Autore: Daniele Costa

Indice

1. Introduzione
2. La nascita del diritto all’oblio: il caso Google Spain
3. Diritto all’oblio nel Regolamento UE 2016/679
4. Diritto all’oblio e Linee Guida del WP29
5. Diritto all’oblio ed extraterritorialità
6. Diritto all’oblio ed obblighi di informazione a carico dei titolari

1. Introduzione

Negli ultimi anni lo sviluppo del web ha determinato la nascita di una vera e propria “era digitale”, che ha toccato tutti i campi del tessuto economico e della vita sociale, rivoluzionandoli in misura più o meno rilevante.

Uno dei settori su quali si è abbattuta con più forza questa nuova era digitale è proprio quello del trattamento delle informazioni (rectius dei dati personali).

Mentre, fino a pochi decenni fa, i canali di veicolazione delle informazioni erano limitati e meno invasivi, oggi l’esposizione mediatica si nutre di canali sempre più numerosi, connessi e sempre attivi.

Si è passati, infatti, dal poter conoscere gli aspetti più significativi della vita privata e professionale solo delle persone cd. esposte (es. politici, personaggi dello sport, della cultura e dello spettacolo) alla situazione odierna, in cui, almeno in linea teorica, è possibile conoscere i dettagli più intimi e meno significativi di qualsiasi persona.

Sotto questo profilo, i social network (da Facebook a Twitter, da Linkedin ad Instagram) hanno sicuramente dato un contributo determinante al processo sopra descritto, ma, in linea generale, è proprio il modello di funzionamento del web – che, di fatto, costituisce un’enorme e smisurato database in grado di raccogliere, ma soprattutto conservare, ogni traccia della nostra esistenza – a determinare situazioni di possibile conflitto tra diritti e/o interessi contrapposti.

Nel mondo del web, infatti, a differenza di quanto accade negli altri canali di comunicazione (TV, giornali ecc.), le informazioni tendono a sedimentarsi le une sulle altre senza mai veramente sparire, a meno che non ci sia un intervento umano.

Caso classico è quello relativo agli articoli di giornale pubblicati sulle sezioni online dei quotidiani: da una parte il diritto di cronaca e il diritto ad essere informati, dall’altra il diritto alla riservatezza o, quantomeno, come vedremo tra poco, il diritto, a determinate condizioni, ad essere dimenticati.

In altre parole, quando il diritto di cronaca e quello ad essere informati devono cedere il passo di fronte al diritto alla privacy? E, in linea più generale, qual è il confine tra diritto alla conoscenza e diritto all’oblio?

2. La nascita del diritto all’oblio: il caso Google Spain

Il diritto all’oblio nasce con la oramai nota sentenza della Corte di Giustizia dell’Unione Europea del 13 maggio 2014 C-131/12 (Google Spain).

Il caso analizzato dalla CGUE aveva ad oggetto un fatto abbastanza comune che riguarda migliaia di persone: un pignoramento immobiliare a carico di un cittadino comune.

Ebbene, inserendo, a distanza di molti anni dalla data dell’evento (1998-2010), il nominativo di quella persona su Google search, continuava a comparire tra i primi risultati di ricerca la notizia relativa al pignoramento subito, notizia oggettivamente vera, ma per la quale l’interessato avrebbe voluto essere dimenticato.

Pronunciandosi su una serie di quesiti che, per brevità di esposizione, non è possibile approfondire in questa sede, la Corte di Giustizia UE accoglieva, di fatto, la domanda dell’interessato, prevedendo come “… il gestore di un motore di ricerca è obbligato a sopprimere, dall’elenco di risultati che appare a seguito di una ricerca effettuata a partire dal nome di una persona, dei link verso pagine web pubblicate da terzi e contenenti informazioni relative a questa persona, anche nel caso in cui tale nome o tali informazioni non vengano previamente o simultaneamente cancellati dalle pagine web di cui trattasi, e ciò eventualmente anche quando la loro pubblicazione su tali pagine web sia di per sé lecita“.

3. Diritto all’oblio nel Regolamento UE 2016/679

A distanza di qualche anno dalla pronuncia della Corte di Giustizia UE sul caso Google Spain il diritto all’oblio è stato inserito in maniera espressa all’interno del Regolamento UE 2016/679 (“Regolamento”) e, nello specifico, all’art. 17 – Diritto alla cancellazione (<<diritto all’oblio>>).

Già dall’analisi della rubrica dell’articolo, tuttavia, emergono una serie di profili semantici e, di riflesso giuridici, di non poco conto.

In particolare, sembrerebbe esserci una non completa sovrapposizione tra il termine “cancellazione” ed “oblio”.

Seppur utilizzati come sinonimi da parte del legislatore europeo (cfr. anche il testo dei considerando 65 e 66), il primo termine ha, infatti, un significato forte e ben preciso, che indica l’eliminazione dei dati personali, mentre il termine “oblio”, almeno dal punto di vista letterale, ricomprende in sé il concetto di essere dimenticati, abbandonati, ma non necessariamente cancellati.

Al fine di cogliere la sfumatura di significato proviamo ad utilizzare un paio di esempi: nel caso in cui i dati personali di un soggetto siano stati trattati sul web illecitamente oppure siano stati raccolti in base ad un consenso poi revocato, l’interessato potrà esercitare il diritto alla cancellazione direttamente nei confronti del sito che ha effettuato i predetti trattamenti; viceversa, nel caso in cui il trattamento dei dati personali sia lecito, ma non più necessario rispetto alle finalità per le quali era stato raccolto o altrimenti trattato (es. pubblicazione di una notizia sulla sezione online di un quotidiano nell’anno 2001 concernente un episodio della vita privata di una persona comune), allora sembrerebbe più corretto affermare che l’interessato potrà esercitare il diritto all’oblio.

In altre parole, nel secondo caso l’interessato potrà inviare una comunicazione ai motori di ricerca (in primis Google) – ma, a ben vedere, anche nei confronti del quotidiano – chiedendo la deindicizzazione della notizia dai motori di ricerca.

In questo modo, tuttavia, la notizia (e i dati personali in essa contenuti) non sarà cancellata, bensì diventerà sostanzialmente impossibile rintracciarla sul web con lo strumento di search.

Non essendo, tuttavia, questa la sede opportuna per un’articolata disamina della differenza tra cancellazione ed oblio, ci si limiterà a dire che l’oblio, seppur in parte coincidente, in alcune ipotesi, con la cancellazione, ricomprende anche altre ipotesi, tra cui, appunto, il diritto alla deindicizzazione, sul quale concentreremo ora la nostra attenzione.

4. Diritto all’oblio e Linee Guida del WP29

Pochi mesi dopo l’emanazione della sentenza Google Spain il Data Protection Working Party (WP29) ha emanato delle apposite Linee Guida per fare chiarezza sui criteri da seguire per determinare, nei casi concreti, l’esistenza del diritto all’oblio (rectius alla deindicizzazione).

Il primo indice da prendere in considerazione ci viene fornito direttamente dal caso sottoposto all’esame della CGUE sopra citato, vale a dire il trascorrere del tempo.

Come è facile immaginare, non vi è un lasso di tempo determinato oltre il quale è possibile ottenere la deindicizzazione, ma è chiaro che maggiore è il tempo dalla pubblicazione sul web della notizia, maggiori sono le chance di esercitare il “diritto ad essere dimenticati”.

Un altro criterio determinante è quello relativo all’eventuale ruolo pubblico ricoperto dalla persona fisica che intende esercitare il diritto in questione, essendoci una profonda differenza tra una notizia riguardante un cittadino di Roma e la medesima notizia riferita, viceversa, al primo cittadino della capitale.

In questo caso c’è un rapporto inverso tra esposizione pubblica e diritto alla deindicizzazione: maggiore è la rilevanza ed il ruolo pubblico ricoperto dall’interessato, minore sarà la possibilità di invocare il diritto all’oblio, indipendentemente dal trascorrere del tempo.

Nella pratica, ovviamente, non è sempre facile determinare con precisione cosa si intenda con “persona che ricopra un ruolo pubblico”: sicuramente vi rientrano le categorie dei politici, delle persone dello spettacolo, dello sport, della cultura, nonché gli appartenenti alle professioni regolamentate (Ingegneri, Avvocati, Commercialisti, Medici).

Oltre al profilo soggettivo è altresì fondamentale il profilo quello oggettivo, vale a dire il tipo di notizia che è stata pubblicata sul web.

In linea generale, le notizie riguardanti la sfera privata dovrebbero essere considerate meno rilevanti di quelle relative la sfera lavorativa, ma anche, qui occorre distinguere tra il caso di notizia private inerenti persone cd. esposte e notizie private inerenti persone comuni.

Nel primo caso sarà sicuramente più difficile esercitare il diritto all’oblio.

Ulteriori criteri da prendere in considerazione sono: a) la minore età; b) il trattamento di dati sensibili (oggi categorie particolari di dati personali); c) l’esistenza di danni procurati dalla visibilità della notizia, tutti elementi che possono incidere in maniera significativa in favore del diritto alla deindicizzazione.

Un capitolo a parte meritano i paragrafi 4 (“is the data accurate?”) e 7 (“is the data up to date?”) delle Linee Guida.

In caso di risposta negativa alla suddette domande, infatti, più che il diritto all’oblio l’interessato potrà esercitare il diritto alla rettifica e/o il diritto all’aggiornamento.

Tuttavia i paragrafi 4 e 7 delle Linee Guida svelano una delle ragioni fondamentali che hanno indotto la CGUE, prima, ed il Legislatore con il Regolamento, poi, a codificare il diritto all’oblio, inteso come diritto da esercitare nei confronti dei motori di ricerca.

Nella maggior parte dei casi sopra citati, infatti, l’interessato potrebbe esercitare nei confronti del titolare del sito uno o più dei diritti sopra menzionati (diritto alla cancellazione, diritto alla deindicizzazione, diritto alla rettifica, diritto all’aggiornamento), ma non sempre è possibile rintracciare il webmaster o comunque, il soggetto che si cela dietro il sito, così che diventa fondamentale poter almeno inviare una richiesta di deindicizzazione ai motori di ricerca.

5. Diritto all’oblio ed extraterritorialità

Dopo aver compreso quali sono i presupposti o, quantomeno, i criteri ermeneutici su cui le Autorità Garanti e le Corti possono fondare le proprie decisioni, è necessario ora approfondire un tema spesso sottovalutato, ma che costituisce uno dei principali nodi del diritto all’oblio sul web.

Facciamo riferimento al tema dell’efficacia territoriale del diritto alla deindicizzazione e, in particolare, se tale diritto, codificato in maniera espressa esclusivamente all’interno dell’Unione Europea, possa spiegare i suoi effetti anche verso Paesi terzi.

La questione riguarda sia i nomi a dominio, i quali presentano estensioni collegate ai singoli Paesi (es. “.it” in Italia, “.uk” nel Regno Unito, “.us” negli Usa), sia i motori di ricerca, anch’essi suddivisi per singolo Paese (es. Google Italia, Google USA ecc.).

Per garantire piena effettività al diritto all’oblio sarebbe necessario che la deindicizzazione coinvolgesse tutti i domini presenti sul web (si pensi al caso di una notizia che sia stata pubblicata su più siti, di cui uno italiano, uno spagnolo e l’ultimo statunitense: qualora la deindicizzazione colpisse solo i domini europei la tutela per l’interessato resterebbe necessariamente parziale), nonché tutti i motori di ricerca, così che, indipendentemente dal luogo dove si effettui il collegamento alla rete e dalla versione del motore di ricerca utilizzato, le notizie relative all’interessato non siano più reperibili.

D’altra parte non si può fare a meno di notare che, almeno in linea di principio, le norme di un Paese non possono produrre effetti vincolanti su altri Paesi.

Ciò premesso, è quindi applicabile il principio di extraterritorialità al diritto all’oblio sul web?

Ad oggi, purtroppo, non si è ancora arrivati ad un arresto definitivo sul punto, sia perché le pronunce sul tema sono ancora scarse, sia perché la domanda coinvolge profili giuridici di estrema complessità.

Una delle poche pronunce su questo tema è stata emanata proprio dalla nostra Autorità Garante, la quale, con il provvedimento n. 557 del 21 dicembre 2017 (doc. web n. 7465315) ha riconosciuto l’esistenza del principio in parola, ordinando a Google di “rimuovere … [omissis] … gli URL tuttora deindicizzati fra i risultati di ricerca ottenuti digitando il nome e cognome del ricorrente, sia nelle versioni europee che extraeuropee, estendendo tale attività anche agli Url già deindicizzati nelle versioni europee di Google”.

Dall’analisi del provvedimento emerge come uno degli elementi che hanno indotto il Garante ad accogliere la richiesta è stato il fatto che il ricorrente risiedeva fuori dall’Unione Europea, così che riconoscere il diritto alla deindicizzazione solo all’interno dell’UE avrebbe, di fatto, precluso allo stesso l’ottenimento della tutela richiesta.

Pochi mesi prima anche la Corte Suprema del Canada aveva emanato una sentenza (27 giugno 2017) con la quale aveva escluso che l’ordine cd. di no index planetario potesse violare il principio di sovranità degli Stati.

Ma il caso che, probabilmente, più di tutti influenzerà il dibattito è quello relativo alla decisione del 21 maggio 2015 con la quale l’Autorità Garante francese (CNIL) ha ordinato a Google l’eliminazione dei link oggetto della richiesta dai risultati di ricerca per tutte le estensioni dei nomi a dominio dei propri motori di ricerca.

La CNIL, inoltre, ha ritenuto non sufficiente la proposta di “blocco geografico” avanzata da Google nelle more del giudizio.

Il “blocco geografico” consiste nell’eliminare la possibilità di accedere, a partire da un indirizzo IP che è reputato essere ubicato nello Stato di residenza della persona interessata, ai risultati derivanti da una ricerca effettuata a partire dal nome di quest’ultima, indipendentemente dalla variante del motore di ricerca interrogata dall’utente.

In altre parole, se l’interessato risiede in Francia, tutte le persone che risiedono in Francia, digitando il nome di questa persona su qualsiasi versione del/i motore/i di ricerca, non troveranno indicizzata la notizia controversa.

Google, tuttavia, ha impugnato il provvedimento sopra citato innanzi al Conseil d’État chiedendone l’annullamento ed il Consiglio di Stato francese ha deciso di rimettere la questione alla Corte di Giustizia UE.

Ad oggi la CGUE non si è ancora pronunciata, ma appare in ogni caso utile richiamare in questa sede le conclusioni dell’Avvocato Generale (cfr. comunicato stampa), il quale, in sostanza, aderisce alla tesi di Google: “Egli propone quindi alla Corte di dichiarare che il gestore di un motore di ricerca non è tenuto, allorché accoglie una richiesta di deindicizzazione, di effettuare tale deindicizzazione su tutti i nomi di dominio del suo motore affinché, indipendentemente dal luogo a partire dal quale è effettuata la ricerca in base al nome del richiedente, i link controversi non compaiano più.

L’avvocato generale sottolinea invece che, una volta che sia stato accertato il diritto a una deindicizzazione all’interno dell’Unione, il gestore di un motore di ricerca deve adottare tutte le misure a sua disposizione per garantire una deindicizzazione efficace e completa, a livello del territorio dell’Unione europea, incluso mediante la cosiddetta tecnica del «blocco geografico» a partire da un indirizzo IP che è reputato essere ubicato all’interno di uno Stato degli Stati membri, e ciò indipendentemente dal nome di dominio utilizzato dall’utente Internet che effettua la ricerca”.

Secondo l’Avvocato Generale, quindi, salvo casi particolari, la tecnica del “blocco geografico” sopra descritta garantirebbe un equo contemperamento tra gli interessi in gioco.

Come noto, tuttavia, le conclusioni dell’Avvocato Generale non sono vincolanti, per cui sarà interessante verificare nei prossimi mesi quale sarà l’orientamento della Corte di Giustizia su questo fondamentale punto.

6. Diritto all’oblio ed obblighi di informazione a carico dei titolari

Prima di concludere ci sia concessa un’ultima breve digressione sugli ulteriori obblighi a carico dei titolari che abbiano ricevuto richieste di cancellazione/oblio da parte di un interessato.

In questi casi, infatti, l’art. 17, par. 2, del Regolamento prevede come il titolare del trattamento “tenendo conto della tecnologia disponibile e dei costi di attuazione adotta le misure ragionevoli, anche tecniche, per informare i titolari del trattamento che stanno trattando i dati personali della richiesta dell’interessato di cancellare qualsiasi link, copia o riproduzione dei suoi dati personali”.

L’art. 19, a sua volta, prevede che il titolare del trattamento debba comunicare a ciascuno dei destinatari cui sono stati trasmessi i dati personali le eventuali cancellazioni, salvo che ciò si riveli impossibile o implichi uno sforzo sproporzionato; in ogni caso, tuttavia, qualora l’interessato lo richieda, dovrà comunicare a quest’ultimo tali destinatari.