Corte di giustizia europea: diritto all’oblio non si applica alle versioni fuori dei confini UE.

Per la Corte Google è tenuto a effettuare la deindicizzazione non in tutte le versioni del suo motore di ricerca ma solo nelle versioni corrispondenti a tutti gli Stati membri Ue, così come ad attuare misure che scoraggino gli utenti Internet dall’avere accesso, a partire da uno degli Stati membri, ai link contenuti nelle versioni extra Ue di tale motore.

Il caso ha avuto origine in una controversia tra Google e il regolatore francese della privacy CNIL che nel 2015 aveva ordinato all’azienda di rimuovere globalmente gli elenchi dei risultati di ricerca in pagine contenenti informazioni dannose o false su una persona.

L’anno seguente Google aveva introdotto una funzione di blocco geografico che impediva agli utenti europei di vedere i link eliminati. Tuttavia, aveva resistito alla censura dei risultati della ricerca per le persone in altre parti del mondo.

Google afferma di aver ricevuto 845.501 richieste di “diritto all’oblio” negli ultimi cinque anni, portando alla rimozione del 45% dei collegamenti di 3,3 milioni citati nelle richieste.

Differenza tra diritto all’oblio e diritto alla cancellazione

Seppure distinto dall’autonomo “diritto alla cancellazione” in diverse sfumature, il “diritto all’oblio” consiste per i cittadini UE, con riferimento ai motori di ricerca, nel diritto di richiedere la rimozione di collegamenti a pagine contenenti informazioni personali sensibili.

Google ha applicato il diritto all’oblio da maggio 2014, quando la Corte di giustizia europea ha stabilito per la prima volta che in alcune circostanze i cittadini europei potevano costringere i motori di ricerca a eliminare pagine web contenenti informazioni sensibili su di loro partendo da query effettuate utilizzando i loro nomi.

L’idea era di far cancellare i link a informazioni sensibili – come ad es. il fatto che una persona abbia commesso un reato o abbia tenuto comportamenti inadeguati – se i dettagli sono giudicati “inadeguati, irrilevanti o non più pertinenti o eccessivi”.

Il 10 marzo 2016, l’Autorità di controllo francese CNIL aveva imposto una sanzione di 100.000 EUR a Google Inc. per il rifiuto, nell’accettare una domanda di deindicizzazione, di applicarla a tutte le estensioni del nome di dominio del suo motore di ricerca, limitandosi a sopprimere i collegamenti solo dai risultati visualizzati a seguito di ricerche condotte sulle versioni del suo motore di ricerca il cui nome di dominio corrisponde a uno Stato membro.

A seguito della multa, Google aveva fatto appello al più alto tribunale francese, il Consiglio di Stato, che a sua volta aveva sottoposto alla Corte di giustizia europea numerose domande di pronuncia pregiudiziale al fine di stabilire come interpretare le norme sulla protezione dei dati personali dell’UE (ora GDPR). Cioè se nel senso che, quando l’operatore di un motore di ricerca accetta una domanda di deindicizzazione, sia obbligato a effettuarla su tutte le versioni del suo motore di ricerca o, al contrario, solo su quelle corrispondenti a tutti gli Stati membri, o solo su quello corrispondente allo Stato membro di residenza del beneficiario della soppressione del link.

Nella Sentenza sulla causa C-507/17, la Corte di giustizia europea rileva che

• lo stabilimento che Google LLC (succeduta a Google Inc) ha sul territorio francese svolge attività, in particolare commerciali e pubblicitarie, indissolubilmente legate al trattamento dei dati personali effettuato per le esigenze del motore di ricerca e
• d’altra parte, che il motore di ricerca menzionato deve essere considerato – alla luce dell’esistenza di applicazioni di bridge (gateway) tra le sue diverse versioni nazionali – un soggetto che svolge un singolo trattamento di dati personali nel contesto delle attività dello stabilimento francese di Google Inc.

Questa situazione rientra pertanto nell’ambito di applicazione della legislazione dell’Unione in materia di protezione dei dati personali.

Diritto all’oblio e deindicizzazione globale

La Corte sottolinea che, in un mondo globalizzato, l’accesso degli utenti di Internet, in particolare quelli situati al di fuori dell’Unione, alla referenziazione di un collegamento che fa riferimento a informazioni riguardanti una persona il cui centro di interesse è nell’Unione, “può produrre immediati e sostanziali effetti su tale persona all’interno dell’Unione stessa, motivo per cui una deindicizzazione a livello globale sarebbe idonea a conseguire pienamente l’obiettivo di protezione perseguito dal diritto dell’UE”.

Tuttavia, afferma che molti Stati terzi non riconoscono il diritto alla deindicizzazione o adottano in altro modo un approccio diverso a tale diritto; “aggiunge che il diritto alla protezione dei dati personali non è una prerogativa assoluta, ma va considerato alla luce della sua funzione sociale e va contemperato con altri diritti fondamentali, in ossequio al principio di proporzionalità. Inoltre, l’equilibrio tra il diritto al rispetto della vita privata e alla protezione dei dati personali, da un lato, e la libertà di informazione degli utenti di Internet, dall’altro, può variare notevolmente nel mondo”.

Dal testo normativo “non risulta che il legislatore dell’Unione abbia effettuato un tale bilanciamento per quanto riguarda la portata di una deindicizzazione al di fuori dell’Unione, né che abbia scelto di dare ai diritti delle persone una portata che vada oltre il territorio degli Stati membri. Inoltre, il diritto dell’UE non prevede strumenti e meccanismi di cooperazione per quanto riguarda l’ambito di una deindicizzazione al di fuori dell’Unione”. Pertanto, la Corte conclude che “allo stato attuale, non sussiste, per il gestore di un motore di ricerca che accoglie una richiesta di deindicizzazione presentata dall’interessato, eventualmente a seguito di un’ingiunzione di un’autorità di controllo o di un’autorità giudiziaria di uno Stato membro, un obbligo, derivante dal diritto dell’Unione, di effettuare tale deindicizzazione su tutte le versioni del suo motore”.

Tuttavia, il diritto dell’UE impone all’operatore di un motore di ricerca di effettuare tale deindicizzazione sulle versioni “corrispondenti a tutti gli Stati membri e di adottare misure sufficientemente efficaci per garantire l’effettiva protezione dei diritti fondamentali dell’interessato”.

Ciò comporta, in pratica, sia la rimozione dei risultati dai suoi siti europei – come Google.fr, Google.co.uk e Google.de – sia la limitazione dei risultati dai suoi altri siti – come Google.com – se rileva che una ricerca è in corso effettuato dall’interno dell’Europa.

In questo senso, la deindicizzazione deve, se necessario, essere accompagnata da misure che scoraggino “efficacemente gli utenti di Internet che effettuano da uno degli Stati membri una ricerca sulla base del nome di una persona interessata, dall’accesso, attraverso l’elenco dei risultati visualizzato in seguito a tale ricerca mediante una versione «extra UE» del suddetto motore, ai link oggetto della domanda di deindicizzazione”.

Spetterà al giudice nazionale verificare se le misure istituite da Google Inc. soddisfino tali requisiti, ma soprattutto “le autorità degli Stati membri restano competenti ad effettuare, conformemente agli standard nazionali di protezione dei diritti fondamentali, un bilanciamento tra, da un lato, il diritto della persona interessata alla tutela della sua vita privata e alla protezione dei suoi dati personali e, dall’altro, il diritto alla libertà d’informazione e, al termine di tale bilanciamento, a richiedere, se del caso, che il gestore di tale motore di ricerca effettui una deindicizzazione su tutte le versioni di suddetto motore.”

Alcuni commentatori non hanno mancato di rilevare che sostanzialmente Google ha ottenuto un’importante vittoria legata all’applicazione non globale ma geograficamente segmentata di un principio fondamentale della privacy come il “diritto all’oblio“, che sembra avere piuttosto un carattere unitario e difficilmente divisibile.

D’altronde, non a caso secondo Gibran “l’oblio è una forma di libertà”, mentre per Nietsche “l’uomo si meraviglia  di se stesso, di non poter imparare a dimenticare e di rimanere attaccato al passato: per quanto possa correre lontano o velocemente, la catena corre con lui. […]  L’uomo si oppone al sempre più pesante carico del passato: questo lo schiaccia giù o lo spinge da parte, grava sul suo passo come un carico invisibile e oscuro”.

Sergio Guida