z dnia 13 maja 2014 r.(*)

Dane osobowe – Ochrona osób fizycznych w zakresie przetwarzania tych danych – Dyrektywa 95/46/WE – Artykuły 2, 4, 12 i 14 – Przedmiotowy i terytorialny zakres stosowania – Wyszukiwarki internetowe – Przetwarzanie danych zawartych na stronach internetowych – Wyszukiwanie, indeksacja i przechowywanie tych danych – Odpowiedzialność operatora wyszukiwarki internetowej – Prowadzenie działalności gospodarczej na terenie państwa członkowskiego – Zakres obowiązków spoczywających na tym operatorze oraz praw przysługujących danej osobie – Karta praw podstawowych Unii Europejskiej – Artykuły 7 i 8

W sprawie C‑131/12

mającej za przedmiot wniosek o wydanie, na podstawie art. 267 TFUE, orzeczenia w trybie prejudycjalnym, złożony przez Audiencia Nacional (Hiszpania) postanowieniem z dnia 27 lutego 2012 r., które wpłynęło do Trybunału w dniu 9 marca 2012 r., w postępowaniu

Google Spain SL,

Google Inc.

przeciwko

Agencia de Protección de Datos (AEPD),

Mario Costeja González,

TRYBUNAŁ (wielka izba),

w składzie: V. Skouris, prezes, K. Lenaerts, vice-prezes, M. Ilešič (sprawozdawca), L. Bay Larsen, T. von Danwitz, M. Safjan, prezesi izb, J. Malenovský, E. Levits, A. Ó Caoimh, A. Arabadjiev, M. Berger, A. Prechal i E. Jarašiūnas, sędziowie,

rzecznik generalny: N. Jääskinen,

sekretarz: M. Ferreira, główny administrator,

uwzględniając procedurę pisemną i po przeprowadzeniu rozprawy w dniu 26 lutego 2013 r.,

rozważywszy uwagi przedstawione:

–        w imieniu Google Spain SL oraz Google Inc, przez F. Gonzáleza Díaza, J. Baña Fosa oraz B. Hollesa, abogados,

–        w imieniu M. Costejy Gonzáleza, przez J. Muñoza Rodrígueza, abogado,

–        w imieniu rządu hiszpańskiego, przez A. Rubia Gonzáleza, działającego w charakterze pełnomocnika,

–        w imieniu rządu greckiego, przez E.-M. Mamounę oraz M. K. Boskovitsa, działających w charakterze pełnomocników,

–        w imieniu rządu włoskiego, przez G. Palmieri, działającą w charakterze pełnomocnika, wspieraną przez P. Gentiliego, avvocato dello Stato,

–        w imieniu rządu austriackiego, przez G. Kunnerta oraz C. Pesendorfer, działających w charakterze pełnomocników,

–        w imieniu rządu polskiego, przez B. Majczynę oraz M. Szpunara, działających w charakterze pełnomocników,

–        w imieniu Komisji Europejskiej, przez I. Martínez del Peral oraz B. Martenczuka, działających w charakterze pełnomocników,

po zapoznaniu się z opinią rzecznika generalnego na posiedzeniu w dniu 25 czerwca 2013 r.,

wydaje następujący

Wyrok

1        Niniejszy wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wykładni art. 2 lit. b) i d), art. 4 ust. 1 lit. a) i c), art. 12 lit. b) oraz art. 14 akapit pierwszy lit. a) dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. L 281, s. 31), a także art. 8 karty praw podstawowych Unii Europejskiej (zwanej dalej „kartą”).

2        Wniosek ten został przedstawiony w ramach sporu, jaki zaistniał pomiędzy Google Spain SL (zwaną dalej „Google Spain”) i Google Inc. a Agencia Española de Protección de Datos (hiszpańską agencją ochrony danych, zwaną dalej „AEPD”) i M. Costeją Gonzálezem w przedmiocie wydanej przez tą agencję decyzji uwzględniającej wniesioną przez M. Costeję Gonzáleza skargę na te dwie spółki i nakazującej Google Inc. przyjęcie środków koniecznych do usunięcia danych osobowych dotyczących M. Costejy Gonzáleza z jej indeksu oraz uniemożliwienie dostępu do tych danych w przyszłości.

 Ramy prawne

 Prawo Unii

3        Dyrektywa 95/46, której określonym w jej art. 1 celem jest ochrona podstawowych praw i wolności osób fizycznych, w szczególności ich prawo do prywatności w zakresie przetwarzania danych osobowych, a także usuwanie przeszkód w swobodnym przepływie tych danych, stanowi w swych motywach 2, 10, 18−20 i 25, co następuje:

„(2)  Systemy przetwarzania danych są tworzone po to, aby służyły człowiekowi; muszą one, niezależnie od obywatelstwa czy miejsca stałego zamieszkania osób fizycznych, szanować ich podstawowe prawa i wolności, szczególnie prawo do prywatności, oraz przyczyniać się do […] dobrobytu jednostek;

[…]

(10)      Celem krajowych przepisów prawa dotyczących przetwarzania danych osobowych jest ochrona podstawowych praw i wolności, szczególnie prawa do prywatności, które zostało uznane zarówno w art. 8 Europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności [podpisanej w Rzymie w dniu 4 listopada 1950 r.] oraz w zasadach ogólnych prawa wspólnotowego; z tego powodu zbliżanie przepisów prawa nie powinno wpłynąć na zmniejszenie ochrony, jaką gwarantują, lecz przeciwnie, musi dążyć do zapewnienia jak najwyższego stopnia ochrony we Wspólnocie;

[…]

(18)      Aby nie dopuścić do pozbawienia jednostek ochrony, do której mają prawo na mocy niniejszej dyrektywy, wszelkie przetwarzanie danych osobowych we Wspólnocie musi być przeprowadzane zgodnie z ustawodawstwem jednego z państw członkowskich; w związku z tym przetwarzanie danych przeprowadzane na odpowiedzialność administratora danych, który prowadzi działalność gospodarczą na terenie państwa członkowskiego, powinno być regulowane przez ustawodawstwo tego państwa;

(19)      Prowadzenie działalności gospodarczej na terytorium państwa członkowskiego zakłada efektywne i rzeczywiste prowadzenie działań poprzez stabilne rozwiązania; forma prawna prowadzonej działalności gospodarczej, niezależnie czy jest to oddział lub filia [spółka zależna] posiadająca osobowość prawną, nie jest w tym względzie czynnikiem decydującym; w przypadku ustanowienia jednego administratora danych na terytorium kilku państw członkowskich, szczególnie w postaci filii [spółki zależnej], musi on zapewnić, w celu uniknięcia obejścia przepisów krajowych, że każda z prowadzonych działalności gospodarczych będzie spełniać obowiązki wynikające z prawa krajowego;

(20)      Przetwarzanie danych przez osobę prowadzącą działalność w państwie trzecim nie może stać na przeszkodzie ochronie osób fizycznych przewidzianej w niniejszej dyrektywie; w tych przypadkach przetwarzanie danych powinno podlegać przepisom prawa państwa członkowskiego, w którym znajdują się wykorzystywane do tego celu środki oraz powinny istnieć gwarancje zapewniające przestrzeganie w praktyce praw i obowiązków przewidzianych w niniejszej dyrektywie;

[…]

(25)      Zasady ochrony muszą znajdować odzwierciedlenie, z jednej strony w obowiązkach nałożonych na osoby, władze publiczne, przedsiębiorstwa, agencje i inne organy odpowiedzialne za przetwarzanie danych, zwłaszcza w zakresie jakości danych, bezpieczeństwa technicznego, zawiadamiania organu nadzorczego oraz okoliczności, w których może odbywać się przetwarzanie danych, jak również, z drugiej strony, w prawie osób, których dane są przedmiotem przetwarzania, do uzyskania informacji, że takie przetwarzanie danych ma miejsce, do konsultowania danych, żądania poprawek lub nawet sprzeciwu wobec przetwarzania danych w niektórych przypadkach”.

4        Artykuł 2 dyrektywy 95/46 stanowi, że „dla celów tej dyrektywy”:

a)      „[Pojęcie]»[d]ane osobowe«: oznacza wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (»osoby, której dane dotyczą«); osoba możliwa do zidentyfikowania to osoba, której tożsamość można ustalić bezpośrednio lub pośrednio, szczególnie przez powołanie się na numer identyfikacyjny lub jeden bądź kilka szczególnych czynników określających jej fizyczną, fizjologiczną, umysłową, ekonomiczną, kulturową lub społeczną tożsamość;

b)       »przetwarzanie danych osobowych« (»przetwarzanie«) oznacza wszelkie operacje lub ciąg operacji dokonywany na danych osobowych, przy użyciu lub bez użycia środków automatycznych, takich jak gromadzenie, zapisywanie, porządkowanie, przechowywanie, dostosowywanie lub zmiana, odzyskiwanie, przeglądanie, wykorzystywanie, ujawnianie przez przesyłanie, rozpowszechnianie lub udostępnianie w inny sposób, zestawianie lub łączenie, blokowanie, usuwanie lub niszczenie;

[…]

d)       »administrator danych« oznacza osobę fizyczną lub prawną, organ publiczny, agencję lub inny organ, który samodzielnie lub wspólnie z innymi określa cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby przetwarzania danych są określane w przepisach ustawowych i wykonawczych lub przepisach wspólnotowych, administrator danych może być powoływany lub kryteria jego powołania mogą być ustalane przez ustawodawstwo krajowe lub wspólnotowe;

[…]”.

5        Artykuł 3 tej dyrektywy zatytułowany „Zakres obowiązywania” stanowi w ust. 1, co następuje:

„Niniejsza dyrektywa stosuje się do przetwarzania danych osobowych w całości lub w części w sposób zautomatyzowany oraz innego przetwarzania danych osobowych, stanowiących część zbioru danych lub mających stanowić część zbioru danych”.

6        Artykuł 4 tej samej dyrektywy, zatytułowany „Odpowiednie prawo krajowe” przewiduje:

„1.      Każde państwo członkowskie stosuje, w odniesieniu do przetwarzania danych osobowych, przepisy prawa krajowego przyjmowane na mocy niniejszej dyrektywy wówczas, gdy:

a)      przetwarzanie danych odbywa się w kontekście prowadzenia przez administratora danych działalności gospodarczej na terytorium państwa członkowskiego; jeżeli ten sam administrator danych prowadzi działalność gospodarczą na terytorium kilku państw członkowskich, musi on podjąć niezbędne działania, aby zapewnić, że każde z tych przedsiębiorstw wywiązuje się z obowiązków przewidzianych w odpowiednich przepisach prawa krajowego;

b)      administrator danych nie prowadzi działalności gospodarczej na terytorium państwa członkowskiego, lecz w miejscu, gdzie jego prawo krajowe obowiązuje na mocy międzynarodowego prawa publicznego;

c)      administrator danych nie prowadzi działalności gospodarczej na terytorium Wspólnoty a do celów przetwarzania danych osobowych wykorzystuje środki, zarówno zautomatyzowane jak i inne, znajdujące się na terytorium wymienionego państwa członkowskiego, o ile środki te nie są wykorzystywane wyłącznie do celów tranzytu przez terytorium Wspólnoty.

2.      W okolicznościach określonych w ust. 1 lit. c), administrator danych musi wyznaczyć swojego przedstawiciela na terytorium tego państwa członkowskiego, bez uszczerbku dla postępowań sądowych, jakie mogłyby być podjęte przeciwko samemu administratorowi danych.”

7        Znajdujący się w rozdziale II sekcji I dyrektywy 95/46 art. 6 zatytułowany „Zasady dotyczące jakości danych” brzmi następująco:

„1.      Państwa członkowskie zapewniają, aby dane osobowe były:

a) przetwarzane rzetelnie i legalnie;

b) gromadzone do konkretnych, bezpośrednich i zgodnych z prawem celów i nieprzetwarzane dalej w sposób niezgodny z tymi celami. Dalsze przetwarzanie danych w celach historycznych, statystycznych lub naukowych nie jest uważane za niezgodne z przepisami pod warunkiem ustanowienia przez państwa członkowskie odpowiednich środków zabezpieczających;

c) prawidłowe [właściwe], stosowne oraz nienadmierne w stosunku do celów, dla których są gromadzone i/lub przetwarzane dalej;

d) prawidłowe oraz, w razie konieczności, aktualizowane; należy podjąć wszelkie uzasadnione działania, aby zapewnić usunięcie lub poprawienie nieprawidłowych lub niekompletnych danych, biorąc pod uwagę cele, dla których zostały zgromadzone lub dla których są dalej przetwarzane;

e) przetrzymywane [przechowywane] w formie, która pozwala na zidentyfikowanie podmiotów danych przez czas nie dłuższy niż jest to konieczne do celów, dla których dane były gromadzone lub dla których są przetwarzane dalej. Państwa członkowskie ustanowią odpowiednie środki zabezpieczające dla danych przechowywanych przez dłuższe okresy dla potrzeb historycznych, statystycznych i naukowych.

2.      Na administratorze danych spoczywa obowiązek zapewnienia przestrzegania przepisów ust. 1.”

8        Znajdujący się w rozdziale II, sekcji II dyrektywy 95/46 art. 7 zatytułowany „Kryteria legalności przetwarzania danych” brzmi zaś następująco:

„Państwa członkowskie zapewniają, że dane osobowe mogą być przetwarzane tylko wówczas gdy:

[…]

f)      przetwarzanie danych jest konieczne dla potrzeb wynikających z uzasadnionych interesów administratora danych lub osoby trzeciej, lub osobom [osób], którym dane są ujawniane, z wyjątkiem sytuacji, kiedy interesy takie podporządkowane są interesom związanym z podstawowymi prawami i wolnościami osoby, której dane dotyczą, które gwarantują ochronę na podstawie art. 1 ust. 1.

9        Artykuł 9 tej dyrektywy, zatytułowany „Przetwarzanie danych osobowych i wolność wypowiedzi”, stanowi:

„Państwa członkowskie wprowadzają możliwość wyłączenia lub odstąpienia od przepisów niniejszego rozdziału, rozdziału IV i VI w przypadku przetwarzania danych osobowych wyłącznie w celach dziennikarskich lub w celu uzyskania wyrazu artystycznego lub literackiego jedynie wówczas, gdy jest to konieczne dla pogodzenia prawa do zachowania prywatności z przepisami dotyczącymi wolności wypowiedzi.”

10      Artykuł 12 tej samej dyrektywy, zatytułowany „Prawo dostępu do danych”, przewiduje:

„Państwa członkowskie zapewniają każdej osobie, której dane dotyczą, prawo do uzyskania od administratora danych:

[…]

b)      odpowiednio do przypadku, sprostowania, usunięcia lub zablokowania danych, których przetwarzanie jest niezgodne z przepisami niniejszej dyrektywy, szczególnie ze względu na niekompletność lub niedokładność danych;

[…]”.

11      Artykuł 14 tej dyrektywy, zatytułowany „Prawo sprzeciwu przysługujące osobie, której dane dotyczą”, brzmi następująco:

„Państwa członkowskie przyznają osobie, której dane dotyczą, prawo:

a) przynajmniej w przypadkach wymienionych w art. 7 lit. e) i f), w dowolnym czasie z ważnych i uzasadnionych przyczyn wynikających z jego [jej] konkretnej sytuacji, sprzeciwu co do przetwarzania dotyczących jej danych, z zastrzeżeniem odmiennych postanowień ustawodawstwa krajowego. W przypadku uzasadnionego sprzeciwu przetwarzanie danych przez administratora danych nie może już obejmować tych danych;

[…]”.

12      Artykuł 28 wspomnianej dyrektywy, zatytułowany „Organ nadzorczy”, sformułowany jest w sposób następujący:

„1.      Każde państwo członkowskie zapewni, że jeden lub więcej organów władzy publicznej będzie odpowiedzialnych za kontrolę stosowania na jego terytorium przepisów przyjętych przez państwa członkowskie na mocy niniejszej dyrektywy.

[…]

3.      Każdemu organowi nadaje się w szczególności:

–        uprawnienia dochodzeniowe, takie jak prawo do dostępu do danych, które stanowią przedmiot operacji przetwarzania, oraz prawo do gromadzenia wszelkich informacji potrzebnych mu do wykonywania swoich funkcji nadzorczych;

–        skuteczne uprawnienia interwencyjne, jak np. prawo do […] zarządzania blokady, usunięcia lub zniszczenia danych, nakładania czasowego lub ostatecznego zakazu przetwarzania danych […]

–        […]

Od decyzji organu nadzorczego, co do którego zgłaszane są zastrzeżenia, przysługuje odwołanie do właściwego sądu.

4.      Każdy organ nadzorczy rozpatruje skargi zgłaszane przez dowolną osobę lub przez stowarzyszenie ją reprezentujące, odnośnie do ochrony jej praw i wolności w zakresie przetwarzania danych osobowych. Daną osobę powiadamia się o wyniku rozpatrzenia wniosku.

[…]

6.      Każdy organ nadzorczy jest właściwy, niezależnie od krajowych przepisów dotyczących danego przypadku przetwarzania danych, do wykonywania na terytorium państwa członkowskiego uprawnień powierzonych mu zgodnie z ust. 3. Do każdego organu można się zwrócić z żądaniem wykonania jego uprawnień przez odpowiedni organ innego państwa członkowskiego.

Organy nadzorcze współpracują ze sobą w zakresie koniecznym do wykonywania swoich obowiązków, zwłaszcza poprzez wymianę wszelkich przydatnych informacji.

[…]”.

 Prawo hiszpańskie

13      Dyrektywa 95/46 została transponowana do prawa hiszpańskiego ustawą organiczną nr 15/1999 z dnia 13 grudnia 1999 r. w sprawie ochrony danych osobowych (BOE nr 298 z dnia 14 grudnia 1999 r., s. 43088).

 Postępowanie przed sądem krajowym i pytania prejudycjalne

14      W dniu 5 marca 2010 r. zamieszkały w Hiszpanii hiszpański obywatel M. Costeja González wniósł do AEPD skargę skierowaną przeciwko La Vanguardia Ediciones SL (zwanej dalej „La Vanguardia”), która to spółka publikuje w Katalonii (Hiszpania) wysokonakładowy dziennik, oraz przeciwko spółkom Google Spain i Google Inc. Skarga ta opierała się na tym, że przy wprowadzeniu imienia i nazwiska M. Costejy Gonzáleza do wyszukiwarki grupy Google (zwanej dalej „Google Search”) pojawiał się link do dwóch stron dziennika „La Vanguardia”, odpowiednio z dnia 19 stycznia i 9 marca 1998 r., na których znajdowało się zawierające to imię i nazwisko ogłoszenie w przedmiocie licytacji nieruchomości związanej z ich zajęciem wynikającym z niespłaconych należności na rzecz zakładu zabezpieczeń społecznych.

15      W tej skardze M. Costeja González zwrócił się przede wszystkim o nakazanie spółce La Vanguardia usunięcia lub zmiany tych stron internetowych w taki sposób, by nie pojawiały się na nich jego dane osobowe, lub też wykorzystania przez nią narzędzi udostępnianych przez wyszukiwarki internetowe do ochrony jego danych osobowych. Domagał się on również zobowiązania Google Spain lub Google Inc. do usunięcia lub ukrycia jego danych osobowych w taki sposób, by nie były one ujawniane w wynikach wyszukiwania i powiązane z linkami do publikacji w gazecie La Vanguardia. Mario Costeja González twierdził w tym kontekście, że dotyczące go zajęcie nieruchomości zostało całkowicie zakończone, kwestia ta została rozwiązana już wiele lat temu i że aktualnie nie ma żadnego znaczenia.

16      W wydanej w dniu 30 lipca 2010 r. decyzji AEPD oddaliła tą skargę w zakresie dotyczącym La Vanguardia, uznając, że ta publikacja przez nią rozpatrywanych informacji była prawnie uzasadniona, gdyż nastąpiła na żądanie Ministerstwa Pracy i Polityki Społecznej, a jej celem było jak najszersze rozpowszechnienie informacji o licytacji tak, aby miała ona jak największą liczbę uczestników.

17      Skarga ta jednak została uwzględniona w zakresie dotyczącym Google Spain i Google Inc. AEPD uznała w tym względzie, że operatorzy wyszukiwarek internetowych podlegają przepisom z zakresu ochrony danych, gdyż dokonują oni przetwarzania danych, za które ponoszą odpowiedzialność oraz działają jako pośrednicy społeczeństwa informacyjnego. AEPD uznała, że ma ona prawo do nakazania usunięcia tych danych i zakazania operatorom wyszukiwarek internetowych dostępu do niektórych z nich, jeśli uzna, iż ich umiejscowienie i stopień rozpowszechnienia mogą naruszać prawo podstawowe do ochrony danych i godności osób w szerokim znaczeniu, które może również obejmować tylko wolę danej osoby, aby dotyczące jej dane nie były znane osobom trzecim. AEPD uznała, że ten obowiązek może spoczywać bezpośrednio na operatorach wyszukiwarek internetowych, bez konieczności usuwania tych danych ze strony internetowej, na której się one znajdują, zwłaszcza w sytuacji, gdy zachowanie tych informacji na tej stronie ma za podstawę przepis prawa.

18      Google Spain i Google Inc. wniosły do Audiencia Nacional dwie osobne skargi, które zostały połączone do celów rozpoznania sprawy.

19      W postanowieniu odsyłającym sąd ten wyjaśnia, że skargi te dotyczą kwestii tego, jakie obowiązki spoczywają na operatorach wyszukiwarek internetowych w zakresie ochrony danych osobowych osób nieżyczących sobie tego, aby pewne informacje, opublikowane na stronach internetowych i zawierające ich dane osobowe umożliwiające połączenie tych informacji z tymi osobami, były umiejscawiane, indeksowane i udostępniane internautom w niedookreślony sposób. Odpowiedź na to pytanie jest uzależniona od tego, w jaki sposób należy dokonywać wykładni dyrektywy 95/46 w kontekście technologii, które pojawiły się już po jej publikacji.

20      W tych okolicznościach Audiencia Nacional postanowiła zawiesić postępowanie i skierowała do Trybunału następujące pytanie prejudycjalne:

„1)      Co się tyczy terytorialnego zakresu stosowania dyrektywy [95/46] i w konsekwencji hiszpańskiego ustawodawstwa ochrony danych osobowych:

a) Czy należy uznać, iż ma miejsce »działalność gospodarcza« w rozumieniu art. 4 ust. 1 lit. a) [dyrektywy 95/46], gdy zachodzi jeden lub kilka z następujących przypadków:

–        gdy przedsiębiorstwo będące dostawcą wyszukiwania [operator wyszukiwarki internetowej] ustanawia w danym państwie członkowskim biuro lub oddział [oddział lub spółkę zależną], których celem jest promocja i sprzedaż powierzchni reklamowych w wyszukiwarce [przez wyszukiwarkę], której działalność jest skierowana do osób zamieszkujących to państwo,

lub

–        gdy spółka dominująca wyznacza oddział znajdujący [spółkę zależną znajdującą] się w tym państwie członkowskim jako swojego przedstawiciela i jednocześnie jako administratora danych odpowiedzialnego za przetwarzanie dwóch określonych zbiorów, które wykazują związek z danymi klientów, którzy zamówili usługi reklamowe w rzeczonym przedsiębiorstwie,

lub

–        gdy biuro lub oddział [oddział lub spółka zależna] ustanowione w danym państwie członkowskim przekazują swojej spółce dominującej znajdującej się poza Unią Europejską wnioski i żądania kierowane do niej zarówno przez osoby, których dane dotyczą, jak i przez właściwe organy w związku z przestrzeganiem prawa do ochrony danych osobowych, nawet jeśli taka współpraca jest dobrowolna?

b)      Czy art. 4 ust. 1 lit. c) [dyrektywy 94/46] należy interpretować w ten sposób, że »wykorzyst[anie] środk[ów] znajdując[ych] się na terytorium wymienionego państwa członkowskiego« następuje w sytuacji:

–        gdy wyszukiwarka korzysta z robotów internetowych lub tzw. pająków, by zlokalizować i zindeksować treści stron internetowych umieszczonych na serwerach znajdujących w tym państwie członkowskim,

lub

–        gdy wyszukiwarka posługuje się nazwą domeny przypisaną do danego państwa członkowskiego i porządkuje wyszukiwanie i wyniki z uwzględnieniem języka tego państwa członkowskiego?

c)      Czy można uznać za wykorzystanie środków w rozumieniu art. 4 ust. 1 lit. c) [dyrektywy 95/46] czasowe przechowywanie informacji zindeksowanych przez wyszukiwarki internetowe? Jeżeli odpowiedź na to ostatnie pytanie będzie twierdząca, czy można uznać, iż ten łącznik występuje, gdy przedsiębiorstwo odmawia wskazania miejsca przechowywania tych indeksów, powołując się na względy konkurencyjności?

d)      Niezależnie od odpowiedzi na wcześniejsze pytania i w szczególności w przypadku, gdyby Trybunał uznał, że nie występują łączniki przewidziane w art. 4 dyrektywy [95/46]:

Czy należy stosować [dyrektywę 95/46] z uwzględnieniem art. 8 [karty], w tym państwie członkowskim, w którym mieści się punkt ciężkości konfliktu, tak by umożliwić bardziej skuteczną ochronę praw obywateli Unii Europejskiej?

2)      Co się tyczy działalności wyszukiwarek internetowych jako dostawców treści w odniesieniu do [dyrektywy 95/46]:

a)      W związku z działalnością [Google Search] w Internecie jako dostawcy treści, która to działalność polega na zlokalizowaniu informacji opublikowanych lub zamieszczonych w sieci przez osoby trzecie, indeksowaniu ich w sposób automatyczny, czasowym przechowywaniu takich informacji i wreszcie ich udostępnianiu internautom w sposób uporządkowany zgodnie z określonymi preferencjami, w sytuacji gdy takie informacje zawierają dane osobowe osób trzecich, czy należy uznać opisaną powyżej działalność za »przetwarzanie danych« w rozumieniu definicji zawartej w art. 2 lit. b) [dyrektywy 95/46]?

b)      W przypadku gdy odpowiedź na powyższe pytanie będzie twierdząca i w związku z taką działalnością jak opisana powyżej: czy należy interpretować art. 2 lit. d) [dyrektywy 95/46] w ten sposób, że przedsiębiorstwo, które zarządza [Google Search], jest »administratorem danych« osobowych zawartych na stronach internetowych indeksowanych przez tę wyszukiwarkę?

c)      W przypadku gdy odpowiedź na powyższe pytanie będzie twierdząca:

Czy [AEPD], strzegąc praw zawartych w art. 12 lit. b) i art. 14 [akapit pierwszy] lit. a) [dyrektywy 95/46], może zażądać bezpośrednio od przedsiębiorstwa […] prowadzącego [Google Search] usunięcia z jego indeksów informacji opublikowanych przez osoby trzecie, bez uprzedniego lub jednoczesnego zwrócenia się z takim żądaniem do podmiotu będącego właścicielem [edytora] strony internetowej, na której zamieszczona została ta informacja [zamieszczone zostały te informacje]?

d)      W przypadku gdy odpowiedź na to ostatnie pytanie będzie twierdząca:

Czy odpowiedzialność podmiotów prowadzących wyszukiwarki internetowe za przestrzeganie tych praw jest wyłączona w sytuacji gdy informacja zawierająca dane osobowe została opublikowana zgodnie z prawem przez osoby trzecie i nadal znajduje się na źródłowej stronie internetowej?

3)      Co się tyczy zakresu prawa do unieważnienia lub sprzeciwu w kontekście [»derecho al olvido«] (»prawa do bycia zapomnianym«), pojawia się następujące pytanie:

Czy należy interpretować prawo do usunięcia i zablokowania danych ustanowione w art. 12 lit. b) oraz prawo sprzeciwu wynikające z art. 14 [akapit pierwszy] lit. a) [dyrektywy 95/46] jako obejmujące prawo zainteresowanego do zwracania się do wyszukiwarek w celu uniemożliwienia indeksowania dotyczącej go informacji, opublikowanej na stronach internetowych osób trzecich, a takie żądania byłyby podyktowane wolą zainteresowanego, by te informacje nie były dostępne dla internautów, gdyż uważa, że mogą mu zaszkodzić, lub też życzy sobie »być zapomnianym«, nawet jeśli dotyczy to informacji opublikowanych zgodnie z prawem przez osoby trzecie?”

 W przedmiocie pytań prejudycjalnych

 W przedmiocie pytania drugiego lit. a) i b) dotyczącego materialnego zakresu zastosowania dyrektywy 95/46

21      Zadając pytanie drugie lit. a) i b), które należy przeanalizować w pierwszej kolejności, sąd odsyłający zastanawia się w istocie, czy art. 2 lit. b) dyrektywy 95/46 należy interpretować w taki sposób, że prowadzoną przez wyszukiwarki internetowe jako dostawców treści działalność, która polega na zlokalizowaniu informacji opublikowanych lub zamieszczonych w Internecie przez osoby trzecie, indeksowaniu ich w sposób automatyczny, czasowym przechowywaniu takich informacji i wreszcie ich udostępnianiu internautom w sposób uporządkowany zgodnie z określonymi preferencjami, w sytuacji, gdy takie informacje zawierają dane osobowe, należy uznać za „przetwarzanie danych osobowych” w rozumieniu tego przepisu. W przypadku udzielenia twierdzącej odpowiedzi na to pytanie sąd odsyłający chce ustalić, czy należy interpretować ten art. 2 lit. d) w ten sposób, że operator wyszukiwarki internetowej jest „administratorem” odpowiedzialnym za przetwarzanie danych osobowych w rozumieniu tego przepisu.

22      Zdaniem Google Spain i Google Inc. działalności wyszukiwarek internetowych nie można uznać za przetwarzanie danych pojawiających się na stronach internetowych osób trzecich wyświetlanych w postaci listy wyników wyszukiwania, ponieważ te wyszukiwarki przetwarzają dostępne w Internecie dane jako jedną całość, nie dzieląc ich na dane o charakterze osobowym i pozostałe informacje. Ponadto, nawet przy założeniu, że taką działalność należałoby uznać za „przetwarzanie danych”, nie można uznać operatora wyszukiwarki internetowej za „administratora” odpowiedzialnego za przetwarzanie tych danych, gdyż nie posiada on o nich żadnej wiedzy i nie sprawuje nad nimi kontroli.

23      Mario Costeja González, rządy austriacki, hiszpański, polski i włoski oraz Komisja twierdzą natomiast, że taka działalność niewątpliwie wiąże się z przetwarzaniem danych w rozumieniu dyrektywy 95/46, które różni się od przetwarzania danych przez wydawców stron internetowych i realizuje zupełnie inne niż ono cele. Operator wyszukiwarki internetowej jest ich zdaniem „administratorem” odpowiedzialnym za przetwarzanie przezeń danych, skoro to on określa cele i sposoby tego przetwarzania.

24      Zdaniem rządu greckiego rozpatrywana działalność stanowi takie „przetwarzanie”, ale, ze względu na to, że wyszukiwarki te służą jednie jako ogniwo pośrednie, nie można uznać przedsiębiorstw będących ich operatorami za „administratorów”, za wyjątkiem sytuacji, w których wyszukiwarki te przechowują dane w podręcznej pamięci buforowej („buffer cache”) przez okres czasu wykraczający poza to, co jest konieczne z technicznego punktu widzenia.

25      W tym względzie należy wskazać, że zgodnie z art. 2 lit. b) dyrektywy 95/46 „przetwarzanie danych osobowych” („przetwarzanie”) stanowią „wszelkie operacje lub ciąg operacji dokonywany na danych osobowych, przy użyciu lub bez użycia środków automatycznych, takich jak gromadzenie, zapisywanie, porządkowanie, przechowywanie, dostosowywanie lub zmiana, odzyskiwanie, przeglądanie, wykorzystywanie, ujawnianie przez przesyłanie, rozpowszechnianie lub udostępnianie w inny sposób, zestawianie lub łączenie, blokowanie, usuwanie lub niszczenie”.

26      W odniesieniu do Internetu Trybunał miał już okazję stwierdzić, że „operację polegającą na zamieszczeniu danych osobowych na stronie internetowej należy uznać za takie przetwarzanie [danych osobowych]” w rozumieniu art. 2 lit. b) dyrektywy 95/46 (zob. wyrok Lindqvist, C‑101/01, EU:C:2003:596, pkt 25).

27      W zakresie dotyczącym rozpatrywanej w postępowaniu głównym działalności nie ma wątpliwości co do tego, że do danych wyszukiwanych, indeksowanych i przechowywanych przez wyszukiwarki i udostępnianych ich użytkownikom należą również informacje, które dotyczą zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej, a zatem – „dane osobowe” w rozumieniu art. 2 lit. a) tej dyrektywy.

28      Należy zatem stwierdzić, że operator wyszukiwarki internetowej przeszukując Internet w zautomatyzowany, stały i systematyczny sposób w poszukiwaniu opublikowanych w nim informacji „gromadzi” takie dane „odzyskiwane”, „zapisywane” i „porządkowane” przezeń następnie za pomocą oprogramowania indeksującego, „przechowuje” je na swych serwerach oraz, w odpowiednim przypadku, „ujawnia” i „udostępnia” je swym użytkownikom w postaci listy wyników ich wyszukiwań. Ze względu na to, że te operacje zostały wyraźnie i bezwarunkowo wskazane w art. 2 lit. b) dyrektywy 95/46, należy uznać je za „przetwarzanie” w rozumieniu tego przepisu i bez znaczenia jest przy tym fakt, iż ten operator wyszukiwarki internetowej przeprowadza te same operacje również w odniesieniu do innego rodzaju informacji i nie wprowadza rozróżnienia między nimi a tymi danymi osobowymi.

29      Powyższe stwierdzenie nie jest też sprzeczne z faktem, że te dane są już opublikowane w Internecie i nie są zmieniane przez wyszukiwarkę internetową.

30      Trybunał stwierdził już zaś, że operacje, o których mowa w art. 2 lit. b) dyrektywy 95/46, należy uznać za takie przetwarzanie również w przypadku, gdy dotyczą one wyłącznie informacji opublikowanych już jako takie w mediach. Trybunał stwierdził bowiem w tym względzie, że ogólne odstępstwo od stosowania dyrektywy 95/46 w takim przypadku w dużej mierze pozbawiałoby tę dyrektywę sensu (zob. podobnie wyrok Satakunnan Markkinapörssi i Satamedia, C‑73/07, EU:C:2008:727, pkt 48 i 49).

31      Ponadto, z zawartej w art. 2 lit. b) dyrektywy 95/46 definicji wynika, że choć zmiana danych osobowych niewątpliwie stanowi przetwarzanie w rozumieniu tego przepisu, inne wspomniane w nim przepisie nie wymagają natomiast tego, aby te dane były zmieniane.

32      W odniesieniu do kwestii tego, czy można uznać operatora wyszukiwarki internetowej za „administratora” danych osobowych przetwarzanych przez tą wyszukiwarkę w ramach działalności takiej jak ta rozpatrywana w postępowaniu głównym, należy przypomnieć, że art. 2 lit. d) dyrektywy 95/46 określa tego administratora jako „osobę fizyczną lub prawną, organ publiczny, agencję lub inny organ, który samodzielnie lub wspólnie z innymi określa cele i sposoby przetwarzania danych osobowych”.

33      Zatem to właśnie operator wyszukiwarki internetowej określa cele i sposoby prowadzenia tej działalności, a zatem − przetwarzania przezeń w tych właśnie ramach danych osobowych i, co za tym idzie, powinien on na podstawie tego art. 2 lit. d) zostać uznany za „administratora” przetwarzanych w ten sposób danych.

34      Ponadto stwierdzić należy, że sprzeczne zarówno z wyraźnym brzmieniem tego przepisu, lecz również z jego celem – polegającym na zapewnieniu, poprzez przyjęcie szerokiej definicji pojęcia „administratora”, skutecznej i pełnej ochrony osobom, których dotyczą dane – byłoby wyłączenie z zakresu jego stosowania operatora wyszukiwarki internetowej ze względu na to, iż nie sprawuje on kontroli nad danymi osobowymi opublikowanymi na stronach internetowych osób trzecich.

35      W tym względzie należy podkreślić, że przetwarzanie danych osobowych, które ma miejsce w ramach działania wyszukiwarki, różni się od tego dokonywanego przez wydawców stron internetowych i polegającego na zamieszczaniu tych danych na stronie internetowej oraz ma dodatkowy względem niego charakter.

36      Ponadto nie ma wątpliwości co do tego, że działalność wyszukiwarek internetowych odgrywa decydującą rolę w rozpowszechnianiu tych danych na globalną skalę ze względu na to, iż dzięki niej są one dostępne wszystkim prowadzącym wyszukiwanie internautów przyjmujących dlań za punkt wyjścia imię i nazwisko danej osoby – w tym również tych internautów, którzy w przeciwnym razie nie znaleźliby strony internetowej, na której publikowane są te same dane.

37      Ponadto, dokonywane za pomocą wyszukiwarek internetowych porządkowanie i łączenie w poszczególne całości publikowanych w Internecie informacji w celu ułatwienia jego użytkownikom dostępu do nich może − w sytuacji, gdy prowadzą oni wyszukiwanie przyjmując za punkt wyjścia imię i nazwisko osoby fizycznej − prowadzić do tego, że ci użytkownicy otrzymają w postaci listy wyników wyszukiwania ustrukturyzowany przegląd dotyczących tej osoby informacji, jakie można znaleźć w Internecie, umożliwiających im sporządzenie mniej lub bardziej szczegółowego profilu danej osoby.

38      Ze względu zatem na to, że działalność wyszukiwarki internetowej może zatem znacząco oddziaływać na prawa podstawowe do poszanowania prywatności i ochrony danych osobowych w dodatkowy w stosunku do działalności prowadzonej przez wydawców stron internetowych sposób, operator tej wyszukiwarki jako osoba określająca cele i sposoby prowadzenia tej działalności winien w ramach spoczywającej na nim odpowiedzialności zapewnić, iż działalność ta spełnia określone w dyrektywie 95/46 wymogi tak, aby przewidziane w niej gwarancje były w pełni skuteczne i aby można było rzeczywiście zrealizować jej cel polegający na skutecznej i pełnej ochrony objętych nią osób, w szczególności w odniesieniu do ich prawa do poszanowania ich prywatności.

39      Wreszcie, okoliczność polegająca na tym, że wydawcy stron internetowych mogą wskazać operatorom wyszukiwarek internetowych, w szczególności za pomocą protokołów takich jak „robot.txt” czy też kodów takich jak „noindex” lub „noarchive”, iż życzą sobie oni, aby określona opublikowana na ich stronie informacja została całkowicie lub częściowo usunięta z automatycznych indeksów wyszukiwarek, nie oznacza, że brak takiego wskazania przez wydawców zwalnia operatora wyszukiwarki internetowej ze spoczywającej na nim odpowiedzialności za dokonywane przezeń w ramach działalności wyszukiwarki przetwarzanie danych osobowych.

40      Okoliczność ta pozostaje bowiem bez wpływu na fakt, że to właśnie ten operator określa cele i sposoby tego przetwarzania. Ponadto, nawet przy założeniu, że to przysługujące wydawcom stron internetowych uprawnienie oznacza, iż wspólnie z tym operatorem określają oni sposoby tego przetwarzania, stwierdzenie to pozostaje bez wpływu na spoczywającą na tym operatorze odpowiedzialność, gdyż w art. 2 lit. d) dyrektywy 95/46 wyraźnie stwierdzone zostało, iż określanie to może być dokonywane „samodzielnie lub wspólnie z innymi”.

41      Z powyższych rozważań jako całości wynika zatem, że na pytanie drugie lit. a) i b) należy odpowiedzieć, iż art. 2 lit. b) i d) dyrektywy 95/46 należy interpretować w taki sposób, że, po pierwsze, prowadzoną przez wyszukiwarki internetowe działalność, która polega na zlokalizowaniu informacji opublikowanych lub zamieszczonych w Internecie przez osoby trzecie, indeksowaniu ich w sposób automatyczny, czasowym przechowywaniu takich informacji i wreszcie ich udostępnianiu internautom w sposób uporządkowany zgodnie z określonymi preferencjami, w sytuacji, gdy takie informacje zawierają dane osobowe, należy uznać za „przetwarzanie danych osobowych” w rozumieniu art. 2 lit. b) tej dyrektywy oraz, po drugie, że należy uznać operatora tej wyszukiwarki internetowej za „administratora” odpowiedzialnego za przetwarzanie danych w rozumieniu tego art. 2 lit. d).

 W przedmiocie pytania pierwszego lit. a)−d) dotyczącego terytorialnego zakresu zastosowania dyrektywy 95/46

42      Zadając pytanie pierwsze lit. a)−d) sąd odsyłający chce ustalić, czy w okolicznościach takich jak te rozpatrywane w postępowaniu głównym istnieje możliwość zastosowania przepisów krajowych dokonujących transpozycji dyrektywy 95/46.

43      W tym kontekście sąd ten poczynił następujące ustalenia faktyczne:

–        Google Search stanowi usługę oferowaną na poziomie światowym za pośrednictwem strony internetowej www.google.com. W szeregu państw istnieją jej lokalne wersje dostosowane do cech charakterystycznych języków narodowych. Hiszpańska wersja tej usługi jest oferowana za pośrednictwem strony www.google.es, zarejestrowanej począwszy od dnia 16 września 2003 r. Google Search jest jedną z najpopularniejszych w Hiszpanii wyszukiwarek internetowych;

–        operatorem Google Search jest Google Inc., spółka dominująca grupy Google z siedzibą w Stanach Zjednoczonych;

–        Google Search indeksuje strony internetowe na całym świecie, w tym również strony hiszpańskie. Informacje indeksowane przez tzw. „pająki” czy roboty internetowe, czyli oprogramowanie wykorzystywane do są zautomatyzowanego i systematycznego przeglądania i systematyzowania treści stron internetowych, są czasowo przechowywane na serwerach, których państwo lokalizacji nie jest znane, gdyż ta informacja jest utrzymywana w tajemnicy ze względów związanych z konkurencyjnością;

–        Google Search nie ogranicza się do udostępniania treści znajdujących się na indeksowanych stronach internetowych, lecz korzysta z tej działalności w celu odpłatnego umieszczania powiązanych z wprowadzanymi przez internautów tematami wyszukiwania reklam przedsiębiorstw chcących wykorzystać do narzędzie do zaoferowania sprzedawanych przez nie towarów lub usług;

–        Grupa Google prowadzi poprzez swą spółkę zależną Google Spain promocję sprzedaży przestrzeni reklamowych stwarzanej na stronie „www.google.com”. Założona w dniu 3 września 2003 r. spółka Google Spain z siedzibą w Madrycie (Hiszpania) cieszy się odrębną osobowością prawną. Prowadzona przez nią działalność jest przede wszystkim kierowana do przedsiębiorstw znajdujących się w Hiszpanii i pełni ona w ramach grupy rolę agenta handlowego tej grupy w tym państwie członkowskim. Jej statutowy cel polega na promocji, ułatwianiu i prowadzeniu sprzedaży osobom trzecim produktów i usług związanych z reklamą w sieci oraz marketingu tych produktów i usług reklamowych.

–        Google Inc. powierzyła Google Spain sprawowanie w Hiszpanii funkcji administratora danych odpowiedzialnego za przetwarzanie dwóch zarejestrowanych przez Google Inc. w AEPD zbiorów mających zawierać dane osobowe klientów, którzy zawarli z Google Inc. umowę w przedmiocie usług reklamowych.

44      Bardziej konkretnie rzecz ujmując, sąd odsyłający zastanawia się przede wszystkim nad pojęciem działalności gospodarczej w rozumieniu art. 4 ust. 1 lit. a) dyrektywy 95/46, oraz nad użytym w art. 4 ust. 1 lit. c) tej dyrektywy pojęciem „wykorzystania środków znajdujących się na terytorium wymienionego państwa członkowskiego”.

 W przedmiocie pytania pierwszego lit. a)

45      Zadając pytanie pierwsze lit. a) sąd odsyłający zastanawia się w istocie, czy art. 4 ust. 1 lit. a) dyrektywy 95/46 należy interpretować w ten sposób, że przetwarzanie danych osobowych ma miejsce w ramach działalności gospodarczej prowadzonej przez administratora danych odpowiedzialnego za to przetwarzanie na terytorium danego państwa członkowskiego w rozumieniu tego przepisu, gdy spełniony jest jeden lub kilka z następujących trzech warunków:

–        operator wyszukiwarki internetowej ustanawia w danym państwie członkowskim oddział lub spółkę zależną, których celem jest promocja i sprzedaż powierzchni reklamowych w wyszukiwarce, której działalność jest skierowana do osób zamieszkujących to państwo,

–        spółka dominująca wyznacza spółkę zależną znajdującą się w tym państwie członkowskim jako swojego przedstawiciela i jednocześnie jako administratora danych odpowiedzialnego za przetwarzanie dwóch określonych zbiorów zawierających dane klientów, którzy zamówili usługi reklamowe w rzeczonym przedsiębiorstwie,

–        gdy oddział lub spółka zależna ustanowione w danym państwie członkowskim przekazują swojej spółce dominującej znajdującej się poza Unią wnioski i żądania kierowane do niej zarówno przez osoby, których dane dotyczą, jak i przez właściwe organy w związku z przestrzeganiem prawa do ochrony danych osobowych, nawet jeśli taka współpraca jest dobrowolna?

46      W odniesieniu do pierwszego z tych trzech warunków sąd odsyłający podnosi, że Google Inc. jest operatorem Google Search i podmiotem nią zarządzającym oraz, że nie zostało wykazane, iż Google Spain prowadzi w Hiszpanii działalność bezpośrednio powiązaną z indeksacją czy też przechowywaniem informacji lub danych umieszczonych na stronach internetowych osób trzecich. Jednak prowadzona przez Google Spain w Hiszpanii działalność polegająca na promocji i sprzedaży przestrzeni reklamowych stanowi zasadniczą część prowadzonej przez grupę Google działalności komercyjnej i można ją uznać za ściśle związaną z Google Search.

47      Mario Costeja González, rządy austriacki, hiszpański, polski, włoski oraz Komisja stoją na stanowisku, że, ze względu na nierozerwalny związek, jaki istnieje pomiędzy działalnością wyszukiwarki internetowej, której operatorem jest Google Inc., a działalnością prowadzoną przez Google Spain, należy uznać tą drugą spółkę za prowadzoną przez tą pierwszą działalność gospodarczą, w ramach której dokonywane jest przetwarzanie danych osobowych. Natomiast zdaniem Google Spain, Google Inc. i rządu greckiego art. 4 art. 1 lit. a) dyrektywy 95/46 nie ma zastosowania w przypadku pierwszego ze wskazanych przez sąd odsyłający warunków.

48      W tym względzie należy przede wszystkim podnieść, że w motywie 19 dyrektywy 95/46 wyjaśnione zostało, iż „[p]rowadzenie działalności gospodarczej na terytorium państwa członkowskiego zakłada efektywne i rzeczywiste prowadzenie działań poprzez stabilne rozwiązania”, a „forma prawna prowadzonej działalności gospodarczej, niezależnie czy jest to oddział lub filia [spółka zależna] posiadająca osobowość prawną, nie jest w tym względzie czynnikiem decydującym”.

49      Strony są zaś zgodne co do tego, że Google Spain rzeczywiście zajmuje się prowadzeniem w Hiszpanii działalności gospodarczej za pomocą „stabilnego rozwiązania”. Ze względu na to, że posiada odrębną osobowość prawną, stanowi ona spółkę zależną Google Inc. na terytorium hiszpańskim i co, za tym „działalność gospodarczą” w rozumieniu art. 4 ust. 1 lit. a) dyrektywy 95/46.

50      Do spełnienia zawartego w tym przepisie kryterium konieczne jest jeszcze, aby przetwarzanie danych osobowych przez ich administratora „odbywa[ło] się w kontekście prowadzenia przez administratora danych działalności gospodarczej na terytorium państwa członkowskiego”.

51      Google Spain i Google Inc. kwestionują to, iż warunek ten został spełniony w niniejszym przypadku, gdyż będące przedmiotem postępowania głównego przetwarzanie danych osobowych dokonywane jest wyłącznie przez Google Inc., która jest zupełnie niezależnym od Google Spain operatorem Google Search, a działalność Google Spain ogranicza się do świadczenia wsparcia działalności reklamowej grupy Google, która nie jest tożsama z usługą związaną z wyszukiwarką internetową.

52      Jednak, jak podkreślają w szczególności rząd hiszpański i Komisja, w art. 4 ust. 1 lit. a) 95/46 nie ustanowiono wymogu, aby przetwarzanie danych osobowych było dokonywane „przez” podmiot prowadzący działalność gospodarczą, lecz jedynie „w kontekście prowadzenia przez” niego działalności gospodarczej.

53      Ponadto, biorąc pod uwagę cel dyrektywy 95/46 polegający na zapewnieniu ochrony podstawowych praw i wolności osób fizycznych, w szczególności ich prawo do prywatności w zakresie przetwarzania danych osobowych, w odniesieniu do tego wyrażenia nie można przyjmować wykładni zawężającej (zob. analogiczne wyrok L’Oréal i in., C‑324/09, EU:C:2011:474, pkt 62 i 63).

54      W tym kontekście należy podnieść, że w szczególności z motywów 18−20 i art. 4 dyrektywy 95/46 wynika, iż celem prawodawcy unijnego było niedopuszczenie do pozbawienia jednostek ochrony, do której mają prawo na mocy tej dyrektywy i dlatego przewidział on w jej przypadku szczególnie szeroki terytorialny zakres jej zastosowania.

55      Uwzględniając ten cel dyrektywy 95/46 oraz brzmienie jej art. 4 ust. 1 lit. a), należy stwierdzić, że przetwarzanie danych osobowych dla potrzeb funkcjonowania wyszukiwarki internetowej takiej jak Google Search − której operatorem jest mające siedzibę w państwie trzecim przedsiębiorstwo dysponujące w państwie członkowskim działalnością gospodarczą − jest dokonywane „w kontekście prowadzenia działalności gospodarczej”, jeśli ma ona na celu zapewnienie w tym państwie członkowskim promocji i sprzedaży powierzchni reklamowych przez wyszukiwarkę, co zapewnia rentowność oferowanej przez tą wyszukiwarkę usługi.

56      W takich okolicznościach działalność prowadzona przez operatora wyszukiwarki oraz działania w ramach działalności gospodarczej prowadzonej na terenie danego państwa członkowskiego są ze sobą nierozerwalnie powiązane, gdyż działalność związana z powierzchniami reklamowymi stanowi środek służący uczynieniu rozpatrywanej wyszukiwarki internetowej opłacalną pod względem gospodarczym, a wyszukiwarka ta stanowi jednocześnie środek umożliwiający prowadzenie tej działalności.

57      W tym względzie należy przypomnieć, że, jak zostało wyjaśnione w pkt 26−28 niniejszego wyroku, przetwarzaniem danych osobowych jest samo już ich wyświetlanie na stronie zawierającej listę wyników wyszukiwania. Ze względu zaś na to, że razem z tymi wynikami wyświetlane są powiązane z tematami wyszukiwania reklamy, należy stwierdzić, iż rozpatrywane przetwarzanie danych osobowych jest dokonywane w ramach komercyjnych działań reklamowych dokonywanych w ramach prowadzenia przez administratora danych działalności gospodarczej na terytorium państwa członkowskiego – w niniejszym przypadku hiszpańskiego.

58      W tych okolicznościach nie można zgodzić się z tym, aby przetwarzanie danych osobowych dla potrzeb funkcjonowania tej wyszukiwarki nie podlegało przewidzianym w dyrektywie 95/46 obowiązkom i gwarancjom, co zagrażałoby z kolei skuteczności tego aktu oraz realizowanemu przezeń celowi w postaci zapewnieniu ochrony podstawowych praw i wolności osób fizycznych (zob. analogicznie wyrok L’Oréal i in., EU:C:2011:474, pkt 62 i 63), a w szczególności do poszanowania ich prywatności w zakresie przetwarzania danych osobowych, któremu to prawu dyrektywa ta nadaje szczególną wagę, jak potwierdzają to w szczególności jej art. 1 ust. 1 oraz motywy 2 i 10 (zob. pdobnie wyroki Österreichischer Rundfunk i in., C-465/00, C-138/01 i C-139/01, EU:C:2003:294, pkt 70; Rijkeboer, C-553/07, EU:C:2009:293, pkt 47, oraz IPI, C-473/12, EU:C:2013:715, pkt 28 i przytoczone tam orzecznictwo).

59      Ze względu na to, że już tylko jeden z wyliczonych przez sąd odsyłający warunków sam w sobie wystarczy, aby móc na tej podstawie wyciągnąć wniosek, iż Google Spain spełnia kryterium ustanowione w art. 4 ust. 1 lit. a) dyrektywy 95/46, nie ma potrzeby badania pozostałych dwóch warunków.

60      Z powyższego wynika, iż na pytanie pierwsze lit. a) należy udzielić odpowiedzi, iż art. 4 ust. 1 lit. a) dyrektywy 95/46 należy interpretować w ten sposób, że przetwarzanie danych osobowych ma miejsce w ramach działalności gospodarczej prowadzonej przez administratora danych odpowiedzialnego za to przetwarzanie na terytorium danego państwa członkowskiego w rozumieniu tego przepisu, jeśli operator wyszukiwarki internetowej ustanawia w danym państwie członkowskim oddział lub spółkę zależną, których celem jest promocja i sprzedaż powierzchni reklamowych oferowanych za pośrednictwem tej wyszukiwarki, a działalność tego oddziału lub spółki zależnej jest skierowana do osób zamieszkujących to państwo.

 W przedmiocie pytania pierwszego lit. b)−d)

61      W świetle odpowiedzi udzielonej na pytanie pierwsze lit. a) nie ma potrzeby udzielania odpowiedzi na pytanie pierwsze lit. b)−d).

 W przedmiocie pytania drugiego lit. b)−d) dotyczącego zakresu odpowiedzialności, jaką nakłada na operatora wyszukiwarki internetowej dyrektywa 95/46

62      Zadając swe drugie pytanie lit. c)−d) sąd odsyłający podnosi w istocie kwestię tego, czy art. 12 lit. b) oraz art. 14 akapit pierwszy lit. a) dyrektywy 95/46 należy interpretować w ten sposób, że ustanowione w tych przepisach normy są przestrzegane wówczas, gdy operator wyszukiwarki internetowej jest zobowiązany do usunięcia z wyświetlanej listy wyników wyszukiwania mającego za punkt wyjścia imię i nazwisko danej osoby linków do publikowanych przez osoby trzecie stron internetowych zawierających dotyczące tej osoby informacje, również w przypadku, gdy te imię czy nazwisko czy też te informacje nie zostały uprzednio czy też jednocześnie usunięte z tych stron internetowych i, w odpowiednim przypadku, nawet jeśli ich publikacja na tych stronach jest zgodna z prawem.

63      Google Spain i Google Inc. są zdania, że, zgodnie z zasadą proporcjonalności, wszelkie żądania w przedmiocie usunięcia informacji winny być kierowane do wydawcy danej strony internetowej, gdyż to on, przyjmując odpowiedzialność za ich upublicznienie, jest w stanie ocenić zgodność z prawem ich publikacji oraz może bardziej skutecznymi i mniej restrykcyjnymi środkami odebrać dostęp do tych informacji. Ponadto, nałożenie na operatora wyszukiwarki internetowej obowiązku usunięcia ze swych indeksów informacji opublikowanych w Internecie w niewystarczającym stopniu uwzględnia prawa podstawowe wydawców stron internetowych, pozostałych internautów oraz samego operatora.

64      Zdaniem rządu austriackiego krajowy organ nadzorczy może nakazać takiemu operatorowi usunięcie ze swych zbiorów danych informacji opublikowanych przez osoby trzecie jedynie wówczas, gdy uprzednio stwierdzono niezgodność rozpatrywanych danych z prawem lub z prawdą lub też osoba, której te dane dotyczą, wniosła przeciwko wydawcy strony internetowej, na której te informacje zostały opublikowane, uwzględniony sprzeciw.

65      Mario Costeja González, rządy hiszpański, polski i włoski oraz Komisja stoją na stanowisku, że taki organ krajowy może bezpośrednio nakazać operatorowi wyszukiwarki usunięcie z jego indeksów i podręcznej pamięci buforowej opublikowanych przez osoby trzecie informacji zawierających dane osobowe, bez uprzedniego lub jednoczesnego zwrócenia się z takim żądaniem do wydawcy strony internetowej, na której zamieszczone zostały te informacje. Ponadto zadaniem M. Costejy Gonzáleza, rządów hiszpańskiego i włoskiego oraz Komisji okoliczność, że te informacje zostały opublikowane zgodnie z prawem i że znajdują się one nadal na stronie internetowej, na której zostały one pierwotnie opublikowane, pozostaje bez wpływu na obowiązki ciążące na tym operatorze na mocy dyrektywy 95/46. Zdaniem rządu polskiego natomiast ta okoliczność może zwalniać tego operatora z tego obowiązku.

66      Na wstępie należy przypomnieć, że, jak wynika z art. 1 i motywu 10 dyrektywy 95/46, jej celem jest zapewnienie wysokiego poziomu ochrony podstawowych praw i wolności, a szczególnie prawa do prywatności w zakresie przetwarzania danych osobowych (zob. podobnie wyrok w sprawie IPI, EU:C:2013:715, pkt 28).

67      Zgodnie z motywem 25 dyrektywy 95/46 zasady tej ochrony muszą znajdować odzwierciedlenie, z jednej strony, w obowiązkach nałożonych na podmioty przetwarzające dane, zwłaszcza w zakresie dotyczącym jakości tych danych, bezpieczeństwa technicznego, zawiadamiania organu nadzorczego oraz okoliczności, w których może odbywać się przetwarzanie danych, jak również, z drugiej strony, w prawie osób, których dane są przedmiotem przetwarzania, do uzyskania informacji, że takie przetwarzanie danych ma miejsce, do konsultowania danych, żądania poprawek lub nawet, w niektórych przypadkach, sprzeciwu wobec przetwarzania danych.

68      Trybunał rozstrzygnął już, że wykładnia przepisów dyrektywy 95/46 w zakresie, w jakim regulują one kwestię przetwarzania danych osobowych mogącego naruszyć podstawowe wolności, a w szczególności prawo do prywatności, musi być bezwzględnie dokonywana z punktu widzenia praw podstawowych, które zgodnie z utrwalonym orzecznictwem, stanowią część składową ogólnych zasad prawnych, których przestrzeganie zapewnia Trybunał Sprawiedliwości i które zostały zawarte w karcie (zob. w szczególności wyroki Connolly/Komisja, C‑274/99 P, EU:C:2001:127, pkt 37, oraz Österreichischer Rundfunk i in., EU:C:2003:294, pkt 68).

69      Artykuł 7 karty gwarantuje zaś prawo do poszanowania życia prywatnego, natomiast jej art. 8 wyraźnie ustanawia prawo do ochrony danych osobowych. W art. 8 ust. 2 i 3 wyjaśnione zostało, że dane te muszą być przetwarzane rzetelnie, w określonych celach i za zgodą osoby zainteresowanej lub na innej uzasadnionej podstawie przewidzianej ustawą, a każdy ma prawo do dostępu do zebranych danych, które go dotyczą i prawo do dokonania ich sprostowania; przestrzeganie tych zasad podlega zaś kontroli niezależnego organu. Wymogi te są wprowadzane w życie szczególnie poprzez art. 6, 7, 12, 14 i 28 dyrektywy 95/46.

70      Artykuł 12 lit. b) dyrektywy 95/46 stanowi natomiast, że państwa członkowskie zapewniają każdej osobie, której dane dotyczą, prawo do uzyskania od administratora danych, odpowiednio do przypadku, sprostowania, usunięcia lub zablokowania danych, których przetwarzanie jest niezgodne z przepisami tej dyrektywy, szczególnie ze względu na niekompletność lub niedokładność danych. To ostatnie wyjaśnienie dotyczące przypadków nieprzestrzegania pewnych określonych w art. 6 ust. 1 lit. d) dyrektywy 95/46 wymogów ma przykładowy i niewyczerpujący charakter, z czego wynika, że niezgodność przetwarzania danych, na podstawie której osoba, której te dane dotyczą, może powołać się na prawa przysługujące jej na podstawie art. 12 b) tej dyrektywy, może również wynikać z faktu nieprzestrzegania innych wymogów, które zgodnie z dyrektywą 95/46 musi spełniać przetwarzanie danych osobowych, aby było ono dokonywane zgodnie z prawem.

71      W tym względzie należy przypomnieć, że, z zastrzeżeniem dozwolonych na mocy art. 13 dyrektywy 95/46 odstępstw, każda operacja przetwarzania danych osobowych musi być zgodna z jednej strony z wyrażonymi w art. 6 tej dyrektywy zasadami odnoszącymi się do charakteru danych, a z drugiej strony – z jednym z kryteriów legalności przetwarzania danych, wymienionych w art. 7 tej dyrektywy (zob. wyroki Österreichischer Rundfunk i in., EU:C:2003:294, pkt 65; ASNEF i FECEMD, C-468/10 i C-469/10, EU:C:2011:777, pkt 26, oraz Worten, C-342/12, EU:C:2013:355, pkt 33).

72      Zgodnie z brzmieniem tego art. 6 i zastrzeżeniem przepisów szczególnych, które państwa członkowskie mogą ustanowić w odniesieniu do przetwarzania danych w celach historycznych, statystycznych lub naukowych, administrator danych musi zapewnić, że dane osobowe są „przetwarzane rzetelnie i legalnie”, że są one „gromadzone do konkretnych, bezpośrednich i zgodnych z prawem celów i nieprzetwarzane dalej w sposób niezgodny z tymi celami”, „prawidłowe [właściwe], stosowne oraz nienadmierne w stosunku do celów, dla których są gromadzone i/lub przetwarzane dalej”, „prawidłowe oraz, w razie konieczności, aktualizowane” oraz, wreszcie, że są one „przetrzymywane [przechowywane] w formie, która pozwala na zidentyfikowanie podmiotów danych przez czas nie dłuższy niż jest to konieczne do celów, dla których dane były gromadzone lub dla których są przetwarzane dalej”. W tym kontekście ten administrator danych musi podjąć wszelkie racjonalne działania konieczne do tego, aby zapewnić usunięcie lub poprawienie danych niespełniających określonych w tym przepisie wymogów.

73      Jeśli chodzi o wynikającą z art. 7 dyrektywy 95/46 legalność przetwarzania danych takiego jak rozpatrywane w postępowaniu głównym przetwarzanie danych przez operatora wyszukiwarki internetowej, operator ten może powołać się na przypadek określony w art. 7 lit. f) tej dyrektywy.

74      Przepis ten zezwala na przetwarzanie danych osobowych w przypadku, gdy jest to konieczne do realizacji uzasadnionych interesów administratora danych lub osoby trzeciej czy też osób trzecich, którym dane są ujawniane, pod warunkiem, że interesy takie nie są podporządkowane interesom i prawom podstawowym osoby, której dane dotyczą − zwłaszcza zaś prawa do ochrony prywatności w zakresie przetwarzania danych osobowych − a których ochrona została zagwarantowana w art. 1 ust. 1 tej dyrektywy. Zastosowanie art. 7 lit. f) wymaga zatem dokonania wyważenia przeciwstawnych sobie praw i interesów w ramach którego należy uwzględnić wynikające z art. 7 i 8 karty znaczenie praw osoby, której dotyczą dane (zob. wyrok ASNEF i FECEMD, EU:C:2011:777, pkt 38 i 40).

75      Choć zgodność przetwarzania danych z art. 6 i 7 lit. f) dyrektywy 95/46 może zostać sprawdzona w ramach rozpatrywanaia wniosku złożonego na podstawie art. 12 lit. b) tej dyrektywy, osoba, której dane te dotyczą, może ponadto powołać się na pewne przesłanki przewidzianego w art. 14 akapit pierwszy lit. a) tej dyrektywy prawa do wniesienia sprzeciwu.

76      Zgodnie z tym 14 akapit pierwszy lit. a) państwa członkowskie przyznają osobie, której dane dotyczą, przynajmniej w przypadkach wymienionych w art. 7 lit. e) i f), w dowolnym czasie z ważnych i uzasadnionych przyczyn wynikających z jej konkretnej sytuacji, prawo sprzeciwu wobec przetwarzania dotyczących jej danych, z zastrzeżeniem odmiennych postanowień ustawodawstwa krajowego. Wyważenie praw i interesów, którego należy dokonać w ramach zastosowania art. 14 akapit pierwszy lit. a), umożliwia więc bardziej szczegółowe uwzględnienie wszystkich okoliczności konkretnej sytuacji osoby, której dane dotyczą. W przypadku uzasadnionego sprzeciwu przetwarzanie danych przez ich administratora nie może już obejmować tych danych.

77      Wnioski, o których mowa jest w art. 12 lit. b) i art. 14 akapit pierwszy lit. a) 95/46, mogą być kierowane bezpośrednio przez osobę, których dane dotyczą, do ich administratora, który winien następnie należycie zbadać ich zasadność i, w odpowiednim przypadku, zaprzestać przetwarzania danych będących przedmiotem złożonego doń wniosku. W przypadku, gdy administrator danych nie nada dalszego biegu złożonym doń wnioskom, osoba, których dotyczą dane, może zwrócić się do organu nadzorczego czy też sądowniczego, aby te przeprowadziły konieczną kontrolę i odpowiednio nakazały temu operatorowi przyjęcie konkretnych środków.

78      W tym względzie należy podnieść, że z art. 28 ust. 3 i 4 dyrektywy 95/46 wynika, iż każdy organ nadzorczy rozpatruje zgłaszane przez dowolną osobę skargi w przedmiocie ochrony jej praw i wolności w zakresie przetwarzania danych osobowych oraz iż organ ten posiada uprawnienia dochodzeniowe i skuteczne uprawnienia interwencyjne umożliwiające mu w szczególności zarządzenie blokady, usunięcia lub zniszczenia danych czy też nakładania czasowego lub ostatecznego zakazu przetwarzania danych.

79      Przepisy dyrektywy 95/46 regulujące kwestię praw osoby, której dane dotyczą, w sytuacji, gdy złoży ona do organu nadzorczego czy też sądowniczego wniosek taki jak ten rozpatrywany w postępowaniu głównym, należy interpretować i stosować biorąc pod uwagę właśnie powyższe względy.

80      W tej kwestii należy przede wszystkim podnieść, że, jak zostało stwierdzone w pkt 36−38 niniejszego wyroku, takie jak to rozpatrywane w postępowaniu głównym przetwarzanie danych osobowych dokonywane przez operatora wyszukiwarki internetowej może znacząco oddziaływać na prawa podstawowe do poszanowania prywatności i ochrony danych osobowych w sytuacji, gdy przeszukiwanie zasobów internetowych za pomocą tej wyszukiwarki jest prowadzone z punktu wyjścia będącego imieniem i nazwiskiem osoby fizycznej – jeśli to przetwarzanie umożliwia wszystkim internautom otrzymanie mającego postać listy wyników wyszukiwania ustrukturyzowanego przeglądu dotyczących tej osoby informacji, jakie można znaleźć w Internecie, dotyczących potencjalnie całego szeregu aspektu jej życia prywatnego i które, gdyby nie ta wyszukiwarka, nie mogłyby zostać ze sobą powiązane lub też byłoby to bardzo utrudnione, efektem czego niemożliwym lub bardzo utrudnionym byłoby sporządzenie mniej lub bardziej szczegółowego profilu danej osoby. Ponadto, skutki tej ingerencji w prawa, której dane dotyczą, zostają zwielokrotnione ze względu na istotną rolę, jaką odgrywa Internet i wyszukiwarki internetowe we współczesnym społeczeństwie, nadając zawartej na takiej liście informacji wszechobecny charakter (zob. podobnie wyrok eDate Advertising i in., C-509/09 i C-161/10, EU:C:2011:685, pkt 45).

81      Biorąc pod uwagę potencjalną wagę tej ingerencji, stwierdzić należy, że nie może być ona uzasadniona jedynie interesem, jaki ma w tym przetwarzaniu danych operator wyszukiwarki internetowej. Jednak ze względu na to, że usunięcie linków z listy wyników może, w zależności od rodzaju wyszukiwanej informacji, oddziaływać na uzasadniony interes potencjalnie zainteresowanych uzyskaniem dostępu do tej informacji internautów, w sytuacjach takich jak ta rozpatrywana w postępowaniu głównym należy dążyć do znalezienia punktu równowagi pomiędzy tym interesem a prawami podstawowymi, które przysługują tej osobie na podstawie art. 7 i 8 karty. Choć niewątpliwie chronione na mocy tych postanowień prawa osoby, której dotyczą dane, są również co do zasady nadrzędne wobec tego interesu internautów, ta równowaga może jednak, w szczególnych przypadkach, zależeć od charakteru rozpatrywanych informacji i tego, jak istotne są one dla prywatności osoby, której dane dotyczą oraz publicznego interesu w dysponowaniu tą informacją, który z kolei może być uzależniony w szczególności od roli odgrywanej przez tą osobę w życiu publicznym.

82      Po przeprowadzeniu analizy przesłanek zastosowania art. 12 lit. b) oraz art. 14 akapit pierwszy lit. a) dyrektywy 95/46, której należy dokonać w sytuacji, gdy do organu nadzorczego czy też sądowniczego złożony zostanie wniosek taki jak ten rozpatrywany w postępowaniu głównym, organ ten może nakazać temu operatorowi usunięcie z wyświetlanej listy wyników wyszukiwania mającego za punkt wyjścia imię i nazwisko danej osoby linków do publikowanych przez osoby trzecie stron internetowych zawierających dotyczące tej osoby informacje, a zawarty w wydanym przez ten organ rozstrzygnięciu nakaz nie musi obejmować uprzedniego czy też jednoczesnego usunięcia – dobrowolnie przez wydawcę strony czy też wskutek skierowanego przez jeden z tych organów nakazu – tego imienia i nazwiska oraz tych informacji ze strony internetowej, na której zostały one opublikowane.

83      Jak bowiem stwierdzone zostało w pkt 35−38 niniejszego wyroku, ze względu na to, że przetwarzanie danych osobowych, które ma miejsce w ramach działania wyszukiwarki, różni się od tego dokonywanego przez wydawców stron internetowych i ma dodatkowy względem niego charakter oraz znacząco oddziałuje na prawa podstawowe osoby, której dane dotyczą, w dodatkowy w stosunku do działalności prowadzonej przez wydawców stron internetowych sposób, operator tej wyszukiwarki winien w ramach spoczywającej na nim odpowiedzialności, przysługujących mu uprawnień i posiadanych możliwości zapewnić, iż działalność ta spełnia określone w dyrektywie 95/46 wymogi tak, aby przewidziane w niej gwarancje były w pełni skuteczne.

84      W tym względzie należ podnieść, że, biorąc pod uwagę łatwość, z jaką informacje opublikowane na stronie internetowej mogą zostać skopiowane na innych stronach oraz okoliczność, że podmioty odpowiedzialne za ich publikację nie zawsze podlegają przepisom prawa Unii, cel polegający na skutecznej i pełnej ochronie osób, których dotyczą dane, nie mógłby być zrealizowany bez uprzedniego czy też jednoczesnego uzyskania usunięcia tych dotyczących ich informacji przez wydawców stron internetowych.

85      Ponadto, przetwarzanie danych przez wydawcę strony internetowej polegające na opublikowaniu informacji dotyczących osoby fizycznej może w odpowiednim przypadku być dokonywane „wyłącznie w celach dziennikarskich”, wchodząc w ten sposób zgodnie z art. 9 dyrektywy 95/46 w zakres zastosowania odstępstw od ustanowionych w tej dyrektywie wymogów, podczas gdy nie można uznać, że ma to miejsce w przypadku przetwarzania danych przez operatora wyszukiwarki internetowej. Nie można więc wykluczyć, że osoba, której dotyczą dane, może w pewnych okolicznościach korzystać z praw, o których mowa w art. 12 lit. b) oraz art. 14 akapit pierwszy lit. a) dyrektywy 95/46 w odniesieniu do operatora wyszukiwarki, ale nie mogłaby ona powoływać się na nie w wobec wydawcy strony internetowej.

86      Wreszcie, należy stwierdzić, że nie tylko względy uzasadniające na gruncie art. 7 dyrektywy 95/46 publikację danych osobowych na stronie internetowej nie muszą wcale pokrywać się z tymi mającymi zastosowanie do działalności wyszukiwarek internetowych, lecz również, że, nawet jeśli sytuacja taka zachodzi, efekt wyważenia wchodzących w grę interesów, jakiego należy dokonać zgodnie z art. 7 lit. f) oraz art. 14 akapit pierwszy lit. a) tej dyrektywy może być różny w zależności od tego, czy w grę będzie wchodzić przetwarzanie dokonywane przez operatora wyszukiwarki internetowej czy też to dokonywane przez wydawcę tej strony internetowej, gdyż, po pierwsze, słuszne interesy uzasadniające to przetwarzanie mogą różnić się między sobą i, po drugie, przetwarzanie to nie zawsze musi mieć w obu przypadkach ma dla osoby, której dane dotyczą, a zwłaszcza dla jej prywatności, takie same skutki.

87      Ze względu na to bowiem, że zawarcie na liście wyników wyszukiwania mającego za punkt wyjścia imię i nazwisko danej osoby linków do strony internetowej oraz zawartych na niej i dotyczącej tej osoby informacji znacznie zwiększa dostępność tych informacji dla wszystkich dokonujących wyszukiwania w przedmiocie danej osoby internautów i może odegrać decydującą rolę w rozpowszechnieniu tych informacji, może ona stanowić ingerencję w prawo podstawowe do poszanowania prywatności osoby, której dane dotyczą, bardziej znaczącą niż ta wynikająca z publikacji przez wydawcę strony internetowej.

88      W świetle powyższego na pytanie drugie lit. c) i d) należy udzielić odpowiedzi, iż art. 12 lit. b) oraz art. 14 akapit pierwszy lit. a) dyrektywy 95/46 należy interpretować w ten sposób, że ustanowione w tych przepisach normy są przestrzegane, a przewidziane w nich warunki – rzeczywiście spełnione wówczas, gdy operator wyszukiwarki internetowej jest zobowiązany do usunięcia z wyświetlanej listy wyników wyszukiwania mającego za punkt wyjścia imię i nazwisko danej osoby linków do publikowanych przez osoby trzecie stron internetowych zawierających dotyczące tej osoby informacje, również w przypadku, gdy te imię czy nazwisko czy też te informacje nie zostały uprzednio czy też jednocześnie usunięte z tych stron internetowych i, w odpowiednim przypadku, nawet jeśli ich publikacja na tych stronach jest zgodna z prawem.

 W przedmiocie pytania trzeciego, dotyczącego zakresu zagwarantowanych przez dyrektywę 95/46 praw osoby, której dotyczą dane

89      Zadając pytanie trzecie sąd odsyłający zastanawia się w istocie, czy art. 12 lit. b) i art. 14 akapit pierwszy lit. a) dyrektywy 95/46 należy interpretować w ten sposób, że umożliwiają one osobie, której dotyczą dane, zażądanie od operatora wyszukiwarki internetowej usunięcia z wyświetlanej listy wyników wyszukiwania mającego za punkt wyjścia imię i nazwisko tej osoby linków do opublikowanych zgodnie z prawem przez osoby trzecie stron internetowych zawierających zgodne z prawdą informacje dotyczące tej osoby, a to ze względu na to, że te informacje mogą wyrządzić tej osobie szkodę czy też życzy ona sobie, aby zostały one po pewnym czasie „zapomniane”.

90      Google Spain, Google Inc., rządy austriacki, polski i włoski oraz Komisja są zdania, że na to pytanie należy udzielić odpowiedzi przeczącej. Google Spain, Google Inc., rząd polski i Komisja podnoszą w tym względzie, że art. 12 lit. b) i art. 14 akapit pierwszy lit. a) dyrektywy 95/46 przyznają prawa osobom, których dotyczą dane, jedynie pod warunkiem, iż rozpatrywane przetwarzanie jest niezgodne z tą dyrektywą czy też z ważnych i uzasadnionych przyczyn wynikających z konkretnej sytuacji tych osób, a nie z tego tylko powodu, że uważają one, iż przetwarzanie może wyrządzić im szkodę czy też życzą one sobie, aby będące przedmiotem przetwarzania dane zostały zapomniane. Rządy austriacki i grecki są zdania, że osoba, której dotyczą dane, winna zwrócić się do wydawcy danej strony internetowej.

91      Mario Costeja González oraz rządy hiszpański i włoski są zdania, że osoba, której dotyczą dane, może sprzeciwić się indeksowaniu jej danych przez wyszukiwarkę internetową jeśli ich rozpowszechnianie za jej pośrednictwem wyrządza jej szkodę, a jej prawa podstawowe do ochrony tych danych i poszanowania prywatności, które obejmują również „prawo do bycia zapomnianym” są nadrzędne wobec uzasadnionych interesów operatora tej wyszukiwarki oraz wobec związanego z wolnością informacji interesu ogólnego.

92      W zakresie dotyczącym art. 12 lit. b) dyrektywy 95/46, który to przepis może być stosowany pod warunkiem, że przetwarzanie danych osobowych jest niezgodne z tą dyrektywą, należy przypomnieć, że, jak zostało podniesione w pkt 72 niniejszego wyroku, taka niezgodność może wynikać nie tylko z tego, iż te dane są nieprawdziwe, lecz, w szczególności, również z faktu, iż są one niewłaściwe, niestosowne czy też nadmierne w stosunku do celów, dla których są one przetwarzane, iż nie są one zaktualizowane czy też są one przechowywane przez czas dłuższy niż jest to konieczne – za wyjątkiem przypadków, w których ich przechowywanie jest konieczne dla celów historycznych, statystycznych czy też naukowych.

93      Z tych przewidzianych w art. 6 ust. 1 lit. c)−e) dyrektywy 95/46 wymogów wynika, że nawet początkowo zgodne z prawem przetwarzanie prawidłowych danych może wraz z upływem czasu stać się niezgodne z tą dyrektywą, jeśli dane te nie są już potrzebne do realizacji celów, ze względu na które były one gromadzone i przetwarzane. Ma to miejsce w szczególności wówczas, gdy należy uznać je za niewłaściwe, (już) niestosowne czy też nadmierne w stosunku do celów, dla których są one przetwarzane czy też ze względu na upływ czasu.

94      Zatem w przypadku, gdy wskutek wniosku złożonego przez osobę, której dotyczą dane, na podstawie art. 12 lit. b) dyrektywy 95/46, stwierdzone zostanie, że zawarcie na wyświetlanej liście wyników wyszukiwania mającego za punkt wyjścia imię i nazwisko tej osoby linków do opublikowanych zgodnie z prawem przez osoby trzecie stron internetowych zawierających zgodne z prawdą informacje dotyczące tej osoby, jest, w aktualnym stanie rzeczy, niezgodne z tym art. 6 ust. 1 lit. c)−e) ze względu na to, że informacje te należy w świetle całokształtu okoliczności danego przypadku uznać za niewłaściwe, (już) niestosowne czy też nadmierne w stosunku do celów, dla których są one przetwarzane przez operatora wyszukiwarki internetowej, należy usunąć z tej listy wyników wyszukiwania te informacje i prowadzące do nich linki.

95      W zakresie dotyczącym wniosków, o których mowa w tym art. 12 lit. b), złożonych na podstawie podnoszonego niespełnienia ustanowionych w art. 7 lit. f) dyrektywy 95/46 warunków oraz wniosków, o których mowa w art. 14, akapit pierwszy lit. a) tej dyrektywy należy podnieść, że jakiekolwiek przetwarzanie danych osobowych musi być, na podstawie tego art. 7, zgodne z prawem przez cały czas, podczas którego jest dokonywane.

96      Uwzględniając powyższe, w ramach oceny wniosków złożonych w przedmiocie przetwarzania danych takiego jak to rozpatrywane w postępowaniu głównym należy w szczególności przeanalizować to, czy osoba, której dotyczą dane, ma prawo domagać się tego, aby dotycząca jej informacja nie była już, w aktualnym stanie rzeczy, powiązana z jej imieniem i nazwiskiem poprzez listę wyników wyszukiwania mającego za punkt wyjścia to imię i nazwisko. W tym względzie należy podkreślić, że stwierdzenie, iż takie prawo przysługuje, pozostaje bez związku z tym, czy zawarcie na liście wyników wyszukiwania danej informacji wyrządza szkodę osobie, której dotyczą dane.

97      Ponieważ osoba, której dotyczą dane, może, ze względu na przysługujące jej i przewidziane w art. 7 i 8 karty prawa podstawowe, zażądać tego, aby dana informacja nie była już podawana do wiadomości szerokiego kręgu odbiorców poprzez zawarcie jej na takiej liście wyników wyszukiwania, należy uznać, jak wynika to w szczególności z pkt 81 niniejszego wyroku, że te prawa są co do zasady nadrzędne nie tylko wobec interesu gospodarczego operatora wyszukiwarki internetowej, lecz również wobec interesu, jaki może mieć ten krąg odbiorców w znalezieniu tej informacji w ramach wyszukiwania prowadzonego w przedmiocie imienia i nazwiska tej osoby. Taka sytuacja nie ma jednak miejsca, jeśli należałoby uznać, ze szczególnych powodów, takich rola odgrywana przez tą osobę w życiu publicznym, że ingerencja w jej prawa podstawowe jest uzasadniona nadrzędnym interesem tego kręgu odbiorców polegającym na posiadaniu dzięki temu zawarciu na liście dostępu do danej informacji.

98      W przypadku sytuacji takiej jak ta rozpatrywana w postępowaniu głównym, dotyczącej wyświetlania na liście wyników uzyskiwanej przez internautę prowadzącego za pomocą Google Search wyszukiwanie mające za punkt wyjścia imię i nazwisko danej osoby linków do archiwalnych stron internetowych dziennika, na których zamieszczone były zawierające imię i nazwisko tej osoby ogłoszenia w przedmiocie licytacji nieruchomości związanej z ich zajęciem wynikającym z niespłaconych należności na rzecz zakładu zabezpieczeń społecznych, należy uznać, że, biorąc pod uwagę znaczenie, jakie mają zawarte w tych ogłoszeniach informacje dla prywatności tej osoby oraz okoliczność, iż zostały one opublikowane ponad 16 lat temu, osoba, której dotyczą dane, ma uzasadnione prawo do tego, aby te informacje nie były już wiązane przez taką listę wyników wyszukiwania z jej imieniem i nazwiskiem. Ze względu zatem na to, że w niniejszym przypadku wydaje się, iż nie zachodzą szczególne powody uzasadniające nadrzędny interes kręgu odbiorców polegający na posiadaniu w ramach takiego wyszukiwania dostępu do tych informacji – czego sprawdzenie należy do sądu odsyłającego – osoba, której dotyczą dane, może na podstawie art. 12 lit. b) oraz art. 14 akapit pierwszy lit. a) dyrektywy 95/46 domagać się usunięcia tych linków z tej listy wyników wyszukiwania.

99      Z powyższego wynika, że na pytanie trzecie należy odpowiedzieć, że art. 12 lit. b) i art. 14 akapit pierwszy lit. a) dyrektywy 95/46 należy interpretować w taki sposób, iż w ramach oceny tego, czy spełnione zostały warunki zastosowania tych przepisów należy w szczególności przeanalizować kwestię, czy osoba, której dotyczą dane, ma prawo do tego, aby dana dotycząca jej informacja nie była już, w aktualnym stanie rzeczy, powiązana z jej imieniem i nazwiskiem poprzez listę wyświetlającą wyniki wyszukiwania mającego za punkt wyjścia to imię i nazwisko, przy czym stwierdzenie, iż takie prawo przysługuje, pozostaje bez związku z tym, czy zawarcie na tej liście wyników wyszukiwania danej informacji wyrządza szkodę tej osobie. Ponieważ osoba ta może, ze względu na przysługujące jej i przewidziane w art. 7 i 8 karty prawa podstawowe, zażądać tego, aby dana informacja nie była już podawana do wiadomości szerokiego kręgu odbiorców poprzez zawarcie jej na takiej liście wyników wyszukiwania, prawa te są co do zasady nadrzędne nie tylko wobec interesu gospodarczego operatora wyszukiwarki internetowej, lecz również wobec interesu, jaki może mieć ten krąg odbiorców w znalezieniu tej informacji w ramach wyszukiwania prowadzonego w przedmiocie imienia i nazwiska tej osoby. Taka sytuacja nie ma jednak miejsca, jeśli, ze szczególnych powodów, takich rola odgrywana przez tą osobę w życiu publicznym, należałoby uznać, że ingerencja w jej prawa podstawowe jest uzasadniona nadrzędnym interesem tego kręgu odbiorców polegającym na posiadaniu, dzięki temu zawarciu na liście, dostępu do danej informacji.

 W przedmiocie kosztów

100    Dla stron postępowania głównego niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed sądem odsyłającym, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż poniesione przez strony postępowania głównego, nie podlegają zwrotowi.

Z powyższych względów Trybunał (wielka izba) orzeka, co następuje:

1)      Artykuł 2 lit. b) i d) dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych należy interpretować w taki sposób, że, po pierwsze, prowadzoną przez wyszukiwarki internetowe działalność, która polega na zlokalizowaniu informacji opublikowanych lub zamieszczonych w Internecie przez osoby trzecie, indeksowaniu ich w sposób automatyczny, czasowym przechowywaniu takich informacji i wreszcie ich udostępnianiu internautom w sposób uporządkowany zgodnie z określonymi preferencjami, w sytuacji, gdy takie informacje zawierają dane osobowe, należy uznać za „przetwarzanie danych osobowych” w rozumieniu art. 2 lit. b) tej dyrektywy oraz, po drugie, że należy uznać operatora tej wyszukiwarki internetowej za „administratora” odpowiedzialnego za przetwarzanie danych w rozumieniu tego art. 2 lit. d).

2)      Artykuł 4 ust. 1 lit. a) dyrektywy 95/46 należy interpretować w ten sposób, że przetwarzanie danych osobowych ma miejsce w ramach działalności gospodarczej prowadzonej przez administratora danych odpowiedzialnego za to przetwarzanie na terytorium danego państwa członkowskiego w rozumieniu tego przepisu, jeśli operator wyszukiwarki internetowej ustanawia w danym państwie członkowskim oddział lub spółkę zależną, których celem jest promocja i sprzedaż powierzchni reklamowych oferowanych za pośrednictwem tej wyszukiwarki, a działalność tego oddziału lub spółki zależnej jest skierowana do osób zamieszkujących to państwo.

3)      Artykuł 12 lit. b) oraz art. 14 akapit pierwszy lit. a) dyrektywy 95/46 należy interpretować w ten sposób, że ustanowione w tych przepisach normy są przestrzegane, a przewidziane w nich warunki – rzeczywiście spełnione wówczas, gdy operator wyszukiwarki internetowej jest zobowiązany do usunięcia z wyświetlanej listy wyników wyszukiwania mającego za punkt wyjścia imię i nazwisko danej osoby linków do publikowanych przez osoby trzecie stron internetowych zawierających dotyczące tej osoby informacje, również w przypadku, gdy te imię czy nazwisko czy też te informacje nie zostały uprzednio czy też jednocześnie usunięte z tych stron internetowych i, w odpowiednim przypadku, nawet jeśli ich publikacja na tych stronach jest zgodna z prawem.

4)      Artykuł 12 lit. b) i art. 14 akapit pierwszy lit. a) dyrektywy 95/46 należy interpretować w taki sposób, iż w ramach oceny tego, czy spełnione zostały warunki zastosowania tych przepisów należy w szczególności przeanalizować kwestię, czy osoba, której dotyczą dane, ma prawo do tego, aby dana dotycząca jej informacja nie była już, w aktualnym stanie rzeczy, powiązana z jej imieniem i nazwiskiem poprzez listę wyświetlającą wyniki wyszukiwania mającego za punkt wyjścia to imię i nazwisko, przy czym stwierdzenie, iż takie prawo przysługuje, pozostaje bez związku z tym, czy zawarcie na tej liście wyników wyszukiwania danej informacji wyrządza szkodę tej osobie. Ponieważ osoba ta może, ze względu na przysługujące jej i przewidziane w art. 7 i 8 karty prawa podstawowe, zażądać tego, aby dana informacja nie była już podawana do wiadomości szerokiego kręgu odbiorców poprzez zawarcie jej na takiej liście wyników wyszukiwania, prawa te są co do zasady nadrzędne nie tylko wobec interesu gospodarczego operatora wyszukiwarki internetowej, lecz również wobec interesu, jaki może mieć ten krąg odbiorców w znalezieniu tej informacji w ramach wyszukiwania prowadzonego w przedmiocie imienia i nazwiska tej osoby. Taka sytuacja nie ma jednak miejsca, jeśli, ze szczególnych powodów, takich rola odgrywana przez tą osobę w życiu publicznym, należałoby uznać, że ingerencja w jej prawa podstawowe jest uzasadniona nadrzędnym interesem tego kręgu odbiorców polegającym na posiadaniu, dzięki temu zawarciu na liście, dostępu do danej informacji.