Il 13 maggio scorso la Corte di giustizia dell’Unione Europea ha pronunciato una clamorosa sentenza contro Google destinata a suscitare scalpore e far parlare di sè soprattutto in vista del futuro Regolamento europeo sulla protezione dei dati al momento in fase di approvazione.
La sentenza mira a dare interpretazione ad alcune norme della direttiva europea 95/46/CE sulla protezione dei dati personali, in relazione alla richiesta di un cittadino spagnolo circa la possibilità di veder cancellata una notizia apparsa su un quotidiano spagnolo dalle pagine del motore di ricerca Google centrando a pieno il noto dibattito sul cosiddetto “diritto all’oblio sul web”, ossia sul diritto dell’interessato “a che l’informazione in questione riguardante la sua persona non venga più collegata al suo nome da un elenco di risultati che appare a seguito di una ricerca effettuata a partire dal suo nome, senza per questo che la constatazione di un diritto siffatto presupponga che l’inclusione dell’informazione in questione in tale elenco arrechi un pregiudizio a detto interessato”.
Senza voler entrare nel merito della questione, ormai nota agli addetti ai lavori, si rilevano alcuni aspetti della sentenza che meritano un approfondimento, in particolare per quanto riguarda l’ambito di applicazione della normativa europea ed anche rispetto alla procedura da attuare per richiedere la rimozione dei contenuti al motore di ricerca.
La Corte ha fornito un’interpretazione degli articoli 2, 4, 12 e 14 della direttiva 95/46/CE. Rispetto all’art. 2 ha concluso che l’attività svolta dal motore di ricerca nel trovare informazioni pubblicate o inserite da terzi su Internet, nell’indicizzarle in modo automatico, nel memorizzarle temporaneamente e, infine, nel metterle a disposizione degli utenti di Internet secondo un determinato ordine di preferenza, debba essere qualificata come “trattamento di dati personali” così come definito nell’art. 2 lettera b). Esplorando Internet in modo automatizzato, costante e sistematico alla ricerca delle informazioni, infatti, il gestore di un motore di ricerca raccoglie, estrae, registra e organizza i dati e successivamente, nell’ambito dei suoi programmi di indicizzazione, li conserva nei suoi server e, eventualmente, li comunica e li mette a disposizione dei propri utenti sotto forma di elenchi dei risultati delle loro ricerche. Tali operazioni, così come disposto dall’art. 2 ,ricadono a pieno titolo nella qualifica di “trattamento” senza che rilevi il fatto che il gestore del motore di ricerca non effettui alcun controllo su di essi o ne possa cogliere la natura di dati personali o meno.
Il motore di ricerca, inoltre, è senza dubbio il “responsabile del trattamento”, in quanto colui che determina le finalità e gli strumenti del trattamento dei dati personali.
Fatta questa necessaria premessa, la questione che più suscita interesse anche in vista della delicata fase di approvazione del futuro “Regolamento europeo concernente la tutela delle persone fisiche con riguardo al trattamento dei dati personali e la libera circolazione di tali dati” e delle responsabilità che i colossi di internet come Google dovranno assumersi una volta che entrerà in vigore, è quella relativa all’art. 4 della direttiva e precisamente all’ambito di applicazione della normativa comunitaria al motore di ricerca Google, la cui attività è gestita da Google Inc. avente sede in uno Stato terzo.
Sebbene, infatti, Google Spain si dedichi all’esercizio effettivo e reale di un’attività mediante un’organizzazione stabile in Spagna (fatto non contestato), secondo Google l’attività in questione è estranea all’indicizzazione e alla raccolta di dati e si limita, invece, alla vendita e gestione di spazi pubblicitari su Google, fornendo sostegno all’attività pubblicitaria del Gruppo. Da ciò, sempre secondo Google, discenderebbe che Google Spain non possa essere considerata come uno stabilimento della prima in uno Stato membro.
I Giudici europei hanno però deciso di interpretare l’art. 4 della direttiva evitando qualsiasi restrizione, determinando quindi che le due attività, indicizzazione e raccolta pubblicitaria, siano strettamente connesse (quest’ultima renderebbe la prima economicamente redditizia) e giungendo alla conclusione che “un trattamento di dati personali viene effettuato nel contesto delle attività di uno stabilimento del responsabile di tale trattamento nel territorio di uno Stato membro, qualora il gestore di un motore di ricerca apra in uno Stato membro una succursale o una filiale destinata alla promozione e alla vendita degli spazi pubblicitari proposti da tale motore di ricerca e l’attività della quale si dirige agli abitanti di detto Stato membro”.
Se la presenza delle varie Google “locali”, nei diversi Stati membri, sarà di per sé sufficiente ad applicare la normativa comunitaria (e di conseguenza le ulteriori normative nazionali di recepimento) a Google Inc., ciò potrà portare a conseguenze ben più vaste anche in settori diversi dalla privacy.
Un secondo aspetto che suscita alcune perplessità è quello relativo alla procedura di rimozione dei contenuti dal motore di ricerca.
La Corte ha infatti interpretato gli art. 12 e 14 nel senso che “il gestore di un motore di ricerca è obbligato a sopprimere, dall’elenco di risultati che appare a seguito di una ricerca effettuata a partire dal nome di una persona, dei link verso pagine web pubblicate da terzi e contenenti informazioni relative a questa persona, anche nel caso in cui tale nome o tali informazioni non vengano previamente o simultaneamente cancellati dalle pagine web di cui trattasi, e ciò eventualmente anche quando la loro pubblicazione su tali pagine web sia di per sé lecita.
La Corte ha dichiarato che l’inclusione nell’elenco dei risultati di una pagina web di informazioni relative a una determinata persona, facilitando notevolmente l’accessibilità di tali informazioni a qualsiasi utente di Internet che effettui una ricerca sulla persona di cui trattasi e svolgendo un’attività di aggregazione delle informazioni stesse, “è idonea a costituire un’ingerenza più rilevante nel diritto fondamentale al rispetto della vita privata della persona interessata che non la pubblicazione da parte dell’editore della pagina web”.
Nel valutare i presupposti di applicazione di tali disposizioni, la Corte ha però precisato che il motore di ricerca deve previamente verificare se l’interessato abbia diritto a che l’informazione in questione venga cancellata (diritto all’oblio), e solo a seguito di detta verifica potrà risultare che il diritto dell’interessato prevalga, non soltanto sull’interesse economico del gestore del motore di ricerca, ma anche sull’interesse dello stesso pubblico ad accedere all’informazione suddetta in occasione di una ricerca concernente il nome di questa persona.
La soppressione di link dall’elenco di risultati potrebbe, a seconda dell’informazione in questione, avere ripercussioni sul legittimo interesse degli utenti di Internet potenzialmente interessati a avere accesso a quest’ultima, pertanto “occorre ricercare un giusto equilibrio tra tale interesse e i diritti fondamentali della persona interessata, e segnatamente il diritto al rispetto della vita privata e il diritto alla protezione dei dati personali”.
A livello procedurale la persona interessata potrà rivolgere la domanda direttamente al gestore del motore di ricerca, che deve in tal caso procedere al debito esame della loro fondatezza. Qualora, però, il responsabile del trattamento non dia seguito a tali domande, la persona interessata può adire l’autorità di controllo o l’autorità giudiziaria affinché queste effettuino le verifiche necessarie e ordinino a detto responsabile l’adozione di misure precise conseguenti.
In conclusione ci si interroga su quale procedura i motori di ricerca metteranno in atto per compiere la suddetta verifica. Se le Autorità di controllo e quella giudiziaria, infatti, hanno gli strumenti e le competenze per poterla svolgere ed accertare la sussistenza del diritto e l’equilibrio degli interessi coinvolti, nulla ci è dato sapere di come si comporterà Google.
