Rozhodnutí SDEU ve věci Google vs. CNIL

příslušníci nebo pokud byly spáchány na palubě plavidla či letadla registrovaného v daném státě, anebo ve vztahu ke kybernetickým činům spáchaných cizími státními příslušníky v úmyslu závažně narušit základní zájmy státu (seriously undermine essential state interests) či namířených proti jeho státním příslušníkům, anebo ve vztahu ke kybernetickým činům, jež představují zločiny podle mezinárodního práva a podléhají zásadě univerzality. ³⁷¹

Rozsah extrateritoriální jurisdikce nad kybernetickými aktivitami závisí na skutečnosti, zda půjde o aplikaci vnitrostátního předpisu, pravomoc národních soudů rozhodnout určitou věc, anebo o projevy moci výkonné. Aplikace vnitrostátního předpisu a pravomoc národních soudů jde obvykle ruku v ruce. Nejsou přitom výjimkou pozitivní jurisdikční konflikty, kdy je dána pravomoc soudů vícero států věc rozhodnout za aplikace vlastního vnitrostátního práva na základě státní příslušnosti původce kybernetické operace a podle místa spáchání činu. Tyto případy se zpravidla řeší formou konzultací. Naproti tomu výkon státní moci vně území státu (extraterritorial enforcement ³⁷² jurisdiction) bude zpravidla možný jen se souhlasem dotčeného státu. ³⁷³

teritoriální účinky a úřední akty, jichž se týká, jsou pojmenovány jako trans-teritoriální správní akty. ³⁷⁵

Žádost o předběžnou otázku byla položena ve věci sankce 100 000 eur, jíž uložila CNIL společnosti Google proto, že poté, kdy tato společnost vyhověla žádosti o odstranění odkazů, odmítla ji vztáhnout na všechny domény svého vyhledávače. Francouzský dozorový úřad konkrétně vyzval společnost Google, aby v rámci vyhovění žádosti fyzické osoby o odstranění odkazů na internetové stránky ze seznamu výsledků zobrazených po zadání jejího jména, odstranila tyto odkazy ze všech domén svého vyhledávače. CNIL nepovažovala za dostatečné opatření zvolené společností Google, a sice tzv. geo-blocking (zeměpisné blokování), které spočívalo v tom, že přístup ke sporným výsledkům zobrazujícím se po zadání jména subjektu údajů byl znemožněn pro IP adresy považované za adresy nacházející se ve státě bydliště subjektu údajů, bez ohledu na to, jakou konkrétní mutaci vyhledávače uživatel Internetu použil k vyhledávání. Conseil d’État konstatovala, že „vzhledem k tomu, že jsou z francouzského území dostupná všechna doménová jména vyhledávače společnosti Google a tato jednotlivá doménová jména jsou vzájemně prostupná díky automatickému přesměrovávání, a vzhledem k tomu, že jsou navíc soubory cookie přítomny v jiných mutacích vyhledávače než v té, v které byly původně uloženy, musí být na tento vyhledávač, který byl ostatně předmětem jediné stížnosti u CNIL, pohlíženo pro účely aplikace zákona ze dne 6.

ledna 1978 tak, že provádí jediné zpracování osobních údajů.” Dovodila proto, že ke zpracování osobních údajů vyhledávačem provozovaným společností Google dochází v provozovně usazené na francouzském území, pročež pro něj platí francouzský zákon. Společnost Google rozporovala ³⁷⁶ povinnost odstranit sporné odkazy bez zeměpisného omezení ze všech domén svého vyhledávače a namítala nepřiměřený zásah do svobody projevu, informací, komunikace a tisku zaručených zejména článkem 11 Listiny základních práv EU. Jádrem předběžné otázky bylo posouzení, zda vykládat právo na odstranění odkazu v tom smyslu, ³⁷⁷ že provozovatel vyhledávače je povinen v rámci vyhovění žádosti o odstranění odkazu vztáhnout toto odstranění na všechna doménová jména

Podrobněji HANDRLICA, Jakub. Veřejná správa na rozcestí administrativního pluralismu. In: PAPÁČOVÁ, I. (ed).

375

Verejná správa na rázcestí. Bratislava: Univerzita Komenského v Bratislave, Právnická fakulta. 2018, str. 45 - 55.

Francouzský zákon obsahující požadavky směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o

376

ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů. Tato směrnice byla později nahrazena nařízením Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů).

K podrobnostem práva na odstranění odkazu (či práva být zapomenut) srov. rozsudek SDEU ze dne 13. 5. 2014, ve

377

věci C-131/12, Google Spain SL a Google Inc. v. Agencia Española de Protección de Datos (AEPD) a Mario Costeja González.

svého vyhledávače tak, aby se sporné odkazy již neobjevovaly, a to bez ohledu na místo, z něhož je zadán požadavek na vyhledávání podle jména žadatele.

SDEU zdůraznil, že pokud dochází ke zpracování osobních údajů v provozovně společnosti Google nacházející se na francouzském území (přičemž dovodil, že ano), nemůže okolnost, že je vyhledávač provozován podnikem z třetího státu, vést k tomu, že pro takové zpracování nebudou platit podmínky a záruky stanovené unijním právem. Poukázal na to, ³⁷⁸ že je třeba v Unii zajistit shodnou ochranu fyzických osob a zamezit rozdílům bránícím volnému pohybu osobních údajů v rámci vnitřního trhu. Zdůraznil též potřebu stanovit správcům a zpracovatelům osobních údajů povinnosti, které zajistí důsledné monitorování zpracování osobních údajů. Sankce za jejich porušení by měly být ve všech členských státech rovnocenné a spolupráce mezi dozorovými úřady účinná. Skutečnost, ³⁷⁹ že internetoví uživatelé mají v globalizovaném světě přístup k odkazům na informace o osobě, jejíž středisko zájmů se nachází v EU, může mít na takovou osobu přímý a podstatný dopad v samotné EU. SDEU tudíž dovodil „pravomoc unijního normotvůrce uložit provozovateli vyhledávače v případě, že vyhoví žádosti takové osoby o odstranění odkazů, povinnost odstranit odkazy ze všech mutací svého vyhledávače.” ³⁸⁰

Takovou pravomoc však nedovodil ve vztahu k třetím státům. Práva zakotvená unijní legislativou totiž nemají účinky přesahující území členských států. Společnost Google tedy nebyla shledána povinnou odstranit odkazy i v národních mutacích vyhledávače nad rámec území EU. K odstranění odkazů však mělo dojít pro všechny členské státy EU. SDEU proto považoval za ³⁸¹ zásadní účinnou spolupráci dozorových úřadů dotčených členských států. Těm však zároveň ponechal zadní vrátka, když konstatoval, že „unijní právo sice za současného stavu neukládá povinnost, aby v rámci vyhovění žádosti byly odkazy odstraněny ze všech mutací dotčeného vyhledávače, ale ani to nezakazuje. Dozorový úřad či soud členského státu proto má pravomoc poměřit právo subjektu údajů na respektování soukromého života a na ochranu jeho osobních údajů na straně jedné s právem na informace na straně druhé z pohledu vnitrostátního standardu pro ochranu základních práv (v tomto smyslu viz rozsudky ze dne 26. února 2013, Åkerberg Fransson, C-617/10, EU:C:2013:105, bod 29, a ze dne 26. února 2013, Melloni, C-399/11, EU:C:2013:107,

Soud přitom odkázal na bod 58 svého rozsudku ze dne 13. 5. 2014, ve věci C-131/12, Google Spain SL a Google

378

Inc. v. Agencia Española de Protección de Datos (AEPD) a Mario Costeja González..

Srov. rozsudek SDEU ze dne 24. 9. 2019 ve věci C-507/17, Op. cit., body 12-13, s odkazem na obecné nařízení o

379

ochraně osobních údajů.

Tamtéž, bod 58.

380

Zároveň však Soud podotkl, že se „zájem veřejnosti na přístupu k informacím může lišit i v jednotlivých členských

381

státech, takže poměřování tohoto významu s právem subjektu údajů na respektování soukromého života a na ochranu osobních údajů nepovede nutně ke stejnému výsledku pro všechny členské státy”. Tamtéž, bod 67.

bod 60), a v návaznosti na to případně provozovateli tohoto vyhledávače uložit povinnost, aby odkazy odstranil ze všech mutací uvedeného vyhledávače.“ ³⁸²

Z případu vyplývá jasný požadavek na zajištění shodné úrovně ochrany práv fyzických osob ve všech členských státech EU. K tomu má dopomoci rovnocenný systém sankcí a efektivní spolupráce dozorových správních úřadů napříč EU. Lze tak počítat s vymáháním odpovídajících povinností u nepodřízených subjektů s dopady uvnitř EU, nikoli však mimo území členských států.

U správních aktů cizího členského státu se presumuje jejich správnost, přičemž zákonnost a případné vady se posuzují z hlediska právního řádu domovského státu. Tyto trans-teritoriální správní akty povedou k častější interakci exekutiv jednotlivých členských států. V případě, že by ³⁸³ dozorový správní úřad členského státu trval na splnění povinností z globálního hlediska tak, aby se požadovaný stav projevil na Internetu bez ohledu na místo, odkud se uživatel přihlásí k webu, musí to být odůvodněno testem proporcionality z pohledu vnitrostátního standardu ochrany základních práv. Právo na respektování soukromého života a ochranu osobních údajů by v takovém případě muselo převážit nad právem na informace.

Tamtéž, bod 72.

382

HANDRLICA, Jakub. Op. cit., str. 53 - 54.

383