Постановление Европейского Суда Справедливости от 13 мая 2014 г. Дело Компании "Гугл Спейн СЛ" и "Гугл Инк." против Испанского агентства по защите данных (AEPD) и Марио Костехи Гонсалеса" (Google Spain SL and Google Inc. v. Agencia Espanola de Proteccion de Datos (AEPD) and Mario Costeja Gonzalez) (Дело N С-131/12CJEU) (Большая Палата)

Европейский Суд Справедливости
(Большая Палата)

Дело Компании "Гугл Спейн СЛ" и "Гугл Инк." против Испанского агентства по защите данных (AEPD) и Марио Костехи Гонсалеса"
(Google Spain SL and Google Inc. v. Agencia Espanola de Proteccion de Datos (AEPD) and Mario Costeja Gonzalez)
(Дело N С-131/12CJEU)

Постановление Суда

г. Люксембург, 13 мая 2014 г.

По делу N С-131/12CJEU,

[получен] запрос о вынесении предварительного постановления в соответствии со статьей 267 Договора о функционировании Европейского союза (TFEU) от суда государства (Испания), оформленный постановлением от 27 февраля 2012 г., полученным Европейским Судом Справедливости (далее - Европейский Суд) 9 марта 2012 г. в ходе производства по делу "Компании "Гугл Спейн СЛ" и "Гугл Инк." против Испанского агентства по защите данных (Agencia Espanola de Proteccion de Datos (AEPD)) и Марио Костехи Гонсалеса",

Большая Палата Европейского Суда, заседая в составе:

Василиоса Скуриса, Председателя Суда,

Коэна Ленартса, заместителя Председателя Суда,

Марко Илежича, судьи-докладчика,

Ларса Бэя Ларсена,

Томаса фон Данвица,

Марека Сафьяна, председателей Палат,

Йиржи Маленовского,

Эжильса Левица,

Айндриаса О'Коива,

Александра Арабаджиева,

Марии Бергер,

Александры Прешаль,

Эгидиюса Ярашуниуса, судей,

Ниило Яаскинена, Генерального адвоката,

М. Феррейра, секретаря-канцлера,

принимая во внимание письменную процедуру и в дополнение к слушаниям 26 февраля 2013 г.,

рассмотрев замечания, представленные от имен:

- Компании "Гугл Спейн СЛ" и "Гугл Инк." - Ф. Гонсалесом Диасом (F. Gonzalez Diaz), Х. Баньо Фос (J. Bano Fos) и Б. Холлесом (B. Holles), юристами;

- Марио Костехи Гонсалеса - Х. Муньосом Родригесом (J. Munoz Rodriguez), юристом;

- властей Испании - А. Рубио Гонсалесом (A. Rubio Gonzalez), действующим в качестве Уполномоченного;

- властей Греции - Э.-М. Мамуна (E.-M. Mamouna) и К. Босковицем (K. Boskovits), действующими в качестве Уполномоченных;

- властей Италии - Дж. Палмиери (G. Palmieri), действующим в качестве Уполномоченного, и П. Жентили (P. Gentili), государственным адвокатом;

- властей Австрии - Г. Куннертом (G. Kunnert) и К. Песендорфером (C. Pesendorfer), действующими в качестве Уполномоченных;

- властей Польши - Б. Майчина (B. Majczyna) и М. Шпунаром (M. Szpunar), действующими в качестве Уполномоченных;

- Европейской Комиссии - И. Мартинесом дель Пераль (I. Martinez del Peral) и Б. Мартенчуком (B. Martenczuk), действующими в качестве Уполномоченных,

выслушав мнение Генерального адвоката на заседании от 25 июня 2013 г.,

вынес следующее Постановление:

1. Запрос о предварительном постановлении касается толкования пунктов "b" и "d" статьи 2, подпунктов "a" и "с" пункта 1 статьи 4, пункта "b" статьи 12 и подпункта "а" пункта 1 статьи 14 Директивы 95/46/ЕС Европейского парламента и Совета Европейского союза от 24 октября 1995 г. "О защите прав частных лиц применительно к обработке персональных данных и о свободном движении таких данных" (OJ 1995 L 281, стр. 31) (далее - Директива 95/46) и статьи 8 Хартии Европейского союза об основных правах от 7 декабря 2000 г. (далее - Хартия).

2. Запрос был подан в ходе производства по делу между компаниями "Гугл Спейн СЛ" (Google Spain SL) и "Гугл Инк." (Google Inc.), с одной стороны, и Испанским агентством по защите данных (AEPD) и Марио Костехой Гонсалесом, с другой стороны, относительно решения Испанского агентства по защите данных об удовлетворении жалобы Марио Костехи Гонсалеса против компаний "Гугл Спейн СЛ" и "Гугл Инк." и о возложении на указанные компании обязательства принять меры, необходимые для удаления личных данных Марии Костехи Гонсалеса из результатов поисков интернет-поисковой системы и для предотвращения доступа к этим данным в будущем.

Право

Право Европейского союза

3. Директива 95/46, которая согласно своей статье 1 имеет целью защиту фундаментальных прав и свобод физических лиц и, в частности, их права на неприкосновенность частной жизни применительно к обработке персональных данных, закрепляет в пунктах 2, 10, 18-20 и 25 преамбулы следующее:

"...(2) ...системы обработки данных созданы в интересах человека... они должны, вне зависимости от гражданства или места жительства физических лиц, уважать их фундаментальные права и свободы, в особенности право на частную жизнь, и способствовать... благосостоянию граждан...

(10) ...предметом внутригосударственного законодательства по обработке персональных данных является защита фундаментальных прав и свобод - в особенности права на личную жизнь, каковое признается как статьей 8 Европейской конвенции о защите прав человека и фундаментальных* (* Так в официальном тексте перевода Директивы (примеч. редактора).) свобод [подписанной в г. Риме 4 ноября 1950 г.], так и общими принципами законодательства Сообщества; принимая во внимание, что с этой целью сближение таких законов не должно вызвать какого-либо уменьшения предоставляемой ими степени защиты, но, напротив, должно стремиться обеспечить высокий уровень защиты в Сообществе...

(18) ...для обеспечения того, чтобы частные лица не были лишены защиты, на которую они имеют право на основании настоящей Директивы, любая обработка персональных данных в Сообществе должна осуществляться в соответствии с законодательством одного из государств-участников... в этой связи обработка, проводимая под ответственность контролера, учрежденного в одном из государств-участников, регулируется законодательством этого государства...

(19) ...учреждение на территории государства-участника предполагает фактическое и реальное осуществление деятельности на стабильной договорной основе... правовая форма такого учреждения, будь то просто филиал или дочерняя организация с правом юридического лица, не является определяющим фактором в данном отношении... когда единый контролер учреждается на территории нескольких государств-участников, в частности, посредством дочерних организаций, он в целях избежания любого обхода внутригосударственных правил должен обеспечить, чтобы каждое из учреждений выполняло обязательства, налагаемые внутригосударственным законодательством, применимым к его деятельности...

(20) ...факт производства обработки данных лицом, учрежденным в третьей стране, не препятствует защите частных лиц, предусмотренной настоящей Директивой... в таких случаях обработка должна регулироваться законом государства-участника, в котором располагаются используемые средства, и что должны быть гарантии обеспечения того, что права и обязательства, установленные настоящей Директивой, соблюдаются на практике...

(25) ...принципы защиты должны быть отражены, с одной стороны, в обязательствах, налагаемых на лиц... ответственных за обработку, в частности, в отношении качества данных, технической безопасности, уведомлений надзорного органа и обстоятельств, при которых может осуществляться обработка и, с другой стороны, в праве, предоставленном частным лицам, данные в отношении которых обрабатываются, быть информированными о том, что обработка имеет место, знакомиться с данными и даже возражать против обработки при определенных обстоятельствах...".

4. Статья 2 Директивы 95/46 закрепляет, что "для целей настоящей Директивы:

"а) "персональные данные" означают любую информацию, связанную с идентифицированным или идентифицируемым физическим лицом ("субъектом данных"); идентифицируемым лицом является лицо, которое может быть идентифицировано прямо или косвенно, в частности, посредством ссылки на идентификационный номер или на один или несколько факторов, специфичных для его физической, психологической, ментальной, экономической, культурной или социальной идентичности;

(b) "обработка персональных данных" ("обработка") означает любую операцию или набор операций, выполняемых над персональными данными, как автоматическими средствами, так и без таковых, такие как сбор, запись, организация, хранение, актуализация или изменение, извлечение, консультирование, использование, раскрытие посредством передачи, распространения или предоставления иного доступа, группировка, блокирование, стирание или разрушение...

(d) "контролер" означает физическое или юридическое лицо, официальный орган, агентство или иной орган, который самостоятельно или совместно с другими определяет цели и средства обработки персональных данных; в случае, когда цели или средства обработки определяются внутригосударственным законодательством или законами, или нормами Сообщества, контролер или особые критерии его назначения могут устанавливаться внутригосударственным законом или законом Сообщества...".

5. Статья 3 Директивы 95/46, озаглавленная "Пределы", закрепляет в пункте 1 следующее:

"Настоящая Директива применяется к обработке персональных данных, полностью или частично автоматическими средствами, и обработке средствами, отличными от автоматических, персональных данных, составляющих часть картотеки или предназначенных составлять часть картотеки".

6. Статья 4 Директивы 95/46, озаглавленная "Применимое внутригосударственное законодательство", устанавливает следующее:

"1. Каждое государство-участник применяет внутригосударственные положения, которые оно принимает на основании настоящей Директивы для обработки персональных данных в случае, если:

(a) обработка осуществляется в контексте деятельности учреждения контролера на территории государства-участника; если тот же контролер учреждается на территории нескольких государств-участников, он должен предпринять необходимые меры в обеспечение того, чтобы каждое из этих учреждений выполняло обязательства, установленные применимым внутригосударственным законодательством;

(b) контролер учрежден не на территории государства-участника, а в месте, где его внутригосударственное законодательство применяется на основании международного публичного права;

(c) контролер учрежден не на территория Сообщества и, в целях обработки персональных данных, использует оборудование, автоматизированное или иное, расположенное на территории указанного государства-участника, если такое оборудование не используется только для целей транзита по территории Сообщества.

2. При обстоятельствах, указанных в подпункте "с" пункта 1, контролер должен назначить представителя, учрежденного на территории такого государства-участника, без ущерба для судебных исков, которые могут быть возбуждены против самого контролера".

7. В разделе I ("Принципы, касающиеся качества данных") главы II Директивы 95/46 содержится статья 6, которая звучит следующим образом:

"1. Государства-участники примут меры, чтобы персональные данные должны:

(а) обрабатываться корректно и законно;

(b) собираться для объявленных, явных и законных целей и в дальнейшем не обрабатываться каким-либо образом, несовместимым с этими целями. Дальнейшая обработка данных для исторических, статистических или научных целей не считается несовместимой с данными принципами при условии, что государства-участники обеспечат соответствующие гарантии;

(c) быть адекватными, относящимися к делу и не избыточными в отношении целей, для которых они собираются и/или в дальнейшем обрабатываются;

(d) быть точными и - если необходимо - актуальными; должны быть предприняты любые обоснованные шаги, чтобы неточные или неполные данные, применительно к целям, для которых они собирались или для которых они впоследствии обрабатывались, удалялись или уточнялись;

(e) храниться в форме, позволяющей идентификацию субъектов данных не долее, чем это необходимо для целей, с которыми данные собирались или впоследствии обрабатывались. Государства-участники устанавливают необходимые гарантии для персональных данных, хранимых более длительные сроки в исторических, статистических или научных целях.

2. Контроль за выполнением пункта 1 является обязанностью контролера".

8. В разделе II ("Критерии для легитимизации обработки данных") главы II Директивы 95/46 содержится статья 7, которая устанавливает следующее:

"Государства-участники обеспечивают, что личные данные будут обрабатываться только в случае, если:

...(e) обработка необходима в целях обеспечения законных интересов контролера или третьей стороны (сторон), которым раскрыты данные, кроме случаев, когда такие интересы перекрываются интересами фундаментальных прав и свобод субъекта данных, защита которых требуется согласно пункту 1 статьи 1".

9. Статья 9 Директивы 95/46 "Обработка персональных данных и свободы выражения" закрепляет, что:

"Государства-участники установят освобождения или исключения из положений настоящей главы, главы IV и главы VI для обработки персональных данных, осуществляемой исключительно в целях журналистики или в целях художественного или литературного творчества, только если они необходимы для применения права на неприкосновенность частной жизни согласованно с правилами, регулирующими свободу слова".

10. Статья 12 Директивы 95/46 "Право доступа" гласит следующее:

"Государства-участники гарантируют право каждого субъекта данных получать от контролера:

...(b) по мере необходимости - уточнение, стирание или блокировку данных, не соответствующих положениям настоящей Директивы, в частности, в связи с неполным или неточным характером данных...".

11. В статье 14 Директивы 95/46 "Право субъекта данных на возражение" установлено следующее:

"Государства-участники предоставят субъекту данных право:

(а) по меньшей мере, в случаях, указанных в пунктах "с" и "f" статьи 7, в любое время высказывать на законном основании возражение против обработки касающихся его данных, кроме случаев, когда внутригосударственным законодательством определено иное. Если возражение является обоснованным, контролер обязан прекратить обработку этих данных...".

12. Статья 28 Директивы 95/46 "Орган надзора" гласит следующее:

"1. Каждое государство-участник назначает один или несколько государственных органов для надзора за соблюдением на своей территории положений, принятых государствами-участниками во исполнение настоящей Директивы. При выполнении возложенных на них обязанностей указанные органы действуют в условиях полной независимости...

3. Каждый орган надзора наделяется, в частности, следующими полномочиями:

- полномочиями для проведения расследований, в том числе правом доступа к данным, являющимся предметом операций по обработке данных, а также правом получения любой информации, необходимой для исполнения его обязанностей по надзору;

- реальными полномочиями для вмешательства в процесс обработки, в том числе ...правом отдавать распоряжения относительно блокирования, стирания или уничтожения данных, налагать временный или постоянный запрет на обработку данных...

Решения органа надзора, повлекшие за собой подачу жалоб, могут быть опротестованы в судебном порядке.

4. Каждый орган надзора обязан рассматривать жалобы, поданные любым лицом или представляющей это лицо ассоциацией касательно защиты его прав и свобод в отношении обработки персональных данных. Заинтересованное лицо должно быть проинформировано о результатах рассмотрения жалобы...

6. Вне зависимости от внутригосударственного закона, применимого к конкретной операции по обработке данных, каждый орган надзора вправе пользоваться на территории его собственного государства-участника полномочиями, возложенными на него в соответствии с пунктом 3. Каждый орган надзора может воспользоваться своими полномочиями по просьбе соответствующего органа другого государства-участника. Органы надзора должны сотрудничать между собой в той степени, в которой это необходимо для исполнения ими своих обязанностей, в частности, путем обмена любой полезной информацией...".

Законодательство Испании

13. Директива 95/46 была включена в законодательство Испании Органическим* (* Категория законов в законодательстве Испании, которые принимаются законодательным органом страны в соответствии с более строгими требованиями, чем обычные законы (примеч. переводчика).) законом от 13 декабря 1999 г. N 15/1999 "О защите персональных данных" (BOE* (* Boletin Oficial del Estado (исп.) - испанская официальная государственная газета (примеч. переводчика).) от 14 декабря 1999 г., N 298, стр. 43008).

Спор в ходе основного производства по делу и вопросы, рассмотренные при вынесении предварительного постановления

14. 5 марта 2010 г. гражданин Испании Марио Костехо Гонсалес подал в Испанское агентство по защите данных (AEPD) жалобу на испанское газетное издательство "Авангард" (La Vanguardia Ediciones SL), которая выпускает ежедневную газету большими тиражами, в частности, в Каталонии (Испания), и на компании "Гугл Спейн СЛ" и "Гугл Инк.". Жалоба была основана на том факте, что, когда пользователь Интернета набирал в поисковой системе компании группы "Гугл" (Google Search) имя Марио Костехи Гонсалеса, он получал ссылки на две страницы газеты "Авангард" от 19 января и 9 марта 1998 г. соответственно, на которых сообщалось о том, что имя Марио Костехи Гонсалеса упоминалось применительно к аукциону недвижимости, связанному с производством о наложении ареста в рамках взыскания долгов по социальному страхованию.

15. В указанной жалобе Костеха Гонсалес просил, во-первых, чтобы газету "Авангард" обязали либо удалить, либо изменить указанные страницы, чтобы личная информация о заявителе более не появлялась бы, или использовать определенные инструменты, доступные в поисковых системах, чтобы защитить указанные данные. Во-вторых, Марио Костеха Гонсалес просил, чтобы компании "Гугл Спейн СЛ" и "Гугл Инк." обязали либо удалить, либо скрыть его личные данные, чтобы они больше не включались в результаты и не появлялись бы в ссылках на газету "Авангард". Марио Костеха Гонсалес утверждал в этом контексте, что процедура ареста в отношении него была урегулировала уже много лет назад и что ссылка на данное производство стала полностью несущественной.

16. Решением от 30 июля 2010 г. Испанское агентство по защите данных отклонило жалобу в части, касавшейся газеты "Авангард", учитывая, что опубликование газетой рассматриваемой информации было обосновано законом, поскольку было осуществлено на основании распоряжения Министерства труда и социального обеспечения и было предназначено для того, чтобы известить об аукционе максимально возможное количество человек с целью обеспечения максимально возможного числа участников аукциона.

17. С другой стороны, жалоба была удовлетворена в части, касавшейся компаний "Гугл Спейн СЛ" и "Гугл Инк.". Испанское агентство по защите данных посчитало в этом отношении, что на операторов поисковых систем распространяется законодательство о защите персональных данных, учитывая, что они осуществляют обработку данных, за которую несут ответственность, и действуют в качестве посредников в информационном обществе. Испанское агентство по защите данных полагало, что оно имело право требовать исключения данных и запрета доступа к определенным данным операторами поисковых систем, когда оно считало, что расположение и распространение данных могут нарушить основополагающее право на защиту персональных данных и, в широком смысле, достоинство человека, и сюда также включается простое желание соответствующего лица не допустить, чтобы рассматриваемые данные стали известны третьим лицам. Испанское агентство по защите данных считало, что указанное обязательство могло быть возложено напрямую на операторов поисковых систем, без необходимости удалять данные или информацию с сайта, где они находятся, включая случаи, когда информация сохраняется на сайте в силу положений закона.

18. Компании "Гугл Спейн СЛ" и "Гугл Инк." подали отдельные жалобы на указанное решение в Национальный высокий суд (Audiencia Nacional), который объединил производства по жалобам.

19. Суд указал в постановлении о передаче дела на рассмотрение, что иски затрагивали вопрос о том, какие обязательства были возложены на операторов поисковых систем в целях защиты персональных данных лиц, которые не хотели, чтобы определенная информация, опубликованная на сайтах третьих сторон и содержащая личные данные указанных лиц, которые позволяют связать с ними упомянутую информацию, находилась бы, была бы проиндексирована и доступна пользователям Интернета бессрочно. Ответ на этот вопрос зависел от способа толкования Директивы 95/46 в контексте указанных технологий, которые появились после ее опубликования.

20. При таких обстоятельствах Национальный высокий суд принял решение приостановить производство по делу и поставить перед Европейским Судом следующие вопросы для предварительного постановления:

1) принимая во внимание территориальное действие Директивы [95/46] и, следовательно, законодательства Испании о защите данных:

(a) следует ли считать, что "учреждение" по смыслу подпункта "а" пункта 1 статьи 4 Директивы 95/46 существует, когда имеют мест одно или более из указанных обстоятельств:

- когда компания, обеспечивающая поисковую систему, учреждает в государстве-участнике офис или дочернее предприятие с целью создания условий для продаж и продажи рекламного пространства в поисковой системе, деятельность которой ориентирована на жителей этого государства,

или

- когда основная компания назначает свое дочернее предприятие, расположенное в государстве-участнике, своим представителем и контролером двух картотек, которые касаются данных о потребителях, которые заключили с этим предприятием договор о рекламном обслуживании,

или

- когда офис или дочернее предприятие, учрежденные в государстве-участнике, направляют в основную компанию, расположенную за пределами Европейского союза, запросы и требования, адресованные им как субъектами данных, так и властями, ответственными за соблюдение закона о защите данных, даже когда такое сотрудничество добровольное?

(b) Должен ли подпункт "с" пункта 1 статьи 4 Директивы 95/46 толковаться как означающий, что существует "использование оборудования... расположенного на территории указанного государства-участника":

- когда поисковая система использует поисковых ботов (краулеров) или роботов для локализации и индексирования информации, содержащейся на интернет-страницах, размещенных на серверах в государстве-участнике,

или

- когда поисковая система использует доменное имя, относящееся к государству-участнику, и организует, чтобы поиск и результаты поиска были бы основаны на языке указанного государства-участника?

(c) Возможно ли считать использование оборудования в терминах подпункта "с" пункта 1 статьи 4 Директивы 95/46 временным хранением информации, проиндексированной интернет-поисковой системой? Если да, то можно ли считать, что этот связующий фактор присутствует, когда предприятие отказывается разглашать место, где оно хранит указанные индексы, ссылаясь на конкуренцию?

(d) Несмотря на ответы на вышеприведенные вопросы и, в частности, в том случае, если Европейский Суд... полагает, что связывающие факторы, упомянутые в статье 4 [Директивы 95/46], не присутствуют, должна ли Директива 95/46... применяться в свете статьи 8 Хартии в государстве-участнике, где расположен центр тяжести конфликта и где возможна наиболее эффективная защита прав... граждан Сообщества?

2) Что касается деятельности поисковых систем как поставщиков содержания применительно к Директиве 95/46...

...(а) применительно к деятельности [поисковой системы "Гугл"] как поставщика содержания, состоящей из размещения информации, публикуемой или включаемой в сеть третьими сторонами, ее автоматического индексирования, временного хранения и, в заключение, ее предоставления пользователям согласно установленному порядку предпочтения, когда эта информация содержит личные данные о третьих сторонах: должна ли такая деятельность толковаться как попадающая под концепцию "обработки... данных", использованную в подпункте "b" статьи 2 Директивы 95/46?

(b) Если ответ на приведенный выше вопрос положительный, то снова применительно к описанной деятельности: должен ли подпункт "d" статьи 2 Директивы 95/46 толковаться как означающий, что предприятие, руководящее поисковой системой "Гугл", должно считаться "контролером" персональных данных, содержащихся на интернет-страницах, которые система индексирует?

(с) Если ответ на приведенный выше вопрос положительный, то может ли [Испанское агентство по защите данных], защищающее права, закрепленные в [пункте "b" статьи 12] и [подпункте "а" пункта 1 статьи 14] Директивы 95/46, прямо обязать [поисковую систему "Гугл" (Google Search)] убрать из индексов информацию, опубликованную третьими сторонами, не обращаясь заранее или одновременно к владельцу интернет-страницы, на которой расположена рассматриваемая информация?

(d) Если ответ на приведенный выше вопрос положительный, то будет ли отменяться обязанность поисковых систем по защите указанных прав, если информация, содержащая персональные данные, законно опубликована третьими сторонами и находится на интернет-странице, из которой она происходит?

3) Что касается предела действия права на стирание и/или права на возражение, применительно к "праву быть забытым" ("derecho al olvido"), задается следующий вопрос: следует ли считать, что права на стирание и блокировку данных, закрепленные пунктом "b" статьи 12 Директивы 95/46, и право возражать, закрепленное [подпунктом "а" пункта 1 статьи 14] Директивы 95/46, позволяют субъекту данных обращаться к поисковым системам, чтобы предотвратить индексирование информации, относящейся к нему лично, опубликованной на интернет-страницах третьих сторон, заявляя о своем желании, чтобы такая информация не была известна пользователям Интернета, если лицо считает, что информация может нанести ему ущерб, или если лицо хочет, чтобы указанная информация была забыта, даже если она законно опубликована третьими сторонами?

Рассмотрение поставленных вопросов

Вопросы 2 "а" и 2 "b" относительно пределов материального действия Директивы 95/46

21. Задавая вопросы 2 "а" и 2 "b", которые уместно рассмотреть первыми, представивший на рассмотрение Европейского Суда настоящее дело внутригосударственный суд по сути, спрашивает, следует ли толковать пункт "b" статьи 2 Директивы 95/46 как означающий, что деятельность поисковой системы как поставщика содержания, которая состоит в поиске информации, опубликованной или размещенной в Интернете третьими сторонами, ее автоматическом индексировании, временном хранении и, в заключение, в предоставлении ее пользователям Интернета согласно особому порядку предпочтения, должна классифицироваться как "обработка персональных данных" по смыслу указанного положения, когда указанная информация содержит персональные данные. Если ответ на указанный вопрос положительный, то представивший на рассмотрение Европейского Суда настоящее дело внутригосударственный суд просит также уточнить, следует ли толковать пункт "d" статьи 2 Директивы 95/46 как означающий, что оператор поисковой системы должен рассматриваться как "контролер" в отношении обработки персональных данных по смыслу указанного положения.

22. По мнению компаний "Гугл Спейн СЛ" и "Гугл Инк.", деятельность поисковых систем не может считаться обработкой данных, размещенных на интернет-страницах третьих сторон, отражающихся в перечне результатов поиска, учитывая, что поисковые системы обрабатывают всю доступную в Интернете информацию, не проводя различий между персональными данными и другой информацией. Кроме того, даже если эта деятельность должна классифицироваться как "обработка данных", оператор поисковой системы не может считаться "контролером" в отношении указанной обработки, поскольку он не знает об этой информации и не осуществляет контроль над данными.

23. С другой стороны, Марио Костеха Гонсалес, власти Испании, Италии, Австрии и Польши и Европейская Комиссия считают, что рассматриваемая деятельность достаточно очевидно включает в себя "обработку данных" по смыслу Директивы 95/46, что отличается от обработки данных владельцами интернет-сайтов и преследует иные цели. Оператор поисковой системы является "контролером" в отношении осуществляемой им обработки данных, поскольку именно оператор определяет цели и способы обработки.

24. По мнению властей Греции, рассматриваемая деятельность является такой "обработкой", но, поскольку поисковые системы являются исключительно посредниками, руководящие ими компании не могут считаться "контролерами", за исключением случаев, когда они хранят данные в "промежуточной памяти" или "вспомогательной памяти" на протяжении срока, превышающего технически необходимый.

25. Пункт "b" статьи 2 Директивы 95/46 определяет "обработку персональных данных" как "любую операцию или набор операций, выполняемых над персональными данными, как автоматическими средствами, так и без таковых, такие как сбор, запись, организация, хранение, актуализация или изменение, извлечение, консультирование, использование, раскрытие посредством передачи, распространения или предоставления иного доступа, группировка, блокирование, стирание или разрушение".

26. Что касается, в частности, Интернета, Европейский Суд уже указывал, что размещение персональных данных на интернет-странице должно рассматриваться как подобная "обработка" по смыслу пункта "b" статьи 2 Директивы 95/46 (см. дело "Линдквист" (Lindqvist), N C-101/01, EU:C:2003:596, § 25).

27. Что касается деятельности, рассматриваемой в настоящем деле, не оспаривается, что данные, обнаруженные, проиндексированные и сохраненные поисковыми системами и предоставленные ими своим пользователям, включают в себя информацию, касающуюся идентифицированных или идентифицируемых физических лиц и, таким образом, являющуюся "персональными данными" по смыслу пункта "а" статьи 2 Директивы 95/46.

28. В связи с этим следует установить, что автоматически, постоянно и систематически исследуя Интернет на предмет поиска опубликованной в нем информации, оператор поисковой системы "собирает" такие данные, которые он впоследствии "находит", "записывает" и "организует" в рамках своих программ индексирования, "хранит" на своих серверах и в зависимости от ситуации, "раскрывает" и "делает доступной" своим пользователям в форме перечня результатов поисковых запросов. Поскольку на указанные действия явно и недвусмысленно указывается в пункте "b" статьи 2 Директивы 95/46, они должны классифицироваться как "обработка" по смыслу указанного положения, несмотря на тот факт, что оператор поисковой системы также выполняет те же действия в отношении других видов информации и не проводит различий между ними и персональными данными.

29. На указанный вывод также не влияет тот факт, что упомянутые данные уже опубликованы в Интернете и не изменяются поисковой системой.

30. Европейский Суд уже постановил, что действия, упомянутые в пункте "b" статьи 2 Директивы 95/46, должны также классифицироваться как такая обработка, когда рассматриваемые действия касаются только материала, который был опубликован в неизменном виде в средствах массовой информации. Европейский Суд отмечал в этом отношении, что общее отступление от применения Директивы 95/46 в подобном деле большей частью лишит Директиву силы воздействия (см. дело "Сатакуннан Марккинапёрсси и Сатамедиа" (Satakunnan Markkinaporssi and Satamedia), N C-73/07, EU:C:2008:727, §§ 48 и 49).

31. Кроме того, из определения, содержащегося в пункте "b" статьи 2 Директивы 95/46, следует, что, хотя изменение персональных данных действительно составляет обработку по смыслу Директивы, иные упомянутые действия, с другой стороны, никаким образом не требуют изменения персональных данных.

32. Что касается вопроса о том, следует ли считать оператора поисковой системы "контролером" в отношении обработки персональных данных, осуществляемой системой в контексте деятельности, подобной как в настоящем деле, следует напомнить, что пункт "d" статьи 2 Директивы 95/46 определяет "контролера" как "физическое или юридическое лицо, официальный орган, агентство или иной орган, который самостоятельно или совместно с другими определяет цели и средства обработки персональных данных".

33. Именно оператор поисковой системы определяет цели и способы указанной деятельности и, таким образом, обработки персональных данных, которую он сам осуществляет в рамках указанной деятельности, и, таким образом, он должен считаться "контролером" в отношении этой обработки в соответствии с пунктом "d" статьи 2 Директивы 95/46.

34. Кроме того, исключение оператора поисковой системы из указанного определения на том основании, что он не осуществляет контроль за персональными данными, опубликованными на интернет-страницах третьих сторон, противоречило бы не только ясно понятному тексту рассматриваемого положения, но и его цели - обеспечение с помощью широкого определения концепции "контролера" эффективной и полной защиты субъектов данных.

35. В этой связи следует отметить, что обработку персональных данных, осуществленную в контексте деятельности поисковой системы, можно отличать от и рассматривать как дополнительную к обработке, осуществляемой владельцами интернет-сайтов, состоящей из загрузки рассматриваемых данных на интернет-страницы.

36. Более того, не оспаривается, что эта деятельность поисковых систем играет решающую роль в общем распространении рассматриваемых данных, поскольку делает их доступными любому пользователю Интернета, осуществляя поиск на основании имени субъекта данных, включая пользователей Интернета, которые иным образом не нашли бы интернет-страницу, на которой опубликованы данные.

37. Аналогичным образом организация и сбор опубликованной в Интернете информации, осуществляемые поисковыми системами с целью облегчения пользователям Интернета доступа к информации, могут, когда пользователи осуществляют поиск на основании имени физического лица, привести к тому, что пользователи получают через перечень результатов поиска структурированный обзор информации, касающейся указанного лица, которую можно найти в Интернете, что позволяет пользователям составить более или менее подробное представление о субъекте данных.

38. В связи с этим в той степени, в которой деятельность поисковой системы может значительно, при дополнительном сравнении с аналогичной деятельностью владельцев интернет-сайтов, влиять на основополагающие право на приватность и право на защиту персональных данных, оператор поисковой системы как лицо, определяющее цели и способы рассматриваемой деятельности, должен обеспечить в рамках своей ответственности полномочий и возможностей, чтобы деятельность отвечала требованиям Директивы 95/46, чтобы установленные ею гарантии могли исполняться полностью и чтобы могла быть в действительности достигнута эффективная и полная защита субъектов данных, в частности, их права на приватность.

39. В заключение тот факт, что владельцы интернет-сайтов имеют возможность сообщать операторам поисковых систем с помощью, в частности, протоколов исключения, таких как "robot.txt", или кодов, таких как "noindex" или "noarchive", о своем намерении полностью или частично исключить определенную информацию, опубликованную на их сайте, из автоматических индексов поисковых систем, не означает, что, если владельцы интернет-сайтов не указывают этого, то оператор поисковой системы освобождается от ответственности по обработке персональных данных, которую он несет в контексте поисковой системы.

40. Этот факт не влияет на ту позицию, что цели и способы указанной обработки данных определяются оператором поисковой системы. Кроме того, даже если бы эта возможность для владельцев интернет-сайтов означала бы, что они определяют способы указанной обработки совместно с оператором, данный вывод не снимал бы ответственности оператора, поскольку пункт "d" статьи 2 Директивы 95/46 ясно закрепляет, что это определение может осуществляться "самостоятельно или совместно с другими".

41. Из вышеизложенных рассуждений следует, что ответ на вопросы 2 "а" и 2 "b" заключается в том, что пункты "b" и "d" статьи 2 Директивы 95/46 должны толковаться как означающие, что, во-первых, деятельность поисковой системы, заключающаяся в поиске информации, опубликованной или размещенной в Интернете третьими сторонами, ее автоматическом индексировании, временном хранении и, в заключение, ее предоставлении пользователям Интернета согласно определенному порядку предпочтения должна классифицироваться как "обработка персональных данных" по смыслу пункта "b" статьи 2 Директивы 95/46, когда эта информация содержит персональные данные, и, во-вторых, что оператор поисковой системы должен считаться "контролером" в отношении указанной обработки по смыслу пункта "d" статьи 2 Директивы 95/46.

Вопросы 1 "а" - 1 "d" относительно территориальной сферы действия Директивы 95/46

42. Вопросами 1 "а" - 1 "d" представивший на рассмотрение Европейского Суда настоящее дело внутригосударственный суд намеревается установить, возможно ли применять внутригосударственное законодательство, касающееся использования Директивы 95/46, в обстоятельствах, аналогичных рассматриваемому делу.

43. В этом отношении представивший на рассмотрение Европейского Суда настоящее дело внутригосударственный суд установил следующее факты:

- поисковая система "Гугл" доступна по всему миру через сайт www.google.com. В многочисленных государствах существуют местные версии сайта, адаптированные к государственным языкам. Версия рассматриваемой поисковой системы в Испании представлена на сайте www.google.es, который зарегистрирован 16 сентября 2003 г. Поисковая система "Гугл" является одной из наиболее часто используемых поисковых систем в Испании;

- поисковая система "Гугл" управляется компанией "Гугл Инк.", которая является материнской компанией группы "Гугл" и находится в Соединенных Штатах Америки;

- поисковая система "Гугл" индексирует интернет-сайты по всему миру, включая сайты, расположенные в Испании. Информация, проиндексированная ее "интернет-краулерами" или роботами, то есть компьютерными программами, используемыми для методичного и автоматического просмотра содержания интернет-страниц, временно хранится на серверах, государство-расположения которых неизвестно, поскольку эта информация хранится в секрете ввиду конкуренции компаний;

- поисковая система "Гугл" не только предоставляет доступ к информации, расположенной на индексированных интернет-сайтах, но извлекает прибыль из этой деятельности и размещает в обмен на оплату рекламу, связанную с темой поискового запроса, для юридических лиц, которые хотят воспользоваться этим инструментом в целях предложения своих товаров или услуг пользователям Интернета;

- группа "Гугл" пользуется своим дочерним предприятием, компанией "Гугл Спейн", для создания условий для продаж рекламного пространства на интернет-сайте www.google.com. Компания "Гугл Спейн", которая была учреждена 3 сентября 2003 г. и является отдельным юридическим лицом, находится в г. Мадриде (Испания). Ее деятельность направлена в основном на юридические лица, расположенные в Испании, и она действует в качестве торгового представителя группы "Гугл" в этом государстве-участнике. Ее целями являются способствование, создание благоприятных условий и осуществление продаж онлайн рекламных продуктов и услуг третьим сторонам и изучение рынка рекламной деятельности;

- компания "Гугл Инк." учредила компанию "Гугл Спейн" в качестве контролера, в Испании двух картотек, зарегистрированных компанией "Гугл Инк." в Испанском агентстве по защите данных, эти картотеки были предназначены для хранения персональных данных покупателей, которые заключили с компанией "Гугл Инк." контракты о предоставлении рекламных услуг.

44. В связи с этим основные вопросы, затронутые представившим на рассмотрение Европейского Суда настоящее дело внутригосударственным судом, касаются понятия "учреждение" по смыслу подпункта "а" пункта 1 статьи 4 Директивы 95/46 и "использование оборудования, расположенного на территории указанного государства-участника" в значении подпункта "с" пункта 1 статьи 4 Директивы 95/46.

Вопрос 1 "а"

45. В вопросе 1 "а" представивший на рассмотрение Европейского Суда настоящее дело внутригосударственный суд спрашивает, может ли подпункт "а" пункта 1 статьи 4 Директивы 95/46 толковаться как означающий, что обработка персональных данных осуществляется в контексте деятельности учреждения контролера на территории государства-участника по смыслу указанного положения, когда выполнены одно или несколько из нижеуказанных условий:

- оператор поисковой системы учреждает в государстве-участнике подразделение или дочернее предприятие, целью которых являются создание условий для продажи и продажа рекламного пространства, предлагаемого этой системой, и которое ориентирует свою деятельность на жителей этого государства-участника,

или

- материнская компания учреждает в государстве-участнике дочернюю компанию в качестве своего представителя и контролера двух специальных картотек, которые касаются данных покупателей, заключивших с указанной компанией договоры о предоставлении рекламных услуг,

или

- подразделение или дочерняя компания, учрежденные в государстве-участнике, направляют в материнскую компанию, расположенную вне Европейского союза, запросы и требования, адресованные ей как субъектами данных, так и властями, отвечающими за соблюдение права на защиту персональных данных, даже когда участие в таком сотрудничестве является добровольным.

46. Что касается первого из трех указанных условий, представивший на рассмотрение Европейского Суда настоящее дело внутригосударственный суд утверждает, что поисковая система "Гугл" управляется компанией "Гугл Инк." и что не было установлено, что компания "Гугл Спейн" осуществляет в Испании деятельность, непосредственно связанную с индексированием или хранением информации или данных, находящихся на интернет-сайтах третьих сторон. Тем не менее согласно представившему на рассмотрение Европейского Суда настоящее дело внутригосударственному суду создание условий для продажи и продажа рекламного пространства, которыми компания "Гугл Спейн" занимается применительно к Испании, составляют основную часть коммерческой деятельности группы "Гугл" и могут рассматриваться как тесно связанные с поисковой системой "Гугл".

47. Марио Костеха Гонсалес, власти Испании, Италии, Австрии и Польши и Комиссия утверждали, что с учетом неразрывной связи между деятельностью поисковой системы, управляемой компанией "Гугл Инк.", и деятельностью компании "Гугл Спейн" последняя указанная компания должна рассматриваться как учреждение компании "Гугл Инк.", а обработка персональных данных осуществляется в контексте деятельности этого учреждения. С другой стороны, согласно утверждениям компаний "Гугл Спейн", "Гугл Инк." и властей Греции подпункт "а" пункта 1 статьи 4 Директивы 95/46 неприменим в случаях действия первого из трех условий, перечисленных внутригосударственным судом.

48. В этом отношении прежде всего следует отметить, что пункт 19 преамбулы к Директиве 95/46 закрепляет, что "учреждение на территории государства-участника предполагает фактическое и реальное осуществление деятельности на стабильной договорной основе" и что "правовая форма такого учреждения, будь то просто филиал или дочерняя организация с правом юридического лица, не является определяющим фактором".

49. Не оспаривается, что компания "Гугл Спейн" фактически и реально осуществляет в Испании деятельность на стабильной основе. Более того, поскольку компания является независимым юридическим лицом, она является дочерним предприятием компании "Гугл Инк." на территории Испании и поэтому "учреждением" по смыслу подпункта "а" пункта 1 статьи 4 Директивы 95/46.

50. Чтобы отвечать критерию, установленному указанным положением, также необходимо, чтобы обработка контролером персональных данных "осуществлялась в контексте деятельности" учреждения контролера на территории государства-участника.

51. Компании "Гугл Спейн" и "Гугл Инк." утверждают, что дело обстоит именно таким образом, поскольку обработка персональных данных, рассматриваемых в настоящем деле, осуществляется исключительно компанией "Гугл Инк.", которая управляет поисковой системой "Гугл" без вмешательства со стороны компании "Гугл Спейн", деятельность последней указанной компании сведена к поддержке рекламной деятельности группы "Гугл", отдельно от предоставления услуг поисковой системы.

52. Тем не менее, как указали власти Испании и, в частности, Комиссия, подпункт "а" пункта 1 статьи 4 Директивы 95/46 не требует осуществления обработки рассматриваемых данных самим соответствующим учреждением, а только требует, чтобы обработка осуществлялась "в контексте деятельности" учреждения.

53. Кроме того, в свете цели Директивы 95/46 по обеспечению эффективной и полной защиты основополагающих прав и свобод физических лиц и, в частности, их права на приватность в отношении обработки персональных данных, указанные слова не могут толковаться ограничительно (см. по аналогии дело "Л'Ореаль и другие" (L'Oreal and Others), N C-324/09, EU:C:2011:474, §§ 62 и 63).

54. В этом контексте следует отметить, что, в частности, из пунктов 18-20 преамбулы к Директиве 95/46 и статьи 4 Директивы 95/46 следует, что законодательство Европейского союза направлено на то, чтобы предотвращать лишение физических лиц защиты, гарантированной Директивой 95/46, и предотвращать нарушение указанной защиты, закрепляя принцип особо широкого территориального действия.

55. В свете указанной цели Директивы 95/46 и текста подпункта "а" пункта 1 статьи 4 Директивы 95/46 следует прийти к выводу, что обработка персональных данных в целях, установленных поисковой системой, такой как "Гугл", которая управляется предприятием, расположенным в третьем государстве, но имеет учреждение в государстве-участнике, осуществляется "в контексте деятельности" этого учреждения, если оно предназначено для того, чтобы создавать условия для продаж и продавать в указанном государстве-участнике рекламное пространство, предлагаемое поисковой системой, что делает предлагаемые указанной поисковой системой услуги прибыльными.

56. При таких условиях деятельность оператора поисковой системы и его учреждений, расположенных в соответствующем государстве-участнике, неразрывно связано, поскольку деятельность, касающаяся рекламного пространства, является способом сделать поисковую систему экономически прибыльной, а поисковая система в то же время является способом осуществления этой деятельности.

57. Как указано в §§ 26-28 настоящего Постановления, само отображение персональных данных на странице результатов поиска является их обработкой. Поскольку отображение результатов поиска сопровождается на той же странице отображением рекламы, связанной с результатами поиска, ясно, что обработка рассматриваемых персональных данных осуществляется в контексте коммерческой и рекламной деятельности учреждения контролера на территории государства-участника, в данном случае на территории Испании.

58. Таким образом, нельзя согласиться с тем, что на обработку персональных данных, осуществляемую в целях управления поисковой системой, не должны распространяться обязанности и гарантии, закрепленные Директивой 95/46, поскольку это нарушит эффективность и эффективную и полную защиту основополагающих прав и свобод физических лиц, которые стремится защитить Директива 95/46 (см. по аналогии дело "Л'Ореаль и другие" (L'Oreal and Others), N C-324/09, EU:C:2011:474, §§ 62 и 63), в частности, их права на приватность в отношении обработки персональных данных, права, которому Директива 95/46 придает особое значение, что подтверждается пунктом 1 статьи 1 Директивы и пунктами 2-10 ее преамбулы (см. в этом отношении объединенные дела "Телерадиокомпания "Австрийское радио" и другие" (Osterreichischer Rundfunk and Others), NN C-465/00, C-138/01 и C-139/01, EU:C:2003:294, § 70, дело "Рийкебёр" (Rijkeboer), N C-553/07, EU:C:2009:293, § 47, и дело "IPI* (* Так в оригинале. Исходя из базы данных Европейского Суда речь может идти о "Профессиональном институте агентов недвижимости" - "Institut professionnel des agents immobiliers (IPI)", Постановление Европейского Суда от 7 ноября 2013 г., дело N С-473/12 (примеч. переводчика).)", N C-473/12 IPI, EU:C:2013:715, § 28, и приведенная правоприменительная практика).

59. Поскольку первого из условий, приведенных представившим на рассмотрение Европейского Суда настоящее дело внутригосударственным судом, самого по себе достаточно, чтобы прийти к выводу, что такое учреждение, как компания "Гугл Спейн", отвечает критерию, установленному подпунктом "а" пункта 1 статьи 4 Директивы 95/46, необходимо рассмотреть остальные два условия.

60. Из вышеизложенного следует, что ответ на вопрос 1 "а" заключается в том, что подпункт "а" пункта 1 статьи 4 Директивы 95/46 следует толковать как означающий, что обработка персональных данных осуществляется в контексте деятельности учреждения контролера на территории государства-участника по смыслу указанного положения, когда оператор поисковой системы учреждает в государстве-участнике подразделение или дочернее предприятие, предназначенное для создания условий для продажи и для торговли рекламным пространством, предлагаемым поисковой системой, и чья деятельность ориентирована на жителей рассматриваемого государства-участника.

Вопросы 1 "b" - 1 "d"

61. Ввиду ответа на вопрос 1 "а" нет необходимости отвечать на вопросы 1 "b" - 1 "d".

Вопросы 2 "с" и 2 "d" относительно степени ответственности оператора поисковой системы согласно Директиве 95/46

62. В вопросах 2 "с" и 2 "d" представивший на рассмотрение Европейского Суда настоящее дело внутригосударственный суд по сути спрашивает, могли ли пункт "b" статьи 12 и подпункт "а" пункта 1 статьи 14 Директивы 95/46 толковаться как означающие, что, чтобы соблюдать права, закрепленные в указанных положениях, оператор поисковой системы обязан исключать из перечня результатов поиска, осуществленного на основании имени лица, ссылки на интернет-страницы, опубликованные третьими сторонами и содержащими информацию об этом лице, также в случаях, когда это имя или информация не удалены заранее или одновременно с указанных интернет-страниц и даже, при определенных обстоятельствах, когда публикация на рассматриваемых страницах является законной.

63. Компании "Гугл Спейн" и "Гугл Инк." утверждают, что в силу принципа пропорциональности любой запрос об исключении информации должен быть адресован владельцу соответствующего интернет-сайта, поскольку именно он несет ответственность за публикацию информации, и он находится в том положении, чтобы оценить законность публикации, и имеет в своем распоряжении самые эффективные и наименее ограничительные меры для того, чтобы сделать информацию недоступной. Кроме того, требовать от оператора поисковой системы исключать опубликованную в Интернете информацию из своих индексов означает проявлять недостаточное внимание к основополагающим правам владельцев интернет-сайтов, других пользователей Интернета и самого оператора.

64. Как полагали власти Австрии, внутригосударственный орган надзора может приказать оператору поисковой системы исключить информацию, опубликованную третьими лицами, из своих картотек, только если рассматриваемые данные заранее были признаны незаконными или неправильными или если субъект данных выдвинул успешное возражение в адрес владельца интернет-сайта, на котором была опубликована рассматриваемая информация.

65. Марио Костеха Гонсалес, власти Италии, Испании и Польши и Комиссия утверждают, что внутригосударственные власти могут прямо приказать оператору поисковой системы исключить из своих индексов и промежуточной памяти информацию, содержащую персональные данные, опубликованные третьими сторонами, и при этом не обязаны заранее или одновременно обращаться к владельцу интернет-страницы, на которой размещена информация. Кроме того, по мнению Марио Костехи Гонсалеса, властей Италии и Испании и Комиссии, тот факт, что информация опубликована законно и все еще находится на оригинальной интернет-странице, не влияет на обязанности оператора согласно Директиве 95/46. С другой стороны, по мнению властей Польши, этот факт освобождает оператора от своих обязательств.

66. Прежде всего следует помнить, что, как следует из статьи 1 и пункта 10 преамбулы к Директиве 95/46, Директива направлена на обеспечение высокого уровня защиты основополагающих прав и свобод физических лиц, в частности, их права на приватность в отношении обработки персональных данных (см. в этом отношении дело "IPI* (* Так в оригинале. Исходя из базы данных Европейского Суда речь может идти о "Профессиональном институте агентов недвижимости" - "Institut professionnel des agents immobiliers (IPI)", Постановление Европейского Суда от 7 ноября 2013 г., дело N С-473/12 (примеч. переводчика).)", N C-473/12 IPI, EU:C:2013:715, § 28).

67. Согласно пункту 25 преамбулы к Директиве 95/46 принципы защиты, установленные Директивой, отражены, с одной стороны, в обязанностях лиц, ответственных за обработку, в частности, применительно к качеству данных, технической безопасности, уведомлению органа надзора и обстоятельствам, при которых обработка может осуществляться, и, с другой стороны, в правах лиц, чьи данные обрабатываются, на информирование об обработке, на доступ к данным, на требование исправлений и даже на возражение против обработки данных при определенных обстоятельствах.

68. Европейский Суд уже постановил, что положения Директивы 95/46, поскольку они регулируют обработку персональных данных, которая может нарушить основополагающие свободы, в частности, право на приватность, обязательно должны толковаться в свете основополагающих прав, которые согласно сложившейся правоприменительной практике формируют неотъемлемую часть общих принципов права, соблюдение которых обеспечивает Европейский Суд и которые теперь закреплены в Хартии (см., в частности, дело "Коннолли против Комиссии" (Connolly v. Commission), N C-274/99 P, EU:C:2001:127, § 37, и "Телерадиокомпания "Австрийское радио" и другие" (Osterreichischer Rundfunk and Others), NN C-465/00, C-138/01 и C-139/01, EU:C:2003:294, § 68).

69. Статья 7 Хартии гарантирует право на уважение частной жизни, в то время как статья 8 Хартии прямо провозглашает право на защиту персональных данных. Пункты 2 и 3 статьи 8 Хартии уточняют, что такие данные должны обрабатываться в четко определенных целях и с согласия заинтересованного лица либо при наличии других правомерных оснований, предусмотренных законом, что каждый имеет право на получение доступа к собранным в отношении него или нее данным и право на устранение ошибок и что соблюдение этих правил подлежит контролю со стороны независимого органа. Данные требования закреплены, среди прочего, в статьях 6, 7, 12, 14 и 28 Директивы 95/46.

70. Пункт "b" статьи 12 Директивы 95/46 закрепляет, что государства-участники должны гарантировать каждому субъекту данных право на получение от контролера, при необходимости, изменения, удаления или блокировки данных, обработка которых не отвечает требованиям положений Директивы 95/46, в частности, из-за неполного характера данных или их неточности. Поскольку последний указанный момент, касающийся случаев несоблюдения положений подпункта "d" пункта 1 статьи 6 Директивы 95/46, приводится в качестве примера и не является исчерпывающим, следовательно, характер обработки данных, который способен наделить субъекта данных правом, гарантированным пунктом "b" статьи 12 Директивы 95/46, может также следовать из несоблюдения других условий законности, налагаемых Директивой относительно обработки персональных данных.

71. В этой связи следует отметить, что согласно исключениям, закрепленным в статье 13 Директивы 95/46, вся обработка персональных данных должна соответствовать, во-первых, принципам качества данных, закрепленным в статье 6 Директивы 95/46, и, во-вторых, критерию законности обработки данных, закрепленному в статье 7 Директивы 95/46 (см. в этом отношении объединенные дела "Телерадиокомпания "Австрийское радио" и другие" (Osterreichischer Rundfunk and Others), NN C-465/00, C-138/01 и C-139/01, EU:C:2003:294, § 65, объединенные дела "Национальная ассоциация финансовых учреждений и Испанская федерация электронной торговли и прямого маркетинга" (Asociacion Nacional de Entidades de Financiacion (ASNEF) and Federacion de Comercio Electronico y Marketing Directo (FECEMD)", NN C-468/10 и C-469/10, EU:C:2011:777, § 26, и дело "Вортен" (Worten), N C-342/12, EU:C:2013:355, § 33).

72. Согласно статье 6 Директивы 95/46, и не нанося ущерб специальным положениям, которые государства-участники могут устанавливать в отношении обработки данных в исторических, статистических или научных целях, контролер обязан обеспечить, чтобы персональные данные обрабатывались "корректно и законно", чтобы они "собирались для объявленных, явных и законных целей, и в дальнейшем не обрабатывались каким-либо образом, несовместимым с этими целями", чтобы они были "адекватными, относящимися к делу и не избыточными в отношении целей, для которых они собираются и/или в дальнейшем обрабатываются", чтобы они "были точными и, если необходимо, актуальными" и, в заключение, чтобы они "хранились в форме, позволяющей идентификацию субъектов данных не дольше, чем это необходимо для целей, с которыми данные собирались или впоследствии обрабатывались". В этом контексте контролер должен осуществлять все разумные меры с целью обеспечить исключение или исправление данных, не отвечающих требованиям указанного положения.

73. Что касается легитимизации согласно статье 7 Директивы 95/46 обработки данных, таких как рассматриваемые в данном деле, осуществляемой оператором поисковой системы, на эту обработку распространяются положения пункта "f" статьи 7 Директивы 95/46.

74. Это положение разрешает обработку персональных данных, когда это необходимо в целях законного интереса, преследуемого контролером или третьей стороной или сторонами, которым раскрывается информация, за исключением случаев, когда над этими интересами превалируют интересы или основополагающие права и свободы субъекта данных, в частности, его право на приватность в отношении обработки персональных данных, которые нуждаются в защите согласно пункту 1 статьи 1 Директивы 95/46. Таким образом, применение пункта "f" статьи 7 Директивы 95/46 обусловливает необходимость установления баланса затронутых противостоящих прав и интересов, в контексте чего следует принимать во внимание значение прав субъекта данных, вытекающих из статей 7 и 8 Хартии (см. в этом отношении объединенные дела "Национальная ассоциация финансовых учреждений и Испанская федерация электронной торговли и прямого маркетинга", §§ 38 и 40).

75. Хотя вопрос о том, соответствует ли обработка данных статье 6 и пункту "f" статьи 7 Директивы 95/46, может быть решен в контексте запроса, о котором говорится в пункте "b" статьи 12 Директивы 95/46, субъект данных может, кроме того, ссылаться, при определенных условиях на право представлять возражения, закрепленное в подпункте "а" пункта 1 статьи 14 Директивы 95/46.

76. Согласно подпункту "а" пункта 1 статьи 14 Директивы 95/46 государства-участники должны предоставить субъекту данных право как минимум в случаях, определенных в подпунктах "е" и "f" статьи 7 Директивы 95/46, возражать в любое время, исходя из веских законных оснований, касающихся его особенной ситуации, против относящейся к нему обработки данных, за исключением случаев, где иное обусловлено внутригосударственным законодательством. Таким образом, достигаемое на основании подпункта "а" пункта 1 статьи 1 Директивы 95/46 равновесие дает возможность более точно принять во внимание все обстоятельства особой ситуации субъекта данных. Если имеет место обоснованное возражение, осуществляемая контролером обработка не может более включать рассматриваемые данные.

77. Запросы на основании пункта "b" статьи 12 и подпункта "а" пункта 1 статьи 1 Директивы 95/46 могут быть адресованы субъектом данных напрямую контролеру, который должен затем дoлжным образом рассмотреть запросы по существу и при необходимости завершить обработку рассматриваемых персональных данных. Если контролер не удовлетворяет запрос, субъект данных может передать вопрос на рассмотрение органа надзора или суда с целью провести необходимые проверки и добиться вынесения в адрес контролера приказа об осуществлении специальных мер.

78. В связи с этим следует отметить, что из пунктов 3 и 4 статьи 28 Директивы 95/46 следует, что каждый орган надзора должен выслушать обращения любого лица, касающиеся защиты его прав и свобод в отношении обработки персональных данных, и что он располагает следственными полномочиями и осуществляет полномочия по вмешательству, позволяющие ему, в частности, вносить постановления о блокировании, стирании или разрушении данных или налагать временный или окончательный запрет на обработку данных.

79. Именно в свете указанных рассуждений необходимо толковать и применять положения Директивы 95/46, регулирующие права субъекта данных при подаче в орган надзора или в суд запроса, аналогичного запросу в рассматриваемом деле.

80. Изначально следует отметить, что, как было установлено в §§ 36-38 настоящего Постановления, обработка персональных данных, как в настоящем деле, осуществляемая оператором поисковой системы, может существенно влиять на основополагающие права на приватность и защиту персональных данных, когда поиск осуществляется системой на основании имени лица, поскольку такая обработка позволяет любому интернет-пользователю получить через перечень полученных результатов поиска структурированный обзор информации о лице, которую можно найти в Интернете - информации, которая потенциально касается большого числа аспектов его частной жизни и которая, без поисковой системы, либо не могла бы быть связана между собой, либо могла, но с большими трудностями - и, таким образом, установить более или менее подробное досье на запрашиваемое лицо. Кроме того, последствия вмешательства в указанные права субъекта данных усиливаются в связи с важной ролью, которую играют Интернет и поисковые системы в современном обществе, что делает информацию, содержащуюся в таких перечнях результатов поиска, распространенной повсеместно (см. в этом отношении объединенные дела "Компания "eDate Advertising" и другие"" (eDate Advertising and Others), NN C-509/09 и C-161/10, EU:C:2011:685, § 45).

81. В свете потенциальной важности этого вмешательства очевидно, что оно не может быть оправдано одним только экономическим интересом, который оператор поисковой системы имеет в обработке данных. Однако в той степени, в которой исключение ссылок из перечня результатов поиска могло бы, в зависимости от рассматриваемой информации, влиять на законный интерес пользователей Интернета, потенциально заинтересованных в получении доступа к этой информации, в ситуациях, таких как в настоящем деле, должен достигаться справедливый баланс, в частности, между указанным интересом и основополагающими правами субъекта данных, гарантированными статьями 7 и 8 Хартии. Хотя верно, что права субъекта данных, защищаемые указанными статьями, также превалируют, как правило, над указанным интересом интернет-пользователей, этот баланс может зависеть в определенных случаях от характера рассматриваемой информации и ее значения для частной жизни лица и от заинтересованности публики в получении информации, которая может варьироваться, в частности, в зависимости от роли, которую субъект данных играет в общественной жизни.

82. После оценки условий применения пункта "b" статьи 12 и подпункта "а" пункта 1 статьи 14 Директивы 95/46, которая осуществляется после поступления запроса, аналогичного в рассматриваемом деле, орган надзора или суд могут приказать оператору поисковой системы исключить из перечня результатов поиска, осуществленного на основании имени физического лица, ссылки на интернет-страницы, опубликованные третьими сторонами и содержащие информацию, касающуюся этого лица, и этот приказ не предполагает заблаговременного или одновременного устранения данных об имени или информации - по инициативе лица, публикующего данные, или по приказу указанных властей - с интернет-страницы, на которой они опубликованы.

83. Как установлено в §§ 35-38 настоящего Постановления, поскольку обработка данных, осуществляемая в контексте деятельность поисковой системы, может быть отделена от и быть дополнением к аналогичной деятельности, осуществляемой владельцами интернет-сайтов, и при этом влияет на основополагающие права субъекта данных, оператор поисковой системы как контролер указанной обработка данных должен обеспечить в рамках своих полномочий, прав и возможностей, чтобы обработка отвечала требованиям Директивы 95/46 с целью обеспечения полного осуществления гарантий, установленных Директивой.

84. Учитывая легкость, с которой информация, опубликованная на одном сайте, может быть воспроизведена на другом, и тот факт, что лица, отвечающие за публикацию информации, не всегда находятся в сфере действия законодательства Европейского союза, эффективная и полная защита пользователей данных не может быть достигнута, если указанным пользователям придется добиваться, сначала или параллельно, удаления касающейся их информации от владельцев интернет-сайтов.

85. Кроме того, заполнение данными интернет-страницы, заключающееся в публикации сведений, касающихся физического лица, может при определенных обстоятельствах осуществляться "исключительно в журналистских целях" и, таким образом, в силу статьи 9 Директивы 95/46 подпадать под исключение из принципов, установленных Директивой, в то время как этого не наблюдается в случаях, когда обработка данных осуществляется оператором поисковой системы. В связи с этим нельзя исключать, что при определенных условиях субъект данных может воспользоваться правами, определенными в пункте "b" статьи 12 и подпункте "а" пункта 1 статьи 14 Директивы 95/46, против оператора, а не против того, кто публикует данные на интернет-странице.

86. В заключение следует сказать, что предусмотренное статьей 7 Директивы 95/46 положение, оправдывающее публикацию персональных данных на интернет-сайте, не только необязательно совпадает с основанием, применимым к деятельности поисковых систем, но и, когда это уместно, итог сопоставления интересов, проведенного согласно пункту "f" статьи 7 и подпункту "а" пункта 1 статьи 14 Директивы 95/46 может быть разным в зависимости от того, осуществлялась ли обработка данных оператором поисковой системы или лицом, осуществляющим публикацию на интернет-странице, учитывая, что, во-первых, законный интерес, оправдывающий обработку данных, может быть разным и что, во-вторых, последствия обработки данных для субъекта данных, в частности, для его личной жизни, необязательно будут одними и теми же.

87. Действительно, поскольку включение в перечень результатов поиска, осуществленного на основании имени лица, интернет-страницы и содержащихся на ней сведений, касающихся указанного лица, делает доступ к этой информации значительно более легким для любого интернет-пользователя, проводящего поиск в отношении рассматриваемого лица, и может играть решающую роль в распространении этой информации, он является более существенным вмешательством в основополагающее право субъекта данных на приватность, чем публикация данных на интернет-странице.

88. В свете изложенного ответ на вопросы 2 "с" и 2 "d" заключается в том, что пункт "b" статьи 12 и подпункт "а" пункта 1 статьи 14 Директивы 95/46 должны толковаться как означающие, что с целью соблюдения прав, определенных этими нормами, и при условии соблюдения условий, закрепленных указанными нормами, оператор поисковой системы обязан исключить из перечня результатов поиска, проведенного на основании имени лица, ссылки на интернет-страницу, опубликованные третьими сторонами и содержащие сведения об этом лице, также в том случае, когда имя лица или информация о нем не удалены заранее или одновременно с указанных интернет-страниц и даже при определенных обстоятельствах, если публикация данных на интернет-страницах сама по себе законна.

Вопрос 3 относительно предела действия прав субъекта данных, гарантированных Директивой 95/46

89. В вопросе 3 представивший на рассмотрение Европейского Суда настоящее дело внутригосударственный суд спрашивает по сути, должны ли пункт "b" статьи 12 и подпункт "а" пункта 1 статьи 14 Директивы 95/46 толковаться как наделяющие субъекта данных правом требовать от оператора поисковой системы исключения из перечня результатов поиска, осуществленного на основании имени лица, ссылок на интернет-страницы, законно опубликованные третьими сторонами и содержащие соответствующие действительности сведения, касающиеся лица, на том основании, что эта информация может нанести ущерб лицу или что лицо хочет, чтобы эти данные были бы "забыты" по прошествии определенного времени.

90. Компании "Гугл Спейн" и "Гугл Инк.", власти Греции, Австрии и Польши и Комиссия полагают, что на этот вопрос следует ответить отрицательно. Компании "Гугл Спейн" и "Гугл Инк.", власти Польши и Комиссия утверждают в этом отношении, что пункт "b" статьи 12 и подпункт "а" пункта 1 статьи 14 Директивы 95/46 наделяют субъектов данных правами, только если соответствующая обработка данных несовместима с Директивой или если имеются веские законные основания, касающиеся их особой ситуации, а не только потому, что они считают, что указанная обработка данных может причинить им ущерб или, если они хотят, чтобы обрабатываемые данные были забыты. Власти Греции и Австрии утверждали, что субъект данных должен обращаться к лицу, публикующему на соответствующем сайте информацию.

91. По мнению Марио Костехи Гонсалеса, властей Испании и Италии, субъект данных может возражать против индексирования поисковой системой данных, касающихся субъекта персональных данных, если их распространение с помощью поисковой системы наносит ему ущерб, а его основополагающие права на защиту данных и приватность - что включает в себя "право быть забытым" - превалируют над законным интересом оператора поисковой системы и общим интересом свободы информации.

92. Что касается пункта "b" статьи 12 Директивы 95/46, применение которого обусловлено тем, что обработка персональных данных должна быть несовместима с Директивой, следует напомнить, что, как отмечено в § 72 настоящего Постановления, такая несовместимость должна следовать не только из того факта, что персональные данные являются неточными, но, в частности, также и из того факта, что они являются неадекватными, не относящимися к делу и избыточными в отношении цели обработки данных, что они не обновляются или хранятся дольше, чем необходимо, если только это не обусловлено историческими, статистическими или научными целями.

93. Из требований, закрепленных подпунктами "c" - "e" пункта 1 статьи 6 Директивы 95/46, следует, что даже изначально законный процесс обработки точных данных может с течением времени стать несовместимым с Директивой, если в этих данных больше нет необходимости в свете целей, для которых они собирались или обрабатывались. Это особенно верно в тех случаях, когда данные кажутся неадекватными, не относящимися или более не относящимися к делу или избыточными в отношении указанных целей и в свете прошедшего времени.

94. В связи с этим, если в ответ на запрос субъекта данных в соответствии с пунктом "b" статьи 12 Директивы 95/46 установлено, что включение в перечень результатов поиска, осуществленного по имени лица, ссылок на интернет-страницы, законно опубликованные третьими лицами и содержащие информацию, касающуюся человека лично, в рассматриваемое время несовместимо с подпунктами "c" - "e" пункта 1 статьи 6 Директивы 95/46, поскольку эта информация оказывается, учитывая все обстоятельства дела, неадекватной, не относящейся или более не относящейся к делу или избыточной в отношении целей обработки данных, осуществляемой оператором поисковой системы, информация и соответствующие ссылки в перечне результатов поиска должны быть удалены.

95. Что касается запросов, о которых говорится в пункте "b" статьи 12 Директивы 95/46, основанных на предполагаемом несоблюдении условий, закрепленных пунктом "f" статьи 7 Директивы 95/46, и запросов на основании подпункта "а" пункта 1 статьи 14 Директивы 95/46, следует отметить, что в каждом случае обработка персональных данных должны быть санкционирована согласно статье 7 на протяжении всего периода, пока она осуществляется.

96. В свете вышеизложенного, оценивая запросы, сделанные с целью возразить против обработки данных, такой как в настоящем деле, следует, в частности, рассмотреть, имеет ли субъект данных право на то, чтобы касающаяся его лично информация не была бы в конкретное рассматриваемое время связана с его именем через перечень результатов поиска, осуществляемого на основании имени субъекта данных. В этой связи следует отметить, что, чтобы установить такое право, необязательно, чтобы включение рассматриваемой информации в перечень результатов поиска причиняло ущерб субъекту данных.

97. Поскольку субъект данных может, в свете своих основополагающих прав, предусмотренных статьями 7 и 8 Хартии, требовать, чтобы рассматривая информация не была больше доступна широкой публике путем ее включения в перечень результатов поиска, следует постановить, как следует, в частности, из § 81 настоящего Постановления, что эти права, как правило, превалируют не только над экономическим интересом оператора поисковой системы, но также и над интересом общественности в обнаружении информации в ходе поиска по имени лица. Однако так не происходит, если по определенным причинам, таким как роль субъекта данных в общественной жизни, оказывается, что вмешательство в его основополагающие права оправдано имеющим преимущество интересом общественности в получении доступа, в виде включения в перечень результатов поиска, к рассматриваемой информации.

98. Что касается ситуации, такой как в настоящем деле, которая касается отображения в перечне результатов поиска, который пользователь Интернета получает, используя поисковую систему "Гугл", на основании запроса по имени субъекта данных, ссылок на страницы онлайн архивов ежедневной газеты, в которых находятся объявления, упоминающие имя субъекта данных и касающиеся аукциона недвижимости, связанного с наложением ареста в связи со взысканием долгов по социальному страхованию, следует постановить, что, принимая во внимание чувствительность для частной жизни субъекта данных информации, содержавшейся в указанных объявлениях, и тот факт, что информация была опубликована 16 лет назад, субъект данных обладает правом на то, чтобы указанная информация не связывалась бы более с его именем через рассматриваемые результаты поиска. Следовательно, поскольку в настоящем деле, по-видимому, отсутствуют особые причины, подтверждающие превалирующий интерес общественности в получении в контексте такого поиска доступа к рассматриваемой информации, - однако этот вопрос должен установить внутригосударственный суд - субъект данных может потребовать на основании пункта "b" статьи 12 и подпункта "а" пункта 1 статьи 14 Директивы 95/46, чтобы указанные ссылки были бы исключены из перечня результатов поиска.

99. Из вышеизложенного следует, что ответ на вопрос 3 заключается в том, что пункт "b" статьи 12 и подпункт "а" пункта 1 статьи 14 Директивы 95/46 должны толковаться как означающие, что при оценке условий применения указанных положений следует, inter alia* (* Inter alia (лат.) - в числе прочего, в частности (примеч. переводчика).), рассмотреть, имеет ли субъект данных право на то, чтобы касающаяся его лично информация не связывалась бы в конкретное время с его именем через перечень результатов поиска, осуществленного по имени субъекта данных, при этом установление такого права необязательно должно быть обусловлено тем, что наличие рассматриваемой информации в перечне результатов причиняло бы ущерб субъекту данных. Поскольку субъект данных может в свете основополагающих прав, предусмотренных статьями 7 и 8 Хартии, потребовать, чтобы рассматриваемая информация больше не была доступна общественности в связи с ее исключением из перечня результатов поиска, эти права обычно превалируют не только над экономическим интересом оператора поисковой системы, но и над интересом общественности по получению доступа к информации, сформированной по результатам поиска по имени субъекта данных. Однако так не происходит, если по особым причинам, таким как роль субъекта данных в общественной жизни, оказывается, что вмешательство в основополагающие права субъекта данных оправдано преобладающим интересом общественности в получении доступа к рассматриваемой информации путем ее включения в перечень результатов поиска.

Судебные расходы и издержки

100. Поскольку настоящее производство является для сторон в основном процессе одним из этапов рассмотрения иска во внутригосударственном суде, решение по вопросу компенсации судебных расходов и издержек принимает указанный суд. Судебные расходы и издержки, понесенные при подаче замечаний в Европейский Суд, за исключением расходов сторон, компенсации не подлежат.

На основании изложенного Европейский Суд (Большая Палата) постановил следующее:

1) пункты "b" и "d" статьи 2 Директивы Европейского парламента и Совета Европейского союза от 24 октября 1995 г. N 95/46/ЕС "О защите прав частных лиц применительно к обработке персональных данных и о свободном движении таких данных" должны толковаться как означающие, что, во-первых, деятельность поисковой системы, заключающаяся в поиске информации, опубликованной или размещенной в Интернете третьими сторонами, ее автоматическом индексировании, временном хранении и, в заключение, предоставлении интернет-пользователям согласно определенному порядку предпочтения, должна классифицироваться как "обработка персональных данных" по смыслу пункта "b" статьи 2 Директивы 95/46, когда такая информация содержит персональные данные, и, во-вторых, что оператор поисковой системы должен считаться "контролером" в отношении указанной обработки данных по смыслу пункта "d" статьи 2 Директивы 95/46;

2) пункт 1 статьи 4 Директивы 95/46 должен толковаться как означающий, что обработка персональных данных осуществляется в контексте деятельности учреждения контролера на территории государства-участника по смыслу этого положения, когда оператор поисковой системы учреждает в государстве-участнике подразделение или дочернее предприятие, предназначенное для создания благоприятных условий и осуществления продаж рекламного пространства, предлагаемого поисковой системой, деятельность которых направлена на жителей этого государства-участника;

3) пункт "b" статьи 12 и подпункт "а" пункта 1 статьи 14 Директивы 95/46 должны толковаться как означающие, что с целью соблюдения прав, закрепленных указанными положениями, и в той степени, в которой установленные этими положениями условия соблюдены, оператор поисковой системы обязан исключить из перечня результатов осуществленного на основании имени лица поиска ссылки на интернет-страницы, опубликованные третьими сторонами и содержащие сведения, касающиеся указанного лица, также в случаях, когда это имя или информация не удаляются заранее или одновременно с указанных интернет-страниц и даже при определенных обстоятельствах когда публикация на указанных страницах сама по себе является законной;

4) пункт "b" статьи 12 и подпункт "а" пункта 1 статьи 14 Директивы 95/46 должны толковаться как означающие, что при оценке условий применения указанных положений следует также рассматривать, имеет ли субъект данных право на то, чтобы касающаяся его рассматриваемая информация не могла бы в данный момент времени больше быть связана с его именем в перечне результатов поиска, осуществленного на основании этого имени, и для установления такого права необязательно, чтобы включение рассматриваемой информации в перечень результатов поиска причиняло ущерб субъекту данных. Поскольку субъект данных может в свете своих основополагающих прав, предусмотренных статьями 7 и 8 Хартии, требовать, чтобы рассматриваемая информация не была больше доступна широкой публике путем ее включения в перечень результатов поиска, эти права, как правило, превалируют не только над экономическим интересом оператора поисковой системы, но и над интересом общественности в получении доступа к информации в ходе поиска по имени лица. Однако так не происходит, если по определенным причинам, таким как роль субъекта данных в общественной жизни, оказывается, что вмешательство в его основополагающие права оправдано имеющим преимущество интересом общественности в получении доступа в виде включения в перечень результатов поиска к рассматриваемой информации.