Nuova sentenza della Corte UE sul diritto all’oblio: i possibili risvolti per utenti e motori di ricerca

Da anni si discute del delicato tema della responsabilità degli Internet Service Provider in relazione ai contenuti diffusi dagli utenti.

Recentemente, la Corte di Cassazione, con sentenza depositata il 3 febbraio 2014 in relazione al noto caso Google/Vividown, aveva escluso la responsabilità degli ISP affermando che non esiste una legge che impone al provider un obbligo generale di sorveglianza dei dati immessi da terzi sul sito da lui gestito, né sussiste in capo a tale soggetto alcun obbligo sanzionato penalmente di informare il soggetto che ha immesso i dati dell’esistenza e della necessità di fare applicazione della normativa al trattamento dei dati stessi. La nostra suprema corte, in altre parole, aveva ricondotto la responsabilità di un contenuto caricato su una piattaforma web al suo solo autore, qualificando tale soggetto unico titolare del trattamento dei dati personali presenti nel contenuto.

Con sentenza emessa lo scorso 13 maggio, la Corte di Giustizia adotta una diversa interpretazione, volta a riconoscere ai cittadini europei il diritto di richiedere ai motori di ricerca l’eliminazione, dalle loro pagine dei risultati, di eventuali link che rimandino verso “contenuti non più rilevanti”, qualificando gli ISP titolari del trattamento dei dati veicolati tramite la loro attività di indicizzazione.

Questi i fatti.

Un cittadino spagnolo aveva presentato reclamo al Garante per la Privacy spagnolo contro La Vanguardia Ediciones SL, società che pubblica un quotidiano di larga diffusione, Google Spain e Gongle Inc., sostenendo di aver diritto a far rimuovere, dai risultati della ricerca di Google che si potevano ottenere inserendo il proprio nome nell’apposito campo, i link ad una notizia pubblicata dal quotidiano La Vanguardia, vecchia di sedici anni, circa la vendita all’asta di un immobile di sua proprietà, causato da motivi di difficoltà finanziaria. Secondo tale cittadino spagnolo, i risultati di tale ricerca violavano la sua privacy; inoltre, l’informazione non era più attuale, perché i suoi dissesti economici si erano risolti. Per questo, riteneva di aver diritto ad ottenere l’oblio di tali informazioni dai risultati di ricerca di Google.

Il Garante per la privacy spagnolo ha accolto il ricorso del cittadino spagnolo. Google Spain e Google Inc hanno presentato ricorso avverso tale decisione e il Giudice così adito ha sospeso il procedimento al fine di sottoporre alla Corte di Giustizia Europea una serie di questioni pregiudiziali, volte a chiarire come debba essere interpretata la Direttiva 95/46/CEE (“Direttiva”) con riferimento al servizio offerto da Google. Le questioni riguardavano essenzialmente:

1-   la possibilità di applicare la disciplina privacy nazionale, di recepimento della Direttiva, a Google, ai sensi dell’art. 4, comma 1, lett. a), della Direttiva, tenuto conto che Google svolge l’attività di motore di ricerca fuori dalla Spagna e dalla UE, ma ha in Spagna una filiale destinata alla promozione e alla vendita di spazi pubblicitari proposti dal motore di ricerca e l’attività della quale si dirige agli abitanti di tale Stato;

2-    la possibilità di qualificare l’attività di indicizzazione come un trattamento dei dati ai sensi dell’art. 2, lett. b), della Direttiva;

3-   la possibilità di qualificare Google quale titolare del trattamento delle pagine web da essa indicizzate, ai sensi dell’art. 2, lett. d), della Direttiva;

4-   la possibilità di ordinare direttamente a Google la rimozione dai propri indici di una informazione pubblicata da terzi, senza rivolgersi previamente o simultaneamente al titolare della pagina web in cui è inserita tale informazione, nel rispetto dei diritti enunciati agli artt. 12, lett. b), e 14, lett. a), della Direttiva.

In relazione al principale quesito di cui al precedente n. 2, la Corte di Giustizia Europea ha dichiarato che il gestore di un motore di ricerca, esplorando internet in modo automatizzato, costante e sistematico alla ricerca di informazioni ivi pubblicate,“raccoglie dati siffatti, che egli estrae, registra ed organizza successivamente nell’ambito dei suoi programmi di indicizzazione, conserva nei suoi server ed, eventualmente, comunica e mette a disposizione dei propri utenti sotto forma di elenchi dei risultati delle loro ricerche.Poiché tali operazioni sono contemplate in maniera esplicita ed incondizionata all’art. 2, lett. b), della Direttiva, esse devono essere qualificate come “trattamento” ai sensi di tale disposizione, senza che rilevi il fatto che il gestore del motore di ricerca applichi le medesime operazioni anche ad altri tipi di informazioni e non distingua tra queste e i dati personali”.

Quanto al terzo quesito, la Corte di Giustizia europea ha rilevato che è il gestore del motore di ricerca a determinare le finalità e gli strumenti di tale attività e, dunque, il trattamento dei dati personali che egli stesso effettua nell’ambito dell’attività medesima; conseguentemente, è qualificabile come titolare del trattamento.

Con riferimento al primo quesito circa l’applicabilità della disciplina nazionale al caso in analisi, la CGE ha rilevato che non è contestato che Google Spain si dedica all’esercizio effettivo e reale di una attività mediante un’organizzazione stabile in Spagna. Essendo inoltre dotato di una personalità giuridica propria, detta società costituisce in tale modo una filiale di Google Inc in territorio spagnolo e, quindi, uno “stabilimento” ai sensi dell’art. 4, comma 1, lett. a) della Direttiva. Quanto all’esigenza che il trattamento sia “effettuato nel contesto delle attività dello stabilimento” della società estera collocato in uno Stato membro, la CGE ne ha rilevato l’applicabilità nel caso di specie, in quanto Google Spain garantisce, in Spagna, la promozione e la vendita degli spazi pubblicitari proposti dal suddetto motore di ricerca agli abitanti di detto Stato Membro: attività che servono a rendere redditizio il servizio di ricerca offerto da Google Inc. e che sono, pertanto, tra loro inscindibilmente connessi.

In relazione all’ultimo quesito, la CGE ha dichiarato che gli artt. 12, lett. b), e 14, primo comma, lett. a), della Direttiva devono essere interpretati nel senso che al fine di rispettare i diritti previsti da tali disposizioni, e sempre che le condizioni da queste fissati siano effettivamente soddisfatte, il gestore di un motore di ricerca è obbligato a sopprimere, dall’elenco dei risultati che appare a seguito di una ricerca effettuata a partire dal nome di una persona, dei link verso pagine web pubblicate da terzi e contenenti informazioni relative a questa persona, anche nel caso in cui tale nome o tali informazioni non vengano previamente o simultaneamente cancellate dalle pagine web di cui trattasi, e ciò eventualmente anche quando la loro pubblicazione su tali pagine web sia di per sé lecita.  La soppressione dei contenuti effettuati, in ogni caso, dovrà essere effettuata dal titolare del motore di ricerca, verificando se l’interessato abbia diritto a che l’informazione in questione non venga più collegata al suo nome, ossia analizzando se il diritto alla riservatezza dell’interessato sia prevalente rispetto al diritto all’informazione da parte del pubblico o se, al contrario, il ruolo ricoperto da tale persona nella vita pubblica giustifichi in qualche modo l’ingerenza nei suoi diritti fondamentali a favore dell’interesse preponderante del pubblico ad avere accesso a tali informazioni.

Stando al contenuto di tale sentenza, gli utenti potranno proporre una istanza direttamente al titolare di un motore di ricerca, chiedendo che i propri dati personali, che “in relazione al tempo trascorso e alle finalità per le quali sono stati trattati non siano più pertinenti”, non siano più indicizzati. Questo fatti salvi i casi in cui l’interesse del pubblico a conoscere tali dati sia tale da considerarsi preponderante rispetto al diritto all’oblio del singolo e/o il ruolo pubblico del soggetto che avanza l’istanza. Nel caso in cui il gestore non dia seguito alla domanda, inoltre, gli utenti potranno adire le autorità competenti per ottenere, a determinante condizioni, la soppressione di tali informazioni dall’elenco dei risultati della ricerca.

Le possibili ripercussioni di tale sentenza sono amplissime.

Da oggi, infatti, gli ISP potrebbero trovarsi a dover gestire le richieste di cancellazione di dati personali che gli utenti potrebbero far pervenire ai motori di ricerca alla luce di questa sentenza, andando a valutare quali richieste accogliere e quali rifiutare, in base ad un giudizio di preponderanza tra il diritto alla privacy e quello alla libertà di espressione o all’interesse pubblico di accedere all’informazione.

Gli ISP, inoltre, potrebbero potrebbero valutare l’opportunità di rendere una informativa privacy agli utenti che navigano sui loro siti per le finalità proprie del motore di ricerca e trattare le informazioni utilizzate per svolgere la loro attività di ricerca in conformità ai principi di cui alla Direttiva.

Nei prossimi mesi, vedremo come si comporteranno in concreto i principali player del mercato e quale posizione prenderanno i giudici italiani rispetto alla applicazione dei principi espressi nella sentenza in analisi.