Source: http://curia.europa.eu/juris/document/document.jsf?docid=218105&mode=req&pageIndex=1&dir=&occ=first&part=1&text=&doclang=ES&cid=2634
Timestamp: 2020-08-07 16:35:59
Document Index: 289377737

Matched Legal Cases: ['artículo 10', 'artículo 9', 'artículo 12', 'artículo 14', 'artículo 24', 'artículo 28', 'artículo 16', 'artículo 99', 'artículo 94', 'artículo 3', 'artículo 4', 'artículo 17', 'artículo 21', 'artículo 55', 'artículo 56', 'artículo 58', 'artículo 60', 'artículo 61', 'artículo 62', 'artículo 63', 'artículo 65', 'artículo 66', 'artículo 85', 'artículo 45', 'artículo 11', 'artículo 17', 'artículo 17', 'artículo 17', 'artículo 17', 'artículo 17', 'artículo 17', 'artículo 4', 'artículo 3', 'artículo 16', 'artículo 17', 'artículo 17', 'artículo 17', 'artículo 9', 'artículo 85', 'artículo 4', 'artículo 56', 'artículo 61', 'artículo 63', 'artículo 66', 'artículo 17']

En el asunto C‑507/17,
– en nombre de Wikimedia Foundation Inc., por la Sra. C. Rameix-Seguin, avocate;
– en nombre de la Fondation pour la liberté de la presse, por el Sr. T. Haas, avocat;
– en nombre de Microsoft Corp., por el Sr. E. Piwnica, avocat;
– en nombre de Reporters Committee for Freedom of the Press y otros, por el Sr. F. Louis, avocat, y los Sres. H.-G. Kamann, C. Schwedler y M. Braun, Rechtsanwälte;
– en nombre de Article 19 y otros, por el Sr. G. Tapie, avocat, el Sr. G. Facenna, QC, y el Sr. E. Metcalfe, Barrister;
– en nombre de Internet Freedom Foundation y otros, por el Sr. T. Haas, avocat;
– en nombre del Défenseur des droits, por el Sr. J. Toubon, en calidad de agente;
– en nombre del Gobierno italiano, por la Sra. G. Palmieri, en calidad de agente, asistida por la Sra. R. Guizzi, avvocato dello Stato;
2 Esta petición se ha presentado en el contexto de un litigio entre Google LLC, que se ha subrogado en los derechos de Google Inc., y la Commission nationale de l’informatique et des libertés (CNIL) (Comisión Nacional de Informática y Libertades, Francia), en relación con una sanción de 100 000 euros impuesta por esta última a Google, debido a la negativa de esta sociedad, tras estimar una solicitud de retirada de enlaces de una lista de resultados, a proceder a tal retirada en todas las extensiones de nombre de dominio de su motor de búsqueda.
«(2) Considerando que los sistemas de tratamiento de datos están al servicio del hombre; que deben, cualquiera que sea la nacionalidad o la residencia de las personas físicas, respetar las libertades y derechos fundamentales de las personas físicas y, en particular, la intimidad, y contribuir al […] bienestar de los individuos;
(37) Considerando que para el tratamiento de datos personales con fines periodísticos o de expresión artística o literaria, en particular en el sector audiovisual, deben preverse excepciones o restricciones de determinadas disposiciones de la presente Directiva siempre que resulten necesarias para conciliar los derechos fundamentales de la persona con la libertad de expresión y, en particular, la libertad de recibir o comunicar informaciones, tal y como se garantiza en el artículo 10 del Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales; que por lo tanto, para ponderar estos derechos fundamentales, corresponde a los Estados miembros prever las excepciones y las restricciones necesarias en lo relativo a las medidas generales sobre la legalidad del tratamiento de datos […]».
7 El artículo 9 de la Directiva 95/46, titulado «Tratamiento de datos personales y libertad de expresión», preceptúa:
8 El artículo 12 de esta Directiva, titulado «Derecho de acceso», establece:
9 El artículo 14 de dicha Directiva, titulado «Derecho de oposición del interesado», dispone:
10 El artículo 24 de la Directiva 95/46, titulado «Sanciones», establece:
11 El artículo 28 de esta Directiva, titulado «Autoridad de control», está redactado en los siguientes términos:
12 El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46 (Reglamento general de protección de datos) (DO 2016, L 119, p. 1; corrección de errores en el DO 2018, L 127, p. 3), que se basa en el artículo 16 TFUE, es aplicable, de conformidad con su artículo 99, apartado 2, a partir del 25 de mayo de 2018. El artículo 94, apartado 1, de este Reglamento deroga la Directiva 95/46 con efecto a partir de esa misma fecha.
13 Los considerandos 1, 4, 9 a 11, 13, 22 a 25 y 65 de dicho Reglamento tienen el siguiente enunciado:
(9) […] la Directiva 95/46 […] no ha impedido que la protección de los datos en el territorio de la Unión se aplique de manera fragmentada […]. Las diferencias en el nivel de protección […] en los Estados miembros pueden impedir la libre circulación de los datos de carácter personal en la Unión. Estas diferencias pueden constituir, por lo tanto, un obstáculo al ejercicio de las actividades económicas a nivel de la Unión […].
(10) Para garantizar un nivel uniforme y elevado de protección de las personas físicas y eliminar los obstáculos a la circulación de datos personales dentro de la Unión, el nivel de protección de los derechos y libertades de las personas físicas por lo que se refiere al tratamiento de dichos datos debe ser equivalente en todos los Estados miembros. […]
(13) Para garantizar un nivel coherente de protección de las personas físicas en toda la Unión y evitar divergencias que dificulten la libre circulación de datos personales dentro del mercado interior, es necesario un reglamento que proporcione seguridad jurídica y transparencia a los operadores económicos […] y ofrezca a las personas físicas de todos los Estados miembros el mismo nivel de derechos y obligaciones exigibles y de responsabilidades para los responsables y encargados del tratamiento, con el fin de garantizar una supervisión coherente del tratamiento de datos personales y sanciones equivalentes en todos los Estados miembros, así como la cooperación efectiva entre las autoridades de control de los diferentes Estados miembros. El buen funcionamiento del mercado interior exige que la libre circulación de los datos personales en la Unión no sea restringida ni prohibida por motivos relacionados con la protección de las personas físicas en lo que respecta al tratamiento de datos personales. […]
(22) Todo tratamiento de datos personales en el contexto de las actividades de un establecimiento de un responsable o un encargado del tratamiento en la Unión debe llevarse a cabo de conformidad con el presente Reglamento, independientemente de que el tratamiento tenga lugar en la Unión. […]
(23) Con el fin de garantizar que las personas físicas no se vean privadas de la protección a la que tienen derecho en virtud del presente Reglamento, el tratamiento de datos personales de interesados que residen en la Unión por un responsable o un encargado no establecido en la Unión debe regirse por el presente Reglamento si las actividades de tratamiento se refieren a la oferta de bienes o servicios a dichos interesados, independientemente de que medie pago. Para determinar si dicho responsable o encargado ofrece bienes o servicios a interesados que residan en la Unión, debe determinarse si es evidente que el responsable o el encargado proyecta ofrecer servicios a interesados en uno o varios de los Estados miembros de la Unión. […]
14 El artículo 3 del Reglamento 2016/679, titulado «Ámbito territorial», está redactado en los siguientes términos:
15 El artículo 4, punto 23, de este Reglamento define el concepto de «tratamiento transfronterizo» del siguiente modo:
16 El artículo 17 de dicho Reglamento, titulado «Derecho de supresión (“el derecho al olvido”)», está redactado en los siguientes términos:
17 El artículo 21 del mismo Reglamento, titulado «Derecho de oposición», establece en su apartado 1:
18 El artículo 55 del Reglamento 2016/679, titulado «Competencia», que forma parte del capítulo VI de este Reglamento, titulado a su vez «Autoridades de control independientes», dispone en su apartado 1:
19 El artículo 56 de dicho Reglamento, titulado «Competencia de la autoridad de control principal», preceptúa:
20 El artículo 58 del mismo Reglamento, titulado «Poderes», establece en su apartado 2:
g) ordenar la […] supresión de datos personales con arreglo a los artículos […] 17 […];
i) imponer una multa administrativa […] además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;
21 En el capítulo VII del Reglamento 2016/679, titulado «Cooperación y coherencia», la sección 1, titulada «[Cooperación]», incluye los artículos 60 a 62 de este Reglamento. El artículo 60, titulado «Cooperación entre la autoridad de control principal y las demás autoridades de control interesadas», dispone:
9. En caso de que la autoridad de control principal y las autoridades de control interesadas acuerden desestimar o rechazar determinadas partes de una reclamación y atender otras partes de ella, se adoptará una decisión separada para cada una de esas partes del asunto. […]
22 El artículo 61 de dicho Reglamento, titulado «Asistencia mutua», preceptúa en su apartado 1:
23 El artículo 62 del mismo Reglamento, titulado «Operaciones conjuntas de las autoridades de control», establece lo siguiente:
2. Si el responsable o el encargado del tratamiento tiene establecimientos en varios Estados miembros o si es probable que un número significativo de interesados en más de un Estado miembro se vean sustancialmente afectados por las operaciones de tratamiento, una autoridad de control de cada uno de esos Estados miembros tendrá derecho a participar en operaciones conjuntas. […]
24 La sección 2, titulada «Coherencia», del capítulo VII del Reglamento 2016/679 incluye los artículos 63 a 67 de este Reglamento. El artículo 63, titulado «Mecanismo de coherencia», está redactado en los siguientes términos:
25 El artículo 65 de dicho Reglamento, titulado «Resolución de conflictos por el Comité», establece en su apartado 1:
26 El artículo 66 del mismo Reglamento, titulado «Procedimiento de urgencia», dispone en su apartado 1:
27 El artículo 85 del Reglamento 2016/679, titulado «Tratamiento y libertad de expresión y de información», preceptúa:
28 La aplicación en el Derecho francés de la Directiva 95/46 queda garantizada mediante la loi n.o 78-17, du 6 janvier 1978, relative à l’informatique, aux fichiers et aux libertés (Ley n.o 78-17, de 6 de enero de 1978, sobre informática, ficheros y libertades), en su versión aplicable a los hechos del litigio principal (en lo sucesivo, «Ley de 6 de enero de 1978»).
29 El artículo 45 de esta Ley dispone que, cuando el responsable del tratamiento incumpla las obligaciones derivadas de dicha Ley, el presidente de la CNIL podrá requerirle para que ponga fin al incumplimiento constatado en el plazo que establezca. Si el responsable del tratamiento no se atiene al requerimiento que le ha sido dirigido, la formación restringida de la CNIL podrá imponer, tras tramitar un procedimiento contradictorio, entre otras cosas, una sanción pecuniaria.
30 Mediante resolución de 21 de mayo de 2015, la presidenta de la CNIL requirió a Google para que esta sociedad, que había estimado una solicitud presentada por una persona física para que se suprimieran de la lista de resultados obtenida tras una búsqueda efectuada a partir de su nombre los enlaces que dirigían a una serie de páginas web, aplicase esta supresión respecto de todas las extensiones de nombre de dominio de su motor de búsqueda.
31 Google se negó a atenerse a este requerimiento y se limitó a suprimir los enlaces en cuestión exclusivamente de los resultados obtenidos como respuesta a las búsquedas efectuadas desde los nombres de dominio correspondientes a las extensiones de su buscador en los Estados miembros.
32 Por otra parte, la CNIL consideró insuficiente la propuesta complementaria denominada «bloqueo geográfico» presentada por Google tras la expiración del plazo de requerimiento, que consistía en eliminar la posibilidad de acceder desde una dirección IP (Internet Protocol) supuestamente localizada en el Estado de residencia del interesado a los resultados controvertidos obtenidos a raíz de una búsqueda efectuada a partir de su nombre, independientemente de la extensión del motor de búsqueda solicitada por el internauta.
33 Tras constatar que Google no se había atenido al requerimiento en el plazo establecido, la CNIL, mediante resolución de 10 de marzo de 2016, impuso a esta sociedad una sanción, que se hizo pública, de 100 000 euros.
34 Mediante demanda presentada ante el Conseil d’État (Consejo de Estado actuando como Tribunal Supremo de lo Contencioso-Administrativo, Francia), Google solicitó la anulación de esta resolución.
35 El Conseil d’État (Consejo de Estado) señala que el tratamiento de datos personales que realiza el motor de búsqueda gestionado por Google está comprendido en el ámbito de aplicación de la Ley de 6 de enero de 1978, habida cuenta de las actividades de promoción y de venta de espacios publicitarios llevadas a cabo en Francia por la filial de esta sociedad, Google France.
36 El Conseil d’État (Consejo de Estado) observa, por otra parte, que el motor de búsqueda gestionado por Google se presenta con diferentes nombres de dominio empleando extensiones geográficas, a fin de adaptar los resultados que se muestran a las particularidades, concretamente lingüísticas, de los diferentes Estados en los que esta sociedad ejerce su actividad. Cuando la búsqueda se efectúa desde «google.com», Google redirige en principio dicha búsqueda de forma automática hacia el nombre de dominio que corresponde al Estado desde el que se considera, gracias a la identificación de la dirección IP del internauta, que se ha operado tal búsqueda. Sin embargo, independientemente de su localización, el internauta puede realizar sus búsquedas en los demás nombres de dominio del motor. Además, aunque los resultados pueden variar en función del nombre de dominio desde el que se efectúe la búsqueda en el motor, consta que los enlaces que se obtienen como respuesta a una búsqueda proceden de bases de datos y de un trabajo de indexación comunes.
37 El Conseil d’État (Consejo de Estado) estima que, teniendo en cuenta, por un lado, que desde el territorio francés puede accederse a todos los nombres de dominio del motor de búsqueda de Google y, por otro lado, que existen pasarelas entre esos distintos nombres de dominio —puestas de manifiesto, en particular, por el redireccionamiento automático y la presencia de identificadores de sesión, en concreto «cookies», en otras extensiones del motor de búsqueda distintas de aquella en la que se colocaron inicialmente—, debe considerarse que ese motor, que, por lo demás, solo ha sido declarado una vez ante la CNIL, realiza un tratamiento de datos personales único a efectos de la aplicación de la Ley de 6 de enero de 1978. En su opinión, de ello se deriva que el tratamiento de datos personales que realiza el motor de búsqueda gestionado por Google tiene lugar en una de las instalaciones de esta sociedad, Google France, establecida en el territorio francés, y que, por ende, está sujeto a la Ley de 6 de enero de 1978.
38 Ante el Conseil d’État (Consejo de Estado), Google sostiene que la sanción controvertida parte de una interpretación errónea de las disposiciones de la Ley de 6 de enero de 1978, que transponen los artículos 12, letra b), y 14, párrafo primero, letra a), de la Directiva 95/46, sobre la base de los cuales el Tribunal de Justicia reconoció, en su sentencia de 13 de mayo de 2014, Google Spain y Google (C‑131/12, EU:C:2014:317), un «derecho a la retirada de enlaces» de una lista de resultados. Google aduce que ese derecho no implica necesariamente que los enlaces controvertidos deban suprimirse, sin limitación geográfica, de todos los nombres de dominio de su motor. Además, considera que, al adoptar esa interpretación, la CNIL vulneró los principios de cortesía y de no injerencia que reconoce el Derecho internacional público y menoscabó de forma desproporcionada las libertades de expresión, de información, de comunicación y de prensa, garantizadas, en particular, por el artículo 11 de la Carta.
39 Al entender que esa argumentación plantea varias dificultades serias de interpretación de la Directiva 95/46, el Conseil d’État (Consejo de Estado) decidió suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales:
«1) ¿Debe interpretarse el “derecho a la retirada de enlaces”, según ha sido consagrado por el [Tribunal de Justicia] en su sentencia de 13 de mayo de 2014, [Google Spain y Google (C‑131/12, EU:C:2014:317),] sobre la base de las disposiciones de los artículos 12, letra b), y 14, [párrafo primero], letra a), de la Directiva [95/46], en el sentido de que el gestor de un motor de búsqueda que estima una solicitud de retirada de enlaces está obligado a proceder a dicha retirada respecto de la totalidad de los nombres de dominio de su motor, de tal manera que los [enlaces] controvertidos dejen de mostrarse independientemente del lugar desde el que se efectúe la búsqueda a partir del nombre del solicitante, incluso fuera del ámbito de aplicación territorial de la Directiva [95/46]?
40 El litigio principal tiene su origen en una controversia entre Google y la CNIL sobre la forma en que el gestor de un motor de búsqueda debe aplicar el derecho a la retirada de enlaces cuando comprueba que el interesado tiene derecho a que se supriman uno o varios enlaces a páginas web, en las que se incluyen datos personales que le conciernan, de la lista de resultados obtenida tras una búsqueda efectuada a partir de su nombre. Si bien en la fecha de presentación de la petición de decisión prejudicial era aplicable la Directiva 95/46, esta fue derogada con efecto a partir del 25 de mayo de 2018, fecha a partir de la cual resulta de aplicación el Reglamento 2016/679.
41 El Tribunal de Justicia examinará las cuestiones prejudiciales planteadas a la luz tanto de la Directiva como del Reglamento, con el fin de garantizar que sus respuestas sean, en todo caso, útiles para el órgano jurisdiccional remitente.
42 Durante el procedimiento ante el Tribunal de Justicia, Google ha explicado que, tras la presentación de la petición de decisión prejudicial, elaboró una nueva configuración de las versiones nacionales de su motor de búsqueda, en la que el nombre de dominio introducido por un internauta ya no determina la versión nacional del motor de búsqueda a la que este accede. De este modo, el internauta es dirigido automáticamente a la versión nacional del motor de búsqueda de Google que corresponde al lugar desde el que se considera que efectúa la búsqueda y los resultados de esta se obtienen de acuerdo con ese lugar, que es determinado por Google mediante un proceso de localización geográfica.
43 En estas circunstancias, cabe entender que, con las cuestiones prejudiciales planteadas, que procede examinar conjuntamente, se pretende dilucidar, en esencia, si los artículos 12, letra b), y 14, párrafo primero, letra a), de la Directiva 95/46 y el artículo 17, apartado 1, del Reglamento 2016/679 deben interpretarse en el sentido de que, cuando el gestor de un motor de búsqueda estima una solicitud de retirada de enlaces en virtud de estas disposiciones, está obligado a proceder a dicha retirada en todas las versiones de su motor de búsqueda o, por el contrario, solo está obligado a proceder a ella en las versiones de este que corresponden al conjunto de los Estados miembros o incluso únicamente en la correspondiente al Estado miembro en el que se haya presentado la solicitud de retirada de enlaces, combinándola, en su caso, con el uso de la técnica denominada «bloqueo geográfico», a fin de garantizar que un internauta no pueda acceder, sea cual sea la versión nacional del motor de búsqueda utilizada, a los enlaces objeto del derecho de retirada durante una búsqueda efectuada desde una dirección IP supuestamente localizada en el Estado miembro de residencia del beneficiario del derecho a la retirada de enlaces o, de manera más general, en un Estado miembro.
44 Con carácter preliminar, es preciso recordar que el Tribunal de Justicia ha declarado que los artículos 12, letra b), y 14, párrafo primero, letra a), de la Directiva 95/46 deben interpretarse en el sentido de que, para respetar los derechos que establecen estas disposiciones, siempre que se cumplan realmente los requisitos establecidos en ellas, el gestor de un motor de búsqueda está obligado a eliminar de la lista de resultados obtenida tras una búsqueda efectuada a partir del nombre de una persona enlaces a páginas web, publicadas por terceros y que contienen información relativa a esta persona, también en el supuesto de que este nombre o esta información no se borren previa o simultáneamente de estas páginas web, y, en su caso, aunque la publicación en dichas páginas sea en sí misma lícita (sentencia de 13 de mayo de 2014, Google Spain y Google, C‑131/12, EU:C:2014:317, apartado 88).
45 Además, el Tribunal de Justicia ha puntualizado que, al analizar los requisitos de aplicación de dichas disposiciones, se tendrá que examinar, en particular, si el interesado tiene derecho a que la información en cuestión relativa a su persona ya no esté, en la situación actual, vinculada a su nombre por una lista de resultados, obtenida tras una búsqueda efectuada a partir de su nombre, sin que la apreciación de la existencia de tal derecho presuponga que la inclusión de la información en cuestión en la lista de resultados cause un perjuicio al interesado. Puesto que este puede, habida cuenta de los derechos fundamentales que le reconocen los artículos 7 y 8 de la Carta, solicitar que la información de que se trate ya no se ponga a disposición del público en general mediante su inclusión en tal lista de resultados, estos derechos prevalecen, en principio, no solo sobre el interés económico del gestor del motor de búsqueda, sino también sobre el interés de dicho público en acceder a la mencionada información en una búsqueda que verse sobre el nombre de esa persona. Sin embargo, tal no sería el caso si resultara, por razones concretas, como el papel desempeñado por el interesado en la vida pública, que la injerencia en sus derechos fundamentales está justificada por el interés preponderante de dicho público en tener, a raíz de esta inclusión, acceso a la información de que se trate (sentencia de 13 de mayo de 2014, Google Spain y Google, C‑131/12, EU:C:2014:317, apartado 99).
46 En el contexto del Reglamento 2016/679, este derecho del interesado a la retirada de enlaces se basa ahora en el artículo 17 de este Reglamento, que regula específicamente el «derecho de supresión», también denominado en el título de este artículo «derecho al olvido».
47 Con arreglo al artículo 17, apartado 1, del Reglamento 2016/679, el interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan y el responsable del tratamiento estará obligado a suprimir lo antes posible esos datos cuando concurra alguna de las circunstancias enumeradas en esta disposición. El artículo 17, apartado 3, de este Reglamento especifica que el artículo 17, apartado 1, no se aplicará cuando el tratamiento sea necesario por alguna de las razones enunciadas en el propio apartado 3 de este artículo. Estas razones incluyen, entre otras, de conformidad con el artículo 17, apartado 3, letra a), de dicho Reglamento, el ejercicio, en particular, del derecho a la libertad de información de los internautas.
48 Del artículo 4, apartado 1, letra a), de la Directiva 95/46 y del artículo 3, apartado 1, del Reglamento 2016/679 se desprende que tanto la Directiva como el Reglamento permiten a los interesados hacer valer su derecho a la retirada de enlaces frente al gestor de un motor de búsqueda que posea uno o varios establecimientos en el territorio de la Unión, en el marco de cuyas actividades realice el tratamiento de datos personales relativos a esos interesados, independientemente de que el tratamiento tenga lugar en la Unión o no.
49 A este respecto, el Tribunal de Justicia ha declarado que se realiza un tratamiento de datos personales en el marco de las actividades de un establecimiento del responsable de dicho tratamiento en el territorio de un Estado miembro cuando el gestor de un motor de búsqueda crea en el Estado miembro una sucursal o una filial destinada a garantizar la promoción y la venta de espacios publicitarios propuestos por el mencionado motor y cuya actividad se dirige a los habitantes de ese Estado miembro (sentencia de 13 de mayo de 2014, Google Spain y Google, C‑131/12, EU:C:2014:317, apartado 60).
50 En efecto, en tales circunstancias, las actividades del gestor del motor de búsqueda y las de su establecimiento situado en la Unión están indisociablemente ligadas, dado que las actividades relativas a los espacios publicitarios constituyen el medio para que el motor de búsqueda en cuestión sea económicamente rentable y dado que este motor es, al mismo tiempo, el medio que permite realizar las mencionadas actividades, toda vez que la presentación de la lista de resultados está acompañada, en la misma página, de la presentación de publicidad vinculada a los términos de búsqueda (véase, en este sentido, la sentencia de 13 de mayo de 2014, Google Spain y Google, C‑131/12, EU:C:2014:317, apartados 56 y 57).
51 Así las cosas, el hecho de que ese motor de búsqueda sea gestionado por una empresa de un tercer Estado no puede tener como consecuencia que el tratamiento de datos personales realizado para el funcionamiento de dicho motor de búsqueda en el marco de la actividad publicitaria y comercial de un establecimiento del responsable de ese tratamiento en el territorio de un Estado miembro se sustraiga a las obligaciones y a las garantías establecidas en la Directiva 95/46 y en el Reglamento 2016/679 (véase, en este sentido, la sentencia de 13 de mayo de 2014, Google Spain y Google, C‑131/12, EU:C:2014:317, apartado 58).
52 En el presente asunto, de la información facilitada en la resolución de remisión se desprende, por un lado, que el establecimiento que Google posee en el territorio francés lleva a cabo actividades, en particular comerciales y publicitarias, que están indisociablemente ligadas al tratamiento de datos personales necesario para el funcionamiento del motor de búsqueda de que se trata y, por otro lado, que debe considerarse que este motor de búsqueda realiza un tratamiento de datos personales único, habida cuenta, en particular, de la existencia de pasarelas entre sus distintas versiones nacionales. El órgano jurisdiccional remitente estima que, en estas circunstancias, dicho tratamiento tiene lugar en el establecimiento de Google situado en el territorio francés. Por lo tanto, tal situación queda comprendida en el ámbito de aplicación territorial de la Directiva 95/46 y del Reglamento 2016/679.
53 Mediante sus cuestiones prejudiciales, el órgano jurisdiccional remitente desea que se dilucide el alcance territorial que cabe conferir a la retirada de enlaces en una situación de esta índole.
54 A este respecto, del considerando 10 de la Directiva 95/46 y de los considerandos 10, 11 y 13 del Reglamento 2016/679, que se adoptó sobre la base del artículo 16 TFUE, se desprende que el objetivo tanto de la Directiva como del Reglamento consiste en garantizar un elevado nivel de protección de los datos personales en toda la Unión.
55 Obviamente, retirar los enlaces de todas las versiones de un motor de búsqueda responde plenamente a este objetivo.
56 En efecto, Internet es una red mundial sin fronteras y los motores de búsqueda confieren carácter ubicuo a la información y a los enlaces contenidos en una lista de resultados obtenida tras una búsqueda efectuada a partir del nombre de una persona física (véanse, en este sentido, las sentencias de 13 de mayo de 2014, Google Spain y Google, C‑131/12, EU:C:2014:317, apartado 80, y de 17 de octubre de 2017, Bolagsupplysningen e Ilsjan, C‑194/16, EU:C:2017:766, apartado 48).
57 En un mundo globalizado, el acceso de los internautas, en particular de aquellos que se hallan fuera de la Unión, a un enlace que remite a información sobre una persona cuyo centro de interés está situado en la Unión puede tener, por lo tanto, efectos inmediatos y sustanciales en la propia Unión.
58 Tales consideraciones podrían justificar que el legislador de la Unión fuera competente para establecer la obligación de que el gestor de un motor de búsqueda, cuando estime una solicitud de retirada de enlaces formulada por tal persona, retire dichos enlaces de todas las versiones de su motor.
59 Sin embargo, debe subrayarse que muchos terceros Estados no contemplan el derecho a la retirada de enlaces o lo abordan desde una perspectiva diferente.
60 Por otra parte, el derecho a la protección de los datos personales no constituye un derecho absoluto, sino que debe considerarse en relación con su función en la sociedad y mantener el equilibrio con otros derechos fundamentales, con arreglo al principio de proporcionalidad [véanse, en este sentido, la sentencia de 9 de noviembre de 2010, Volker und Markus Schecke y Eifert, C‑92/09 y C‑93/09, EU:C:2010:662, apartado 48, y el dictamen 1/15 (Acuerdo PNR UE-Canadá), de 26 de julio de 2017, EU:C:2017:592, apartado 136]. A esto cabe añadir que el equilibrio entre los derechos al respeto de la vida privada y a la protección de los datos personales, por un lado, y la libertad de información de los internautas, por otro lado, puede variar significativamente en las distintas partes del mundo.
61 Pues bien, aunque el legislador de la Unión ha instaurado, con el artículo 17, apartado 3, letra a), del Reglamento 2016/679, un equilibrio entre ese derecho y esa libertad en lo que respecta a la Unión [véase, en este sentido, la sentencia de fecha de hoy, GC y otros (Retirada de enlaces a datos sensibles), C‑136/17, apartado 59], es preciso observar que, en cambio, en la situación actual, no ha establecido tal equilibrio en lo que respecta al alcance de la retirada de enlaces fuera de la Unión.
62 En particular, del tenor de los artículos 12, letra b), y 14, párrafo primero, letra a), de la Directiva 95/46 y del artículo 17 del Reglamento 2016/679 no se desprende en modo alguno que el legislador de la Unión haya optado, a fin de garantizar el cumplimiento del objetivo mencionado en el apartado 54 de la presente sentencia, por atribuir a los derechos consagrados en estas disposiciones un alcance que vaya más allá del territorio de los Estados miembros y que haya pretendido imponer a un gestor que, como Google, queda comprendido en el ámbito de aplicación de la Directiva o del Reglamento la obligación de retirar enlaces también de las versiones nacionales de su motor de búsqueda que no correspondan a los Estados miembros.
63 De hecho, aun cuando los artículos 56 y 60 a 66 del Reglamento 2016/679 proporcionan a las autoridades de control de los Estados miembros los instrumentos y mecanismos que les permiten, en su caso, cooperar para llegar a una decisión común basada en un equilibrio entre los derechos del interesado al respeto de su vida privada y a la protección de los datos personales que le conciernan y el interés del público de los distintos Estados miembros en tener acceso a la información, es preciso señalar que el Derecho de la Unión no prevé actualmente tales instrumentos y mecanismos de cooperación en lo que se refiere al alcance de la retirada de enlaces fuera de la Unión.
64 De ello resulta que, en la situación actual, el gestor de un motor de búsqueda que estime una solicitud de retirada de enlaces presentada por el interesado, en su caso a raíz de un requerimiento de una autoridad de control o judicial de un Estado miembro, no está obligado, con arreglo al Derecho de la Unión, a proceder a dicha retirada en todas las versiones de su motor.
65 A la luz del conjunto de consideraciones anteriores, no puede exigirse al gestor de un motor de búsqueda, en virtud de los artículos 12, letra b), y 14, párrafo primero, letra a), de la Directiva 95/46 y del artículo 17, apartado 1, del Reglamento 2016/679, que proceda a la retirada de enlaces en todas las versiones de su motor.
66 Por lo que se refiere a la cuestión de si debe procederse a tal retirada en las versiones del motor de búsqueda correspondientes a los Estados miembros o únicamente en la versión de dicho motor correspondiente al Estado miembro de residencia del beneficiario de la retirada de enlaces, en principio, la retirada de enlaces de que se trate debe verificarse en todos los Estados miembros, como se desprende en particular del hecho de que el legislador de la Unión haya decidido ahora establecer las normas relativas a la protección de datos mediante un reglamento, de aplicación directa en todos los Estados miembros, con el fin, como se subraya en el considerando 10 del Reglamento 2016/679, de garantizar un nivel uniforme y elevado de protección en toda la Unión y eliminar los obstáculos a la circulación de datos personales dentro de esta.
67 Sin embargo, es importante señalar que el interés del público en acceder a una información puede variar, incluso dentro de la Unión, de un Estado miembro a otro, de modo que el resultado de la ponderación que debe llevarse a cabo entre este interés, por un lado, y los derechos al respeto de la vida privada y a la protección de los datos personales del interesado, por otro lado, no será necesariamente el mismo en todos los Estados miembros, máxime cuando, en virtud del artículo 9 de la Directiva 95/46 y del artículo 85 del Reglamento 2016/679, corresponde a los Estados miembros establecer, en particular para los tratamientos realizados exclusivamente con fines periodísticos o con fines de expresión artística o literaria, las exenciones y excepciones necesarias para conciliar esos derechos con, entre otras cosas, la libertad de información.
68 En concreto, de los artículos 56 y 60 del Reglamento 2016/679 se desprende que, para los tratamientos transfronterizos, en el sentido del artículo 4, punto 23, de este Reglamento, y con reserva de lo dispuesto en el artículo 56, apartado 2, las distintas autoridades nacionales de control interesadas deben cooperar, de acuerdo con el procedimiento establecido en dichas disposiciones, para llegar a un consenso y a una decisión única, que vincula a todas esas autoridades y cuyo cumplimiento debe garantizar el responsable del tratamiento en lo tocante a las actividades de tratamiento en el contexto de todos sus establecimientos en la Unión. Por otra parte, el artículo 61, apartado 1, del Reglamento 2016/679 exige, en particular, que las autoridades de control se faciliten información útil y se presten asistencia mutua a fin de aplicar el Reglamento de manera coherente en toda la Unión, y el artículo 63 de dicho Reglamento precisa que, a tal efecto, se ha establecido el mecanismo de coherencia contemplado en los artículos 64 y 65 del mismo Reglamento. Por último, el procedimiento de urgencia del artículo 66 del Reglamento 2016/679 permite, en circunstancias excepcionales, cuando una autoridad de control considere que es urgente intervenir para proteger los derechos y las libertades de los interesados, adoptar inmediatamente medidas provisionales destinadas a producir efectos jurídicos en su propio territorio, con un período de validez determinado que no podrá ser superior a tres meses.
69 Así pues, este marco reglamentario proporciona a las autoridades nacionales de control los instrumentos y mecanismos necesarios para conciliar los derechos al respeto de la vida privada y a la protección de los datos personales del interesado con el interés del conjunto del público de los Estados miembros en acceder a la información de que se trate y, de este modo, para poder adoptar, en su caso, una decisión sobre la retirada de enlaces que abarque la totalidad de las búsquedas efectuadas a partir del nombre del interesado desde el territorio de la Unión.
70 Además, corresponde al gestor del motor de búsqueda adoptar, en caso necesario, medidas suficientemente eficaces para garantizar la protección efectiva de los derechos fundamentales del interesado. Esas medidas deben respetar en sí todas las exigencias legales y deben tener como efecto impedir o, al menos, dificultar seriamente a los internautas de los Estados miembros el acceso a los enlaces de que se trate mediante una búsqueda efectuada a partir del nombre del interesado (véanse, por analogía, las sentencias de 27 de marzo de 2014, UPC Telekabel Wien, C‑314/12, EU:C:2014:192, apartado 62, y de 15 de septiembre de 2016, Mc Fadden, C‑484/14, EU:C:2016:689, apartado 96).
71 Corresponde al órgano jurisdiccional remitente comprobar si las medidas adoptadas o propuestas por Google, habida cuenta asimismo de las recientes modificaciones de su motor de búsqueda, expuestas en el apartado 42 de la presente sentencia, cumplen estos requisitos.
72 Para terminar, es preciso subrayar que, aunque el Derecho de la Unión no exige, en la situación actual, que, cuando se estime una retirada de enlaces, esta se realice en todas las versiones del motor de búsqueda de que se trate —como se ha indicado en el apartado 64 de la presente sentencia—, tampoco lo prohíbe. Por lo tanto, una autoridad de control o judicial de un Estado miembro sigue siendo competente para realizar, de conformidad con los estándares nacionales de protección de los derechos fundamentales (véanse, en este sentido, las sentencias de 26 de febrero de 2013, Åkerberg Fransson, C‑617/10, EU:C:2013:105, apartado 29, y de 26 de febrero de 2013, Melloni, C‑399/11, EU:C:2013:107, apartado 60), una ponderación entre, por un lado, los derechos del interesado al respeto de su vida privada y a la protección de los datos personales que le conciernan y, por otro lado, el derecho a la libertad de información y, al término de esta ponderación, exigir, en su caso, al gestor del motor de búsqueda que proceda a retirar los enlaces de todas las versiones de dicho motor.
73 Habida cuenta de todas las anteriores consideraciones, procede responder a las cuestiones prejudiciales planteadas que los artículos 12, letra b), y 14, párrafo primero, letra a), de la Directiva 95/46 y el artículo 17, apartado 1, del Reglamento 2016/679 deben interpretarse en el sentido de que, cuando el gestor de un motor de búsqueda estime una solicitud de retirada de enlaces en virtud de estas disposiciones, estará obligado a proceder a dicha retirada no en todas las versiones de su motor, sino en las versiones de este que correspondan al conjunto de los Estados miembros, combinándola, en caso necesario, con medidas que, con pleno respeto de las exigencias legales, impidan de manera efectiva o, al menos, dificulten seriamente a los internautas que efectúen una búsqueda a partir del nombre del interesado desde uno de los Estados miembros el acceso, a través de la lista de resultados que se obtenga tras esa búsqueda, a los enlaces objeto de la solicitud de retirada.