62017CJ0507[1]

A Bíróság ítélete (nagytanács), 2019. szeptember 24. Google LLC, venant aux droits de Google Inc. kontra Commission nationale de l'informatique et des libertés (CNIL). Conseil d'État által benyújtott előzetes döntéshozatal iránti kérelem. Előzetes döntéshozatal - Személyes adatok - Az ilyen adatok kezelése vonatkozásában a természetes személyek védelme - 95/46/EK irányelv - (EU) 2016/679 rendelet - Internetes keresőmotorok - A weboldalakon található adatok kezelése - A linkek közüli törléshez való jog területi hatálya. C-507/17. sz. ügy.

Ideiglenes változat

A BÍRÓSÁG ÍTÉLETE (nagytanács)

2019. szeptember 24.(*)

"Előzetes döntéshozatal - Személyes adatok - Az ilyen adatok kezelése vonatkozásában a természetes személyek védelme - 95/46/EK irányelv - (EU) 2016/679 rendelet - Internetes keresőmotorok - A weboldalakon található adatok kezelése - A linkek közüli törléshez való jog területi hatálya"

A C-507/17. sz. ügyben,

az EUMSZ 267. cikk alapján benyújtott előzetes döntéshozatal iránti kérelem tárgyában, amelyet a Conseil d'État (államtanács, Franciaország) a Bírósághoz 2017. augusztus 21-én érkezett, 2017. július 19-i határozatával terjesztett elő

a Google LLC, a Google Inc. jogutódja

és

a Commission nationale de l'informatique et des libertés (CNIL)

között,

a Wikimedia Foundation Inc.,

a Fondation pour la liberté de la presse,

a Microsoft Corp.,

a Reporters Committee for Freedom of the Press és társai,

az Article 19 és társai,

az Internet Freedom Foundation és társai,

a Défenseur des droits

részvételével folyamatban lévő eljárásban,

A BÍRÓSÁG (nagytanács),

tagjai: K. Lenaerts elnök, A. Arabadjiev, E. Regan, T. von Danwitz, C. Toader és F. Biltgen tanácselnökök, M. Ilešič (előadó), L. Bay Larsen, M. Safjan, D. Šváby, C. G. Fernlund, C. Vajda és S. Rodin bírák,

főtanácsnok: M. Szpunar,

hivatalvezető: V. Giacobbo-Peyronnel tanácsos,

tekintettel az írásbeli szakaszra és a 2018. szeptember 11-i tárgyalásra,

figyelembe véve a következők által előterjesztett észrevételeket:

- a Google LLC képviseletében P. Spinosi, Y. Pelosi és W. Maxwell avocats,

- a Commission nationale de l'informatique et des libertés (CNIL) képviseletében I. Falque-Pierrotin, J. Lessi és G. Le Grand, meghatalmazotti minőségben,

- a Wikimedia Foundation Inc. képviseletében C. Rameix-Seguin avocate,

- a Fondation pour la liberté de la presse képviseletében T. Haas avocat,

- a Microsoft Corp. képviseletében E. Piwnica avocat,

- a Reporters Committee for Freedom of the Press és társai képviseletében F. Louis avocat, valamint H.-G. Kamann, C. Schwedler és M. Braun Rechtsanwälte,

- az Article 19 és társai képviseletében G. Tapie avocat, G. Facenna QC és E. Metcalfe barrister,

- az Internet Freedom Foundation és társai képviseletében T. Haas avocat,

- a Défenseur des droits képviseletében J. Toubon, meghatalmazotti minőségben,

- a francia kormány képviseletében D. Colas, R. Coesme, E. de Moustier és S. Ghiandoni, meghatalmazotti minőségben,

- Írország képviseletében M. Browne, G. Hodge, J. Quaney és A. Joyce, meghatalmazotti minőségben, segítőjük: M. Gray BL,

- a görög kormány képviseletében E.-M. Mamouna, G. Papadaki, E. Zisi és S. Papaioannou, meghatalmazotti minőségben,

- az olasz kormány képviseletében G. Palmieri, meghatalmazotti minőségben, segítője: R. Guizzi avvocato dello Stato,

- az osztrák kormány képviseletében G. Eberhard és G. Kunnert, meghatalmazotti minőségben,

- a lengyel kormány képviseletében B. Majczyna, M. Pawlicka és J. Sawicka, meghatalmazotti minőségben,

- az Európai Bizottság képviseletében A. Buchet, H. Kranenborg és D. Nardi, meghatalmazotti minőségben,

a főtanácsnok indítványának a 2019. január 10-i tárgyaláson történt meghallgatását követően,

meghozta a következő

Ítéletet

1 Az előzetes döntéshozatal iránti kérelem a személyes adatok feldolgozása [helyesen: kezelése] vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24-i 95/46/EK európai parlamenti és tanácsi irányelv (HL 1995. L 281., 31. o.; magyar nyelvű különkiadás 13. fejezet, 15. kötet, 355. o.) értelmezésére vonatkozik.

2 E kérelmet a Google Inc. jogutódja, a Google LLC és a Commission nationale de l'informatique et des libertés (adatvédelmi hatóság, Franciaország; a továbbiakban: CNIL) (Franciaország) között az utóbbi hatóság által a Google-lel szemben amiatt alkalmazott 100 000 euró összegű bírság tárgyában folyamatban lévő jogvita keretében terjesztették elő, hogy e társaság megtagadta, hogy a link törlése iránti kérelem teljesítésekor e törlést a keresőmotorja doménnevének valamennyi kiterjesztésén alkalmazza.

Jogi háttér

Az uniós jog

A 95/46 irányelv

3 A 95/46 irányelv célja az 1. cikkének (1) bekezdése szerint a természetes személyek alapvető jogainak és szabadságainak, különösen a magánélet tiszteletben tartásához való joguk védelme a személyes adatok kezelése tekintetében, valamint az ilyen adatok szabad áramlásának útjában álló akadályok megszüntetése.

4 A 95/46 irányelv (2), (7), (10), (18), (20) és (37) preambulumbekezdése a következőket mondja ki:

"(2) mivel az adatfeldolgozási [helyesen: adatkezelési] rendszerek célja az emberek szolgálata; mivel a természetes személyek nemzetiségétől és lakóhelyétől függetlenül tiszteletben kell tartaniuk e személyek alapvető jogait és szabadságait, különösen a magánélet tiszteletben tartásához való jogukat, és hozzá kell járulniuk [...] az egyének jólétéhez;

[...]

(7) mivel az egyes tagállamokban végzett személyesadat-feldolgozás [helyesen: személyesadat-kezelés] terén az egyének jogai és szabadságai, különösen a magánélet tiszteletben tartásához való jog védelmének szintjei közötti eltérések akadályozhatják az ilyen adatok egyik tagállamból a másikba történő továbbítását; mivel ebből eredően ezek az eltérések akadályt jelentenek számos közösségi szintű gazdasági tevékenység elvégzésében, [...]

[...]

(10) mivel a személyes adatok feldolgozására [helyesen: kezelésére] vonatkozó nemzeti jogszabályok célja az alapvető jogok és szabadságok, különösen a magánélet tiszteletben tartásához való jog védelme, amelyet mind [a Rómában, 1950. november 4-én aláírt,] az emberi jogok és alapvető szabadságok védelméről szóló európai egyezmény 8. cikke, mind a közösségi jog általános alapelvei elismernek; mivel ezért az említett jogszabályok közelítése nem vezethet az általuk nyújtott védelem szintjének csökkenéséhez, sőt, magas védelmi szintet kell biztosítson a Közösségen belül;

[...]

(18) mivel annak biztosítása érdekében, hogy az egyéneket ne lehessen megfosztani attól a védelemtől, amelyre az irányelv értelmében jogosultak, a Közösség területén végzett minden személyesadat-feldolgozási [helyesen: személyesadat-kezelési] tevékenységet a tagállamok valamelyikének jogszabályai szerint kell végrehajtani; [...]

[...]

(20) mivel az a tény, hogy az adatfeldolgozást [helyesen: adatkezelést] valamely harmadik országban letelepedett személy végzi, nem gátolhatja az egyéneknek ebben az irányelvben előírt védelmét; mivel ilyen esetekben az adatfeldolgozásra [helyesen: adatkezelésre] annak a tagállamnak a jogszabályai irányadóak, amelyben az alkalmazott eszközök találhatók, továbbá garanciákat kell találni arra, hogy ezen irányelvben meghatározott jogok és kötelezettségek a gyakorlatban is érvényesüljenek;

[...]

(37) mivel az újságírás, irodalmi, vagy művészi kifejezés céljából, különösen audiovizuális téren történő személyesadat-feldolgozásnak [helyesen: személyesadat-kezelésnek] mentesülnie kell ezen irányelv egyes előírásai alól, amennyiben ez az egyének alapvető jogainak a tájékozódáshoz való joggal, nevezetesen az információszerzéshez és -közléshez való jognak az emberi jogok és alapvető szabadságok védelméről szóló európai egyezmény 10. cikkében biztosított jogával való összeegyeztetéséhez szükséges; mivel ezért az adatfeldolgozás [helyesen: adatkezelés] jogszerűségére vonatkozó általános intézkedések tekintetében az alapvető jogok [...] közötti egyensúly céljából a tagállamok állapíthatják meg a szükséges mentességeket és eltéréseket; [...]"

5 Ezen irányelv 2. cikke a következőképpen rendelkezik:

"Ezen irányelv alkalmazásában:

a) »személyes adat« az azonosított vagy azonosítható természetes személyre (»érintettre«) vonatkozó bármely információ; [...]

b) »személyes adatok feldolgozása« (»feldolgozás«) [helyesen: »személyes adatok kezelése« (»kezelés«)]: a személyes adatokon automatikus vagy nem automatikus módon végzett bármely művelet vagy műveletek összessége, azaz gyűjtés, rögzítés, rendszerezés, tárolás, átalakítás vagy megváltoztatás, visszakeresés, betekintés [helyesen: lekérdezés], felhasználás, közlés, továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel révén, összehangolás vagy összekapcsolás, zárolás, törlés, illetve megsemmisítés;

[...]

d) »adatkezelő« az a természetes vagy jogi személy, hatóság, intézmény vagy bármely más szerv, amely önállóan vagy másokkal együtt meghatározza a személyes adatok feldolgozásának [helyesen: kezelésének] céljait és módját; [...]

[...]"

6 Az említett irányelvnek "Az alkalmazandó nemzeti jog" című 4. cikke a következőket írja elő:

"(1) A személyes adatok feldolgozására [helyesen: kezelésére] minden tagállam az ezen irányelvnek megfelelően elfogadott nemzeti rendelkezéseket alkalmazza, amennyiben:

a) az adatfeldolgozást [helyesen: adatkezelést] a tagállam területén az adatkezelő egy szervezete tevékenységeinek keretében végzik; amennyiben ugyanaz az adatkezelő több tagállam területén is letelepedett, meg kell tennie a szükséges intézkedéseket annak biztosítása érdekében, hogy szervezeteinek mindegyike megfeleljen az alkalmazandó nemzeti jog által megállapított kötelezettségeknek;

b) az adatkezelő nem valamely tagállam területén telepedett le, hanem olyan helyen, amelynek nemzeti joga - a nemzetközi közjog értelmében - alkalmazandó;

c) az adatkezelő nem telepedett le a Közösség területén, és a személyes adatok feldolgozása [helyesen: kezelése] céljából gépi vagy más olyan eszközt alkalmaz, amely a fenti tagállam területén található, kivéve ha ezt az eszközt kizárólag a Közösség területén átmenő adatforgalom céljára használják.

(2) Az (1) bekezdés c) pontjában említett körülmények esetén az adatkezelőnek - az ellene indítható jogi keresetek sérelme nélkül - ki kell jelölnie egy, az adott tagállam területén letelepedett képviselőt."

7 A 95/46 irányelvnek "A személyes adatok feldolgozása [helyesen: kezelése] és a szólásszabadság" című 9. cikke szerint:

"A tagállamok e fejezet, a IV. és a VI. fejezet rendelkezései alóli felmentésről, illetve eltérésről [helyesen: A tagállamok az e fejezet, valamint a IV. és a VI. fejezet rendelkezései alóli kivételekről, illetve rendelkezéseitől való eltérésekről] kizárólag a személyes adatoknak újságírás vagy irodalmi, illetve művészi kifejezés céljából történő feldolgozása esetén rendelkezhetnek, amennyiben azok a magánélet tiszteletben tartásához való jognak a szólásszabadságra vonatkozó szabályokkal való összeegyeztetéséhez szükségesek."

8 Ezen irányelvnek az "Adathozzáféréshez való jog" című 12. cikke a következőket írja elő:

"A tagállamoknak biztosítaniuk kell minden érintett számára a jogot, hogy az adatkezelőtől:

[...]

b) az esettől függően kérje az olyan adatok helyesbítését, törlését vagy zárolását, amelyek feldolgozása [helyesen: kezelése] nem felel meg ezen irányelv rendelkezéseinek, különösen az ilyen adatok hiányos vagy hibás volta miatt;

[...]"

9 Az említett irányelvnek "Az érintett tiltakozási joga" című 14. cikke a következőképpen rendelkezik:

"A tagállamoknak biztosítaniuk kell az érintettnek, hogy:

a) legalább a 7. cikk e) és f) pontjában foglalt esetekben, sajátos helyzetével kapcsolatos lényeges jogos érdekből bármikor tiltakozhasson a rá vonatkozó adatok feldolgozása [helyesen: kezelése] ellen, kivéve, ha erről a nemzeti jog másként rendelkezik. Jogos tiltakozás esetén az adatkezelő által kezdeményezett adatfeldolgozás [helyesen: adatkezelés] a továbbiakban nem terjedhet ki a szóban forgó adatokra;

[...]"

10 A 95/46 irányelvnek a "Szankciók" című 24. cikke a következőket írja elő:

"A tagállamok elfogadják a megfelelő intézkedéseket ezen irányelv rendelkezéseinek maradéktalan végrehajtása érdekében és különösen megállapítják az irányelv értelmében elfogadott rendelkezések megsértése esetén kiszabható szankciókat."

11 Ezen irányelv "A felügyelő hatóság" című 28. cikkének a szövege a következő:

"(1) Minden tagállamnak rendelkeznie kell arról, hogy az ezen irányelv értelmében a tagállam által elfogadott nemzeti rendelkezéseknek a területén történő alkalmazását valamely hatóság vagy hatóságok felügyeljék.

[...]

(3) A hatóságok különösen a következő jogosultságokkal rendelkeznek:

- vizsgálati jogkör, mint például az adatfeldolgozási [helyesen: adatkezelési] műveletek tárgyát képező adatokhoz való hozzáférés joga, továbbá a felügyeleti feladatok ellátásához szükséges adatok gyűjtésének joga,

- tényleges beavatkozási jogosultságok, mint például [...] az adatok zárolásának, törlésének vagy megsemmisítésének elrendelése, az adatfeldolgozás [helyesen: adatkezelés] átmeneti vagy végleges tilalmának megállapítása, [...]

[...]

A felügyelő hatóság kifogásolható [helyesen: sérelmet okozó] határozatai bíróság előtt megtámadhatók.

(4) A felügyelő hatóságok foglalkoznak a személyes adatok feldolgozása [helyesen: kezelése] vonatkozásában az egyének jogainak vagy szabadságainak védelmével kapcsolatos, bármely személy vagy az őt képviselő szervezet által benyújtott kérelmekkel. A kérelem elbírálásáról az érintett személyt értesíteni kell.

[...]

(6) A felügyelő hatóságok, függetlenül a szóban forgó adatfeldolgozásra [helyesen: adatkezelésre] alkalmazandó nemzeti jogtól, saját tagállamuk területén hatáskörrel rendelkeznek a (3) bekezdés értelmében rájuk ruházott jogosultságok gyakorlására. Valamely tagállam hatósága felkérheti egy másik állam [helyesen: tagállam] hatóságát hatáskörének gyakorlására.

A felügyelő hatóságok a feladataik teljesítéséhez szükséges mértékben együttműködnek egymással, különösen a hasznos információk cseréje révén.

[...]"

Az (EU) 2016/679 rendelet

12 Az EUMSZ 16. cikken alapuló, a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27-i (EU) 2016/679 európai parlamenti és tanácsi rendeletet (általános adatvédelmi rendelet) (HL 2016. L 119., 1. o.; helyesbítések: HL 2016. L 314., 72. o.; HL 2018. L 127., 2. o.) a 99. cikkének (2) bekezdése értelmében 2018. május 25-től kell alkalmazni. E rendelet 94. cikkének (1) bekezdése úgy rendelkezik, hogy a 95/46 irányelv ugyanezen időpontban hatályát veszti.

13 Az említett rendelet (1), (4), (9)-(11), (13), (22)-(25) és (65) preambulumbekezdése a következőket mondja ki:

"(1) A természetes személyek személyes adataik kezelésével összefüggő védelme alapvető jog. Az Európai Unió Alapjogi Chartája (Charta) 8. cikkének (1) bekezdése és az [EUMSZ] 16. cikk[...] (1) bekezdése rögzíti, hogy mindenkinek joga van a rá vonatkozó személyes adatok védelméhez.

[...]

(4) A személyes adatok kezelését az emberiség szolgálatába kell állítani. A személyes adatok védelméhez való jog nem abszolút jog, azt az arányosság elvével összhangban, a társadalomban betöltött szerepének függvényében kell figyelembe venni, egyensúlyban más alapvető jogokkal. Ez a rendelet minden alapvető jogot tiszteletben tart, és szem előtt tartja a Chartában elismert és a Szerződésekben rögzített szabadságokat és elveket, különösen ami a magán és a családi élet, [...] a személyes adatok védelméhez, a gondolat, a lelkiismeret és a vallásszabadsághoz, a véleménynyilvánítás szabadságához és a tájékozódás szabadságához, a vállalkozás szabadságához [...] való jogot illeti.

[...]

(9) A 95/46/EK irányelv [...] nem akadályozta meg [...], hogy az Unió tagállamaiban az adatvédelem végrehajtása széttagolt módon valósuljon meg [...]. Az [...] egyes tagállamokban [biztosított] eltérő szintű védel[em] a személyes adatok Unióban történő szabad áramlásának útjában állhat. Ebből eredően ezek az eltérések a gazdasági tevékenységek uniós szinten való folytatásának akadályát képezhetik [...].

(10) A természetes személyek következetes és magas szintű védelmének biztosítása és a személyes adatok Unión belüli áramlása előtti akadályok elhárítása érdekében a természetes személyeknek az ilyen adatok kezelésével összefüggésben fennálló jogait és szabadságait minden tagállamban azonos szintű védelemben kell részesíteni. [...]

(11) Ahhoz, hogy a személyes adatok az Unió egész területén hatékony védelemben részesüljenek, az érintettek jogait, valamint a személyes adatokat kezelő, illetve az adatkezelést meghatározó személyek kötelezettségeit megerősíteni és részletesen meghatározni szükséges, ugyanakkor pedig az egyes tagállamokban a személyes adatok védelmére vonatkozó szabályok betartásának ellenőrzéséhez és biztosításához egyenértékű hatáskört is biztosítani szükséges, és a jogsértőkre azonos szankciókat kell alkalmazni.

[...]

(13) A természetes személyek egységes, uniós-szintű védelmének biztosítása, valamint a személyes adatok belső piacon való szabad áramlását akadályozó eltérések megelőzése érdekében rendelettel kell biztosítani a jogbiztonságot és az áttekinthetőséget [a] gazdasági szereplő[k] részére [...], továbbá rendelettel kell biztosítani a természetes személyek részére minden tagállamban azonos szintű, jogi úton érvényesíthető jogokat és kötelezettségeket, az adatkezelők és adatfeldolgozók számára azonos felelősséget, a személyes adatok kezelésének következetes nyomon követését, valamennyi tagállamban azonos szankciók alkalmazását, és a különböző tagállamok felügyeleti hatóságai közötti hatékony együttműködést. A belső piac megfelelő működése érdekében a személyes adatok Unión belüli szabad áramlását a természetes személyeknek a személyes adatok kezelése tekintetében történő védelmével összefüggő okokból nem szabad korlátozni vagy megtiltani. [...]

[...]

(22) Az adatkezelő vagy adatfeldolgozó a tevékenységi helyén folytatott működése során, az Unió területén végzett bármely személyesadat-kezelést e rendelettel összhangban kell végezni, tekintet nélkül arra, hogy maga az adatkezelés az Unió területén történik-e. [...]

(23) Annak biztosítása érdekében, hogy a természetes személyeket e rendelet szerinti védelemtől ne lehessen megfosztani, helyénvaló, hogy ha az adatkezelési tevékenységek termékeknek vagy szolgáltatásoknak az említett érintettek részére történő nyújtásához kapcsolódnak, az Unióban tevékenységi hellyel nem rendelkező adatkezelő vagy adatfeldolgozó az Unióban tartózkodó érintettek személyes adatainak kezelését e rendelet betartásával végezze, függetlenül attól, hogy ahhoz társul-e kifizetés. Annak megállapítása érdekében, hogy az ilyen adatkezelő vagy adatfeldolgozó kínál-e termékeket és szolgáltatásokat Unió területén lévő érintetteknek, meg kell bizonyosodni arról, hogy nyilvánvaló-e, hogy az adatkezelő vagy adatfeldolgozó az Unió egy vagy több tagállamában az érintettek számára szolgáltatásokat tervez nyújtani. [...]

(24) Az Unióban tartózkodó érintettek személyes adatainak az Unióban tevékenységi hellyel nem rendelkező adatkezelő vagy adatfeldolgozó általi kezelése abban az esetben is e rendelet hatálya alá tartozik, amennyiben az érintettek Unión belüli magatartásának a megfigyeléséhez kapcsolódnak. Annak meghatározása, hogy az adatkezelés az érintettek magatartásának megfigyelésének minősül-e, meg kell megvizsgálni, hogy a természetes személyeket nyomon követik-e az interneten, illetve ezt követően a természetes személy profiljának megalkotását is magában foglaló adatkezelési technikákat alkalmaznak-e, annak érdekében, hogy elsősorban a természetes személyre vonatkozó döntéseket hozzanak, valamint, hogy elemezzék vagy előre jelezzék a természetes személy személyes preferenciáit, magatartását vagy beállítottságát.

(25) Ha a nemzetközi közjog értelmében valamely tagállam jogát kell alkalmazni, e rendeletet kell alkalmazni az Unióban tevékenységi hellyel nem rendelkező adatkezelőkre is, így például a tagállamok diplomáciai vagy konzuli képviseleteire.

[...]

(65) Az érintett jogosult[at] megilleti az "elfeledtetéshez való jog", ha a szóban forgó adatok megőrzése sérti e rendeletet vagy az olyan uniós vagy tagállami jogot, amelynek hatálya az adatkezelőre kiterjed. [...] Ugyanakkor a személyes adatok további megőrzése jogszerűnek tekinthető, ha az a véleménynyilvánítás és a tájékozódás szabadságához való jog gyakorlása [...] miatt [...] szükséges [...]"

14 A 2016/679 rendelet "Területi hatály" című 3. cikkének szövege a következő:

"(1) E rendeletet kell alkalmazni a személyes adatoknak az Unióban tevékenységi hellyel rendelkező adatkezelők vagy adatfeldolgozók tevékenységeivel összefüggésben végzett kezelésére, függetlenül attól, hogy az adatkezelés az Unió területén történik vagy nem.

(2) E rendeletet kell alkalmazni az Unióban tartózkodó érintettek személyes adatainak az Unióban tevékenységi hellyel nem rendelkező adatkezelő vagy adatfeldolgozó által végzett kezelésére, ha az adatkezelési tevékenységek:

a) áruknak vagy szolgáltatásoknak az Unióban tartózkodó érintettek számára történő nyújtásához kapcsolódnak, függetlenül attól, hogy az érintettnek fizetnie kell-e azokért; vagy

b) az érintettek viselkedésének megfigyeléséhez kapcsolódnak, feltéve, hogy az Unió területén belül tanúsított viselkedésükről van szó.

(3) E rendeletet kell alkalmazni a személyes adatoknak a nem az Unióban, hanem olyan helyen tevékenységi hellyel rendelkező adatkezelő által végzett kezelésére, ahol a nemzetközi közjog értelmében valamely tagállam joga alkalmazandó."

15 E rendelet 4. cikkének 23. pontja a következőképpen határozza meg a "személyes adatok határokon átnyúló adatkezelése" fogalmát:

"a) személyes adatoknak az Unióban megvalósuló olyan kezelése, amelyre az egynél több tagállamban tevékenységi hellyel rendelkező adatkezelő vagy adatfeldolgozó több tagállamban található tevékenységi helyein folytatott tevékenységekkel összefüggésben kerül sor; vagy

b) személyes adatoknak az Unióban megvalósuló olyan kezelése, amelyre az adatkezelő vagy az adatfeldolgozó egyetlen tevékenységi helyén folytatott tevékenységekkel összefüggésben kerül sor úgy, hogy egynél több tagállamban jelentős mértékben érint vagy valószínűsíthetően jelentős mértékben érint érintetteket."

16 Az említett rendelet "A törléshez való jog (»az elfeledtetéshez való jog«)" című 17. cikkének szövege a következő:

"(1) Az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az alábbi indokok valamelyike fennáll:

a) a személyes adatokra már nincs szükség abból a célból, amelyből azokat gyűjtötték vagy más módon kezelték;

b) az érintett visszavonja a 6. cikk (1) bekezdésének a) pontja vagy a 9. cikk (2) bekezdésének a) pontja értelmében az adatkezelés alapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja;

c) az érintett a 21. cikk (1) bekezdése alapján tiltakozik az adatkezelés ellen, és nincs elsőbbséget élvező jogszerű ok az adatkezelésre, vagy az érintett a 21. cikk (2) bekezdése alapján tiltakozik az adatkezelés ellen;

d) a személyes adatokat jogellenesen kezelték;

e) a személyes adatokat az adatkezelőre alkalmazandó uniós vagy tagállami jogban előírt jogi kötelezettség teljesítéséhez törölni kell;

f) a személyes adatok gyűjtésére a 8. cikk (1) bekezdésében említett, információs társadalommal összefüggő szolgáltatások kínálásával kapcsolatosan került sor.

[...]

(3) Az (1) és (2) bekezdés nem alkalmazandó, amennyiben az adatkezelés szükséges:

a) a véleménynyilvánítás szabadságához és a tájékozódáshoz való jog gyakorlása céljából;

[...]"

17 Ugyanezen rendelet "A tiltakozáshoz való jog" című 21. cikkének (1) bekezdése a következőket írja elő:

"Az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból bármikor tiltakozzon személyes adatainak a 6. cikk (1) bekezdésének e) vagy f) pontján alapuló kezelése ellen, ideértve az említett rendelkezéseken alapuló profilalkotást is. Ebben az esetben az adatkezelő a személyes adatokat nem kezelheti tovább, kivéve, ha az adatkezelő bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak."

18 A 2016/679 rendelet "Illetékesség" című 55. cikke, amely e rendelet "Független felügyeleti hatóságok" című VI. fejezetében található, az (1) bekezdésében a következőképpen rendelkezik:

"A felügyeleti hatóság a saját tagállamának területén illetékes az e rendelet alapján ráruházott feladatok végzésére és hatáskörök gyakorlására."

19 Az említett rendeletnek "A fő felügyeleti hatóság illetékessége" című 56. cikke a következőket mondja ki:

"(1) Az 55. cikk sérelme nélkül, az adatkezelő vagy az adatfeldolgozó tevékenységi központja vagy egyetlen tevékenységi helye szerinti felügyeleti hatóság jogosult fő felügyeleti hatóságként eljárni az említett adatkezelő vagy az adatfeldolgozó által végzett határokon átnyúló adatkezelés tekintetében, a 60. cikk szerinti eljárással összhangban.

(2) Az (1) bekezdéstől eltérve, minden felügyeleti hatóság jogosult a hozzá benyújtott panaszok kezelésére, illetve jogosult e rendelet esetleges megsértése esetén eljárni, ha az ügy tárgya kizárólag egy, a tagállamában található tevékenységi helyet érint, vagy ha kizárólag a tagállamában érint jelentős mértékben érintetteket.

(3) Az e cikk (2) bekezdésében említett esetekben a felügyeleti hatóság haladéktalanul tájékoztatja az ügyről a fő felügyeleti hatóságot. A fő felügyeleti hatóság a tájékoztatását követő három héten belül dönt arról, hogy a 60. cikkben foglalt eljárással összhangban eljár-e az ügyben, figyelembe véve azt, hogy az adatkezelő vagy az adatfeldolgozó rendelkezik-e tevékenységi hellyel abban a tagállamban, amelynek a felügyeleti hatósága a fő felügyeleti hatóságot tájékoztatta.

(4) Ha a fő felügyeleti hatóság úgy határoz, hogy eljár az ügyben, a 60. cikkben meghatározott eljárást kell alkalmazni. A fő felügyeleti hatóságot tájékoztató felügyeleti hatóság döntéstervezetet nyújthat be a fő felügyeleti hatóságnak. A fő felügyeleti hatóság a 60. cikk (3) bekezdésében említett döntéstervezet elkészítése során a lehető legnagyobb mértékben figyelembe veszi az említett tervezetet.

(5) Abban az esetben, ha a fő felügyeleti hatóság úgy határoz, hogy nem jár el az ügyben, a fő felügyeleti hatóságot tájékoztató felügyeleti hatóság jár el a 61. és a 62. cikknek megfelelően.

(6) A fő felügyeleti hatóság az adatkezelő vagy adatfeldolgozó egyetlen kapcsolattartója az általuk végzett, határokon átnyúló adatkezeléssel kapcsolatban."

20 Ugyanezen rendelet "Hatáskörök" című 58. cikke a (2) bekezdésében a következőket írja elő:

"A felügyeleti hatóság korrekciós hatáskörében eljárva:

[...]

g) a [...] 17. [...] cikkben foglaltaknak megfelelően elrendeli a személyes adatok [...] törlését [...];

[...]

i) [...] közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett".

21 A 2016/679 rendelet "Együttműködés és egységesség" című VII. fejezetén belüli "Együttműködés" című 1. szakasz tartalmazza e rendelet 60-62. cikkét. Az "Együttműködés a fő felügyeleti hatóság és a többi érintett felügyeleti hatóság között" című 60. cikk a következőképpen rendelkezik:

"(1) A fő felügyeleti hatóság e cikknek megfelelően, konszenzusra törekedve együttműködik a többi érintett felügyeleti hatósággal. A fő felügyeleti hatóság és az érintett felügyeleti hatóságok minden releváns információt kicserélnek egymással.

(2) A fő felügyeleti hatóság bármikor kérheti más érintett felügyeleti hatóságoktól a 61. cikk szerinti kölcsönös segítségnyújtást és végezhet a 62. cikk szerinti közös műveleteket, különösen olyan vizsgálatok lefolytatása vagy olyan intézkedések végrehajtásának nyomon követése céljából, amelyek valamely másik tagállamban tevékenységi hellyel rendelkező adatkezelővel, illetve adatfeldolgozóval kapcsolatosak.

(3) A fő felügyeleti hatóság késedelem nélkül közli a többi érintett felügyeleti hatósággal az üggyel kapcsolatos releváns információkat. A döntés tervezetét haladéktalanul benyújtja a többi érintett felügyeleti hatóságnak, hogy azok véleményezhessék, és véleményüket kellően figyelembe veszi.

(4) Ha a többi érintett felügyeleti hatóság valamelyike az e cikk (3) bekezdése szerinti konzultációt követő négy héten belül releváns és megalapozott kifogást emel a döntéstervezettel szemben, a fő felügyeleti hatóság, ha nem ért egyet a releváns és megalapozott kifogással, vagy azt nem találja relevánsnak vagy megalapozottnak, az ügyet a 63. cikkben említett egységességi mechanizmus keretében kezeli.

(5) Ha a fő felügyeleti hatóság helyt kíván adni a releváns és megalapozott kifogásnak, módosított döntéstervezetet nyújt be a többi érintett felügyeleti hatóságnak, hogy azok véleményezhessék. A módosított döntéstervezet tekintetében két héten belül kell lefolytatni a (4) bekezdésben említett eljárást.

(6) Ha a (4), illetve az (5) bekezdésben említett határidőn belül a többi érintett felügyeleti hatóság egyike sem emel kifogást a fő felügyeleti hatóság által benyújtott döntéstervezettel szemben, úgy kell tekinteni, hogy a fő felügyeleti hatóság és az érintett felügyeleti hatóságok egyetértenek a döntéstervezettel és az rájuk nézve kötelező.

(7) A fő felügyeleti hatóság elfogadja a döntését és közli azt az adatkezelő, vagy adott esetben az adatfeldolgozó tevékenységi központjával vagy egyetlen tevékenységi helyével, továbbá a releváns tények és indokok összefoglalásával tájékoztatja a szóban forgó döntésről a többi érintett felügyeleti hatóságot és a Testületet. Az a felügyeleti hatóság, amelyhez a panaszt benyújtották, tájékoztatja a panaszost a döntésről.

(8) Amennyiben a panaszt visszautasították vagy elutasították, a (7) bekezdéstől eltérve az a felügyeleti hatóság fogadja el a döntést, közli a panaszossal, és tájékoztatja az adatkezelőt, amelyhez a panaszt benyújtották.

(9) Ha a fő felügyeleti hatóság és az érintett felügyeleti hatóságok egyetértenek abban, hogy a panasz egyes részeit visszautasítják vagy elutasítják, más részeivel kapcsolatban viszont eljárnak, külön döntést fogadnak el az ügy minden ilyen részére vonatkozóan. [...]

(10) Az adatkezelő, illetve az adatfeldolgozó, miután a (7) vagy a (9) bekezdésnek megfelelően közölték vele a fő felügyeleti hatóság döntését, megteszi a szükséges intézkedéseket annak érdekében, hogy az adatkezelési tevékenységek az Unióban lévő minden tevékenységi helyén megfeleljenek a döntésben foglaltaknak. Az adatkezelő, illetve az adatfeldolgozó közli a fő felügyeleti hatósággal a döntésnek való megfelelés érdekében tett intézkedéseket, ezt követően a fő felügyeleti hatóság tájékoztatja a többi érintett felügyeleti hatóságot.

(11) Ha egy érintett felügyeleti hatóság rendkívüli körülmények fennállása esetén megalapozottan úgy véli, hogy az érintettek érdekeinek védelme érdekében sürgős fellépésre van szükség, a 66. cikkben említett sürgősségi eljárást kell alkalmazni.

[...]"

22 Az említett rendelet "Kölcsönös segítségnyújtás" című 61. cikke az (1) bekezdésében a következőket mondja ki:

"A felügyeleti hatóságok e rendelet egységes végrehajtása és alkalmazása érdekében megosztják egymással a releváns információkat, és kölcsönösen segítséget nyújtanak egymásnak, valamint a hatékony együttműködést célzó intézkedéseket tesznek. A kölcsönös segítségnyújtás különösen információkérésekre és felügyeleti intézkedésekre, például az előzetes engedélyezés és egyeztetés, az ellenőrzés és a vizsgálat lefolytatása iránti megkeresésekre terjed ki."

23 Ugyanezen rendelet "A felügyeleti hatóságok közös műveletei" című 62. cikke a következőket írja elő:

"(1) A felügyeleti hatóságok adott esetben közös műveleteket hajtanak végre, ideértve a közös vizsgálatokat és a közös végrehajtási intézkedéseket is, amelyekben más tagállamok felügyeleti hatóságainak tagjai vagy alkalmazottai is részt vesznek.

(2) Ha az adatkezelő vagy az adatfeldolgozó több tagállamban is rendelkezik tevékenységi hellyel, vagy ha az adatkezelési műveletek több tagállamban is valószínűsíthetően jelentős mértékben érintenek nagyszámú érintettet, az összes szóban forgó tagállam felügyeleti hatósága jogosult részt venni a közös műveletekben. [...]"

24 A 2016/679 rendelet VII. fejezetén belüli "Egységesség" című 2. szakasz tartalmazza e rendelet 63-67. cikkét. "Az egységességi mechanizmus" című 63. cikk szövege a következő:

"Az e rendeletnek az Unió egész területén történő egységes alkalmazásához való hozzájárulás érdekében a felügyeleti hatóságok együttműködnek egymással és adott esetben a Bizottsággal az e szakaszban meghatározott egységességi mechanizmus útján."

25 Az említett rendeletnek "A Testület vitarendezési eljárása" című 65. cikke az (1) bekezdésében a következőket írja elő:

"Annak érdekében, hogy az egyes esetekben biztosított legyen e rendelet helyes és egységes alkalmazása, a Testület kötelező erejű döntést fogad el az alábbi esetekben:

a) ha a 60. cikk (4) bekezdésében említett esetben valamely érintett felügyeleti hatóság releváns és megalapozott kifogást emelt a fő felügyeleti hatóság döntéstervezetével szemben, vagy ha a fő felügyeleti hatóság elutasított egy ilyen kifogást arra hivatkozva, hogy az nem releváns vagy nem megalapozott. A kötelező erejű döntésnek ki kell terjednie a releváns és megalapozott kifogásban szereplő összes kérdésre, különösen arra, hogy a rendelet sérült-e;

b) ha eltérnek az álláspontok azt illetően, hogy az érintett felügyeleti hatóságok közül melyik illetékes a tevékenységi központ tekintetében;

[...]"

26 Ugyanezen rendelet "Sürgősségi eljárás" című 66. cikkének (1) bekezdése a következőképpen rendelkezik:

"Ha egy érintett felügyeleti hatóság rendkívüli körülmények fennállása esetén úgy véli, hogy az érintettek jogainak és szabadságainak védelme érdekében sürgős fellépésre van szükség, akkor a 63., 64. és 65. cikkben említett egységességi mechanizmustól, illetve a 60. cikkben említett eljárástól eltérve haladéktalanul legfeljebb három hónapra szóló meghatározott érvényességi idejű ideiglenes intézkedéseket fogadhat el abból a célból, hogy saját tagállama területén joghatást váltson ki. A felügyeleti hatóság haladéktalanul közli az ilyen intézkedéseket és elfogadásuk indokait a többi érintett felügyeleti hatósággal, a Testülettel és a Bizottsággal."

27 A 2016/679 rendeletnek "A személyes adatok kezelése és a véleménynyilvánítás szabadságához és a tájékozódáshoz való jog" című 85. cikke a következőket mondja ki:

"(1) A tagállamok jogszabályban összeegyeztetik a személyes adatok e rendelet szerinti védelméhez való jogot a véleménynyilvánítás szabadságához és a tájékozódáshoz való joggal, ideértve a személyes adatok újságírási célból, illetve tudományos, művészi vagy irodalmi kifejezés céljából végzett kezelését is.

(2) A személyes adatok újságírási célból, illetve tudományos, művészi vagy irodalmi kifejezés céljából végzett kezelésére vonatkozóan a tagállamok kivételeket vagy eltéréseket határoznak meg a II. fejezet (elvek), a III. fejezet (az érintett jogai), a IV. fejezet (az adatkezelő és az adatfeldolgozó), az V. fejezet (a személyes adatok harmadik országokba vagy nemzetközi szervezetek részére történő továbbítása), a VI. fejezet (független felügyeleti hatóságok), a VII. fejezet (együttműködés és egységesség) és a IX. fejezet (az adatkezelés különös esetei) alól, ha e kivételek vagy eltérések szükségesek ahhoz, hogy a személyes adatok védelméhez való jogot össze lehessen egyeztetni a véleménynyilvánítás szabadságához és a tájékozódáshoz való joggal.

[...]"

A francia jog

28 A 95/46 irányelvet a francia jogba az 1978. január 6-i loi nº 78-17 relative à l'informatique, aux fichiers et aux libertés (az informatikáról, a fájlokról és a szabadságjogokról szóló törvény) alapügy tényállására alkalmazandó változata (a továbbiakban: 1978. január 6-i törvény) ültette át.

29 E törvény 45. cikke pontosítja, hogy amennyiben az adatkezelő nem tartja tiszteletben az említett törvényből eredő kötelezettségeket, a CNIL elnöke felszólíthatja, hogy az általa meghatározott határidőn belül szüntesse meg a megállapított kötelezettségszegést. Ha az adatkezelő nem tesz eleget a neki címzett felszólításnak, a tanácsban eljáró CNIL kontradiktórius eljárást követően többek között pénzbírságot szabhat ki.

Az alapeljárás és az előzetes döntéshozatalra előterjesztett kérdések

30 A 2015. május 21-i határozatával a CNIL elnöke felszólítást intézett a Google-hoz, hogy amikor eleget tesz egy magánszemély arra irányuló kérelmének, hogy a nevén alapuló keresés folytán megjelenő eredmények listájáról távolítsa el a weboldalakra mutató linkeket, akkor e törlést a keresőmotorja doménnevének valamennyi kiterjesztésén alkalmazza.

31 A Google megtagadta, hogy eleget tegyen e felszólításnak, és a szóban forgó linkeket kizárólag a keresőmotorja valamely uniós tagállam nevének megfelelő doménnevű változatain végzett keresések eredményeként megjelenített találatok közül törölte.

32 A CNIL egyébként elégtelennek ítélte a Google által a felszólítás határidejének lejártát követően tett, úgynevezett "területi alapú tartalomkorlátozásra" vonatkozó kiegészítő javaslatát, amely abban állt, hogy kizárják annak lehetőségét, hogy az érintett lakóhelye szerinti államban találhatónak minősített IP-címről (Internet Protocol) hozzáférjenek az érintett neve alapján végzett keresés eredményeként megjelenített vitatott találatokhoz, függetlenül attól, hogy az internethasználó a keresőmotor melyik változatát vette igénybe.

33 Miután a CNIL megállapította, hogy a Google az előírt határidőben nem tett eleget az említett felszólításnak, a 2016. március 10-i határozatával 100 000 euró összegű, nyilvánosságra hozott szankciót alkalmazott e társasággal szemben.

34 A Conseil d'État (államtanács, Franciaország) előtt indított keresetével a Google e határozat megsemmisítését kéri.

35 A Conseil d'État (államtanács) megállapítja, hogy a Google által működtetett keresőmotorral végzett személyesadat-kezelés - tekintettel arra, hogy a Google Franciaországban a Google France nevű leányvállalatán keresztül reklámhelyek reklámozására és értékesítésére irányuló tevékenységet végez - az 1978. január 6-i törvény hatálya alá tartozik.

36 A Conseil d'État (államtanács) egyébiránt rámutat arra, hogy a Google által működtetett keresőmotor különböző földrajzi kiterjesztéseknek megfelelő különböző doménnevek alatt működik annak érdekében, hogy a megjelenített találatok megfeleljenek azon különböző államok - többek között nyelvi - sajátosságainak, amelyekben a társaság a tevékenységét gyakorolja. Amennyiben a keresést a "google.com" címről indítják, a Google főszabály szerint e keresést automatikusan átirányítja az azon államnak megfelelő doménnév felé, ahonnan e keresés az internethasználó IP-címe alapján megindítottnak tekinthető. Az internethasználó ugyanakkor földrajzi helyzetétől függetlenül elvégezheti a keresést a keresőmotor más doménnevein is. Egyébként, noha a találatok eltérőek lehetnek attól a doménnévtől függően, ahonnan a keresőmotorral a keresést végezték, nem vitatott, hogy a keresés eredményeként megjelenített linkek közös adatbázisokból származnak, és közös indexációs munka eredményei.

37 A Conseil d'État (államtanács) úgy véli, hogy figyelemmel egyrészt arra, hogy a Google keresőmotorjának valamennyi doménneve elérhető Franciaország területéről, másrészt pedig arra, hogy léteznek átjárók e különböző doménnevek között, amint azt többek között az automatikus átirányítás, illetve az is bizonyítja, hogy a keresőmotor más kiterjesztésein is jelen vannak a cookie-k, mint amelyen azokat eredetileg elhelyezték, úgy kell tekinteni, hogy e keresőmotor, amely vonatkozásában egyetlen bejelentés érkezett a CNIL-hez, az 1978. január 6-i törvény alkalmazásában egységes személyesadat-kezelést valósít meg. Ebből következik, hogy a Google által működtetett keresőmotor által megvalósított személyesadat-kezelésre a Google egyik, Franciaország területén letelepedett létesítménye, a Google France keretében kerül sor, és ennek alapján az az 1978. január 6-i törvény hatálya alá tartozik.

38 A Google a Conseil d'État (államtanács) előtt előadja, hogy a vitatott szankció az 1978. január 6-i törvény azon rendelkezéseinek téves értelmezésén alapul, amelyek a 95/46 irányelv 12. cikkének b) pontját és 14. cikke első bekezdésének a) pontját, vagyis azon rendelkezéseket ültetik át, amelyek alapján a 2014. május 13-i Google Spain és Google ítéletben (C-131/12, EU:C:2014:317) a Bíróság elismerte a "linkek közüli törléshez való jog" fennállását. A Google előadja, hogy e jog nem követeli meg szükségképpen azt, hogy a vitatott linkeket földrajzi korlátozás nélkül, keresőmotorja valamennyi doménnevéről törölni kell. A Google szerint ezenkívül az ilyen értelmezés elfogadásával a CNIL figyelmen kívül hagyta a nemzetközi közjog által elismert udvariasság és be nem avatkozás elvét, továbbá aránytalanul megsértette a többek között a Charta 11. cikke által garantált véleménynyilvánítás és tájékozódás szabadságát, a kommunikációs szabadságot és a sajtószabadságot.

39 A Conseil d'État (államtanács, Franciaország), miután megállapította, hogy ez az érvelés több jelentős nehézséget vet fel a 95/46 irányelv értelmezésével kapcsolatban, úgy határozott, hogy az eljárást felfüggeszti, és előzetes döntéshozatal céljából a következő kérdéseket terjeszti a Bíróság elé:

"1) [A Bíróság] által [a 95/46] irányelv 12. cikke b) pontjának, valamint 14. cikke [első bekezdése] a) pontjának rendelkezései alapján a 2014. május 13-i [Google Spain és Google ítéletében (C-131/12, EU:C:2014:317)] megállapított »linkek közüli törléshez való jogot« úgy kell-e értelmezni, hogy a keresőmotor üzemeltetőj[ének], amikor eleget tesz a linkek közüli törlésre irányuló kérelemnek, akkor e törlést keresőmotorja valamennyi doménnevén el kell végeznie, oly módon, hogy a vitatott linkek ne jelenjenek meg, függetlenül attól, hogy honnan végezték a kérelmező neve kapcsán kezdeményezett keresést, beleértve azt is, ha ez [a 95/46] irányelv területi hatályán kívül eső hely?

2) Az ezen első kérdésre adandó nemleges válasz esetén [a Bíróság] fent hivatkozott ítéletében szereplő »linkek közüli törléshez való jogot« úgy kell-e értelmezni, hogy amikor eleget tesz a linkek közüli törlésre irányuló kérelemnek, a keresőmotor üzemeltetője az azon államnak megfelelő doménnéven köteles a kérelmező neve alapján végzett keresés eredményeként megjelenített találatok közül törölni a vitatott linkeket, amelyből a kérelem benyújtottnak tekintendő, vagy szélesebb körben, a keresőmotor azon doménnevein, amelyek megfelelnek e keresőmotor [...] valamennyi tagállam[...]ra vonatkozó földrajzi kiterjesztéseinek?

3) Ezenkívül, a [második kérdésben] hivatkozott kötelezettség kiegészítéseként, [a Bíróság] fent hivatkozott ítéletében szereplő »linkek közüli törléshez való jogot« úgy kell-e értelmezni, hogy amikor eleget tesz a linkek közüli törlésre irányuló kérelemnek, a keresőmotor üzemeltetője köteles a »területi alapú tartalomkorlátozás« elnevezésű technológia segítségével megakadályozni, hogy a »törléshez való jog« jogosultjának lakóhelye szerinti államban találhatónak minősített IP-címről hozzáférjenek a jogosult neve alapján végzett keresés eredményeként előálló találatok között megjelenő vitatott linkekhez, vagy pedig általánosabban úgy, hogy ezt [a 95/46] irányelv hatálya alá tartozó valamelyik tagállamban találhatónak minősített IP-cím vonatkozásában kell biztosítani, függetlenül a keresést végző internetfelhasználó által igénybe vett doménnévtől?"

Az előzetes döntéshozatalra előterjesztett kérdésekről

40 Az alapügy tárgya a Google és a CNIL között abban a kérdésben folyamatban lévő jogvita, hogy a keresőmotor működtetőjének - amennyiben megállapítja, hogy az érintett jogosult arra, hogy a neve alapján végzett keresés eredményeként megjelenített találati listáról töröljék a személyes adatokat tartalmazó weboldalakra mutató linket vagy linkeket - miként kell alkalmaznia a linkek közüli törléshez való e jogot. Bár az előzetes döntéshozatal iránti kérelem benyújtásának időpontjában a 95/46 irányelv volt alkalmazandó, ezen irányelv 2018. május 25-i hatállyal hatályát vesztette, amely időponttól a 2016/679 rendelet alkalmazandó.

41 A Bíróság az előterjesztett kérdéseket mind ezen irányelv, mind e rendelet szempontjából megvizsgálja annak érdekében, hogy a válaszai mindenképpen hasznosak legyenek a kérdést előterjesztő bíróság számára.

42 A Bíróság előtti eljárás során a Google előadta, hogy az előzetes döntéshozatal iránti kérelem előterjesztését követően létrehozta a keresőmotorja nemzeti változatainak új megjelenését, amelynek keretében már nem az internethasználó által bevitt doménnév határozza meg a keresőmotor azon nemzeti változatát, amelyhez az internethasználó hozzáfér. Így az internethasználót ezentúl automatikusan a Google keresőmotorjának a feltételezett keresési hely szerinti nemzeti változatára irányítják át, e keresés eredményeit pedig ezen - a Google által egy földrajzi helymeghatározási eljárás útján megállapított - hely függvényében jelenítik meg.

43 E körülmények között az együttesen vizsgálandó kérdéseket úgy kell érteni, hogy azok lényegében azon kérdés eldöntésére irányulnak, hogy a 95/46 irányelv 12. cikkének b) pontját és 14. cikke első bekezdésének a) pontját, valamint a 2016/679 rendelet 17. cikkének (1) bekezdését úgy kell-e értelmezni, hogy a keresőmotor működtetője a link törlése iránti kérelem e rendelkezések alapján történő teljesítésekor e törlést a keresőmotorjának valamennyi változatán köteles elvégezni, vagy ellenkezőleg, azt csupán a keresőmotor tagállamok szerinti változataira, vagy akár kizárólag a törlés iránti kérelem benyújtásának helye szerinti tagállam szerinti változatára köteles alkalmazni, adott esetben a "területi alapú tartalomkorlátozás" néven ismert technika alkalmazásával együttesen, annak érdekében, hogy az internethasználó a keresőmotor általa használt nemzeti változatától függetlenül ne férhessen hozzá a törléssel érintett linkekhez, amikor olyan IP-címről végez keresést, amely feltételezhetően a törlésre jogosult személy lakóhelye szerinti tagállamban vagy tágabban valamely tagállamban található.

44 Mindenekelőtt emlékeztetni kell arra, hogy a Bíróság kimondta, hogy a 95/46 irányelv 12. cikkének b) pontját és 14. cikke első bekezdésének a) pontját úgy kell értelmezni, hogy az e rendelkezésekben foglalt jogok tiszteletben tartása érdekében, és annyiban, amennyiben az ott előírt feltételek ténylegesen teljesülnek, a keresőmotor működtetője köteles arra, hogy a személy nevére való keresés nyomán megjelenő találati listáról törölje a harmadik fél által közétett és e személlyel kapcsolatos információkat tartalmazó weboldalakra mutató linkeket, abban az esetben is, ha ezt a nevet vagy az ilyen információkat korábban vagy egyidejűleg nem törölték ezekről a weboldalakról, mégpedig adott esetben akkor is, ha az említett oldalakon történő közzététel önmagában jogszerű (2014. május 13-i Google Spain és Google ítélet, C-131/12, EU:C:2014:317, 88. pont).

45 A Bíróság ezenfelül kifejtette, hogy ugyanezen rendelkezések alkalmazási feltételeinek értékelése körében többek között azt kell megvizsgálni, hogy van-e joga az érintettnek ahhoz, hogy a személyével kapcsolatos szóban forgó információt a neve alapján indított keresés nyomán megjelenő találati lista segítségével aktuálisan már ne lehessen a nevével összekapcsolni, anélkül azonban, hogy e jog megállapításának feltétele lenne, hogy a kérdéses információ találati listára való felvétele az érintettnek kárt okoz. Mivel a Charta 7. és 8. cikkében foglalt alapvető jogaira tekintettel az érintett kérheti, hogy a kérdéses információt többé ne tegyék egy ilyen találati lista segítségével hozzáférhetővé a nagy nyilvánosság számára, e jogok főszabály szerint nemcsak a keresőmotor működtetőjének gazdasági érdekét előzik meg, hanem a nyilvánosság ahhoz fűződő érdekét is, hogy az e személy nevére vonatkozó keresés során meg lehessen találni az említett információt. Nem ez a helyzet ugyanakkor abban az esetben, ha valamilyen sajátos okból kifolyólag, például a közéletben játszott szerepe folytán az érintett alapvető jogaiba való beavatkozást igazolja az említett nyilvánosság ahhoz fűződő nyomós érdeke, hogy a kérdéses információhoz hozzá lehessen férni azáltal, hogy az szerepel a találati listán (2014. május 13-i Google Spain és Google ítélet, C-131/12, EU:C:2014:317, 99. pont).

46 A 2016/679 rendeleten belül az érintett törléshez való e joga ezentúl e rendelet 17. cikkén alapul, amely kifejezetten szabályozza a "törléshez való jogot", vagy más néven "az elfeledtetéshez való jogot", amint az e cikk címében szerepel.

47 A 2016/679 rendelet 17. cikkének (1) bekezdése alapján az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az e rendelkezésben felsorolt indokok valamelyike fennáll. E rendelet 17. cikkének (3) bekezdése pontosítja, hogy az említett 17. cikk (1) bekezdése nem alkalmazandó, amennyiben a szóban forgó adatkezelés az e (3) bekezdésben felsorolt okok valamelyike miatt szükséges. Ezen okok között szerepel többek között az említett rendelet 17. cikke (3) bekezdésének a) pontjában az internethasználók tájékozódáshoz való jogának gyakorlása.

48 A 95/46 irányelv 4. cikke (1) bekezdésének a) pontjából és a 2016/679 rendelet 3. cikkének (1) bekezdéséből az következik, hogy ezen irányelv és e rendelet egyaránt lehetővé teszi az érintettek számára a linkek közüli törléshez való joguk gyakorlását az e személyekre vonatkozó személyes adatok olyan kezelése tekintetében, amelyet az Unió területén egy vagy több tevékenységi hellyel rendelkező adatkezelő végez a tevékenységi helyein folytatott tevékenységekkel összefüggésben, függetlenül attól, hogy ezen adatkezelésre az Unióban kerül-e sor, vagy sem.

49 E tekintetben a Bíróság kimondta, hogy a személyes adatok kezelését a tagállam területén az adatkezelő egy szervezete tevékenységeinek keretében végzik, ha a keresőmotor működtetője az egyik tagállamban olyan irodát nyit vagy leányvállalatot hoz létre a keresőmotor által kínált reklámhelyek értékesítésére és reklámozására, amelynek tevékenysége e tagállam lakosai felé irányul (2014. május 13-i Google Spain és Google ítélet, C-131/12, EU:C:2014:317, 60. pont).

50 Ilyen körülmények között ugyanis a keresőmotor működtetőjének, illetve az Unióban található szervezetének tevékenységei elválaszthatatlanul összekapcsolódnak, mivel a reklámhelyekkel kapcsolatos tevékenységek jelentik azt az eszközt, amelyek a szóban forgó keresőmotort nyereségessé teszik, és ugyanakkor ez a keresőmotor teszi lehetővé e tevékenységek végzését, mivel a találatok megjelenítése mellett ugyanezen az oldalon a keresőszavakhoz kapcsolódó reklámok is megjelennek (lásd ebben az értelemben: 2014. május 13-i Google Spain és Google ítélet, C-131/12, EU:C:2014:317, 56. és 57. pont).

51 E körülmények között az, hogy e keresőmotort valamely harmadik állam vállalkozása működteti, nem járhat azzal a következménnyel, hogy a személyes adatoknak az említett keresőmotor működtetője általi kezelését, amelyre ezen adatkezelő valamely tagállam területén található tevékenységi helyének reklám- és kereskedelmi tevékenysége keretében kerül sor, kivonják a 95/46 irányelvben és a 2016/679 rendeletben előírt kötelezettségek és garanciák hatálya alól (lásd ebben az értelemben: 2014. május 13-i Google Spain és Google ítélet, C-131/12, EU:C:2014:317, 58. pont).

52 A jelen ügyben az előzetes döntéshozatalra utaló határozatban foglalt információkból egyrészt kitűnik, hogy a Google Franciaország területén működő szervezete többek között kereskedelmi és reklámtevékenységeket folytat, amelyek elválaszthatatlanul kapcsolódnak az érintett keresőmotor működtetéséhez szükséges személyesadat-kezeléshez, másrészt pedig, hogy e keresőmotort - figyelembe véve többek között a különböző nemzeti változatok közötti átjárhatóságot - úgy kell tekinteni, hogy az egységes személyesadat-kezelést valósít meg. A kérdést előterjesztő bíróság szerint e körülmények között az említett adatkezelésre a Google Franciaország területén található tevékenységi helyén kerül sor. Kitűnik tehát, hogy az ilyen helyzet a 95/46 irányelv és a 2016/679 rendelet területi hatálya alá tartozik.

53 Az előterjesztő bíróság kérdései annak meghatározására irányulnak, hogy ilyen helyzetben meddig terjed a link törlésének területi hatálya.

54 E tekintetben a 95/46 irányelv (10) preambulumbekezdéséből és az EUMSZ 16. cikk alapján elfogadott 2016/679 rendelet (10), (11) és (13) preambulumbekezdéséből kitűnik, hogy ezen irányelv és e rendelet célja a személyes adatok magas szintű védelmének biztosítása az Unió egész területén.

55 Kétségtelen, hogy a linknek a keresőmotor valamennyi változatára kiterjedő törlése alkalmas e cél maradéktalan megvalósítására.

56 Az internet ugyanis az egész világot lefedő, határok nélküli hálózat, és a keresőmotorok a természetes személyek neve alapján végzett keresés eredményeként megjelenített találati listán szereplő információknak és linkeknek mindenütt jelenvaló jelleget kölcsönöznek (lásd ebben az értelemben: 2014. május 13-i Google Spain és Google ítélet, C-131/12, EU:C:2014:317, 80. pont; 2017. október 17-i Bolagsupplysningen és Ilsjan ítélet, C-194/16, EU:C:2017:766, 48. pont).

57 A globalizált világban tehát az, hogy az internethasználók - különösen az Unión kívüli internethasználók - hozzáférnek az olyan személyekre vonatkozó információkra mutató linkekhez, akik érdekeltségeinek központja az Unióban található, az Unión belül is közvetlen és jelentős hatásokat gyakorolhat e személyekre.

58 E megfontolások alkalmasak az uniós jogalkotó azon hatáskörének igazolására, hogy a keresőmotor működtetőjével szemben előírja azt a kötelezettséget, hogy az ilyen személy törlés iránti kérelmének teljesítésekor e törlést a keresőmotorjának valamennyi változatán elvégezze.

59 Mindemellett hangsúlyozni kell, hogy számos harmadik állam nem ismeri a linkek közüli törléshez való jogot, illetve eltérő megközelítést alkalmaz e joggal kapcsolatban.

60 Egyébiránt a személyes adatok védelméhez való jog nem abszolút jog, hanem a társadalomban betöltött szerepének függvényében kell figyelembe venni, egyúttal az arányosság elvével összhangban biztosítva, hogy egyensúlyban legyen más alapvető jogokkal (lásd ebben az értelemben: 2010. november 9-i Volker und Markus Schecke és Eifert ítélet, C-92/09 és C-93/09, EU:C:2010:662, 48. pont; 2017. július 26-i 1/15 [EU-Kanada PNR-megállapodás] vélemény, EU:C:2017:592, 136. pont). Ehhez hozzá kell tenni, hogy egyrészt a magánélet tiszteletben tartásához és a személyes adatok védelméhez való jognak, másrészt az internethasználók tájékozódási szabadságának egymással szembeni mérlegelése a világ különböző részein jelentősen eltérhet.

61 Márpedig, jóllehet az uniós jogalkotó a 2016/679 rendelet 17. cikke (3) bekezdésének a) pontjában az Unió tekintetében elvégezte e jog és e szabadság egymással szembeni mérlegelését (lásd ebben az értelemben: a mai napon hozott GC és társai ítélet [Különleges adatok találati listáról való törlése], C-136/17, 59. pont), meg kell állapítani, hogy ezzel szemben mind ez idáig nem végezte el ezt a mérlegelést a találati listáról való törlés Unión kívüli hatályára vonatkozóan.

62 Konkrétabban, a 95/46 irányelv 12. cikke b) pontjának és 14. cikke első bekezdése a) pontjának, illetve a 2016/679 rendelet 17. cikkének szövegéből egyáltalán nem tűnik ki, hogy az uniós jogalkotó a jelen ítélet 54. pontjában említett célkitűzés elérésének biztosítása érdekében úgy döntött volna, hogy az e rendelkezésekben biztosított jogokat a tagállamok területén túlnyúló hatállyal ruházza fel, vagy hogy az ezen irányelv vagy az e rendelet hatálya alá tartozó gazdasági szereplőkkel szemben - mint a Google - a linkek törlésére vonatkozó olyan kötelezettséget kívánt volna előírni, amelyet e gazdasági szereplő a keresőmotorjának azon nemzeti változatain is köteles elvégezni, amelyek nem a tagállamoknak felelnek meg.

63 Egyébiránt, míg a 2016/679 rendelet az 56. és a 60-66. cikkében biztosítja a tagállamok felügyelő hatóságai számára azokat az eszközöket és mechanizmusokat, amelyek adott esetben lehetővé teszik az olyan közös döntéshozatal érdekében folytatott együttműködést, amely az érintett személy magánéletének tiszteletben tartásához és a rá vonatkozó személyes adatok védelméhez való joga, illetve a különböző tagállamok információkhoz való hozzáféréshez fűződő közérdeke egymással szembeni mérlegelésén alapul, meg kell állapítani, hogy a jelenleg hatályos uniós jog nem rendelkezik ilyen eszközökről és együttműködési mechanizmusokról a link törlésének Unión kívüli hatálya tekintetében.

64 Ebből következik, hogy a jelenleg hatályos uniós jog nem ír elő olyan kötelezettséget a keresőmotor működtetőjével szemben, hogy - adott esetben a valamely tagállam felügyelő hatósága vagy bírósága által hozzá intézett felszólítást követően - az érintett személy által a link törlése iránt benyújtott kérelem teljesítésekor e törlést a keresőmotorjának valamennyi változatán elvégezze.

65 E megfontolások összességére tekintettel a keresőmotor működtetője a 95/46 irányelv 12. cikkének b) pontja és 14. cikke első bekezdésének a) pontja, valamint a 2016/679 rendelet 17. cikkének (1) bekezdése értelmében nem köteles arra, hogy a link törlését a keresőmotorjának valamennyi változata tekintetében elvégezze.

66 Ami azt a kérdést illeti, hogy az ilyen törlést a keresőmotor tagállamoknak megfelelő változatain kell-e elvégezni, vagy e keresőmotornak csupán a törlést kérő személy lakóhelye szerinti tagállamnak megfelelő változatán, abból, hogy az uniós jogalkotó már úgy döntött, hogy egy valamennyi tagállamban közvetlenül alkalmazandó rendelet útján határozza meg az adatvédelemre vonatkozó szabályokat, annak érdekében - amint azt a 2016/679 rendelet (10) preambulumbekezdése is hangsúlyozza -, hogy az Unió egészében biztosítsa a személyes adatok következetes és magas szintű védelmét, valamint elhárítsa az ilyen adatok Unión belüli áramlása előtti akadályokat, az következik, hogy a szóban forgó törlést főszabály szerint valamennyi tagállam tekintetében el kell végezni.

67 Meg kell azonban állapítani, hogy a nyilvánosság információkhoz való hozzáféréshez fűződő érdeke még az Unión belül is tagállamonként eltérhet, és így az említett érdek, illetve az érintett személy magánéletének tiszteletben tartásához és személyes adatainak védelméhez való joga egymással szembeni mérlegelése nem feltétlenül egyezik meg valamennyi tagállamban, annál is kevésbé, hogy a 95/46 irányelv 9. cikke és a 2016/679 rendelet 85. cikke értelmében a tagállamok feladata, hogy - többek között a kizárólag újságírási célból, illetve művészi vagy irodalmi kifejezés céljából végzett adatkezelés tekintetében - olyan kivételeket és eltéréseket írjanak elő, amelyek szükségesek e jogoknak többek között a tájékozódáshoz való joggal történő összeegyeztetéséhez.

68 Többek között a 2016/679 rendelet 56. és 60. cikkéből az következik, hogy a személyes adatok e rendelet 4. cikkének 23. pontja értelmében vett, határokon átnyúló kezelése tekintetében - ezen 56. cikk (2) bekezdésének sérelme nélkül - a különböző nemzeti felügyeleti hatóságoknak - az e rendelkezésekben előírt eljárás szerint - együtt kell működniük annak érdekében, hogy konszenzusra jussanak, és az összes ilyen hatóságra kötelező egységes döntést hozzanak, amelyet az adatkezelőnek az Unió területén található valamennyi tevékenységi helyén végzett adatkezelési tevékenység tekintetében tiszteletben kell tartania. Egyébiránt a 2016/679 rendelet 61. cikkének (1) bekezdése a felügyelő hatóságokat többek között arra kötelezi, hogy e rendelet egységes végrehajtása és alkalmazása érdekében osszák meg egymással a releváns információkat, és kölcsönösen nyújtsanak segítséget egymásnak, míg az említett rendelet 63. cikke kifejti, hogy éppen e cél érdekében hozták létre az ugyanezen rendelet 64. és 65. cikkében szereplő egységességi mechanizmust. Végül a 2016/679 rendelet 66. cikkében szereplő sürgősségi eljárás lehetővé teszi, hogy ha az érintett felügyeleti hatóság rendkívüli körülmények fennállása esetén úgy véli, hogy az érintettek jogainak és szabadságainak védelme érdekében sürgős fellépésre van szükség, akkor haladéktalanul legfeljebb három hónapra szóló meghatározott érvényességi idejű ideiglenes intézkedéseket fogadhat el abból a célból, hogy saját tagállama területén joghatást váltson ki.

69 E szabályozási keret ily módon biztosítja a nemzeti felügyeleti hatóságok számára az ahhoz szükséges eszközöket és mechanizmusokat, hogy az érintett személy magánéletének tiszteletben tartásához és személyes adatainak védelméhez fűződő jogait összeegyeztessék a tagállamok teljes nyilvánosságának a szóban forgó információkhoz való hozzáféréshez fűződő érdekével, és következésképpen hogy adott esetben a link törlésére vonatkozó olyan döntést fogadjanak el, amely az e személy neve alapján az Unió területéről végzett keresések összességére kiterjed.

70 Ezenfelül a keresőmotor működtetőjének feladata, hogy szükség esetén megtegye az érintett személy alapvető jogainak tényleges védelmét biztosító, kellően hatékony intézkedéseket. Ezeknek az intézkedéseknek meg kell felelniük valamennyi jogszabályi előírásnak, és azt a hatást kell elérniük, hogy megakadályozzák a tagállamok internethasználóit abban, vagy legalábbis határozottan eltántorítsák őket attól, hogy az e személy neve alapján végzett keresés eredményeként hozzáférjenek a szóban forgó linkekhez (lásd analógia útján: 2014. március 27-i UPC Telekabel Wien ítélet, C-314/12, EU:C:2014:192, 62. pont; 2016. szeptember 15-i Mc Fadden ítélet, C-484/14, EU:C:2016:689, 96. pont).

71 A kérdést előterjesztő bíróság feladata annak megvizsgálása, hogy a Google által elfogadott vagy javasolt intézkedések - tekintettel a keresőmotorjának a jelen ítélet 42. pontjában kifejtett, közelmúltbeli módosításaira - megfelelnek-e ezeknek a követelményeknek.

72 Végül hangsúlyozni kell, hogy jóllehet - amint arra a jelen ítélet 66. pontja rámutatott - a jelenleg hatályos uniós jog nem teszi kötelezővé a link törlésének a szóban forgó keresőmotor valamennyi változatán történő elvégzését, azt nem is tiltja meg. Következésképpen a tagállami felügyeleti hatóságok és bíróságok továbbra is az alapvető jogok védelmének nemzeti szintjét alkalmazhatják (lásd ebben az értelemben: 2013. február 26-i Åkerberg Fransson ítélet, C-617/10, EU:C:2013:105, 29. pont; 2013. február 26-i Melloni ítélet, C-399/11, EU:C:2013:107, 60. pont), amikor egymással szemben mérlegelik egyrészt az érintett személy magánéletének tiszteletben tartásához és a rá vonatkozó személyes adatok védelméhez való jogát, másrészt a tájékozódás szabadságához való jogot, és e mérlegelés eredményeként adott esetben előírhatják e keresőmotor működtetőjével szemben, hogy a törlést az említett keresőmotor valamennyi változatán végezze el.

73 A fentiek összességére tekintettel a feltett kérdésekre azt a választ kell adni, hogy a 95/46 irányelv 12. cikkének b) pontját és 14. cikke első bekezdésének a) pontját, valamint a 2016/679 rendelet 17. cikkének (1) bekezdését úgy kell értelmezni, hogy a keresőmotor működtetője a link törlése iránti kérelem e rendelkezések alapján történő teljesítésekor e törlést nem köteles a keresőmotorjának valamennyi változatán elvégezni, hanem e törlést a keresőmotor tagállamok szerinti változataira köteles alkalmazni, szükség esetén olyan intézkedésekkel együtt, amelyek megfelelnek valamennyi jogszabályi előírásnak, és amelyek révén ténylegesen megakadályozhatók a tagállamok internethasználói abban, vagy legalábbis határozottan eltántoríthatók attól, hogy az érintett személy neve alapján a tagállamok valamelyikében végzett keresés eredményeként megjelenített találati lista révén hozzáférjenek a kérelem tárgyát képező linkekhez.

A költségekről

74 Mivel ez az eljárás az alapeljárásban részt vevő felek számára a kérdést előterjesztő bíróság előtt folyamatban lévő eljárás egy szakaszát képezi, ez a bíróság dönt a költségekről. Az észrevételeknek a Bíróság elé terjesztésével kapcsolatban felmerült költségek, az említett felek költségeinek kivételével, nem téríthetők meg.

A fenti indokok alapján a Bíróság (nagytanács) a következőképpen határozott:

A személyes adatok feldolgozása [helyesen: kezelése] vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24-i 95/46/EK európai parlamenti és tanácsi irányelv 12. cikkének b) pontját és 14. cikke első bekezdésének a) pontját, valamint a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27-i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) 17. cikkének (1) bekezdését úgy kell értelmezni, hogy a keresőmotor működtetője a link törlése iránti kérelem e rendelkezések alapján történő teljesítésekor e törlést nem köteles a keresőmotorjának valamennyi változatán elvégezni, hanem e törlést a keresőmotor tagállamok szerinti változataira köteles alkalmazni, szükség esetén olyan intézkedésekkel együtt, amelyek megfelelnek valamennyi jogszabályi előírásnak, és amelyek révén ténylegesen megakadályozhatók a tagállamok internethasználói abban, vagy legalábbis határozottan eltántoríthatók attól, hogy az érintett személy neve alapján a tagállamok valamelyikében végzett keresés eredményeként megjelenített találati lista révén hozzáférjenek a kérelem tárgyát képező linkekhez.

Aláírások

* Az eljárás nyelve: francia.