62017CJ0136_RES
Sprawa C‑136/17
GC i in.
przeciwko
Commission nationale de l’informatique et des libertés (CNIL)
[wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Conseil d’État (radę stanu, Francja)]
Wyrok Trybunału (wielka izba) z dnia 24 września 2019 r.
Odesłanie prejudycjalne – Dane osobowe – Ochrona osób fizycznych w zakresie przetwarzania tych danych znajdujących się na stronach internetowych – Dyrektywa 95/46/WE – Rozporządzenie (UE) 2016/679 – Wyszukiwarki internetowe – Przetwarzanie danych zamieszczonych na stronach internetowych – Szczególne kategorie danych określone w art. 8 tej dyrektywy i art. 9 i 10 tego rozporządzenia – Stosowanie tych przepisów do operatora wyszukiwarki – Zakres obowiązków tego operatora w świetle powyższych przepisów – Publikacja danych na stronach internetowych wyłącznie w celach dziennikarskich lub w celu uzyskania wyrazu artystycznego lub literackiego – Wpływ na rozpatrzenie żądania usunięcia linków – Artykuły 7, 8 i 11 Karty praw podstawowych Unii Europejskiej
Zbliżanie ustawodawstw – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Artykuł 2 dyrektywy 95/46 – Przetwarzanie danych osobowych – Pojęcie – Działanie wyszukiwarki polegające na lokalizowaniu informacji opublikowanych lub zamieszczonych w Internecie przez osoby trzecie, ich indeksowaniu, przechowywaniu i udostępnianiu internautom – Włączenie – Administrator danych – Pojęcie – Operator wyszukiwarki – Włączenie
[Dyrektywa 95/46 Parlamentu Europejskiego i Rady, art. 2 lit. b) i d)]
(zob. pkt 35–37)
Zbliżanie ustawodawstw – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Dyrektywa 95/46 – Przetwarzanie szczególnych kategorii danych osobowych – Zakazy lub ograniczenia przetwarzania tych kategorii danych – Stosowanie do operatora wyszukiwarki internetowej – Warunki
(Rozporządzenie Parlamentu Europejskiego i Rady 2016/679, art. 9 ust. 1 i art. 10; dyrektywa 95/46 Parlamentu Europejskiego i Rady, art. 8 ust. 1 i 5)
(zob. pkt 42–48; pkt 1 sentencji)
Zbliżanie ustawodawstw – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Artykuły 12 i 14 dyrektywy 95/46 – Przysługujące osobie, której dane dotyczą, prawo dostępu do danych osobowych i prawo sprzeciwienia się przetwarzaniu tych danych – Prawo żądania usunięcia z listy wyników wyszukiwania linków do stron internetowych – Przesłanki
[Dyrektywa 95/46 Parlamentu Europejskiego i Rady, art. 12 lit. b) i art. 14 akapit pierwszy lit. a)]
(zob. pkt 50–52)
Zbliżanie ustawodawstw – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Artykuły 12 i 14 dyrektywy 95/46 – Przysługujące osobie, której dane dotyczą, prawo dostępu do danych osobowych i prawo sprzeciwienia się przetwarzaniu tych danych – Wyszukiwanie za pomocą wyszukiwarki internetowej mające za punkt wyjścia imię i nazwisko danej osoby – Wyświetlanie listy wyników – Prawo do żądania niepodawania więcej tej informacji do wiadomości szerokiego kręgu odbiorców
[Karta praw podstawowych Unii Europejskiej, art. 7 i 8; dyrektywa 95/46 Parlamentu Europejskiego i Rady, art. 6 ust. 1 lit. c)–e), art. 12 lit. b) i art. 14 akapit pierwszy lit. a)]
(zob. pkt 53)
Prawa podstawowe – Poszanowanie życia prywatnego – Ochrona danych osobowych – Ograniczenia – Warunki
(Karta praw podstawowych Unii Europejskiej, art. 7, 8 i art. 52 ust. 1)
(zob. pkt 58)
Zbliżanie ustawodawstw – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Dyrektywa 95/46 – Przetwarzanie szczególnych kategorii danych osobowych – Żądanie usunięcia linków – Obowiązek uwzględnienia takiego żądania przez operatora wyszukiwarki – Wyjątek – Dane w sposób oczywisty upublicznione przez osobę, której dane dotyczą – Warunki
[Rozporządzenie Parlamentu Europejskiego i Rady 2016/679, art. 9 ust. 2 lit. a), e) i g), art. 17 ust. 1 lit. b) i c) oraz art. 21 ust. 1; dyrektywa 95/46 Parlamentu Europejskiego i Rady, art. 8 ust. 1, ust. 2 lit. a) i e) oraz art. 4 i art. 14 akapit pierwszy lit. a)]
(zob. pkt 61–65; pkt 2 sentencji)
Zbliżanie ustawodawstw – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Dyrektywa 95/46 – Przetwarzanie szczególnych kategorii danych osobowych – Żądanie usunięcia linków – Obowiązek uwzględnienia takiego żądania przez operatora wyszukiwarki – Wyjątek – Ochrona wolności informacji przysługująca internautom – Sprawdzenie przez tego operatora
(Karta praw podstawowych Unii Europejskiej, art. 7, 8, 11 i 52 ust. 1; rozporządzenie Parlamentu Europejskiego i Rady 2016/679, art. 9 ust. 1 i art. 10; dyrektywa 95/46 Parlamentu Europejskiego i Rady, art. 8 ust. 1 i 5)
(zob. pkt 66–69; pkt 2 sentencji)
Zbliżanie ustawodawstw – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Dyrektywa 95/46 – Przetwarzanie szczególnych kategorii danych osobowych – Dane dotyczące przestępstw i wyroków skazujących – Pojęcie – Informacje dotyczące postępowania sądowego – Włączenie – Żądanie usunięcia linków – Obowiązek uwzględnienia takiego żądania przez operatora wyszukiwarki – Warunki – Pogodzenie prawa osoby, której dane dotyczą, do poszanowania życia prywatnego i ochrony danych osobowych z wolnością informacji przysługującą internautom – Sprawdzenie przez tego operatora
[Karta praw podstawowych Unii Europejskiej, art. 7, 8 i 11; rozporządzenie Parlamentu Europejskiego i Rady 2016/679, art. 5 ust. 1 lit. c)–e) i art. 10; dyrektywa 95/46 Parlamentu Europejskiego i Rady, art. 6 ust. 1 lit. c)–e) i art. 8 ust. 4 i 5]
(zob. pkt 72–79; pkt 3 sentencji)
Streszczenie
Zakaz przetwarzania niektórych kategorii wrażliwych danych osobowych ma zastosowanie również do operatorów wyszukiwarek
Wyrokiem z dnia 24 września 2019 r. w sprawie GC i in. (Usunięcie linków do danych wrażliwych) (C‑136/17), Trybunał, w składzie wielkiej izby, wyjaśnił obowiązki spoczywające na operatorze wyszukiwarki w ramach żądania usunięcia linków do danych wrażliwych.
Spółka Google odmówiła uwzględnienia żądań, wniesionych przez cztery osoby, usunięcia z wyświetlanej w wyszukiwarce listy wyników wyszukiwania mającego za punkt wyjścia ich imiona i nazwiska, różnego rodzaju linków kierujących do prowadzonych przez osoby trzecie stron internetowych, w szczególności do artykułów prasowych. W następstwie skarg wniesionych przez te cztery osoby, Commission nationale de l’informatique et des libertés (krajowa komisja ds. informatyki i swobód, CNIL) (Francja) odmówiła wezwania spółki Google do żądanego usunięcia linków. Rozpatrująca sprawę Conseil d’État (rada stanu, Francja) zwróciła się do Trybunału o wyjaśnienie obowiązków spoczywających na operatorze wyszukiwarki przy rozpatrywaniu żądania usunięcia linków na podstawie dyrektywy 95/46 (
1
).
Po pierwsze, Trybunał przypomniał, że przetwarzanie danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność do związków zawodowych, jak również przetwarzanie danych dotyczących zdrowia i życia seksualnego jest zakazane (
2
), z zastrzeżeniem pewnych wyjątków i odstępstw. Jeśli chodzi o przetwarzanie danych dotyczących przestępstw (czynów zabronionych), wyroków skazujących lub środków bezpieczeństwa, to może ono zasadniczo odbywać się jedynie pod kontrolą władz publicznych lub też wówczas, gdy zgodnie z prawem krajowym ustanowiono odpowiednie i określone środki zabezpieczające (
3
).
Trybunał orzekł, że zakaz oraz ograniczenia przetwarzania tych szczególnych kategorii danych mają zastosowanie do operatora wyszukiwarki, podobnie jak do każdego innego administratora danych osobowych. Celem tych zakazów i ograniczeń jest bowiem zapewnienie zwiększonej ochrony przed takim przetwarzaniem, które ze względu na szczególną wrażliwość tych danych może stanowić szczególnie poważną ingerencję w prawa podstawowe do poszanowania życia prywatnego i ochrony danych osobowych (
4
).
Jednakże operator wyszukiwarki odpowiada nie za to, że dane osobowe znajdują się na stronie internetowej opublikowanej przez osobę trzecią, lecz za odsyłanie do tej strony. W tych okolicznościach zakaz oraz ograniczenia przetwarzania danych wrażliwych mają zastosowanie do tego operatora, ale tylko w zakresie dotyczącym wspomnianego odsyłania do stron internetowych, w rezultacie kontroli przeprowadzanej pod nadzorem właściwych organów krajowych po wniesieniu żądania przez osobę, której dane dotyczą.
Po drugie, Trybunał stwierdził, że gdy do operatora skierowano żądanie usunięcia linków dotyczące danych wrażliwych, operator ten jest zasadniczo zobowiązany, z zastrzeżeniem pewnych wyjątków, do uwzględnienia takiego żądania. Jeśli chodzi o wspomniane wyjątki, operator może w szczególności odmówić uwzględnienia takiego żądania, jeżeli stwierdzi, że linki prowadzą do danych w sposób oczywisty upublicznionych przez osobę, której dane dotyczą (
5
), pod warunkiem że odesłanie do takich linków spełnia pozostałe warunki zgodności przetwarzania danych osobowych z prawem, chyba że osoba ta ma prawo sprzeciwić się wspomnianemu odesłaniu z przyczyn związanych z jej szczególną sytuacją (
6
).
W każdym wypadku, operator wyszukiwarki, do którego skierowano żądanie usunięcia linków, musi sprawdzić, czy umieszczenie linku do danej strony internetowej, na której zostały opublikowane dane wrażliwe, na liście wyświetlanej w wyniku wyszukiwania mającego za punkt wyjścia imię i nazwisko tej osoby, jest ściśle niezbędne do ochrony prawa do wolności informacji przysługującego internautom (
7
) potencjalnie zainteresowanym uzyskaniem dostępu do tej strony internetowej dzięki takiemu wyszukiwaniu. W tym względzie Trybunał podkreślił, że choć prawa do poszanowania życia prywatnego i ochrony danych osobowych są co do zasady nadrzędne wobec prawa do wolności informacji przysługującego internautom, to jednak równowaga ta może, w szczególnych przypadkach, zależeć od charakteru rozpatrywanych informacji i od tego, jak istotne są one dla prywatności osoby, której dane dotyczą, oraz od publicznego interesu w dysponowaniu tą informacją, który to z kolei interes może być uzależniony w szczególności od roli odgrywanej przez tę osobę w życiu publicznym.
Po trzecie, Trybunał orzekł, że w ramach żądania usunięcia linków do stron internetowych, na których są opublikowane informacje dotyczące postępowania sądowego w sprawie karnej prowadzonej przeciwko osobie, której dane dotyczą, które odnoszą się do wcześniejszego etapu takiego postępowania i nie odpowiadają już aktualnej sytuacji, do operatora wyszukiwarki należy dokonanie oceny tego, czy, biorąc pod uwagę wszystkie okoliczności sprawy, osoba ta jest uprawniona do tego, by rozpatrywane informacje nie były już aktualnie wiązane z jej imieniem i nazwiskiem za pomocą wyświetlanej listy wyników wyszukiwania mającego za punkt wyjścia to imię i nazwisko. Jednakże, nawet jeśli operator wyszukiwarki stwierdzi, że tak nie jest ze względu na fakt, że umieszczenie danego linku jest ściśle niezbędne do pogodzenia prawa do poszanowania życia prywatnego i ochrony danych osobowych osoby, której dane dotyczą, z prawem do wolności informacji przysługującym potencjalnie zainteresowanym internautom, operator ten jest zobowiązany, najpóźniej w momencie skierowania żądania usunięcia linków, do uporządkowania listy wyników w taki sposób, aby wynikający z niej dla internauty ogólny obraz odzwierciedlał aktualną sytuację prawną, co wymaga w szczególności, aby linki do stron internetowych zawierających informacje na ten temat znajdowały się na pierwszym miejscu na tej liście.
(
1
)	Dyrektywa 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. 1995, L 281, s. 31). Dyrektywa ta została uchylona, ze skutkiem od dnia 25 maja 2018 r., rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnym rozporządzeniem o ochronie danych) (Dz.U. 2016, L 119, s. 1).
(
2
)	Artykuł 8 ust. 1 dyrektywy 95/46 oraz art. 9 ust. 1 rozporządzenia 2016/679.
(
3
)	Artykuł 8 ust. 5 dyrektywy 95/46 oraz art. 10 rozporządzenia 2016/679.
(
4
)	Prawa do poszanowania życia prywatnego i ochrony danych osobowych są zagwarantowane w art. 7 i 8 Karty praw podstawowych Unii Europejskiej.
(
5
)	Artykuł 8 ust. 2 lit. e) dyrektywy 95/46 i art. 9 ust. 2 lit. e) rozporządzenia 2016/679.
(
6
)	Artykuł 14 akapit pierwszy lit. a) dyrektywy 95/46 i art. 21 ust. 1 rozporządzenia 2016/679.
(
7
)	Prawo do wolności wypowiedzi i informacji jest określone w art. 11 Karty praw podstawowych Unii Europejskiej.