EUR-Lex Baza aktów prawnych Unii Europejskiej
Ten dokument pochodzi ze strony internetowej EUR-Lex
Dokument 62017CJ0136
Judgment of the Court (Grand Chamber) of 24 September 2019.#GC and Others v Commission nationale de l'informatique et des libertés (CNIL).#Request for a preliminary ruling from the Conseil d'État.#Reference for a preliminary ruling — Personal data — Protection of individuals with regard to the processing of personal data contained on websites — Directive 95/46/EC — Regulation (EU) 2016/679 — Search engines on the internet — Processing of data appearing on websites — Special categories of data referred to in Article 8 of Directive 95/46 and Articles 9 and 10 of Regulation 2016/679 — Applicability of those articles to operators of a search engine — Extent of that operator’s obligations with respect to those articles — Publication of data on websites solely for journalistic purposes or the purpose of artistic or literary expression — Effect on the handling of a request for de-referencing — Articles 7, 8 and 11 of the Charter of Fundamental Rights of the European Union.#Case C-136/17.
Wyrok Trybunału (wielka izba) z dnia 24 września 2019 r.
GC i in. przeciwko Commission nationale de l’informatique et des libertés (CNIL).
Wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Conseil d’État (France).
Odesłanie prejudycjalne – Dane osobowe – Ochrona osób fizycznych w zakresie przetwarzania tych danych znajdujących się na stronach internetowych – Dyrektywa 95/46/WE – Rozporządzenie (UE) 2016/679 – Wyszukiwarki internetowe – Przetwarzanie danych zamieszczonych na stronach internetowych – Szczególne kategorie danych określone w art. 8 tej dyrektywy oraz art. 9 i 10 tego rozporządzenia – Stosowanie tych przepisów do operatora wyszukiwarki – Zakres obowiązków tego operatora w świetle powyższych przepisów – Publikacja danych na stronach internetowych wyłącznie w celach dziennikarskich lub w celu uzyskania wyrazu artystycznego lub literackiego – Wpływ na rozpatrzenie żądania usunięcia linków – Artykuły 7, 8 i 11 Karty praw podstawowych Unii Europejskiej.
Sprawa C-136/17.
Wyrok Trybunału (wielka izba) z dnia 24 września 2019 r.
GC i in. przeciwko Commission nationale de l’informatique et des libertés (CNIL).
Wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Conseil d’État (France).
Odesłanie prejudycjalne – Dane osobowe – Ochrona osób fizycznych w zakresie przetwarzania tych danych znajdujących się na stronach internetowych – Dyrektywa 95/46/WE – Rozporządzenie (UE) 2016/679 – Wyszukiwarki internetowe – Przetwarzanie danych zamieszczonych na stronach internetowych – Szczególne kategorie danych określone w art. 8 tej dyrektywy oraz art. 9 i 10 tego rozporządzenia – Stosowanie tych przepisów do operatora wyszukiwarki – Zakres obowiązków tego operatora w świetle powyższych przepisów – Publikacja danych na stronach internetowych wyłącznie w celach dziennikarskich lub w celu uzyskania wyrazu artystycznego lub literackiego – Wpływ na rozpatrzenie żądania usunięcia linków – Artykuły 7, 8 i 11 Karty praw podstawowych Unii Europejskiej.
Sprawa C-136/17.
Zbiór orzeczeń – ogólne – sekcja „Informacje o orzeczeniach niepublikowanych”
Identyfikator ECLI: ECLI:EU:C:2019:773
z dnia 24 września 2019 r. ( *1 )
Odesłanie prejudycjalne – Dane osobowe – Ochrona osób fizycznych w zakresie przetwarzania tych danych znajdujących się na stronach internetowych – Dyrektywa 95/46/WE – Rozporządzenie (UE) 2016/679 – Wyszukiwarki internetowe – Przetwarzanie danych zamieszczonych na stronach internetowych – Szczególne kategorie danych określone w art. 8 tej dyrektywy oraz art. 9 i 10 tego rozporządzenia – Stosowanie tych przepisów do operatora wyszukiwarki – Zakres obowiązków tego operatora w świetle powyższych przepisów – Publikacja danych na stronach internetowych wyłącznie w celach dziennikarskich lub w celu uzyskania wyrazu artystycznego lub literackiego – Wpływ na rozpatrzenie żądania usunięcia linków – Artykuły 7, 8 i 11 Karty praw podstawowych Unii Europejskiej
W sprawie C‑136/17
mającej za przedmiot wniosek o wydanie, na podstawie art. 267 TFUE, orzeczenia w trybie prejudycjalnym, złożony przez Conseil d’État (radę stanu, Francja) postanowieniem z dnia 24 lutego 2017 r., które wpłynęło do Trybunału w dniu 15 marca 2017 r., w postępowaniu:
GC,
AF,
BH,
ED
przeciwko
Commission nationale de l’informatique et des libertés (CNIL),
przy udziale:
Premier ministre,
Google LLC, następcy prawnego Google Inc.,
TRYBUNAŁ (wielka izba),
w składzie: K. Lenaerts, prezes, A. Arabadjiev, A. Prechal, T. von Danwitz, C. Toader i F. Biltgen, prezesi izb, M. Ilešič (sprawozdawca), L. Bay Larsen, M. Safjan, D. Šváby, C.G. Fernlund, C. Vajda i S. Rodin, sędziowie,
rzecznik generalny: M. Szpunar,
sekretarz: V. Giacobbo-Peyronnel, administratorka,
uwzględniając pisemny etap postępowania i po przeprowadzeniu rozprawy w dniu 11 września 2018 r.,
rozważywszy uwagi przedstawione:
– |
przez AF osobiście, |
– |
w imieniu BH przez L. Borégo, avocat, |
– |
w imieniu Commission nationale de l’informatique et des libertés (CNIL) przez I. Falque-Pierrotin, J. Lessiego oraz G. Le Granda, działających w charakterze pełnomocników, |
– |
w imieniu Google LLC przez P. Spinosiego, Y. Pelosiego i W. Maxwella, avocats, |
– |
w imieniu rządu francuskiego przez D. Colasa i R. Coesme’a, E. de Moustier oraz S. Ghiandoni, działających w charakterze pełnomocników, |
– |
w imieniu Irlandii przez M. Browne, G. Hodge, J. Quaney oraz A. Joyce’a, działających w charakterze pełnomocników, wspieranych przez M. Gray, BL, |
– |
w imieniu rządu greckiego przez E.M. Mamounę, G. Papadaki, E. Zisi oraz S. Papaioannou, działające w charakterze pełnomocników, |
– |
w imieniu rządu włoskiego przez G. Palmieri, działającą w charakterze pełnomocnika, wspieraną przez F. De Lucę i P. Gentilego, avvocati dello Stato, |
– |
w imieniu rządu austriackiego przez G. Eberharda oraz G. Kunnerta, działających w charakterze pełnomocników, |
– |
w imieniu rządu polskiego przez B. Majczynę, M. Pawlicką oraz J. Sawicką, działających w charakterze pełnomocników, |
– |
w imieniu rządu Zjednoczonego Królestwa przez S. Brandona, działającego w charakterze pełnomocnika, wspieranego przez C. Knighta, barrister, |
– |
w imieniu Komisji Europejskiej przez A. Bucheta, H. Kranenborga oraz D. Nardiego, działających w charakterze pełnomocników, |
po zapoznaniu się z opinią rzecznika generalnego na posiedzeniu w dniu 10 stycznia 2019 r.,
wydaje następujący
Wyrok
1 |
Niniejszy wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wykładni dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. 1995, L 281, s. 31 – wyd. spec. w jęz. polskim, rozdz. 13, t. 15, s. 355). |
2 |
Wniosek ten został złożony w ramach sporu między GC, AF, BH i ED a Commission nationale de l’informatique et des libertés (krajową komisją ds. informatyki i swobód, CNIL, Francja) dotyczącego czterech decyzji, w których ta komisja odmówiła wezwania spółki Google Inc., obecnie Google LLC, do usunięcia z wyświetlanych wyników wyszukiwania mającego za punkt wyjścia ich imiona i nazwiska różnego rodzaju linków kierujących do prowadzonych przez osoby trzecie stron internetowych. |
Ramy prawne
Prawo Unii
Dyrektywa 95/46
3 |
Dyrektywa 95/46 ma na celu – jak stanowi jej art. 1 ust. 1 – ochronę podstawowych praw i wolności osób fizycznych, w szczególności ich prawa do prywatności w odniesieniu do przetwarzania danych osobowych, jak również zniesienie przeszkód w swobodnym przepływie tych danych. |
4 |
Motywy 33 i 34 dyrektywy 95/46 stanowią:
|
5 |
Artykuł 2 tej dyrektywy stanowi: „Do celów niniejszej dyrektywy:
[…]
[…]
|
6 |
Artykuł 6 tej samej dyrektywy, zawarty w sekcji I rozdziału II tej dyrektywy, zatytułowanej „Zasady dotyczące jakości danych”, ma następujące brzmienie: „1. Państwa członkowskie zapewniają, aby dane osobowe były:
2. Na administratorze danych spoczywa obowiązek zapewnienia przestrzegania przepisów ust. 1”. |
7 |
Artykuł 7 dyrektywy 95/46, zawarty w sekcji II jej rozdziału II, zatytułowanej „Kryteria legalności przetwarzania danych”, stanowi: „Państwa członkowskie zapewniają, że dane osobowe mogą być przetwarzane tylko wówczas, gdy: […]
|
8 |
W sekcji III rozdziału II wspomnianej dyrektywy, zatytułowanej „Szczególne kategorie przetwarzania danych”, znajdują się art. 8 i 9. Artykuł 8, zatytułowany „Przetwarzanie szczególnych kategorii danych”, przewiduje: „1. Państwa członkowskie zabraniają przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, opinie polityczne, przekonania religijne lub filozoficzne, przynależność do związków zawodowych, jak również przetwarzanie danych dotyczących zdrowia i życia seksualnego. 2. Ustęp 1 nie ma zastosowania, w przypadku gdy:
[…]
[…] 4. Pod warunkiem ustanowienia odpowiednich środków zabezpieczających państwa członkowskie mogą, ze względu na istotny interes publiczny, ustalić dodatkowe wyłączenia, poza tymi, które zostały przewidziane w ust. 2, na mocy ustawy krajowej lub decyzji organu nadzorczego. 5. Przetwarzanie danych dotyczących przestępstw, wyroków skazujących lub środków bezpieczeństwa może być dokonywane jedynie pod kontrolą władz publicznych lub też, jeżeli zgodnie z prawem krajowym ustanowiono określone środki zabezpieczające, z zachowaniem odstępstw, któr[ych] państwo członkowskie może udzielić zgodnie z obowiązującymi przepisami prawa krajowego, zapewniając zachowanie odpowiednich zabezpieczeń. Jednak kompletny rejestr przestępstw kryminalnych może być prowadzony tylko pod kontrolą władzy publicznej. Państwa członkowskie mogą ustanowić przepisy zobowiązujące oficjalny organ do sprawowania kontroli nad przetwarzaniem danych dotyczących sankcji administracyjnych lub orzeczeń w sprawach cywilnych. […]”. |
9 |
Artykuł 9 dyrektywy 95/46, zatytułowany „Przetwarzanie danych osobowych i wolność wypowiedzi”, stanowi: „Państwa członkowskie wprowadzają możliwość wyłączenia lub odstąpienia od przepisów niniejszego rozdziału, rozdziału IV i VI w przypadku przetwarzania danych osobowych wyłącznie w celach dziennikarskich lub w celu uzyskania wyrazu artystycznego lub literackiego jedynie wówczas, gdy jest to konieczne dla pogodzenia prawa do zachowania prywatności z przepisami dotyczącymi wolności wypowiedzi”. |
10 |
Artykuł 12 tej dyrektywy, zatytułowany „Prawo dostępu do danych”, przewiduje: „Państwa członkowskie zapewniają każdej osobie, której dane dotyczą, prawo do uzyskania od administratora danych: […]
[…]”. |
11 |
Artykuł 14 wspomnianej dyrektywy, zatytułowany „Prawo sprzeciwu przysługujące osobie, której dane dotyczą”, stanowi: „Państwa członkowskie przyznają osobie, której dane dotyczą, prawo:
[…]”. |
12 |
Artykuł 28 tej samej dyrektywy, zatytułowany „Organ nadzorczy”, ma następujące brzmienie: „1. Każde państwo członkowskie zapewni, że jeden lub więcej organów władzy publicznej będzie odpowiedzialnych za kontrolę stosowania na jego terytorium przepisów przyjętych przez państwa członkowskie na mocy niniejszej dyrektywy. […] 3. Każdy organ jest w szczególności wyposażony w:
[…] Od decyzji organu nadzorczego, co do które[j] zgłaszane są zastrzeżenia, przysługuje odwołanie do właściwego sądu. 4. Każdy organ nadzorczy rozpatruje skargi zgłaszane przez dowolną osobę lub przez stowarzyszenie ją reprezentujące odnośnie do ochrony jej praw i wolności w zakresie przetwarzania danych osobowych. Zainteresowana osoba zostanie poinformowana o wyniku sprawy. […] 6. Każdy organ nadzorczy jest właściwy, niezależnie od krajowych przepisów dotyczących danego przypadku przetwarzania danych, do wykonywania [na] terytorium państwa członkowskiego uprawnień powierzonych mu zgodnie z ust. 3. Do każdego organu można się zwrócić z żądaniem wykonania jego uprawnień przez odpowiedni organ innego państwa członkowskiego. Organy nadzorcze współpracują ze sobą w zakresie koniecznym do wykonywania swoich obowiązków, zwłaszcza poprzez wymianę wszelkich przydatnych informacji. […]”. |
Rozporządzenie (UE) 2016/679
13 |
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. 2016, L 119, s. 1; sprostowanie Dz.U. 2018, L 127, s. 2) ma zastosowanie – jak stanowi jego art. 99 ust. 2 – od dnia 25 maja 2018 r. Artykuł 94 ust. 1 tego rozporządzenia stanowi, że dyrektywa 95/46 zostaje uchylona ze skutkiem od tej samej daty. |
14 |
Motywy 1, 4, 51, 52 i 65 wspomnianego rozporządzenia stanowią:
[…]
[…]
[…]
|
15 |
Artykuł 4 pkt 11 rozporządzenia 2016/679 definiuje pojęcie „zgody” osoby, której dane dotyczą, jako „dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych”. |
16 |
Artykuł 5 tego rozporządzenia, zatytułowany „Zasady dotyczące przetwarzania danych osobowych”, stanowi w ust. 1 lit. c)–e), że: „Dane osobowe muszą być: […]
|
17 |
Artykuł 9 wspomnianego rozporządzenia, zatytułowany „Przetwarzanie szczególnych kategorii danych osobowych”, stanowi: „1. Zabrania się przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby. 2. Ustęp 1 nie ma zastosowania, jeżeli spełniony jest jeden z poniższych warunków:
[…]
[…]
[…]”. |
18 |
Artykuł 10 tego samego rozporządzenia, zatytułowany „Przetwarzanie danych osobowych dotyczących wyroków skazujących i czynów zabronionych”, stanowi: „Przetwarzania danych osobowych dotyczących wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa na podstawie art. 6 ust. 1 wolno dokonywać wyłącznie pod nadzorem władz publicznych lub jeżeli przetwarzanie jest dozwolone prawem Unii lub prawem państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw i wolności osób, których dane dotyczą. Wszelkie kompletne rejestry wyroków skazujących są prowadzone wyłącznie pod nadzorem władz publicznych”. |
19 |
Artykuł 17 rozporządzenia 2016/679, zatytułowany „Prawo do usunięcia danych (»prawo do bycia zapomnianym«)”, brzmi następująco: „1. Osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, jeżeli zachodzi jedna z następujących okoliczności:
2. Jeżeli administrator upublicznił dane osobowe, a na mocy ust. 1 ma obowiązek usunąć te dane osobowe, to – biorąc pod uwagę dostępną technologię i koszt realizacji – podejmuje rozsądne działania, w tym środki techniczne, by poinformować administratorów przetwarzających te dane osobowe, że osoba, której dane dotyczą, żąda, by administratorzy ci usunęli wszelkie łącza [linki] do tych danych, kopie tych danych osobowych lub ich replikacje [powielenia]. 3. Ustęp 1 i 2 nie mają zastosowania, w zakresie w jakim przetwarzanie jest niezbędne:
[…]”. |
20 |
Artykuł 21 tego rozporządzenia, zatytułowany „Prawo do sprzeciwu”, stanowi w ust. 1: „Osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw – z przyczyn związanych z jej szczególną sytuacją – wobec przetwarzania dotyczących jej danych osobowych opartego na art. 6 ust. 1 lit. e) lub f), w tym profilowania na podstawie tych przepisów. Administratorowi nie wolno już przetwarzać tych danych osobowych, chyba że wykaże on istnienie ważnych prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń”. |
21 |
Artykuł 85 wspomnianego rozporządzenia, zatytułowany „Przetwarzanie a wolność wypowiedzi i informacji”, stanowi: „1. Państwa członkowskie przyjmują przepisy pozwalające pogodzić prawo do ochrony danych osobowych na mocy niniejszego rozporządzenia z wolnością wypowiedzi i informacji, w tym do przetwarzania dla potrzeb dziennikarskich oraz do celów wypowiedzi akademickiej, artystycznej lub literackiej. 2. Dla przetwarzania do celów dziennikarskich lub do celów wypowiedzi akademickiej, artystycznej lub literackiej państwa członkowskie określają odstępstwa lub wyjątki od rozdziału II (Zasady), rozdziału III (Prawa osoby, której dane dotyczą), rozdziału IV (Administrator i podmiot przetwarzający), rozdziału V (Przekazywanie danych osobowych do państw trzecich lub organizacji międzynarodowych), rozdziału VI (Niezależne organy nadzorcze), rozdziału VII (Współpraca i spójność) oraz rozdziału IX (Szczególne sytuacje związane z przetwarzaniem danych), jeżeli są one niezbędne, by pogodzić prawo do ochrony danych osobowych z wolnością wypowiedzi i informacji. […]”. |
Prawo francuskie
22 |
Dyrektywa 95/46 została wdrożona do prawa francuskiego przez loi no 78‑17, du 6 janvier 1978, relative à l’informatique, aux fichiers et aux libertés (ustawę nr 78‑17 z dnia 6 stycznia 1978 r. dotyczącą informatyki, danych i wolności) w wersji mającej zastosowanie do okoliczności faktycznych analizowanych w postępowaniu głównym. |
23 |
W art. 11 tej ustawy wyjaśniono, że w ramach swoich zadań CNIL czuwa nad tym, aby przetwarzanie danych osobowych odbywało się zgodnie z przepisami tej ustawy, oraz że w tym celu rozpatruje reklamacje, wnioski i skargi dotyczące operacji przetwarzania danych osobowych oraz informuje ich autorów o nadanym im biegu. |
Postępowania główne i pytania prejudycjalne
24 |
GC, AF, BH i ED zwrócili się do spółki Google o usunięcie z wyników wyszukiwania mającego za punkt wyjścia ich imiona i nazwiska, wyświetlanych w wyszukiwarce, której Google jest operatorem, różnego rodzaju linków kierujących do prowadzonych przez osoby trzecie stron internetowych; spółka ta jednak nie uwzględniła tych żądań. |
25 |
Konkretnie rzecz biorąc, GC zażądała usunięcia linku, który odsyła do zamieszczonego w dniu 18 lutego 2011 r. pod pseudonimem na YouTubie satyrycznego fotomontażu, przedstawiającego GC u boku burmistrza gminy, w którego biurze była ona kierownikiem, i wyraźnie odwołującego się do łączącej ich intymnej relacji oraz wpływu tej relacji na jej własną karierę polityczną. Fotomontaż ten został zamieszczony w internecie przy okazji kampanii wyborczej w ramach wyborów kantonalnych, w których GC wówczas kandydowała. W dniu, w którym odmówiono uwzględnienia jej żądania usunięcia linku, zainteresowana ani nie była wybrana, ani nie kandydowała w wyborach lokalnych, nie pełniła też już funkcji kierownika biura burmistrza gminy. |
26 |
AF zażądał usunięcia linków, które odsyłają do artykułu w dzienniku Libération z dnia 9 września 2008 r., zamieszczonego na stronie internetowej Centre contre les manipulations mentales (centrum zwalczania manipulacji mentalnej, CCMM, Francja), dotyczącego samobójstwa popełnionego przez wyznawcę kościoła scjentologicznego w grudniu 2006 r. AF wymieniono w tym artykule jako osobę odpowiedzialną za tworzenie i utrzymywanie wizerunku kościoła scjentologicznego, której to funkcji osoba ta już wówczas nie wykonywała. Ponadto autor wspomnianego artykułu stwierdza, że skontaktował się z AF w celu uzyskania jego wersji wydarzeń, i relacjonuje zebrane przy tej okazji wypowiedzi. |
27 |
BH zażądał usunięcia linków prowadzących do artykułów, głównie prasowych, dotyczących wszczętego w czerwcu 1995 r. dochodzenia w sprawie finansowania partii republikańskiej (PR), w ramach którego, wraz z kilkoma innymi biznesmenami i politykami, został postawiony w stan oskarżenia. Wszczęte przeciwko niemu postępowanie zostało umorzone w drodze postanowienia z dnia 26 lutego 2010 r. Większość spornych linków prowadzi do artykułów opublikowanych wtedy, gdy wszczęto śledztwo, i które, co za tym idzie, nie relacjonują wyniku postępowania. |
28 |
ED zażądał usunięcia linków prowadzących do dwóch opublikowanych w Nice-Matin i Le Figaro artykułów relacjonujących rozprawę w sprawie karnej, na której został on skazany na karę siedmiu lat pozbawienia wolności oraz dodatkową karę dziesięciu lat dozoru kuratora za napaści na tle seksualnym na osoby małoletnie w wieku 15 lat. Jedna z tych kronik sądowych przytacza poza tym wiele intymnych szczegółów dotyczących ED, które zostały ujawnione w toku procesu. |
29 |
Po tym jak spółka Google odmówiła uwzględnienia ich żądań usunięcia linków, skarżący w postępowaniu głównym zwrócili się do CNIL ze skargami zmierzającymi do nakazania tej spółce usunięcia rozpatrywanych linków. Pismami odpowiednio z dni 24 kwietnia 2015 r., 28 sierpnia 2015 r., 21 marca 2016 r. i 9 maja 2016 r. przewodnicząca CNIL poinformowała skarżących o umorzeniu postępowań w sprawie ich skarg. |
30 |
Skarżący w postępowaniach głównych wnieśli zatem skargi do Conseil d’État (rady stanu, Francja) przeciwko wydanym przez CNIL decyzjom odmawiającym wezwania spółki Google do żądanego usunięcia linków. Skargi te zostały połączone przez sąd odsyłający. |
31 |
Po stwierdzeniu, że wspomniane skargi powodują szereg poważnych trudności w związku z wykładnią dyrektywy 95/46, Conseil d’État (rada stanu) postanowiła zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:
|
W przedmiocie pytań prejudycjalnych
32 |
Zadane pytania dotyczą wykładni dyrektywy 95/46, która obowiązywała w chwili złożenia wniosku o wydanie orzeczenia w trybie prejudycjalnym. Dyrektywa ta została uchylona ze skutkiem od dnia 25 maja 2018 r., przy czym od tego samego dnia stosuje się rozporządzenie 2016/679. |
33 |
Trybunał zbada zadane pytania pod kątem dyrektywy 95/46, uwzględniając jednak w analizie tych pytań również rozporządzenie 2016/679, aby zagwarantować, że jego odpowiedzi będą w każdym razie przydatne dla sądu odsyłającego. |
W przedmiocie pytania pierwszego
34 |
Zadając pytanie pierwsze, sąd odsyłający dąży zasadniczo do ustalenia, czy przepisy art. 8 ust. 1 i 5 dyrektywy 95/46 należy interpretować w ten sposób, że zakaz lub ograniczenia przetwarzania szczególnych kategorii danych osobowych, o których mowa w tych przepisach, mają zastosowanie, z zastrzeżeniem wyjątków przewidzianych w tej dyrektywie, również do operatora wyszukiwarki w ramach jego zobowiązań, kompetencji i możliwości jako administratora danych dokonującego przetwarzania na potrzeby funkcjonowania tej wyszukiwarki. |
35 |
W tym względzie należy przypomnieć, po pierwsze, że działanie wyszukiwarek internetowych, które polega na lokalizowaniu informacji opublikowanych lub zamieszczonych w internecie przez osoby trzecie, indeksowaniu ich w sposób automatyczny, czasowym przechowywaniu takich informacji i, wreszcie, udostępnianiu ich internautom w sposób uporządkowany zgodnie z określonymi preferencjami, w sytuacji gdy informacje takie zawierają dane osobowe, należy uznać za „przetwarzanie danych osobowych” w rozumieniu art. 2 lit. b) dyrektywy 95/46 oraz, po drugie, że operatora tej wyszukiwarki internetowej należy uznać za „administratora” odpowiedzialnego za to przetwarzanie danych w rozumieniu art. 2 lit. d) tej dyrektywy (wyrok z dnia 13 maja 2014 r., Google Spain i Google, C‑131/12, EU:C:2014:317, pkt 41). |
36 |
Przetwarzanie danych osobowych, które ma miejsce w ramach działania wyszukiwarki, różni się bowiem od tego dokonywanego przez wydawców stron internetowych i polegającego na zamieszczaniu tych danych na stronie internetowej, oraz ma dodatkowy względem niego charakter; działanie to odgrywa decydującą rolę w rozpowszechnianiu tych danych na globalną skalę ze względu na to, iż dzięki niemu są one dostępne wszystkim internautom prowadzącym wyszukiwanie mające za punkt wyjścia imię i nazwisko danej osoby, w tym również tym z nich, którzy w przeciwnym razie nie znaleźliby strony internetowej, na której publikowane są te same dane. Ponadto dokonywane za pomocą wyszukiwarek internetowych porządkowanie i łączenie w poszczególne całości publikowanych w internecie informacji w celu ułatwienia jego użytkownikom dostępu do nich może – w sytuacji gdy prowadzą oni wyszukiwanie, przyjmując za punkt wyjścia imię i nazwisko osoby fizycznej – prowadzić do tego, że użytkownicy ci otrzymają, w postaci listy wyników wyszukiwania, ustrukturyzowany przegląd dotyczących tej osoby informacji, jakie można znaleźć w internecie, umożliwiających im sporządzenie mniej lub bardziej szczegółowego profilu danej osoby (wyrok z dnia 13 maja 2014 r., Google Spain i Google, C‑131/12, EU:C:2014:317, pkt 35–37). |
37 |
W konsekwencji, ze względu na to, że działanie wyszukiwarki internetowej może zatem znacząco oddziaływać na prawa podstawowe do poszanowania prywatności i ochrony danych osobowych w dodatkowy w stosunku do działalności prowadzonej przez wydawców stron internetowych sposób, operator tej wyszukiwarki, jako osoba określająca cele i sposoby tego działania, winien w ramach spoczywającej na nim odpowiedzialności zapewnić, by spełniało ono określone w dyrektywie 95/46 wymogi, tak aby przewidziane w niej gwarancje były w pełni skuteczne i aby można było rzeczywiście zrealizować jej cel polegający na skutecznej i pełnej ochronie objętych nią osób, w szczególności w odniesieniu do ich prawa do poszanowania ich prywatności (wyrok z dnia 13 maja 2014 r., Google Spain i Google, C‑131/12, EU:C:2014:317, pkt 38). |
38 |
Pierwsze pytanie prejudycjalne dotyczy ustalenia kwestii, czy w ramach swoich zobowiązań, kompetencji i możliwości operator wyszukiwarki musi również spełniać wymogi określone w dyrektywie 95/46 w odniesieniu do szczególnych kategorii danych osobowych, o których mowa w art. 8 ust. 1 i 5 tej dyrektywy, jeżeli dane te są zawarte w informacjach publikowanych lub zamieszczanych w internecie przez osoby trzecie i są przetwarzane przez tego operatora na potrzeby funkcjonowania wyszukiwarki. |
39 |
Jeśli chodzi o szczególne kategorie danych, to art. 8 ust. 1 dyrektywy 95/46 stanowi, że państwa członkowskie zabraniają przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, opinie polityczne, przekonania religijne lub filozoficzne, przynależność do związków zawodowych, jak również przetwarzania danych dotyczących zdrowia i życia seksualnego. Pewne wyjątki i odstępstwa od tego zakazu są przewidziane między innymi we wspomnianym art. 8 ust. 2. |
40 |
Artykuł 8 ust. 5 dyrektywy 95/46 stanowi, że przetwarzanie danych dotyczących przestępstw (czynów zabronionych), wyroków skazujących lub środków bezpieczeństwa może być dokonywane jedynie pod kontrolą władz publicznych, lub też, jeżeli zgodnie z prawem krajowym ustanowiono określone środki zabezpieczające, z zachowaniem odstępstw, których państwo członkowskie może udzielić zgodnie z obowiązującymi przepisami prawa krajowego, zapewniając zachowanie odpowiednich zabezpieczeń. Jednak kompletny rejestr przestępstw kryminalnych może być prowadzony tylko pod kontrolą władzy publicznej. Państwa członkowskie mogą ustanowić przepisy zobowiązujące oficjalny organ do sprawowania kontroli nad przetwarzaniem danych dotyczących sankcji administracyjnych lub orzeczeń w sprawach cywilnych. |
41 |
Treść art. 8 ust. 1 i 5 dyrektywy 95/46 została, po wprowadzeniu kilku zmian, powielona w art. 9 ust. 1 i art. 10 rozporządzenia 2016/679. |
42 |
Należy przede wszystkim stwierdzić, że z brzmienia tych przepisów dyrektywy 95/46 i rozporządzenia 2016/679 wynika, że ustanowione przez nie zakaz oraz ograniczenia mają zastosowanie, z zastrzeżeniem wyjątków przewidzianych w tej dyrektywie i w tym rozporządzeniu, do każdego rodzaju przetwarzania szczególnych kategorii danych, o których mowa w tych przepisach, oraz do wszystkich administratorów dokonujących takiego przetwarzania. |
43 |
Następnie, żaden inny przepis wspomnianej dyrektywy ani wspomnianego rozporządzenia nie przewiduje ogólnego odstępstwa od tego zakazu ani od tych ograniczeń na rzecz takiego przetwarzania danych jak przetwarzanie dokonywane w ramach działania wyszukiwarki. Przeciwnie, jak wynika z pkt 37 niniejszego wyroku, z ogólnej systematyki tych aktów wynika, że operator takiej wyszukiwarki musi, podobnie jak każdy inny administrator danych, zapewnić w ramach swoich zobowiązań, kompetencji i możliwości, by przetwarzanie danych osobowych, którego dokonuje, było zgodne z wymogami, odpowiednio, dyrektywy 95/46 lub rozporządzenia 2016/679. |
44 |
Wreszcie, wykładnia art. 8 ust. 1 i 5 dyrektywy 95/46 lub art. 9 ust. 1 i art. 10 rozporządzenia 2016/679, która wyłączałaby a priori i w sposób ogólny działanie wyszukiwarki ze szczególnych wymogów, które przepisy te ustanawiają w odniesieniu do przetwarzania szczególnych kategorii danych wymienionych w tych przepisach, byłaby sprzeczna z celem tychże przepisów, polegającym na zapewnieniu zwiększonej ochrony w zakresie takiego przetwarzania, które, ze względu na szczególną wrażliwość takich danych, może stanowić, jak wynika również z motywu 33 tej dyrektywy i motywu 51 tego rozporządzenia, szczególnie poważną ingerencję w podstawowe prawa do poszanowania życia prywatnego i ochrony danych osobowych, które są zagwarantowane w art. 7 i 8 karty. |
45 |
Wprawdzie, w przeciwieństwie do tego, co twierdzi w szczególności spółka Google, szczególne cechy przetwarzania dokonywanego przez operatora wyszukiwarki w ramach jej działania nie mogą zatem uzasadniać zwolnienia tego operatora z obowiązku przestrzegania art. 8 ust. 1 i 5 dyrektywy 95/46 oraz art. 9 ust. 1 i art. 10 rozporządzenia 2016/679, cechy te mogą jednak wpływać na zakres odpowiedzialności operatora i konkretnych obowiązków spoczywających na nim w świetle tych przepisów. |
46 |
W tym względzie należy zauważyć, że jak podkreśla Komisja Europejska, operator wyszukiwarki odpowiada nie za to, iż dane osobowe objęte tymi przepisami znajdują się na stronie internetowej opublikowanej przez osobę trzecią, ale za odsyłanie do tej strony, a w szczególności za wyświetlenie linku do niej na udostępnianej internautom liście wyników wyszukiwania, którego punktem wyjścia jest imię i nazwisko danej osoby fizycznej, gdyż takie wyświetlenie danego linku na takiej liście może znacząco oddziaływać na prawa podstawowe do poszanowania życia prywatnego i do ochrony danych osobowych osoby, której dane dotyczą (zob. podobnie wyrok z dnia 13 maja 2014 r., Google Spain i Google, C‑131/12, EU:C:2014:317, pkt 80). |
47 |
W tych okolicznościach, biorąc pod uwagę zobowiązania, kompetencje i możliwości operatora wyszukiwarki jako administratora danych dokonującego przetwarzania w ramach działania tej wyszukiwarki, zakazy i ograniczenia przewidziane w art. 8 ust. 1 i 5 dyrektywy 95/46, jak również w art. 9 ust. 1 i art. 10 rozporządzenia 2016/679 znajdują – jak wskazał rzecznik generalny w pkt 56 opinii i jak zauważyły zasadniczo wszystkie zainteresowane strony, które zajęły stanowisko w tej kwestii – zastosowanie do tego operatora, ale tylko w zakresie dotyczącym wspomnianego odsyłania do stron internetowych, w rezultacie kontroli przeprowadzanej pod nadzorem właściwych organów krajowych po wniesieniu żądania przez osobę, której dane dotyczą. |
48 |
Z powyższego wynika, że na pytanie pierwsze należy odpowiedzieć, iż przepisy art. 8 ust. 1 i 5 dyrektywy 95/46 należy interpretować w ten sposób, że zakaz lub ograniczenia przetwarzania szczególnych kategorii danych osobowych, o których mowa w tych przepisach, mają zastosowanie, z zastrzeżeniem wyjątków przewidzianych w tej dyrektywie, również do operatora wyszukiwarki w ramach jego zobowiązań, kompetencji i możliwości jako administratora danych dokonującego ich przetwarzania w trakcie działania tej wyszukiwarki, przy okazji kontroli przeprowadzanej przez tego operatora pod nadzorem właściwych organów krajowych, w następstwie wniesienia żądania przez osobę, której dane dotyczą. |
W przedmiocie pytania drugiego
49 |
Zadając pytanie drugie, które składa się z trzech części, sąd odsyłający zmierza zasadniczo do ustalenia:
|
50 |
Na wstępie należy zauważyć, że w kontekście dyrektywy 95/46 żądania usunięcia linków, takie jak te będące przedmiotem postępowań głównych, opierają się w szczególności na art. 12 lit. b) tej dyrektywy, zgodnie z którym państwa członkowskie zapewniają osobom, których dane dotyczą, prawo do uzyskania od administratora danych usunięcia danych, których przetwarzanie jest niezgodne z tą dyrektywą. |
51 |
Ponadto zgodnie z art. 14 akapit pierwszy lit. a) dyrektywy 95/46 państwa członkowskie przyznają osobie, której dane dotyczą, przynajmniej w przypadkach wymienionych w art. 7 lit. e) i f) tej dyrektywy, w dowolnym czasie z ważnych i uzasadnionych przyczyn wynikających z jej konkretnej sytuacji, prawo sprzeciwu co do przetwarzania dotyczących jej danych, z zastrzeżeniem odmiennych postanowień ustawodawstwa krajowego. |
52 |
W tym względzie należy przypomnieć, że Trybunał orzekł, iż art. 12 lit. b) oraz art. 14 akapit pierwszy lit. a) dyrektywy 95/46 należy interpretować w ten sposób, że ustanowione w tych przepisach normy są przestrzegane, a przewidziane w nich warunki rzeczywiście spełnione wówczas, gdy operator wyszukiwarki internetowej jest zobowiązany do usunięcia z wyświetlanej listy wyników wyszukiwania mającego za punkt wyjścia imię i nazwisko danej osoby linków do publikowanych przez osoby trzecie stron internetowych zawierających dotyczące tej osoby informacje, również w przypadku gdy to imię czy nazwisko czy też te informacje nie zostały uprzednio czy też jednocześnie usunięte z tych stron internetowych, i, w odpowiednim przypadku, nawet jeśli ich publikacja na tych stronach jest zgodna z prawem (wyrok z dnia 13 maja 2014 r., Google Spain i Google, C‑131/12, EU:C:2014:317, pkt 88). |
53 |
Trybunał wyjaśnił ponadto, że w ramach oceny tego, czy spełnione zostały warunki zastosowania wspomnianych przepisów, należy w szczególności przeanalizować kwestię, czy osoba, której dotyczą dane, ma prawo do tego, aby konkretna dotycząca jej informacja nie była już, w aktualnym stanie rzeczy, powiązana z jej imieniem i nazwiskiem poprzez listę wyświetlającą wyniki wyszukiwania mającego za punkt wyjścia to imię i nazwisko, przy czym stwierdzenie, iż takie prawo przysługuje, pozostaje bez związku z tym, czy zawarcie na tej liście wyników wyszukiwania danej informacji wyrządza szkodę tej osobie. Ponieważ osoba ta może, ze względu na przysługujące jej i przewidziane w art. 7 i 8 karty prawa podstawowe, zażądać, aby dana informacja nie była już podawana do wiadomości szerokiego kręgu odbiorców poprzez zawarcie jej na takiej liście wyników wyszukiwania, prawa te są co do zasady nadrzędne nie tylko wobec interesu gospodarczego operatora wyszukiwarki internetowej, lecz również wobec interesu, jaki ten krąg odbiorców może mieć w znalezieniu rzeczonej informacji w ramach wyszukiwania prowadzonego w przedmiocie imienia i nazwiska tej osoby. Taka sytuacja nie ma jednak miejsca, jeśli ze szczególnych powodów, takich jak rola odgrywana przez tę osobę w życiu publicznym, należałoby uznać, że ingerencja w prawa podstawowe tej osoby jest uzasadniona nadrzędnym interesem tego kręgu odbiorców, polegającym na posiadaniu, dzięki temu umieszczeniu na liście, dostępu do danej informacji (wyrok z dnia 13 maja 2014 r., Google Spain i Google, C‑131/12, EU:C:2014:317, pkt 99). |
54 |
W ramach rozporządzenia 2016/679 ustawodawca Unii Europejskiej przewidział w art. 17 tego rozporządzenia przepis szczególny regulujący „prawo do usunięcia danych”, zwane również w tytule tego artykułu „prawem do bycia zapomnianym”. |
55 |
Na podstawie wspomnianego art. 17 ust. 1 osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, jeżeli zachodzi jedna z okoliczności wymienionych w tym przepisie. Wśród nich wspomniany przepis wymienia okoliczność polegającą na tym, że dane te nie są już niezbędne do celów przetwarzania, że osoba, której dane dotyczą, cofnęła zgodę, na której opiera się przetwarzanie, i nie ma innej podstawy prawnej przetwarzania, że osoba, której dane dotyczą, wnosi sprzeciw wobec przetwarzania na mocy art. 21 ust. 1 lub 2 rozporządzenia 2016/679 zastępującego art. 14 dyrektywy 95/46, że dane były przetwarzane niezgodnie z prawem, że muszą one zostać usunięte w celu wywiązania się z obowiązku prawnego lub że zostały zebrane w ramach usług społeczeństwa informacyjnego oferowanych dziecku. |
56 |
Jednakże art. 17 ust. 3 rozporządzenia 2016/679 uściśla, że art. 17 ust. 1 tego rozporządzenia nie ma zastosowania w zakresie, w jakim rozpatrywane przetwarzanie jest niezbędne z jednego z powodów wymienionych w tym pierwszym przepisie. Wśród tych powodów w art. 17 ust. 3 lit. a) tego rozporządzenia wymienia się korzystanie między innymi z prawa do wolności informacji. |
57 |
Okoliczność, że art. 17 ust. 3 lit. a) rozporządzenia 2016/679 wyraźnie obecnie przewiduje, że prawo do usunięcia danych osoby, której dane dotyczą, jest wykluczone, jeżeli przetwarzanie danych jest niezbędne do korzystania z prawa związanego między innymi z wolnością informacji zagwarantowaną w art. 11 karty, stanowi wyraz tego, iż prawo do ochrony danych osobowych nie stanowi prawa bezwzględnego, lecz należy, jak podkreśla się w motywie 4 tego rozporządzenia, je postrzegać w kontekście jego funkcji społecznej i wyważyć względem innych praw podstawowych w myśl zasady proporcjonalności [zob. podobnie wyrok z dnia 9 listopada 2010 r., Volker und Markus Schecke i Eifert, C‑92/09 i C‑93/09, EU:C:2010:662, pkt 48; a także opinia 1/15 (Umowa PNR UE-Kanada) z dnia 26 lipca 2017 r., EU:C:2017:592, pkt 136]. |
58 |
W tym kontekście należy przypomnieć, że art. 52 ust. 1 karty dopuszcza wprowadzenie ograniczeń w wykonywaniu praw takich jak prawa ustanowione w art. 7 i 8 karty, o ile przewidziane są one ustawą, szanują istotę tych praw i wolności oraz z zastrzeżeniem zasady proporcjonalności są konieczne i rzeczywiście odpowiadają celom interesu ogólnego uznawanym przez Unię lub potrzebom ochrony praw i wolności innych osób (wyrok z dnia 9 listopada 2010 r., Volker und Markus Schecke i Eifert, C‑92/09 i C‑93/09, EU:C:2010:662, pkt 50). |
59 |
Rozporządzenie 2016/679, a w szczególności jego art. 17 ust. 3 lit. a), wyraźnie ustanawia zatem wymóg zapewnienia równowagi między, z jednej strony, prawami podstawowymi do poszanowania życia prywatnego i ochrony danych osobowych, ustanowionymi w art. 7 i 8 karty, a, z drugiej strony, podstawowym prawem do wolności informacji, zagwarantowanym w art. 11 karty. |
60 |
To w świetle powyższych rozważań należy zbadać, na jakich warunkach operator wyszukiwarki jest zobowiązany do uwzględnienia żądania usunięcia linków, a zatem do usunięcia z wyświetlanej listy wyników wyszukiwania mającego za punkt wyjścia imię i nazwisko osoby, której dane dotyczą, linku do strony internetowej zawierającej dane osobowe należące do szczególnych kategorii danych, o których mowa w art. 8 ust. 1 i 5 dyrektywy 95/46. |
61 |
W tym względzie należy przede wszystkim stwierdzić, że przetwarzanie przez operatora wyszukiwarki szczególnych kategorii danych, o których mowa w art. 8 ust. 1 dyrektywy 95/46, może co do zasady podlegać wyjątkom przewidzianym we wspomnianym art. 8 ust. 2 lit. a) i e), do którego odwołuje się sąd odsyłający i który stanowi, że zakaz przetwarzania tych szczególnych kategorii danych nie ma zastosowania, jeżeli osoba, której dane dotyczą, udzieliła wyraźnej zgody na takie przetwarzanie, chyba że ustawodawstwo danego państwa członkowskiego zabrania takiego wyrażenia zgody lub przetwarzanie dotyczy w szczególności danych, które są podawane do wiadomości publicznej przez tę osobę. Wyjątki te są obecnie przewidziane w art. 9 ust. 2 lit. a) i e) rozporządzenia 2016/679. Ponadto jego art. 9 ust. 2 lit. g), który zasadniczo powiela art. 8 ust. 4 dyrektywy 95/46, zezwala na przetwarzanie tych kategorii danych, jeśli przetwarzanie to jest niezbędne ze względów związanych z ważnym interesem publicznym, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie i konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą. |
62 |
Jeśli chodzi o wyjątek, o którym mowa w art. 8 ust. 2 lit. a) dyrektywy 95/46 i art. 9 ust. 2 lit. a) rozporządzenia 2016/679, z definicji pojęcia „zgody” zawartej w art. 2 lit. h) tej dyrektywy i art. 4 ust. 11 tego rozporządzenia wynika, że zgoda taka musi być „konkretna”, a zatem dotyczyć konkretnie przetwarzania dokonywanego w ramach działania wyszukiwarki, a tym samym faktu, że przetwarzanie to umożliwia osobom trzecim uzyskanie, za pomocą wyszukiwania mającego za punkt wyjścia imię i nazwisko tej osoby, listy wyników zawierającej linki prowadzące do stron internetowych, które zawierają dane wrażliwe jej dotyczące. Jednakże w praktyce trudno jest sobie wyobrazić – i nie wynika to poza tym z przedłożonych Trybunałowi akt sprawy – aby operator wyszukiwarki przed przystąpieniem do przetwarzania danych osobowych ubiegał się, dla potrzeb swojej działalności w zakresie odsyłania do stron internetowych, o wyraźną zgodę osób, których te dane dotyczą. W każdym razie, jak zauważyły w szczególności rządy francuski i polski oraz Komisja, sam fakt, że dana osoba wnosi żądanie o usunięcie linków, oznacza co do zasady, że przynajmniej w dniu złożenia tego żądania osoba ta nie wyraża już zgody na przetwarzanie danych przez operatora wyszukiwarki. W tym kontekście należy również przypomnieć, że art. 17 ust. 1 lit. b) wspomnianego rozporządzenia wymienia wśród powodów uzasadniających „prawo do bycia zapomnianym” okoliczność, że osoba, której dane dotyczą, cofa zgodę, na której opiera się przetwarzanie, zgodnie z art. 9 ust. 2 lit. a) tego samego rozporządzenia, a także brak innej podstawy prawnej dla przetwarzania. |
63 |
Natomiast okoliczność, o której mowa w art. 8 ust. 2 lit. e) dyrektywy 95/46 i art. 9 ust. 2 lit. e) rozporządzenia 2016/679, polegająca na tym, że rozpatrywane dane zostały wyraźnie podane do wiadomości publicznej przez osobę, której dane dotyczą, jak wskazały zasadniczo wszystkie zainteresowane strony, które się na ten temat wypowiedziały, powinna mieć zastosowanie zarówno do operatora wyszukiwarki, jak i do wydawcy danej strony internetowej. |
64 |
W związku z tym w takim przypadku, pomimo umieszczenia na wspomnianej stronie internetowej, do której prowadzą wyświetlane linki, danych osobowych należących do szczególnych kategorii danych, o których mowa w art. 8 ust. 1 dyrektywy 95/46 i art. 9 ust. 1 rozporządzenia 2016/679, przetwarzanie takich danych przez operatora wyszukiwarki w ramach jej działania jest – pod warunkiem że spełnia ono również inne ustanowione warunki zgodności przetwarzania z prawem, w szczególności w art. 6 tej dyrektywy lub art. 5 tego rozporządzenia (zob. podobnie wyrok z dnia 13 maja 2014 r., Google Spain i Google, C‑131/12, EU:C:2014:317, pkt 72) – zgodne z tymi przepisami. |
65 |
Jednak nawet w tym przypadku osoba, której dane dotyczą, może, zgodnie z art. 14 ust. 1 lit. a) dyrektywy 95/46 lub art. 17 ust. 1 lit. c) i art. 21 ust. 1 rozporządzenia 2016/679, mieć prawo do żądania usunięcia danego linku z przyczyn związanych z jej szczególną sytuacją. |
66 |
W każdym wypadku operator wyszukiwarki, do którego skierowano żądanie usunięcia linków, musi sprawdzić, czy z uwagi na względy związane z ważnym interesem publicznym, o których mowa w art. 8 ust. 4 dyrektywy 95/46 lub art. 9 ust. 2 lit. g) rozporządzenia 2016/679, oraz zgodnie z warunkami określonymi w tych przepisach, umieszczenie linku do danej strony internetowej na wyświetlanej liście wyników wyszukiwania mającego za punkt wyjścia imię i nazwisko osoby, której dane dotyczą, jest niezbędne do skorzystania przez internautów potencjalnie zainteresowanych uzyskaniem, dzięki takiemu wyszukiwaniu, dostępu do tej strony internetowej, z prawa do wolności informacji, która to wolność jest chroniona na mocy art. 11 karty. Choć chronione na mocy art. 7 i 8 karty prawa osoby, której dotyczą dane, są co do zasady nadrzędne wobec prawa do wolności informacji przysługującego internautom, to jednak równowaga ta może, w szczególnych przypadkach, zależeć od charakteru rozpatrywanych informacji i od tego, jak istotne są one dla prywatności osoby, której dane dotyczą, oraz od publicznego interesu w dysponowaniu tą informacją, który to z kolei interes może być uzależniony w szczególności od roli odgrywanej przez tę osobę w życiu publicznym (zob. podobnie wyrok z dnia 13 maja 2014 r., Google Spain i Google, C‑131/12, EU:C:2014:317, pkt 81). |
67 |
Ponadto, w przypadku, gdy przetwarzanie dotyczy szczególnych kategorii danych, o których mowa w art. 8 ust. 1 i 5 dyrektywy 95/46 lub art. 9 ust. 1 i art. 10 rozporządzenia 2016/679, ingerencja w prawa podstawowe do poszanowania życia prywatnego i ochrony danych osobowych osoby, której dane dotyczą, może – jak stwierdzono w pkt 44 niniejszego wyroku – być szczególnie poważna, ze względu na wrażliwość takich danych. |
68 |
W związku z tym, gdy do operatora wyszukiwarki skierowano żądanie usunięcia linku do strony internetowej, na której są opublikowane takie dane wrażliwe, operator ten musi, na podstawie wszystkich istotnych elementów danego przypadku i uwzględniając powagę ingerencji w ustanowione w art. 7 i 8 karty prawa podstawowe do poszanowania życia prywatnego i ochrony danych osobowych przysługujące osobie, której dane dotyczą, sprawdzić, czy z uwagi na względy związane z ważnym interesem publicznym, o których mowa w art. 8 ust. 4 dyrektywy 95/46 lub art. 9 ust. 2 lit. g) rozporządzenia 2016/679, oraz zgodnie z warunkami określonymi w tych przepisach, umieszczenie linku do danej strony internetowej na wyświetlanej liście wyników wyszukiwania mającego za punkt wyjścia imię i nazwisko osoby, której dane dotyczą, jest ściśle niezbędne do ochrony prawa do wolności informacji przysługującego internautom potencjalnie zainteresowanym uzyskaniem, dzięki takiemu wyszukiwaniu, dostępu do tej strony internetowej, która to wolność jest chroniona na podstawie art. 11 karty. |
69 |
Z całości powyższych rozważań wynika, że na pytanie drugie należy odpowiedzieć w następujący sposób:
|
W przedmiocie pytania trzeciego
70 |
Ponieważ pytanie to zadaje się jedynie na wypadek udzielenia odpowiedzi przeczącej na pytanie pierwsze, z uwagi na odpowiedź twierdzącą udzieloną na to ostatnie pytanie nie ma potrzeby udzielania odpowiedzi na pytanie trzecie. |
W przedmiocie pytania czwartego
71 |
Zadając pytanie czwarte, sąd odsyłający zastanawia się zasadniczo, czy przepisy dyrektywy 95/46 należy interpretować w ten sposób, że:
|
72 |
W tym względzie należy stwierdzić, że – jak zauważył rzecznik generalny w pkt 100 opinii oraz jak podniosły w szczególności rząd francuski, Irlandia, rządy włoski i polski oraz Komisja – informacje dotyczące postępowania sądowego prowadzonego przeciwko osobie fizycznej, takie jak informacje dotyczące postawienia jej w stan oskarżenia lub relacjonujące proces oraz, w stosownych przypadkach, wyrok skazujący, który w nim zapadł, stanowią dane dotyczące „przestępstw (czynów zabronionych)” i „wyroków skazujących” w rozumieniu art. 8 ust. 5 akapit pierwszy dyrektywy 95/46 i art. 10 rozporządzenia 2016/679, niezależnie od faktu, czy w toku tego postępowania sądowego faktycznie stwierdzono popełnienie przestępstwa czy też czynu zabronionego, za które dana osoba była ścigana. |
73 |
W związku z tym, umieszczając na wyświetlanej liście wyników wyszukiwania mającego za punkt wyjścia imię i nazwisko osoby, której dane dotyczą, linków do stron internetowych, na których takie dane są opublikowane, operator wyszukiwarki dokonuje przetwarzania tych danych, które na podstawie art. 8 ust. 5 akapit pierwszy dyrektywy 95/46 i art. 10 rozporządzenia 2016/679 podlega szczególnym ograniczeniom. Jak zauważyła Komisja, takie przetwarzanie może – na mocy tych przepisów i z zastrzeżeniem poszanowania innych warunków zgodności przetwarzania z prawem ustanowionych w tej dyrektywie i w tym rozporządzeniu – być zgodne z prawem, w szczególności jeżeli w przepisach prawa krajowego ustanowiono odpowiednie i określone środki zabezpieczające, co może mieć miejsce w przypadku, gdy dane informacje zostały podane do wiadomości publicznej przez władze publiczne zgodnie z mającym zastosowanie prawem krajowym. |
74 |
Odnośnie do wspomnianych innych warunków zgodności przetwarzania z prawem należy przypomnieć, że z wymogów określonych w art. 6 ust. 1 lit. c)–e) dyrektywy 95/46, które są obecnie zawarte w art. 5 ust. 1 lit. c)–e) rozporządzenia 2016/679, wynika, że nawet początkowo zgodne z prawem przetwarzanie prawidłowych danych może wraz z upływem czasu stać się niezgodne z tą dyrektywą lub rozporządzeniem, jeśli dane te nie są już potrzebne do realizacji celów, ze względu na które były gromadzone i przetwarzane. Ma to miejsce w szczególności wówczas, gdy należy uznać je za niewłaściwe, (już) niestosowne czy też nadmierne w stosunku do celów, w jakich są one przetwarzane, czy też ze względu na upływ czasu (wyrok z dnia 13 maja 2014 r., Google Spain i Google, C‑131/12, EU:C:2014:317, pkt 93). |
75 |
Jednakże, jak stwierdzono w pkt 66 niniejszego wyroku, nawet w przypadku, gdy przetwarzanie danych, o którym mowa w art. 8 ust. 5 dyrektywy 95/46 i art. 10 rozporządzenia 2016/679, nie jest objęte ograniczeniami określonymi w tych przepisach czy też nie odpowiada innym warunkom zgodności przetwarzania z prawem, takim jak te ustanowione w art. 6 ust. 1 lit. c)–e) tej dyrektywy i art. 5 ust. 1 lit. c)–e) tego rozporządzenia, na operatorze wyszukiwarki nadal spoczywa obowiązek sprawdzenia tego, czy z uwagi na względy związane z ważnym interesem publicznym, o których mowa w art. 8 ust. 4 wspomnianej dyrektywy lub w art. 9 ust. 2 lit. g) wspomnianego rozporządzenia oraz zgodnie z warunkami określonymi w tych przepisach, umieszczenie linku do danej strony internetowej na wyświetlanej liście wyników wyszukiwania mającego za punkt wyjścia imię i nazwisko osoby, której dane dotyczą, jest niezbędne do skorzystania przez internautów potencjalnie zainteresowanych uzyskaniem, dzięki takiemu wyszukiwaniu, dostępu do tej strony internetowej, z prawa do wolności informacji, która jest chroniona na podstawie art. 11 karty. |
76 |
W tym względzie należy zauważyć, że z orzecznictwa Europejskiego Trybunału Praw Człowieka wynika, iż skierowane przez zainteresowane osoby żądania zakazania, zgodnie z art. 8 europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności, podpisanej w Rzymie w dniu 4 listopada 1950 r., udostępniania w internecie przez różne media wcześniejszych reportaży o prowadzonym przeciwko tym osobom procesie karnym, wymaga zbadania tego, czy zachowana została właściwa równowaga między prawem do poszanowania życia prywatnego wspomnianych osób a, w szczególności, swobodnym dostępem opinii publicznej do informacji. W poszukiwaniu tej właściwej równowagi należy uwzględnić zasadniczą rolę, którą w społeczeństwie demokratycznym odgrywa prasa i która obejmuje pisanie sprawozdań oraz komentarzy dotyczących postępowań sądowych. Ponadto do funkcji mediów polegającej na przekazywaniu takich informacji i idei należy dodać prawo opinii publicznej do ich otrzymania. Europejski Trybunał Praw Człowieka uznał w tym kontekście, że opinia publiczna ma interes nie tylko w uzyskaniu informacji o bieżącym wydarzeniu, ale również w uzyskaniu możliwości wyszukiwania przeszłych wydarzeń, przy czym zakres interesu publicznego w związku z postępowaniami karnymi jest różny i może się zmieniać w czasie w zależności, między innymi, od okoliczności sprawy (wyrok ETPC z dnia 28 czerwca 2018 r. w sprawie M.L. i W.W. przeciwko Niemcom, CE:ECHR:2018:0628JUD006079810, § 89 i 100–102). |
77 |
To do operatora wyszukiwarki należy zatem dokonanie, w ramach rozpatrywania żądania usunięcia linków prowadzących do stron internetowych, na których są opublikowane informacje dotyczące postępowania sądowego w sprawie karnej przeciwko osobie, której dane dotyczą, które to informacje odnoszą się do wcześniejszego etapu takiego postępowania i nie odpowiadają już aktualnej sytuacji, oceny tego, czy – biorąc pod uwagę wszystkie okoliczności sprawy, takie jak w szczególności charakter i waga rozpatrywanego przestępstwa (czynu zabronionego), przebieg i wynik tego postępowania, czas, jaki upłynął, rolę odgrywaną przez tę osobę w życiu publicznym i jej zachowanie w przeszłości, interes publiczny istniejący w chwili skierowania żądania, treść i formę publikacji oraz skutki tej publikacji dla wspomnianej osoby – osoba ta jest uprawniona do tego, by rozpatrywane informacje nie były już aktualnie wiązane z jej imieniem i nazwiskiem za pomocą wyświetlanej listy wyników wyszukiwania mającego za punkt wyjścia to imię i nazwisko. |
78 |
Należy jednak dodać, że nawet jeśli operator wyszukiwarki stwierdzi, iż tak nie jest ze względu na fakt, że umieszczenie danego linku jest ściśle niezbędne do pogodzenia prawa do poszanowania życia prywatnego i ochrony danych osobowych osoby, której dane dotyczą, z prawem do wolności informacji przysługującym potencjalnie zainteresowanym internautom, operator ten jest w każdym wypadku zobowiązany, najpóźniej w momencie skierowania żądania usunięcia linków, do uporządkowania listy wyników w taki sposób, aby wynikający z niej dla internauty ogólny obraz odzwierciedlał aktualną sytuację prawną, co wymaga w szczególności, aby linki do stron internetowych zawierających informacje na ten temat znajdowały się na pierwszym miejscu na tej liście. |
79 |
W świetle powyższych rozważań na pytanie czwarte trzeba odpowiedzieć, że przepisy dyrektywy 95/46 należy interpretować w ten sposób, że:
|
W przedmiocie kosztów
80 |
Dla stron w postępowaniu głównym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed sądem odsyłającym, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż koszty stron w postępowaniu głównym, nie podlegają zwrotowi. |
Z powyższych względów Trybunał (wielka izba) orzeka, co następuje: |
|
|
|
Podpisy |
( *1 ) Język postępowania: francuski.