WYROK TRYBUNAŁU (wielka izba)

z dnia 24 września 2019 r.

Odesłanie prejudycjalne – Dane osobowe – Ochrona osób fizycznych w zakresie przetwarzania tych danych znajdujących się na stronach internetowych – Dyrektywa 95/46/WE – Rozporządzenie (UE) 2016/679 – Wyszukiwarki internetowe – Przetwarzanie danych zamieszczonych na stronach internetowych – Szczególne kategorie danych określone w art. 8 tej dyrektywy i art. 9 i 10 tego rozporządzenia – Stosowanie tych przepisów do operatora wyszukiwarki – Zakres obowiązków tego operatora w świetle powyższych przepisów – Publikacja danych na stronach internetowych wyłącznie w celach dziennikarskich lub w celu uzyskania wyrazu artystycznego lub literackiego – Wpływ na rozpatrzenie żądania usunięcia linków – Artykuły 7, 8 i 11 Karty praw podstawowych Unii Europejskiej

W sprawie C‑136/17

mającej za przedmiot wniosek o wydanie, na podstawie art. 267 TFUE, orzeczenia w trybie prejudycjalnym, złożony przez Conseil d’État (radę stanu, Francja) postanowieniem z dnia 24 lutego 2017 r., które wpłynęło do Trybunału w dniu 15 marca 2017 r., w postępowaniu:

GC,

AF,

BH,

ED

przeciwko

Commission nationale de l’informatique et des libertés (CNIL),

przy udziale:

Premier ministre,

Google LLC, następcy prawnego Google Inc.,

TRYBUNAŁ (wielka izba),

w składzie: K. Lenaerts, prezes, A. Arabadjiev, A. Prechal, T. von Danwitz, C. Toader i F. Biltgen, prezesi izb, M. Ilešič (sprawozdawca), L. Bay Larsen, M. Safjan, D. Šváby, C.G. Fernlund, C. Vajda i S. Rodin, sędziowie,

rzecznik generalny: M. Szpunar,

sekretarz: V. Giacobbo-Peyronnel, administratorka,

uwzględniając pisemny etap postępowania i po przeprowadzeniu rozprawy w dniu 11 września 2018 r.,

rozważywszy uwagi przedstawione:

–        przez AF osobiście,

–        w imieniu BH przez L. Borégo, avocat,

–        w imieniu Commission nationale de l’informatique et des libertés (CNIL) przez I. Falque-Pierrotin, J. Lessiego oraz G. Le Granda, działających w charakterze pełnomocników,

–        w imieniu Google LLC przez P. Spinosiego, Y. Pelosiego i W. Maxwella, avocats,

–        w imieniu rządu francuskiego przez D. Colasa i R. Coesme’a, E. de Moustier oraz S. Ghiandoni, działających w charakterze pełnomocników,

–        w imieniu Irlandii przez M. Browne, G. Hodge, J. Quaney oraz A. Joyce’a, działających w charakterze pełnomocników, wspieranych przez M. Gray, BL,

–        w imieniu rządu greckiego przez E.M. Mamounę, G. Papadaki, E. Zisi oraz S. Papaioannou, działające w charakterze pełnomocników,

–        w imieniu rządu włoskiego przez G. Palmieri, działającą w charakterze pełnomocnika, wspieraną przez F. De Lucę i P. Gentilego, avvocati dello Stato,

–        w imieniu rządu austriackiego przez G. Eberharda oraz G. Kunnerta, działających w charakterze pełnomocników,

–        w imieniu rządu polskiego przez B. Majczynę, M. Pawlicką oraz J. Sawicką, działających w charakterze pełnomocników,

–        w imieniu rządu Zjednoczonego Królestwa przez S. Brandona, działającego w charakterze pełnomocnika, wspieranego przez C. Knighta, barrister,

–        w imieniu Komisji Europejskiej przez A. Bucheta, H. Kranenborga oraz D. Nardiego, działających w charakterze pełnomocników,

po zapoznaniu się z opinią rzecznika generalnego na posiedzeniu w dniu 10 stycznia 2019 r.,

wydaje następujący

Wyrok

1. Niniejszy wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wykładni dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. 1995, L 281, s. 31 – wyd. spec. w jęz. polskim, rozdz. 13, t. 15, s. 355).

2. Wniosek ten został złożony w ramach sporu między GC, AF, BH i ED a Commission nationale de l’informatique et des libertés (krajową komisją ds. informatyki i swobód, CNIL, Francja) dotyczącego czterech decyzji, w których ta komisja odmówiła wezwania spółki Google Inc., obecnie Google LLC, do usunięcia z wyświetlanych wyników wyszukiwania mającego za punkt wyjścia ich imiona i nazwiska różnego rodzaju linków kierujących do prowadzonych przez osoby trzecie stron internetowych.

 Ramy prawne

 Prawo Unii

 Dyrektywa 95/46

3. Dyrektywa 95/46 ma na celu – jak stanowi jej art. 1 ust. 1 – ochronę podstawowych praw i wolności osób fizycznych, w szczególności ich prawa do prywatności w odniesieniu do przetwarzania danych osobowych, jak również zniesienie przeszkód w swobodnym przepływie tych danych.

4.Motywy 33 i 34 dyrektywy 95/46 stanowią:

„(33)      Dane mogące ze względu na ich charakter powodować naruszenie podstawowych wolności lub prywatności nie powinny być przetwarzane, o ile osoba, której dotyczą, nie udzieli wyraźnej zgody; należy jednak przewidzieć odstępstwa od tego zakazu dla szczególnych potrzeb […].

(34)      Państwa członkowskie muszą być również uprawnione, w sytuacjach, kiedy jest to uzasadnione ważnym interesem publicznym, do uchylania zakazu przetwarzania sensytywnych [wrażliwych] kategorii danych […]; obowiązkiem ich jest jednak stworzenie konkretnych i odpowiednich zabezpieczeń dla ochrony podstawowych praw i prywatności osób”.

5. Artykuł 2 tej dyrektywy stanowi:

„Do celów niniejszej dyrektywy:

a)      »dane osobowe« oznacza[ją] wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (»osoby, której dane dotyczą«); […]

b)      »przetwarzanie danych osobowych« (»przetwarzanie«) oznacza każdą operację lub zestaw operacji dokonywanych na danych osobowych przy pomocy środków zautomatyzowanych lub innych, jak np. gromadzenie, rejestracja, porządkowanie, przechowywanie, adaptacja lub modyfikacja, odzyskiwanie, konsultowanie, wykorzystywanie, ujawnianie poprzez transmisję, rozpowszechnianie lub udostępnianie w inny sposób, układanie lub kompilowanie, blokowanie, usuwanie lub niszczenie;

[…]

d)      »administrator danych« oznacza osobę fizyczną lub prawną, władzę publiczną, agencję lub inny organ, który samodzielnie lub wspólnie z innymi podmiotami określa cele i sposoby przetwarzania danych [osobowych]; […]

[…]

h)      »zgoda osoby, której dane dotyczą« oznacza konkretne i świadome, dobrowolne wskazanie przez osobę, której dane dotyczą, na to, że wyraża przyzwolenie na przetwarzanie odnoszących się do niej danych osobowych”.

6. Artykuł 6 tej samej dyrektywy, zawarty w sekcji I rozdziału II tej dyrektywy, zatytułowanej „Zasady dotyczące jakości danych”, ma następujące brzmienie:

„1.      Państwa członkowskie zapewniają, aby dane osobowe były:

a)      przetwarzane rzetelnie i legalnie;

b)      gromadzone do określonych, jednoznacznych i legalnych celów oraz nie były poddawane dalszemu przetwarzaniu w sposób niezgodny z tym celem. […]

c)      prawidłowe, stosowne oraz nienadmierne ilościowo w stosunku do celów, dla których zostały zgromadzone i/lub dalej przetworzone;

d)      prawidłowe oraz, w razie konieczności, aktualizowane; należy podjąć wszelkie uzasadnione działania, aby zapewnić usunięcie lub poprawienie nieprawidłowych lub niekompletnych danych, biorąc pod uwagę cele, dla których zostały zgromadzone lub dla których są dalej przetwarzane;

e)      przechowywane w formie umożliwiającej identyfikację osób, których dane dotyczą, przez czas nie dłuższy niż jest to konieczne do celów, dla których dane zostały zgromadzone lub dla których są dalej przetwarzane. Państwa członkowskie ustanowią odpowiednie środki zabezpieczające dla danych przechowywanych przez dłuższe okresy dla potrzeb historycznych, statystycznych i naukowych.

2.      Na administratorze danych spoczywa obowiązek zapewnienia przestrzegania przepisów ust. 1”.

7. Artykuł 7 dyrektywy 95/46, zawarty w sekcji II jej rozdziału II, zatytułowanej „Kryteria legalności przetwarzania danych”, stanowi:

„Państwa członkowskie zapewniają, że dane osobowe mogą być przetwarzane tylko wówczas, gdy:

[…]

f)      przetwarzanie danych jest konieczne dla [realizacji] potrzeb wynikających z uzasadnionych interesów administratora danych lub osoby trzeciej, lub osobom [lub osób trzecich], którym dane są ujawniane, z wyjątkiem sytuacji, kiedy interesy takie podporządkowane są interesom związanym z podstawowymi prawami i wolnościami osoby, której dane dotyczą, które gwarantują ochronę na podstawie art. 1 ust. 1 [z wyjątkiem sytuacji, kiedy pierwszeństwo mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony zgodnie z art. 1 ust. 1]”.

8. W sekcji III rozdziału II wspomnianej dyrektywy, zatytułowanej „Szczególne kategorie przetwarzania danych”, znajdują się art. 8 i 9. Artykuł 8, zatytułowany „Przetwarzanie szczególnych kategorii danych”, przewiduje:

„1.      Państwa członkowskie zabraniają przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, opinie polityczne, przekonania religijne lub filozoficzne, przynależność do związków zawodowych, jak również przetwarzanie danych dotyczących zdrowia i życia seksualnego.

2.      Ustęp 1 nie ma zastosowania w przypadku, gdy:

a)      osoba, której dane dotyczą, udzieliła wyraźnej zgody na ich przetwarzanie, chyba że ustawodawstwo państwa członkowskiego przewiduje, że zakaz określony w ust. 1 nie może być uchylony mimo udzielonej zgody przez osobę, której dane dotyczą; lub

[…]

e)      przetwarzanie dotyczy danych, które są podawane do wiadomości publicznej przez osobę, której dane dotyczą, lub jest konieczne do ustalenia, wykonania lub ochrony roszczeń prawnych.

[…]

4.      Pod warunkiem ustanowienia odpowiednich środków zabezpieczających państwa członkowskie mogą, ze względu na istotny interes publiczny, ustalić dodatkowe wyłączenia, poza tymi, które zostały przewidziane w ust. 2, na mocy ustawy krajowej lub decyzji organu nadzorczego.

5.      Przetwarzanie danych dotyczących przestępstw, wyroków skazujących lub środków bezpieczeństwa może być dokonywane jedynie pod kontrolą władz publicznych lub też, jeżeli zgodnie z prawem krajowym ustanowiono określone środki zabezpieczające, z zachowaniem odstępstw, któr[ych] państwo członkowskie może udzielić zgodnie z obowiązującymi przepisami prawa krajowego, zapewniając zachowanie odpowiednich zabezpieczeń. Jednak kompletny rejestr przestępstw kryminalnych może być prowadzony tylko pod kontrolą władzy publicznej.

Państwa członkowskie mogą ustanowić przepisy zobowiązujące oficjalny organ do sprawowania kontroli nad przetwarzaniem danych dotyczących sankcji administracyjnych lub orzeczeń w sprawach cywilnych.

[…]”.

9.  Artykuł 9 dyrektywy 95/46, zatytułowany „Przetwarzanie danych osobowych i wolność wypowiedzi”, stanowi:

„Państwa członkowskie wprowadzają możliwość wyłączenia lub odstąpienia od przepisów niniejszego rozdziału, rozdziału IV i VI w przypadku przetwarzania danych osobowych wyłącznie w celach dziennikarskich lub w celu uzyskania wyrazu artystycznego lub literackiego jedynie wówczas, gdy jest to konieczne dla pogodzenia prawa do zachowania prywatności z przepisami dotyczącymi wolności wypowiedzi”.

10. Artykuł 12 tej dyrektywy, zatytułowany „Prawo dostępu do danych”, przewiduje:

„Państwa członkowskie zapewniają każdej osobie, której dane dotyczą, prawo do uzyskania od administratora danych:

[…]

b)      odpowiednio do przypadku, sprostowania, usunięcia lub zablokowania danych, których przetwarzanie jest niezgodne z przepisami niniejszej dyrektywy, szczególnie ze względu na niekompletność lub niedokładność danych;

[…]”.

11. Artykuł 14 wspomnianej dyrektywy, zatytułowany „Prawo sprzeciwu przysługujące osobie, której dane dotyczą”, stanowi:

„Państwa członkowskie przyznają osobie, której dane dotyczą, prawo:

a)      przynajmniej w przypadkach wymienionych w art. 7 lit. e) i f), w dowolnym czasie z ważnych i uzasadnionych przyczyn wynikających z [jej] konkretnej sytuacji – sprzeciwu co do przetwarzania dotyczących jej danych, z zastrzeżeniem odmiennych postanowień ustawodawstwa krajowego. W przypadku uzasadnionego sprzeciwu przetwarzanie danych przez administratora danych nie może już obejmować tych danych;

[…]”.

12.  Artykuł 28 tej samej dyrektywy, zatytułowany „Organ nadzorczy”, ma następujące brzmienie:

„1.      Każde państwo członkowskie zapewni, że jeden lub więcej organów władzy publicznej będzie odpowiedzialnych za kontrolę stosowania na jego terytorium przepisów przyjętych przez państwa członkowskie na mocy niniejszej dyrektywy.

[…]

3.      Każdy organ jest w szczególności wyposażony w:

–        uprawienia dochodzeniowe, jak np. prawo dostępu do danych stanowiących przedmiot operacji przetwarzania danych oraz prawo gromadzenia wszelkich informacji potrzebnych do wykonywania jego funkcji nadzorczych,

–        skuteczne uprawnienia interwencyjne, jak np. prawo do […] zarządzania blokady, usunięcia lub zniszczenia danych, nakładania czasowego lub ostatecznego zakazu przetwarzania danych […]

[…]

Od decyzji organu nadzorczego, co do które[j] zgłaszane są zastrzeżenia, przysługuje odwołanie do właściwego sądu.

4.      Każdy organ nadzorczy rozpatruje skargi zgłaszane przez dowolną osobę lub przez stowarzyszenie ją reprezentujące odnośnie do ochrony jej praw i wolności w zakresie przetwarzania danych osobowych. Zainteresowana osoba zostanie poinformowana o wyniku sprawy.

[…]

6.      Każdy organ nadzorczy jest właściwy, niezależnie od krajowych przepisów dotyczących danego przypadku przetwarzania danych, do wykonywania [na] terytorium państwa członkowskiego uprawnień powierzonych mu zgodnie z ust. 3. Do każdego organu można się zwrócić z żądaniem wykonania jego uprawnień przez odpowiedni organ innego państwa członkowskiego.

Organy nadzorcze współpracują ze sobą w zakresie koniecznym do wykonywania swoich obowiązków, zwłaszcza poprzez wymianę wszelkich przydatnych informacji.

[…]”.

 Rozporządzenie (UE) 2016/679

13. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. 2016, L 119, s. 1; sprostowanie Dz.U. 2018, L 127, s. 2) ma zastosowanie – jak stanowi jego art. 99 ust. 2 – od dnia 25 maja 2018 r. Artykuł 94 ust. 1 tego rozporządzenia stanowi, że dyrektywa 95/46 zostaje uchylona ze skutkiem od tej samej daty.

14. Motywy 1, 4, 51, 52 i 65 wspomnianego rozporządzenia stanowią:

„(1)      Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych jest jednym z praw podstawowych. Artykuł 8 ust. 1 Karty praw podstawowych Unii Europejskiej (zwanej dalej »Kartą praw podstawowych«) oraz art. 16 ust. 1 [TFUE] stanowią, że każda osoba ma prawo do ochrony danych osobowych jej dotyczących.

[…]

(4)      Przetwarzanie danych osobowych należy zorganizować w taki sposób, aby służyło ludzkości. Prawo do ochrony danych osobowych nie jest prawem bezwzględnym; należy je postrzegać w kontekście jego funkcji społecznej i wyważyć względem innych praw podstawowych w myśl zasady proporcjonalności. Niniejsze rozporządzenie nie narusza wszystkich praw podstawowych oraz przestrzega wolności i zasad uznanych w Karcie praw podstawowych – zapisanych w Traktatach – w szczególności prawa do poszanowania życia prywatnego i rodzinnego, […] ochrony danych osobowych, wolności myśli, sumienia i religii, wolności wypowiedzi i informacji, wolności prowadzenia działalności gospodarczej, […]

[…]

(51)      Dane osobowe, które z racji swego charakteru są szczególnie wrażliwe w świetle podstawowych praw i wolności, wymagają szczególnej ochrony, gdyż kontekst ich przetwarzania może powodować poważne ryzyko dla podstawowych praw i wolności. […]

(52)      Należy również zezwolić na wyjątki od zakazu przetwarzania szczególnych kategorii danych osobowych – o ile przewiduje to prawo Unii lub prawo państwa członkowskiego i podlega to odpowiednim zabezpieczeniom chroniącym dane osobowe i inne prawa podstawowe […]

[…]

(65)      Każda osoba [której dane dotyczą] […] powinna mieć prawo do […] »bycia zapomnianym«, jeżeli zatrzymywanie takich danych narusza niniejsze rozporządzenie, prawo Unii lub prawo państwa członkowskiego, któremu podlega administrator. […] Niemniej dalsze zatrzymywanie danych osobowych powinno być uznane za zgodne z prawem, jeżeli jest niezbędne do korzystania z wolności wypowiedzi i informacji […]”.

15. Artykuł 4 pkt 11 rozporządzenia 2016/679 definiuje pojęcie „zgody” osoby, której dane dotyczą, jako „dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych”.

16. Artykuł 5 tego rozporządzenia, zatytułowany „Zasady dotyczące przetwarzania danych osobowych”, stanowi w ust. 1 lit. c)–e), że:

„Dane osobowe muszą być:

[…]

c)      adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane (»minimalizacja danych«);

d)      prawidłowe i w razie potrzeby uaktualniane; należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane (»prawidłowość«);

e)      przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane; […] (»ograniczenie przechowywania«)”.

17. Artykuł 9 wspomnianego rozporządzenia, zatytułowany „Przetwarzanie szczególnych kategorii danych osobowych”, stanowi:

„1.      Zabrania się przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby.

2.      Ustęp 1 nie ma zastosowania, jeżeli spełniony jest jeden z poniższych warunków:

a)      osoba, której dane dotyczą, wyraziła wyraźną zgodę na przetwarzanie tych danych osobowych w jednym lub kilku konkretnych celach, chyba że prawo Unii lub prawo państwa członkowskiego przewidują, iż osoba, której dane dotyczą, nie może uchylić zakazu, o którym mowa w ust. 1;

[…]

e)      przetwarzanie dotyczy danych osobowych w sposób oczywisty upublicznionych przez osobę, której dane dotyczą;

[…]

g)      przetwarzanie jest niezbędne ze względów związanych z ważnym interesem publicznym, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie i konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą;

[…]”.

18. Artykuł 10 tego samego rozporządzenia, zatytułowany „Przetwarzanie danych osobowych dotyczących wyroków skazujących i czynów zabronionych”, stanowi:

„Przetwarzania danych osobowych dotyczących wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa na podstawie art. 6 ust. 1 wolno dokonywać wyłącznie pod nadzorem władz publicznych lub jeżeli przetwarzanie jest dozwolone prawem Unii lub prawem państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw i wolności osób, których dane dotyczą. Wszelkie kompletne rejestry wyroków skazujących są prowadzone wyłącznie pod nadzorem władz publicznych”.

19. Artykuł 17 rozporządzenia 2016/679, zatytułowany „Prawo do usunięcia danych (»prawo do bycia zapomnianym«)”, brzmi następująco:

„1.      Osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, jeżeli zachodzi jedna z następujących okoliczności:

a)      dane osobowe nie są już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane;

b)      osoba, której dane dotyczą, cofnęła zgodę, na której opiera się przetwarzanie zgodnie z art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a), i nie ma innej podstawy prawnej przetwarzania;

c)      osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 1 wobec przetwarzania i nie występują nadrzędne prawnie uzasadnione podstawy przetwarzania lub osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 2 wobec przetwarzania;

d)      dane osobowe były przetwarzane niezgodnie z prawem;

e)      dane osobowe muszą zostać usunięte w celu wywiązania się z obowiązku prawnego przewidzianego w prawie Unii lub prawie państwa członkowskiego, któremu podlega administrator;

f)      dane osobowe zostały zebrane w związku z oferowaniem usług społeczeństwa informacyjnego, o których mowa w art. 8 ust. 1.

2.      Jeżeli administrator upublicznił dane osobowe, a na mocy ust. 1 ma obowiązek usunąć te dane osobowe, to – biorąc pod uwagę dostępną technologię i koszt realizacji – podejmuje rozsądne działania, w tym środki techniczne, by poinformować administratorów przetwarzających te dane osobowe, że osoba, której dane dotyczą, żąda, by administratorzy ci usunęli wszelkie łącza [linki] do tych danych, kopie tych danych osobowych lub ich replikacje [powielenia].

3.      Ustęp 1 i 2 nie mają zastosowania, w zakresie w jakim przetwarzanie jest niezbędne:

a)      do korzystania z prawa do wolności wypowiedzi i informacji;

[…]”.

20.Artykuł 21 tego rozporządzenia, zatytułowany „Prawo do sprzeciwu”, stanowi w ust. 1:

„Osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw – z przyczyn związanych z jej szczególną sytuacją – wobec przetwarzania dotyczących jej danych osobowych opartego na art. 6 ust. 1 lit. e) lub f), w tym profilowania na podstawie tych przepisów. Administratorowi nie wolno już przetwarzać tych danych osobowych, chyba że wykaże on istnienie ważnych prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń”.

21. Artykuł 85 wspomnianego rozporządzenia, zatytułowany „Przetwarzanie a wolność wypowiedzi i informacji”, stanowi:

„1.      Państwa członkowskie przyjmują przepisy pozwalające pogodzić prawo do ochrony danych osobowych na mocy niniejszego rozporządzenia z wolnością wypowiedzi i informacji, w tym do przetwarzania dla potrzeb dziennikarskich oraz do celów wypowiedzi akademickiej, artystycznej lub literackiej.

2.      Dla przetwarzania do celów dziennikarskich lub do celów wypowiedzi akademickiej, artystycznej lub literackiej państwa członkowskie określają odstępstwa lub wyjątki od rozdziału II (Zasady), rozdziału III (Prawa osoby, której dane dotyczą), rozdziału IV (Administrator i podmiot przetwarzający), rozdziału V (Przekazywanie danych osobowych do państw trzecich lub organizacji międzynarodowych), rozdziału VI (Niezależne organy nadzorcze), rozdziału VII (Współpraca i spójność) oraz rozdziału IX (Szczególne sytuacje związane z przetwarzaniem danych), jeżeli są one niezbędne, by pogodzić prawo do ochrony danych osobowych z wolnością wypowiedzi i informacji.

[…]”.

 Prawo francuskie

22.Dyrektywa 95/46 została wdrożona do prawa francuskiego przez loi n° 78-17, du 6 janvier 1978, relative à l’informatique, aux fichiers et aux libertés (ustawę nr 78-17 z dnia 6 stycznia 1978 r. dotyczącą informatyki, danych i wolności) w wersji mającej zastosowanie do okoliczności faktycznych analizowanych w postępowaniu głównym.

23. W art. 11 tej ustawy wyjaśniono, że w ramach swoich zadań CNIL czuwa nad tym, aby przetwarzanie danych osobowych odbywało się zgodnie z przepisami tej ustawy, oraz że w tym celu rozpatruje reklamacje, wnioski i skargi dotyczące operacji przetwarzania danych osobowych oraz informuje ich autorów o nadanym im biegu.

 Postępowania główne i pytania prejudycjalne

24. GC, AF, BH i ED zwrócili się do spółki Google o usunięcie z wyników wyszukiwania mającego za punkt wyjścia ich imiona i nazwiska, wyświetlanych w wyszukiwarce, której Google jest operatorem, różnego rodzaju linków kierujących do prowadzonych przez osoby trzecie stron internetowych; spółka ta jednak nie uwzględniła tych żądań.

25.  Konkretnie rzecz biorąc, GC zażądała usunięcia linku, który odsyła do zamieszczonego w dniu 18 lutego 2011 r. pod pseudonimem na YouTubie satyrycznego fotomontażu, przedstawiającego GC u boku burmistrza gminy, w którego biurze była ona kierownikiem, i wyraźnie odwołującego się do łączącej ich intymnej relacji oraz wpływu tej relacji na jej własną karierę polityczną. Fotomontaż ten został zamieszczony w internecie przy okazji kampanii wyborczej w ramach wyborów kantonalnych, w których GC wówczas kandydowała. W dniu, w którym odmówiono uwzględnienia jej żądania usunięcia linku, zainteresowana ani nie była wybrana, ani nie kandydowała w wyborach lokalnych, nie pełniła też już funkcji kierownika biura burmistrza gminy.

26. AF zażądał usunięcia linków, które odsyłają do artykułu w dzienniku Libération z dnia 9 września 2008 r., zamieszczonego na stronie internetowej Centre contre les manipulations mentales (centrum zwalczania manipulacji mentalnej, CCMM, Francja), dotyczącego samobójstwa popełnionego przez wyznawcę kościoła scjentologicznego w grudniu 2006 r. AF wymieniono w tym artykule jako osobę odpowiedzialną za tworzenie i utrzymywanie wizerunku kościoła scjentologicznego, której to funkcji osoba ta już wówczas nie wykonywała. Ponadto autor wspomnianego artykułu stwierdza, że skontaktował się z AF w celu uzyskania jego wersji wydarzeń, i relacjonuje zebrane przy tej okazji wypowiedzi.

27. BH zażądał usunięcia linków prowadzących do artykułów, głównie prasowych, dotyczących wszczętego w czerwcu 1995 r. dochodzenia w sprawie finansowania partii republikańskiej (PR), w ramach którego, wraz z kilkoma innymi biznesmenami i politykami, został postawiony w stan oskarżenia. Wszczęte przeciwko niemu postępowanie zostało umorzone w drodze postanowienia z dnia 26 lutego 2010 r. Większość spornych linków prowadzi do artykułów opublikowanych wtedy, gdy wszczęto śledztwo, i które, co za tym idzie, nie relacjonują wyniku postępowania.

28. ED zażądał usunięcia linków prowadzących do dwóch opublikowanych w Nice-Matin i Le Figaro artykułów relacjonujących rozprawę w sprawie karnej, na której został on skazany na karę siedmiu lat pozbawienia wolności oraz dodatkową karę dziesięciu lat dozoru kuratora za napaści na tle seksualnym na osoby małoletnie w wieku 15 lat. Jedna z tych kronik sądowych przytacza poza tym wiele intymnych szczegółów dotyczących ED, które zostały ujawnione w toku procesu.

29.  Po tym jak spółka Google odmówiła uwzględnienia ich żądań usunięcia linków, skarżący w postępowaniu głównym zwrócili się do CNIL ze skargami zmierzającymi do nakazania tej spółce usunięcia rozpatrywanych linków. Pismami odpowiednio z dni 24 kwietnia 2015 r., 28 sierpnia 2015 r., 21 marca 2016 r. i 9 maja 2016 r. przewodnicząca CNIL poinformowała skarżących o umorzeniu postępowań w sprawie ich skarg.

30. Skarżący w postępowaniach głównych wnieśli zatem skargi do Conseil d’État (rady stanu, Francja) przeciwko wydanym przez CNIL decyzjom odmawiającym wezwania spółki Google do żądanego usunięcia linków. Skargi te zostały połączone przez sąd odsyłający.

31. Po stwierdzeniu, że wspomniane skargi powodują szereg poważnych trudności w związku z wykładnią dyrektywy 95/46, Conseil d’État (rada stanu) postanowiła zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:

„1)      Czy, przy uwzględnieniu szczególnych zobowiązań, kompetencji i możliwości operatora wyszukiwarki, zakaz nałożony na innych administratorów danych przetwarzania danych objętych art. 8 ust. 1 i 5 dyrektywy [95/46], z zastrzeżeniem wyjątków przewidzianych w tym akcie, ma również zastosowanie do tego operatora jako administratora danych odpowiedzialnego za ich przetwarzanie dokonywane w ramach tej wyszukiwarki?

2)      W przypadku udzielenia odpowiedzi twierdzącej na [pytanie pierwsze]:

(a)      [C]zy przepisy art. 8 ust. 1 i 5 dyrektywy [95/46] należy interpretować w ten sposób, że nałożony w nich na operatora wyszukiwarki, z zastrzeżeniem wyjątków przewidzianych w tej dyrektywie, zakaz przetwarzania danych objętych tymi przepisami zobowiązuje go do systematycznego uwzględniania żądań usunięcia linków prowadzących do stron internetowych przetwarzających takie dane?

(b)      [W] tym kontekście – jak należy interpretować wyjątki przewidziane w art. 8 ust. 2 lit. a) i e) dyrektywy [95/46], kiedy mają one zastosowanie do operatora wyszukiwarki, biorąc pod uwagę jego szczególne zobowiązania, kompetencje i możliwości? W szczególności czy taki operator może odmówić uwzględnienia żądania usunięcia linków, jeśli stwierdzi, że rozpatrywane linki prowadzą do treści, które, jakkolwiek zawierają dane objęte kategoriami wymienionymi w art. 8 ust. 1, to jednak objęte są również zakresem wyjątków przewidzianych w ust. 2 tego samego artykułu, w szczególności [w lit. a) i e) tego ustępu]?

(c)      [P]odobnie – czy przepisy dyrektywy [95/46] należy interpretować w ten sposób, że kiedy linki, których usunięcia się żąda, prowadzą do przetwarzania danych osobowych dokonywanego wyłącznie w celach dziennikarskich lub w celu uzyskania wyrazu artystycznego lub literackiego, a więc, zgodnie z art. 9 dyrektywy [95/46], możliwe jest gromadzenie i przetwarzanie tych danych należących do kategorii wymienionych w art. 8 ust. 1 i 5 tej dyrektywy, operator wyszukiwarki może z tego powodu odmówić uwzględnienia żądania usunięcia linków?

3)      W wypadku udzielenia odpowiedzi przeczącej na [pytanie pierwsze]:

(a)      [J]akie szczególne wymogi zawarte w dyrektywie [95/46] powinien spełnić operator wyszukiwarki, biorąc pod uwagę jego zobowiązania, kompetencje i możliwości?

(b)      [C]zy jeśli stwierdzi on, że strony internetowe, do których prowadzą linki, których usunięcia się żąda, zawierają dane, których publikacja na omawianych stronach jest niezgodna z prawem, przepisy dyrektywy [95/46] należy interpretować w ten sposób:

–        że nakazują one operatorowi wyszukiwarki usunięcie tych linków z wyświetlonej listy wyników wyszukiwania dokonanego za pomocą imienia i nazwiska wnioskującego?

–        czy też że wymagają one jedynie, aby uwzględnił on tę okoliczność przy dokonywaniu oceny zasadności żądania usunięcia linków?

–        lub też że okoliczność ta nie ma wpływu na ocenę, jaką winien on przeprowadzić?

Ponadto, jeśli ta okoliczność nie jest bez znaczenia, jak należy oceniać zgodność z prawem publikacji spornych danych na stronach internetowych, pochodzących z przetwarzania nieobjętego terytorialnym zakresem stosowania dyrektywy [95/46], a w konsekwencji – transponującego je ustawodawstwa krajowego?

4)      Bez względu na odpowiedź udzieloną na [pytanie pierwsze]:

(a)      [N]iezależnie od zgodności z prawem publikacji danych osobowych na stronach internetowych, do których prowadzą sporne linki – czy przepisy dyrektywy [95/46] należy interpretować w ten sposób, że:

–        kiedy wnioskujący wykaże, iż te dane stały się niekompletne, niedokładne lub nieaktualne, operator wyszukiwarki jest zobowiązany do uwzględnienia żądania usunięcia odpowiednich linków?

–        dokładniej rzecz ujmując, kiedy wnioskodawca wykaże, że z uwagi na przebieg postępowania sądowego informacje dotyczące wcześniejszego etapu postępowania nie odpowiadają już jego aktualnej sytuacji, operator wyszukiwarki jest zobowiązany do usunięcia linków prowadzących do stron internetowych zawierających takie informacje?

(b)      [C]zy przepisy art. 8 ust. 5 dyrektywy [95/46] należy interpretować w ten sposób, że informacje dotyczące postępowania prowadzonego wobec jednostki lub relacjonujące proces oraz wyrok skazujący, który w nim zapada, stanowią dane dotyczące przestępstw i wyroków skazujących? Ogólnie rzecz ujmując, czy kiedy strona internetowa zawiera dane informujące o wyrokach skazujących lub o postępowaniach sądowych, których przedmiotem jest osoba fizyczna, to one objęte zakresem tych przepisów?”.

 W przedmiocie pytań prejudycjalnych

32.Zadane pytania dotyczą wykładni dyrektywy 95/46, która obowiązywała w chwili złożenia wniosku o wydanie orzeczenia w trybie prejudycjalnym. Dyrektywa ta została uchylona ze skutkiem od dnia 25 maja 2018 r., przy czym od tego samego dnia stosuje się rozporządzenie 2016/679.

33.Trybunał zbada zadane pytania pod kątem dyrektywy 95/46, uwzględniając jednak w analizie tych pytań również rozporządzenie 2016/679, aby zagwarantować, że jego odpowiedzi będą w każdym razie przydatne dla sądu odsyłającego.

 W przedmiocie pytania pierwszego

34. Zadając pytanie pierwsze, sąd odsyłający dąży zasadniczo do ustalenia, czy przepisy art. 8 ust. 1 i 5 dyrektywy 95/46 należy interpretować w ten sposób, że zakaz lub ograniczenia przetwarzania szczególnych kategorii danych osobowych, o których mowa w tych przepisach, mają zastosowanie, z zastrzeżeniem wyjątków przewidzianych w tej dyrektywie, również do operatora wyszukiwarki w ramach jego zobowiązań, kompetencji i możliwości jako administratora danych dokonującego przetwarzania na potrzeby funkcjonowania tej wyszukiwarki.

35. W tym względzie należy przypomnieć, po pierwsze, że działanie wyszukiwarek internetowych, które polega na lokalizowaniu informacji opublikowanych lub zamieszczonych w internecie przez osoby trzecie, indeksowaniu ich w sposób automatyczny, czasowym przechowywaniu takich informacji i, wreszcie, udostępnianiu ich internautom w sposób uporządkowany zgodnie z określonymi preferencjami, w sytuacji gdy informacje takie zawierają dane osobowe, należy uznać za „przetwarzanie danych osobowych” w rozumieniu art. 2 lit. b) dyrektywy 95/46 oraz, po drugie, że operatora tej wyszukiwarki internetowej należy uznać za „administratora” odpowiedzialnego za to przetwarzanie danych w rozumieniu art. 2 lit. d) tej dyrektywy (wyrok z dnia 13 maja 2014 r., Google Spain i Google, C‑131/12, EU:C:2014:317, pkt 41).

36. Przetwarzanie danych osobowych, które ma miejsce w ramach działania wyszukiwarki, różni się bowiem od tego dokonywanego przez wydawców stron internetowych i polegającego na zamieszczaniu tych danych na stronie internetowej, oraz ma dodatkowy względem niego charakter; działanie to odgrywa decydującą rolę w rozpowszechnianiu tych danych na globalną skalę ze względu na to, iż dzięki niemu są one dostępne wszystkim internautom prowadzącym wyszukiwanie mające za punkt wyjścia imię i nazwisko danej osoby, w tym również tym z nich, którzy w przeciwnym razie nie znaleźliby strony internetowej, na której publikowane są te same dane. Ponadto dokonywane za pomocą wyszukiwarek internetowych porządkowanie i łączenie w poszczególne całości publikowanych w internecie informacji w celu ułatwienia jego użytkownikom dostępu do nich może – w sytuacji gdy prowadzą oni wyszukiwanie, przyjmując za punkt wyjścia imię i nazwisko osoby fizycznej – prowadzić do tego, że użytkownicy ci otrzymają, w postaci listy wyników wyszukiwania, ustrukturyzowany przegląd dotyczących tej osoby informacji, jakie można znaleźć w internecie, umożliwiających im sporządzenie mniej lub bardziej szczegółowego profilu danej osoby (wyrok z dnia 13 maja 2014 r., Google Spain i Google, C‑131/12, EU:C:2014:317, pkt 35–37).

37. W konsekwencji, ze względu na to, że działanie wyszukiwarki internetowej może zatem znacząco oddziaływać na prawa podstawowe do poszanowania prywatności i ochrony danych osobowych w dodatkowy w stosunku do działalności prowadzonej przez wydawców stron internetowych sposób, operator tej wyszukiwarki, jako osoba określająca cele i sposoby tego działania, winien w ramach spoczywającej na nim odpowiedzialności zapewnić, by spełniało ono określone w dyrektywie 95/46 wymogi, tak aby przewidziane w niej gwarancje były w pełni skuteczne i aby można było rzeczywiście zrealizować jej cel polegający na skutecznej i pełnej ochronie objętych nią osób, w szczególności w odniesieniu do ich prawa do poszanowania ich prywatności (wyrok z dnia 13 maja 2014 r., Google Spain i Google, C‑131/12, EU:C:2014:317, pkt 38).

38.  Pierwsze pytanie prejudycjalne dotyczy ustalenia kwestii, czy w ramach swoich zobowiązań, kompetencji i możliwości operator wyszukiwarki musi również spełniać wymogi określone w dyrektywie 95/46 w odniesieniu do szczególnych kategorii danych osobowych, o których mowa w art. 8 ust. 1 i 5 tej dyrektywy, jeżeli dane te są zawarte w informacjach publikowanych lub zamieszczanych w internecie przez osoby trzecie i są przetwarzane przez tego operatora na potrzeby funkcjonowania wyszukiwarki.

39. Jeśli chodzi o szczególne kategorie danych, to art. 8 ust. 1 dyrektywy 95/46 stanowi, że państwa członkowskie zabraniają przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, opinie polityczne, przekonania religijne lub filozoficzne, przynależność do związków zawodowych, jak również przetwarzania danych dotyczących zdrowia i życia seksualnego. Pewne wyjątki i odstępstwa od tego zakazu są przewidziane między innymi we wspomnianym art. 8 ust. 2.

40. Artykuł 8 ust. 5 dyrektywy 95/46 stanowi, że przetwarzanie danych dotyczących przestępstw (czynów zabronionych), wyroków skazujących lub środków bezpieczeństwa może być dokonywane jedynie pod kontrolą władz publicznych, lub też, jeżeli zgodnie z prawem krajowym ustanowiono określone środki zabezpieczające, z zachowaniem odstępstw, których państwo członkowskie może udzielić zgodnie z obowiązującymi przepisami prawa krajowego, zapewniając zachowanie odpowiednich zabezpieczeń. Jednak kompletny rejestr przestępstw kryminalnych może być prowadzony tylko pod kontrolą władzy publicznej. Państwa członkowskie mogą ustanowić przepisy zobowiązujące oficjalny organ do sprawowania kontroli nad przetwarzaniem danych dotyczących sankcji administracyjnych lub orzeczeń w sprawach cywilnych.

41. Treść art. 8 ust. 1 i 5 dyrektywy 95/46 została, po wprowadzeniu kilku zmian, powielona w art. 9 ust. 1 i art. 10 rozporządzenia 2016/679.

42. Należy przede wszystkim stwierdzić, że z brzmienia tych przepisów dyrektywy 95/46 i rozporządzenia 2016/679 wynika, że ustanowione przez nie zakaz oraz ograniczenia mają zastosowanie, z zastrzeżeniem wyjątków przewidzianych w tej dyrektywie i w tym rozporządzeniu, do każdego rodzaju przetwarzania szczególnych kategorii danych, o których mowa w tych przepisach, oraz do wszystkich administratorów dokonujących takiego przetwarzania.

43.  Następnie, żaden inny przepis wspomnianej dyrektywy ani wspomnianego rozporządzenia nie przewiduje ogólnego odstępstwa od tego zakazu ani od tych ograniczeń na rzecz takiego przetwarzania danych jak przetwarzanie dokonywane w ramach działania wyszukiwarki. Przeciwnie, jak wynika z pkt 37 niniejszego wyroku, z ogólnej systematyki tych aktów wynika, że operator takiej wyszukiwarki musi, podobnie jak każdy inny administrator danych, zapewnić w ramach swoich zobowiązań, kompetencji i możliwości, by przetwarzanie danych osobowych, którego dokonuje, było zgodne z wymogami, odpowiednio, dyrektywy 95/46 lub rozporządzenia 2016/679.

44. Wreszcie, wykładnia art. 8 ust. 1 i 5 dyrektywy 95/46 lub art. 9 ust. 1 i art. 10 rozporządzenia 2016/679, która wyłączałaby a priori i w sposób ogólny działanie wyszukiwarki ze szczególnych wymogów, które przepisy te ustanawiają w odniesieniu do przetwarzania szczególnych kategorii danych wymienionych w tych przepisach, byłaby sprzeczna z celem tychże przepisów, polegającym na zapewnieniu zwiększonej ochrony w zakresie takiego przetwarzania, które, ze względu na szczególną wrażliwość takich danych, może stanowić, jak wynika również z motywu 33 tej dyrektywy i motywu 51 tego rozporządzenia, szczególnie poważną ingerencję w podstawowe prawa do poszanowania życia prywatnego i ochrony danych osobowych, które są zagwarantowane w art. 7 i 8 karty.

45. Wprawdzie, w przeciwieństwie do tego, co twierdzi w szczególności spółka Google, szczególne cechy przetwarzania dokonywanego przez operatora wyszukiwarki w ramach jej działania nie mogą zatem uzasadniać zwolnienia tego operatora z obowiązku przestrzegania art. 8 ust. 1 i 5 dyrektywy 95/46 oraz art. 9 ust. 1 i art. 10 rozporządzenia 2016/679, cechy te mogą jednak wpływać na zakres odpowiedzialności operatora i konkretnych obowiązków spoczywających na nim w świetle tych przepisów.

46. tym względzie należy zauważyć, że jak podkreśla Komisja Europejska, operator wyszukiwarki odpowiada nie za to, iż dane osobowe objęte tymi przepisami znajdują się na stronie internetowej opublikowanej przez osobę trzecią, ale za odsyłanie do tej strony, a w szczególności za wyświetlenie linku do niej na udostępnianej internautom liście wyników wyszukiwania, którego punktem wyjścia jest imię i nazwisko danej osoby fizycznej, gdyż takie wyświetlenie danego linku na takiej liście może znacząco oddziaływać na prawa podstawowe do poszanowania życia prywatnego i do ochrony danych osobowych osoby, której dane dotyczą (zob. podobnie wyrok z dnia 13 maja 2014 r., Google Spain i Google, C‑131/12, EU:C:2014:317, pkt 80).

47. W tych okolicznościach, biorąc pod uwagę zobowiązania, kompetencje i możliwości operatora wyszukiwarki jako administratora danych dokonującego przetwarzania w ramach działania tej wyszukiwarki, zakazy i ograniczenia przewidziane w art. 8 ust. 1 i 5 dyrektywy 95/46, jak również w art. 9 ust. 1 i art. 10 rozporządzenia 2016/679 znajdują – jak wskazał rzecznik generalny w pkt 56 opinii i jak zauważyły zasadniczo wszystkie zainteresowane strony, które zajęły stanowisko w tej kwestii – zastosowanie do tego operatora, ale tylko w zakresie dotyczącym wspomnianego odsyłania do stron internetowych, w rezultacie kontroli przeprowadzanej pod nadzorem właściwych organów krajowych po wniesieniu żądania przez osobę, której dane dotyczą.

48. Z powyższego wynika, że na pytanie pierwsze należy odpowiedzieć, iż przepisy art. 8 ust. 1 i 5 dyrektywy 95/46 należy interpretować w ten sposób, że zakaz lub ograniczenia przetwarzania szczególnych kategorii danych osobowych, o których mowa w tych przepisach, mają zastosowanie, z zastrzeżeniem wyjątków przewidzianych w tej dyrektywie, również do operatora wyszukiwarki w ramach jego zobowiązań, kompetencji i możliwości jako administratora danych dokonującego ich przetwarzania w trakcie działania tej wyszukiwarki, przy okazji kontroli przeprowadzanej przez tego operatora pod nadzorem właściwych organów krajowych, w następstwie wniesienia żądania przez osobę, której dane dotyczą.

 W przedmiocie pytania drugiego

49. Zadając pytanie drugie, które składa się z trzech części, sąd odsyłający zmierza zasadniczo do ustalenia:

–        czy przepisy art. 8 ust. 1 i 5 dyrektywy 95/46 należy interpretować w ten sposób, że na mocy tych przepisów operator wyszukiwarki jest zobowiązany, z zastrzeżeniem wyjątków przewidzianych w tej dyrektywie, do uwzględniania żądań usunięcia linków prowadzących do stron internetowych zawierających dane osobowe należące do szczególnych kategorii określonych w tych przepisach;

–        czy art. 8 ust. 2 lit. a) i e) dyrektywy 95/46 należy interpretować w ten sposób, że zgodnie z tym przepisem taki operator może odmówić uwzględnienia żądania usunięcia linków, jeżeli stwierdzi, iż rozpatrywane linki prowadzą do treści zawierających dane osobowe należące do szczególnych kategorii, o których mowa w tym art. 8 ust. 1, lecz których przetwarzanie jest objęte jednym z wyjątków przewidzianych we wspomnianym art. 8 ust. 2 lit. a) i e); oraz

–        czy przepisy dyrektywy 95/46 należy interpretować w ten sposób, że operator wyszukiwarki może również odmówić uwzględnienia żądania usunięcia linków ze względu na to, iż linki, których usunięcia się żąda, prowadzą do stron internetowych, na których dane osobowe należące do szczególnych kategorii, o których mowa w art. 8 ust. 1 lub 5 tej dyrektywy, są opublikowane wyłącznie w celach dziennikarskich lub w celu uzyskania wyrazu artystycznego lub literackiego oraz iż w związku z tym publikacja ta jest objęta wyjątkiem przewidzianym w art. 9 wspomnianej dyrektywy.

50. Na wstępie należy zauważyć, że w kontekście dyrektywy 95/46 żądania usunięcia linków, takie jak te będące przedmiotem postępowań głównych, opierają się w szczególności na art. 12 lit. b) tej dyrektywy, zgodnie z którym państwa członkowskie zapewniają osobom, których dane dotyczą, prawo do uzyskania od administratora danych usunięcia danych, których przetwarzanie jest niezgodne z tą dyrektywą.

51. Ponadto zgodnie z art. 14 akapit pierwszy lit. a) dyrektywy 95/46 państwa członkowskie przyznają osobie, której dane dotyczą, przynajmniej w przypadkach wymienionych w art. 7 lit. e) i f) tej dyrektywy, w dowolnym czasie z ważnych i uzasadnionych przyczyn wynikających z jej konkretnej sytuacji, prawo sprzeciwu co do przetwarzania dotyczących jej danych, z zastrzeżeniem odmiennych postanowień ustawodawstwa krajowego.

52. W tym względzie należy przypomnieć, że Trybunał orzekł, iż art. 12 lit. b) oraz art. 14 akapit pierwszy lit. a) dyrektywy 95/46 należy interpretować w ten sposób, że ustanowione w tych przepisach normy są przestrzegane, a przewidziane w nich warunki rzeczywiście spełnione wówczas, gdy operator wyszukiwarki internetowej jest zobowiązany do usunięcia z wyświetlanej listy wyników wyszukiwania mającego za punkt wyjścia imię i nazwisko danej osoby linków do publikowanych przez osoby trzecie stron internetowych zawierających dotyczące tej osoby informacje, również w przypadku gdy to imię czy nazwisko czy też te informacje nie zostały uprzednio czy też jednocześnie usunięte z tych stron internetowych, i, w odpowiednim przypadku, nawet jeśli ich publikacja na tych stronach jest zgodna z prawem (wyrok z dnia 13 maja 2014 r., Google Spain i Google, C‑131/12, EU:C:2014:317, pkt 88).

53. Trybunał wyjaśnił ponadto, że w ramach oceny tego, czy spełnione zostały warunki zastosowania wspomnianych przepisów, należy w szczególności przeanalizować kwestię, czy osoba, której dotyczą dane, ma prawo do tego, aby konkretna dotycząca jej informacja nie była już, w aktualnym stanie rzeczy, powiązana z jej imieniem i nazwiskiem poprzez listę wyświetlającą wyniki wyszukiwania mającego za punkt wyjścia to imię i nazwisko, przy czym stwierdzenie, iż takie prawo przysługuje, pozostaje bez związku z tym, czy zawarcie na tej liście wyników wyszukiwania danej informacji wyrządza szkodę tej osobie. Ponieważ osoba ta może, ze względu na przysługujące jej i przewidziane w art. 7 i 8 karty prawa podstawowe, zażądać, aby dana informacja nie była już podawana do wiadomości szerokiego kręgu odbiorców poprzez zawarcie jej na takiej liście wyników wyszukiwania, prawa te są co do zasady nadrzędne nie tylko wobec interesu gospodarczego operatora wyszukiwarki internetowej, lecz również wobec interesu, jaki ten krąg odbiorców może mieć w znalezieniu rzeczonej informacji w ramach wyszukiwania prowadzonego w przedmiocie imienia i nazwiska tej osoby. Taka sytuacja nie ma jednak miejsca, jeśli ze szczególnych powodów, takich jak rola odgrywana przez tę osobę w życiu publicznym, należałoby uznać, że ingerencja w prawa podstawowe tej osoby jest uzasadniona nadrzędnym interesem tego kręgu odbiorców, polegającym na posiadaniu, dzięki temu umieszczeniu na liście, dostępu do danej informacji (wyrok z dnia 13 maja 2014 r., Google Spain i Google, C‑131/12, EU:C:2014:317, pkt 99).

54. W ramach rozporządzenia 2016/679 ustawodawca Unii Europejskiej przewidział w art. 17 tego rozporządzenia przepis szczególny regulujący „prawo do usunięcia danych”, zwane również w tytule tego artykułu „prawem do bycia zapomnianym”.

55. Na podstawie wspomnianego art. 17 ust. 1 osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, jeżeli zachodzi jedna z okoliczności wymienionych w tym przepisie. Wśród nich wspomniany przepis wymienia okoliczność polegającą na tym, że dane te nie są już niezbędne do celów przetwarzania, że osoba, której dane dotyczą, cofnęła zgodę, na której opiera się przetwarzanie, i nie ma innej podstawy prawnej przetwarzania, że osoba, której dane dotyczą, wnosi sprzeciw wobec przetwarzania na mocy art. 21 ust. 1 lub 2 rozporządzenia 2016/679 zastępującego art. 14 dyrektywy 95/46, że dane były przetwarzane niezgodnie z prawem, że muszą one zostać usunięte w celu wywiązania się z obowiązku prawnego lub że zostały zebrane w ramach usług społeczeństwa informacyjnego oferowanych dziecku.

56. Jednakże art. 17 ust. 3 rozporządzenia 2016/679 uściśla, że art. 17 ust. 1 tego rozporządzenia nie ma zastosowania w zakresie, w jakim rozpatrywane przetwarzanie jest niezbędne z jednego z powodów wymienionych w tym pierwszym przepisie. Wśród tych powodów w art. 17 ust. 3 lit. a) tego rozporządzenia wymienia się korzystanie między innymi z prawa do wolności informacji.

57. Okoliczność, że art. 17 ust. 3 lit. a) rozporządzenia 2016/679 wyraźnie obecnie przewiduje, że prawo do usunięcia danych osoby, której dane dotyczą, jest wykluczone, jeżeli przetwarzanie danych jest niezbędne do korzystania z prawa związanego między innymi z wolnością informacji zagwarantowaną w art. 11 karty, stanowi wyraz tego, iż prawo do ochrony danych osobowych nie stanowi prawa bezwzględnego, lecz należy, jak podkreśla się w motywie 4 tego rozporządzenia, je postrzegać w kontekście jego funkcji społecznej i wyważyć względem innych praw podstawowych w myśl zasady proporcjonalności [zob. podobnie wyrok z dnia 9 listopada 2010 r., Volker und Markus Schecke i Eifert, C‑92/09 i C‑93/09, EU:C:2010:662, pkt 48; a także opinia 1/15 (Umowa PNR UE-Kanada) z dnia 26 lipca 2017 r., EU:C:2017:592, pkt 136].

58.  W tym kontekście należy przypomnieć, że art. 52 ust. 1 karty dopuszcza wprowadzenie ograniczeń w wykonywaniu praw takich jak prawa ustanowione w art. 7 i 8 karty, o ile przewidziane są one ustawą, szanują istotę tych praw i wolności oraz z zastrzeżeniem zasady proporcjonalności są konieczne i rzeczywiście odpowiadają celom interesu ogólnego uznawanym przez Unię lub potrzebom ochrony praw i wolności innych osób (wyrok z dnia 9 listopada 2010 r., Volker und Markus Schecke i Eifert, C‑92/09 i C‑93/09, EU:C:2010:662, pkt 50).

59. Rozporządzenie 2016/679, a w szczególności jego art. 17 ust. 3 lit. a), wyraźnie ustanawia zatem wymóg zapewnienia równowagi między, z jednej strony, prawami podstawowymi do poszanowania życia prywatnego i ochrony danych osobowych, ustanowionymi w art. 7 i 8 karty, a, z drugiej strony, podstawowym prawem do wolności informacji, zagwarantowanym w art. 11 karty.

60. To w świetle powyższych rozważań należy zbadać, na jakich warunkach operator wyszukiwarki jest zobowiązany do uwzględnienia żądania usunięcia linków, a zatem do usunięcia z wyświetlanej listy wyników wyszukiwania mającego za punkt wyjścia imię i nazwisko osoby, której dane dotyczą, linku do strony internetowej zawierającej dane osobowe należące do szczególnych kategorii danych, o których mowa w art. 8 ust. 1 i 5 dyrektywy 95/46.

61. W tym względzie należy przede wszystkim stwierdzić, że przetwarzanie przez operatora wyszukiwarki szczególnych kategorii danych, o których mowa w art. 8 ust. 1 dyrektywy 95/46, może co do zasady podlegać wyjątkom przewidzianym we wspomnianym art. 8 ust. 2 lit. a) i e), do którego odwołuje się sąd odsyłający i który stanowi, że zakaz przetwarzania tych szczególnych kategorii danych nie ma zastosowania, jeżeli osoba, której dane dotyczą, udzieliła wyraźnej zgody na takie przetwarzanie, chyba że ustawodawstwo danego państwa członkowskiego zabrania takiego wyrażenia zgody lub przetwarzanie dotyczy w szczególności danych, które są podawane do wiadomości publicznej przez tę osobę. Wyjątki te są obecnie przewidziane w art. 9 ust. 2 lit. a) i e) rozporządzenia 2016/679. Ponadto jego art. 9 ust. 2 lit. g), który zasadniczo powiela art. 8 ust. 4 dyrektywy 95/46, zezwala na przetwarzanie tych kategorii danych, jeśli przetwarzanie to jest niezbędne ze względów związanych z ważnym interesem publicznym, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie i konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą.

62. Jeśli chodzi o wyjątek, o którym mowa w art. 8 ust. 2 lit. a) dyrektywy 95/46 i art. 9 ust. 2 lit. a) rozporządzenia 2016/679, z definicji pojęcia „zgody” zawartej w art. 2 lit. h) tej dyrektywy i art. 4 ust. 11 tego rozporządzenia wynika, że zgoda taka musi być „konkretna”, a zatem dotyczyć konkretnie przetwarzania dokonywanego w ramach działania wyszukiwarki, a tym samym faktu, że przetwarzanie to umożliwia osobom trzecim uzyskanie, za pomocą wyszukiwania mającego za punkt wyjścia imię i nazwisko tej osoby, listy wyników zawierającej linki prowadzące do stron internetowych, które zawierają dane wrażliwe jej dotyczące. Jednakże w praktyce trudno jest sobie wyobrazić – i nie wynika to poza tym z przedłożonych Trybunałowi akt sprawy – aby operator wyszukiwarki przed przystąpieniem do przetwarzania danych osobowych ubiegał się, dla potrzeb swojej działalności w zakresie odsyłania do stron internetowych, o wyraźną zgodę osób, których te dane dotyczą. W każdym razie, jak zauważyły w szczególności rządy francuski i polski oraz Komisja, sam fakt, że dana osoba wnosi żądanie o usunięcie linków, oznacza co do zasady, że przynajmniej w dniu złożenia tego żądania osoba ta nie wyraża już zgody na przetwarzanie danych przez operatora wyszukiwarki. W tym kontekście należy również przypomnieć, że art. 17 ust. 1 lit. b) wspomnianego rozporządzenia wymienia wśród powodów uzasadniających „prawo do bycia zapomnianym” okoliczność, że osoba, której dane dotyczą, cofa zgodę, na której opiera się przetwarzanie, zgodnie z art. 9 ust. 2 lit. a) tego samego rozporządzenia, a także brak innej podstawy prawnej dla przetwarzania.

63. Natomiast okoliczność, o której mowa w art. 8 ust. 2 lit. e) dyrektywy 95/46 i art. 9 ust. 2 lit. e) rozporządzenia 2016/679, polegająca na tym, że rozpatrywane dane zostały wyraźnie podane do wiadomości publicznej przez osobę, której dane dotyczą, jak wskazały zasadniczo wszystkie zainteresowane strony, które się na ten temat wypowiedziały, powinna mieć zastosowanie zarówno do operatora wyszukiwarki, jak i do wydawcy danej strony internetowej.

64. W związku z tym w takim przypadku, pomimo umieszczenia na wspomnianej stronie internetowej, do której prowadzą wyświetlane linki, danych osobowych należących do szczególnych kategorii danych, o których mowa w art. 8 ust. 1 dyrektywy 95/46 i art. 9 ust. 1 rozporządzenia 2016/679, przetwarzanie takich danych przez operatora wyszukiwarki w ramach jej działania jest – pod warunkiem że spełnia ono również inne ustanowione warunki zgodności przetwarzania z prawem, w szczególności w art. 6 tej dyrektywy lub art. 5 tego rozporządzenia (zob. podobnie wyrok z dnia 13 maja 2014 r., Google Spain i Google, C‑131/12, EU:C:2014:317, pkt 72) – zgodne z tymi przepisami.

65. Jednak nawet w tym przypadku osoba, której dane dotyczą, może, zgodnie z art. 14 ust. 1 lit. a) dyrektywy 95/46 lub art. 17 ust. 1 lit. c) i art. 21 ust. 1 rozporządzenia 2016/679, mieć prawo do żądania usunięcia danego linku z przyczyn związanych z jej szczególną sytuacją.

66. W każdym wypadku operator wyszukiwarki, do którego skierowano żądanie usunięcia linków, musi sprawdzić, czy z uwagi na względy związane z ważnym interesem publicznym, o których mowa w art. 8 ust. 4 dyrektywy 95/46 lub art. 9 ust. 2 lit. g) rozporządzenia 2016/679, oraz zgodnie z warunkami określonymi w tych przepisach, umieszczenie linku do danej strony internetowej na wyświetlanej liście wyników wyszukiwania mającego za punkt wyjścia imię i nazwisko osoby, której dane dotyczą, jest niezbędne do skorzystania przez internautów potencjalnie zainteresowanych uzyskaniem, dzięki takiemu wyszukiwaniu, dostępu do tej strony internetowej, z prawa do wolności informacji, która to wolność jest chroniona na mocy art. 11 karty. Choć chronione na mocy art. 7 i 8 karty prawa osoby, której dotyczą dane, są co do zasady nadrzędne wobec prawa do wolności informacji przysługującego internautom, to jednak równowaga ta może, w szczególnych przypadkach, zależeć od charakteru rozpatrywanych informacji i od tego, jak istotne są one dla prywatności osoby, której dane dotyczą, oraz od publicznego interesu w dysponowaniu tą informacją, który to z kolei interes może być uzależniony w szczególności od roli odgrywanej przez tę osobę w życiu publicznym (zob. podobnie wyrok z dnia 13 maja 2014 r., Google Spain i Google, C‑131/12, EU:C:2014:317, pkt 81).

67. Ponadto, w przypadku, gdy przetwarzanie dotyczy szczególnych kategorii danych, o których mowa w art. 8 ust. 1 i 5 dyrektywy 95/46 lub art. 9 ust. 1 i art. 10 rozporządzenia 2016/679, ingerencja w prawa podstawowe do poszanowania życia prywatnego i ochrony danych osobowych osoby, której dane dotyczą, może – jak stwierdzono w pkt 44 niniejszego wyroku – być szczególnie poważna, ze względu na wrażliwość takich danych.

68. W związku z tym, gdy do operatora wyszukiwarki skierowano żądanie usunięcia linku do strony internetowej, na której są opublikowane takie dane wrażliwe, operator ten musi, na podstawie wszystkich istotnych elementów danego przypadku i uwzględniając powagę ingerencji w ustanowione w art. 7 i 8 karty prawa podstawowe do poszanowania życia prywatnego i ochrony danych osobowych przysługujące osobie, której dane dotyczą, sprawdzić, czy z uwagi na względy związane z ważnym interesem publicznym, o których mowa w art. 8 ust. 4 dyrektywy 95/46 lub art. 9 ust. 2 lit. g) rozporządzenia 2016/679, oraz zgodnie z warunkami określonymi w tych przepisach, umieszczenie linku do danej strony internetowej na wyświetlanej liście wyników wyszukiwania mającego za punkt wyjścia imię i nazwisko osoby, której dane dotyczą, jest ściśle niezbędne do ochrony prawa do wolności informacji przysługującego internautom potencjalnie zainteresowanym uzyskaniem, dzięki takiemu wyszukiwaniu, dostępu do tej strony internetowej, która to wolność jest chroniona na mocy art. 11 karty.

69. Z całości powyższych rozważań wynika, że na pytanie drugie należy odpowiedzieć w następujący sposób:

–        Przepisy art. 8 ust. 1 i 5 dyrektywy 95/46 należy interpretować w ten sposób, że na ich mocy operator wyszukiwarki jest co do zasady zobowiązany, z zastrzeżeniem wyjątków przewidzianych w tej dyrektywie, do uwzględniania żądań usunięcia linków prowadzących do stron internetowych zawierających dane osobowe należące do szczególnych kategorii danych określonych w tych przepisach.

–        Artykuł 8 ust. 2 lit. e) dyrektywy 95/46 należy interpretować w ten sposób, że na jego podstawie taki operator może odmówić uwzględnienia żądania usunięcia linków, jeżeli stwierdzi, że rozpatrywane linki prowadzą do treści zawierających dane osobowe należące do szczególnych kategorii danych, o których mowa w tym art. 8 ust. 1, lecz których przetwarzanie jest objęte jednym z wyjątków przewidzianych we wspomnianym art. 8 ust. 2 lit. e), pod warunkiem że przetwarzanie to spełnia wszystkie inne warunki zgodności przetwarzania z prawem ustanowione w niniejszej dyrektywie i o ile osoba, której dane dotyczą, zgodnie z art. 14 ust. 1 lit. a) tej dyrektywy, nie sprzeciwi się takiemu przetwarzaniu z ważnych i uzasadnionych przyczyn związanych z jej szczególną sytuacją.

–        Przepisy dyrektywy 95/46 należy interpretować w ten sposób, że w przypadku, gdy do operatora wyszukiwarki skierowano żądanie usunięcia linku do strony internetowej, na której są opublikowane dane osobowe należące do szczególnych kategorii danych, o których mowa w art. 8 ust. 1 lub 5 tej dyrektywy, operator ten musi, na podstawie wszystkich istotnych elementów danego przypadku i uwzględniając powagę ingerencji w ustanowione w art. 7 i 8 karty prawa podstawowe do poszanowania życia prywatnego i ochrony danych osobowych przysługujące osobie, której dane dotyczą, sprawdzić, czy z uwagi na względy związane z ważnym interesem publicznym, o których mowa w art. 8 ust. 4 wspomnianej dyrektywy oraz zgodnie z warunkami określonymi w tym ostatnim przepisie, umieszczenie linku do danej strony internetowej na wyświetlanej liście wyników wyszukiwania mającego za punkt wyjścia imię i nazwisko osoby, której dane dotyczą, jest ściśle niezbędne do ochrony prawa do wolności informacji przysługującego internautom potencjalnie zainteresowanym uzyskaniem, dzięki takiemu wyszukiwaniu, dostępu do tej strony internetowej, która to wolność jest chroniona na mocy art. 11 karty.

 W przedmiocie pytania trzeciego

70. Ponieważ pytanie to zadaje się jedynie na wypadek udzielenia odpowiedzi przeczącej na pytanie pierwsze, z uwagi na odpowiedź twierdzącą udzieloną na to ostatnie pytanie nie ma potrzeby udzielania odpowiedzi na pytanie trzecie.

 W przedmiocie pytania czwartego

71. Zadając pytanie czwarte, sąd odsyłający zastanawia się zasadniczo, czy przepisy dyrektywy 95/46 należy interpretować w ten sposób, że:

–        z jednej strony, informacje dotyczące postępowania sądowego, którego przedmiotem była osoba fizyczna, oraz, w stosownych przypadkach, informacje dotyczące wyroku skazującego, który w nim zapadł, stanowią dane dotyczące „przestępstw (czynów zabronionych)” i „wyroków skazujących” w rozumieniu art. 8 ust. 5 dyrektywy 95/46, i

–        z drugiej strony, operator wyszukiwarki jest zobowiązany do uwzględnienia żądania usunięcia linków prowadzących do stron internetowych zawierających takie informacje, jeżeli informacje te dotyczą wcześniejszego etapu rozpatrywanego postępowania sądowego i nie odpowiadają już, biorąc pod uwagę przebieg tego postępowania, aktualnej sytuacji.

72. W tym względzie należy stwierdzić, że – jak zauważył rzecznik generalny w pkt 100 opinii oraz jak podniosły w szczególności rząd francuski, Irlandia, rządy włoski i polski oraz Komisja – informacje dotyczące postępowania sądowego prowadzonego przeciwko osobie fizycznej, takie jak informacje dotyczące postawienia jej w stan oskarżenia lub relacjonujące proces oraz, w stosownych przypadkach, wyrok skazujący, który w nim zapadł, stanowią dane dotyczące „przestępstw (czynów zabronionych)” i „wyroków skazujących” w rozumieniu art. 8 ust. 5 akapit pierwszy dyrektywy 95/46 i art. 10 rozporządzenia 2016/679, niezależnie od faktu, czy w toku tego postępowania sądowego faktycznie stwierdzono popełnienie przestępstwa czy też czynu zabronionego, za które dana osoba była ścigana.

73. W związku z tym, umieszczając na wyświetlanej liście wyników wyszukiwania mającego za punkt wyjścia imię i nazwisko osoby, której dane dotyczą, linków do stron internetowych, na których takie dane są opublikowane, operator wyszukiwarki dokonuje przetwarzania tych danych, które na podstawie art. 8 ust. 5 akapit pierwszy dyrektywy 95/46 i art. 10 rozporządzenia 2016/679 podlega szczególnym ograniczeniom. Jak zauważyła Komisja, takie przetwarzanie może – na mocy tych przepisów i z zastrzeżeniem poszanowania innych warunków zgodności przetwarzania z prawem ustanowionych w tej dyrektywie i w tym rozporządzeniu – być zgodne z prawem, w szczególności jeżeli w przepisach prawa krajowego ustanowiono odpowiednie i określone środki zabezpieczające, co może mieć miejsce w przypadku, gdy dane informacje zostały podane do wiadomości publicznej przez władze publiczne zgodnie z mającym zastosowanie prawem krajowym.

74.  Odnośnie do wspomnianych innych warunków zgodności przetwarzania z prawem należy przypomnieć, że z wymogów określonych w art. 6 ust. 1 lit. c)–e) dyrektywy 95/46, które są obecnie zawarte w art. 5 ust. 1 lit. c)–e) rozporządzenia 2016/679, wynika, że nawet początkowo zgodne z prawem przetwarzanie prawidłowych danych może wraz z upływem czasu stać się niezgodne z tą dyrektywą lub rozporządzeniem, jeśli dane te nie są już potrzebne do realizacji celów, ze względu na które były gromadzone i przetwarzane. Ma to miejsce w szczególności wówczas, gdy należy uznać je za niewłaściwe, (już) niestosowne czy też nadmierne w stosunku do celów, w jakich są one przetwarzane, czy też ze względu na upływ czasu (wyrok z dnia 13 maja 2014 r., Google Spain i Google, C‑131/12, EU:C:2014:317, pkt 93).

75. Jednakże, jak stwierdzono w pkt 66 niniejszego wyroku, nawet w przypadku, gdy przetwarzanie danych, o którym mowa w art. 8 ust. 5 dyrektywy 95/46 i art. 10 rozporządzenia 2016/679, nie jest objęte ograniczeniami określonymi w tych przepisach czy też nie odpowiada innym warunkom zgodności przetwarzania z prawem, takim jak te ustanowione w art. 6 ust. 1 lit. c)–e) tej dyrektywy i art. 5 ust. 1 lit. c)–e) tego rozporządzenia, na operatorze wyszukiwarki nadal spoczywa obowiązek sprawdzenia tego, czy z uwagi na względy związane z ważnym interesem publicznym, o których mowa w art. 8 ust. 4 wspomnianej dyrektywy lub w art. 9 ust. 2 lit. g) wspomnianego rozporządzenia oraz zgodnie z warunkami określonymi w tych przepisach, umieszczenie linku do danej strony internetowej na wyświetlanej liście wyników wyszukiwania mającego za punkt wyjścia imię i nazwisko osoby, której dane dotyczą, jest niezbędne do skorzystania przez internautów potencjalnie zainteresowanych uzyskaniem, dzięki takiemu wyszukiwaniu, dostępu do tej strony internetowej, z prawa do wolności informacji, która jest chroniona na mocy art. 11 karty.

76. W tym względzie należy zauważyć, że z orzecznictwa Europejskiego Trybunału Praw Człowieka wynika, iż skierowane przez zainteresowane osoby żądania zakazania, zgodnie z art. 8 europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności, podpisanej w Rzymie w dniu 4 listopada 1950 r., udostępniania w internecie przez różne media wcześniejszych reportaży o prowadzonym przeciwko tym osobom procesie karnym, wymaga zbadania tego, czy zachowana została właściwa równowaga między prawem do poszanowania życia prywatnego wspomnianych osób a, w szczególności, swobodnym dostępem opinii publicznej do informacji. W poszukiwaniu tej właściwej równowagi należy uwzględnić zasadniczą rolę, którą w społeczeństwie demokratycznym odgrywa prasa i która obejmuje pisanie sprawozdań oraz komentarzy dotyczących postępowań sądowych. Ponadto do funkcji mediów polegającej na przekazywaniu takich informacji i idei należy dodać prawo opinii publicznej do ich otrzymania. Europejski Trybunał Praw Człowieka uznał w tym kontekście, że opinia publiczna ma interes nie tylko w uzyskaniu informacji o bieżącym wydarzeniu, ale również w uzyskaniu możliwości wyszukiwania przeszłych wydarzeń, przy czym zakres interesu publicznego w związku z postępowaniami karnymi jest różny i może się zmieniać w czasie w zależności, między innymi, od okoliczności sprawy (wyrok ETPC z dnia 28 czerwca 2018 r. w sprawie M.L. i W.W. przeciwko Niemcom, CE:ECHR:2018:0628JUD006079810, § 89 i 100–102).

77. To do operatora wyszukiwarki należy zatem dokonanie, w ramach rozpatrywania żądania usunięcia linków prowadzących do stron internetowych, na których są opublikowane informacje dotyczące postępowania sądowego w sprawie karnej przeciwko osobie, której dane dotyczą, które to informacje odnoszą się do wcześniejszego etapu takiego postępowania i nie odpowiadają już aktualnej sytuacji, oceny tego, czy – biorąc pod uwagę wszystkie okoliczności sprawy, takie jak w szczególności charakter i waga rozpatrywanego przestępstwa (czynu zabronionego), przebieg i wynik tego postępowania, czas, jaki upłynął, rolę odgrywaną przez tę osobę w życiu publicznym i jej zachowanie w przeszłości, interes publiczny istniejący w chwili skierowania żądania, treść i formę publikacji oraz skutki tej publikacji dla wspomnianej osoby – osoba ta jest uprawniona do tego, by rozpatrywane informacje nie były już aktualnie wiązane z jej imieniem i nazwiskiem za pomocą wyświetlanej listy wyników wyszukiwania mającego za punkt wyjścia to imię i nazwisko.

78. Należy jednak dodać, że nawet jeśli operator wyszukiwarki stwierdzi, iż tak nie jest ze względu na fakt, że umieszczenie danego linku jest ściśle niezbędne do pogodzenia prawa do poszanowania życia prywatnego i ochrony danych osobowych osoby, której dane dotyczą, z prawem do wolności informacji przysługującym potencjalnie zainteresowanym internautom, operator ten jest w każdym wypadku zobowiązany, najpóźniej w momencie skierowania żądania usunięcia linków, do uporządkowania listy wyników w taki sposób, aby wynikający z niej dla internauty ogólny obraz odzwierciedlał aktualną sytuację prawną, co wymaga w szczególności, aby linki do stron internetowych zawierających informacje na ten temat znajdowały się na pierwszym miejscu na tej liście.

79. W świetle powyższych rozważań na pytanie czwarte trzeba odpowiedzieć, że przepisy dyrektywy 95/46 należy interpretować w ten sposób, że:

–        z jednej strony, informacje dotyczące postępowania sądowego, którego przedmiotem była osoba fizyczna, oraz, w stosownych przypadkach, informacje dotyczące wyroku skazującego, który w nim zapadł, stanowią dane dotyczące „przestępstw (czynów zabronionych)” i „wyroków skazujących” w rozumieniu art. 8 ust. 5 tej dyrektywy, a 

–        z drugiej strony, operator wyszukiwarki jest zobowiązany do uwzględnienia żądania usunięcia linków prowadzących do stron internetowych zawierających takie informacje, jeżeli informacje te dotyczą wcześniejszego etapu rozpatrywanego postępowania sądowego i nie odpowiadają już, biorąc pod uwagę przebieg tego postępowania, aktualnej sytuacji, w zakresie, w jakim, w ramach weryfikacji względów związanych z ważnym interesem publicznym, o których mowa w art. 8 ust. 4 wspomnianej dyrektywy, stwierdzono, że w świetle wszystkich okoliczności sprawy zagwarantowane w art. 7 i 8 karty prawa podstawowe osoby, której dane dotyczą, mają charakter nadrzędny wobec praw przysługujących potencjalnie zainteresowanym internautom, które są chronione na mocy art. 11 karty.

 W przedmiocie kosztów

80.Dla stron w postępowaniu głównym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed sądem odsyłającym, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż koszty stron w postępowaniu głównym, nie podlegają zwrotowi.

Z powyższych względów Trybunał (wielka izba) orzeka, co następuje:

1)      Przepisy art. 8 ust. 1 i 5 dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych należy interpretować w ten sposób, że zakaz lub ograniczenia przetwarzania szczególnych kategorii danych osobowych, o których mowa w tych przepisach, mają zastosowanie, z zastrzeżeniem wyjątków przewidzianych w tej dyrektywie, również do operatora wyszukiwarki w ramach jego zobowiązań, kompetencji i możliwości jako administratora danych dokonującego ich przetwarzania w trakcie działania tej wyszukiwarki, przy okazji kontroli przeprowadzanej przez tego operatora pod nadzorem właściwych organów krajowych, w następstwie wniesienia żądania przez osobę, której dane dotyczą.

2)      Przepisy art. 8 ust. 1 i 5 dyrektywy 95/46 należy interpretować w ten sposób, że na ich mocy operator wyszukiwarki jest co do zasady zobowiązany, z zastrzeżeniem wyjątków przewidzianych w tej dyrektywie, do uwzględniania żądań usunięcia linków prowadzących do stron internetowych zawierających dane osobowe należące do szczególnych kategorii danych określonych w tych przepisach.

Artykuł 8 ust. 2 lit. e) dyrektywy 95/46 należy interpretować w ten sposób, że na jego podstawie taki operator może odmówić uwzględnienia żądania usunięcia linków, jeżeli stwierdzi, że rozpatrywane linki prowadzą do treści zawierających dane osobowe należące do szczególnych kategorii danych, o których mowa w tym art. 8 ust. 1, lecz których przetwarzanie jest objęte jednym z wyjątków przewidzianych we wspomnianym art. 8 ust. 2 lit. e), pod warunkiem że przetwarzanie to spełnia wszystkie inne warunki zgodności przetwarzania z prawem ustanowione w niniejszej dyrektywie i o ile osoba, której dane dotyczą, zgodnie z art. 14 ust. 1 lit. a) tej dyrektywy, nie sprzeciwi się takiemu przetwarzaniu z ważnych i uzasadnionych przyczyn związanych z jej szczególną sytuacją.

Przepisy dyrektywy 95/46 należy interpretować w ten sposób, że w przypadku, gdy do operatora wyszukiwarki skierowano żądanie usunięcia linku do strony internetowej, na której są opublikowane dane osobowe należące do szczególnych kategorii danych, o których mowa w art. 8 ust. 1 lub 5 tej dyrektywy, operator ten musi, na podstawie wszystkich istotnych elementów danego przypadku i uwzględniając powagę ingerencji w ustanowione w art. 7 i 8 karty prawa podstawowe do poszanowania życia prywatnego i ochrony danych osobowych przysługujące osobie, której dane dotyczą, sprawdzić, czy z uwagi na względy związane z ważnym interesem publicznym, o których mowa w art. 8 ust. 4 wspomnianej dyrektywy oraz zgodnie z warunkami określonymi w tym ostatnim przepisie, umieszczenie linku do danej strony internetowej na wyświetlanej liście wyników wyszukiwania mającego za punkt wyjścia imię i nazwisko osoby, której dane dotyczą, jest ściśle niezbędne do ochrony prawa do wolności informacji przysługującego internautom potencjalnie zainteresowanym uzyskaniem, dzięki takiemu wyszukiwaniu, dostępu do tej strony internetowej, która to wolność jest chroniona na mocy art. 11 tej karty.

3)      Przepisy dyrektywy 95/46 należy interpretować w ten sposób, że:

–        z jednej strony, informacje dotyczące postępowania sądowego, którego przedmiotem była osoba fizyczna, oraz, w stosownych przypadkach, informacje dotyczące wyroku skazującego, który w nim zapadł, stanowią dane dotyczące „przestępstw (czynów zabronionych)” i „wyroków skazujących” w rozumieniu art. 8 ust. 5 tej dyrektywy, a

–        z drugiej strony, operator wyszukiwarki jest zobowiązany do uwzględnienia żądania usunięcia linków prowadzących do stron internetowych zawierających takie informacje, jeżeli informacje te dotyczą wcześniejszego etapu rozpatrywanego postępowania sądowego i nie odpowiadają już, biorąc pod uwagę przebieg tego postępowania, aktualnej sytuacji, w zakresie, w jakim, w ramach weryfikacji względów związanych z ważnym interesem publicznym, o których mowa w art. 8 ust. 4 wspomnianej dyrektywy stwierdzono, że w świetle wszystkich okoliczności sprawy zagwarantowane w art. 7 i 8 Karty praw podstawowych Unii Europejskiej prawa podstawowe osoby, której dane dotyczą, mają charakter nadrzędny wobec praw przysługujących potencjalnie zainteresowanym internautom, które są chronione na mocy art. 11 tej karty.

Podpisy

Wyrok Trybunału Sprawiedliwości z dnia  24 września 2019 r.