CELEX: 62017CJ0136
Begäran om förhandsavgörande
Personuppgifter
Skydd för fysiska personer med avseende på behandling av sådana uppgifter på webbsidor
Direktiv 95/46/EG
Förordning (EU) 2016/679
Sökmotorer på internet
Behandling av uppgifter som finns på webbplatser
Sådana särskilda kategorier av uppgifter som avses i artikel 8 i direktivet och artiklarna 9 och 10 i förordningen
Frågan huruvida de bestämmelserna är tillämpliga på en sökmotorleverantör
Omfattningen av sökmotorleverantörens skyldigheter enligt de bestämmelserna
Publicering av uppgifterna på webbplatser uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande
Inverkan på behandlingen av en begäran om borttagande av länkar
Artiklarna 7, 8 och 11 i Europeiska unionens stadga om de grundläggande rättigheterna

Begäran om förhandsavgörande avser tolkningen av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (
EGT L 281, 1995, s. 31
).
Begäran har framställts i ett mål mellan å ena sidan GC, AF, BH och ED och å andra sidan Commission nationale de l’informatique et des libertés (CNIL) (Frankrike). Målet rör fyra beslut av CNIL att inte ålägga Google Inc., numera Google LLC, att ta bort olika länkar som ingår bland de sökresultat som redovisas efter en sökning på sökandenas namn och som leder till webbsidor publicerade av tredje man.
Tillämpliga bestämmelser
Unionsrätt
Direktiv 95/46
Syftet med direktiv 95/46 är enligt artikel 1.1 i direktivet att skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter, samt att undanröja hinder för det fria flödet av sådana uppgifter.
I skälen 33 och 34 i detta direktiv anges följande:
”33)
Uppgifter som på grund av sin natur kan kränka grundläggande fri- och rättigheter eller privatlivets helgd får inte behandlas utan samtycke av den registrerade. Dock måste det finnas en uttrycklig möjlighet att för att tillgodose särskilda behov … [göra undantag från detta förbud].
34)
När det av hänsyn till viktiga allmänna intressen är nödvändigt, måste medlemsstaterna kunna avvika från förbudet mot att behandla känsliga kategorier av uppgifter … Dock åligger det medlemsstaterna att sörja för att det finns lämpliga och konkreta garantier för att skydda enskilda personers grundläggande rättigheter och privatliv.”
Artikel 2 i direktivet har följande lydelse:
”I detta direktiv avses med
a)
personuppgifter
: varje upplysning som avser en identifierad eller identifierbar fysisk person (
den registrerade
). …
b)
behandling av personuppgifter (behandling)
: varje åtgärd eller serie av åtgärder som vidtas beträffande personuppgifter, vare sig det sker på automatisk väg eller inte, till exempel insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring,
…
d)
registeransvarig
: den fysiska eller juridiska person, den myndighet, den institution eller det andra organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. …
…
h)
den registrerades samtycke
: varje slag av frivillig, särskild och informerad viljeyttring genom vilken den registrerade godtar behandling av personuppgifter som rör honom.”
Artikel 6 ingår i kapitel II avdelning I, med rubriken ”Principer om uppgifternas kvalitet”, och har följande lydelse:
”1.   Medlemsstaterna skall föreskriva att personuppgifter
a)
skall behandlas på ett korrekt och lagligt sätt,
b)
skall samlas in för särskilda, uttryckligt angivna och berättigade ändamål; senare behandling får inte ske på ett sätt som är oförenligt med dessa ändamål; …
c)
skall vara adekvata och relevanta och inte får omfatta mer än vad som är nödvändigt med hänsyn till de ändamål för vilka de har samlats in och för vilka de senare behandlas,
d)
skall vara riktiga och, om nödvändigt, aktuella. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga eller ofullständiga i förhållande till de ändamål för vilka de samlades in eller för vilka de senare behandlas, utplånas eller rättas,
e)
förvaras på ett sätt som förhindrar identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka uppgifterna samlades in eller för vilka de senare behandlades. Medlemsstaterna skall vidta lämpliga skyddsåtgärder för de personuppgifter som lagras under längre perioder för historiska, statistiska eller vetenskapliga ändamål.
2.   Det åligger den registeransvarige att säkerställa att punkt 1 efterlevs.”
Artikel 7 i direktiv 95/46 ingår i kapitel II avdelning II, med rubriken ”Principer som gör att uppgiftsbehandling kan tillåtas”, och föreskriver följande:
”Medlemsstaterna skall föreskriva att personuppgifter får behandlas endast om
…
f)
behandlingen är nödvändig för ändamål som rör berättigade intressen hos den registeransvarige eller hos den eller de tredje män till vilka uppgifterna har lämnats ut, utom när sådana intressen uppvägs av den registrerades intressen eller dennes grundläggande fri- och rättigheter som kräver skydd under artikel 1.1.”
I kapitel II avsnitt III i direktivet, med rubriken ”Särskilda behandlingskategorier”, återfinns artiklarna 8 och 9. Artikel 8 har rubriken ”Behandlingen av särskilda kategorier av uppgifter” och stadgar följande:
”1.   Medlemsstaterna skall förbjuda behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv.
2.   Punkt 1 gäller inte om
a)
den registrerade har lämnat sitt uttryckliga samtycke till en sådan behandling, utom när det enligt medlemsstatens lagstiftning anges att förbudet i punkt 1 inte kan upphävas genom den registrerades samtycke,
eller
…
e)
behandlingen rör uppgifter som på ett tydligt sätt offentliggörs av den registrerade eller är nödvändiga för att kunna fastslå, göra gällande eller försvara rättsliga anspråk.
…
4.   Under förutsättning av lämpliga skyddsåtgärder och av hänsyn till ett viktigt allmänt intresse får medlemsstaterna antingen i sin nationella lagstiftning eller genom ett beslut av tillsynsmyndigheten besluta om andra undantag än de som nämns i punkt 2.
5.   Behandling av uppgifter om lagöverträdelser, brottmålsdomar eller säkerhetsåtgärder får utföras endast under kontroll av en myndighet eller – om lämpliga skyddsåtgärder finns i nationell lag – med förbehåll för de ändringar som medlemsstaterna kan tillåta med stöd av nationella bestämmelser som innehåller lämpliga och specifika skyddsåtgärder. Ett fullständigt register över brottmålsdomar får dock föras endast under kontroll av en myndighet.
Medlemsstaterna får föreskriva att uppgifter som rör administrativa sanktioner eller avgöranden i tvistemål också ska behandlas under kontroll av en myndighet.
…”
Artikel 9 i direktiv 95/46, som har rubriken ”Behandling av personuppgifter och yttrandefriheten”, lyder enligt följande:
”Medlemsstaterna skall med avseende på behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande besluta om undantag och avvikelser från bestämmelserna i detta kapitel, kapitel IV och kapitel VI endast om de är nödvändiga för att förena rätten till privatlivet med reglerna om yttrandefriheten.”
Artikel 12 i direktivet har rubriken ”Rätt till tillgång” och föreskriver följande:
”Medlemsstaterna skall säkerställa att varje registrerad har rätt att från den registeransvarige
…
b)
i förekommande fall få sådana uppgifter som inte behandlats i enlighet med bestämmelserna i detta direktiv rättade, utplånade eller blockerade, särskilt om dessa är ofullständiga eller felaktiga.
…”
I artikel 14 i direktivet, med rubriken ”Den registrerades rätt att göra invändningar”, anges följande:
”Medlemsstaterna skall tillförsäkra den registrerade rätten att
a)
åtminstone i de fall som avses i artikel 7 e) och f) när som helst av avgörande och berättigade skäl som rör hans personliga situation motsätta sig behandling av uppgifter som rör honom, utom när den nationella lagstiftningen föreskriver något annat. När invändningen är berättigad får den behandling som påbörjats av den registeransvarige inte längre avse dessa uppgifter,
…”
Artikel 28 i direktivet har rubriken ”Tillsynsmyndighet” och lyder som följer:
”1.   Varje medlemsstat skall tillse att det utses en eller flera myndigheter som har till uppgift att inom dess territorium övervaka tillämpningen av de bestämmelser som medlemsstaterna antar till följd av detta direktiv.
…
3.   Varje tillsynsmyndighet skall särskilt ha
–
undersökningsbefogenheter, såsom befogenhet att få tillgång till uppgifter som blir föremål för behandling och befogenhet att inhämta alla uppgifter som är nödvändiga för att sköta tillsynen,
–
effektiva befogenheter att ingripa, som till exempel … att kunna besluta om blockering, utplåning eller förstöring av uppgifter, att kunna besluta om tillfälligt eller slutligt förbud mot behandling, …
…
Sådana beslut av tillsynsmyndigheten som går en part emot kan överklagas till domstol.
4.   Var och en kan, på egen hand eller företrädd av en organisation, vända sig till tillsynsmyndigheten med begäran om skydd för sina fri- och rättigheter med avseende på behandling av personuppgifter. Den berörda personen ska informeras om vilka följder hans begäran har fått.
…
6.   En tillsynsmyndighet har, oavsett vilken nationell lagstiftning som gäller för den aktuella behandlingen, behörighet att inom sin egen medlemsstats territorium utöva de befogenheter som i enlighet med punkt 3 åligger den. Varje myndighet kan av en myndighet i en annan medlemsstat anmodas att utöva sina befogenheter.
De övervakande myndigheterna skall i den utsträckning som det behövs samarbeta med varandra, särskilt genom att utbyta användbar information.
…”
Förordning (EU) 2016/679
Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46 (allmän dataskyddsförordning) (
EUT L 119, 2016, s. 1
, och rättelse i
EUT L 127, 2018, s. 2
) ska enligt artikel 99.2 i förordningen tillämpas från och med den 25 maj 2018. Artikel 94.1 i förordningen föreskriver att direktiv 95/46 ska upphöra att gälla med verkan från den dagen.
Skälen 1, 4, 51, 52 och 65 i förordningen anger följande:
”(1)
Skyddet för fysiska personer vid behandling av personuppgifter är en grundläggande rättighet. Artikel 8.1 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad
stadgan
) och artikel 16.1 [FEUF] föreskriver att var och en har rätt till skydd av de personuppgifter som rör honom eller henne.
…
(4)
Behandlingen av personuppgifter bör utformas så att den tjänar människor. Rätten till skydd av personuppgifter är inte en absolut rättighet; den måste förstås utifrån sin uppgift i samhället och vägas mot andra grundläggande rättigheter i enlighet med proportionalitetsprincipen. Denna förordning respekterar alla grundläggande rättigheter och iakttar de friheter och principer som erkänns i stadgan, såsom de fastställts i fördragen, särskilt skydd för privat- och familjeliv, … skydd av personuppgifter, tankefrihet, samvetsfrihet och religionsfrihet, yttrande- och informationsfrihet, näringsfrihet, ….
…
(51)
Personuppgifter som till sin natur är särskilt känsliga med hänsyn till grundläggande rättigheterna och friheter bör åtnjuta särskilt skydd, eftersom behandling av sådana uppgifter kan innebära betydande risker för de grundläggande rättigheterna och friheterna. …
(52)
Undantag från förbudet att behandla särskilda kategorier av personuppgifter bör även tillåtas om de föreskrivs i unionsrätten eller i medlemsstaternas nationella rätt och underkastas lämpliga skyddsåtgärder för att skydda personuppgifter och övriga grundläggande rättigheter …
…
(65)
Den registrerade bör ha … en
rätt att bli bortglömd
, om lagringen av uppgifterna strider mot denna förordning eller unionsrätten eller medlemsstaternas nationella rätt som den personuppgiftsansvarige omfattas av. … Ytterligare lagring av personuppgifterna bör dock vara laglig, om detta krävs för att utöva yttrandefrihet och informationsfrihet …”
I artikel 4.11 i förordning 2016/679 definieras begreppet samtycke som ”varje slag av frivillig, specifik, informerad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne”.
Artikel 5 i förordningen har rubriken ”Principer om behandling av personuppgifter”. I artikel 5.1 c–e anges följande:
”Vid behandling av personuppgifter ska följande gälla:
…
c)
De ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (
uppgiftsminimering
).
d)
De ska vara riktiga och om nödvändigt uppdaterade. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål (
riktighet
).
e)
De får inte förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. … (
lagringsminimering
).”
Artikel 9 i förordningen har rubriken ”Behandling av särskilda kategorier av personuppgifter” och föreskriver följande:
”1.   Behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning ska vara förbjuden.
2.   Punkt 1 ska inte tillämpas om något av följande gäller:
a)
Den registrerade har uttryckligen lämnat sitt samtycke till behandlingen av dessa personuppgifter för ett eller flera specifika ändamål, utom då unionsrätten eller medlemsstaternas nationella rätt föreskriver att förbudet i punkt 1 inte kan upphävas av den registrerade.
…
e)
Behandlingen rör personuppgifter som på ett tydligt sätt har offentliggjorts av den registrerade.
…
g)
Behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen.
…”
I artikel 10 i förordningen, som har rubriken ”Behandling av personuppgifter som rör fällande domar i brottmål samt lagöverträdelser som innefattar brott”, anges följande:
”Behandling av personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder enligt artikel 6.1 får endast utföras under kontroll av en myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får endast föras under kontroll av en myndighet.”
Artikel 17 i förordning 2016/679, med rubriken ”Rätt till radering (’rätten att bli bortglömd’)”, har följande lydelse:
”1.   Den registrerade ska ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få sina personuppgifter raderade och den personuppgiftsansvarige ska vara skyldig att utan onödigt dröjsmål radera personuppgifter om något av följande gäller:
a)
Personuppgifterna är inte längre nödvändiga för de ändamål för vilka de samlats in eller på annat sätt behandlats.
b)
Den registrerade återkallar det samtycke på vilket behandlingen grundar sig enligt artikel 6.1 a eller artikel 9.2 a och det finns inte någon annan rättslig grund för behandlingen.
c)
Den registrerade invänder mot behandlingen i enlighet med artikel 21.1 och det saknas berättigade skäl för behandlingen som väger tyngre, eller den registrerade invänder mot behandlingen i enlighet med artikel 21.2.
d)
Personuppgifterna har behandlats på olagligt sätt.
e)
Personuppgifterna måste raderas för att uppfylla en rättslig förpliktelse i unionsrätten eller i medlemsstaternas nationella rätt som den personuppgiftsansvarige omfattas av.
f)
Personuppgifterna har samlats in i samband med erbjudande av informationssamhällets tjänster, som avses i artikel 8.1.
2.   Om den personuppgiftsansvarige har offentliggjort personuppgifterna och enligt punkt 1 är skyldig att radera personuppgifterna, ska den personuppgiftsansvarige med beaktande av tillgänglig teknik och kostnaden för genomförandet vidta rimliga åtgärder, inbegripet tekniska åtgärder, för att underrätta personuppgiftsansvariga som behandlar personuppgifterna om att den registrerade har begärt att de ska radera eventuella länkar till, eller kopior eller reproduktioner av dessa personuppgifter.
3.   Punkterna 1 och 2 ska inte gälla i den utsträckning som behandlingen är nödvändig av följande skäl:
a)
För att utöva rätten till yttrande- och informationsfrihet.
…”
Artikel 21 i förordningen har rubriken ”Rätt att göra invändningar”. Artikel 21.1 föreskriver följande:
”Den registrerade ska, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att när som helst göra invändningar mot behandling av personuppgifter avseende honom eller henne som grundar sig på artikel 6.1 e eller f, inbegripet profilering som grundar sig på dessa bestämmelser. Den personuppgiftsansvarige får inte längre behandla personuppgifterna såvida denna inte kan påvisa avgörande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk.”
I artikel 85 i förordningen, som har rubriken ”Behandling och yttrande- och informationsfriheten”, anges följande:
”1.   Medlemsstaterna ska i lag förena rätten till integritet i enlighet med denna förordning med yttrande- och informationsfriheten, inbegripet behandling som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande.
2.   Medlemsstaterna ska, för behandling som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande, fastställa undantag eller avvikelser från kapitel II (principer), kapitel III (den registrerades rättigheter), kapitel IV (personuppgiftsansvarig och personuppgiftsbiträde), kapitel V (överföring av personuppgifter till tredjeländer eller internationella organisationer), kapitel VI (oberoende tillsynsmyndigheter), kapitel VII (samarbete och enhetlighet) och kapitel IX (särskilda situationer vid behandling av personuppgifter) om dessa är nödvändiga för att förena rätten till integritet med yttrande- och informationsfriheten.
…”
Fransk rätt
Genomförandet av direktiv 95/46 i fransk rätt säkerställs genom loi n
o
78–17 relative à l’informatique, aux fichiers et aux libertés (lag nr 78–17 om databehandling, register och friheter) av den 6 januari 1978, i den lydelse som är tillämplig på omständigheterna i målet.
Artikel 11 i den lagen anger att CNIL bland annat har i uppdrag att säkerställa att behandlingen av personuppgifter genomförs i överensstämmelse med bestämmelserna i den lagen och att den därvidlag ska ta emot klagomål och ansökningar angående genomförandet av behandlingen av personuppgifter och informera dem som inkommit med dessa om den fortsatta handläggningen av deras ärenden.
Målen vid den nationella domstolen och tolkningsfrågorna
GC, AF, BH och ED begärde var för sig att Google skulle ta bort olika länkar till webbplatser publicerade av tredje man från de sökresultat som Googles sökmotor redovisade vid en sökning på deras respektive namn. Detta vägrade Google att göra.
Mer specifikt begärde GC borttagande av en länk till ett satiriskt fotomontage som under pseudonym hade lagts ut på Youtube den 18 februari 2011, vilket visade henne tillsammans med borgmästaren i den kommun där hon var chef för borgmästarens kansli och på ett explicit sätt insinuerade att de två skulle ha en intim relation och att denna relation skulle ha påverkat hennes politiska karriär. Detta fotomontage lades ut i samband med valkampen inför regionalvalen, där GC var en av kandidaterna. Vid tidpunkten för vägran att ta bort länkarna var GC varken folkvald eller kandidat i något lokalt val och var inte längre chef för borgmästarens kansli.
AF begärde borttagande av länkar till en artikel från dagstidningen
Libération
av den 9 september 2008 som återgavs på webbplatsen Centre contre les manipulations mentales (CCMM) (Frankrike), angående en scientologikyrkoanhängares självmord i december 2006. AF nämns i denna artikel som informationsansvarig för scientologikyrkan, en position som han sedermera lämnat. Artikelförfattaren uppger i övrigt att han kontaktat AF för att erhålla dennes version av omständigheterna och återger AF:s uttalanden därvidlag.
BH begärde borttagande av länkar som ledde till artiklar, i huvudsak från tidningar, angående den förundersökning som hade inletts i juni 1995 avseende finansieringen av partiet ”Parti républicain” (PR), där BH ingick i utredningen tillsammans med ett flertal affärsmän och politiker. Förundersökningen lades ned genom ett beslut av den 26 februari 2010 om att inte väcka åtal. De flesta av de omtvistade länkarna leder till artiklar från tiden för inledandet av förundersökningen, vilka således inte nämner något om utgången av förfarandet.
ED begärde borttagande av länkar till två artiklar som publicerats i
Nice-Matin
och
Le Figaro
, vilka redogjorde för den brottmålsförhandling vid vilken han dömdes till sju års fängelse plus tio års social och rättslig uppföljning för sexuella övergrepp på minderåriga under 15 år. En av dessa artiklar nämnde även flera intima detaljer angående ED som hade uppdagats under rättegången.
Efter det att Google hade vägrat att ta bort dessa länkar vände sig sökandena till CNIL med klagomål och begärde att Google skulle åläggas att ta bort länkarna. Genom skrivelser av den 24 april och den 28 augusti 2015, den 21 mars respektive den 9 maj 2016 underrättade CNIL:s ordförande sökandena om att deras klagomål inte skulle föranleda några ytterligare åtgärder.
Sökandena överklagade dessa avslagsbeslut från CNIL till den hänskjutande domstolen, Conseil d’État (Högsta förvaltningsdomstolen, Frankrike), och yrkade att Google skulle åläggas att ta bort länkarna i fråga. Den hänskjutande domstolen har bifogat dessa ansökningar.
Efter det att Conseil d’État (Högsta förvaltningsdomstolen) konstaterat att ansökningarna aktualiserade flera betydande svårigheter beträffande tolkningen av direktiv 95/46, beslutade den att vilandeförklara målet och ställa följande frågor till EU-domstolen:
”1)
Med beaktande av en sökmotorleverantörs specifika ansvar, befogenheter och möjligheter, är förbudet i artikel 8.1 och 8.5 i direktiv [95/46] för andra registeransvariga att behandla uppgifter, bortsett från i de undantagsfall som anges i denna rättsakt, även tillämpligt för sökmotorleverantören i dess egenskap av registeransvarig för den uppgiftsbehandling som sökmotorn medför?
2)
För det fall fråga 1 besvaras jakande:
[a)]
Ska artikel 8.1 och 8.5 i direktiv [95/46] tolkas så, att förbudet för sökmotorleverantören att behandla uppgifter som omfattas av dessa bestämmelser – med förbehåll för de undantag som föreskrivs i direktivet – innebär att sökmotorleverantören har en generell skyldighet att efterkomma en begäran om att ta bort länkar till webbsidor som behandlar sådana uppgifter?
[b)]
Hur ska mot denna bakgrund undantagen i artikel 8.2 a och e i direktiv [95/46] tolkas, när de tillämpas på en sökmotorleverantör, med beaktande av dennes specifika ansvar, befogenheter och möjligheter? Kan, mer specifikt, en sökmotorleverantör vägra att efterkomma en begäran om att ta bort länkar när denne konstaterar att länkarna i fråga leder till innehåll som, även om det innehåller uppgifter som ingår bland de kategorier som räknas upp i artikel 8.1, även omfattas av undantagen i artikel 8.2, särskilt leden a och e?
[c)]
Ska på samma sätt bestämmelserna i direktiv [95/46] tolkas så, att när de länkar som begäran om borttagande avser leder till behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande, vilken i enlighet med artikel 9 i direktiv 95/46 medger insamling och behandling av uppgifter som omfattas av kategorierna i artikel 8.1 och 8.5 i detta direktiv, så kan sökmotorleverantören med hänvisning till denna omständighet vägra att efterkomma en begäran om borttagande?
3)
För det fall fråga 1 besvaras nekande:
[a)]
Vilka av de specifika kraven i direktiv [95/46] måste sökmotorleverantören uppfylla, med beaktande av dennes ansvar, befogenheter och möjligheter?
[b)]
När sökmotorleverantören konstaterar att de länkar vilka begärts borttagna leder till webbplatser som innehåller uppgifter vilkas publicering på dessa webbplatser är otillåten, ska bestämmelserna i direktiv [95/46] tolkas så, att
–
sökmotorleverantören är skyldig att ta bort dessa länkar från listan med sökresultat som visas efter en sökning på namnet på den som begärt borttagande av länkar,
–
eller endast att sökmotorleverantören behöver beakta denna omständighet för att bedöma om den inkomna begäran om borttagande av länkar är välgrundad,
–
eller att denna omständighet helt saknar betydelse för nämnda bedömning?
För det fall denna omständighet inte helt saknar betydelse: Hur ska man bedöma om det är tillåtet att publicera de omtvistade uppgifterna på webbplatser som härrör från behandlingar som inte omfattas av det territoriella tillämpningsområdet för direktiv [95/46], och följaktligen för de nationella lagstiftningar genom vilket det genomförs?
4)
Oavsett hur fråga 1 ska besvaras:
[a)]
Oberoende av tillåtligheten av publiceringen av personuppgifter på webbplatsen till vilken den omtvistade länken leder, ska bestämmelserna i direktiv [95/46] tolkas så, att
–
när den som begärt borttagande visat att dessa uppgifter är ofullständiga eller felaktiga, eller inte är uppdaterade, är sökmotorleverantören skyldig att efterkomma motsvarande begäran om borttagande,
–
mer specifikt, när den som begärt borttagande av länkar visar att, med beaktande av utgången av det rättsliga förfarandet, uppgifterna om ett tidigare skede i förfarandet inte längre motsvarar den faktiska situationen, är sökmotorleverantören då skyldig att ta bort länkar till webbplatser som innehåller sådana uppgifter?
[b)]
Ska artikel 8.5 i direktiv [95/46] tolkas så, att uppgifter om en förundersökning avseende en person eller om en rättsprocess, och den efterföljande domen, utgör uppgifter om lagöverträdelser och brottmålsdomar? När en webbplats innehåller uppgifter om fällande domar och rättsliga förfaranden avseende en fysisk person, omfattas den då generellt sett av tillämpningsområdet för dessa bestämmelser?”
Prövning av tolkningsfrågorna
De frågor som ställts avser tolkningen av direktiv 95/46, som var tillämpligt vid tidpunkten för begäran om förhandsavgörande. Det direktivet upphävdes med verkan från och med den 25 maj 2018. Vid samma tidpunkt blev förordning 2016/679 tillämplig.
Domstolen kommer att pröva tolkningsfrågorna mot bakgrund av direktiv 95/46, men kommer i sin bedömning även att beakta förordning 2016/679, för att säkerställa att dess svar under alla omständigheter är användbara för den hänskjutande domstolen.
Den första frågan
Den hänskjutande domstolen har ställt den första frågan för att få klarhet i huruvida bestämmelserna i artikel 8.1 och 8.5 i direktiv 95/46 ska tolkas så, att det förbud mot eller de begränsningar för behandling av särskilda kategorier av personuppgifter som avses i dessa bestämmelser även, med förbehåll för de undantag som föreskrivs i detta direktiv, ska tillämpas på en sökmotorleverantör inom ramen för dennes ansvar, befogenheter och möjligheter i egenskap av ansvarig för den uppgiftsbehandling som utförs för att sökmotorn ska fungera.
Domstolen erinrar för det första om att sökmotorverksamhet – som består i att lokalisera information som har publicerats eller lagts ut på internet av tredje man, indexera den automatiskt, lagra den tillfälligt och slutligen ställa den till förfogande för internetanvändare enligt en viss prioriteringsordning – ska anses utgöra ”behandling av personuppgifter” i den mening som avses i artikel 2 b i direktiv 95/46, när informationen innehåller personuppgifter, och för det andra att sökmotorleverantören ska anses vara ”registeransvarig” för nämnda behandling av personuppgifter i den mening som avses i artikel 2 d i direktivet (dom av den 13 maj 2014, Google Spain och Google,
C‑131/12
,
EU:C:2014:317
, punkt
).
Behandling av personuppgifter som sker inom ramen för en sökmotor skiljer sig från och utgör ett tillägg till den behandling som görs av webbplatsutgivarna, vilken innebär att lägga ut uppgifterna på en sida på internet. Sökmotorleverantörernas verksamhet spelar en avgörande roll vid den totala spridningen av nämnda uppgifter genom att göra dem tillgängliga för alla internetanvändare som gör en sökning på den registrerades namn, däribland de internetanvändare som annars inte skulle ha hittat den webbsida där uppgifterna publicerades. Den organisering och aggregation av information publicerad på internet som görs av sökmotorerna i syfte att göra det enklare för användarna att få tillgång till informationen kan – när dessa gör sökningen utifrån namnet på en fysisk person – leda till att användarna genom listan över sökresultaten erhåller en strukturerad översikt av information på internet rörande denna person, vilken gör det möjligt för dem att bilda sig en mer eller mindre detaljerad uppfattning av den berörda personen (dom av den 13 maj 2014, Google Spain och Google,
C‑131/12
,
EU:C:2014:317
, punkterna
–
).
En sökmotorleverantörs verksamhet kan således på ett betydande sätt, och utöver vad som redan skett genom webbplatsutgivarnas verksamhet, påverka grundläggande rättigheter avseende privatlivet och skyddet för personuppgifter. Därför måste sökmotorleverantören, i egenskap av den person som bestämmer ändamålen och medlen för denna verksamhet, inom ramen för dennes ansvar, befogenheter och möjligheter säkerställa att verksamheten uppfyller kraven i direktiv 95/46 för att de garantier som föreskrivs i direktivet ska få full verkan och för att ett effektivt och fullständigt skydd för de berörda personerna ska kunna förverkligas, bland annat när det gäller deras rätt till respekt för privatlivet (dom av den 13 maj 2014, Google Spain och Google,
C‑131/12
,
EU:C:2014:317
, punkt
).
Den första tolkningsfrågan syftar till att få klarhet i huruvida en sökmotorleverantör, inom ramen för dennes ansvar, befogenheter och möjligheter även ska uppfylla de krav som uppställs i direktiv 95/46 avseende de särskilda kategorier av personuppgifter som avses i artikel 8.1 och 8.5 i direktivet, när sådana uppgifter finns bland de uppgifter som publiceras eller tillhandahålls på internet av tredje man och är föremål för behandling av sökmotorleverantören för att sökmotorn ska fungera.
Vad gäller dessa särskilda kategorier av uppgifter, föreskriver artikel 8.1 i direktiv 95/46 att medlemsstaterna ska förbjuda behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening eller uppgifter som rör hälsa och sexualliv. Vissa undantag och avsteg från detta förbud anges bland annat i artikel 8.2 i samma direktiv.
I artikel 8.5 i direktiv 95/46 föreskrivs att behandling av uppgifter om lagöverträdelser, brottmålsdomar eller säkerhetsåtgärder får utföras endast under kontroll av en myndighet eller – om lämpliga skyddsåtgärder finns i nationell lag – med förbehåll för de ändringar som medlemsstaterna kan tillåta med stöd av nationella bestämmelser som innehåller lämpliga och specifika skyddsåtgärder. Ett fullständigt register över brottmålsdomar får dock föras endast under kontroll av en myndighet. Medlemsstaterna får föreskriva att uppgifter som rör administrativa sanktioner eller avgöranden i tvistemål också ska behandlas under kontroll av en myndighet.
Innehållet i artikel 8.1 och 8.5 i direktiv 95/46 har, med vissa ändringar, överförts till artiklarna 9.1 och 10 i förordning 2016/679.
Domstolen konstaterar inledningsvis att det framgår av lydelsen av dessa bestämmelser i direktiv 95/46 och förordning 2016/679 att det förbud och de begränsningar som fastställs där, med förbehåll för de undantag som anges i direktivet och förordningen, ska tillämpas på alla typer av behandling av de särskilda kategorier av uppgifter som avses i nämnda bestämmelser och på alla som är ansvariga för sådan behandling.
Vidare föreskriver ingen annan bestämmelse i nämnda direktiv eller förordning något allmänt undantag från detta förbud eller dessa begränsningar för sådan behandling som utförs inom ramen för en sökmotor. Tvärtom följer det, vilket framgår av punkt 37 ovan, av den allmänna systematiken i dessa rättsakter att en sökmotorleverantör, i likhet med alla andra registeransvariga, inom ramen för sitt ansvar och sina befogenheter och möjligheter ska säkerställa att behandlingen av personuppgifter som den utför uppfyller kraven i direktiv 95/46 respektive förordning 2016/679.
Slutligen skulle en tolkning av artikel 8.1 och 8.5 i direktiv 95/46 eller av artiklarna 9.1 och 10 i förordning 2016/679 som på förhand och generellt utesluter att sökmotorverksamhet omfattas av de särskilda krav som uppställs i de bestämmelserna vad gäller behandling av de särskilda kategorier av uppgifter som avses där strida mot syftet med nämnda bestämmelser, nämligen att säkerställa ett utökat skydd mot sådan behandling som, på grund av att dessa uppgifter är särskilt känsliga, kan utgöra ett synnerligen allvarligt ingrepp i den grundläggande rätten till respekt för privatlivet och skyddet för personuppgifter, vilka garanteras genom artiklarna 7 och 8 i stadgan, såsom även framgår av skäl 33 i direktivet och skäl 51 i förordningen.
Även om, i motsats till vad bland annat Google har gjort gällande, särdragen hos sökmotorleverantörens uppgiftsbehandling inom ramen för dennes verksamhet således inte är av sådan art att det är motiverat att denne undantas från skyldigheten att iaktta artikel 8.1 och 8.5 i direktiv 95/46 och artiklarna 9.1 och 10 i förordning nr 2016/679, kan dessa särdrag emellertid påverka omfattningen av dennes ansvar och konkreta skyldigheter med avseende på dessa bestämmelser.
Som Europeiska kommissionen har påpekat är en sökmotorleverantör inte ansvarig för att de personuppgifter som avses i nämnda bestämmelser förekommer på en webbsida publicerad av tredje man. Däremot ansvarar sökmotorleverantören för hänvisningen till den webbsidan och, i synnerhet, för visningen av en länk till den webbsidan i den lista över sökresultat som presenteras för internetanvändare som söker på en fysisk persons namn. Att visa länken i fråga i en sådan lista kan ha en betydande inverkan på den registrerades grundläggande rättigheter avseende respekten för privatlivet och skyddet för personuppgifter om den personen (se, för ett liknande resonemang, dom av den 13 maj 2014, Google Spain och Google,
C‑131/12
,
EU:C:2014:317
, punkt
).
Domstolen konstaterar under dessa omständigheter, och med hänsyn till en sökmotorleverantörs ansvar, befogenheter och möjligheter i egenskap av ansvarig för den uppgiftsbehandling som utförs i samband med sökmotorverksamheten, att de förbud och begränsningar som föreskrivs i artikel 8.1 och 8.5 i direktiv 95/46 och i artiklarna 9.1 och 10 i förordning nr 2016/679 – såsom generaladvokaten angav i punkt 56 i sitt förslag till avgörande och vilket i huvudsak har framhållits av samtliga berörda parter som har tagit ställning i denna fråga – endast kan tillämpas på sökmotorleverantören med anledning av denna hänvisning till andra webbsidor och således genom en prövning som ska göras, under tillsyn av behöriga nationella myndigheter, på begäran av den registrerade.
Av det ovan anförda följer att den första frågan ska besvaras enligt följande. Artikel 8.1 och 8.5 i direktiv 95/46 ska tolkas så, att förbudet mot eller begränsningarna av behandlingen av de särskilda kategorier av personuppgifter som avses i dessa bestämmelser, med förbehåll för de undantag som föreskrivs i detta direktiv, ska tillämpas även på en sökmotorleverantör inom ramen för dennes ansvar, befogenheter och möjligheter som den har i egenskap av ansvarig för den uppgiftsbehandling som utförs i samband med sökmotorverksamheten, i samband med den prövning som sökmotorleverantören, under tillsyn av behöriga nationella myndigheter, gör när den har mottagit en begäran från den registrerade.
Den andra frågan
Den hänskjutande domstolen har ställt den andra frågan, som består av tre delfrågor, för att få klarhet i
–
om artikel 8.1 och 8.5 i direktiv 95/46 ska tolkas så, att en sökmotorleverantör enligt dessa bestämmelser, med förbehåll för de undantag som föreskrivs i detta direktiv, är skyldig att på begäran ta bort länkar till webbsidor som innehåller personuppgifter som hör till de särskilda kategorier som avses i dessa bestämmelser,
–
om artikel 8.2 a och e i direktiv 95/46 ska tolkas så, att en sökmotorleverantör med tillämpning av dessa bestämmelser kan vägra att efterkomma en begäran om borttagande av länkar när den konstaterar att länkarna i fråga visserligen leder till innehåll som inkluderar personuppgifter som omfattas av de särskilda kategorier som avses i artikel 8.1 men att behandlingen av de uppgifterna täcks av något av undantagen i artikel 8.2 a och e i direktivet, och
–
om bestämmelserna i direktiv 95/46 ska tolkas så, att en sökmotorleverantör även kan vägra att efterkomma en begäran om borttagande av länkar med motiveringen att länkarna i fråga leder till webbsidor där personuppgifter som omfattas av de särskilda kategorier som avses i artikel 8.1 eller 8.5 i direktivet har publicerats enbart för journalistiska ändamål eller konstnärligt eller litterärt skapande och publiceringen således omfattas av undantaget i artikel 9 i nämnda direktiv.
Det ska inledningsvis påpekas att sådana ansökningar om borttagande av länkar som dem som är i fråga i det nationella målet, inom ramen för direktiv 95/46, bland annat grundar sig på artikel 12 b i direktivet, enligt vilken medlemsstaterna ska säkerställa att de registrerade har rätt att från den registeransvarige erhålla sådana uppgifter som inte behandlats i enlighet med bestämmelserna i direktivet utplånade.
Enligt artikel 14 första stycket a i direktiv 95/46 ska medlemsstaterna tillförsäkra den registrerade rätten att, åtminstone i de fall som avses i artikel 7 e och f i direktivet, när som helst av avgörande och berättigade skäl som rör hans eller hennes personliga situation motsätta sig behandling av uppgifter som rör honom eller henne, utom när den nationella lagstiftningen föreskriver något annat.
Domstolen erinrar om att den har slagit fast att artiklarna 12 b och 14 första stycket a i direktiv 95/46 ska tolkas så, att en sökmotorleverantör, för att iaktta de rättigheter som föreskrivs i dessa bestämmelser och i den mån villkoren i dessa bestämmelser faktiskt är uppfyllda, är skyldig att från listan över sökresultat, som visas till följd av en sökning på en persons namn, avlägsna länkar till webbsidor som publicerats av tredje man och som innehåller information om denna person, även för det fall detta namn eller denna information inte tidigare eller samtidigt avlägsnas från dessa webbsidor och, i förekommande fall, även om själva publiceringen av namnet eller informationen på nämnda webbsidor är laglig (dom av den 13 maj 2014, Google Spain och Google,
C‑131/12
,
EU:C:2014:317
, punkt
).
Därutöver har domstolen preciserat att det vid prövningen av villkoren för att tillämpa dessa bestämmelser bland annat ska undersökas huruvida den berörda personen har en rätt att begära att informationen i fråga rörande hans eller hennes person inte längre, i det aktuella skedet, ska kopplas till dennes namn genom en lista över sökresultat som visas efter det att en sökning gjorts på namnet. För att en sådan rätt ska anses föreligga krävs det inte att den berörda personen skadas av att informationen i fråga återfinns i listan över sökresultat. Eftersom den berörda personen, med beaktande av dennes grundläggande rättigheter enligt artiklarna 7 och 8 i stadgan, kan begära att informationen i fråga inte längre ska göras tillgänglig för den breda allmänheten genom att tas med i en sådan lista, väger dessa rättigheter i princip inte bara tyngre än sökmotorleverantörens ekonomiska intressen, utan också tyngre än den breda allmänhetens intresse av att få tillgång till denna information vid en sökning på den berörda personens namn. Så är emellertid inte fallet om ingreppet i den berörda personens grundläggande rättigheter av särskilda skäl, såsom den roll den berörda personen spelar i det offentliga livet, är motiverat av den breda allmänhetens övervägande intresse av att få tillgång till informationen i fråga genom att den tas med i listan över sökresultat (dom av den 13 maj 2014, Google Spain och Google,
C‑131/12
,
EU:C:2014:317
, punkt
).
I förordning 2016/679 har unionslagstiftaren, i artikel 17, infört en bestämmelse som specifikt reglerar ”rätten till radering”, även kallad ”rätt att bli bortglömd” i rubriken till artikeln.
Enligt artikel 17.1 i förordningen ska den registrerade ha rätt att hos den personuppgiftsansvarige utan onödigt dröjsmål få sina personuppgifter raderade, och den personuppgiftsansvarige ska utan onödigt dröjsmål radera personuppgifter om något av de skäl som räknas upp i bestämmelsen föreligger. Bland dessa skäl ingår att uppgifterna inte längre är nödvändiga för de ändamål för vilka de samlats in, att den registrerade återkallar det samtycke som behandlingen grundar sig på och det inte finns någon annan rättslig grund för behandlingen, att den registrerade invänder mot behandlingen i enlighet med artikel 21.1 eller 21.2 i förordning 2016/679, som ersätter artikel 14 i direktiv 95/46, att uppgifterna har behandlats på olagligt sätt, att de måste raderas för att uppfylla en rättslig förpliktelse eller att de har samlats in i samband med erbjudande av informationssamhällets tjänster till barn.
I artikel 17.3 i förordning nr 2016/679 föreskrivs emellertid att artikel 17.1 i förordningen inte ska gälla i den utsträckning som behandlingen är nödvändig av något av de skäl som räknas upp i denna bestämmelse. Bland dessa skäl ingår, enligt artikel 17.3 a, utövande av rätten till yttrande- och informationsfrihet.
Att artikel 17.3 a i förordning 2016/679 numera uttryckligen föreskriver att den registrerade inte har någon rätt till radering när behandlingen av uppgifterna är nödvändig bland annat för utövande av informationsfriheten, vilken garanteras i artikel 11 i stadgan, är ett uttryck för att rätten till skydd av personuppgifter inte är någon absolut rättighet, utan – vilket betonas i skäl 4 i förordningen – måste förstås utifrån sin funktion i samhället och vägas mot andra grundläggande rättigheter i enlighet med proportionalitetsprincipen (se, även, dom av den 9 november 2010, Volker und Markus Schecke och Eifert,
C‑92/09 och C‑93/09
,
EU:C:2010:662
, punkt
, och yttrande 1/15 (avtal om passageraruppgifter EU–Kanada) av den 26 juli 2017,
EU:C:2017:592
, punkt
).
Domstolen erinrar härvidlag om att artikel 52.1 i stadgan tillåter att utövandet av sådana rättigheter som dem som är stadfästa i artiklarna 7 och 8 i stadgan begränsas. Detta förutsätter dock att begränsningarna är föreskrivna i lag, att de är förenliga med det väsentliga innehållet i dessa rättigheter och friheter och, med beaktande av proportionalitetsprincipen, endast görs om de är nödvändiga och faktiskt svarar mot mål av allmänintresse som erkänns av unionen eller mot behovet av skydd för andra människors rättigheter och friheter (se dom av den 9 november 2010, Volker und Markus Schecke och Eifert,
C‑92/09 och C‑93/09
,
EU:C:2010:662
, punkt
).
I förordning 2016/679, bland annat i artikel 17.3 a, ställs därför uttryckligen krav på en avvägning mellan, å ena sidan, de grundläggande rättigheterna till respekt för privatlivet och skyddet för personuppgifter, vilka stadfästs i artiklarna 7 och 8 i stadgan, och, å andra sidan, den grundläggande rätten till informationsfrihet som garanteras i artikel 11 i stadgan.
Det är mot bakgrund av dessa överväganden som domstolen ska pröva under vilka omständigheter en sökmotorleverantör är skyldig att efterkomma en begäran om borttagande av länkar och således ta bort länken till en webbsida som innehåller sådana personuppgifter som ingår i de särskilda kategorierna i artikel 8.1 och 8.5 i direktiv 95/46 från listan över de resultat som visas efter en sökning på den registrerades namn.
Sökmotorleverantörens behandling av de särskilda kategorier av uppgifter som avses i artikel 8.1 i direktiv 95/46 kan i princip omfattas av de undantag som föreskrivs i artikel 8.2 a och e, som den hänskjutande domstolen har hänvisat till och som föreskriver att förbudet mot behandling av dessa särskilda kategorier av uppgifter inte är tillämpligt när den registrerade har lämnat sitt uttryckliga samtycke till en sådan behandling, utom i de fall då lagstiftningen i den berörda medlemsstaten förbjuder ett sådant samtycke, eller när behandlingen bland annat avser uppgifter som på ett tydligt sätt har offentliggjorts av denna person. Dessa undantag återfinns numera i artikel 9.2 a och e i förordning 2016/679. Vidare medger artikel 9.2 g i förordningen, som har motsvarande innehåll som artikel 8.4 i direktiv 95/46, behandling av de kategorierna av uppgifter när det är nödvändigt av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och specifika åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen.
Vad gäller undantaget i artikel 8.2 a i direktiv 95/46 och artikel 9.2 a i förordning 2016/679, följer det av definitionen av begreppet samtycke i artikel 2 h i direktivet och i artikel 4 led 11 i förordningen att detta samtycke ska vara ”specifikt”, det vill säga specifikt avse den behandling som utförs inom ramen för sökmotorverksamheten och därmed det förhållandet att denna behandling gör det möjligt för tredje man att med hjälp av en sökning på namnet på personen i fråga få en lista över sökresultat inklusive länkar till webbsidor som innehåller känsliga uppgifter rörande personen i fråga. Det är emellertid i praktiken svårt att tänka sig – och det framgår för övrigt inte av de handlingar som getts in till domstolen – att sökmotorleverantören ska begära ett uttryckligt medgivande från de registrerade innan den påbörjar behandlingen av deras personuppgifter för att kunna presentera ett sökresultat. Under alla omständigheter innebär, såsom särskilt den franska och den polska regeringen och kommissionen har påpekat, den omständigheten i sig att en person begär borttagande av länkar i princip att denne åtminstone vid tidpunkten för denna begäran inte längre samtycker till den behandling som utförs av sökmotorleverantören. I detta sammanhang ska det även erinras om att artikel 17.1 b i förordningen, bland de skäl som motiverar en ”rätt att bli bortglömd”, nämner det fallet att den registrerade återkallar det samtycke som behandlingen grundar sig på i enlighet med artikel 9.2 a i förordningen och det inte finns någon annan rättslig grund för behandlingen.
Det fall som avses i artikel 8.2 e i direktiv 95/46 och i artikel 9.2 e i förordning 2016/679, det vill säga att uppgifterna på ett tydligt sätt har offentliggjorts av den registrerade, kan däremot – som alla berörda parter som yttrat sig i frågan har påpekat – tillämpas i lika hög grad på sökmotorleverantören som på utgivaren av den aktuella webbplatsen.
I det fallet är sökmotorleverantörens behandling av dessa uppgifter inom ramen för sökmotorverksamheten följaktligen, trots att den webbsida som det hänvisas till innehåller personuppgifter som ingår i de särskilda kategorier som avses i artikel 8.1 i direktiv 95/46 och artikel 9.1 i förordning 2016/679, förenlig med de rättsakterna, förutsatt att den även uppfyller de övriga villkoren för att vara tillåten, som bland annat återfinns i artikel 6 i direktivet respektive artikel 5 i förordningen (se, för ett liknande resonemang, dom av den 13 maj 2014, Google Spain och Google,
C‑131/12
,
EU:C:2014:317
, punkt
).
Även i ett sådant fall kan emellertid den registrerade, med tillämpning av artikel 14 första stycket a i direktiv 95/46 eller artiklarna 17.1 c och 21.1 i förordning 2016/679, ha rätt till borttagande av länken i fråga av skäl som hänför sig till hans eller hennes särskilda situation.
I alla händelser ska en sökmotorleverantör som mottar en begäran om borttagande av länkar pröva om det, med hänsyn till de viktiga skäl av allmänintresse som avses i artikel 8.4 i direktiv 95/46 respektive artikel 9.2 g i förordning nr 2016/679 och med iakttagande av de villkor som föreskrivs i dessa bestämmelser, är nödvändigt att inkludera länken till webbsidan i fråga bland de sökresultat som redovisas efter en sökning på den registrerades namn för att de internetanvändare som eventuellt är intresserade av att få tillgång till den webbsidan genom en sådan sökning ska kunna utöva sin rätt till informationsfrihet, som skyddas av artikel 11 i stadgan. Den registrerades rättigheter enligt artiklarna 7 och 8 i stadgan väger visserligen i allmänhet tyngre än internetanvändarnas intresse, men avvägningen kan emellertid i särskilda fall påverkas av typen av information och dess känslighet för den registrerades privatliv samt allmänhetens intresse av informationen, vilket kan variera bland annat beroende på den roll som denna person spelar i det offentliga livet (se, för ett liknande resonemang, dom av den 13 maj 2014, Google Spain och Google,
C‑131/12
,
EU:C:2014:317
, punkt
).
Till detta kommer att för det fall behandlingen avser de särskilda kategorier av uppgifter som avses i artikel 8.1 och 8.5 i direktiv 95/46 eller artiklarna 9.1 och 10 i förordning 2016/679, kan ingreppet i den grundläggande rätten till respekt för privatlivet och till skydd för personuppgifter avseende den registrerade bli synnerligen allvarligt på grund av hur känsliga dessa uppgifter är, vilket påpekats i punkt 44 ovan.
När en sökmotorleverantör mottar en begäran om borttagande som avser en länk till en webbsida där sådana känsliga uppgifter offentliggörs ska denne – på grundval av samtliga relevanta omständigheter i det enskilda fallet och med beaktande av ingreppets allvar i den registrerades grundläggande rätt till respekt för privatlivet och till skydd för personuppgifter, som slås fast i artiklarna 7 och 8 i stadgan – pröva om det, med hänsyn till de viktiga skäl av allmänintresse som avses i artikel 8.4 i direktiv 95/46 respektive artikel 9.2 g i förordning nr 2016/679 och med iakttagande av de villkor som föreskrivs i dessa bestämmelser, är strikt nödvändigt att inkludera länken till webbsidan i fråga bland de sökresultat som redovisas efter en sökning på den registrerades namn för att skydda informationsfriheten för de internetanvändare som eventuellt är intresserade av att få tillgång till den webbsidan genom en sådan sökning, en frihet som slås fast i artikel 11 i stadgan.
Av vad som anförts ovan ska den andra frågan besvaras enligt följande:
–
Artikel 8.1 och 8.5 i direktiv 95/46 ska tolkas så, att en sökmotorleverantör enligt dessa bestämmelser, med förbehåll för de undantag som föreskrivs i detta direktiv, i princip är skyldig att på begäran ta bort länkar till webbsidor som innehåller personuppgifter som hör till de särskilda kategorier som avses i dessa bestämmelser.
–
Artikel 8.2 e i direktiv 95/46 ska tolkas så, att en sökmotorleverantör med tillämpning av denna bestämmelse kan vägra att efterkomma en begäran om borttagande av länkar när den konstaterar att länkarna i fråga visserligen leder till ett innehåll som inkluderar personuppgifter som omfattas av de särskilda kategorier som avses i artikel 8.1 men att behandlingen av de uppgifterna täcks av undantaget i artikel 8.2 e i direktivet, förutsatt att denna behandling uppfyller samtliga övriga villkor för att vara tillåten enligt direktivet och förutsatt att inte den registrerade, enligt artikel 14 första stycket a i direktivet, har rätt att invända mot behandlingen av övervägande och berättigade skäl som hänför sig till hans eller hennes särskilda situation.
–
Bestämmelserna i direktiv 95/46 ska tolkas så, att när en sökmotorleverantör mottar en begäran om borttagande som avser en länk till en webbsida där personuppgifter som omfattas av de särskilda kategorier som avses i artikel 8.1 eller 8.5 i direktivet offentliggörs ska denne – på grundval av samtliga relevanta omständigheter i det enskilda fallet och med beaktande av ingreppets allvar i den registrerades grundläggande rätt till respekt för privatlivet och till skydd för personuppgifter, som slås fast i artiklarna 7 och 8 i stadgan – pröva om det, med hänsyn till de viktiga skäl av allmänintresse som avses i artikel 8.4 i nämnda direktiv och med iakttagande av de villkor som föreskrivs i den sistnämnda bestämmelsen, är strikt nödvändigt att inkludera länken till webbsidan i fråga bland de sökresultat som redovisas efter en sökning på den registrerades namn för att skydda informationsfriheten för de internetanvändare som eventuellt är intresserade av att få tillgång till den webbsidan genom en sådan sökning, en frihet som slås fast i artikel 11 i stadgan.
Den tredje frågan
Eftersom denna fråga endast har ställts för det fall den första frågan besvaras nekande, och svaret på den första frågan blev jakande, finns det inte någon anledning att besvara den tredje frågan.
Den fjärde frågan
Den hänskjutande domstolen har ställt den fjärde frågan för att få klarhet i huruvida bestämmelserna i direktiv 95/46 ska tolkas så,
–
att information om ett rättsligt förfarande som en fysisk person har varit föremål för och, i förekommande fall, de uppgifter som avser den fällande domen, utgör uppgifter om ”lagöverträdelser” och ”brottmålsdomar” i den mening som avses i artikel 8.5 i direktivet, och
–
att sökmotorleverantören är skyldig att efterkomma en begäran om borttagande som rör länkar till webbsidor som innehåller sådana uppgifter, när dessa uppgifter hänför sig till ett tidigare skede i det rättsliga förfarandet i fråga och, med hänsyn till den senare utvecklingen i förfarandet inte längre återspeglar den aktuella situationen.
Domstolen konstaterar, vilket generaladvokaten påpekat i punkt 100 i sitt förslag till avgörande och som bland annat den franska regeringen, Irland, den italienska och den polska regeringen samt kommissionen har gjort gällande, att information om ett rättsligt förfarande som inletts mot en fysisk person, som till exempel uppgifter om förundersökning och rättegång och, i förekommande fall, fällande dom utgör uppgifter om ”lagöverträdelser” och ”brottmålsdomar” i den mening som avses i artikel 8.5 första stycket i direktiv 95/46 och artikel 10 i förordning nr 2016/679, detta oberoende av om det brott som personen åtalats för faktiskt har styrkts eller inte under domstolsförfarandet.
Genom att i en lista över resultaten av en sökning på den registrerades namn inkludera länkar till webbsidor där sådana uppgifter publicerats, utför sökmotorleverantören en behandling av de uppgifterna som, enligt artikel 8.5 första stycket i direktiv 95/46 och artikel 10 i förordning nr 2016/679, är underkastad särskilda begränsningar. Som kommissionen har påpekat kan en sådan uppgiftsbehandling, enligt dessa bestämmelser och med förbehåll för de övriga villkor för laglig behandling som uppställs i direktivet och förordningen, vara tillåten bland annat om nationell rätt föreskriver lämpliga och specifika garantier, vilket kan vara fallet när uppgifterna i fråga har lämnats ut till allmänheten av myndigheterna under iakttagande av tillämplig nationell rätt.
Vad gäller dessa andra villkor för tillåtlighet, följer det av kraven i artikel 6.1 c–e i direktiv 95/46, vilka numera återfinns i artikel 5.1 c–e i förordning 2016/679, att även en behandling av riktiga uppgifter som inledningsvis är laglig med tiden kan bli oförenlig med direktivet respektive förordningen när uppgifterna inte längre är nödvändiga med hänsyn till de ändamål för vilka de samlats in eller behandlats. Så är bland annat fallet när de inte är adekvata, eller inte längre är relevanta eller är för omfattande med hänsyn till dessa ändamål och den tid som gått (dom av den 13 maj 2014, Google Spain och Google,
C‑131/12
,
EU:C:2014:317
, punkt
).
Såsom konstaterats i punkt 66 ovan ska – även om sådan uppgiftsbehandling som avses i artikel 8.5 i direktiv 95/46 och artikel 10 i förordning nr 2016/679 inte svarar mot de begränsningar som föreskrivs i de bestämmelserna eller andra villkor för tillåtlighet, såsom de i artikel 6.1 c–e i direktivet och artikel 5.1 c–e i förordningen – en sökmotorleverantör mot bakgrund av de skäl av viktigt allmänt intresse som avses i artikel 8.4 i direktivet respektive artikel 9.2 g i förordningen och med iakttagande av de villkor som föreskrivs i dessa bestämmelser pröva om det är nödvändigt att inkludera länken till webbsidan i fråga bland de sökresultat som redovisas efter en sökning på den registrerades namn för att skydda utövandet av informationsfriheten för de internetanvändare som eventuellt är intresserade av att få tillgång till den webbsidan genom en sådan sökning, en frihet som slås fast i artikel 11 i stadgan.
Det framgår av praxis från Europeiska domstolen för de mänskliga rättigheterna att när de registrerade, med stöd av artikel 8 i Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, som undertecknades i Rom den 4 november 1950, begär förbud mot att olika medier publicerar gamla reportage på internet om brottmålsförfaranden mot dem, är det påkallat att göra en skälig avvägning mellan de personernas rätt till skydd för privatlivet och, bland annat, allmänhetens informationsfrihet. I strävan efter denna skäliga avvägning ska hänsyn tas till den viktiga roll som pressen har i ett demokratiskt samhälle och som inbegriper att rapportera om och kommentera domstolsförfaranden. Till mediernas roll att förmedla sådana uppgifter och åsikter tillkommer också allmänhetens rätt att få informationen. Europadomstolen har i detta sammanhang erkänt att allmänheten har ett intresse inte bara av att få information om en aktuell händelse, utan även av att kunna göra efterforskningar om tidigare händelser. Omfattningen av allmänhetens intresse när det gäller brottmålsförfaranden kan dock variera och utvecklas över tid med hänsyn till bland annat omständigheterna i målet (Europadomstolen, 28 juni 2018, M.L. och W.W. mot Tyskland, CE:ECHR:2018:0628JUD006079810, §§ 89 och 100–102).
Det ankommer således på sökmotorleverantören att vid en begäran om borttagande av länkar till webbsidor där uppgifter om ett brottmålsförfarande mot den registrerade offentliggörs, vilka hänför sig till ett tidigare skede i förfarandet och inte längre återspeglar den aktuella situationen, pröva huruvida denne – med beaktande av samtliga omständigheter i det enskilda fallet, såsom brottets art och allvarlighetsgrad, handläggningen och utgången av förfarandet, den tid som förflutit, den roll som personen spelar i det offentliga livet och dennes tidigare agerande, allmänhetens intresse vid tidpunkten för begäran, innehållet i och formen för publiceringen samt dess följder för personen i fråga – har rätt att kräva att uppgifterna i det aktuella skedet inte längre kopplas till dennes namn genom en lista över sökresultat som visas efter en sökning på detta namn.
Det ska emellertid tilläggas att även i ett fall då en sökmotorleverantör konstaterar att det inte förhåller sig på detta sätt, av den anledningen att det är strikt nödvändigt att inkludera länken för att förena rätten till respekt för privatlivet och till skydd för den registrerades personuppgifter med eventuellt intresserade internetanvändares informationsfrihet, måste sökmotorleverantören i alla händelser, senast i samband med begäran om borttagande av länkar, ordna listan över sökresultat på ett sådant sätt att det helhetsintryck som listan ger internetanvändarna återspeglar den aktuella rättsliga situationen, vilket bland annat fordrar att länkar till webbsidor med information om detta redovisas överst på listan.
Mot denna bakgrund ska den fjärde frågan besvaras så, att direktiv 95/46 ska tolkas på följande sätt:
–
Information om ett rättsligt förfarande som en fysisk person har varit föremål för och, i förekommande fall, de uppgifter som avser den fällande domen, utgör uppgifter om ”lagöverträdelser” och ”brottmålsdomar” i den mening som avses i artikel 8.5 i direktivet.
–
En sökmotorleverantör är skyldig att efterkomma en begäran om borttagande som rör länkar till webbsidor som innehåller sådana uppgifter, när dessa uppgifter hänför sig till ett tidigare skede i det rättsliga förfarandet i fråga och, med hänsyn till att den senare utvecklingen i förfarandet inte längre återspeglar den aktuella situationen, när det vid en bedömning av de viktiga skäl av allmänintresse som avses i artikel 8.4 i direktivet konstateras att, med beaktande av samtliga omständigheter i det enskilda fallet, den registrerades grundläggande rättigheter enligt artiklarna 7 och 8 i stadgan väger tyngre än eventuellt intresserade internetanvändares grundläggande rättigheter enligt artikel 11 i stadgan.
Rättegångskostnader
Eftersom förfarandet i förhållande till parterna i målet vid den nationella domstolen utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.

Mot denna bakgrund beslutar domstolen (stora avdelningen) följande:

1)
Artikel 8.1 och 8.5 i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter ska tolkas så, att förbudet mot eller begränsningarna av behandlingen av de särskilda kategorier av personuppgifter som avses i dessa bestämmelser, med förbehåll för de undantag som föreskrivs i detta direktiv, ska tillämpas även på en sökmotorleverantör inom ramen för dennes ansvar, befogenheter och möjligheter som den har i egenskap av ansvarig för den uppgiftsbehandling som utförs i samband med sökmotorverksamheten, i samband med den prövning som sökmotorleverantören, under tillsyn av behöriga nationella myndigheter, gör när den har mottagit en begäran från den registrerade.

2)
Artikel 8.1 och 8.5 i direktiv 95/46 ska tolkas så, att en sökmotorleverantör enligt dessa bestämmelser, med förbehåll för de undantag som föreskrivs i detta direktiv, i princip är skyldig att på begäran ta bort länkar till webbsidor som innehåller personuppgifter som hör till de särskilda kategorier som avses i dessa bestämmelser.
Artikel 8.2 e i direktiv 95/46 ska tolkas så, att en sökmotorleverantör med tillämpning av denna bestämmelse kan vägra att efterkomma en begäran om borttagande av länkar när den konstaterar att länkarna i fråga visserligen leder till ett innehåll som inkluderar personuppgifter som omfattas av de särskilda kategorier som avses i artikel 8.1 men att behandlingen av de uppgifterna täcks av undantaget i artikel 8.2 e i direktivet, förutsatt att denna behandling uppfyller samtliga övriga villkor för att vara tillåten enligt direktivet och förutsatt att inte den registrerade, enligt artikel 14 första stycket a i direktivet, har rätt att invända mot behandlingen av övervägande och berättigade skäl som hänför sig till hans eller hennes särskilda situation.
Bestämmelserna i direktiv 95/46 ska tolkas så, att när en sökmotorleverantör mottar en begäran om borttagande som avser en länk till en webbsida där personuppgifter som omfattas av de särskilda kategorier som avses i artikel 8.1 eller 8.5 i direktivet offentliggörs ska denne – på grundval av samtliga relevanta omständigheter i det enskilda fallet och med beaktande av allvaret av ingreppet i den registrerades grundläggande rätt till respekt för privatlivet och till skydd för personuppgifter, som slås fast i artiklarna 7 och 8 i stadgan – pröva om det, med hänsyn till de viktiga skäl av allmänintresse som avses i artikel 8.4 i nämnda direktiv och med iakttagande av de villkor som föreskrivs i den sistnämnda bestämmelsen, är strikt nödvändigt att inkludera länken till webbsidan i fråga bland de sökresultat som redovisas efter en sökning på den registrerades namn för att skydda informationsfriheten för de internetanvändare som eventuellt är intresserade av att få tillgång till den webbsidan genom en sådan sökning, en frihet som slås fast i artikel 11 i stadgan.

3)
Bestämmelserna i direktiv 95/46 ska tolkas på följande sätt:
–
Information om ett rättsligt förfarande som en fysisk person har varit föremål för och, i förekommande fall, de uppgifter som avser den fällande domen, utgör uppgifter om ”lagöverträdelser” och ”brottmålsdomar” i den mening som avses i artikel 8.5 i direktivet.
–
En sökmotorleverantör är skyldig att efterkomma en begäran om borttagande som rör länkar till webbsidor som innehåller sådana uppgifter, när dessa uppgifter hänför sig till ett tidigare skede i det rättsliga förfarandet i fråga och, med hänsyn till att den senare utvecklingen i förfarandet inte längre återspeglar den aktuella situationen, när det vid en bedömning av de viktiga skäl av allmänintresse som avses i artikel 8.4 i direktivet konstateras att, med beaktande av samtliga omständigheter i det enskilda fallet, den registrerades grundläggande rättigheter enligt artiklarna 7 och 8 i stadgan väger tyngre än eventuellt intresserade internetanvändares grundläggande rättigheter enligt artikel 11 i stadgan.

Underskrifter
(
*1
)	Rättegångsspråk: franska.