Oblio e deindicizzazione

Si passa ora all’analisi del terzo quesito pregiudiziale avanzato dall’AEPD, quello che maggiormente rileva nell’analisi sull’evoluzione del diritto all’oblio: il riconoscimento in capo a Google della responsabilità del trattamento cosa comporta? A quali obblighi devono sottostare?

estremizzando (ma non troppo) il ragionamento, non debba ottenere il consenso degli interessati». In questi termini si esprime POLLICINO O., Un digital right to

privacy preso (troppo) sul serio dai giudici di Lussemburgo? Il ruolo degli artt. 7

e 8 della Carta di Nizza nel reasoning di Google Spain, in RESTA G. – ZENO-

ZENCOVICH V., Il diritto all’oblio su Internet, cit., pp. 7 e ss..

122 _{È esplicativo dell’orientamento – opposto - seguito dalla nostra}

giurisprudenza il c.d. caso “Google v. Vividown”. La S. C. italiana, sulla scorta di quanto previsto dal d.lgs. 70/2003 in materia di responsabilità dei provider, ha escluso profili di responsabilità in capo a Google per i contenuti pubblicati attraverso il suo canale video (youtube.com), non ravvisando alcun potere decisionale in ordine alle finalità o alle modalità del trattamento, tali da poter attribuire a Google il ruolo di titolare del trattamento. Cfr. Cass., 3 febbraio 2014, n. 5107, in Corr. giur., 2014, pp. 798 e ss.; RESTA F., Diritti individuali e

libertà della rete nel caso Vividown, in Giurisprudenza di merito, 2013, pp. 1589

57 Gli artt. 12, lett. b)123 _{e 14, co. 1, lett. a)}124 _{della direttiva n. 46 del} 1995 possono essere intesi nel senso che, per rispettare i diritti previsti da tali disposizioni, il gestore di un motore di ricerca possa essere obbligato a sopprimere dall’elenco dei risultati, che appare a seguito di una ricerca effettuata a partire dal nome di una persona, quei link che collegano a pagine web, pubblicate da terzi, anche nel caso in cui il nome o altre informazioni riferibili alla persona non vengano previamente o simultaneamente cancellati dalle pagine Web in oggetto? Si tratta di quesiti ̵ cui la sentenza ha dato risposta ̵ costituenti il ‘nocciolo duro’ della c.d. sentenza

Google Spain, in quanto determinanti una pioneristica

rideterminazione del concetto di diritto all’oblio.

Nelle memorie di difesa, i legali rappresentanti di Google sostenevano un difetto di legittimità passivo, ritenendo che l’originaria domanda avanzata dal Costeja, volta alla soppressione delle informazioni, non dovesse essere rivolta al gestore del motore di ricerca, bensì all’editore del sito web interessato, adducendo come motivazione il fatto che solo esso sia da

123 _{L’articolo 12, lett. b) della direttiva prevede che: «gli Stati membri}

garantiscono a qualsiasi persona interessata il diritto di ottenere dal responsabile del trattamento, … a seconda dei casi, la rettifica, la cancellazione o il congelamento dei dati il cui trattamento non è conforme alle disposizioni della presente direttiva, in particolare a causa del carattere incompleto o inesatto dei dati».

124 _{L’articolo 14, lett. a) della direttiva così dispone: «Gli Stati membri}

riconoscono alla persona interessata il diritto, … almeno nei casi di cui all’articolo 7, lettere e) e f), di opporsi in qualsiasi momento, per motivi preminenti e legittimi, derivanti dalla sua situazione particolare, al trattamento di dati che la riguardano, salvo disposizione contraria prevista dalla normativa nazionale. In caso di opposizione giustificata il trattamento effettuato dal responsabile non può più riguardare tali dati».

58 considerarsi quale responsabile per la diffusione delle informazioni e quindi, in virtù del principio di proporzionalità, è quest’ultimo che dispone dei mezzi valutativi e di intervento maggiormente efficaci nel rendere inaccessibili le informazioni stesse. Di parere diametralmente opposto Costeja (le cui tesi erano altresì sostenute ̵ nelle osservazioni presentate ̵ dai governi spagnolo, italiano e polacco, e dalla Commissione Europea), il quale riteneva che l’autorità nazionale (AEPD) potesse ordinare direttamente al gestore di un motore di ricerca di rimuovere, dai propri indici e dalla propria memoria intermedia, quelle informazioni contenenti dati personali pubblicati da terzi, senza doversi necessariamente rivolgere all’editore della pagina web nella quale compaiono tali informazioni. Oltre a ciò, ad avviso del Costeja, dei governi spagnolo e italiano, e della Commissione, la circostanza che le suddette informazioni fossero state pubblicate in modo lecito e comparissero ancora sulla pagina web d’origine, non avrebbe inciso sull’attribuzione degli obblighi di intervento incombenti sul service provider.

La Corte si trovò innanzitutto a dover effettuare un bilanciamento tra quei diritti fondamentali previsti dagli artt. 7 e 8 della Carta di Nizza125_{, che ricevono attuazione mediante gli articoli 6, 7, 12, 14} e 28 della direttiva 95/46, e altri fondamentali diritti quali quello alla libertà di espressione, di informazione e di impresa (sanciti anche questi nella Carta dei diritti fondamentali dell’Unione

125 _{Per ‘Carta di Nizza’ si intende la Carta dei diritti fondamentali dell'Unione}

europea, proclamata a Nizza il 7 dicembre 2000. La carta enuncia i diritti e i principi che dovranno essere rispettati dall’Unione Europea in sede di applicazione del diritto comunitario. Tra i valori fondamentali in essa enunciati troviamo: dignità (art 1-5); libertà (art. 6-19); uguaglianza (art. 20-26); solidarietà (art. 27-38); cittadinanza (art. 39-46); giustizia (art. 47-50).

59 europea; artt. 11126 _{e 16}127 _{della Carta di Nizza), alla luce anche} dell’interesse pubblico a disporre dell’informazione. Oggetto della pregiudiziale in esame era dunque questo: posti il riconoscimento della natura fondamentale del diritto alla privacy e la sua affermazione come diritto all’autodeterminazione informativa, fin dove questo diritto si può estendere, andando a comprimere gli altri interessi di rango primario cui si faceva sopra riferimento? Si tratta di una vexata quaestio oggetto di numerose pronunce giurisdizionali e amministrative128_{, alcune riguardanti tra l’altro} proprio il colosso di Mountain View129_{. Il temperamento tra gli}

126 _{Carta dei diritti fondamentali dell'Unione europea, Articolo 11 (Libertà di}

espressione e d'informazione):

«1. Ogni individuo ha diritto alla libertà di espressione. Tale diritto include la libertà di opinione e la libertà di ricevere o di comunicare informazioni o idee senza che vi possa essere ingerenza da parte delle autorità pubbliche e senza limiti di frontiera.

2. La libertà dei media e il loro pluralismo sono rispettati».

127 _{Carta dei diritti fondamentali dell'Unione europea, Articolo 16 (Libertà}

d'impresa): «È riconosciuta la libertà d'impresa, conformemente al diritto

comunitario e alle legislazioni e prassi nazionali».

128 _{Cass., 25 giugno 2004, n. 11864, in Giust. civ., 2005, p. 2731; Cass. 29}

settembre 2005, n. 34821, in CED, 232562; Gar., 9 novembre 2005, doc. web n. 1200127; Cass. 5 aprile 2012, n.5525, in For. it., cit., 2013.

129 _{Il Garante per la protezione dei dati personali italiano ha elaborato nel}

Provvedimento prescrittivo del 10 luglio 2014 delle linee-guida particolarmente incisive nel settore della privacy su internet, imponendo a Google Inc., non soltanto di «rendere un’informativa completa ed efficace agli

utenti», di « acquisire il consenso preventivo degli utenti, sia autenticati che non autenticati, in relazione al trattamento delle informazioni che li riguardano» e di

«garantire ai medesimi interessati la possibilità dell’esercizio del diritto di

opposizione di cui all’art. 7 del Codice», ma anche di «adottare una policy di data

60 interessi sopra esposti si pone alla base della decisione sul riconoscimento o meno in capo al soggetto richiedente di un diritto alla de-indicizzazione e, come diretta conseguenza di ciò, il riconoscimento in capo a Google di un onere di rimozione, dalla propria SERP, dei riferimenti alle informazioni che il cittadino spagnolo vuole che siano ‘dimenticate’.

La Corte, con un intervento a dir poco dirompente, ha accolto le pretese del ricorrente e, dopo aver riconosciuto Google Inc. quale responsabile del trattamento dei dati, ha decretato la possibilità per l’interessato di avanzare direttamente al gestore del motore di ricerca le domande ai sensi degli artt. 12 (Diritto di accesso) e 14 (Diritto di opposizione della persona interessata) e ha imposto a Google un obbligo di valutazione sulla fondatezza della richieste di cancellazione a lui avanzate e, laddove questa sia ravvisata, di provvedere a porre fine al trattamento dei dati in questione. L’analisi del reasoning che ha portato la Corte a deliberare nel modo sopra espresso rivela come, effettuata una ponderazione tra i diritti vantati dalle parti ̵ da una parte i diritti fondamentali della persona sanciti dagli artt. 7 e 8 della Carta di Nizza, dall’altra gli antinomici diritti alla libertà di informazione (diritto alla libera espressione del pensiero, diritto del pubblico ad essere informati) ̵ la Corte abbia considerato i primi come prevalenti sulle libertà informative, nonché sugli interessi economici di Google. La CGCE ha avuto modo di specificare poi, nella motivazione n. 81 della sentenza, che: «Se indubbiamente i diritti della persona interessata

richiesta dell’interessato autenticato) alla cancellazione dei dati personali entro il termine massimo di due o sei mesi, a seconda che essi siano presenti sui sistemi c.d. attivi o risultino, viceversa, archiviati nei sistemi di back-up. Cfr. FERRARO A. V., La sentenza Google Spain ed il diritto all’oblio nello spazio

giuridico europeo, in Rivista italiana di diritto pubblico comunitario, 2016, pp.

61

… prevalgono, di norma, anche sul citato interesse degli utenti di Internet, tale equilibrio può nondimeno dipendere, in casi particolari, dalla natura dell’informazione di cui trattasi e dal suo carattere sensibile per la vita privata della persona suddetta, nonché dall’interesse del pubblico a disporre di tale informazione, il quale può variare, in particolare, a seconda del ruolo che tale persona riveste nella vita pubblica». Il bilanciamento tra gli

interessi in gioco non porta quindi, quasi come se si stesse discutendo di un’equazione matematica, sempre allo stesso risultato. L’esito della ponderazione dipende infatti da una serie di fattori, quali: la natura dei dati trattati (in particolare rileva la loro appartenenza alla categoria dei c.d. dati sensibili), l’interesse del pubblico ad avere accesso a quella determinata informazione, il ruolo svolto nella società dall’interessato e l’attuale rilevanza dell’informazione130_{. La Corte ha affidato il ruolo di primo} moderatore, tra gli interessi di rango primario in gioco, al motore di ricerca stesso, ponendo questo come primo ‘arbitro’. Questo aspetto è stato fortemente criticato da parte della dottrina131_. Nonostante la Corte abbia specificato il fatto che permane la possibilità per l’interessato di adire l’autorità amministrativa di controllo o giudiziaria qualora non venga dato seguito all’istanza presentata al provider, questa ha in ogni caso attribuito a Google un ruolo di natura giurisdizionale “para-costituzionale”132_,

130 _{I parametri di applicazione del diritto all’oblio sono stati raccolti dal Gruppo}

di lavoro ex art. 29 nella guida, da questi redatta, sull’applicazione della sentenza “Google Spain and Inc V. Agencia Española De Protección De Datos

(Aepd) and Mario Costeja González” C-131/12, adottato il 26 novembre 2014.

131_{. Cfr. cap. IV, Sez. seconda.}

132 _{STRADELLA E., Cancellazione e oblio: come la rimozione del passato, in bilico}

tra tutela dell’identità personale e protezione dei dati, si impone anche nella Rete, quali anticorpi si possono sviluppare, e, infine, cui prodest?, in Rivista AIC, 2016,

62 consistente nell’analisi sulla fondatezza della richiesta di cancellazione e in un giudizio di bilanciamento tra interessi e valori coinvolti. A questa attribuzione possono essere mosse due ordini di critiche. Innanzitutto, l’aver affidato ad un’impresa privata il compito di svolgere un’attività prettamente giurisdizionale. In secundis, l’aver imposto un onere assai gravoso in capo ai motori di ricerca: l’obbligo di facere, preteso dalla sentenza, importa difatti la predisposizione di un apparato tecnico e burocratico di non poco conto133_.

Il riconoscimento del diritto all’oblio quale diritto alla deindicizzazione viene poi giustificato, a guisa della Corte, dal combinato disposto degli artt. 7, 12 e 14 della direttiva 95/46. I poteri di accesso e opposizione al trattamento, attribuiti all’interessato dagli artt. 12, lett. b) della direttiva ̵ nel punto in cui la stessa prevede il diritto di ottenere dal responsabile la rettifica o la cancellazione del trattamento non conforme alle disposizioni della direttiva ̵ e 14 lett. a) ̵ il quale prevede il diritto ad opporsi al trattamento nei casi previsti dall’art 7 e) e f) ̵, in lettura combinata proprio con l’art. 7 lett. f) della direttiva, il quale

disponibile in Internet all’indirizzo http://www.rivistaaic.it/cancellazione-e- oblio-come-la-rimozione-del-passato-in-bilico-tra-tutela-dell-identit-

personale-e-protezione-dei-dati-si-impone-anche-nella-rete-quali-anticorpi- si-possono-sviluppare-e-infine-cui-prodest.html [consultato in data 10 giugno 2016].

133 _{Per dare un’idea della mole di lavoro che la decisione della CGCE ha}

comportato, si pensi che, stando ai dati forniti da Google nel suo Rapporto sulla trasparenza, sono state avanzate ad oggi un totale di 732.211 domande di rimozione dei contenuti, che hanno richiesto l’esame di 2.073.593 URL. Dati e statistiche sui contenuti rimossi sono disponibili in Internet all’indirizzo https://www.google.com/transparencyreport/removals/europeprivacy/?hl=i t [consultato in data 11 giugno 2017].

63 stabilisce come condizione di legittimità del trattamento il fatto che l’interesse perseguito dal responsabile del trattamento non prevarichi sugli interessi o i diritti e le libertà fondamentali riconosciuti alla persona interessata, ha portato il giudice comunitario ad un riconoscimento, per il soggetto interessato, della facoltà di richiedere a Google (e in generale ai motori di ricerca) la diretta rimozione dalla loro SERP dei contenuti lesivi di cui sopra, e dell’obbligo, in capo al service provider, di rimuovere, dall’elenco dei risultati che appare a seguito di una ricerca effettuata a partire dal nome di una persona, quegli URL che rimandano a pagine contenenti informazioni relative la suddetta persona, e ciò anche quando la loro pubblicazione sia di per sé lecita134_.

La Corte, con la sentenza in oggetto, ha di fatto riconosciuto un diritto all’oblio generalizzato su Internet. Un diritto, ora ufficialmente legittimato a livello comunitario (stante anche la funzione nomofilattica svolta dalla CGCE), che si concreta in un diritto alla deindicizzazione dai motori di ricerca.

Nella nuova società dell’informazione, libera e cibernetica, il ruolo svolto da Google è da riconoscere come fondamentale: sempre più vero è l’assunto per cui noi siamo ciò che Google dice che siamo. È da ammettere, infatti, che una informazione disponibile tra i primi risultati di Google Search è di gran lunga più accessibile rispetto a una informazione non indicizzata. Alla luce di ciò, il ‘diritto ad essere dimenticati’ su Internet non può non passare attraverso un intervento - legislativo o, come in questo caso, giurisprudenziale - che coinvolga in modo analitico Google e gli altri motori di ricerca che catalogano i contenuti accessibili attraverso la Rete. Ritenere

134 _{D’ANTONIO V. – SICA S., La procedura di de-indicizzazione, in RESTA G. –}

64 direttamente responsabile Google di tutti i contenuti da esso indicizzati (praticamente il 90% delle pagine web) sembra una soluzione assai eccessiva e, sebbene la Corte non arrivi a tanto, a questa ipotesi si avvicina quando impone a Google un controllo sulle istanze di cancellazione a lui indirizzate che, laddove venga omesso o il cui esito non sia ritenuto dall’istante soddisfacente, può comportare per l’impresa l’emersione di un contenzioso dal quale può scaturire un oneroso risarcimento a suo carico135_.

2.6.5 Una nuova chiave di lettura dell’oblio: il diritto alla