CELEX ID: 62012CJ0131

--- ENGLISH ---

Document:
JUDGMENT OF THE COURT (Grand Chamber)
13 May 2014 (
*1
)
‛Personal data — Protection of individuals with regard to the processing of such data — Directive 95/46/EC — Articles 2, 4, 12 and 14 — Material and territorial scope — Internet search engines — Processing of data contained on websites — Searching for, indexing and storage of such data — Responsibility of the operator of the search engine — Establishment on the territory of a Member State — Extent of that operator’s obligations and of the data subject’s rights — Charter of Fundamental Rights of the European Union — Articles 7 and 8’
In Case C‑131/12,
REQUEST for a preliminary ruling under Article 267 TFEU from the Audiencia Nacional (Spain), made by decision of 27 February 2012, received at the Court on 9 March 2012, in the proceedings
Google Spain SL,
Google Inc.
v
Agencia Española de Protección de Datos (AEPD),
Mario Costeja González,
THE COURT (Grand Chamber),
composed of V. Skouris, President, K. Lenaerts, Vice-President, M. Ilešič (Rapporteur), L. Bay Larsen, T. von Danwitz, M. Safjan, Presidents of Chambers, J. Malenovský, E. Levits, A. Ó Caoimh, A. Arabadjiev, M. Berger, A. Prechal and E. Jarašiūnas Judges,
Advocate General: N. Jääskinen,
Registrar: M. Ferreira, Principal Administrator,
having regard to the written procedure and further to the hearing on 26 February 2013,
after considering the observations submitted on behalf of:
—
Google Spain SL and Google Inc., by F. González Díaz, J. Baño Fos and B. Holles, abogados,
—
Mr Costeja González, by J. Muñoz Rodríguez, abogado,
—
the Spanish Government, by A. Rubio González, acting as Agent,
—
the Greek Government, by E.-M. Mamouna and K. Boskovits, acting as Agents,
—
the Italian Government, by G. Palmieri, acting as Agent, and P. Gentili, avvocato dello Stato,
—
the Austrian Government, by G. Kunnert and C. Pesendorfer, acting as Agents,
—
the Polish Government, by B. Majczyna and M. Szpunar, acting as Agents,
—
the European Commission, by I. Martínez del Peral and B. Martenczuk, acting as Agents,
after hearing the Opinion of the Advocate General at the sitting on 25 June 2013,
gives the following
Judgment
1
This request for a preliminary ruling concerns the interpretation of Article 2(b) and (d), Article 4(1)(a) and (c), Article 12(b) and subparagraph (a) of the first paragraph of Article 14 of Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data (
OJ 1995 L 281, p. 31
) and of Article 8 of the Charter of Fundamental Rights of the European Union (‘the Charter’).
2
The request has been made in proceedings between, on the one hand, Google Spain SL (‘Google Spain’) and Google Inc. and, on the other, the Agencia Española de Protección de Datos (Spanish Data Protection Agency; ‘the AEPD’) and Mr Costeja González concerning a decision by the AEPD upholding the complaint lodged by Mr Costeja González against those two companies and ordering Google Inc. to adopt the measures necessary to withdraw personal data relating to Mr Costeja González from its index and to prevent access to the data in the future.
Legal context
European Union law
3
Directive 95/46 which, according to Article 1, has the object of protecting the fundamental rights and freedoms of natural persons, and in particular their right to privacy with respect to the processing of personal data, and of removing obstacles to the free flow of such data, states in recitals 2, 10, 18 to 20 and 25 in its preamble:
‘(2)
… data-processing systems are designed to serve man; … they must, whatever the nationality or residence of natural persons, respect their fundamental rights and freedoms, notably the right to privacy, and contribute to … the well-being of individuals;
...
(10)
… the object of the national laws on the processing of personal data is to protect fundamental rights and freedoms, notably the right to privacy, which is recognised both in Article 8 of the European Convention for the Protection of Human Rights and Fundamental Freedoms [, signed in Rome on 4 November 1950,] and in the general principles of Community law; … for that reason, the approximation of those laws must not result in any lessening of the protection they afford but must, on the contrary, seek to ensure a high level of protection in the Community;
...
(18)
… in order to ensure that individuals are not deprived of the protection to which they are entitled under this Directive, any processing of personal data in the Community must be carried out in accordance with the law of one of the Member States; … in this connection, processing carried out under the responsibility of a controller who is established in a Member State should be governed by the law of that State;
(19)
… establishment on the territory of a Member State implies the effective and real exercise of activity through stable arrangements; … the legal form of such an establishment, whether simply [a] branch or a subsidiary with a legal personality, is not the determining factor in this respect; … when a single controller is established on the territory of several Member States, particularly by means of subsidiaries, he must ensure, in order to avoid any circumvention of national rules, that each of the establishments fulfils the obligations imposed by the national law applicable to its activities;
(20)
… the fact that the processing of data is carried out by a person established in a third country must not stand in the way of the protection of individuals provided for in this Directive; … in these cases, the processing should be governed by the law of the Member State in which the means used are located, and there should be guarantees to ensure that the rights and obligations provided for in this Directive are respected in practice;
...
(25)
… the principles of protection must be reflected, on the one hand, in the obligations imposed on persons … responsible for processing, in particular regarding data quality, technical security, notification to the supervisory authority, and the circumstances under which processing can be carried out, and, on the other hand, in the right conferred on individuals, the data on whom are the subject of processing, to be informed that processing is taking place, to consult the data, to request corrections and even to object to processing in certain circumstances’.
4
Article 2 of Directive 95/46 states that ‘[f]or the purposes of this Directive:
(a)
“personal data” shall mean any information relating to an identified or identifiable natural person (“data subject”); an identifiable person is one who can be identified, directly or indirectly, in particular by reference to an identification number or to one or more factors specific to his physical, physiological, mental, economic, cultural or social identity;
(b)
“processing of personal data” (“processing”) shall mean any operation or set of operations which is performed upon personal data, whether or not by automatic means, such as collection, recording, organisation, storage, adaptation or alteration, retrieval, consultation, use, disclosure by transmission, dissemination or otherwise making available, alignment or combination, blocking, erasure or destruction;
...
(d)
“controller” shall mean the natural or legal person, public authority, agency or any other body which alone or jointly with others determines the purposes and means of the processing of personal data; where the purposes and means of processing are determined by national or Community laws or regulations, the controller or the specific criteria for his nomination may be designated by national or Community law;
...’
5
Article 3 of Directive 95/46, entitled ‘Scope’, states in paragraph 1:
‘This Directive shall apply to the processing of personal data wholly or partly by automatic means, and to the processing otherwise than by automatic means of personal data which form part of a filing system or are intended to form part of a filing system.’
6
Article 4 of Directive 95/46, entitled ‘National law applicable’, provides:
‘1.   Each Member State shall apply the national provisions it adopts pursuant to this Directive to the processing of personal data where:
(a)
the processing is carried out in the context of the activities of an establishment of the controller on the territory of the Member State; when the same controller is established on the territory of several Member States, he must take the necessary measures to ensure that each of these establishments complies with the obligations laid down by the national law applicable;
(b)
the controller is not established on the Member State’s territory, but in a place where its national law applies by virtue of international public law;
(c)
the controller is not established on Community territory and, for purposes of processing personal data makes use of equipment, automated or otherwise, situated on the territory of the said Member State, unless such equipment is used only for purposes of transit through the territory of the Community.
2.   In the circumstances referred to in paragraph 1(c), the controller must designate a representative established in the territory of that Member State, without prejudice to legal actions which could be initiated against the controller himself.’
7
In Section I (entitled ‘Principles relating to data quality’) of Chapter II of Directive 95/46, Article 6 is worded as follows:
‘1.   Member States shall provide that personal data must be:
(a)
processed fairly and lawfully;
(b)
collected for specified, explicit and legitimate purposes and not further processed in a way incompatible with those purposes. Further processing of data for historical, statistical or scientific purposes shall not be considered as incompatible provided that Member States provide appropriate safeguards;
(c)
adequate, relevant and not excessive in relation to the purposes for which they are collected and/or further processed;
(d)
accurate and, where necessary, kept up to date; every reasonable step must be taken to ensure that data which are inaccurate or incomplete, having regard to the purposes for which they were collected or for which they are further processed, are erased or rectified;
(e)
kept in a form which permits identification of data subjects for no longer than is necessary for the purposes for which the data were collected or for which they are further processed. Member States shall lay down appropriate safeguards for personal data stored for longer periods for historical, statistical or scientific use.
2.   It shall be for the controller to ensure that paragraph 1 is complied with.’
8
In Section II (entitled ‘Criteria for making data processing legitimate’) of Chapter II of Directive 95/46, Article 7 provides:
‘Member States shall provide that personal data may be processed only if:
...
(f)
processing is necessary for the purposes of the legitimate interests pursued by the controller or by the third party or parties to whom the data are disclosed, except where such interests are overridden by the interests [or] fundamental rights and freedoms of the data subject which require protection under Article 1(1).’
9
Article 9 of Directive 95/46, entitled ‘Processing of personal data and freedom of expression’, provides:
‘Member States shall provide for exemptions or derogations from the provisions of this Chapter, Chapter IV and Chapter VI for the processing of personal data carried out solely for journalistic purposes or the purpose of artistic or literary expression only if they are necessary to reconcile the right to privacy with the rules governing freedom of expression.’
10
Article 12 of Directive 95/46, entitled ‘Rights of access’, provides:
‘Member States shall guarantee every data subject the right to obtain from the controller:
...
(b)
as appropriate the rectification, erasure or blocking of data the processing of which does not comply with the provisions of this Directive, in particular because of the incomplete or inaccurate nature of the data;
...’
11
Article 14 of Directive 95/46, entitled ‘The data subject’s right to object’, provides:
‘Member States shall grant the data subject the right:
(a)
at least in the cases referred to in Article 7(e) and (f), to object at any time on compelling legitimate grounds relating to his particular situation to the processing of data relating to him, save where otherwise provided by national legislation. Where there is a justified objection, the processing instigated by the controller may no longer involve those data;
...’
12
Article 28 of Directive 95/46, entitled ‘Supervisory authority’, is worded as follows:
‘1.   Each Member State shall provide that one or more public authorities are responsible for monitoring the application within its territory of the provisions adopted by the Member States pursuant to this Directive.
...
3.   Each authority shall in particular be endowed with:
—
investigative powers, such as powers of access to data forming the subject-matter of processing operations and powers to collect all the information necessary for the performance of its supervisory duties,
—
effective powers of intervention, such as, for example, that … of ordering the blocking, erasure or destruction of data, of imposing a temporary or definitive ban on processing …
—
...
Decisions by the supervisory authority which give rise to complaints may be appealed against through the courts.
4.   Each supervisory authority shall hear claims lodged by any person, or by an association representing that person, concerning the protection of his rights and freedoms in regard to the processing of personal data. The person concerned shall be informed of the outcome of the claim.
...
6.   Each supervisory authority is competent, whatever the national law applicable to the processing in question, to exercise, on the territory of its own Member State, the powers conferred on it in accordance with paragraph 3. Each authority may be requested to exercise its powers by an authority of another Member State.
The supervisory authorities shall cooperate with one another to the extent necessary for the performance of their duties, in particular by exchanging all useful information.
...’
Spanish law
13
Directive 95/46 was transposed into Spanish Law by Organic Law No 15/1999 of 13 December 1999 on the protection of personal data (BOE No 298 of 14 December 1999, p. 43088).
The dispute in the main proceedings and the questions referred for a preliminary ruling
14
On 5 March 2010, Mr Costeja González, a Spanish national resident in Spain, lodged with the AEPD a complaint against La Vanguardia Ediciones SL, which publishes a daily newspaper with a large circulation, in particular in Catalonia (Spain) (‘La Vanguardia’), and against Google Spain and Google Inc. The complaint was based on the fact that, when an internet user entered Mr Costeja González’s name in the search engine of the Google group (‘Google Search’), he would obtain links to two pages of La Vanguardia’s newspaper, of 19 January and 9 March 1998 respectively, on which an announcement mentioning Mr Costeja González’s name appeared for a real-estate auction connected with attachment proceedings for the recovery of social security debts.
15
By that complaint, Mr Costeja González requested, first, that La Vanguardia be required either to remove or alter those pages so that the personal data relating to him no longer appeared or to use certain tools made available by search engines in order to protect the data. Second, he requested that Google Spain or Google Inc. be required to remove or conceal the personal data relating to him so that they ceased to be included in the search results and no longer appeared in the links to La Vanguardia. Mr Costeja González stated in this context that the attachment proceedings concerning him had been fully resolved for a number of years and that reference to them was now entirely irrelevant.
16
By decision of 30 July 2010, the AEPD rejected the complaint in so far as it related to La Vanguardia, taking the view that the publication by it of the information in question was legally justified as it took place upon order of the Ministry of Labour and Social Affairs and was intended to give maximum publicity to the auction in order to secure as many bidders as possible.
17
On the other hand, the complaint was upheld in so far as it was directed against Google Spain and Google Inc. The AEPD considered in this regard that operators of search engines are subject to data protection legislation given that they carry out data processing for which they are responsible and act as intermediaries in the information society. The AEPD took the view that it has the power to require the withdrawal of data and the prohibition of access to certain data by the operators of search engines when it considers that the locating and dissemination of the data are liable to compromise the fundamental right to data protection and the dignity of persons in the broad sense, and this would also encompass the mere wish of the person concerned that such data not be known to third parties. The AEPD considered that that obligation may be owed directly by operators of search engines, without it being necessary to erase the data or information from the website where they appear, including when retention of the information on that site is justified by a statutory provision.
18
Google Spain and Google Inc. brought separate actions against that decision before the Audiencia Nacional (National High Court). The Audiencia Nacional joined the actions.
19
That court states in the order for reference that the actions raise the question of what obligations are owed by operators of search engines to protect personal data of persons concerned who do not wish that certain information, which is published on third parties’ websites and contains personal data relating to them that enable that information to be linked to them, be located, indexed and made available to internet users indefinitely. The answer to that question depends on the way in which Directive 95/46 must be interpreted in the context of these technologies, which appeared after the directive’s publication.
20
In those circumstances, the Audiencia Nacional decided to stay the proceedings and to refer the following questions to the Court for a preliminary ruling:
‘1.
With regard to the territorial application of Directive [95/46] and, consequently, of the Spanish data protection legislation:
(a)
must it be considered that an “establishment”, within the meaning of Article 4(1)(a) of Directive 95/46, exists when any one or more of the following circumstances arise:
—
when the undertaking providing the search engine sets up in a Member State an office or subsidiary for the purpose of promoting and selling advertising space on the search engine, which orientates its activity towards the inhabitants of that State,
or
—
when the parent company designates a subsidiary located in that Member State as its representative and controller for two specific filing systems which relate to the data of customers who have contracted for advertising with that undertaking,
or
—
when the office or subsidiary established in a Member State forwards to the parent company, located outside the European Union, requests and requirements addressed to it both by data subjects and by the authorities with responsibility for ensuring observation of the right to data protection, even where such collaboration is engaged in voluntarily?
(b)
Must Article 4(1)(c) of Directive 95/46 be interpreted as meaning that there is “use of equipment … situated on the territory of the said Member State”:
—
when a search engine uses crawlers or robots to locate and index information contained in web pages located on servers in that Member State,
or
—
when it uses a domain name pertaining to a Member State and arranges for searches and the results thereof to be based on the language of that Member State?
(c)
Is it possible to regard as a use of equipment, in the terms of Article 4(1)(c) of Directive 95/46, the temporary storage of the information indexed by internet search engines? If the answer to that question is affirmative, can it be considered that that connecting factor is present when the undertaking refuses to disclose the place where it stores those indexes, invoking reasons of competition?
(d)
Regardless of the answers to the foregoing questions and particularly in the event that the Court … considers that the connecting factors referred to in Article 4 of [Directive 95/46] are not present:
must Directive 95/46 … be applied, in the light of Article 8 of the [Charter], in the Member State where the centre of gravity of the conflict is located and more effective protection of the rights of … Union citizens is possible?
2.
As regards the activity of search engines as providers of content in relation to Directive 95/46 …:
(a)
in relation to the activity of [Google Search], as a provider of content, consisting in locating information published or included on the net by third parties, indexing it automatically, storing it temporarily and finally making it available to internet users according to a particular order of preference, when that information contains personal data of third parties: must an activity like the one described be interpreted as falling within the concept of “processing of … data” used in Article 2(b) of Directive 95/46?
(b)
If the answer to the foregoing question is affirmative, and once again in relation to an activity like the one described:
must Article 2(d) of Directive 95/46 be interpreted as meaning that the undertaking managing [Google Search] is to be regarded as the “controller” of the personal data contained in the web pages that it indexes?
(c)
In the event that the answer to the foregoing question is affirmative:
may the [AEPD], protecting the rights embodied in [Article] 12(b) and [subparagraph (a) of the first paragraph of Article 14] of Directive 95/46, directly impose on [Google Search] a requirement that it withdraw from its indexes an item of information published by third parties, without addressing itself in advance or simultaneously to the owner of the web page on which that information is located?
(d)
In the event that the answer to the foregoing question is affirmative:
would the obligation of search engines to protect those rights be excluded when the information that contains the personal data has been lawfully published by third parties and is kept on the web page from which it originates?
3.
Regarding the scope of the right of erasure and/or the right to object, in relation to the “derecho al olvido” (the “right to be forgotten”), the following question is asked:
must it be considered that the rights to erasure and blocking of data, provided for in Article 12(b), and the right to object, provided for by [subparagraph (a) of the first paragraph of Article 14] of Directive 95/46, extend to enabling the data subject to address himself to search engines in order to prevent indexing of the information relating to him personally, published on third parties’ web pages, invoking his wish that such information should not be known to internet users when he considers that it might be prejudicial to him or he wishes it to be consigned to oblivion, even though the information in question has been lawfully published by third parties?’
Consideration of the questions referred
Question 2(a) and (b), concerning the material scope of Directive 95/46
21
By Question 2(a) and (b), which it is appropriate to examine first, the referring court asks, in essence, whether Article 2(b) of Directive 95/46 is to be interpreted as meaning that the activity of a search engine as a provider of content which consists in finding information published or placed on the internet by third parties, indexing it automatically, storing it temporarily and, finally, making it available to internet users according to a particular order of preference must be classified as ‘processing of personal data’ within the meaning of that provision when that information contains personal data. If the answer is in the affirmative, the referring court seeks to ascertain furthermore whether Article 2(d) of Directive 95/46 is to be interpreted as meaning that the operator of a search engine must be regarded as the ‘controller’ in respect of that processing of the personal data, within the meaning of that provision.
22
According to Google Spain and Google Inc., the activity of search engines cannot be regarded as processing of the data which appear on third parties’ web pages displayed in the list of search results, given that search engines process all the information available on the internet without effecting a selection between personal data and other information. Furthermore, even if that activity must be classified as ‘data processing’, the operator of a search engine cannot be regarded as a ‘controller’ in respect of that processing since it has no knowledge of those data and does not exercise control over the data.
23
On the other hand, Mr Costeja González, the Spanish, Italian, Austrian and Polish Governments and the European Commission consider that that activity quite clearly involves ‘data processing’ within the meaning of Directive 95/46, which is distinct from the data processing by the publishers of websites and pursues different objectives from such processing. The operator of a search engine is the ‘controller’ in respect of the data processing carried out by it since it is the operator that determines the purposes and means of that processing.
24
In the Greek Government’s submission, the activity in question constitutes such ‘processing’, but inasmuch as search engines serve merely as intermediaries, the undertakings which operate them cannot be regarded as ‘controllers’, except where they store data in an ‘intermediate memory’ or ‘cache memory’ for a period which exceeds that which is technically necessary.
25
Article 2(b) of Directive 95/46 defines ‘processing of personal data’ as ‘any operation or set of operations which is performed upon personal data, whether or not by automatic means, such as collection, recording, organisation, storage, adaptation or alteration, retrieval, consultation, use, disclosure by transmission, dissemination or otherwise making available, alignment or combination, blocking, erasure or destruction’.
26
As regards in particular the internet, the Court has already had occasion to state that the operation of loading personal data on an internet page must be considered to be such ‘processing’ within the meaning of Article 2(b) of Directive 95/46 (see Case C‑101/01 
Lindqvist
EU:C:2003:596
, paragraph 25).
27
So far as concerns the activity at issue in the main proceedings, it is not contested that the data found, indexed and stored by search engines and made available to their users include information relating to identified or identifiable natural persons and thus ‘personal data’ within the meaning of Article 2(a) of that directive.
28
Therefore, it must be found that, in exploring the internet automatically, constantly and systematically in search of the information which is published there, the operator of a search engine ‘collects’ such data which it subsequently ‘retrieves’, ‘records’ and ‘organises’ within the framework of its indexing programmes, ‘stores’ on its servers and, as the case may be, ‘discloses’ and ‘makes available’ to its users in the form of lists of search results. As those operations are referred to expressly and unconditionally in Article 2(b) of Directive 95/46, they must be classified as ‘processing’ within the meaning of that provision, regardless of the fact that the operator of the search engine also carries out the same operations in respect of other types of information and does not distinguish between the latter and the personal data.
29
Nor is the foregoing finding affected by the fact that those data have already been published on the internet and are not altered by the search engine.
30
The Court has already held that the operations referred to in Article 2(b) of Directive 95/46 must also be classified as such processing where they exclusively concern material that has already been published in unaltered form in the media. It has indeed observed in that regard that a general derogation from the application of Directive 95/46 in such a case would largely deprive the directive of its effect (see, to this effect, Case C‑73/07 
Satakunnan Markkinapörssi and Satamedia
EU:C:2008:727
, paragraphs 48 and 49).
31
Furthermore, it follows from the definition contained in Article 2(b) of Directive 95/46 that, whilst the alteration of personal data indeed constitutes processing within the meaning of the directive, the other operations which are mentioned there do not, on the other hand, in any way require that the personal data be altered.
32
As to the question whether the operator of a search engine must be regarded as the ‘controller’ in respect of the processing of personal data that is carried out by that engine in the context of an activity such as that at issue in the main proceedings, it should be recalled that Article 2(d) of Directive 95/46 defines ‘controller’ as ‘the natural or legal person, public authority, agency or any other body which alone or jointly with others determines the purposes and means of the processing of personal data’.
33
It is the search engine operator which determines the purposes and means of that activity and thus of the processing of personal data that it itself carries out within the framework of that activity and which must, consequently, be regarded as the ‘controller’ in respect of that processing pursuant to Article 2(d).
34
Furthermore, it would be contrary not only to the clear wording of that provision but also to its objective — which is to ensure, through a broad definition of the concept of ‘controller’, effective and complete protection of data subjects — to exclude the operator of a search engine from that definition on the ground that it does not exercise control over the personal data published on the web pages of third parties.
35
In this connection, it should be pointed out that the processing of personal data carried out in the context of the activity of a search engine can be distinguished from and is additional to that carried out by publishers of websites, consisting in loading those data on an internet page.
36
Moreover, it is undisputed that that activity of search engines plays a decisive role in the overall dissemination of those data in that it renders the latter accessible to any internet user making a search on the basis of the data subject’s name, including to internet users who otherwise would not have found the web page on which those data are published.
37
Also, the organisation and aggregation of information published on the internet that are effected by search engines with the aim of facilitating their users’ access to that information may, when users carry out their search on the basis of an individual’s name, result in them obtaining through the list of results a structured overview of the information relating to that individual that can be found on the internet enabling them to establish a more or less detailed profile of the data subject.
38
Inasmuch as the activity of a search engine is therefore liable to affect significantly, and additionally compared with that of the publishers of websites, the fundamental rights to privacy and to the protection of personal data, the operator of the search engine as the person determining the purposes and means of that activity must ensure, within the framework of its responsibilities, powers and capabilities, that the activity meets the requirements of Directive 95/46 in order that the guarantees laid down by the directive may have full effect and that effective and complete protection of data subjects, in particular of their right to privacy, may actually be achieved.
39
Finally, the fact that publishers of websites have the option of indicating to operators of search engines, by means in particular of exclusion protocols such as ‘robot.txt’ or codes such as ‘noindex’ or ‘noarchive’, that they wish specific information published on their site to be wholly or partially excluded from the search engines’ automatic indexes does not mean that, if publishers of websites do not so indicate, the operator of a search engine is released from its responsibility for the processing of personal data that it carries out in the context of the engine’s activity.
40
That fact does not alter the position that the purposes and means of that processing are determined by the operator of the search engine. Furthermore, even if that option for publishers of websites were to mean that they determine the means of that processing jointly with that operator, this finding would not remove any of the latter’s responsibility as Article 2(d) of Directive 95/46 expressly provides that that determination may be made ‘alone or jointly with others’.
41
It follows from all the foregoing considerations that the answer to Question 2(a) and (b) is that Article 2(b) and (d) of Directive 95/46 are to be interpreted as meaning that, first, the activity of a search engine consisting in finding information published or placed on the internet by third parties, indexing it automatically, storing it temporarily and, finally, making it available to internet users according to a particular order of preference must be classified as ‘processing of personal data’ within the meaning of Article 2(b) when that information contains personal data and, second, the operator of the search engine must be regarded as the ‘controller’ in respect of that processing, within the meaning of Article 2(d).
Question 1(a) to (d), concerning the territorial scope of Directive 95/46
42
By Question 1(a) to (d), the referring court seeks to establish whether it is possible to apply the national legislation transposing Directive 95/46 in circumstances such as those at issue in the main proceedings.
43
In this respect, the referring court has established the following facts:
—
Google Search is offered worldwide through the website ‘www.google.com’. In numerous States, a local version adapted to the national language exists. The version of Google Search in Spanish is offered through the website ‘www.google.es’, which has been registered since 16 September 2003. Google Search is one of the most used search engines in Spain.
—
Google Search is operated by Google Inc., which is the parent company of the Google Group and has its seat in the United States.
—
Google Search indexes websites throughout the world, including websites located in Spain. The information indexed by its ‘web crawlers’ or robots, that is to say, computer programmes used to locate and sweep up the content of web pages methodically and automatically, is stored temporarily on servers whose State of location is unknown, that being kept secret for reasons of competition.
—
Google Search does not merely give access to content hosted on the indexed websites, but takes advantage of that activity and includes, in return for payment, advertising associated with the internet users’ search terms, for undertakings which wish to use that tool in order to offer their goods or services to the internet users.
—
The Google group has recourse to its subsidiary Google Spain for promoting the sale of advertising space generated on the website ‘www.google.com’. Google Spain, which was established on 3 September 2003 and possesses separate legal personality, has its seat in Madrid (Spain). Its activities are targeted essentially at undertakings based in Spain, acting as a commercial agent for the Google group in that Member State. Its objects are to promote, facilitate and effect the sale of on-line advertising products and services to third parties and the marketing of that advertising.
—
Google Inc. designated Google Spain as the controller, in Spain, in respect of two filing systems registered by Google Inc. with the AEPD; those filing systems were intended to contain the personal data of the customers who had concluded contracts for advertising services with Google Inc.
44
Specifically, the main issues raised by the referring court concern the notion of ‘establishment’, within the meaning of Article 4(1)(a) of Directive 95/46, and of ‘use of equipment situated on the territory of the said Member State’, within the meaning of Article 4(1)(c).
Question 1(a)
45
By Question 1(a), the referring court asks, in essence, whether Article 4(1)(a) of Directive 95/46 is to be interpreted as meaning that processing of personal data is carried out in the context of the activities of an establishment of the controller on the territory of a Member State, within the meaning of that provision, when one or more of the following three conditions are met:
—
the operator of a search engine sets up in a Member State a branch or subsidiary which is intended to promote and sell advertising space offered by that engine and which orientates its activity towards the inhabitants of that Member State, or
—
the parent company designates a subsidiary located in that Member State as its representative and controller for two specific filing systems which relate to the data of customers who have contracted for advertising with that undertaking, or
—
the branch or subsidiary established in a Member State forwards to the parent company, located outside the European Union, requests and requirements addressed to it both by data subjects and by the authorities with responsibility for ensuring observation of the right to protection of personal data, even where such collaboration is engaged in voluntarily.
46
So far as concerns the first of those three conditions, the referring court states that Google Search is operated and managed by Google Inc. and that it has not been established that Google Spain carries out in Spain an activity directly linked to the indexing or storage of information or data contained on third parties’ websites. Nevertheless, according to the referring court, the promotion and sale of advertising space, which Google Spain attends to in respect of Spain, constitutes the bulk of the Google group’s commercial activity and may be regarded as closely linked to Google Search.
47
Mr Costeja González, the Spanish, Italian, Austrian and Polish Governments and the Commission submit that, in the light of the inextricable link between the activity of the search engine operated by Google Inc. and the activity of Google Spain, the latter must be regarded as an establishment of the former and the processing of personal data is carried out in context of the activities of that establishment. On the other hand, according to Google Spain, Google Inc. and the Greek Government, Article 4(1)(a) of Directive 95/46 is not applicable in the case of the first of the three conditions listed by the referring court.
48
In this regard, it is to be noted first of all that recital 19 in the preamble to Directive 95/46 states that ‘establishment on the territory of a Member State implies the effective and real exercise of activity through stable arrangements’ and that ‘the legal form of such an establishment, whether simply [a] branch or a subsidiary with a legal personality, is not the determining factor’.
49
It is not disputed that Google Spain engages in the effective and real exercise of activity through stable arrangements in Spain. As it moreover has separate legal personality, it constitutes a subsidiary of Google Inc. on Spanish territory and, therefore, an ‘establishment’ within the meaning of Article 4(1)(a) of Directive 95/46.
50
In order to satisfy the criterion laid down in that provision, it is also necessary that the processing of personal data by the controller be ‘carried out in the context of the activities’ of an establishment of the controller on the territory of a Member State.
51
Google Spain and Google Inc. dispute that this is the case since the processing of personal data at issue in the main proceedings is carried out exclusively by Google Inc., which operates Google Search without any intervention on the part of Google Spain; the latter’s activity is limited to providing support to the Google group’s advertising activity which is separate from its search engine service.
52
Nevertheless, as the Spanish Government and the Commission in particular have pointed out, Article 4(1)(a) of Directive 95/46 does not require the processing of personal data in question to be carried out ‘by’ the establishment concerned itself, but only that it be carried out ‘in the context of the activities’ of the establishment.
53
Furthermore, in the light of the objective of Directive 95/46 of ensuring effective and complete protection of the fundamental rights and freedoms of natural persons, and in particular their right to privacy, with respect to the processing of personal data, those words cannot be interpreted restrictively (see, by analogy, Case C‑324/09 
L'Oréal and Others
EU:C:2011:474
, paragraphs 62 and 63).
54
It is to be noted in this context that it is clear in particular from recitals 18 to 20 in the preamble to Directive 95/46 and Article 4 thereof that the European Union legislature sought to prevent individuals from being deprived of the protection guaranteed by the directive and that protection from being circumvented, by prescribing a particularly broad territorial scope.
55
In the light of that objective of Directive 95/46 and of the wording of Article 4(1)(a), it must be held that the processing of personal data for the purposes of the service of a search engine such as Google Search, which is operated by an undertaking that has its seat in a third State but has an establishment in a Member State, is carried out ‘in the context of the activities’ of that establishment if the latter is intended to promote and sell, in that Member State, advertising space offered by the search engine which serves to make the service offered by that engine profitable.
56
In such circumstances, the activities of the operator of the search engine and those of its establishment situated in the Member State concerned are inextricably linked since the activities relating to the advertising space constitute the means of rendering the search engine at issue economically profitable and that engine is, at the same time, the means enabling those activities to be performed.
57
As has been stated in paragraphs 26 to 28 of the present judgment, the very display of personal data on a search results page constitutes processing of such data. Since that display of results is accompanied, on the same page, by the display of advertising linked to the search terms, it is clear that the processing of personal data in question is carried out in the context of the commercial and advertising activity of the controller’s establishment on the territory of a Member State, in this instance Spanish territory.
58
That being so, it cannot be accepted that the processing of personal data carried out for the purposes of the operation of the search engine should escape the obligations and guarantees laid down by Directive 95/46, which would compromise the directive’s effectiveness and the effective and complete protection of the fundamental rights and freedoms of natural persons which the directive seeks to ensure (see, by analogy, 
L'Oréal and Others
EU:C:2011:474
, paragraphs 62 and 63), in particular their right to privacy, with respect to the processing of personal data, a right to which the directive accords special importance as is confirmed in particular by Article 1(1) thereof and recitals 2 and 10 in its preamble (see, to this effect, Joined Cases C‑465/00, C‑138/01 and C‑139/01 
Österreichischer Rundfunk and Others
EU:C:2003:294
, paragraph 70; Case C‑553/07 
Rijkeboer
EU:C:2009:293
, paragraph 47; and Case C‑473/12 
IPI
EU:C:2013:715
, paragraph 28 and the case-law cited).
59
Since the first of the three conditions listed by the referring court suffices by itself for it to be concluded that an establishment such as Google Spain satisfies the criterion laid down in Article 4(1)(a) of Directive 95/46, it is unnecessary to examine the other two conditions.
60
It follows from the foregoing that the answer to Question 1(a) is that Article 4(1)(a) of Directive 95/46 is to be interpreted as meaning that processing of personal data is carried out in the context of the activities of an establishment of the controller on the territory of a Member State, within the meaning of that provision, when the operator of a search engine sets up in a Member State a branch or subsidiary which is intended to promote and sell advertising space offered by that engine and which orientates its activity towards the inhabitants of that Member State.
Question 1(b) to (d)
61
In view of the answer given to Question 1(a), there is no need to answer Question 1(b) to (d).
Question 2(c) and (d), concerning the extent of the responsibility of the operator of a search engine under Directive 95/46
62
By Question 2(c) and (d), the referring court asks, in essence, whether Article 12(b) and subparagraph (a) of the first paragraph of Article 14 of Directive 95/46 are to be interpreted as meaning that, in order to comply with the rights laid down in those provisions, the operator of a search engine is obliged to remove from the list of results displayed following a search made on the basis of a person’s name links to web pages, published by third parties and containing information relating to that person, also in a case where that name or information is not erased beforehand or simultaneously from those web pages, and even, as the case may be, when its publication in itself on those pages is lawful.
63
Google Spain and Google Inc. submit that, by virtue of the principle of proportionality, any request seeking the removal of information must be addressed to the publisher of the website concerned because it is he who takes the responsibility for making the information public, who is in a position to appraise the lawfulness of that publication and who has available to him the most effective and least restrictive means of making the information inaccessible. Furthermore, to require the operator of a search engine to withdraw information published on the internet from its indexes would take insufficient account of the fundamental rights of publishers of websites, of other internet users and of that operator itself.
64
According to the Austrian Government, a national supervisory authority may order such an operator to erase information published by third parties from its filing systems only if the data in question have been found previously to be unlawful or incorrect or if the data subject has made a successful objection to the publisher of the website on which that information was published.
65
Mr Costeja González, the Spanish, Italian and Polish Governments and the Commission submit that the national authority may directly order the operator of a search engine to withdraw from its indexes and intermediate memory information containing personal data that has been published by third parties, without having to approach beforehand or simultaneously the publisher of the web page on which that information appears. Furthermore, according to Mr Costeja González, the Spanish and Italian Governments and the Commission, the fact that the information has been published lawfully and that it still appears on the original web page has no effect on the obligations of that operator under Directive 95/46. On the other hand, according to the Polish Government that fact is such as to release the operator from its obligations.
66
First of all, it should be remembered that, as is apparent from Article 1 and recital 10 in the preamble, Directive 95/46 seeks to ensure a high level of protection of the fundamental rights and freedoms of natural persons, in particular their right to privacy, with respect to the processing of personal data (see, to this effect, 
IPI
EU:C:2013:715
, paragraph 28).
67
According to recital 25 in the preamble to Directive 95/46, the principles of protection laid down by the directive are reflected, on the one hand, in the obligations imposed on persons responsible for processing, in particular regarding data quality, technical security, notification to the supervisory authority and the circumstances under which processing can be carried out, and, on the other hand, in the rights conferred on individuals whose data are the subject of processing to be informed that processing is taking place, to consult the data, to request corrections and even to object to processing in certain circumstances.
68
The Court has already held that the provisions of Directive 95/46, in so far as they govern the processing of personal data liable to infringe fundamental freedoms, in particular the right to privacy, must necessarily be interpreted in the light of fundamental rights, which, according to settled case-law, form an integral part of the general principles of law whose observance the Court ensures and which are now set out in the Charter (see, in particular, Case C‑274/99 P 
Connolly
 v 
Commission
EU:C:2001:127
, paragraph 37, and 
Österreichischer Rundfunk and Others
EU:C:2003:294
, paragraph 68).
69
Article 7 of the Charter guarantees the right to respect for private life, whilst Article 8 of the Charter expressly proclaims the right to the protection of personal data. Article 8(2) and (3) specify that such data must be processed fairly for specified purposes and on the basis of the consent of the person concerned or some other legitimate basis laid down by law, that everyone has the right of access to data which have been collected concerning him or her and the right to have the data rectified, and that compliance with these rules is to be subject to control by an independent authority. Those requirements are implemented inter alia by Articles 6, 7, 12, 14 and 28 of Directive 95/46.
70
Article 12(b) of Directive 95/46 provides that Member States are to guarantee every data subject the right to obtain from the controller, as appropriate, the rectification, erasure or blocking of data the processing of which does not comply with the provisions of Directive 95/46, in particular because of the incomplete or inaccurate nature of the data. As this final point relating to the case where certain requirements referred to in Article 6(1)(d) of Directive 95/46 are not observed is stated by way of example and is not exhaustive, it follows that non-compliant nature of the processing, which is capable of conferring upon the data subject the right guaranteed in Article 12(b) of the directive, may also arise from non-observance of the other conditions of lawfulness that are imposed by the directive upon the processing of personal data.
71
In this connection, it should be noted that, subject to the exceptions permitted under Article 13 of Directive 95/46, all processing of personal data must comply, first, with the principles relating to data quality set out in Article 6 of the directive and, secondly, with one of the criteria for making data processing legitimate listed in Article 7 of the directive (see 
Österreichischer Rundfunk and Others
EU:C:2003:294
, paragraph 65; Joined Cases C‑468/10 and C‑469/10 
ASNEF and FECEMD
EU:C:2011:777
, paragraph 26; and Case C‑342/12 
Worten
EU:C:2013:355
, paragraph 33).
72
Under Article 6 of Directive 95/46 and without prejudice to specific provisions that the Member States may lay down in respect of processing for historical, statistical or scientific purposes, the controller has the task of ensuring that personal data are processed ‘fairly and lawfully’, that they are ‘collected for specified, explicit and legitimate purposes and not further processed in a way incompatible with those purposes’, that they are ‘adequate, relevant and not excessive in relation to the purposes for which they are collected and/or further processed’, that they are ‘accurate and, where necessary, kept up to date’ and, finally, that they are ‘kept in a form which permits identification of data subjects for no longer than is necessary for the purposes for which the data were collected or for which they are further processed’. In this context, the controller must take every reasonable step to ensure that data which do not meet the requirements of that provision are erased or rectified.
73
As regards legitimation, under Article 7 of Directive 95/46, of processing such as that at issue in the main proceedings carried out by the operator of a search engine, that processing is capable of being covered by the ground in Article 7(f).
74
This provision permits the processing of personal data where it is necessary for the purposes of the legitimate interests pursued by the controller or by the third party or parties to whom the data are disclosed, except where such interests are overridden by the interests or fundamental rights and freedoms of the data subject — in particular his right to privacy with respect to the processing of personal data — which require protection under Article 1(1) of the directive. Application of Article 7(f) thus necessitates a balancing of the opposing rights and interests concerned, in the context of which account must be taken of the significance of the data subject’s rights arising from Articles 7 and 8 of the Charter (see 
ASNEF and FECEMD
, 
EU:C:2011:777
, paragraphs 38 and 40).
75
Whilst the question whether the processing complies with Articles 6 and 7(f) of Directive 95/46 may be determined in the context of a request as provided for in Article 12(b) of the directive, the data subject may, in addition, rely in certain conditions on the right to object laid down in subparagraph (a) of the first paragraph of Article 14 of the directive.
76
Under subparagraph (a) of the first paragraph of Article 14 of Directive 95/46, Member States are to grant the data subject the right, at least in the cases referred to in Article 7(e) and (f) of the directive, to object at any time on compelling legitimate grounds relating to his particular situation to the processing of data relating to him, save where otherwise provided by national legislation. The balancing to be carried out under subparagraph (a) of the first paragraph of Article 14 thus enables account to be taken in a more specific manner of all the circumstances surrounding the data subject’s particular situation. Where there is a justified objection, the processing instigated by the controller may no longer involve those data.
77
Requests under Article 12(b) and subparagraph (a) of the first paragraph of Article 14 of Directive 95/46 may be addressed by the data subject directly to the controller who must then duly examine their merits and, as the case may be, end processing of the data in question. Where the controller does not grant the request, the data subject may bring the matter before the supervisory authority or the judicial authority so that it carries out the necessary checks and orders the controller to take specific measures accordingly.
78
In this connection, it is to be noted that it is clear from Article 28(3) and (4) of Directive 95/46 that each supervisory authority is to hear claims lodged by any person concerning the protection of his rights and freedoms in regard to the processing of personal data and that it has investigative powers and effective powers of intervention enabling it to order in particular the blocking, erasure or destruction of data or to impose a temporary or definitive ban on such processing.
79
It is in the light of those considerations that it is necessary to interpret and apply the provisions of Directive 95/46 governing the data subject’s rights when he lodges with the supervisory authority or judicial authority a request such as that at issue in the main proceedings.
80
It must be pointed out at the outset that, as has been found in paragraphs 36 to 38 of the present judgment, processing of personal data, such as that at issue in the main proceedings, carried out by the operator of a search engine is liable to affect significantly the fundamental rights to privacy and to the protection of personal data when the search by means of that engine is carried out on the basis of an individual’s name, since that processing enables any internet user to obtain through the list of results a structured overview of the information relating to that individual that can be found on the internet — information which potentially concerns a vast number of aspects of his private life and which, without the search engine, could not have been interconnected or could have been only with great difficulty — and thereby to establish a more or less detailed profile of him. Furthermore, the effect of the interference with those rights of the data subject is heightened on account of the important role played by the internet and search engines in modern society, which render the information contained in such a list of results ubiquitous (see, to this effect, Joined Cases C‑509/09 and C‑161/10 
eDate Advertising and Others
EU:C:2011:685
, paragraph 45).
81
In the light of the potential seriousness of that interference, it is clear that it cannot be justified by merely the economic interest which the operator of such an engine has in that processing. However, inasmuch as the removal of links from the list of results could, depending on the information at issue, have effects upon the legitimate interest of internet users potentially interested in having access to that information, in situations such as that at issue in the main proceedings a fair balance should be sought in particular between that interest and the data subject’s fundamental rights under Articles 7 and 8 of the Charter. Whilst it is true that the data subject’s rights protected by those articles also override, as a general rule, that interest of internet users, that balance may however depend, in specific cases, on the nature of the information in question and its sensitivity for the data subject’s private life and on the interest of the public in having that information, an interest which may vary, in particular, according to the role played by the data subject in public life.
82
Following the appraisal of the conditions for the application of Article 12(b) and subparagraph (a) of the first paragraph of Article 14 of Directive 95/46 which is to be carried out when a request such as that at issue in the main proceedings is lodged with it, the supervisory authority or judicial authority may order the operator of the search engine to remove from the list of results displayed following a search made on the basis of a person’s name links to web pages published by third parties containing information relating to that person, without an order to that effect presupposing the previous or simultaneous removal of that name and information — of the publisher’s own accord or following an order of one of those authorities — from the web page on which they were published.
83
As has been established in paragraphs 35 to 38 of the present judgment, inasmuch as the data processing carried out in the context of the activity of a search engine can be distinguished from and is additional to that carried out by publishers of websites and affects the data subject’s fundamental rights additionally, the operator of the search engine as the controller in respect of that processing must ensure, within the framework of its responsibilities, powers and capabilities, that that processing meets the requirements of Directive 95/46, in order that the guarantees laid down by the directive may have full effect.
84
Given the ease with which information published on a website can be replicated on other sites and the fact that the persons responsible for its publication are not always subject to European Union legislation, effective and complete protection of data users could not be achieved if the latter had to obtain first or in parallel the erasure of the information relating to them from the publishers of websites.
85
Furthermore, the processing by the publisher of a web page consisting in the publication of information relating to an individual may, in some circumstances, be carried out ‘solely for journalistic purposes’ and thus benefit, by virtue of Article 9 of Directive 95/46, from derogations from the requirements laid down by the directive, whereas that does not appear to be so in the case of the processing carried out by the operator of a search engine. It cannot therefore be ruled out that in certain circumstances the data subject is capable of exercising the rights referred to in Article 12(b) and subparagraph (a) of the first paragraph of Article 14 of Directive 95/46 against that operator but not against the publisher of the web page.
86
Finally, it must be stated that not only does the ground, under Article 7 of Directive 95/46, justifying the publication of a piece of personal data on a website not necessarily coincide with that which is applicable to the activity of search engines, but also, even where that is the case, the outcome of the weighing of the interests at issue to be carried out under Article 7(f) and subparagraph (a) of the first paragraph of Article 14 of the directive may differ according to whether the processing carried out by the operator of a search engine or that carried out by the publisher of the web page is at issue, given that, first, the legitimate interests justifying the processing may be different and, second, the consequences of the processing for the data subject, and in particular for his private life, are not necessarily the same.
87
Indeed, since the inclusion in the list of results, displayed following a search made on the basis of a person’s name, of a web page and of the information contained on it relating to that person makes access to that information appreciably easier for any internet user making a search in respect of the person concerned and may play a decisive role in the dissemination of that information, it is liable to constitute a more significant interference with the data subject’s fundamental right to privacy than the publication on the web page.
88
In the light of all the foregoing considerations, the answer to Question 2(c) and (d) is that Article 12(b) and subparagraph (a) of the first paragraph of Article 14 of Directive 95/46 are to be interpreted as meaning that, in order to comply with the rights laid down in those provisions and in so far as the conditions laid down by those provisions are in fact satisfied, the operator of a search engine is obliged to remove from the list of results displayed following a search made on the basis of a person’s name links to web pages, published by third parties and containing information relating to that person, also in a case where that name or information is not erased beforehand or simultaneously from those web pages, and even, as the case may be, when its publication in itself on those pages is lawful.
Question 3, concerning the scope of the data subject’s rights guaranteed by Directive 95/46
89
By Question 3, the referring court asks, in essence, whether Article 12(b) and subparagraph (a) of the first paragraph of Article 14 of Directive 95/46 are to be interpreted as enabling the data subject to require the operator of a search engine to remove from the list of results displayed following a search made on the basis of his name links to web pages published lawfully by third parties and containing true information relating to him, on the ground that that information may be prejudicial to him or that he wishes it to be ‘forgotten’ after a certain time.
90
Google Spain, Google Inc., the Greek, Austrian and Polish Governments and the Commission consider that this question should be answered in the negative. Google Spain, Google Inc., the Polish Government and the Commission submit in this regard that Article 12(b) and subparagraph (a) of the first paragraph of Article 14 of Directive 95/46 confer rights upon data subjects only if the processing in question is incompatible with the directive or on compelling legitimate grounds relating to their particular situation, and not merely because they consider that that processing may be prejudicial to them or they wish that the data being processed sink into oblivion. The Greek and Austrian Governments submit that the data subject must approach the publisher of the website concerned.
91
According to Mr Costeja González and the Spanish and Italian Governments, the data subject may oppose the indexing by a search engine of personal data relating to him where their dissemination through the search engine is prejudicial to him and his fundamental rights to the protection of those data and to privacy — which encompass the ‘right to be forgotten’ — override the legitimate interests of the operator of the search engine and the general interest in freedom of information.
92
As regards Article 12(b) of Directive 95/46, the application of which is subject to the condition that the processing of personal data be incompatible with the directive, it should be recalled that, as has been noted in paragraph 72 of the present judgment, such incompatibility may result not only from the fact that such data are inaccurate but, in particular, also from the fact that they are inadequate, irrelevant or excessive in relation to the purposes of the processing, that they are not kept up to date, or that they are kept for longer than is necessary unless they are required to be kept for historical, statistical or scientific purposes.
93
It follows from those requirements, laid down in Article 6(1)(c) to (e) of Directive 95/46, that even initially lawful processing of accurate data may, in the course of time, become incompatible with the directive where those data are no longer necessary in the light of the purposes for which they were collected or processed. That is so in particular where they appear to be inadequate, irrelevant or no longer relevant, or excessive in relation to those purposes and in the light of the time that has elapsed.
94
Therefore, if it is found, following a request by the data subject pursuant to Article 12(b) of Directive 95/46, that the inclusion in the list of results displayed following a search made on the basis of his name of the links to web pages published lawfully by third parties and containing true information relating to him personally is, at this point in time, incompatible with Article 6(1)(c) to (e) of the directive because that information appears, having regard to all the circumstances of the case, to be inadequate, irrelevant or no longer relevant, or excessive in relation to the purposes of the processing at issue carried out by the operator of the search engine, the information and links concerned in the list of results must be erased.
95
So far as concerns requests as provided for by Article 12(b) of Directive 95/46 founded on alleged non-compliance with the conditions laid down in Article 7(f) of the directive and requests under subparagraph (a) of the first paragraph of Article 14 of the directive, it must be pointed out that in each case the processing of personal data must be authorised under Article 7 for the entire period during which it is carried out.
96
In the light of the foregoing, when appraising such requests made in order to oppose processing such as that at issue in the main proceedings, it should in particular be examined whether the data subject has a right that the information relating to him personally should, at this point in time, no longer be linked to his name by a list of results displayed following a search made on the basis of his name. In this connection, it must be pointed out that it is not necessary in order to find such a right that the inclusion of the information in question in the list of results causes prejudice to the data subject.
97
As the data subject may, in the light of his fundamental rights under Articles 7 and 8 of the Charter, request that the information in question no longer be made available to the general public by its inclusion in such a list of results, it should be held, as follows in particular from paragraph 81 of the present judgment, that those rights override, as a rule, not only the economic interest of the operator of the search engine but also the interest of the general public in finding that information upon a search relating to the data subject’s name. However, that would not be the case if it appeared, for particular reasons, such as the role played by the data subject in public life, that the interference with his fundamental rights is justified by the preponderant interest of the general public in having, on account of inclusion in the list of results, access to the information in question.
98
As regards a situation such as that at issue in the main proceedings, which concerns the display, in the list of results that the internet user obtains by making a search by means of Google Search on the basis of the data subject’s name, of links to pages of the on-line archives of a daily newspaper that contain announcements mentioning the data subject’s name and relating to a real-estate auction connected with attachment proceedings for the recovery of social security debts, it should be held that, having regard to the sensitivity for the data subject’s private life of the information contained in those announcements and to the fact that its initial publication had taken place 16 years earlier, the data subject establishes a right that that information should no longer be linked to his name by means of such a list. Accordingly, since in the case in point there do not appear to be particular reasons substantiating a preponderant interest of the public in having, in the context of such a search, access to that information, a matter which is, however, for the referring court to establish, the data subject may, by virtue of Article 12(b) and subparagraph (a) of the first paragraph of Article 14 of Directive 95/46, require those links to be removed from the list of results.
99
It follows from the foregoing considerations that the answer to Question 3 is that Article 12(b) and subparagraph (a) of the first paragraph of Article 14 of Directive 95/46 are to be interpreted as meaning that, when appraising the conditions for the application of those provisions, it should inter alia be examined whether the data subject has a right that the information in question relating to him personally should, at this point in time, no longer be linked to his name by a list of results displayed following a search made on the basis of his name, without it being necessary in order to find such a right that the inclusion of the information in question in that list causes prejudice to the data subject. As the data subject may, in the light of his fundamental rights under Articles 7 and 8 of the Charter, request that the information in question no longer be made available to the general public on account of its inclusion in such a list of results, those rights override, as a rule, not only the economic interest of the operator of the search engine but also the interest of the general public in having access to that information upon a search relating to the data subject’s name. However, that would not be the case if it appeared, for particular reasons, such as the role played by the data subject in public life, that the interference with his fundamental rights is justified by the preponderant interest of the general public in having, on account of its inclusion in the list of results, access to the information in question.
Costs
100
Since these proceedings are, for the parties to the main proceedings, a step in the action pending before the referring court, the decision on costs is a matter for that court. Costs incurred in submitting observations to the Court, other than the costs of those parties, are not recoverable.
On those grounds, the Court (Grand Chamber) hereby rules:
1.
Article 2(b) and (d) of Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data are to be interpreted as meaning that, first, the activity of a search engine consisting in finding information published or placed on the internet by third parties, indexing it automatically, storing it temporarily and, finally, making it available to internet users according to a particular order of preference must be classified as ‘processing of personal data’ within the meaning of Article 2(b) when that information contains personal data and, second, the operator of the search engine must be regarded as the ‘controller’ in respect of that processing, within the meaning of Article 2(d).
2.
Article 4(1)(a) of Directive 95/46 is to be interpreted as meaning that processing of personal data is carried out in the context of the activities of an establishment of the controller on the territory of a Member State, within the meaning of that provision, when the operator of a search engine sets up in a Member State a branch or subsidiary which is intended to promote and sell advertising space offered by that engine and which orientates its activity towards the inhabitants of that Member State.
3.
Article 12(b) and subparagraph (a) of the first paragraph of Article 14 of Directive 95/46 are to be interpreted as meaning that, in order to comply with the rights laid down in those provisions and in so far as the conditions laid down by those provisions are in fact satisfied, the operator of a search engine is obliged to remove from the list of results displayed following a search made on the basis of a person’s name links to web pages, published by third parties and containing information relating to that person, also in a case where that name or information is not erased beforehand or simultaneously from those web pages, and even, as the case may be, when its publication in itself on those pages is lawful.
4.
Article 12(b) and subparagraph (a) of the first paragraph of Article 14 of Directive 95/46 are to be interpreted as meaning that, when appraising the conditions for the application of those provisions, it should inter alia be examined whether the data subject has a right that the information in question relating to him personally should, at this point in time, no longer be linked to his name by a list of results displayed following a search made on the basis of his name, without it being necessary in order to find such a right that the inclusion of the information in question in that list causes prejudice to the data subject. As the data subject may, in the light of his fundamental rights under Articles 7 and 8 of the Charter, request that the information in question no longer be made available to the general public on account of its inclusion in such a list of results, those rights override, as a rule, not only the economic interest of the operator of the search engine but also the interest of the general public in having access to that information upon a search relating to the data subject’s name. However, that would not be the case if it appeared, for particular reasons, such as the role played by the data subject in public life, that the interference with his fundamental rights is justified by the preponderant interest of the general public in having, on account of its inclusion in the list of results, access to the information in question.
[Signatures]
(
*1
)	Language of the case: Spanish.

Summary:
Right to be forgotten on the Internet
SUMMARY OF:
Reference for a preliminary ruling – Protection of individuals with regard to the processing of personal data – Territorial scope of the right to de-referencing – Case C-507/17 (2019)
Reference for a preliminary ruling – Protection of individuals with regard to the processing of personal data and the processing of data contained on websites – Extent of that operator’s obligations and of the data subject’s rights – Case C-131/12 (2014)
WHAT ARE THE AIMS OF THE JUDGMENTS?
The 2014 
Court of Justice of the European Union
 (CJEU) ruling clarified the interpretation of Directive 
95/46/EC
 as follows.
Displaying search engine results constitutes 
processing of personal data
.
The search engine operator has a responsibility to remove links to personal information from search results in specific circumstances, effectively introducing the 
right to be forgotten
.
The 2019 CJEU ruling clarified the 
geographical scope
 of its earlier decision, in the new context of Regulation (EU) 
2016/679
 (the general data protection regulation), which modernised and unified 
data protection
 rules across the 
European Union
 (EU) and repealed Directive 95/46/EC.
KEY POINTS
Google Spain SL and Google Inc.
 
v
 
Agencia Española de Protección de Datos (AEPD) and Mario Costeja González (2014)
In 2010, Mario Costeja González, a Spanish citizen, asked Google to remove or conceal in search results the personal data concerning social security debts printed in the newspaper 
La Vanguardia
 in 1998.
He maintained the matter had been resolved several years earlier and that reference to them had become irrelevant.
The Court found that an internet search engine operator is responsible for 
processing the personal data
 that appear on web pages published by other sources and must comply with legislation that protects individuals in this regard (Directive 95/46/EC).
The Court ruled that the search engine operator could, in some circumstances, be 
obliged to remove links to certain web pages
 from the list of results that appear when a search is carried out for a particular name (this is known as 
the right to be forgotten
 or ‘
de-referencing
’), where the information is considered to be inaccurate, inadequate, irrelevant, no longer relevant or excessive for the purposes of data processing, but not simply because it is inconvenient to the subject.
Google LLC
 
v
 
Commission nationale de l’informatique et des libertés (CNIL) (2019)
In the action brought by Google against the French data protection authority, the CJEU was asked to rule on the 
geographical scope
 of application of the right to be forgotten.
In 2016, the French regulator fined Google €100,000 for refusing to apply the right to be forgotten worldwide. It further ordered the company to apply the right to be forgotten to all Google domain names, including google.com. In response, Google maintained that the French data protection authority only had the power to order that it apply to the French google.fr domain.
In its ruling, the Court held that the right to be forgotten does not apply to links displayed in every version of a search engine worldwide, but applies to search engines with domain names 
associated with
 
EU 
Member States
 – i.e. not just google.fr, but also google.it, google.de, google.nl, etc.
Search engine operators are also required to use, where necessary, measures that ‘effectively 
prevent
 or, at the very least, seriously 
discourage
’ 
internet users
 from accessing de-referenced material when searching by name 
from a Member State
.
BACKGROUND
For further information, see:
Data protection
 (European Commission)
‘
Right to be forgotten
’ (GDPR.eu).
MAIN DOCUMENTS
Judgment of the Court (Grand Chamber) of 
24 September 2019
 – Google LLC, successor in law to Google Inc. v Commission nationale de l’informatique et des libertés (CNIL) – Request for a preliminary ruling from the Conseil d’État – Reference for a preliminary ruling – Personal data – Protection of individuals with regard to the processing of such data – Directive 95/46/EC – Regulation (EU) 2016/679 – Internet search engines – Processing of data on web pages – Territorial scope of the right to de-referencing – 
Case C-507/17
.
Judgment of the Court (Grand Chamber), 
13 May 2014
 – Google Spain SL and Google Inc. v Agencia Española de Protección de Datos (AEPD) and Mario Costeja González – Request for a preliminary ruling from the Audiencia Nacional – Personal data – Protection of individuals with regard to the processing of such data – Directive 95/46/EC – Articles 2, 4, 12 and 14 – Material and territorial scope – Internet search engines – Processing of data contained on websites – Searching for, indexing and storage of such data – Responsibility of the operator of the search engine – Establishment on the territory of a Member State – Extent of that operator’s obligations and of the data subject’s rights – Charter of Fundamental Rights of the European Union – Articles 7 and 8 – 
Case C 131/12
.
RELATED DOCUMENTS
Regulation (EU) 
2016/679
 of the European Parliament and of the Council of 
27 April 2016
 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (OJ L 119, 
4.5.2016
, 
pp. 1–88
).
Successive amendments to Regulation (EU) 2016/679 have been incorporated in the original text. This 
consolidated version
 is of documentary value only.
Directive 
95/46/EC
 of the European Parliament and of the Council of 
24 October 1995
 on the protection of individuals with regard to the processing of personal data and on the free movement of such data (OJ L 281, 
23.11.1995
, 
pp. 31–50
).
last update 
15.3.2022

--- DANISH ---

Document:
DOMSTOLENS DOM (Store Afdeling)
13. maj 2014 (
*1
)
»Personoplysninger — beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger — direktiv 95/46/EF — artikel 2, 4, 12 og 14 — materielt og territorialt anvendelsesområde — søgemaskiner på internettet — behandling af oplysninger på websider — søgning i samt indeksering og lagring af disse oplysninger — ansvaret for udbyderen af søgemaskinen — virksomhed eller organ på en medlemsstats område — rækkevidden af udbyderens forpligtelser og den berørte persons rettigheder — Den Europæiske Unions charter om grundlæggende rettigheder — artikel 7 og 8«
I sag C-131/12,
angående en anmodning om præjudiciel afgørelse i henhold til artikel 267 TEUF, indgivet af Audiencia Nacional (Spanien) ved afgørelse af 27. februar 2012, indgået til Domstolen den 9. marts 2012, i sagen:
Google Spain SL,
Google Inc.
mod
Agencia Española de Protección de Datos (AEPD),
Mario Costeja González,
har
DOMSTOLEN (Store Afdeling)
sammensat af præsidenten, V. Skouris, vicepræsidenten, K. Lenaerts, afdelingsformændene M. Ilešič (refererende dommer), L. Bay Larsen, T. von Danwitz og M. Safjan samt dommerne J. Malenovský, E. Levits, A. Ó Caoimh, A. Arabadjiev, M. Berger, A. Prechal og E. Jarašiūnas,
generaladvokat: N. Jääskinen
justitssekretær: ekspeditionssekretær M. Ferreira,
på grundlag af den skriftlige forhandling og efter retsmødet den 26. februar 2013,
efter at der er afgivet indlæg af:
—
Google Spain SL og Google Inc. ved abogados F. González Díaz, J. Baño Fos og B. Holles
—
Mario Costeja González ved abogado J. Muñoz Rodríguez
—
den spanske regering ved A. Rubio González, som befuldmægtiget
—
den græske regering ved E.-M. Mamouna og K. Boskovits, som befuldmægtigede
—
den italienske regering ved G. Palmieri, som befuldmægtiget, bistået af avvocato dello Stato P. Gentili
—
den østrigske regering ved G. Kunnert og C. Pesendorfer, som befuldmægtigede
—
den polske regering ved B. Majczyna og M. Szpunar, som befuldmægtigede
—
Europa-Kommissionen ved I. Martínez del Peral og B. Martenczuk, som befuldmægtigede,
og efter at generaladvokaten har fremsat forslag til afgørelse i retsmødet den 25. juni 2013,
afsagt følgende
Dom
1
Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 2, litra b) og d), artikel 4, stk. 1, litra a) og c), artikel 12, litra b), og artikel 14, stk. 1, litra a), i Europa-Parlamentet og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (
EFT L 281, s. 31
) samt artikel 8 i Den Europæiske Unions charter om grundlæggende rettigheder (herefter »chartret«).
2
Anmodningen er blevet indgivet under en sag mellem Google Spain SL (herefter »Google Spain«) og Google Inc. på den ene side og Agencia Española de Protección de Datos (AEPD) (databeskyttelsesagenturet, herefter »AEPD«) og Mario Costeja González på den anden side vedrørende en afgørelse truffet af dette agentur, hvorved Mario Costeja González fik medhold i en klage over disse to selskaber, og hvorved Google Inc. blev pålagt at vedtage de nødvendige foranstaltninger med henblik på at fjerne personoplysninger om Mario Costeja González fra sit indeks og forhindre fremtidig adgang hertil.
Retsforskrifter
EU-retten
3
I direktiv 95/46, som ifølge artikel 1 har til formål at beskytte fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af personoplysninger samt at fjerne hindringer for den frie udveksling af disse oplysninger, er følgende anført i 2., 10., 18.-20. og 25. betragtning:
»(2)
Databehandlingssystemer er til for menneskets skyld; de skal være i overensstemmelse med de grundlæggende rettigheder og frihedsrettigheder, der gælder for fysiske personer, uanset statsborgerskab og bopæl, herunder retten til privatlivets fred, og bidrage til […] det enkelte menneskes velfærd.
[...]
(10)
Medlemsstaternes lovgivning om behandling af personoplysninger skal sikre overholdelsen af de grundlæggende rettigheder og frihedsrettigheder, navnlig den ret til privatlivets fred, der er fastslået i artikel 8 i den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder[, undertegnet i Rom den 4. november 1950,] og i fællesskabsrettens generelle principper; af denne grund må en indbyrdes tilnærmelse af lovgivningerne ikke medføre en forringelse af den beskyttelse, disse yder, men skal tværtimod have til formål at sikre et højt beskyttelsesniveau overalt i Fællesskabet.
[...]
(18)
For at forhindre, at en person unddrages den beskyttelse, der sikres ved dette direktiv, skal enhver behandling af personoplysninger inden for Fællesskabet være i overensstemmelse med lovgivningen i en af medlemsstaterne; med henblik herpå bør enhver behandling af oplysninger være underkastet lovgivningen i den medlemsstat, hvor den registeransvarlige, under hvis myndighed behandlingen udføres, er etableret.
(19)
Ved etablering på en medlemsstats område forstås faktisk udøvelse af aktiviteter gennem en mere permanent struktur; den pågældende strukturs retlige form, hvad enten det blot er en filial eller et datterselskab med status som juridisk person, har ikke afgørende betydning i denne forbindelse; en registeransvarlig, som er etableret på flere medlemsstaters område, især i form af datterselskaber, skal, navnlig for at undgå omgåelse, sikre sig, at hver enkelt struktur opfylder kravene i den gældende nationale lovgivning.
(20)
Den omstændighed, at den registeransvarlige er etableret i et tredjeland, må ikke hindre personer i at nyde den beskyttelse, der fastsættes ved dette direktiv; den pågældende behandling bør i så fald underkastes lovgivningen i den medlemsstat, hvor de hjælpemidler, der benyttes til behandlingen, befinder sig, og der bør stilles garanti for, at de rettigheder og forpligtelser, der følger af dette direktiv, også overholdes.
[...]
(25)
Principperne om beskyttelse skal dels afspejles i de forskellige forpligtelser, der påhviler [databehandlingsansvarlige] personer […], navnlig for så vidt angår oplysningernes pålidelighed, den tekniske sikkerhed, anmeldelse til tilsynsmyndigheden og de omstændigheder, hvorunder behandlingen må udføres, og dels i de rettigheder, der tilkommer de personer, hvis personoplysninger gøres til genstand for behandling, bl.a. retten til at blive underrettet om en behandling, til indsigt, til at kunne kræve oplysninger berigtiget, men også til under visse omstændigheder at gøre indsigelse mod en behandling.«
4
Artikel 2 i direktiv 95/46 bestemmer, at »[i] dette direktiv forstås ved:
a)
»personoplysninger« enhver form for information om en identificeret eller identificerbar fysisk person (»den registrerede«); ved identificerbar person forstås en person, der direkte eller indirekte kan identificeres, bl.a. ved et identifikationsnummer eller et eller flere elementer, der er særlige for denne persons fysiske, fysiologiske, psykiske, økonomiske, kulturelle eller sociale identitet
b)
»behandling af personoplysninger« (»behandling«) enhver operation eller række af operationer – med eller uden brug af elektronisk databehandling – som personoplysninger gøres til genstand for, f.eks. indsamling, registrering, systematisering, opbevaring, tilpasning eller ændring, selektion, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring samt blokering, slettelse eller tilintetgørelse
[...]
d)
»den registeransvarlige«: den fysiske eller juridiske person, offentlige myndighed, institution eller ethvert andet organ, der alene eller sammen med andre afgør, til hvilket formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger; er formålet med og hjælpemidlerne ved behandlingen fastlagt ved nationale love eller forskrifter eller på fællesskabsplan, kan den registeransvarlige, eller de specifikke kriterier for udpegelse af denne, angives i den pågældende nationale ret eller i fællesskabsretten
[...]«.
5
Direktivets artikel 3 med overskriften »Anvendelsesområde« fastsætter følgende i stk. 1:
»Dette direktivs bestemmelser anvendes på behandling af personoplysninger, der helt eller delvis foretages ved hjælp af edb, samt på ikke-elektronisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.«
6
Samme direktivs artikel 4 med overskriften »Gældende national ret« fastsætter:
»1.   Medlemsstaterne anvender de nationale bestemmelser, de vedtager til gennemførelse af dette direktiv, på behandling af personoplysninger:
a)
der foretages som led i en virksomheds eller et organs aktiviteter inden for den medlemsstats område, hvor den registeransvarlige er etableret; en registeransvarlig, som er etableret på flere medlemsstaters område, skal træffe de nødvendige foranstaltninger til at sikre, at hver af disse virksomheder eller organer opfylder kravene i den gældende nationale lovgivning
b)
der foretages af en registeransvarlig, der ikke er etableret på den pågældende medlemsstats område, men på et sted, hvor dens nationale lovgivning gælder i henhold til folkeretten
c)
der foretages af en registeransvarlig, der ikke er etableret på Fællesskabets område, og som med henblik på behandling af personoplysninger anvender midler, det være sig elektroniske eller ikke-elektroniske, som befinder sig på den pågældende medlemsstats område, medmindre disse midler kun benyttes med henblik på forsendelse gennem Det Europæiske Fællesskabs område.
2.   I det i stk. 1, litra c), omhandlede tilfælde udpeger den registeransvarlige en repræsentant, der er etableret på den pågældende medlemsstats område, uden at dette i øvrigt berører eventuelle retslige skridt mod den registeransvarlige selv.«
7
Artikel 6 i direktiv 95/46 er indeholdt i kapitel II, afdeling 1, med overskriften »Principper vedrørende oplysningernes pålidelighed« og har følgende ordlyd:
»1.   Medlemsstaterne fastsætter bestemmelser om, at personoplysninger
a)
skal behandles loyalt og lovligt
b)
skal indsamles til udtrykkeligt angivne og legitime formål, samt at senere behandling heraf ikke må være uforenelig med disse formål; senere behandling af oplysninger i historisk, statistisk eller videnskabeligt øjemed anses ikke for at være uforenelig med disse formål, såfremt medlemsstaterne giver de fornødne garantier
c)
skal være relevante og tilstrækkelige og ikke omfatte mere end, hvad der kræves til opfyldelse af de formål, hvortil de indsamles, og til de formål, hvortil de senere behandles
d)
skal være korrekte og om nødvendigt ajourførte; der skal tages ethvert rimeligt skridt til at slette eller berigtige oplysninger, der er urigtige eller ufuldstændige i forhold til det formål, hvortil de indsamles, eller i forbindelse med hvilke de behandles på et senere tidspunkt
e)
ikke må opbevares på en måde, der giver mulighed for at identificere de registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil de indsamles, eller i forbindelse med hvilke de behandles på et senere tidspunkt. Medlemsstaterne fastsætter de fornødne garantier for personoplysninger, der i historisk, statistisk eller videnskabeligt øjemed opbevares længere end i ovennævnte periode.
2.   Det påhviler den registeransvarlige at sikre, at bestemmelserne i stk. 1 overholdes.«
8
Artikel 7 i direktiv 95/46, der er indeholdt i kapitel II, afdeling II, med overskriften »Principper vedrørende grundlaget for behandling af oplysninger«, bestemmer følgende:
»Medlemsstaterne fastsætter bestemmelser om, at behandling af personoplysninger kun må finde sted hvis:
[...]
f)
behandlingen er nødvendig, for at den registeransvarlige eller den tredjemand eller de tredjemænd, til hvem oplysningerne videregives, kan forfølge en legitim interesse, medmindre den registreredes interesser eller de grundlæggende rettigheder og frihedsrettigheder, der skal beskyttes i henhold til artikel 1, stk. 1, i dette direktiv, går forud herfor.«
9
Direktivets artikel 9 med overskriften »Behandling af personoplysninger og ytringsfriheden« bestemmer:
»Medlemsstaterne fastsætter i forbindelse med behandling af personoplysninger, der udelukkende finder sted i journalistisk øjemed eller med henblik på kunstnerisk eller litterær virksomhed, kun fritagelser eller undtagelser fra bestemmelserne i dette kapitel og i kapitel IV og VI, for så vidt som de er nødvendige for at forene retten til privatlivets fred med reglerne for ytringsfrihed.«
10
Samme direktivs artikel 12 med overskriften »Ret til indsigt« bestemmer:
»Medlemsstaterne sikrer enhver registreret ret til hos den registeransvarlige
[...]
b)
efter omstændighederne at få oplysninger, som ikke er blevet behandlet i overensstemmelse med dette direktiv, berigtiget, slettet eller blokeret, navnlig hvis de er ufuldstændige eller urigtige.
[...]«
11
Artikel 14 i direktiv 95/46 med overskriften »Den registreredes indsigelsesret« bestemmer:
»Medlemsstaterne indrømmer den registrerede ret til
a)
i det mindste i de i artikel 7, litra e) og f), omhandlede tilfælde af vægtige legitime grunde, der vedrører den pågældendes særlige situation, til enhver tid at gøre indsigelse mod, at personoplysninger om ham selv gøres til genstand for behandling, medmindre andet er bestemt i den nationale lovgivning; i tilfælde af berettiget indsigelse må den af den registeransvarlige iværksatte behandling ikke længere omfatte de pågældende oplysninger.
[...]«
12
Direktivets artikel 28 med overskriften »Tilsynsmyndighed« har følgende ordlyd:
»1.   Hver medlemsstat drager omsorg for, at der udpeges en eller flere offentlige myndigheder, der har til opgave på dens område at påse overholdelsen af de bestemmelser, medlemsstaten vedtager til gennemførelse af dette direktiv.
[...]
3.   Hver tilsynsmyndighed skal bl.a. kunne:
—
iværksætte undersøgelser og bl.a. have adgang til de oplysninger, der gøres til genstand for en behandling, og til at indsamle alle oplysninger, der er nødvendige for at varetage dens tilsynsopgaver
—
gribe effektivt ind ved f.eks. at […] beordre oplysninger blokeret, slettet eller tilintetgjort, [eller] midlertidigt eller definitivt at forbyde en behandling […]
—
[...]
Afgørelser truffet af tilsynsmyndigheden, som går en involveret part imod, kan indbringes for en retsinstans.
4.   Enhver kan, eventuelt repræsenteret ved en sammenslutning, til tilsynsmyndigheden indgive en anmodning om beskyttelse af sine rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger. Den pågældende underrettes om, hvorledes sagen følges op.
[...]
6.   Den enkelte tilsynsmyndighed er, uanset hvilken national lov der måtte gælde for den pågældende behandling, kompetent til på sin medlemsstats område at udøve de beføjelser, der tillægges den i overensstemmelse med stk. 3 i denne artikel. Myndigheden kan blive anmodet om at udøve sine beføjelser af en myndighed i en anden medlemsstat.
Tilsynsmyndighederne samarbejder med hinanden i det omfang, det er nødvendigt for at opfylde deres pligter, navnlig ved at udveksle alle nyttige oplysninger.
[...]«
Spansk ret
13
Direktiv 95/46 er gennemført i spansk ret ved lov nr. 15/1999 af 13. december 1999 om beskyttelse af personoplysninger (BOE nr. 298 af 14.12.1999, s. 43088).
Tvisten i hovedsagen og de præjudicielle spørgsmål
14
Den 5. marts 2010 indgav Mario Costeja González, der er spansk statsborger med bopæl i Spanien, en klage til AEPD over La Vanguardia Ediciones SL, som udgiver en avis med et stort oplagstal, bl.a. i Catalonien (herefter »La Vanguardia«), samt over Google Spain og Google Inc. Klagen var baseret på den omstændighed, at internetbrugere ved en søgning på hans navn på Googlekoncernens søgemaskine (herefter »Google Search«) får vist et link til to sider i avisen La Vanguardia fra henholdsvis den 19. januar og den 9. marts 1998 med en annonce, der nævner Mario Costeja González’ navn vedrørende en tvangsauktion over fast ejendom i forbindelse med en beslaglæggelse på grund af gæld til den sociale sikringsordning.
15
Med klagen anmodede Mario Costeja González for det første om, at La Vanguardia blev pålagt enten at fjerne eller ændre disse sider, således at hans personoplysninger ikke længere fremgik, eller at anvende visse værktøjer i søgemaskinerne til beskyttelse af disse oplysninger. For det andet anmodede han om, at Google Spain eller Google Inc. blev pålagt at fjerne eller skjule hans personoplysninger, således at de ikke længere indgik i søgeresultaterne og ikke længere fremgik af linket til La Vanguardia. Mario Costeja González anførte herved, at den beslaglæggelse, som han havde været genstand for, havde været fuldstændig afgjort i flere år, og at det ikke havde nogen aktuel relevans at nævne den.
16
Ved afgørelse af 30. juli 2010 afviste AEPD klagen for så vidt angik La Vanguardia, idet dennes offentliggørelse af de omhandlede oplysninger var retligt begrundet, eftersom den skete efter ordre fra Arbejds- og Socialministeriet og havde til formål at gøre mest mulig reklame for auktionen med henblik på at opnå flest mulige tilbudsgivere.
17
For så vidt angik Google Spain og Google Inc. fik Mario Costeja González derimod medhold i klagen. AEPD fandt i denne forbindelse, at søgemaskineudbydere er undergivet lovgivningen om beskyttelse af personoplysninger, eftersom de foretager en behandling af oplysninger, som de er ansvarlige for, og optræder som mellemled i informationssamfundet. AEPD fandt, at det har beføjelse til at bestemme, at oplysningerne skal fjernes, og til at forbyde søgemaskineudbyderne adgang til visse oplysninger, når AEPD finder, at oplysningernes placering og formidling krænker den grundlæggende ret til beskyttelse af oplysninger og personers værdighed i bred forstand, hvilket også omfatter, at den berørte person blot ønsker, at tredjemand ikke kan gøre sig bekendt med disse oplysninger. Ifølge AEPD kan denne forpligtelse påhvile søgemaskineudbyderne direkte, uden at det er nødvendigt at slette oplysningerne eller informationerne på den webside, hvor de fremgår, bl.a. når opretholdelsen af oplysningerne på siden er begrundet i henhold til en lovbestemmelse.
18
Google Spain og Google Inc. har anlagt to særskilte sager til prøvelse af nævnte afgørelse ved Audiencia Nacional, som har forenet sagerne.
19
Audiencia Nacional har anført i forelæggelsesafgørelsen, at nævnte søgsmål rejser spørgsmålet om, hvilke forpligtelser der påhviler søgemaskineudbydere med hensyn til beskyttelse af personoplysninger for berørte personer, der ikke ønsker, at visse oplysninger, som er offentliggjort på tredjemands webside og indeholder deres personoplysninger på en sådan måde, at de kan forbindes til disse personer, lokaliseres, indekseres og stilles ubegrænset til rådighed for internetbrugere. Svaret på dette spørgsmål afhænger af, hvordan direktiv 95/46 skal fortolkes i forbindelse med disse teknologier, som er opstået efter dets offentliggørelse.
20
På denne baggrund har Audiencia Nacional besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:
»1)
Hvad angår den territoriale anvendelse af direktiv 95/46 og følgelig de spanske databeskyttelsesregler:
a)
Kan der siges at foreligge en »virksomhed eller et organ« som omhandlet i artikel 4, stk. 1, litra a), i direktiv 95/46, når der foreligger en eller flere af følgende situationer:
—
såfremt den virksomhed, der leverer søgemaskinen, i en medlemsstat etablerer en filial eller et datterselskab, der skal sørge for reklame og salg af reklameplads, der udbydes af søgemaskinen, og som retter sine aktiviteter mod borgerne i denne stat
eller
—
såfremt modervirksomheden udpeger et datterselskab, der er etableret i denne medlemsstat, som sin repræsentant og registeransvarlige for to konkrete edb-registre, der har forbindelse til oplysninger om de kunder, der har indgået aftale med den nævnte virksomhed om visning af reklamer
eller
—
såfremt kontoret eller datterselskabet, der er etableret i en medlemsstat, videregiver de anmodninger og krav, som både de berørte personer og de kompetente databeskyttelsesmyndigheder sender til kontoret eller datterselskabet, til modervirksomheden, der er etableret uden for Den Europæiske Union, selv om dette samarbejde foregår på frivilligt grundlag?
b)
Skal artikel 4, stk. 1, litra c), i direktiv 95/46 fortolkes således, at der anvendes »midler […], som befinder sig på den pågældende medlemsstats område«:
—
såfremt en søgemaskine gør brug af spiders eller robotter for at lokalisere og indeksere oplysninger fra websider, der befinder sig på servere i denne medlemsstat
eller
—
såfremt der gøres brug af en medlemsstats domænenavn, og søgningerne og resultaterne organiseres afhængigt af denne medlemsstats sprog?
c)
Kan en midlertidig lagring af de af søgemaskinerne indekserede oplysninger fra internettet anses for at være anvendelse af midler som omhandlet i artikel 4, stk. 1, litra c), i direktiv 95/46? Såfremt det sidste spørgsmål besvares bekræftende, kan tilknytningskriteriet da siges at være opfyldt, når virksomheden under henvisning til konkurrencemæssige årsager nægter at oplyse, hvor den lagrer dette indeks?
d)
Uafhængigt af besvarelsen af ovenstående spørgsmål og især i tilfælde af, at Domstolen finder, at tilknytningskriterierne, der er fastsat i artikel 4 i direktiv 95/46, ikke foreligger:
Skal [direktiv 95/46] da finde anvendelse i lyset af [chartrets] artikel 8 […] i den medlemsstat, hvor konfliktens tyngdepunkt befinder sig, og hvor der er mulighed for en mere effektiv beskyttelse af EU-borgernes rettigheder?
2)
Hvad angår søgemaskinernes aktivitet som leverandør af oplysninger set i forhold til [direktiv 95/46]:
a)
For så vidt angår den internetaktivitet, der foretages af [Google Search] som leverandør af oplysninger, og som består i at lokalisere oplysninger, der er offentliggjort eller lagt på nettet af tredjemænd, indeksere disse automatisk, lagre dem midlertidigt og sluttelig gøre dem tilgængelige for internetbrugerne i en vis prioriteret orden, når oplysningerne indeholder personoplysninger om tredjemand […] skal en aktivitet som den beskrevne da fortolkes som værende omfattet af begrebet »behandling af personoplysninger« som omhandlet i artikel 2, litra b), i direktiv 95/46?
b)
Såfremt det foregående spørgsmål besvares bekræftende og i forhold til en aktivitet som beskrevet ovenfor: Skal artikel 2, litra d), i direktiv 95/46 fortolkes således, at den virksomhed, der forvalter [Google Search], er »registeransvarlig« for de personoplysninger, der er indeholdt på de websider, den har indekseret?
c)
Såfremt det foranstående spørgsmål besvares bekræftende: Kan [AEPD], der skal beskytte de rettigheder, der er omhandlet i artikel 12, litra b), og artikel 14, litra a), i direktiv 95/46, rette direkte henvendelse til [Google Search] for at kræve, at denne virksomhed fra sit indeks fjerner oplysninger, der er offentliggjort af tredjemand, uden først eller samtidigt at rette henvendelse til indehaveren af den webside, hvorpå disse oplysninger ligger?
d)
Såfremt det foregående spørgsmål besvares bekræftende:
Bortfalder forpligtelsen for disse søgemaskiner til at overholde nævnte rettigheder da, når de oplysninger, der omfatter personoplysninger, er offentliggjort lovligt af tredjemand og fortsat fremgår af den oprindelige webside?
3)
For så vidt angår rækkevidden af retten til sletning og retten til indsigelse i forhold til den såkaldte ret til at blive glemt forelægges følgende spørgsmål:
Skal retten til sletning og blokering af oplysninger, der er reguleret i artikel 12, litra b), i direktiv 95/46, og retten til indsigelse, der er reguleret i samme direktivs artikel 14, litra a), fortolkes således, at de omfatter den berørte parts ret til at rette henvendelse til søgemaskinerne for at forhindre indeksering af den pågældendes personoplysninger, der er offentliggjort på tredjemands webside, under påberåbelse af, at den pågældende ikke ønsker, at oplysningerne kommer til internetbrugernes kendskab, fordi den pågældende finder, at oplysningerne kan komme ham til skade eller ønsker, at de slettes, selv om der er tale om oplysninger, der er offentliggjort lovligt af tredjemand?«
Om de præjudicielle spørgsmål
Om det andet spørgsmål, litra a) og b), vedrørende det materielle anvendelsesområde for direktiv 95/46
21
Med det andet spørgsmål, litra a) og b), som skal behandles først, ønsker den forelæggende ret nærmere bestemt oplyst, om artikel 2, litra b), i direktiv 95/46 skal fortolkes således, at en søgemaskines aktivitet som leverandør af oplysninger, der består i at finde oplysninger, der er offentliggjort eller lagt på internettet af tredjemand, indeksere disse automatisk, lagre dem midlertidigt og sluttelig gøre dem tilgængelige for internetbrugerne i en vis prioriteret orden, skal kvalificeres som »behandling af personoplysninger« som omhandlet i denne bestemmelse, når oplysningerne indeholder personoplysninger. Såfremt dette spørgsmål besvares bekræftende, ønsker den forelæggende ret desuden oplyst, om artikel 2, litra d), skal fortolkes således, at søgemaskineudbyderen i bestemmelsens forstand skal anses for »registeransvarlig« for behandlingen af disse personoplysninger.
22
Ifølge Google Spain og Google Inc. kan en søgemaskines virksomhed ikke anses for at være en behandling af de oplysninger, som er indeholdt på de websider tilhørende tredjemand, der optræder på listen over søgeresultater, eftersom disse søgemaskiner behandler de oplysninger, der er tilgængelige på internettet, under ét uden at sortere mellem personoplysninger og andre oplysninger. Selv hvis det antages, at denne virksomhed skal kvalificeres som »behandling af personoplysninger«, kan en søgemaskineudbyder ikke anses for »registeransvarlig« i forbindelse med denne behandling, idet udbyderen ikke har kendskab til oplysningerne og ikke har nogen kontrol herover.
23
Mario Costeja González, den spanske, den italienske, den østrigske og den polske regering samt Europa-Kommissionen er derimod af den opfattelse, at nævnte virksomhed helt klart indebærer en »behandling af personoplysninger« som omhandlet i direktiv 95/46, og at denne behandling adskiller sig fra den behandling af oplysninger, der foretages af websideudgivere, samt forfølger andre formål end denne. En søgemaskineudbyder er »registeransvarlig« for den behandling af oplysninger, som den foretager, idet det er udbyderen, som afgør, til hvilket formål og med hvilke hjælpemidler denne behandling foretages.
24
Ifølge den græske regering udgør den omhandlede virksomhed en sådan »behandling«, men for så vidt som søgemaskiner blot fungerer som mellemled, kan de virksomheder, der udbyder dem, ikke anses for »registeransvarlige«, medmindre de lagrer oplysningerne i en »midlertidig hukommelse« eller »cache« i en periode, som overstiger den periode, der er teknisk nødvendig.
25
I denne forbindelse bemærkes, at artikel 2, litra b), i direktiv 95/46 definerer »behandling af personoplysninger« som »enhver operation eller række af operationer – med eller uden brug af elektronisk databehandling – som personoplysninger gøres til genstand for, f.eks. indsamling, registrering, systematisering, opbevaring, tilpasning eller ændring, selektion, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring samt blokering, slettelse eller tilintetgørelse«.
26
Navnlig hvad angår internettet har Domstolen allerede haft lejlighed til at fastslå, at en operation, der består i at lægge personoplysninger ud på en internetside, skal anses for en »behandling« som omhandlet i artikel 2, litra b), i direktiv 95/46 (jf. dom Lindqvist, C-101/01, 
EU:C:2003:596
, præmis 25).
27
Hvad angår den i hovedsagen omhandlede aktivitet er det ubestridt, at der blandt de oplysninger, som søgemaskinerne finder, indekserer og lagrer, også findes oplysninger vedrørende fysiske personer, der direkte eller indirekte kan identificeres, og således er »personoplysninger« som omhandlet i direktivets artikel 2, litra a).
28
Det bemærkes, at en søgemaskineudbyder, idet den automatisk, konstant og systematisk undersøger internettet for de oplysninger, der offentliggøres dér, »indsamler« sådanne oplysninger, som den dernæst »selektionerer«, »registrerer« og »systematiserer« inden for rammerne af sine indekseringsprogrammer, »opbevarer« på sine servere og i givet fald »videregiver« og »overlader« til sine brugere i form af resultatlister af brugernes søgninger. Da disse operationer udtrykkeligt og uden forbehold er omfattet af artikel 2, litra b), i direktiv 95/46, skal de kvalificeres som »behandling« i denne bestemmelses forstand, uden at det herved har betydning, at søgemaskineudbyderen ligeledes anvender de samme operationer på andre typer oplysninger og ikke sondrer mellem disse og personoplysninger.
29
Den foregående konstatering berøres endvidere ikke af den omstændighed, at disse oplysninger allerede er blevet offentliggjort på internettet og ikke er blevet ændret af søgemaskinen.
30
Domstolen har således allerede fastslået, at de operationer, der er omhandlet i artikel 2, litra b), i direktiv 95/46, ligeledes skal kvalificeres som en sådan behandling, når de udelukkende vedrører oplysninger, der som sådan allerede har været offentliggjort i medierne. Domstolen har nemlig i denne henseende udtalt, at en generel undtagelse fra at anvende direktivet for så vidt angår offentliggjorte oplysninger i vid udstrækning vil gøre direktivet indholdsløst (jf. i denne retning dom Satakunnan Markkinapörssi og Satamedia, C-73/07, 
EU:C:2008:727
, præmis 48 og 49).
31
Det følger endvidere af definitionen i artikel 2, litra b), i direktiv 95/46, at selv om en ændring af personoplysninger ganske vist udgør en behandling i bestemmelsens forstand, kræver de andre operationer, der nævnes heri, derimod på ingen måde, at personoplysningerne ændres.
32
Hvad angår spørgsmålet, om en søgemaskineudbyder skal anses for at være »registeransvarlig« for personoplysninger, som den har behandlet i forbindelse med en aktivitet som den i hovedsagen omhandlede, bemærkes, at artikel 2, litra d), i direktiv 95/46 definerer en registeransvarlig som »den fysiske eller juridiske person, offentlige myndighed, institution eller ethvert andet organ, der alene eller sammen med andre afgør, til hvilket formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger«.
33
Det er således søgemaskineudbyderen, som afgør denne aktivitets formål og hjælpemidlerne hertil og dermed også formålet med og hjælpemidlerne til den behandling af personoplysninger, som søgemaskineudbyderen selv foretager inden for rammerne heraf, og som følgelig skal anses for »registeransvarlig« i henhold til nævnte artikel 2, litra d).
34
Det bemærkes, at det ikke blot ville være i strid med den klare ordlyd af denne bestemmelse, men også med dens formål – som består i at sikre en effektiv og fuldstændig beskyttelse af de berørte personer ved at fastsætte en bred definition af begrebet »ansvarlig« – at udelukke en søgemaskineudbyder herfra med den begrundelse, at den ikke har kontrol over de personoplysninger, som offentliggøres på tredjemands websider.
35
I denne forbindelse bemærkes, at en behandling af personoplysninger, der foretages inden for rammerne af en søgemaskines aktiviteter, adskiller sig fra og er mere omfattende end den behandling, som foretages af websideudgivere, hvis behandling består i at lægge oplysninger ud på en internetside.
36
Det er desuden ubestridt, at søgemaskinernes aktivitet spiller en afgørende rolle for den globale formidling af nævnte oplysninger, idet denne aktivitet gør oplysningerne tilgængelige for enhver internetbruger, der foretager en søgning på den berørte persons navn, herunder internetbrugere, der ikke ellers ville have fundet den webside, hvor disse samme oplysninger er offentliggjort.
37
Den systematisering og sammenlægning af oplysninger, der er offentliggjort på internettet, som søgemaskinerne foretager, med henblik på at deres brugere skal kunne få adgang hertil, kan – når brugerne søger på et navn på en fysisk person – medføre, at de med resultatlisten får en struktureret oversigt over de oplysninger vedrørende denne person, der kan findes på internettet, hvilket gør det muligt for dem at fastlægge en mere eller mindre detaljeret profil af den berørte person.
38
For så vidt som søgemaskinens aktivitet således i forhold til websideudgiveres aktivitet i væsentligt større og yderligere grad kan påvirke de grundlæggende rettigheder til privatlivets fred og beskyttelse af personoplysninger, skal søgemaskineudbyderen i sin egenskab af den person, som afgør formålet med aktiviteten og hjælpemidlerne hertil, inden for rammerne af sit ansvar, sine kompetencer og sine muligheder sikre, at den opfylder kravene i direktiv 95/46, med henblik på at de garantier, som direktivet fastsætter, kan opnå deres fulde virkning, og at en effektiv og fuldstændig beskyttelse af de berørte personer, bl.a. hvad angår deres ret til privatlivets fred, faktisk kan gennemføres.
39
Endelig betyder den omstændighed, at websideudgiverne har mulighed for at angive over for søgemaskineudbyderne – bl.a. ved hjælp af en udelukkelsesprotokol som »robot.txt« eller koder som »noindex« eller »noarchive« – at de ønsker, at en bestemt oplysning, der er offentliggjort på deres side, udelukkes helt eller delvist fra søgemaskinernes automatiske indeks, ikke, at en manglende angivelse fra udgiverne fritager søgemaskineudbyderen fra sit ansvar for den behandling af personoplysninger, som den foretager inden for rammerne af søgemaskinens aktivitet.
40
Denne omstændighed ændrer nemlig ikke på, at formålet med og hjælpemidlerne til denne behandling afgøres af udbyderen. Selv hvis det antages, at nævnte mulighed for websideudgiverne betyder, at disse sammen med udbyderen afgør hjælpemidlerne til nævnte behandling, ændrer denne konstatering desuden intet for så vidt angår udbyderens ansvar, idet artikel 2, litra d), i direktiv 95/46 udtrykkeligt fastsætter, at afgørelsen kan foretages »alene eller sammen med andre«.
41
Det følger af de ovenstående betragtninger, at det andet spørgsmål, litra a) og b), skal besvares med, at artikel 2, litra b) og d), i direktiv 95/46 skal fortolkes således, at en søgemaskines aktivitet, der består i at finde oplysninger, der er offentliggjort eller lagt på internettet af tredjemand, indeksere disse automatisk, lagre dem midlertidigt og sluttelig gøre dem tilgængelige for internetbrugerne i en vis prioriteret orden, for det første skal kvalificeres som »behandling af personoplysninger« som omhandlet i artikel 2, litra b), når oplysningerne indeholder personoplysninger, og for det andet skal udbyderen af denne søgemaskine anses for at være »registeransvarlig« som omhandlet i artikel 2, litra d).
Det første spørgsmål, litra a)-d), vedrørende det territoriale anvendelsesområde for direktiv 95/46
42
Med det første spørgsmål, litra a)-d), ønsker den forelæggende ret, at det fastslås, om det er muligt at anvende den nationale lovgivning, der gennemfører direktiv 95/46, under omstændigheder som de i hovedsagen omhandlede.
43
I denne henseende har den forelæggende ret fastslået følgende faktiske omstændigheder:
—
Google Search udbydes globalt gennem websiden »www.google.com«. I mange lande findes der lokale versioner, der er tilpasset det nationale sprog. Den spanske version af Google Search udbydes gennem websiden »www.google.es«, der blev registreret den 16. september 2003. Google Search er en af de mest anvendte søgemaskiner i Spanien.
—
Google Search udbydes af Google Inc., som er moderselskabet i Googlekoncernen og har hjemsted i De Forenede Stater.
—
Google Search indekserer websider fra hele verden, herunder websider i Spanien. De oplysninger, der indekseres af Googles »webspiders« eller indekseringsrobotter, dvs. computerprogrammer, der anvendes med henblik på metodisk og systematisk at identificere og opstøve indholdet af websider, lagres midlertidigt på servere, som befinder sig i et ukendt land, idet dette holdes hemmeligt af konkurrencemæssige grunde.
—
Google Search giver ikke kun adgang til det indhold, der befinder sig på de indekserede websider, men benytter denne aktivitet til mod vederlag at inkludere reklamer, der knytter sig til internetbrugernes søgeord, for virksomheder, der ønsker at anvende dette værktøj med henblik på at tilbyde deres varer eller tjenesteydelser til internetbrugerne.
—
Googlekoncernen anvender sit datterselskab Google Spain til at fremme salget af reklameplads på websiden »www.google.com«. Google Spain, som blev stiftet den 3. september 2003 og er en selvstændig juridisk person, har hjemsted i Madrid (Spanien). Selskabet retter i det væsentlige sine aktiviteter mod virksomheder med base i Spanien og fungerer dermed som Googlekoncernens salgsagent i denne medlemsstat. Google Spains selskabsformål er at fremme, lette og foretage onlinesalg til tredjemand af reklameprodukter og ‑tjenesteydelser samt at markedsføre disse reklamer.
—
Google Inc. har udpeget Google Spain som registeransvarlig i Spanien for to registre, som Google har registreret hos AEPD, idet disse registre indeholder personoplysninger om de kunder, der har indgået aftale om reklameydelser med Google Inc.
44
Den forelæggende ret har konkret og indledningsvis rejst spørgsmål vedrørende begrebet en »virksomhed eller et organ« som omhandlet i artikel 4, stk. 1, litra a), i direktiv 95/46 og begrebet »anvendelse af midler, som befinder sig på den pågældende medlemsstats område« som omhandlet i artikel 4, stk. 1, litra c).
Om det første spørgsmål, litra a)
45
Med det første spørgsmål, litra a), ønsker den forelæggende ret nærmere bestemt oplyst, om artikel 4, stk. 1, litra a), i direktiv 95/46 skal fortolkes således, at en behandling af personoplysninger foretages som led i aktiviteter, der inden for en medlemsstats område udføres af en registeransvarligs virksomhed eller organ som omhandlet i bestemmelsen, når en eller flere af følgende betingelser er opfyldt:
—
søgemaskineudbyderen etablerer i en medlemsstat en filial eller et datterselskab, der skal sørge for reklame og salg af reklameplads i søgemaskinen, og som retter sin aktivitet mod indbyggerne i denne medlemsstat, eller
—
moderselskabet udpeger en filial, der er etableret i denne medlemsstat, som sin repræsentant og registeransvarlige for to konkrete registre, der indeholder oplysninger om de kunder, der har indgået aftale med denne virksomhed om reklameydelser, eller
—
filialen eller datterselskabet, der er etableret i en medlemsstat, videregiver de anmodninger og krav om opretholdelse af retten til beskyttelse af personoplysninger, som både de berørte personer og de kompetente myndigheder sender til filialen eller datterselskabet, til moderselskabet, der er etableret uden for Unionen, selv om dette samarbejde foregår på frivilligt grundlag.
46
For så vidt angår den første af disse betingelser har den forelæggende ret anført, at Google Search udbydes og drives af Google Inc., og at det ikke er godtgjort, at Google Spain i Spanien foretager en aktivitet, der er direkte forbundet med indeksering eller lagring af informationer eller oplysninger, der ligger på tredjemands websider. Den aktivitet, som Google Spain foretager i Spanien, der består af reklame og salg af reklameplads, udgør imidlertid den væsentligste del af Googlekoncernens forretningsmæssige aktiviteter og kan anses for at være tæt knyttet til Google Search.
47
Ifølge Mario Costeja González, den spanske, den italienske, den østrigske og den polske regering samt Europa-Kommissionen skal Google Spain, henset til den uløselige forbindelse, der består mellem aktiviteten foretaget af den søgemaskine, som Google Inc. udbyder, og Google Spains aktivitet, anses for at være Google Inc.s virksomhed eller organ i forbindelse med de aktiviteter, hvor der foretages behandling af personoplysninger. Ifølge Google Spain, Google Inc. og den græske regering finder artikel 4, stk. 1, litra a), i direktiv 95/46 derimod ikke anvendelse, såfremt den første af de tre betingelser, der er opregnet af den forelæggende ret, foreligger.
48
I denne forbindelse bemærkes indledningsvis, at det fremgår af 19. betragtning til direktiv 95/46, at »ved etablering på en medlemsstats område forstås faktisk udøvelse af aktiviteter gennem en mere permanent struktur«, og at »den pågældende strukturs retlige form, hvad enten det blot er en filial eller et datterselskab med status som juridisk person, [ikke har] afgørende betydning«.
49
Det er således ubestridt, at Google Spain reelt og faktisk udøver aktiviteter gennem en fast indretning i Spanien. Da Google Spain endvidere har status af selvstændig juridisk person, udgør selskabet således et datterselskab under Google Inc. på spansk område og dermed en »virksomhed eller et organ« som omhandlet i artikel 4, stk. 1, litra a), i direktiv 95/46.
50
Med henblik på at opfylde kriteriet i denne bestemmelse skal den registeransvarliges behandling af personoplysninger endvidere »foretages som led i […] aktiviteter«, der inden for en medlemsstats område foretages af den registeransvarliges virksomhed eller organ.
51
Google Spain og Google Inc. har bestridt, at dette er tilfældet, idet den i hovedsagen omhandlede behandling af personoplysninger faktisk foretages af Google Inc., der udbyder Google Search, uden nogen som helst mellemkomst fra Google Spain, hvis aktivitet er begrænset til at understøtte Googlekoncernens reklameaktiviteter, der er adskilt fra søgemaskineydelsen.
52
Som bl.a. den spanske regering og Kommissionen har anført, kræver artikel 4, stk. 1, litra a), i direktiv 95/46 imidlertid ikke, at den pågældende behandling af personoplysninger foretages »af« selve den berørte virksomhed eller det berørte organ, men udelukkende, at behandlingen foretages »som led i aktiviteter«, der foretages af virksomheden eller organet.
53
Henset til, at formålet med direktiv 95/46 er at sikre en effektiv og fuldstændig beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af personoplysninger kan sidstnævnte udtryk ikke fortolkes indskrænkende (jf. analogt dom L’Oréal m.fl., C-324/09, 
EU:C:2011:474
, præmis 62 og 63).
54
Det bemærkes i denne henseende, at det fremgår af bl.a. 18.-20. betragtning til direktiv 95/46 samt af direktivets artikel 4, at EU-lovgiver ved at fastsætte et særligt bredt territorialt anvendelsesområde har ønsket at forhindre, at en person unddrages den beskyttelse, der sikres ved direktivet, og at denne beskyttelse omgås.
55
Henset til formålet med direktiv 95/46 og ordlyden af direktivets artikel 4, stk. 1, litra a), skal det fastslås, at en behandling af personoplysninger, der foretages for en søgemaskine som Google Search, som udbydes af en virksomhed med hjemsted i et tredjeland, der dog råder over en virksomhed eller et organ i en medlemsstat, foretages »som led i aktiviteter«, der foretages af denne virksomhed eller dette organ, hvis denne virksomhed eller dette organ i denne medlemsstat skal sørge for reklame og salg af reklameplads, der udbydes af søgemaskinen, hvilket medvirker til at gøre den ydelse, som søgemaskinen tilbyder, rentabel.
56
Under sådanne omstændigheder er søgemaskineudbyderens aktiviteter og de aktiviteter, der foretages af søgemaskineudbyderens virksomhed eller organ i den omhandlede medlemsstat, nemlig uløseligt forbundne, eftersom aktiviteterne vedrørende reklameplads udgør midlet, der gør den omhandlede søgemaskine økonomisk rentabel, og denne søgemaskine samtidig er det middel, der gør det muligt at gennemføre aktiviteterne.
57
Som det er blevet præciseret i denne doms præmis 26-28, bemærkes herved, at selve visningen af personoplysninger på en resultatliste efter en søgning udgør en behandling af disse oplysninger. Da nævnte resultatvisning på den samme side ledsages af reklamer, der er knyttet til søgeordene, bemærkes, at den pågældende behandling af personoplysninger foretages inden for rammerne af de reklame- og forretningsaktiviteter, der foretages af den registeransvarliges virksomhed eller organ inden for en medlemsstats område, i det foreliggende tilfælde det spanske område.
58
Under disse omstændigheder kan det ikke accepteres, at den behandling af personoplysninger, der foretages, med henblik på at denne søgemaskine kan fungere, falder uden for de forpligtelser og garantier, der er fastsat i direktiv 95/46, da dette ville krænke direktivets effektive virkning og den effektive og fuldstændige beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder, som det har til formål at sikre (jf. analogt dom L’Oréal m.fl., C-324/09, 
EU:C:2011:474
, præmis 62 og 63), især retten til privatlivets fred i forbindelse med behandling af personoplysninger, som dette direktiv tillægger en særlig betydning, hvilket bekræftes af bl.a. dets artikel 1 samt anden og tiende betragtning hertil (jf. i denne retning domme Österreichischer Rundfunk m.fl., C-465/00, C-138/01 og C-139/01, 
EU:C:2003:294
, præmis 70, Rijkeboer, C-553/07, 
EU:C:2009:293
, præmis 47, og IPI, C-473/12, 
EU:C:2013:715
, præmis 28 og den deri nævnte retspraksis).
59
For så vidt som den første af de tre betingelser, som den forelæggende ret har opregnet, i sig selv er tilstrækkelig med henblik på at konkludere, at en virksomhed som Google Spain opfylder kriteriet i artikel 4, stk. 1, litra a), i direktiv 95/46, er det ufornødent at behandle de andre to betingelser.
60
Det følger af det ovenfor anførte, at det første spørgsmål, litra a), skal besvares med, at artikel 4, stk. 1, litra a), i direktiv 95/46 skal fortolkes således, at en behandling af personoplysninger foretages som led i aktiviteter, der inden for en medlemsstats område udføres af en registeransvarligs virksomhed eller organ som omhandlet i bestemmelsen, når en søgemaskineudbyder etablerer en filial eller et datterselskab i en medlemsstat, der skal sørge for reklame og salg af reklameplads i søgemaskinen, og hvis aktivitet er rettet mod indbyggerne i denne medlemsstat.
Om det første spørgsmål, litra b)-d)
61
Under hensyn til besvarelsen af det første spørgsmål, litra a), er det ufornødent at besvare det første spørgsmål, litra b)-d).
Om det andet spørgsmål, litra c) og d), vedrørende omfanget af en søgemaskineudbyders ansvar i henhold til direktiv 95/46
62
Med det andet spørgsmål, litra c) og d), ønsker den forelæggende ret nærmere bestemt oplyst, om artikel 12, litra b), og artikel 14, stk. 1, litra a), i direktiv 95/46 skal fortolkes således, at en søgemaskineudbyder med henblik på at overholde de rettigheder, der er fastsat i bestemmelserne, er forpligtet til fra den resultatliste, der vises efter en søgning på en persons navn, at fjerne link til websider, som er offentliggjort af tredjemand og indeholder oplysninger vedrørende denne person, også i det tilfælde, hvor dette navn eller disse oplysninger ikke forudgående eller samtidig slettes fra disse websider, og i givet fald selv når offentliggørelsen på disse sider i sig selv er lovlig.
63
Ifølge Google Spain og Google Inc. skal enhver anmodning om sletning af oplysninger i medfør af proportionalitetsprincippet rettes til udgiveren af den omhandlede webside, idet det er sidstnævnte, som er ansvarlig for at offentliggøre oplysningerne, som er i stand til at vurdere lovligheden af denne offentliggørelse, og som er i besiddelse af de mest effektive og mindst restriktive midler med henblik på at gøre oplysningerne utilgængelige. At pålægge en søgemaskineudbyder fra sit indeks at fjerne oplysninger, der er offentliggjort på internettet, tager i øvrigt ikke tilstrækkeligt hensyn til de grundlæggende rettigheder for websideudgivere, andre internetbrugere og selve udbyderen.
64
Ifølge den østrigske regering kan en national tilsynsmyndighed kun pålægge en sådan udbyder at slette oplysninger, der er offentliggjort af tredjemand, fra sine registre, såfremt det forinden er blevet fastslået, at de omhandlede oplysninger er ulovlige eller ukorrekte, eller hvis den berørte person med held har gjort indsigelse over for den websideudgiver, på hvis side disse oplysninger er blevet offentliggjort.
65
Mario Costeja González, den spanske, den italienske og den polske regering samt Kommissionen er af den opfattelse, at den nationale myndighed kan pålægge søgemaskineudbyderen direkte at fjerne oplysninger, der indeholder personoplysninger, som er offentliggjort af tredjemand, fra sit indeks og sin mellemlagring uden forudgående eller samtidigt at skulle henvende sig til den websideudgiver, på hvis side disse oplysninger ligger. Ifølge Mario Costeja González, den spanske og den italienske regering samt Kommissionen har den omstændighed, at nævnte oplysninger er blevet offentliggjort lovligt og stadig ligger på den oprindelige webside, endvidere ingen betydning for søgemaskineudbyderens forpligtelser i medfør af direktiv 95/46. Ifølge den polske regering fritager denne omstændighed dog søgemaskineudbyderen fra disse forpligtelser.
66
Indledningsvis bemærkes, at det fremgår af artikel 1 i og tiende betragtning til direktiv 95/46, at direktivet har til formål at sikre et højt beskyttelsesniveau af fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af personoplysninger (jf. i denne retning dom IPI, 
EU:C:2013:715
, præmis 28).
67
Ifølge 25. betragtning til direktiv 95/46 skal principperne om beskyttelse, der er fastsat heri, afspejles dels i de forskellige forpligtelser, der påhviler dem, der behandler oplysningerne, navnlig for så vidt angår oplysningernes pålidelighed, den tekniske sikkerhed, anmeldelse til tilsynsmyndigheden og de omstændigheder, hvorunder behandlingen må udføres, dels i de rettigheder, der tilkommer de personer, hvis personoplysninger gøres til genstand for behandling, bl.a. retten til at blive underrettet om en behandling, til indsigt, til at kunne kræve oplysninger berigtiget, men også til under visse omstændigheder at gøre indsigelse mod en behandling.
68
Domstolen har allerede udtalt, at bestemmelserne i direktiv 95/46, for så vidt som de omhandler behandling af personoplysninger, der kan krænke de grundlæggende frihedsrettigheder og navnlig privatlivets fred, nødvendigvis skal fortolkes under hensyntagen til de grundlæggende rettigheder, som ifølge fast retspraksis er en integrerende del af de almindelige retsgrundsætninger, som Domstolen skal beskytte, og som nu er opført i chartret (jf. bl.a. domme Connolly mod Kommissionen, C-274/99 P, 
EU:C:2001:127
, præmis 37, og Österreichischer Rundfunk m.fl., 
EU:C:2003:294
, præmis 68).
69
Chartrets artikel 7 sikrer ret til respekt for privatlivet, mens chartrets artikel 8 udtrykkeligt fastsætter retten til beskyttelse af personoplysninger. Artikel 8, stk. 2 og 3, præciserer, at disse oplysninger skal behandles rimeligt, til udtrykkeligt angivne formål og på grundlag af de berørte personers samtykke eller på et andet berettiget ved lov fastsat grundlag, at enhver har ret til adgang til indsamlede oplysninger, der vedrører den pågældende, og til berigtigelse heraf, samt at overholdelsen af disse regler er underlagt en uafhængig myndigheds kontrol. Disse krav gennemføres bl.a. ved artikel 6, 7, 12, 14 og 28 i direktiv 95/46.
70
Hvad angår artikel 12, litra b), i direktiv 95/46 bestemmer den, at medlemsstaterne sikrer enhver registreret ret til hos den registeransvarlige efter omstændighederne at få oplysninger, som ikke er blevet behandlet i overensstemmelse med dette direktiv, berigtiget, slettet eller blokeret, navnlig hvis de er ufuldstændige eller urigtige. Da sidstnævnte præcisering af et tilfælde, hvor visse krav i artikel 6, stk. 1, litra d), i direktiv 95/46 ikke er blevet overholdt, er et ikke-udtømmende eksempel, følger det heraf, at den manglende overensstemmelse med direktivet i forbindelse med behandlingen, som for den registrerede kan udløse den ret, der er sikret i direktivets artikel 12, litra b), ligeledes kan følge af manglende overholdelse af andre lovlighedsbetingelser, som direktivet pålægger behandlingen af personoplysninger.
71
I denne forbindelse bemærkes, at med forbehold af de undtagelser, der er tilladt i henhold til artikel 13 i direktiv 95/46, skal enhver behandling af personoplysninger foregå i overensstemmelse med både principperne vedrørende oplysningernes pålidelighed, der er fastsat i direktivets artikel 6, og et af de principper vedrørende grundlaget for behandling af oplysninger, der er opregnet i direktivets artikel 7 (jf. domme Österreichischer Rundfunk m.fl., 
EU:C:2003:294
, præmis 65, ASNEF og FECEMD, C-468/10 og C-469/10, 
EU:C:2011:777
, præmis 26, og Worten, C-342/12, 
EU:C:2013:355
, præmis 33).
72
I henhold til artikel 6 og med forbehold af, at medlemsstaterne kan fastsætte bestemmelser om behandling i historisk, statistisk eller videnskabeligt øjemed, påhviler det den registeransvarlige at sikre, at personoplysningerne »behandles loyalt og lovligt-«, at de »indsamles til udtrykkeligt angivne og legitime formål, samt at senere behandling heraf ikke [er] uforenelig med disse formål«, at de er »relevante og tilstrækkelige og ikke omfatte[r] mere end, hvad der kræves til opfyldelse af de formål, hvortil de indsamles, og til de formål, hvortil de senere behandles«, at de er »korrekte og om nødvendigt ajourførte«, og endelig at de »ikke må opbevares på en måde, der giver mulighed for at identificere de registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil de indsamles, eller i forbindelse med hvilke de behandles på et senere tidspunkt«. I denne forbindelse skal den registeransvarlige træffe alle rimelige foranstaltninger, med henblik på at de oplysninger, der ikke lever op til kravene i denne bestemmelse, slettes eller berigtiges.
73
Hvad angår grundlaget i medfør af artikel 7 i direktiv 95/46 for en behandling som den i hovedsagen omhandlede, der foretages af en søgemaskineudbyder, falder denne ind under det grundlag, der er omhandlet i artikel 7, litra f).
74
Denne bestemmelse tillader behandling af personoplysninger, når den er nødvendig for, at den registeransvarlige eller den tredjemand eller de tredjemænd, til hvem oplysningerne videregives, kan forfølge en legitim interesse, medmindre den registreredes interesser eller de grundlæggende rettigheder og frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af personoplysninger, der skal beskyttes i henhold til artikel 1, stk. 1, i dette direktiv, går forud herfor. Anvendelsen af artikel 7, litra f), nødvendiggør en afvejning af de omhandlede modstående rettigheder og interesser, i forbindelse med hvilken der skal tages hensyn til vigtigheden af den registreredes rettigheder, som følger af chartrets artikel 7 og 8 (jf. dom ASNEF og FECEMD, 
EU:C:2011:777
, præmis 38 og 40).
75
Hvis det i forbindelse med en anmodning som omhandlet i artikel 12, litra b), i direktiv 95/46 kan godtgøres, at behandlingen er foregået i overensstemmelse med direktivets artikel 6 og artikel 7, litra f), kan den registrerede derudover på visse betingelser påberåbe sig den indsigelsesret, der er fastsat i direktivets artikel 14, stk. 1, litra a).
76
Ifølge artikel 14, stk. 1, litra a), indrømmer medlemsstaterne den registrerede ret til i det mindste i de i artikel 7, litra e) og f), omhandlede tilfælde af vægtige legitime grunde, der vedrører den pågældendes særlige situation, til enhver tid at gøre indsigelse mod, at personoplysninger om den pågældende gøres til genstand for behandling, medmindre andet er bestemt i den nationale lovgivning. Den afvejning, der skal foretages inden for rammerne af artikel 14, stk. 1, litra a), gør det således muligt at tage specifikt hensyn til alle omstændighederne i den registreredes konkrete situation. I tilfælde af berettiget indsigelse må den af den registeransvarlige iværksatte behandling ikke længere omfatte de pågældende oplysninger.
77
Anmodninger i medfør af artikel 12, litra b), og artikel 14, stk. 1, litra a), i direktiv 95/46 kan fremsættes direkte af den registrerede til den registeransvarlige, som dernæst omhyggeligt skal undersøge, om anmodningen er berettiget, og i givet fald ophøre med at behandle de pågældende oplysninger. Når den registeransvarlige ikke tager sådanne anmodninger til følge, kan den registrerede indbringe dette for tilsynsmyndigheden eller for en retsinstans, med henblik på at de foretager de nødvendige undersøgelser og følgelig pålægger den registeransvarlige at træffe specifikke foranstaltninger.
78
I denne forbindelse bemærkes, at det følger af artikel 28, stk. 3 og 4, i direktiv 95/46, at enhver kan indgive en anmodning til tilsynsmyndigheden om beskyttelse af sine rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger, og at tilsynsmyndigheden skal kunne iværksætte undersøgelser og skal kunne gribe effektivt ind bl.a. ved at beordre oplysninger blokeret, slettet eller tilintetgjort eller ved midlertidigt eller definitivt at forbyde en sådan behandling.
79
De bestemmelser i direktiv 95/46, der regulerer den registreredes rettigheder, når denne har indgivet en anmodning som den i hovedsagen omhandlede til tilsynsmyndigheden eller til en retsinstans, skal fortolkes og anvendes i lyset af disse betragtninger.
80
I denne henseende skal det indledningsvis bemærkes, således som det er blevet fastslået i denne doms artikel 36-38, at en behandling af personoplysninger som den i hovedsagen omhandlede, der foretages af en søgemaskineudbyder, i væsentlig grad kan påvirke de grundlæggende rettigheder til privatlivets fred og beskyttelse af personoplysninger, når der ved hjælp af søgemaskinen søges på en fysisk persons navn, idet denne behandling gør det muligt for enhver internetbruger at få en resultatliste med en struktureret oversigt over de oplysninger vedrørende denne person, der kan findes på internettet, som potentielt kan vedrøre flere forskellige aspekter af denne persons privatliv, og som uden denne søgemaskine ikke, eller kun med stort besvær, ville kunne sammenkædes, og således fastlægge en mere eller mindre detaljeret profil af personen. Virkningen af indgrebet i nævnte rettigheder for den berørte person forstærkes endvidere som følge af den vigtige rolle, som internettet og søgemaskinerne har i det moderne samfund, hvilket giver oplysningerne på en sådan resultatliste en allestedsnærværende karakter (jf. i denne retning dom eDate Advertising m.fl., C-509/09 og C-161/10, 
EU:C:2011:685
, præmis 45).
81
Henset til, at dette indgreb potentielt kan være alvorligt, bemærkes, at det ikke kan berettiges alene ved søgemaskineudbyderens økonomiske interesse i behandlingen. For så vidt som fjernelsen af link i resultatlisten alt efter den omhandlede oplysning kan have betydning for den legitime interesse hos internetbrugere, der potentielt har interesse i at have adgang til den pågældende oplysning, skal der i situationer som den i hovedsagen omhandlede imidlertid foretages en rimelig afvejning af bl.a. denne interesse og denne persons grundlæggende rettigheder i medfør af chartrets artikel 7 og 8. Selv om rettighederne for den berørte person, der er beskyttet ved disse artikler, ganske vist også generelt vejer tungest i forhold til internetbrugernes interesse, kan denne afvejning dog i særlige tilfælde afhænge af den pågældende oplysnings art, og hvor følsom den er for den berørte persons privatliv, samt offentlighedens interesse i at råde over denne oplysning, hvilket bl.a. kan variere, alt efter hvilken rolle denne person har i det offentlige liv.
82
Efter den vurdering, der skal foretages af betingelserne for anvendelse i artikel 12, litra b), og artikel 14, stk. 1, litra a), i direktiv 95/46, når der for tilsynsmyndigheden eller retsinstansen indbringes en anmodning som den i hovedsagen omhandlede, kan tilsynsmyndigheden eller retsinstansen pålægge søgemaskineudbyderen fra den resultatliste, der vises efter en søgning på en persons navn, at fjerne link til websider, der er offentliggjort af tredjemand og indeholder oplysninger om denne person, uden at en afgørelse herom forudsætter, at navnet og disse oplysninger forudgående eller samtidig – frivilligt eller på befaling af en af disse myndigheder – fjernes fra den webside, hvor de er blevet offentliggjort.
83
For så vidt som en behandling af personoplysninger, der foretages inden for rammerne af en søgemaskines aktiviteter, adskiller sig fra og er mere omfattende end den behandling, som foretages af websideudgivere, og i yderligere grad påvirker den berørte persons grundlæggende rettigheder, skal søgemaskineudbyderen i sin egenskab af registeransvarlig inden for rammerne af sit ansvar, sine kompetencer og sine muligheder således sikre, at behandlingen opfylder kravene i direktiv 95/46, med henblik på at de garantier, som direktivet fastsætter, kan opnå deres fulde virkning, således som det er blevet fastslået i denne doms præmis 35-38.
84
Henset til den lethed, hvormed oplysninger offentliggjort på en webside kan gengives på andre sider, og til den omstændighed, at de ansvarlige for oplysningernes offentliggørelse ikke altid er undergivet EU-retten, bemærkes i denne forbindelse, at en effektiv og fuldstændig beskyttelse af de berørte personer ikke kan gennemføres, hvis disse personer forudgående eller samtidig skal opnå at få slettet de oplysninger, der vedrører dem, hos websideudgiverne.
85
En websideudgivers behandling, der består i at offentliggøre oplysninger om en fysisk person, kan desuden i givet fald foretages »udelukkende […] i journalistisk øjemed« og kan dermed i medfør af artikel 9 i direktiv 95/46 være fritaget for de krav, der er fastsat i direktivet, mens dette ikke forekommer at være tilfældet for så vidt angår den behandling, der foretages af en søgemaskineudbyder. Det kan således ikke udelukkes, at den berørte person under visse omstændigheder kan udøve rettighederne i artikel 12, litra b), og artikel 14, stk. 1, litra a), i direktiv 95/46 mod søgemaskineudbyderen, men ikke mod websideudgiveren.
86
Endelig bemærkes, at ikke blot er der ikke nødvendigvis sammenfald mellem det grundlag, der i medfør af artikel 7 i direktiv 95/46 berettiger offentliggørelsen af en personoplysning på internettet, og det grundlag, der finder anvendelse på søgemaskiners aktivitet, men resultatet af den omhandlede interesseafvejning, der skal foretages i medfør af direktivets artikel 7, litra f), og artikel 14, stk. 1, litra a), kan, selv når dette er tilfældet, være forskelligt, alt efter om der er tale om behandlingen foretaget af søgemaskineudbyderen eller behandlingen foretaget af websideudgiveren, eftersom de legitime interesser, der berettiger disse behandlinger, for det første kan være forskellige, og de konsekvenser, som nævnte behandlinger har for den berørte person, navnlig for den pågældendes privatliv, for det andet ikke nødvendigvis er de samme.
87
For så vidt som inklusionen af en webside på den resultatliste, der vises efter en søgning på en persons navn, og af de oplysninger, der ligger på denne side vedrørende denne person, i væsentlig grad letter adgangen til disse oplysninger for enhver internetbruger, som foretager en søgning på den berørte person, og kan spille en afgørende rolle i udbredelsen af disse oplysninger, udgør den et mere alvorligt indgreb i den berørte persons grundlæggende ret til privatlivets fred end websideudgiverens offentliggørelse.
88
Henset til samtlige ovenstående betragtninger skal det andet spørgsmål, litra c) og d), herefter besvares med, at artikel 12, litra b), og artikel 14, stk. 1, litra a), i direktiv 95/46 skal fortolkes således, at en søgemaskineudbyder med henblik på at overholde de rettigheder, der er fastsat i bestemmelserne, og for så vidt som de betingelser, der er fastsat i direktivet, faktisk er opfyldt, er forpligtet til fra den resultatliste, der vises efter en søgning på en persons navn, at fjerne link til websider, som er offentliggjort af tredjemand og indeholder oplysninger vedrørende denne person, også i det tilfælde, hvor dette navn eller disse oplysninger ikke forudgående eller samtidig slettes fra disse websider, og i givet fald selv når offentliggørelsen på disse sider i sig selv er lovlig.
Det tredje spørgsmål vedrørende rækkevidden af de rettigheder, som den registrerede er sikret ved direktiv 95/46
89
Med det tredje spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om artikel 12, litra b), og artikel 14, stk. 1, litra a), i direktiv 95/46 skal fortolkes således, at de gør det muligt for den berørte person at kræve, at søgemaskineudbyderen fra den resultatliste, der vises efter en søgning på personens navn, fjerner link til websider, som er offentliggjort af tredjemand og indeholder sandfærdige oplysninger vedrørende denne person, med den begrundelse, at disse oplysninger kan komme personen til skade, eller at personen ønsker, at disse oplysninger »glemmes« efter en vis tid.
90
Google Spain, Google Inc., den græske, den østrigske og den polske regering samt Kommissionen er af den opfattelse, at dette spørgsmål skal besvares benægtende. Google Spain, Google Inc., den polske regering og Kommissionen har i denne forbindelse gjort gældende, at artikel 12, litra b), og artikel 14, stk. 1, litra a), i direktiv 95/46 udelukkende tillægger de berørte personer rettigheder, såfremt den omhandlede behandling ikke er forenelig med direktivet eller af vægtige legitime grunde, der vedrører den pågældendes særlige situation, og ikke blot af den grund, at de berørte personer finder, at denne behandling kan komme dem til skade, eller at de ønsker, at de behandlede oplysninger glemmes. Den græske og den østrigske regering er af den opfattelse, at den berørte person skal henvende sig til den omhandlede websideudgiver.
91
Mario Costeja González samt den spanske og den italienske regering er af den opfattelse, at den berørte person kan gøre indsigelse mod en søgemaskines indeksering af den berørte persons personoplysninger, når søgemaskinens formidling heraf skader personen, og når dennes grundlæggende ret til beskyttelse af disse oplysninger og til privatlivets fred, som omfatter »retten til at blive glemt«, går forud for søgemaskineudbyderens legitime interesser og det almindelige hensyn til informationsfriheden.
92
Hvad angår artikel 12, litra b), i direktiv 95/46, hvis anvendelse er underlagt et krav om, at behandlingen af personoplysninger er uforenelig med direktivet, bemærkes – således som det er anført i denne doms præmis 72 – at en sådan uforenelighed ikke kun kan følge af, at personoplysningerne er ukorrekte, men navnlig også af den omstændighed, at de er utilstrækkelige, irrelevante eller omfatter mere end, hvad der er nødvendigt i forhold til formålet med behandlingen, at de ikke er ajourført, eller at de opbevares i et længere tidsrum end det, der er nødvendigt, medmindre de opbevares i historisk, statistisk eller videnskabeligt øjemed.
93
Det følger af disse krav, der er fastsat i artikel 6, stk. 1, litra c)-e), i direktiv 95/46, at selv en behandling af korrekte oplysninger, der oprindeligt var lovlig, med tiden kan blive uforenelig med direktivet, når disse oplysninger ikke længere er nødvendige af hensyn til de formål, hvortil de er blevet indsamlet, eller i forbindelse med hvilke de er blevet behandlet. Det er bl.a. tilfældet, når de forekommer utilstrækkelige, irrelevante eller ikke længere relevante eller omfatter for meget i forhold til formålet, og henset til den tid, der er gået.
94
Såfremt det efter en anmodning fra den berørte person i medfør af artikel 12, litra b), i direktiv 95/46 konstateres, at inklusionen på den resultatliste, der vises efter en søgning på personens navn, af link til websider, som lovligt er offentliggjort af tredjemand og indeholder sandfærdige oplysninger vedrørende denne person, på nuværende tidspunkt er uforenelig med nævnte artikel 6, stk. 1, litra c)-e), idet disse oplysninger, henset til samtlige omstændigheder, der gør sig gældende i det foreliggende tilfælde, forekommer utilstrækkelige, irrelevante eller ikke længere relevante eller omfatter for meget i forhold til formålet med den pågældende behandling, der foretages af søgemaskineudbyderen, skal de omhandlede oplysninger og link på nævnte resultatliste slettes.
95
Hvad angår anmodninger i henhold til artikel 12, litra b), som er baseret på en påstand om, at betingelserne i artikel 7, litra f), i direktiv 95/46 og i direktivets artikel 14, stk. 1, litra a), ikke er overholdt, bemærkes, at enhver behandling af personoplysninger skal være lovlig i henhold til artikel 7 i hele den periode, hvor behandlingen foretages.
96
Henset til det ovenstående skal det inden for rammerne af behandlingen af sådanne anmodninger, der er indgivet til prøvelse af en behandling som den i hovedsagen omhandlede, bl.a. undersøges, om den berørte person har ret til, at oplysningen vedrørende personen på nuværende tidspunkt ikke længere knyttes til personens navn på en resultatliste, der vises efter en søgning på dette navn. Herved bemærkes, at det med henblik på konstateringen af, at en sådan ret findes, ikke er et krav, at inklusionen af den pågældende oplysning på resultatlisten skader den berørte person.
97
Da den berørte person, henset til den pågældendes grundlæggende rettigheder i medfør af chartrets artikel 7 og 8, kan anmode om, at den pågældende oplysning ikke længere stilles til rådighed for den brede offentlighed ved sin inklusion på en sådan resultatliste, bemærkes – således som det bl.a. fremgår af denne doms præmis 81 – at disse rettigheder i princippet går forud for ikke blot søgemaskineudbyderens økonomiske interesse, men også for offentlighedens interesse i at finde nævnte oplysning ved en søgning på denne persons navn. Dette er imidlertid ikke tilfældet, såfremt det af særlige grunde, såsom den rolle, som nævnte person har i det offentlige liv, fremgår, at indgrebet i personens grundlæggende rettigheder er begrundet i offentlighedens vægtige interesse i at have adgang til den pågældende oplysning via inklusionen på resultatlisten.
98
Hvad angår en situation som den i hovedsagen omhandlede, som vedrører den omstændighed, at en internetbruger, der søger på den berørte persons navn på Google Search, får en resultatliste, der viser link til sider i en avis’ onlinearkiv, som indeholder annoncer, der nævner denne persons navn vedrørende en tvangsauktion over fast ejendom i forbindelse med en beslaglæggelse på grund af gæld til den sociale sikringsordning, bemærkes, at den berørte person, henset til, hvor følsomme oplysningerne i disse annoncer er for denne persons privatliv, samt til, at deres oprindelige offentliggørelse ligger 16 år tilbage i tiden, har ret til, at disse oplysninger ikke længere knyttes til hans navn via en sådan resultatliste. For så vidt som der ikke i det foreliggende tilfælde synes at foreligge særlige grunde, der begrunder, at offentligheden har en vægtig interesse i at få adgang til disse oplysninger under en søgning, hvilket det dog tilkommer den forelæggende ret at efterprøve, kan den berørte person i medfør af artikel 12, litra b), og artikel 14, stk. 1, litra a), i direktiv 95/46 kræve, at disse link fjernes fra denne resultatliste.
99
Det følger af de ovenstående betragtninger, at det tredje spørgsmål herefter skal besvares med, at artikel 12, litra b), og artikel 14, stk. 1, litra a), i direktiv 95/46 skal fortolkes således, at det inden for rammerne af bedømmelsen af betingelserne for disse bestemmelsers anvendelse bl.a. skal undersøges, om den berørte person har ret til, at den pågældende oplysning vedrørende personen på nuværende tidspunkt ikke længere knyttes til personens navn på en resultatliste, der vises efter en søgning på personens navn, uden at det med henblik på konstateringen af, at en sådan ret findes, dog herved er et krav, at inklusionen af den pågældende oplysning på resultatlisten skader den berørte person. Da den berørte person, henset til den pågældendes grundlæggende rettigheder i medfør af chartrets artikel 7 og 8, kan anmode om, at den pågældende oplysning ikke længere stilles til rådighed for den brede offentlighed ved sin inklusion på en sådan resultatliste, går disse rettigheder i princippet forud for ikke blot søgemaskineudbyderens økonomiske interesse, men også for offentlighedens interesse i at få adgang til nævnte oplysning ved en søgning på denne persons navn. Dette er imidlertid ikke tilfældet, såfremt det af særlige grunde, såsom den rolle, som nævnte person har i det offentlige liv, fremgår, at indgrebet i personens grundlæggende rettigheder er begrundet i offentlighedens vægtige interesse i at have adgang til den pågældende oplysning via inklusionen på resultatlisten.
Sagens omkostninger
100
Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagens omkostninger. Bortset fra nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.
På grundlag af disse præmisser kender Domstolen (Store Afdeling) for ret:
1)
Artikel 2, litra b) og d), i Europa-Parlamentet og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger skal fortolkes således, at en søgemaskines aktivitet, der består i at finde oplysninger, der er offentliggjort eller lagt på internettet af tredjemand, indeksere disse automatisk, lagre dem midlertidigt og sluttelig gøre dem tilgængelige for internetbrugerne i en vis prioriteret orden, for det første skal kvalificeres som »behandling af personoplysninger« som omhandlet i artikel 2, litra b), når oplysningerne indeholder personoplysninger, og for det andet skal udbyderen af denne søgemaskine anses for at være »registeransvarlig« som omhandlet i artikel 2, litra d).
2)
Artikel 4, stk. 1, litra a), i direktiv 95/46 skal fortolkes således, at en behandling af personoplysninger foretages som led i aktiviteter, der inden for en medlemsstats område udføres af en registeransvarligs virksomhed eller organ som omhandlet i bestemmelsen, når en søgemaskineudbyder etablerer en filial eller et datterselskab i en medlemsstat, der skal sørge for reklame og salg af reklameplads i søgemaskinen, og hvis aktivitet er rettet mod indbyggerne i denne medlemsstat.
3)
Artikel 12, litra b), og artikel 14, stk. 1, litra a), i direktiv 95/46 skal fortolkes således, at en søgemaskineudbyder med henblik på at overholde de rettigheder, der er fastsat i bestemmelserne, og for så vidt som de betingelser, der er fastsat i direktivet, faktisk er opfyldt, er forpligtet til fra den resultatliste, der vises efter en søgning på en persons navn, at fjerne link til websider, som er offentliggjort af tredjemand og indeholder oplysninger vedrørende denne person, også i det tilfælde, hvor dette navn eller disse oplysninger ikke forudgående eller samtidig slettes fra disse websider, og i givet fald selv når offentliggørelsen på disse sider i sig selv er lovlig.
4)
Artikel 12, litra b), og artikel 14, stk. 1, litra a), i direktiv 95/46 skal fortolkes således, at det inden for rammerne af bedømmelsen af betingelserne for disse bestemmelsers anvendelse bl.a. skal undersøges, om den berørte person har ret til, at den pågældende oplysning vedrørende personen på nuværende tidspunkt ikke længere knyttes til personens navn på en resultatliste, der vises efter en søgning på dette navn, uden at det med henblik på konstateringen af, at en sådan ret findes, dog herved er et krav, at inklusionen af den pågældende oplysning på resultatlisten skader den berørte person. Da den berørte person, henset til den pågældendes grundlæggende rettigheder i medfør af artikel 7 og 8 i Den Europæiske Unions charter om grundlæggende rettigheder, kan anmode om, at den pågældende oplysning ikke længere stilles til rådighed for den brede offentlighed ved sin inklusion på en sådan resultatliste, går disse rettigheder i princippet forud for ikke blot søgemaskineudbyderens økonomiske interesse, men også for offentlighedens interesse i at få adgang til nævnte oplysning ved en søgning på denne persons navn. Dette er imidlertid ikke tilfældet, såfremt det af særlige grunde, såsom den rolle, som nævnte person har i det offentlige liv, fremgår, at indgrebet i personens grundlæggende rettigheder er begrundet i offentlighedens vægtige interesse i at have adgang til den pågældende oplysning via inklusionen på resultatlisten.
Underskrifter
(
*1
) – Processprog: spansk.

Summary:
Retten til at blive glemt på internettet
RESUMÉ AF:
Præjudiciel forelæggelse — Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger — Den geografiske rækkevidde af retten til at få fjernet links — Sag C-507/17
 (2019)
Præjudiciel forelæggelse — Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og behandling af oplysninger på websider — Rækkevidden af udbyderens forpligtelser og den berørte persons rettigheder — Sag C-131/12
 (2014)
HVAD ER FORMÅLENE MED DOMMENE?
Den Europæiske Unions Domstols
 afgørelse fra 2014 præciserede fortolkningen af direktiv 
95/46/EF
 som følger.
Visning af søgemaskineresultater udgør 
behandling af personoplysninger
.
Det er søgemaskineudbyderens ansvar at fjerne links til personoplysninger fra søgeresultater under visse omstændigheder, hvilket i praksis indfører 
retten til at blive glemt
.
EU-Domstolens afgørelse fra 2019 præciserede den 
geografiske rækkevidde
 af den tidligere afgørelse i den nye kontekst af forordning (EU) 
2016/679
 (den generelle forordning om databeskyttelse), som moderniserede og samlede regler vedrørende 
databeskyttelse
 i hele 
Den Europæiske Union
 (EU) og ophævede direktiv 95/46/EF.
HOVEDPUNKTER
Google Spain SL og Google Inc.
 
mod
 
Agencia Española de Protección de Datos (AEPD) og Mario Costeja González (2014)
I 2010 bad Mario Costeja González, en spansk statsborger, Google om at fjerne eller skjule personoplysninger vedrørende gæld til den sociale sikringsordning, som var blevet trykt om ham i avisen 
La Vanguardia
 i 1998, fra søgeresultater.
Han anførte, at problemet var blevet løst flere år tidligere, og at det derfor ikke længere var relevant at omtale ham.
Domstolen fandt, at en internetsøgemaskineoperatør er ansvarlig for 
behandlingen af de personoplysninger
, der vises på websider, som offentliggøres af andre kilder, og at denne skal overholde lovgivningen, som beskytter fysiske personer i denne henseende (direktiv 95/46/EF).
Domstolen fandt, at søgemaskineudbyderen under visse omstændigheder kunne være 
forpligtet til at fjerne links til visse websider
 fra listen over resultater, der vises, når man søger på et bestemt navn (dette kaldes 
retten til at blive glemt
 eller »
retten til at få fjernet links 
«), hvis de pågældende oplysninger anses for at være unøjagtige, ufuldstændige, irrelevante, ikke længere relevante eller omfattende mere, end hvad der er nødvendigt i forhold til formålet med behandlingen, men ikke blot fordi oplysningerne generer den pågældende person.
Google LLC
 
mod
 
Commission nationale de l’informatique et des libertés (CNIL) (2019)
I den sag, som Google anlagde mod den franske databeskyttelsesmyndighed, blev EU-Domstolen bedt om at afgøre det 
geografiske anvendelsesområde
 for retten til at blive glemt.
I 2016 gav den franske tilsynsmyndighed Google en bøde på 100 000 EUR for at nægte at anvende retten til at blive glemt på verdensplan. Den beordrede endvidere virksomheden til at anvende retten til at blive glemt på alle Google-domænenavne, herunder google.com. Google fastholdt, at den franske databeskyttelsesmyndighed kun havde bemyndigelse til at beordre virksomheden til at anvende retten på det franske domæne google.fr.
I sin afgørelse fastholdt Domstolen, at retten til at blive glemt ikke gælder for links, der vises i alle udgaver af en søgemaskine over hele verden, men at den gælder for søgemaskiner med domænenavne, der er 
forbundet med
 
EU’s 
medlemsstater
 — dvs. ikke kun google.fr, men også google.it, google.de, google.nl osv.
Søgemaskineudbydere skal også, hvor det måtte være nødvendigt, iværksætte foranstaltninger, som »effektivt 
forhindrer
 eller i det mindste i høj grad 
afholder
« 
internetbrugere
 fra at få adgang til materiale, der er fjernet links til, når de søger på et navn 
fra en medlemsstat
.
BAGGRUND
For yderligere oplysninger henvises til:
Databeskyttelse
 (Europa-Kommissionen)
»
Retten til at blive glemt
« (GDPR.eu).
HOVEDDOKUMENTER
Domstolens dom (Store Afdeling) af 
24. september 2019
 — Google LLC, indtrådt i Google Inc.’s rettigheder, mod Commission nationale de l’informatique et des libertés (CNIL) — Anmodning om præjudiciel afgørelse indgivet af Conseil d’État (Frankrig) — Præjudiciel forelæggelse — personoplysninger — beskyttelse af fysiske personer i forbindelse med behandling af disse oplysninger — direktiv 95/46/EF — forordning (EU) 2016/679 — internetsøgemaskine — behandling af oplysninger på websider — den geografiske rækkevidde af retten til at få fjernet links — 
Sag C-507/17
.
Domstolens dom (Store Afdeling) af 
13. maj 2014
 — Google Spain SL og Google Inc. mod Agencia Española de Protección de Datos (AEPD) og Mario Costeja González — Anmodning om præjudiciel afgørelse indgivet af Audiencia Nacional — Personoplysninger — beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger — direktiv 95/46/EF — artikel 2, 4, 12 og 14 — materielt og territorialt anvendelsesområde — søgemaskiner på internettet — behandling af oplysninger på websider — søgning i samt indeksering og lagring af disse oplysninger — ansvaret for udbyderen af søgemaskinen — virksomhed eller organ på en medlemsstats område — rækkevidden af udbyderens forpligtelser og den berørte persons rettigheder — Den Europæiske Unions charter om grundlæggende rettigheder — artikel 7 og 8 — 
Sag C-131/12
.
TILHØRENDE DOKUMENTER
Europa-Parlamentets og Rådets forordning (EU) 
2016/679
 af 
27. april 2016
 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT L 119 af 
4.5.2016
, 
s. 1-88
).
Efterfølgende ændringer til forordning (EU) 2016/679 er blevet indarbejdet i grundteksten. Denne 
konsoliderede udgave
 har ingen retsvirkning.
Europa-Parlamentet og Rådets direktiv 
95/46/EF
 af 
24. oktober 1995
 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT L 281 af 
23.11.1995
, 
s. 31-50
).
seneste ajourføring 
15.3.2022