Consiglio di leggere anche l'articolo di Carlo Blengino: La Corte di Giustizia e i motori di ricerca: una sentenza sbagliata
----------------------
Con la sentenza del 13 maggio 2014 (causa C-131/12), la Corte di Giustizia dell'Unione Europea (CGUE) riapre il dibattito sul diritto all'oblio intervenendo direttamente sui motori di ricerca online, in particolare Google.
I fatti
Il caso è classico. Lo spagnolo Costeja Gonzalez proponeva reclamo dinanzi all'AEPD (Agencia Espanola de Proteccion de Datos, il Garante Privacy spagnolo) contro La Vanguardia, Google Spain e Google Inc., lamentando che nell'indice del motore di ricerca di Google erano presenti link verso il quotidiano La Vanguardia, nelle cui pagine (risalenti al 1998) figurava un annuncio (che menzionava il nome, quindi dati personali) per la vendita all'asta di immobili in relazione ad un pignoramento per la riscossione coattiva di crediti previdenziali.
Costeja Gonzalez premetteva che il pignoramento era stato definito da anni e il debito pagato, per cui chiedeva di ordinare al quotidiano di eliminare le pagine o a Google di rimuovere i suoi dati affinché non figurassero più sul motore di ricerca.
L'AEPD respingeva il reclamo in relazione al quotidiano La Vanguardia, ritenendo che la pubblicazione delle informazioni era legalmente giustificata essendo avvenuta su ordine del Ministero del Lavoro con lo scopo di conferire pubblicità alla vendita pubblica, ma nel contempo ordinava a Google la rimozione dei dati.
Google ricorreva dinanzi all'Audiencia Nacional, che sottoponeva il caso alla Corte di Giustizia UE (CGUE).
La sentenza
La decisione della CGUE è abbastanza lineare. Ricordiamo che la pubblicazione di dati personali in una notizia è giustificata dal diritto di cronaca, quindi dall'interesse pubblico della notizia. Se l'interesse pubblico viene meno col tempo, la pubblicazione non è più giustificata, e quindi è possibile chiedere la rimozione dei dati personali (diritto all'oblio).
Nella sentenza la CGUE sostiene che è possibile chiedere direttamente al motore di ricerca la rimozione di dati personali se l'interessato ritiene che la loro permanenza non sia più giustificata in relazione al trascorrere del tempo. Lo si poteva fare già prima, però Google generalmente non ottempera alla richiesta chiedendo una previa pronuncia di un tribunale.
La posizione di Google è giustificata dalla considerazione che il bilanciamento dei diritti in gioco è piuttosto complesso. Non dimentichiamo che stiamo parlando non di dati personali pubblicati in violazione delle norme, ma dati la cui pubblicazione è del tutto lecita. Per cui la valutazione del se il trascorrere del tempo abbia reso quella notizia non più di interesse pubblico non è di semplice attuazione.
Caso diverso riguarda le violazioni del copyright, laddove si è in presenza di contenuti (presunti) illeciti ab origine.
Nel caso in cui il motore di ricerca non ottemperi alla richiesta, continua la CGUE, è possibile rivolgersi all'autorità giudiziaria. Anche qui niente di nuovo rispetto al passato.
La novità starebbe, invece, nella parte in cui la CGUE sostiene che il motore di ricerca può essere obbligato alla rimozione dei dati personali anche se i siti sorgente non li hanno rimossi, come nel caso specifico. Secondo la Corte, quindi, il cittadino ha il diritto di chiedere la rimozione dall'indice di Google delle informazioni "inadeguate, non pertinenti o non più pertinenti ovvero eccessive in rapporto alle finalità per le quali sono stati trattati e al tempo trascorso". E Google "deve in tal caso procedere al debito esame della loro fondatezza e, eventualmente, porre fine al trattamento dei dati in questione".
Google è titolare del trattamento
Il ragionamento della Corte è il seguente. Il motore di ricerca, nello specifico Google, svolge un'attività che implica un trattamento di dati (ai sensi della direttiva 95/46/CE, art. 2) differente rispetto a quello degli editori e dei siti web (scopo giornalistico), ed in particolare tale trattamento ha un'ingerenza più rilevante nel diritto fondamentale al rispetto della vita privata della persona interessata che non la pubblicazione da parte dell'editore della suddetta pagina web. In breve la Corte sembra riferirsi a finalità di profilazione degli utenti.
In questa prospettiva Google è "titolare del trattamento" (non responsabile) delle informazioni che veicola, per cui si può chiedere direttamente a Google la rimozione dei dati in questione.
Una soluzione che, se portata alle estreme conseguenze, si interroga giustamente Oreste Pollicino, potrebbe farci ritenere che il trattamento di Google è ab origine illecito in quanto manca il consenso per quella specifica finalità di search engine.
La sentenza ha alimentato un vivace dibattito, come se in conseguenza della pronuncia fosse possibile chiedere a Google la rimozione di qualsiasi dato personale. Non è questo che dice la Corte, che invece tiene a precisare che in alcuni casi l'ingerenza nei diritti fondamentali del cittadino può essere giustificata dall'interesse pubblico alla notizia.
Quindi occorre sempre un bilanciamento dei diritti in gioco, contemperando i diritti dell'interessato con i legittimi interessi degli utenti ad avere accesso alle informazioni.
Bilanciamento dei diritti
Il problema, casomai, è che sembra assegnare il compito di bilanciamento direttamente ad una azienda privata, con decisioni che finirebbero per interferire con il lavoro giornalistico creando situazioni paradossali di riscrittura della storia.
In realtà Google potrà sempre rifiutarsi di rimuovere dati personali, come già faceva prima, così rimettendo la disputa nelle più competenti mani di un giudice: "la persona interessata può adire l'autorità di controllo o l'autorità giudiziaria affinché queste effettuino le verifiche necessarie e ordinino al suddetto responsabile l'adozione di misure precise conseguenti".
Applicabilità della legge nazionale
Altro punto di rilievo della pronuncia riguarda l'applicabilità della legge nazionale del paese nel quale opera il motore di ricerca. Secondo la Corte, infatti, poiché Google Spagna opera in Spagna, raccoglie pubblicità in quel paese, e i dati personali raccolti sono utilizzati per vendere servizi e pubblicità in quello specifico Stato, allora si applica la legge spagnola sul trattamento dei dati.
È un punto estremamente importante, ma anche qui nulla di realmente nuovo, visto che già nel caso italiano Google-Vividown si era giunti alla medesima conclusione.
Proprio da questa affermazione possiamo ricavare non solo che la sentenza si muove nel solco della normativa attuale, ma anche delle nuove proposte in materia di tutela dei dati personali che sono allo studio in sede europea. Il regolamento in preparazione, infatti, prevede espressamente l'applicabilità della legge europea (vi sarà una unificazione delle normative nazionali in un'unica legge) alle aziende americane, se i loro servizi sono diretti a cittadini europei.
In quest'ottica si potrebbe leggere anche un sottotesto politico alla decisione della CGUE, che probabilmente trova terreno fertile nelle procedure avviate contro Google in sede europea per possibile abuso di posizione dominante e delle violazioni alla normativa privacy europea da parte delle aziende americane e dell'NSA.
Diritto all'oblio e Unione Europea
In materia di diritto all'oblio, già nel novembre del 2010 la Commissione Europea aveva, appunto, dichiarato che il cittadino dovrebbe vedersi riconosciuto tale diritto quando i suoi dati non siano più necessari (non vi sia più un interesse pubblico) oppure voglia che i suoi dati siano cancellati ("should have the 'right to be forgotten' when their data is no longer needed or they want their data to be deleted").
Il dubbio di fondo rimane, cioè come si concilia il diritto all'oblio del cittadino con la permanenza dei dati suoi siti sorgente?
Soluzione pratica
Un rapporto dell'ENISA (Agenzia europea per la sicurezza delle reti e dell'informazione) del 2012 si occupa del problema del diritto all'oblio, evidenziando che in un sistema aperto e globale come internet è impossibile localizzare tutti i dati personali relativi ad un soggetto per cancellarli. Infatti, qualunque soggetto può avere accesso a dati personali altrui, generalmente tramite motori di ricerca o social network, e farne delle copie anche su supporti che non possono essere controllati a distanza, come dvd o pendrive, per poi reimmettere quei dati in un secondo momento e diffonderli. Prevenire la copia delle informazioni è un compito improbo se non impossibile. La conclusione dell'Agenzia è che una soluzione tecnica per assicurare il diritto all'oblio in rete è generalmente impossibile.
Nel rapporto si chiarisce che, però, i dati non linkati da un motore di ricerca e non presenti nei social network (quindi i dati non strutturati né organizzati) sono difficili da recuperare. In conclusione, se assicurare il diritto all'oblio è generalmente impossibile, si può, però, ottenere una soluzione parziale chiedendo ai motori di ricerca di filtrare i riferimenti ai dati da dimenticare, rendendo così più difficile il loro recupero. Di fatto è la premessa della sentenza CGUE, quando suggerisce che i motori di ricerca contano più dei siti sorgente.
L'eco di questo rapporto lo si ritrova nell'articolo 17 della proposta di riforma europea in materia di tutela dei dati personali, che elabora le condizione in presenza delle quali il cittadino ha diritto ad ottenere la cancellazione dei propri dati personali (ad esempio quando il titolare del trattamento non ha più motivo legittimo per trattare i dati in relazione allo scopo per il quale sono stati trattati).
L'articolo 17 precisa, comunque, che il diritto all'oblio non è assoluto, ma soffre di limitazioni, in particolare la libertà di espressione, il pubblico interesse, ed anche interessi storici, statistici e di ricerca scientifica, possono consentire al mantenimento dei dati personali nonostante l'opposizione dell'interessato. Ed è quello che dice anche la Corte europea.
In conclusione, la decisione della CGUE non è certo l'apocalisse del web. Si tratta di una soluzione parziale, decisamente pratica più che giuridicamente ineccepibile, e che lascia aperti fin troppi dubbi. Una soluzione che probabilmente sconta una normativa risalente nel tempo. Infatti il risultato è che le notizie permangono comunque in rete, sia sui siti fonte che sui motori di ricerca diversi da Google.
Però, nel contempo, riporta in auge il problema della progressiva privatizzazione delle funzioni statali. Ancora una volta si indica in un'azienda privata il soggetto che si dovrà occupare (in prima battuta) della tutela dei diritti dei cittadini. Questo è, purtroppo, l'andazzo preso da qualche tempo a questa parte dall'Unione Europea e in particolare dalla Commissione.
Ovviamente, ribadiamo, Google potrà rifiutarsi ogni volta di ottemperare alle richieste. Bisogna vedere se lo farà oppure preferirà valutare da sé cosa è lecito e cosa non lo è.
Ma, se il problema riguarda la trasformazione della finalità (da cronaca dell'editore in profilazione di Google), si potrebbe ovviare al problema impedendo tale trasformazione. Il problema si è posto, fondamentalmente, nel 2012 quando Google ha accorpato tutti i dati provenienti dai vari servizi, e non è di poco conto perché il consenso fornito per un servizio non sempre coincide con le finalità di un altro. E mettere in un unico calderone i dati di tutti i servizi pone, appunto, problemi di trasformazione della finalità di trattamento.
Una soluzione potrebbe essere, quindi, imporre a Google di separare i dati a seconda dei servizi e gestirli in maniera autonoma (come era prima del 2012). In tal modo il search engine (cache) sarebbe giustificato in base alla direttiva ecommerce (quale intermediario della comunicazione e quindi non responsabile dei dati memorizzati temporaneamente purché per un periodo di tempo non superiore a quanto necessario -ciò implica che alla soppressione dei dati sul sito sorgente il search engine dovrebbe rimuovere i dati anche dall'indice-), e non vi sarebbe il problema del mutamento di finalità, che sarebbe sempre quella del sito sorgente (generalmente lo scopo giornalistico). Marco Pierani propone una soluzione simile.
In sede europea ci sono procedimenti avviati contro Google proprio in relazione a questo specifico punto.
