CdG, gestore di motore di ricerca responsabile del trattamento dati su pagine web pubblicate da terzi

Lussemburgo, 19 maggio 2014. Una direttiva dell’Unione mira a proteggere le libertà e i diritti fondamentali delle persone fisiche (segnatamente il diritto alla vita privata) in occasione del trattamento dei dati personali, eliminando al tempo stesso gli ostacoli alla libera circolazione di tali dati.

Nel 2010 il sig. Mario Costeja González, cittadino spagnolo, ha presentato all’Agencia Española de Protección de Datos (Agenzia spagnola di protezione dei dati, AEPD) un reclamo contro La Vanguardia Ediciones SL (editore di un quotidiano largamente diffuso in Spagna, specialmente nella regione della Catalogna), nonché contro Google Spain e Google Inc. Il sig. Costeja González faceva valere che, allorché il proprio nome veniva introdotto nel motore di ricerca del gruppo Google («Google Search»), l’elenco di risultati mostrava link verso due pagine del quotidiano di La Vanguardia, datate gennaio e marzo 1998. Tali pagine annunciavano una vendita all’asta di immobili organizzata a seguito di un pignoramento effettuato per la riscossione coattiva di crediti previdenziali nei confronti del sig. Costeja González.

Mediante detto reclamo, il sig. Costeja González chiedeva, da un lato, che fosse ordinato a La Vanguardia di sopprimere o modificare le pagine suddette (affinché i suoi dati personali non vi comparissero più) oppure di ricorrere a taluni strumenti forniti dai motori di ricerca per proteggere tali dati. Dall’altro lato, chiedeva che fosse ordinato a Google Spain o a Google Inc. di eliminare o di occultare i suoi dati personali, in modo che cessassero di comparire tra i risultati di ricerca e non figurassero più nei link di La Vanguardia. Il sig. Costeja González affermava in tale contesto che il pignoramento effettuato nei suoi confronti era stato interamente definito da svariati anni e che la menzione dello stesso era ormai priva di qualsiasi rilevanza.

L’AEPD ha respinto il reclamo diretto contro La Vanguardia, ritenendo che l’editore avesse legittimamente pubblicato le informazioni in questione.

Per contro, il reclamo è stato accolto nei confronti di Google Spain e Google Inc. L’AEPD ha chiesto a queste due società di adottare le misure necessarie per rimuovere i dati dai loro indici e per renderne impossibile in futuro l’accesso. Google Spain e Google Inc. hanno proposto due ricorsi dinanzi all’Audiencia Nacional (Spagna), chiedendo l’annullamento della decisione dell’AEPD. È in tale contesto che il giudice spagnolo ha sottoposto una serie di questioni alla Corte di giustizia dell’Unione europea.

Nella sua sentenza nella causa C-131/12, la Corte constata anzitutto che, esplorando internet in modo automatizzato, costante e sistematico alla ricerca delle informazioni ivi pubblicate, il gestore di un motore di ricerca «raccoglie» dati ai sensi della direttiva, li «estrae», «registra» e «organizza» nell’ambito dei suoi programmi di indicizzazione, prima di «conservarli» nei suoi server ed, eventualmente, di «comunicarli» e di «metterli a disposizione» dei propri utenti sotto forma di elenchi di risultati. Tali operazioni, contemplate in maniera esplicita e incondizionata dalla direttiva, devono essere qualificate come «trattamento», indipendentemente dal fatto che il gestore del motore di ricerca applichi le medesime operazioni anche ad altri tipi di informazioni diverse dai dati personali. La Corte ricorda inoltre che le operazioni contemplate dalla direttiva devono essere considerate come un trattamento anche nell’ipotesi in cui riguardino esclusivamente informazioni già pubblicate tali e quali nei media.

Il gestore del motore di ricerca è il «responsabile» di tale trattamento, ai sensi della direttiva, dato che è lui a determinarne le finalità e gli strumenti. Nella misura in cui l’attività di un motore di ricerca si aggiunge a quella degli editori di siti web e può incidere significativamente sui diritti fondamentali alla vita privata e alla protezione dei dati personali, il gestore del motore di ricerca deve garantire, nell’ambito delle sue responsabilità, competenze e  possibilità, che detta attività soddisfi le prescrizioni della direttiva. Soltanto in tal modo le garanzie previste potranno sviluppare pienamente i loro effetti e potrà essere effettivamente realizzata una tutela efficace e completa delle persone interessate.

Quanto all’ambito di applicazione territoriale della direttiva, la Corte osserva che Google Spain costituisce una filiale di Google Inc. nel territorio spagnolo e, pertanto, uno «stabilimento» ai sensi della direttiva, e respinge, dunque, l’argomento secondo cui il trattamento di dati personali da parte di Google Search non viene effettuato nel contesto delle attività di tale stabilimento in Spagna.

Per quanto riguarda poi l’estensione della responsabilità del gestore del motore di ricerca, quest’ultimo è obbligato, in presenza di determinate condizioni, a sopprimere, dall’elenco di risultati che appare a seguito di una ricerca effettuata a partire dal nome di una persona, dei link verso pagine web pubblicate da terzi e contenenti informazioni relative a tale persona. Tale obbligo può esistere anche nell’ipotesi in cui tale nome o tali informazioni non vengano previamente cancellati dalle suddette pagine web, e ciò anche quando la loro pubblicazione sia di per sé lecita.

La Corte sottolinea che un trattamento di dati personali effettuato da un gestore siffatto consente a qualsiasi utente di internet, allorché realizza una ricerca a partire dal nome di una persona fisica, di ottenere, mediante l’elenco di risultati, una visione complessiva strutturata delle informazioni relative a questa persona. Tali informazioni toccano potenzialmente una moltitudine di aspetti della vita privata e, in assenza del motore di ricerca, esse soltanto difficilmente avrebbero potuto, essere connesse tra loro. Gli utenti di internet possono così stabilire un profilo più o meno dettagliato delle persone ricercate. Inoltre, l’effetto dell’ingerenza nei diritti della persona risulta moltiplicato in ragione del ruolo importante che svolgono internet e i motori di ricerca nella società moderna, i quali conferiscono alle informazioni contenute negli elenchi di risultati carattere ubiquitario. Tenuto conto della sua potenziale gravità, una simile ingerenza non può, secondo la Corte, essere giustificata dal semplice interesse economico del gestore del motore di ricerca nel trattamento dei dati.

Tuttavia, poiché la soppressione di link dall’elenco di risultati potrebbe, a seconda dell’informazione in questione, avere ripercussioni sul legittimo interesse degli utenti di internet potenzialmente interessati ad avere accesso a quest’ultima, la Corte constata che occorre ricercare un giusto equilibrio tra tale interesse e i diritti fondamentali della persona interessata, e segnatamente il diritto al rispetto della vita privata e il diritto alla protezione dei dati personali. Se indubbiamente i diritti della persona interessata prevalgono, di norma, anche sul citato interesse degli utenti di internet, tale equilibrio può nondimeno dipendere, in casi particolari, dalla natura dell’informazione di cui trattasi e dal suo carattere sensibile per la vita privata della persona suddetta, nonché dall’interesse del pubblico a ricevere tale informazione, il quale può variare, in particolare, a seconda del ruolo che la persona riveste nella vita pubblica.

Qualora si constati, in seguito a una richiesta della persona interessata, che l’inclusione di tali link nell’elenco è, allo stato attuale, incompatibile con la direttiva, le informazioni e i link figuranti in tale elenco devono essere cancellati. La Corte osserva al riguardo che anche un trattamento inizialmente lecito di dati esatti può divenire, con il tempo, incompatibile con la direttiva suddetta nel caso in cui, tenuto conto dell’insieme delle circostanze caratterizzanti il caso di specie, tali dati risultino inadeguati, non più pertinenti ovvero eccessivi in rapporto alle finalità per le quali sono stati trattati e al tempo trascorso. Qualora si verifichi un’ipotesi siffatta, i link verso pagine web contenenti tali informazioni devono essere cancellati dall’ elenco di risultati, a meno che sussistano ragioni particolari, come il ruolo ricoperto da tale persona nella vita pubblica, giustificanti un interesse preminente della collettività ad avere accesso a dette informazioni.

La persona interessata può rivolgere la domanda direttamente al gestore del motore di ricerca, che deve in tal caso procedere al debito esame della loro fondatezza. Qualora il responsabile del trattamento non dia seguito a tali domande, la persona può adire l’autorità di controllo o l’autorità giudiziaria affinché queste effettuino le verifiche necessarie e ordinino a detto responsabile l’adozione di misure precise conseguenti.

Iscriviti alla Newsletter (16373)

[post-marguee]