インターネット上の検索エンジン・オペレーターは、第三者によって公表されたウェブページ上に表示されるパーソナルデータを処理するプロセスについて責任を有する。

このようにして、個人の氏名に基づいてなされる検索に続いて、検索結果のリストが当該人物に関する情報を含むウェブページへのリンクを表示する場合には、そのデータの主体は、オペレーターに直接アプローチをすることが認められる。また、オペレーターがデータ主体の要請に応じない場合には、当該問題について、一定条件の下で、検索結果のリストからそのリンクを削除するために、規制当局へ（救済）申立を行うことが認められる。

EUデータ保護指令（※9）は、パーソナルデータが処理される際に、データの自由な流通に対する妨げとなるものを除去する一方で、自然人の基本的な権利及び自由（特にプライバシー権）を保護することを目的としている。

2010年、スペイン人のマリオ・コステハ・ゴンザレス（Mario
Costeja González）氏は、スペインデータ保護局（AEPD: Agencia Española de Protección de Datos）へ、ヴァングァルディア紙（Vanguardia Ediciones SL、特にカタルーニャ州を中心としたスペインで相当な発行部数を有する新聞の出版社）、また、グーグル・スペイン社及びグーグル・インク社を相手方として救済を申し立てた。コステハ・ゴンザレス氏は、インターネット利用者がグーグル・グループの検索エンジン（グーグル検索）で自分の名前を検索すると、検索結果が1998年1月及び3月におけるヴァングァルディア紙の2つのウェブページへのリンクを表示すると主張した。これらのページには、とりわけ、コステハ・ゴンザレス氏の社会保障料債務の回収のための差押え手続に続いて不動産競売が実施される旨の公告が掲載されていた。

その救済申し立てにおいて、コステハ・ゴンザレス氏は、第一に、ヴァングァルディア紙に対して、（自分に関するパーソナルデータが表示されないようにするため）当該ページを削除することまたは変更することのいずれかを命じるか、あるいは、パーソナルデータを保護するため、検索エンジンにおいて利用できる一定のツールを用意することを命じるべきである、と要請した。第二に、グーグル・スペイン社またはグーグル・インク社に対して、彼に関するパーソナルデータが検索結果に表示されないようにするため、当該パーソナルデータを削除するか、あるいは、当該パーソナルデータを非公開（conceal）とすることを命じるべきである、と要請した。以上の点に関して、コステハ・ゴンザレス氏は、自分に関する差押え手続きは何年も前に完結して終了しており、申立人に関する現時の情報として適切性を失っていると述べた。

スペインデータ保護局（AEPD）は、ヴァングァルディア紙に対する救済申し立てについては、当該情報は適法に公表されたものであるとして却下した。他方で、グーグル・スペイン社及びグーグル・インク社に対する救済申し立ては認める判断がなされた。AEPDは、当該2社に対して、インデックスから当該データを削除し、また、今後当該データへアクセスできないようにさせるため必要な措置を講じるように要請した。グーグル・スペイン社及びグーグル・インク社は、AEPDの決定は取り消されるべきであるとして、スペインの全国管区裁判所（Audiencia Nacional）へ2つの訴訟を提起した。この事件を審理する過程で、スペインの裁判所は、一連の質問事項をEU裁判所へ付託した。

本日の判決において、裁判所はまず最初に、検索エンジンのオペレーターは、インターネット上で公表される情報を、自動的、継続的、かつ、体系的に検索することによって、EUデータ保護指令の意味においてデータを「収集」すると認定する。続いて次のように述べる。オペレーターは、そのインデキシングプログラムの枠組み内で、当該データを「抽出、記録」し、「系統立て」を施し、そして、それをサーバに「保存」して、そのときどきに応じて検索結果リストのかたちで検索エンジンのユーザに「公開」しかつ「利用を提供」しているのである。上記の各操作について、EUデータ保護指令は、各語を明示しかつ限定を付さずに用いており、（いずれも）「処理（processing）」に該当すると分類されなければならない、このことは、検索エンジンのオペレーターがパーソナルデータ以外の情報かどうかということを区別をしないで各操作を行っているという事実によっては左右されない。裁判所はまた次の指摘もしている。EUデータ保護指令が掲げるオペレーションとは、現状においてすでにメディアで公表されている素材をもっぱら取り扱う場合でさえも、「処理」として分類されなければならない。そのような事例において、EUデータ保護指令の適用を総じて免れさせることは、EUデータ保護指令から法的効果を広く奪う結果となるだろう。

さらに、裁判所は、「処理」の目的及び手段を決定するのはオペレーターであるということから、検索エンジンのオペレーターは、EUデータ保護指令の意味において、その「処理」に関して「コントローラー」であると判示した。この点に関して、検索エンジンの活動は、ウェブサイトの公表者の活動に対して追加されるものであり、プライバシーやパーソナルデータの保護に対する基本的な権利に重大な影響を与える責任を負うため、裁判所は、検索エンジンのオペレーターがその責任、能力及び権限の枠組みの範囲内において、検索エンジンの活動がEUデータ保護指令の要件に従うことを保障しなければならない。これは、EUデータ保護指令の規定が完全な効力を有し、また、（特にプライバシーのような）データ主体を効果的かつ完全に保護することが実質的に達成されるための、唯一の方法である。

EUデータ保護指令の管轄権に関して、グーグル・スペイン社はスペイン領域におけるグーグル・インク社の子会社であり、したがって、EUデータ保護指令の意味における「拠点」（establishment）に該当する。裁判所はグーグル検索によってパーソナルデータを処理することが、スペインの当該拠点で活動するに際して執行されていないとの主張を棄却した。裁判所は、この点に関して、次のように判示した。たとえ検索エンジンがEU非構成国にあるとしても、当該（現地）拠点が、検索エンジンが提供するサービスの収益性を高めるために、検索エンジンが提供する広告スペースの販促を行う目的で設置されているのならば、当該データ処理は、EU指令の意味する、当該拠点が「活動するに際して（in the context of activities）」執行されている。

次に、検索エンジンのオペレーターの責任の範囲に関して、裁判所は以下のように判示した。オペレーターは、一定の状況においては、人名の検索に続いて表示される結果のリストから、第三者によって公表されたウェブページへのリンクを削除する義務を負い、また、当該個人に関する情報を制限する義務を負う。裁判所は、以下の点を明らかにした。氏名または情報がウェブページから事前あるいは同時に消去されないような事案においても、さらには、事案によっては、当該ウェブページにおける公表それ自体は適法な場合であってすら、そのような義務を負う可能性がある。

裁判所は、当該文脈において、以下の点を指摘する。そのようなオペレーターによって行われるパーソナルデータの処理は、検索結果のリストを通じて、いかなるインターネットユーザにも、インターネット上で構築されたその個人に関する情報の概観を手に入れることを可能とする。さらに、裁判所は以下のようにも述べている。当該情報は、潜在的には彼の私生活のあらゆる側面に関わる。また、検索エンジンなくして、当該情報は相互に結合させられることはなかいし、さもなくばかろうじてつながるという程度にすぎないだろう。その結果、インターネットユーザは、多かれ少なかれ、検索される人の詳細なプロフィールを確立するかもしれない。さらに、インターネットや検索エンジンが果たす役割の重要性のために、個人の権利に抵触する可能性が高まっている。なぜなら、現代社会において、インターネットや検索エンジンは、そのような検索結果のリストに含まれる情報をいたるところに存在させる（ubiquitous）からである。裁判所によれば、それが潜在的にプライバシー権を侵害する場合の被害の深刻さに比べると、検索エンジンのオペレーターがデータを処理することによって得る経済的利益のみによっては正当化されない。

しかしながら、裁判所は以下のように判示した。検索結果からリンクを削除することが、当該情報を頼りに潜在的にその情報へアクセスすることに関心を抱いているインターネットユーザの正当な利益に影響を与える限りにおいて、その利益と、特にプライバシー権やパーソナルデータを保護する権利のような、データ主体の基本的な権利との間で公正なバランスが取られるべきである。

裁判所はこの点に関して次のように述べる。一般準則として、データ主体の権利はまた、インターネットユーザのその利益と競合するということは真実であるが、二つのバランスは個々具体のケースにおいて、当該情報の性質やデータ主体の私生活にとってのセンシティブさと、その情報を取得することの民衆の利益（この利益はとりわけデータ主体が公生活上で担う役割次第で変動するのであるが）によって測られることになる。

最後に、データ主体が、ウェブページ上に現れる自己の情報について、一定期間の後に、一個人としては「忘れられる」ことを望んでいることを根拠として、検索結果のリストからウェブページへのリンクが削除されるべきであると請求することをEUデータ保護指令が認めるかどうかという問題に対して、裁判所は以下のように判示した。データ主体の請求に続いて、もし、検索結果のリストの中にこれらのリンクを含むことが、現時点において、EUデータ保護指令に抵触するものと認められる場合には、検索結果のリストの中のリンクや情報は消去されなければならない。裁判所はこの点に関して、次のように述べる。事件をめぐる一切の事情を勘案して、データが処理された際の目的との関係、及び、これまでに経過した時間に照らして、当該データが不十分となり、不適切であるかもしくは（当初の）適切性を喪失していたり、あるいは、過剰となっていると思われるような場合、当初は適法であった正確なデータ処理であっても、時とともに、EUデータ保護指令に抵触するようになることもある。加えて、裁判所は次のように述べる。検索エンジンのオペレーターが執行する処理に対抗するために、データ主体がそのような請求を行うことを評価するに当たっては、データ主体個人に関わる当該情報が、現時点において、彼の氏名に基づいて行われた検索に続いて表示される検索結果のリストによって、もはやデータ主体の氏名にリンクされないようにするべきであるとする権利をデータ主体が有するかどうかが、特に検討されるべきである。もしその問いが肯定されるならば、当該情報を含むウェブページへのリンクは、検索結果のリストから削除されるべきである。ただし、データ主体が公生活上で担う役割といった、そのような検索がなされる時に、情報にアクセスできることに民衆が優越的利益を有することを正当化するような、特段の理由がある場合には、その限りではない。

裁判所は、以下のように指摘する。データ主体は、検索エンジンのオペレーター（コントローラー）へ直接、そのような要請をなすことが認められる。したがって、検索エンジンのオペレーター自身がその価値を適切に検討しなければならない。コントローラーがその要請に応じない場合には、データ主体は監督機関または司法当局へ訴えを提起することが認められ、監督機関または司法当局は、必要なチェックを行い、また、これに応じた特別な措置を講ずるよう、コントローラーに命ずることとなる。

[本文へ戻る]