CELEX: 62012CJ0131
Osobní údaje
Ochrana fyzických osob v souvislosti se zpracováním těchto údajů
Směrnice 95/46/ES
Články 2, 4, 12 a 14
Věcná a územní působnost
Internetové vyhledávače
Zpracování údajů obsažených na webových stránkách
Vyhledávání, indexování a ukládání uvedených údajů
Odpovědnost provozovatele vyhledávače
Provozovna na území členského státu
Rozsah povinností uvedeného provozovatele a rozsah práv subjektu údajů
Listina základních práv Evropské unie
Články 7 a 8

Žádost o rozhodnutí o předběžné otázce se týká výkladu čl. 2 písm. b) a d), čl. 4 odst. 1 písm. a) a c), čl. 12 písm. b), a čl. 14 prvního pododstavce písm. a) směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (
Úř. věst. L 281, s. 31
; Zvl. vyd. 13/15, s. 355), jakož i článku 8 Listiny základních práv Evropské unie (dále jen „Listina“).
Tato žádost byla podána v rámci sporu mezi společnostmi Google Spain SL (dále jen „Google Spain“) a Google Inc. na jedné straně a Agencia Española de Protección de Datos (AEPD) (Státní úřad pro ochranu údajů, dále jen „AEPD“) a M. Costeja Gonzálezem na straně druhé, ve věci rozhodnutí uvedeného úřadu, kterým uvedený úřad vyhověl stížnosti podané M. Costeja Gonzálezem proti uvedeným dvěma společnostem a uložil společnosti Google Inc., aby přijala opatření nezbytná k odstranění osobních údajů týkajících se M. Costeja Gonzáleze ze svého indexu a zabránila přístupu k těmto údajům v budoucnosti.
Právní rámec
Unijní právo
Směrnice 95/46, jejímž předmětem je podle jejího článku 1 ochrana základních svobod a práv fyzických osob, zejména jejich soukromí, v souvislosti se zpracováním osobních údajů, jakož i odstranění překážek volného pohybu uvedených údajů, v bodech 2, 10, 18 až 20 a 25 odůvodnění stanoví:
„(2)
vzhledem k tomu, že systémy zpracování údajů slouží lidem; že musí bez ohledu na státní občanství nebo bydliště fyzických osob dodržovat základní svobody a práva těchto osob, zejména právo na soukromí, a přispívat k […] dobrý[m] životní[m] podmín[kám] jednotlivců;
[...]
(10)
vzhledem k tomu, že předmětem vnitrostátních právních předpisů o zpracování osobních údajů je chránit základní práva a svobody, zejména právo na soukromí uznaného [uznané] v článku 8 Evropské úmluvy o ochraně lidských práv a základních svobod[, podepsané v Římě dne 4. listopadu 1950,] i v obecných zásadách práva Společenství; že z tohoto důvodu sblížení těchto právních předpisů nesmí vést k oslabení ochrany, kterou zajišťují, ale musí mít naopak za cíl zajištění vysoké úrovně ochrany ve Společenství;
[...]
(18)
vzhledem k tomu, že z důvodu, aby se zamezilo případům, kdy jednotlivcům nebude poskytnuta ochrana, která jim je zaručena na základě této směrnice, je nezbytné, aby veškeré zpracování osobních údajů uskutečněné ve Společenství dodržovalo právní předpisy některého členského státu; že v této souvislosti je třeba podřídit zpracování údajů prováděné v rámci povinností správce, který je usazen v členském státě, právním předpisům tohoto státu;
(19)
vzhledem k tomu, že usazení na území členského státu předpokládá účinný a skutečný výkon činnosti prostřednictvím stálého zařízení; že právní forma takové provozovny, ať jde o pobočku nebo dceřinou společnost s vlastní právní subjektivitou, není z tohoto hlediska rozhodující; že pokud je stejný správce usazen na území několika členských států, zejména prostřednictvím dceřiné společnosti, musí zajistit, aby všechny provozovny plnily povinnosti stanovené vnitrostátními právními předpisy, které se vztahují na jejich činnost, zejména s cílem vyloučit jejich obcházení;
(20)
vzhledem k tomu, že skutečnost, že zpracování údajů provádí osoba usazená ve třetí zemi, nesmí bránit ochraně osob stanovené v této směrnici; že v takovýchto případech je třeba podřídit zpracování dotčených údajů právním předpisům členského státu, ve kterém jsou lokalizována zařízení pro zpracování údajů, a přijmout záruky, aby práva a povinnosti uvedené v této směrnici byly v praxi dodržovány;
[...]
(25)
vzhledem k tomu, že zásady ochrany se musí odrazit jednak v povinnostech jednotlivců [...] odpovědných za zpracování údajů týkajících se zejména kvality údajů, technického zabezpečení, oznamování okolností, za jakých může být zpracování provedeno, orgánu dozoru a jednak v právu poskytnutému osobám, jejichž údaje jsou zpracovávány, být informován o tom, že jsou zpracovávány, právu přístupu k údajům, právu žádat jejich opravu a právu odmítnout za určitých okolností zpracování.“
Článek 2 směrnice 95/46 stanoví, že „pro [její] účely se rozumí:
a)
‚osobními údaji‘ veškeré informace o identifikované nebo identifikovatelné osobě (subjekt údajů); identifikovatelnou osobou se rozumí osoba, kterou lze přímo či nepřímo identifikovat, zejména s odkazem na identifikační číslo nebo na jeden či více zvláštních prvků její fyzické, fyziologické, psychické, ekonomické, kulturní nebo sociální identity;
b)
‚zpracováním osobních údajů‘ (‚zpracování‘) jakýkoli úkon nebo soubor úkonů s osobními údaji, které jsou prováděny pomocí či bez pomoci automatizovaných postupů, jako je shromažďování, zaznamenávání, uspořádávání, uchovávání, přizpůsobování nebo pozměňování, vyhledávání, konzultace, použití, sdělení prostřednictvím přenosu, šíření nebo jakékoli jiné zpřístupnění, srovnání či kombinování, jakož i blokování, výmaz nebo likvidace;
[...]
d)
‚správcem‘ fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jakýkoli jiný subjekt, který sám nebo společně s jinými určuje účel a prostředky zpracování osobních údajů; jsou-li účel a prostředky zpracování určeny právními a správními předpisy na úrovni jednotlivých států či Společenství, je možné určit správce nebo zvláštní kritéria pro jeho určení právem jednotlivých států nebo Společenství;
[...]“
Článek 3 uvedené směrnice, nadepsaný „Oblast působnosti“, v odstavci 1 uvádí:
„Tato směrnice se vztahuje na zcela nebo částečně automatizované zpracování osobních údajů, jakož i na neautomatizované zpracování osobních údajů, které jsou obsaženy v rejstříku nebo do něj mají být zařazeny.“
Článek 4 téže směrnice, nadepsaný „Použitelné vnitrostátní právo“, stanoví:
„1.   Každý členský stát použije na zpracování osobních údajů vnitrostátní ustanovení, která přijme na základě této směrnice, pokud:
a)
zpracování je prováděno v rámci činností provozovny správce na území členského státu; pokud je stejný správce usazen na území několika členských států, musí přijmout opatření nezbytná pro dodržování povinností stanovených použitelným vnitrostátním právem každou ze svých provozoven;
b)
správce není usazen na území členského státu, ale v místě, kde se vnitrostátní právní předpisy daného členského státu uplatňují na základě mezinárodního práva veřejného;
c)
správce není usazen na území Společenství a používá za účelem zpracování osobních údajů prostředků, automatizovaných či nikoli, umístěných na území zmíněného členského státu, ledaže jsou tyto prostředky použity pouze pro účely tranzitu přes území Společenství.
2.   V případě uvedeném v odst. 1 písm. c) správce musí určit zástupce usazeného na území zmíněného členského státu, aniž je tím dotčena možnost podniknout právní kroky proti správci samotnému.“
Oddíl I kapitoly II směrnice 95/46, nadepsaný „Zásady pro kvalitu údajů“, stanoví v článku 6 toto:
„1.   Členské státy stanoví, že osobní údaje musejí být:
a)
zpracovány korektně a zákonným způsobem;
b)
shromažďovány pro stanovené účely, výslovně vyjádřené a legitimní, a nesmějí být dále zpracovávány způsobem neslučitelným s těmito účely. Další zpracování pro historické, statistické nebo vědecké účely není považováno za neslučitelné, pokud členské státy poskytnou vhodná ochranná opatření;
c)
přiměřené, podstatné a nepřesahující míru s ohledem na účely, pro které jsou shromažďovány a/nebo dále zpracovávány;
d)
přesné, a je-li to nezbytné, i aktualizované; musí být přijata veškerá rozumná opatření, aby nepřesné nebo neúplné údaje s ohledem na účely, pro které byly shromažďovány nebo dále zpracovávány, byly vymazány nebo opraveny;
e)
uchovávány ve formě umožňující identifikaci subjektů údajů po dobu ne delší než je nezbytné pro uskutečnění cílů, pro které jsou shromažďovány nebo dále zpracovávány. Členské státy stanoví vhodná ochranná opatření pro osobní údaje, které jsou uchovávány po dobu delší, než je uvedeno výše pro historické, statistické či vědecké účely.
2.   Dodržování odstavce 1 zajistí správce.“
Oddíl I kapitoly II směrnice 95/46, nadepsaný „Zásady pro oprávněné zpracování údajů“, stanoví v článku 7 toto:
„Členské státy stanoví, že zpracování osobních údajů může být provedeno pouze pokud:
[...]
f)
je nezbytné pro uskutečnění oprávněných zájmů správce nebo třetí osoby či osob, kterým jsou údaje sdělovány, za podmínky, že nepřevyšují [nad nimi nepřeváží] zájem nebo základní práva a svobody subjektu údajů, které vyžadují ochranu podle čl. 1 odst. 1.“
Článek 9 uvedené směrnice, nadepsaný „Zpracování osobních údajů a svoboda projevu“, stanoví:
„Členské státy stanoví pro zpracování osobních údajů prováděné výlučně pro účely žurnalistiky nebo uměleckého či literárního projevu, odchylky a výjimky z této kapitoly a z kapitol IV a VI, pouze pokud se ukáží jako nezbytné pro uvedení práva na soukromí do souladu s předpisy upravujícími svobodu projevu.“
Článek 12 téže směrnice, nadepsaný „Právo na přístup“, stanoví:
„Členské státy zaručí každému subjektu údajů právo získat od správce:
[...]
b)
podle daného případu opravu, výmaz nebo blokování údajů, jejichž zpracování není v souladu s touto směrnicí, zejména z důvodů neúplné nebo nepřesné povahy údajů;
[...]“
Článek 14, nadepsaný „Právo subjektu údajů na námitku“, stanoví:
„Členské státy přiznávají subjektu údajů právo:
a)
alespoň v případech uvedených v čl. 7 písm. e) a f) vznést kdykoli z vážných a legitimních důvodů souvisejících s jeho osobní situací námitku proti zpracování osobních údajů, které se ho týkají, ledaže vnitrostátní právo stanoví jinak. Je-li námitka oprávněná, nesmí se zpracování zahájené správcem těchto údajů nadále týkat;
[...]“
Článek 28 uvedené směrnice, nadepsaný „Orgán dozoru“, zní takto:
„1.   Každý členský stát pověří jeden nebo několik orgánů veřejné moci na svém území dohledem nad dodržováním předpisů přijatých členskými státy na základě této směrnice.
[...]
3.   Každý orgán dozoru má zejména:
—
pravomoci provádět šetření, jako například pravomoc přístupu k údajům, které jsou předmětem zpracování, a shromažďovat veškeré informace nezbytné pro splnění svého úkolu dozoru;
—
pravomoci účinně zasáhnout, jako například […] nařídit blokování, výmaz nebo zničení údajů nebo dočasně nebo trvale zakázat zpracování [...];
—
[...]
Proti rozhodnutím orgánu dozoru, která dala vzniknout stížnostem, je možné využít opravný prostředek k soudu.
4.   Na orgán dozoru se může obrátit jakákoli osoba nebo sdružení zastupující tuto osobu se žádostí týkající se ochrany svých práv a svobod v souvislosti se zpracováním osobních údajů. Dotčená osoba je informována o způsobu vyřízení své žádosti.
[...]
6.   Nezávisle na vnitrostátním právu, které se použije na dané zpracování, je orgán dozoru oprávněn vykonávat na území vlastního členského státu pravomoci, které mu byly uděleny v souladu s odstavcem 3. Každý orgán může být vyzván, aby vykonával své pravomoci na žádost orgánu jiného členského státu.
Orgány dozoru vzájemně spolupracují v míře nezbytné pro plnění svých úkolů, zejména výměnou veškerých užitečných informací.
[...]“
Španělské právo
Směrnice 95/46 byla provedena do španělského práva základním zákonem č. 15/1999 ze dne 13. prosince 1999 o ochraně osobních údajů (BOE č. 298 ze dne 14. prosince 1999, s. 43088).
Spor v původním řízení a předběžné otázky
Dne 5. března 2010 M. Costeja González, španělský státní příslušník s bydlištěm ve Španělsku, podal k AEPD stížnost proti společnosti La Vanguardia Ediciones SL, která jmenovitě v Katalánsku (Španělsko) vydává vysokonákladový deník (dále jen „La Vanguardia“), jakož i proti společnostem Google Spain a Google Inc. Tato stížnost se zakládala na skutečnosti, že se po zadání jména M. Costeja Gonzáleze do internetového vyhledávače skupiny Google (dále jen „Google Search“) objevuje odkaz na dvě strany deníku La Vanguardia ze dne 19. ledna a 9. března 1998, na kterých je oznámení uvádějící jméno M. Costeja Gonzáleze v souvislosti s dražbou nemovitostí zabavených v důsledku dluhů na sociálním zabezpečení.
Touto stížností se M. Costeja González na jedné straně domáhal, aby společnosti La Vanguardia bylo uloženo odstranění nebo změna uvedených stránek tak, aby se na nich neobjevovaly jeho osobní údaje, nebo aby bylo využito nástrojů, které vyhledávače poskytují k ochraně uvedených údajů. Na druhé straně usiloval o to, aby byla společnosti Google Spain nebo společnosti Google Inc. uložena povinnost vymazat či skrýt jeho osobní údaje tak, aby se přestaly objevovat ve výsledcích vyhledávání a přestaly být propojeny s odkazy na La Vanguardia. M. Costeja González v tomto kontextu tvrdil, že pohledávky zajištěné zabavenými nemovitostmi byly již několik let v plné výši uhrazeny, a že zmínka o nich je tedy irelevantní.
Rozhodnutím ze dne 30. července 2010 AEPD uvedenou stížnost zamítl v rozsahu, v jakém se týkala deníku La Vanguardia, přičemž měl za to, že skutečnost, že posledně uvedený zveřejnil dotčené informace, byla právně odůvodněna, neboť ke zveřejnění došlo na základě nařízení ministerstva práce a sociálních věcí a jeho účelem bylo zajistit co největší informovanost o veřejné dražbě, aby se dosáhlo co nejvyšší účasti dražitelů.
Naproti tomu bylo této stížnosti vyhověno v rozsahu, v jakém směřovala proti společnostem Google Spain a Google Inc. AEPD měl v tomto ohledu za to, že provozovatelé vyhledávačů podléhají právní úpravě v oblasti ochrany údajů, neboť provádějí zpracování údajů, za které odpovídají, a jednají jako zprostředkovatelé informační společnosti. AEPD měl za to, že je oprávněn uložit výmaz údajů a zákaz přístupu k určitým údajům ze strany provozovatelů vyhledavačů, pokud se domnívá, že by jejich umístění a šíření mohly vést k porušení základního práva na ochranu údajů a lidské důstojnosti v širším smyslu, což zahrnuje rovněž pouhou vůli dotčené osoby, aby uvedené údaje nebyly známy třetím osobám. AEPD měl za to, že tato povinnost může příslušet přímo provozovatelům vyhledávačů, aniž by bylo nezbytné vymazat údaje nebo informace z webové stránky, kde se nacházejí, zejména pokud je zachování daných informací na dané stránce odůvodněno ustanovením právního předpisu.
Společnosti Google Spain a Google Inc. podaly k Audiencia Nacional dvě samostatné žaloby proti uvedenému rozhodnutí, které uvedený soud spojil.
Audiencia Nacional v předkládacím rozhodnutí uvedl, že dané žaloby vznášejí otázku, jaké povinnosti přísluší provozovatelům vyhledávačů za účelem ochrany osobních údajů dotčených osob, které si nepřejí, aby určité informace zveřejněné na webových stránkách třetích osob a obsahující jejich osobní údaje, které umožňují spojit dané informace s dotčenými osobami, byly neomezeně vyhledávány, indexovány a poskytovány uživatelům internetu. Odpověď na tuto otázku závisí na způsobu, jakým musí být směrnice 95/46 vykládána v kontextu uvedených technologií, které se objevily po jejím vyhlášení.
Za těchto podmínek se Audiencia Nacional rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:
„1)
Co se týče územní působnosti směrnice [95/46], a v důsledku toho i španělské právní úpravy o ochraně údajů:
a)
Je třeba vykládat jako existenci ‚provozovny‘ ve smyslu čl. 4 odst. 1 písm. a) [směrnice 95/46] situaci, kdy nastane některý nebo některé z těchto případů:
—
dodavatelská společnost internetového vyhledávače vytvoří v členském státě pobočku nebo dceřinou společnost určenou k podpoře prodeje a k prodeji reklamního prostoru internetového vyhledávače, který zaměřuje svou činnost na obyvatele tohoto státu,
nebo
—
mateřská společnost označí dceřinou společnost, která má provozovnu v tomto členském státě, jako zástupce a správce dvou konkrétních rejstříků vztahujících se k údajům o zákaznících, kteří uzavřeli smlouvu na reklamu s uvedeným podnikem,
nebo
—
pobočka či dceřiná společnost usazená v členském státě předává mateřské společnosti, která se nachází mimo Evropskou unii, žádosti a požadavky, které jí zasílají subjekty údajů a příslušné orgány v souvislosti s dodržováním práva na ochranu údajů, i když uvedená spolupráce se uskutečňuje dobrovolně?
b)
Je třeba vykládat čl. 4 odst. 1 písm. c) [směrnice 95/46] v tom smyslu, že dochází k ‚používání prostředků umístěných na území zmíněného členského státu‘:
—
pokud vyhledávač používá k vyhledávání a indexování informací obsažených na webových stránkách umístěných na serverech tohoto členského státu roboty nebo ‚pavouky‘ (web crawlers),
nebo
—
pokud využívá doménové jméno vlastní členskému státu a uzpůsobuje hledání a výsledky s ohledem na jazyk tohoto členského státu?
c)
Lze dočasné uložení informací indexovaných internetovými vyhledávači považovat za používání prostředků ve smyslu čl. 4 odst. 1 písm. c) [směrnice 95/46]? V případě kladné odpovědi na tuto otázku, lze toto kolizní kritérium považovat za splněné, pokud podnik odmítá prozradit z konkurenčních důvodů místo, kde uchovává tyto indexy?
d)
Nezávisle na odpovědi na předchozí otázky, a zejména pro případ, že by Soudní dvůr dospěl k závěru, že kolizní kritéria stanovená v článku 4 směrnice [95/46] nejsou splněna:
Je s ohledem na článek 8 [Listiny] třeba uplatnit [směrnici 95/46] ve věcech ochrany údajů ve členském státě, kde se nachází těžiště střetu a kde lze účinněji chránit práva občanů [U]nie?
2)
Co se týče činnosti vyhledávačů jako poskytovatelů obsahů v souvislosti se [směrnicí 95/46]:
a)
V souvislosti s [Google Search], který jako poskytovatel obsahů vykonává činnost, jež spočívá v tom, že vyhledává informace zveřejněné nebo uvedené na síti třetími osobami, automaticky je indexuje, dočasně je ukládá a nakonec je poskytuje uživatelům internetu v určitém preferenčním pořadí, i když zmíněné informace obsahují osobní údaje třetích osob, je třeba vykládat popsanou činnost tak, že spadá pod pojem ‚zpracování osobních údajů‘ uvedený v čl. 2 písm. b) [směrnice 95/46]?
b)
V případě kladné odpovědi na předcházející otázku a stále v souvislosti s výše popsanou činností:
Je třeba vykládat čl. 2 písm. d) [směrnice 95/46] v tom smyslu, že společnost, která spravuje [Google Search], je třeba považovat za ‚správce‘ osobních údajů obsažených na webových stránkách, které indexuje?
c)
V případě kladné odpovědi na předcházející otázku:
Může [AEPD], když chrání práva obsažená v čl. 12 písm. b) a v čl. 14 [prvním pododstavci] písm. a) [směrnice 95/46], vyžadovat přímo po [Google Search], aby odstranil svou indexaci u informací uveřejněných třetími osobami, aniž se předem nebo zároveň obrátí na majitele webových stránek, na nichž se zmíněná informace nachází?
d)
V případě kladné odpovědi na předcházející otázku:
Jsou vyhledávače zproštěny povinnosti chránit tato práva, pokud informace obsahující osobní údaje byly zveřejněny třetími osobami v souladu se zákonem a jsou ponechány na původních webových stránkách?
3)
Pokud jde o rozsah práva na odstranění a práva na námitku v souvislosti s právem být zapomenut, vyvstává tato otázka:
Je třeba právo na výmaz a blokování osobních údajů a právo na námitku proti jejich zpracování (práva upravená v čl. 12 písm. b) a čl. 14 [první pododstavec] písm. a) [směrnice 95/46]) vykládat tak, že se subjekt údajů může obrátit na vyhledávače, aby zabránily indexaci informací týkajících se jeho osoby a zveřejněných na webových stránkách třetích osob, a domáhat se toho, aby tyto informace nebyly uživatelům internetu známy, pokud má za to, že ho tyto informace mohou poškodit, nebo pokud si přeje, aby byly zapomenuty, ačkoli se jedná o informace, které byly uveřejněny třetími osobami v souladu se zákonem?“
K předběžným otázkám
Ke druhé otázce písm. a) a b), týkající se hmotné působnosti směrnice 95/46
Podstatou písm. a) a b) druhé otázky předkládajícího soudu, které je třeba přezkoumat na prvním místě, je, zda čl. 2 písm. b) směrnice 95/46 musí být vykládán v tom smyslu, že činnost vyhledávače jako poskytovatele obsahu, která spočívá ve vyhledávání informací zveřejněných nebo umístěných na internetu třetími osobami, v jejich automatickém indexování, v jejich dočasném ukládání a konečně v jejich poskytování uživatelům internetu v určitém preferenčním pořadí, musí být kvalifikována jako „zpracování osobních údajů“ ve smyslu uvedeného ustanovení, pokud uvedené informace obsahují osobní údaje. V případě kladné odpovědi se předkládající soud vedle toho táže, zda musí uvedený čl. 2 písm. d) být vykládán v tom smyslu, že provozovatele vyhledávače je třeba považovat za „správce“ odpovědného za uvedené zpracování osobních údajů ve smyslu daného ustanovení.
Podle společností Google Spain a Google Inc. nelze činnost vyhledávačů považovat za zpracování údajů, které jsou na webových stránkách třetích osob uvedených na seznamu výsledků vyhledávání, vzhledem k tomu, že uvedené vyhledávače zpracovávají informace dostupné na internetu jako celek, aniž rozlišují mezi osobními údaji a dalšími informacemi. Mimoto i za předpokladu, že by uvedená činnost měla být kvalifikována jako „zpracování údajů“, nelze provozovatele vyhledávače považovat za „správce“ uvedeného zpracování, neboť o uvedených údajích neví a nemá nad nimi kontrolu
Naopak M. Costeja González, španělská, italská, rakouská a polská vláda, jakož i Evropská komise, mají za to, že uvedená činnost očividně zahrnuje „zpracování údajů“ ve smyslu směrnice 95/46, které se liší od zpracování údajů vydavateli webových stránek, a sleduje jiné cíle. Provozovatel vyhledávače je „správcem“ odpovědným za zpracování údajů, které provádí, neboť je to on, kdo určuje účel a prostředky uvedeného zpracování.
Podle řecké vlády představuje dotčená činnost takové „zpracování“, avšak v rozsahu, v jakém vyhledávače slouží pouze jako zprostředkovatelé, nelze podniky, které je provozují, považovat za „správce“, s výjimkou případů, kdy ukládají údaje do „mezipaměti“ nebo do „cache paměti“ na období přesahující technicky nezbytnou dobu.
V tomto ohledu je třeba uvést, že čl. 2 písm. b) směrnice 95/46 definuje „zpracování osobních údajů“ jako „jakýkoli úkon nebo soubor úkonů, které jsou prováděny s osobními údaji pomocí automatizovaných postupů či bez nich, jako je shromažďování, zaznamenávání, uspořádávání, uchovávání, přizpůsobování nebo pozměňování, vyhledávání, nahlížení, používání, sdělování prostřednictvím přenosu, šíření nebo jakékoli jiné zpřístupnění, srovnávání či kombinování, jakož i blokování, výmaz nebo znehodnocení údajů“.
Zejména pokud jde o internet, měl již Soudní dvůr příležitost konstatovat, že úkon spočívající v uvedení osobních údajů na internetové stránce se považuje za „zpracování“ ve smyslu čl. 2 písm. b) směrnice 95/46 (viz rozsudek Lindqvist, C‑101/01,
EU:C:2003:596
, bod 25).
Pokud jde o činnost dotčenou v původním řízení, je nesporné, že mezi údaji, které vyhledávače vyhledaly, indexovaly, uložily a poskytly svým uživatelům, jsou rovněž informace týkající se identifikované nebo identifikovatelné fyzické osoby, tedy „osobní údaje“ ve smyslu čl. 2 písm. a) uvedené směrnice.
Je tudíž třeba konstatovat, že automatickým, neustálým a systematickým prohlížením internetu za účelem vyhledávání tam zveřejněných informací provozovatel vyhledávače „shromažďuje“ takové údaje, které „vyhledává“, „zaznamenává“ a následně v rámci svých programů indexování „uspořádává“, „uchovává“ na svých serverech a případně „sděluje“ a „zpřístupňuje“ svým uživatelům ve formě seznamů výsledků jejich vyhledávání. Vzhledem k tomu, že uvedené úkony jsou výslovně a bezpodmínečně uvedeny v čl. 2 písm. b) směrnice 95/46, musí být kvalifikovány jako „zpracování“ ve smyslu uvedeného ustanovení, aniž je důležité, zda vyhledávač používá tytéž úkony rovněž na další druhy informací a nerozlišuje mezi nimi a osobními údaji.
Předchozí konstatování není vyvráceno ani skutečností, že uvedené údaje již byly předmětem zveřejnění na internetu a nejsou uvedeným vyhledávačem změněny.
Soudní dvůr již konstatoval, že úkony uvedené v čl. 2 písm. b) směrnice 95/46 musí být kvalifikovány jako takové zpracování rovněž v případě, kdy se týkají výhradně již zveřejněných informací, jako například informací zveřejněných v médiích. V tomto ohledu totiž uvedl, že obecná výjimka z použití směrnice 95/46 v takovém případě by směrnici zbavila ve značném rozsahu jejího významu (v tomto smyslu viz rozsudek Satakunnan Markkinapörssi a Satamedia, C‑73/07,
EU:C:2008:727
, body 48 a 49).
Mimoto z definice obsažené v čl. 2 písm. b) směrnice 95/46 vyplývá, že změna osobních údajů sice představuje zpracování ve smyslu uvedené směrnice, avšak ostatní tam uvedené úkony naproti tomu vůbec nevyžadují změnu uvedených údajů.
Ohledně otázky, zda provozovatel vyhledávače má či nemá být považován za „správce“ odpovědného za zpracování osobních údajů prováděné uvedeným vyhledávačem v rámci takové činnosti, jako je činnost dotčená v původním řízení, je třeba připomenout, že „správce“ je definován v čl. 2 písm. d) směrnice 95/46 jako „fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jakýkoli jiný subjekt, který sám nebo společně s jinými určuje účel a prostředky zpracování osobních údajů“.
Přitom právě provozovatel vyhledávače určuje účely a prostředky této činnosti, a tedy zpracování osobních údajů, které v rámci uvedené činnosti sám provádí, a v důsledku toho musí být považován za „správce“ odpovědného za uvedené zpracování ve smyslu uvedeného čl. 2 písm. d).
Kromě toho je třeba konstatovat, že by bylo v rozporu nejen s jasným zněním, ale rovněž s cílem uvedeného ustanovení, který spočívá v zajištění – prostřednictvím široké definice pojmu „správce“ – účinné a úplné ochrany subjektů údajů, vyloučit z něj provozovatele vyhledávače z toho důvodu, že nemá kontrolu nad osobními údaji zveřejněnými na webových stránkách třetích osob.
V tomto ohledu je třeba zdůraznit, že se zpracování osobních údajů prováděné v rámci činnosti vyhledávače liší od zpracování prováděného vydavateli webových stránek, které spočívá v umístění uvedených údajů na internetové stránce, a doplňuje jej.
Mimoto je nesporné, že tato činnost vyhledávače hraje rozhodující roli v globálním šíření uvedených údajů, neboť je činí přístupnými všem uživatelům internetu provádějícím vyhledávání na základě jména dotčené osoby, včetně uživatelů internetu, kteří by jinak nenašli webovou stránku, na které byly uvedené údaje zveřejněny.
Navíc uspořádávání a seskupování informací zveřejněných na internetu, jež provádí vyhledávače s cílem ulehčit svým uživatelům přístup k těmto informacím, může – jestliže je vyhledávání uvedených informací prováděno na základě jména fyzické osoby – vést k tomu, že daní uživatelé v seznamu výsledků vyhledávání obdrží strukturovaný přehled informací týkající se této osoby, které lze nalézt na internetu, a které jim umožní sestavit více nebo méně podrobný profil dotčené osoby.
V rozsahu, v jakém tedy činnost vyhledávače může významným způsobem dále – vedle činnosti vydavatelů webových stránek – ovlivnit základní právo na soukromí a základní právo na ochranu osobních údajů, musí provozovatel uvedeného vyhledávače – jako osoba určující účely a prostředky této činnosti – v rámci své odpovědnosti, pravomoci a možností zajistit, že tato činnost splňuje požadavky směrnice 95/46, aby touto směrnicí stanovené záruky mohly nabýt plného účinku a aby mohlo být skutečně dosaženo účinné a úplné ochrany dotčených osob, zejména jejich práva na soukromí.
Konečně okolnost, že vydavatelé webových stránek mají možnost provozovatelům vyhledávačů sdělit, zejména s pomocí vylučovacích protokolů, jako je „robot.txt“, nebo kódů jako jsou „noindex“ či „noarchive“, že si přejí, aby určité informace zveřejněné na jejich stránce byly zcela nebo zčásti vyloučeny z automatických indexů uvedených vyhledávačů, neznamená, že neexistence takového sdělení ze strany těchto vydavatelů zbavuje provozovatele vyhledávače jeho odpovědnosti za zpracování osobních údajů, které provádí v rámci činnosti uvedeného vyhledávače.
Tato okolnost totiž nic nemění na skutečnosti, že účely a prostředky uvedeného zpracování určuje uvedený provozovatel. Kromě toho i za předpokladu, že by uvedená možnost vydavatelů webových stránek znamenala, že společně s uvedeným provozovatelem určují prostředky daného zpracování, nezmenšilo by toto konstatování nijak odpovědnost posledně uvedeného provozovatele, neboť čl. 2 písm. d) směrnice 95/46 výslovně stanoví, že toto určení může provádět „sám nebo společně s jinými“.
Ze všech předchozích úvah vyplývá, že na druhou otázku písm. a) a b) je třeba odpovědět tak, že čl. 2 písm. b) a d) směrnice 95/46 musí být vykládán v tom smyslu, že jednak činnost vyhledávače spočívající ve vyhledávání informací zveřejněných nebo umístěných na internetu třetími osobami, v jejich automatickém indexování, v jejich dočasném ukládání a konečně v jejich poskytování uživatelům internetu v určitém preferenčním pořadí musí být kvalifikována jako „zpracování osobních údajů“ ve smyslu uvedeného čl. 2 písm. b), pokud uvedené informace obsahují osobní údaje, a jednak provozovatel uvedeného vyhledávače musí být považován za „správce“ odpovědného za dané zpracování ve smyslu uvedeného čl. 2 písm. d).
K první otázce písm. a) až d), týkající se územní působnosti směrnice 95/46
První otázkou písm. a) až d) se předkládající soud táže, zda je možné použít vnitrostátní právní úpravu provádějící směrnici 95/46 za okolností, jako jsou okolnosti dotčené v původní věci.
V tomto kontextu předkládající soud konstatoval následující skutkové okolnosti:
—
služba Google Search je poskytována v celosvětovém měřítku prostřednictvím webových stránek www.google.com. V mnoha státech existují místní verze přeložené do národního jazyka. Španělská verze Google Search je poskytována prostřednictvím webové stránky www.google.es zaregistrované od 16. září 2003. Google Search je jedním z nejpoužívanějších vyhledávačů ve Španělsku.
—
Google Search je provozován společností Google Inc., což je mateřská společnost skupiny Google, jejíž sídlo je ve Spojených státech amerických.
—
Google Search indexuje webové stránky na celém světě, včetně stránek umístěných ve Španělsku. Informace indexované jeho „pavouky“ nebo roboty, tedy výpočetními programy používanými k metodickému a automatickému prohlížení a třídění obsahu webových stránek, jsou dočasně ukládány na serverech, o nichž není známo, v jakém státě jsou umístěny, neboť tyto informace jsou z konkurenčních důvodů uchovávány v tajnosti.
—
Google Search se neomezuje na poskytování přístupu k obsahu umístěnému na indexovaných webových stránkách, ale využívá této činnosti k tomu, aby k nim za úplatu připojil reklamu podniků, které si přejí použít tento nástroj s cílem nabídnout své zboží či služby uživatelům internetu, spojenou s vyhledávanými pojmy zadanými uživateli internetu.
—
Skupina Google svěřila své dceřiné společnosti Google Spain podporu prodeje reklamního prostoru na webové stránce „www.google.com“. Společnost Google Spain, která byla založena dne 3. září 2003 a je samostatnou právnickou osobou, má sídlo v Madridu (Španělsko). Provozuje činnost zaměřenou hlavně na podniky usazené ve Španělsku a jedná jako obchodní zástupce uvedené skupiny v uvedeném členském státě. Předmětem její činnosti je podpora, facilitace a uskutečňování prodeje produktů a služeb online reklamy třetím osobám, jakož i marketing takové reklamy.
—
Společnost Google Inc. určila, že společnost Google Spain je ve Španělsku správcem dvou rejstříků zapsaných společností Google Inc. u AEPD, přičemž tyto rejstříky obsahují osobní údaje o zákaznících, kteří se společností Google Inc. uzavřeli smlouvu na reklamní služby.
Konkrétně se předkládající soud táže na pojem „provozovna“ ve smyslu čl. 4 odst. 1 písm. a) směrnice 95/46, a na pojem „používání prostředků umístěných na území zmíněného členského státu“ ve smyslu čl. 4 odst. 1 písm. c).
K první otázce písm. a)
Podstatou první otázky písm. a) předkládacího soudu je, zda čl. 4 odst. 1 písm. a) směrnice 95/46 musí být vykládán v tom smyslu, že zpracování osobních údajů je prováděno v rámci činnosti provozovny správce odpovědného za uvedené zpracování na území členského státu ve smyslu uvedeného ustanovení, je-li splněna jedna nebo více ze tří následujících podmínek:
—
provozovatel internetového vyhledávače zřídí v členském státě pobočku nebo dceřinou společnost určenou k podpoře prodeje a k prodeji reklamního prostoru nabízeného tímto vyhledávačem, která zaměřuje svou činnost na obyvatele tohoto státu, nebo
—
mateřská společnost označí dceřinou společnost, která má provozovnu v tomto členském státě, jako svého zástupce a správce dvou konkrétních rejstříků obsahujících údaje o zákaznících, kteří s uvedeným podnikem uzavřeli smlouvu na reklamu, nebo
—
pobočka či dceřiná společnost usazená v členském státě předává mateřské společnosti, která se nachází mimo Unii, stížnosti a požadavky, které jí zasílají dotčené osoby a příslušné orgány za účelem dosažení dodržování práva na ochranu osobních údajů, i když se uvedená spolupráce uskutečňuje dobrovolně.
Předkládající soud ohledně první z uvedených tří podmínek uvádí, že Google Search je provozován a řízen společností Google Inc. a že není prokázáno, že Google Spain provozuje ve Španělsku činnost přímo spojenou s indexováním nebo s ukládáním informací nebo údajů obsažených na webových stránkách třetích osob. Nicméně činnost podpory prodeje a prodeje reklamního prostoru, kterou se zabývá Google Spain ve Španělsku, představuje zásadní část obchodní činnosti skupiny Google a mohla by být považována za úzce spojenou s Google Search.
M. Costeja González, španělská, italská, rakouská a polská vláda, jakož i Komise mají za to, že s ohledem na neoddělitelnou spojitost mezi činností vyhledávače provozovaného společností Google Inc. a činností společnosti Google Spain musí být posledně uvedená považována za provozovnu prvně uvedené, v rámci jejíchž činností je prováděno zpracování osobních údajů. Naopak podle společnosti Google Spain, společnosti Google Inc. a řecké vlády se čl. 4 odst. 1 písm. a) směrnice 95/46 nepoužije v případě první ze tří podmínek vyjmenovaných předkládajícím soudem.
V tomto ohledu je třeba především uvést, že bod 19 odůvodnění směrnice 95/46 uvádí, že „usazení na území členského státu předpokládá účinný a skutečný výkon činnosti prostřednictvím stálého zařízení“ a „právní forma takové provozovny, ať jde o pobočku nebo dceřinou společnost s vlastní právní subjektivitou, není z tohoto hlediska rozhodující“.
Přitom je nesporné, že se Google Spain věnuje účinnému a skutečnému výkonu činnosti prostřednictvím stálého zařízení ve Španělsku. Vzhledem k tomu, že má kromě toho vlastní právní osobnost, je tedy pobočkou Google Inc. na španělském území, a tudíž „provozovnou“ ve smyslu čl. 4 odst. 1 písm. a) směrnice 95/46.
Za účelem splnění kritéria stanoveného v daném ustanovení je však dále třeba, aby zpracování osobních údajů správcem bylo „vykonávané v rámci činností“ provozovny správce na území členského státu.
Společnosti Google Spain a Google Inc. zpochybňují, že se jedná o takový případ, jelikož zpracování osobních údajů dotčené v původním řízení je prováděno výhradně společností Google Inc., která provozuje Google Search bez jakéhokoli zásahu ze strany společnosti Google Spain, jejíž činnost se omezuje na poskytování podpory reklamní činnosti skupiny Google, která se liší od jejích služeb vyhledávače.
Jak nicméně zdůraznily zejména španělská vláda a Komise, čl. 4 odst. 1 písm. a) směrnice 95/46 nevyžaduje, aby dotčené zpracování osobních údajů bylo prováděno samotnou dotčenou provozovnou, ale pouze aby bylo prováděno „v rámci činností“ provozovny.
Kromě toho s ohledem na předmět směrnice 95/46 zajistit účinnou a úplnou ochranu základních práv a svobod fyzických osob, zejména práva na soukromí, ve vztahu ke zpracování osobních údajů, nelze posledně uvedený pojem vykládat restriktivně (viz obdobně rozsudek L’Oréal a další, C‑324/09,
EU:C:2011:474
, body 62 a 63).
V tomto kontextu je třeba uvést, že zejména z bodů 18 až 20 odůvodnění a z článku 4 směrnice 95/46 vyplývá, že unijní zákonodárce zamýšlel stanovením obzvláště široké územní působnosti zabránit tomu, aby jakákoli osoba mohla být vyloučena z jím zaručené ochrany a aby docházelo k obcházení této ochrany.
S ohledem na tento cíl směrnice 95/46 a na znění jejího čl. 4 odst. 1 písm. a) je třeba mít za to, že zpracování osobních údajů prováděné pro potřeby služby vyhledávače, jako je Google Search, který je provozován podnikem se sídlem ve třetím státě, avšak s provozovnou v členském státě, je prováděno „v rámci činností“ této provozovny, pokud je určena k tomu, aby v daném členském státě zajišťovala podporu prodeje a prodej reklamního prostoru nabízeného uvedeným vyhledávačem, který slouží k zajištění výnosnosti služby nabízené uvedeným vyhledávačem.
Za takových okolností jsou totiž činnost provozovatele vyhledávače a činnost jeho provozovny umístěné v dotčeném členském státě neoddělitelně spojeny, jelikož činnost týkající se reklamního prostoru představuje prostředek k dosažení hospodářské výnosnosti dotčeného vyhledávače a zároveň je tento vyhledávač prostředkem k provádění takovéto činnosti.
V tomto ohledu je třeba připomenout, jak bylo uvedeno v bodech 26 až 28 tohoto rozsudku, že samotné uvedení osobních údajů na seznamu výsledků vyhledávání představuje zpracování takových údajů. Přitom vzhledem k tomu, že zobrazení výsledků je na téže stránce doprovázeno zobrazením reklamy spojené s vyhledávanými pojmy, je nutno konstatovat, že dotčené zpracování osobních údajů je prováděno v rámci reklamní a obchodní činnosti provozovny správce na území členského státu, v projednávané věci na španělském území.
Za těchto podmínek nelze přijmout, aby zpracování osobních údajů prováděné pro potřeby fungování uvedeného vyhledávače nepodléhalo povinnostem a zárukám stanoveným směrnicí 95/46, což by ohrozilo její užitečný účinek a účinnou a úplnou ochranu základních svobod a práv fyzických osob, kterou má zajistit (obdobně viz rozsudek L’Oréal a další,
EU:C:2011:474
, body 62 a 63), zejména práva na soukromí v souvislosti se zpracováním osobních údajů, kterému tato směrnice připisuje zvláštní důležitost, jak potvrzují zejména její čl. 1 odst. 1 a body 2 a 10 odůvodnění (v tomto smyslu viz rozsudky Österreichischer Rundfunk a další, C‑465/00, C‑138/01 a C‑139/01,
EU:C:2003:294
, bod 70; Rijkeboer, C‑553/07,
EU:C:2009:293
, bod 47, jakož i IPI, C‑473/12,
EU:C:2013:715
, bod 28 a citovaná judikatura).
V rozsahu, v jakém první ze tří podmínek vyjmenovaných předkládajícím soudem sama o sobě postačí k závěru, že taková provozovna, jako je Google Spain, splňuje kritérium stanovené v čl. 4 odst. 1 písm. a) směrnice 95/46, není nezbytné přezkoumat zbývající dvě podmínky.
Z výše uvedeného vyplývá, že na první otázku písm. a) je třeba odpovědět tak, že čl. 4 odst. 1 písm. a) směrnice 95/46 musí být vykládán v tom smyslu, že zpracování osobních údajů je prováděno v rámci činností provozovny správce na území členského státu ve smyslu uvedeného ustanovení, pokud provozovatel internetového vyhledávače zřídí v členském státě pobočku nebo dceřinou společnost určenou k podpoře prodeje a k prodeji reklamního prostoru nabízeného tímto vyhledávačem, která zaměřuje svou činnost na obyvatele tohoto státu.
K první otázce písm. b) až d)
Vzhledem k odpovědi na první otázku písm. a) není namístě odpovědět na první otázku písm. b) až d).
Ke druhé otázce písm. c) a d), týkající se rozsahu odpovědnosti provozovatele vyhledávače na základě směrnice 95/46
Podstatou druhé otázky písm. c) a d) předkládajícího soudu je, zda čl. 12 písm. b) a čl. 14 první pododstavec písm. a) směrnice 95/46 musí být vykládány v tom smyslu, že provozovatel vyhledávače musí za účelem respektování práv zakotvených v uvedených ustanoveních vymazat ze zobrazeného seznamu výsledků vyhledávání provedeného na základě jména osoby odkazy na webové stránky zveřejněné třetími osobami a obsahující informace týkající se této osoby rovněž v případě, že toto jméno nebo tyto informace nebyly předtím nebo současně vymazány z uvedených webových stránek, a to případně i tehdy, jestliže je jejich zveřejnění na uvedených stránkách samo o sobě v souladu se zákonem.
Společnosti Google Spain a Google Inc. mají za to, že na základě zásady proporcionality musí být všechny žádosti o odstranění informací adresovány vydavateli dotčené webové stránky, neboť vydavatel je odpovědný za zveřejnění informací, může posoudit právoplatnost zveřejnění a má nejúčinnější a nejméně omezující prostředky k tomu, aby uvedené informace učinil nepřístupnými. Dále uložit provozovateli vyhledávače, aby ze svých indexů odstranil informace zveřejněné na internetu, by nedostatečně zohledňovalo základní práva vydavatelů webových stránek, ostatních uživatelů internetu, jakož i samotného provozovatele.
Podle rakouské vlády může vnitrostátní dozorčí orgán takovému provozovateli uložit, aby ze svých rejstříků vymazal informace zveřejněné třetími osobami, výhradně pokud byla předtím konstatována protiprávnost nebo nepřesnost dotčených údajů nebo pokud dotčená osoba podala úspěšnou stížnost k vydavateli webové stránky, na které byly uvedené informace zveřejněny.
M. Costeja González, španělská, italská a polská vláda, jakož i Komise mají za to, že vnitrostátní orgán může přímo provozovateli vyhledávače uložit, aby ze svých indexů a mezipaměti odstranil informace obsahující osobní údaje zveřejněné třetími osobami, aniž by se předtím nebo současně musel obrátit na vydavatele webové stránky, na které se uvedené informace nacházejí. Navíc podle M. Costeja Gonzáleze, španělské a italské vlády, jakož i podle Komise nemá okolnost, že uvedené informace byly zveřejněny v souladu se zákonem a že se stále nacházejí na původní webové stránce, vliv na povinnosti uvedeného provozovatele plynoucí ze směrnice 95/46. Naproti tomu podle polské vlády tato okolnost provozovatele jeho povinností zprošťuje.
Úvodem je třeba připomenout, že předmětem směrnice 95/46 – jak vyplývá z jejího článku 1 a jejího bodu 10 odůvodnění – je zajištění vysoké úrovně ochrany základních práv a svobod fyzických osob, zejména jejich soukromí, v souvislosti se zpracováním osobních údajů (v tomto smyslu viz rozsudek IPI,
EU:C:2013:715
, bod 28).
Podle bodu 25 odůvodnění směrnice 95/46 se zásady ochrany, které stanoví, musí odrazit jednak v povinnostech jednotlivců, orgánů veřejné moci, podniků, agentur nebo jiných subjektů odpovědných za zpracování údajů týkajících se zejména kvality údajů, technického zabezpečení, oznamování okolností, za jakých může být zpracování provedeno, orgánu dozoru a jednak v právu poskytnutém osobám, jejichž údaje jsou zpracovávány, být informován o tom, že jsou zpracovávány, právu přístupu k údajům, právu žádat jejich opravu a právu odmítnout za určitých okolností zpracování.
Soudní dvůr již rozhodl, že ustanovení směrnice 95/46 musí být v rozsahu, v němž upravují zpracování osobních údajů, které může představovat zásah do základních svobod, a zejména práva na soukromí, nutně vykládána ve světle základních práv, která podle ustálené judikatury tvoří nedílnou součást obecných právních zásad, jejichž dodržování Soudní dvůr zajišťuje a která jsou nyní zakotvená v Listině (viz zejména rozsudky Connolly v. Komise, C‑274/99 P,
EU:C:2001:127
, bod 37, jakož i Österreichischer Rundfunk a další,
EU:C:2003:294
, bod 68).
Článek 7 Listiny zaručuje právo na soukromý život, zatímco článek 8 Listiny výslovně zakotvuje právo na ochranu osobních údajů. Odstavce 2 a 3 daného článku uvádí, že uvedené údaje musí být zpracovány korektně, k přesně stanoveným účelům a na základě souhlasu dotčené osoby nebo na základě jiného oprávněného důvodu stanoveného zákonem, že každý má právo na přístup k údajům, které o něm byly shromážděny, a má právo na jejich opravu, a že na dodržování těchto pravidel dohlíží nezávislý orgán. Tyto požadavky jsou provedeny zejména články 6, 7, 12, 14 a 28 směrnice 95/46.
Článek 12 písm. b) směrnice 95/46 stanoví, že členské státy zaručí každé dotčené osobě právo získat od správce podle daného případu opravu, výmaz nebo blokování údajů, jejichž zpracování není v souladu se směrnicí 95/46, zejména z důvodů neúplné nebo nepřesné povahy údajů. Posledně uvedené upřesnění týkající se případu nesplnění požadavků stanovených v čl. 6 odst. 1 písm. d) směrnice 95/46 je příkladmé, a nikoli vyčerpávající, z čehož vyplývá, že nesoulad zpracování, který může dotčené osobě zpřístupnit právo zaručené v čl. 12 písm. b) uvedené směrnice, může plynout rovněž z porušení ostatních podmínek právoplatnosti uložených uvedenou směrnicí pro zpracování osobních údajů.
V tomto ohledu je třeba připomenout, že s výhradou výjimek, které připouští článek 13 směrnice 95/46, musí být jakékoli zpracování osobních údajů jednak v souladu se zásadami pro kvalitu údajů zakotvenými v článku 6 uvedené směrnice a jednak musí odpovídat některé ze zásad pro oprávněné zpracování údajů uvedených v článku 7 téže směrnice (viz rozsudky Österreichischer Rundfunk a další,
EU:C:2003:294
, bod 65; ASNEF a FECEMD, C‑468/10 a C‑469/10,
EU:C:2011:777
, bod 26, jakož i Worten, C‑342/12,
EU:C:2013:355
, bod 33).
Podle tohoto článku 6 a s výhradou zvláštních ustanovení, která mohou členské státy přijmout pro zpracování pro historické, statistické nebo vědecké účely, přísluší správci zajistit, aby osobní údaje byly „zpracovány korektně a zákonným způsobem“, aby byly „shromažďovány pro stanovené účely, výslovně vyjádřené a legitimní, a [nebyly] dále zpracovávány způsobem neslučitelným s těmito účely“, aby byly „přiměřené, podstatné a nepřesahující míru s ohledem na účely, pro které jsou shromažďovány a/nebo dále zpracovávány“, aby byly „přesné, a je-li to nezbytné, i aktualizované“, a konečně, aby byly„uchovávány ve formě umožňující identifikaci subjektů údajů po dobu ne delší, než je nezbytné pro uskutečnění cílů, pro které jsou shromažďovány nebo dále zpracovávány“. V tomto kontextu musí uvedený správce přijmout přiměřená opatření k tomu, aby údaje nesplňující požadavky uvedeného ustanovení byly vymazány nebo opraveny.
Pokud jde o uznání takového zpracování, jako je zpracování dotčené v původním řízení, prováděného provozovatelem vyhledávače, za legitimní na základě článku 7 směrnice 95/46, toto zpracování může spadat pod důvod uvedený v daném čl. 7 písm. f).
Dané ustanovení umožňuje zpracování osobních údajů, pokud je nezbytné pro uskutečnění oprávněných zájmů správce nebo třetí osoby či osob, kterým jsou údaje sdělovány, za podmínky, že nad nimi nepřeváží zájem nebo základní práva a svobody subjektu údajů, zejména jeho právo na soukromí v souvislosti se zpracováním osobních údajů, které vyžadují ochranu podle čl. 1 odst. 1 uvedené směrnice. Použití uvedeného čl. 7 písm. f) tak vyžaduje poměření práv a zájmů stojících v dotčeném případě proti sobě, v jehož rámci musí být zohledněna důležitost práv subjektu údajů vyplývajících z článků 7 a 8 Listiny (viz rozsudek ASNEF a FECEMD,
EU:C:2011:777
, body 38 a 40).
Pokud lze soulad zpracování s článkem 6 a čl. 7 písm. f) směrnice 95/46 ověřit v rámci žádosti ve smyslu čl. 12 písm. b) uvedené směrnice, může subjekt údajů navíc za určitých podmínek uplatnit právo na námitku stanovené v čl. 14 prvním pododstavci písm. a) uvedené směrnice.
Podle daného čl. 14 prvního pododstavce písm. a) členské státy přiznávají subjektu údajů právo, alespoň v případech uvedených v čl. 7 písm. e) a f) směrnice 95/46, vznést kdykoli z vážných a legitimních důvodů souvisejících s jeho osobní situací námitku proti zpracování osobních údajů, které se ho týkají, ledaže vnitrostátní právo stanoví jinak. Poměření důvodů, které musí proběhnout v rámci uvedeného čl. 14 prvního pododstavce písm. a), tak umožňuje podrobněji zohlednit všechny okolnosti konkrétní situace subjektu údajů. Je-li námitka oprávněná, nesmí se zpracování zahájené správcem těchto údajů nadále týkat.
Žádosti na základě čl. 12 písm. b) a čl. 14 prvního pododstavce písm. a) směrnice 95/46 mohou být subjektem údajů zaslány přímo správci, který musí řádně přezkoumat jejich opodstatněnost a případně dotčené zpracování údajů ukončit. Pokud správce uvedeným žádostem nevyhoví, může se subjekt údajů obrátit na dozorčí nebo soudní orgán, aby provedl potřebná ověření a následně uložil danému provozovateli konkrétní opatření.
V tomto ohledu je třeba uvést, že z čl. 28 odst. 3 a 4 směrnice 95/46 vyplývá, že na každý dozorčí orgán se může obrátit jakákoli osoba se žádostí týkající se ochrany svých práv a svobod v souvislosti se zpracováním osobních údajů a že každý dozorčí orgán má pravomoci provádět šetření a pravomoci účinně zasáhnout, které mu umožňují zejména nařídit blokování, výmaz nebo zničení údajů nebo takové zpracování dočasně nebo trvale zakázat.
Ustanovení směrnice 95/46 upravující práva subjektu údajů v případě, kdy tato osoba předloží dozorčímu orgánu nebo soudnímu orgánu takovou žádost nebo návrh, jako je tomu v původním řízení, je třeba vykládat a uplatňovat s ohledem na uvedené úvahy.
V tomto ohledu je třeba bez dalšího uvést, že – jak bylo konstatováno v bodech 36 až 38 tohoto rozsudku – takové zpracování osobních údajů, jako je zpracování dotčené v původním řízení, prováděné provozovatelem vyhledávače, by se mohlo významně dotknout základního práva na soukromí a základního práva na ochranu osobních údajů, je-li vyhledávání pomocí tohoto vyhledávače uskutečněno na základě jména fyzické osoby, pokud uvedené zpracování umožní všem uživatelům internetu získat prostřednictvím seznamu výsledků vyhledávání strukturovaný přehled informací, které se týkají dotčené osoby a jsou dohledatelné na internetu, které se mohou týkat řady aspektů jejího soukromí a které by bez uvedeného vyhledávače nemohly – nebo jen velmi obtížně mohly – být vzájemně propojeny, a vytvořit tak víceméně podrobný profil subjektu údajů. Navíc účinek zásahu do uvedených práv subjektu údajů je znásoben z důvodu významné úlohy, kterou hrají v moderní společnosti internet a vyhledávače, jež činí informace obsažené v takovém seznamu všudypřítomnými (v tomto smyslu viz rozsudek eDate Advertising a další, C‑509/09 a C‑161/10,
EU:C:2011:685
, bod 45).
S ohledem na možnou závažnost takového zásahu je nutno konstatovat, že tento zásah nelze odůvodnit pouze hospodářským zájmem provozovatele vyhledávače na takovém zpracování. Avšak v rozsahu, v jakém by se vymazání odkazů ze seznamu výsledků vyhledávání mohlo v závislosti na dotčené informaci dotknout legitimních zájmů uživatelů internetu, kteří by mohli mít zájem na přístupu k této informaci, je třeba v takové situaci, jako je situace dotčená v původním řízení, hledat spravedlivou rovnováhu zejména mezi uvedeným zájmem a základními právy subjektu údajů plynoucími z článků 7 a 8 Listiny. Ačkoli práva subjektu údajů chráněná uvedenými články rovněž obecně převažují nad uvedeným zájmem uživatelů internetu, může nicméně daná rovnováha záviset v konkrétních případech na povaze dotčené informace a její citlivosti v souvislosti se soukromím subjektu údajů, jakož i na zájmu veřejnosti mít k této informaci přístup, jenž se může lišit zejména v závislosti na úloze, kterou má subjekt údajů ve veřejném životě.
Po posouzení podmínek uplatnění čl. 12 písm. b) a čl. 14 prvního pododstavce písm. a) směrnice 95/46, které musí provést v případě podání takové žádosti nebo návrhu, jako v původním řízení, může dozorčí orgán nebo soudní orgán nařídit dotčenému provozovateli vymazat ze zobrazeného seznamu výsledků vyhledávání provedeného na základě jména osoby odkazy na webové stránky zveřejněné třetími osobami a obsahující informace týkající se této osoby, aniž takové nařízení předpokládá, že uvedené jméno a uvedené informace budou z vůle vydavatele nebo na základě nařízení uvedených orgánů předtím nebo současně vymazány z webové stránky, na které byly zveřejněny.
Jak bylo totiž konstatováno v bodech 35 až 38 tohoto rozsudku, v rozsahu, v jakém se zpracování osobních údajů prováděné v rámci činnosti vyhledávače liší od zpracování prováděného vydavateli webových stránek a doplňuje jej, a v jakém dále – vedle zpracování prováděného vydavateli webových stránek – ovlivňuje základní práva subjektu údajů, musí provozovatel uvedeného vyhledávače, jako správce odpovědný za dané zpracování, v rámci své odpovědnosti, pravomoci a možností zajistit, aby toto zpracování splňovalo požadavky směrnice 95/46, aby směrnicí stanovené záruky mohly nabýt plného účinku.
V tomto ohledu je třeba uvést, že vzhledem k jednoduchosti, s jakou lze informace zveřejněné na webové stránce replikovat na jiných stránkách, a ke skutečnosti, že osoby odpovídající za zveřejnění informací nepodléhají vždy unijnímu právu, by nebylo možné dosáhnout účinné a úplné ochrany subjektů údajů, pokud by tyto subjekty musely předtím nebo současně dosáhnout výmazu informací, které se jich týkají, ze strany vydavatelů webových stránek.
Mimoto zpracování vydavatelem webové stránky, spočívající ve zveřejnění informací týkajících se fyzické osoby, lze případně uskutečnit „výlučně pro účely žurnalistiky“, a těžit tedy na základě článku 9 směrnice 95/46 z výjimek z požadavků uvedené směrnice, kdežto v případě zpracování uskutečněného provozovatelem vyhledávače tomu tak podle všeho není. Nelze tedy vyloučit, že za určitých okolností by subjekt údajů mohl právo uvedené v čl. 12 písm. b) a čl. 14 prvním pododstavci písm. a) směrnice 95/46 uplatnit proti uvedenému provozovateli, avšak nikoli proti vydavateli dané webové stránky.
Konečně je třeba konstatovat, že se důvod odůvodňující na základě článku 7 směrnice 95/46 zveřejnění osobního údaje na webové stránce nejen nemusí nutně shodovat s důvodem vztahujícím se na činnosti vyhledávače, ale i když se oba shodují, může se výsledek poměření dotčených zájmů, které se provede na základě čl. 7 písm. f) a čl. 14 prvního pododstavce písm. a) uvedené směrnice, lišit podle toho, zda jde o zpracování provedené provozovatelem vyhledávače, nebo o zpracování provedené vydavatelem dané webové stránky, neboť jednak se mohou lišit legitimní zájmy odůvodňující uvedená zpracování a jednak nemusí být nutně totožné důsledky uvedených zpracování pro subjekt údajů, a zejména pro jeho soukromí.
V rozsahu, v jakém zahrnutí webové stránky a informací, které jsou na ní obsaženy a které se týkají fyzické osoby, na zobrazený seznam výsledků vyhledávání, provedeného na základě jména dané osoby, citelně usnadňuje přístup k těmto informacím všem uživatelům internetu provádějícím vyhledávání na základě jména dotčené osoby a může mít rozhodující úlohu v šíření uvedených informací, může totiž takové zahrnutí představovat významnější zásah do základního práva na soukromí subjektu údajů než zveřejnění vydavatelem uvedené webové stránky.
S ohledem na veškeré předchozí úvahy je třeba na druhou otázku písm. c) a d) odpovědět, že čl. 12 písm. b) a čl. 14 první pododstavec písm. a) směrnice 95/46 musí být vykládány v tom smyslu, že za účelem respektování práv stanovených v uvedených ustanoveních, a pokud jsou v nich stanovené podmínky skutečně splněny, musí provozovatel vyhledávače vymazat ze zobrazeného seznamu výsledků vyhledávání provedeného na základě jména osoby odkazy na webové stránky zveřejněné třetími osobami a obsahující informace týkající se této osoby rovněž v případě, že toto jméno nebo tyto informace nebyly předtím nebo současně vymazány z uvedených webových stránek, a to případně i tehdy, jestliže je jejich zveřejnění na uvedených stránkách samo o sobě v souladu se zákonem.
Ke třetí otázce, týkající rozsahu práv subjektu údajů zaručených směrnicí 95/46
Podstatou třetí otázky předkládajícího soudu je, zda čl. 12 písm. b) a čl. 14 první pododstavec písm. a) směrnice 95/46 musí být vykládány v tom smyslu, že umožňují subjektu údajů požadovat od provozovatele vyhledávače, aby vymazal ze zobrazeného seznamu výsledků vyhledávání provedeného na základě jména tohoto subjektu odkazy na webové stránky legálně zveřejněné třetími osobami a obsahující pravdivé informace týkající se tohoto subjektu z důvodu, že ho uvedené informace mohou poškodit nebo protože si přeje, aby uvedené informace byly po určité době „zapomenuty“.
Společnost Google Spain, společnost Google Inc., řecká, rakouská a polská vláda, jakož i Komise mají za to, že tato otázka vyžaduje zápornou odpověď. Společnost Google Spain, společnost Google Inc., polská vláda a Komise v tomto ohledu tvrdí, že čl. 12 písm. b) a čl. 14 první pododstavec písm. a) směrnice 95/46 udělují subjektům údajů práva výhradně za podmínky, že je dotčené zpracování neslučitelné s uvedenou směrnicí nebo z vážných a legitimních důvodů souvisejících s jejich osobní situací, a nikoli pouze z důvodu, že mají za to, že je uvedené zpracování může poškodit nebo že si přejí, aby údaje, které jsou předmětem uvedeného zpracování, upadly v zapomenutí. Řecká a rakouská vláda mají za to, že se subjekt údajů musí obrátit na vydavatele dotčené webové stránky.
M. Costeja González, jakož i španělská a italská vláda jsou toho názoru, že subjekt údajů může podat námitku proti indexování svých osobních údajů vyhledávačem, jestliže ho šíření uvedených údajů prostřednictvím vyhledávače poškozuje a jeho základní právo na ochranu údajů a základní právo na soukromí, která zahrnují „právo být zapomenut“, převažují nad legitimními zájmy provozovatele uvedeného vyhledávače a obecným zájmem na svobodě informací.
Ohledně čl. 12 písm. b) směrnice 95/46, jehož použití podléhá podmínce, aby zpracování osobních údajů bylo neslučitelné s uvedenou směrnicí, je třeba připomenout, jak bylo uvedeno v bodě 72 tohoto rozsudku, že taková neslučitelnost může plynout nejen ze skutečnosti, že uvedené údaje jsou nepřesné, ale konkrétně také ze skutečnosti, že jsou nepřiměřené, nepodstatné a přesahují míru s ohledem na účely, pro které jsou zpracovávány, že nejsou aktualizovány nebo že jsou uchovávány po dobu delší, než je nezbytně nutné, pokud nejsou uchovávány pro historické, statistické nebo vědecké účely.
Z uvedených požadavků stanovených v čl. 6 odst. 1 písm. c) až e) směrnice 95/46 vyplývá, že i zpracování přesných údajů, které bylo původně v souladu se zákonem, se časem může stát neslučitelným s uvedenou směrnicí, jestliže již uvedené údaje nejsou nezbytné pro účely, pro které byly shromažďovány nebo zpracovány. To platí zejména v případě, že se zdají nepřiměřenými, jsou nepodstatné nebo již nepodstatné nebo přesahují míru s ohledem na uvedené účely a uplynulý čas.
V případě, že je v návaznosti na žádost subjektu údajů na základě čl. 12 písm. b) směrnice 95/46 konstatováno, že zahrnutí odkazů na webové stránky legálně zveřejněné třetími osobami a obsahující pravdivé informace týkající se jeho osoby do zobrazeného seznamu výsledků vyhledávání provedeného na základě jeho jména je za současného stavu neslučitelné s uvedeným čl. 6 odst. 1 písm. c) až e), protože uvedené informace se s ohledem na všechny okolnosti projednávané věci ukazují jako nepřiměřené, irelevantní nebo již irelevantní nebo přesahující míru s ohledem na účely dotčeného zpracování provedeného provozovatelem vyhledávače, tudíž musí být dotčené informace a odkazy z uvedeného seznamu výsledků vymazány.
Pokud jde o žádosti ve smyslu tohoto čl. 12 písm. b) založené na údajném porušení podmínek stanovených v čl. 7 písm. f) směrnice 95/46, jakož i žádosti podle čl. 14 prvního pododstavce písm. a) uvedené směrnice, je třeba uvést, že veškeré zpracování osobních údajů musí být odůvodněno ve smyslu tohoto článku 7 po celou dobu provádění zpracování.
S ohledem na výše uvedené je v rámci posouzení takových žádostí podaných proti takovému zpracování, jako je zpracování dotčené v původním řízení, třeba zejména přezkoumat, zda má subjekt údajů právo na to, aby informace, která se ho týká, za současného stavu již nebyla nadále spojena s jeho jménem prostřednictvím zobrazeného seznamu výsledků vyhledávání uskutečněného na základě jeho jména. V tomto ohledu je třeba zdůraznit, že konstatování takového práva nepředpokládá, že zahrnutí dotčené informace do dotčeného seznamu výsledků vyhledávání subjekt údajů poškozuje.
Vzhledem k tomu, že subjekt údajů může v souvislosti se svými základními právy na základě článků 7 a 8 Listiny požadovat, aby dotčená informace již nebyla nadále poskytována široké veřejnosti prostřednictvím zahrnutí do takového seznamu výsledků, je třeba mít za to, jak vyplývá zejména z bodu 81 tohoto rozsudku, že tato práva v zásadě převládají nejen nad hospodářským zájmem provozovatele vyhledávače, ale rovněž nad zájmem veřejnosti nalézt uvedenou informaci při vyhledávání prováděném na základě jména subjektu údajů. Avšak není tomu tak v případě, kdy se z konkrétních důvodů, jako je úloha subjektu údajů ve veřejném životě, jeví, že zásah do jeho základních práv je odůvodněný převažujícím zájmem uvedené veřejnosti mít na základě tohoto zahrnutí k dotčené informaci přístup.
Pokud jde o situaci, jako je situace dotčená v původním řízení, která se týká toho, že v seznamu výsledků, které získá uživatel internetu po provedení vyhledávání na základě jména subjektu údajů pomocí Google Search, jsou zobrazeny odkazy na stránky online archivu deníku obsahující oznámení, které uvádí jméno tohoto subjektu v souvislosti s dražbou nemovitostí zabavených v důsledku dluhů na sociálním zabezpečení, je třeba mít za to, že vzhledem k citlivosti informací obsažených v daných oznámeních pro soukromí uvedeného subjektu a skutečnosti, že tato oznámení byla původně zveřejněna před 16 lety, má subjekt údajů právo na to, aby uvedené informace nebyly prostřednictvím takového seznamu nadále spojeny s jeho jménem. Jelikož se jeví, že v projednávané věci neexistují konkrétní důvody odůvodňující převažující zájem veřejnosti mít v rámci takového vyhledávání přístup k uvedeným informacím, což však musí posoudit předkládající soud, může proto subjekt údajů na základě čl. 12 písm. b) a čl. 14 prvního pododstavce písm. a) směrnice 95/46 požadovat výmaz uvedených odkazů z tohoto seznamu výsledků.
Z předchozích úvah vyplývá, že na třetí otázku je třeba odpovědět, že čl. 12 písm. b) a čl. 14 první pododstavec písm. a) směrnice 95/46 musí být vykládány v tom smyslu, že v rámci posouzení podmínek pro uplatnění uvedených ustanovení je třeba zejména přezkoumat, zda má subjekt údajů právo na to, aby daná informace týkající se jeho osoby za současného stavu již nebyla nadále spojena s jeho jménem prostřednictvím zobrazeného seznamu výsledků vyhledávání provedeného na základě jeho jména, aniž přitom konstatování takového práva předpokládá, že zahrnutí dotčené informace do uvedeného seznamu subjekt údajů poškozuje. Vzhledem k tomu, že posledně uvedený subjekt může s ohledem na svá základní práva podle článků 7 a 8 Listiny požadovat, aby dotčená informace již nebyla nadále poskytována široké veřejnosti na základě jejího zahrnutí do takového seznamu výsledků, převládají uvedená práva v zásadě nejen nad hospodářským zájmem provozovatele vyhledávače, ale rovněž nad zájmem veřejnosti nalézt uvedenou informaci při vyhledávání prováděném na základě jména subjektu údajů. Avšak nebylo tomu tak v případě, kdy by se z konkrétních důvodů, jako je úloha subjektu údajů ve veřejném životě, jevilo, že zásah do jeho základních práv je odůvodněn převažujícím zájmem uvedené veřejnosti mít na základě tohoto zahrnutí k dotčené informaci přístup.
K nákladům řízení
Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.

Z těchto důvodů Soudní dvůr (velký senát) rozhodl takto:

1)
Článek 2 písm. b) a d) směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů musí být vykládán v tom smyslu, že jednak činnost vyhledávače spočívající ve vyhledávání informací zveřejněných nebo umístěných na internetu třetími osobami, v jejich automatickém indexování, v jejich dočasném ukládání a konečně v jejich poskytování uživatelům internetu v určitém preferenčním pořadí musí být kvalifikována jako „zpracování osobních údajů“ ve smyslu uvedeného čl. 2 písm. b), pokud uvedené informace obsahují osobní údaje, a jednak provozovatel uvedeného vyhledávače musí být považován za „správce“ odpovědného za dané zpracování ve smyslu uvedeného čl. 2 písm. d).

2)
Článek 4 odst. 1 písm. a) směrnice 95/46 musí být vykládán v tom smyslu, že zpracování osobních údajů je prováděno v rámci činností provozovny správce na území členského státu ve smyslu uvedeného ustanovení, pokud provozovatel internetového vyhledávače zřídí v členském státě pobočku nebo dceřinou společnost určenou k podpoře prodeje a k prodeji reklamního prostoru nabízeného tímto vyhledávačem, která zaměřuje svou činnost na obyvatele tohoto členského státu.

3)
Článek 12 písm. b) a čl. 14 první pododstavec písm. a) směrnice 95/46 musí být vykládány v tom smyslu, že za účelem respektování práv stanovených v uvedených ustanoveních, a pokud jsou v nich stanovené podmínky skutečně splněny, musí provozovatel vyhledávače vymazat ze zobrazeného seznamu výsledků vyhledávání provedeného na základě jména osoby odkazy na webové stránky zveřejněné třetími osobami a obsahující informace týkající se této osoby rovněž v případě, že toto jméno nebo tyto informace nebyly předtím nebo současně vymazány z uvedených webových stránek, a to případně i tehdy, jestliže je jejich zveřejnění na uvedených stránkách samo o sobě v souladu se zákonem.

4)
Článek 12 písm. b) a čl. 14 první pododstavec písm. a) směrnice 95/46 musí být vykládány v tom smyslu, že v rámci posouzení podmínek pro uplatnění uvedených ustanovení je třeba zejména přezkoumat, zda má subjekt údajů právo na to, aby daná informace týkající se jeho osoby za současného stavu již nebyla nadále spojena s jeho jménem prostřednictvím zobrazeného seznamu výsledků vyhledávání provedeného na základě jeho jména, aniž přitom konstatování takového práva předpokládá, že zahrnutí dotčené informace do uvedeného seznamu subjekt údajů poškozuje. Vzhledem k tomu, že posledně uvedený subjekt může s ohledem na svá základní práva podle článků 7 a 8 Listiny požadovat, aby dotčená informace již nebyla nadále poskytována široké veřejnosti na základě jejího zahrnutí do takového seznamu výsledků, převládají uvedená práva v zásadě nejen nad hospodářským zájmem provozovatele vyhledávače, ale rovněž nad zájmem veřejnosti nalézt uvedenou informaci při vyhledávání prováděném na základě jména subjektu údajů. Avšak nebylo by tomu tak v případě, kdy by se z konkrétních důvodů, jako je úloha subjektu údajů ve veřejném životě, jevilo, že zásah do jeho základních práv je odůvodněn převažujícím zájmem uvedené veřejnosti mít na základě tohoto zahrnutí k dotčené informaci přístup.

Podpisy.
(
*1
) – Jednací jazyk: španělština.