TRYBUNAŁ SPRAWIEDLIWOŚCI UNII EUROPEJSKIEJ

GC i in. (Déréférencement de données sensibles)
C-136/17

WYROK WIELKIEJ IZBY TSUE
z dnia 24-09-2019 r.
EU:C:2019:773
przedmiot:

Wniosek o wydanie orzeczenia w trybie prejudycjalnym (art. 267 TFUE) dotyczący wykładni dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (dalej: „dyrektywa 95/46”), która obowiązywała w chwili złożenia wniosku o wydanie orzeczenia w trybie prejudycjalnym, a została uchylona ze skutkiem od dnia 25 maja 2018 r., przy czym od tego samego dnia stosuje się Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (dalej: „rozporządzenie 2016/679” lub „RODO”), złożony przez Conseil d’État (Radę Stanu, Francja)

rostrzygnięcie:

Czy przepisy art. 8 ust. 1 i 5 dyrektywy 95/46 należy interpretować w ten sposób, że zakaz lub ograniczenia przetwarzania szczególnych kategorii danych osobowych, o których mowa w tych przepisach, mają zastosowanie, z zastrzeżeniem wyjątków przewidzianych w tej dyrektywie, również do operatora wyszukiwarki w ramach jego zobowiązań, kompetencji i możliwości jako administratora danych dokonującego przetwarzania na potrzeby funkcjonowania tej wyszukiwarki?

Przepisy art. 8 ust. 1 i 5 dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych należy interpretować w ten sposób, że zakaz lub ograniczenia przetwarzania szczególnych kategorii danych osobowych, o których mowa w tych przepisach, mają zastosowanie, z zastrzeżeniem wyjątków przewidzianych w tej dyrektywie, również do operatora wyszukiwarki w ramach jego zobowiązań, kompetencji i możliwości jako administratora danych dokonującego ich przetwarzania w trakcie działania tej wyszukiwarki, przy okazji kontroli przeprowadzanej przez tego operatora pod nadzorem właściwych organów krajowych, w następstwie wniesienia żądania przez osobę, której dane dotyczą.

Czy przepisy art. 8 ust. 1 i 5 dyrektywy 95/46 należy interpretować w ten sposób, że na mocy tych przepisów operator wyszukiwarki jest zobowiązany, z zastrzeżeniem wyjątków przewidzianych w tej dyrektywie, do uwzględniania żądań usunięcia linków prowadzących do stron internetowych zawierających dane osobowe należące do szczególnych kategorii określonych w tych przepisach;

czy art. 8 ust. 2 lit. a) i e) dyrektywy 95/46 należy interpretować w ten sposób, że zgodnie z tym przepisem taki operator może odmówić uwzględnienia żądania usunięcia linków, jeżeli stwierdzi, iż rozpatrywane linki prowadzą do treści zawierających dane osobowe należące do szczególnych kategorii, o których mowa w tym art. 8 ust. 1, lecz których przetwarzanie jest objęte jednym z wyjątków przewidzianych we wspomnianym art. 8 ust. 2 lit. a) i e); oraz

czy przepisy dyrektywy 95/46 należy interpretować w ten sposób, że operator wyszukiwarki może również odmówić uwzględnienia żądania usunięcia linków ze względu na to, iż linki, których usunięcia się żąda, prowadzą do stron internetowych, na których dane osobowe należące do szczególnych kategorii, o których mowa w art. 8 ust. 1 lub 5 tej dyrektywy, są opublikowane wyłącznie w celach dziennikarskich lub w celu uzyskania wyrazu artystycznego lub literackiego oraz iż w związku z tym publikacja ta jest objęta wyjątkiem przewidzianym w art. 9 wspomnianej dyrektywy?

Przepisy art. 8 ust. 1 i 5 dyrektywy 95/46 należy interpretować w ten sposób, że na ich mocy operator wyszukiwarki jest co do zasady zobowiązany, z zastrzeżeniem wyjątków przewidzianych w tej dyrektywie, do uwzględniania żądań usunięcia linków prowadzących do stron internetowych zawierających dane osobowe należące do szczególnych kategorii danych określonych w tych przepisach.

Artykuł 8 ust. 2 lit. e) dyrektywy 95/46 należy interpretować w ten sposób, że na jego podstawie taki operator może odmówić uwzględnienia żądania usunięcia linków, jeżeli stwierdzi, że rozpatrywane linki prowadzą do treści zawierających dane osobowe należące do szczególnych kategorii danych, o których mowa w tym art. 8 ust. 1, lecz których przetwarzanie jest objęte jednym z wyjątków przewidzianych we wspomnianym art. 8 ust. 2 lit. e), pod warunkiem że przetwarzanie to spełnia wszystkie inne warunki zgodności przetwarzania z prawem ustanowione w niniejszej dyrektywie i o ile osoba, której dane dotyczą, zgodnie z art. 14 ust. 1 lit. a) tej dyrektywy, nie sprzeciwi się takiemu przetwarzaniu z ważnych i uzasadnionych przyczyn związanych z jej szczególną sytuacją.

Przepisy dyrektywy 95/46 należy interpretować w ten sposób, że w przypadku, gdy do operatora wyszukiwarki skierowano żądanie usunięcia linku do strony internetowej, na której są opublikowane dane osobowe należące do szczególnych kategorii danych, o których mowa w art. 8 ust. 1 lub 5 tej dyrektywy, operator ten musi, na podstawie wszystkich istotnych elementów danego przypadku i uwzględniając powagę ingerencji w ustanowione w art. 7 i 8 karty prawa podstawowe do poszanowania życia prywatnego i ochrony danych osobowych przysługujące osobie, której dane dotyczą, sprawdzić, czy z uwagi na względy związane z ważnym interesem publicznym, o których mowa w art. 8 ust. 4 wspomnianej dyrektywy oraz zgodnie z warunkami określonymi w tym ostatnim przepisie, umieszczenie linku do danej strony internetowej na wyświetlanej liście wyników wyszukiwania mającego za punkt wyjścia imię i nazwisko osoby, której dane dotyczą, jest ściśle niezbędne do ochrony prawa do wolności informacji przysługującego internautom potencjalnie zainteresowanym uzyskaniem, dzięki takiemu wyszukiwaniu, dostępu do tej strony internetowej, która to wolność jest chroniona na mocy art. 11 tej karty.

Czy przepisy dyrektywy 95/46 należy interpretować w ten sposób, że:

– z jednej strony, informacje dotyczące postępowania sądowego, którego przedmiotem była osoba fizyczna, oraz, w stosownych przypadkach, informacje dotyczące wyroku skazującego, który w nim zapadł, stanowią dane dotyczące „przestępstw (czynów zabronionych)” i „wyroków skazujących” w rozumieniu art. 8 ust. 5 dyrektywy 95/46, i

– z drugiej strony, operator wyszukiwarki jest zobowiązany do uwzględnienia żądania usunięcia linków prowadzących do stron internetowych zawierających takie informacje, jeżeli informacje te dotyczą wcześniejszego etapu rozpatrywanego postępowania sądowego i nie odpowiadają już, biorąc pod uwagę przebieg tego postępowania, aktualnej sytuacji?

Przepisy dyrektywy 95/46 należy interpretować w ten sposób, że:

– z jednej strony, informacje dotyczące postępowania sądowego, którego przedmiotem była osoba fizyczna, oraz, w stosownych przypadkach, informacje dotyczące wyroku skazującego, który w nim zapadł, stanowią dane dotyczące „przestępstw (czynów zabronionych)” i „wyroków skazujących” w rozumieniu art. 8 ust. 5 tej dyrektywy, a

– z drugiej strony, operator wyszukiwarki jest zobowiązany do uwzględnienia żądania usunięcia linków prowadzących do stron internetowych zawierających takie informacje, jeżeli informacje te dotyczą wcześniejszego etapu rozpatrywanego postępowania sądowego i nie odpowiadają już, biorąc pod uwagę przebieg tego postępowania, aktualnej sytuacji, w zakresie, w jakim, w ramach weryfikacji względów związanych z ważnym interesem publicznym, o których mowa w art. 8 ust. 4 wspomnianej dyrektywy stwierdzono, że w świetle wszystkich okoliczności sprawy zagwarantowane w art. 7 i 8 Karty praw podstawowych Unii Europejskiej prawa podstawowe osoby, której dane dotyczą, mają charakter nadrzędny wobec praw przysługujących potencjalnie zainteresowanym internautom, które są chronione na mocy art. 11 tej karty.

stan faktyczny:

Sprawa tocząca się przed francuską Radą Stanu jest wynikiem połączenia czterech indywidualnych spraw osób fizycznych, których stan faktyczny był do siebie zbliżony. W każdym przypadku, po wpisaniu w wyszukiwarkę internetową imienia i nazwiska osoby fizycznej, wyniki wyszukiwania były dla tych osób niesatysfakcjonujące i z racji na strony do których kierowały naruszały one, zdaniem zainteresowanych, ich prawa podstawowe. Wszystkie informacje, do których poprzez wyszukiwarkę można było dotrzeć były informacjami prawdziwymi (w dwóch przypadkach dotyczyły one postępowań karnych toczących się przeciwko zainteresowanym) lub chociażby informacjami mającymi zaczepienie w rzeczywistości (w jednym bowiem przypadku link odsyłał do utworu satyrycznego).

Wszystkie spośród zainteresowanych osób zwróciły się do spółki Google o usunięcie wyników wyszukiwania mającego za punkt wyjścia ich imiona i nazwiska, wyświetlanych w wyszukiwarce, której Google jest operatorem, a kierujących do prowadzonych przez osoby trzecie stron internetowych. Spółka jednak nie uwzględniła tych żądań.

W wyniku odmowy zainteresowani zwrócili się ze skargami do Commission nationale de l’informatique et des libertés (Krajowej Komisji ds. Informatyki i Swobód, CNIL, Francja), które zmierzały do nakazania spółce usunięcia konkretnych linków. CNIL postępowanie umorzyła i poinformowała o tym zainteresowanych, którzy wnieśli skargi od decyzji do Rady Stanu.

Rada Stanu stwierdziła, że skargi zainteresowanych powodują szereg poważnych wątpliwości w związku z wykładnią dyrektywy 95/46. Konsekwencją tego było zawieszenie postępowania i zwrócenie się do TSUE z pytaniami prejudycjalnymi.

główne tezy:
  • Działanie wyszukiwarek internetowych, które polega na lokalizowaniu informacji opublikowanych lub zamieszczonych w internecie przez osoby trzecie, indeksowaniu ich w sposób automatyczny, czasowym przechowywaniu takich informacji i, wreszcie, udostępnianiu ich internautom w sposób uporządkowany zgodnie z określonymi preferencjami, w sytuacji gdy informacje takie zawierają dane osobowe, należy uznać za „przetwarzanie danych osobowych” w rozumieniu art. 2 lit. b) dyrektywy 95/46, a operatora tej wyszukiwarki internetowej należy uznać za „administratora” odpowiedzialnego za to przetwarzanie danych w rozumieniu art. 2 lit. d) tej dyrektywy.
  • Ze względu na to, że działanie wyszukiwarki internetowej może znacząco oddziaływać na prawa podstawowe do poszanowania prywatności i ochrony danych osobowych w dodatkowy, w stosunku do działalności prowadzonej przez wydawców stron internetowych, sposób, operator tej wyszukiwarki, jako osoba określająca cele i sposoby tego działania, winien w ramach spoczywającej na nim odpowiedzialności zapewnić, by spełniało ono określone w dyrektywie 95/46 (obecnie w RODO) wymogi, tak aby przewidziane w niej gwarancje były w pełni skuteczne i aby można było rzeczywiście zrealizować jej cel polegający na skutecznej i pełnej ochronie objętych nią osób, w szczególności w odniesieniu do ich prawa do poszanowania prywatności.
  • Szczególne cechy danego przetwarzania danych mogą wpływać na zakres odpowiedzialności operatora i konkretnych obowiązków spoczywających na nim w świetle przepisów dyrektywy 95/46 i rozporządzenia 2016/679.
  • Operator wyszukiwarki odpowiada nie za to, że dane osobowe objęte tymi przepisami znajdują się na stronie internetowej opublikowanej przez osobę trzecią, ale za odsyłanie do tej strony, a w szczególności za wyświetlenie linku do niej na udostępnianej internautom liście wyników wyszukiwania, którego punktem wyjścia jest imię i nazwisko danej osoby fizycznej, gdyż takie wyświetlenie danego linku na takiej liście może znacząco oddziaływać na prawa podstawowe do poszanowania życia prywatnego i do ochrony danych osobowych osoby, której dane dotyczą.
  • 12 lit. b) oraz art. 14 akapit pierwszy lit. a) dyrektywy 95/46 należy interpretować w ten sposób, że ustanowione w tych przepisach normy są przestrzegane, a przewidziane w nich warunki rzeczywiście spełnione wówczas, gdy operator wyszukiwarki internetowej jest zobowiązany do usunięcia z wyświetlanej listy wyników wyszukiwania mającego za punkt wyjścia imię i nazwisko danej osoby linków do publikowanych przez osoby trzecie stron internetowych zawierających dotyczące tej osoby informacje, również w przypadku gdy to imię czy nazwisko czy też te informacje nie zostały uprzednio czy też jednocześnie usunięte z tych stron internetowych, i, w odpowiednim przypadku, nawet jeśli ich publikacja na tych stronach jest zgodna z prawem.
  • Prawo do ochrony danych osobowych nie stanowi prawa bezwzględnego, lecz należy je postrzegać w kontekście jego funkcji społecznej i wyważyć względem innych praw podstawowych w myśl zasady proporcjonalności.
  • Rozporządzenie 2016/679, a w szczególności jego art. 17 ust. 3 lit. a), wyraźnie ustanawia wymóg zapewnienia równowagi między, z jednej strony, prawami podstawowymi do poszanowania życia prywatnego i ochrony danych osobowych, ustanowionymi w art. 7 i 8 KPP, a, z drugiej strony, podstawowym prawem do wolności informacji, zagwarantowanym w art. 11 KPP.
  • W praktyce trudno jest sobie wyobrazić, aby operator wyszukiwarki przed przystąpieniem do przetwarzania danych osobowych ubiegał się, dla potrzeb swojej działalności w zakresie odsyłania do stron internetowych, o wyraźną zgodę osób, których te dane dotyczą. W każdym razie sam fakt, że dana osoba wnosi żądanie o usunięcie linków, oznacza co do zasady, że przynajmniej w dniu złożenia tego żądania osoba ta nie wyraża już zgody na przetwarzanie danych przez operatora wyszukiwarki.
  • Początkowo zgodne z prawem przetwarzanie prawidłowych danych może wraz z upływem czasu stać się niezgodne z dyrektywą 95/46 lub rozporządzeniem 2016/679, jeśli dane te nie są już potrzebne do realizacji celów, ze względu na które były gromadzone i przetwarzane. Ma to miejsce w szczególności wówczas, gdy należy uznać je za niewłaściwe, już niestosowne czy też nadmierne w stosunku do celów, w jakich są one przetwarzane, czy też ze względu na upływ czasu.
  • Skierowane przez zainteresowane osoby żądania zakazania, zgodnie z art. 8 EKPCz, udostępniania w internecie przez różne media wcześniejszych reportaży o prowadzonym przeciwko tym osobom procesie karnym, wymaga zbadania tego, czy zachowana została właściwa równowaga między prawem do poszanowania życia prywatnego wspomnianych osób a, w szczególności, swobodnym dostępem opinii publicznej do informacji. W poszukiwaniu tej właściwej równowagi należy uwzględnić zasadniczą rolę, którą w społeczeństwie demokratycznym odgrywa prasa i która obejmuje pisanie sprawozdań oraz komentarzy dotyczących postępowań sądowych. Ponadto do funkcji mediów polegającej na przekazywaniu takich informacji i idei należy dodać prawo opinii publicznej do ich otrzymania.
  • Opinia publiczna ma interes nie tylko w uzyskaniu informacji o bieżącym wydarzeniu, ale również w uzyskaniu możliwości wyszukiwania przeszłych wydarzeń, przy czym zakres interesu publicznego w związku z postępowaniami karnymi jest różny i może się zmieniać w czasie w zależności, między innymi, od okoliczności sprawy.
  • Nawet jeśli operator wyszukiwarki stwierdzi, że dana osoba nie jest uprawniona do tego, by rozpatrywane informacje nie były już aktualnie wiązane z jej imieniem i nazwiskiem za pomocą wyświetlanej listy wyników wyszukiwania mającego za punkt wyjścia to imię i nazwisko ze względu na fakt, iż umieszczenie danego linku jest ściśle niezbędne do pogodzenia prawa do poszanowania życia prywatnego i ochrony danych osobowych osoby, której dane dotyczą, z prawem do wolności informacji przysługującym potencjalnie zainteresowanym internautom, operator ten jest w każdym wypadku zobowiązany, najpóźniej w momencie skierowania żądania usunięcia linków, do uporządkowania listy wyników w taki sposób, aby wynikający z niej dla internauty ogólny obraz odzwierciedlał aktualną sytuację prawną, co wymaga w szczególności, aby linki do stron internetowych zawierających informacje na ten temat znajdowały się na pierwszym miejscu na tej liście.
opinia rzecznika generalnego:
powiązane sprawy:

  • Wyrok z dnia 13 maja 2014 r., Google Spain i Google, C-131/12, EU:C:2014:317
  • Wyrok z dnia 9 listopada 2010 r., Volker und Markus Schecke i Eifert, C-92/09 i C-93/09, EU:C:2010:662
  • Wyrok ETPCz z dnia 28 czerwca 2018 r. w sprawie M.L. i W.W. przeciwko Niemcom, CE:ECHR:2018:0628JUD006079810

akty prawne:

Dyrektywa 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. 1995, L 281, s. 31) – akt stracił moc obowiązującą dnia 24 maja 2018 r.

(https://eur-lex.europa.eu/dyrektywa95/46…)

Art. 2 lit. a), b), d) i h)

Art. 6

Art. 7 lit. f)

Art. 8 ust. 1, 2 lit. a) i e) oraz ust. 4 i 5

Art. 9

Art. 12 lit. b)

Art. 14 lit. a)

Art. 28 ust. 1, 3, 4 i 6

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. 2016, L 119, s. 1; sprostowanie Dz.U. 2018, L 127, s. 2)

(https://eur-lex.europa.eu/RODO…)

Art. 4 pkt 11

Art. 5 lit. c)-e)

Art. 9 ust 1 i 2 lit. a), e) i g)

Art. 10

Art. 17 ust. 1, 2 i 3 a)

Art. 21 ust. 1

Art. 85 ust. 1 i 2

Karta praw podstawowych Unii Europejskiej

(https://eur-lex.europa.eu/KPP…)

Art. 7

Art. 8

Art. 11

słowa kluczowe:

dane osobowe; dane wrażliwe; szczególne kategorie danych; ochrona danych; dyrektywa 95/46; rozporządzenie 2016/679; RODO; wyszukiwarka internetowa; Google; pytanie prejudycjalne

autor omówienia:

Aleksander Leszczyński

Refleksje o konsekwencjach:

W chwili zadania TSUE pytania prejudycjalnego przez francuską Radę Stanu obowiązywała dyrektywa 95/46, która następnie została uchylona przez słynne już RODO. Trybunał jednak starał się w taki sposób badać i wyjaśniać przedstawione mu zagadnienia, aby jego rozważania zachowały aktualność również na gruncie aktualnego stanu prawnego.