 49).
31 Det følger endvidere af definitionen i artikel 2, litra b), i direktiv 95/46, at selv om en ændring af personoplysninger ganske vist udgør en behandling i bestemmelsens forstand, kræver de andre operationer, der nævnes heri, derimod på ingen måde, at personoplysningerne ændres.
32 Hvad angår spørgsmålet, om en søgemaskineudbyder skal anses for at være »registeransvarlig« for personoplysninger, som den har behandlet i forbindelse med en aktivitet som den i hovedsagen omhandlede, bemærkes, at artikel 2, litra d), i direktiv 95/46 definerer en registeransvarlig som »den fysiske eller juridiske person, offentlige myndighed, institution eller ethvert andet organ, der alene eller sammen med andre afgør, til hvilket formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger«.
33 Det er således søgemaskineudbyderen, som afgør denne aktivitets formål og hjælpemidlerne hertil og dermed også formålet med og hjælpemidlerne til den behandling af personoplysninger, som søgemaskineudbyderen selv foretager inden for rammerne heraf, og som følgelig skal anses for »registeransvarlig« i henhold til nævnte artikel 2, litra d).
34 Det bemærkes, at det ikke blot ville være i strid med den klare ordlyd af denne bestemmelse, men også med dens formål – som består i at sikre en effektiv og fuldstændig beskyttelse af de berørte personer ved at fastsætte en bred definition af begrebet »ansvarlig« – at udelukke en søgemaskineudbyder herfra med den begrundelse, at den ikke har kontrol over de personoplysninger, som offentliggøres på tredjemands websider.
35 I denne forbindelse bemærkes, at en behandling af personoplysninger, der foretages inden for rammerne af en søgemaskines aktiviteter, adskiller sig fra og er mere omfattende end den behandling, som foretages af websideudgivere, hvis behandling består i at lægge oplysninger ud på en internetside.
36 Det er desuden ubestridt, at søgemaskinernes aktivitet spiller en afgørende rolle for den globale formidling af nævnte oplysninger, idet denne aktivitet gør oplysningerne tilgængelige for enhver internetbruger, der foretager en søgning på den berørte persons navn, herunder internetbrugere, der ikke ellers ville have fundet den webside, hvor disse samme oplysninger er offentliggjort.
37 Den systematisering og sammenlægning af oplysninger, der er offentliggjort på internettet, som søgemaskinerne foretager, med henblik på at deres brugere skal kunne få adgang hertil, kan – når brugerne søger på et navn på en fysisk person – medføre, at de med resultatlisten får en struktureret oversigt over de oplysninger vedrørende denne person, der kan findes på internettet, hvilket gør det muligt for dem at fastlægge en mere eller mindre detaljeret profil af den berørte person.
38 For så vidt som søgemaskinens aktivitet således i forhold til websideudgiveres aktivitet i væsentligt større og yderligere grad kan påvirke de grundlæggende rettigheder til privatlivets fred og beskyttelse af personoplysninger, skal søgemaskineudbyderen i sin egenskab af den person, som afgør formålet med aktiviteten og hjælpemidlerne hertil, inden for rammerne af sit ansvar, sine kompetencer og sine muligheder sikre, at den opfylder kravene i direktiv 95/46, med henblik på at de garantier, som direktivet fastsætter, kan opnå deres fulde virkning, og at en effektiv og fuldstændig beskyttelse af de berørte personer, bl.a. hvad angår deres ret til privatlivets fred, faktisk kan gennemføres.
39 Endelig betyder den omstændighed, at websideudgiverne har mulighed for at angive over for søgemaskineudbyderne – bl.a. ved hjælp af en udelukkelsesprotokol som »robot.txt« eller koder som »noindex« eller »noarchive« – at de ønsker, at en bestemt oplysning, der er offentliggjort på deres side, udelukkes helt eller delvist fra søgemaskinernes automatiske indeks, ikke, at en manglende angivelse fra udgiverne fritager søgemaskineudbyderen fra sit ansvar for den behandling af personoplysninger, som den foretager inden for rammerne af søgemaskinens aktivitet.
40 Denne omstændighed ændrer nemlig ikke på, at formålet med og hjælpemidlerne til denne behandling afgøres af udbyderen. Selv hvis det antages, at nævnte mulighed for websideudgiverne betyder, at disse sammen med udbyderen afgør hjælpemidlerne til nævnte behandling, ændrer denne konstatering desuden intet for så vidt angår udbyderens ansvar, idet artikel 2, litra d), i direktiv 95/46 udtrykkeligt fastsætter, at afgørelsen kan foretages »alene eller sammen med andre«.
41 Det følger af de ovenstående betragtninger, at det andet spørgsmål, litra a) og b), skal besvares med, at artikel 2, litra b) og d), i direktiv 95/46 skal fortolkes således, at en søgemaskines aktivitet, der består i at finde oplysninger, der er offentliggjort eller lagt på internettet af tredjemand, indeksere disse automatisk, lagre dem midlertidigt og sluttelig gøre dem tilgængelige for internetbrugerne i en vis prioriteret orden, for det første skal kvalificeres som »behandling af personoplysninger« som omhandlet i artikel 2, litra b), når oplysningerne indeholder personoplysninger, og for det andet skal udbyderen af denne søgemaskine anses for at være »registeransvarlig« som omhandlet i artikel 2, litra d).
Det første spørgsmål, litra a)-d), vedrørende det territoriale anvendelsesområde for direktiv 95/46
42 Med det første spørgsmål, litra a)-d), ønsker den forelæggende ret, at det fastslås, om det er muligt at anvende den nationale lovgivning, der gennemfører direktiv 95/46, under omstændigheder som de i hovedsagen omhandlede.
43 I denne henseende har den forelæggende ret fastslået følgende faktiske omstændigheder:
– Google Search udbydes globalt gennem websiden »www.google.com«. I mange lande findes der lokale versioner, der er tilpasset det nationale sprog. Den spanske version af Google Search udbydes gennem websiden »www.google.es«, der blev registreret den 16. september 2003. Google Search er en af de mest anvendte søgemaskiner i Spanien.
– Google Search udbydes af Google Inc., som er moderselskabet i Googlekoncernen og har hjemsted i De Forenede Stater.
– Google Search indekserer websider fra hele verden, herunder websider i Spanien. De oplysninger, der indekseres af Googles »webspiders« eller indekseringsrobotter, dvs. computerprogrammer, der anvendes med henblik på metodisk og systematisk at identificere og opstøve indholdet af websider, lagres midlertidigt på servere, som befinder sig i et ukendt land, idet dette holdes hemmeligt af konkurrencemæssige grunde.
– Google Search giver ikke kun adgang til det indhold, der befinder sig på de indekserede websider, men benytter denne aktivitet til mod vederlag at inkludere reklamer, der knytter sig til internetbrugernes søgeord, for virksomheder, der ønsker at anvende dette værktøj med henblik på at tilbyde deres varer eller tjenesteydelser til internetbrugerne.
– Googlekoncernen anvender sit datterselskab Google Spain til at fremme salget af reklameplads på websiden »www.google.com«. Google Spain, som blev stiftet den 3. september 2003 og er en selvstændig juridisk person, har hjemsted i Madrid (Spanien). Selskabet retter i det væsentlige sine aktiviteter mod virksomheder med base i Spanien og fungerer dermed som Googlekoncernens salgsagent i denne medlemsstat. Google Spains selskabsformål er at fremme, lette og foretage onlinesalg til tredjemand af reklameprodukter og ‑tjenesteydelser samt at markedsføre disse reklamer.
– Google Inc. har udpeget Google Spain som registeransvarlig i Spanien for to registre, som Google har registreret hos AEPD, idet disse registre indeholder personoplysninger om de kunder, der har indgået aftale om reklameydelser med Google Inc.
44 Den forelæggende ret har konkret og indledningsvis rejst spørgsmål vedrørende begrebet en »virksomhed eller et organ« som omhandlet i artikel 4, stk. 1, litra a), i direktiv 95/46 og begrebet »anvendelse af midler, som befinder sig på den pågældende medlemsstats område« som omhandlet i artikel 4, stk. 1, litra c).
Om det første spørgsmål, litra a)
45 Med det første spørgsmål, litra a), ønsker den forelæggende ret nærmere bestemt oplyst, om artikel 4, stk. 1, litra a), i direktiv 95/46 skal fortolkes således, at en behandling af personoplysninger foretages som led i aktiviteter, der inden for en medlemsstats område udføres af en registeransvarligs virksomhed eller organ som omhandlet i bestemmelsen, når en eller flere af følgende betingelser er opfyldt:
– søgemaskineudbyderen etablerer i en medlemsstat en filial eller et datterselskab, der skal sørge for reklame og salg af reklameplads i søgemaskinen, og som retter sin aktivitet mod indbyggerne i denne medlemsstat, eller
– moderselskabet udpeger en filial, der er etableret i denne medlemsstat, som sin repræsentant og registeransvarlige for to konkrete registre, der indeholder oplysninger om de kunder, der har indgået aftale med denne virksomhed om reklameydelser, eller
– filialen eller datterselskabet, der er etableret i en medlemsstat, videregiver de anmodninger og krav om opretholdelse af retten til beskyttelse af personoplysninger, som både de berørte personer og de kompetente myndigheder sender til filialen eller datterselskabet, til moderselskabet, der er etableret uden for Unionen, selv om dette samarbejde foregår på frivilligt grundlag.
46 For så vidt angår den første af disse betingelser har den forelæggende ret anført, at Google Search udbydes og drives af Google Inc., og at det ikke er godtgjort, at Google Spain i Spanien foretager en aktivitet, der er direkte forbundet med indeksering eller lagring af informationer eller oplysninger, der ligger på tredjemands websider. Den aktivitet, som Google Spain foretager i Spanien, der består af reklame og salg af reklameplads, udgør imidlertid den væsentligste del af Googlekoncernens forretningsmæssige aktiviteter og kan anses for at være tæt knyttet til Google Search.
47 Ifølge Mario Costeja González, den spanske, den italienske, den østrigske og den polske regering samt Europa-Kommissionen skal Google Spain, henset til den uløselige forbindelse, der består mellem aktiviteten foretaget af den søgemaskine, som Google Inc. udbyder, og Google Spains aktivitet, anses for at være Google Inc.s virksomhed eller organ i forbindelse med de aktiviteter, hvor der foretages behandling af personoplysninger. Ifølge Google Spain, Google Inc. og den græske regering finder artikel 4, stk. 1, litra a), i direktiv 95/46 derimod ikke anvendelse, såfremt den første af de tre betingelser, der er opregnet af den forelæggende ret, foreligger.
48 I denne forbindelse bemærkes indledningsvis, at det fremgår af 19. betragtning til direktiv 95/46, at »ved etablering på en medlemsstats område forstås faktisk udøvelse af aktiviteter gennem en mere permanent struktur«, og at »den pågældende strukturs retlige form, hvad enten det blot er en filial eller et datterselskab med status som juridisk person, [ikke har] afgørende betydning«.
49 Det er således ubestridt, at Google Spain reelt og faktisk udøver aktiviteter gennem en fast indretning i Spanien. Da Google Spain endvidere har status af selvstændig juridisk person, udgør selskabet således et datterselskab under Google Inc. på spansk område og dermed en »virksomhed eller et organ« som omhandlet i artikel 4, stk. 1, litra a), i direktiv 95/46.
50 Med henblik på at opfylde kriteriet i denne bestemmelse skal den registeransvarliges behandling af personoplysninger endvidere »foretages som led i […] aktiviteter«, der inden for en medlemsstats område foretages af den registeransvarliges virksomhed eller organ.
51 Google Spain og Google Inc. har bestridt, at dette er tilfældet, idet den i hovedsagen omhandlede behandling af personoplysninger faktisk foretages af Google Inc., der udbyder Google Search, uden nogen som helst mellemkomst fra Google Spain, hvis aktivitet er begrænset til at understøtte Googlekoncernens reklameaktiviteter, der er adskilt fra søgemaskineydelsen.
52 Som bl.a. den spanske regering og Kommissionen har anført, kræver artikel 4, stk. 1, litra a), i direktiv 95/46 imidlertid ikke, at den pågældende behandling af personoplysninger foretages »af« selve den berørte virksomhed eller det berørte organ, men udelukkende, at behandlingen foretages »som led i aktiviteter«, der foretages af virksomheden eller organet.
53 Henset til, at formålet med direktiv 95/46 er at sikre en effektiv og fuldstændig beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af personoplysninger kan sidstnævnte udtryk ikke fortolkes indskrænkende (jf. analogt dom L’Oréal m.fl., C-324/09, EU:C:2011:474, præmis 62 og 63).
54 Det bemærkes i denne henseende, at det fremgår af bl.a. 18.-20. betragtning til direktiv 95/46 samt af direktivets artikel 4, at EU-lovgiver ved at fastsætte et særligt bredt territorialt anvendelsesområde har ønsket at forhindre, at en person unddrages den beskyttelse, der sikres ved direktivet, og at denne beskyttelse omgås.
55 Henset til formålet med direktiv 95/46 og ordlyden af direktivets artikel 4, stk. 1, litra a), skal det fastslås, at en behandling af personoplysninger, der foretages for en søgemaskine som Google Search, som udbydes af en virksomhed med hjemsted i et tredjeland, der dog råder over en virksomhed eller et organ i en medlemsstat, foretages »som led i aktiviteter«, der foretages af denne virksomhed eller dette organ, hvis denne virksomhed eller dette organ i denne medlemsstat skal sørge for reklame og salg af reklameplads, der udbydes af søgemaskinen, hvilket medvirker til at gøre den ydelse, som søgemaskinen tilbyder, rentabel.
56 Under sådanne omstændigheder er søgemaskineudbyderens aktiviteter og de aktiviteter, der foretages af søgemaskineudbyderens virksomhed eller organ i den omhandlede medlemsstat, nemlig uløseligt forbundne, eftersom aktiviteterne vedrørende reklameplads udgør midlet, der gør den omhandlede søgemaskine økonomisk rentabel, og denne søgemaskine samtidig er det middel, der gør det muligt at gennemføre aktiviteterne.
57 Som det er blevet præciseret i denne doms præmis 26-28, bemærkes herved, at selve visningen af personoplysninger på en resultatliste efter en søgning udgør en behandling af disse oplysninger. Da nævnte resultatvisning på den samme side ledsages af reklamer, der er knyttet til søgeordene, bemærkes, at den pågældende behandling af personoplysninger foretages inden for rammerne af de reklame- og forretningsaktiviteter, der foretages af den registeransvarliges virksomhed eller organ inden for en medlemsstats område, i det foreliggende tilfælde det spanske område.
58 Under disse omstændigheder kan det ikke accepteres, at den behandling af personoplysninger, der foretages, med henblik på at denne søgemaskine kan fungere, falder uden for de forpligtelser og garantier, der er fastsat i direktiv 95/46, da dette ville krænke direktivets effektive virkning og den effektive og fuldstændige beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder, som det har til formål at sikre (jf. analogt dom L’Oréal m.fl., C-324/09, EU:C:2011:474, præmis 62 og 63), især retten til privatlivets fred i forbindelse med behandling af personoplysninger, som dette direktiv tillægger en særlig betydning, hvilket bekræftes af bl.a. dets artikel 1 samt anden og tiende betragtning hertil (jf. i denne retning domme Österreichischer Rundfunk m.fl., C-465/00, C-138/01 og C-139/01, EU:C:2003:294, præmis 70, Rijkeboer, C-553/07, EU:C:2009:293, præmis 47, og IPI, C-473/12, EU:C:2013:715, præmis 28 og den deri nævnte retspraksis).
59 For så vidt som den første af de tre betingelser, som den forelæggende ret har opregnet, i sig selv er tilstrækkelig med henblik på at konkludere, at en virksomhed som Google Spain opfylder kriteriet i artikel 4, stk. 1, litra a), i direktiv 95/46, er det ufornødent at behandle de andre to betingelser.
60 Det følger af det ovenfor anførte, at det første spørgsmål, litra a), skal besvares med, at artikel 4, stk. 1, litra a), i direktiv 95/46 skal fortolkes således, at en behandling af personoplysninger foretages som led i aktiviteter, der inden for en medlemsstats område udføres af en registeransvarligs virksomhed eller organ som omhandlet i bestemmelsen, når en søgemaskineudbyder etablerer en filial eller et datterselskab i en medlemsstat, der skal sørge for reklame og salg af reklameplads i søgemaskinen, og hvis aktivitet er rettet mod indbyggerne i denne medlemsstat.
Om det første spørgsmål, litra b)-d)
61 Under hensyn til besvarelsen af det første spørgsmål, litra a), er det ufornødent at besvare det første spørgsmål, litra b)-d).
Om det andet spørgsmål, litra c) og d), vedrørende omfanget af en søgemaskineudbyders ansvar i henhold til direktiv 95/46
62 Med det andet spørgsmål, litra c) og d), ønsker den forelæggende ret nærmere bestemt oplyst, om artikel 12, litra b), og artikel 14, stk. 1, litra a), i direktiv 95/46 skal fortolkes således, at en søgemaskineudbyder med henblik på at overholde de rettigheder, der er fastsat i bestemmelserne, er forpligtet til fra den resultatliste, der vises efter en søgning på en persons navn, at fjerne link til websider, som er offentliggjort af tredjemand og indeholder oplysninger vedrørende denne person, også i det tilfælde, hvor dette navn eller disse oplysninger ikke forudgående eller samtidig slettes fra disse websider, og i givet fald selv når offentliggørelsen på disse sider i sig selv er lovlig.
63 Ifølge Google Spain og Google Inc. skal enhver anmodning om sletning af oplysninger i medfør af proportionalitetsprincippet rettes til udgiveren af den omhandlede webside, idet det er sidstnævnte, som er ansvarlig for at offentliggøre oplysningerne, som er i stand til at vurdere lovligheden af denne offentliggørelse, og som er i besiddelse af de mest effektive og mindst restriktive midler med henblik på at gøre oplysningerne utilgængelige. At pålægge en søgemaskineudbyder fra sit indeks at fjerne oplysninger, der er offentliggjort på internettet, tager i øvrigt ikke tilstrækkeligt hensyn til de grundlæggende rettigheder for websideudgivere, andre internetbrugere og selve udbyderen.
64 Ifølge den østrigske regering kan en national tilsynsmyndighed kun pålægge en sådan udbyder at slette oplysninger, der er offentliggjort af tredjemand, fra sine registre, såfremt det forinden er blevet fastslået, at de omhandlede oplysninger er ulovlige eller ukorrekte, eller hvis den berørte person med held har gjort indsigelse over for den websideudgiver, på hvis side disse oplysninger er blevet offentliggjort.
65 Mario Costeja González, den spanske, den italienske og den polske regering samt Kommissionen er af den opfattelse, at den nationale myndighed kan pålægge søgemaskineudbyderen direkte at fjerne oplysninger, der indeholder personoplysninger, som er offentliggjort af tredjemand, fra sit indeks og sin mellemlagring uden forudgående eller samtidigt at skulle henvende sig til den websideudgiver, på hvis side disse oplysninger ligger. Ifølge Mario Costeja González, den spanske og den italienske regering samt Kommissionen har den omstændighed, at nævnte oplysninger er blevet offentliggjort lovligt og stadig ligger på den oprindelige webside, endvidere ingen betydning for søgemaskineudbyderens forpligtelser i medfør af direktiv 95/46. Ifølge den polske regering fritager denne omstændighed dog søgemaskineudbyderen fra disse forpligtelser.
66 Indledningsvis bemærkes, at det fremgår af artikel 1 i og tiende betragtning til direktiv 95/46, at direktivet har til formål at sikre et højt beskyttelsesniveau af fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af personoplysninger (jf. i denne retning dom IPI, EU:C:2013:715, præmis 28).
67 Ifølge 25. betragtning til direktiv 95/46 skal principperne om beskyttelse, der er fastsat heri, afspejles dels i de forskellige forpligtelser, der påhviler dem, der behandler oplysningerne, navnlig for så vidt angår oplysningernes pålidelighed, den tekniske sikkerhed, anmeldelse til tilsynsmyndigheden og de omstændigheder, hvorunder behandlingen må udføres, dels i de rettigheder, der tilkommer de personer, hvis personoplysninger gøres til genstand for behandling, bl.a. retten til at blive underrettet om en behandling, til indsigt, til at kunne kræve oplysninger berigtiget, men også til under visse omstændigheder at gøre indsigelse mod en behandling.
68 Domstolen har allerede udtalt, at bestemmelserne i direktiv 95/46, for så vidt som de omhandler behandling af personoplysninger, der kan krænke de grundlæggende frihedsrettigheder og navnlig privatlivets fred, nødvendigvis skal fortolkes under hensyntagen til de grundlæggende rettigheder, som ifølge fast retspraksis er en integrerende del af de almindelige retsgrundsætninger, som Domstolen skal beskytte, og som nu er opført i chartret (jf. bl.a. domme Connolly mod Kommissionen, C-274/99 P, EU:C:2001:127, præmis 37, og Österreichischer Rundfunk m.fl., EU:C:2003:294, præmis 68).
69 Chartrets artikel 7 sikrer ret til respekt for privatlivet, mens chartrets artikel 8 udtrykkeligt fastsætter retten til beskyttelse af personoplysninger. Artikel 8, stk. 2 og 3, præciserer, at disse oplysninger skal behandles rimeligt, til udtrykkeligt angivne formål og på grundlag af de berørte personers samtykke eller på et andet berettiget ved lov fastsat grundlag, at enhver har ret til adgang til indsamlede oplysninger, der vedrører den pågældende, og til berigtigelse heraf, samt at overholdelsen af disse regler er underlagt en uafhængig myndigheds kontrol. Disse krav gennemføres bl.a. ved artikel 6, 7, 12, 14 og 28 i direktiv 95/46.
70 Hvad angår artikel 12, litra b), i direktiv 95/46 bestemmer den, at medlemsstaterne sikrer enhver registreret ret til hos den registeransvarlige efter omstændighederne at få oplysninger, som ikke er blevet behandlet i overensstemmelse med dette direktiv, berigtiget, slettet eller blokeret, navnlig hvis de er ufuldstændige eller urigtige. Da sidstnævnte præcisering af et tilfælde, hvor visse krav i artikel 6, stk. 1, litra d), i direktiv 95/46 ikke er blevet overholdt, er et ikke-udtømmende eksempel, følger det heraf, at den manglende overensstemmelse med direktivet i forbindelse med behandlingen, som for den registrerede kan udløse den ret, der er sikret i direktivets artikel 12, litra b), ligeledes kan følge af manglende overholdelse af andre lovlighedsbetingelser, som direktivet pålægger behandlingen af personoplysninger.
71 I denne forbindelse bemærkes, at med forbehold af de undtagelser, der er tilladt i henhold til artikel 13 i direktiv 95/46, skal enhver behandling af personoplysninger foregå i overensstemmelse med både principperne vedrørende oplysningernes pålidelighed, der er fastsat i direktivets artikel 6, og et af de principper vedrørende grundlaget for behandling af oplysninger, der er opregnet i direktivets artikel 7 (jf. domme Österreichischer Rundfunk m.fl., EU:C:2003:294, præmis 65, ASNEF og FECEMD, C-468/10 og C-469/10, EU:C:2011:777, præmis 26, og Worten, C-342/12, EU:C:2013:355, præmis 33).
72 I henhold til artikel 6 og med forbehold af, at medlemsstaterne kan fastsætte bestemmelser om behandling i historisk, statistisk eller videnskabeligt øjemed, påhviler det den registeransvarlige at sikre, at personoplysningerne »behandles loyalt og lovligt«, at de »indsamles til udtrykkeligt angivne og legitime formål, samt at senere behandling heraf ikke [er] uforenelig med disse formål«, at de er »relevante og tilstrækkelige og ikke omfatte[r] mere end, hvad der kræves til opfyldelse af de formål, hvortil de indsamles, og til de formål, hvortil de senere behandles«, at de er »korrekte og om nødvendigt ajourførte«, og endelig at de »ikke må opbevares på en måde, der giver mulighed for at identificere de registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil de indsamles, eller i forbindelse med hvilke de behandles på et senere tidspunkt«. I denne forbindelse skal den registeransvarlige træffe alle rimelige foranstaltninger, med henblik på at de oplysninger, der ikke lever op til kravene i denne bestemmelse, slettes eller berigtiges.
73 Hvad angår grundlaget i medfør af artikel 7 i direktiv 95/46 for en behandling som den i hovedsagen omhandlede, der foretages af en søgemaskineudbyder, falder denne ind under det grundlag, der er omhandlet i artikel 7, litra f).
74 Denne bestemmelse tillader behandling af personoplysninger, når den er nødvendig for, at den registeransvarlige eller den tredjemand eller de tredjemænd, til hvem oplysningerne videregives, kan forfølge en legitim interesse, medmindre den registreredes interesser eller de grundlæggende rettigheder og frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af personoplysninger, der skal beskyttes i henhold til artikel 1, stk. 1, i dette direktiv, går forud herfor. Anvendelsen af artikel 7, litra f), nødvendiggør en afvejning af de omhandlede modstående rettigheder og interesser, i forbindelse med hvilken der skal tages hensyn til vigtigheden af den registreredes rettigheder, som følger af chartrets artikel 7 og 8 (jf. dom ASNEF og FECEMD, EU:C:2011:777, præmis 38 og 40).
75 Hvis det i forbindelse med en anmodning som omhandlet i artikel 12, litra b), i direktiv 95/46 kan godtgøres, at behandlingen er foregået i overensstemmelse med direktivets artikel 6 og artikel 7, litra f), kan den registrerede derudover på visse betingelser påberåbe sig den indsigelsesret, der er fastsat i direktivets artikel 14, stk. 1, litra a).
76 Ifølge artikel 14, stk. 1, litra a), indrømmer medlemsstaterne den registrerede ret til i det mindste i de i artikel 7, litra e) og f), omhandlede tilfælde af vægtige legitime grunde, der vedrører den pågældendes særlige situation, til enhver tid at gøre indsigelse mod, at personoplysninger om den pågældende gøres til genstand for behandling, medmindre andet er bestemt i den nationale lovgivning. Den afvejning, der skal foretages inden for rammerne af artikel 14, stk. 1, litra a), gør det således muligt at tage specifikt hensyn til alle omstændighederne i den registreredes konkrete situation. I tilfælde af berettiget indsigelse må den af den registeransvarlige iværksatte behandling ikke længere omfatte de pågældende oplysninger.
77 Anmodninger i medfør af artikel 12, litra b), og artikel 14, stk. 1, litra a), i direktiv 95/46 kan fremsættes direkte af den registrerede til den registeransvarlige, som dernæst omhyggeligt skal undersøge, om anmodningen er berettiget, og i givet fald ophøre med at behandle de pågældende oplysninger. Når den registeransvarlige ikke tager sådanne anmodninger til følge, kan den registrerede indbringe dette for tilsynsmyndigheden eller for en retsinstans, med henblik på at de foretager de nødvendige undersøgelser og følgelig pålægger den registeransvarlige at træffe specifikke foranstaltninger.
78 I denne forbindelse bemærkes, at det følger af artikel 28, stk. 3 og 4, i direktiv 95/46, at enhver kan indgive en anmodning til tilsynsmyndigheden om beskyttelse af sine rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger, og at tilsynsmyndigheden skal kunne iværksætte undersøgelser og skal kunne gribe effektivt ind bl.a. ved at beordre oplysninger blokeret, slettet eller tilintetgjort eller ved midlertidigt eller definitivt at forbyde en sådan behandling.
79 De bestemmelser i direktiv 95/46, der regulerer den registreredes rettigheder, når denne har indgivet en anmodning som den i hovedsagen omhandlede til tilsynsmyndigheden eller til en retsinstans, skal fortolkes og anvendes i lyset af disse betragtninger.
80 I denne henseende skal det indledningsvis bemærkes, således som det er blevet fastslået i denne doms artikel 36-38, at en behandling af personoplysninger som den i hovedsagen omhandlede, der foretages af en søgemaskineudbyder, i væsentlig grad kan påvirke de grundlæggende rettigheder til privatlivets fred og beskyttelse af personoplysninger, når der ved hjælp af søgemaskinen søges på en fysisk persons navn, idet denne behandling gør det muligt for enhver internetbruger at få en resultatliste med en struktureret oversigt over de oplysninger vedrørende denne person, der kan findes på internettet, som potentielt kan vedrøre flere forskellige aspekter af denne persons privatliv, og som uden denne søgemaskine ikke, eller kun med stort besvær, ville kunne sammenkædes, og således fastlægge en mere eller mindre detaljeret profil af personen. Virkningen af indgrebet i nævnte rettigheder for den berørte person forstærkes endvidere som følge af den vigtige rolle, som internettet og søgemaskinerne har i det moderne samfund, hvilket giver oplysningerne på en sådan resultatliste en allestedsnærværende karakter (jf. i denne retning dom eDate Advertising m.fl., C-509/09 og C-161/10, EU:C:2011:685, præmis 45).
81 Henset til, at dette indgreb potentielt kan være alvorligt, bemærkes, at det ikke kan berettiges alene ved søgemaskineudbyderens økonomiske interesse i behandlingen. For så vidt som fjernelsen af link i resultatlisten alt efter den omhandlede oplysning kan have betydning for den legitime interesse hos internetbrugere, der potentielt har interesse i at have adgang til den pågældende oplysning, skal der i situationer som den i hovedsagen omhandlede imidlertid foretages en rimelig afvejning af bl.a. denne interesse og denne persons grundlæggende rettigheder i medfør af chartrets artikel 7 og 8. Selv om rettighederne for den berørte person, der er beskyttet ved disse artikler, ganske vist også generelt vejer tungest i forhold til internetbrugernes interesse, kan denne afvejning dog i særlige tilfælde afhænge af den pågældende oplysnings art, og hvor følsom den er for den berørte persons privatliv, samt offentlighedens interesse i at råde over denne oplysning, hvilket bl.a. kan variere, alt efter hvilken rolle denne person har i det offentlige liv.
82 Efter den vurdering, der skal foretages af betingelserne for anvendelse i artikel 12, litra b), og artikel 14, stk. 1, litra a), i direktiv 95/46, når der for tilsynsmyndigheden eller retsinstansen indbringes en anmodning som den i hovedsagen omhandlede, kan tilsynsmyndigheden eller retsinstansen pålægge søgemaskineudbyderen fra den resultatliste, der vises efter en søgning på en persons navn, at fjerne link til websider, der er offentliggjort af tredjemand og indeholder oplysninger om denne person, uden at en afgørelse herom forudsætter, at navnet og disse oplysninger forudgående eller samtidig – frivilligt eller på befaling af en af disse myndigheder – fjernes fra den webside, hvor de er blevet offentliggjort.
83 For så vidt som en behandling af personoplysninger, der foretages inden for rammerne af en søgemaskines aktiviteter, adskiller sig fra og er mere omfattende end den behandling, som foretages af websideudgivere, og i yderligere grad påvirker den berørte persons grundlæggende rettigheder, skal søgemaskineudbyderen i sin egenskab af registeransvarlig inden for rammerne af sit ansvar, sine kompetencer og sine muligheder således sikre, at behandlingen opfylder kravene i direktiv 95/46, med henblik på at de garantier, som direktivet fastsætter, kan opnå deres fulde virkning, således som det er blevet fastslået i denne doms præmis 35-38.
84 Henset til den lethed, hvormed oplysninger offentliggjort på en webside kan gengives på andre sider, og til den omstændighed, at de ansvarlige for oplysningernes offentliggørelse ikke altid er undergivet EU-retten, bemærkes i denne forbindelse, at en effektiv og fuldstændig beskyttelse af de berørte personer ikke kan gennemføres, hvis disse personer forudgående eller samtidig skal opnå at få slettet de oplysninger, der vedrører dem, hos websideudgiverne.
85 En websideudgivers behandling, der består i at offentliggøre oplysninger om en fysisk person, kan desuden i givet fald foretages »udelukkende […] i journalistisk øjemed« og kan dermed i medfør af artikel 9 i direktiv 95/46 være fritaget for de krav, der er fastsat i direktivet, mens dette ikke forekommer at være tilfældet for så vidt angår den behandling, der foretages af en søgemaskineudbyder. Det kan således ikke udelukkes, at den berørte person under visse omstændigheder kan udøve rettighederne i artikel 12, litra b), og artikel 14, stk. 1, litra a), i direktiv 95/46 mod søgemaskineudbyderen, men ikke mod websideudgiveren.
86 Endelig bemærkes, at ikke blot er der ikke nødvendigvis sammenfald mellem det grundlag, der i medfør af artikel 7 i direktiv 95/46 berettiger offentliggørelsen af en personoplysning på internettet, og det grundlag, der finder anvendelse på søgemaskiners aktivitet, men resultatet af den omhandlede interesseafvejning, der skal foretages i medfør af direktivets artikel 7, litra f), og artikel 14, stk. 1, litra a), kan, selv når dette er tilfældet, være forskelligt, alt efter om der er tale om behandlingen foretaget af søgemaskineudbyderen eller behandlingen foretaget af websideudgiveren, eftersom de legitime interesser, der berettiger disse behandlinger, for det første kan være forskellige, og de konsekvenser, som nævnte behandlinger har for den berørte person, navnlig for den pågældendes privatliv, for det andet ikke nødvendigvis er de samme.
87 For så vidt som inklusionen af en webside på den resultatliste, der vises efter en søgning på en persons navn, og af de oplysninger, der ligger på denne side vedrørende denne person, i væsentlig grad letter adgangen til disse oplysninger for enhver internetbruger, som foretager en søgning på den berørte person, og kan spille en afgørende rolle i udbredelsen af disse oplysninger, udgør den et mere alvorligt indgreb i den berørte persons grundlæggende ret til privatlivets fred end websideudgiverens offentliggørelse.
88 Henset til samtlige ovenstående betragtninger skal det andet spørgsmål, litra c) og d), herefter besvares med, at artikel 12, litra b), og artikel 14, stk. 1, litra a), i direktiv 95/46 skal fortolkes således, at en søgemaskineudbyder med henblik på at overholde de rettigheder, der er fastsat i bestemmelserne, og for så vidt som de betingelser, der er fastsat i direktivet, faktisk er opfyldt, er forpligtet til fra den resultatliste, der vises efter en søgning på en persons navn, at fjerne link til websider, som er offentliggjort af tredjemand og indeholder oplysninger vedrørende denne person, også i det tilfælde, hvor dette navn eller disse oplysninger ikke forudgående eller samtidig slettes fra disse websider, og i givet fald selv når offentliggørelsen på disse sider i sig selv er lovlig.
Det tredje spørgsmål vedrørende rækkevidden af de rettigheder, som den registrerede er sikret ved direktiv 95/46
89 Med det tredje spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om artikel 12, litra b), og artikel 14, stk. 1, litra a), i direktiv 95/46 skal fortolkes således, at de gør det muligt for den berørte person at kræve, at søgemaskineudbyderen fra den resultatliste, der vises efter en søgning på personens navn, fjerner link til websider, som er offentliggjort af tredjemand og indeholder sandfærdige oplysninger vedrørende denne person, med den begrundelse, at disse oplysninger kan komme personen til skade, eller at personen ønsker, at disse oplysninger »glemmes« efter en vis tid.
90 Google Spain, Google Inc., den græske, den østrigske og den polske regering samt Kommissionen er af den opfattelse, at dette spørgsmål skal besvares benægtende. Google Spain, Google Inc., den polske regering og Kommissionen har i denne forbindelse gjort gældende, at artikel 12, litra b), og artikel 14, stk. 1, litra a), i direktiv 95/46 udelukkende tillægger de berørte personer rettigheder, såfremt den omhandlede behandling ikke er forenelig med direktivet eller af vægtige legitime grunde, der vedrører den pågældendes særlige situation, og ikke blot af den grund, at de berørte personer finder, at denne behandling kan komme dem til skade, eller at de ønsker, at de behandlede oplysninger glemmes. Den græske og den østrigske regering er af den opfattelse, at den berørte person skal henvende sig til den omhandlede websideudgiver.
91 Mario Costeja González samt den spanske og den italienske regering er af den opfattelse, at den berørte person kan gøre indsigelse mod en søgemaskines indeksering af den berørte persons personoplysninger, når søgemaskinens formidling heraf skader personen, og når dennes grundlæggende ret til beskyttelse af disse oplysninger og til privatlivets fred, som omfatter »retten til at blive glemt«, går forud for søgemaskineudbyderens legitime interesser og det almindelige hensyn til informationsfriheden.
92 Hvad angår artikel 12, litra b), i direktiv 95/46, hvis anvendelse er underlagt et krav om, at behandlingen af personoplysninger er uforenelig med direktivet, bemærkes – således som det er anført i denne doms præmis 72 – at en sådan uforenelighed ikke kun kan følge af, at personoplysningerne er ukorrekte, men navnlig også af den omstændighed, at de er utilstrækkelige, irrelevante eller omfatter mere end, hvad der er nødvendigt i forhold til formålet med behandlingen, at de ikke er ajourført, eller at de opbevares i et længere tidsrum end det, der er nødvendigt, medmindre de opbevares i historisk, statistisk eller videnskabeligt øjemed.
93 Det følger af disse krav, der er fastsat i artikel 6, stk. 1, litra c)-e), i direktiv 95/46, at selv en behandling af korrekte oplysninger, der oprindeligt var lovlig, med tiden kan blive uforenelig med direktivet, når disse oplysninger ikke længere er nødvendige af hensyn til de formål, hvortil de er blevet indsamlet, eller i forbindelse med hvilke de er blevet behandlet. Det er bl.a. tilfældet, når de forekommer utilstrækkelige, irrelevante eller ikke længere relevante eller omfatter for meget i forhold til formålet, og henset til den tid, der er gået.
94 Såfremt det efter en anmodning fra den berørte person i medfør af artikel 12, litra b), i direktiv 95/46 konstateres, at inklusionen på den resultatliste, der vises efter en søgning på personens navn, af link til websider, som lovligt er offentliggjort af tredjemand og indeholder sandfærdige oplysninger vedrørende denne person, på nuværende tidspunkt er uforenelig med nævnte artikel 6, stk. 1, litra c)-e), idet disse oplysninger, henset til samtlige omstændigheder, der gør sig gældende i det foreliggende tilfælde, forekommer utilstrækkelige, irrelevante eller ikke længere relevante eller omfatter for meget i forhold til formålet med den pågældende behandling, der foretages af søgemaskineudbyderen, skal de omhandlede oplysninger og link på nævnte resultatliste slettes.
95 Hvad angår anmodninger i henhold til artikel 12, litra b), som er baseret på en påstand om, at betingelserne i artikel 7, litra f), i direktiv 95/46 og i direktivets artikel 14, stk. 1, litra a), ikke er overholdt, bemærkes, at enhver behandling af personoplysninger skal være lovlig i henhold til artikel 7 i hele den periode, hvor behandlingen foretages.
96 Henset til det ovenstående skal det inden for rammerne af behandlingen af sådanne anmodninger, der er indgivet til prøvelse af en behandling som den i hovedsagen omhandlede, bl.a. undersøges, om den berørte person har ret til, at oplysningen vedrørende personen på nuværende tidspunkt ikke længere knyttes til personens navn på en resultatliste, der vises efter en søgning på dette navn. Herved bemærkes, at det med henblik på konstateringen af, at en sådan ret findes, ikke er et krav, at inklusionen af den pågældende oplysning på resultatlisten skader den berørte person.
97 Da den berørte person, henset til den pågældendes grundlæggende rettigheder i medfør af chartrets artikel 7 og 8, kan anmode om, at den pågældende oplysning ikke længere stilles til rådighed for den brede offentlighed ved sin inklusion på en sådan resultatliste, bemærkes – således som det bl.a. fremgår af denne doms præmis 81 – at disse rettigheder i princippet går forud for ikke blot søgemaskineudbyderens økonomiske interesse, men også for offentlighedens interesse i at finde nævnte oplysning ved en søgning på denne persons navn. Dette er imidlertid ikke tilfældet, såfremt det af særlige grunde, såsom den rolle, som nævnte person har i det offentlige liv, fremgår, at indgrebet i personens grundlæggende rettigheder er begrundet i offentlighedens vægtige interesse i at have adgang til den pågældende oplysning via inklusionen på resultatlisten.
98 Hvad angår en situation som den i hovedsagen omhandlede, som vedrører den omstændighed, at en internetbruger, der søger på den berørte persons navn på Google Search, får en resultatliste, der viser link til sider i en avis’ onlinearkiv, som indeholder annoncer, der nævner denne persons navn vedrørende en tvangsauktion over fast ejendom i forbindelse med en beslaglæggelse på grund af gæld til den sociale sikringsordning, bemærkes, at den berørte person, henset til, hvor følsomme oplysningerne i disse annoncer er for denne persons privatliv, samt til, at deres oprindelige offentliggørelse ligger 16 år tilbage i tiden, har ret til, at disse oplysninger ikke længere knyttes til hans navn via en sådan resultatliste. For så vidt som der ikke i det foreliggende tilfælde synes at foreligge særlige grunde, der begrunder, at offentligheden har en vægtig interesse i at få adgang til disse oplysninger under en søgning, hvilket det dog tilkommer den forelæggende ret at efterprøve, kan den berørte person i medfør af artikel 12, litra b), og artikel 14, stk. 1, litra a), i direktiv 95/46 kræve, at disse link fjernes fra denne resultatliste.
99 Det følger af de ovenstående betragtninger, at det tredje spørgsmål herefter skal besvares med, at artikel 12, litra b), og artikel 14, stk. 1, litra a), i direktiv 95/46 skal fortolkes således, at det inden for rammerne af bedømmelsen af betingelserne for disse bestemmelsers anvendelse bl.a. skal undersøges, om den berørte person har ret til, at den pågældende oplysning vedrørende personen på nuværende tidspunkt ikke længere knyttes til personens navn på en resultatliste, der vises efter en søgning på personens navn, uden at det med henblik på konstateringen af, at en sådan ret findes, dog herved er et krav, at inklusionen af den pågældende oplysning på resultatlisten skader den berørte person. Da den berørte person, henset til den pågældendes grundlæggende rettigheder i medfør af chartrets artikel 7 og 8, kan anmode om, at den pågældende oplysning ikke længere stilles til rådighed for den brede offentlighed ved sin inklusion på en sådan resultatliste, går disse rettigheder i princippet forud for ikke blot søgemaskineudbyderens økonomiske interesse, men også for offentlighedens interesse i at få adgang til nævnte oplysning ved en søgning på denne persons navn. Dette er imidlertid ikke tilfældet, såfremt det af særlige grunde, såsom den rolle, som nævnte person har i det offentlige liv, fremgår, at indgrebet i personens grundlæggende rettigheder er begrundet i offentlighedens vægtige interesse i at have adgang til den pågældende oplysning via inklusionen på resultatlisten.
Sagens omkostninger
100 Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagens omkostninger. Bortset fra nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.
På grundlag af disse præmisser kender Domstolen (Store Afdeling) for ret:
1) Artikel 2, litra b) og d), i Europa-Parlamentet og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger skal fortolkes således, at en søgemaskines aktivitet, der består i at finde oplysninger, der er offentliggjort eller lagt på internettet af tredjemand, indeksere disse automatisk, lagre dem midlertidigt og sluttelig gøre dem tilgængelige for internetbrugerne i en vis prioriteret orden, for det første skal kvalificeres som »behandling af personoplysninger« som omhandlet i artikel 2, litra b), når oplysningerne indeholder personoplysninger, og for det andet skal udbyderen af denne søgemaskine anses for at være »registeransvarlig« som omhandlet i artikel 2, litra d).
2) Artikel 4, stk. 1, litra a), i direktiv 95/46 skal fortolkes således, at en behandling af personoplysninger foretages som led i aktiviteter, der inden for en medlemsstats område udføres af en registeransvarligs virksomhed eller organ som omhandlet i bestemmelsen, når en søgemaskineudbyder etablerer en filial eller et datterselskab i en medlemsstat, der skal sørge for reklame og salg af reklameplads i søgemaskinen, og hvis aktivitet er rettet mod indbyggerne i denne medlemsstat.
3) Artikel 12, litra b), og artikel 14, stk. 1, litra a), i direktiv 95/46 skal fortolkes således, at en søgemaskineudbyder med henblik på at overholde de rettigheder, der er fastsat i bestemmelserne, og for så vidt som de betingelser, der er fastsat i direktivet, faktisk er opfyldt, er forpligtet til fra den resultatliste, der vises efter en søgning på en persons navn, at fjerne link til websider, som er offentliggjort af tredjemand og indeholder oplysninger vedrørende denne person, også i det tilfælde, hvor dette navn eller disse oplysninger ikke forudgående eller samtidig slettes fra disse websider, og i givet fald selv når offentliggørelsen på disse sider i sig selv er lovlig.
4) Artikel 12, litra b), og artikel 14, stk. 1, litra a), i direktiv 95/46 skal fortolkes således, at det inden for rammerne af bedømmelsen af betingelserne for disse bestemmelsers anvendelse bl.a. skal undersøges, om den berørte person har ret til, at den pågældende oplysning vedrørende personen på nuværende tidspunkt ikke længere knyttes til personens navn på en resultatliste, der vises efter en søgning på dette navn, uden at det med henblik på konstateringen af, at en sådan ret findes, dog herved er et krav, at inklusionen af den pågældende oplysning på resultatlisten skader den berørte person. Da den berørte person, henset til den pågældendes grundlæggende rettigheder i medfør af artikel 7 og 8 i Den Europæiske Unions charter om grundlæggende rettigheder, kan anmode om, at den pågældende oplysning ikke længere stilles til rådighed for den brede offentlighed ved sin inklusion på en sådan resultatliste, går disse rettigheder i princippet forud for ikke blot søgemaskineudbyderens økonomiske interesse, men også for offentlighedens interesse i at få adgang til nævnte oplysning ved en søgning på denne persons navn. Dette er imidlertid ikke tilfældet, såfremt det af særlige grunde, såsom den rolle, som nævnte person har i det offentlige liv, fremgår, at indgrebet i personens grundlæggende rettigheder er begrundet i offentlighedens vægtige interesse i at have adgang til den pågældende oplysning via inklusionen på resultatlisten.
Underskrifter