La Corte di Giustizia, nella pronuncia del 24 settembre 2019 (ECLI:EU:C:2019:772) ha statuito il seguente principio:
l’articolo 12, lettera b), e l’articolo 14, primo comma, lettera a), della direttiva 95/46 e l’articolo 17, paragrafo 1, del regolamento 2016/679 devono essere interpretati nel senso che il gestore di un motore di ricerca, quando accoglie una domanda di deindicizzazione in applicazione delle suddette disposizioni, è tenuto ad effettuare tale deindicizzazione non in tutte le versioni del suo motore di ricerca, ma nelle versioni di tale motore corrispondenti a tutti gli Stati membri, e ciò, se necessario, in combinazione con misure che, tenendo nel contempo conto delle prescrizioni di legge, permettono effettivamente di impedire agli utenti di Internet, che effettuano una ricerca sulla base del nome dell’interessato a partire da uno degli Stati membri, di avere accesso, attraverso l’elenco dei risultati visualizzato in seguito a tale ricerca, ai link oggetto di tale domanda, o quantomeno di scoraggiare seriamente tali utenti.
Tuttavia, è anche vero che la Corte, al punto 72 della medesima sentenza, riconosce che un’autorità di controllo o un’autorità giudiziaria di uno Stato membro resta competente ad effettuare, conformemente agli standard nazionali di protezione dei diritti fondamentali (v., in tal senso, sentenze del 26 febbraio 2013, Åkerberg Fransson, C‑617/10, EU:C:2013:105, punto 29, e del 26 febbraio 2013, Melloni, C‑399/11, EU:C:2013:107, punto 60), un bilanciamento tra, da un lato, il diritto della persona interessata alla tutela della sua vita privata e alla protezione dei suoi dati personali e, dall’altro, il diritto alla libertà d’informazione e, al termine di tale bilanciamento, richiedere, se del caso, al gestore di tale motore di ricerca di effettuare una deindicizzazione su tutte le versioni di suddetto motore.
Vediamo i fatti della controversia di cui al procedimento (C – 507/17) tra Google LLC e la Commissione nazionale per l’informatica e le libertà (CNIL).
La vertenza riguardava una controversia tra Google LLC e la Commissione Nationale Informatique et Libertés (CNIL) (Francia) in merito ad una sanzione di 100.000 irrogata da quest’ultima con delibera del 10 marzo 2016 contro Google a causa del rifiuto di questa di rimuovere i contenuti di una pagina sui risultati del motore ricerca google a livello globale.
Google si rifiutava di conformarsi alla richiesta di cancellazione totale, eliminando semplicemente i collegamenti in questione solo sulle versioni del suo motore di ricerca negli Stati membri dell’Unione Europea.
La CNIL riteneva insufficiente il meccanismo di “geoblocking”, proposto da Google, per bloccare la possibilità di accesso da un indirizzo IP localizzato nello Stato di residenza della persona interessata.
Google impugnava tale provvedimento sostenendo che la sanzione controversa si basava su un’interpretazione errata delle disposizioni di legge, in quanto il diritto all’oblio non implicava necessariamente la cancellazione senza limitazione geografica, cioè su tutti i nomi di dominio del suo motore.
L’esame, infine, veniva portato all’attenzione della Corte di Giustizia.
La Corte, in via preliminare, premetteva che l’operatore di un motore di ricerca è tenuto a cancellare dall’elenco dei risultati, visualizzato dopo una ricerca effettuata dal nome di una persona, i collegamenti a pagine Web, pubblicati da terzi e contenenti informazioni relative a tale persona, anche nel caso in cui il nome o le informazioni non vengano cancellate in anticipo o contemporaneamente di queste pagine Web e questo, se presente, anche quando la loro pubblicazione in sé su tali pagine è lecita (sentenza del 13 maggio 2014, Google Spagna e Google, C – 131/12, EU: C: 2014: 317 , punto 88).
L’interessato, infatti, ha il diritto a che le informazioni in questione non siano più rese disponibili al pubblico in virtù della sua inclusione in tale elenco di risultati, tali diritti prevalgono, in linea di principio, non solo sull’interesse economico dell’operatore del motore di ricerca, ma anche sull’interesse di questo pubblico ad accedere a tali informazioni durante una ricerca sul nome di questa persona (salvo il caso di personaggi pubblici, vedi sentenza del 13 maggio 2014, Google Spagna e Google, C – 131/12, EU: C: 2014: 317, punto 99).
Da ultimo, tale diritto è cristallizzato nell’articolo 17 del Regolamento n. 2016/679 a mente del quale l’interessato ha diritto a pretendere il “diritto alla cancellazione” o comunemente detto “diritto all’oblio” dei dati a lui riguardanti (sempre nei limiti della citata disposizione).
A tale proposito, la pregressa giurisprudenza ha ritenuto che il trattamento dei dati personali sia effettuato nell’ambito delle attività di uno stabilimento della persona responsabile (titolare del trattamento) di tale trattamento nel territorio di uno Stato membro in cui il gestore di un motore stabilisce, in uno Stato membro, una filiale o sede per promuovere e vendere lo spazio pubblicitario proposto da questo motore e la cui attività è rivolta agli abitanti di quello Stato membro (sentenza del 13 maggio 2014, Google Spagna e Google , C – 131/12, EU: C: 2014: 317, articolo 60).
In tali circostanze, le attività dell’operatore del motore di ricerca e quelle della sua sede nell’Unione sono indissolubilmente legate quando le attività dello spazio pubblicitario costituiscono il mezzo per rendere il motore di ricerca economicamente redditizio e questo motore sia, allo stesso tempo, il mezzo che consente lo svolgimento di queste attività, la visualizzazione dell’elenco dei risultati accompagnato, sulla stessa pagina, da quello degli annunci pubblicitari relativi ai termini di ricerca (v., in tal senso, sentenza del 13 maggio 2014, Google Spagna e Google, C – 131/12, EU: C: 2014: 317, punti 56 e 57).
La Corte sottolinea, però, che molti Stati terzi non conoscono il diritto alla riservatezza o il diritto all’oblio e adottano un approccio diverso a questo tipo di diritti.
Inoltre, sempre secondo la Corte, il diritto alla protezione dei dati personali non è un diritto assoluto, ma deve essere considerato in relazione alla sua funzione nella società e ponderato con altri diritti fondamentali, conformemente al principio di proporzionalità (v., in tal senso, sentenza del 9 novembre 2010, Volker und Markus Schecke e Eifert, C – 92/09 e C – 93/09, EU: C: 2010: 662, punto 48, e anche 1/15 (Accordo NRP UE-Canada), del 26 luglio 2017, EU: C: 2017: 592, paragrafo 136).
A ciò si aggiunge il fatto che il bilanciamento tra il diritto al rispetto della vita privata e alla protezione dei dati personali, da un lato, e la libertà di informazione degli utenti di Internet, dall’altro, è suscettibile di variazioni significative in tutto il mondo.
Tuttavia, secondo la Corte, le disposizioni contenute nell’articolo 17 non contengono elementi tali da consentire la verifica del bilanciamento di interessi anche al di fuori dell’Unione.
Ne consegue, allo stato attuale, che l’operatore di un motore di ricerca non soggiace, secondo la Corte alle imposizioni del diritto dell’Unione al di fuori del suo ambito territoriale.
Inoltre, l’interesse pubblico ad accedere alle informazioni può variare, anche all’interno dell’Unione, da uno Stato membro all’altro, in modo che il risultato del bilanciamento debba essere effettuato tra quest’ultimo, da un lato, e il diritto al rispetto della vita privata e la protezione dei dati personali dell’interessato, dall’altro lato.
Tuttavia è anche responsabilità dell’operatore del motore di ricerca adottare, se necessario, misure sufficientemente efficaci per garantire una protezione effettiva dei diritti fondamentali dell’interessato.
Tali misure devono, di per sé, soddisfare tutti i requisiti legali e avere l’effetto di impedire o, almeno, di scoraggiare seriamente gli utenti di Internet negli Stati membri dall’accedere ai collegamenti in questione da un ricerca effettuata sulla base del nome di quella persona (v., per analogia, sentenza del 27 marzo 2014, UPC Telekabel Wien, C – 314/12 , EU: C: 2014: 192, punto 62 e 15 settembre 2016, Mc Fadden, C – 484/14, EU: C: 2016: 689, punto 96).
Infine, secondo la Corte, (vedi punto 72)il diritto dell’Unione, pur se non impone, allo stato attuale, che la deindicizzazione accolta verta su tutte le versioni del motore di ricerca in questione, neppure lo vieta. Pertanto, un’autorità di controllo o un’autorità giudiziaria di uno Stato membro resta competente ad effettuare, conformemente agli standard nazionali di protezione dei diritti fondamentali (v., in tal senso, sentenze del 26 febbraio 2013, Åkerberg Fransson, C‑617/10, EU:C:2013:105, punto 29, e del 26 febbraio 2013, Melloni, C‑399/11, EU:C:2013:107, punto 60), un bilanciamento tra, da un lato, il diritto della persona interessata alla tutela della sua vita privata e alla protezione dei suoi dati personali e, dall’altro, il diritto alla libertà d’informazione e, al termine di tale bilanciamento, richiedere, se del caso, al gestore di tale motore di ricerca di effettuare una deindicizzazione su tutte le versioni di suddetto motore.
Nondimeno, nella stessa giornata della sentenza appena commentata, è stato diramato altro pronunciamento (ECLI:EU:C:2019:773) della Corte secondo cui:
1) Le disposizioni dell’articolo 8, paragrafi 1 e 5, della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, devono essere interpretate nel senso che i divieti o le restrizioni riguardanti il trattamento di categorie particolari di dati personali, di cui alle suddette disposizioni, si applicano, fatte salve le eccezioni previste dalla stessa direttiva, anche al gestore di un motore di ricerca nell’ambito delle sue responsabilità, competenze e possibilità, quale responsabile del trattamento effettuato durante l’attività di tale motore di ricerca, in occasione di una verifica compiuta da tale gestore, sotto il controllo delle autorità nazionali competenti, a seguito di una richiesta presentata dalla persona interessata.
2) Le disposizioni dell’articolo 8, paragrafi 1 e 5, della direttiva 95/46 devono essere interpretate nel senso che, in base ad esse, il gestore di un motore di ricerca, in linea di principio, è tenuto ad accogliere, fatte salve le eccezioni previste da tale direttiva, le richieste di deindicizzazione riguardanti link che rinviano a pagine web nelle quali compaiono dati personali rientranti nelle categorie particolari contemplate da tali disposizioni.
L’articolo 8, paragrafo 2, lettera e), della direttiva 95/46 deve essere interpretato nel senso che, in conformità di tale articolo, un gestore del genere può rifiutarsi di accogliere una richiesta di deindicizzazione ove constati che i link controversi dirigono verso contenuti che comprendono dati personali rientranti nelle categorie particolari di cui all’articolo 8, paragrafo 1, ma il cui trattamento è incluso nell’eccezione di cui all’articolo 8, paragrafo 2, lettera e), sempre che tale trattamento risponda a tutte le altre condizioni di liceità poste dalla suddetta direttiva e salvo che la persona interessata abbia, in forza dell’articolo 14, primo comma, lettera a), della medesima direttiva, il diritto di opporsi a detto trattamento per motivi preminenti e legittimi, derivanti dalla sua situazione particolare.
Le disposizioni della direttiva 95/46 devono essere interpretate nel senso che il gestore di un motore di ricerca, quando riceve una richiesta di deindicizzazione riguardante un link verso una pagina web nella quale sono pubblicati dati personali rientranti nelle categorie particolari di cui all’articolo 8, paragrafi 1 o 5, di tale direttiva, deve – sulla base di tutti gli elementi pertinenti della fattispecie e tenuto conto della gravità dell’ingerenza nei diritti fondamentali della persona interessata al rispetto della vita privata e alla protezione dei dati personali, sanciti dagli articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione europea – verificare, alla luce dei motivi di interesse pubblico rilevante di cui all’articolo 8, paragrafo 4, della suddetta direttiva e nel rispetto delle condizioni previste in quest’ultima disposizione, se l’inserimento di detto link nell’elenco dei risultati, visualizzato in esito ad una ricerca effettuata a partire dal nome della persona in questione, si riveli strettamente necessario per proteggere la libertà di informazione degli utenti di Internet potenzialmente interessati ad avere accesso a tale pagina web mediante una ricerca siffatta, libertà che è sancita all’articolo 11 della Carta.
3) Le disposizioni della direttiva 95/46 devono essere interpretate nel senso che,
– da un lato, le informazioni relative a un procedimento giudiziario di cui è stata oggetto una persona fisica e, se del caso, quelle relative alla condanna che ne è conseguita costituiscono dati relativi alle «infrazioni» e alle «condanne penali» ai sensi dell’articolo 8, paragrafo 5, della suddetta direttiva, e
– d’altro lato, il gestore di un motore di ricerca è tenuto ad accogliere una richiesta di deindicizzazione vertente su link verso pagine web, nelle quali compaiono le suddette informazioni, quando queste ultime si riferiscono ad una fase precedente del procedimento giudiziario considerato e non corrispondono più, tenuto conto dello svolgimento di quest’ultimo, alla situazione attuale, nei limiti in cui si constati, nell’ambito della verifica dei motivi di interesse pubblico rilevante di cui all’articolo 8, paragrafo 4, della stessa direttiva, che, tenuto conto di tutte le circostanze pertinenti della fattispecie, i diritti fondamentali della persona interessata, garantiti dagli articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione europea, prevalgono su quelli degli utenti di Internet potenzialmente interessati, protetti dall’articolo 11 di tale Carta.