判决
2019年9月24日，欧洲法院就本案作出判决。首先，欧洲法院指出，法国最高行政法院提出的上述问题涉及对《95/46指令》的解释。考虑到该指令已为《一般数据保护条例》所取代，因此，尽管欧洲法院将从《95/46指令》的角度对上述问题予以考量，但在分析这些问题时，欧洲法院将同时考虑《一般数据保护条例》的相关规定，以确保欧洲法院的答复在任何情况下均对法国最高行政法院有所帮助。接下来，欧洲法院分析了法国最高行政法院提出的上述三个问题。
1.关于法国最高行政法院提出的第1个问题，欧洲法院认为，该问题实质上是询问《95/46指令》第8条第1、5款的规定是否应解释为，这些规定中提及的与处理敏感个人数据相关的禁止或限制情形，在搜索引擎作为数据处理（该数据处理系为搜索引擎运行之需而进行）的控制者的责任、权力和能力的框架内，并且在受限于《95/46指令》规定的例外情形的情况下亦适用于搜索引擎的运营商。
对此，欧洲法院指出，在第三方于互联网上刊载或放置的信息包含个人数据的情况下，搜索引擎的活动，包括寻找前述信息、自动对该信息进行索引、临时存储该信息并最终依照特定的偏好顺序提供给互联网用户等，应认定为《95/46指令》第2条（b）项规定的“个人数据处理”。该搜索引擎的运营商应认定为《95/46指令》第2条（d）项规定的个人数据处理方面的控制者。
欧洲法院同时指出，在搜索引擎的活动中进行的个人数据处理可以与互联网刊载者所从事的行为，即将相关个人数据上传至网页区分开来，且前者系后者的附加。此外，搜索引擎的行为在这些个人数据的传播中起到了决定性的作用，因为其使得这些数据可为任何基于数据主体的姓名进行搜索的互联网用户（包括那些如果没有搜索引擎就搜寻不到刊载这些数据的网页的互联网用户）所访问。另外，刊载于互联网上的信息的组织和汇集（该组织和汇集受到搜索引擎的影响，其目的是便于搜索引擎的用户访问该信息），可以在互联网用户基于个人姓名进行搜索的时候，使互联网用户通过搜索结果列表获取可从互联网搜寻到的该个人的相关信息的结构性概览，从而使得互联网用户能够掌握详尽程度不等的数据主体的概况。鉴于搜索引擎的活动较之互联网刊载者的活动显著地、额外地影响了数据主体的隐私权以及个人数据保护权。因此，作为决定该活动目的和手段的搜索引擎运营商必须在其责任、权力和能力的框架内，确保其活动满足《95/46指令》的要求，以便该指令规定的保障充分有效，并在实质上实现对数据主体的有效和完整的保护，特别是对其隐私权的有效和完整的保护。
欧洲法院接下来指出，法国最高行政法院提出的第1个问题旨在确定，若《95/46指令》第8条第1、5款规定的敏感个人数据存在于第三方在互联网上刊载或放置的信息之中，并且是搜索引擎运营商为运行其搜索引擎而进行的数据处理的标的，则搜索引擎运营商在其责任、权力和能力的框架内，是否亦需遵守《95/46指令》就该等敏感个人数据所提出的要求。
欧洲法院认为，《95/46指令》第8条第1款规定，欧盟成员国应禁止对显示种族或民族出身、政治观点、宗教或哲学信仰、工会会员资格的个人数据以及有关健康和性生活的数据进行处理。《95/46指令》第8条第2款则规定了对该禁止的某些例外和限制。同时，《95/46指令》第8条第5款规定，有关犯罪、刑事定罪或安全措施的数据处理仅可在官方机构的控制下或者在欧盟成员国国内法提供了适当的具体保障措施时才可以进行，该数据处理受限于欧盟成员国根据其国内法所准予的限制。但是，刑事定罪的综合性登记仅可在官方机构的控制下进行。同时，欧盟成员国可以规定，与行政处罚或民事判决有关的数据亦应在官方机构的控制下进行。《95/46指令》第8条第1、5款的内容现已为《一般数据保护条例》第9条第1款和第10条所取代。
需指出的是，首先，从《95/46指令》以及《一般数据保护条例》上述规定的用语可以清楚地看出，这些规定所载明的禁止和限制，在受制于其规定的豁免的情况下适用于其规定的各类敏感个人数据的处理和所有进行此类处理的控制者。
其次，《95/46指令》和《一般数据保护条例》的其他条款均未对相关数据进行处理，例如在搜索引擎活动中进行的数据处理规定上述禁止和限制的一般性例外。相反，从《95/46指令》和《一般数据保护条例》的体系可以看出，搜索引擎运营商必须与其他控制者一样，在其责任、权力和能力的框架内，确保其进行的个人数据处理遵守《95/46指令》或者《一般数据保护条例》的相应要求。
再次，对《95/46指令》第8条第1、5款或《一般数据保护条例》第9条第1款和第10条作出解释，从而推测性地、一般性地将搜索引擎的活动排除在这些条款就敏感个人数据处理所规定的特定要求之外，将与这些条款的目的，即确保加强对该数据处理的保护相悖。该数据处理因所涉数据特别敏感，故根据《95/46指令》“序言”部分第33条和《一般数据保护条例》“序言”部分第51条的规定，构成对《宪章》第7、8条所保障的隐私权和个人数据保护权的特别严重的侵犯。
欧洲法院强调，尽管由搜索引擎运营商进行的数据处理的特定特征并不能成为搜索引擎运营商免于遵守《95/46指令》第8条第1、5款或者《一般数据保护条例》第9条第1款和第10条的正当理由。但是，这些特征可以对搜索引擎运营商在这些条款下的责任和义务产生影响。需要指出的是，搜索引擎运营商之所以要承担责任，不是因为这些条款中所提及的个人数据出现在第三方刊载的网页之上，而是因为对该网页的链接，特别是在互联网用户基于相关个人的姓名进行搜索之后，在提交给该用户的搜索结果列表中展示的对该网页的链接。而上述展示将显著地影响数据主体的隐私权以及个人数据保护权。在此情形下，考虑到搜索引擎运营商作为数据处理控制者的责任、权力和能力，《95/46指令》第8条第1、5款或《一般数据保护条例》第9条第1款和第10条所规定的禁止和限制将仅因前述链接，并经由搜索引擎运营商基于数据主体的请求而在适格国家机关的监督下进行的核查，而适用于搜索引擎运营商。
综上，欧洲法院认为，对于法国最高行政法院提出的第1个问题的答复是，《95/46指令》第8条第1、5款的规定中提及的、与处理敏感个人数据相关的禁止或限制情形，在搜索引擎运营商作为相关个人数据处理（该个人数据处理与搜索引擎的活动相关）的控制者的责任、权力和能力的框架内，并且在受限于《95/46指令》规定的例外情形的情况下，将在该搜索引擎运营商基于数据主体的请求而在适格国家机关的监督下进行相关核查之际，适用于该搜索引擎运营商。
2.关于法国最高行政法院提出的第2个问题，欧洲法院认为，该问题实质上是询问以下问题。
一是《95/46指令》第8条第1款和第5款是否应解释为，这些条款要求搜索引擎运营商在受限于这些条款规定的例外情形的情况下，对含有这些条款所提及的敏感个人数据的网页的链接所提出的解除引用请求予以同意。
二是《95/46指令》第8条第2款（a）和（e）项是否应解释为，根据这些条款的规定，在搜索引擎运营商认定系争链接指向的内容虽包括第8条第1款提及的敏感个人数据，但同时亦为第8条第2款（a）和（e）项规定的例外情形所涵盖的情况下，该搜索引擎运营商可以拒绝相关解除引用请求。
三是《95/46指令》的规定是否应解释为，搜索引擎运营商可以拒绝相关解除引用请求，理由是该请求针对的链接所指向的含有《95/46指令》第8条第1、5款提及的敏感个人数据的网页，系仅为新闻或艺术或文学表达目的而刊载，该刊载由此为《95/46指令》第9条规定的例外情形所涵盖。
对此，欧洲法院认为，在《95/46指令》的框架内，解除引用的请求，例如本案所涉的请求主要是基于该指令第12条（b）项提出。根据该项规定，欧盟成员国应保障数据主体在相关数据的处理与该指令不符的情况下，享有要求数据控制者删除该等数据的权利。此外，根据《95/46指令》第14条（a）项的规定，欧盟成员国至少应在该指令第7条（e）项和（f）项所规定的情形下，赋予数据主体以其所处特定情形有关的令人信服的合法理由，随时拒绝与其相关的数据处理的权利，除非欧盟成员国法律另有规定。
欧洲法院指出，欧洲法院已经判决，为遵从《95/46指令》第12条（b）项以及第14条第1款（a）项规定的相关权利，在上述条款规定的条件事实上已获满足的情况下，对于根据个人的姓名进行搜索后展示的搜索结果列表，搜索引擎运营商有义务从该列表中删除对第三方刊载且含有该个人相关信息的网页的链接。在该姓名或信息之前未从这些网页删除或未同步从这些网页删除，甚至其刊载于这些网页系合法的情况下，搜索引擎运营商亦有此义务。欧洲法院还曾判决，在斟酌适用这些条款所规定的条件时，应审查数据主体是否享有权利，使得与其有关的个人信息不再通过基于其姓名进行的搜索而展示的搜索结果列表与其姓名相联。在认定此种权利时，将相关信息包括在搜索结果列表之中将对数据主体造成损害，对于认定此种权利并非必要。由于数据主体可以基于《宪章》第7、8条规定的基本权利，要求相关信息不再通过包含在搜索结果之中而为公众所得。因此，这些权利原则上不仅优先于搜索引擎运营商的经济利益，而且也优先于公众拥有的通过与该数据主体的姓名有关的搜索访问该信息的利益。不过，若基于特定理由，例如数据主体在公共生活中所起的作用，对该数据主体基本权利的干预将因公众拥有的通过将相关信息包含在搜索结果之中而访问该信息的利益优势而变得正当，则上述原则将不再适用。
就《一般数据保护条例》而言，欧盟立法机关已经在该条例第17条中规定了删除权，该权利在该条的标题中亦被称为被遗忘权。根据第17条第1款的规定，数据主体有权要求数据控制者及时删除其个人数据，数据控制者有义务在该项规定的情形适用的情况下，及时删除这些数据。该项规定提及了以下六种情形：①就收集或以其他方式处理个人数据的目的而言，该个人数据已非必要；②数据主体撤回同意，并且没有其他有关数据处理的法律依据；③数据主体根据第21条（该条取代了《95/46指令》第14条）第1款或第2款的规定，反对对数据进行处理；④个人数据被非法处理；⑤个人数据必须被删除以遵守法定义务；⑥个人数据是为儿童提供信息社会服务而收集的。不过，《一般数据保护条例》第17条第3款规定，第17条第1款在数据处理依第17条第3款规定的情形而言是必要的情况下不再适用。而这些情形之一是第17条第3款（a）项规定的行使言论和信息自由的权利。
《一般数据保护条例》第17条第3款（a）项明确规定，在数据处理对于行使言论和信息自由的权利（该权利为《宪章》第11条所保障）是必要的情况下，数据主体的删除权将被排除。这一情况表明，个人数据保护权并非绝对权利。正如《一般数据保护条例》“序言”部分第4条所言，该权利必须根据其在社会中的功能予以考量，且应依照比例原则与其他基本权利进行平衡。应指出的是，《宪章》第52条第1款允许对《宪章》第7、8条规定的权利的行使施加限制，只要这些限制是法律规定的、尊重了这些权利的本质、遵守了比例原则、是必要的，并且确实符合欧盟所确认的总体利益目标或保护他人权利和自由的需要。据此，可以认定，《一般数据保护条例》［特别是第17条第3款（a）项］明确规定了在《宪章》第7、8条保障的隐私权和个人数据保护权以及《宪章》第11条保障的信息自由权之间寻求平衡的要求。
接下来，欧洲法院基于上述原则，就搜索引擎运营商同意解除引用请求，并因此应从根据数据主体的姓名进行搜索后展示的搜索结果列表中，删除对相关网页（该网页载有《95/46指令》第8条第1款和第5款规定的敏感个人数据）的链接之条件进行审查。
欧洲法院注意到，搜索引擎运营商对《95/46指令》第8条第1款提及的敏感个人数据的处理，原则上能够为第8条第2款（a）和（e）项规定的例外情形所涵盖。第8条第2款（a）和（e）项规定，第8条第1款规定的禁止情形在以下情况下将不适用：数据主体对该数据处理给予了明示同意，但欧盟成员国法律禁止该同意的除外，或者数据处理与已经由数据主体明显公开的个人数据相关。这些例外现规定于《一般数据保护条例》第9条第2款（a）项和（e）项之中。此外，《一般数据保护条例》第9条第2款（g）项（该项规定基本重复了《95/46指令》第8条第4款的规定）允许在敏感个人数据处理依据欧盟或者欧盟成员国法律为实现重大公共利益所必需的情况下，对该等个人数据进行处理。但是，欧盟或者欧盟成员国法律应与其欲实现的目标成比例，应尊重数据保护权的本质，且应为保护数据主体的基本权利和利益提供适当和具体的措施。(https://www.daowen.com)
就《95/46指令》第8条第2款（a）项以及《一般数据保护条例》第9条第2款（a）项规定的例外情形而言，从该《指令》第2条（h）项以及《一般数据保护条例》第4条（11）项规定的“同意”的定义来看，同意必须是“明确”的，并因此必须与该搜索引擎活动中进行的数据处理，以及该处理使得第三方能够通过基于数据主体姓名进行的搜索获得搜索结果列表，而该列表包含指向相关网页（该网页含有敏感个人数据）的链接这一事实明确相关。现实中通常难以想象，而且在案材料也未显示，搜索引擎运营商为进行相关引用，将在处理数据主体的个人数据之前寻求数据主体的明示同意。无论如何，一个自然人提出解除引用请求这一事实原则上意味着，至少在提出该请求之时，其不再同意搜索引擎运营商所进行的数据处理。对此，应予指出的是，《一般数据保护条例》第17条第1款（b）项规定了数据主体行使被遗忘权的情形，其中之一是数据主体根据第9条第2款（a）项撤回同意，并且没有其他有关数据处理的法律依据。
就《95/46指令》第8条第2款（e）项以及《一般数据保护条例》第9条第2款（e）项规定的例外情形，即数据处理与已经由数据主体明显公开的个人数据相关而言，该例外既适用于搜索引擎运营商，也适用于相关网页的刊载者。
据此，虽然在搜索引擎引用的网页上存在《95/46指令》第8条第1款和《一般数据保护条例》第9条第1款规定的敏感个人数据，但是，搜索引擎在其活动中对这些数据的处理，只要满足前述例外和其他合法条件，特别是《95/46指令》第6条或《一般数据保护条例》第5条规定的条件，即符合《95/46指令》或《一般数据保护条例》的规定。不过，即使在这种情况下，数据主体仍有权依照《95/46指令》第14条（a）项或《一般数据保护条例》第17条第1款（c）项以及第21条第1款的规定，基于其特定情况解除对相关链接的引用。
无论如何，搜索引擎运营商在其收到解除引用的请求之时，必须在考虑《95/46指令》第8条第4款或《一般数据保护条例》第9条第2款（g）项规定的重大公共利益的基础上，依照《95/46指令》或《一般数据保护条例》规定的条件认定，将相关网页的链接包含在根据数据主体的姓名进行搜索而展示的搜索列表之中，是否互联网用户（该用户对通过此搜索访问相关网页具有潜在利益）行使《宪章》第11条所保护的信息自由权所必需。尽管数据主体的权利通常优先于互联网用户的利益，但是在特定案件中，该平衡应取决于涉案信息的性质、该信息相对于数据主体私人生活的敏感度以及社会公众对拥有该信息所享有的利益（该利益可能因数据主体在公共生活中的地位而不同）。
此外，在数据处理与《95/46指令》第8条第1、5款或《一般数据保护条例》第10条规定的敏感个人数据相关的情况下，数据主体享有的隐私权和个人数据保护权所受的干预将因这些数据的敏感性而变得特别严重。
因此，在搜索引擎运营商收到就刊载敏感个人数据的网页的链接所提出的解除引用请求的情况下，该搜索引擎运营商必须基于特定案件的所有相关因素，并在考虑《宪章》第7、8条规定的数据主体隐私权和个人数据保护权所受干预的严重性，以及斟酌《95/46指令》第8条第4款或《一般数据保护条例》第9条第2款（g）项规定的重大公共利益的基础上，依照《95/46指令》或《一般数据保护条例》规定的条件认定，将相关网页的链接包含在根据数据主体的姓名进行搜索而展示的搜索列表之中，是否为互联网用户（该用户对通过此搜索访问相关网页具有潜在利益）行使《宪章》第11条所保护的信息自由权所必需。
综上，欧洲法院认为，对于法国最高行政法院提出的第2个问题的答复如下。
一是《95/46指令》第8条第1、5款应解释为，这些条款原则上要求搜索引擎运营商在受限于这些条款规定的例外情形的情况下，对含有这些条款所提及的敏感个人数据的网页的链接的解除引用请求予以同意。
二是《95/46指令》第8条第2款（e）项应解释为，根据该条款的规定，在搜索引擎运营商认定系争链接指向的内容虽包括第8条第1款提及的敏感个人数据，但同时亦为第8条第2款（a）项和（e）项规定的例外情形所涵盖的情况下，该搜索引擎运营商可以拒绝相关解除引用请求。但是，相关数据处理应满足《95/46指令》规定的其他合法条件，且数据主体有权依照《95/46指令》第14条（a）项的规定，基于与其所处特定情形有关的令人信服合法理由，对该数据处理予以拒绝。
三是《95/46指令》的规定应解释为，在搜索引擎运营商收到就刊载敏感个人数据的网页的链接所提出的解除引用请求的情况下，该搜索引擎运营商必须基于特定案件的所有相关因素，并在考虑《宪章》第7、8条规定的数据主体隐私权和个人数据保护权所受干预的严重性，以及斟酌《95/46指令》第8条第4款或《一般数据保护条例》第9条第2款（g）项规定的重大公共利益的基础上，依照《95/46指令》或《一般数据保护条例》规定的条件认定，将相关网页的链接包含在根据数据主体的姓名进行搜索而展示的搜索列表之中，是否为互联网用户（该用户对通过此搜索访问相关网页具有潜在利益）行使《宪章》第11条所保护的信息自由权所必需。
3.关于法国最高行政法院提出的第3个问题，欧洲法院认为，该问题实质上是询问《95/46指令》的规定是否应作出以下解释。
一是针对个人提起的刑事程序的相关信息，以及（视具体情况而定）与之后的定罪相关的信息系《95/46指令》第8条第5款规定的与“犯罪”和“刑事定罪”有关的数据。
二是若上述信息与系争刑事程序的早先阶段相关，并且考虑到该刑事程序的进展，上述信息已经与现状不符，则搜索引擎的运营商应同意就展示上述信息的网页的链接提出解除引用请求。
对此，欧洲法院认为，针对个人提起的刑事程序的相关信息，例如与司法调查和审判相关的信息，以及（视具体情况而定）与之后的定罪相关的信息，系《95/46指令》第8条第5款以及《一般数据保护条例》第10条规定的与“犯罪”和“刑事定罪”有关的数据，不论在这些法律程序中，相关个人被起诉的罪行是否被确认。因此，通过将刊载此类数据的网页的链接包含在根据数据主体的姓名进行搜索而展示的搜索列表之中，搜索引擎的运营商进行了这些数据的处理。根据《95/46指令》第8条第5款第1项和《一般数据保护条例》第10条的规定，该数据处理受制于特殊的限制。该处理在遵守了《95/46指令》和《一般数据保护条例》的上述规定，并且满足了《95/46指令》和《一般数据保护条例》就合法性规定的其他条件的情况下是合法的，特别是在欧盟成员国法律规定了恰当和具体的保障措施的情况下更是如此。而系争信息由公权力机关依照应适用的欧盟成员国法律披露给公众即属此情况。
关于合法性的其他条件，从《95/46指令》第6条第1款（c）—（e）项［现为《一般数据保护条例》第5条第1款（c）—（e）项］的规定可以看出，若基于相关数据被收集或处理的目的，这些数据已不再需要，则原先对数据的合法处理，伴随着时间的推移可能变得与《95/46指令》不符。
不过，即使《95/46指令》第8条第5款和《一般数据保护条例》第10条规定的与犯罪和刑事定罪有关的数据处理不符合这些条款所规定的限制或合法性的其他条件，例如《95/46指令》第6条第1款（c）—（e）项和《一般数据保护条例》第5条第1款（c）—（e）项规定的条件，搜索引擎运营商仍须在考虑《95/46指令》第8条第4款或《一般数据保护条例》第9条第2款（g）项规定的重大公共利益的基础上，依照《95/46指令》或《一般数据保护条例》规定的条件认定，将相关网页的链接包含在根据数据主体的姓名进行搜索而展示的搜索列表之中是否互联网用户（该用户对通过此搜索访问相关网页具有潜在利益）行使《宪章》第11条所保护的信息自由权所必需。对此，从欧洲人权法院的判例可以看出，相关个人根据《欧洲保护人权和基本自由公约》第8条规定提起的要求禁止各类媒体通过互联网提供对该个人提起的刑事程序的过时报道之申请，要求对该个人享有的其私人生活获得尊重的权利，以及公众享有的信息自由之间如何达成公平的平衡进行审查。在寻求公平的平衡时，必须考虑媒体在民主社会中所起的基本作用，包括对法律程序的报道和评论。此外，除了媒体传播相关信息和想法的功能之外，还需考虑公众获取这些信息和想法的权利。就此，欧洲人权法院确认，公众不仅对获知相关时事享有权利，而且对检索此前的事件亦享有权利。而公众就刑事程序享有的权利在程度上不尽相同，并可能因案件的情况伴随着时间的推移而发生变化。
鉴于此，就解除引用的请求（该请求与对相关网页的链接相关，而该网页刊载了针对数据主体提起的刑事程序的相关信息，该信息涉及刑事程序的过去阶段且与现状不符）而言，搜索引擎运营商应斟酌，根据案件的全部情况，例如案涉犯罪的性质和严重程度、相关刑事程序的进展和结果、经过的时间、数据主体在公共生活中所起的作用及其过去的行为、提起该解除引用请求时的公共利益、刊载的内容和形式以及该刊载对数据主体造成的后果等，数据主体是否有权要求系争信息在目前情况下，不再通过根据其姓名进行搜索后展示的搜索结果列表而与其姓名相联。
需要补充的是，若搜索引擎运营商认定，数据主体无权提出解除引用的请求，因为将系争链接包含在搜索结果列表之中，就平衡数据主体享有的隐私权和个人数据保护权，以及对该链接拥有潜在利益的互联网用户享有的信息自由而言是必需的，则该搜索引擎运营商最迟应在解除引用请求提出之时以下述方式，即其提供给互联网用户的总体情况反映了当前的法律状况，也就是将包含当前法律状况相关信息的网页链接置顶的方式，对搜索结果列表予以调整。
综上，欧洲法院认为，对于法国最高行政法院提出的第3个问题的答复如下。
一是针对个人提起的刑事程序的相关信息以及（视具体情况而定）与之后的定罪相关的信息，系《95/46指令》第8条第5款规定的与“犯罪”和“刑事定罪”有关的数据。
二是若上述信息与系争刑事程序的早先阶段相关，并且考虑到该刑事程序的进展，该信息已经与现状不符，则搜索引擎运营商应同意就展示该信息的网页链接提出的解除引用请求，条件是在审查《95/46指令》第8条第4款规定的重大公共利益后，可以认定，根据案件的全部情况，《宪章》第7、8条保障的数据主体的基本权利优先于《宪章》第11条保护的对该信息具有潜在利益的互联网用户的权利。