62017CJ0136_RES
Sag C-136/17
GC m.fl.
mod
Commission nationale de l’informatique et des libertés (CNIL)
(anmodning om præjudiciel afgørelse indgivet af Conseil d’État (Frankrig))
Domstolens dom (Store Afdeling) af 24. september 2019
»Præjudiciel forelæggelse – personoplysninger – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger, der findes på websider – direktiv 95/46/EF – forordning (EU) 2016/679 – internetsøgemaskiner – behandling af personoplysninger på websider – særlige kategorier af oplysninger i direktivets artikel 8 og i forordningens artikel 9 og 10 – anvendeligheden af disse artikler på søgemaskineudbyderen – rækkevidden af forpligtelserne for denne udbyder i forhold til disse artikler – offentliggørelse af personoplysninger på websider udelukkende i journalistisk øjemed eller med henblik på kunstnerisk eller litterær virksomhed – indvirkning på behandlingen af en anmodning om fjernelse – artikel 7, 8 og 11 i Den Europæiske Unions charter om grundlæggende rettigheder«
Tilnærmelse af lovgivningerne – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – artikel 2 i direktiv 95/46 – behandling af personoplysninger – begreb – søgemaskines aktivitet, der består i at finde oplysninger, der er offentliggjort eller lagt på internettet af tredjemand, indeksere disse, lagre dem og gøre dem tilgængelige for internetbrugerne – omfattet – registeransvarlig – begreb – søgemaskineudbyder – omfattet
[Europa-Parlamentets og Rådets direktiv 95/46, art. 2, litra b) og d)]
(jf. præmis 35-37)
Tilnærmelse af lovgivningerne – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – direktiv 95/46 – behandling vedrørende særlige kategorier af personoplysninger – forbud eller restriktioner i forbindelse med behandlingen af disse kategorier af personoplysninger – anvendelse på søgemaskineudbyder – betingelser
(Europa-Parlamentets og Rådets forordning 2016/679, art. 9, stk. 1, og art. 10; Europa-Parlamentets og Rådets direktiv 95/46, art. 8, stk. 1 og 5)
(jf. præmis 42-48 og domskonkl. 1)
Tilnærmelse af lovgivningerne – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – artikel 12 og 14 i direktiv 95/46 – registreredes ret til at få adgang til oplysningerne om vedkommende selv og ret til at gøre indsigelse mod deres behandling – ret til at anmode om fjernelse af links til websider fra resultatlisten – betingelser
[Europa-Parlamentets og Rådets direktiv 95/46, art. 12, litra b), og art. 14, første afsnit, litra a)]
(jf. præmis 50-52)
Tilnærmelse af lovgivningerne – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – artikel 12 og 14 i direktiv 95/46 – registreredes ret til at få adgang til oplysningerne om vedkommende selv og ret til at gøre indsigelse mod deres behandling – søgning på en persons navn foretaget ved hjælp af en søgemaskine – visning af en resultatliste – ret til at anmode om, at denne oplysning ikke længere stilles til rådighed for den brede offentlighed
[Den Europæiske Unions charter om grundlæggende rettigheder, art. 7 og 8; Europa-Parlamentets og Rådets direktiv 95/46, art. 6, stk. 1, litra c)-e), art. 12, litra b), og art. 14, første afsnit, litra a)]
(jf. præmis 53)
Grundlæggende rettigheder – respekt for privatlivet – beskyttelse af personoplysninger – begrænsninger – betingelser
(Den Europæiske Unions charter om grundlæggende rettigheder, art. 7, art. 8 og art. 52, stk. 1)
(jf. præmis 58)
Tilnærmelse af lovgivningerne – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – direktiv 95/46 – behandling vedrørende særlige kategorier af personoplysninger – anmodning om fjernelse – søgemaskineudbyders forpligtelse til at efterkomme en sådan anmodning – undtagelse – oplysninger, som klart er offentliggjort af den registrerede – betingelser
[Europa-Parlamentets og Rådets forordning 2016/679, art. 9, stk. 2, litra a), e) og g), art. 17, stk. 1, litra b) og c), og art. 21, stk. 1; Europa-Parlamentets og Rådets direktiv 95/46, art. 8, stk. 1, art. 8, stk. 2, litra a) og e), art. 8, stk. 4, og art. 14, første afsnit, litra a)]
(jf. præmis 61-65 og domskonkl. 2)
Tilnærmelse af lovgivningerne – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – direktiv 95/46 – behandling vedrørende særlige kategorier af personoplysninger – anmodning om fjernelse – søgemaskineudbyders forpligtelse til at efterkomme en sådan anmodning – undtagelse – beskyttelse af internetbrugeres informationsfrihed – udbyders efterprøvelse
(Den Europæiske Unions charter om grundlæggende rettigheder, art. 7, 8, 11 og art. 52, stk. 1; Europa-Parlamentets og Rådets forordning 2016/679, art. 9, stk. 1, og art. 10; Europa-Parlamentets og Rådets direktiv 95/46, art. 8, stk. 1 og 5)
(jf. præmis 66-69 og domskonkl. 2)
Tilnærmelse af lovgivningerne – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – direktiv 95/46 – behandling vedrørende særlige kategorier af personoplysninger – oplysninger vedrørende lovovertrædelser og straffedomme – begreb – oplysninger vedrørende en retslig procedure – omfattet – anmodning om fjernelse – en søgemaskineudbyders forpligtelse til at efterkomme en sådan anmodning – betingelser – forening af retten til respekt for privatlivet og retten til beskyttelse af personoplysninger med internetbrugeres informationsfrihed – udbyders efterprøvelse
[Den Europæiske Unions charter om grundlæggende rettigheder, art. 7, 8 og 11; Europa-Parlamentets og Rådets forordning 2016/679, art. 5, stk. 1, litra c)-e), og art. 10; Europa-Parlamentets og Rådets direktiv 95/46, art. 6, stk. 1, litra c)-e), art. 8, stk. 4 og 5]
(jf. præmis 72-79 og domskonkl. 3)
Resumé
Forbuddet mod at behandle visse kategorier af følsomme personoplysninger finder også anvendelse på søgemaskineudbydere
I dom af 24. september 2019, GC m.fl. (Fjernelse af følsomme personoplysninger) (sag C-136/17), har Domstolen, Store Afdeling, præciseret de forpligtelser, som påhviler en søgemaskineudbyder i forbindelse med en anmodning om fjernelse af følsomme personoplysninger.
Google havde afvist at efterkomme fire personers anmodninger om fjernelse af forskellige links til websider, der er offentliggjort af tredjemand, bl.a. avisartikler, fra den resultatliste, som søgemaskinen viser efter en søgning på deres respektive navne. Som svar på disse fire personers klager afviste Commission nationale de l’informatique et des libertés (CNIL) (Frankrig) at pålægge Google at fjerne de omhandlede links. Sagen blev indbragt for Conseil d’État (øverste domstol i forvaltningsretlige sager, Frankrig), som har anmodet Domstolen om at præcisere de forpligtelser, der påhviler søgemaskineudbyderen ved behandlingen af en anmodning om fjernelse i henhold til direktiv 95/46 (
1
).
For det første har Domstolen bemærket, at behandlingen af personoplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold og oplysninger om helbredsforhold og seksuelle forhold, med forbehold af visse undtagelser og fravigelser, er forbudt (
2
). Behandlingen af oplysninger vedrørende lovovertrædelser, straffedomme eller sikkerhedsforanstaltninger må i princippet kun foretages under kontrol af en offentlig myndighed, eller hvis der gælder tilstrækkelige, specifikke garantier i medfør af den nationale lovgivning (
3
).
Domstolen har fastslået, at forbuddet og restriktionerne vedrørende behandlingen af disse særlige kategorier af personoplysninger finder anvendelse på søgemaskineudbyderen i lighed med enhver anden registeransvarlig. Formålet med disse forbud og restriktioner består i at sikre en øget beskyttelse mod sådanne behandlinger, der som følge af disse oplysningers særligt følsomme karakter kan udgøre et særligt alvorligt indgreb i de grundlæggende rettigheder til respekt for privatliv og beskyttelse af personoplysninger (
4
).
Søgemaskineudbyderen er imidlertid ikke ansvarlig for den omstændighed, at personoplysninger forekommer på en webside, som en tredjemand har offentliggjort, men for henvisningen til denne side. Under disse omstændigheder finder forbuddet og restriktionerne vedrørende behandlingen af følsomme personoplysninger kun anvendelse på denne udbyder på grund af denne visning af links og dermed ved hjælp af en efterprøvelse under de kompetente nationale myndigheders kontrol på grundlag af en anmodning om fjernelse af links fremsat af den registrerede.
For det andet fastslog Domstolen, at søgemaskineudbyderen med forbehold af de i direktivet fastsatte undtagelser i princippet er forpligtet til at efterkomme en anmodning om fjernelse af links til følsomme personoplysninger, når udbyderen forelægges en sådan anmodning. Hvad angår disse undtagelser kan udbydere bl.a. afvise at efterkomme en sådan anmodning, hvis udbyderen konstaterer, at de pågældende links fører til oplysninger, som klart er offentliggjort af den registrerede (
5
), forudsat at visningen af disse links opfylder de øvrige lovlighedsbetingelser for en behandling af personoplysninger, og medmindre den registrerede har ret til at gøre indsigelse mod denne visning af grunde, der vedrører dennes særlige situation (
6
).
Under alle omstændigheder skal søgemaskineudbyderen, når denne forelægges en anmodning om fjernelse af et link til en webside, hvor følsomme personoplysninger offentliggøres, prøve, om medtagelsen af dette link på resultatlisten, som vises efter en søgning på den registreredes navn, er strengt nødvendig for at beskytte informationsfriheden (
7
) for de internetbrugere, som potentielt kunne være interesserede i at få adgang til denne webside ved en sådan søgning. I denne henseende har Domstolen fremhævet, at selv om retten til respekt for privatlivet og retten til beskyttelse af personoplysninger generelt vejer tungest i forhold til internetbrugernes informationsfrihed, kan denne afvejning dog i særlige tilfælde afhænge af den pågældende oplysnings art, og hvor følsom den er for den registreredes privatliv, samt offentlighedens interesse i at råde over denne oplysning, hvilket bl.a. kan variere, alt efter hvilken rolle denne person har i det offentlige liv.
For det tredje har Domstolen fastslået, at det tilkommer en søgemaskineudbyder inden for rammerne af en anmodning om fjernelse af links vedrørende oplysninger om en retslig procedure i en straffesag mod den registrerede, som vedrører et tidligere trin i denne procedure, og som ikke længere svarer til den aktuelle situation, under hensyntagen til alle sagens omstændigheder at vurdere, om denne person har ret til, at de pågældende oplysninger på det nuværende stadium ikke længere er knyttet til vedkommendes navn på en resultatliste, som vises efter en søgning på dette navn. Selv om dette ikke er tilfældet på grund af den omstændighed, at medtagelsen af det pågældende link viser sig at være strengt nødvendig for at forene den registreredes ret til respekt for privatlivets fred og ret til beskyttelse af personoplysninger med potentielt interesserede internetbrugeres informationsfrihed, er udbyderen imidlertid forpligtet til senest i forbindelse med anmodningen om fjernelse at tilpasse resultatlisten på en sådan måde, at det samlede image, der følger heraf for internetbrugeren, afspejler den aktuelle retslige situation, hvilket bl.a. indebærer, at links til websider, der indeholder oplysninger herom, vises øverst på denne liste.
(
1
) – Europa-Parlamentets og Rådets direktiv 95/46/EF af 24.10.1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT 1995, L 281, s. 31). Dette direktiv blev ophævet med virkning fra den 25.5.2018 ved Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27.4.2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1).
(
2
) – Artikel 8, stk. 1, i direktiv 95/46 og artikel 9, stk. 1, i forordning 2016/679.
(
3
) – Artikel 8, stk. 5, i direktiv 95/46 og artikel 10 i forordning 2016/679.
(
4
) – Retten til respekt for privatliv og beskyttelse af personoplysninger er sikret ved artikel 7 og 8 i Den Europæiske Unions charter om grundlæggende rettigheder.
(
5
) – Artikel 8, stk. 2, litra e), i direktiv 95/46 og artikel 9, stk. 2, litra e), i forordning 2016/679.
(
6
) – Artikel 14, første afsnit, litra a), i direktiv 95/46 og artikel 21, stk. 1, i forordning 2016/679.
(
7
) – Retten til ytringsfrihed og informationsfriheden er sikret ved artikel 11 i Den Europæiske Unions charter om grundlæggende rettigheder.