L’applicazione del diritto comunitario a Google: il criterio funzionale inclusivo del ‘contesto delle attività’

Com’è risaputo, i prestatori di Web search engines svolgono la propria attività in un contesto globale. Sebbene abbiano spesso la propria sede principale negli Stati Uniti (così Google, ma anche

Yahoo! o Bing), si avvalgono di varie filiali ubicate in tutto il mondo

per la promozione dei loro prodotti e la vendita di pubblicità. Questa struttura ramificata porta spesso con sé problemi sull’individuazione della giurisdizione competente ma, nel caso in esame, si tratta di un aspetto che è stato sfruttato dal giudice comunitario per riconoscere l’applicabilità della normativa europea in capo a Google112_{. L’attività di vendita pubblicitaria} svolta da Google Spain SL (società a responsabilità limitata avente sede a Madrid) è stata infatti riconosciuta come direttamente collegabile alla società madre. Posta la sostanziale rilevanza economica e strategica per Google Inc. dell’attività di ricerca e della pubblicità svolte da Google Spain SL, queste sono state considerate quali inscindibili l’una dall’altra. Muovendo da ciò, è stata riconosciuta la giurisdizione spagnola sulla base di quanto disposto dall’art. 4, lett. a) della direttiva 95/46/CE, che così recita: «Ciascuno Stato membro applica le disposizioni nazionali

adottate per l'attuazione della presente direttiva al trattamento di dati personali … effettuato nel contesto delle attività di uno stabilimento del responsabile del trattamento nel territorio dello

112 _{Si tratta di uno dei pochi aspetti sul quale la Corte si è conformata a quanto}

indicato dall’Avvocato Generale Jaaskinen nel suo parere sulla causa in oggetto, emesso il 25 giugno 2013, dov’egli suggeriva che: «…la Corte dovrebbe

affrontare la questione dell’applicabilità territoriale prendendo in considerazione il modello economico dei fornitori di servizi di motore di ricerca su Internet».

52

Stato membro; qualora uno stesso responsabile del trattamento sia stabilito nel territorio di più Stati membri, esso deve adottare le misure necessarie per assicurare l'osservanza, da parte di ciascuno di detti stabilimenti, degli obblighi stabiliti dal diritto nazionale applicabile». La CGCE ha riconosciuto come condizione sufficiente

per estendere la giurisdizione europea sulla tutela dei dati personali, il fatto che il trattamento dei dati fosse stato effettuato «nel contesto delle attività» di un’organizzazione stabile, ossia da una succursale, rappresentativa degli interessi della multinazionale e dotata di personalità giuridica, con sede in uno Stato membro dell’UE113_{. La decisione appare, sul piano logico,} rispondente a quanto previsto nel Considerando n. 19 alla direttiva n. 46 del 1995, ove si specifica che «lo stabilimento nel

territorio di uno Stato membro implica l'esercizio effettivo e reale dell'attività mediante un'organizzazione stabile» e che «la forma giuridica di siffatto stabilimento, si tratti di una semplice succursale o di una filiale dotata di personalità giuridica, non è il fattore determinante a questo riguardo»114_{. Il criterio adottato è volto a} limitare l’elusione della legge da parte delle grandi aziende multinazionali, così da offrire una solida tutela ai cittadini europei (e più in generale ai residenti in uno Stato membro). Ciò che dunque maggiormente rileva, in ambito di trattamento dei dati personali, per la determinazione della legislazione applicabile, è il

113 _{SALARELLI A., Ancora sul diritto all’oblio: cosa cambia dopo la sentenza}

della Corte di Giustizia Europea contro Google, in JLIS.IT, 2015, pp. 147 e ss..

114 _{Il testo integrale della Direttiva 95/46/CE (ivi inclusi i considerando) del}

Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela

delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, è disponibile in GUCE. n. 281, del 23 novembre

53 livello effettivo di partecipazione di ciascun stabilimento (filiale o succursale) alle attività di raccolta e sfruttamento dei dati115_. Trattasi, per inciso, di un criterio di riparto giurisdizionale già rinvenibile in altri testi normativi di matrice comunitaria. In tal senso va ad esempio considerato l’art. 2 lett. c) della direttiva 2000/31/CE, Relativa a taluni aspetti giuridici dei servizi della

società dell'informazione, in particolare il commercio elettronico, nel mercato interno - recepita in Italia con il d.lgs. 9 aprile 2003, n.

70 - ove il “prestatore stabilito” viene definito come il prestatore116 “che esercita effettivamente e a tempo indeterminato un’attività

economica mediante un’installazione stabile”. La CGCE ha avuto

modo di precisare che la stabile installazione, cui la disposizione fa riferimento, non va intesa come la sede in cui sono materialmente ubicati i mezzi tecnici (server in primis), stabilendo come l’aspetto che maggiormente va tenuto in considerazione per individuare la giurisdizione competente sia l’ambito territoriale in cui vengono realizzati, in maniera effettiva e non temporanea, gli obiettivi di profitto dell’impresa117_.

Il principio suddetto è stato recepito dal legislatore europeo nella stesura del nuovo Regolamento UE in materia di privacy. È il cosiddetto ‘target principle’, previsto all’art. 3, par. 2 del Regolamento (UE) 679/2016, per cui si estende l’applicazione

115 _{CAGGIANO G., L’interpretazione del criterio di collegamento del ‘contesto delle}

attività di stabilità’ dei responsabili del trattamento dei dati personali, in RESTA

G. – ZENO-ZENCOVICH V., Il diritto all’oblio su Internet dopo la sentenza Google

Spain, RomaTre-press, 2015, pp. 43 e ss..

116 _{L’art 2 (Definizioni) della direttiva 2000/31/CE identifica il prestatore nella}

persona fisica o giuridica che presta un servizio della società dell'informazione.

117 _{CODIGLIONE G. G., Motori di ricerca, trattamento di dati personali ed obbligo}

di rimozione: diritto all’oblio o all’autodeterminazione informativa?, in Nuova giur. civ. comm., 2014, p. 1072 e ss..

54 territoriale del Regolamento anche ai soggetti, sì stabiliti al di fuori dello Spazio Economico Europeo, ma che offrono beni e servizi agli individui ivi residenti, ovvero ne controllino il comportamento (il riferimento è all’attività di profilazione degli utenti di Internet). Nell’individuare l’ambito di applicazione territoriale del Regolamento, il legislatore prende in considerazione - nei casi in cui il titolare (o responsabile) sia stabilito su territorio extracomunitario - la collocazione geografica non del responsabile del trattamento dei dati personali che fornisce il servizio ma dell’interessato destinatario del servizio118_.

2.6.3 Il nuovo status di Google: da mero intermediario a