CELEX: 62017CJ0507
Prejudiciële verwijzing
Persoonsgegevens
Bescherming van natuurlijke personen in verband met de verwerking van die gegevens
Richtlijn 95/46/EG
Verordening (EU) 2016/679
Zoekmachines op het internet
Verwerking van gegevens die worden vermeld op webpagina’s
Territoriale werkingssfeer van het recht op verwijdering van links

Het verzoek om een prejudiciële beslissing betreft de uitlegging van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (
PB 1995, L 281, blz. 31
).
Dit verzoek is ingediend in het kader van een geding tussen Google LLC, rechtsopvolger van Google Inc., en de Commission nationale de l’informatique et des libertés (nationale commissie voor informatica en vrijheden, Frankrijk; hierna: „CNIL”) over een geldboete van 100000 EUR die de CNIL aan Google heeft opgelegd omdat deze vennootschap, bij het inwilligen van een verzoek tot verwijdering van links, weigert tot deze verwijdering over te gaan voor alle domeinnaamextensies van haar zoekmachine.
Toepasselijke bepalingen
Unierecht
Richtlijn 95/46
Richtlijn 95/46 heeft volgens artikel 1, lid 1, ervan tot doel de fundamentele rechten en vrijheden te beschermen die aan natuurlijke personen toekomen in verband met de verwerking van persoonsgegevens, in het bijzonder het recht op persoonlijke levenssfeer, alsook de belemmeringen voor het vrije verkeer van persoonsgegevens op te heffen.
De overwegingen 2, 7, 10, 18, 20 en 37 van deze richtlijn luiden:
„(2)
Overwegende dat de systemen voor de verwerking van gegevens ten dienste van de mens staan; dat zij de fundamentele rechten en vrijheden en inzonderheid de persoonlijke levenssfeer van natuurlijke personen, ongeacht hun nationaliteit of verblijfplaats, moeten eerbiedigen en tot […] het welzijn van de individuen moeten bijdragen;
[…]
(7)
Overwegende dat verschillen in de mate waarin de bescherming van de rechten en vrijheden van personen, inzonderheid van de persoonlijke levenssfeer, op het stuk van de verwerking van persoonsgegevens in de lidstaten is gewaarborgd, het doorzenden van die gegevens van het grondgebied van de ene lidstaat naar dat van een andere kunnen beletten; dat deze verschillen bijgevolg een belemmering kunnen vormen voor de uitoefening van een reeks economische activiteiten op communautaire schaal […];
[…]
(10)
Overwegende dat met de nationale wetgevingen betreffende de verwerking van persoonsgegevens de eerbiediging moet worden gewaarborgd van de fundamentele rechten en vrijheden, en met name van het recht op bescherming van de persoonlijke levenssfeer, dat tevens in artikel 8 van het [op 4 november 1950 te Rome ondertekende] Europese Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden en in de algemene beginselen van het Gemeenschapsrecht is erkend; dat derhalve de onderlinge aanpassing van deze wetgevingen niet tot een verzwakking van de aldus geboden bescherming mag leiden, maar juist erop gericht moet zijn een hoog beschermingsniveau in de Gemeenschap te waarborgen;
[…]
(18)
Overwegende dat om te voorkomen dat een persoon wordt uitgesloten van de bescherming waarop hij krachtens deze richtlijn recht heeft, alle verwerkingen van persoonsgegevens in de Gemeenschap moeten worden uitgevoerd overeenkomstig de wetgeving van een van de lidstaten […];
[…]
(20)
Overwegende dat de vestiging in een derde land van de voor de verwerking verantwoordelijke de bescherming van personen waarin de onderhavige richtlijn voorziet, niet in de weg mag staan; dat in dit geval de verwerking moet worden geregeld door het recht van de lidstaat waarin de gebruikte middelen zich bevinden, en dat gewaarborgd moet worden dat de rechten en verplichtingen waarin de onderhavige richtlijn voorziet, in de praktijk worden geëerbiedigd;
[…]
(37)
Overwegende dat voor de verwerking van persoonsgegevens voor journalistieke, artistieke of literaire, en met name audiovisuele, doeleinden moet worden voorzien in uitzonderingen op of beperkingen van bepalingen van deze richtlijn, voor zover deze noodzakelijk zijn om de fundamentele rechten van de persoon te verzoenen met de vrijheid van meningsuiting, inzonderheid de vrijheid om inlichtingen te ontvangen of te verstrekken, zoals die met name bij artikel 10 van het Europese Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden wordt gewaarborgd; dat het derhalve de taak van de lidstaten is om in het kader van de afweging tussen fundamentele rechten de noodzakelijke uitzonderingen en beperkingen vast te stellen ten aanzien van de algemene maatregelen inzake de rechtmatigheid van de gegevensverwerking […]”.
In artikel 2 van richtlijn 95/46 is bepaald:
„In de zin van deze richtlijn wordt verstaan onder:
a)
,persoonsgegevens’, iedere informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon, hierna ,betrokkene’ te noemen […];
b)
,verwerking van persoonsgegevens’, hierna ,verwerking’ te noemen, elke bewerking of elk geheel van bewerkingen met betrekking tot persoonsgegevens, al dan niet uitgevoerd met behulp van geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op enigerlei andere wijze ter beschikking stellen, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens;
[…]
d)
,voor de verwerking verantwoordelijke’‚ de natuurlijke of rechtspersoon, de overheidsinstantie, de dienst of enig ander lichaam die, respectievelijk dat, alleen of tezamen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt […];
[…]”
Artikel 4 van deze richtlijn, met als opschrift „Toepasselijk nationaal recht”, bepaalt:
„1.   Elke lidstaat past zijn nationale, ter uitvoering van deze richtlijn vastgestelde bepalingen toe op de verwerking van persoonsgegevens indien:
a)
die wordt verricht in het kader van de activiteiten van een vestiging op het grondgebied van de lidstaat van de voor de verwerking verantwoordelijke; wanneer dezelfde verantwoordelijke een vestiging heeft op het grondgebied van verscheidene lidstaten, dient hij de nodige maatregelen te treffen om ervoor te zorgen dat elk van die vestigingen voldoet aan de verplichtingen die worden opgelegd door de toepasselijke nationale wetgeving;
b)
de voor de verwerking verantwoordelijke niet gevestigd is op het grondgebied van de lidstaat, maar in een plaats waar de nationale wet uit hoofde van het internationale publiekrecht van toepassing is;
c)
de voor de verwerking verantwoordelijke persoon niet gevestigd is op het grondgebied van de Gemeenschap en voor de verwerking van persoonsgegevens gebruikmaakt van al dan niet geautomatiseerde middelen die zich op het grondgebied van genoemde lidstaat bevinden, behalve indien deze middelen op het grondgebied van de Europese Gemeenschap slechts voor doorvoer worden gebruikt.
2.   In de in lid 1, onder c), bedoelde omstandigheden moet de voor de verwerking verantwoordelijke een op het grondgebied van de betrokken lidstaat gevestigde vertegenwoordiger aanwijzen, onverminderd rechtsvorderingen die tegen de voor de verwerking verantwoordelijke zelf kunnen worden ingesteld.”
Artikel 9 van richtlijn 95/46, met als opschrift „Verwerking van persoonsgegevens en vrijheid van meningsuiting”, luidt:
„De lidstaten voorzien voor de verwerking van persoonsgegevens voor uitsluitend journalistieke of voor artistieke of literaire doeleinden in uitzonderingen op en afwijkingen van de bepalingen van dit hoofdstuk en van de hoofdstukken IV en VI uitsluitend voor zover deze nodig blijken om het recht op persoonlijke levenssfeer te verzoenen met de regels betreffende de vrijheid van meningsuiting.”
In artikel 12 van deze richtlijn, met als opschrift „Recht van toegang”, staat te lezen:
„De lidstaten waarborgen elke betrokkene het recht van de voor de verwerking verantwoordelijke te verkrijgen:
[…]
b)
naargelang van het geval, de rectificatie, de uitwissing of de afscherming van de gegevens waarvan de verwerking niet overeenstemt met de bepalingen van deze richtlijn, met name op grond van het onvolledige of onjuiste karakter van de gegevens;
[…]”
Artikel 14 van die richtlijn, met als opschrift „Recht van verzet van de betrokkene”, bepaalt:
„De lidstaten kennen de betrokkene het recht toe:
a)
zich ten minste in de gevallen, bedoeld in artikel 7, onder e) en f), te allen tijde om zwaarwegende en gerechtvaardigde redenen die verband houden met zijn bijzondere situatie ertegen te verzetten dat hem betreffende gegevens het voorwerp van een verwerking vormen, behoudens andersluidende bepalingen in de nationale wetgeving. In geval van gerechtvaardigd verzet mag de door de voor de verwerking verantwoordelijke persoon verrichte verwerking niet langer op deze gegevens betrekking hebben;
[…]”
Artikel 24 van richtlijn 95/46, met als opschrift „Sancties”, luidt:
„De lidstaten nemen passende maatregelen om de onverkorte toepassing van de bepalingen van deze richtlijn te garanderen en stellen met name de sancties vast die gelden bij inbreuk op de ter uitvoering van deze richtlijn vastgestelde bepalingen.”
In artikel 28 van deze richtlijn, met als opschrift „Toezichthoudende autoriteit”, staat te lezen:
„1.   Elke lidstaat bepaalt dat een of meer autoriteiten worden belast met het toezicht op de toepassing op zijn grondgebied van de ter uitvoering van deze richtlijn door de lidstaten vastgestelde bepalingen. […]
[…]
3.   Elke toezichthoudende autoriteit beschikt met name over:
–
onderzoeksbevoegdheden, zoals het recht van toegang tot gegevens die het voorwerp vormen van een verwerking en het recht alle inlichtingen in te winnen die voor de uitoefening van haar toezichtstaak noodzakelijk zijn;
–
effectieve bevoegdheden om in te grijpen, zoals bijvoorbeeld […] de bevoegdheid om afscherming, uitwissing of vernietiging van gegevens te gelasten, dan wel een verwerking voorlopig of definitief te verbieden […];
[…]
Tegen beslissingen van de toezichthoudende autoriteit kan beroep bij de rechter worden aangetekend.
4.   Eenieder kan in eigen persoon of door middel van een vereniging die als zijn vertegenwoordiger optreedt bij elke toezichthoudende autoriteit een verzoek indienen met betrekking tot de bescherming van zijn rechten en vrijheden in verband met de verwerking van persoonsgegevens. Hij wordt van het gevolg dat daaraan wordt gegeven in kennis gesteld.
[…]
6.   Elke toezichthoudende autoriteit is bevoegd, ongeacht welk nationaal recht op de betrokken verwerking van toepassing is, op het grondgebied van haar eigen lidstaat de haar overeenkomstig lid 3 verleende bevoegdheden uit te oefenen. Elke autoriteit kan door een autoriteit van een andere lidstaat worden verzocht haar bevoegdheden uit te oefenen.
De toezichthoudende autoriteiten werken onderling samen voor zover zulks noodzakelijk is voor de uitvoering van hun taken, met name door de uitwisseling van alle nuttige inlichtingen.
[…]”
Verordening 2016/679
Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46 (algemene verordening gegevensbescherming) (
PB 2016, L 119, blz. 1
, met rectificatie in
PB 2018, L 127, blz. 2
), die is vastgesteld op de grondslag van artikel 16 VWEU, is krachtens artikel 99, lid 2, ervan sinds 25 mei 2018 van toepassing. Overeenkomstig artikel 94, lid 1, van deze verordening is richtlijn 95/46 met ingang van dezelfde datum ingetrokken.
In de overwegingen 1, 4, 9, 10, 11, 13, 22, 23, 24, 25 en 65 van deze verordening staat te lezen:
„(1)
De bescherming van natuurlijke personen bij de verwerking van persoonsgegevens is een grondrecht. Krachtens artikel 8, lid 1, van het Handvest van de grondrechten van de Europese Unie (het ,Handvest’) en artikel 16, lid 1, [VWEU] heeft eenieder recht op bescherming van zijn persoonsgegevens.
[…]
(4)
De verwerking van persoonsgegevens moet ten dienste van de mens staan. Het recht op bescherming van persoonsgegevens heeft geen absolute gelding, maar moet worden beschouwd in relatie tot de functie ervan in de samenleving en moet conform het evenredigheidsbeginsel tegen andere grondrechten worden afgewogen. Deze verordening eerbiedigt alle grondrechten alsook de vrijheden en beginselen die zijn erkend in het Handvest zoals dat in de Verdragen is verankerd, met name de eerbiediging van het privéleven en het familie- en gezinsleven, […] de bescherming van persoonsgegevens, de vrijheid van gedachte, geweten en godsdienst, de vrijheid van meningsuiting en van informatie [en] de vrijheid van ondernemerschap […].
[…]
(9)
[Richtlijn 95/46] heeft niet kunnen voorkomen dat gegevens in de Unie op gefragmenteerde wijze worden beschermd […]. De lidstaten bieden […] uiteenlopende niveaus van bescherming […], wat het vrije verkeer van persoonsgegevens binnen de Unie in de weg kan staan. Die verschillen kunnen dan ook een belemmering vormen voor de uitoefening van economische activiteiten op Unieniveau […]. […]
(10)
Teneinde natuurlijke personen een consistent en hoog beschermingsniveau te bieden en de belemmeringen voor het verkeer van persoonsgegevens binnen de Unie op te heffen, dient het niveau van bescherming van de rechten en vrijheden van natuurlijke personen op het vlak van verwerking van deze gegevens in alle lidstaten gelijkwaardig te zijn. […]
(11)
Doeltreffende bescherming van persoonsgegevens in de gehele Unie vereist de versterking en nadere omschrijving van de rechten van betrokkenen en van de verplichtingen van degenen die persoonsgegevens verwerken en van degenen die over die verwerking beslissen, alsmede gelijkwaardige bevoegdheden op het gebied van toezicht en handhaving van de regels inzake gegevensbescherming en vergelijkbare sancties voor overtredingen in de lidstaten.
[…]
(13)
Teneinde natuurlijke personen in de gehele Unie een consistent niveau van bescherming te bieden en te voorkomen dat verschillen het vrije verkeer van persoonsgegevens op de interne markt hinderen, is een verordening nodig om marktdeelnemers […] rechtszekerheid en transparantie te bieden, te voorzien in dezelfde wettelijk afdwingbare rechten voor natuurlijke personen in alle lidstaten en in verplichtingen en verantwoordelijkheden voor de verwerkingsverantwoordelijken en de verwerkers, te zorgen voor consistent toezicht op de verwerking van persoonsgegevens en voor vergelijkbare sancties in alle lidstaten, alsook voor doeltreffende samenwerking tussen de toezichthoudende autoriteiten van verschillende lidstaten. Voor de goede werking van de interne markt is het nodig dat het vrije verkeer van persoonsgegevens in de Unie niet wordt beperkt of verboden om redenen die verband houden met de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens. […]
[…]
(22)
De verwerking van persoonsgegevens in het kader van de activiteiten van een vestiging van een verwerkingsverantwoordelijke of een verwerker in de Unie dient overeenkomstig deze verordening te worden verricht, ongeacht of de eigenlijke verwerking in de Unie plaatsvindt. […]
(23)
Om te waarborgen dat natuurlijke personen niet de bescherming wordt onthouden waarop zij krachtens deze verordening recht hebben, dient deze verordening van toepassing te zijn op de verwerking van persoonsgegevens van betrokkenen die zich in de Unie bevinden, door een niet in de Unie gevestigde verwerkingsverantwoordelijke of verwerker wanneer de verwerking verband houdt met het aanbieden van goederen of diensten aan deze betrokkenen, ongeacht of dit verband houdt met een betaling. Om te bepalen of een dergelijke verwerkingsverantwoordelijke of verwerker goederen of diensten aan betrokkenen in de Unie aanbiedt, moet worden nagegaan of de verwerkingsverantwoordelijke of verwerker klaarblijkelijk voornemens is diensten aan te bieden aan betrokkenen in één of meer lidstaten in de Unie. […]
(24)
De verwerking van persoonsgegevens van betrokkenen in de Unie door een niet in de Unie gevestigde verwerkingsverantwoordelijke of verwerker moet ook onder deze verordening vallen wanneer dat verband houdt met het controleren van het gedrag van de betrokkenen voor zover zich dat binnen de Unie situeert. Om uit te maken of een verwerking kan worden beschouwd als controle van het gedrag van betrokkenen, dient te worden vastgesteld of natuurlijke personen op het internet worden gevolgd, en onder meer of in dat verband eventueel persoonsgegevensverwerkingstechnieken worden gebruikt waarbij een profiel wordt opgesteld van een natuurlijke persoon, in het bijzonder om besluiten ten aanzien van hem te nemen of om zijn persoonlijke voorkeuren, gedragingen en attitudes te analyseren of te voorspellen.
(25)
Wanneer uit hoofde van het internationale publiekrecht het lidstatelijke recht van toepassing is, dient deze verordening ook van toepassing te zijn op een verwerkingsverantwoordelijke die niet in de Unie is gevestigd, maar bijvoorbeeld bij een diplomatieke vertegenwoordiging of een consulaire post actief is.
[…]
(65)
Een betrokkene […] dient te beschikken over een ,recht op vergetelheid’ wanneer de bewaring van dergelijke gegevens inbreuk maakt op deze verordening […] of op Unierecht of het lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is. […] Het dient echter rechtmatig te zijn persoonsgegevens langer te bewaren wanneer dat noodzakelijk is voor de uitoefening van het recht op vrijheid van meningsuiting en van informatie […].”
Artikel 3 van verordening 2016/679, met als opschrift „Territoriaal toepassingsgebied”, luidt:
„1.   Deze verordening is van toepassing op de verwerking van persoonsgegevens in het kader van de activiteiten van een vestiging van een verwerkingsverantwoordelijke of een verwerker in de Unie, ongeacht of de verwerking in de Unie al dan niet plaatsvindt.
2.   Deze verordening is van toepassing op de verwerking van persoonsgegevens van betrokkenen die zich in de Unie bevinden, door een niet in de Unie gevestigde verwerkingsverantwoordelijke of verwerker, wanneer de verwerking verband houdt met:
a)
het aanbieden van goederen of diensten aan deze betrokkenen in de Unie, ongeacht of een betaling door de betrokkenen is vereist; of
b)
het monitoren van hun gedrag, voor zover dit gedrag in de Unie plaatsvindt.
3.   Deze verordening is van toepassing op de verwerking van persoonsgegevens door een verwerkingsverantwoordelijke die niet in de Unie is gevestigd, maar op een plaats waar krachtens het internationaal publiekrecht het lidstatelijke recht van toepassing is.”
In artikel 4, punt 23, van deze verordening wordt het begrip „grensoverschrijdende verwerking” als volgt gedefinieerd:
„a)
verwerking van persoonsgegevens in het kader van de activiteiten van vestigingen in meer dan één lidstaat van een verwerkingsverantwoordelijke of een verwerker in de Unie die in meer dan één lidstaat is gevestigd; of
b)
verwerking van persoonsgegevens in het kader van de activiteiten van één vestiging van een verwerkingsverantwoordelijke of van een verwerker in de Unie, waardoor in meer dan één lidstaat betrokkenen wezenlijke gevolgen ondervinden of waarschijnlijk zullen ondervinden”.
In artikel 17 van die verordening, met als opschrift „Recht op gegevenswissing (,recht op vergetelheid’)”, staat te lezen:
„1.   De betrokkene heeft het recht van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van hem betreffende persoonsgegevens te verkrijgen en de verwerkingsverantwoordelijke is verplicht persoonsgegevens zonder onredelijke vertraging te wissen wanneer een van de volgende gevallen van toepassing is:
a)
de persoonsgegevens zijn niet langer nodig voor de doeleinden waarvoor zij zijn verzameld of anderszins verwerkt;
b)
de betrokkene trekt de toestemming waarop de verwerking overeenkomstig artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), berust, in, en er is geen andere rechtsgrond voor de verwerking;
c)
de betrokkene maakt overeenkomstig artikel 21, lid 1, bezwaar tegen de verwerking, en er zijn geen prevalerende dwingende gerechtvaardigde gronden voor de verwerking, of de betrokkene maakt bezwaar tegen de verwerking overeenkomstig artikel 21, lid 2;
d)
de persoonsgegevens zijn onrechtmatig verwerkt;
e)
de persoonsgegevens moeten worden gewist om te voldoen aan een in het Unierecht of het lidstatelijke recht neergelegde wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
f)
de persoonsgegevens zijn verzameld in verband met een aanbod van diensten van de informatiemaatschappij als bedoeld in artikel 8, lid 1.
[…]
3.   De leden 1 en 2 zijn niet van toepassing voor zover verwerking nodig is:
a)
voor het uitoefenen van het recht op vrijheid van meningsuiting en informatie;
[…]”
Artikel 21 van diezelfde verordening, met als opschrift „Recht van bezwaar”, bepaalt in lid 1:
„De betrokkene heeft te allen tijde het recht om vanwege met zijn specifieke situatie verband houdende redenen bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens op basis van artikel 6, lid 1, onder e) of f), met inbegrip van profilering op basis van die bepalingen. De verwerkingsverantwoordelijke staakt de verwerking van de persoonsgegevens tenzij hij dwingende gerechtvaardigde gronden voor de verwerking aanvoert die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene of die verband houden met de instelling, uitoefening of onderbouwing van een rechtsvordering.”
Artikel 55 van verordening 2016/679, met als opschrift „Competentie”, maakt deel uit van hoofdstuk VI („Onafhankelijke toezichthoudende autoriteiten”) van deze verordening. In lid 1 van die bepaling staat te lezen:
„Elke toezichthoudende autoriteit heeft de competentie op het grondgebied van haar lidstaat de taken uit te voeren die haar overeenkomstig deze verordening zijn opgedragen en de bevoegdheden uit te oefenen die haar overeenkomstig deze verordening zijn toegekend.”
Artikel 56 van die verordening, met als opschrift „Competentie van de leidende toezichthoudende autoriteit”, luidt:
„1.   Onverminderd artikel 55 is de toezichthoudende autoriteit van de hoofdvestiging of de enige vestiging van de verwerkingsverantwoordelijke of verwerker competent op te treden als leidende toezichthoudende autoriteit voor de grensoverschrijdende verwerking door die verwerkingsverantwoordelijke of verwerker overeenkomstig de procedure van artikel 60.
2.   In afwijking van lid 1 is elke toezichthoudende autoriteit competent een bij haar ingediende klacht of een eventuele inbreuk op deze verordening te behandelen indien het onderwerp van die zaak alleen verband houdt met een vestiging in haar lidstaat of alleen voor betrokkenen in haar lidstaat wezenlijke gevolgen heeft.
3.   In de in lid 2 van dit artikel bedoelde gevallen stelt de toezichthoudende autoriteit de leidende toezichthoudende autoriteit onverwijld in kennis van de zaak. Binnen drie weken nadat zij in kennis is gesteld, besluit de leidende toezichthoudende autoriteit of zij de zaak al dan niet zal behandelen, overeenkomstig de in artikel 60 vastgelegde procedure; zij houdt daarbij rekening met het al dan niet bestaan van een vestiging van de verwerkingsverantwoordelijke of de verwerker in de lidstaat van de toezichthoudende autoriteit die haar in kennis heeft gesteld.
4.   Wanneer de leidende toezichthoudende autoriteit besluit de zaak te behandelen, is de procedure van artikel 60 van toepassing. De toezichthoudende autoriteit die de leidende toezichthoudende autoriteit in kennis heeft gesteld, kan bij deze laatste een ontwerpbesluit indienen. De leidende toezichthoudende autoriteit houdt zo veel mogelijk rekening met dat ontwerp wanneer zij het in artikel 60, lid 3, bedoelde ontwerpbesluit opstelt.
5.   Indien de leidende toezichthoudende autoriteit besluit de zaak niet te behandelen, wordt deze overeenkomstig de artikelen 61 en 62 behandeld door de toezichthoudende autoriteit die de leidende toezichthoudende autoriteit in kennis heeft gesteld.
6.   De leidende toezichthoudende autoriteit is voor de verwerkingsverantwoordelijke of de verwerker de enige gesprekspartner bij grensoverschrijdende verwerking door die verwerkingsverantwoordelijke of verwerker.”
Artikel 58 van diezelfde verordening, met als opschrift „Bevoegdheden”, bepaalt in lid 2:
„Elk toezichthoudende autoriteit heeft alle volgende bevoegdheden tot het nemen van corrigerende maatregelen:
[…]
g)
het […] wissen van persoonsgegevens […] uit hoofde van [artikel 17] gelasten […];
[…]
i)
naargelang de omstandigheden van elke zaak, naast of in plaats van de in dit lid bedoelde maatregelen, een administratieve geldboete opleggen […].”
Van hoofdstuk VII („Samenwerking en coherentie”) van verordening nr. 2016/679 maakt afdeling 1 deel uit, die als opschrift „Samenwerking” draagt en de artikelen 60 tot en met 62 van deze verordening omvat. In artikel 60, met als opschrift „Samenwerking tussen de leidende toezichthoudende autoriteit en de andere betrokken toezichthoudende autoriteiten”, staat te lezen:
„1.   De leidende toezichthoudende autoriteit werkt overeenkomstig dit artikel samen met de andere betrokken toezichthoudende autoriteiten teneinde tot een consensus proberen te komen. De leidende toezichthoudende autoriteit en de betrokken toezichthoudende autoriteiten wisselen alle relevante informatie met elkaar uit.
2.   De leidende toezichthoudende autoriteit kan te allen tijde andere betrokken toezichthoudende autoriteiten verzoeken wederzijdse bijstand overeenkomstig artikel 61 te verlenen, en kan gezamenlijke werkzaamheden ondernemen overeenkomstig artikel 62, in het bijzonder voor het uitvoeren van onderzoeken of voor het toezicht op de uitvoering van een maatregel betreffende een in een andere lidstaat gevestigde verwerkingsverantwoordelijke of verwerker.
3.   De leidende toezichthoudende autoriteit deelt onverwijld alle relevante informatie over de aangelegenheid mee aan de andere betrokken toezichthoudende autoriteiten. Zij legt de andere betrokken toezichthoudende autoriteiten onverwijld te hunner beoordeling een ontwerpbesluit voor en houdt naar behoren rekening met hun standpunten.
4.   Indien één van de andere betrokken toezichthoudende autoriteiten binnen een termijn van vier weken na te zijn geraadpleegd overeenkomstig lid 3 van dit artikel een relevant en gemotiveerd bezwaar tegen het ontwerpbesluit indient, onderwerpt de leidende toezichthoudende autoriteit, indien zij het relevante en gemotiveerde bezwaar afwijst of het niet relevant of niet gemotiveerd acht, de aangelegenheid aan het in artikel 63 bedoelde coherentiemechanisme.
5.   Indien de leidende toezichthoudende autoriteit voornemens is het ingediende relevante en gemotiveerde bezwaar te honoreren, legt zij de overige betrokken toezichthoudende autoriteiten te hunner beoordeling een herzien ontwerpbesluit voor. Dat herziene ontwerpbesluit wordt binnen een termijn van twee weken aan de in lid 4 bedoelde procedure onderworpen.
6.   Indien geen enkele andere betrokken toezichthoudende autoriteit binnen de in de leden 4 en 5 bedoelde termijn bezwaar heeft gemaakt tegen het door de leidende toezichthoudende autoriteit voorgelegde ontwerpbesluit, worden de leidende toezichthoudende autoriteit en de betrokken toezichthoudende autoriteiten geacht met dat ontwerpbesluit in te stemmen en zijn zij daaraan gebonden.
7.   De leidende toezichthoudende autoriteit stelt het besluit vast en deelt het mee aan de hoofdvestiging of de enige vestiging van de verwerkingsverantwoordelijke of de verwerker, naargelang het geval, en stelt de andere betrokken toezichthoudende autoriteiten, alsmede het Comité in kennis van het besluit in kwestie, voorzien van een samenvatting van de relevante feiten en gronden. De toezichthoudende autoriteit waarbij de klacht is ingediend, stelt de klager in kennis van het besluit.
8.   Ingeval een klacht is afgewezen of verworpen, stelt de toezichthoudende autoriteit waarbij de klacht is ingediend, in afwijking van lid 7, het besluit vast en deelt zij het mee aan de klager en stelt zij de verwerkingsverantwoordelijke ervan in kennis.
9.   Indien de leidende toezichthoudende autoriteit en de betrokken toezichthoudende autoriteiten het erover eens zijn delen van een klacht af te wijzen of te verwerpen en voor andere delen van die klacht op te treden, wordt voor elk van die laatstgenoemde delen een afzonderlijk besluit vastgesteld. […]
10.   De verwerkingsverantwoordelijke of de verwerker treft, na in kennis te zijn gesteld van het besluit van de leidende toezichthoudende autoriteit overeenkomstig de leden 7 en 9, de nodige maatregelen teneinde het besluit wat betreft de verwerkingsactiviteiten binnen al zijn vestigingen binnen de Unie te doen naleven. De verwerkingsverantwoordelijke of de verwerker deelt de door hem met het oog op de naleving van het besluit getroffen maatregelen mee aan de leidende toezichthoudende autoriteit, die de andere betrokken toezichthoudende autoriteiten ervan in kennis stelt.
11.   Indien, in buitengewone omstandigheden, een betrokken toezichthoudende autoriteit het met reden dringend noodzakelijk acht dat in het belang van bescherming van de belangen van betrokkenen wordt opgetreden, is de in artikel 66 bedoelde spoedprocedure van toepassing.
[…]”
Artikel 61 van die verordening, met als opschrift „Wederzijdse bijstand”, bepaalt in lid 1:
„De toezichthoudende autoriteiten verstrekken elkaar relevante informatie en wederzijdse bijstand om deze verordening op een consequente manier ten uitvoer te leggen en toe te passen, en nemen maatregelen om doeltreffend met elkaar samen te werken. De wederzijdse bijstand bestrijkt met name informatieverzoeken en toezichtsmaatregelen, zoals verzoeken om voorafgaande toestemming en raadplegingen, inspecties en onderzoeken.”
In artikel 62 van diezelfde verordening, met als opschrift „Gezamenlijke werkzaamheden van toezichthoudende autoriteiten”, staat te lezen:
„1.   In voorkomend geval voeren de toezichthoudende autoriteiten gezamenlijke werkzaamheden uit, waaronder gezamenlijke onderzoeken en gezamenlijke handhavingsmaatregelen, waarbij leden of personeelsleden van de toezichthoudende autoriteiten van andere lidstaten worden betrokken.
2.   Indien de verwerkingsverantwoordelijke of de verwerker vestigingen heeft in meerdere lidstaten, of indien een significant aantal betrokkenen in meer dan één lidstaat waarschijnlijk wezenlijke gevolgen ondervindt van de verwerkingsactiviteiten, heeft van elk van die lidstaten één toezichthoudende autoriteit het recht om aan de gezamenlijke werkzaamheden deel te nemen. […]”
Afdeling 2 („Coherentie”) van hoofdstuk VII van verordening 2016/679 omvat de artikelen 63 tot en met 67 van deze verordening. Artikel 63, met als opschrift „Coherentiemechanisme”, luidt:
„Teneinde bij te dragen aan de consequente toepassing van deze verordening in de gehele Unie werken de toezichthoudende autoriteiten met elkaar en waar passend samen met de Commissie in het kader van het in deze afdeling uiteengezette coherentiemechanisme.”
Artikel 65 van die verordening, met als opschrift „Geschillenbeslechting door het Comité”, bepaalt in lid 1:
„Om te zorgen voor de correcte en consequente toepassing van deze verordening in individuele gevallen, stelt het Comité een bindend besluit vast in de volgende gevallen:
a)
wanneer in een geval als bedoeld in artikel 60, lid 4, een betrokken toezichthoudende autoriteit een relevant en gemotiveerd bezwaar heeft ingediend tegen een ontwerpbesluit van de leidende toezichthoudende autoriteit en de leidende toezichthoudende autoriteit heeft het bezwaar niet gevolgd of heeft het bezwaar afgewezen als zijnde irrelevant of ongemotiveerd. Het bindend besluit heeft betrekking op alle aangelegenheden die onderwerp van het relevante en gemotiveerde bezwaar zijn, en met name op de vraag of inbreuk op de onderhavige verordening wordt gemaakt;
b)
wanneer er verschillend wordt geoordeeld over de vraag welke betrokken toezichthoudende autoriteit bevoegd is voor de hoofdvestiging;
[…]”
Artikel 66 van verordening 2016/679, met als opschrift „Spoedprocedure”, bepaalt in lid 1:
„In buitengewone omstandigheden kan een betrokken toezichthoudende autoriteit, wanneer zij van mening is dat er dringend moet worden opgetreden om de rechten en vrijheden van betrokkenen te beschermen, in afwijking van het in de artikelen 63, 64 en 65 bedoelde coherentiemechanisme of van de in artikel 60 bedoelde procedure, onverwijld voorlopige maatregelen met een bepaalde geldigheidsduur van ten hoogste drie maanden nemen die beogen rechtsgevolgen in het leven te roepen op het eigen grondgebied. De toezichthoudende autoriteit deelt die maatregelen met opgave van de redenen onverwijld mee aan de andere betrokken toezichthoudende autoriteiten, het Comité en de Commissie.”
In artikel 85 van deze verordening, met als opschrift „Verwerking en vrijheid van meningsuiting en van informatie”, staat te lezen:
„1.   De lidstaten brengen het recht op bescherming van persoonsgegevens overeenkomstig deze verordening wettelijk in overeenstemming met het recht op vrijheid van meningsuiting en van informatie, daaronder begrepen de verwerking voor journalistieke doeleinden en ten behoeve van academische, artistieke of literaire uitdrukkingsvormen.
2.   Voor verwerking voor journalistieke doeleinden of ten behoeve van academische, artistieke of literaire uitdrukkingsvormen stellen de lidstaten uitzonderingen of afwijkingen vast van hoofdstuk II (beginselen), hoofdstuk III (rechten van de betrokkene), hoofdstuk IV (de verwerkingsverantwoordelijke en de verwerker), hoofdstuk V (doorgifte van persoonsgegevens naar derde landen of internationale organisaties), hoofdstuk VI (onafhankelijke toezichthoudende autoriteiten), hoofdstuk VII (samenwerking en coherentie) en hoofdstuk IX (specifieke gegevensverwerkingssituaties) indien deze noodzakelijk zijn om het recht op bescherming van persoonsgegevens in overeenstemming te brengen met de vrijheid van meningsuiting en van informatie.
[…]”
Frans recht
Richtlijn 95/46 is in Frans recht omgezet bij loi n
o
78‑17 relative à l’informatique, aux fichiers et aux libertés (wet nr. 78‑17 betreffende informatica, bestanden en vrijheden) van 6 januari 1978, in de versie die van toepassing is op de feiten van het hoofdgeding (hierna: „wet van 6 januari 1978”).
In artikel 45 van deze wet is gepreciseerd dat wanneer de verwerkingsverantwoordelijke de uit die wet voortvloeiende verplichtingen niet nakomt, hij door de voorzitter van de CNIL kan worden aangemaand om binnen een door deze laatste gestelde termijn een einde te maken aan de geconstateerde niet-nakoming. Indien de verwerkingsverantwoordelijke geen gevolg geeft aan de tot hem gerichte aanmaning, kan de CNIL in beperkte samenstelling, na een procedure op tegenspraak, onder meer een geldboete opleggen.
Hoofdgeding en prejudiciële vragen
Bij besluit van 21 mei 2015 heeft de voorzitter van de CNIL Google aangemaand om bij het inwilligen van een verzoek van een natuurlijke persoon tot verwijdering van links naar webpagina’s uit de resultatenlijst die wordt weergegeven na een zoekopdracht op de naam van die persoon, tot deze verwijdering over te gaan voor alle domeinnaamextensies van haar zoekmachine.
Google heeft geweigerd aan deze aanmaning gevolg te geven en heeft de links in kwestie enkel verwijderd uit de zoekresultaten die worden weergegeven na zoekopdrachten die worden uitgevoerd vanaf domeinnamen die overeenkomen met de versies van haar zoekmachine in de lidstaten.
Bovendien was het aanvullende voorstel voor zogenoemde geoblocking, dat Google had gedaan na het verstrijken van de in de aanmaning gestelde termijn, volgens de CNIL ontoereikend. Dit voorstel hield in dat het onmogelijk zou worden gemaakt om vanaf een IP-adres (
internetprotocol
-adres) dat wordt geacht gelokaliseerd te zijn in de staat waar de betrokkene verblijft, toegang te verkrijgen tot de litigieuze resultaten na een op de naam van de betrokkene uitgevoerde zoekopdracht, ongeacht de door de internetgebruiker gebruikte versie van de zoekmachine.
Nadat de CNIL had vastgesteld dat Google had nagelaten binnen de gestelde termijn gevolg te geven aan bovengenoemde aanmaning, heeft zij die vennootschap bij besluit van 10 maart 2016 een – openbaar gemaakte – geldboete van 100000 EUR opgelegd.
Bij verzoekschrift, ingediend bij de Conseil d’État (hoogste bestuursrechter, Frankrijk), heeft Google verzocht om nietigverklaring van dat besluit.
De Conseil d’État stelt vast dat de verwerking van persoonsgegevens door de zoekmachine van Google binnen de werkingssfeer van de wet van 6 januari 1978 valt, gelet op de activiteiten die Google France – een dochteronderneming van Google – in Frankrijk verricht op het gebied van promotie en verkoop van advertentieruimte.
Daarnaast merkt de Conseil d’État op dat de door Google geëxploiteerde zoekmachine door middel van geografische extensies onder verschillende domeinnamen wordt aangeboden, teneinde de weergegeven resultaten aan te passen aan de – met name taalkundige – specificiteiten van de verschillende staten waarin die vennootschap haar activiteiten verricht. Wanneer een zoekopdracht wordt uitgevoerd via „google.com”, stuurt Google deze zoekopdracht in beginsel automatisch door naar de domeinnaam die overeenkomt met de staat waarvan op basis van de identificatie van het IP-adres van de internetgebruiker kan worden aangenomen dat die zoekopdracht vanaf daar is uitgevoerd. Ongeacht waar de internetgebruiker zich bevindt, behoudt hij echter de mogelijkheid om voor zijn zoekopdrachten gebruik te maken van de andere domeinnamen van de zoekmachine. Bovendien kunnen de resultaten weliswaar verschillen naargelang van de domeinnaam vanaf welke de betreffende zoekopdracht in de zoekmachine wordt uitgevoerd, maar staat het vast dat de na een zoekopdracht weergegeven links afkomstig zijn van gemeenschappelijke gegevensbanken en het resultaat zijn van gemeenschappelijke indexeringshandelingen.
De Conseil d’État is van oordeel dat de zoekmachine van Google – waarvoor bij de CNIL trouwens slechts één aanmelding is gedaan – voor de toepassing van de wet van 6 januari 1978 moet worden geacht één enkele verwerking van persoonsgegevens uit te voeren, aangezien tot alle domeinnamen van die zoekmachine toegang kan worden verkregen vanaf het Franse grondgebied en dat er tussen deze verschillende domeinnamen verbindingen bestaan, wat met name wordt geïllustreerd door het feit dat zoekopdrachten automatisch worden doorgestuurd en door het feit dat er aanwijzingen voorhanden zijn voor het bestaan van die verbindingen, te weten cookies die zich bevinden op andere extensies van de zoekmachine dan die waarop zij aanvankelijk zijn geplaatst. Hieruit volgt dat de verwerking van persoonsgegevens door de zoekmachine die Google exploiteert, plaatsvindt in een van haar dochterondernemingen, te weten Google France, die is gevestigd op het Franse grondgebied, zodat deze verwerking onderworpen is aan de wet van 6 januari 1978.
Voor de Conseil d’État voert Google aan dat de litigieuze sanctie berust op een onjuiste uitlegging van de bepalingen van de wet van 6 januari 1978, waarbij artikel 12, onder b), en artikel 14, eerste alinea, onder a), van richtlijn 95/46 zijn omgezet. Op grond van deze richtlijnbepalingen heeft het Hof in zijn arrest van 13 mei 2014, Google Spain en Google (
C‑131/12
,
EU:C:2014:317
), een „recht op verwijdering van links” erkend. Google stelt dat dit recht niet noodzakelijkerwijs impliceert dat de litigieuze links zonder geografische beperking moeten worden verwijderd op alle domeinnamen van haar zoekmachine. Doordat de CNIL voor een dergelijke uitlegging heeft gekozen, is zij bovendien voorbijgegaan aan de in het internationaal publiekrecht erkende beginselen van hoffelijkheid en niet-inmenging, en heeft zij op onevenredige wijze inbreuk gemaakt op de vrijheid van meningsuiting, de vrijheid van informatie en de persvrijheid, die met name worden gewaarborgd door artikel 11 van het Handvest.
Omdat de Conseil d’État heeft vastgesteld dat dit betoog leidt tot verschillende ernstige moeilijkheden met betrekking tot de uitlegging van richtlijn 95/46, heeft deze rechterlijke instantie de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:
„1)
Moet het ,recht op verwijdering van links’, zoals dat door het [Hof] in zijn arrest van 13 mei 2014[, Google Spain en Google (
C‑131/12
,
EU:C:2014:317
),] is erkend op grond van de bepalingen van artikel 12, onder b), en artikel 14, [eerste alinea,] onder a), van richtlijn [95/46], aldus worden uitgelegd dat de exploitant van een zoekmachine, wanneer hij een verzoek tot verwijdering van links inwilligt, gehouden is deze verwijdering toe te passen op alle domeinnamen van zijn zoekmachine, zodat de litigieuze links niet meer verschijnen, ongeacht de plaats waarvandaan de zoekopdracht op de naam van de verzoeker wordt gegeven, ook als dat buiten de territoriale werkingssfeer van richtlijn [95/46] is?
2)
Indien deze eerste vraag ontkennend wordt beantwoord, moet het ,recht op verwijdering van links’, zoals dat door het [Hof] in zijn voornoemde arrest is erkend, aldus worden uitgelegd dat de exploitant van een zoekmachine, wanneer hij een verzoek tot verwijdering van links inwilligt, alleen gehouden is de litigieuze links te verwijderen uit de resultaten die worden weergegeven na een zoekopdracht op de naam van de verzoeker op de domeinnaam die overeenkomt met de staat waarvandaan de zoekopdracht wordt geacht te zijn gegeven, dan wel, ruimer, op de domeinnamen van de zoekmachine die overeenkomen met de nationale extensies van deze zoekmachine voor alle lidstaten […]?
3)
Moet voorts, naast de in [de tweede vraag] genoemde verplichting, het ,recht op verwijdering van links’, zoals dat door het [Hof] in zijn voornoemde arrest is erkend, aldus worden uitgelegd dat de exploitant van een zoekmachine, wanneer hij een verzoek tot verwijdering van links inwilligt, gehouden is om, via de techniek van zogeheten geoblocking, de litigieuze resultaten te verwijderen van zoekopdrachten die op de naam van de betrokkene worden uitgevoerd vanaf een IP-adres dat wordt geacht gelokaliseerd te zijn in de verblijfstaat van de persoon die het ,recht op verwijdering van links’ geniet, of zelfs, algemener, vanaf een IP-adres dat wordt geacht gelokaliseerd te zijn in een van de aan richtlijn [95/46] onderworpen lidstaten, ongeacht de door de internetgebruiker die de zoekopdracht geeft gebruikte domeinnaam?
Beantwoording van de prejudiciële vragen
Het hoofdgeding vindt zijn oorsprong in een geschil tussen Google en de CNIL over de vraag op welke wijze de exploitant van een zoekmachine uitvoering dient te geven aan het recht op verwijdering van links, wanneer hij constateert dat de betrokkene er recht op heeft dat een of meerdere links naar webpagina’s met daarop zijn persoonsgegevens worden verwijderd uit de resultatenlijst die wordt weergegeven na een op zijn naam uitgevoerde zoekopdracht. Op de datum van indiening van het verzoek om een prejudiciële beslissing was weliswaar richtlijn 95/46 van toepassing, maar deze richtlijn is ingetrokken met ingang van 25 mei 2018, de datum waarop verordening 2016/679 van toepassing werd.
Het Hof zal de prejudiciële vragen uit het oogpunt van zowel die richtlijn als die verordening onderzoeken om zich ervan te vergewissen dat zijn antwoorden in elk geval van nut zullen zijn voor de verwijzende rechter.
Tijdens de procedure bij het Hof heeft Google uiteengezet dat zij de nationale versies van haar zoekmachine na de indiening van het verzoek om een prejudiciële beslissing op een andere manier is gaan weergeven, waarbij de nationale versie van de zoekmachine waartoe de internetgebruiker toegang heeft, niet langer wordt bepaald door de domeinnaam die deze gebruiker heeft ingevoerd. Zo wordt de internetgebruiker voortaan automatisch geleid naar de nationale versie van de zoekmachine van Google die overeenkomt met de plaats vanwaaruit die gebruiker wordt geacht de zoekopdracht uit te voeren, en worden de zoekresultaten weergegeven op basis van deze plaats, die door Google wordt bepaald aan de hand van geolocatie.
De prejudiciële vragen, die gezamenlijk dienen te worden behandeld, moeten dan ook aldus worden opgevat dat de verwijzende rechter daarmee in wezen wenst te vernemen of artikel 12, onder b), en artikel 14, eerste alinea, onder a), van richtlijn 95/46 alsook artikel 17, lid 1, van verordening 2016/679 aldus moeten worden uitgelegd dat de exploitant van een zoekmachine die overeenkomstig deze bepalingen een verzoek tot verwijdering van links inwilligt, gehouden is deze links te verwijderen voor alle versies van zijn zoekmachine, dan wel – integendeel – daartoe enkel gehouden is voor alle lidstaatspecifieke versies van zijn zoekmachine of zelfs enkel voor de versie die specifiek is voor de lidstaat waar het verzoek tot verwijdering van links is ingediend, in voorkomend geval in combinatie met de toepassing van de techniek van „geoblocking” teneinde ervoor te zorgen dat een internetgebruiker – ongeacht welke nationale versie van de zoekmachine hij gebruikt – geen toegang heeft tot de te verwijderen links na een zoekopdracht die wordt uitgevoerd vanaf een IP-adres dat wordt geacht gelokaliseerd te zijn in de lidstaat waar degene verblijft aan wie het recht op verwijdering van links toekomt, of – ruimer – in een lidstaat in het algemeen.
Om te beginnen zij eraan herinnerd dat het Hof heeft geoordeeld dat artikel 12, onder b), en artikel 14, eerste alinea, onder a), van richtlijn 95/46 aldus moeten worden uitgelegd dat, met het oog op de eerbiediging van de bij deze bepalingen toegekende rechten en voor zover daadwerkelijk is voldaan aan de in die bepalingen gestelde voorwaarden, de exploitant van een zoekmachine verplicht is om de links naar door derden gepubliceerde webpagina’s met daarop informatie over een bepaalde persoon te verwijderen uit de resultatenlijst die wordt weergegeven na een op de naam van die persoon uitgevoerde zoekopdracht, ook indien die naam of die informatie niet vooraf of gelijktijdig van die webpagina’s is of wordt gewist, en in voorkomend geval zelfs wanneer de publicatie van die naam of van die informatie op die webpagina’s op zich rechtmatig is (arrest van 13 mei 2014, Google Spain en Google,
C‑131/12
,
EU:C:2014:317
, punt
).
Daarnaast heeft het Hof gepreciseerd dat bij de beoordeling van de voorwaarden voor de toepassing van diezelfde bepalingen met name moet worden onderzocht of de betrokkene er recht op heeft dat de aan de orde zijnde informatie over hem thans niet meer met zijn naam wordt verbonden via een resultatenlijst die wordt weergegeven na een op zijn naam uitgevoerde zoekopdracht, zonder dat de vaststelling van het bestaan van een dergelijk recht evenwel onderstelt dat de betrokkene schade lijdt doordat de informatie in kwestie wordt opgenomen in deze resultatenlijst. Aangezien de betrokkene krachtens zijn door de artikelen 7 en 8 van het Handvest gewaarborgde grondrechten kan verlangen dat de informatie in kwestie niet meer ter beschikking van het grote publiek wordt gesteld doordat zij in een dergelijke resultatenlijst wordt opgenomen, hebben die rechten in beginsel niet alleen voorrang op het economische belang van de exploitant van de zoekmachine, maar ook op het belang van het grote publiek om toegang tot die informatie te krijgen bij een op de naam van de betrokkene uitgevoerde zoekopdracht. Dit zou echter niet het geval zijn indien de inmenging in de grondrechten van de betrokkene – om bijzondere redenen, zoals de rol die hij in het openbare leven speelt – zou worden gerechtvaardigd door het overwegende belang dat het publiek erbij heeft om toegang te krijgen tot de informatie in kwestie doordat deze wordt opgenomen in een resultatenlijst als hierboven bedoeld (arrest van 13 mei 2014, Google Spain en Google,
C‑131/12
,
EU:C:2014:317
, punt
).
Thans vindt het voormelde recht op verwijdering van links dat aan de betrokken persoon toekomt zijn grondslag in artikel 17 van verordening 2016/679. Dit artikel regelt specifiek het „recht op gegevenswissing”, dat in het opschrift van dat artikel ook „recht op vergetelheid” wordt genoemd.
Krachtens artikel 17, lid 1, van verordening 2016/679 heeft de betrokkene het recht om van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van hem betreffende persoonsgegevens te verkrijgen en is de verwerkingsverantwoordelijke verplicht deze gegevens zonder onredelijke vertraging te wissen wanneer een van de in die bepaling vermelde gevallen van toepassing is. In artikel 17, lid 3, van verordening 2016/679 is gepreciseerd dat artikel 17, lid 1, niet van toepassing is voor zover de verwerking in kwestie nodig is om een van de in artikel 17, lid 3, vermelde redenen. Volgens artikel 17, lid 3, onder a), van die verordening strekken deze redenen zich mede uit tot de uitoefening van het recht van de internetgebruikers op onder meer vrijheid van informatie.
Uit artikel 4, lid 1, onder a), van richtlijn 95/46 en artikel 3, lid 1, van verordening 2016/679 volgt dat zowel deze richtlijn als deze verordening de betrokken personen de mogelijkheid biedt om hun recht op verwijdering van links uit te oefenen ten aanzien van de exploitant van een zoekmachine die hen betreffende persoonsgegevens verwerkt in het kader van de activiteiten van een of meerdere vestigingen die hij heeft op het grondgebied van de Unie, ongeacht of deze verwerking in de Unie plaatsvindt.
In dit verband heeft het Hof geoordeeld dat er sprake is van een verwerking van persoonsgegevens in het kader van de activiteiten van een vestiging van de voor de verwerking verantwoordelijke op het grondgebied van een lidstaat wanneer de exploitant van een zoekmachine ten behoeve van de promotie en verkoop van via deze zoekmachine aangeboden advertentieruimte een bijkantoor of dochteronderneming in een lidstaat opricht waarvan de activiteiten gericht zijn op de inwoners van die lidstaat (arrest van 13 mei 2014, Google Spain en Google,
C‑131/12
,
EU:C:2014:317
, punt
).
In dergelijke omstandigheden zijn de activiteiten van de exploitant van de zoekmachine en die van zijn vestiging in de Unie immers onlosmakelijk met elkaar verbonden, gelet op het feit dat de activiteiten met betrekking tot de advertentieruimte het middel vormen om de zoekmachine in kwestie economisch rendabel te maken en deze zoekmachine tegelijkertijd het middel is waardoor deze activiteiten kunnen worden verricht, aangezien de weergave van de resultatenlijst gepaard gaat met de weergave, op dezelfde webpagina, van de met de zoektermen verbonden advertenties (zie in die zin arrest van 13 mei 2014, Google Spain en Google,
C‑131/12
,
EU:C:2014:317
, punten
en
).
Dat de zoekmachine in kwestie wordt geëxploiteerd door een onderneming uit een derde staat, kan dan ook niet tot gevolg hebben dat de verwerking van persoonsgegevens die ten behoeve van de werking van die zoekmachine plaatsvindt in verband met de reclame- en handelsactiviteiten van een vestiging van de voor die verwerking verantwoordelijke op het grondgebied van een lidstaat, vrijgesteld is van de verplichtingen en waarborgen van richtlijn 95/46 en verordening 2016/679 (zie in die zin arrest van 13 mei 2014, Google Spain en Google,
C‑131/12
,
EU:C:2014:317
, punten
).
In casu blijkt uit de in de verwijzingsbeslissing verstrekte gegevens dat de vestiging van Google op het Franse grondgebied activiteiten, waaronder handels- en reclameactiviteiten, verricht die onlosmakelijk verbonden zijn met de verwerking van persoonsgegevens ten behoeve van de werking van de zoekmachine in kwestie, alsook dat deze zoekmachine – gelet op onder meer het bestaan van verbindingen tussen de verschillende nationale versies ervan – moet worden geacht één enkele verwerking van persoonsgegevens te verrichten. De verwijzende rechter is van oordeel dat die verwerking in deze omstandigheden plaatsvindt in de vestiging van Google op het Franse grondgebied. Een dergelijke situatie valt dus kennelijk binnen de territoriale werkingssfeer van richtlijn 95/46 en verordening 2016/679.
De verwijzende rechter stelt zijn vragen met het oog op de bepaling van de territoriale reikwijdte die in een dergelijke situatie moet worden toegekend aan de verwijdering van links.
In dit verband blijkt uit overweging 10 van richtlijn 95/46 en uit de overwegingen 10, 11 en 13 van verordening 2016/679, die is vastgesteld op de grondslag van artikel 16 VWEU, dat deze richtlijn en deze verordening tot doel hebben in de gehele Unie een hoog niveau van bescherming van persoonsgegevens te waarborgen.
Het staat buiten kijf dat de verwijdering van links voor alle versies van een zoekmachine ten volle aan dat doel beantwoordt.
Het internet is immers een wereldwijd netwerk zonder grenzen, en zoekmachines zorgen ervoor dat de informatie en de links in de resultatenlijst die wordt weergegeven na een op de naam van een natuurlijke persoon uitgevoerde zoekopdracht, overal beschikbaar is (zie in die zin arresten van 13 mei 2014, Google Spain en Google,
C‑131/12
,
EU:C:2014:317
, punt
, en 17 oktober 2017, Bolagsupplysningen en Ilsjan,
C‑194/16
,
EU:C:2017:766
, punt
).
In een geglobaliseerde wereld kan de toegang van internetgebruikers – met name die welke zich buiten de Unie bevinden – tot de geïndexeerde link die verwijst naar informatie over een persoon wiens centrum van belangen zich in de Unie bevindt, onmiddellijke en aanzienlijke gevolgen hebben binnen de Unie zelf.
Op grond van dergelijke overwegingen kan worden gerechtvaardigd dat de Uniewetgever bevoegd is aan de exploitant van een zoekmachine de verplichting op te leggen om, bij de inwilliging van een door die persoon ingediend verzoek tot verwijdering van links, tot deze verwijdering over te gaan voor alle versies van zijn zoekmachine.
Niettemin moet worden benadrukt dat tal van derde staten het recht op verwijdering van links niet kennen of met betrekking tot dit recht een andere benadering volgen.
Voorts heeft het recht op bescherming van persoonsgegevens geen absolute gelding, maar moet het worden beschouwd in relatie tot zijn functie in de samenleving en overeenkomstig het evenredigheidsbeginsel worden afgewogen tegen andere grondrechten [zie in die zin arrest van 9 november 2010, Volker und Markus Schecke en Eifert,
C‑92/09 en C‑93/09
,
EU:C:2010:662
, punt
, en advies 1/15 (PNR-overeenkomst EU-Canada), van 26 juli 2017,
EU:C:2017:592
, punt
]. Daarbij komt dat het evenwicht tussen het recht op eerbiediging van het privéleven en op bescherming van persoonsgegevens enerzijds en de vrijheid van informatie van internetgebruikers anderzijds wereldwijd aanzienlijk kan variëren.
Hoewel de Uniewetgever in artikel 17, lid 3, onder a), van verordening 2016/679, wat de Unie betreft, een afweging heeft gemaakt tussen dat recht en die vrijheid [zie in die zin arrest van heden, GC e.a. (Verwijdering van links naar gevoelige gegevens), C‑136/17, punt 59] moet worden vastgesteld dat hij bij de huidige stand van zaken geen dergelijke afweging heeft gemaakt wat betreft de reikwijdte van de verwijdering van links buiten de Unie.
Met name blijkt uit de bewoordingen van artikel 12, onder b), en artikel 14, eerste alinea, onder a), van richtlijn 95/46 of van artikel 17 van verordening 2016/679 geenszins dat de Uniewetgever er, teneinde de verwezenlijking van de in punt 54 van het onderhavige arrest vermelde doelstelling te waarborgen, voor heeft gekozen om aan de in die bepalingen neergelegde rechten een werkingssfeer toe te kennen die verder reikt dan het grondgebied van de lidstaten, noch dat hij binnen de werkingssfeer van die richtlijn of die verordening vallende marktdeelnemers als Google een verplichting tot verwijdering van links heeft willen opleggen die zich tevens uitstrekt tot de nationale versies van hun zoekmachine die niet specifiek zijn voor de lidstaten.
Overigens worden aan de toezichthoudende autoriteiten van de lidstaten bij artikel 56 en de artikelen 60 tot en met 66 van verordening 2016/679 weliswaar de instrumenten en mechanismen ter beschikking gesteld waardoor zij in voorkomend geval kunnen samenwerken om te komen tot een gezamenlijk besluit dat gebaseerd is op een afweging tussen het recht van de betrokken persoon op eerbiediging van zijn privéleven en op bescherming van zijn persoonsgegevens enerzijds en het belang van het publiek van de verschillende lidstaten om toegang te hebben tot bepaalde informatie anderzijds, maar geconstateerd moet worden dat het Unierecht thans niet in dergelijke instrumenten en mechanismen voor samenwerking voorziet wat betreft de reikwijdte van de verwijdering van links buiten de Unie.
Hieruit volgt dat het Unierecht, bij de huidige stand van zaken, voor de exploitant van een zoekmachine die een door de betrokken persoon ingediend verzoek tot verwijdering van links inwilligt – in voorkomend geval nadat hij daartoe is gelast door een toezichthoudende autoriteit of een rechterlijke instantie van een lidstaat – geen verplichting met zich meebrengt om die links te verwijderen voor alle versies van zijn zoekmachine.
Gelet op de voorgaande overwegingen kan de exploitant van een zoekmachine niet krachtens artikel 12, onder b), en artikel 14, eerste alinea, onder a), van richtlijn 95/46 alsook artikel 17, lid 1, van verordening 2016/679 gehouden zijn om tot de verwijdering van links over te gaan voor alle versies van zijn zoekmachine.
Wat betreft de vraag of een dergelijke verwijdering van links moet plaatsvinden voor de lidstaatspecifieke versies van de zoekmachine of enkel voor de versie van deze zoekmachine die specifiek is voor de lidstaat waar de begunstigde van de verwijdering verblijft, volgt met name uit het feit dat de Uniewetgever er inmiddels voor heeft gekozen de regels inzake gegevensbescherming neer te leggen in een rechtstreeks in alle lidstaten toepasselijke verordening – en dit, zoals in overweging 10 van verordening 2016/679 wordt benadrukt, om een consistent en hoog beschermingsniveau te bieden in de gehele Unie en de belemmeringen voor het verkeer van persoonsgegevens binnen de Unie op te heffen – dat de betreffende links in beginsel dienen te worden verwijderd voor alle lidstaten.
Vastgesteld moet echter worden dat het belang van het publiek om toegang te hebben tot bepaalde informatie zelfs binnen de Unie kan verschillen van de ene lidstaat tot de andere, zodat de afweging die moet worden gemaakt tussen enerzijds dat belang en anderzijds de rechten op eerbiediging van het privéleven en bescherming van de persoonsgegevens van de betrokkene, niet noodzakelijk voor alle lidstaten leidt tot hetzelfde resultaat, temeer daar het volgens artikel 9 van richtlijn 95/46 en artikel 85 van verordening 2016/679 aan de lidstaten is om onder meer voor verwerkingen voor uitsluitend journalistieke doeleinden of ten behoeve van artistieke of literaire uitdrukkingsvormen te voorzien in uitzonderingen en afwijkingen die noodzakelijk zijn om die rechten te verzoenen met onder meer de vrijheid van informatie.
Met name uit de artikelen 56 en 60 van verordening 2016/679 volgt dat de verschillende betrokken toezichthoudende nationale autoriteiten voor grensoverschrijdende verwerkingen in de zin van artikel 4, punt 23, van die verordening – onder voorbehoud van artikel 56, lid 2 – volgens de in die bepalingen vastgestelde procedure moeten samenwerken teneinde een consensus te bereiken en tot één besluit te komen dat al die autoriteiten bindt en waarvan de naleving door de verwerkingsverantwoordelijke moet worden gewaarborgd wat betreft de verwerkingsactiviteiten binnen al zijn vestigingen binnen de Unie. Voorts wordt de toezichthoudende autoriteiten bij artikel 61, lid 1, van verordening 2016/679 met name de verplichting opgelegd om elkaar relevante informatie te verstrekken en wederzijdse bijstand te verlenen teneinde deze verordening op een consequente manier ten uitvoer te leggen en toe te passen in de gehele Unie, en wordt in artikel 63 van die verordening gepreciseerd dat met het oog daarop is voorzien in het coherentiemechanisme dat is uiteengezet in de artikelen 64 en 65 van diezelfde verordening. Ten slotte biedt de in artikel 66 van verordening 2016/679 geregelde spoedprocedure een betrokken toezichthoudende autoriteit de mogelijkheid om in buitengewone omstandigheden, wanneer zij van mening is dat er dringend moet worden opgetreden om de rechten en vrijheden van betrokkenen te beschermen, onverwijld voorlopige maatregelen met een bepaalde geldigheidsduur van ten hoogste drie maanden te nemen die beogen rechtsgevolgen in het leven te roepen op het eigen grondgebied.
Dit regelgevingskader stelt de nationale toezichthoudende autoriteiten dan ook de instrumenten en mechanismen ter beschikking die noodzakelijk zijn om de rechten op eerbiediging van het privéleven en op bescherming van de persoonsgegevens van de betrokkene te verzoenen met het belang van het gehele publiek van de lidstaten bij toegang tot de informatie in kwestie, en om in voorkomend geval een besluit over de verwijdering van links te kunnen vaststellen dat betrekking heeft op alle zoekopdrachten die vanaf het grondgebied van de Unie worden uitgevoerd op de naam van de betrokkene.
Daarnaast dient de exploitant van de zoekmachine indien nodig maatregelen te nemen die voldoende doeltreffend zijn om een effectieve bescherming van de grondrechten van de betrokkene te waarborgen. Deze maatregelen moeten als zodanig voldoen aan alle wettelijke vereisten en beletten of op zijn minst ernstig ontmoedigen dat de internetgebruikers in de lidstaten via een zoekopdracht die wordt uitgevoerd op de naam van de betrokkene toegang hebben tot de links in kwestie (zie naar analogie arresten van 27 maart 2014, UPC Telekabel Wien,
C‑314/12
,
EU:C:2014:192
, punt
, en 15 september 2016, Mc Fadden,
C‑484/14
,
EU:C:2016:689
, punt
).
Het staat aan de verwijzende rechter om na te gaan of de door Google genomen of voorgestelde maatregelen, mede gelet op de in punt 42 van het onderhavige arrest uiteengezette recente wijzigingen van haar zoekmachine, voldoen aan die vereisten.
Ten slotte dient te worden beklemtoond dat het Unierecht, zoals in punt 64 van het onderhavige arrest is opgemerkt, bij de huidige stand van zaken weliswaar niet voorziet in de verplichting om, bij de inwilliging van een verzoek tot verwijdering van links, tot deze verwijdering over te gaan voor alle versies van de zoekmachine in kwestie, maar dat ook niet verbiedt. Bijgevolg is een toezichthoudende autoriteit of een rechterlijke instantie van een lidstaat nog steeds bevoegd om in het licht van de nationale maatstaven voor de bescherming van de grondrechten (zie in die zin arresten van26 februari 2013, Åkerberg Fransson,
C‑617/10
,
EU:C:2013:105
, punt
, en 26 februari 2013, Melloni,
C‑399/11
,
EU:C:2013:107
, punt
) een afweging te maken tussen het recht van de betrokken persoon op eerbiediging van zijn privéleven en op bescherming van zijn persoonsgegevens enerzijds en de vrijheid van informatie anderzijds, en om na deze afweging de exploitant van de betreffende zoekmachine in voorkomend geval te gelasten de links te verwijderen voor alle versies van die zoekmachine.
Gelet op een en ander dient op de prejudiciële vragen te worden geantwoord dat artikel 12, onder b), en artikel 14, eerste alinea, onder a), van richtlijn 95/46 alsook artikel 17, lid 1, van verordening 2016/679 aldus moeten worden uitgelegd dat de exploitant van een zoekmachine die overeenkomstig deze bepalingen een verzoek tot verwijdering van links inwilligt, niet gehouden is deze links te verwijderen voor alle versies van zijn zoekmachine doch enkel voor alle lidstaatspecifieke versies van die zoekmachine, indien nodig in combinatie met maatregelen die voldoen aan de wettelijke vereisten en die het daadwerkelijk mogelijk maken te beletten of op zijn minst ernstig te ontmoedigen dat internetgebruikers die in een van de lidstaten een zoekopdracht uitvoeren op de naam van de betrokkene via de na die zoekopdracht weergegeven resultatenlijst toegang hebben tot de links waarop dat verzoek betrekking heeft.
Kosten
Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechter over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.

Het Hof (Grote kamer) verklaart voor recht:

Artikel 12, onder b), en artikel 14, eerste alinea, onder a), van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, alsook artikel 17, lid 1, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46 (algemene verordening gegevensbescherming) moeten aldus worden uitgelegd dat de exploitant van een zoekmachine die overeenkomstig deze bepalingen een verzoek tot verwijdering van links inwilligt, niet gehouden is deze links te verwijderen voor alle versies van zijn zoekmachine doch enkel voor alle lidstaatspecifieke versies van die zoekmachine, indien nodig in combinatie met maatregelen die voldoen aan de wettelijke vereisten en die het daadwerkelijk mogelijk maken te beletten of op zijn minst ernstig te ontmoedigen dat internetgebruikers die in een van de lidstaten een zoekopdracht uitvoeren op de naam van de betrokkene via de na die zoekopdracht weergegeven resultatenlijst toegang hebben tot de links waarop dat verzoek betrekking heeft.

ondertekeningen
(
*1
)	Procestaal: Frans.