SENTENCIA DEL TRIBUNAL DE JUSTICIA (Gran Sala)
de 24 de septiembre de 2019 (*)
«Procedimiento prejudicial — Datos personales — Protección de las personas físicas en lo que respecta al tratamiento de estos datos — Directiva 95/46/CE — Reglamento (UE) 2016/679 — Motores de búsqueda en Internet — Tratamiento de los datos que figuran en páginas web — Categorías especiales de datos contempladas en el artículo 8 de la Directiva y en los artículos 9 y 10 del Reglamento — Aplicabilidad de estos artículos al gestor de un motor de búsqueda — Alcance de las obligaciones del gestor en relación con dichos artículos — Publicación de los datos en páginas web con fines exclusivamente periodísticos o de expresión artística o literaria — Incidencia en el tratamiento de una solicitud de retirada de enlaces — Artículos 7, 8 y 11 de la Carta de los Derechos Fundamentales de la Unión Europea»
En el asunto C‑136/17,
que tiene por objeto una petición de decisión prejudicial planteada, con arreglo al artículo 267 TFUE, por el Conseil d’État (Consejo de Estado, actuando como Tribunal Supremo de lo Contencioso-Administrativo, Francia), mediante resolución de 24 de febrero de 2017, recibida en el Tribunal de Justicia el 15 de marzo de 2017, en el procedimiento entre
GC,
AF,
BH,
ED
y
Commission nationale de l’informatique et des libertés (CNIL),
con intervención de:
Premier ministre,
Google LLC, que se ha subrogado en los derechos de Google Inc.,
EL TRIBUNAL DE JUSTICIA (Gran Sala),
integrado por el Sr. K. Lenaerts, Presidente, el Sr. A. Arabadjiev, la Sra. A. Prechal, el Sr. T. von Danwitz, la Sra. C. Toader y el Sr. F. Biltgen, Presidentes de Sala, y los Sres. M. Ilešič (Ponente), L. Bay Larsen, M. Safjan, D. Šváby, C.G. Fernlund, C. Vajda y S. Rodin, Jueces;
Abogado General: Sr. M. Szpunar;
Secretaria: Sra. V. Giacobbo-Peyronnel, administradora;
habiendo considerado los escritos obrantes en autos y celebrada la vista el 11 de septiembre de 2018;
consideradas las observaciones presentadas:
– en nombre de AF, por él mismo;
– en nombre de BH, por el Sr. L. Boré, avocat;
– en nombre de la Commission nationale de l’informatique et des libertés (CNIL), por la Sra. I. Falque-Pierrotin y los Sres. J. Lessi y G. Le Grand, en calidad de agentes;
– en nombre de Google LLC, por los Sres. P. Spinosi, Y. Pelosi y W. Maxwell, avocats;
– en nombre del Gobierno francés, por los Sres. D. Colas y R. Coesme y las Sras. E. de Moustier y S. Ghiandoni, en calidad de agentes;
– en nombre de Irlanda, por las Sras. M. Browne, G. Hodge y J. Quaney y el Sr. A. Joyce, en calidad de agentes, asistidos por la Sra. M. Gray, BL;
– en nombre del Gobierno helénico, por las Sras. E.-M. Mamouna, G. Papadaki, E. Zisi y S. Papaioannou, en calidad de agentes;
– en nombre del Gobierno italiano, por la Sra. G. Palmieri, en calidad de agente, asistida por los Sres. F. De Luca y P. Gentili, avvocati dello Stato;
– en nombre del Gobierno austriaco, por los Sres. G. Eberhard y G. Kunnert, en calidad de agentes;
– en nombre del Gobierno polaco, por el Sr. B. Majczyna y las Sras. M. Pawlicka y J. Sawicka, en calidad de agentes;
– en nombre del Gobierno del Reino Unido, por el Sr. S. Brandon, en calidad de agente, asistido por el Sr. C. Knight, Barrister;
– en nombre de la Comisión Europea, por los Sres. A. Buchet, H. Kranenborg y D. Nardi, en calidad de agentes;
oídas las conclusiones del Abogado General, presentadas en audiencia pública el 10 de enero de 2019;
dicta la siguiente
Sentencia
1 La petición de decisión prejudicial tiene por objeto la interpretación de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO 1995, L 281, p. 31).
2 Esta petición se ha presentado en el contexto de un litigio entre GC, AF, BH y ED y la Commission nationale de l’informatique et des libertés (CNIL) (Comisión Nacional de Informática y Libertades, Francia), en relación con cuatro decisiones de esta negándose a requerir a Google Inc., en cuyos derechos se ha subrogado Google LLC, que retirase diversos enlaces, que dirigían a páginas web publicadas por terceros, de una lista de resultados obtenida tras una búsqueda efectuada a partir de los nombres de los demandantes.
Marco jurídico
Derecho de la Unión
Directiva 95/46
3 La Directiva 95/46 tiene por objeto, según su artículo 1, apartado 1, la protección de las libertades y de los derechos fundamentales de las personas físicas, en particular, del derecho a la intimidad, en lo que respecta al tratamiento de los datos personales, y la eliminación de los obstáculos a la libre circulación de estos datos.
4 Los considerandos 33 y 34 de la Directiva 95/46 tienen el siguiente enunciado:
«(33) Considerando […] que los datos que por su naturaleza puedan atentar contra las libertades fundamentales o la intimidad no deben ser objeto de tratamiento alguno, salvo en caso de que el interesado haya dado su consentimiento explícito; que deberán constar de forma explícita las excepciones a esta prohibición para necesidades específicas […];
(34) Considerando que también se deberá autorizar a los Estados miembros, cuando esté justificado por razones de interés público importante, a hacer excepciones a la prohibición de tratar categorías sensibles de datos […]; que a ellos corresponde, no obstante, prever las garantías apropiadas y específicas a los fines de proteger los derechos fundamentales y la vida privada de las personas».
5 El artículo 2 de esta Directiva dispone que:
«A efectos de la presente Directiva, se entenderá por:
a) “datos personales”: toda información sobre una persona física identificada o identificable (el “interesado”) […];
b) “tratamiento de datos personales” (“tratamiento”): cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos personales, como la recogida, registro, organización, conservación, elaboración o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso a los mismos, cotejo o interconexión, así como su bloqueo, supresión o destrucción;
[…]
d) “responsable del tratamiento”: la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que solo o conjuntamente con otros determine los fines y los medios del tratamiento de datos personales […];
[…]
h) “consentimiento del interesado”: toda manifestación de voluntad, libre, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernan.»
6 En el capítulo II, sección I («Principios relativos a la calidad de los datos»), de dicha Directiva, el artículo 6 de la misma Directiva está redactado en los siguientes términos:
«1. Los Estados miembros dispondrán que los datos personales sean:
a) tratados de manera leal y lícita;
b) recogidos con fines determinados, explícitos y legítimos, y no sean tratados posteriormente de manera incompatible con dichos fines […];
c) adecuados, pertinentes y no excesivos con relación a los fines para los que se recaben y para los que se traten posteriormente;
d) exactos y, cuando sea necesario, actualizados; deberán tomarse todas las medidas razonables para que los datos inexactos o incompletos, con respecto a los fines para los que fueron recogidos o para los que fueron tratados posteriormente, sean suprimidos o rectificados;
e) conservados en una forma que permita la identificación de los interesados durante un período no superior al necesario para los fines para los que fueron recogidos o para los que se traten ulteriormente. Los Estados miembros establecerán las garantías apropiadas para los datos personales archivados por un período más largo del mencionado, con fines históricos, estadísticos o científicos.
2. Corresponderá a los responsables del tratamiento garantizar el cumplimiento de lo dispuesto en el apartado 1.»
7 En el capítulo II, sección II («Principios relativos a la legitimación del tratamiento de datos»), de la Directiva 95/46, el artículo 7 de esta Directiva establece lo siguiente:
«Los Estados miembros dispondrán que el tratamiento de datos personales solo pueda efectuarse si:
[…]
f) es necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, siempre que no prevalezca el interés o los derechos y libertades fundamentales del interesado que requieran protección con arreglo al apartado 1 del artículo 1 de la presente Directiva.»
8 En el capítulo II, sección III («Categorías especiales de tratamientos»), de dicha Directiva, figuran los artículos 8 y 9 de la misma Directiva. El artículo 8, titulado «Tratamiento de categorías especiales de datos», dispone:
«1. Los Estados miembros prohibirán el tratamiento de datos personales que revelen el origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, así como el tratamiento de los datos relativos a la salud o a la sexualidad.
2. Lo dispuesto en el apartado 1 no se aplicará cuando:
a) el interesado haya dado su consentimiento explícito a dicho tratamiento, salvo en los casos en los que la legislación del Estado miembro disponga que la prohibición establecida en el apartado 1 no pueda levantarse con el consentimiento del interesado, o
[…]
e) el tratamiento se refiera a datos que el interesado haya hecho manifiestamente públicos o sea necesario para el reconocimiento, ejercicio o defensa de un derecho en un procedimiento judicial.
[…]
4. Siempre que dispongan las garantías adecuadas, los Estados miembros podrán, por motivos de interés público importantes, establecer otras excepciones, además de las previstas en el apartado 2, bien mediante su legislación nacional, bien por decisión de la autoridad de control.
5. El tratamiento de datos relativos a infracciones, condenas penales o medidas de seguridad solo podrá efectuarse bajo el control de la autoridad pública o si hay previstas garantías específicas en el Derecho nacional, sin perjuicio de las excepciones que podrá establecer el Estado miembro basándose en disposiciones nacionales que prevean garantías apropiadas y específicas. Sin embargo, solo podrá llevarse un registro completo de condenas penales bajo el control de los poderes públicos.
Los Estados miembros podrán establecer que el tratamiento de datos relativos a sanciones administrativas o procesos civiles se realicen asimismo bajo el control de los poderes públicos.
[…]»
9 El artículo 9 de la Directiva 95/46, titulado «Tratamiento de datos personales y libertad de expresión», preceptúa:
«En lo referente al tratamiento de datos personales con fines exclusivamente periodísticos o de expresión artística o literaria, los Estados miembros establecerán, respecto de las disposiciones del presente capítulo, del capítulo IV y del capítulo VI, exenciones y excepciones solo en la medida en que resulten necesarias para conciliar el derecho a la intimidad con las normas que rigen la libertad de expresión.»
10 El artículo 12 de esta Directiva, titulado «Derecho de acceso», establece:
«Los Estados miembros garantizarán a todos los interesados el derecho de obtener del responsable del tratamiento:
[…]
b) en su caso, la rectificación, la supresión o el bloqueo de los datos cuyo tratamiento no se ajuste a las disposiciones de la presente Directiva, en particular a causa del carácter incompleto o inexacto de los datos;
[…]».
11 El artículo 14 de dicha Directiva, titulado «Derecho de oposición del interesado», dispone:
«Los Estados miembros reconocerán al interesado el derecho a:
a) oponerse, al menos en los casos contemplados en las letras e) y f) del artículo 7, en cualquier momento y por razones legítimas propias de su situación particular, a que los datos que le conciernan sean objeto de tratamiento, salvo cuando la legislación nacional disponga otra cosa. En caso de oposición justificada, el tratamiento que efectúe el responsable no podrá referirse ya a esos datos;
[…]».
12 El artículo 28 de la misma Directiva, titulado «Autoridad de control», está redactado en los siguientes términos:
«1. Los Estados miembros dispondrán que una o más autoridades públicas se encarguen de vigilar la aplicación en su territorio de las disposiciones adoptadas por ellos en aplicación de la presente Directiva.
[…]
3. La autoridad de control dispondrá, en particular, de:
– poderes de investigación, como el derecho de acceder a los datos que sean objeto de un tratamiento y el de recabar toda la información necesaria para el cumplimiento de su misión de control;
– poderes efectivos de intervención, como, por ejemplo, el de […] ordenar el bloqueo, la supresión o la destrucción de datos, o incluso prohibir provisional o definitivamente un tratamiento […];
[…]
Las decisiones de la autoridad de control lesivas de derechos podrán ser objeto de recurso jurisdiccional.
4. Toda autoridad de control entenderá de las solicitudes que cualquier persona, o cualquier asociación que la represente, le presente en relación con la protección de sus derechos y libertades respecto del tratamiento de datos personales. Esa persona será informada del curso dado a su solicitud.
[…]
6. Toda autoridad de control será competente, sean cuales sean las disposiciones de Derecho nacional aplicables al tratamiento de que se trate, para ejercer en el territorio de su propio Estado miembro los poderes que se le atribuyen en virtud del apartado 3 del presente artículo. Dicha autoridad podrá ser instada a ejercer sus poderes por una autoridad de otro Estado miembro.
Las autoridades de control cooperarán entre sí en la medida necesaria para el cumplimiento de sus funciones, en particular mediante el intercambio de información que estimen útil.
[…]»
Reglamento (UE) 2016/679
13 El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46 (Reglamento general de protección de datos) (DO 2016, L 119, p. 1; corrección de errores en DO 2018, L 127, p. 3), es aplicable, de conformidad con su artículo 99, apartado 2, a partir del 25 de mayo de 2018. El artículo 94, apartado 1, de este Reglamento deroga la Directiva 95/46 con efecto a partir de esa misma fecha.
14 Los considerandos 1, 4, 51, 52 y 65 de dicho Reglamento tienen el siguiente enunciado:
«(1) La protección de las personas físicas en relación con el tratamiento de datos personales es un derecho fundamental. El artículo 8, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea (“la Carta”) y el artículo 16 [TFUE], apartado 1, establecen que toda persona tiene derecho a la protección de los datos de carácter personal que le conciernan.
[…]
(4) El tratamiento de datos personales debe estar concebido para servir a la humanidad. El derecho a la protección de los datos personales no es un derecho absoluto sino que debe considerarse en relación con su función en la sociedad y mantener el equilibrio con otros derechos fundamentales, con arreglo al principio de proporcionalidad. El presente Reglamento respeta todos los derechos fundamentales y observa las libertades y los principios reconocidos en la Carta conforme se consagran en los Tratados, en particular el respeto de la vida privada y familiar, […] la protección de los datos de carácter personal, la libertad de pensamiento, de conciencia y de religión, la libertad de expresión y de información, la libertad de empresa […].
[…]
(51) Especial protección merecen los datos personales que, por su naturaleza, son particularmente sensibles en relación con los derechos y las libertades fundamentales, ya que el contexto de su tratamiento podría entrañar importantes riesgos para los derechos y las libertades fundamentales. […]
(52) Asimismo deben autorizarse excepciones a la prohibición de tratar categorías especiales de datos personales cuando lo establezca el Derecho de la Unión o de los Estados miembros y siempre que se den las garantías apropiadas, a fin de proteger datos personales y otros derechos fundamentales […].
[…]
(65) Los interesados deben tener […] un “derecho al olvido” si la retención de tales datos infringe el presente Reglamento o el Derecho de la Unión o de los Estados miembros aplicable al responsable del tratamiento. […] Sin embargo, la retención ulterior de los datos personales debe ser lícita cuando sea necesaria para el ejercicio de la libertad de expresión e información […]».
15 El artículo 4, punto 11, del Reglamento 2016/679 define el concepto de «consentimiento» como «toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen».
16 El artículo 5 de este Reglamento, titulado «Principios relativos al tratamiento [de datos personales]», preceptúa, en su apartado 1, letras c) a e):
«Los datos personales serán:
[…]
c) adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados (“minimización de datos”);
d) exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan (“exactitud”);
e) mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; […] (“limitación del plazo de conservación”)».
17 El artículo 9 de dicho Reglamento, titulado «Tratamiento de categorías especiales de datos personales», dispone lo siguiente:
«1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física.
2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
a) el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
[…]
e) el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
[…]
g) el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
[…]».
18 El artículo 10 del mismo Reglamento, titulado «Tratamiento de datos personales relativos a condenas e infracciones penales», preceptúa:
«El tratamiento de datos personales relativos a condenas e infracciones penales o medidas de seguridad conexas sobre la base del artículo 6, apartado 1, solo podrá llevarse a cabo bajo la supervisión de las autoridades públicas o cuando lo autorice el Derecho de la Unión o de los Estados miembros que establezca garantías adecuadas para los derechos y libertades de los interesados. Solo podrá llevarse un registro completo de condenas penales bajo el control de las autoridades públicas.»
19 El artículo 17 del Reglamento 2016/679, titulado «Derecho de supresión (“el derecho al olvido”)», está redactado en los siguientes términos:
«1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
a) los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
b) el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
c) el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
d) los datos personales hayan sido tratados ilícitamente;
e) los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
f) los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1.
2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos.
3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
a) para ejercer el derecho a la libertad de expresión e información;
[…]».
20 El artículo 21 de este Reglamento, titulado «Derecho de oposición», establece en su apartado 1:
«El interesado tendrá derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, a que datos personales que le conciernan sean objeto de un tratamiento basado en lo dispuesto en el artículo 6, apartado 1, letras e) o f), incluida la elaboración de perfiles sobre la base de dichas disposiciones. El responsable del tratamiento dejará de tratar los datos personales, salvo que acredite motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, los derechos y las libertades del interesado, o para la formulación, el ejercicio o la defensa de reclamaciones.»
21 El artículo 85 de dicho Reglamento, titulado «Tratamiento y libertad de expresión y de información», preceptúa:
«1. Los Estados miembros conciliarán por ley el derecho a la protección de los datos personales en virtud del presente Reglamento con el derecho a la libertad de expresión y de información, incluido el tratamiento con fines periodísticos y fines de expresión académica, artística o literaria.
2. Para el tratamiento realizado con fines periodísticos o con fines de expresión académica, artística o literaria, los Estados miembros establecerán exenciones o excepciones de lo dispuesto en los capítulos II (principios), III (derechos del interesado), IV (responsable y encargado del tratamiento), V (transferencia de datos personales a terceros países u organizaciones internacionales), VI (autoridades de control independientes), VII (cooperación y coherencia) y IX (disposiciones relativas a situaciones específicas de tratamiento de datos), si son necesarias para conciliar el derecho a la protección de los datos personales con la libertad de expresión e información.
[…]»
Derecho francés
22 La aplicación en el Derecho francés de la Directiva 95/46 queda garantizada mediante la loi n.o 78-17, relative à l’informatique, aux fichiers et aux libertés (Ley n.o 78-17, sobre Informática, Ficheros y Libertades), de 6 de enero de 1978, en su versión aplicable a los hechos del litigio principal.
23 El artículo 11 de esta Ley precisa que, entre sus funciones, la CNIL velará por que se realicen los tratamientos de datos personales conforme a las disposiciones de dicha Ley y, a tal efecto, recibirá las reclamaciones, peticiones y denuncias que guarden relación con la realización de tratamientos de datos personales e informará a sus autores del curso que se les haya dado.
Litigios principales y cuestiones prejudiciales
24 GC, AF, BH y ED solicitaron a Google que retirara diversos enlaces a páginas web publicadas por terceros de la lista de resultados obtenida por el motor de búsqueda gestionado por esta sociedad tras una búsqueda efectuada a partir de sus respectivos nombres, a lo que dicha sociedad se negó.
25 En particular, GC había solicitado la retirada de un enlace que remitía a un fotomontaje satírico publicado en línea, bajo seudónimo, el 18 de febrero de 2011 en el canal YouTube, en el que se la representaba junto al alcalde de un municipio del que era jefa de gabinete y se comentaba de forma explícita la relación íntima que supuestamente mantenía con él y el efecto que esa relación había tenido en su propia proyección política. El referido fotomontaje fue publicado en Internet con ocasión de la campaña electoral para las elecciones cantonales en las que la GC se había presentado como candidata. En la fecha en que se denegó la solicitud de retirada de enlaces presentada por la interesada, esta no había sido elegida ni era candidata a ningún cargo político local y ya no ejercía las funciones de jefa de gabinete del alcalde del referido municipio.
26 AF había solicitado la retirada de enlaces que remitían a un artículo del diario Libération de 9 de septiembre de 2008, reproducido en el sitio de Internet del Centre contre les manipulations mentales (CCMM) (Centro contra la Manipulación Mental, Francia), relativo al suicidio de una adepta de la Iglesia de la Cienciología en diciembre de 2006. En dicho artículo, se mencionaba a AF como responsable de relaciones públicas de la Iglesia de la Cienciología, función que ya no ejerce. Además, el autor de dicho artículo afirmaba que se había puesto en contacto con AF para obtener su versión de los hechos y relataba las declaraciones recabadas en ese contexto.
27 BH había solicitado la retirada de enlaces que remitían a artículos, fundamentalmente periodísticos, sobre el sumario abierto en el mes de junio de 1995 en relación con la financiación del Parti Républicain (PR), en el marco del cual fue investigado junto con varios empresarios y políticos. El procedimiento incoado en su contra concluyó mediante auto de sobreseimiento de 26 de febrero de 2010. La mayor parte de los enlaces controvertidos dirigían a artículos que se habían publicado en el momento en que se inició la fase de instrucción, por lo que no informaban del desenlace del procedimiento.
28 ED había solicitado la retirada de enlaces que remitían a dos artículos, publicados por los diarios Nice Matin y Le Figaro, en los que se informaba del juicio oral en el que ED fue condenado a una pena de siete años de prisión y a una pena accesoria de diez años de seguimiento sociojudicial por agresión sexual a menores de quince años. Una de estas crónicas judiciales mencionaba, además, varios detalles íntimos relativos a ED, que salieron a la luz durante el juicio.
29 Tras ver denegadas sus solicitudes de retirada de enlaces por parte de Google, los demandantes en el litigio principal presentaron sendas denuncias ante la CNIL para que se instara a dicha sociedad a retirar los enlaces controvertidos. Mediante respectivos escritos de 24 de abril de 2015, 28 de agosto de 2015, 21 de marzo de 2016 y 9 de mayo de 2016, la Presidenta de la CNIL informó a los demandantes en el litigio principal de que sus denuncias habían sido archivadas.
30 Los demandantes en el litigio principal interpusieron entonces ante el órgano jurisdiccional remitente, el Conseil d’État (Consejo de Estado, actuando como Tribunal Supremo de lo Contencioso-Administrativo, Francia), sendos recursos contra las negativas de la CNIL a requerir a Google que retirara los enlaces señalados. Estos recursos fueron acumulados por el órgano jurisdiccional remitente.
31 Al entender que tales recursos plantean varias dificultades serias de interpretación de la Directiva 95/46, el Conseil d’État (Consejo de Estado) decidió suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales:
«1) Habida cuenta de las responsabilidades, las competencias y las posibilidades específicas del gestor de un motor de búsqueda, ¿se aplica igualmente a ese gestor, en cuanto responsable del tratamiento que constituye dicho motor de búsqueda, la prohibición impuesta a los otros responsables del tratamiento de tratar los datos mencionados en los apartados 1 y 5 del artículo 8 de la Directiva 95/46, sin perjuicio de las excepciones previstas en esta Directiva?
2) En caso de respuesta afirmativa a la primera cuestión prejudicial:
a) ¿Debe interpretarse el artículo 8, apartados 1 y 5, de la Directiva 95/46 en el sentido de que la prohibición impuesta al gestor de un motor de búsqueda de tratar los datos mencionados en tales disposiciones, sin perjuicio de las excepciones previstas en esta Directiva, lo obliga a aceptar sistemáticamente las solicitudes de retirada relativas a enlaces que lleven a páginas web que traten tales datos?
b) En tales circunstancias, ¿cómo han de interpretarse las excepciones previstas en el artículo 8, apartado 2, letras a) y e), de la Directiva 95/46 cuando se aplican al gestor de un motor de búsqueda, habida cuenta de sus responsabilidades, de sus competencias y de sus posibilidades específicas? En particular, ¿puede negarse dicho gestor a aceptar una solicitud de retirada cuando constate que los enlaces controvertidos dirigen a contenido que, si bien incluye datos comprendidos en las categorías mencionadas en el apartado 1 del artículo 8, está igualmente comprendido en el ámbito de aplicación de las excepciones previstas en el apartado 2 de este mismo artículo, en concreto, en sus letras a) y e)?
c) De la misma manera, ¿deben interpretarse las disposiciones de la Directiva 95/46 en el sentido de que, cuando los enlaces cuya retirada se solicita conducen a tratamientos de datos personales efectuados con fines exclusivamente periodísticos o de expresión artística o literaria, los cuales pueden, por ese motivo, en virtud del artículo 9 de la Directiva 95/46, recoger y tratar datos comprendidos en las categorías mencionadas en el artículo 8, apartados 1 y 5, de esta Directiva, el gestor de un motor de búsqueda puede, por esta razón, negarse a aceptar una solicitud de retirada de enlaces?
3) En caso de respuesta negativa a la primera cuestión prejudicial:
a) ¿Qué exigencias concretas de la Directiva 95/46 debe satisfacer el gestor de un motor de búsqueda, habida cuenta de sus responsabilidades, de sus competencias y de sus posibilidades?
b) Cuando compruebe que las páginas web a las que conducen los enlaces cuya retirada se solicita contienen datos cuya publicación en dichas páginas es ilegal, ¿deben interpretarse las disposiciones de la Directiva 95/46 en el sentido:
– de que obligan al gestor de un motor de búsqueda a eliminar dichos enlaces de la lista de resultados obtenida tras una búsqueda efectuada a partir del nombre del solicitante;
– o de que implican solamente que este tenga en cuenta dicha circunstancia para apreciar la pertinencia de la solicitud de retirada de enlaces;
– o de que dicha circunstancia carece de importancia a efectos de la apreciación que ha de llevar a cabo?
Por otra parte, si esta circunstancia no es inoperante, ¿cómo ha de apreciarse la legalidad de la publicación de los datos controvertidos en páginas web que provienen de tratamientos que no entran dentro del ámbito de aplicación territorial de la Directiva 95/46 y, por lo tanto, de las legislaciones nacionales que la aplican?
4) Al margen de la respuesta que se dé a la primera cuestión prejudicial:
a) Independientemente de la legalidad de la publicación de los datos personales en la página web a la que conduce el enlace controvertido, ¿deben interpretarse las disposiciones de la Directiva 95/46 en el sentido de que:
– cuando el solicitante acredite que esos datos son incompletos o inexactos o que no están actualizados, el gestor de un motor de búsqueda está obligado a aceptar la correspondiente solicitud de retirada?
– En particular, cuando el solicitante demuestre que, habida cuenta del desarrollo de un procedimiento judicial, la información relativa a una etapa anterior de ese procedimiento ya no se corresponde con la realidad de su situación, ¿está obligado el gestor de un motor de búsqueda a retirar los enlaces que dirijan a las páginas web que contienen tal información?
[b)] ¿Debe interpretarse el artículo 8, apartado 5, de la Directiva 95/46 en el sentido de que los datos sobre la imputación de una persona o sobre un juicio, y la condena que se deriva de este, constituyen datos relativos a infracciones y a condenas penales? En general, cuando una página web contiene datos sobre la condena o los procedimientos judiciales que atañen a una persona física, ¿está comprendida esa página web en el ámbito de aplicación de esta disposición?»
Sobre las cuestiones prejudiciales
32 Las cuestiones prejudiciales planteadas tienen por objeto la interpretación de la Directiva 95/46, que era aplicable en la fecha de presentación de la petición de decisión prejudicial. Esta Directiva fue derogada con efecto a partir del 25 de mayo de 2018, fecha a partir de la cual resulta de aplicación el Reglamento 2016/679.
33 El Tribunal de Justicia examinará las cuestiones prejudiciales planteadas a la luz de la Directiva, teniendo en cuenta, sin embargo, igualmente el Reglamento para el análisis de aquellas, con el fin de garantizar que sus respuestas sean, en todo caso, útiles para el órgano jurisdiccional remitente.
Sobre la primera cuestión prejudicial
34 Mediante su primera cuestión prejudicial, el órgano jurisdiccional remitente pide, en esencia, que se dilucide si el artículo 8, apartados 1 y 5, de la Directiva 95/46 debe interpretarse en el sentido de que la prohibición o las restricciones relativas al tratamiento de las categorías especiales de datos personales a las que se refiere esta disposición se aplican, sin perjuicio de las excepciones establecidas en esta Directiva, al gestor de un motor de búsqueda en el marco de sus responsabilidades, de sus competencias y de sus posibilidades en cuanto responsable del tratamiento realizado por las necesidades de funcionamiento de dicho motor.
35 A este respecto, procede recordar, por un lado, que la actividad de un motor de búsqueda, que consiste en hallar información publicada o puesta en Internet por terceros, indexarla de manera automática, almacenarla temporalmente y, por último, ponerla a disposición de los internautas según un orden de preferencia determinado, debe calificarse de «tratamiento de datos personales», en el sentido del artículo 2, letra b), de la Directiva 95/46, cuando esa información contenga datos personales y, por otro lado, que el gestor de un motor de búsqueda debe ser considerado «responsable» de dicho tratamiento, en el sentido del artículo 2, letra d), de esta Directiva (sentencia de 13 de mayo de 2014, Google Spain y Google, C‑131/12, EU:C:2014:317, apartado 41).
36 Efectivamente, el tratamiento de datos personales llevado a cabo en el marco de la actividad de un motor de búsqueda se distingue del realizado por los editores de sitios de Internet, que consiste en hacer figurar esos datos en una página web, y se añade a él, y esta actividad desempeña un papel decisivo en la difusión global de dichos datos en la medida en que facilita el acceso a ellos a todo internauta que efectúe una búsqueda a partir del nombre del interesado, incluidos los internautas que, de no ser así, no habrían encontrado la página web en la que se publican estos mismos datos. Además, la organización y la agregación de la información publicada en Internet que efectúan los motores de búsqueda para facilitar a sus usuarios el acceso a ella puede conducir, cuando la búsqueda de los usuarios se lleva a cabo a partir del nombre de una persona física, a que estos obtengan mediante la lista de resultados una visión estructurada de la información relativa a esta persona que puede hallarse en Internet que les permita establecer un perfil más o menos detallado del interesado (sentencia de 13 de mayo de 2014, Google Spain y Google, C‑131/12, EU:C:2014:317, apartados 35 a 37).
37 En consecuencia, en la medida en que la actividad de un motor de búsqueda puede afectar, significativamente y de modo adicional a la de los editores de sitios de Internet, a los derechos fundamentales al respeto de la vida privada y a la protección de datos personales, el gestor de este motor, como persona que determina los fines y los medios de esta actividad, debe garantizar, en el marco de sus responsabilidades, de sus competencias y de sus posibilidades, que dicha actividad satisfaga las exigencias de la Directiva 95/46 para que las garantías establecidas en ella puedan tener pleno efecto y pueda llevarse a cabo una protección eficaz y completa de los interesados, en particular, de su derecho al respeto de la vida privada (sentencia de 13 de mayo de 2014, Google Spain y Google, C‑131/12, EU:C:2014:317, apartado 38).
38 La primera cuestión prejudicial tiene por objeto que se determine si, en el marco de sus responsabilidades, de sus competencias y de sus posibilidades, el gestor de un motor de búsqueda también debe cumplir las exigencias que la Directiva 95/46 establece en relación con las categorías especiales de datos personales a las que se refiere el artículo 8, apartados 1 y 5, de esta cuando tales datos figuren en la información publicada o puesta en Internet por terceros y sean objeto de tratamiento por parte de ese gestor por las necesidades de funcionamiento de su motor de búsqueda.
39 Por lo que se refiere a esas categorías especiales de datos, el artículo 8, apartado 1, de la Directiva 95/46 dispone que los Estados miembros prohibirán el tratamiento de datos personales que revelen el origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas o la pertenencia a sindicatos, así como el tratamiento de los datos relativos a la salud o a la sexualidad. Se establecen determinadas excepciones y restricciones a esta prohibición, en particular, en el artículo 8, apartado 2.
40 El artículo 8, apartado 5, de la Directiva 95/46 preceptúa que el tratamiento de datos relativos a infracciones, condenas penales o medidas de seguridad solo podrá efectuarse bajo el control de la autoridad pública o si hay previstas garantías adecuadas y específicas en el Derecho nacional, sin perjuicio de las excepciones que podrá establecer el Estado miembro basándose en disposiciones nacionales que prevean garantías apropiadas y específicas. Sin embargo, solo podrá llevarse un registro completo de condenas penales bajo el control de los poderes públicos. Los Estados miembros podrán establecer que el tratamiento de datos relativos a sanciones administrativas o procesos civiles se realicen asimismo bajo el control de los poderes públicos.
41 El contenido del artículo 8, apartados 1 y 5, de la Directiva 95/46 ha quedado recogido, con algunas modificaciones, en los artículos 9, apartado 1, y 10 del Reglamento 2016/679.
42 Conviene comenzar señalando que del tenor de estas disposiciones de la Directiva 95/46 y del Reglamento 2016/679 se desprende que la prohibición y las restricciones que establecen se aplican, sin perjuicio de las excepciones previstas por esta Directiva y este Reglamento, a todos los tratamientos de las categorías especiales de datos a las que se refieren dichas disposiciones y a todos los responsables que realicen tales tratamientos.
43 Además, ninguna otra disposición de dicha Directiva o de dicho Reglamento establece una excepción general a esta prohibición o a estas restricciones a favor de un tratamiento como el realizado durante la actividad de un motor de búsqueda. Por el contrario, como se desprende del apartado 37 de la presente sentencia, de la estructura general de estos textos resulta que el gestor de un motor de esta índole, al igual que cualquier otro responsable del tratamiento, debe garantizar, en el marco de sus responsabilidades, de sus competencias y de sus posibilidades, que el tratamiento de datos personales que realice cumpla las exigencias de la Directiva 95/46 o del Reglamento 2016/679.
44 Por último, una interpretación del artículo 8, apartados 1 y 5, de la Directiva 95/46 o de los artículos 9, apartado 1, y 10 del Reglamento 2016/679 que excluyera, a priori y de forma general, la actividad de un motor de búsqueda de las exigencias específicas que estas disposiciones establecen en relación con los tratamientos de las categorías especiales de datos a las que se refieren sería contraria a la finalidad de dichas disposiciones, que consiste en garantizar una mayor protección frente a tales tratamientos, que, en atención a la particular sensibilidad de esos datos, pueden constituir, como se desprende igualmente del considerando 33 de la Directiva y del considerando 51 del Reglamento, una injerencia especialmente grave en los derechos fundamentales al respeto de la vida privada y a la protección de los datos personales, garantizados por los artículos 7 y 8 de la Carta.
45 Aunque, al contrario de lo que aduce especialmente Google, las particularidades del tratamiento realizado por el gestor de un motor de búsqueda en el marco de la actividad de ese motor no pueden justificar, por lo tanto, que dicho gestor quede eximido de cumplir el artículo 8, apartados 1 y 5, de la Directiva 95/46 y los artículos 9, apartado 1, y 10 del Reglamento 2016/679, esas particularidades sí pueden influir en el alcance de la responsabilidad y de las obligaciones concretas de tal gestor a la luz de esas disposiciones.
46 A este respecto, es preciso señalar que, como subraya la Comisión Europea, el gestor de un motor de búsqueda no es responsable de que los datos personales a los que se refieren dichas disposiciones figuren en una página web publicada por un tercero, sino de crear un enlace a esa página y, sobre todo, de mostrarlo en la lista de resultados que se presenta a los internautas tras una búsqueda efectuada a partir del nombre de una persona física, ya que mostrar tal enlace puede afectar significativamente a los derechos fundamentales del interesado al respeto de su vida privada y a la protección de los datos personales que le conciernen (véase, en este sentido, la sentencia de 13 de mayo de 2014, Google Spain y Google, C‑131/12, EU:C:2014:317, apartado 80).
47 En estas circunstancias, habida cuenta de las responsabilidades, las competencias y las posibilidades del gestor de un motor de búsqueda en cuanto responsable del tratamiento realizado en el marco de la actividad de ese motor, la prohibición y las restricciones establecidas en el artículo 8, apartados 1 y 5, de la Directiva 95/46 y en los artículos 9, apartado 1, y 10 del Reglamento 2016/679 solo pueden aplicarse a ese gestor, como indicó el Abogado General en el punto 56 de sus conclusiones y como han señalado en esencia cuantos se han pronunciado sobre este extremo, en razón de esa tarea de enumeración de resultados y, por lo tanto, a través de la comprobación a la que cabrá proceder, bajo el control de las autoridades nacionales competentes, tras la recepción de una solicitud formulada por el interesado.
48 De las anteriores consideraciones se desprende que procede responder a la primera cuestión prejudicial que el artículo 8, apartados 1 y 5, de la Directiva 95/46 debe interpretarse en el sentido de que la prohibición o las restricciones relativas al tratamiento de las categorías especiales de datos personales a las que se refiere esta disposición se aplican, sin perjuicio de las excepciones establecidas en esta Directiva, al gestor de un motor de búsqueda en el marco de sus responsabilidades, de sus competencias y de sus posibilidades en cuanto responsable del tratamiento realizado durante la actividad de ese motor a raíz de la comprobación a la que deberá proceder ese gestor, bajo el control de las autoridades nacionales competentes, tras recibir una solicitud presentada por el interesado.
Sobre la segunda cuestión prejudicial
49 Mediante su segunda cuestión prejudicial, que consta de tres partes, el órgano jurisdiccional remitente pide, en esencia, que se dilucide:
– si el artículo 8, apartados 1 y 5, de la Directiva 95/46 debe interpretarse en el sentido de que, en su virtud, el gestor de un motor de búsqueda está obligado, sin perjuicio de las excepciones establecidas en esta Directiva, a estimar las solicitudes de retirada de enlaces que dirigen a páginas web en las que figuran datos personales comprendidos en las categorías especiales a las que se refiere esta disposición;
– si el artículo 8, apartado 2, letras a) y e), de la Directiva 95/46 debe interpretarse en el sentido de que, con arreglo a él, tal gestor puede negarse a estimar una solicitud de retirada de enlaces cuando compruebe que los enlaces controvertidos dirigen a contenidos que incluyen datos personales comprendidos en las categorías especiales a las que se refiere el artículo 8, apartado 1, pero cuyo tratamiento está amparado por alguna de las excepciones establecidas en el citado artículo 8, apartado 2, letras a) y e), y
– si las disposiciones de la Directiva 95/46 deben interpretarse en el sentido de que el gestor de un motor de búsqueda también puede negarse a estimar una solicitud de retirada de enlaces por el hecho de que los enlaces cuya retirada se solicita dirijan a páginas web en las que se publican los datos personales comprendidos en las categorías especiales a las que se refiere el artículo 8, apartados 1 y 5, de esta Directiva con fines exclusivamente periodísticos o de expresión artística o literaria y, por lo tanto, tal publicación está amparada por la excepción establecida en el artículo 9 de dicha Directiva.
50 Con carácter preliminar, debe señalarse que, en el marco de la Directiva 95/46, las solicitudes de retirada de enlaces como las controvertidas en el litigio principal tienen su fundamento, en particular, en el artículo 12, letra b), de la Directiva, en virtud del cual los Estados miembros garantizarán a los interesados el derecho de obtener del responsable del tratamiento la supresión de los datos cuyo tratamiento no se ajuste a esta Directiva.
51 Por otra parte, según el artículo 14, párrafo primero, letra a), de la Directiva 95/46, los Estados miembros reconocerán al interesado el derecho a oponerse, al menos en los casos contemplados en el artículo 7, letras e) y f), de esta Directiva, en cualquier momento y por razones legítimas propias de su situación particular, a que los datos que le conciernan sean objeto de tratamiento, salvo cuando la legislación nacional disponga otra cosa.
52 A este respecto, es preciso recordar que el Tribunal de Justicia ha declarado que los artículos 12, letra b), y 14, párrafo primero, letra a), de la Directiva 95/46 deben interpretarse en el sentido de que, para respetar los derechos que establecen estas disposiciones, siempre que se cumplan realmente los requisitos establecidos en ellas, el gestor de un motor de búsqueda está obligado a eliminar de la lista de resultados obtenida tras una búsqueda efectuada a partir del nombre de una persona enlaces a páginas web, publicadas por terceros y que contienen información relativa a esta persona, también en el supuesto de que este nombre o esta información no se borren previa o simultáneamente de estas páginas web, y, en su caso, aunque la publicación en dichas páginas sea en sí misma lícita (sentencia de 13 de mayo de 2014, Google Spain y Google, C‑131/12, EU:C:2014:317, apartado 88).
53 Además, el Tribunal de Justicia ha puntualizado que, al analizar los requisitos de aplicación de dichas disposiciones, se tendrá que examinar, en particular, si el interesado tiene derecho a que la información en cuestión relativa a su persona ya no esté, en la situación actual, vinculada a su nombre por una lista de resultados obtenida tras una búsqueda efectuada a partir de su nombre, sin que la apreciación de la existencia de tal derecho presuponga que la inclusión de la información en cuestión en la lista de resultados cause un perjuicio al interesado. Puesto que este puede, habida cuenta de los derechos fundamentales que le reconocen los artículos 7 y 8 de la Carta, solicitar que la información de que se trate ya no se ponga a disposición del público en general mediante su inclusión en tal lista de resultados, estos derechos prevalecen, en principio, no solo sobre el interés económico del gestor del motor de búsqueda, sino también sobre el interés de dicho público en acceder a la mencionada información en una búsqueda que tenga por objeto el nombre de esa persona. Sin embargo, tal no sería el caso si resultara, por razones concretas, como el papel desempeñado por el interesado en la vida pública, que la injerencia en sus derechos fundamentales está justificada por el interés preponderante de dicho público en tener, a raíz de esta inclusión, acceso a la información de que se trate (sentencia de 13 de mayo de 2014, Google Spain y Google, C‑131/12, EU:C:2014:317, apartado 99).
54 En el contexto del Reglamento 2016/679, el legislador de la Unión Europea ha establecido, en el artículo 17 de este Reglamento, una disposición que regula específicamente el «derecho de supresión», también denominado en el título de este artículo «derecho al olvido».
55 Con arreglo al artículo 17, apartado 1, del Reglamento 2016/679, el interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan y el responsable del tratamiento estará obligado a suprimir lo antes posible esos datos cuando concurra alguna de las circunstancias enumeradas en esta disposición. Entre esas circunstancias, dicha disposición menciona el hecho de que los datos ya no sean necesarios en relación con los fines para los que fueron tratados; que el interesado retire el consentimiento en que se basa el tratamiento y tal tratamiento no se base en otro fundamento jurídico; que el interesado se oponga al tratamiento con arreglo al artículo 21, apartados 1 o 2, de este Reglamento, que sustituye al artículo 14 de la Directiva 95/46; que los datos hayan sido tratados ilícitamente; que estos deban suprimirse para cumplir una obligación legal, o que se hayan obtenido en relación con la oferta a niños de servicios de la sociedad de la información.
56 Sin embargo, el artículo 17, apartado 3, de dicho Reglamento especifica que el artículo 17, apartado 1, no se aplicará cuando el tratamiento sea necesario por alguna de las razones enunciadas en el propio apartado 3 de este artículo. Estas razones incluyen, entre otras, de conformidad con el artículo 17, apartado 3, letra a), del mismo Reglamento, el ejercicio, en particular, del derecho a la libertad de información.
57 El hecho de que el artículo 17, apartado 3, letra a), del Reglamento 2016/679 establezca ya expresamente que el derecho al olvido del interesado queda excluido cuando el tratamiento resulta necesario para ejercer, entre otros, el derecho a la libertad de información, garantizada por el artículo 11 de la Carta, pone de manifiesto que el derecho a la protección de los datos personales no constituye un derecho absoluto, sino que, como subraya el considerando 4 de este Reglamento, debe considerarse en relación con su función en la sociedad y mantener el equilibrio con otros derechos fundamentales, con arreglo al principio de proporcionalidad [véanse, en este sentido, la sentencia de 9 de noviembre de 2010, Volker und Markus Schecke y Eifert, C‑92/09 y C‑93/09, EU:C:2010:662, apartado 48, y el dictamen 1/15 (Acuerdo PNR UE-Canadá), de 26 de julio de 2017, EU:C:2017:592, apartado 136].
58 En este contexto, cabe recordar que el artículo 52, apartado 1, de la Carta reconoce que pueden introducirse limitaciones al ejercicio de derechos y libertades como los consagrados en los artículos 7 y 8 de esta, siempre que tales limitaciones estén establecidas por la ley, respeten el contenido esencial de dichos derechos y libertades y, respetando el principio de proporcionalidad, sean necesarias y respondan efectivamente a objetivos de interés general reconocidos por la Unión o a la necesidad de protección de los derechos y libertades de los demás (sentencia de 9 de noviembre de 2010, Volker und Markus Schecke y Eifert, C‑92/09 y C‑93/09, EU:C:2010:662, apartado 50).
59 Así pues, el Reglamento 2016/679, en particular con su artículo 17, apartado 3, letra a), establece explícitamente la exigencia de que se ponderen, por un lado, los derechos fundamentales al respeto de la vida privada y a la protección de los datos personales, consagrados en los artículos 7 y 8 de la Carta, y, por otro lado, el derecho fundamental a la libertad de información, garantizado por el artículo 11 de la Carta.
60 Teniendo en cuenta estas consideraciones, debe examinarse en qué situaciones el gestor de un motor de búsqueda está obligado a estimar una solicitud de retirada de enlaces y, por lo tanto, a suprimir de la lista de resultados obtenida tras una búsqueda efectuada a partir del nombre del interesado el enlace a una página web en la que figuran datos personales comprendidos en las categorías especiales a las que se refiere el artículo 8, apartados 1 y 5, de la Directiva 95/46.
61 A este respecto, procede comenzar señalando que el tratamiento de las categorías especiales de datos a las que se refiere el artículo 8, apartado 1, de la Directiva 95/46 por parte del gestor de un motor de búsqueda puede ser sometido, en principio, a las excepciones establecidas en el artículo 8, apartado 2, letras a) y e), al que hace referencia el órgano jurisdiccional remitente y que dispone que la prohibición de tratamiento de esas categorías especiales de datos no se aplicará cuando el interesado haya dado su consentimiento explícito a dicho tratamiento, salvo en los casos en los que la legislación del Estado miembro de que se trate prohíba tal consentimiento, o cuando el tratamiento se refiera a datos que el interesado haya hecho manifiestamente públicos. Estas excepciones han quedado recogidas en el artículo 9, apartado 2, letras a) y e), del Reglamento 2016/679. Además, el artículo 9, apartado 2, letra g), de este Reglamento, que reproduce en esencia el artículo 8, apartado 4, de la Directiva 95/46, permite el tratamiento de dichas categorías de datos por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas apropiadas y específicas para proteger los intereses y derechos fundamentales del interesado.
62 Por lo que se refiere a la excepción contenida en el artículo 8, apartado 2, letra a), de la Directiva 95/46 y en el artículo 9, apartado 2, letra a), del Reglamento 2016/679, de la definición del concepto de «consentimiento» que dan el artículo 2, letra h), de esta Directiva y el artículo 4, punto 11, de este Reglamento se desprende que el consentimiento debe ser «específico» y, por lo tanto, referirse específicamente al tratamiento realizado en el marco de la actividad del motor de búsqueda y, en consecuencia, al hecho de que el tratamiento permite a terceros obtener, mediante una búsqueda efectuada a partir del nombre del interesado, una lista de resultados que incluye enlaces que dirigen a páginas web que contienen datos sensibles que le conciernen. Ahora bien, en la práctica, es difícilmente concebible, y por lo demás no se desprende de los autos que obran en poder del Tribunal de Justicia, que el gestor de un motor de búsqueda solicite el consentimiento expreso de los interesados antes de tratar, a efectos de su actividad de enumeración de resultados, los datos personales que conciernen a aquellos. En cualquier caso, como han observado especialmente los Gobiernos francés y polaco y la Comisión, el hecho mismo de que una persona presente una solicitud de retirada de enlaces significa, en principio, que, al menos en la fecha de dicha solicitud, ya no consiente en el tratamiento que realiza el gestor del motor de búsqueda. En este contexto, cabe recordar igualmente que el artículo 17, apartado 1, letra b), de dicho Reglamento contempla, entre las circunstancias que justifican el «derecho al olvido», el que el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 9, apartado 2, letra a), del mismo Reglamento y que tal tratamiento no se base en otro fundamento jurídico.
63 En cambio, la circunstancia, contenida en el artículo 8, apartado 2, letra e), de la Directiva 95/46 y en el artículo 9, apartado 2, letra e), del Reglamento 2016/679, de que el interesado haya hecho manifiestamente públicos los datos de que se trate está destinada, como han señalado en esencia cuantos se han pronunciado sobre este extremo, a ser aplicada tanto al gestor del motor de búsqueda como al editor de la página web en cuestión.
64 Por lo tanto, en ese supuesto, a pesar de que la página web obtenida incluya datos personales comprendidos en las categorías especiales a las que se refieren el artículo 8, apartado 1, de la Directiva 95/46 y el artículo 9, apartado 1, del Reglamento 2016/679, el tratamiento de estos datos por el gestor del motor de búsqueda en el marco de la actividad de ese motor es conforme con esas disposiciones, siempre que tal tratamiento cumpla asimismo los demás requisitos de legalidad exigidos, en particular, por el artículo 6 de esta Directiva o por el artículo 5 de este Reglamento (véase, en este sentido, la sentencia de 13 de mayo de 2014, Google Spain y Google, C‑131/12, EU:C:2014:317, apartado 72).
65 Sin embargo, incluso en tal supuesto, con arreglo al artículo 14, párrafo primero, letra a), de la Directiva 95/46 y a los artículos 17, apartado 1, letra c), y 21, apartado 1, del Reglamento 2016/676, el interesado puede tener derecho a que se retire el enlace controvertido por razones propias de su situación particular.
66 En todo caso, el gestor de un motor de búsqueda que reciba una solicitud de retirada de enlaces deberá comprobar, a la luz de los motivos de interés público importantes a los que se refieren el artículo 8, apartado 4, de la Directiva 95/46 y el artículo 9, apartado 2, letra g), del Reglamento 2016/679 y respetando los requisitos establecidos en estas disposiciones, si la inclusión del enlace que dirige a la página web en cuestión en la lista de resultados obtenida tras una búsqueda efectuada a partir del nombre del interesado es necesaria para el ejercicio del derecho a la libertad de información de los internautas potencialmente interesados en acceder a esa página web mediante tal búsqueda, libertad garantizada por el artículo 11 de la Carta. Aunque los derechos del interesado protegidos por los artículos 7 y 8 de la Carta prevalecen, con carácter general, sobre la libertad de información de los internautas, este equilibrio puede depender, en supuestos específicos, de la naturaleza de la información de que se trate, del carácter sensible de esta para la vida privada del interesado y del interés del público en disponer de esta información, que puede variar, en particular, en función del papel que el interesado desempeñe en la vida pública (véase, en este sentido, la sentencia de 13 de mayo de 2014, Google Spain y Google, C‑131/12, EU:C:2014:317, apartado 81).
67 A esto se añade el hecho de que, en el supuesto de que el tratamiento tenga por objeto las categorías especiales de datos a las que se refieren el artículo 8, apartados 1 y 5, de la Directiva 95/46 y los artículos 9, apartado 1, y 10 del Reglamento 2016/679, la injerencia en los derechos fundamentales al respeto de la vida privada y a la protección de los datos personales del interesado puede ser particularmente grave, como se ha señalado en el apartado 44 de la presente sentencia, en razón de la sensibilidad de esos datos.
68 Por lo tanto, el gestor de un motor de búsqueda que reciba una solicitud de retirada de un enlace que dirige a una página web en la que se publican tales datos sensibles deberá comprobar, basándose en todos los elementos pertinentes del caso concreto y teniendo en cuenta la gravedad de la injerencia en los derechos fundamentales del interesado al respeto de la vida privada y a la protección de los datos personales consagrados en los artículos 7 y 8 de la Carta, a la luz de los motivos de interés público importantes a los que se refieren el artículo 8, apartado 4, de la Directiva 95/46 y el artículo 9, apartado 2, letra g), del Reglamento 2016/679, si la inclusión de dicho enlace en la lista de resultados obtenida tras una búsqueda efectuada a partir del nombre del interesado es estrictamente necesaria para proteger la libertad de información de los internautas potencialmente interesados en acceder a esa página web mediante tal búsqueda, consagrada en el artículo 11 de la Carta.
69 Del conjunto de consideraciones anteriores se desprende que procede responder a la segunda cuestión prejudicial del siguiente modo:
– El artículo 8, apartados 1 y 5, de la Directiva 95/46 debe interpretarse en el sentido de que, en su virtud, el gestor de un motor de búsqueda está obligado, en principio, sin perjuicio de las excepciones establecidas en esta Directiva, a estimar las solicitudes de retirada de enlaces que dirigen a páginas web en las que figuran datos personales comprendidos en las categorías especiales a las que se refiere esta disposición.
– El artículo 8, apartado 2, letra e), de la Directiva 95/46 debe interpretarse en el sentido de que, con arreglo a él, tal gestor puede negarse a estimar una solicitud de retirada de enlaces cuando compruebe que los enlaces controvertidos dirigen a contenidos que incluyen datos personales comprendidos en las categorías especiales a las que se refiere el artículo 8, apartado 1, pero cuyo tratamiento está amparado por la excepción establecida en el citado artículo 8, apartado 2, letra e), siempre que ese tratamiento cumpla los demás requisitos de legalidad exigidos por esta Directiva y salvo que el interesado tenga derecho, en virtud del artículo 14, párrafo primero, letra a), de dicha Directiva, a oponerse a tal tratamiento por razones legítimas propias de su situación particular.
– Las disposiciones de la Directiva 95/46 deben interpretarse en el sentido de que el gestor de un motor de búsqueda que reciba una solicitud de retirada de un enlace que dirige a una página web en la que se publican datos personales comprendidos en las categorías especiales a las que se refiere el artículo 8, apartados 1 y 5, de esta Directiva deberá comprobar, basándose en todos los elementos pertinentes del caso concreto y teniendo en cuenta la gravedad de la injerencia en los derechos fundamentales del interesado al respeto de la vida privada y a la protección de los datos personales consagrados en los artículos 7 y 8 de la Carta, a la luz de los motivos de interés público importantes a los que se refiere el artículo 8, apartado 4, de dicha Directiva y respetando los requisitos establecidos en esta disposición, si la inclusión de dicho enlace en la lista de resultados obtenida tras una búsqueda efectuada a partir del nombre del interesado es estrictamente necesaria para proteger la libertad de información de los internautas potencialmente interesados en acceder a esa página web mediante tal búsqueda, libertad consagrada en el artículo 11 de la Carta.
Sobre la tercera cuestión prejudicial
70 Al haberse planteado esta cuestión únicamente para el supuesto de que se diera una respuesta negativa a la primera cuestión prejudicial, no procede responder a ella, habida cuenta de la respuesta afirmativa dada a esta última.
Sobre la cuarta cuestión prejudicial
71 Mediante su cuarta cuestión prejudicial, el órgano jurisdiccional remitente pide, en esencia, que se dilucide si las disposiciones de la Directiva 95/46 deben interpretarse en el sentido de que:
– por un lado, los datos sobre un procedimiento judicial del que es objeto una persona física y, en su caso, sobre la condena que se derive de tal procedimiento constituyen datos relativos a las «infracciones» y a las «condenas penales», en el sentido del artículo 8, apartado 5, de la Directiva 95/46, y
– por otro lado, el gestor de un motor de búsqueda está obligado a estimar una solicitud de retirada de enlaces que dirigen a páginas web en las que figuran tales datos cuando estos se refieran a una etapa anterior del procedimiento judicial de que se trate y, habida cuenta del desarrollo de este, ya no se ajusten a la situación actual.
72 A este respecto, debe señalarse que, como observó el Abogado General en el punto 100 de sus conclusiones y como han alegado en particular el Gobierno francés, Irlanda, los Gobiernos italiano y polaco y la Comisión, los datos sobre un procedimiento judicial incoado contra una persona física, como los que relatan la imputación de esta o su enjuiciamiento y, en su caso, la condena resultante de este, constituyen datos relativos a las «infracciones» y a las «condenas penales», en el sentido del artículo 8, apartado 5, párrafo primero, de la Directiva 95/46 y del artículo 10 del Reglamento 2016/679, con independencia de que, durante dicho procedimiento judicial, se haya probado o no efectivamente la comisión de la infracción que se imputó a esa persona.
73 Por lo tanto, al incluir en la lista de resultados obtenida tras una búsqueda efectuada partir del nombre del interesado enlaces que dirigen a páginas webs en que se publican tales datos, el gestor de un motor de búsqueda realiza un tratamiento de estos que, con arreglo al artículo 8, apartado 5, párrafo primero, de la Directiva 95/46 y al artículo 10 del Reglamento 2016/679, está sujeto a restricciones particulares. Como ha observado la Comisión, en virtud de dichas disposiciones y siempre que se cumplan los demás requisitos de legalidad establecidos en la Directiva y en el Reglamento, tal tratamiento puede ser lícito si, en particular, el Derecho nacional prevé garantías apropiadas y específicas, lo que puede suceder cuando la información en cuestión es divulgada al público por las autoridades públicas de conformidad con el Derecho nacional aplicable.
74 Por lo que respecta a los demás requisitos de legalidad, es preciso recordar que de las exigencias establecidas en el artículo 6, apartado 1, letras c) a e), de la Directiva 95/46, que actualmente se recogen en el artículo 5, apartado 1, letras c) a e), del Reglamento 2016/679, se deduce que incluso un tratamiento inicialmente lícito de datos exactos puede devenir, con el tiempo, incompatible con dicha Directiva o dicho Reglamento cuando estos datos ya no sean necesarios en relación con los fines para los que se recogieron o trataron. Este será el caso, en particular, cuando sean inadecuados, no pertinentes o ya no pertinentes o sean excesivos en relación con estos fines y el tiempo transcurrido (sentencia de 13 de mayo de 2014, Google Spain y Google, C‑131/12, EU:C:2014:317, apartado 93).
75 Sin embargo, como se ha señalado en el apartado 66 de la presente sentencia, aun en el supuesto de que el tratamiento de los datos a los que se refieren el artículo 8, apartado 5, de la Directiva 95/46 y el artículo 10 del Reglamento 2016/679 no se ajuste a las restricciones establecidas en dichas disposiciones o a los demás requisitos de legalidad, como los contemplados en el artículo 6, apartado 1, letras c) a e), de la Directiva y en el artículo 5, apartado 1, letras c) a e), del Reglamento, el gestor de un motor de búsqueda deberá comprobar de todos modos, a la luz de los motivos de interés público importantes a los que se refieren el artículo 8, apartado 4, de dicha Directiva y el artículo 9, apartado 2, letra g), de dicho Reglamento y respetando los requisitos establecidos en estas disposiciones, si la inclusión del enlace que dirige a la página web en cuestión en la lista de resultados obtenida tras una búsqueda efectuada a partir del nombre del interesado es necesaria para el ejercicio del derecho a la libertad de información de los internautas potencialmente interesados en acceder a esa página web mediante tal búsqueda, libertad protegida por el artículo 11 de la Carta.
76 A este respecto, debe señalarse que de la jurisprudencia del Tribunal Europeo de Derechos Humanos se desprende que las solicitudes dirigidas por los interesados para que se prohíba, en virtud del artículo 8 del Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales, hecho en Roma el 4 de noviembre de 1950, que los diferentes medios de comunicación pongan en línea en Internet antiguos reportajes sobre procesos penales entablados contra esos interesados requieren que se establezca el justo equilibrio entre el derecho al respeto de la vida privada de los interesados y, en particular, la libertad de información del público. Para buscar tal equilibrio, debe tenerse en cuenta el papel esencial que la prensa desempeña en una sociedad democrática, que incluye la redacción de informes y comentarios sobre los procedimientos judiciales. Además, a la función de los medios de comunicación que consiste en divulgar tales informaciones e ideas se añade el derecho del público a recibirlas. El Tribunal Europeo de Derechos Humanos ha reconocido, en este contexto, que el público no solo tiene interés en ser informado sobre un acontecimiento de actualidad, sino también en poder investigar acontecimientos pasados, aunque el alcance del interés del público en los procedimientos penales sea variable y pueda evolucionar a lo largo del tiempo, en función, concretamente, de las circunstancias de cada asunto (TEDH, sentencia de 28 de junio de 2018, M.L. y W.W. c. Alemania, CE:ECHR:2018:0628JUD006079810, §§ 89 y 100 a 102).
77 Así pues, corresponde al gestor de un motor de búsqueda apreciar, en el marco de una solicitud de retirada de enlaces que dirigen a páginas web en las que se publica información sobre un procedimiento judicial en materia penal incoado contra el interesado, que hace referencia a una etapa anterior de ese procedimiento y que ya no corresponde a la situación actual, si, a la luz del conjunto de circunstancias del caso concreto, como, en particular, la naturaleza y la gravedad de la infracción en cuestión, el desarrollo y el desenlace de dicho procedimiento, el tiempo transcurrido, el papel desempeñado por el interesado en la vida pública y su comportamiento en el pasado, el interés del público en el momento de la solicitud, el contenido y la forma de la publicación y las repercusiones de esta en el interesado, este tiene derecho a que la información en cuestión ya no esté, en la situación actual, vinculada a su nombre por una lista de resultados obtenida tras una búsqueda efectuada a partir de su nombre.
78 No obstante, es preciso añadir que, aun cuando el gestor de un motor de búsqueda constate que este no es el caso por el hecho de que la inclusión del enlace controvertido es estrictamente necesaria para conciliar los derechos al respeto de la vida privada y a la protección de los datos del interesado con la libertad de información de los internautas potencialmente interesados, este gestor estará obligado, en todo caso, y a más tardar en el momento de la solicitud de retirada de enlaces, a estructurar la lista de resultados de tal manera que la imagen global que resulte de ella para el internauta refleje la situación judicial actual, lo que requerirá, en particular, que en dicha lista se indiquen en primer lugar enlaces a páginas web que contengan información al respecto.
79 Habida cuenta de las anteriores consideraciones, procede responder a la cuarta cuestión prejudicial que las disposiciones de la Directiva 95/46 deben interpretarse en el sentido de que:
– por un lado, los datos sobre un procedimiento judicial del que es objeto una persona física y, en su caso, sobre la condena que se derive de tal procedimiento constituyen datos relativos a las «infracciones» y a las «condenas penales», en el sentido del artículo 8, apartado 5, de la Directiva 95/46, y
– por otro lado, el gestor de un motor de búsqueda está obligado a estimar una solicitud de retirada de enlaces que dirigen a páginas web en las que figuran tales datos cuando estos se refieran a una etapa anterior del procedimiento judicial de que se trate y, habida cuenta del desarrollo de este, ya no se ajusten a la situación actual, en la medida en que se constate, en el marco de la comprobación de los motivos de interés público importantes a los que se refiere el artículo 8, apartado 4, de dicha Directiva que, a la luz del conjunto de circunstancias del caso concreto, los derechos fundamentales del interesado, garantizados por los artículos 7 y 8 de la Carta, prevalecen sobre los de los internautas potencialmente interesados, protegidos por el artículo 11 de la Carta.
Costas
80 Dado que el procedimiento tiene, para las partes del litigio principal, el carácter de un incidente promovido ante el órgano jurisdiccional remitente, corresponde a este resolver sobre las costas. Los gastos efectuados por quienes, no siendo partes del litigio principal, han presentado observaciones ante el Tribunal de Justicia no pueden ser objeto de reembolso.
En virtud de todo lo expuesto, el Tribunal de Justicia (Gran Sala) declara:
1) El artículo 8, apartados 1 y 5, de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, debe interpretarse en el sentido de que la prohibición o las restricciones relativas al tratamiento de las categorías especiales de datos personales a las que se refiere esta disposición se aplican, sin perjuicio de las excepciones establecidas en esta Directiva, al gestor de un motor de búsqueda en el marco de sus responsabilidades, de sus competencias y de sus posibilidades en cuanto responsable del tratamiento realizado durante la actividad de ese motor a raíz de la comprobación a la que deberá proceder ese gestor, bajo el control de las autoridades nacionales competentes, tras recibir una solicitud presentada por el interesado.
2) El artículo 8, apartados 1 y 5, de la Directiva 95/46 debe interpretarse en el sentido de que, en su virtud, el gestor de un motor de búsqueda está obligado, en principio, sin perjuicio de las excepciones establecidas en esta Directiva, a estimar las solicitudes de retirada de enlaces que dirigen a páginas web en las que figuran datos personales comprendidos en las categorías especiales a las que se refiere esta disposición.
El artículo 8, apartado 2, letra e), de la Directiva 95/46 debe interpretarse en el sentido de que, con arreglo a él, tal gestor puede negarse a estimar una solicitud de retirada de enlaces cuando compruebe que los enlaces controvertidos dirigen a contenidos que incluyen datos personales comprendidos en las categorías especiales a las que se refiere el artículo 8, apartado 1, pero cuyo tratamiento está amparado por la excepción establecida en el citado artículo 8, apartado 2, letra e), siempre que ese tratamiento cumpla los demás requisitos de legalidad exigidos por esta Directiva y salvo que el interesado tenga derecho, en virtud del artículo 14, párrafo primero, letra a), de dicha Directiva, a oponerse a tal tratamiento por razones legítimas propias de su situación particular.
Las disposiciones de la Directiva 95/46 deben interpretarse en el sentido de que el gestor de un motor de búsqueda que reciba una solicitud de retirada de un enlace que dirige a una página web en la que se publican datos personales comprendidos en las categorías especiales a las que se refiere el artículo 8, apartados 1 y 5, de esta Directiva deberá comprobar, basándose en todos los elementos pertinentes del caso concreto y teniendo en cuenta la gravedad de la injerencia en los derechos fundamentales del interesado al respeto de la vida privada y a la protección de los datos personales consagrados en los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea, a la luz de los motivos de interés público importantes a los que se refiere el artículo 8, apartado 4, de dicha Directiva y respetando los requisitos establecidos en esta disposición, si la inclusión de dicho enlace en la lista de resultados obtenida tras una búsqueda efectuada a partir del nombre del interesado es estrictamente necesaria para proteger la libertad de información de los internautas potencialmente interesados en acceder a esa página web mediante tal búsqueda, libertad consagrada en el artículo 11 de la Carta.
3) Las disposiciones de la Directiva 95/46 deben interpretarse en el sentido de que:
– por un lado, los datos sobre un procedimiento judicial del que es objeto una persona física y, en su caso, sobre la condena que se derive de tal procedimiento constituyen datos relativos a las «infracciones» y a las «condenas penales», en el sentido del artículo 8, apartado 5, de la Directiva 95/46, y
– por otro lado, el gestor de un motor de búsqueda está obligado a estimar una solicitud de retirada de enlaces que dirigen a páginas web en las que figuran tales datos cuando estos se refieran a una etapa anterior del procedimiento judicial de que se trate y, habida cuenta del desarrollo de este, ya no se ajusten a la situación actual, en la medida en que se constate, en el marco de la comprobación de los motivos de interés público importantes a los que se refiere el artículo 8, apartado 4, de dicha Directiva que, a la luz del conjunto de circunstancias del caso concreto, los derechos fundamentales del interesado, garantizados por los artículos 7 y 8 de la Carta, prevalecen sobre los de los internautas potencialmente interesados, protegidos por el artículo 11 de la Carta.
Firmas