CELEX: 62012CJ0131
Personuppgifter
Skydd för enskilda personer med avseende på behandling av personuppgifter
Direktiv 95/46/EG
Artiklarna 2, 4, 12 och 14
Materiellt och territoriellt tillämpningsområde
Sökmotorer på internet
Behandling av uppgifter på webbplatser
Sökning, indexering och lagring av dessa uppgifter
Sökmotorleverantörens ansvar
Etableringsställe på en medlemsstats territorium
Omfattning av sökmotorleverantörens skyldigheter och av rättigheterna för den berörda personen
Europeiska unionens stadga om de grundläggande rättigheterna
Artiklarna 7 och 8

Begäran om förhandsavgörande avser tolkningen av artiklarna 2 b och d, 4.1 a och c, 12 b och 14 första stycket a i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (
EGT L 281, s. 31
) samt artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan).
Begäran har framställts i ett mål mellan å ena sidan Google Spain SL (nedan kallat Google Spain) och Google Inc. och å andra sidan Agencia Española de Protección de Datos (dataskyddsmyndighet) (nedan kallad AEPD) och Mario Costeja González. Målet rör AEPD:s beslut att bifalla Mario Costeja González klagomål mot dessa två bolag samt att förelägga Google Inc. att vidta de åtgärder som krävs för att avlägsna personuppgifter rörande Mario Costeja González från sitt index samt omöjliggöra åtkomst till dessa uppgifter i framtiden.
Tillämpliga bestämmelser
Unionsrätt
Enligt artikel 1 i direktiv 95/46 är syftet med direktivet att skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter, samt att avlägsna begränsningar av det fria flödet av personuppgifter. I skälen 2, 10, 18–20 och 25 i direktivet anges följande:
”(2)
Systemen för databehandling av uppgifter är till för människornas skull. Oavsett fysiska personers medborgarskap eller hemvist måste systemen respektera dessa personers grundläggande fri- och rättigheter – särskilt rätten till privatlivet – och bidra till ... enskilda personers välfärd.
...
(10)
Ändamålet med den nationella lagstiftningen om behandling av personuppgifter är att skydda grundläggande fri- och rättigheter, särskilt den rätt till privatlivet som erkänns både i artikel 8 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna[, undertecknad i Rom den 4 november 1950,] och i gemenskapsrättens allmänna rättsprinciper. Av denna anledning får tillnärmningen av denna lagstiftning inte medföra någon inskränkning i det skydd de ger, utan skall i stället syfta till att garantera en hög skyddsnivå inom gemenskapen.
...
(18)
För att undvika att en enskild person förvägras det skydd som tillkommer honom enligt detta direktiv skall varje behandling av personuppgifter inom gemenskapen ske i enlighet med lagstiftningen i en av medlemsstaterna. Med hänsyn till detta bör behandlingen av uppgifter som utförs av någon som på uppdrag av en registeransvarig som är etablerad i en medlemsstat regleras av den statens lagstiftning.
(19)
Etablering[sställe] på en medlemsstats territorium förutsätter effektiv och faktisk verksamhet med hjälp av en stabil struktur. Härvid har den berörda verksamhetens rättsliga form inte avgörande betydelse, oavsett om det är fråga om en filial eller om ett dotterbolag som är en juridisk person. Om den ansvarige är etablerad på flera medlemsstaters territorier, särskilt genom dotterbolag, måste han för att undvika varje kringgående garantera att varje verksamhet uppfyller bestämmelserna i den nationella lagstiftning som gäller för aktiviteterna.
(20)
Den omständigheten att den registeransvarige är etablerad i ett tredje land får inte utgöra ett hinder för det skydd som enskilda personer ges i detta direktiv. I sådana fall skall på behandlingen av uppgifter tillämpas den medlemsstats lagstiftning som innehåller de hjälpmedel som används för behandlingen. Det bör finnas garantier för att de rättigheter som följer av detta direktiv respekteras i praktiken.
...
(25)
Principerna för skyddet måste avspeglas dels i de förpliktelser som åvilar [registeransvariga personer] särskilt med avseende på uppgifternas kvalitet, den tekniska säkerheten, anmälningar till tillsynsmyndigheten och de omständigheter under vilka behandling får utföras, dels i de rättigheter som tillkommer enskilda personer, vilkas personuppgifter blir föremål för behandling, att bli informerade om att behandling sker, att få tillgång till uppgifterna, att begära rättelse och att under vissa omständigheter invända mot behandlingen.”
I artikel 2 i direktiv 95/46 anges att i ”detta direktiv avses med
a)
personuppgifter
: varje upplysning som avser en identifierad eller identifierbar fysisk person (
den registrerade
). En identifierbar person är en person som kan identifieras, direkt eller indirekt, framför allt genom hänvisning till ett identifikationsnummer eller till en eller flera faktorer som är specifika för hans fysiska, fysiologiska, psykiska, ekonomiska, kulturella eller sociala identitet,
b)
behandling av personuppgifter (behandling)
: varje åtgärd eller serie av åtgärder som vidtas beträffande personuppgifter, vare sig det sker på automatisk väg eller inte, till exempel insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring,
...
d)
registeransvarig
: den fysiska eller juridiska person, den myndighet, den institution eller det andra organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. När ändamålen och medlen för behandlingen bestäms av nationella lagar och andra författningar eller av gemenskapsrätten kan den registeransvarige eller de särskilda kriterierna för att utse honom anges i nationell rätt eller i gemenskapsrätten,
...”
I artikel 3.1, under rubriken ”Tillämpningsområde”, i direktivet föreskrivs följande:
”Detta direktiv gäller för sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg liksom för annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register.”
I artikel 4 i direktivet, som har rubriken ”Tillämplig nationell rätt”, föreskrivs följande:
”1.   Varje medlemsstat skall tillämpa de nationella bestämmelser som den för genomförandet av detta direktiv antar för behandlingen av personuppgifter när
a)
behandlingen utförs som ett led i verksamhet inom den medlemsstats territorium, där den registeransvarige är etablerad. Om en registeransvarig är etablerad inom flera medlemsstaters territorier skall han vidta nödvändiga åtgärder för att säkerställa att alla verksamheter uppfyller kraven enligt den tillämpliga nationella lagstiftningen,
b)
den registeransvarige inte är etablerad inom en medlemsstats territorium utan på en plats där medlemsstatens lagstiftning gäller på grund av folkrätten,
c)
den registeransvarige inte är etablerad på gemenskapens territorium och för behandling av personuppgifter använder databehandlad eller icke databehandlad utrustning som befinner sig på den nämnda medlemsstatens territorium, om inte sådan utrustning endast används för att låta uppgifter passera genom gemenskapen.
2.   Under de omständigheter som avses i punkt 1 c) måste den registeransvarige utse en företrädare som är etablerad inom den berörda medlemsstatens territorium, utan att detta i övrigt påverkar de eventuella rättsliga åtgärder som kan komma att inledas mot den ansvarige själv.”
Artikel 6 i avdelning I, med rubriken ”Principer om uppgifternas kvalitet”, i kapitel II i direktivet har följande lydelse:
”1.   Medlemsstaterna skall föreskriva att personuppgifter
a)
skall behandlas på ett korrekt och lagligt sätt,
b)
skall samlas in för särskilda, uttryckligt angivna och berättigade ändamål; senare behandling får inte ske på ett sätt som är oförenligt med dessa ändamål. Senare behandling av uppgifter för historiska, statistiska eller vetenskapliga ändamål skall inte anses oförenlig med dessa ändamål förutsatt att medlemsstaterna beslutar om lämpliga skyddsåtgärder,
c)
skall vara adekvata och relevanta och inte får omfatta mer än vad som är nödvändigt med hänsyn till de ändamål för vilka de har samlats in och för vilka de senare behandlas,
d)
skall vara riktiga och, om nödvändigt, aktuella. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga eller ofullständiga i förhållande till de ändamål för vilka de samlades in eller för vilka de senare behandlas, utplånas eller rättas,
e)
förvaras på ett sätt som förhindrar identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka uppgifterna samlades in eller för vilka de senare behandlades. Medlemsstaterna skall vidta lämpliga skyddsåtgärder för de personuppgifter som lagras under längre perioder för historiska, statistiska eller vetenskapliga ändamål.
2.   Det åligger den registeransvarige att säkerställa att punkt 1 efterlevs.”
Artikel 7 i avdelning II, med rubriken ”Principer som gör att uppgiftsbehandling kan tillåtas”, i kapitel II i direktivet föreskriver följande:
”Medlemsstaterna skall föreskriva att personuppgifter får behandlas endast om
...
f)
behandlingen är nödvändig för ändamål som rör berättigade intressen hos den registeransvarige eller hos den eller de tredje män till vilka uppgifterna har lämnats ut, utom när sådana intressen uppvägs av den registrerades intressen eller dennes grundläggande fri- och rättigheter som kräver skydd under artikel 1.1.”
I artikel 9 i direktivet, som har rubriken ”Behandling av personuppgifter och yttrandefriheten”, stadgas följande:
”Medlemsstaterna skall med avseende på behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande besluta om undantag och avvikelser från bestämmelserna i detta kapitel, kapitel IV och kapitel VI endast om de är nödvändiga för att förena rätten till privatlivet med reglerna om yttrandefriheten.”
I artikel 12 i samma direktiv, med rubriken ”Rätt till tillgång”, föreskrivs följande:
”Medlemsstaterna skall säkerställa att varje registrerad har rätt att från den registeransvarige
...
b)
i förekommande fall få sådana uppgifter som inte behandlats i enlighet med bestämmelserna i detta direktiv rättade, utplånade eller blockerade, särskilt om dessa är ofullständiga eller felaktiga,
...”
I artikel 14, med rubriken ”Den registrerades rätt att göra invändningar”, föreskrivs följande:
”Medlemsstaterna skall tillförsäkra den registrerade rätten atta)
a)
åtminstone i de fall som avses i artikel 7 e) och f) när som helst av avgörande och berättigade skäl som rör hans personliga situation motsätta sig behandling av uppgifter som rör honom, utom när den nationella lagstiftningen föreskriver något annat. När invändningen är berättigad får den behandling som påbörjats av den registeransvarige inte längre avse dessa uppgifter,
...”
I artikel 28, som har rubriken ”Tillsynsmyndighet”, föreskrivs följande:
”1.   Varje medlemsstat skall tillse att det utses en eller flera myndigheter som har till uppgift att inom dess territorium övervaka tillämpningen av de bestämmelser som medlemsstaterna antar till följd av detta direktiv.
...
3.   Varje tillsynsmyndighet skall särskilt ha
—
undersökningsbefogenheter, såsom befogenhet att få tillgång till uppgifter som blir föremål för behandling och befogenhet att inhämta alla uppgifter som är nödvändiga för att sköta tillsynen,
—
effektiva befogenheter att ingripa, som till exempel att kunna ... besluta om blockering, utplåning eller förstöring av uppgifter, att kunna besluta om tillfälligt eller slutligt förbud mot behandling ...
—
.
Sådana beslut av tillsynsmyndigheten som går en part emot kan överklagas till domstol.
4.   Var och en kan, på egen hand eller företrädd av en organisation, vända sig till tillsynsmyndigheten med begäran om skydd för sina fri- och rättigheter med avseende på behandling av personuppgifter. Den berörda personen skall informeras om vilka följder hans begäran har fått.
...
6.   En tillsynsmyndighet har, oavsett vilken nationell lagstiftning som gäller för den aktuella behandlingen, behörighet att inom sin egen medlemsstats territorium utöva de befogenheter som i enlighet med punkt 3 åligger den. Varje myndighet kan av en myndighet i en annan medlemsstat anmodas att utöva sina befogenheter.
De övervakande myndigheterna skall i den utsträckning som det behövs samarbeta med varandra, särskilt genom att utbyta användbar information.
...”
Spansk rätt
Direktiv 95/46 införlivades i spansk rätt genom lag nr 15/1999 av den 13 december 1999 om skydd för personuppgifter (BOE nr 298 av den 14 december 1999, s. 43088).
Målet vid den nationella domstolen och tolkningsfrågorna
Den 5 mars 2010 lämnade den i Spanien bosatte spanske medborgaren Mario Costeja González in ett klagomål till AEPD avseende La Vanguardia Ediciones SL (nedan kallad La Vanguardia), som ger ut en dagstidning med stor upplaga, bland annat i Katalonien (Spanien), samt avseende Google Spain och Google Inc. Klagomålet grundade sig på den omständigheten att när en internetanvändare angav Mario Costeja González namn i Google-koncernens sökmotor (nedan kallad Google Search) erhöll denne länkar till två sidor från dagstidningen La Vanguardia från den 19 januari respektive 9 mars 1998, på vilka det återfanns en annons i vilken Mario Costeja González namn nämndes. Annonsen avsåg en försäljning av fastigheter på exekutiv auktion, vilka hade utmätts på grund av obetalda socialförsäkringsavgifter.
Mario Costeja González begärde i klagomålet att La Vanguardia skulle åläggas att ta bort eller ändra sidorna så att hans personuppgifter inte visades, eller att tidningen skulle använda sig av vissa verktyg som sökmotorn tillhandahåller för att skydda hans personuppgifter. Han begärde också att Google Spain eller Google Inc. skulle åläggas att ta bort eller dölja hans personuppgifter så att de inte längre skulle synas bland sökresultaten eller i La Vanguardias länkar. Mario Costeja González gjorde i detta sammanhang gällande att utmätningen till fullo hade avslutats för flera år sedan och att dess omnämnande nu saknade relevans.
Genom beslut av den 30 juli 2010 avslog AEPD klagomålet när det gällde La Vanguardia med anledning av att publiceringen av uppgifterna i tidningen var lagliga, eftersom de hade publicerats på order av arbetsmarknads- och socialministeriet och syftet med den var att ge största möjliga publicitet åt auktionerna för att få så många budgivare som möjligt.
I beslutet bifölls dock klagomålet när det gällde Google Spain och Google Inc. AEPD ansåg att de som driver sökmotorer omfattas av lagstiftningen rörande skydd av personuppgifter, eftersom de utför en behandling av personuppgifter för vilken de är ansvariga och agerar i egenskap av mellanhänder i informationssamhället. AEPD ansåg sig vara behörig att förelägga dem som driver sökmotorerna att avlägsna uppgifterna och hindra tillgång till vissa uppgifter för det fall AEPD finner att förekomsten och spridningen av uppgifterna kan påverka den grundläggande rätten till skydd för personuppgifter och den personliga värdigheten i vid mening, vilken omfattar den berörda personens önskan att uppgifterna inte ska komma till tredje mans kännedom. AEPD anser att denna skyldighet direkt kan åliggas sökmotorleverantörerna, utan att det är nödvändigt att avlägsna uppgifterna från den webbplats på vilken de återfinns, bland annat när det enligt en bestämmelse i lag är motiverat att ha kvar uppgifterna på denna webbplats.
Google Spain och Google Inc. har gett in två separata överklaganden av detta beslut till Audiencia Nacional, vilka har förenats av den domstolen.
I beslutet om hänskjutande har Audiencia Nacional angett att nämnda överklaganden väcker frågan om vilka skyldigheter som åligger sökmotorleverantörerna när det gäller skyddet för personuppgifter rörande personer som inte önskar att vissa uppgifter – som publicerats på webbplatser tillhörande tredje män och som innehåller personuppgifter rörande dessa personer som gör det möjligt att sammankoppla uppgifterna och personerna – ska förekomma, indexeras och göras tillgängliga för internetanvändarna utan begränsningar. Svaret på denna fråga beror på hur direktiv 95/46 ska tolkas när det gäller denna teknologi, vilken inte fanns när direktivet offentliggjordes.
Under dessa omständigheter beslutade Audiencia Nacional att förklara målet vilande och att ställa följande tolkningsfrågor till domstolen:
”1)
Beträffande det territoriella tillämpningsområdet för [direktiv 95/46] och därmed för den spanska dataskyddslagstiftningen:
a)
Kan det anses föreligga ett etableringsställe i den mening som avses i artikel 4.1 a i [direktiv 95/46] när någon eller några av följande omständigheter föreligger:
—
när det företag som tillhandahåller sökmotorn etablerar en filial eller ett dotterbolag i en medlemsstat för att marknadsföra och sälja reklamutrymme hos sökmotorn och dess verksamhet är riktad mot invånarna i nämnda medlemsstat,
eller
—
när moderföretaget utser ett dotterbolag i nämnda medlemsstat till sin representant och ansvarig för behandlingen av två särskilda filer som innehåller uppgifter om kunder som har tecknat avtal om reklam med företaget,
eller
—
när den filial eller det dotterbolag som är etablerat i en medlemsstat till moderbolaget, vilket har sitt säte utanför Europeiska unionen, vidarebefordrar klagomål och förelägganden som registrerade personer och behöriga myndigheter tillställt moderbolaget i syfte att personuppgiftsskyddet ska respekteras, även om detta samarbete sker på frivillig grund?
b)
Ska artikel 4.1 c i [direktiv 95/46] tolkas så att det är fråga om ’använd[ning av] ... utrustning som befinner sig på den nämnda medlemsstatens territorium’
—
när en sökmotor använder sig av ’spindlar’ eller robotar för att lokalisera och indexera information på webbsidor som finns på servrar i den nämnda medlemsstaten,
eller
—
när den använder ett domännamn med anknytning till en medlemsstat och ombesörjer att sökningar och sökresultat styrs av den nämnda medlemsstatens språk?
c)
Kan tillfällig lagring av information som sökmotorerna har indexerat anses vara användning av utrustning i den mening som avses i artikel 4.1 c i [direktiv 95/46]? För det fall denna fråga ska besvaras jakande, kan denna anknytning anses föreligga om företaget med hänvisning till konkurrensskäl vägrar att avslöja var det lagrar dessa index?
d)
Oberoende av svaren på föregående frågor och särskilt om domstolen finner att en sådan anknytning som avses i artikel 4 i [direktiv 95/46] inte föreligger, ombeds domstolen att svara på följande fråga:
Ska [direktiv 95/46], mot bakgrund av artikel 8 i [stadgan], tillämpas i den medlemsstat där tyngdpunkten för konflikten finns och där ett effektivare skydd för unionsmedborgarnas rättigheter kan uppnås?
2)
Beträffande sökmotorleverantörernas verksamhet som innehållsleverantörer med avseende på [direktiv 95/46]:
a)
Vad beträffar den verksamhet som [Google Search] bedriver i egenskap av innehållsleverantör, vilken utgörs av att lokalisera information som har publicerats eller lagts ut på internet av tredje man, indexera den på automatisk väg, lagra den tillfälligt och slutligen ställa den till förfogande för internetanvändare enligt en viss prioriteringsordning, om informationen innehåller personuppgifter om tredje man, ska en verksamhet som den ovan beskrivna anses omfattas av begreppet ’behandling av personuppgifter’ i artikel 2 b i [direktiv 95/46]?
b)
För det fall denna fråga ska besvaras jakande, ska, även i detta fall beträffande en verksamhet som den ovan beskrivna, artikel 2 d i [direktiv 95/46] tolkas så, att det företag som driver [Google Search] ska anses vara ’registeransvarigt’ för de personuppgifter som finns på de webbplatser som indexeras av [Google Search]?
c)
För det fall denna fråga ska besvaras jakande:
Får [AEPD], för att skydda de rättigheter som avses i artiklarna 12 b och 14 [första stycket] a i [direktiv 95/46], direkt förelägga [Google Search] att från sina index avlägsna information som har publicerats av tredje man, utan att först eller samtidigt vända sig till innehavaren av den webbplats där informationen finns?
d)
För det fall denna fråga ska besvaras jakande:
Undantas sökmotorerna från skyldigheten att skydda dessa rättigheter när informationen som innehåller personuppgifter har publicerats av tredje man i laga ordning och finns kvar på den ursprungliga webbsidan?
3)
Beträffande räckvidden av rätten till utplåning och rätten att motsätta sig behandling av uppgifter som rör den registrerade, i förhållande till ’rätten att bli glömd’, ställs följande fråga:
Ska rätten till utplåning eller blockering av personuppgifter som regleras i artikel 12 b samt rätten att motsätta sig behandling av uppgifterna som regleras i artikel 14 [första stycket] a i [direktiv 95/64] anses innefatta att den registrerade får vända sig till sökmotorleverantörerna för att förhindra att information om vederbörande som har publicerats på webbsidor tillhörande tredje man indexeras, på grund av att den registrerade inte vill att informationen ska komma till internetanvändarnas kännedom när vederbörande anser att den kan skada honom eller henne eller att den ska bli glömd, även om det rör sig om information som har publicerats i laga ordning av tredje man?”
Prövning av tolkningsfrågorna
Fråga 2 a och 2 b avseende det materiella tillämpningsområdet för direktiv 95/46
Den hänskjutande domstolen har ställt fråga 2 a och 2 b, som ska prövas först, för att få klarhet i huruvida artikel 2 b i direktiv 95/46 ska tolkas så, att den verksamhet som en sökmotorleverantör bedriver i egenskap av innehållsleverantör – vilken utgörs av att lokalisera information som har publicerats eller lagts ut på internet av tredje man, indexera den på automatisk väg, lagra den tillfälligt och slutligen ställa den till förfogande för internetanvändare enligt en viss prioriteringsordning – ska anses omfattas av begreppet ”behandling av personuppgifter” i den mening som avses i den bestämmelsen, när informationen innehåller personuppgifter. För det fall denna fråga ska besvaras jakande har den hänskjutande domstolen ställt frågan huruvida artikel 2 d i direktiv 95/46 ska tolkas så, att den som driver en sökmotor ska anses vara ”registeransvarig” för nämnda behandling av personuppgifter i den mening som avses i nämnda bestämmelse.
Enligt Google Spain och Google Inc. ska den verksamhet som bedrivs av sökmotorleverantörerna inte anses vara en behandling av de uppgifter som återfinns på webbsidor tillhörande tredje man och som visas i förteckningen över sökresultat, eftersom sökmotorerna behandlar all information som är tillgänglig på internet, utan att det görs någon sortering mellan personuppgifter och annan information. Även om denna verksamhet skulle anses utgöra ”behandling av uppgifter”, kan en sökmotorleverantör inte anses vara ”ansvarig” för denna behandling, eftersom den inte har kännedom om uppgifterna och inte kan utöva någon kontroll över dem.
Mario Costeja González, den spanska, den italienska, den österrikiska och den polska regeringen samt Europeiska kommissionen anser däremot att nämnda verksamhet innebär en ”behandling av uppgifter” i den mening som avses i direktiv 95/46, vilken skiljer sig från webbplatsutgivarnas behandling av uppgifter och har andra syften än denna. Den som driver en sökmotor är ”ansvarig” för den behandling av uppgifter som görs av sökmotorn, eftersom det är denne som bestämmer ändamålen och medlen för behandlingen.
Enligt den grekiska regeringen utgör verksamheten i fråga en sådan ”behandling”, men i den mån sökmotorerna endast är mellanhänder kan sökmotorleverantörerna inte anses vara ”ansvariga”, med undantag för fall där sökmotorleverantörerna lagrar uppgifterna i ett ”intermediärt minne” (intermediary memory) eller ”cacheminne” under en period som överstiger vad som är tekniskt nödvändigt.
I detta hänseende bör det påpekas att artikel 2 b i direktiv 95/46 definierar ”behandling av personuppgifter” som ”varje åtgärd eller serie av åtgärder som vidtas beträffande personuppgifter, vare sig det sker på automatisk väg eller inte, till exempel insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring”.
När det särskilt gäller internet har domstolen tidigare konstaterat att åtgärden att på en webbsida lägga ut personuppgifter ska anses utgöra behandling i den mening som avses i artikel 2 b i direktiv 95/46 (se domen i mål C‑101/01, Lindqvist,
EU:C:2003:596
, punkt 25).
När det gäller den verksamhet som är i fråga i det nationella målet har det inte ifrågasatts att det bland de uppgifter som hittas, indexeras och lagras av sökmotorerna och som görs tillgängliga för sökmotorernas användare också återfinns uppgifter rörande identifierbara personer eller personer som kan identifieras och således ”personuppgifter” i den mening som avses i artikel 2 a i direktivet.
Det kan följaktligen konstateras att sökmotorleverantören – genom att på ett automatiskt, konstant och systematiskt sätt söka efter information som publicerats på internet – ”insamlar” sådana uppgifter och sedan ”återvinner”, ”registrerar” och ”organiserar” dem i indexeringsprogram, ”lagrar” dem på sina servrar och, i förekommande fall, ”utlämnar” dem och ”tillhandahåller” dem till sina användare i form av förteckningar över sökresultat. Dessa åtgärder är uttryckligen och ovillkorligen angivna i artikel 2 b i direktiv 95/46. De måste därför anses utgöra ”behandling” i den mening som avses i den bestämmelsen och det saknar därvid betydelse att sökmotorleverantören vidtar samma åtgärder avseende andra typer av information och inte gör någon åtskillnad mellan dem och personuppgifter.
Konstaterandet ovan påverkas inte heller av den omständigheten att dessa uppgifter redan har publicerats på internet och inte har ändrats av sökmotorn.
Domstolen har tidigare konstaterat att de åtgärder som avses i artikel 2 b i direktiv 95/46 måste anses utgöra en sådan behandling även om åtgärderna endast avser information som redan publicerats, till exempel i media. Domstolen har tidigare påpekat att ett generellt undantag från tillämpningen av direktiv 95/46 i ett sådant fall skulle innebära att detta till stor del förlorade sitt innehåll (se, för ett liknande resonemang, domen i mål C‑73/07, Satakunnan Markkinapörssi och Satamedia,
EU:C:2008:727
, punkterna 48 och 49).
Dessutom framgår det av definitionen i artikel 2 b i direktiv 95/46 att även om ändring av personuppgifter visserligen utgör en behandling av dessa, krävs det för de andra där nämnda åtgärderna inte på något sätt att uppgifterna ändras.
När det gäller frågan huruvida sökmotorleverantören ska anses vara ”registeransvarig” avseende den behandling som sökmotorn gör av dessa uppgifter inom ramen för en sådan verksamhet som avses i det nationella målet, erinrar domstolen om att artikel 2 d i direktiv 95/46 definierar den registeransvarige som ”den fysiska eller juridiska person, den myndighet, den institution eller det andra organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter”.
Det är sökmotorleverantören som själv bestämmer ändamålen och medlen för denna verksamhet och således för den behandling av personuppgifter som den genomför inom ramen för verksamheten. Sökmotorleverantören ska följaktligen anses vara ”ansvarig” för denna behandling i den mening som avses i artikel 2 d.
Domstolen konstaterar vidare att det skulle strida mot både bestämmelsens klara lydelse och dess syfte – vilket är att genom en vid definition av begreppet ”ansvarig” säkerställa ett effektivt och komplett skydd för de berörda personerna – att utesluta sökmotorleverantörer från bestämmelsens tillämpningsområde med hänvisning till att denne inte utövar någon kontroll över de personuppgifter som publiceras på webbsidor tillhörande tredje man.
I detta hänseende påpekar domstolen att behandling av personuppgifter som sker inom ramen för en sökmotor skiljer sig från och utgör ett tillägg till den behandling som görs av webbplatsutgivarna, vilken innebär att lägga ut uppgifterna på en sida på internet.
Dessutom spelar sökmotorleverantörernas verksamhet i denna del en avgörande roll vid den totala spridningen av nämnda uppgifter genom att göra dem tillgängliga för varje internetanvändare som gör en sökning på den berörda personens namn, däribland de internetanvändare som annars inte skulle ha hittat den webbsida på vilken uppgifterna publicerats.
Den organisering och aggregation av information publicerad på internet som görs av sökmotorerna i syfte att göra det enklare för användarna att få tillgång till informationen kan – när sökningen efter informationen görs utifrån namnet på en fysisk person – leda till att användarna genom förteckningen över sökresultaten erhåller en strukturerad översikt av information på internet rörande denna person, vilken gör det möjligt för dem att bilda sig en mer eller mindre detaljerad uppfattning av den berörda personen.
En sökmotorleverantörs verksamhet kan således på ett betydande sätt, och utöver vad som redan skett genom webbplatsutgivarnas verksamhet, påverka grundläggande rättigheter avseende privatlivet och skyddet för personuppgifter. Därför måste sökmotorleverantören, i egenskap av person som bestämmer ändamålen och medlen för behandlingen av personuppgifter, inom ramen för sitt ansvar, sin behörighet och sina möjligheter säkerställa att verksamheten uppfyller kraven i direktiv 95/46 för att de garantier som föreskrivs i direktivet ska få full verkan och för att ett effektivt och fullständigt skydd för de berörda personerna ska kunna förverkligas, bland annat när det gäller deras rätt till respekt för privatlivet.
Webbplatsutgivarna har möjlighet att för sökmotorleverantörerna – med hjälp bland annat av protokoll för exkludering såsom ”robot.txt” eller koder såsom ”noindex” eller ”noarchive” – ange att vissa bestämda uppgifter, som publicerats på webbplatsen, ska uteslutas helt eller delvis från sökmotorernas automatiska index. Detta innebär emellertid inte att avsaknaden av ett sådant angivande från webbplatsutgivarens sida frigör sökmotorleverantören från ansvaret för den behandling av personuppgifter som denne genomför.
Denna omständighet påverkar nämligen inte det faktum att det är sökmotorleverantören som bestämmer ändamålen och medlen för behandlingen. Även om det antas att nämnda möjlighet för webbplatsutgivarna innebär att dessa tillsammans med sökmotorleverantören bestämmer medlen för behandlingen, innebär inte detta att sökmotorleverantören fråntas någon del av sitt ansvar. I artikel 2 d i direktiv 95/46 föreskrivs det nämligen uttryckligen att bestämmandet av ändamålen och medlen för behandlingen kan ske ensamt eller tillsammans med andra.
Av det anförda följer att fråga 2 a och 2 b ska besvaras på följande sätt. Artikel 2 b och 2 d i direktiv 95/46 ska tolkas dels så, att en sökmotors verksamhet – som består i att lokalisera information som har publicerats eller lagts ut på internet av tredje män, indexera den på automatisk väg, lagra den tillfälligt och slutligen ställa den till förfogande för internetanvändare enligt en viss prioriteringsordning – ska anses utgöra ”behandling av personuppgifter” i den mening som avses i artikel 2 b, när informationen innehåller personuppgifter, dels så, att sökmotorleverantören ska anses vara ”registeransvarig” för nämnda behandling av personuppgifter i den mening som avses i artikel 2 d.
Fråga 1 a–d rörande det territoriella tillämpningsområdet för direktiv 95/46
Den hänskjutande domstolen har ställt fråga 1 a–d för att få klarhet i huruvida det är möjligt att tillämpa den nationella lagstiftning som införlivar direktiv 95/46 under de förhållanden som är föremål för prövning i det nationella målet.
I detta sammanhang har den hänskjutande domstolen fastställt följande omständigheter:
—
Google Search är tillgänglig i hela världen via webbplatsen ”www.google.com”. I många länder finns lokala versioner som är anpassade till nationalspråket. Den spanska versionen av tjänsten tillhandahålls via webbplatsen ”www.google.es”, vilken registrerades den 16 september 2003. Google Search är en av de mest använda sökmotorerna i Spanien.
—
Google Search drivs av Google Inc., som är moderbolag i Google-koncernen och vars säte finns i Förenta staterna.
—
Google Search indexerar webbplatser i hela världen, däribland webbplatser i Spanien. Den information som indexeras av Google Searchs ”spindlar” eller indexeringsrobotar – det vill säga datorprogram som används för att metodiskt och automatiskt upptäcka och söka av innehållet på webbsidor – lagras tillfälligt på servrar. Det är okänt i vilken stat dessa servrar befinner sig, eftersom denna information hemlighålls av konkurrensskäl.
—
Google Search ger inte bara tillgång till innehållet på de indexerade webbplatserna, utan utnyttjar också denna verksamhet för att mot betalning lägga in reklam, som har samband med de sökord som internetanvändarna angett, för företag som önskar saluföra varor eller tjänster till internetanvändarna.
—
Google-koncernen använder sig av sitt dotterbolag Google Spain för marknadsföring av reklamplats på webbplatsen ”www.google.com”. Google Spain, som grundades den 3 september 2003 och som är en egen juridisk person, har sitt säte i Madrid (Spanien). Verksamheten riktar sig i huvudsak till företag som är etablerade i Spanien, eftersom Google Spain agerar som handelsagent för Google-koncernen i Spanien. Google Spains verksamhetsföremål är att främja, förenkla och genomföra försäljning av reklamprodukter och reklamtjänster på internet till tredje män samt att marknadsföra denna reklam.
—
Google Inc. har angett Google Spain som ansvarig för behandlingen, i Spanien, av två filer som inlämnats av Google Inc. till AEPD. Dessa filer ska innehålla personuppgifter avseende kunder som har ingått avtal med Google Inc. om reklamtjänster.
Den hänskjutande domstolen är främst osäker på tolkningen av begreppet ”etablerad” i artikel 4.1 a i direktiv 95/46 och begreppet ”[användning av] utrustning som befinner sig på den nämnda medlemsstatens territorium” i artikel 4.1 c i direktivet.
Fråga 1 a
Den hänskjutande domstolen har ställt fråga 1 a för att få klarhet i huruvida artikel 4.1 a i direktiv 95/46 ska tolkas så, att det sker en behandling av personuppgifter inom ramen för verksamheterna vid ett etableringsställe tillhörande den registeransvarige på en medlemsstats territorium, i den mening som avses i denna bestämmelse, när något eller några av följande villkor är uppfyllda, nämligen
—
när sökmotorleverantören etablerar en filial eller ett dotterbolag i en medlemsstat för att marknadsföra och sälja reklamutrymme hos sökmotorn och verksamheten är riktad mot invånarna i den medlemsstaten,
—
när moderföretaget utser ett dotterbolag i den medlemsstaten till sin representant och ansvarig för behandlingen av två särskilda filer som innehåller uppgifter om kunder som har tecknat avtal om reklam med företaget, eller
—
när den filial eller det dotterbolag som är etablerat i en medlemsstat till moderbolaget, vilket har sitt säte utanför unionen, vidarebefordrar klagomål och förelägganden som registrerade personer och behöriga myndigheter tillställt moderbolaget i syfte att personuppgiftsskyddet ska respekteras, även om detta samarbete sker på frivillig grund.
När det gäller det första av dessa tre villkor har den hänskjutande domstolen påpekat att Google Search drivs och förvaltas av Google Inc. och att det inte visats att Google Spain i Spanien utför en verksamhet som har direkt samband med indexering eller lagring av information eller uppgifter på webbplatser som tillhör tredje man. Verksamheten som avser marknadsföring och försäljning av reklamutrymme, som Google Spain utför för Spanien, utgör emellertid Google-koncernens huvudsakliga kommersiella verksamhet och kan anses ha ett nära samband med Google Search.
Mario Costeja González, den spanska, den italienska, den österrikiska och den polska regeringen samt kommissionen anser att Google Spain – med beaktande av det oupplösliga sambandet mellan å ena sidan sökmotorns verksamhet som drivs av Google Inc. och å andra sidan Google Spains verksamhet – måste anses vara ett etableringsställe tillhörande Google Inc., inom vars verksamhet behandlingen av personuppgifter utförs. Enligt Google Spain, Google Inc. och den grekiska regeringen är dock artikel 4.1 a i direktiv 95/46 inte tillämplig i det första av de tre fall som räknats upp av den hänskjutande domstolen.
I detta hänseende påpekar domstolen för det första att det i skäl 19 i direktiv 95/46 anges att ”[e]tablering på en medlemsstats territorium förutsätter effektiv och faktisk verksamhet med hjälp av en stabil struktur” och att ”den berörda verksamhetens rättsliga form inte [har] avgörande betydelse, oavsett om det är fråga om en filial eller om ett dotterbolag som är en juridisk person”.
Det har inte bestritts att Google Spain driver en verklig och reell verksamhet med hjälp av en stabil struktur i Spanien. Eftersom Google Spain är en egen juridisk person, utgör det sålunda ett dotterbolag till Google Inc. i Spanien och följaktligen ett etableringsställe i den mening som avses i artikel 4.1 a i direktiv 95/46.
För att uppfylla kravet i denna bestämmelse krävs det också att den registeransvariges behandling av personuppgifter ”utförs som ett led i verksamhet” i ett etableringsställe tillhörande den registeransvarige på en medlemsstats territorium.
Google Spain och Google Inc. har bestritt att så skulle vara fallet, eftersom behandlingen av personuppgifter endast görs av Google Inc., som driver Google Search utan någon som helst inblandning från Google Spain, vars verksamhet inskränker sig till att stödja Google-koncernens reklamverksamhet, vilken är skild från sökmotortjänsten.
Såsom påpekats bland annat av den spanska regeringen och kommissionen krävs det inte enligt artikel 4.1 a i direktiv 95/46 att behandlingen av personuppgifter utförs ”av” det berörda etableringsstället själv, utan endast att den utförs ”som ett led i verksamhet” vid etableringsstället.
Med beaktande av syftet med direktiv 95/46 – vilket är att säkerställa ett effektivt och fullständigt skydd för fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter – kan det sistnämnda uttrycket inte ges en restriktiv tolkning (se, analogt, domen i mål C‑324/09, L’Oréal m.fl.,
EU:C:2011:474
, punkterna 62 och 63).
I detta sammanhang påpekar domstolen att det framgår bland annat av skälen 18–20 och artikel 4 i direktiv 95/46 att unionslagstiftaren – genom att föreskriva ett särskilt stort tillämpningsområde i territoriellt hänseende – har avsett att undvika att en enskild person förvägras det skydd som tillkommer honom eller henne enligt direktivet och att detta skydd kringgås.
Med beaktande av detta syfte med direktivet och av ordalydelsen i artikel 4.1 a i direktivet ska den behandling av personuppgifter som utförs för att en sökmotor – såsom Google Search, som drivs av ett företag som har sitt säte i tredje land, men har ett etableringsställe i en medlemsstat – ska fungera, anses utföras ”som ett led i verksamhet” vid detta etableringsställe om etableringsstället har till syfte att i denna medlemsstat marknadsföra och sälja reklamutrymme hos sökmotorn, vilket avser att göra den tjänst som erbjuds av sökmotorn lönsam.
Under sådana förhållanden har nämligen sökmotorleverantörens verksamhet och den verksamhet som bedrivs av etableringsstället i den berörda medlemsstaten ett oupplösligt samband, eftersom verksamheten avseende marknadsföring och försäljning av reklamutrymme är det som gör sökmotorn ekonomiskt lönsam och sökmotorn är det som gör att verksamheten avseende marknadsföring och försäljning av reklamutrymme kan genomföras.
I detta hänseende erinrar domstolen om att själva visningen av personuppgifter på en sida med sökresultat, såsom påpekats ovan i punkterna 26–28, utgör en behandling av sådana uppgifter. Eftersom det på samma sida som visningen av resultaten också visas reklam som har ett samband med sökorden, konstaterar domstolen att behandlingen av personuppgifter i fråga utförs som ett led i den reklamrelaterade och kommersiella verksamhet som bedrivs av den registeransvariges etableringsställe på en medlemsstats territorium, i detta fall spanskt territorium.
Under dessa förhållanden kan det inte godtas att den behandling av personuppgifter som utförs för att sökmotorn ska fungera undantas från skyldigheterna och garantierna i direktiv 95/46. Detta skulle nämligen påverka direktivets ändamålsenliga verkan samt det effektiva och fullständiga skydd för fysiska personers grundläggande fri- och rättigheter som direktivet avser att säkerställa (se, analogt, domen i målet L’Oréal m.fl.,
EU:C:2011:474
, punkterna 62 och 63), bland annat när det gäller respekten för privatlivet med avseende på behandling av personuppgifter, vilken direktivet tillmäter en särskild betydelse och som bland annat framgår av artikel 1.1 och skälen 2 och 10 i direktivet (se, för ett liknande resonemang, dom i de förenade målen C‑465/00, C‑138/01 och C‑139/01, Österreichischer Rundfunk m.fl.,
EU:C:2003:294
, punkt 70; i mål C‑553/07, Rijkeboer,
EU:C:2009:293
, punkt 47, och i mål C‑473/12, IPI,
EU:C:2013:715
, punkt 28 och där angiven rättspraxis).
Eftersom det är tillräckligt att det första av de tre villkor som den hänskjutande domstolen nämnt är uppfyllt för att ett etableringsställe såsom Google Spain ska anses uppfylla kriteriet i artikel 4.1 a i direktiv 95/46, saknas det skäl att pröva de två andra villkoren.
Av det ovan anförda följer att fråga 1 a ska besvaras på följande sätt. Artikel 4.1 a i direktiv 95/46 ska tolkas så, att det utförs en behandling av personuppgifter som ett led i verksamheterna vid ett etableringsställe tillhörande den registeransvarige på en medlemsstats territorium, i den mening som avses i denna bestämmelse, när sökmotorleverantören etablerar en filial eller ett dotterbolag i en medlemsstat för att marknadsföra och sälja reklamutrymme hos sökmotorn och filialen eller dotterbolagets verksamhet är riktad mot invånarna i den medlemsstaten.
Fråga 1 b–d
Mot bakgrund av svaret på fråga 1 a är det inte nödvändigt att besvara fråga 1 b–d.
Fråga 2 c och d, angående omfattningen av sökmotorleverantörens ansvar enligt direktiv 95/46
Den hänskjutande domstolen har ställt fråga 2 c och d för att få klarhet i huruvida artiklarna 12 b och 14 första stycket a i direktiv 95/46 ska tolkas så, att sökmotorleverantören, för att respektera de rättigheter som föreskrivs i dessa bestämmelser, är skyldig att från förteckningen över sökresultat, som visas till följd av en sökning på en persons namn, avlägsna länkar till webbsidor som publicerats av tredje män och som innehåller information om denna person, även för det fall detta namn eller denna information inte tidigare eller samtidigt avlägsnas från dessa webbsidor och, i förekommande fall, även om själva publiceringen av informationen på nämnda webbsidor är laglig.
Google Spain och Google Inc. anser, med hänvisning till proportionalitetsprincipen, att varje begäran om avlägsnande av information ska riktas till utgivaren av den berörda webbplatsen, eftersom det är denne som har ansvaret för publiceringen av informationen, är i stånd att bedöma lagenligheten av publiceringen och har tillgång till de mest effektiva och minst begränsande åtgärderna för att göra informationen otillgänglig. Att förelägga sökmotorleverantören att från sina index avlägsna information som publicerats på internet skulle dessutom innebära att det inte togs tillräcklig hänsyn till webbplatsutgivares, övriga internetanvändares och sökmotorleverantörens grundläggande rättigheter.
Enligt den österrikiska regeringen kan en nationell tillsynsmyndighet förelägga en sökmotorleverantör att avlägsna information som publicerats av tredje män endast om det redan fastställts att uppgifterna i fråga är olagliga eller oriktiga eller om den berörda personen har haft framgång med ett klagomål hos utgivaren av den webbplats på vilken informationen publicerats.
Mario Costeja González, den spanska, den italienska och den polska regeringen samt kommissionen anser att en nationell myndighet direkt får förelägga sökmotorleverantören att från sina index och sitt ”intermediate memory” avlägsna information som har publicerats av tredje män, utan att först eller samtidigt vända sig till utgivaren av den webbplats där informationen finns. Mario Costeja González, den spanska och den italienska regeringen samt kommissionen gör dessutom gällande att den omständigheten att informationen publicerats lagligen och att den fortfarande finns på den ursprungliga webbsidan inte påverkar sökmotorleverantörens skyldigheter enligt direktiv 95/46. Den polska regeringen anser dock att denna omständighet befriar sökmotorleverantören från dessa skyldigheter.
Domstolen erinrar inledningsvis om att direktiv 95/46, såsom framgår av artikel 1 och skäl 10 i direktivet, avser att säkerställa en hög skyddsnivå när det gäller fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter (se, för ett liknande resonemang, domen i målet IPI,
EU:C:2013:715
, punkt 28).
Enligt skäl 25 i direktivet avspeglas principerna för det skydd som föreskrivs i direktivet dels i de förpliktelser som åvilar registeransvariga personer särskilt med avseende på uppgifternas kvalitet, den tekniska säkerheten, anmälningar till tillsynsmyndigheten och de omständigheter under vilka behandling får utföras, dels i de rättigheter som tillkommer enskilda personer, vilkas personuppgifter blir föremål för behandling, att bli informerade om att behandling sker, att få tillgång till uppgifterna, att begära rättelse och att under vissa omständigheter invända mot behandlingen.
Domstolen har redan fastställt att eftersom bestämmelserna i direktiv 95/46 reglerar behandling av personuppgifter som kan innebära intrång i de grundläggande friheterna och då särskilt i rätten till privatliv, måste bestämmelserna i fråga med nödvändighet tolkas mot bakgrund av de grundläggande rättigheterna, vilka enligt fast rättspraxis utgör en integrerad del av de allmänna rättsprinciper som domstolen ska säkerställa iakttagandet av och som numera är stadfästa i stadgan (se, bland annat, dom i mål C‑274/99 P, Connolly/kommissionen,
EU:C:2001:127
, punkt 37, och i målet Österreichischer Rundfunk m.fl.,
EU:C:2003:294
, punkt 68).
I artikel 7 i stadgan föreskrivs rätten till skydd för privatlivet och i artikel 8 i stadgan föreskrivs uttryckligen rätten till skydd för personuppgifter. I artikel 8.2 och 8.3 anges att dessa uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund, att var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem samt att en oberoende myndighet ska kontrollera att dessa regler efterlevs. Dessa krav har genomförts bland annat genom artiklarna 6, 7, 12, 14 och 28 i direktiv 95/46.
När det gäller artikel 12 b i direktiv 95/46 så föreskriver den att medlemsstaterna ska säkerställa att varje registrerad person har rätt att från den registeransvarige i förekommande fall få sådana uppgifter som inte behandlats i enlighet med direktiv 95/46 rättade, utplånade eller blockerade, särskilt om dessa är ofullständiga eller felaktiga. Eftersom den sistnämnda preciseringen avseende åsidosättandet av vissa krav i artikel 6.1 d i direktiv 95/46 är exemplifierande och icke uttömmande, kan en behandling anses vara oförenlig med direktivet och ge den berörda personen de rättigheter som följer av artikel 12 b i direktivet även vid åsidosättandet av andra villkor i direktivet för att behandlingen av personuppgifter ska vara lagenlig.
I detta hänseende erinrar domstolen om att, med förbehåll för tillåtna undantag enligt artikel 13 i direktiv 95/46, ska all behandling av personuppgifter dels stå i överensstämmelse med de principer om uppgifternas kvalitet som anges i artikel 6 i detta direktiv, dels svara mot någon av de principer som gör att uppgiftsbehandlingen kan tillåtas, vilka anges i artikel 7 i direktivet (se domen i målet Österreichischer Rundfunk m.fl.,
EU:C:2003:294
, punkt 65, i de förenade målen C‑468/10 och C‑469/10, ASNEF och FECEMD,
EU:C:2011:777
, punkt 26, och i mål C‑342/12, Worten,
EU:C:2013:355
, punkt 33).
Enligt vad som anges i artikel 6 och med förbehåll för de särskilda bestämmelser som medlemsstaterna får föreskriva för behandling för historiska, statistiska eller vetenskapliga ändamål åligger det den registeransvarige att säkerställa att personuppgifterna ”behandlas på ett korrekt och lagligt sätt”, att de ”samlas in för särskilda, uttryckligt angivna och berättigade ändamål [och inte senare behandlas] på ett sätt som är oförenligt med dessa ändamål”, att de är ”adekvata och relevanta och inte [omfattar] mer än vad som är nödvändigt med hänsyn till de ändamål för vilka de har samlats in och för vilka de senare behandlas”, att de är ”riktiga och, om nödvändigt, aktuella” och slutligen att de ”förvaras på ett sätt som förhindrar identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka uppgifterna samlades in eller för vilka de senare behandlades”. Den registeransvarige ska härvid vidta alla rimliga åtgärder för att säkerställa att uppgifter som inte uppfyller kraven i denna bestämmelse utplånas eller rättas.
När det gäller tillåtligheten enligt artikel 7 i direktiv 95/46 kan en behandling som utförs av en sökmotorleverantör, såsom den som är i fråga i det nationella målet, omfattas av det skäl som anges i artikel 7 f.
Denna bestämmelse tillåter behandling av personuppgifter när behandlingen är nödvändig för ändamål som rör berättigade intressen hos den registeransvarige eller hos den eller de tredje män till vilka uppgifterna har lämnats ut, utom när sådana intressen uppvägs av den registrerades intressen eller dennes grundläggande fri- och rättigheter, bland annat rätten till skydd för privatlivet vid behandling av personuppgifter, som kräver skydd enligt artikel 1.1 i direktivet. Tillämpningen av artikel 7 f förutsätter således en avvägning mellan de motstående intressen som är för handen. Vid denna avvägning ska betydelsen av den registrerades rättigheter enligt artiklarna 7 och 8 i stadgan beaktas (se domen i de förenade målen ASNEF och FECEMD,
EU:C:2011:777
, punkterna 38 och 40).
Även om det inom ramen för en begäran enligt artikel 12 b i direktivet kan prövas huruvida behandlingen är förenlig med artiklarna 6 och 7 f i direktivet kan den registrerade dessutom under vissa förutsättningar göra gällande sin rätt att göra en invändning som är föreskriven i artikel 14 första stycket a i direktivet.
Enligt artikel 14 första stycket a, ska medlemsstaterna tillförsäkra den registrerade rätten att, åtminstone i de fall som avses i artikel 7 e och f, när som helst av avgörande och berättigade skäl som rör hans eller hennes personliga situation motsätta sig behandling av uppgifter som rör vederbörande, utom när den nationella lagstiftningen föreskriver något annat. Den avvägning som ska göras enligt artikel 14 första stycket a gör det således möjligt att mer specifikt beakta samtliga omständigheter som rör den registrerades situation i det konkreta fallet. När invändningen är berättigad får den behandling som påbörjats av den registeransvarige inte längre avse dessa uppgifter.
Den registrerade får direkt tillställa den registeransvarige en begäran enligt artikel 12 b eller artikel 14 första stycket a i direktiv 95/46 som i vederbörlig ordning ska pröva huruvida begäran är välgrundad och, i förekommande fall, upphöra med behandlingen av uppgifterna i fråga. När den registeransvarige inte vidtar några åtgärder i anledning av en sådan begäran kan den berörda personen vända sig till tillsynsmyndigheten eller den rättsliga myndigheten för att dessa ska genomföra nödvändiga kontroller och förelägga den registeransvarige att vidta vissa angivna åtgärder till följd av kontrollerna.
I detta hänseende påpekar domstolen att det framgår av artikel 28.3 och 28.4 i direktiv 95/46 att var och en kan vända sig till tillsynsmyndigheten med begäran om skydd för sina fri- och rättigheter med avseende på behandling av personuppgifter och att tillsynsmyndigheten har undersökningsbefogenheter och effektiva befogenheter att ingripa, som till exempel att besluta om blockering, utplåning eller förstöring av uppgifter och att besluta om tillfälligt eller slutligt förbud mot behandling.
De bestämmelser i direktiv 95/46 som reglerar den berörda personens rättigheter när denne vänder sig till tillsynsmyndigheten eller den rättsliga myndigheten med en begäran, såsom den som är aktuell i det nationella målet, ska tolkas och tillämpas mot bakgrund av dessa överväganden.
I detta hänseende påpekar domstolen för det första, såsom konstaterats i punkterna 36–38 i denna dom, att en behandling av personuppgifter, såsom den som är aktuell i det nationella målet, som utförs av en sökmotorleverantör, kan ha en betydande inverkan på de grundläggande rättigheterna avseende respekten för privatlivet och skyddet för personuppgifter när sökningen med hjälp av sökmotorn görs utifrån namnet på en fysisk person, eftersom denna behandling gör det möjligt för samtliga internetanvändare att genom förteckningen över sökresultat erhålla en strukturerad översikt av information på internet rörande denna person – vilken potentiellt kan röra många aspekter av personens privatliv vilka utan sökmotorn inte alls eller endast svårligen hade kunnat sammankopplas – och således bilda sig en mer eller mindre detaljerad uppfattning om den berörda personen. Ingreppet i den berörda personens rättigheter förstärks dessutom till följd av den viktiga roll som internet och sökmotorerna spelar i det moderna samhället. Dessa gör nämligen informationen i en sådan förteckning över sökresultat tillgänglig för alla (se, för ett liknande resonemang, domen i de förenade målen eDate Advertising m.fl. C‑509/09 och C‑161/10,
EU:C:2011:685
, punkt 45).
Mot bakgrund av hur allvarligt detta ingrepp kan vara kan det inte motiveras endast av sökmotorleverantörens ekonomiska intresse av behandlingen. I den mån avlägsnandet av länkar från förteckningen över sökresultat, beroende på vilken information det är fråga om, skulle kunna påverka det legitima intresset hos de internetanvändare som kan vara intresserade av att ta del av informationen i fråga ska det, i en situation såsom den som är aktuell i det nationella målet, göras en avvägning bland annat mellan detta intresse och de grundläggande rättigheter som den berörda personen har enligt artiklarna 7 och 8 i stadgan. Den berörda personens rättigheter enligt dessa artiklar överväger visserligen i allmänhet internetanvändarnas intresse, men avvägningen kan emellertid i särskilda fall bero på typen av information och dess känslighet för den berörda personens privatliv samt allmänhetens intresse av informationen, vilket kan variera bland annat beroende på den roll som denna person spelar i det offentliga livet.
Efter den bedömning av rekvisiten för att artiklarna 12 b och 14 första stycket a i direktiv 95/46 ska vara tillämpliga, som tillsynsmyndigheten eller den rättsliga myndigheten ska göra när de prövar en sådan begäran som är aktuell i det nationella målet, kan myndigheten förelägga sökmotorleverantören att från förteckningen över sökresultat, som visas till följd av en sökning på en persons namn, avlägsna länkar till webbsidor som publicerats av tredje män och som innehåller information om denna person. Ett sådant föreläggande förutsätter inte att detta namn eller denna information, enligt utgivarens vilja eller efter föreläggande från någon av dessa myndigheter, tidigare eller samtidigt avlägsnas från den webbsida där publiceringen skett.
I den mån som den behandling av personuppgifter som sker inom ramen för en sökmotor skiljer sig från och utgör ett tillägg till den behandling som görs av webbplatsutgivarna och ytterligare påverkar den berörda personens grundläggande rättigheter, måste, såsom konstaterats i punkterna 35–38 i denna dom, sökmotorleverantören i egenskap av registeransvarig, inom ramen för sitt ansvar, sin behörighet och sina möjligheter säkerställa att behandlingen uppfyller kraven i direktiv 95/46 för att de garantier som föreskrivs i direktivet ska få full verkan.
Mot bakgrund av hur enkelt information som publicerats på en webbplats kan återges på andra webbplatser och mot bakgrund av den omständigheten att de som ansvarar för publiceringen inte alltid omfattas av unionslagstiftningen, kan ett effektivt och heltäckande skydd för de berörda personerna inte uppnås om dessa först eller samtidigt måste se till att webbplatsutgivarna avlägsnar informationen som rör dem.
Den behandling som utgivaren av en webbsida utför, vilken består av publicering av information rörande en fysisk person, kan i förekommande fall utföras uteslutande för journalistiska ändamål och således, enligt artikel 9 i direktiv 95/46, omfattas av undantag från de krav som uppställs i direktivet, medan så inte är fallet när det gäller den behandling som utförs av sökmotorleverantören. Det kan således inte uteslutas att den berörda personen under vissa särskilda omständigheter kan göra gällande de rättigheter som avses i artiklarna 12 b och 14 första stycket a i direktiv 95/46 i förhållande till sökmotorleverantören, men inte i förhållande till utgivaren av webbsidan.
Det skäl som enligt artikel 7 i direktiv 95/46 motiverar publicering av personuppgifter på en webbplats sammanfaller inte nödvändigtvis med det skäl som är tillämpligt på sökmotorverksamheten. Även om så är fallet kan resultatet av den avvägning som enligt artiklarna 7 f och 14 första stycket a i direktivet ska göras mellan de olika intressena i fråga skilja sig åt beroende på om det rör sig om den behandling som utförs av sökmotorleverantören eller den behandling som utförs av utgivaren av webbsidan, eftersom de legitima intressen som motiverar behandlingarna kan vara olika och konsekvenserna, bland annat för privatlivet, som behandlingarna har för den berörda personen inte nödvändigtvis är desamma.
I den mån den omständigheten – att förteckningen över sökresultat, som visas till följd av en sökning på en persons namn, innehåller en webbsida och informationen som finns där avseende denna person – gör det betydligt enklare för varje internetanvändare som gör en sökning på den berörda personen att få tillgång till denna information och kan spela en avgörande roll för spridningen av dessa uppgifter kan denna omständighet innebära ett mer omfattande ingrepp i den berörda personens grundläggande rätt till privatliv än vad webbplatsutgivarens publicering utgör.
Mot bakgrund av det ovan anförda ska fråga 2 c och d besvaras på följande sätt. Artiklarna 12 b och 14 första stycket a i direktiv 95/46 ska tolkas så, att sökmotorleverantören, för att respektera de rättigheter som föreskrivs i dessa bestämmelser och i den mån villkoren i dessa bestämmelser är uppfyllda, är skyldig att från förteckningen över sökresultat, som visas till följd av en sökning på en persons namn, avlägsna länkar till webbsidor som publicerats av tredje män och som innehåller information om denna person, även för det fall detta namn eller denna information inte tidigare eller samtidigt avlägsnas från dessa webbsidor och, i förekommande fall, även om själva publiceringen av informationen på nämnda webbsidor är laglig.
Fråga 3 angående räckvidden av den berörda personens rättigheter enligt direktiv 95/46
Den hänskjutande domstolen har ställt den tredje frågan för att få klarhet i huruvida artiklarna 12 b och 14 a i direktiv 95/46 ska tolkas så, att de ger den berörda personen rätt att kräva att sökmotorleverantören från förteckningen över sökresultat, som visas till följd av en sökning på denna persons namn, avlägsnar länkar till webbsidor som publicerats i laga ordning av tredje män och som innehåller sann information om vederbörande, på grund av att informationen kan skada honom eller henne eller på grund av att vederbörande önskar att informationen ska ”glömmas” efter en viss tid.
Google Spain, Google Inc., den grekiska, den österrikiska och den polska regeringen samt kommissionen anser att denna fråga ska besvaras nekande. Google Spain, Google Inc., den polska regeringen och kommissionen har i detta hänseende gjort gällande att artiklarna 12 b och 14 första stycket a i direktiv 95/46 endast ger den berörda personen rättigheter under förutsättning att behandlingen i fråga är oförenlig med direktivet eller att det föreligger avgörande och berättigade skäl som rör den berördes personliga situation. Det är inte tillräckligt att den berörde anser att behandlingen kan skada honom eller henne eller att den berörde önskar att de uppgifter som behandlas ska glömmas bort. Den grekiska och den österrikiska regeringen anser att den berörda personen måste vända sig till utgivaren av webbplatsen i fråga.
Mario Costeja González, den spanska och den italienska regeringen anser att den berörda personen kan motsätta sig att en sökmotor indexerar personuppgifter angående honom eller henne när spridningen av dessa uppgifter genom sökmotorn skadar vederbörande och den berörda personens grundläggande rätt till skydd för dessa uppgifter och att respekten för privatlivet, däribland ”rätten att bli glömd”, väger tyngre än sökmotorleverantörens berättigade intressen och allmänintresset av informationsfrihet.
När det gäller artikel 12 b i direktiv 95/46, vars tillämpning förutsätter att behandlingen av personuppgifter är oförenlig med direktivet, erinrar domstolen om att, såsom redan påpekats i punkt 72 i denna dom, en sådan oförenlighet kan följa inte bara av den omständigheten att uppgifterna är oriktiga, utan också av den omständigheten att de – med hänsyn till de ändamål för vilka de behandlas – inte är adekvata, relevanta eller omfattar mer än vad som är nödvändigt, att de inte är uppdaterade eller att de lagras under en längre tid än vad som är nödvändigt, om de inte måste lagras för historiska, statistiska eller vetenskapliga ändamål.
Det följer av dessa krav, som uppställs i artikel 6.1 c–e i direktiv 95/46, att även en behandling av riktiga uppgifter som inledningsvis är laglig med tiden kan bli oförenlig med direktivet när uppgifterna inte längre är nödvändiga med hänsyn till de ändamål för vilka de samlats in eller behandlats. Så är bland annat fallet när de inte är adekvata, inte eller inte längre är relevanta eller är för omfattande med hänsyn till dessa ändamål och den tid som gått.
För det fall det efter en begäran från den berörda personen enligt artikel 12 b i direktiv 95/46 konstateras att angivandet i förteckningen över sökresultat, som visas till följd av en sökning på en persons namn, av länkar till webbsidor som publicerats i laga ordning av tredje män och som innehåller sann information om vederbörande i nuvarande skede är oförenlig med artikel 6.1 c–e – med anledning av att informationen, med hänsyn till samtliga omständigheter i det enskilda fallet, inte är adekvat, inte eller inte är längre relevant eller omfattar mer än vad som är nödvändigt med hänsyn till de ändamål för vilka de behandlas av sökmotorleverantören – måste informationen och länkarna i förteckningen avlägsnas.
När det gäller en begäran enligt artikel 12 b i direktiv 95/46, som grundar sig på påståendet att villkoren i artiklarna 7 f och 14 första stycket a inte är uppfyllda, påpekar domstolen att varje behandling av personuppgifter måste vara tillåten enligt artikel 7 under hela den tid som behandlingen utförs.
Vid bedömningen av en sådan begäran som getts in rörande en behandling såsom den aktuella ska det mot bakgrund av det ovan anförda bland annat prövas huruvida den berörda personen har en rätt att i nuvarande skede förhindra att informationen rörande hans eller hennes person inte längre ska kopplas till vederbörandes namn genom en förteckning över sökresultat som visas efter det att en sökning gjorts på vederbörandes namn. I detta hänseende påpekar domstolen att det för att en sådan rätt ska anses föreligga inte krävs att den berörda personen orsakas skada av att informationen i fråga återfinns i förteckningen över sökresultat.
Eftersom den berörda personen, med hänsyn till dennes grundläggande rättigheter enligt artiklarna 7 och 8 i stadgan, får begära att informationen i fråga inte längre ska göras tillgänglig för den breda allmänheten genom att upptas i en sådan förteckning över sökresultat, konstaterar domstolen, såsom bland annat framgår av punkt 81 i denna dom, att dessa rättigheter i princip inte bara väger tyngre än sökmotorleverantörens ekonomiska intressen, utan också tyngre än den breda allmänhetens intresse av att hitta denna information vid en sökning på den berörda personens namn. Så är emellertid inte fallet om ingreppet i den berörda personens grundläggande rättigheter av särskilda skäl, såsom den roll den berörda personen spelar i det offentliga livet, är motiverat av den breda allmänhetens övervägande intresse av att få tillgång till informationen i fråga genom att den upptas i förteckningen över sökresultat.
När det gäller en situation såsom den i det nationella målet, vilken rör visningen – i en förteckning över sökresultat som en internetanvändare erhåller efter att ha gjort en sökning på den berörda personens namn med hjälp av Google Search – av länkar till sidor i en dagstidnings on line-arkiv innehållande annonser som nämner personens namn och som hänför sig till en försäljning av fast egendom på auktion i samband med en utmätning med anledning av skulder avseende socialförsäkringsavgifter, konstaterar domstolen att den berörda personen – mot bakgrund av hur känslig informationen i dessa annonser är med avseende på den berördes privatliv och den omständigheten att den ursprungliga publiceringen gjordes för 16 år sedan – har rätt att kräva att informationen inte längre kopplas till den berördes namn genom en sådan förteckning. Eftersom det i förevarande fall inte tycks finnas några särskilda skäl som talar för att det föreligger ett övervägande intresse för allmänheten att ta del av informationen genom en sådan sökning – vilket det emellertid ankommer på den nationella domstolen att pröva – får den berörda personen, enligt artiklarna 12 b och 14 första stycket a i direktiv 95/46 kräva att nämnda länkar avlägsnas från förteckningen över sökresultat.
Av det ovan anförda följer att fråga 3 ska besvaras på följande sätt. Artiklarna 12 b och 14 första stycket a i direktiv 95/46 ska tolkas så, att det vid prövningen av rekvisiten för att dessa bestämmelser ska vara tillämpliga, bland annat ska undersökas huruvida den berörda personen har en rätt att i nuvarande skede förhindra att informationen i fråga rörande hans eller hennes person inte längre ska kopplas till vederbörandes namn genom en förteckning över sökresultat som visas efter det att en sökning gjorts på vederbörandes namn. För att en sådan rätt ska anses föreligga krävs det inte att den berörda personen orsakas skada av att informationen i fråga återfinns i förteckningen över sökresultat. Eftersom den berörda personen, med beaktande av dennes grundläggande rättigheter enligt artiklarna 7 och 8 i stadgan, får begära att informationen i fråga inte längre ska göras tillgänglig för den breda allmänheten genom att upptas i en sådan förteckning över sökresultat, väger dessa rättigheter i princip inte bara tyngre än sökmotorleverantörens ekonomiska intressen, utan också tyngre än den breda allmänhetens intresse av att få tillgång till denna information vid en sökning på den berörda personens namn. Så är emellertid inte fallet om ingreppet i den berörda personens grundläggande rättigheter av särskilda skäl, såsom den roll den berörda personen spelar i det offentliga livet, är motiverat av den breda allmänhetens övervägande intresse av att få tillgång till informationen i fråga genom att den upptas i förteckningen över sökresultat.
Rättegångskostnader
Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.

Mot denna bakgrund beslutar domstolen (stora avdelningen) följande:

1)
Artikel 2 b och 2 d i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter ska tolkas dels så, att en sökmotors verksamhet – som består i att lokalisera information som har publicerats eller lagts ut på internet av tredje män, indexera den på automatisk väg, lagra den tillfälligt och slutligen ställa den till förfogande för internetanvändare enligt en viss prioriteringsordning – ska anses utgöra ”behandling av personuppgifter” i den mening som avses i artikel 2 b, när informationen innehåller personuppgifter, dels så, att sökmotorleverantören ska anses vara ”registeransvarig” för nämnda behandling av personuppgifter i den mening som avses i artikel 2 d.

2)
Artikel 4.1 a i direktiv 95/46 ska tolkas så, att det utförs en behandling av personuppgifter som ett led i verksamheterna vid ett etableringsställe tillhörande den registeransvarige på en medlemsstats territorium, i den mening som avses i denna bestämmelse, när sökmotorleverantören etablerar en filial eller ett dotterbolag i en medlemsstat för att marknadsföra och sälja reklamutrymme hos sökmotorn och filialen eller dotterbolagets verksamhet är riktad mot invånarna i den medlemsstaten.

3)
Artiklarna 12 b och 14 första stycket a i direktiv 95/46 ska tolkas så, att sökmotorleverantören, för att respektera de rättigheter som föreskrivs i dessa bestämmelser och i den mån villkoren i dessa bestämmelser är uppfyllda, är skyldig att från förteckningen över sökresultat, som visas till följd av en sökning på en persons namn, avlägsna länkar till webbsidor som publicerats av tredje män och som innehåller information om denna person, även för det fall detta namn eller denna information inte tidigare eller samtidigt avlägsnas från dessa webbsidor och, i förekommande fall, även om själva publiceringen av informationen på nämnda webbsidor är laglig.

4)
Artiklarna 12 b och 14 första stycket a i direktiv 95/46 ska tolkas så, att det vid prövningen av rekvisiten för att dessa bestämmelser ska vara tillämpliga, bland annat ska undersökas huruvida den berörda personen har en rätt att i nuvarande skede förhindra att informationen i fråga rörande hans eller hennes person inte längre ska kopplas till vederbörandes namn genom en förteckning över sökresultat som visas efter det att en sökning gjorts på vederbörandes namn. För att en sådan rätt ska anses föreligga krävs det inte att den berörda personen orsakas skada av att informationen i fråga återfinns i förteckningen över sökresultat. Eftersom den berörda personen, med beaktande av dennes grundläggande rättigheter enligt artiklarna 7 och 8 i stadgan, får begära att informationen i fråga inte längre ska göras tillgänglig för den breda allmänheten genom att upptas i en sådan förteckning över sökresultat, väger dessa rättigheter i princip inte bara tyngre än sökmotorleverantörens ekonomiska intressen, utan också tyngre än den breda allmänhetens intresse av att få tillgång till denna information vid en sökning på den berörda personens namn. Så är emellertid inte fallet om ingreppet i den berörda personens grundläggande rättigheter av särskilda skäl, såsom den roll den berörda personen spelar i det offentliga livet, är motiverat av den breda allmänhetens övervägande intresse av att få tillgång till informationen i fråga genom att den upptas i förteckningen över sökresultat.

Underskrifter
(
*1
)	Rättegångsspråk: spanska.