I motori di ricerca non possono pubblicare dati sensibili senza il consenso dell’interessato
Un cittadino spagnolo citava Google ed un noto quotidiano innanzi all'equivalente del nostro Garante della privacy, perché avevano pubblicato notizie su un’esecuzione coattiva per un credito previdenziale ed una vendita all'asta,
Quelle di seguito riportate sono le conclusioni a cui è giunta la Corte di Giustizia UE, Grande Sezione, nella sentenza 13 maggio 2014, causa C-131/12.
- L’attività di un motore di ricerca consistente nel trovare informazioni pubblicate o inserite da terzi su Internet, nell'indicizzarle in modo automatico, nel memorizzarle temporaneamente e, infine, nel metterle a disposizione degli utenti di Internet secondo un determinato ordine di preferenza, deve essere qualificata come «trattamento di dati personali», ai sensi del citato articolo 2, lettera b), qualora tali informazioni contengano dati personali, e che, dall'altro lato, il gestore di detto motore di ricerca deve essere considerato come il «responsabile» del trattamento.
- Un trattamento di dati personali viene effettuato nel contesto delle attività di uno stabilimento del responsabile di tale trattamento nel territorio di uno Stato membro, ai sensi della disposizione suddetta, qualora il gestore di un motore di ricerca apra in uno Stato membro una succursale o una filiale destinata alla promozione e alla vendita degli spazi pubblicitari proposti da tale motore di ricerca e l’attività della quale si dirige agli abitanti di detto Stato membro.
- Al fine di rispettare i diritti previsti da tali disposizioni, e sempre che le condizioni da queste fissate siano effettivamente soddisfatte, il gestore di un motore di ricerca è obbligato a sopprimere, dall'elenco di risultati che appare a seguito di una ricerca effettuata a partire dal nome di una persona, dei link verso pagine web pubblicate da terzi e contenenti informazioni relative a questa persona, anche nel caso in cui tale nome o tali informazioni non vengano previamente o simultaneamente cancellati dalle pagine web di cui trattasi, e ciò eventualmente anche quando la loro pubblicazione su tali pagine web sia di per sé lecita.
- Nel valutare i presupposti di applicazione di tali disposizioni, si deve verificare in particolare se l’interessato abbia diritto a che l’informazione in questione riguardante la sua persona non venga più, allo stato attuale, collegata al suo nome da un elenco di risultati che appare a seguito di una ricerca effettuata a partire dal suo nome, senza per questo che la constatazione di un diritto siffatto presupponga che l’inclusione dell'informazione in questione in tale elenco arrechi un pregiudizio a detto interessato. Dato che l’interessato può, sulla scorta dei suoi diritti fondamentali, chiedere che l’informazione in questione non venga più messa a disposizione del grande pubblico in virtù della sua inclusione in un siffatto elenco di risultati, i diritti fondamentali di cui sopra prevalgono, in linea di principio, non soltanto sull’interesse economico del gestore del motore di ricerca, ma anche sull’interesse di tale pubblico ad accedere all'informazione suddetta in occasione di una ricerca concernente il nome di questa persona. Tuttavia, così non sarebbe qualora risultasse, per ragioni particolari, come il ruolo ricoperto da tale persona nella vita pubblica, che l’ingerenza nei suoi diritti fondamentali è giustificata dall'interesse preponderante del pubblico suddetto ad avere accesso, in virtù dell'inclusione summenzionata, all'informazione di cui trattasi.
Peraltro, la sentenza non è piaciuta a Google (e non poteva essere diversamente). Un portavoce della compagnia di Mountain View ha, infatti, commentato: "Si tratta di una decisione deludente per i motori di ricerca e per gli editori online in generale. Siamo molto sorpresi che differisca così drasticamente dall'opinione espressa dall'Advocate General della Corte di Giustizia Europea e da tutti gli avvertimenti e le conseguenze che lui aveva evidenziato. Adesso abbiamo bisogno di tempo per analizzarne le implicazioni."
La Corte reputa che il gestore del motore di ricerca sia il ‘responsabile’ del trattamento dei dati, ai sensi della direttiva, dato che è lui a determinarne le finalità e gli strumenti del trattamento stesso. La Corte rileva in proposito che, nella misura in cui l’attività di un motore di ricerca si aggiunge a quella degli editori di siti web e può incidere significativamente sui diritti fondamentali alla vita privata e alla protezione dei dati personali, il gestore del motore di ricerca deve garantire, nell’ambito delle sue responsabilità, delle sue competenze e delle sue possibilità, che detta attività soddisfi le prescrizioni della direttiva.
Quanto all’ambito di applicazione territoriale della direttiva, la Corte osserva che Google Spain costituisce una filiale di Google Inc. nel territorio spagnolo e, pertanto, uno ‘stabilimento’ ai sensi della direttiva. La Corte respinge l’argomento secondo cui il trattamento di dati personali da parte di Google Search non viene effettuato nel contesto delle attività di tale stabilimento in Spagna. La Corte considera al riguardo che, quando dati siffatti vengono trattati per le esigenze di un motore di ricerca gestito da un’impresa che, sebbene situata in uno Stato terzo, dispone di uno stabilimento in uno Stato membro, il trattamento viene effettuato ‘nel contesto delle attività’ di tale stabilimento, ai sensi della direttiva, qualora quest’ultimo sia destinato ad assicurare, nello Stato membro in questione, la promozione e la vendita degli spazi pubblicitari proposti sul motore di ricerca al fine di rendere redditizio il servizio offerto da quest’ultimo.
Il motore di ricerca è, quindi, obbligato, in presenza di determinate condizioni, a sopprimere, dall’elenco di risultati che appare a seguito di una ricerca effettuata a partire dal nome di una persona, dei link verso pagine web pubblicate da terzi e contenenti informazioni relative a tale persona.
La Corte rileva inoltre che tali informazioni toccano potenzialmente una moltitudine di aspetti della vita privata e che, in assenza del motore di ricerca, esse non avrebbero potuto, o soltanto difficilmente avrebbero potuto, essere connesse tra loro.
Tuttavia, poiché la soppressione di link dall’elenco di risultati potrebbe, a seconda dell’informazione in questione, avere ripercussioni sul legittimo interesse degli utenti di Internet potenzialmente interessati a avere accesso a quest’ultima, la Corte constata che occorre ricercare un giusto equilibrio tra tale interesse e i diritti fondamentali della persona interessata, e segnatamente il diritto al rispetto della vita privata e il diritto alla protezione dei dati personali. Equilibrio, precisa poi la Corte, che, in casi particolari, dipende dalla natura dell’informazione di cui trattasi, nonché dall’interesse del pubblico a ricevere tale informazione, il quale può variare, in particolare, a seconda del ruolo che tale persona riveste nella vita pubblica.
Infine, interrogata sulla questione se la direttiva consenta alla persona interessata di chiedere che dei link verso pagine web siano cancellati da tale elenco di risultati per il fatto che detta persona desideri che le informazioni ivi figuranti relative alla sua persona siano oggetto di ‘oblio’ dopo un certo tempo, la Corte rileva che, qualora si constati, in seguito a una richiesta della persona interessata, che l’inclusione di tali link nell’elenco è, allo stato attuale, incompatibile con la direttiva, le informazioni e i link figuranti in tale elenco devono essere cancellati.
La decisione della Corte di Lussemburgo è stata accolta positivamente da Viviane Reding, commissario Ue alla Giustizia: “E’ una Chiara vittoria a favore della protezione dei dati personali dei cittadini europei”. Una decisione che secondo la Reding “conferma la necessità di portare le regole odierne sulla protezione dei dati dall’età della pietra ai giorni nostri, nel mondo moderno dei computer”. Risale al 2012 la proposta di Legge sulla data protection della Commissione Europea, che fa riferimento al diritto all’oblio fra i suoi punti cardine.