–

za Google LLC P. Spinosim, Y. Pelosim a W. Maxwellem, avocats,

–

za Commission nationale de l’informatique et des libertés (CNIL) I. Falque-Pierrotin, jakož i J. Lessim a G. Le Grandem, jako zmocněnci,

–

za Wikimedia Foundation Inc. C. Rameix-Seguin, avocate,

–

Za Fondation pour la liberté de la presse T. Haasem, avocat,

–

za Microsoft Corp. E. Piwnicou, avocat,

–

za Reporters Committee for Freedom of the Press a další F. Louisem, avocat, jakož i H.-G. Kamannem, C. Schwedlerem a M. Braunem, Rechtsanwälte,

–

za Article 19 a další G. Tapiem, avocat, G. Facennou, QC, a E. Metcalfem, barrister,

–

za Internet Freedom Foundation a další T. Haasem, avocat,

–

za Veřejného ochránce práv J. Toubonem, jako zmocněncem,

–

za francouzskou vládu D. Colasem a R. Coesme, jakož i E. de Moustier a S. Ghiandoni, jako zmocněnci,

–

za Irsko M. Browne, G. Hodge a J. Quaney jakož i A. Joycem, jako zmocněnci, ve spolupráci s M. Gray, BL,

–

za řeckou vládu E.-M. Mamouna, G. Papadaki, E. Zisi a S. Papaioannou, jako zmocněnkyněmi,

–

za italskou vládu G. Palmieri, jako zmocněnkyní, ve spolupráci s R. Guizzi, avvocato dello Stato,

–

za rakouskou vládu G. Eberhardem a G. Kunnertem, jako zmocněnci,

–

za polskou vládu B. Majczynou, jakož i M. Pawlickou a J. Sawickou, jako zmocněnci,

–

za Evropskou komisi A. Buchetem, H. Kranenborgem a D. Nardim, jako zmocněnci,

1

Žádost o rozhodnutí o předběžné otázce se týká výkladu směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. 1995, L 281, s. 31; Zvl. vyd. 13/15, s. 355).

2

Tato žádost byla předložena v rámci sporu mezi společností Google LLC, právní nástupkyní společnosti Google Inc., a Commission nationale de l’informatique et des libertés (Národní komisí pro informatiku a svobody (CNIL) (Francie) ve věci sankce ve výši 100000 eur, kterou tato komise uložila společnosti Google z důvodu, že tato společnost odmítla, když vyhověla žádosti o odstranění odkazů, vztáhnout toto odstranění na všechny domény svého vyhledávače.

3

Cílem směrnice 95/46 je podle jejího čl. 1 odst. 1 ochrana základních práv a svobod fyzických osob, zejména jejich soukromí, v souvislosti se zpracováním osobních údajů, a dále odstranění překážek bránících volnému pohybu těchto údajů.

4

Body 2, 7, 10, 11, 18, 20 a 37 odůvodnění směrnice 95/46 uvádějí:

[…]

[…]

[…]

[…]

[…]

5

Článek 2 této směrnice stanoví:

„Pro účely této směrnice se rozumí:

[…]

[…]“

6

Článek 4 téže směrnice, nadepsaný „Použitelné vnitrostátní právo“, stanoví:

„1.   Každý členský stát použije na zpracování osobních údajů vnitrostátní ustanovení, která přijme na základě této směrnice, pokud:

2.   V případě uvedeném v odst. 1 písm. c) správce musí určit zástupce usazeného na území zmíněného členského státu, aniž je tím dotčena možnost podniknout právní kroky proti správci samotnému.“

7

Článek 9 směrnice 95/46, nadepsaný „Zpracování osobních údajů a svoboda projevu“, stanoví:

„Členské státy stanoví pro zpracování osobních údajů prováděné výlučně pro účely žurnalistiky nebo uměleckého či literárního projevu, odchylky a výjimky z této kapitoly a z kapitol IV a VI, pouze pokud se ukáží jako nezbytné pro uvedení práva na soukromí do souladu s předpisy upravujícími svobodu projevu.“

8

Článek 12 téže směrnice, nadepsaný „Právo na přístup“, stanoví:

„Členské státy zaručí každému subjektu údajů právo získat od správce:

[…]

[…]“

9

Článek 14 téže směrnice, nadepsaný „Právo subjektu údajů na námitku“, stanoví:

„Členské státy přiznávají subjektu údajů právo:

[…]“

10

Článek 24 směrnice 95/46, nadepsaný „Sankce“, stanoví:

„Členské státy přijmou vhodná opatření, kterými zajistí uplatňování ustanovení této směrnice, a zejména určí sankce, které se uplatní v případě porušení předpisů přijatých na základě této směrnice.“

11

Článek 28 této směrnice, nadepsaný „Orgán dozoru“, zní takto:

„1.   Každý členský stát pověří jeden nebo několik orgánů veřejné moci na svém území dohledem nad dodržováním předpisů přijatých členskými státy na základě této směrnice.

[…]

3.   Každý orgán dozoru má zejména:

[…]

Proti rozhodnutím orgánu dozoru, která dala vzniknout stížnostem, je možné využít opravný prostředek k soudu.

4.   Na orgán dozoru se může obrátit jakákoli osoba nebo sdružení zastupující tuto osobu se žádostí týkající se ochrany svých práv a svobod v souvislosti se zpracováním osobních údajů. Dotčená osoba je informována o způsobu vyřízení své žádosti.

[…]

6.   Nezávisle na vnitrostátním právu, které se použije na dané zpracování, je orgán dozoru oprávněn vykonávat na území vlastního členského státu pravomoci, které mu byly uděleny v souladu s odstavcem 3. Každý orgán může být vyzván, aby vykonával své pravomoci na žádost orgánu jiného členského státu.

Orgány dozoru vzájemně spolupracují v míře nezbytné pro plnění svých úkolů, zejména výměnou veškerých užitečných informací.

[…]“

12

Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, a oprava Úř. věst. 2018, L 127, s. 2) přijaté na základě článku 16 SFEU je podle svého čl. 99 odst. 2 použitelné od 25. května 2018. Článek 94 odst. 1 tohoto nařízení stanoví, že směrnice 95/46/ES se zrušuje s účinkem od téhož dne.

13

Body 1, 4, 9 až 11, 13, 22 až 25 a 65 odůvodnění uvedeného nařízení znějí:

[…]

[…]

[…]

[…]

[…]

14

Článek 3 nařízení 2016/679, nadepsaný „Místní působnost“, zní následovně:

„1.   Toto nařízení se vztahuje na zpracování osobních údajů v souvislosti s činnostmi provozovny správce nebo zpracovatele v Unii bez ohledu na to, zda zpracování probíhá v Unii či mimo ni.

2.   Toto nařízení se vztahuje na zpracování osobních údajů subjektů údajů, které se nacházejí v Unii, správcem nebo zpracovatelem, který není usazen v Unii, pokud činnosti zpracování souvisejí:

3.   Toto nařízení se vztahuje na zpracování osobních údajů správcem, který není usazen v Unii, ale na místě, kde se právo členského státu uplatňuje na základě mezinárodního práva veřejného.“

15

Článek 4 bod 23 tohoto nařízení definuje pojem „přeshraniční zpracování“ následovně:

16

Článek 17 tohoto nařízení, nadepsaný „Právo na výmaz (‚právo být zapomenut‘)“, zní:

„1.   Subjekt údajů má právo na to, aby správce bez zbytečného odkladu vymazal osobní údaje, které se daného subjektu údajů týkají, a správce má povinnost osobní údaje bez zbytečného odkladu vymazat, pokud je dán jeden z těchto důvodů:

[…]

3.   Odstavce 1 a 2 se neuplatní, pokud je zpracování nezbytné:

[…]“

17

Článek 21 téhož nařízení, nadepsaný „Právo vznést námitku“, v odstavci 1 stanoví:

„Subjekt údajů má z důvodů týkajících se jeho konkrétní situace právo kdykoli vznést námitku proti zpracování osobních údajů, které se jej týkají, na základě čl. 6 odst. 1 písm. e) nebo f), včetně profilování založeného na těchto ustanoveních. Správce osobní údaje dále nezpracovává, pokud neprokáže závažné oprávněné důvody pro zpracování, které převažují nad zájmy nebo právy a svobodami subjektu údajů, nebo pro určení, výkon nebo obhajobu právních nároků.“

18

Článek 55 nařízení 2016/679, nadepsaný „Příslušnost“, který je součástí kapitoly VI tohoto nařízení, nadepsané „Nezávislé dozorové úřady“, v odstavci 1 stanoví:

„Každý dozorový úřad je na území svého členského státu příslušný k plnění úkolů a výkonu pravomocí, které mu byly svěřeny v souladu s tímto nařízením.“

19

Článek 56 uvedeného nařízení, nadepsaný „Příslušnost vedoucího dozorového úřadu“, stanoví:

„1.   Aniž je dotčen článek 55, je dozorový úřad pro hlavní nebo jedinou provozovnu správce či zpracovatele příslušný k tomu, aby jednal jako vedoucí dozorový úřad v případě přeshraničního zpracování prováděného tímto správcem či zpracovatelem v souladu s postupem stanoveným v článku 60.

2.   Odchylně od odstavce 1 je každý dozorový úřad příslušný k tomu, aby se zabýval stížnostmi, které u něj byly podány, nebo možným porušením tohoto nařízení, pokud se daná záležitost týká pouze provozovny v jeho členském státě nebo jsou touto záležitostí podstatným způsobem dotčeny subjekty údajů pouze v jeho členském státě.

3.   V případech uvedených v odstavci 2 tohoto článku daný dozorový úřad o této záležitosti neprodleně informuje vedoucí dozorový úřad. Ve lhůtě tří týdnů po obdržení těchto informací vedoucí dozorový úřad rozhodne, zda se postupem podle článku 60 bude danou věcí zabývat či nikoli, a zohlední přitom, zda se v členském státě dozorového úřadu, který jej informoval, nachází provozovna správce nebo zpracovatele, či nikoli.

4.   Pokud vedoucí dozorový úřad rozhodne, že se věcí zabývat bude, použije se postup podle článku 60. Dozorový úřad, který vedoucí dozorový úřad informoval, může vedoucímu dozorovému úřadu předložit návrh rozhodnutí. Vedoucí dozorový úřad tento návrh co nejvíce zohlední při přípravě návrhu rozhodnutí podle čl. 60 odst. 3.

5.   Pokud vedoucí dozorový úřad rozhodne, že se věcí zabývat nebude, zabývá se jí v souladu s články 61 a 62 dozorový úřad, který informoval vedoucí dozorový úřad.

6.   Provádějí-li správce či zpracovatel přeshraniční zpracování, je pro ně jediným příslušným orgánem vedoucí dozorový úřad.“

20

Článek 58 téhož nařízení, nadepsaný „Pravomoci“, v odstavci 2 stanoví:

„Každý dozorový úřad má všechny tyto nápravné pravomoci:

[…]

[…]

21

Součástí kapitoly VII nařízení 2016/679, nadepsané „Spolupráce a jednotnost“, je oddíl I, nadepsaný „Spolupráce“, který obsahuje články 60 až 62 tohoto nařízení. Článek 60, nadepsaný „Spolupráce mezi vedoucím dozorovým úřadem a dalšími dotčenými dozorovými úřady“, stanoví:

„1.   Vedoucí dozorový úřad spolupracuje s ostatními dotčenými dozorovými úřady v souladu s tímto článkem ve snaze dosáhnout konsensu. Vedoucí dozorový úřad a dotčené dozorové úřady si vzájemně vyměňují veškeré relevantní informace.

2.   Vedoucí dozorový úřad může kdykoliv požádat další dotčené dozorové úřady o poskytnutí vzájemné pomoci podle článku 61 a může provádět společné postupy podle článku 62, zejména pokud jde o vedení šetření nebo monitorování provádění opatření týkajících se správce či zpracovatele usazených v jiném členském státě.

3.   Vedoucí dozorový úřad neprodleně sdělí relevantní informace o dané záležitosti ostatním dotčeným dozorovým úřadům. Neprodleně předloží ostatním dotčeným dozorovým úřadům návrh rozhodnutí, aby se k němu vyjádřily, a řádně zohlední jejich stanoviska.

4.   Pokud ve lhůtě čtyř týdnů kterýkoliv z ostatních dotčených dozorových úřadů poté, co byl v souladu s odstavcem 3 tohoto článku konzultován, vznese k návrhu rozhodnutí relevantní a odůvodněnou námitku, postoupí vedoucí dozorový úřad v případě, že relevantní a odůvodněnou námitku nesdílí nebo ji považuje za irelevantní či nedůvodnou, záležitost k řešení v rámci mechanismu jednotnosti uvedeného v článku 63.

5.   Pokud má vedoucí dozorový úřad v úmyslu vznesenou relevantní a odůvodněnou námitku zohlednit, předloží ostatním dotčeným dozorovým úřadům revidovaný návrh rozhodnutí k vyjádření. Tento revidovaný návrh rozhodnutí podléhá postupu uvedenému v odstavci 4 v rámci dvoutýdenní lhůty.

6.   Pokud ve lhůtě uvedené v odstavcích 4 a 5 nevznesl žádný z ostatních dotčených dozorových úřadů námitku proti návrhu rozhodnutí předloženému vedoucím dozorovým úřadem, má se za to, že vedoucí dozorový úřad a dotčené dozorové úřady s tímto návrhem rozhodnutí souhlasí a toto rozhodnutí je pro ně závazné.

7.   Vedoucí dozorový úřad dané rozhodnutí přijme, ohlásí je hlavní nebo jediné provozovně správce či zpracovatele a o daném rozhodnutí včetně shrnutí relevantních skutečností a důvodů informuje ostatní dotčené dozorové úřady a sbor. Dozorový úřad, u něhož byla podána stížnost, informuje o daném rozhodnutí stěžovatele.

8.   Odchylně od odstavce 7, pokud je stížnost odmítnuta nebo zamítnuta, přijme rozhodnutí dozorový úřad, u něhož byla stížnost podána; tento úřad oznámí rozhodnutí stěžovateli a informuje o něm správce.

9.   Pokud se vedoucí dozorový úřad a dotčené dozorové úřady shodnou na tom, že určité části stížnosti odmítnou nebo zamítnou a že budou reagovat na jiné části této stížnosti, přijme se pro každou z těchto částí dané věci samostatné rozhodnutí. […]

10.   Poté, co mu bylo oznámeno rozhodnutí vedoucího dozorového úřadu podle odstavců 7 a 9, přijme správce nebo zpracovatel opatření nezbytná k zajištění souladu s daným rozhodnutím, pokud jde o činnosti zpracování prováděné v souvislosti se všemi jeho provozovnami v Unii. Správce nebo zpracovatel oznámí opatření přijatá k zajištění souladu s daným rozhodnutí vedoucímu dozorovému úřadu, který o tom informuje ostatní dotčené dozorové úřady.

11.   Pokud má za výjimečných okolností dotčený dozorový úřad důvody se domnívat, že je třeba naléhavě jednat, aby byly ochráněny zájmy subjektů údajů, použije se postup pro naléhavé případy podle článku 66.

[…]“

22

Článek 61 uvedeného nařízení, nadepsaný „Vzájemná pomoc“, v odstavci 1 stanoví:

„Dozorové úřady si vzájemně poskytují relevantní informace a pomoc v zájmu soudržného provádění a uplatňování tohoto nařízení a zavedou opatření pro účinnou vzájemnou spolupráci. Vzájemná spolupráce zahrnuje zejména žádosti o informace a opatření v oblasti dozoru, například žádosti o předchozí povolení a konzultace, inspekce a šetření.“

23

Článek 62 téhož nařízení, nadepsaný „Společné postupy dozorových úřadů“, stanoví:

„1.   Dozorové úřady podle potřeby provádějí společné postupy, včetně společných šetření a společných donucovacích opatření, do nichž jsou zapojeni členové nebo pracovníci dozorových úřadů z jiných členských států.

2.   Pokud má správce nebo zpracovatel provozovny v několika členských státech, nebo pokud je pravděpodobné, že operacemi zpracování bude podstatně dotčen významný počet subjektů údajů ve více než jednom členském státě, má dozorový úřad každého z těchto členských států právo účastnit se společných postupů. […]“

24

Oddíl 2 kapitoly VII nařízení 2016/679, nadepsaný „Jednotnost“, obsahuje články 63 až 67 tohoto nařízení. Článek 63, nadepsaný „Mechanismus jednotnosti“, zní následovně:

„S cílem přispět k jednotnému uplatňování tohoto nařízení v celé Unii spolupracují dozorové úřady mezi sebou navzájem a ve vhodných případech s Komisí prostřednictvím mechanismu jednotnosti stanoveného v tomto oddíle.“

25

Článek 65 uvedeného nařízení, nadepsaný „Řešení sporů sborem“, v odstavci 1 stanoví:

„S cílem zajistit, aby toto nařízení bylo v jednotlivých případech správně a důsledně uplatňováno, přijme sbor závazné rozhodnutí v těchto případech:

[…]“

26

Článek 66 téhož nařízení, nadepsaný „Postup pro naléhavé případy“, v odstavci 1 stanoví:

„Dotčený dozorový úřad se za výjimečných okolností, kdy se domnívá, že je třeba naléhavě jednat v zájmu ochrany práv a svobod subjektů údajů, může odchýlit od mechanismu jednotnosti uvedeného v článcích 63, 64 a 65 nebo od postupu uvedeného v článku 60 a okamžitě přijmout předběžná opatření s právními účinky na svém území a se stanovenou dobou platnosti, která nepřesáhne tři měsíce. Tento dozorový úřad neprodleně oznámí tato opatření a důvody pro jejich přijetí ostatním dotčeným dozorovým úřadům, sboru a Komisi.“

27

Článek 85 uvedeného nařízení, nadepsaný „Zpracování a svoboda projevu a informací“, stanoví:

„1.   Členské státy uvedou prostřednictvím právních předpisů právo na ochranu osobních údajů podle tohoto nařízení do souladu s právem na svobodu projevu a informací, včetně zpracování pro novinářské účely a pro účely akademického, uměleckého či literárního projevu.

2.   Pro zpracování pro novinářské účely nebo pro účely akademického, uměleckého či literárního projevu členské státy stanoví odchylky a výjimky z kapitoly II (zásady), kapitoly III (práva subjektu údajů), kapitoly IV (správce a zpracovatel), kapitoly V (předávání osobních údajů do třetí země nebo mezinárodní organizaci), kapitoly VI (nezávislé dozorové úřady), kapitoly VII (spolupráce a jednotnost) a kapitoly IX (zvláštní situace, při nichž dochází ke zpracování osobních údajů), pokud je to nutné k uvedení práva na ochranu osobních údajů do souladu se svobodou projevu a informací.

[…]“

28

Směrnice 95/46 je do francouzského práva provedena loi no 78-17, du 6 janvier 1978, relative à l’informatique, aux fichiers et aux libertés (zákon č. 78–17 ze dne 6. ledna 1978 o informačních technologiích, souborech a svobodách), ve znění použitelném na skutkový stav ve věci v původním řízení (dále jen „zákon ze dne 6. ledna 1978).

29

Článek 45 tohoto zákona upřesňuje, že v případě, že správce nedodrží povinnosti vyplývající z uvedeného zákona, může jej předseda CNIL vyzvat, aby zjištěné neplnění povinnosti napravil ve stanovené lhůtě. Nezjedná-li správce nápravu v souladu s výzvou, která je mu zaslána, může užší kolegium CNIL po kontradiktorním řízení rozhodnout zejména o uložení peněžité sankce.

30

Rozhodnutím ze dne 21. května 2015 předsedkyně CNIL vyzvala společnost Google, aby v rámci vyhovění žádosti fyzické osoby o odstranění odkazů na internetové stránky ze seznamu výsledků zobrazených po zadání jejího jména tyto odkazy odstranila ze všech domén svého vyhledávače.

31

Společnost Google této výzvě nevyhověla a odstranila dotčené odkazy z výsledků zobrazených na základě vyhledávání uskutečněných z domén odpovídajících svými koncovkami mutacím jejího vyhledávače v členských státech.

32

CNIL dále nepovažovala za dostatečné doplňkové opatření, tzv. geo-blocking (zeměpisné blokování), k němuž společnost Google přistoupila po vypršení lhůty uvedené ve výzvě a jež spočívalo v tom, že přístup ke sporným výsledkům zobrazujícím se po zadání jména subjektu údajů znemožnila pro IP (Internet Protocol) adresy považované za adresy nacházející se ve státě bydliště subjektu údajů, a to bez ohledu na to, jakou konkrétní mutaci vyhledávače uživatel internetu použil k vyhledávání.

33

CNIL shledala, že Google uvedené výzvě v určené lhůtě nevyhověla, a proto jí rozhodnutím ze dne 10. března 2016 uložila sankci ve výši 100000 eur, o níž informovala veřejnost.

34

Žalobou podanou ke Conseil d’État (Státní rada, Francie) se společnost Google domáhá zrušení tohoto rozhodnutí.

35

Conseil d’État (Státní rada) konstatuje, že zpracování osobních údajů vyhledávačem provozovaným společností Google spadá do působnosti zákona ze dne 6. ledna 1978 vzhledem k tomu, že její dceřiná společnost Google France ve Francii provádí reklamní činnost a prodává reklamní prostor.

36

Conseil d’État (Státní rada) dále uvádí, že vyhledávač provozovaný společností Google má různé mutace doménových jmen lišící se geografickými koncovkami, aby přizpůsobil zobrazené výsledky vyhledávání zejména jazykovým zvláštnostem jednotlivých zemí, v nichž působí. Je-li dotaz na vyhledávání zadán na „google.com“, Google v zásadě automaticky přesměrovává toto vyhledávání na doménu s koncovkou odpovídající státu, který je na základě identifikace IP adresy uživatele internetu považován za stát, z něhož byl požadavek na vyhledávání zadán. Uživatel internetu však může bez ohledu na svoji polohu provádět vyhledávání na ostatních doménách vyhledávače. Dále je nesporné, že i když se mohou výsledky vyhledávání lišit v závislosti na doméně, z níž byl dotaz do vyhledávače zadán, odkazy zobrazené ve výsledcích vyhledávání jsou generovány ze společné databáze a indexu

37

Conseil d’État (Státní rada) má za to, že vzhledem k tomu, že jsou z francouzského území dostupná všechna doménová jména vyhledávače společnosti Google a tato jednotlivá doménová jména jsou vzájemně prostupná, jak dokládá zejména výše zmíněné automatické přesměrovávání, a vzhledem k tomu, že jsou navíc soubory cookie přítomny v jiných mutacích vyhledávače než v té, v které byly původně uloženy, musí být na tento vyhledávač, který byl ostatně předmětem jediné stížnosti u CNIL, pohlíženo pro účely aplikace zákona ze dne 6. ledna 1978 tak, že provádí jediné zpracování osobních údajů. Z toho podle jejího názoru vyplývá, že ke zpracování osobních údajů vyhledávačem provozovaným společností Google dochází v jedné z jejích provozoven, a sice Google France, usazené na francouzském území, takže pro něj platí zákon ze dne 6. ledna 1978.

38

Google v řízení před Conseil d’État (Státní rada) tvrdí, že sporná sankce je důsledkem nesprávného výkladu ustanovení zákona ze dne 6. ledna 1978, která provádějí čl. 12 písm. b) a čl. 14 první pododstavec písm. a) směrnice 95/46, na jejichž základě Soudní dvůr v rozsudku ze dne 13. května 2014, Google Spain a Google (C‑131/12, EU:C:2014:317) uznal „právo na odstranění odkazů z výsledků vyhledávání“. Podle společnosti Google z tohoto práva nutně nevyplývá, že by sporné odkazy měly být odstraněny bez zeměpisného omezení ze všech domén jejího vyhledávače. CNIL navíc podle ní tím, že se rozhodla pro tento výklad, porušila zásady zdvořilosti a nevměšování se uznané mezinárodním právem veřejným a nepřiměřeně zasáhla do svobody projevu, informací, komunikace a tisku zaručených zejména článkem 11 Listiny základních práv Evropské unie.

39

Conseil d’État (Státní rada) dospěla k závěru, že v této argumentaci vyvstává několik problematických otázek v souvislosti s výkladem směrnice 95/46, a proto se rozhodla přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:

40

Věc v původním řízení má svůj původ ve sporu mezi společností Google a CNIL o to, jakým způsobem musí provozovatel vyhledávače, který konstatuje, že subjekt údajů má právo na to, aby byly jeden či více odkazů na internetové stránky, na nichž jsou uvedeny jeho osobní údaje, vymazány ze seznamu výsledků zobrazeného po zadání jména tohoto subjektu do vyhledávače, toto právo na odstranění odkazů realizovat. I když byla ke dni podání žádosti o rozhodnutí o předběžné otázce použitelná směrnice 95/46, tato směrnice byla zrušena s účinností od 25. května 2018, od kdy se použije nařízení 2016/679.

41

Soudní dvůr posoudí položené otázky jak z hlediska této směrnice, tak z hlediska tohoto nařízení, aby bylo zajištěno, že budou jeho odpovědi pro předkládající soud v každém případě užitečné.

42

V řízení před Soudním dvorem společnost Google uvedla, že po podání žádosti o rozhodnutí o předběžné otázce spustila novou verzi národních mutací svého vyhledávače, u nichž již zadání doménového jména uživatelem internetu nerozhoduje o tom, jaká národní mutace vyhledávače se mu pro vyhledávání zobrazí. Uživatel internetu je nyní automaticky přesměrován na národní mutaci vyhledávače společnosti Google příslušnou pro místo, o němž se má za to, že z něho zadal dotaz na vyhledávání, a výsledky vyhledávání se mu zobrazí v závislosti na tomto místě, které společnost Google zjišťuje za pomoci geolokalizace.

43

Za těchto podmínek je třeba položené otázky, kterými je třeba se zabývat společně, chápat tak, že jejich podstatou je, zda musí být čl. 12 písm. b) a čl. 14 první pododstavec písm. a) směrnice 95/46, jakož i čl. 17 odst. 1 nařízení 2016/679 vykládány v tom smyslu, že pokud provozovatel vyhledávače vyhoví žádosti o odstranění odkazů podle těchto ustanovení, je povinen odkazy odstranit ze všech mutací svého vyhledávače, anebo je naopak musí odstranit pouze z mutací vyhledávače pro všechny členské státy, resp. pouze pro členský stát, v němž byla žádost o odstranění odkazů podána, a to případně s využitím tzv. „geo-blokace“, aby se zajistilo, že uživateli internetu nebudou moci být odstraňované odkazy zpřístupněny nehledě na to, jakou národní mutaci vyhledávače použije při vyhledávání z IP adresy, o níž se má za to, že se nachází v členském státě bydliště osoby, které svědčí právo na odstranění odkazů, nebo šířeji v jakémkoli členském státě.

44

Nejprve je třeba připomenout, že Soudní dvůr rozhodl, že článek 12 písm. b) a čl. 14 první pododstavec písm. a) směrnice 95/46 musí být vykládány v tom smyslu, že za účelem respektování práv stanovených v uvedených ustanoveních, a pokud jsou v nich stanovené podmínky skutečně splněny, musí provozovatel vyhledávače vymazat ze zobrazeného seznamu výsledků vyhledávání provedeného na základě jména osoby odkazy na internetové stránky zveřejněné třetími osobami a obsahující informace týkající se této osoby rovněž v případě, že toto jméno nebo tyto informace nebyly předtím nebo současně vymazány z uvedených internetových stránek, a to případně i tehdy, jestliže je jejich zveřejnění na uvedených stránkách samo o sobě v souladu se zákonem (rozsudek ze dne 13. května 2014, Google Spain a Google, C‑131/12, EU:C:2014:317, bod 88).

45

Soudní dvůr dále upřesnil, že v rámci posouzení podmínek pro uplatnění týchž ustanovení je třeba zejména zkoumat, zda má subjekt údajů právo na to, aby daná informace týkající se jeho osoby za současného stavu již nebyla nadále spojena s jeho jménem prostřednictvím zobrazeného seznamu výsledků vyhledávání provedeného na základě jeho jména, aniž přitom konstatování existence takového práva předpokládá, že zahrnutí dotčené informace do uvedeného seznamu subjekt údajů poškozuje. Vzhledem k tomu, že posledně uvedený subjekt může s ohledem na svá základní práva podle článků 7 a 8 Listiny požadovat, aby dotčená informace již nebyla nadále poskytována široké veřejnosti na základě jejího zahrnutí do takového seznamu výsledků, převládají uvedená práva v zásadě nejen nad hospodářským zájmem provozovatele vyhledávače, ale rovněž nad zájmem veřejnosti nalézt uvedenou informaci při vyhledávání prováděném na základě jména subjektu údajů. Avšak nebylo by tomu tak v případě, že by se z konkrétních důvodů, jako je například úloha subjektu údajů ve veřejném životě, jevilo, že zásah do jeho základních práv je odůvodněný převažujícím zájmem uvedené veřejnosti mít na základě tohoto zahrnutí k dotčené informaci přístup (rozsudek ze dne 13. května 2014, Google Spain a Google, C‑131/12, EU:C:2014:317, bod 99).

46

V rámci nařízení 2016/679 unijní normotvůrce zakotvil v článku 17 tohoto nařízení ustanovení, které specificky upravuje „právo na výmaz“, které je v nadpisu tohoto článku rovněž nazváno jako „právo být zapomenut“.

47

Podle čl. 17 odst. 1 nařízení 2016/679 má subjekt údajů právo na to, aby správce bez zbytečného odkladu vymazal osobní údaje, které se daného subjektu údajů týkají, a správce má povinnost osobní údaje bez zbytečného odkladu vymazat, pokud je dán některý z důvodů uvedených v tomto ustanovení. Článek 17 odst. 3 tohoto nařízení upřesňuje, že se čl. 17 odst. 1 tohoto nařízení neuplatní, pokud je dotčené zpracování nezbytné z jednoho z důvodů uvedených v tomto odstavci. K těmto důvodům patří důvod uvedený v čl. 17 odst. 3 písm. a) uvedeného nařízení, a sice mimo jiné výkon práva na svobodu informací.

48

Z článku 4 odst. 1 písm. a) směrnice 95/46 a z čl. 3 odst. 1 nařízení 2016/679 vyplývá, že jak tato směrnice, tak toto nařízení umožňují subjektům údajů uplatnit své právo na odstranění odkazů u provozovatele vyhledávače, který má na území Unie jednu nebo více provozoven, v rámci jejichž činnosti zpracovává osobní údaje těchto subjektů, a to bez ohledu na to, zda k tomuto zpracování dochází v Unii, či nikoli.

49

V tomto ohledu Soudní dvůr rozhodl, že ke zpracování osobních údajů v rámci činností provozovny správce na území členského státu dochází, pokud provozovatel internetového vyhledávače zřídí v členském státě pobočku nebo dceřinou společnost zajišťující podporu prodeje a prodej reklamního prostoru nabízeného tímto vyhledávačem, která zaměřuje svou činnost na obyvatele tohoto členského státu (rozsudek ze dne 13. května 2014, Google Spain a Google, C‑131/12, EU:C:2014:317, bod 60).

50

Za takových okolností jsou totiž činnost provozovatele vyhledávače a činnost jeho provozovny nacházející se v Unii neoddělitelně spojeny, jelikož činnost týkající se reklamního prostoru představuje prostředek k dosažení hospodářské výnosnosti dotčeného vyhledávače a zároveň je tento vyhledávač prostředkem k provádění takovéto činnosti, neboť seznam výsledků vyhledávání se na stránce zobrazuje zároveň s reklamou spojenou s vyhledávanými pojmy (v tomto smyslu viz rozsudek ze dne 13. května 2014, Google Spain a Google, C‑131/12, EU:C:2014:317, body 56 a 57).

51

Za těchto podmínek nemůže to, že tento vyhledávač provozuje podnik ze třetího státu, vést k tomu, že pro zpracování osobních údajů pro potřeby fungování uvedeného vyhledávače v rámci reklamní a komerční činnosti provozovny správce odpovědného za toto zpracování na území členského státu nebudou platit podmínky a záruky stanovené směrnicí 95/46 a nařízením 2016/679 (v tomto smyslu viz rozsudek ze dne 13. května 2014, Google Spain a Google, C‑131/12, EU:C:2014:317, bod 58).

52

V tomto případě z informací poskytnutých v předkládacím rozhodnutí vyplývá, že provozovna společnosti Google na francouzském území vykonává činnosti, zejména komerční a reklamní, které jsou neoddělitelně spojeny se zpracováním osobních údajů pro potřeby fungování dotčeného vyhledávače, a že na tento vyhledávač musí být vzhledem ke vzájemné propustnosti národních mutací pohlíženo tak, že provádí jediné zpracování osobních údajů. Předkládající soud má za to, že za těchto podmínek ke zpracování dochází v provozovně společnosti Google nacházející se na francouzském území. Taková situace tedy podle všeho spadá do územní působnosti směrnice 95/46 a nařízení 2016/679.

53

Předkládající soud se svými otázkami snaží zjistit, jaký územní dosah má mít v podobné situaci odstranění odkazů.

54

V tomto ohledu z bodu 10 odůvodnění směrnice 95/46 a z bodů 10, 11 a 13 odůvodnění nařízení 2016/679, které bylo přijato na základě článku 16 SFEU, vyplývá, že cílem této směrnice a tohoto nařízení je zajistit vysokou úroveň ochrany osobních údajů v celé Unii.

55

Odstraněním odkazů ze všech mutací vyhledávače lze tento cíl jistě zcela naplnit.

56

Internet je totiž celosvětová síť bez hranic a informace a odkazy obsažené v seznamu výsledků zobrazených po zadání jména fyzické osoby jsou díky vyhledávačům všudypřítomné (v tomto smyslu viz rozsudky ze dne 13. května 2014, Google Spain a Google, C‑131/12, EU:C:2014:317, bod 80, jakož i ze dne 17. října 2017, Bolagsupplysningen a Ilsjan, C‑194/16, EU:C:2017:766, bod 48).

57

To, že mají uživatelé internetu, a zejména uživatelé mimo Unii, v globalizovaném světě přístup k odkazům na informace o osobě, jejíž středisko zájmů se nachází v Unii, může mít na takovou osobu přímý a podstatný dopad v samotné Unii.

58

Takové skutečnosti ospravedlňují pravomoc unijního normotvůrce uložit provozovateli vyhledávače v případě, že vyhoví žádosti takové osoby o odstranění odkazů, povinnost odstranit odkazy ze všech mutací svého vyhledávače.

59

Zároveň je však třeba zdůraznit, že mnohé třetí státy právo na odstranění odkazů neznají nebo k němu přistupují jinak.

60

Právo na ochranu osobních údajů ostatně není absolutním právem, nýbrž musí být posuzováno v souvislosti se svou funkcí ve společnosti a v souladu se zásadou proporcionality vyváženo s ostatními základními právy [v tomto smyslu viz rozsudek ze dne 9. listopadu 2010, Volker und Markus Schecke a Eifert, C‑92/09 a C‑93/09, EU:C:2010:662, bod 48, jakož i posudek 1/15 (Dohoda mezi EU a Kanadou předávání a zpracovávání údajů jmenné evidence cestujících), ze dne 26. července 2017, EU:C:2017:592, bod 136]. K tomu se připojuje skutečnost, že rovnováha mezi právem na respektování soukromého života a na ochranu osobních údajů na straně jedné a svobodou informací pro uživatele internetu na straně druhé se může po celém světě významně lišit.

61

Ačkoli unijní normotvůrce v rámci čl. 17 odst. 3 písm. a) nařízení 2016/679 poměřuje toto právo a tuto svobodu, pokud jde o Unii [v tomto smyslu viz rozsudek z dnešního dne, GC a další (Výmaz citlivých údajů), C‑136/17, bod 59], je třeba konstatovat, že za současného stavu věcí takové poměřování neprovádí, pokud jde o dosah výmazu mimo Unii.

62

Ze znění čl. 12 písm. b) a čl. 14 prvního pododstavce písm. a) směrnice 95/46 nebo čl. 17 nařízení 2016/679 konkrétně nevyplývá, že by se unijní normotvůrce za účelem zajištění, že bude dosaženo cíle popsaného v bodě 54 tohoto rozsudku, rozhodl dát právům zakotveným v těchto ustanoveních účinky přesahující území členských států a že měl v úmyslu uložit takovému hospodářskému subjektu, který jako společnost Google spadá do působnosti této směrnice nebo tohoto nařízení, povinnost odstranit odkazy i v národních mutacích jejího vyhledávače nad rámec členských států.

63

Zatímco nařízení 2016/679 v článcích 56 a 60 až 66 dává dozorovým úřadům členských států do rukou nástroje a mechanismy, které jim případně umožňují spolupracovat za účelem přijetí společného rozhodnutí vyvažujícího právo subjektu údajů na respektování jeho soukromého života a ochranu jeho osobních údajů a zájem veřejnosti z jednotlivých členských států na přístupu k informacím, je třeba konstatovat, že unijní právo v současnosti takové nástroje a mechanismy spolupráce nestanoví pro účely odstraňování odkazů mimo Unii.

64

Z toho vyplývá, že za současného stavu unijní právo neukládá provozovateli vyhledávače, který vyhoví žádosti subjektu údajů o odstranění odkazů, a případně v návaznosti na vydání příkazu dozorovým úřadem či soudem členského státu, povinnost odstranit odkazy ze všech mutací svého vyhledávače.

65

Vzhledem k výše uvedenému nemůže mít provozovatel vyhledávače na základě čl. 12 písm. b) a čl. 14 prvního pododstavce písm. a) směrnice 95/46, jakož i čl. 17 odst. 1 nařízení 2016/679 povinnost odstranit odkazy ze všech mutací svého vyhledávače.

66

Pokud jde o otázku, zda musí být odkazy odstraněny z mutací vyhledávače pro všechny členské státy, anebo pouze z mutace členského státu bydliště žadatele o výmaz, unijní normotvůrce se rozhodl zakotvit úpravu ochrany údajů do nařízení, které je přímo použitelné ve všech členských státech, s cílem zajistit – jak zdůrazňuje bod 10 odůvodnění nařízení 2016/679 – soudržnou a vysokou úroveň ochrany v celé Unii a odstranit v ní překážky bránící pohybu osobních údajů, takže k odstranění odkazů by v zásadě mělo dojít pro všechny členské státy.

67

Je však třeba konstatovat, že zájem veřejnosti na přístupu k informacím se může lišit i v jednotlivých členských státech, takže poměřování tohoto významu s právem subjektu údajů na respektování soukromého života a na ochranu osobních údajů nepovede nutně ke stejnému výsledku pro všechny členské státy, a to tím spíše, že podle článku 9 směrnice 95/46 a článku 85 nařízení č. 2016/679 je věcí členských států, aby konkrétně pro účely zpracování osobních údajů prováděného výlučně pro účely žurnalistiky nebo uměleckého či literárního projevu, stanovily odchylky a výjimky, aby tato práva uvedly do souladu se svobodou projevu.

68

Z článků 56 a 60 nařízení 2016/679 konkrétně vyplývá, že při přeshraničním zpracování ve smyslu článku 4 bodu 23 tohoto nařízení a s výhradou tohoto čl. 56 odst. 2 musí jednotlivé dotčené dozorové úřady spolupracovat v souladu s postupy stanovenými těmito ustanoveními, aby dosáhly konsensu a přijaly jednotné rozhodnutí zavazující všechny tyto úřady, přičemž správce musí zajistit, aby bylo dodrženo, pokud jde o činnosti zpracování v souvislosti se všemi jeho provozovnami v Unii. Článek 61 odst. 1 nařízení 2016/679 dále ukládá dozorovým úřadům povinnost předat si užitečné informace a poskytovat si navzájem pomoc, aby bylo toto nařízení uplatňováno koherentním způsobem v celé Unii, a článek 63 uvedeného nařízení stanoví, že za tímto účelem je v tomto nařízení v článcích 64 a 65 stanoven mechanismus jednotnosti. Postup pro naléhavé případy podle článku 66 nařízení 2016/679 konečně za výjimečných okolností umožňuje, má-li dotčený dozorový úřad za to, že je třeba naléhavě jednat v zájmu ochrany práv a svobod subjektů údajů, okamžitě přijmout předběžná opatření s právními účinky na svém území a se stanovenou dobou platnosti, která nepřesáhne tři měsíce.

69

Tento právní rámec tedy dává vnitrostátním dozorovým úřadům do rukou nástroje a mechanismy potřebné k nalezení rovnováhy mezi právem subjektu údajů na respektování soukromého života a na ochranu osobních údajů a zájmem veřejnosti ze všech členských států mít přístup k dotčeným informacím a případně k tomu, aby mohly přijmout rozhodnutí o odstranění odkazů, které bude platit pro jakékoli vyhledávání jména tohoto subjektu na území Unie.

70

Provozovatel vyhledávače má dále v případě potřeby povinnost přijmout dostatečně účinná opatření k zajištění účinné ochrany základních práv subjektu údajů. Tato opatření musí sama o sobě splňovat všechny zákonné požadavky a zabránit uživatelům internetu v členských státech v tom, aby měli přístup k dotčeným odkazům na základě zadání jména subjektu údajů do vyhledávače, nebo jim to alespoň velmi ztížit (obdobně viz rozsudky ze dne 27. března 2014, UPC Telekabel Wien, C‑314/12, EU:C:2014:192, bod 62, a ze dne 15. září 2016, Mc Fadden, C‑484/14, EU:C:2016:689, bod 96).

71

Předkládajícímu soudu přísluší ověřit, zda vzhledem k nedávným změnám ve vyhledávači popsaným v bodě 42 tohoto rozsudku, společnost Google přijala či navrhla opatření, která tyto požadavky splňují.

72

Konečně je třeba zdůraznit, jak bylo uvedeno v bodě 64 tohoto rozsudku, že unijní právo sice za současného stavu neukládá povinnost, aby v rámci vyhovění žádosti byly odkazy odstraněny ze všech mutací dotčeného vyhledávače, ale ani to nezakazuje. Dozorový úřad či soud členského státu proto má pravomoc poměřit právo subjektu údajů na respektování soukromého života a na ochranu jeho osobních údajů na straně jedné s právem na informace na straně druhé z pohledu vnitrostátního standardu pro ochranu základních práv (v tomto smyslu viz rozsudky ze dne 26. února 2013, Åkerberg Fransson, C‑617/10, EU:C:2013:105, bod 29, a ze dne 26. února 2013, Melloni, C‑399/11, EU:C:2013:107, bod 60), a v návaznosti na to případně provozovateli tohoto vyhledávače uložit povinnost, aby odkazy odstranil ze všech mutací uvedeného vyhledávače.

73

Vzhledem k výše uvedenému je třeba na položené otázky odpovědět tak, že čl. 12 písm. b) a čl. 14 první pododstavec písm. a) směrnice 95/46, jakož i čl. 17 odst. 1 nařízení 2016/679 musí být vykládány v tom smyslu, že pokud provozovatel vyhledávače vyhoví žádosti o odstranění odkazů podle těchto ustanovení, není povinen odkazy odstranit ze všech mutací svého vyhledávače, nýbrž pouze z mutací vyhledávače pro všechny členské státy, a v případě potřeby přijmout zároveň opatření, kterými účinným způsobem zabrání uživatelům internetu vyhledávajícím jméno subjektu údajů v jednom z členských států, aby měli prostřednictvím seznamu výsledků vyhledávání přístup k odkazům, jež byly předmětem této žádosti o výmaz, nebo jim toto alespoň velmi ztíží.

74

Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.

Z těchto důvodů Soudní dvůr (velký senát) rozhodl takto:

Článek 12 písm. b) a čl. 14 první pododstavec písm. a) směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů, jakož i čl. 17 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) musí být vykládány v tom smyslu, že pokud provozovatel vyhledávače vyhoví žádosti o odstranění odkazů podle těchto ustanovení, není povinen odkazy odstranit ze všech mutací svého vyhledávače, nýbrž pouze z mutací vyhledávače pro všechny členské státy, a v případě potřeby přijmout zároveň opatření, kterými účinným způsobem zabrání uživatelům internetu vyhledávajícím jméno subjektu údajů v jednom z členských států, aby měli prostřednictvím seznamu výsledků vyhledávání přístup k odkazům, jež byly předmětem této žádosti o výmaz, nebo jim toto alespoň velmi ztíží.