<TI><HT TYPE="UC">Domstolens dom</HT> (Store Afdeling)<DATE ISO="20190924">24. september 2019</DATE><NOTE TYPE="FOOTNOTE" NUMBERING="STAR" NOTE.ID="E0001">Processprog: fransk.</NOTE></TI>

C-136/1762017CJ0136EU:C:2019:7730001112222CJ

Dom af 24.9.2019 – sag C-136/17

GC m.fl. (Fjernelse af følsomme oplysninger)

<TI><HT TYPE="UC">Domstolens dom</HT> (Store Afdeling)<DATE ISO="20190924">24. september 2019</DATE><NOTE TYPE="FOOTNOTE" NUMBERING="STAR" NOTE.ID="E0001">Processprog: fransk.</NOTE></TI>Præjudiciel forelæggelsepersonoplysningerbeskyttelse af fysiske personer i forbindelse med behandling af personoplysninger, der findes på websiderdirektiv 95/46/EFforordning (EU) 2016/679internetsøgemaskinerbehandling af personoplysninger på websidersærlige kategorier af oplysninger i direktivets artikel 8 og i forordningens artikel 9 og 10anvendeligheden af disse artikler på søgemaskineudbyderenrækkevidden af forpligtelserne for denne udbyder i forhold til disse artikleroffentliggørelse af personoplysninger på websider udelukkende i journalistisk øjemed eller med henblik på kunstnerisk eller litterær virksomhedindvirkning på behandlingen af en anmodning om fjernelseartikel 7, 8 og 11 i Den Europæiske Unions charter om grundlæggende rettigheder

I sag C-136/17,

angående en anmodning om præjudiciel afgørelse i henhold til artikel 267 TEUF, indgivet af Conseil d’État (øverste domstol i forvaltningsretlige sager, Frankrig) ved afgørelse af 24. februar 2017, indgået til Domstolen den 15. marts 2017, i sagen

GC,

AF,

BH,

mod

Commission nationale de l’informatique et des libertés (CNIL),

procesdeltagere:

Premier ministre,

Google LLC, indtrådt i Google Inc.’s rettigheder,

har

DOMSTOLEN (Store Afdeling),

sammensat af præsidenten, K. Lenaerts, afdelingsformændene A. Arabadjiev, A. Prechal, T. von Danwitz, C. Toader og F. Biltgen samt dommerne M. Ilešič, (refererende dommer), L. Bay Larsen, M. Safjan, D. Šváby, C.G. Fernlund, C. Vajda og S. Rodin,

generaladvokat: M. Szpunar,

justitssekretær: fuldmægtig V. Giacobbo-Peyronnel,

på grundlag af den skriftlige forhandling og efter retsmødet den 11. september 2018,

efter at der er afgivet indlæg af:

AF, som selvmøder,

BH ved avocat L. Boré,

Commissionen nationale de l’informatique et des libertés (CNIL) ved I. Falque-Pierrotin, J. Lessi og G. Le Grand, som befuldmægtigede,

Google LLC ved avocats P. Spinosi, Y. Pelosi og W. Maxwell,

den franske regering ved D. Colas, R. Coesme, E. de Moustier og S. Ghiandoni, som befuldmægtigede,

Irland ved M. Browne, G. Hodge, J. Quaney og A. Joyce, som befuldmægtigede, bistået af M. Gray, BL,

den græske regering ved E.-M. Mamouna, G. Papadaki, E. Zisi og S. Papaioannou, som befuldmægtigede,

den italienske regering ved G. Palmieri, som befuldmægtiget, bistået af avvocati dello Stato F. De Luca og P. Gentili,

den østrigske regering ved G. Eberhard og G. Kunnert, som befuldmægtigede,

den polske regering ved B. Majczyna, M. Pawlicka og J. Sawicka, som befuldmægtigede,

Det Forenede Kongeriges regering ved S. Brandon, som befuldmægtiget, bistået af barrister C. Knight,

Europa-Kommissionen ved A. Buchet, H. Kranenborg og D. Nardi, som befuldmægtigede,

og efter at generaladvokaten har fremsat forslag til afgørelse i retsmødet den 10. januar 2019,afsagt følgende<TI><HT TYPE="BOLD">Dom</HT></TI>1Anmodningen om præjudiciel afgørelse vedrører fortolkningen af Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT 1995, L 281, s. 31).2Anmodningen er blevet fremsat i forbindelse med en tvist mellem GC, AF, BH og ED på den ene side og Commission nationale de l’informatique et des libertés (herefter CNIL) (Frankrig) på den anden side vedrørende fire afgørelser, hvorved sidstnævnte har afvist at pålægge Google Inc., senere Google LLC, at fjerne forskellige links til sider, som er offentliggjort af tredjemand, fra den resultatliste, der vises efter en søgning på deres navne.<TI><HT TYPE="BOLD">Retsforskrifter</HT></TI><TI><HT TYPE="BOLD"><HT TYPE="ITALIC">EU-retten</HT></HT></TI><TI><HT TYPE="ITALIC">Direktiv 95/46</HT></TI>3Ifølge artikel 1, stk. 1, i direktiv 95/46 har direktivet til formål at beskytte fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af personoplysninger samt at fjerne hindringer for den frie udveksling af disse oplysninger.4Følgende fremgår af 33. og 34. betragtning til direktiv 95/46:(33)[O]plysninger, som ifølge deres art kan krænke de grundlæggende frihedsrettigheder eller privatlivets fred, må ikke gøres til genstand for behandling uden den registreredes udtrykkelige samtykke; der skal dog udtrykkeligt gives mulighed for undtagelser fra dette forbud for at imødekomme visse behov […](34)[N]år hensynet til vigtige samfundsmæssige interesser berettiger det, skal medlemsstaterne ligeledes kunne fravige forbuddet mod at behandle følsomme kategorier af data […] [D]et påhviler imidlertid medlemsstaterne at sørge for de fornødne specifikke garantier for beskyttelsen af det enkelte menneskes grundlæggende rettigheder og privatliv.5Dette direktivs artikel 2 bestemmer:

I dette direktiv forstås ved:

a)personoplysninger enhver form for information om en identificeret eller identificerbar fysisk person (den registrerede); […]b)behandling af personoplysninger (behandling) enhver operation eller række af operationer – med eller uden brug af elektronisk databehandling – som personoplysninger gøres til genstand for, f.eks. indsamling, registrering, systematisering, opbevaring, tilpasning eller ændring, selektion, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring samt blokering, slettelse eller tilintetgørelse

[…]

d)den registeransvarlige den fysiske eller juridiske person, offentlige myndighed, institution eller ethvert andet organ, der alene eller sammen med andre afgør, til hvilket formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger; […]

[…]

h)den registreredes samtykke enhver frivillig, specifik og informeret viljetilkendegivelse, hvorved den registrerede indvilliger i, at personoplysninger, der vedrører den pågældende selv, gøres til genstand for behandling.

6Direktivets artikel 6 er indeholdt i kapitel II, afdeling I, med overskriften Principper vedrørende oplysningernes pålidelighed og har følgende ordlyd:

Medlemsstaterne fastsætter bestemmelser om, at personoplysninger

a)skal behandles rimeligt og lovligtb)skal indsamles til udtrykkeligt angivne og legitime formål, samt at senere behandling heraf ikke må være uforenelig med disse formål; […]c)skal være relevante og tilstrækkelige og ikke omfatte mere, end hvad der kræves til opfyldelse af de formål, hvortil de indsamles, og til de formål, hvortil de senere behandlesd)skal være korrekte og om nødvendigt ajourførte; der skal tages ethvert rimeligt skridt til at slette eller berigtige oplysninger, der er urigtige eller ufuldstændige i forhold til det formål, hvortil de indsamles, eller i forbindelse med hvilke de behandles på et senere tidspunkte)ikke må opbevares på en måde, der giver mulighed for at identificere de registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil de indsamles, eller i forbindelse med hvilke de behandles på et senere tidspunkt. Medlemsstaterne fastsætter de fornødne garantier for personoplysninger, der i historisk, statistisk eller videnskabeligt øjemed opbevares længere end i ovennævnte periode.2.Det påhviler den registeransvarlige at sikre, at bestemmelserne i stk. 1 overholdes.

7Artikel 7 i direktiv 95/46, der er indeholdt i kapitel II, afdeling II med overskriften Principper vedrørende grundlaget for behandling af oplysninger, bestemmer følgende:

Medlemsstaterne fastsætter bestemmelser om, at behandling af personoplysninger kun må finde sted hvis:

[…]

f)behandlingen er nødvendig, for at den registeransvarlige eller den tredjemand eller de tredjemænd, til hvem oplysningerne videregives, kan forfølge en legitim interesse, medmindre den registreredes interesser eller de grundlæggende rettigheder og frihedsrettigheder, der skal beskyttes i henhold til artikel 1, stk. 1, i dette direktiv, går forud herfor.

8Direktivets artikel 8 og 9 er indeholdt i kapitel II, afdeling III, med overskriften Særlige kategorier af behandlinger. Artikel 8 med overskriften Behandlinger, der vedrører særlige kategorier af oplysninger bestemmer:

1.Medlemsstaterne forbyder behandling af personoplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold og oplysninger om helbredsforhold og seksuelle forhold.2.

Stk. 1 finder ikke anvendelse, hvis

a)den registrerede udtrykkeligt har givet sit samtykke til en sådan behandling, medmindre det i medlemsstatens lovgivning fastsættes, at det i stk. 1 omhandlede forbud ikke kan hæves ved den registreredes samtykke,

eller

[…]

e)behandlingen vedrører oplysninger, som klart offentliggøres af den registrerede, eller er nødvendig for, at et retskrav kan fastlægges, gøres gældende eller forsvares.

[…]

4.Med forbehold af, at der gives tilstrækkelige garantier, kan medlemsstaterne af grunde, der vedrører hensynet til vigtige samfundsmæssige interesser, fastsætte andre undtagelser end dem, der er nævnt i stk. 2, enten ved national lovgivning eller ved en afgørelse truffet af tilsynsmyndigheden.5.Behandling af oplysninger om lovovertrædelser, straffedomme eller sikkerhedsforanstaltninger må kun foretages under kontrol af en offentlig myndighed, eller hvis der gælder tilstrækkelige, specifikke garantier i medfør af den nationale lovgivning med forbehold af de undtagelser, som medlemsstaten kan fastsætte på grundlag af nationale lovbestemmelser, hvorefter der gives tilstrækkelige, specifikke garantier. Et fuldstændigt register over straffedomme må dog kun føres under kontrol af en offentlig myndighed.Medlemsstaterne kan fastsætte bestemmelser om, at behandling af oplysninger vedrørende administrative sanktioner eller civile retssager ligeledes skal foretages under en offentlig myndigheds kontrol.[…]

9Artikel 9 i direktiv 95/46 med overskriften Behandling af personoplysninger og ytringsfriheden fastsætter:

Medlemsstaterne fastsætter i forbindelse med behandling af personoplysninger, der udelukkende finder sted i journalistisk øjemed eller med henblik på kunstnerisk eller litterær virksomhed, kun fritagelser eller undtagelser fra bestemmelserne i dette kapitel og i kapitel IV og VI, for så vidt som de er nødvendige for at forene retten til privatlivets fred med reglerne for ytringsfrihed.

10Direktivets artikel 12 med overskriften Ret til indsigt bestemmer:

Medlemsstaterne sikrer enhver registreret ret til hos den registeransvarlige

[…]

b)efter omstændighederne at få oplysninger, som ikke er blevet behandlet i overensstemmelse med dette direktiv, berigtiget, slettet eller blokeret, navnlig hvis de er ufuldstændige eller urigtige

[…]

11Det nævnte direktivs artikel 14 med overskriften Den registreredes indsigelsesret bestemmer:

Medlemsstaterne indrømmer den registrerede ret til

a)i det mindste i de i artikel 7, litra e) og f), omhandlede tilfælde af vægtige legitime grunde, der vedrører den pågældendes særlige situation, til enhver tid at gøre indsigelse mod, at personoplysninger om ham selv gøres til genstand for behandling, medmindre andet er bestemt i den nationale lovgivning; i tilfælde af berettiget indsigelse må den af den registeransvarlige iværksatte behandling ikke længere omfatte de pågældende oplysninger

[…]

12Samme direktivs artikel 28 med overskriften Tilsynsmyndighed har følgende ordlyd:

1.Hver medlemsstat drager omsorg for, at der udpeges en eller flere offentlige myndigheder, der har til opgave på dens område at påse overholdelsen af de bestemmelser, medlemsstaten vedtager til gennemførelse af dette direktiv.[…]3.

Hver tilsynsmyndighed skal bl.a. kunne:

iværksætte undersøgelser og bl.a. have adgang til de oplysninger, der gøres til genstand for en behandling, og til at indsamle alle oplysninger, der er nødvendige for at varetage dens tilsynsopgaver

gribe effektivt ind ved f.eks. […] at beordre oplysninger blokeret, slettet eller tilintetgjort, [eller] midlertidigt eller definitivt at forbyde en behandling […]

[…]

Afgørelser truffet af tilsynsmyndigheden, som går en involveret part imod, kan indbringes for en retsinstans.

4.Enhver kan, eventuelt repræsenteret ved en sammenslutning, til tilsynsmyndigheden indgive en anmodning om beskyttelse af sine rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger. Den registrerede underrettes om, hvorledes sagen følges op.[…]6.Den enkelte tilsynsmyndighed er, uanset hvilken national lov der måtte gælde for den pågældende behandling, kompetent til på sin medlemsstats område at udøve de beføjelser, der tillægges den i overensstemmelse med stk. 3 i denne artikel. Myndigheden kan blive anmodet om at udøve sine beføjelser af en myndighed i en anden medlemsstat.Tilsynsmyndighederne samarbejder med hinanden i det omfang, det er nødvendigt for at opfylde deres pligter, navnlig ved at udveksle alle nyttige oplysninger.[…]

<TI><HT TYPE="ITALIC">Forordning (EU) 2016/679</HT></TI>13Europa-Parlamentet og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, berigtiget i EUT 2018, L 127, s. 2) finder i medfør af artikel 99, stk. 2, anvendelse fra den 25. maj 2018. Denne forordnings artikel 94, stk. 1, bestemmer, at direktiv 95/46 ophæves med virkning fra samme dato.14Følgende fremgår af 1., 4., 51., 52. og 65. betragtning til denne forordning:(1)Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger er en grundlæggende rettighed. I artikel 8, stk. 1, i Den Europæiske Unions charter om grundlæggende rettigheder (chartret) og i artikel 16, stk. 1, [TEUF] fastsættes det, at enhver har ret til beskyttelse af personoplysninger, der vedrører den pågældende.

[…]

(4)Behandling af personoplysninger bør have til formål at tjene menneskeheden. Retten til beskyttelse af personoplysninger er ikke en absolut ret; den skal ses i sammenhæng med sin funktion i samfundet og afvejes i forhold til andre grundlæggende rettigheder i overensstemmelse med proportionalitetsprincippet. Denne forordning overholder alle de grundlæggende rettigheder og følger de frihedsrettigheder og principper, der anerkendes i chartret som forankret i traktaterne, navnlig respekten for privatliv og familieliv, […] beskyttelsen af personoplysninger, retten til at tænke frit, til samvittigheds- og religionsfrihed, ytrings- og informationsfrihed, frihed til at oprette og drive egen virksomhed, […]

[…]

(51)Personoplysninger, der i kraft af deres karakter er særligt følsomme i forhold til grundlæggende rettigheder og frihedsrettigheder, bør nyde specifik beskyttelse, da sammenhængen for behandling af dem kan indebære betydelige risici for grundlæggende rettigheder og frihedsrettigheder. […](52)Der bør også gives mulighed for at fravige forbuddet mod at behandle særlige kategorier af personoplysninger, når det er fastsat i EU-retten eller medlemsstaternes nationale ret og er omfattet af de fornødne garantier, således at personoplysninger og andre grundlæggende rettigheder beskyttes […]

[…]

(65)En registreret bør have […] ret til at blive glemt, hvis opbevaringen af sådanne oplysninger overtræder denne forordning eller EU-ret eller medlemsstaternes nationale ret, som den dataansvarlige er underlagt. […] Yderligere opbevaring af personoplysningerne bør dog være lovlig, hvis det er nødvendigt for at udøve retten til ytrings- og informationsfrihed […]15Artikel 4, nr. 11), i forordning 2016/679 definerer samtykke som enhver frivillig, specifik, informeret og utvetydig viljestilkendegivelse fra den registrerede, hvorved den registrerede ved erklæring eller klar bekræftelse indvilliger i, at personoplysninger, der vedrører den pågældende, gøres til genstand for behandling.16Denne forordnings artikel 5 med overskriften Principper for behandling af personoplysninger bestemmer i stk. 1, litra c)-e):

Personoplysninger skal:

[…]

c)være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles (dataminimering)d)være korrekte og om nødvendigt ajourførte; der skal tages ethvert rimeligt skridt for at sikre, at personoplysninger, der er urigtige i forhold til de formål, hvortil de behandles, straks slettes eller berigtiges (rigtighed)e)opbevares på en sådan måde, at det ikke er muligt at identificere de registrerede i et længere tidsrum end det, der er nødvendigt til de formål, hvortil de pågældende personoplysninger behandles; […] (opbevaringsbegrænsning).

17Denne forordnings artikel 9 med overskriften Behandling af særlige kategorier af personoplysninger fastsætter:

1.Behandling af personoplysninger om race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold samt behandling af genetiske data, biometriske data med det formål entydigt at identificere en fysisk person, helbredsoplysninger eller oplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering er forbudt.2.

Stk. 1 finder ikke anvendelse, hvis et af følgende forhold gør sig gældende:

a)Den registrerede har givet udtrykkeligt samtykke til behandling af sådanne personoplysninger til et eller flere specifikke formål, medmindre det i EU-retten eller medlemsstaternes nationale ret er fastsat, at det i stk. 1 omhandlede forbud ikke kan hæves ved den registreredes samtykke.

[…]

e)Behandling vedrører personoplysninger, som tydeligvis er offentliggjort af den registrerede.

[…]

g)Behandling er nødvendig af hensyn til væsentlige samfundsinteresser på grundlag af EU-retten eller medlemsstaternes nationale ret og står i rimeligt forhold til det mål, der forfølges, respekterer det væsentligste indhold af retten til databeskyttelse og sikrer passende og specifikke foranstaltninger til beskyttelse af den registreredes grundlæggende rettigheder og interesser.

[…]

18Samme forordnings artikel 10 med overskriften Behandling af personoplysninger vedrørende straffedomme og lovovertrædelser bestemmer:

Behandling af personoplysninger vedrørende straffedomme og lovovertrædelser eller tilknyttede sikkerhedsforanstaltninger på grundlag af artikel 6, stk. 1, må kun foretages under kontrol af en offentlig myndighed, eller hvis behandling har hjemmel i EU-retten eller medlemsstaternes nationale ret, som giver passende garantier for registreredes rettigheder og frihedsrettigheder. Ethvert omfattende register over straffedomme må kun føres under kontrol af en offentlig myndighed.

19Artikel 17 i forordning 2016/679 med overskriften Ret til sletning (retten til at blive glemt) har følgende ordlyd:

Den registrerede har ret til at få personoplysninger om sig selv slettet af den dataansvarlige uden unødig forsinkelse, og den dataansvarlige har pligt til at slette personoplysninger uden unødig forsinkelse, hvis et af følgende forhold gør sig gældende:

a)Personoplysningerne er ikke længere nødvendige til at opfylde de formål, hvortil de blev indsamlet eller på anden vis behandlet.b)Den registrerede trækker det samtykke, der er grundlaget for behandlingen, jf. artikel 6, stk. 1, litra a), eller artikel 9, stk. 2, litra a), tilbage, og der er ikke et andet retsgrundlag for behandlingen.c)Den registrerede gør indsigelse mod behandlingen i henhold til artikel 21, stk. 1, og der foreligger ikke legitime grunde til behandlingen, som går forud for indsigelsen, eller den registrerede gør indsigelse mod behandlingen i medfør af artikel 21, stk. 2.d)Personoplysningerne er blevet behandlet ulovligt.e)Personoplysningerne skal slettes for at overholde en retlig forpligtelse i EU-retten eller medlemsstaternes nationale ret, som den dataansvarlige er underlagt.f)Personoplysningerne er blevet indsamlet i forbindelse med udbud af informationssamfundstjenester som omhandlet i artikel 8, stk. 1.2.Hvis den dataansvarlige har offentliggjort personoplysningerne og i henhold til stk. 1 er forpligtet til at slette personoplysningerne, træffer den dataansvarlige under hensyntagen til den teknologi, der er tilgængelig, og omkostningerne ved implementeringen rimelige foranstaltninger, herunder tekniske foranstaltninger, for at underrette de dataansvarlige, som behandler personoplysningerne, om, at den registrerede har anmodet disse dataansvarlige om at slette alle link til eller kopier eller gengivelser af de pågældende personoplysninger.3.

Stk. 1 og 2 finder ikke anvendelse, i det omfang denne behandling er nødvendig:

a)for at udøve retten til ytrings- og informationsfrihed

[…]

20Forordningens artikel 21 med overskriften Ret til indsigelse bestemmer i stk. 1:

Den registrerede har til enhver tid ret til af grunde, der vedrører den pågældendes særlige situation, at gøre indsigelse mod behandling af sine personoplysninger baseret på artikel 6, stk. 1, litra e) eller f), herunder profilering baseret på disse bestemmelser. Den dataansvarlige må ikke længere behandle personoplysningerne, medmindre den dataansvarlige påviser vægtige legitime grunde til behandlingen, der går forud for registreredes interesser, rettigheder og frihedsrettigheder, eller behandlingen er nødvendig for, at retskrav kan fastlægges, gøres gældende eller forsvares.

21Denne forordnings artikel 85 med overskriften Behandling og ytrings- og informationsfriheden bestemmer:

1.Medlemsstaterne forener ved lov retten til beskyttelse af personoplysninger i henhold til denne forordning med retten til ytrings- og informationsfrihed, herunder behandling i journalistisk øjemed og med henblik på akademisk, kunstnerisk eller litterær virksomhed.2.Til behandling i journalistisk øjemed eller med henblik på akademisk, kunstnerisk eller litterær virksomhed fastsætter medlemsstaterne undtagelser eller fravigelser fra kapitel II (principper), kapitel III (den registreredes rettigheder), kapitel IV (dataansvarlig og databehandler), kapitel V (overførsel af personoplysninger til tredjelande eller internationale organisationer), kapitel VI (uafhængige tilsynsmyndigheder), kapitel VII (samarbejde og sammenhæng) og kapitel IX (specifikke databehandlingssituationer), hvis de er nødvendige for at forene retten til beskyttelse af personoplysninger med ytrings- og informationsfriheden.[…]

<TI><HT TYPE="BOLD"><HT TYPE="ITALIC">Fransk ret</HT></HT></TI>22Direktiv 95/46 er blevet gennemført i fransk ret ved loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (lov nr. 78-17 af 6.1.1978 om informationsteknologi, registre og frihedsrettigheder) i den affattelse, der finder anvendelse på de faktiske omstændigheder i hovedsagen.23Lovens artikel 11 præciserer, at CNIL bl.a. har til opgave at sørge for, at behandlinger af personoplysninger gennemføres i overensstemmelse med bestemmelserne i den nævnte lov, og at CNIL i denne forbindelse modtager indsigelser, andragender og klager vedrørende gennemførelsen af behandlinger af personoplysninger og oplyser afsenderne om opfølgningen herpå.<TI><HT TYPE="BOLD">Tvisterne i hovedsagen og de præjudicielle spørgsmål</HT></TI>24GC, AF, BH og ED har hver især anmodet Google om at fjerne links til forskellige sider, som er offentliggjort af tredjemænd, fra den resultatliste, som selskabets søgemaskine viser efter en søgning på deres respektive navne, hvilket det nævnte selskab imidlertid har afvist.25Nærmere bestemt ønskede GC at få fjernet et link til en satirisk fotomontage, der blev lagt online den 18. februar 2011 på YouTube under pseudonym, og som iscenesatte hende ved siden af kommunens borgmester, hvis kabinet hun var direktør for, og som udtrykkeligt nævnte såvel deres intime forhold som dette forholds betydning for hendes egen politiske karriere. Fotomontagen blev lagt online i forbindelse med valgkampen til kantonalvalget, hvor GC opstillede som kandidat. På den dato, hvor hendes anmodning blev nægtet imødekommet, var sagsøgeren hverken valgt eller kandidat til et lokalt valgmandat, og hun var ikke længere beskæftiget som direktør for kommunens borgmesters kabinet.26AF anmodede om fjernelse af links til en artikel i dagbladet Libération af 9. september 2008, der var gengivet på webstedet for Centre contre les manipulations mentales (centret til bekæmpelse af mental manipulation, Frankrig), og som vedrørte et medlem af Scientology-kirken, der begik selvmord i december 2006. AF blev i denne artikel nævnt i sin egenskab af PR-ansvarlig hos Scientology-kirken, en stilling, som han ikke længere bestrider. Desuden oplyser forfatteren til denne artikel, at han har kontaktet AF for at få hans udlægning af hændelsesforløbet, og gengiver de udsagn, som han modtog i den anledning.27BH ønskede at få fjernet links til artikler, der hovedsageligt stammede fra pressen og vedrørte forundersøgelsen af den sag, der blev indledt i juni 1995 om finansieringen af Parti républicain (Det Republikanske Parti (PR), Frankrig), og hvori han og en række forretningsmænd og politikere var blevet sigtet. Den procedure, der berørte ham, blev afsluttet den 26. februar 2010 ved undersøgelsesdommerens kendelse om ikke at rejse tiltale. Hovedparten af de omtvistede links fører til artikler, der tidsmæssigt var sammenfaldende med, at undersøgelsen blev indledt, og de omtaler derfor ikke sagens udfald.28ED anmodede om fjernelse af links til to artikler offentliggjort i Nice-Matin og Le Figaro med referater fra det retsmøde i en straffesag, hvori han blev idømt en straf på syv års fængsel og en tillægsstraf på ti års tilsyn for seksuelle overgreb på mindreårige under femten år. Et af disse retsreferater omtalte desuden flere intime detaljer om ED, der kom frem under retsforhandlingerne.29Efter at Google havde nægtet at imødekomme anmodningerne, klagede sagsøgerne i hovedsagen til CNIL med krav om, at selskabet blev pålagt at fjerne de omhandlede links. Ved skrivelser af 24. april 2015, 28. august 2015, 21. marts 2016 og 9. maj 2016 meddelte formanden for CNIL sagsøgerne i hovedsagen, at CNIL afsluttede behandlingen af deres klager.30Sagsøgerne i hovedsagen anlagde herefter sag ved den forelæggende ret, Conseil d’État (øverste domstol i forvaltningsretlige sager, Frankrig) til prøvelse af CNIL’s afvisning af at pålægge Google at foretage de ønskede fjernelser. Den forelæggende ret har vedlagt disse stævninger.31Efter at have konstateret, at disse søgsmål rejser flere alvorlige vanskeligheder med hensyn til fortolkningen af direktiv 95/46, har Conseil d’État besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:1)Henset til en søgemaskineudbyders specifikke ansvar, kompetencer og muligheder finder det forbud mod at behandle oplysninger henhørende under artikel 8, stk. 1 og 5, i direktiv [95/46,] der gælder for andre registeransvarlige med de i denne tekst fastsatte undtagelser, tillige anvendelse på denne søgemaskineudbyder i sin egenskab af registeransvarlig for den behandling, som søgemaskinen udgør?2)Såfremt første spørgsmål besvares bekræftende:

[a)]Skal bestemmelserne i artikel 8, stk. 1 og 5, i direktiv [95/46] fortolkes således, at det forbud mod at behandle oplysninger henhørende under disse bestemmelser, der således gælder for en søgemaskineudbyder med de i dette direktiv fastsatte undtagelser, forpligter denne til konsekvent at efterkomme anmodninger om at fjerne links til websider, der behandler sådanne oplysninger?[b)]Hvorledes skal – ud fra et sådant perspektiv – undtagelserne i artikel 8, stk. 2, litra a) og e), i direktiv [95/46] fortolkes, når de finder anvendelse på en søgemaskineudbyder, henset til dennes specifikke ansvar, kompetencer og muligheder? Kan en søgemaskineudbyder navnlig nægte at efterkomme en anmodning om at fjerne links, når denne konstaterer, at de omhandlede links fører til indhold, der, skønt det indbefatter oplysninger henhørende under de i artikel 8, stk. 1, opregnede kategorier, tillige er omfattet af anvendelsesområdet for de undtagelser, der er fastsat i samme artikels stk. 2, bl.a. litra a) og e)?[c)]Skal bestemmelserne i direktiv [95/46] ligeledes fortolkes således, at en søgemaskineudbyder, når de links, som anmodes fjernet, fører til behandlinger af personoplysninger, der udelukkende finder sted i journalistisk øjemed eller med henblik på kunstnerisk eller litterær virksomhed, og hvorved der derfor i henhold til artikel 9 i direktiv [95/46] kan indsamles og behandles oplysninger henhørende under de kategorier, som er nævnt i dette direktivs artikel 8, stk. 1 og 5 – af denne grund kan nægte at efterkomme en anmodning om at fjerne links?

3)Såfremt det første spørgsmål besvares benægtende:

[a)]Hvilke specifikke krav i direktiv [95/46] skal en søgemaskineudbyder opfylde, henset til dennes ansvar, kompetencer og muligheder?[b)]Når søgemaskineudbyderen konstaterer, at de websider, hvortil linksene anmodes fjernet, indeholder oplysninger, hvis offentliggørelse på de nævnte websider er ulovlig, skal bestemmelserne i direktiv [95/46] da fortolkes således,

at de pålægger søgemaskineudbyderen at slette disse links fra den resultatliste, der vises efter en søgning på den anmodende persons navn

eller således, at de alene indebærer, at søgemaskineudbyderen skal tage denne omstændighed i betragtning ved vurderingen af, om der er grundlag for at efterkomme anmodningen om at fjerne links

eller således, at denne omstændighed er uden betydning for den vurdering, som søgemaskineudbyderen skal foretage?

Såfremt denne omstændighed ikke er irrelevant, hvorledes skal man da vurdere lovligheden af offentliggørelsen på websider af omtvistede oplysninger, som stammer fra behandlinger, der ikke er omfattet af det territoriale anvendelsesområde for direktiv [95/46], og dermed lovligheden af de nationale lovgivninger, som gennemfører direktivet?

4)Uanset hvorledes det første spørgsmål skal besvares:

[a)][U]afhængigt af, om offentliggørelsen af personoplysninger på den webside, hvortil det omtvistede link fører, er lovlig, skal bestemmelserne i direktiv [95/46] da fortolkes således, at:

når den anmodende person godtgør, at disse oplysninger er blevet ufuldstændige eller ukorrekte, eller at de ikke længere er ajourførte, skal en søgemaskineudbyder efterkomme anmodningen om at fjerne det omhandlede link

og mere specifikt, når den anmodende person godtgør, at oplysningerne vedrørende et tidligere trin i en retslig procedure, henset til denne procedures forløb, ikke længere afspejler vedkommendes reelle aktuelle situation, har en søgemaskineudbyder pligt til at fjerne links til websider, der indeholder sådanne oplysninger?

[b)]Skal bestemmelserne i artikel 8, stk. 5, i direktiv [95/46] fortolkes således, at oplysninger om, at en person er blevet gjort til genstand for en undersøgelse, eller som redegør for en retssag og den dom, som er resultatet heraf, udgør oplysninger om lovovertrædelser og straffedomme? Er en webside, når den indeholder oplysninger om domme og retslige procedurer, som vedrører en fysisk person, generelt omfattet af disse bestemmelsers anvendelsesområde?

<TI><HT TYPE="BOLD">Om de præjudicielle spørgsmål</HT></TI>32Spørgsmålene vedrører fortolkningen af direktiv 95/46, som fandt anvendelse på tidspunktet for forelæggelsen af anmodningen om præjudiciel afgørelse. Dette direktiv blev ophævet med virkning fra den 25. maj 2018, fra hvilket tidspunkt forordning 2016/679 finder anvendelse.33Domstolen vil behandle disse spørgsmål i lyset af direktiv 95/46, men vil dog i sin analyse heraf tillige tage forordning 2016/679 i betragtning for at sikre sig, at besvarelsen af disse spørgsmål under alle omstændigheder vil være nyttig for den forelæggende ret.<TI><HT TYPE="BOLD"><HT TYPE="ITALIC">Det første spørgsmål</HT></HT></TI>34Med det første spørgsmål ønsker den forelæggende ret i det væsentlige nærmere bestemt oplyst, om bestemmelserne i artikel 8, stk. 1 og 5, i direktiv 95/46 skal fortolkes således, at forbuddet eller begrænsningerne vedrørende behandling af særlige kategorier af personoplysninger i disse bestemmelser ligeledes finder anvendelse med forbehold af de i dette direktiv fastsatte undtagelser på en søgemaskineudbyder inden for rammerne af dennes ansvar, kompetencer og muligheder som registeransvarlig for den behandling, der foretages med henblik på, at denne søgemaskine kan fungere.35I denne henseende bemærkes for det første, at en søgemaskines aktivitet, der består i at finde oplysninger, der er offentliggjort eller lagt på internettet af tredjemand, indeksere disse automatisk, lagre dem midlertidigt og sluttelig gøre dem tilgængelige for internetbrugerne i en vis prioriteret orden, skal kvalificeres som behandling af personoplysninger som omhandlet i artikel 2, litra b), i direktiv 95/46, når oplysningerne indeholder personoplysninger, og for det andet skal udbyderen af denne søgemaskine anses for at være registeransvarlig som omhandlet i direktivets artikel 2, litra d) (dom af 13.5.2014, Google Spain og Google, C-131/12, EU:C:2014:317, præmis 41).36Behandlingen af personoplysninger, der foretages inden for rammerne af en søgemaskines aktiviteter, adskiller sig fra og er mere omfattende end den behandling, som foretages af websideudgivere, hvis behandling består i at lægge oplysninger ud på en internetside, og denne aktivitet spiller en afgørende rolle for den globale formidling af nævnte oplysninger, idet denne aktivitet gør oplysningerne tilgængelige for enhver internetbruger, der foretager en søgning på den berørte persons navn, herunder internetbrugere, der ikke ellers ville have fundet den webside, hvor disse oplysninger er offentliggjort. Den systematisering og sammenlægning af oplysninger, der er offentliggjort på internettet, som søgemaskinerne foretager, med henblik på, at deres brugere skal kunne få adgang hertil, kan – når brugerne søger på et navn på en fysisk person – medføre, at de med resultatlisten får en struktureret oversigt over de oplysninger vedrørende denne person, der kan findes på internettet, hvilket gør det muligt for dem at fastlægge en mere eller mindre detaljeret profil af den berørte person (dom af 13.5.2014, Google Spain og Google, C-131/12, EU:C:2014:317, præmis 35-37).37For så vidt som søgemaskinens aktivitet således i forhold til websideudgiveres aktivitet i væsentligt større og yderligere grad kan påvirke de grundlæggende rettigheder til privatlivets fred og beskyttelse af personoplysninger, skal søgemaskineudbyderen følgelig i sin egenskab af den person, som afgør formålet med aktiviteten og hjælpemidlerne hertil, inden for rammerne af sit ansvar, sine kompetencer og sine muligheder sikre, at den opfylder kravene i direktiv 95/46, med henblik på, at de garantier, som direktivet fastsætter, kan opnå deres fulde virkning, og at en effektiv og fuldstændig beskyttelse af de berørte personer, bl.a. hvad angår deres ret til privatlivets fred, faktisk kan gennemføres (dom af 13.5.2014, Google Spain og Google, C-131/12, EU:C:2014:317, præmis 38).38Det første præjudicielle spørgsmål skal afklare, hvorvidt en søgemaskineudbyder inden for rammerne af sit ansvar, sine kompetencer og sine muligheder ligeledes skal opfylde de krav, som direktiv 95/46 fastsætter for så vidt angår de særlige kategorier af personoplysninger i direktivets artikel 8, stk. 1 og 5, når sådanne oplysninger er blandt de oplysninger, der er offentliggjort eller lagt på internettet af tredjemand, og er genstand for en behandling, som denne udbyder foretager med henblik på, at vedkommendes søgemaskine kan fungere.39Hvad angår de særlige kategorier af personoplysninger bestemmer artikel 8, stk. 1, i direktiv 95/46, at medlemsstaterne forbyder behandling af personoplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold og oplysninger om helbredsforhold og seksuelle forhold. Visse undtagelser til og fravigelser fra dette forbud er bl.a. fastsat i artikel 8, stk. 2.40Artikel 8, stk. 5, i direktiv 95/46 bestemmer, at behandling af oplysninger om lovovertrædelser, straffedomme eller sikkerhedsforanstaltninger kun må foretages under kontrol af en offentlig myndighed, eller hvis der gælder tilstrækkelige, specifikke garantier i medfør af den nationale lovgivning med forbehold af de undtagelser, som medlemsstaten kan fastsætte på grundlag af nationale lovbestemmelser, hvorefter der gives tilstrækkelige, specifikke garantier. Et fuldstændigt register over straffedomme må dog kun føres under kontrol af en offentlig myndighed. Medlemsstaterne kan fastsætte bestemmelser om, at behandling af oplysninger vedrørende administrative sanktioner eller civile retssager ligeledes skal foretages under en offentlig myndigheds kontrol.41Indholdet af artikel 8, stk. 1 og 5, i direktiv 95/46 er med visse ændringer blevet gentaget i artikel 9, stk. 1, og artikel 10 i forordning 2016/679.42Det skal indledningsvis konstateres, at det fremgår af ordlyden af bestemmelserne i direktiv 95/46 og i forordning 2016/679, at det forbud og de restriktioner, som fastsættes heri, med forbehold af de i direktivet og forordningen fastsatte undtagelser finder anvendelse på enhver form for behandling af særlige kategorier af oplysninger i de nævnte bestemmelser og på alle registeransvarlige, som foretager sådanne behandlinger.43Endvidere er der ingen andre bestemmelser i nævnte direktiv eller forordning, som indeholder en generel fravigelse fra dette forbud eller disse restriktioner til fordel for en behandling som den, der foretages inden for rammerne af en søgemaskines aktivitet. Som det fremgår af præmis 37 i nærværende dom, følger det derimod af disse teksters almindelige opbygning, at udbyderen af en sådan søgemaskine i lighed med enhver anden registeransvarlig inden for rammerne af sit ansvar, sine kompetencer og sine muligheder skal sikre, at den behandling af personoplysninger, som vedkommende foretager, opfylder kravene i henholdsvis direktiv 95/46 og forordning 2016/679.44Endelig ville en fortolkning af artikel 8, stk. 1 og 5, i direktiv 95/46 eller af artikel 9, stk. 1, og artikel 10 i forordning 2016/679, som a priori og generelt udelukker en søgemaskines aktivitet fra de særlige krav, der er fastsat i disse bestemmelser for behandlingen af de heri omhandlede særlige kategorier af personoplysninger, være i strid med disse bestemmelsers formål, der består i at sikre en øget beskyttelse mod sådanne behandlinger, der som følge af disse oplysningers særligt følsomme karakter, således som det ligeledes fremgår af 33. betragtning til dette direktiv og af 51. betragtning til denne forordning, kan udgøre et særligt alvorligt indgreb i de grundlæggende rettigheder til respekt for privatliv og beskyttelse af personoplysninger, der er sikret ved chartrets artikel 7 og 8.45Selv om de særlige forhold, som gør sig gældende ved den behandling, som foretages af en søgemaskineudbyder i forbindelse med søgemaskinens aktivitet – i modsætning til, hvad bl.a. Google har gjort gældende – dermed ikke kan begrunde, at denne udbyder fritages fra overholdelsen af artikel 8, stk. 1 og 5, i direktiv 95/46 og artikel 9, stk. 1, og artikel 10 i forordning 2016/679, kan disse særlige forhold imidlertid påvirke omfanget af udbyderens ansvar og konkrete forpligtelser i henhold til disse bestemmelser.46I denne forbindelse bemærkes, som fremhævet af Europa-Kommissionen, at søgemaskineudbyderen ikke er ansvarlig for den omstændighed, at personoplysningerne omhandlet i disse bestemmelser findes på en webside, som en tredjemand har offentliggjort, men for henvisningen til denne side og navnlig for visningen af linket til denne side på den resultatliste, som vises internetbrugerne efter en søgning på en fysisk persons navn, idet en sådan visning af det pågældende link på en sådan liste kan påvirke den pågældende persons grundlæggende rettigheder til privatlivets fred og beskyttelsen af dennes personoplysninger betydeligt (jf. i denne retning dom af 13.5.2014, Google Spain og Google, C-131/12, EU:C:2014:317, præmis 80).47Under disse omstændigheder og henset til det ansvar, de kompetencer og de muligheder, som søgemaskineudbyderen har i sin egenskab af registeransvarlig for den behandling, der foretages i forbindelse med denne søgemaskines aktivitet, kan de forbud og restriktioner, der er fastsat i artikel 8, stk. 1 og 5, i direktiv 95/46 og i artikel 9, stk. 1, og artikel 10 i forordning 2016/679, som anført af generaladvokaten i punkt 56 i forslaget til afgørelse, og som i det væsentlige anført af alle procesdeltagere, som har taget stilling hertil, kun finde anvendelse på denne udbyder på grund af denne visning af links og dermed ved hjælp af en efterprøvelse under de kompetente nationale myndigheders kontrol på grundlag af en anmodning om fjernelse af links fremsat af den registrerede.48Det følger af det ovenstående, at det første spørgsmål skal besvares med, at bestemmelserne i artikel 8, stk. 1 og 5, i direktiv 95/46 skal fortolkes således, at det forbud eller de restriktioner for behandling af særlige kategorier af personoplysninger, der er omfattet af disse bestemmelser, ligeledes finder anvendelse med forbehold af de i dette direktiv fastsatte undtagelser på en søgemaskineudbyder inden for rammerne af dennes ansvar, kompetencer og muligheder som registeransvarlig for den behandling, der foretages ved denne søgemaskines aktivitet, i forbindelse med en efterprøvelse, som udbyderen foretager under de kompetente nationale myndigheders kontrol på grundlag af en anmodning fremsat af den registrerede.<TI><HT TYPE="BOLD"><HT TYPE="ITALIC">Det andet spørgsmål</HT></HT></TI>49Med det andet spørgsmål, som består af tre led, ønsker den forelæggende ret nærmere bestemt oplyst:

om bestemmelserne i artikel 8, stk. 1 og 5, i direktiv 95/46 skal fortolkes således, at en søgemaskineudbyder med forbehold af de i dette direktiv fastsatte undtagelser er forpligtet til at efterkomme anmodninger om at fjerne links til websider, hvor der forekommer personoplysninger, som henhører under de særlige kategorier i disse bestemmelser

om artikel 8, stk. 2, litra a) og e), i direktiv 95/46 skal fortolkes således, at en sådan udbyder i medfør af denne bestemmelse kan afvise at efterkomme en anmodning om fjernelse, hvis udbyderen konstaterer, at de pågældende links fører til indhold, som omfatter personoplysninger, som henhører under de særlige kategorier i artikel 8, stk. 1, men hvis behandling er omfattet af en af undtagelserne i artikel 8, stk. 2, litra a) og e), og

om bestemmelserne i direktiv 95/46 skal fortolkes således, at en søgemaskineudbyder ligeledes kan afvise at efterkomme en anmodning om fjernelse med den begrundelse, at de links, som anmodes slettet, fører til websider, hvor personoplysninger, som henhører under de særlige kategorier i direktivets artikel 8, stk. 1 eller stk. 5, udelukkende er offentliggjort i journalistisk øjemed eller med henblik på kunstnerisk eller litterær virksomhed, og at denne offentliggørelse dermed er omfattet af undtagelsen i direktivets artikel 9.

50Indledningsvis bemærkes, at anmodninger om fjernelse som de i hovedsagen omhandlede inden for rammerne af direktiv 95/46 navnlig støttes på direktivets artikel 12, litra b), hvorefter medlemsstaterne sikrer enhver registreret ret til hos den registeransvarlige at få slettet oplysninger, hvis behandling ikke er i overensstemmelse med direktivet.51Ifølge artikel 14, stk. 1, litra a), i direktiv 95/46 gælder i øvrigt, at medlemsstaterne indrømmer den registrerede ret til i det mindste i de i direktivets artikel 7, litra e) og f), omhandlede tilfælde af vægtige legitime grunde, der vedrører den pågældendes særlige situation, til enhver tid at gøre indsigelse mod, at personoplysninger om den pågældende gøres til genstand for behandling, medmindre andet er bestemt i den nationale lovgivning.52I denne forbindelse bemærkes, at Domstolen har fastslået, at artikel 12, litra b), og artikel 14, stk. 1, litra a), i direktiv 95/46 skal fortolkes således, at en søgemaskineudbyder med henblik på at overholde de rettigheder, der er fastsat i bestemmelserne, og for så vidt som de betingelser, der er fastsat i direktivet, faktisk er opfyldt, er forpligtet til fra den resultatliste, der vises efter en søgning på en persons navn, at fjerne links til websider, som er offentliggjort af tredjemand og indeholder oplysninger vedrørende denne person, også i det tilfælde, hvor dette navn eller disse oplysninger ikke forudgående eller samtidig slettes fra disse websider, og i givet fald selv når offentliggørelsen på disse sider i sig selv er lovlig (dom af 13.5.2014, Google Spain og Google, C-131/12, EU:C:2014:317, præmis 88).53Domstolen har desuden præciseret, at det inden for rammerne af bedømmelsen af betingelserne for disse bestemmelsers anvendelse bl.a. skal undersøges, om den berørte person har ret til, at den pågældende oplysning vedrørende personen på nuværende tidspunkt ikke længere knyttes til personens navn på en resultatliste, der vises efter en søgning på dette navn, uden at det med henblik på konstateringen af, at en sådan ret findes, dog herved er et krav, at medtagelsen af den pågældende oplysning på resultatlisten skader den berørte person. Da den berørte person, henset til den pågældendes grundlæggende rettigheder i medfør af chartrets artikel 7 og 8, kan anmode om, at den pågældende oplysning ikke længere stilles til rådighed for den brede offentlighed ved sin medtagelse på en sådan resultatliste, går disse rettigheder i princippet forud for ikke blot søgemaskineudbyderens økonomiske interesse, men også for offentlighedens interesse i at få adgang til nævnte oplysning ved en søgning på denne persons navn. Dette er imidlertid ikke tilfældet, såfremt det af særlige grunde, såsom den rolle, som nævnte person har i det offentlige liv, fremgår, at indgrebet i personens grundlæggende rettigheder er begrundet i offentlighedens vægtige interesse i at have adgang til den pågældende oplysning via medtagelsen på resultatlisten (dom af 13.5.2014, Google Spain og Google, C-131/12, EU:C:2014:317, præmis 99).54I artikel 17 i forordning 2016/679 har EU-lovgiver fastsat en bestemmelse, som særligt regulerer retten til sletning, som i overskriften til denne artikel ligeledes kaldes retten til at blive glemt.55I medfør af denne artikel 17, stk. 1, har den registrerede ret til at få personoplysninger om sig selv slettet af den dataansvarlige uden unødig forsinkelse, og den dataansvarlige har pligt til at slette personoplysninger uden unødig forsinkelse, hvis et af de i bestemmelsen anførte forhold gør sig gældende. Blandt disse forhold nævner bestemmelsen den omstændighed, at personoplysningerne ikke længere er nødvendige til at opfylde behandlingens formål, at den registrerede trækker det samtykke, der er grundlaget for behandlingen, tilbage, og der ikke er et andet retsgrundlag for behandlingen, at den registrerede gør indsigelse mod behandlingen i henhold til artikel 21, stk. 1 eller 2, i forordning 2016/679, som erstatter artikel 14 i direktiv 95/46, at personoplysninger er blevet behandlet ulovligt, at de skal slettes for at overholde en retlig forpligtelse, eller at de er blevet indsamlet i forbindelse med udbud af informationssamfundstjenester til børn.56Imidlertid præciseres det i artikel 17, stk. 3, i forordning 2016/679, at forordningens artikel 17, stk. 1, ikke finder anvendelse i det omfang, hvor denne behandling er nødvendig af en af de grunde, som er anført i stk. 3. Blandt disse grunde forekommer i forordningens artikel 17, stk. 3, litra a), bl.a. udøvelsen af retten til informationsfrihed.57Den omstændighed, at artikel 17, stk. 3, litra a), i forordning 2016/679 nu udtrykkeligt fastsætter, at den registreredes ret til sletning er udelukket, når behandlingen er nødvendig for at udøve retten til bl.a. informationsfrihed, som er sikret ved chartrets artikel 11, er et udtryk for den omstændighed, at retten til beskyttelse af personoplysninger ikke er en absolut rettighed, men skal, således som det fremhæves i fjerde betragtning til denne forordning, ses i sammenhæng med sin funktion i samfundet og afvejes i forhold til andre grundlæggende rettigheder i overensstemmelse med proportionalitetsprincippet (jf. tillige dom af 9.11.2010, Volker und Markus Schecke og Eifert, C-92/09 og C-93/09, EU:C:2010:662, præmis 48, og udtalelse 1/15 (PNR-aftalen mellem EU og Canada) af 26.7.2017, EU:C:2017:592, præmis 136).58I denne henseende bemærkes, at chartrets artikel 52, stk. 1, giver mulighed for, at der kan indføres begrænsninger i udøvelsen af rettigheder såsom dem, der er knæsat i chartrets artikel 7 og 8, for så vidt som disse begrænsninger er fastlagt i lovgivningen, respekterer disse rettigheders og friheders væsentligste indhold, og at de under iagttagelse af proportionalitetsprincippet er nødvendige og faktisk svarer til mål af almen interesse, der er anerkendt af Unionen, eller et behov for beskyttelse af andres rettigheder og friheder (dom af 9.11.2010, Volker und Markus Schecke og Eifert, C-92/09 og C-93/09, EU:C:2010:662, præmis 50).59Forordning 2016/679, og navnlig artikel 17, stk. 3, litra a), fastsætter således udtrykkeligt kravet om en afvejning mellem på den ene side den grundlæggende ret til respekt for privatlivet og den grundlæggende ret til beskyttelse af personoplysninger i medfør af chartrets artikel 7 og 8 og på den anden side den grundlæggende ret til informationsfrihed, som er sikret ved chartrets artikel 11.60Det er under hensyntagen til disse betragtninger, at det skal undersøges, under hvilke omstændigheder en søgemaskineudbyder er forpligtet til at efterkomme en anmodning om fjernelse og dermed at fjerne linket til en webside, hvor der forekommer personoplysninger, som henhører under kategorierne i artikel 8, stk. 1 og 5, i direktiv 95/46, fra den resultatliste, som vises efter en søgning på den registreredes navn.61I denne henseende skal det for det første fastslås, at en søgemaskineudbyders behandling af de i artikel 8, stk. 1, i direktiv 95/46 omhandlede særlige kategorier af oplysninger i princippet kan være omfattet af undtagelserne i artikel 8, stk. 2, litra a) og e), som den forelæggende ret har henvist til, og som fastsætter, at forbuddet mod behandling af disse særlige kategorier af oplysninger ikke finder anvendelse, når den registrerede har givet sit udtrykkelige samtykke til en sådan behandling, medmindre den pågældende medlemsstats lovgivning forbyder et sådant samtykke, eller når behandlingen navnlig vedrører oplysninger, som klart er offentliggjort af denne person. Disse undtagelser forefindes nu i artikel 9, stk. 2, litra a) og e), i forordning 2016/679. Desuden tillader artikel 9, stk. 2, litra g), som i det væsentlige gengiver artikel 8, stk. 4, i direktiv 95/46, behandlingen af de nævnte kategorier af oplysninger, når den er nødvendig af hensyn til væsentlige samfundsinteresser på grundlag af EU-retten eller medlemsstaternes nationale ret og står i rimeligt forhold til det mål, der forfølges, respekterer det væsentligste indhold af retten til databeskyttelse og sikrer passende og specifikke foranstaltninger til beskyttelse af den registreredes grundlæggende rettigheder og interesser.62Hvad angår undtagelsen i artikel 8, stk. 2, litra a), i direktiv 95/46 og i artikel 9, stk. 2, litra a), i forordning 2016/679 følger det af definitionen af begrebet samtykke i direktivets artikel 2, litra h), og i forordningens artikel 4, nr. 11), at dette samtykke skal være specifikt og dermed specifikt skal vedrøre den behandling, som foretages inden for rammerne af søgemaskinens aktivitet, og dermed den omstændighed, at behandlingen giver tredjemand mulighed for at opnå en resultatliste, som indeholder links til websider med følsomme oplysninger om den registrerede, ved en søgning på den pågældendes navn. I praksis kan dette dog vanskeligt lade sig gøre, og det fremgår i øvrigt ikke af sagsakterne for Domstolen, at søgemaskineudbyderen indhenter udtrykkeligt samtykke fra de registrerede inden behandlingen af personoplysninger om dem til brug for sin aktivitet med visning af links. Som anført af bl.a. den franske og den polske regering samt af Kommissionen, betyder selve den omstændighed, at en person fremsætter en anmodning om fjernelse, i princippet, under alle omstændigheder, at vedkommende i det mindste på tidspunktet for denne anmodning ikke længere samtykker til den behandling, som foretages af søgemaskineudbyderen. Det skal i denne forbindelse tillige bemærkes, at forordningens artikel 17, stk. 1, litra b), blandt de forhold, som begrunder retten til at blive glemt, indeholder den omstændighed, at den registrerede trækker det samtykke, der er grundlaget for behandlingen, jf. forordningens artikel 9, stk. 2, litra a), tilbage, og at der ikke er et andet retsgrundlag for behandlingen.63Derimod finder den omstændighed, der er omhandlet i artikel 8, stk. 2, litra e), i direktiv 95/46 og i artikel 9, stk. 2, litra e), i forordning 2016/679, hvorefter oplysningerne klart er blevet offentliggjort af den registrerede, anvendelse både på søgemaskineudbyderen og den pågældende websideudgiver, som i det væsentlige anført af samtlige procesdeltagere, der har ytret sig herom.64Skønt der på den viste webside forekommer personoplysninger, som henhører under de særlige kategorier i artikel 8, stk. 1, i direktiv 95/46 og artikel 9, stk. 1, i forordning 2016/679, er den behandling, som foretages af en søgemaskineudbyder i forbindelse med søgemaskinens aktivitet, i et sådant tilfælde derfor i overensstemmelse med disse retsforskrifter, forudsat at udbyderen tillige opfylder de øvrige lovlighedsbetingelser i bl.a. direktivets artikel 6 eller forordningens artikel 5 (jf. i denne retning dom af 13.5.2014, Google Spain og Google, C-131/12, EU:C:2014:317, præmis 72).65Selv i dette tilfælde kan den registrerede imidlertid i medfør af artikel 14, stk. 1, litra a), i direktiv 95/46 eller artikel 17, stk. 1, litra c), og artikel 21, stk. 1, i forordning 2016/679 have ret til fjernelse af det omhandlede link af årsager, som vedrører vedkommendes særlige situation.66Under alle omstændigheder skal søgemaskineudbyderen, når denne forelægges en anmodning om fjernelse, ud fra de vigtige samfundsmæssige interesser i artikel 8, stk. 4, i direktiv 95/46 eller artikel 9, stk. 2, litra g), i forordning 2016/679 og under overholdelse af de heri fastsatte betingelser prøve, om medtagelsen af et link til den pågældende webside på resultatlisten, som vises efter en søgning på den registreredes navn, er nødvendig for, at de internetbrugere, som potentielt kunne være interesserede i at få adgang til denne webside ved en sådan søgning, kan udøve deres ret til informationsfrihed, som er beskyttet i henhold til chartrets artikel 11. Selv om rettighederne for den registrerede, der er beskyttet ved chartrets artikel 7 og 8, generelt vejer tungest i forhold til internetbrugernes informationsfrihed, kan denne afvejning dog i særlige tilfælde afhænge af den pågældende oplysnings art, og hvor følsom den er for den registreredes privatliv, samt offentlighedens interesse i at råde over denne oplysning, hvilket bl.a. kan variere, alt efter hvilken rolle denne person har i det offentlige liv (jf. i denne retning dom af 13.5.2014, Google Spain og Google, C-131/12, EU:C:2014:317, præmis 81).67Hertil kommer den omstændighed, at i det tilfælde, hvor behandlingen vedrører de særlige kategorier af oplysninger i artikel 8, stk. 1 og 5, i direktiv 95/46 eller i artikel 9, stk. 1, og artikel 10 i forordning 2016/679, vil indgrebet i den registreredes grundlæggende rettigheder til privatlivets fred og beskyttelsen af personoplysninger som anført i nærværende doms præmis 44 kunne være særligt alvorligt på grund af disse oplysningers følsomme karakter.68Derfor skal søgemaskineudbyderen, når denne forelægges en anmodning om fjernelse af et link til en webside, hvor sådanne følsomme oplysninger offentliggøres, på grundlag af alle relevante forhold i den pågældende sag og under hensyntagen til, hvor alvorligt indgrebet er i den registreredes grundlæggende rettigheder til privatlivets fred og beskyttelsen af personoplysninger som knæsat i chartrets artikel 7 og 8, ud fra de vigtige samfundsmæssige interesser i artikel 8, stk. 4, i direktiv 95/46 eller artikel 9, stk. 2, litra g), i forordning 2016/679 og under overholdelse af de heri fastsatte betingelser prøve, om medtagelsen af dette link på resultatlisten, som vises efter en søgning på den registreredes navn, er strengt nødvendig for at beskytte den i chartrets artikel 11 knæsatte informationsfrihed for de internetbrugere, som potentielt kunne være interesserede i at få adgang til denne webside ved en sådan søgning.69Det følger af ovenstående betragtninger, at det andet spørgsmål skal besvares således:

Bestemmelserne i artikel 8, stk. 1 og 5, i direktiv 95/46 skal fortolkes således, at en søgemaskineudbyder i henhold til disse bestemmelser med forbehold af de i direktivet fastsatte undtagelser i princippet er forpligtet til at efterkomme anmodninger om fjernelse af links til websider, hvor der forekommer personoplysninger, som henhører under de særlige kategorier i disse bestemmelser.

Artikel 8, stk. 2, litra e), i direktiv 95/46 skal fortolkes således, at en sådan udbyder i medfør af denne bestemmelse kan afvise at efterkomme en anmodning om fjernelse, hvis udbyderen konstaterer, at de pågældende links fører til indhold, som omfatter personoplysninger, der henhører under de særlige kategorier i artikel 8, stk. 1, men hvis behandling er omfattet af en af undtagelserne i artikel 8, stk. 2, litra e), forudsat at denne behandling opfylder alle de øvrige lovlighedsbetingelser, der er fastsat i dette direktiv, og medmindre den registrerede i medfør af nævnte direktivs artikel 14, stk. 1, litra a), ikke har ret til at modsætte sig nævnte behandling af vægtige legitime grunde, der vedrører den pågældendes særlige situation.

Bestemmelserne i direktiv 95/46 skal fortolkes således, at søgemaskineudbyderen, når denne forelægges en anmodning om fjernelse af et link til en webside, hvor personoplysninger, som henhører under de særlige kategorier i direktivets artikel 8, stk. 1 eller 5, offentliggøres, på grundlag af alle relevante forhold i den pågældende sag og under hensyntagen til, hvor alvorligt indgrebet er i den registreredes grundlæggende rettigheder til privatlivets fred og beskyttelsen af personoplysninger som knæsat i chartrets artikel 7 og 8, ud fra de vigtige samfundsmæssige interesser i direktivets artikel 8, stk. 4, og under overholdelse af de heri fastsatte betingelser, skal prøve, om medtagelsen af dette link på resultatlisten, som vises efter en søgning på den registreredes navn, er strengt nødvendig for at beskytte den i chartrets artikel 11 knæsatte informationsfrihed for de internetbrugere, som potentielt kunne være interesserede i at få adgang til denne webside ved en sådan søgning.

<TI><HT TYPE="BOLD"><HT TYPE="ITALIC">Det tredje spørgsmål</HT></HT></TI>70Da det tredje spørgsmål kun er blevet forelagt i tilfælde af, at det første spørgsmål besvares benægtende, og da det første spørgsmål er blevet besvaret bekræftende, er det ufornødent at besvare dette spørgsmål.<TI><HT TYPE="BOLD"><HT TYPE="ITALIC">Det fjerde spørgsmål</HT></HT></TI>71Med det fjerde spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om bestemmelserne i direktiv 95/46 skal fortolkes således,

at oplysninger om retslige procedurer, som en fysisk person har været genstand for, og i givet fald oplysninger om den domfældelse, der fulgte heraf, for det første udgør oplysninger vedrørende lovovertrædelser og straffedomme som omhandlet i artikel 8, stk. 5, i direktiv 95/46

72Det skal i denne forbindelse fastslås, således som generaladvokaten har anført i punkt 100 i forslaget til afgørelse, og som bl.a. den franske regering, Irland, den italienske og den polske regering samt Kommissionen har gjort gældende, at oplysninger om en retslig procedure, der er indledt mod en fysisk person, såsom dem, der vedrører sigtelsen eller retssagen, og i givet fald den domfældelse, der følger heraf, udgør oplysninger vedrørende lovovertrædelser og straffedomme som omhandlet i artikel 8, stk. 5, første afsnit, i direktiv 95/46 og artikel 10 i forordning 2016/679, og dette gælder uafhængigt af, hvorvidt det under denne retslige procedure er blevet fastslået, at den overtrædelse, for hvilken den pågældende blev retsforfulgt, faktisk blev begået.73Ved at medtage links til websider, hvor sådanne oplysninger offentliggøres, på den resultatliste, som vises efter en søgning på den registreredes navn, foretager søgemaskineudbyderen derfor en behandling af disse oplysninger, som i henhold til artikel 8, stk. 5, første afsnit, i direktiv 95/46 og artikel 10 i forordning 2016/679 er underlagt særlige restriktioner. Som anført af Kommission kan en sådan behandling ifølge disse bestemmelser og under overholdelse af de øvrige lovlighedsbetingelser i dette direktiv og i denne forordning være lovlig, bl.a. hvis der gælder tilstrækkelige, specifikke garantier i medfør af den nationale lovgivning, hvilket kan være tilfældet, når de offentlige myndigheder har gjort de omhandlede oplysninger offentligt tilgængelige i overensstemmelse med gældende national lovgivning.74Hvad angår de øvrige lovlighedsbetingelser bemærkes, at det følger af kravene i artikel 6, stk. 1, litra c)-e), i direktiv 95/46, som nu forefindes i artikel 5, stk. 1, litra c)-e), i forordning 2016/679, at selv en behandling af korrekte oplysninger, der oprindeligt var lovlig, med tiden kan blive uforenelig med dette direktiv eller denne forordning, når disse oplysninger ikke længere er nødvendige af hensyn til de formål, hvortil de er blevet indsamlet, eller i forbindelse med hvilke de er blevet behandlet. Dette er bl.a. tilfældet, når de forekommer utilstrækkelige, irrelevante eller ikke længere relevante eller omfatter for meget i forhold til formålet, og henset til den tid, der er gået (dom af 13.5.2014, Google Spain og Google, C-131/12, EU:C:2014:317, præmis 93).75Som konstateret i nærværende doms præmis 66, skal søgemaskineudbyderen selv i det tilfælde, hvor behandlingen af oplysningerne i artikel 8, stk. 5, i direktiv 95/46 og i artikel 10 i forordning 2016/679 ikke opfylder restriktionerne heri eller de øvrige lovlighedsbetingelser såsom de i direktivets artikel 6, stk. 1, litra c)-e), og forordningens artikel 5, stk. 1, litra c)-e), opstillede, stadig ud fra de vigtige samfundsmæssige interesser i artikel 8, stk. 4, i nævnte direktiv eller artikel 9, stk. 2, litra g), i nævnte forordning og under overholdelse af de heri fastsatte betingelser prøve, om medtagelsen af et link til den pågældende webside på resultatlisten, som vises efter en søgning på den registreredes navn, er nødvendig for, at de internetbrugere, som potentielt kunne være interesserede i at få adgang til denne webside ved en sådan søgning, kan udøve deres ret til informationsfrihed, som er beskyttet i henhold til chartrets artikel 11.76I denne forbindelse skal det bemærkes, at det fremgår af praksis fra Den Europæiske Menneskerettighedsdomstol, at anmodninger fremsat af registrerede med henblik på i medfør af artikel 8 i den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder, undertegnet i Rom den 4. november 1950, at opnå et forbud mod, at forskellige medier stiller tidligere reportager om en straffesag mod disse personer til rådighed på internettet, kræver en prøvelse af den rette balance mellem de registreredes ret til privatlivets fred og bl.a. offentlighedens informationsfrihed. For at finde den rette balance skal der tages hensyn til den centrale rolle, som pressen spiller i et demokratisk samfund, og som omfatter udarbejdelsen af referater og kommentarer vedrørende retslige procedurer. Desuden ledsages mediernes funktion, som består i at kommunikere sådanne oplysninger og idéer, af offentlighedens ret til at modtage dem. Den Europæiske Menneskerettighedsdomstol har i denne forbindelse anerkendt, at offentligheden havde en interesse i ikke alene at blive informeret om en aktuel hændelse, men tillige i at kunne foretage søgninger om tidligere hændelser, hvor omfanget af offentlighedens interesse i straffesagerne dog kan variere og udvikle sig med tiden afhængigt af bl.a. sagens omstændigheder (Menneskerettighedsdomstolen, 28.6.2018, M.L. og W.W. mod Tyskland, CE:ECHR:2018:0628JUD006079810, §§ 89 og 100-102).77Det tilkommer således en søgemaskineudbyder inden for rammerne af en anmodning om fjernelse af links til websider, hvor der er offentliggjort oplysninger om en retslig procedure i en straffesag mod den registrerede, som vedrører et tidligere trin i denne procedure, og som ikke længere svarer til den aktuelle situation, under hensyntagen til alle sagens omstændigheder, herunder bl.a. den pågældende overtrædelses art og grovhed, den nævnte procedures forløb og udfald, den tid, der er forløbet, den registreredes rolle i det offentlige liv og dennes tidligere adfærd, hensynet til offentlighedens interesse på tidspunktet for anmodningens indgivelse, offentliggørelsens indhold og form samt dennes følgevirkninger for den registrerede, at vurdere, om denne person har ret til, at de pågældende oplysninger på det nuværende stadium ikke længere er knyttet til vedkommendes navn på en resultatliste, som vises efter en søgning på dette navn.78Det skal imidlertid tilføjes, at selv om en søgemaskineudbyder måtte fastslå, at dette ikke er tilfældet på grund af den omstændighed, at medtagelsen af det pågældende link viser sig at være strengt nødvendig for at forene den registreredes ret til respekt for privatlivets fred og beskyttelsen af personoplysninger med informationsfriheden for de internetbrugere, der potentielt er interesserede, er denne udbyder under alle omstændigheder forpligtet til senest i forbindelse med anmodningen om fjernelse at tilpasse resultatlisten på en sådan måde, at det samlede image, der følger heraf for internetbrugeren, afspejler den aktuelle retslige situation, hvilket bl.a. indebærer, at links til websider, der indeholder oplysninger herom, vises øverst på denne liste.79Henset til de ovenstående betragtninger skal det fjerde spørgsmål besvares med, at bestemmelserne i direktiv 95/46 skal fortolkes således,

at søgemaskineudbyderen for det andet er forpligtet til at efterkomme en anmodning om fjernelse af links til websider, hvor sådanne oplysninger forekommer, når disse oplysninger vedrører et tidligere trin i den pågældende retslige procedure og – henset til denne procedures forløb – ikke længere afspejler den aktuelle situation, for så vidt som det i forbindelse med prøvelsen af de vigtige samfundsmæssige interesser i direktivets artikel 8, stk. 4, konstateres, at den registreredes grundlæggende rettigheder, der er sikret ved chartrets artikel 7 og 8, henset til samtlige omstændigheder i det konkrete tilfælde, går forud for de potentielt interesserede internetbrugeres grundlæggende rettigheder, som er beskyttet i chartrets artikel 11.

<TI><HT TYPE="BOLD">Sagsomkostninger</HT></TI>80Da sagen i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagsomkostningerne. Bortset fra de nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.På grundlag af disse præmisser kender Domstolen (Store Afdeling) for ret:1)Bestemmelserne i artikel 8, stk. 1 og 5, i Europa-Parlamentet og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger skal fortolkes således, at det forbud eller de restriktioner for behandling af særlige kategorier af personoplysninger, der er omfattet af disse bestemmelser, ligeledes finder anvendelse med forbehold af de i dette direktiv fastsatte undtagelser på en søgemaskineudbyder inden for rammerne af dennes ansvar, kompetencer og muligheder som registeransvarlig for den behandling, der foretages ved denne søgemaskines aktivitet, i forbindelse med en efterprøvelse, som udbyderen foretager under de kompetente nationale myndigheders kontrol på grundlag af en anmodning fremsat af den registrerede.2)Bestemmelserne i artikel 8, stk. 1 og 5, i direktiv 95/46 skal fortolkes således, at en søgemaskineudbyder i henhold til disse bestemmelser med forbehold af de i direktivet fastsatte undtagelser i princippet er forpligtet til at efterkomme anmodninger om fjernelse af links til websider, hvor der forekommer personoplysninger, som henhører under de særlige kategorier i disse bestemmelser.

Bestemmelserne i direktiv 95/46 skal fortolkes således, at søgemaskineudbyderen, når denne forelægges en anmodning om fjernelse af et link til en webside, hvor personoplysninger, som henhører under de særlige kategorier i direktivets artikel 8, stk. 1 eller 5, offentliggøres, på grundlag af alle relevante forhold i den pågældende sag og under hensyntagen til, hvor alvorligt indgrebet er i den registreredes grundlæggende rettigheder til privatlivets fred og beskyttelsen af personoplysninger som knæsat i artikel 7 og 8 i Den Europæiske Unions charter om grundlæggende rettigheder, ud fra de vigtige samfundsmæssige interesser i direktivets artikel 8, stk. 4, og under overholdelse af de heri fastsatte betingelser, skal prøve, om medtagelsen af dette link på resultatlisten, som vises efter en søgning på den registreredes navn, er strengt nødvendig for at beskytte den i chartrets artikel 11 knæsatte informationsfrihed for de internetbrugere, som potentielt kunne være interesserede i at få adgang til denne webside ved en sådan søgning.

3)Bestemmelserne i direktiv 95/46 skal fortolkes således

at søgemaskineudbyderen for det andet er forpligtet til at efterkomme en anmodning om fjernelse af links til websider, hvor sådanne oplysninger forekommer, når disse oplysninger vedrører et tidligere trin i den pågældende retslige procedure og – henset til denne procedures forløb – ikke længere afspejler den aktuelle situation, for så vidt som det i forbindelse med prøvelsen af de vigtige samfundsmæssige interesser i direktivets artikel 8, stk. 4, konstateres, at den registreredes grundlæggende rettigheder, der er sikret ved artikel 7 og 8 i Den Europæiske Unions charter om grundlæggende rettigheder, henset til samtlige omstændigheder i det konkrete tilfælde, går forud for de potentielt interesserede internetbrugeres grundlæggende rettigheder, som er beskyttet i chartrets artikel 11.

Underskrifter