CJUE, gr. ch., 13 mai 2014, n° C-131/12

Arrêt

1 La demande de décision préjudicielle porte sur l'interprétation des articles 2, sous b) et d), 4, paragraphe 1, sous a) et c), 12, sous b), et 14, premier alinéa, sous a), de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO L 281, p. 31), ainsi que de l'article 8 de la charte des droits fondamentaux de l'Union européenne (ci-après la "Charte").

2 Cette demande a été présentée dans le cadre d'un litige opposant Google Spain SL (ci-après "Google Spain") et Google Inc. à l'Agencia Española de Protección de Datos (AEPD) (agence de protection des données, ci-après l'"AEPD") et à M. Costeja González au sujet d'une décision de cette agence faisant droit à la plainte déposée par M. Costeja González contre ces deux sociétés et ordonnant à Google Inc. d'adopter les mesures nécessaires pour retirer des données à caractère personnel concernant M. Costeja González de son index et d'empêcher l'accès à celles-ci à l'avenir.

Le cadre juridique

Le droit de l'Union

3 La directive 95/46 qui, selon son article 1er, a pour objet la protection des libertés et des droits fondamentaux des personnes physiques, notamment du droit à la vie privée, à l'égard du traitement des données à caractère personnel, ainsi que l'élimination des obstacles à la libre circulation de ces données, énonce à ses considérants 2, 10, 18 à 20 et 25:

"(2) considérant que les systèmes de traitement de données sont au service de l'homme; qu'ils doivent, quelle que soit la nationalité ou la résidence des personnes physiques, respecter les libertés et droits fondamentaux de ces personnes, notamment la vie privée, et contribuer au [...] bien-être des individus;

[...]

(10) considérant que l'objet des législations nationales relatives au traitement des données à caractère personnel est d'assurer le respect des droits et libertés fondamentaux, notamment du droit à la vie privée reconnu également dans l'article 8 de la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales[, signée à Rome le 4 novembre 1950,] et dans les principes généraux du droit communautaire; que, pour cette raison, le rapprochement de ces législations ne doit pas conduire à affaiblir la protection qu'elles assurent mais doit, au contraire, avoir pour objectif de garantir un niveau élevé de protection dans la Communauté;

[...]

(18) considérant qu'il est nécessaire, afin d'éviter qu'une personne soit exclue de la protection qui lui est garantie en vertu de la présente directive, que tout traitement de données à caractère personnel effectué dans la Communauté respecte la législation de l'un des États membres; que, à cet égard, il est opportun de soumettre les traitements des données effectués par toute personne opérant sous l'autorité du responsable du traitement établi dans un État membre à l'application de la législation de cet État;

(19) considérant que l'établissement sur le territoire d'un État membre suppose l'exercice effectif et réel d'une activité au moyen d'une installation stable; que la forme juridique retenue pour un tel établissement, qu'il s'agisse d'une simple succursale ou d'une filiale ayant la personnalité juridique, n'est pas déterminante à cet égard; que, lorsqu'un même responsable est établi sur le territoire de plusieurs États membres, en particulier par le biais d'une filiale, il doit s'assurer, notamment en vue d'éviter tout contournement, que chacun des établissements remplit les obligations prévues par le droit national applicable aux activités de chacun d'eux;

(20) considérant que l'établissement, dans un pays tiers, du responsable du traitement de données ne doit pas faire obstacle à la protection des personnes prévue par la présente directive; que, dans ce cas, il convient de soumettre les traitements de données effectués à la loi de l'État membre dans lequel des moyens utilisés pour le traitement de données en cause sont localisés et de prendre des garanties pour que les droits et obligations prévus par la présente directive soient effectivement respectés;

[...]

(25) considérant que les principes de la protection doivent trouver leur expression, d'une part, dans les obligations mises à la charge des personnes [...] qui traitent des données, ces obligations concernant en particulier la qualité des données, la sécurité technique, la notification à l'autorité de contrôle, les circonstances dans lesquelles le traitement peut être effectué, et, d'autre part, dans les droits donnés aux personnes dont les données font l'objet d'un traitement d'être informées sur celui-ci, de pouvoir accéder aux données, de pouvoir demander leur rectification, voire de s'opposer au traitement dans certaines circonstances".

4 L'article 2 de la directive 95/46 dispose que, "[a]ux fins de [celle-ci], on entend par:

a) 'données à caractère personnel': toute information concernant une personne physique identifiée ou identifiable (personne concernée); est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d'identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale;

b) 'traitement de données à caractère personnel' (traitement): toute opération ou ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, ainsi que le verrouillage, l'effacement ou la destruction;

[...]

d) 'responsable du traitement': la personne physique ou morale, l'autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données à caractère personnel; lorsque les finalités et les moyens du traitement sont déterminés par des dispositions législatives ou réglementaires nationales ou communautaires, le responsable du traitement ou les critères spécifiques pour le désigner peuvent être fixés par le droit national ou communautaire;

[...]"

5 L'article 3 de ladite directive, intitulé "Champ d'application", énonce à son paragraphe 1:

"La présente directive s'applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu'au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier."

6 L'article 4 de la même directive, intitulé "Droit national applicable", prévoit:

"1. Chaque État membre applique les dispositions nationales qu'il arrête en vertu de la présente directive aux traitements de données à caractère personnel lorsque:

a) le traitement est effectué dans le cadre des activités d'un établissement du responsable du traitement sur le territoire de l'État membre; si un même responsable du traitement est établi sur le territoire de plusieurs États membres, il doit prendre les mesures nécessaires pour assurer le respect, par chacun de ses établissements, des obligations prévues par le droit national applicable;

b) le responsable du traitement n'est pas établi sur le territoire de l'État membre mais en un lieu où sa loi nationale s'applique en vertu du droit international public;

c) le responsable du traitement n'est pas établi sur le territoire de la Communauté et recourt, à des fins de traitement de données à caractère personnel, à des moyens, automatisés ou non, situés sur le territoire dudit État membre, sauf si ces moyens ne sont utilisés qu'à des fins de transit sur le territoire de la Communauté.

2. Dans le cas visé au paragraphe 1 point c), le responsable du traitement doit désigner un représentant établi sur le territoire dudit État membre, sans préjudice d'actions qui pourraient être introduites contre le responsable du traitement lui-même."

7 Sous le chapitre II, section I, de la directive 95/46, intitulée "Principes relatifs à la qualité des données", l'article 6 de cette directive est libellé comme suit:

"1. Les États membres prévoient que les données à caractère personnel doivent être:

a) traitées loyalement et licitement;

b) collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement de manière incompatible avec ces finalités. Un traitement ultérieur à des fins historiques, statistiques ou scientifiques n'est pas réputé incompatible pour autant que les États membres prévoient des garanties appropriées;

c) adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement;

d) exactes et, si nécessaire, mises à jour; toutes les mesures raisonnables doivent être prises pour que les données inexactes ou incomplètes, au regard des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement, soient effacées ou rectifiées;

e) conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement. Les États membres prévoient des garanties appropriées pour les données à caractère personnel qui sont conservées au-delà de la période précitée, à des fins historiques, statistiques ou scientifiques.

2. Il incombe au responsable du traitement d'assurer le respect du paragraphe 1."

8 Sous le chapitre II, section II, de la directive 95/46, intitulée "Principes relatifs à la légitimation des traitements de données", l'article 7 de cette directive dispose:

"Les États membres prévoient que le traitement de données à caractère personnel ne peut être effectué que si:

[...]

f) il est nécessaire à la réalisation de l'intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées, à condition que ne prévalent pas l'intérêt ou les droits et libertés fondamentaux de la personne concernée, qui appellent une protection au titre de l'article 1er paragraphe 1."

9 L'article 9 de ladite directive, intitulé "Traitements de données à caractère personnel et liberté d'expression", énonce:

"Les États membres prévoient, pour les traitements de données à caractère personnel effectués aux seules fins de journalisme ou d'expression artistique ou littéraire, des exemptions et dérogations au présent chapitre, au chapitre IV et au chapitre VI dans la seule mesure où elles s'avèrent nécessaires pour concilier le droit à la vie privée avec les règles régissant la liberté d'expression."

10 L'article 12 de la même directive, intitulé "Droit d'accès", prévoit:

"Les États membres garantissent à toute personne concernée le droit d'obtenir du responsable du traitement:

[...]

b) selon le cas, la rectification, l'effacement ou le verrouillage des données dont le traitement n'est pas conforme à la présente directive, notamment en raison du caractère incomplet ou inexact des données;

[...]"

11 L'article 14 de la directive 95/46, intitulé "Droit d'opposition de la personne concernée", dispose:

"Les États membres reconnaissent à la personne concernée le droit:

a) au moins dans les cas visés à l'article 7 points e) et f), de s'opposer à tout moment, pour des raisons prépondérantes et légitimes tenant à sa situation particulière, à ce que des données la concernant fassent l'objet d'un traitement, sauf en cas de disposition contraire du droit national. En cas d'opposition justifiée, le traitement mis en œuvre par le responsable du traitement ne peut plus porter sur ces données;

[...]"

12 L'article 28 de ladite directive, intitulé "Autorité de contrôle", est libellé comme suit:

"1. Chaque État membre prévoit qu'une ou plusieurs autorités publiques sont chargées de surveiller l'application, sur son territoire, des dispositions adoptées par les États membres en application de la présente directive.

[...]

3. Chaque autorité de contrôle dispose notamment:

- de pouvoirs d'investigation, tels que le pouvoir d'accéder aux données faisant l'objet d'un traitement et de recueillir toutes les informations nécessaires à l'accomplissement de sa mission de contrôle,

- de pouvoirs effectifs d'intervention, tels que, par exemple, celui [...] d'ordonner le verrouillage, l'effacement ou la destruction de données, ou d'interdire temporairement ou définitivement un traitement [...]

- [...]

Les décisions de l'autorité de contrôle faisant grief peuvent faire l'objet d'un recours juridictionnel.

4. Chaque autorité de contrôle peut être saisie par toute personne, ou par une association la représentant, d'une demande relative à la protection de ses droits et libertés à l'égard du traitement de données à caractère personnel. La personne concernée est informée des suites données à sa demande.

[...]

6. Indépendamment du droit national applicable au traitement en cause, chaque autorité de contrôle a compétence pour exercer, sur le territoire de l'État membre dont elle relève, les pouvoirs dont elle est investie conformément au paragraphe 3. Chaque autorité peut être appelée à exercer ses pouvoirs sur demande d'une autorité d'un autre État membre.

Les autorités de contrôle coopèrent entre elles dans la mesure nécessaire à l'accomplissement de leurs missions, notamment en échangeant toute information utile.

[...]"

Le droit espagnol

13 La directive 95/46 a été transposée en droit espagnol par la loi organique nº 15/1999, du 13 décembre 1999, relative à la protection des données à caractère personnel (BOE nº 298, du 14 décembre 1999, p. 43088).

Le litige au principal et les questions préjudicielles

14 Le 5 mars 2010, M. Costeja González, de nationalité espagnole et domicilié en Espagne, a introduit auprès de l'AEPD une réclamation à l'encontre de La Vanguardia Ediciones SL, qui publie un quotidien de grande diffusion, notamment en Catalogne (Espagne) (ci-après "La Vanguardia") ainsi qu'à l'encontre de Google Spain et de Google Inc. Cette réclamation se fondait sur le fait que, lorsqu'un internaute introduisait le nom de M. Costeja González dans le moteur de recherche du groupe Google (ci-après "Google Search"), il obtenait des liens vers deux pages du quotidien de La Vanguardia respectivement du 19 janvier et du 9 mars 1998, sur lesquelles figurait une annonce, mentionnant le nom de M. Costeja González, pour une vente aux enchères immobilière liée à une saisie pratiquée en recouvrement de dettes de sécurité sociale.

15 Par cette réclamation, M. Costeja González demandait, d'une part, qu'il soit ordonné à La Vanguardia soit de supprimer ou de modifier lesdites pages afin que ses données personnelles n'y apparaissent plus, soit de recourir à certains outils fournis par les moteurs de recherche pour protéger ces données. D'autre part, il demandait qu'il soit ordonné à Google Spain ou à Google Inc. de supprimer ou d'occulter ses données personnelles afin qu'elles cessent d'apparaître dans les résultats de recherche et ne figurent plus dans des liens de La Vanguardia. M. Costeja González affirmait dans ce contexte que la saisie, dont il avait fait l'objet, avait été entièrement réglée depuis plusieurs années et que la mention de celle-ci était désormais dépourvue de toute pertinence.

16 Par décision du 30 juillet 2010, l'AEPD a rejeté ladite réclamation pour autant qu'elle visait La Vanguardia, estimant que la publication par cette dernière des informations en cause était légalement justifiée étant donné qu'elle avait eu lieu sur ordre du ministère du Travail et des Affaires sociales et avait eu pour but de conférer une publicité maximale à la vente publique afin de réunir le plus grand nombre d'enchérisseurs.

17 En revanche, cette même réclamation a été accueillie pour autant qu'elle était dirigée contre Google Spain et Google Inc. L'AEPD a considéré à cet égard que les exploitants de moteurs de recherche sont soumis à la législation en matière de protection des données, étant donné qu'ils réalisent un traitement de données pour lequel ils sont responsables et qu'ils agissent en tant qu'intermédiaires de la société de l'information. L'AEPD a estimé qu'elle est habilitée à ordonner le retrait des données et l'interdiction d'accéder à certaines données par les exploitants de moteurs de recherche lorsqu'elle considère que leur localisation et leur diffusion sont susceptibles de porter atteinte au droit fondamental de protection des données et à la dignité des personnes au sens large, ce qui engloberait également la simple volonté de la personne intéressée que ces données ne soient pas connues par des tiers. L'AEPD a considéré que cette obligation peut incomber directement aux exploitants de moteurs de recherche, sans qu'il soit nécessaire d'effacer les données ou les informations du site web où elles figurent, notamment lorsque le maintien de ces informations sur ce site est justifié par une disposition légale.

18 Google Spain et Google Inc. ont introduit deux recours séparés contre ladite décision devant l'Audiencia Nacional, lesquels ont été joints par celle-ci.

19 Cette juridiction expose dans la décision de renvoi que lesdits recours soulèvent la question de savoir quelles obligations incombent aux exploitants de moteurs de recherche pour la protection des données à caractère personnel des personnes intéressées ne souhaitant pas que certaines informations, publiées sur les sites web de tiers et contenant leurs données personnelles qui permettent de relier ces informations à ces personnes, soient localisées, indexées et mises à la disposition des internautes de manière indéfinie. La réponse à cette question dépendrait de la manière dont la directive 95/46 doit être interprétée dans le contexte de ces technologies qui sont apparues après sa publication.

20 Dans ces conditions, l'Audiencia Nacional a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes:

"1) En ce qui concerne l'application territoriale de la directive [95/46] et, par conséquent, de la législation espagnole en matière de protection des données à caractère personnel:

a) Doit-on considérer qu'il existe un 'établissement' au sens des dispositions de l'article 4, paragraphe 1, sous a), de la [directive 95/46] lorsque l'une ou plusieurs des conditions suivantes sont réunies:

- lorsque l'entreprise fournissant le moteur de recherche crée dans un État membre une succursale ou une filiale destinée à assurer la promotion et la vente des espaces publicitaires proposés par le moteur de recherche, et dont l'activité vise les habitants de cet État membre,

ou

- lorsque la société mère désigne une filiale implantée dans cet État membre comme son représentant et comme étant responsable du traitement de deux fichiers spécifiques contenant les données des clients ayant conclu des services publicitaires avec cette entreprise,

ou

- lorsque la succursale ou la filiale établie dans un État membre transmet à la société mère, basée en dehors de l'Union européenne, les réclamations et les injonctions que lui adressent aussi bien les intéressés que les autorités compétentes en vue d'obtenir le respect du droit à la protection des données, même lorsque cette collaboration a lieu de manière volontaire?

b) L'article 4, paragraphe 1, sous c), de la [directive 95/46] doit-il s'interpréter en ce sens qu'il existe un 'recours à des moyens situés sur le territoire dudit État membre':

- lorsqu'un moteur de recherche utilise des 'araignées du web' ou des robots d'indexation pour localiser et indexer les informations contenues dans des sites web hébergés sur des serveurs situés dans cet État membre,

ou

- lorsqu'il utilise un nom de domaine propre d'un État membre et oriente ses recherches et ses résultats en fonction de la langue de cet État membre?

c) Le stockage temporaire des informations indexées par les moteurs de recherche sur Internet peut-il être considéré comme constituant un recours à des moyens, au sens de l'article 4, paragraphe 1, sous c), de la [directive 95/46]? En cas de réponse affirmative à cette dernière question, peut-on considérer que ce critère de rattachement est rempli lorsque l'entreprise refuse de révéler le lieu où elle stocke ces index, en invoquant des raisons de compétitivité?

d) Indépendamment de la réponse apportée aux questions précédentes, et en particulier dans le cas où la Cour serait d'avis que les critères de rattachement prévus à l'article 4 de la directive [95/46] ne sont pas remplis, la Cour est priée de répondre à la question suivante:

À la lumière de l'article 8 de la [Charte], convient-il d'appliquer la [directive 95/46] dans l'État membre où se situe le centre de gravité du conflit, et dans lequel les droits reconnus aux citoyens de l'Union [...] peuvent bénéficier de la protection la plus efficace?

2) En ce qui concerne l'activité des moteurs de recherche en tant que fournisseurs de contenus en relation avec la [directive 95/46]:

a) S'agissant [de Google Search], qui agit comme fournisseur de contenus et dont l'activité consiste à trouver des informations publiées ou placées sur Internet par des tiers, à les indexer de manière automatique, à les stocker temporairement et enfin à les mettre à la disposition des internautes selon un ordre de préférence donné, et lorsque ces informations contiennent des données à caractère personnel de tierces personnes, faut-il considérer qu'une activité telle que celle décrite est comprise dans la notion de 'traitement de données à caractère personnel' telle que définie à l'article 2, sous b), de la [directive 95/46]?

b) Dans le cas où la question précédente appellerait une réponse affirmative, et toujours en relation avec une activité telle que celle décrite au paragraphe précédent:

Faut-il interpréter l'article 2, sous d), de la [directive 95/46] en ce sens qu'il conviendrait de considérer que l'entreprise qui exploite [Google Search] est 'responsable du traitement' des données à caractère personnel contenues dans les sites web qu'elle indexe?

c) Dans l'hypothèse où la question précédente appellerait une réponse affirmative:

L'[AEPD] peut-elle, aux fins de faire respecter les droits contenus aux articles 12, sous b), et 14, [premier alinéa,] sous a), de la [directive 95/46], ordonner directement [à Google Search] qu'il procède au retrait de ses index d'informations publiées par des tiers, sans s'adresser préalablement ou simultanément au propriétaire du site web sur lequel figurent lesdites informations?

d) Dans l'hypothèse où la réponse à la question précédente serait affirmative:

Les moteurs de recherche sont-ils libérés de l'obligation qui leur incombe de respecter ces droits lorsque les informations contenues dans les données personnelles ont été publiées légalement par des tiers et demeurent sur le site web d'origine?

3) En ce qui concerne la portée du droit d'obtenir l'effacement et/ou de s'opposer à ce que des données concernant l'intéressé fassent l'objet d'un traitement, en relation avec le droit à l'oubli, la Cour est priée de dire si:

Le droit d'obtenir l'effacement et le verrouillage des données à caractère personnel et celui de s'opposer à ce qu'elles fassent l'objet d'un traitement (droits régis par les articles 12, sous b), et 14, [premier alinéa,] sous a), de la [directive 95/46]) doivent être interprétés comme permettant à la personne concernée de s'adresser aux moteurs de recherche afin de faire obstacle à l'indexation des informations concernant sa personne, publiées sur des sites web de tiers, en invoquant sa volonté que ces informations ne soient pas connues des internautes lorsqu'elle considère que ces informations sont susceptibles de lui porter préjudice ou lorsqu'elle désire que ces informations soient oubliées, alors même qu'il s'agirait d'informations publiées légalement par des tiers?"

Sur les questions préjudicielles

Sur la deuxième question, sous a) et b), concernant le champ d'application matériel de la directive 95/46

21 Par sa deuxième question, sous a) et b), qu'il convient d'examiner en premier lieu, la juridiction de renvoi demande, en substance, si l'article 2, sous b), de la directive 95/46 doit être interprété en ce sens que l'activité d'un moteur de recherche en tant que fournisseur de contenus qui consiste à trouver des informations publiées ou placées sur Internet par des tiers, à les indexer de manière automatique, à les stocker temporairement et, enfin, à les mettre à la disposition des internautes selon un ordre de préférence donné doit être qualifiée de "traitement de données à caractère personnel", au sens de cette disposition, lorsque ces informations contiennent des données à caractère personnel. En cas de réponse affirmative, la juridiction de renvoi souhaite savoir, en outre, si cet article 2, sous d), doit être interprété en ce sens que l'exploitant d'un moteur de recherche doit être considéré comme le "responsable" dudit traitement des données à caractère personnel, au sens de cette disposition.

22 Selon Google Spain et Google Inc., l'activité des moteurs de recherche ne saurait être considérée comme un traitement des données qui apparaissent sur les pages web de tiers affichées dans la liste des résultats de la recherche, étant donné que ces moteurs traitent les informations accessibles sur Internet dans leur ensemble sans faire le tri entre les données à caractère personnel et les autres informations. En outre, à supposer même que cette activité doive être qualifiée de "traitement de données", l'exploitant d'un moteur de recherche ne saurait être considéré comme "responsable" de ce traitement, dès lors qu'il n'a pas connaissance desdites données et n'exerce pas de contrôle sur celles-ci.

23 En revanche, M. Costeja González, les gouvernements espagnol, italien, autrichien et polonais ainsi que la Commission européenne estiment que ladite activité implique de toute évidence un "traitement de données" au sens de la directive 95/46, lequel est distinct du traitement de données par les éditeurs de sites web et poursuit d'autres objectifs que celui-ci. L'exploitant d'un moteur de recherche serait "responsable" du traitement des données effectué par celui-ci dès lors que c'est lui qui détermine les finalités et les moyens de ce traitement.

24 Selon le gouvernement hellénique, l'activité en cause constitue un tel "traitement", mais dans la mesure où les moteurs de recherche servent de simples intermédiaires, les entreprises qui les exploitent ne peuvent être considérées comme "responsables", à l'exception des cas où elles stockent des données dans une "mémoire intermédiaire" ou une "mémoire cache" pour une période de temps qui dépasse ce qui est techniquement nécessaire.

25 À cet égard, il y a lieu de relever que l'article 2, sous b), de la directive 95/46 définit le "traitement de données à caractère personnel" comme "toute opération ou ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, ainsi que le verrouillage, l'effacement ou la destruction".

26 S'agissant en particulier d'Internet, la Cour a déjà eu l'occasion de constater que l'opération consistant à faire figurer, sur une page Internet, des données à caractère personnel est à considérer comme un tel "traitement" au sens de l'article 2, sous b), de la directive 95/46 (voir arrêt Lindqvist, C 101/01, EU:C:2003:596, point 25).

27 En ce qui concerne l'activité en cause au principal, il n'est pas contesté que parmi les données trouvées, indexées, stockées par les moteurs de recherche et mises à la disposition de leurs utilisateurs figurent également des informations concernant des personnes physiques identifiées ou identifiables et donc des "données à caractère personnel" au sens de l'article 2, sous a), de cette directive.

28 Partant, il convient de constater que, en explorant de manière automatisée, constante et systématique Internet à la recherche des informations qui y sont publiées, l'exploitant d'un moteur de recherche "collecte" de telles données qu'il "extrait", "enregistre" et "organise" par la suite dans le cadre de ses programmes d'indexation, "conserve" sur ses serveurs et, le cas échéant, "communique à" et "met à disposition de" ses utilisateurs sous forme de listes des résultats de leurs recherches. Ces opérations étant visées de manière explicite et inconditionnelle à l'article 2, sous b), de la directive 95/46, elles doivent être qualifiées de "traitement" au sens de cette disposition, sans qu'il importe que l'exploitant du moteur de recherche applique les mêmes opérations également à d'autres types d'information et ne distingue pas entre celles-ci et les données à caractère personnel.

29 La constatation qui précède n'est pas non plus infirmée par le fait que ces données ont déjà fait l'objet d'une publication sur Internet et ne sont pas modifiées par ce moteur de recherche.

30 Ainsi, la Cour a déjà constaté que les opérations visées à l'article 2, sous b), de la directive 95/46 doivent être qualifiées comme un tel traitement également dans l'hypothèse où elles concernent exclusivement des informations déjà publiées telles quelles dans les médias. Elle a, en effet, relevé à cet égard qu'une dérogation générale à l'application de la directive 95/46 dans une telle hypothèse viderait cette dernière largement de son sens (voir, en ce sens, arrêt Satakunnan Markkinapörssi et Satamedia, C 73/07, EU:C:2008:727, points 48 et 49).

31 En outre, il découle de la définition contenue à l'article 2, sous b), de la directive 95/46 que, si la modification de données à caractère personnel constitue, certes, un traitement au sens de celle-ci, les autres opérations qui y sont mentionnées ne nécessitent, en revanche, nullement que ces données soient modifiées.

32 Quant à la question de savoir si l'exploitant d'un moteur de recherche doit ou non être considéré comme le "responsable du traitement" des données à caractère personnel effectué par ce moteur dans le cadre d'une activité telle que celle en cause au principal, il convient de rappeler que l'article 2, sous d), de la directive 95/46 définit celui-ci comme "la personne physique ou morale, l'autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données à caractère personnel".

33 Or, c'est l'exploitant du moteur de recherche qui détermine les finalités et les moyens de cette activité et ainsi du traitement de données à caractère personnel qu'il effectue, lui-même, dans le cadre de celle-ci et qui doit, par conséquent, être considéré comme le "responsable" de ce traitement en vertu dudit article 2, sous d).

34 Par ailleurs, il convient de constater qu'il serait contraire non seulement au libellé clair mais également à l'objectif de cette disposition, consistant à assurer, par une définition large de la notion de "responsable", une protection efficace et complète des personnes concernées, d'exclure de celle-ci l'exploitant d'un moteur de recherche au motif qu'il n'exerce pas de contrôle sur les données à caractère personnel publiées sur les pages web de tiers.

35 À cet égard, il y a lieu de souligner que le traitement de données à caractère personnel effectué dans le cadre de l'activité d'un moteur de recherche se distingue de et s'ajoute à celui effectué par les éditeurs de sites web, consistant à faire figurer ces données sur une page Internet.

36 En outre, il est constant que cette activité des moteurs de recherche joue un rôle décisif dans la diffusion globale desdites données en ce qu'elle rend celles-ci accessibles à tout internaute effectuant une recherche à partir du nom de la personne concernée, y compris aux internautes qui, autrement, n'auraient pas trouvé la page web sur laquelle ces mêmes données sont publiées.

37 De plus, l'organisation et l'agrégation des informations publiées sur Internet effectuées par les moteurs de recherche dans le but de faciliter à leurs utilisateurs l'accès à celles-ci peut conduire, lorsque la recherche de ces derniers est effectuée à partir du nom d'une personne physique, à ce que ceux-ci obtiennent par la liste de résultats un aperçu structuré des informations relatives à cette personne trouvables sur Internet leur permettant d'établir un profil plus ou moins détaillé de la personne concernée.

38 Dans la mesure où l'activité d'un moteur de recherche est donc susceptible d'affecter significativement et de manière additionnelle par rapport à celle des éditeurs de sites web les droits fondamentaux de la vie privée et de la protection des données à caractère personnel, l'exploitant de ce moteur en tant que personne déterminant les finalités et les moyens de cette activité doit assurer, dans le cadre de ses responsabilités, de ses compétences et de ses possibilités, que celle-ci satisfait aux exigences de la directive 95/46 pour que les garanties prévues par celle-ci puissent développer leur plein effet et qu'une protection efficace et complète des personnes concernées, notamment de leur droit au respect de leur vie privée, puisse effectivement être réalisée.

39 Enfin, la circonstance que les éditeurs de sites web ont la faculté d'indiquer aux exploitants de moteurs de recherche, à l'aide notamment de protocoles d'exclusion comme "robot.txt" ou de codes comme "noindex" ou "noarchive", qu'ils souhaitent qu'une information déterminée, publiée sur leur site, soit exclue en totalité ou partiellement des index automatiques de ces moteurs ne signifie pas que l'absence d'une telle indication de la part de ces éditeurs libérerait l'exploitant d'un moteur de recherche de sa responsabilité pour le traitement des données à caractère personnel qu'il effectue dans le cadre de l'activité de ce moteur.

40 En effet, cette circonstance ne change pas le fait que les finalités et les moyens de ce traitement sont déterminés par cet exploitant. En outre, à supposer même que ladite faculté des éditeurs de sites web signifie que ceux-ci déterminent conjointement avec ledit exploitant les moyens dudit traitement, cette constatation n'enlèverait rien à la responsabilité de ce dernier, l'article 2, sous d), de la directive 95/46 prévoyant expressément que cette détermination peut être effectuée "seul ou conjointement avec d'autres".

41 Il découle de l'ensemble des considérations qui précèdent qu'il convient de répondre à la deuxième question, sous a) et b), que l'article 2, sous b) et d), de la directive 95/46 doit être interprété en ce sens que, d'une part, l'activité d'un moteur de recherche consistant à trouver des informations publiées ou placées sur Internet par des tiers, à les indexer de manière automatique, à les stocker temporairement et, enfin, à les mettre à la disposition des internautes selon un ordre de préférence donné doit être qualifiée de "traitement de données à caractère personnel", au sens de cet article 2, sous b), lorsque ces informations contiennent des données à caractère personnel et, d'autre part, l'exploitant de ce moteur de recherche doit être considéré comme le "responsable" dudit traitement, au sens dudit article 2, sous d).

Sur la première question, sous a) à d), concernant le champ d'application territorial de la directive 95/46

42 Par sa première question, sous a) à d), la juridiction de renvoi vise à établir s'il est possible d'appliquer la législation nationale transposant la directive 95/46 dans des circonstances telles que celles en cause au principal.

43 Dans ce contexte, la juridiction de renvoi a établi les faits suivants:

- Google Search est proposé au niveau mondial par l'intermédiaire du site web "www.google.com". Dans de nombreux États, il existe des versions locales adaptées à la langue nationale. La version en langue espagnole de Google Search est proposée par l'intermédiaire du site web "www.google.es", enregistré depuis le 16 septembre 2003. Google Search est l'un des moteurs de recherche les plus utilisés en Espagne.

- Google Search est exploité par Google Inc., qui est la société mère du groupe Google et dont le siège social est établi aux États-Unis.

- Google Search indexe les sites web du monde entier, parmi lesquels se trouvent les sites situés en Espagne. Les informations indexées par ses "araignées du web" ou ses robots d'indexation, c'est-à-dire des programmes informatiques utilisés pour repérer et balayer le contenu de pages web de façon méthodique et automatisée, sont stockées temporairement dans des serveurs dont l'État d'emplacement n'est pas connu, cette information étant maintenue secrète pour des raisons concurrentielles.

- Google Search ne se borne pas à donner accès aux contenus hébergés sur les sites web indexés, mais met à profit cette activité pour inclure, contre paiement, des publicités associées aux termes de recherche introduits par les internautes, pour des entreprises qui désirent utiliser cet outil en vue d'offrir leurs biens ou services à ces derniers.

- Le groupe Google a recours à sa filiale Google Spain pour la promotion des ventes d'espaces publicitaires générés sur le site web "www.google.com". Google Spain, qui a été constituée le 3 septembre 2003 et qui jouit d'une personnalité juridique propre, a son siège social à Madrid (Espagne). Elle développe ses activités essentiellement à destination des entreprises basées en Espagne, agissant en tant qu'agent commercial dudit groupe dans cet État membre. Son objet social est de promouvoir, de faciliter et d'effectuer la vente de produits et de services de publicité en ligne à des tiers ainsi que le marketing de cette publicité.

- Google Inc. a désigné Google Spain comme responsable du traitement, en Espagne, de deux fichiers enregistrés par Google Inc. auprès de l'AEPD, ces fichiers ayant pour objet de contenir les données personnelles des clients ayant conclu des contrats de services publicitaires avec Google Inc.

44 Concrètement, la juridiction de renvoi s'interroge, à titre principal, sur la notion d'"établissement", au sens de l'article 4, paragraphe 1, sous a), de la directive 95/46, et sur celle de "recours à des moyens situés sur le territoire dudit État membre", au sens de cet article 4, paragraphe 1, sous c).

Sur la première question, sous a)

45 Par sa première question, sous a), la juridiction de renvoi demande, en substance, si l'article 4, paragraphe 1, sous a), de la directive 95/46 doit être interprété en ce sens qu'un traitement de données à caractère personnel est effectué dans le cadre des activités d'un établissement du responsable de ce traitement sur le territoire d'un État membre, au sens de cette disposition, lorsque l'une ou plusieurs des trois conditions suivantes sont réunies:

- l'exploitant d'un moteur de recherche crée dans un État membre une succursale ou une filiale destinée à assurer la promotion et la vente des espaces publicitaires proposés par ce moteur et dont l'activité vise les habitants de cet État membre, ou

- la société mère désigne une filiale implantée dans ledit État membre comme son représentant et comme étant responsable du traitement de deux fichiers spécifiques contenant les données des clients ayant conclu des services publicitaires avec cette entreprise, ou

- la succursale ou la filiale établie dans un État membre transmet à la société mère, basée en dehors de l'Union, les réclamations et les injonctions que lui adressent aussi bien les intéressés que les autorités compétentes en vue d'obtenir le respect du droit à la protection des données à caractère personnel, même lorsque cette collaboration a lieu de manière volontaire.

46 En ce qui concerne la première de ces trois conditions, la juridiction de renvoi relève que Google Search est exploité et géré par Google Inc. et qu'il n'est pas établi que Google Spain réalise en Espagne une activité directement liée à l'indexation ou au stockage d'informations ou de données contenues dans les sites web de tiers. Cependant, l'activité de promotion et de vente des espaces publicitaires, dont s'occupe Google Spain pour l'Espagne, constituerait la partie essentielle de l'activité commerciale du groupe Google et pourrait être considérée comme étant étroitement liée à Google Search.

47 M. Costeja González, les gouvernements espagnol, italien, autrichien et polonais ainsi que la Commission estiment que, compte tenu du lien indissociable entre l'activité du moteur de recherche exploité par Google Inc. et celle de Google Spain, cette dernière doit être considérée comme un établissement de la première, dans le cadre des activités duquel le traitement de données à caractère personnel est effectué. En revanche, selon Google Spain, Google Inc. et le gouvernement hellénique, l'article 4, paragraphe 1, sous a), de la directive 95/46 ne trouve pas à s'appliquer dans l'hypothèse de la première des trois conditions énumérées par la juridiction de renvoi.

48 À cet égard, il convient tout d'abord de relever que le considérant 19 de la directive 95/46 précise que "l'établissement sur le territoire d'un État membre suppose l'exercice effectif et réel d'une activité au moyen d'une installation stable" et "que la forme juridique retenue pour un tel établissement, qu'il s'agisse d'une simple succursale ou d'une filiale ayant la personnalité juridique, n'est pas déterminante".

49 Or, il n'est pas contesté que Google Spain se livre à l'exercice effectif et réel d'une activité au moyen d'une installation stable en Espagne. Étant en outre dotée d'une personnalité juridique propre, elle constitue ainsi une filiale de Google Inc. sur le territoire espagnol et, partant, un "établissement" au sens de l'article 4, paragraphe 1, sous a), de la directive 95/46.

50 Afin de satisfaire au critère établi à cette disposition, encore faut-il que le traitement de données à caractère personnel par le responsable de celui-ci soit "effectué dans le cadre des activités" d'un établissement de ce responsable sur le territoire d'un État membre.

51 Google Spain et Google Inc. contestent que ce soit le cas dès lors que le traitement de données à caractère personnel en cause au principal est effectué exclusivement par Google Inc., qui exploite Google Search sans aucune intervention de la part de Google Spain, dont l'activité se limite à la fourniture d'un soutien à l'activité publicitaire du groupe Google qui est distincte de son service de moteur de recherche.

52 Cependant, ainsi que l'ont souligné notamment le gouvernement espagnol et la Commission, l'article 4, paragraphe 1, sous a), de la directive 95/46 exige non pas que le traitement de données à caractère personnel en question soit effectué "par" l'établissement concerné lui-même, mais uniquement qu'il le soit "dans le cadre des activités" de celui-ci.

53 En outre, au vu de l'objectif de la directive 95/46 d'assurer une protection efficace et complète des libertés et des droits fondamentaux des personnes physiques, notamment du droit à la vie privée, à l'égard du traitement des données à caractère personnel, cette dernière expression ne saurait recevoir une interprétation restrictive (voir, par analogie, arrêt L'Oréal e.a., C 324/09, EU:C:2011:474, points 62 et 63).

54 Il convient de relever dans ce contexte qu'il ressort notamment des considérants 18 à 20 et de l'article 4 de la directive 95/46 que le législateur de l'Union a entendu éviter qu'une personne soit exclue de la protection garantie par celle-ci et que cette protection soit contournée, en prévoyant un champ d'application territorial particulièrement large.

55 Compte tenu de cet objectif de la directive 95/46 et du libellé de son article 4, paragraphe 1, sous a), il y a lieu de considérer que le traitement de données à caractère personnel qui est fait pour les besoins du service d'un moteur de recherche tel que Google Search, lequel est exploité par une entreprise ayant son siège dans un État tiers mais disposant d'un établissement dans un État membre, est effectué "dans le cadre des activités" de cet établissement si celui-ci est destiné à assurer, dans cet État membre, la promotion et la vente des espaces publicitaires proposés par ce moteur de recherche, qui servent à rentabiliser le service offert par ce moteur.

56 En effet, dans de telles circonstances, les activités de l'exploitant du moteur de recherche et celles de son établissement situé dans l'État membre concerné sont indissociablement liées dès lors que les activités relatives aux espaces publicitaires constituent le moyen pour rendre le moteur de recherche en cause économiquement rentable et que ce moteur est, en même temps, le moyen permettant l'accomplissement de ces activités.

57 À cet égard, il convient de rappeler que, ainsi qu'il a été précisé aux points 26 à 28 du présent arrêt, l'affichage même de données à caractère personnel sur une page de résultats d'une recherche constitue un traitement de telles données. Or, ledit affichage de résultats étant accompagné, sur la même page, de celui de publicités liées aux termes de recherche, force est de constater que le traitement de données à caractère personnel en question est effectué dans le cadre de l'activité publicitaire et commerciale de l'établissement du responsable du traitement sur le territoire d'un État membre, en l'occurrence le territoire espagnol.

58 Dans ces conditions, il ne saurait être accepté que le traitement de données à caractère personnel effectué pour les besoins du fonctionnement dudit moteur de recherche soit soustrait aux obligations et aux garanties prévues par la directive 95/46, ce qui porterait atteinte à l'effet utile de celle-ci et à la protection efficace et complète des libertés et des droits fondamentaux des personnes physiques qu'elle vise à assurer (voir, par analogie, arrêt L'Oréal e.a., EU:C:2011:474, points 62 et 63), notamment celui au respect de leur vie privée, à l'égard du traitement des données à caractère personnel, auquel cette directive accorde une importance particulière ainsi que le confirment notamment son article 1er, paragraphe 1, et ses considérants 2 et 10 (voir, en ce sens, arrêts Österreichischer Rundfunk e.a., C 465/00, C 138/01 et C 139/01, EU:C:2003:294, point 70; Rijkeboer, C 553/07, EU:C:2009:293, point 47, ainsi que IPI, C 473/12, EU:C:2013:715, point 28 et jurisprudence citée).

59 Dans la mesure où la première des trois conditions énumérées par la juridiction de renvoi suffit à elle seule pour conclure qu'un établissement tel que Google Spain satisfait au critère prévu à l'article 4, paragraphe 1, sous a), de la directive 95/46, il n'est pas nécessaire d'examiner les deux autres conditions.

60 Il découle de ce qui précède qu'il convient de répondre à la première question, sous a), que l'article 4, paragraphe 1, sous a), de la directive 95/46 doit être interprété en ce sens qu'un traitement de données à caractère personnel est effectué dans le cadre des activités d'un établissement du responsable de ce traitement sur le territoire d'un État membre, au sens de cette disposition, lorsque l'exploitant d'un moteur de recherche crée dans un État membre une succursale ou une filiale destinée à assurer la promotion et la vente des espaces publicitaires proposés par ce moteur et dont l'activité vise les habitants de cet État membre.

Sur la première question, sous b) à d)

61 Compte tenu de la réponse apportée à la première question, sous a), il n'y a pas lieu de répondre à la première question, sous b) à d).

Sur la deuxième question, sous c) et d), concernant l'étendue de la responsabilité de l'exploitant d'un moteur de recherche en vertu de la directive 95/46

62 Par sa deuxième question, sous c) et d), la juridiction de renvoi demande, en substance, si les articles 12, sous b), et 14, premier alinéa, sous a), de la directive 95/46 doivent être interprétés en ce sens que, afin de respecter les droits prévus à ces dispositions, l'exploitant d'un moteur de recherche est obligé de supprimer de la liste de résultats, affichée à la suite d'une recherche effectuée à partir du nom d'une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne, également dans l'hypothèse où ce nom ou ces informations ne sont pas effacés préalablement ou simultanément de ces pages web, et ce, le cas échéant, même lorsque leur publication en elle-même sur lesdites pages est licite.

63 Google Spain et Google Inc. estiment que, en vertu du principe de proportionnalité, toute demande visant à l'élimination d'informations doit être adressée à l'éditeur du site web concerné puisque c'est ce dernier qui prend la responsabilité de rendre les informations publiques, qui est en mesure d'évaluer la licéité de cette publication et qui dispose des moyens les plus efficaces et les moins restrictifs pour rendre ces informations inaccessibles. En outre, imposer à l'exploitant d'un moteur de recherche de retirer de ses index des informations publiées sur Internet tiendrait insuffisamment compte des droits fondamentaux des éditeurs de sites web, des autres internautes ainsi que de cet exploitant lui-même.

64 Selon le gouvernement autrichien, une autorité de contrôle nationale peut ordonner à un tel exploitant d'effacer de ses fichiers des informations publiées par des tiers uniquement si l'illégalité ou l'inexactitude des données en cause a été constatée auparavant ou si la personne concernée a introduit avec succès une opposition auprès de l'éditeur du site web sur lequel ces informations ont été publiées.

65 M. Costeja González, les gouvernements espagnol, italien et polonais ainsi que la Commission estiment que l'autorité nationale peut ordonner directement à l'exploitant d'un moteur de recherche de retirer de ses index et de sa mémoire intermédiaire des informations contenant des données à caractère personnel publiées par des tiers, sans devoir s'adresser préalablement ou simultanément à l'éditeur de la page web sur laquelle figurent ces informations. De plus, pour M. Costeja González, les gouvernements espagnol et italien ainsi que la Commission, la circonstance que lesdites informations ont été publiées de façon licite et qu'elles figurent toujours sur la page web d'origine n'a pas d'incidence sur les obligations dudit exploitant en vertu de la directive 95/46. En revanche, pour le gouvernement polonais, cette circonstance est de nature à libérer celui-ci de ses obligations.

66 À titre liminaire, il convient de rappeler que, ainsi qu'il résulte de son article 1er et de son considérant 10, la directive 95/46 vise à garantir un niveau élevé de protection des libertés et des droits fondamentaux des personnes physiques, notamment de leur vie privée, à l'égard du traitement des données à caractère personnel (voir, en ce sens, arrêt IPI, EU:C:2013:715, point 28).

67 Selon le considérant 25 de la directive 95/46, les principes de la protection prévus par celle-ci trouvent leur expression, d'une part, dans les obligations mises à la charge des personnes qui traitent des données, ces obligations concernant en particulier la qualité des données, la sécurité technique, la notification à l'autorité de contrôle, les circonstances dans lesquelles le traitement peut être effectué, et, d'autre part, dans les droits donnés aux personnes dont les données font l'objet d'un traitement d'être informées sur celui-ci, de pouvoir accéder aux données, de pouvoir demander leur rectification, voire de s'opposer au traitement dans certaines circonstances.

68 La Cour a déjà jugé que les dispositions de la directive 95/46, en ce qu'elles régissent le traitement de données à caractère personnel susceptibles de porter atteinte aux libertés fondamentales et, en particulier, au droit à la vie privée, doivent nécessairement être interprétées à la lumière des droits fondamentaux qui, selon une jurisprudence constante, font partie intégrante des principes généraux du droit dont la Cour assure le respect et qui sont désormais inscrits dans la Charte (voir, notamment, arrêts Connolly/Commission, C 274/99 P, EU:C:2001:127, point 37, ainsi que Österreichischer Rundfunk e.a., EU:C:2003:294, point 68).

69 Ainsi, l'article 7 de la Charte garantit le droit au respect de la vie privée, tandis que l'article 8 de la Charte proclame expressément le droit à la protection des données à caractère personnel. Les paragraphes 2 et 3 de ce dernier article précisent que ces données doivent être traitées loyalement, à des fins déterminées et sur la base du consentement de la personne concernée ou en vertu d'un autre fondement légitime prévu par la loi, que toute personne a le droit d'accéder aux données collectées la concernant et d'en obtenir la rectification et que le respect de ces règles est soumis au contrôle d'une autorité indépendante. Ces exigences sont mises en œuvre notamment par les articles 6, 7, 12, 14 et 28 de la directive 95/46.

70 S'agissant de l'article 12, sous b), de la directive 95/46, celui-ci dispose que les États membres garantissent à toute personne concernée le droit d'obtenir du responsable du traitement, selon le cas, la rectification, l'effacement ou le verrouillage des données dont le traitement n'est pas conforme à la directive 95/46, notamment en raison du caractère incomplet ou inexact des données. Cette dernière précision relative au cas du non-respect de certaines exigences visées à l'article 6, paragraphe 1, sous d), de la directive 95/46 révélant un caractère exemplatif et non exhaustif, il s'ensuit que la non-conformité du traitement, susceptible d'ouvrir à la personne concernée le droit garanti à l'article 12, sous b), de ladite directive, peut également découler du non-respect des autres conditions de licéité imposées par celle-ci au traitement de données à caractère personnel.

71 À cet égard, il convient de rappeler que, sous réserve des dérogations admises au titre de l'article 13 de la directive 95/46, tout traitement de données à caractère personnel doit, d'une part, être conforme aux principes relatifs à la qualité des données énoncés à l'article 6 de cette directive et, d'autre part, répondre à l'un des principes relatifs à la légitimation des traitements de données énumérés à l'article 7 de ladite directive (voir arrêts Österreichischer Rundfunk e.a., EU:C:2003:294, point 65; ASNEF et FECEMD, C 468/10 et C 469/10, EU:C:2011:777, point 26, ainsi que Worten, C 342/12, EU:C:2013:355, point 33).

72 Aux termes de cet article 6 et sous réserve des dispositions spécifiques que les États membres peuvent prévoir pour des traitements à des fins historiques, statistiques ou scientifiques, il incombe au responsable du traitement d'assurer que les données à caractère personnel sont "traitées loyalement et licitement", qu'elles sont "collectées pour des finalités déterminées, explicites et légitimes, et ne [sont pas] traitées ultérieurement de manière incompatible avec ces finalités", qu'elles sont "adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement", qu'elles sont "exactes et, si nécessaire, mises à jour" et, enfin, qu'elles sont "conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement". Dans ce contexte, ce responsable doit prendre toutes les mesures raisonnables pour que les données qui ne répondent pas aux exigences de cette disposition soient effacées ou rectifiées.

73 Quant à la légitimation, au titre de l'article 7 de la directive 95/46, d'un traitement comme celui en cause au principal effectué par l'exploitant d'un moteur de recherche, celui-ci est susceptible de relever du motif visé à cet article 7, sous f).

74 Cette disposition permet le traitement de données à caractère personnel lorsqu'il est nécessaire à la réalisation de l'intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées, à condition que ne prévalent pas l'intérêt ou les libertés et les droits fondamentaux de la personne concernée, notamment son droit au respect de sa vie privée à l'égard du traitement des données à caractère personnel, qui appellent une protection au titre de l'article 1er, paragraphe 1, de cette directive. L'application dudit article 7, sous f), nécessite ainsi une pondération des droits et des intérêts opposés en cause dans le cadre de laquelle il doit être tenu compte de l'importance des droits de la personne concernée résultant des articles 7 et 8 de la Charte (voir arrêt ASNEF et FECEMD, EU:C:2011:777, points 38 et 40).

75 Si la conformité du traitement aux articles 6 et 7, sous f), de la directive 95/46 peut être vérifié dans le cadre d'une demande au sens de l'article 12, sous b), de cette directive, la personne concernée peut, en plus, se prévaloir sous certaines conditions du droit d'opposition prévu à l'article 14, premier alinéa, sous a), de celle-ci.

76 Selon cet article 14, premier alinéa, sous a), les États membres reconnaissent à la personne concernée le droit, au moins dans les cas visés à l'article 7, sous e) et f), de la directive 95/46, de s'opposer à tout moment, pour des raisons prépondérantes et légitimes tenant à sa situation particulière, à ce que des données la concernant fassent l'objet d'un traitement, sauf en cas de disposition contraire du droit national. La pondération à effectuer dans le cadre dudit article 14, premier alinéa, sous a), permet ainsi de tenir compte de manière plus spécifique de toutes les circonstances entourant la situation concrète de la personne concernée. En cas d'opposition justifiée, le traitement mis en œuvre par le responsable de celui-ci ne peut plus porter sur ces données.

77 Les demandes au titre des articles 12, sous b), et 14, premier alinéa, sous a), de la directive 95/46 peuvent être directement adressées par la personne concernée au responsable du traitement qui doit alors dûment examiner le bien-fondé de celles-ci et, le cas échéant, mettre fin au traitement des données en cause. Lorsque le responsable du traitement ne donne pas suite à ces demandes, la personne concernée peut saisir l'autorité de contrôle ou l'autorité judiciaire pour que celles-ci effectuent les vérifications nécessaires et ordonnent à ce responsable des mesures précises en conséquence.

78 À cet égard, il y a lieu de relever qu'il résulte de l'article 28, paragraphes 3 et 4, de la directive 95/46, que chaque autorité de contrôle peut être saisie par toute personne d'une demande relative à la protection de ses droits et libertés à l'égard du traitement de données à caractère personnel et qu'elle dispose de pouvoirs d'investigation et de pouvoirs effectifs d'intervention lui permettant d'ordonner notamment le verrouillage, l'effacement ou la destruction de données, ou d'interdire temporairement ou définitivement un tel traitement.

79 C'est à la lumière de ces considérations qu'il convient d'interpréter et d'appliquer les dispositions de la directive 95/46 régissant les droits de la personne concernée lorsque l'autorité de contrôle ou l'autorité judiciaire sont saisies par celle-ci d'une demande telle que celle en cause au principal.

80 À cet égard, il importe d'emblée de relever que, ainsi qu'il a été constaté aux points 36 à 38 du présent arrêt, un traitement de données à caractère personnel, tel que celui en cause au principal, réalisé par l'exploitant d'un moteur de recherche, est susceptible d'affecter significativement les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel lorsque la recherche à l'aide de ce moteur est effectuée à partir du nom d'une personne physique, dès lors que ledit traitement permet à tout internaute d'obtenir par la liste de résultats un aperçu structuré des informations relatives à cette personne trouvables sur Internet, qui touchent potentiellement à une multitude d'aspects de sa vie privée et qui, sans ledit moteur de recherche, n'auraient pas ou seulement que très difficilement pu être interconnectées, et ainsi d'établir un profil plus ou moins détaillé de celle-ci. En outre, l'effet de l'ingérence dans lesdits droits de la personne concernée se trouve démultiplié en raison du rôle important que jouent Internet et les moteurs de recherche dans la société moderne, lesquels confèrent aux informations contenues dans une telle liste de résultats un caractère ubiquitaire (voir, en ce sens, arrêt eDate Advertising e.a., C 509/09 et C 161/10, EU:C:2011:685, point 45).

81 Au vu de la gravité potentielle de cette ingérence, force est de constater que celle-ci ne saurait être justifiée par le seul intérêt économique de l'exploitant d'un tel moteur dans ce traitement. Cependant, dans la mesure où la suppression de liens de la liste de résultats pourrait, en fonction de l'information en cause, avoir des répercussions sur l'intérêt légitime des internautes potentiellement intéressés à avoir accès à celle-ci, il y a lieu de rechercher, dans des situations telles que celles en cause au principal, un juste équilibre notamment entre cet intérêt et les droits fondamentaux de cette personne au titre des articles 7 et 8 de la Charte. Si, certes, les droits de la personne concernée protégés par ces articles prévalent également, en règle générale, sur ledit intérêt des internautes, cet équilibre peut toutefois dépendre, dans des cas particuliers, de la nature de l'information en question et de sa sensibilité pour la vie privée de la personne concernée ainsi que de l'intérêt du public à disposer de cette information, lequel peut varier, notamment, en fonction du rôle joué par cette personne dans la vie publique.

82 Au terme de l'appréciation des conditions d'application des articles 12, sous b), et 14, premier alinéa, sous a), de la directive 95/46 à opérer lorsqu'elles sont saisies d'une demande telle que celle en cause au principal, l'autorité de contrôle ou l'autorité judiciaire peuvent ordonner audit exploitant de supprimer de la liste de résultats, affichée à la suite d'une recherche effectuée à partir du nom d'une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne, sans qu'une ordonnance en ce sens présuppose que ce nom et ces informations soient, du plein gré de l'éditeur ou sur ordonnance de l'une de ces autorités, supprimés au préalable ou simultanément de la page web sur laquelle ils ont été publiés.

83 En effet, ainsi qu'il a été constaté aux points 35 à 38 du présent arrêt, dans la mesure où le traitement des données effectué dans le cadre de l'activité d'un moteur de recherche se distingue de et s'ajoute à celui effectué par les éditeurs de sites web et affecte de manière additionnelle les droits fondamentaux de la personne concernée, l'exploitant de ce moteur en tant que responsable de ce traitement doit assurer, dans le cadre de ses responsabilités, de ses compétences et de ses possibilités, que celui-ci satisfait aux exigences de la directive 95/46, pour que les garanties prévues par celle-ci puissent développer leur plein effet.

84 À cet égard, il y a lieu de relever que, compte tenu de la facilité avec laquelle des informations publiées sur un site web peuvent être répliquées sur d'autres sites et du fait que les responsables de leur publication ne sont pas toujours soumis à la législation de l'Union, une protection efficace et complète des personnes concernées ne pourrait être réalisée si celles-ci devaient d'abord ou en parallèle obtenir l'effacement des informations les concernant auprès des éditeurs de sites web.

85 En outre, le traitement par l'éditeur d'une page web, consistant dans la publication d'informations relatives à une personne physique, peut, le cas échéant, être effectué "aux seules fins de journalisme" et ainsi bénéficier, en vertu de l'article 9 de la directive 95/46, de dérogations aux exigences établies par celle-ci, tandis que tel n'apparaît pas être le cas s'agissant du traitement effectué par l'exploitant d'un moteur de recherche. Il ne peut ainsi être exclu que la personne concernée soit dans certaines circonstances susceptible d'exercer les droits visés aux articles 12, sous b), et 14, premier alinéa, sous a), de la directive 95/46 contre ledit exploitant, mais non pas contre l'éditeur de ladite page web.

86 Enfin, il importe de constater que non seulement le motif justifiant, en vertu de l'article 7 de la directive 95/46, la publication d'une donnée à caractère personnel sur un site web ne coïncide pas forcément avec celui qui s'applique à l'activité des moteurs de recherche, mais que, même lorsque tel est le cas, le résultat de la mise en balance des intérêts en cause à effectuer en vertu des articles 7, sous f), et 14, premier alinéa, sous a), de cette directive peut diverger selon qu'il s'agit du traitement effectué par l'exploitant d'un moteur de recherche ou de celui effectué par l'éditeur de cette page web, étant donné que, d'une part, les intérêts légitimes justifiant ces traitements peuvent être différents et, d'autre part, les conséquences qu'ont lesdits traitements pour la personne concernée, et notamment pour sa vie privée, ne sont pas nécessairement les mêmes.

87 En effet, dans la mesure où l'inclusion dans la liste de résultats, affichée à la suite d'une recherche effectuée à partir du nom d'une personne, d'une page web et des informations qui y sont contenues relatives à cette personne facilite sensiblement l'accessibilité de ces informations à tout internaute effectuant une recherche sur la personne concernée et peut jouer un rôle décisif pour la diffusion desdites informations, elle est susceptible de constituer une ingérence plus importante dans le droit fondamental au respect de la vie privée de la personne concernée que la publication par l'éditeur de cette page web.

88 Au vu de l'ensemble des considérations qui précèdent, il convient de répondre à la deuxième question, sous c) et d), que les articles 12, sous b), et 14, premier alinéa, sous a), de la directive 95/46 doivent être interprétés en ce sens que, afin de respecter les droits prévus à ces dispositions et pour autant que les conditions prévues par celles-ci sont effectivement satisfaites, l'exploitant d'un moteur de recherche est obligé de supprimer de la liste de résultats, affichée à la suite d'une recherche effectuée à partir du nom d'une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne, également dans l'hypothèse où ce nom ou ces informations ne sont pas effacés préalablement ou simultanément de ces pages web, et ce, le cas échéant, même lorsque leur publication en elle-même sur lesdites pages est licite.

Sur la troisième question, concernant la portée des droits de la personne concernée garantis par la directive 95/46

89 Par sa troisième question, la juridiction de renvoi demande, en substance, si les articles 12, sous b), et 14, premier alinéa, sous a), de la directive 95/46 doivent être interprétés en ce sens qu'ils permettent à la personne concernée d'exiger de l'exploitant d'un moteur de recherche de supprimer de la liste de résultats, affichée à la suite d'une recherche effectuée à partir du nom de cette personne, des liens vers des pages web, publiées légalement par des tiers et contenant des informations véridiques relatives à cette dernière, au motif que ces informations sont susceptibles de lui porter préjudice ou qu'elle désire que celles-ci soient "oubliées" après un certain temps.

90 Google Spain, Google Inc., les gouvernements hellénique, autrichien et polonais ainsi que la Commission estiment que cette question appelle une réponse négative. Google Spain, Google Inc., le gouvernement polonais et la Commission font valoir à cet égard que les articles 12, sous b), et 14, premier alinéa, sous a), de la directive 95/46 confèrent des droits aux personnes concernées uniquement à la condition que le traitement en question soit incompatible avec cette directive ou pour des raisons prépondérantes et légitimes tenant à leur situation particulière, et non pas au simple motif qu'elles estiment que ce traitement est susceptible de leur porter préjudice ou qu'elles souhaitent que les données faisant l'objet dudit traitement tombent dans l'oubli. Les gouvernements hellénique et autrichien considèrent que la personne concernée doit s'adresser à l'éditeur du site web concerné.

91 M. Costeja González ainsi que les gouvernements espagnol et italien sont de l'avis que la personne concernée peut s'opposer à l'indexation de ses données personnelles par un moteur de recherche lorsque la diffusion de ces données par l'intermédiaire de celui-ci lui porte préjudice et que ses droits fondamentaux à la protection desdites données et au respect de la vie privée, lesquels englobent le "droit à l'oubli", prévalent sur les intérêts légitimes de l'exploitant dudit moteur et l'intérêt général à la liberté d'information.

92 S'agissant de l'article 12, sous b), de la directive 95/46, dont l'application est soumise à la condition que le traitement de données à caractère personnel est incompatible avec cette directive, il convient de rappeler que, ainsi qu'il a été relevé au point 72 du présent arrêt, une telle incompatibilité peut résulter non seulement du fait que ces données sont inexactes, mais, en particulier, aussi du fait qu'elles sont inadéquates, non pertinentes ou excessives au regard des finalités du traitement, qu'elles ne sont pas mises à jour ou qu'elles sont conservées pendant une durée excédant celle nécessaire, à moins que leur conservation s'impose à des fins historiques, statistiques ou scientifiques.

93 Il découle de ces exigences, prévues à l'article 6, paragraphe 1, sous c) à e), de la directive 95/46, que même un traitement initialement licite de données exactes peut devenir, avec le temps, incompatible avec cette directive lorsque ces données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées. Tel est notamment le cas lorsqu'elles apparaissent inadéquates, qu'elles ne sont pas ou plus pertinentes ou sont excessives au regard de ces finalités et du temps qui s'est écoulé.

94 Partant, dans l'hypothèse où il est constaté, à la suite d'une demande de la personne concernée en vertu de l'article 12, sous b), de la directive 95/46, que l'inclusion dans la liste de résultats, affichée à la suite d'une recherche effectuée à partir de son nom, des liens vers des pages web, publiées légalement par des tiers et contenant des informations véridiques relatives à sa personne, est, au stade actuel, incompatible avec ledit article 6, paragraphe 1, sous c) à e), en raison du fait que ces informations apparaissent, eu égard à l'ensemble des circonstances caractérisant le cas d'espèce, inadéquates, pas ou plus pertinentes ou excessives au regard des finalités du traitement en cause réalisé par l'exploitant du moteur de recherche, les informations et les liens concernés de ladite liste de résultats doivent être effacés.

95 En ce qui concerne les demandes au sens de cet article 12, sous b), fondées sur le prétendu non-respect des conditions prévues à l'article 7, sous f), de la directive 95/46 ainsi que celles au titre de l'article 14, premier alinéa, sous a), de cette directive, il convient de relever que chaque traitement de données à caractère personnel doit être légitimé en vertu de cet article 7 pour toute la durée pendant laquelle il est effectué.

96 Au vu de ce qui précède, dans le cadre de l'appréciation de telles demandes introduites à l'encontre d'un traitement tel que celui en cause au principal, il convient notamment d'examiner si la personne concernée a un droit à ce que l'information relative à sa personne ne soit plus, au stade actuel, liée à son nom par une liste de résultats, affichée à la suite d'une recherche effectuée à partir de son nom. À cet égard, il convient de souligner que la constatation d'un tel droit ne présuppose pas que l'inclusion de l'information en question dans la liste de résultats cause un préjudice à la personne concernée.

97 La personne concernée pouvant, eu égard à ses droits fondamentaux au titre des articles 7 et 8 de la Charte, demander à ce que l'information en question ne soit plus mise à la disposition du grand public par son inclusion dans une telle liste de résultats, il y a lieu de considérer, ainsi qu'il ressort notamment du point 81 du présent arrêt, que ces droits prévalent, en principe, non seulement sur l'intérêt économique de l'exploitant du moteur de recherche, mais également sur l'intérêt de ce public à trouver ladite information lors d'une recherche portant sur le nom de cette personne. Cependant, tel ne serait pas le cas s'il apparaissait, pour des raisons particulières, telles que le rôle joué par ladite personne dans la vie publique, que l'ingérence dans ses droits fondamentaux est justifiée par l'intérêt prépondérant dudit public à avoir, du fait de cette inclusion, accès à l'information en question.

98 S'agissant d'une situation comme celle en cause au principal, qui concerne l'affichage, dans la liste de résultats que l'internaute obtient en effectuant une recherche à partir du nom de la personne concernée à l'aide de Google Search, de liens vers des pages des archives en ligne d'un quotidien contenant des annonces mentionnant le nom de cette personne et se rapportant à une vente aux enchères immobilière liée à une saisie pratiquée aux fins du recouvrement de dettes en matière de sécurité sociale, il convient de considérer que, eu égard à la sensibilité des informations contenues dans ces annonces pour la vie privée de ladite personne et au fait que leur publication initiale avait été effectuée 16 ans auparavant, la personne concernée justifie d'un droit à ce que ces informations ne soient plus liées à son nom au moyen d'une telle liste. Dès lors, dans la mesure où il ne semble pas exister, en l'occurrence, de raisons particulières justifiant un intérêt prépondérant du public à avoir, dans le cadre d'une telle recherche, accès à ces informations, ce qu'il appartient toutefois à la juridiction de renvoi de vérifier, la personne concernée peut, en vertu des articles 12, sous b), et 14, premier alinéa, sous a), de la directive 95/46, exiger la suppression desdits liens de cette liste de résultats.

99 Il résulte des considérations qui précèdent qu'il y a lieu de répondre à la troisième question que les articles 12, sous b), et 14, premier alinéa, sous a), de la directive 95/46 doivent être interprétés en ce sens que, dans le cadre de l'appréciation des conditions d'application de ces dispositions, il convient notamment d'examiner si la personne concernée a un droit à ce que l'information en question relative à sa personne ne soit plus, au stade actuel, liée à son nom par une liste de résultats affichée à la suite d'une recherche effectuée à partir de son nom, sans pour autant que la constatation d'un tel droit présuppose que l'inclusion de l'information en question dans cette liste cause un préjudice à cette personne. Cette dernière pouvant, eu égard à ses droits fondamentaux au titre des articles 7 et 8 de la Charte, demander que l'information en question ne soit plus mise à la disposition du grand public du fait de son inclusion dans une telle liste de résultats, ces droits prévalent, en principe, non seulement sur l'intérêt économique de l'exploitant du moteur de recherche, mais également sur l'intérêt de ce public à accéder à ladite information lors d'une recherche portant sur le nom de cette personne. Cependant, tel ne serait pas le cas s'il apparaissait, pour des raisons particulières, telles que le rôle joué par ladite personne dans la vie publique, que l'ingérence dans ses droits fondamentaux est justifiée par l'intérêt prépondérant dudit public à avoir, du fait de cette inclusion, accès à l'information en question.

Sur les dépens

100 La procédure revêtant, à l'égard des parties au principal, le caractère d'un incident soulevé devant la juridiction de renvoi, il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que ceux desdites parties, ne peuvent faire l'objet d'un remboursement.

Par ces motifs, la Cour (grande chambre) dit pour droit:

1) L'article 2, sous b) et d), de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, doit être interprété en ce sens que, d'une part, l'activité d'un moteur de recherche consistant à trouver des informations publiées ou placées sur Internet par des tiers, à les indexer de manière automatique, à les stocker temporairement et, enfin, à les mettre à la disposition des internautes selon un ordre de préférence donné doit être qualifiée de "traitement de données à caractère personnel", au sens de cet article 2, sous b), lorsque ces informations contiennent des données à caractère personnel et, d'autre part, l'exploitant de ce moteur de recherche doit être considéré comme le "responsable" dudit traitement, au sens dudit article 2, sous d).

2) L'article 4, paragraphe 1, sous a), de la directive 95/46 doit être interprété en ce sens qu'un traitement de données à caractère personnel est effectué dans le cadre des activités d'un établissement du responsable de ce traitement sur le territoire d'un État membre, au sens de cette disposition, lorsque l'exploitant d'un moteur de recherche crée dans un État membre une succursale ou une filiale destinée à assurer la promotion et la vente des espaces publicitaires proposés par ce moteur et dont l'activité vise les habitants de cet État membre.

3) Les articles 12, sous b), et 14, premier alinéa, sous a), de la directive 95/46 doivent être interprétés en ce sens que, afin de respecter les droits prévus à ces dispositions et pour autant que les conditions prévues par celles-ci sont effectivement satisfaites, l'exploitant d'un moteur de recherche est obligé de supprimer de la liste de résultats, affichée à la suite d'une recherche effectuée à partir du nom d'une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne, également dans l'hypothèse où ce nom ou ces informations ne sont pas effacés préalablement ou simultanément de ces pages web, et ce, le cas échéant, même lorsque leur publication en elle-même sur lesdites pages est licite.

4) Les articles 12, sous b), et 14, premier alinéa, sous a), de la directive 95/46 doivent être interprétés en ce sens que, dans le cadre de l'appréciation des conditions d'application de ces dispositions, il convient notamment d'examiner si la personne concernée a un droit à ce que l'information en question relative à sa personne ne soit plus, au stade actuel, liée à son nom par une liste de résultats affichée à la suite d'une recherche effectuée à partir de son nom, sans pour autant que la constatation d'un tel droit présuppose que l'inclusion de l'information en question dans cette liste cause un préjudice à cette personne. Cette dernière pouvant, eu égard à ses droits fondamentaux au titre des articles 7 et 8 de la Charte, demander que l'information en question ne soit plus mise à la disposition du grand public du fait de son inclusion dans une telle liste de résultats, ces droits prévalent, en principe, non seulement sur l'intérêt économique de l'exploitant du moteur de recherche, mais également sur l'intérêt de ce public à accéder à ladite information lors d'une recherche portant sur le nom de cette personne. Cependant, tel ne serait pas le cas s'il apparaissait, pour des raisons particulières, telles que le rôle joué par ladite personne dans la vie publique, que l'ingérence dans ses droits fondamentaux est justifiée par l'intérêt prépondérant dudit public à avoir, du fait de cette inclusion, accès à l'information en question.