14 May το δικαίωμα στη Λήθη
Η απόφαση για το Δικαίωμα στην λήθη
ΑΠΟΦΑΣΗ ΤΟΥ ΔΙΚΑΣΤΗΡΙΟΥ (τμήμα μείζονος συνθέσεως)
της 13ης Μαΐου 2014
«Δεδομένα προσωπικού χαρακτήρα — Προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων αυτών — Οδηγία 95/46/ΕΚ — Άρθρα 2, 4, 12 και 14 — Καθ’ ύλην και εδαφικό πεδίο εφαρμογής — Μηχανές αναζήτησης στο διαδίκτυο — Επεξεργασία δεδομένων που περιλαμβάνονται σε ιστοτόπους — Αναζήτηση, ευρετηρίαση και αποθήκευση των δεδομένων αυτών — Ευθύνη του φορέα εκμετάλλευσης μηχανής αναζήτησης — Εγκατάσταση επί του εδάφους κράτους μέλους — Περιεχόμενο των υποχρεώσεων του εν λόγω φορέα εκμετάλλευσης και των δικαιωμάτων του υποκειμένου των δεδομένων — Χάρτης των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης — Άρθρα 7 και 8»
Στην υπόθεση C‑131/12,
με αντικείμενο αίτηση προδικαστικής απόφασης δυνάμει του άρθρου 267 ΣΛΕΕ, που υπέβαλε το Audiencia Nacional (Ισπανία) με απόφαση της 27ης Φεβρουαρίου 2012, η οποία περιήλθε στο Δικαστήριο στις 9 Μαρτίου 2012, στο πλαίσιο της δίκης
Google Spain SL,
Google Inc.
κατά
Agencia Española de Protección de Datos (AEPD),
Mario Costeja González,
ΤΟ ΔΙΚΑΣΤΗΡΙΟ (τμήμα μείζονος συνθέσεως),
συγκείμενο από τους Β. Σκουρή, Πρόεδρο, K. Lenaerts, αντιπρόεδρο, M. Ilešič (εισηγητή), L. Bay Larsen, T. von Danwitz, M. Safjan, προέδρους τμήματος, J. Malenovský, E. Levits, A. Ó Caoimh, A. Arabadjiev, M. Berger, A. Prechal και E. Jarašiūnas, δικαστές,
γενικός εισαγγελέας: N. Jääskinen
γραμματέας: M. Ferreira, κύρια υπάλληλος διοικήσεως,
έχοντας υπόψη την έγγραφη διαδικασία και κατόπιν της επ’ ακροατηρίου συζήτησης της 26ης Φεβρουαρίου 2013,
λαμβάνοντας υπόψη τις παρατηρήσεις που υπέβαλαν:
– η Google Spain SL και η Google Inc., εκπροσωπούμενες από τους F. González Díaz, J. Baño Fos και B. Holles, abogados,
– ο M. Costeja González, εκπροσωπούμενος από τον J. Muñoz Rodríguez, abogado,
– η Ισπανική Κυβέρνηση, εκπροσωπούμενη από τον A. Rubio González,
– η Ελληνική Κυβέρνηση, εκπροσωπούμενη από την Ε.-Μ. Μαμούνα και τον Κ. Μπόσκοβιτς,
– η Ιταλική Κυβέρνηση, εκπροσωπούμενη από την G. Palmieri, επικουρούμενη από τον P. Gentili, avvocato dello Stato,
– η Αυστριακή Κυβέρνηση, εκπροσωπούμενη από τον G. Kunnert και την C. Pesendorfer,
– η Πολωνική Κυβέρνηση, εκπροσωπούμενη από τους B. Majczyna και M. Szpunar,
– η Ευρωπαϊκή Επιτροπή, εκπροσωπούμενη από την I. Martínez del Peral και τον B. Martenczuk,
αφού άκουσε τον γενικό εισαγγελέα που ανέπτυξε τις προτάσεις του κατά τη συνεδρίαση της 25ης Ιουνίου 2013,
εκδίδει την ακόλουθη
Απόφαση
1 Η αίτηση προδικαστικής απόφασης αφορά την ερμηνεία των άρθρων 2, στοιχεία β΄ και δ΄, 4, παράγραφος 1, στοιχεία α΄ και γ΄, 12, στοιχείο β΄, και 14, πρώτο εδάφιο, στοιχείο α΄, της οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (ΕΕ L 281, σ. 31), καθώς και του άρθρου 8 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης (στο εξής: Χάρτης).
2 Η αίτηση αυτή υποβλήθηκε στο πλαίσιο ένδικης διαφοράς μεταξύ, αφενός, της Google Spain SL (στο εξής: Google Spain) και της Google Inc. και, αφετέρου, της Agencia Española de Protección de Datos (ισπανικής αρχής προστασίας δεδομένων, στο εξής: AEPD) και του M. Costeja González με αντικείμενο την απόφαση της αρχής αυτής με την οποία έγινε δεκτή η καταγγελία που υπέβαλε ο M. Costeja González κατά των δύο προαναφερθεισών εταιριών και επιβλήθηκε στην Google Inc. η υποχρέωση, αφενός, να λάβει τα αναγκαία μέτρα για τη διαγραφή από το ευρετήριό της των δεδομένων προσωπικού χαρακτήρα που αφορούν τον M. Costeja González και, αφετέρου, να καταστήσει ανέφικτη τη μελλοντική πρόσβαση στα δεδομένα αυτά.
Το νομικό πλαίσιο
Το δίκαιο της Ένωσης
3 Η οδηγία 95/46 η οποία, κατά το άρθρο 1 αυτής, έχει ως αντικείμενο την προστασία των θεμελιωδών ελευθεριών και δικαιωμάτων των φυσικών προσώπων, και ιδίως της ιδιωτικής ζωής, έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, καθώς και την εξάλειψη των εμποδίων στην ελεύθερη κυκλοφορία των δεδομένων αυτών, προβλέπει, στις αιτιολογικές σκέψεις 2, 10, 18 έως 20 και 25, τα εξής:
«(2) [εκτιμώντας] ότι τα συστήματα επεξεργασίας δεδομένων υπηρετούν τον άνθρωπο· ότι πρέπει, ανεξαρτήτως ιθαγένειας ή κατοικίας των φυσικών προσώπων, να σέβονται τις θεμελιώδεις ελευθερίες και τα δικαιώματά τους, και ιδίως την ιδιωτική ζωή, και να συμβάλλουν στην οικονομική και κοινωνική πρόοδο, στην ανάπτυξη των εμπορικών συναλλαγών καθώς και στην ευημερία του ατόμου·
[…]
(10) [εκτιμώντας] ότι στόχος των εθνικών νομοθεσιών όσον αφορά την επεξεργασία των δεδομένων προσωπικού χαρακτήρα είναι η διασφάλιση της προστασίας των θεμελιωδών δικαιωμάτων και ιδίως της ιδιωτικής ζωής, όπως επίσης αναγνωρίζεται στο άρθρο 8 της ευρωπαϊκής σύμβασης περί προστασίας των δικαιωμάτων του ανθρώπου και των θεμελιωδών ελευθεριών [η οποία υπεγράφη στη Ρώμη στις 4 Νοεμβρίου 1950] καθώς και στις γενικές αρχές του κοινοτικού δικαίου· ότι, για τον λόγο αυτό, η προσέγγιση των εν λόγω νομοθεσιών δεν πρέπει να οδηγήσει στην εξασθένηση της προστασίας που εξασφαλίζουν αλλά, αντιθέτως, πρέπει να έχει ως στόχο την κατοχύρωση υψηλού επιπέδου προστασίας στην Κοινότητα·
[…]
(18) [εκτιμώντας] ότι, προκειμένου να αποφευχθεί ο αποκλεισμός ενός προσώπου από την δυνάμει της παρούσας οδηγίας προστασία, είναι απαραίτητο κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα που πραγματοποιείται στην Κοινότητα να τηρεί τη νομοθεσία ενός από τα κράτη μέλη· ότι είναι σκόπιμο οι επεξεργασίες που εκτελούνται από πρόσωπα ενεργούντα υπό τον έλεγχο του υπευθύνου της επεξεργασίας ο οποίος είναι εγκατεστημένος σε κράτος μέλος να υπόκεινται στη νομοθεσία του κράτους αυτού·
(19) [εκτιμώντας] ότι η εγκατάσταση στο έδαφος κράτους μέλους περιλαμβάνει την πραγματική άσκηση δραστηριότητας βάσει μονίμου καταστήματος· ότι η νομική μορφή ενός τέτοιου καταστήματος, είτε πρόκειται για απλό υποκατάστημα είτε για θυγατρική με νομική προσωπικότητα, δεν συνιστά καθοριστικό παράγοντα εν προκειμένω· ότι, όταν ένας μόνον υπεύθυνος επεξεργασίας είναι εγκατεστημένος στο έδαφος πλειόνων κρατών μελών, ιδίως μέσω θυγατρικής, πρέπει να εξασφαλίζει, κυρίως για να αποφεύγονται οι καταστρατηγήσεις, ότι κάθε κατάστημά του πληροί τις απαιτήσεις τις οποίες προβλέπει η οικεία εθνική νομοθεσία·
(20) [εκτιμώντας] ότι η εγκατάσταση σε τρίτη χώρα του υπευθύνου της επεξεργασίας δεν πρέπει να αποτελεί εμπόδιο στην προστασία των προσώπων που προβλέπεται από την παρούσα οδηγία· ότι, στην περίπτωση αυτή, ενδείκνυται οι εκτελούμενες επεξεργασίες να υπάγονται στη νομοθεσία του κράτους μέλους στο οποίο βρίσκονται τα μέσα που χρησιμοποιούνται για την επεξεργασία και να παρέχονται εγγυήσεις ώστε τα δικαιώματα και οι υποχρεώσεις που προβλέπονται από την παρούσα οδηγία να γίνονται πράγματι σεβαστά·
[…]
(25) [εκτιμώντας] ότι οι αρχές της προστασίας δέον να εκφράζονται, αφενός, στις υποχρεώσεις τις οποίες υπέχουν πρόσωπα […] υπεύθυν[α] για την επεξεργασία, όσον αφορά ιδίως την ποιότητα των δεδομένων, την ασφάλεια της τεχνικής, την κοινοποίηση στην αρχή ελέγχου, τις συνθήκες υπό τις οποίες μπορεί να εκτελεσθεί η επεξεργασία και, αφετέρου, με τα δικαιώματα που παρέχονται στα πρόσωπα, τα δεδομένα των οποίων αποτελούν αντικείμενο της επεξεργασίας, προκειμένου να ενημερώνονται επί των δεδομένων, να μπορούν να έχουν πρόσβαση σε αυτά, να ζητούν τη διόρθωσή τους ή ακόμη να αντιτάσσονται στην επεξεργασία τους».
4 Το άρθρο 2 της οδηγίας 95/46 ορίζει ότι, «για τους σκοπούς [αυτής], νοούνται ως:
α) “δεδομένα προσωπικού χαρακτήρα”, κάθε πληροφορία που αναφέρεται σε φυσικό πρόσωπο του οποίου η ταυτότητα είναι γνωστή ή μπορεί να εξακριβωθεί [(υποκείμενο των δεδομένων)]· ως πρόσωπο του οποίου η ταυτότητα μπορεί να εξακριβωθεί λογίζεται το πρόσωπο εκείνο που μπορεί να προσδιοριστεί, άμεσα ή έμμεσα, ιδίως βάσει αριθμού ταυτότητας ή βάσει ενός ή περισσοτέρων συγκεκριμένων στοιχείων που χαρακτηρίζουν την υπόστασή του από φυσική, βιολογική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική άποψη·
β) “επεξεργασία δεδομένα δεδομένων προσωπικού χαρακτήρα” (επεξεργασία), κάθε εργασία ή σειρά εργασιών που πραγματοποιούνται με ή χωρίς τη βοήθεια αυτοματοποιημένων διαδικασιών και εφαρμόζονται σε δεδομένα προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώρηση, η οργάνωση, η αποθήκευση, η προσαρμογή ή η τροποποίηση, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η ανακοίνωση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η εναρμόνιση ή ο συνδυασμός, καθώς και το κλείδωμα, η διαγραφή ή η καταστροφή·
[…]
δ) “υπεύθυνος της επεξεργασίας”, το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή οποιοσδήποτε άλλος φορέας που μόνος ή από κοινού με άλλους καθορίζει τους στόχους και τον τρόπο της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα. Όταν οι στόχοι και ο τρόπος της επεξεργασίας καθορίζονται από νομοθετικές ή κανονιστικές διατάξεις, εθνικές ή κοινοτικές, ο υπεύθυνος της επεξεργασίας ή τα ειδικά κριτήρια για τον ορισμό του μπορούν να καθορίζονται από το εθνικό ή το κοινοτικό δίκαιο·
[…]».
5 Το άρθρο 3 της εν λόγω οδηγίας, το οποίο επιγράφεται «Πεδίο εφαρμογής», ορίζει, στην παράγραφο 1, τα εξής:
«Οι διατάξεις της παρούσας οδηγίας εφαρμόζονται στην αυτοματοποιημένη, εν όλω ή εν μέρει, επεξεργασία δεδομένων προσωπικού χαρακτήρα καθώς και στη μη αυτοματοποιημένη επεξεργασία τέτοιων δεδομένων που περιλαμβάνονται ή πρόκειται να περιληφθούν σε αρχείο.»
6 Το άρθρο 4 της ίδιας οδηγίας, το οποίο έχει τον τίτλο «Εφαρμοστέο εθνικό δίκαιο», ορίζει τα εξής:
«1. Κάθε κράτος μέλος εφαρμόζει τις εθνικές διατάξεις που θεσπίζει δυνάμει της παρούσας οδηγίας σε κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα, εφόσον:
α) η επεξεργασία εκτελείται στα πλαίσια των δραστηριοτήτων υπευθύνου εγκατεστημένου στο έδαφος του κράτους μέλους. Όταν ο ίδιος υπεύθυνος είναι εγκατεστημένος στο έδαφος περισσοτέρων του ενός κρατών μελών, πρέπει να λαμβάνει τα αναγκαία μέτρα ώστε να εξασφαλίζεται ότι κάθε εγκατάστασή του πληροί τις απαιτήσεις που προβλέπει η εφαρμοστέα εθνική νομοθεσία·
β) ο υπεύθυνος δεν είναι εγκατεστημένος στο έδαφος του κράτους μέλους, αλλά σε τόπο όπου εφαρμόζεται η εθνική του νομοθεσία δυνάμει του δημοσίου διεθνούς δικαίου·
γ) ο υπεύθυνος της επεξεργασίας δεν είναι εγκατεστημένος στο έδαφος της Κοινότητας και για τους σκοπούς της επεξεργασίας δεδομένων προσωπικού χαρακτήρα προσφεύγει σε μέσα, αυτοματοποιημένα ή όχι, ευρισκόμενα στο έδαφος του εν λόγω κράτους μέλους, εκτός εάν τα μέσα αυτά χρησιμοποιούνται μόνο με σκοπό τη διέλευση από το έδαφος της Ευρωπαϊκής Κοινότητας.
2. Στην περίπτωση που αναφέρεται στην παράγραφο 1, στοιχείο γ΄, ο υπεύθυνος της επεξεργασίας πρέπει να υποδείξει έναν αντιπρόσωπο εγκατεστημένο στο έδαφος του εν λόγω κράτους μέλους. Δεν θίγεται η τυχόν ανάληψη νομικών ενεργειών κατά του ιδίου του υπευθύνου της επεξεργασίας.»
7 Το άρθρο 6 της οδηγίας 95/46, το οποίο εντάσσεται στο κεφάλαιο II, τμήμα I, που φέρει τον τίτλο «Αρχές που πρέπει να τηρούνται ως προς την ποιότητα των δεδομένων», έχει ως εξής:
«1. Τα κράτη μέλη προβλέπουν ότι τα δεδομένα προσωπικού χαρακτήρα πρέπει:
α) να υφίστανται σύννομη και θεμιτή επεξεργασία·
β) να συλλέγονται για καθορισμένους, σαφείς και νόμιμους σκοπούς και η μεταγενέστερη επεξεργασία τους να συμβιβάζεται με τους σκοπούς αυτούς. Η μεταγενέστερη επεξεργασία για ιστορικούς, στατιστικούς ή επιστημονικούς σκοπούς δεν θεωρείται ασυμβίβαστη εφόσον τα κράτη μέλη προβλέπουν κατάλληλες εγγυήσεις·
γ) να είναι κατάλληλα, συναφή προς το θέμα και όχι υπερβολικά σε σχέση με τους σκοπούς για τους οποίους συλλέγονται και υφίστανται επεξεργασία·
δ) να είναι ακριβή και, εφόσον χρειάζεται, να ενημερώνονται· πρέπει να λαμβάνονται όλα τα εύλογα μέτρα ώστε δεδομένα ανακριβή ή ελλιπή σε σχέση με τους σκοπούς για τους οποίους έχουν συλλεγεί ή υφίστανται κατόπιν επεξεργασία, να διαγράφονται ή να διορθώνονται·
ε) να διατηρούνται με μορφή που επιτρέπει τον προσδιορισμό της ταυτότητας των προσώπων στα οποία αναφέρονται μόνο κατά τη διάρκεια περιόδου που δεν υπερβαίνει την απαιτούμενη για την επίτευξη των σκοπών για τους οποίους έχουν συλλεγεί ή για τους οποίους αργότερα υφίστανται επεξεργασία. Τα κράτη μέλη προβλέπουν κατάλληλες εγγυήσεις για τα δεδομένα προσωπικού χαρακτήρα που διατηρούνται πέραν της περιόδου αυτής για σκοπούς ιστορικούς, στατιστικούς ή επιστημονικούς.
2. Εναπόκειται στον υπεύθυνο της επεξεργασίας να εξασφαλίσει την τήρηση της παραγράφου 1.»
8 Το άρθρο 7 της οδηγίας 95/46, το οποίο εντάσσεται στο κεφάλαιο II, τμήμα ΙΙ, που φέρει τον τίτλο «Βασικές αρχές της νόμιμης επεξεργασίας δεδομένων», ορίζει τα εξής:
«Τα κράτη μέλη προβλέπουν ότι επεξεργασία δεδομένων προσωπικού χαρακτήρα μπορεί να γίνεται μόνον εάν:
[…]
στ) είναι απαραίτητη για την επίτευξη του εννόμου συμφέροντος που επιδιώκει ο υπεύθυνος της επεξεργασίας ή ο τρίτος ή οι τρίτοι στους οποίους ανακοινώνονται τα δεδομένα, υπό τον όρο ότι δεν προέχει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του προσώπου στο οποίο αναφέρονται τα δεδομένα που χρήζουν προστασίας δυνάμει του άρθρου 1, παράγραφος 1, της παρούσας οδηγίας.»
9 Το άρθρο 9 της εν λόγω οδηγίας, με τίτλο «Επεξεργασία δεδομένων προσωπικού χαρακτήρα και ελευθερία έκφρασης», ορίζει τα εξής:
«Για την επεξεργασία δεδομένων προσωπικού χαρακτήρα που πραγματοποιείται αποκλειστικώς για δημοσιογραφικούς σκοπούς ή στο πλαίσιο καλλιτεχνικής ή λογοτεχνικής έκφρασης, τα κράτη μέλη προβλέπουν τις εξαιρέσεις ή παρεκκλίσεις από τις διατάξεις του παρόντος κεφαλαίου, του κεφαλαίου IV και του κεφαλαίου VI μόνο στον βαθμό που είναι αναγκαίες ώστε το δικαίωμα της ιδιωτικής ζωής να συμβιβάζεται με τους κανόνες που διέπουν την ελευθερία έκφρασης.»
10 Το άρθρο 12 της ίδιας οδηγίας 95/46, το οποίο επιγράφεται «Δικαίωμα πρόσβασης», ορίζει τα εξής:
«Τα κράτη μέλη εγγυώνται στα πρόσωπα στα οποία αναφέρονται τα δεδομένα το δικαίωμα να λαμβάνουν από τον υπεύθυνο της επεξεργασίας:
[…]
β) κατά περίπτωση, τη διόρθωση, τη διαγραφή ή το κλείδωμα των δεδομένων των οποίων η επεξεργασία δεν είναι σύμφωνη προς τις διατάξεις της παρούσας οδηγίας, ιδίως λόγω ελλιπούς ή ανακριβούς χαρακτήρα των δεδομένων·
[…]».
11 Το άρθρο 14 της οδηγίας 95/46, το οποίο έχει τον τίτλο «Δικαίωμα αντίταξης του προσώπου στο οποίο αναφέρονται τα δεδομένα», ορίζει τα εξής:
«Τα κράτη μέλη αναγνωρίζουν στο πρόσωπο στο οποίο αναφέρονται τα δεδομένα το δικαίωμα:
α) τουλάχιστον στις περιπτώσεις του άρθρου 7, στοιχεία ε΄ και στ΄, να αντιτάσσεται ανά πάσα στιγμή, για επιτακτικούς και νόμιμους λόγους σχετικούς με την προσωπική του κατάσταση, στην επεξεργασία των δεδομένων που το αφορούν, εκτός εάν στην εθνική νομοθεσία ορίζεται άλλως. Σε περίπτωση αιτιολογημένης αντίταξης, η επεξεργασία δεν μπορεί πλέον να αφορά τα δεδομένα αυτά·
[…]».
12 Το άρθρο 28 της εν λόγω οδηγίας, με τίτλο «Αρχή ελέγχου», έχει ως εξής:
«1. Κάθε κράτος μέλος προβλέπει ότι μία ή περισσότερες δημόσιες αρχές επιφορτίζονται με τον έλεγχο της εφαρμογής, στο έδαφός του, των εθνικών διατάξεων που έχουν θεσπισθεί από τα κράτη μέλη, κατ’ εφαρμογή της παρούσας οδηγίας.
[…]
3. Κάθε αρχή ελέγχου διαθέτει συγκεκριμένα:
– μέσα για τη διεξαγωγή έρευνας, όπως το δικαίωμα να έχει πρόσβαση στα δεδομένα που αποτελούν αντικείμενο επεξεργασίας και το δικαίωμα να συλλέγει κάθε αναγκαία πληροφορία για την εκπλήρωση της αποστολής ελέγχου,
– αποτελεσματικές εξουσίες παρέμβασης, όπως για παράδειγμα […] την εξουσία να επιτάσσει τη δέσμευση, διαγραφή ή την καταστροφή δεδομένων, να απαγορεύει επίσης προσωρινά ή οριστικά την επεξεργασία […]
– […]
Κατά των αποφάσεων της αρχής ελέγχου μπορούν να ασκηθούν ένδικα μέσα.
4. Κάθε πρόσωπο ή κάθε ένωση που το εκπροσωπεί μπορεί να υποβάλει σε κάθε αρχή ελέγχου αίτηση σχετικά με την προστασία των δικαιωμάτων και ελευθεριών του έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα. Ο αιτών ενημερώνεται σχετικά με τη συνέχεια που δίδεται στην αίτησή του.
[…]
6. Κάθε αρχή ελέγχου είναι αρμόδια, ανεξάρτητα από την εθνική νομοθεσία που εφαρμόζεται στη συγκεκριμένη επεξεργασία, για την άσκηση, στο έδαφος του κράτους μέλους στο οποίο υπάγεται, των εξουσιών που διαθέτει σύμφωνα με την παράγραφο 3 του παρόντος άρθρου. Κάθε αρχή μπορεί να κληθεί να ασκήσει τις εξουσίες της από αρχή άλλου κράτους μέλους.
Οι αρχές ελέγχου διατηρούν μεταξύ τους την αναγκαία συνεργασία για την εκπλήρωση της αποστολής τους, ιδίως με την ανταλλαγή όλων των χρήσιμων πληροφοριών.
[…]»
Το ισπανικό δίκαιο
13 Η οδηγία 95/46 έχει μεταφερθεί στο ισπανικό δίκαιο με τον οργανικό νόμο 15/1999, της 13ης Δεκεμβρίου 1999, για την προστασία των δεδομένων προσωπικού χαρακτήρα (BOE αριθ. 298, της 14ης Δεκεμβρίου 1999, σ. 43088).
Η διαφορά της κύριας δίκης και τα προδικαστικά ερωτήματα
14 Στις 5 Μαρτίου 2010 ο M. Costeja González, ισπανικής ιθαγένειας και κάτοικος Ισπανίας, υπέβαλε στην AEPD καταγγελία κατά της La Vanguardia Ediciones SL, η οποία εκδίδει καθημερινή εφημερίδα μεγάλης κυκλοφορίας, ιδίως στην Καταλονία (Ισπανία) (στο εξής: La Vanguardia) καθώς και κατά της Google Spain και της Google Inc. Η καταγγελία αυτή υποβλήθηκε για τον λόγο ότι όταν ένας χρήστης του διαδικτύου εισήγε το ονοματεπώνυμο του M. Costeja González στη μηχανή αναζήτησης της Google (στο εξής: Google Search), εμφανίζονταν σύνδεσμοι προς δύο σελίδες της εφημερίδας La Vanguardia, αντιστοίχως της 19ης Ιανουαρίου και της 9ης Μαρτίου 1998, στις οποίες περιλαμβανόταν ανακοίνωση, με μνεία του ονοματεπώνυμου του M. Costeja González, για πλειστηριασμούς ακινήτων κατόπιν κατάσχεσης που επιβλήθηκε λόγω κοινωνικοασφαλιστικών οφειλών.
15 Με την καταγγελία αυτή, ο M. Costeja González ζητούσε, αφενός, να υποχρεωθεί η La Vanguardia να απαλείψει ή να τροποποιήσει τις ως άνω σελίδες, ώστε να μην εμφανίζονται πλέον τα σχετικά με αυτόν δεδομένα προσωπικού χαρακτήρα, ή να χρησιμοποιήσει τα εργαλεία που προσφέρουν οι μηχανές αναζήτησης προκειμένου να προστατευθούν τα δεδομένα αυτά. Αφετέρου, ζήτησε να υποχρεωθεί η Google Spain ή η Google Inc. να διαγράψει ή να αποκρύψει τα προσωπικά δεδομένα του ώστε να μην εμφανίζονται πλέον στα αποτελέσματα αναζήτησης και να μην περιλαμβάνονται πλέον σε συνδέσμους της La Vanguardia. Στο πλαίσιο αυτό, ο M. Costeja González επισήμανε ότι η διαδικασία κατάσχεσης που είχε κινηθεί εναντίον του είχε ολοκληρωθεί και διευθετηθεί από μακρού και ότι οποιαδήποτε μνεία της διαδικασίας αυτής ήταν περιττή.
16 Με απόφαση της 30ής Ιουλίου 2010, η AEPD απέρριψε την εν λόγω καταγγελία κατά το μέρος που αφορούσε την La Vanguardia, εκτιμώντας ότι η εκ μέρους της δημοσίευση των επίμαχων πληροφοριών ήταν από νομικής άποψης δικαιολογημένη, δεδομένου ότι πραγματοποιήθηκε κατ’ εντολή του Υπουργείου Εργασίας και Κοινωνικών Υποθέσεων και είχε ως σκοπό να δώσει τη μεγαλύτερη δυνατή δημοσιότητα στη διαδικασία του πλειστηριασμού ώστε να προσελκύσει τον μεγαλύτερο δυνατό αριθμό ενδιαφερομένων.
17 Αντιθέτως, η ως άνω καταγγελία έγινε δεκτή κατά το μέρος που αφορούσε την Google Spain και την Google Inc. Η AEPD έκρινε συναφώς ότι οι φορείς εκμετάλλευσης μηχανών αναζήτησης υπόκεινται στη νομοθεσία περί προστασίας των δεδομένων, δεδομένου ότι προβαίνουν σε επεξεργασία δεδομένων για την οποία φέρουν ευθύνη και ότι ασκούν δραστηριότητες ενδιάμεσου στην κοινωνία της πληροφορίας. Η AEPD εκτίμησε ότι έχει την εξουσία να επιβάλλει την υποχρεωτική απόσυρση των δεδομένων καθώς και την απαγόρευση πρόσβασης των φορέων εκμετάλλευσης μηχανών αναζήτησης σε ορισμένα δεδομένα, εφόσον κρίνει ότι ο γεωγραφικός εντοπισμός τους ή η διάδοσή τους ενδέχεται να θίγουν το θεμελιώδες δικαίωμα της προστασίας των δεδομένων και την αξιοπρέπεια του προσώπου εν ευρεία εννοία, στην οποία εμπίπτει επίσης η απλή βούληση του ενδιαφερόμενου προσώπου να μην καθίστανται γνωστά τα δεδομένα του σε τρίτους. Η AEPD έκρινε ότι η υποχρέωση αυτή μπορεί να βαρύνει απευθείας τους φορείς εκμετάλλευσης μηχανών αναζήτησης, χωρίς να είναι απαραίτητη η διαγραφή των δεδομένων ή των πληροφοριών από τον ιστότοπο εντός του οποίου περιλαμβάνονται, ιδίως όταν η διατήρηση των πληροφοριών αυτών στον εν λόγω ιστότοπο έχει ως δικαιολογητικό της έρεισμα ορισμένη διάταξη νόμου.
18 Η Google Spain και η Google Inc. προσέβαλαν, καθεμία χωριστά, την εν λόγω απόφαση ενώπιον του Audiencia Nacional, το οποίο αποφάσισε να συνεκδικάσει τις δύο υποθέσεις.
19 Στην απόφαση περί παραπομπής, το αιτούν δικαστήριο επισημαίνει ότι το ζήτημα που εγείρει η εν λόγω διαφορά είναι ποιες είναι οι υποχρεώσεις των φορέων εκμετάλλευσης μηχανών αναζήτησης σχετικά με την προστασία των δεδομένων προσωπικού χαρακτήρα προσώπων τα οποία δεν επιθυμούν τον γεωγραφικό εντοπισμό, την ευρετηρίαση και την επ’ αόριστο διάθεση στους χρήστες του διαδικτύου ορισμένων πληροφοριών που έχουν δημοσιευθεί σε ιστοτόπους τρίτων και περιλαμβάνουν τα προσωπικά δεδομένα τους βάσει των οποίων καθίσταται δυνατός ο συσχετισμός των εν λόγω πληροφοριών με τα πρόσωπα αυτά. Η απάντηση στο ζήτημα αυτό εξαρτάται από τον τρόπο κατά τον οποίο πρέπει να ερμηνεύεται η οδηγία 95/46 στο πλαίσιο των τεχνολογιών που έχουν εμφανιστεί μετά την έκδοσή της.
20 Υπό τις προϋποθέσεις αυτές, το Audiencia Nacional ανέστειλε την ενώπιόν του διαδικασία και υπέβαλε στο Δικαστήριο τα ακόλουθα προδικαστικά ερωτήματα:
«1) Όσον αφορά την εδαφική εφαρμογή της οδηγίας [95/46] και, κατά συνέπεια, της ισπανικής νομοθεσίας για την προστασία των δεδομένων προσωπικού χαρακτήρα:
α) Έχει το άρθρο 4, παράγραφος 1, στοιχείο α΄, της οδηγίας [95/46] την έννοια ότι υφίσταται “εγκατάσταση” οσάκις συντρέχει μία ή περισσότερες από τις ακόλουθες προϋποθέσεις:
– όταν η επιχείρηση που παρέχει τη μηχανή αναζήτησης προβαίνει στην ίδρυση γραφείου ή στη σύσταση θυγατρικής εντός κράτους μέλους με σκοπό την προώθηση και πώληση του διαφημιστικού χώρου της μηχανής αναζήτησης, η οποία κατευθύνει τη δραστηριότητά της στους κατοίκους του κράτους αυτού,
ή
– όταν η μητρική εταιρία ορίζει θυγατρική της, εγκατεστημένη στο εν λόγω κράτος μέλος, ως εκπρόσωπό της και υπεύθυνη της επεξεργασίας δύο συγκεκριμένων συστημάτων αρχείων σχετικών με τα δεδομένα των πελατών που συνήψαν συμβάσεις παροχής διαφημιστικών υπηρεσιών με την εν λόγω εταιρία,
ή
– όταν το γραφείο ή η θυγατρική που είναι εγκατεστημένη σε κράτος μέλος διαβιβάζει στη μητρική εταιρία, που είναι εγκατεστημένη εκτός της Ευρωπαϊκής Ένωσης, τις αιτήσεις που της απευθύνουν τόσο οι ενδιαφερόμενοι όσο και οι αρμόδιες αρχές σχετικά με την τήρηση του δικαιώματος προστασίας των δεδομένων, ακόμα και όταν η συνεργασία αυτή πραγματοποιείται εκουσίως;
β) Έχει το άρθρο 4, παράγραφος 1, στοιχείο γ΄, της οδηγίας [95/46] την έννοια ότι υφίσταται “προσφυγή σε μέσα […] ευρισκόμενα στο έδαφος του εν λόγω κράτους μέλους”:
– όταν η μηχανή αναζήτησης χρησιμοποιεί προγράμματα ανίχνευσης (web crawlers ή web robots) για να εντοπίσει και να ευρετηριάσει τις πληροφορίες που περιέχονται σε ιστοσελίδες που αναρτώνται από εξυπηρετητές του εν λόγω κράτους μέλους,
ή
– όταν χρησιμοποιεί όνομα τομέα ενός κράτους μέλους και κατευθύνει τις αναζητήσεις και τα αποτελέσματα αναλόγως της γλώσσας του κράτους μέλους αυτού;
γ) Μπορεί να συνιστά προσφυγή σε μέσα, κατά την έννοια του άρθρου 4, παράγραφος 1, στοιχείο γ΄, της οδηγίας [95/46], η εκ μέρους των μηχανών αναζήτησης του διαδικτύου προσωρινή αποθήκευση των ευρετηριαζόμενων πληροφοριών; Σε περίπτωση καταφατικής απάντησης στο ερώτημα αυτό, μπορεί να θεωρηθεί ότι ο συνδετικός αυτός παράγοντας συντρέχει όταν η επιχείρηση αρνείται να αποκαλύψει τον χώρο όπου αποθηκεύει τα ευρετήρια αυτά επικαλούμενη λόγους σχετικούς με τον ανταγωνισμό;
δ) Ανεξαρτήτως της απάντησης που θα δοθεί στα προηγούμενα ερωτήματα και ειδικά στην περίπτωση που το Δικαστήριο κρίνει ότι δεν συντρέχουν οι συνδετικοί παράγοντες του άρθρου 4 της οδηγίας [95/46]:
Πρέπει να εφαρμοστεί η οδηγία [95/46] για την προστασία δεδομένων, υπό το πρίσμα του άρθρου 8 του [Χάρτη], στο κράτος μέλος όπου βρίσκεται το κέντρο βάρους της σύγκρουσης και όπου είναι δυνατή η αποτελεσματικότερη προστασία των δικαιωμάτων των πολιτών της Ευρωπαϊκής Ένωσης;
2) Όσον αφορά τη δραστηριότητα των μηχανών αναζήτησης ως φορέων παροχής περιεχομένων σε σχέση με την οδηγία 95/46/ΕΚ για την προστασία δεδομένων:
α) Όσον αφορά τη δραστηριότητα της [Google Search] ως φορέα παροχής περιεχομένων, δραστηριότητα η οποία συνίσταται στον εντοπισμό των πληροφοριών που αναρτούν στο διαδίκτυο τρίτοι, στην αυτόματη ευρετηρίασή τους, στην προσωρινή τους αποθήκευση και, τελικώς, στην παροχή της δυνατότητας στους χρήστες του διαδικτύου να αποκτούν πρόσβαση σε αυτές με ορισμένη σειρά προτίμησης, και εφόσον οι πληροφορίες αυτές περιέχουν δεδομένα προσωπικού χαρακτήρα τρίτων προσώπων, έχει η δραστηριότητα αυτή την έννοια της “επεξεργασίας δεδομένων προσωπικού χαρακτήρα” κατά το άρθρο 2, στοιχείο β΄, της οδηγίας [95/46];
β) Σε περίπτωση αρνητικής απάντησης στο προηγούμενο ερώτημα και πάντοτε σε σχέση με δραστηριότητα όπως η ανωτέρω περιγραφείσα:
Πρέπει να ερμηνευθεί το άρθρο 2, στοιχείο δ΄, της οδηγίας 95/46 υπό την έννοια ότι η επιχείρηση που διαχειρίζεται τη [Google Search] είναι ο “υπεύθυνος της επεξεργασίας” των δεδομένων προσωπικού χαρακτήρα που περιλαμβάνονται στις ιστοσελίδες που ευρετηριάζει;
γ) Σε περίπτωση καταφατικής απάντησης στο προηγούμενο ερώτημα:
Μπορεί η [AEPD], η οποία μεριμνά για την προάσπιση των δικαιωμάτων του άρθρου 12, στοιχείο β΄, και του άρθρου 14, [πρώτο εδάφιο,] στοιχείο α΄, της οδηγίας [95/46] να προσφεύγει απευθείας στη [Google Search] προκειμένου να ζητήσει τη διαγραφή από τα ευρετήριά της πληροφορίας δημοσιευθείσας από τρίτους, χωρίς να απευθυνθεί προηγουμένως ή ταυτοχρόνως στον κάτοχο της ιστότοπος ιστοτόπου ιστοσελίδας στην οποία αναρτήθηκε η επίμαχη πληροφορία;
δ) Σε περίπτωση καταφατικής απάντησης στο προηγούμενο ερώτημα:
Πρέπει να γίνει δεκτό ότι οι μηχανές αναζήτησης, κατ’ εξαίρεση, δεν υποχρεούνται να προστατεύουν τα δικαιώματα αυτά όταν η πληροφορία που περιέχει τα δεδομένα προσωπικού χαρακτήρα δημοσιεύθηκε νόμιμα από τρίτους και διατηρείται στην ιστοσελίδα όπου αρχικώς αναρτήθηκε;
3) Όσον αφορά το περιεχόμενο του δικαιώματος διαγραφής και/ή αντίταξης στην επεξεργασία δεδομένων προσωπικού χαρακτήρα σε σχέση με το δικαίωμα στη λήθη υποβάλλεται το εξής ερώτημα:
Έχει η οδηγία [95/46] την έννοια ότι τα δικαιώματα διαγραφής και κλειδώματος των δεδομένων προσωπικού χαρακτήρα κατά το άρθρο 12, στοιχείο β΄, και το δικαίωμα αντίταξης στην επεξεργασία τέτοιων δεδομένων κατά το άρθρο 14, [πρώτο εδάφιο,] στοιχείο α΄, της εν λόγω οδηγίας σημαίνουν, μεταξύ άλλων, ότι το υποκείμενο των δεδομένων μπορεί να απευθυνθεί στις μηχανές αναζήτησης προκειμένου να παρεμποδίσει την ευρετηρίαση των πληροφοριών που αφορούν το πρόσωπό του και οι οποίες αναρτώνται σε ιστοσελίδες από τρίτους, επικαλούμενο την επιθυμία του να μην είναι προσβάσιμες στους χρήστες του διαδικτύου οι πληροφορίες αυτές οσάκις εκτιμά ότι μπορεί να του προκαλέσουν βλάβη ή επιδιώκει να λησμονηθούν, έστω και αν έχουν δημοσιευτεί νόμιμα από τρίτους;»
Επί των προδικαστικών ερωτημάτων
Επί του δεύτερου προδικαστικού ερωτήματος, στοιχεία α΄ και β΄, σχετικά με το καθ’ ύλην πεδίο εφαρμογής της οδηγίας 95/46
21 Με το δεύτερο προδικαστικό ερώτημα, στοιχεία α΄ και β΄, το οποίο επιβάλλεται να εξεταστεί στην αρχή, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 2, στοιχείο β΄, της οδηγίας 95/46 έχει την έννοια ότι η δραστηριότητα μηχανής αναζήτησης ως φορέα παροχής περιεχομένων η οποία συνίσταται στον εντοπισμό πληροφοριών που δημοσιεύουν ή αναρτούν στο διαδίκτυο τρίτοι, στην αυτόματη ευρετηρίασή τους, στην προσωρινή τους αποθήκευση και, τελικώς, στη διάθεσή τους στους χρήστες του διαδικτύου με ορισμένη σειρά προτίμησης πρέπει να χαρακτηρίζεται ως «επεξεργασία δεδομένων προσωπικού χαρακτήρα», κατά την έννοια της διάταξης αυτής, όταν οι πληροφορίες αυτές περιλαμβάνουν δεδομένα προσωπικού χαρακτήρα. Σε περίπτωση καταφατικής απάντησης, το αιτούν δικαστήριο ζητεί εξάλλου να διευκρινιστεί αν το άρθρο 2, στοιχείο δ΄, της ως άνω οδηγίας έχει την έννοια ότι ο φορέας εκμετάλλευσης μηχανής αναζήτησης πρέπει να θεωρείται «υπεύθυνος» της εν λόγω επεξεργασίας δεδομένων προσωπικού χαρακτήρα κατά την έννοια της διάταξης αυτής.
22 Κατά την Google Spain και την Google Inc., η δραστηριότητα των μηχανών αναζήτησης δεν μπορεί να χαρακτηριστεί ως επεξεργασία δεδομένων που περιλαμβάνονται στις ιστοσελίδες τρίτων οι οποίες εμφανίζονται στον κατάλογο αποτελεσμάτων της αναζήτησης, δεδομένου ότι οι μηχανές αυτές χρησιμοποιούν τις προσβάσιμες στο διαδίκτυο πληροφορίες στο σύνολό τους, χωρίς να προβαίνουν σε διαφοροποίηση μεταξύ των δεδομένων προσωπικού χαρακτήρα και των λοιπών πληροφοριών. Εξάλλου, ακόμη και αν υποτεθεί ότι η δραστηριότητα αυτή πρέπει να χαρακτηριστεί ως «επεξεργασία δεδομένων», ο φορέας εκμετάλλευσης μηχανής αναζήτησης δεν μπορεί να θεωρηθεί ως «υπεύθυνος» της επεξεργασίας αυτής, δεδομένου ότι δεν έχει γνώση των εν λόγω δεδομένων και δεν ασκεί έλεγχο επ’ αυτών.
23 Αντιθέτως, ο M. Costeja González, η Ισπανική, η Ιταλική, η Αυστριακή και η Πολωνική Κυβέρνηση καθώς και η Ευρωπαϊκή Επιτροπή φρονούν ότι η εν λόγω δραστηριότητα συνεπάγεται προδήλως «επεξεργασία δεδομένων» κατά την έννοια της οδηγίας 95/46, η οποία είναι διαφορετική από την επεξεργασία δεδομένων που πραγματοποιούν οι εκδότες ιστοτόπων και επιδιώκει διαφορετικά αποτελέσματα σε σχέση με την τελευταία. Ο φορέας εκμετάλλευσης μηχανής αναζήτησης είναι «υπεύθυνος» της επεξεργασίας δεδομένων στην οποία έχει προβεί, δεδομένου ότι αυτός καθορίζει τους σκοπούς και τον τρόπο της εν λόγω επεξεργασίας.
24 Κατά την Ελληνική Κυβέρνηση, η επίμαχη δραστηριότητα συνιστά μεν «επεξεργασία», αλλά στον βαθμό που οι μηχανές αναζήτησης παρέχουν απλώς ενδιάμεσες υπηρεσίες, οι επιχειρήσεις που τις εκμεταλλεύονται δεν μπορούν να θεωρηθούν ως «υπεύθυνοι», εκτός των περιπτώσεων στις οποίες αποθηκεύουν δεδομένα σε μια «ενδιάμεση μνήμη» ή σε μια «κρυφή μνήμη» για χρονική περίοδο που υπερβαίνει το τεχνικά αναγκαίο μέτρο.
25 Επισημαίνεται συναφώς ότι το άρθρο 2, στοιχείο β΄, της οδηγίας 95/46 ορίζει ως «επεξεργασία δεδομένων προσωπικού χαρακτήρα» «κάθε εργασία ή σειρά εργασιών που πραγματοποιούνται με ή χωρίς τη βοήθεια αυτοματοποιημένων διαδικασιών και εφαρμόζονται σε δεδομένα προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώρηση, η οργάνωση, η αποθήκευση, η προσαρμογή ή η τροποποίηση, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η ανακοίνωση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η εναρμόνιση ή ο συνδυασμός, καθώς και το κλείδωμα, η διαγραφή ή η καταστροφή».
26 Όσον αφορά ειδικά το διαδίκτυο, το Δικαστήριο έχει διαπιστώσει ότι η πράξη που συνίσταται στην ανάρτηση, σε σελίδα του διαδικτύου, δεδομένων προσωπικού χαρακτήρα πρέπει να θεωρηθεί ως «επεξεργασία» κατά την έννοια του άρθρου 2, στοιχείο β΄, της οδηγίας 95/46 (βλ. απόφαση Lindqvist, C‑101/01, EU:C:2003:596, σκέψη 25).
27 Αναφορικά με την επίμαχη στην κύρια δίκη δραστηριότητα, δεν αμφισβητείται ότι, μεταξύ των δεδομένων που εντοπίζονται, ευρετηριάζονται, αποθηκεύονται από τις μηχανές αναζήτησης και τίθενται στη διάθεση των χρηστών των μηχανών αυτών, περιλαμβάνονται επίσης πληροφορίες που αφορούν φυσικά πρόσωπα των οποίων η ταυτότητα είναι γνωστή ή μπορεί να εξακριβωθεί και, ως εκ τούτου, «δεδομένα προσωπικού χαρακτήρα» κατά την έννοια του άρθρου 2, στοιχείο α΄, της οδηγίας αυτής.
28 Επομένως, διαπιστώνεται ότι ο φορέας εκμετάλλευσης μηχανής αναζήτησης, καθόσον ερευνά με αυτοματοποιημένο, διαρκή και συστηματικό τρόπο το διαδίκτυο προς αναζήτηση πληροφοριών δημοσιευμένων σε αυτό, «συλλέγει» τέτοια δεδομένα τα οποία «ανακτά», «καταχωρίζει» και «οργανώνει» εν συνεχεία στο πλαίσιο των προγραμμάτων ευρετηρίασης που διαθέτει, τα «αποθηκεύει» στ
