CELEX: 62017CJ0507
Řízení o předběžné otázce
Osobní údaje
Ochrana fyzických osob v souvislosti se zpracováním těchto údajů
Směrnice 95/46/ES
Nařízení (EU) 2016/679
Internetový vyhledávač
Zpracování údajů uvedených na internetové stránce
Územní dosah práva na odstranění odkazů

Žádost o rozhodnutí o předběžné otázce se týká výkladu směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (
Úř. věst. 1995, L 281, s. 31
; Zvl. vyd. 13/15, s. 355).
Tato žádost byla předložena v rámci sporu mezi společností Google LLC, právní nástupkyní společnosti Google Inc., a Commission nationale de l’informatique et des libertés (Národní komisí pro informatiku a svobody (CNIL) (Francie) ve věci sankce ve výši 100000 eur, kterou tato komise uložila společnosti Google z důvodu, že tato společnost odmítla, když vyhověla žádosti o odstranění odkazů, vztáhnout toto odstranění na všechny domény svého vyhledávače.
Právní rámec
Unijní právo
Směrnice 95/46
Cílem směrnice 95/46 je podle jejího čl. 1 odst. 1 ochrana základních práv a svobod fyzických osob, zejména jejich soukromí, v souvislosti se zpracováním osobních údajů, a dále odstranění překážek bránících volnému pohybu těchto údajů.
Body 2, 7, 10, 11, 18, 20 a 37 odůvodnění směrnice 95/46 uvádějí:
„(2)
vzhledem k tomu, že systémy zpracování údajů slouží lidem; že musí bez ohledu na státní občanství nebo bydliště fyzických osob dodržovat základní svobody a práva těchto osob, zejména právo na soukromí, a přispívat k […] dobrý[m] životní[m] podmín[kám] jednotlivců;
[…]
(7)
vzhledem k tomu, že rozdíly mezi členskými státy, pokud jde o úroveň ochrany práv a svobod osob, zejména práva na soukromí, mohou s ohledem na zpracování osobních údajů zabránit přenosu těchto údajů z území jednoho členského státu na území jiného členského státu; že tyto rozdíly mohou napříště vytvářet překážku výkonu celé skupiny hospodářských činností na úrovni Společenství, […];
[…]
(10)
vzhledem k tomu, že předmětem vnitrostátních právních předpisů o zpracování osobních údajů je chránit základní práva a svobody, zejména právo na soukromí uznaného [uznané] v článku 8 Evropské úmluvy o ochraně lidských práv a základních svobod [podepsané v Římě dne 4. listopadu 1950] i v obecných zásadách práva Společenství; že z tohoto důvodu sblížení těchto právních předpisů nesmí vést k oslabení ochrany, kterou zajišťují, ale musí mít naopak za cíl zajištění vysoké úrovně ochrany ve Společenství;
[…]
(18)
vzhledem k tomu, že z důvodu, aby se zamezilo případům, kdy jednotlivcům nebude poskytnuta ochrana, která jim je zaručena na základě této směrnice, je nezbytné, aby veškeré zpracování osobních údajů uskutečněné ve Společenství dodržovalo právní předpisy některého členského státu; […]
[…]
(20)
vzhledem k tomu, že skutečnost, že zpracování údajů provádí osoba usazená ve třetí zemi, nesmí bránit ochraně osob stanovené v této směrnici; že v takovýchto případech je třeba podřídit zpracování dotčených údajů právním předpisům členského státu, ve kterém jsou lokalizována zařízení pro zpracování údajů, a přijmout záruky, aby práva a povinnosti uvedené v této směrnici byly v praxi dodržovány;
[…]
(37)
vzhledem k tomu, že zpracování osobních údajů pro účely žurnalistiky nebo uměleckého či literárního vyjádření, zejména v audiovizuální oblasti, by mělo opravňovat k výjimce z některých ustanovení této směrnice nebo k jejich omezení v míře nezbytné pro vytvoření souladu základních práv jednotlivců se svobodou projevu, zejména se svobodou získávat nebo sdělovat informace tak, jak to zejména zaručuje článek 10 Evropské úmluvy o ochraně lidských práv a základních svobod; že tedy přísluší členským státům, aby pro účely udržování rovnováhy mezi základními právy stanovily nezbytné výjimky a omezení, pokud jde o obecná opatření týkající se oprávněnosti zpracování údajů, […]“
Článek 2 této směrnice stanoví:
„Pro účely této směrnice se rozumí:
a)
‚osobními údaji‘ veškeré informace o identifikované nebo identifikovatelné [fyzické] osobě (subjekt údajů);
b)
‚zpracováním osobních údajů‘ (‚zpracování‘) jakýkoli úkon nebo soubor úkonů s osobními údaji, které jsou prováděny pomocí či bez pomoci automatizovaných postupů, jako je shromažďování, zaznamenávání, uspořádávání, uchovávání, přizpůsobování nebo pozměňování, vyhledávání, konzultace, použití, sdělení prostřednictvím přenosu, šíření nebo jakékoli jiné zpřístupnění, srovnání či kombinování, jakož i blokování, výmaz nebo likvidace;
[…]
d)
‚správcem‘ fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jakýkoli jiný subjekt, který sám nebo společně s jinými určuje účel a prostředky zpracování osobních údajů […]
[…]“
Článek 4 téže směrnice, nadepsaný „Použitelné vnitrostátní právo“, stanoví:
„1.   Každý členský stát použije na zpracování osobních údajů vnitrostátní ustanovení, která přijme na základě této směrnice, pokud:
a)
zpracování je prováděno v rámci činností provozovny správce na území členského státu; pokud je stejný správce usazen na území několika členských států, musí přijmout opatření nezbytná pro dodržování povinností stanovených použitelným vnitrostátním právem každou ze svých provozoven;
b)
správce není usazen na území členského státu, ale v místě, kde se vnitrostátní právní předpisy daného členského státu uplatňují na základě mezinárodního práva veřejného;
c)
správce není usazen na území Společenství a používá za účelem zpracování osobních údajů prostředků, automatizovaných či nikoli, umístěných na území zmíněného členského státu, ledaže jsou tyto prostředky použity pouze pro účely tranzitu přes území Společenství.
2.   V případě uvedeném v odst. 1 písm. c) správce musí určit zástupce usazeného na území zmíněného členského státu, aniž je tím dotčena možnost podniknout právní kroky proti správci samotnému.“
Článek 9 směrnice 95/46, nadepsaný „Zpracování osobních údajů a svoboda projevu“, stanoví:
„Členské státy stanoví pro zpracování osobních údajů prováděné výlučně pro účely žurnalistiky nebo uměleckého či literárního projevu, odchylky a výjimky z této kapitoly a z kapitol IV a VI, pouze pokud se ukáží jako nezbytné pro uvedení práva na soukromí do souladu s předpisy upravujícími svobodu projevu.“
Článek 12 téže směrnice, nadepsaný „Právo na přístup“, stanoví:
„Členské státy zaručí každému subjektu údajů právo získat od správce:
[…]
b)
podle daného případu opravu, výmaz nebo blokování údajů, jejichž zpracování není v souladu s touto směrnicí, zejména z důvodů neúplné nebo nepřesné povahy údajů;
[…]“
Článek 14 téže směrnice, nadepsaný „Právo subjektu údajů na námitku“, stanoví:
„Členské státy přiznávají subjektu údajů právo:
a)
alespoň v případech uvedených v čl. 7 písm. e) a f) vznést kdykoli z vážných a legitimních důvodů souvisejících s jeho osobní situací námitku proti zpracování osobních údajů, které se ho týkají, ledaže vnitrostátní právo stanoví jinak. Je-li námitka oprávněná, nesmí se zpracování zahájené správcem těchto údajů nadále týkat;
[…]“
Článek 24 směrnice 95/46, nadepsaný „Sankce“, stanoví:
„Členské státy přijmou vhodná opatření, kterými zajistí uplatňování ustanovení této směrnice, a zejména určí sankce, které se uplatní v případě porušení předpisů přijatých na základě této směrnice.“
Článek 28 této směrnice, nadepsaný „Orgán dozoru“, zní takto:
„1.   Každý členský stát pověří jeden nebo několik orgánů veřejné moci na svém území dohledem nad dodržováním předpisů přijatých členskými státy na základě této směrnice.
[…]
3.   Každý orgán dozoru má zejména:
–
pravomoci provádět šetření, jako například pravomoc přístupu k údajům, které jsou předmětem zpracování, a shromažďovat veškeré informace nezbytné pro splnění svého úkolu dozoru;
–
pravomoci účinně zasáhnout, jako například nařídit blokování, výmaz nebo zničení údajů nebo dočasně nebo trvale zakázat zpracování […]
[…]
Proti rozhodnutím orgánu dozoru, která dala vzniknout stížnostem, je možné využít opravný prostředek k soudu.
4.   Na orgán dozoru se může obrátit jakákoli osoba nebo sdružení zastupující tuto osobu se žádostí týkající se ochrany svých práv a svobod v souvislosti se zpracováním osobních údajů. Dotčená osoba je informována o způsobu vyřízení své žádosti.
[…]
6.   Nezávisle na vnitrostátním právu, které se použije na dané zpracování, je orgán dozoru oprávněn vykonávat na území vlastního členského státu pravomoci, které mu byly uděleny v souladu s odstavcem 3. Každý orgán může být vyzván, aby vykonával své pravomoci na žádost orgánu jiného členského státu.
Orgány dozoru vzájemně spolupracují v míře nezbytné pro plnění svých úkolů, zejména výměnou veškerých užitečných informací.
[…]“
Nařízení (EU) 2016/679
Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (
Úř. věst. 2016, L 119, s. 1
, a oprava
Úř. věst. 2018, L 127, s. 2
) přijaté na základě článku 16 SFEU je podle svého čl. 99 odst. 2 použitelné od 25. května 2018. Článek 94 odst. 1 tohoto nařízení stanoví, že směrnice 95/46/ES se zrušuje s účinkem od téhož dne.
Body 1, 4, 9 až 11, 13, 22 až 25 a 65 odůvodnění uvedeného nařízení znějí:
„1)
Ochrana fyzických osob v souvislosti se zpracováním osobních údajů je základním právem. Ustanovení čl. 8 odst. 1 Listiny základních práv Evropské unie (dále jen ‚Listina‘) a čl. 16 odst. 1 Smlouvy o fungování Evropské unie [SFEU] přiznávají každému právo na ochranu osobních údajů, které se jej týkají.
[…]
4)
Zpracování osobních údajů by mělo sloužit lidem. Právo na ochranu osobních údajů není právem absolutním; musí být posuzováno v souvislosti se svou funkcí ve společnosti a v souladu se zásadou proporcionality musí být v rovnováze s dalšími základními právy. Toto nařízení ctí všechna základní práva a dodržuje svobody a zásady uznávané Listinou, jak jsou zakotveny ve Smlouvách, zejména respektování soukromého a rodinného života, obydlí a komunikace, ochranu osobních údajů, svobodu myšlení, svědomí a náboženského vyznání, svobodu projevu a informací, svobodu podnikání, […]
[…]
(9)
[…] směrnice 95/46 […] nezabráni[a] roztříštěnosti v provádění ochrany údajů v celé Unii. Rozdíly v úrovni ochrany práv a svobod fyzických osob […] v členských státech mohou bránit volnému pohybu osobních údajů v rámci Unie. Tyto rozdíly proto mohou být překážkou pro výkon hospodářských činností na úrovni Unie […].
(10)
S cílem zajistit soudržnou a vysokou úroveň ochrany fyzických osob a odstranit překážky bránící pohybu osobních údajů v rámci Unie by měla být úroveň ochrany práv a svobod fyzických osob v souvislosti se zpracováním těchto údajů rovnocenná ve všech členských státech. […]
(11)
Účinná ochrana osobních údajů v celé Unii vyžaduje nejen posílení a podrobné vymezení práv subjektů údajů a povinností těch, kdo osobní údaje zpracovávají a o jejich zpracování rozhodují, ale také rovnocenné pravomoci pro monitorování a zajišťování souladu s pravidly ochrany osobních údajů a rovnocenné sankce za jejich porušování v členských státech.
[…]
(13)
Aby byla zajištěna jednotná úroveň ochrany fyzických osob v celé Unii a zamezilo se rozdílům bránícím volnému pohybu osobních údajů v rámci vnitřního trhu, je nezbytné přijmout nařízení, které poskytne hospodářským subjektům […] právní jistotu a transparentnost, které fyzickým osobám ve všech členských státech zajistí stejnou úroveň práv vymahatelných právními prostředky a správcům a zpracovatelům uloží povinnosti a úkoly, které zajistí důsledné monitorování zpracování osobních údajů a rovnocenné sankce ve všech členských státech, jakož i účinnou spolupráci mezi dozorovými úřady jednotlivých členských států. Řádné fungování vnitřního trhu vyžaduje, aby volný pohyb osobních údajů v Unii nebyl z důvodů souvisejících s ochranou fyzických osob v souvislosti se zpracováním osobních údajů omezen ani zakázán. […]
[…]
(22)
Jakékoliv zpracování osobních údajů v souvislosti s činnostmi provozovny správce nebo zpracovatele v Unii by mělo být prováděno v souladu s tímto nařízením bez ohledu na to, zda samotné zpracování probíhá v Unii nebo mimo ni. […]
(23)
Aby bylo zajištěno, že fyzickým osobám nebude odepřena ochrana, na niž mají podle tohoto nařízení nárok, mělo by se na zpracování osobních údajů subjektů údajů nacházejících se v Unii uskutečněné správcem nebo zpracovatelem, jenž není v Unii usazen, vztahovat toto nařízení, pokud činnosti zpracování souvisejí s nabídkou zboží nebo služeb těmto subjektům údajů bez ohledu na to, zda je spojena s platbou. Aby se určilo, zda takový správce nebo zpracovatel nabízí zboží nebo služby subjektům údajů nacházejícím se v Unii, je třeba zjistit, zda je zjevné, že má správce nebo zpracovatel v úmyslu nabízet služby subjektům údajů v jednom nebo více členských státech v Unii. […]
(24)
Na zpracování osobních údajů subjektů údajů nacházejících se v Unii správcem nebo zpracovatelem, který není v Unii usazen, by se rovněž mělo vztahovat toto nařízení, pokud souvisí s monitorováním chování takových subjektů údajů v rozsahu, v němž k tomuto chování dochází v Unii. Aby se určilo, zda může být činnost zpracování považována za monitorování chování subjektu údajů, mělo by být zjištěno, zda jsou fyzické osoby sledovány na internetu, včetně případného následného použití technik zpracování osobních údajů, které spočívají v profilování fyzické osoby, zejména za účelem přijetí rozhodnutí, která se jí týkají, nebo za účelem analýzy či odhadu jejích osobních preferencí, postojů a chování.
(25)
Pokud se právo členského státu uplatňuje na základě mezinárodního práva veřejného, mělo by se toto nařízení vztahovat také na správce, který není usazen v Unii, například na diplomatické misi nebo na konzulárním zastoupení členského státu.
[…]
(65)
Fyzická osoba by měla mít […] ‚právo být zapomenuta‘, pokud uchovávání těchto údajů porušuje toto nařízení nebo právo Unie či členského státu, které se na správce vztahuje. […] Další uchovávání osobních údajů by však mělo být zákonné, pokud je to nezbytné k uplatnění práva svobody projevu a práva na informace […]“
Článek 3 nařízení 2016/679, nadepsaný „Místní působnost“, zní následovně:
„1.   Toto nařízení se vztahuje na zpracování osobních údajů v souvislosti s činnostmi provozovny správce nebo zpracovatele v Unii bez ohledu na to, zda zpracování probíhá v Unii či mimo ni.
2.   Toto nařízení se vztahuje na zpracování osobních údajů subjektů údajů, které se nacházejí v Unii, správcem nebo zpracovatelem, který není usazen v Unii, pokud činnosti zpracování souvisejí:
a)
s nabídkou zboží nebo služeb těmto subjektům údajů v Unii, bez ohledu na to, zda je od subjektů údajů požadována platba; nebo
b)
s monitorováním jejich chování, pokud k němu dochází v rámci Unie.
3.   Toto nařízení se vztahuje na zpracování osobních údajů správcem, který není usazen v Unii, ale na místě, kde se právo členského státu uplatňuje na základě mezinárodního práva veřejného.“
Článek 4 bod 23 tohoto nařízení definuje pojem „přeshraniční zpracování“ následovně:
„a)
zpracování osobních údajů, které probíhá v souvislosti s činnostmi provozoven ve více než jednom členském státě správce či zpracovatele v Unii, je-li tento správce či zpracovatel usazen ve více než jednom členském státě; nebo
b)
zpracování osobních údajů, které probíhá v souvislosti s činnostmi jediné provozovny správce či zpracovatele v Unii, ale kterým jsou nebo pravděpodobně budou podstatně dotčeny subjekty údajů ve více než jednom členském státě“.
Článek 17 tohoto nařízení, nadepsaný „Právo na výmaz (‚právo být zapomenut‘)“, zní:
„1.   Subjekt údajů má právo na to, aby správce bez zbytečného odkladu vymazal osobní údaje, které se daného subjektu údajů týkají, a správce má povinnost osobní údaje bez zbytečného odkladu vymazat, pokud je dán jeden z těchto důvodů:
a)
osobní údaje již nejsou potřebné pro účely, pro které byly shromážděny nebo jinak zpracovány;
b)
subjekt údajů odvolá souhlas, na jehož základě byly údaje podle čl. 6 odst. 1 písm. a) nebo čl. 9 odst. 2 písm. a) zpracovány, a neexistuje žádný další právní důvod pro zpracování;
c)
subjekt údajů vznese námitky proti zpracování podle čl. 21 odst. 1 a neexistují žádné převažující oprávněné důvody pro zpracování nebo subjekt údajů vznese námitky proti zpracování podle čl. 21 odst. 2;
d)
osobní údaje byly zpracovány protiprávně;
e)
osobní údaje musí být vymazány ke splnění právní povinnosti stanovené v právu Unie nebo členského státu, které se na správce vztahuje;
f)
osobní údaje byly shromážděny v souvislosti s nabídkou služeb informační společnosti podle čl. 8 odst. 1.
[…]
3.   Odstavce 1 a 2 se neuplatní, pokud je zpracování nezbytné:
a)
pro výkon práva na svobodu projevu a informace;
[…]“
Článek 21 téhož nařízení, nadepsaný „Právo vznést námitku“, v odstavci 1 stanoví:
„Subjekt údajů má z důvodů týkajících se jeho konkrétní situace právo kdykoli vznést námitku proti zpracování osobních údajů, které se jej týkají, na základě čl. 6 odst. 1 písm. e) nebo f), včetně profilování založeného na těchto ustanoveních. Správce osobní údaje dále nezpracovává, pokud neprokáže závažné oprávněné důvody pro zpracování, které převažují nad zájmy nebo právy a svobodami subjektu údajů, nebo pro určení, výkon nebo obhajobu právních nároků.“
Článek 55 nařízení 2016/679, nadepsaný „Příslušnost“, který je součástí kapitoly VI tohoto nařízení, nadepsané „Nezávislé dozorové úřady“, v odstavci 1 stanoví:
„Každý dozorový úřad je na území svého členského státu příslušný k plnění úkolů a výkonu pravomocí, které mu byly svěřeny v souladu s tímto nařízením.“
Článek 56 uvedeného nařízení, nadepsaný „Příslušnost vedoucího dozorového úřadu“, stanoví:
„1.   Aniž je dotčen článek 55, je dozorový úřad pro hlavní nebo jedinou provozovnu správce či zpracovatele příslušný k tomu, aby jednal jako vedoucí dozorový úřad v případě přeshraničního zpracování prováděného tímto správcem či zpracovatelem v souladu s postupem stanoveným v článku 60.
2.   Odchylně od odstavce 1 je každý dozorový úřad příslušný k tomu, aby se zabýval stížnostmi, které u něj byly podány, nebo možným porušením tohoto nařízení, pokud se daná záležitost týká pouze provozovny v jeho členském státě nebo jsou touto záležitostí podstatným způsobem dotčeny subjekty údajů pouze v jeho členském státě.
3.   V případech uvedených v odstavci 2 tohoto článku daný dozorový úřad o této záležitosti neprodleně informuje vedoucí dozorový úřad. Ve lhůtě tří týdnů po obdržení těchto informací vedoucí dozorový úřad rozhodne, zda se postupem podle článku 60 bude danou věcí zabývat či nikoli, a zohlední přitom, zda se v členském státě dozorového úřadu, který jej informoval, nachází provozovna správce nebo zpracovatele, či nikoli.
4.   Pokud vedoucí dozorový úřad rozhodne, že se věcí zabývat bude, použije se postup podle článku 60. Dozorový úřad, který vedoucí dozorový úřad informoval, může vedoucímu dozorovému úřadu předložit návrh rozhodnutí. Vedoucí dozorový úřad tento návrh co nejvíce zohlední při přípravě návrhu rozhodnutí podle čl. 60 odst. 3.
5.   Pokud vedoucí dozorový úřad rozhodne, že se věcí zabývat nebude, zabývá se jí v souladu s články 61 a 62 dozorový úřad, který informoval vedoucí dozorový úřad.
6.   Provádějí-li správce či zpracovatel přeshraniční zpracování, je pro ně jediným příslušným orgánem vedoucí dozorový úřad.“
Článek 58 téhož nařízení, nadepsaný „Pravomoci“, v odstavci 2 stanoví:
„Každý dozorový úřad má všechny tyto nápravné pravomoci:
[…]
g)
nařídit […] výmaz osobních údajů […] podle článků […] 17 […];
[…]
i)
uložit správní pokutu […] vedle či namísto opatření uvedených v tomto odstavci, podle okolností každého jednotlivého případu“.
Součástí kapitoly VII nařízení 2016/679, nadepsané „Spolupráce a jednotnost“, je oddíl I, nadepsaný „Spolupráce“, který obsahuje články 60 až 62 tohoto nařízení. Článek 60, nadepsaný „Spolupráce mezi vedoucím dozorovým úřadem a dalšími dotčenými dozorovými úřady“, stanoví:
„1.   Vedoucí dozorový úřad spolupracuje s ostatními dotčenými dozorovými úřady v souladu s tímto článkem ve snaze dosáhnout konsensu. Vedoucí dozorový úřad a dotčené dozorové úřady si vzájemně vyměňují veškeré relevantní informace.
2.   Vedoucí dozorový úřad může kdykoliv požádat další dotčené dozorové úřady o poskytnutí vzájemné pomoci podle článku 61 a může provádět společné postupy podle článku 62, zejména pokud jde o vedení šetření nebo monitorování provádění opatření týkajících se správce či zpracovatele usazených v jiném členském státě.
3.   Vedoucí dozorový úřad neprodleně sdělí relevantní informace o dané záležitosti ostatním dotčeným dozorovým úřadům. Neprodleně předloží ostatním dotčeným dozorovým úřadům návrh rozhodnutí, aby se k němu vyjádřily, a řádně zohlední jejich stanoviska.
4.   Pokud ve lhůtě čtyř týdnů kterýkoliv z ostatních dotčených dozorových úřadů poté, co byl v souladu s odstavcem 3 tohoto článku konzultován, vznese k návrhu rozhodnutí relevantní a odůvodněnou námitku, postoupí vedoucí dozorový úřad v případě, že relevantní a odůvodněnou námitku nesdílí nebo ji považuje za irelevantní či nedůvodnou, záležitost k řešení v rámci mechanismu jednotnosti uvedeného v článku 63.
5.   Pokud má vedoucí dozorový úřad v úmyslu vznesenou relevantní a odůvodněnou námitku zohlednit, předloží ostatním dotčeným dozorovým úřadům revidovaný návrh rozhodnutí k vyjádření. Tento revidovaný návrh rozhodnutí podléhá postupu uvedenému v odstavci 4 v rámci dvoutýdenní lhůty.
6.   Pokud ve lhůtě uvedené v odstavcích 4 a 5 nevznesl žádný z ostatních dotčených dozorových úřadů námitku proti návrhu rozhodnutí předloženému vedoucím dozorovým úřadem, má se za to, že vedoucí dozorový úřad a dotčené dozorové úřady s tímto návrhem rozhodnutí souhlasí a toto rozhodnutí je pro ně závazné.
7.   Vedoucí dozorový úřad dané rozhodnutí přijme, ohlásí je hlavní nebo jediné provozovně správce či zpracovatele a o daném rozhodnutí včetně shrnutí relevantních skutečností a důvodů informuje ostatní dotčené dozorové úřady a sbor. Dozorový úřad, u něhož byla podána stížnost, informuje o daném rozhodnutí stěžovatele.
8.   Odchylně od odstavce 7, pokud je stížnost odmítnuta nebo zamítnuta, přijme rozhodnutí dozorový úřad, u něhož byla stížnost podána; tento úřad oznámí rozhodnutí stěžovateli a informuje o něm správce.
9.   Pokud se vedoucí dozorový úřad a dotčené dozorové úřady shodnou na tom, že určité části stížnosti odmítnou nebo zamítnou a že budou reagovat na jiné části této stížnosti, přijme se pro každou z těchto částí dané věci samostatné rozhodnutí. […]
10.   Poté, co mu bylo oznámeno rozhodnutí vedoucího dozorového úřadu podle odstavců 7 a 9, přijme správce nebo zpracovatel opatření nezbytná k zajištění souladu s daným rozhodnutím, pokud jde o činnosti zpracování prováděné v souvislosti se všemi jeho provozovnami v Unii. Správce nebo zpracovatel oznámí opatření přijatá k zajištění souladu s daným rozhodnutí vedoucímu dozorovému úřadu, který o tom informuje ostatní dotčené dozorové úřady.
11.   Pokud má za výjimečných okolností dotčený dozorový úřad důvody se domnívat, že je třeba naléhavě jednat, aby byly ochráněny zájmy subjektů údajů, použije se postup pro naléhavé případy podle článku 66.
[…]“
Článek 61 uvedeného nařízení, nadepsaný „Vzájemná pomoc“, v odstavci 1 stanoví:
„Dozorové úřady si vzájemně poskytují relevantní informace a pomoc v zájmu soudržného provádění a uplatňování tohoto nařízení a zavedou opatření pro účinnou vzájemnou spolupráci. Vzájemná spolupráce zahrnuje zejména žádosti o informace a opatření v oblasti dozoru, například žádosti o předchozí povolení a konzultace, inspekce a šetření.“
Článek 62 téhož nařízení, nadepsaný „Společné postupy dozorových úřadů“, stanoví:
„1.   Dozorové úřady podle potřeby provádějí společné postupy, včetně společných šetření a společných donucovacích opatření, do nichž jsou zapojeni členové nebo pracovníci dozorových úřadů z jiných členských států.
2.   Pokud má správce nebo zpracovatel provozovny v několika členských státech, nebo pokud je pravděpodobné, že operacemi zpracování bude podstatně dotčen významný počet subjektů údajů ve více než jednom členském státě, má dozorový úřad každého z těchto členských států právo účastnit se společných postupů. […]“
Oddíl 2 kapitoly VII nařízení 2016/679, nadepsaný „Jednotnost“, obsahuje články 63 až 67 tohoto nařízení. Článek 63, nadepsaný „Mechanismus jednotnosti“, zní následovně:
„S cílem přispět k jednotnému uplatňování tohoto nařízení v celé Unii spolupracují dozorové úřady mezi sebou navzájem a ve vhodných případech s Komisí prostřednictvím mechanismu jednotnosti stanoveného v tomto oddíle.“
Článek 65 uvedeného nařízení, nadepsaný „Řešení sporů sborem“, v odstavci 1 stanoví:
„S cílem zajistit, aby toto nařízení bylo v jednotlivých případech správně a důsledně uplatňováno, přijme sbor závazné rozhodnutí v těchto případech:
a)
pokud v případě uvedeném v čl. 60 odst. 4 vznesl dotčený dozorový úřad relevantní a odůvodněnou námitku vůči návrhu rozhodnutí vedoucího dozorového úřadu nebo pokud vedoucí dozorový úřad zamítl tuto námitku jako irelevantní či nedůvodnou. Závazné rozhodnutí se týká všech záležitostí, které jsou předmětem relevantní a odůvodněné námitky, zejména dojde-li k porušení tohoto nařízení;
b)
pokud existují protikladné názory ohledně toho, který dotčený dozorový úřad je příslušný pro hlavní provozovnu;
[…]“
Článek 66 téhož nařízení, nadepsaný „Postup pro naléhavé případy“, v odstavci 1 stanoví:
„Dotčený dozorový úřad se za výjimečných okolností, kdy se domnívá, že je třeba naléhavě jednat v zájmu ochrany práv a svobod subjektů údajů, může odchýlit od mechanismu jednotnosti uvedeného v článcích 63, 64 a 65 nebo od postupu uvedeného v článku 60 a okamžitě přijmout předběžná opatření s právními účinky na svém území a se stanovenou dobou platnosti, která nepřesáhne tři měsíce. Tento dozorový úřad neprodleně oznámí tato opatření a důvody pro jejich přijetí ostatním dotčeným dozorovým úřadům, sboru a Komisi.“
Článek 85 uvedeného nařízení, nadepsaný „Zpracování a svoboda projevu a informací“, stanoví:
„1.   Členské státy uvedou prostřednictvím právních předpisů právo na ochranu osobních údajů podle tohoto nařízení do souladu s právem na svobodu projevu a informací, včetně zpracování pro novinářské účely a pro účely akademického, uměleckého či literárního projevu.
2.   Pro zpracování pro novinářské účely nebo pro účely akademického, uměleckého či literárního projevu členské státy stanoví odchylky a výjimky z kapitoly II (zásady), kapitoly III (práva subjektu údajů), kapitoly IV (správce a zpracovatel), kapitoly V (předávání osobních údajů do třetí země nebo mezinárodní organizaci), kapitoly VI (nezávislé dozorové úřady), kapitoly VII (spolupráce a jednotnost) a kapitoly IX (zvláštní situace, při nichž dochází ke zpracování osobních údajů), pokud je to nutné k uvedení práva na ochranu osobních údajů do souladu se svobodou projevu a informací.
[…]“
Francouzské právo
Směrnice 95/46 je do francouzského práva provedena loi n
o
78-17, du 6 janvier 1978, relative à l’informatique, aux fichiers et aux libertés (zákon č. 78–17 ze dne 6. ledna 1978 o informačních technologiích, souborech a svobodách), ve znění použitelném na skutkový stav ve věci v původním řízení (dále jen „zákon ze dne 6. ledna 1978).
Článek 45 tohoto zákona upřesňuje, že v případě, že správce nedodrží povinnosti vyplývající z uvedeného zákona, může jej předseda CNIL vyzvat, aby zjištěné neplnění povinnosti napravil ve stanovené lhůtě. Nezjedná-li správce nápravu v souladu s výzvou, která je mu zaslána, může užší kolegium CNIL po kontradiktorním řízení rozhodnout zejména o uložení peněžité sankce.
Spor v původním řízení a předběžné otázky
Rozhodnutím ze dne 21. května 2015 předsedkyně CNIL vyzvala společnost Google, aby v rámci vyhovění žádosti fyzické osoby o odstranění odkazů na internetové stránky ze seznamu výsledků zobrazených po zadání jejího jména tyto odkazy odstranila ze všech domén svého vyhledávače.
Společnost Google této výzvě nevyhověla a odstranila dotčené odkazy z výsledků zobrazených na základě vyhledávání uskutečněných z domén odpovídajících svými koncovkami mutacím jejího vyhledávače v členských státech.
CNIL dále nepovažovala za dostatečné doplňkové opatření, tzv. geo-blocking (zeměpisné blokování), k němuž společnost Google přistoupila po vypršení lhůty uvedené ve výzvě a jež spočívalo v tom, že přístup ke sporným výsledkům zobrazujícím se po zadání jména subjektu údajů znemožnila pro IP (
Internet Protocol
) adresy považované za adresy nacházející se ve státě bydliště subjektu údajů, a to bez ohledu na to, jakou konkrétní mutaci vyhledávače uživatel internetu použil k vyhledávání.
CNIL shledala, že Google uvedené výzvě v určené lhůtě nevyhověla, a proto jí rozhodnutím ze dne 10. března 2016 uložila sankci ve výši 100000 eur, o níž informovala veřejnost.
Žalobou podanou ke Conseil d’État (Státní rada, Francie) se společnost Google domáhá zrušení tohoto rozhodnutí.
Conseil d’État (Státní rada) konstatuje, že zpracování osobních údajů vyhledávačem provozovaným společností Google spadá do působnosti zákona ze dne 6. ledna 1978 vzhledem k tomu, že její dceřiná společnost Google France ve Francii provádí reklamní činnost a prodává reklamní prostor.
Conseil d’État (Státní rada) dále uvádí, že vyhledávač provozovaný společností Google má různé mutace doménových jmen lišící se geografickými koncovkami, aby přizpůsobil zobrazené výsledky vyhledávání zejména jazykovým zvláštnostem jednotlivých zemí, v nichž působí. Je-li dotaz na vyhledávání zadán na „google.com“, Google v zásadě automaticky přesměrovává toto vyhledávání na doménu s koncovkou odpovídající státu, který je na základě identifikace IP adresy uživatele internetu považován za stát, z něhož byl požadavek na vyhledávání zadán. Uživatel internetu však může bez ohledu na svoji polohu provádět vyhledávání na ostatních doménách vyhledávače. Dále je nesporné, že i když se mohou výsledky vyhledávání lišit v závislosti na doméně, z níž byl dotaz do vyhledávače zadán, odkazy zobrazené ve výsledcích vyhledávání jsou generovány ze společné databáze a indexu
Conseil d’État (Státní rada) má za to, že vzhledem k tomu, že jsou z francouzského území dostupná všechna doménová jména vyhledávače společnosti Google a tato jednotlivá doménová jména jsou vzájemně prostupná, jak dokládá zejména výše zmíněné automatické přesměrovávání, a vzhledem k tomu, že jsou navíc soubory cookie přítomny v jiných mutacích vyhledávače než v té, v které byly původně uloženy, musí být na tento vyhledávač, který byl ostatně předmětem jediné stížnosti u CNIL, pohlíženo pro účely aplikace zákona ze dne 6. ledna 1978 tak, že provádí jediné zpracování osobních údajů. Z toho podle jejího názoru vyplývá, že ke zpracování osobních údajů vyhledávačem provozovaným společností Google dochází v jedné z jejích provozoven, a sice Google France, usazené na francouzském území, takže pro něj platí zákon ze dne 6. ledna 1978.
Google v řízení před Conseil d’État (Státní rada) tvrdí, že sporná sankce je důsledkem nesprávného výkladu ustanovení zákona ze dne 6. ledna 1978, která provádějí čl. 12 písm. b) a čl. 14 první pododstavec písm. a) směrnice 95/46, na jejichž základě Soudní dvůr v rozsudku ze dne 13. května 2014, Google Spain a Google (
C‑131/12
,
EU:C:2014:317
) uznal „právo na odstranění odkazů z výsledků vyhledávání“. Podle společnosti Google z tohoto práva nutně nevyplývá, že by sporné odkazy měly být odstraněny bez zeměpisného omezení ze všech domén jejího vyhledávače. CNIL navíc podle ní tím, že se rozhodla pro tento výklad, porušila zásady zdvořilosti a nevměšování se uznané mezinárodním právem veřejným a nepřiměřeně zasáhla do svobody projevu, informací, komunikace a tisku zaručených zejména článkem 11 Listiny základních práv Evropské unie.
Conseil d’État (Státní rada) dospěla k závěru, že v této argumentaci vyvstává několik problematických otázek v souvislosti s výkladem směrnice 95/46, a proto se rozhodla přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:
„1)
Je třeba ‚právo na odstranění odkazu‘, jak je zakotvil [Soudní dvůr] ve svém rozsudku ze dne 13. května 2014 [Google Spain a Google (
C‑131/12
,
EU:C:2014:317
)] na základě ustanovení čl. 12 písm. b) a čl. 14 písm. a) směrnice [95/46], vykládat v tom smyslu, že provozovatel vyhledávače je povinen v rámci vyhovění žádosti o odstranění odkazu vztáhnout toto odstranění na všechna doménová jména svého vyhledávače tak, aby se sporné odkazy již neobjevovaly, bez ohledu na místo, ze kterého je zadán požadavek na vyhledávání podle jména žadatele, včetně míst, která se nacházejí mimo územní působnost směrnice [95/46]?
2)
V případě záporné odpovědi na tuto první otázku je třeba ‚právo na odstranění odkazu‘, jak je zakotvil [Soudní dvůr] ve svém výše citovaném rozsudku, vykládat v tom smyslu, že provozovatel vyhledávače je povinen v rámci vyhovění žádosti o odstranění odkazu odstranit sporné odkazy ze zobrazených výsledků vyhledávání podle jména žadatele pouze na doméně, která odpovídá státu, o kterém se má za to, že z něj byl zadán požadavek na vyhledávání, nebo obecně na doménách vyhledávače, které svou koncovkou odpovídají národním mutacím tohoto vyhledávače, ve všech členských státech Evropské unie?
3)
Kromě povinnosti uvedené v[e druhé otázce], je třeba ‚právo na odstranění odkazu‘, jak je potvrdil Soudní dvůr Evropské unie ve svém výše citovaném rozsudku, vykládat v tom smyslu, že provozovatel vyhledávače je v rámci vyhovění žádosti o odstranění odkazu povinen odstranit sporné odkazy prostřednictvím techniky tzv. ‚geo-blockingu‘ (zeměpisné blokování) z výsledků vyhledávání provedeného podle jména oprávněného z ‚práva na odstranění odkazu‘ spuštěného z IP adresy, u níž se předpokládá, že je umístěna ve státě jeho bydliště, nebo také obecně z IP adresy, u níž se předpokládá, že je umístěna v jednom z členských států, v nichž se uplatní směrnice [95/46], a to bez ohledu na doménu použitou uživatelem internetu, který provádí vyhledávání?“
K předběžným otázkám
Věc v původním řízení má svůj původ ve sporu mezi společností Google a CNIL o to, jakým způsobem musí provozovatel vyhledávače, který konstatuje, že subjekt údajů má právo na to, aby byly jeden či více odkazů na internetové stránky, na nichž jsou uvedeny jeho osobní údaje, vymazány ze seznamu výsledků zobrazeného po zadání jména tohoto subjektu do vyhledávače, toto právo na odstranění odkazů realizovat. I když byla ke dni podání žádosti o rozhodnutí o předběžné otázce použitelná směrnice 95/46, tato směrnice byla zrušena s účinností od 25. května 2018, od kdy se použije nařízení 2016/679.
Soudní dvůr posoudí položené otázky jak z hlediska této směrnice, tak z hlediska tohoto nařízení, aby bylo zajištěno, že budou jeho odpovědi pro předkládající soud v každém případě užitečné.
V řízení před Soudním dvorem společnost Google uvedla, že po podání žádosti o rozhodnutí o předběžné otázce spustila novou verzi národních mutací svého vyhledávače, u nichž již zadání doménového jména uživatelem internetu nerozhoduje o tom, jaká národní mutace vyhledávače se mu pro vyhledávání zobrazí. Uživatel internetu je nyní automaticky přesměrován na národní mutaci vyhledávače společnosti Google příslušnou pro místo, o němž se má za to, že z něho zadal dotaz na vyhledávání, a výsledky vyhledávání se mu zobrazí v závislosti na tomto místě, které společnost Google zjišťuje za pomoci geolokalizace.
Za těchto podmínek je třeba položené otázky, kterými je třeba se zabývat společně, chápat tak, že jejich podstatou je, zda musí být čl. 12 písm. b) a čl. 14 první pododstavec písm. a) směrnice 95/46, jakož i čl. 17 odst. 1 nařízení 2016/679 vykládány v tom smyslu, že pokud provozovatel vyhledávače vyhoví žádosti o odstranění odkazů podle těchto ustanovení, je povinen odkazy odstranit ze všech mutací svého vyhledávače, anebo je naopak musí odstranit pouze z mutací vyhledávače pro všechny členské státy, resp. pouze pro členský stát, v němž byla žádost o odstranění odkazů podána, a to případně s využitím tzv. „geo-blokace“, aby se zajistilo, že uživateli internetu nebudou moci být odstraňované odkazy zpřístupněny nehledě na to, jakou národní mutaci vyhledávače použije při vyhledávání z IP adresy, o níž se má za to, že se nachází v členském státě bydliště osoby, které svědčí právo na odstranění odkazů, nebo šířeji v jakémkoli členském státě.
Nejprve je třeba připomenout, že Soudní dvůr rozhodl, že článek 12 písm. b) a čl. 14 první pododstavec písm. a) směrnice 95/46 musí být vykládány v tom smyslu, že za účelem respektování práv stanovených v uvedených ustanoveních, a pokud jsou v nich stanovené podmínky skutečně splněny, musí provozovatel vyhledávače vymazat ze zobrazeného seznamu výsledků vyhledávání provedeného na základě jména osoby odkazy na internetové stránky zveřejněné třetími osobami a obsahující informace týkající se této osoby rovněž v případě, že toto jméno nebo tyto informace nebyly předtím nebo současně vymazány z uvedených internetových stránek, a to případně i tehdy, jestliže je jejich zveřejnění na uvedených stránkách samo o sobě v souladu se zákonem (rozsudek ze dne 13. května 2014, Google Spain a Google,
C‑131/12
,
EU:C:2014:317
, bod
).
Soudní dvůr dále upřesnil, že v rámci posouzení podmínek pro uplatnění týchž ustanovení je třeba zejména zkoumat, zda má subjekt údajů právo na to, aby daná informace týkající se jeho osoby za současného stavu již nebyla nadále spojena s jeho jménem prostřednictvím zobrazeného seznamu výsledků vyhledávání provedeného na základě jeho jména, aniž přitom konstatování existence takového práva předpokládá, že zahrnutí dotčené informace do uvedeného seznamu subjekt údajů poškozuje. Vzhledem k tomu, že posledně uvedený subjekt může s ohledem na svá základní práva podle článků 7 a 8 Listiny požadovat, aby dotčená informace již nebyla nadále poskytována široké veřejnosti na základě jejího zahrnutí do takového seznamu výsledků, převládají uvedená práva v zásadě nejen nad hospodářským zájmem provozovatele vyhledávače, ale rovněž nad zájmem veřejnosti nalézt uvedenou informaci při vyhledávání prováděném na základě jména subjektu údajů. Avšak nebylo by tomu tak v případě, že by se z konkrétních důvodů, jako je například úloha subjektu údajů ve veřejném životě, jevilo, že zásah do jeho základních práv je odůvodněný převažujícím zájmem uvedené veřejnosti mít na základě tohoto zahrnutí k dotčené informaci přístup (rozsudek ze dne 13. května 2014, Google Spain a Google,
C‑131/12
,
EU:C:2014:317
, bod
).
V rámci nařízení 2016/679 unijní normotvůrce zakotvil v článku 17 tohoto nařízení ustanovení, které specificky upravuje „právo na výmaz“, které je v nadpisu tohoto článku rovněž nazváno jako „právo být zapomenut“.
Podle čl. 17 odst. 1 nařízení 2016/679 má subjekt údajů právo na to, aby správce bez zbytečného odkladu vymazal osobní údaje, které se daného subjektu údajů týkají, a správce má povinnost osobní údaje bez zbytečného odkladu vymazat, pokud je dán některý z důvodů uvedených v tomto ustanovení. Článek 17 odst. 3 tohoto nařízení upřesňuje, že se čl. 17 odst. 1 tohoto nařízení neuplatní, pokud je dotčené zpracování nezbytné z jednoho z důvodů uvedených v tomto odstavci. K těmto důvodům patří důvod uvedený v čl. 17 odst. 3 písm. a) uvedeného nařízení, a sice mimo jiné výkon práva na svobodu informací.
Z článku 4 odst. 1 písm. a) směrnice 95/46 a z čl. 3 odst. 1 nařízení 2016/679 vyplývá, že jak tato směrnice, tak toto nařízení umožňují subjektům údajů uplatnit své právo na odstranění odkazů u provozovatele vyhledávače, který má na území Unie jednu nebo více provozoven, v rámci jejichž činnosti zpracovává osobní údaje těchto subjektů, a to bez ohledu na to, zda k tomuto zpracování dochází v Unii, či nikoli.
V tomto ohledu Soudní dvůr rozhodl, že ke zpracování osobních údajů v rámci činností provozovny správce na území členského státu dochází, pokud provozovatel internetového vyhledávače zřídí v členském státě pobočku nebo dceřinou společnost zajišťující podporu prodeje a prodej reklamního prostoru nabízeného tímto vyhledávačem, která zaměřuje svou činnost na obyvatele tohoto členského státu (rozsudek ze dne 13. května 2014, Google Spain a Google,
C‑131/12
,
EU:C:2014:317
, bod
).
Za takových okolností jsou totiž činnost provozovatele vyhledávače a činnost jeho provozovny nacházející se v Unii neoddělitelně spojeny, jelikož činnost týkající se reklamního prostoru představuje prostředek k dosažení hospodářské výnosnosti dotčeného vyhledávače a zároveň je tento vyhledávač prostředkem k provádění takovéto činnosti, neboť seznam výsledků vyhledávání se na stránce zobrazuje zároveň s reklamou spojenou s vyhledávanými pojmy (v tomto smyslu viz rozsudek ze dne 13. května 2014, Google Spain a Google,
C‑131/12
,
EU:C:2014:317
, body
a
).
Za těchto podmínek nemůže to, že tento vyhledávač provozuje podnik ze třetího státu, vést k tomu, že pro zpracování osobních údajů pro potřeby fungování uvedeného vyhledávače v rámci reklamní a komerční činnosti provozovny správce odpovědného za toto zpracování na území členského státu nebudou platit podmínky a záruky stanovené směrnicí 95/46 a nařízením 2016/679 (v tomto smyslu viz rozsudek ze dne 13. května 2014, Google Spain a Google,
C‑131/12
,
EU:C:2014:317
, bod
).
V tomto případě z informací poskytnutých v předkládacím rozhodnutí vyplývá, že provozovna společnosti Google na francouzském území vykonává činnosti, zejména komerční a reklamní, které jsou neoddělitelně spojeny se zpracováním osobních údajů pro potřeby fungování dotčeného vyhledávače, a že na tento vyhledávač musí být vzhledem ke vzájemné propustnosti národních mutací pohlíženo tak, že provádí jediné zpracování osobních údajů. Předkládající soud má za to, že za těchto podmínek ke zpracování dochází v provozovně společnosti Google nacházející se na francouzském území. Taková situace tedy podle všeho spadá do územní působnosti směrnice 95/46 a nařízení 2016/679.
Předkládající soud se svými otázkami snaží zjistit, jaký územní dosah má mít v podobné situaci odstranění odkazů.
V tomto ohledu z bodu 10 odůvodnění směrnice 95/46 a z bodů 10, 11 a 13 odůvodnění nařízení 2016/679, které bylo přijato na základě článku 16 SFEU, vyplývá, že cílem této směrnice a tohoto nařízení je zajistit vysokou úroveň ochrany osobních údajů v celé Unii.
Odstraněním odkazů ze všech mutací vyhledávače lze tento cíl jistě zcela naplnit.
Internet je totiž celosvětová síť bez hranic a informace a odkazy obsažené v seznamu výsledků zobrazených po zadání jména fyzické osoby jsou díky vyhledávačům všudypřítomné (v tomto smyslu viz rozsudky ze dne 13. května 2014, Google Spain a Google,
C‑131/12
,
EU:C:2014:317
, bod
, jakož i ze dne 17. října 2017, Bolagsupplysningen a Ilsjan,
C‑194/16
,
EU:C:2017:766
, bod
).
To, že mají uživatelé internetu, a zejména uživatelé mimo Unii, v globalizovaném světě přístup k odkazům na informace o osobě, jejíž středisko zájmů se nachází v Unii, může mít na takovou osobu přímý a podstatný dopad v samotné Unii.
Takové skutečnosti ospravedlňují pravomoc unijního normotvůrce uložit provozovateli vyhledávače v případě, že vyhoví žádosti takové osoby o odstranění odkazů, povinnost odstranit odkazy ze všech mutací svého vyhledávače.
Zároveň je však třeba zdůraznit, že mnohé třetí státy právo na odstranění odkazů neznají nebo k němu přistupují jinak.
Právo na ochranu osobních údajů ostatně není absolutním právem, nýbrž musí být posuzováno v souvislosti se svou funkcí ve společnosti a v souladu se zásadou proporcionality vyváženo s ostatními základními právy [v tomto smyslu viz rozsudek ze dne 9. listopadu 2010, Volker und Markus Schecke a Eifert,
C‑92/09 a C‑93/09
,
EU:C:2010:662
, bod
, jakož i posudek 1/15 (Dohoda mezi EU a Kanadou předávání a zpracovávání údajů jmenné evidence cestujících), ze dne 26. července 2017,
EU:C:2017:592
, bod
]. K tomu se připojuje skutečnost, že rovnováha mezi právem na respektování soukromého života a na ochranu osobních údajů na straně jedné a svobodou informací pro uživatele internetu na straně druhé se může po celém světě významně lišit.
Ačkoli unijní normotvůrce v rámci čl. 17 odst. 3 písm. a) nařízení 2016/679 poměřuje toto právo a tuto svobodu, pokud jde o Unii [v tomto smyslu viz rozsudek z dnešního dne, GC a další (Výmaz citlivých údajů), C‑136/17, bod 59], je třeba konstatovat, že za současného stavu věcí takové poměřování neprovádí, pokud jde o dosah výmazu mimo Unii.
Ze znění čl. 12 písm. b) a čl. 14 prvního pododstavce písm. a) směrnice 95/46 nebo čl. 17 nařízení 2016/679 konkrétně nevyplývá, že by se unijní normotvůrce za účelem zajištění, že bude dosaženo cíle popsaného v bodě 54 tohoto rozsudku, rozhodl dát právům zakotveným v těchto ustanoveních účinky přesahující území členských států a že měl v úmyslu uložit takovému hospodářskému subjektu, který jako společnost Google spadá do působnosti této směrnice nebo tohoto nařízení, povinnost odstranit odkazy i v národních mutacích jejího vyhledávače nad rámec členských států.
Zatímco nařízení 2016/679 v článcích 56 a 60 až 66 dává dozorovým úřadům členských států do rukou nástroje a mechanismy, které jim případně umožňují spolupracovat za účelem přijetí společného rozhodnutí vyvažujícího právo subjektu údajů na respektování jeho soukromého života a ochranu jeho osobních údajů a zájem veřejnosti z jednotlivých členských států na přístupu k informacím, je třeba konstatovat, že unijní právo v současnosti takové nástroje a mechanismy spolupráce nestanoví pro účely odstraňování odkazů mimo Unii.
Z toho vyplývá, že za současného stavu unijní právo neukládá provozovateli vyhledávače, který vyhoví žádosti subjektu údajů o odstranění odkazů, a případně v návaznosti na vydání příkazu dozorovým úřadem či soudem členského státu, povinnost odstranit odkazy ze všech mutací svého vyhledávače.
Vzhledem k výše uvedenému nemůže mít provozovatel vyhledávače na základě čl. 12 písm. b) a čl. 14 prvního pododstavce písm. a) směrnice 95/46, jakož i čl. 17 odst. 1 nařízení 2016/679 povinnost odstranit odkazy ze všech mutací svého vyhledávače.
Pokud jde o otázku, zda musí být odkazy odstraněny z mutací vyhledávače pro všechny členské státy, anebo pouze z mutace členského státu bydliště žadatele o výmaz, unijní normotvůrce se rozhodl zakotvit úpravu ochrany údajů do nařízení, které je přímo použitelné ve všech členských státech, s cílem zajistit – jak zdůrazňuje bod 10 odůvodnění nařízení 2016/679 – soudržnou a vysokou úroveň ochrany v celé Unii a odstranit v ní překážky bránící pohybu osobních údajů, takže k odstranění odkazů by v zásadě mělo dojít pro všechny členské státy.
Je však třeba konstatovat, že zájem veřejnosti na přístupu k informacím se může lišit i v jednotlivých členských státech, takže poměřování tohoto významu s právem subjektu údajů na respektování soukromého života a na ochranu osobních údajů nepovede nutně ke stejnému výsledku pro všechny členské státy, a to tím spíše, že podle článku 9 směrnice 95/46 a článku 85 nařízení č. 2016/679 je věcí členských států, aby konkrétně pro účely zpracování osobních údajů prováděného výlučně pro účely žurnalistiky nebo uměleckého či literárního projevu, stanovily odchylky a výjimky, aby tato práva uvedly do souladu se svobodou projevu.
Z článků 56 a 60 nařízení 2016/679 konkrétně vyplývá, že při přeshraničním zpracování ve smyslu článku 4 bodu 23 tohoto nařízení a s výhradou tohoto čl. 56 odst. 2 musí jednotlivé dotčené dozorové úřady spolupracovat v souladu s postupy stanovenými těmito ustanoveními, aby dosáhly konsensu a přijaly jednotné rozhodnutí zavazující všechny tyto úřady, přičemž správce musí zajistit, aby bylo dodrženo, pokud jde o činnosti zpracování v souvislosti se všemi jeho provozovnami v Unii. Článek 61 odst. 1 nařízení 2016/679 dále ukládá dozorovým úřadům povinnost předat si užitečné informace a poskytovat si navzájem pomoc, aby bylo toto nařízení uplatňováno koherentním způsobem v celé Unii, a článek 63 uvedeného nařízení stanoví, že za tímto účelem je v tomto nařízení v článcích 64 a 65 stanoven mechanismus jednotnosti. Postup pro naléhavé případy podle článku 66 nařízení 2016/679 konečně za výjimečných okolností umožňuje, má-li dotčený dozorový úřad za to, že je třeba naléhavě jednat v zájmu ochrany práv a svobod subjektů údajů, okamžitě přijmout předběžná opatření s právními účinky na svém území a se stanovenou dobou platnosti, která nepřesáhne tři měsíce.
Tento právní rámec tedy dává vnitrostátním dozorovým úřadům do rukou nástroje a mechanismy potřebné k nalezení rovnováhy mezi právem subjektu údajů na respektování soukromého života a na ochranu osobních údajů a zájmem veřejnosti ze všech členských států mít přístup k dotčeným informacím a případně k tomu, aby mohly přijmout rozhodnutí o odstranění odkazů, které bude platit pro jakékoli vyhledávání jména tohoto subjektu na území Unie.
Provozovatel vyhledávače má dále v případě potřeby povinnost přijmout dostatečně účinná opatření k zajištění účinné ochrany základních práv subjektu údajů. Tato opatření musí sama o sobě splňovat všechny zákonné požadavky a zabránit uživatelům internetu v členských státech v tom, aby měli přístup k dotčeným odkazům na základě zadání jména subjektu údajů do vyhledávače, nebo jim to alespoň velmi ztížit (obdobně viz rozsudky ze dne 27. března 2014, UPC Telekabel Wien,
C‑314/12
,
EU:C:2014:192
, bod
, a ze dne 15. září 2016, Mc Fadden,
C‑484/14
,
EU:C:2016:689
, bod
).
Předkládajícímu soudu přísluší ověřit, zda vzhledem k nedávným změnám ve vyhledávači popsaným v bodě 42 tohoto rozsudku, společnost Google přijala či navrhla opatření, která tyto požadavky splňují.
Konečně je třeba zdůraznit, jak bylo uvedeno v bodě 64 tohoto rozsudku, že unijní právo sice za současného stavu neukládá povinnost, aby v rámci vyhovění žádosti byly odkazy odstraněny ze všech mutací dotčeného vyhledávače, ale ani to nezakazuje. Dozorový úřad či soud členského státu proto má pravomoc poměřit právo subjektu údajů na respektování soukromého života a na ochranu jeho osobních údajů na straně jedné s právem na informace na straně druhé z pohledu vnitrostátního standardu pro ochranu základních práv (v tomto smyslu viz rozsudky ze dne 26. února 2013, Åkerberg Fransson,
C‑617/10
,
EU:C:2013:105
, bod
, a ze dne 26. února 2013, Melloni,
C‑399/11
,
EU:C:2013:107
, bod
), a v návaznosti na to případně provozovateli tohoto vyhledávače uložit povinnost, aby odkazy odstranil ze všech mutací uvedeného vyhledávače.
Vzhledem k výše uvedenému je třeba na položené otázky odpovědět tak, že čl. 12 písm. b) a čl. 14 první pododstavec písm. a) směrnice 95/46, jakož i čl. 17 odst. 1 nařízení 2016/679 musí být vykládány v tom smyslu, že pokud provozovatel vyhledávače vyhoví žádosti o odstranění odkazů podle těchto ustanovení, není povinen odkazy odstranit ze všech mutací svého vyhledávače, nýbrž pouze z mutací vyhledávače pro všechny členské státy, a v případě potřeby přijmout zároveň opatření, kterými účinným způsobem zabrání uživatelům internetu vyhledávajícím jméno subjektu údajů v jednom z členských států, aby měli prostřednictvím seznamu výsledků vyhledávání přístup k odkazům, jež byly předmětem této žádosti o výmaz, nebo jim toto alespoň velmi ztíží.
K nákladům řízení
Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.

Z těchto důvodů Soudní dvůr (velký senát) rozhodl takto:

Článek 12 písm. b) a čl. 14 první pododstavec písm. a) směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů, jakož i čl. 17 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) musí být vykládány v tom smyslu, že pokud provozovatel vyhledávače vyhoví žádosti o odstranění odkazů podle těchto ustanovení, není povinen odkazy odstranit ze všech mutací svého vyhledávače, nýbrž pouze z mutací vyhledávače pro všechny členské státy, a v případě potřeby přijmout zároveň opatření, kterými účinným způsobem zabrání uživatelům internetu vyhledávajícím jméno subjektu údajů v jednom z členských států, aby měli prostřednictvím seznamu výsledků vyhledávání přístup k odkazům, jež byly předmětem této žádosti o výmaz, nebo jim toto alespoň velmi ztíží.

Podpisy.
(
*1
) – Jednací jazyk: francouzština.