Necessario rimuovere i link relativi a notizie prive di interesse pubblico attuale: è quanto emerge da due provvedimenti del Garante della privacy che ha intimato a Google di provvedere riguardo alle segnalazioni di utenti che avevano lamentato la presenza sul motore di ricerca di informazioni di carattere giudiziario per loro lesive. Una decisione che permette di riflettere sul diritto alla deindicizzazione e le sue applicazioni, alla luce del GDPR.
Indice degli argomenti
Le richieste degli interessati
L’intervento del Garante per la protezione dei dati personali riguarda due recenti provvedimenti (i numeri 192 e 194 del 15 ottobre 2020) con cui ha riconosciuto a due reclamanti il diritto alla cancellazione, dall’indice dei risultati del motore di ricerca di Google, dei collegamenti ad articoli di stampa riportanti notizie a loro riferite, ritenute pregiudizievoli per la propria reputazione personale e professionale.
Nel primo caso, cercando su Google il nominativo del reclamante, il motore di ricerca restituiva articoli riguardanti indagini penali relative a presunte irregolarità amministrative nella percezione di finanziamenti pubblici da parte di imprese in cui erano coinvolti soggetti diversi dal reclamante; nel secondo caso, i risultati di ricerca comprendevano articoli di stampa che associavano la società, nella quale il reclamante aveva prestato la sua attività, con un’azienda coinvolta in un’inchiesta giudiziaria.
In entrambi i casi, i reclamanti non erano mai stati sottoposti a provvedimenti giudiziari.
I due interessati si erano rivolti in prima battuta a Google chiedendo la rimozione di quei link, i cui editori non risultavano identificabili.
Il fornitore del motore di ricerca però aveva ritenuto non vi fossero i presupposti per l’esercizio del diritto, trattandosi di articoli recenti e riguardanti indagini, per i quali aveva ritenuto prevalente l’interesse del pubblico a conoscere la vicenda.
Conseguentemente, gli interessati per far valere le proprie ragioni si erano rivolti al Garante mediante la proposizione di un reclamo ai sensi dell’art. 77 del GDPR, lamentando che la vicenda non risultava attualizzata, né contestualizzata e che pertanto le notizie risultavano lesive della propria reputazione e del proprio diritto alla riservatezza.
Diritto alla deindicizzazione, cosa dice la legge
Il diritto alla deindicizzazione, elaborato preliminarmente in via pretoria dalla Corte di Giustizia dell’UE (CGUE, Google Spain, C-131/2012) e impropriamente noto come “diritto all’oblio” è stato codificato nell’art. 17 del GDPR e si snoda nel diritto «a non essere trovato facilmente» in rete.
Tale diritto è subordinato alla presenza di determinati presupposti elencati al paragrafo 1 dello stesso articolo, tra cui l’esaurimento della finalità di trattamento, l’esercizio del diritto di opposizione, il trattamento illecito e così via, al ricorrere dei quali il Titolare (fornitore del motore di ricerca) deve procedere motu proprio alla cancellazione.
La norma chiarisce che il binomio diritto alla cancellazione e diritto di cronaca non è stato risolto con la prevalenza dell’uno o dell’altro per il fatto che il diritto alla cancellazione si esercita in “situazioni -presupposto” elencate alle lettere a)-f) dell’art. 17, par. 1, sulla base delle quali il Titolare (fornitore del motore di ricerca) di propria iniziativa deve rimuovere le informazioni senza che sia nemmeno richiesta l’attivazione dell’interessato (cons. 39 del GDPR).
È utile chiarire che nel nostro ordinamento la scala di azioni rimediali esercitabili, dinanzi a una violazione del GDPR di questo tipo, si articola su due livelli: una previa richiesta di deindicizzazione al motore di ricerca della notizia, qualora – per esempio – i dati personali ivi riportati non siano più necessari in relazione alle finalità del trattamento da parte de motore di ricerca; e, in caso di rigetto da parte di quest’ultimo, la possibilità di proporre un reclamo al Garante o alternativamente ricorso all’Autorità Giudiziaria.
Nella maggioranza dei casi, tuttavia, l’intervento del motore di ricerca è subordinato all’iniziativa dell’interessato, dietro impulso del quale lo stesso si trova a ponderare i diritti dell’interessato che ha richiesto la cancellazione con gli interessi degli utenti di Internet di accedere alle informazioni.
Se il motore di ricerca non accoglie, come nei casi in esame, la richiesta di deindicizzazione, l’interessato può rivolgersi al Garante o all’Autorità Giudiziaria.
L’articolo 77 del GDPR, difatti, offre all’interessato lo strumento del reclamo all’Autorità di Controllo. In concreto, il Garante – pur intervenuto in seconda battuta – ha corretto il tiro e riportato sui giusti binari costituzionali il bilanciamento tra riservatezza e interesse pubblico a conoscere una notizia.
L’autorità amministrativa non ha ritenuto la reperibilità delle notizie sorretta da un interesse pubblico attuale dal momento che quelle persone non erano risultate coinvolte nei procedimenti, come attestato dal certificato dei carichi pendenti e ha ordinato a Google di rimuovere dall’indice dei risultati di ricerca i link a siti terzi descritti in apertura.
Il Garante ha evidenziato come “oltre che dell’elemento costituito dal trascorrere del tempo, occorre tenere conto degli ulteriori criteri espressamente individuati dal WP Art. 29 – Gruppo Articolo 29 sulla protezione dei dati personali attraverso le apposite “Linee Guida” adottate il 26 novembre 2014 a seguito della citata sentenza della Corte di Giustizia dell’Unione europea”.
Questa decisione non ha comportato la cancellazione delle notizie dal sito da cui sono originate quelle informazioni, ma dall’elenco dei risultati di una ricerca sul motore interessato.
Ciò significa che anche a seguito della rimozione dei link dai risultati delle ricerche effettuate sul motore di ricerca, quelle informazioni potranno ancora essere trovate sul web, ma con sforzo maggiore (per esempio, cercando la notizia su un altro motore di ricerca).
Il Garante con questi provvedimenti ha, quindi, riconosciuto come un elenco di risultati, prodotti all’esito di una ricerca del nominativo di una persona, possa ledere la sua dignità o compromettere lo sviluppo della sua personalità, così come costruita dagli esiti della ricerca su Google.
La deindicizzazione si presenta come una declinazione del diritto all’autodeterminazione informativa che permette all’interessato di esercitare un controllo sul proprio flusso informativo, con cui cioè non si chiede che la notizia sia espunta dal web definitivamente, ma che diventi più difficilmente reperibile.
La reperibilità in rete di quelle notizie, infatti – secondo il Garante – è risultata idonea a creare un impatto sproporzionato sulla sfera giuridica dei reclamanti, non bilanciato da un interesse pubblico a conoscere notizie rispetto alle quali non risultava esservi stato alcun seguito giudiziario a carico dei reclamanti.
In tal senso, gli interessati hanno fatto valere la propria pretesa che le informazioni personali non siano conosciute dagli utenti di Internet, anche quando si tratti di informazioni pubblicate da terzi lecitamente ma che non avendo avuto alcun seguito meritano di cadere nell’oblio, modulando il loro diritto all’identità personale sul web.
Diritto alla deindicizzazione: l’impatto del provvedimento
Se, da un lato, il legislatore europeo in prima battuta ha consegnato il potere di effettuare il corretto bilanciamento tra il diritto fondamentale alla deindicizzazione e gli altri diritti in gioco sub specie dell’interesse pubblico a conoscere la notizia e delle altre ragioni particolari case by case a un privato (si rinvia alle Linee guida EDPB 5/2019 sui criteri per l’esercizio del diritto all’oblio nel caso dei motori di ricerca, ai sensi del GDPR che esaminano quando un interessato può richiedere al fornitore di un motore di ricerca online di cancellare uno o più link verso pagine web dall’elenco di risultati che appare dopo una ricerca effettuata a partire dal suo nome); dall’altro ha riconosciuto all’interessato due possibilità di rimedio in caso di rifiuto del fornitore del motore di ricerca di ottemperare la richiesta: adire l’Autorità giudiziaria e presentare un reclamo al Garante, mezzi esperibili senza mutuo pregiudizio.
Difformemente da quanto riconosciuto dal legislatore europeo con il principio di coesistenza dei mezzi di tutela amministrativi e giurisdizionali, il legislatore italiano, ad esito della profonda opera di riforma del Codice Privacy, avvenuta con il d. lgs. del 10 agosto 2018, n. 101, ha introdotto (art. 140 bis del Codice Privacy) il diverso principio: electa una via non datur recursus ad alteram.
Pertanto, nell’ordinamento interno lo strumento rimediale giustiziale e quello giurisdizionale sulle materie aventi lo stesso oggetto e le stesse parti sono alternativi con tutte le limitazioni che ne conseguono.
Basti pensare che la trattazione amministrativa rispetto a quella giurisdizionale è scarsamente proceduralizzata, non è assistita da regole assimilabili a quelle di un codice di rito, non permette la granularità del contradittorio ed è radicalmente gestita d’ufficio.
Conclusione
In conclusione, il Garante ha riconosciuto il prevalere del diritto alla riservatezza grazie anche alla sua esperienza ormai consolidata in materia di protezione dei dati personali.
Tuttavia, non possiamo non interrogarci sulla compatibilità della scala di azioni rimediali di fronte alla lesione di un diritto fondamentale con la legalità costituzionale ed europea della rule of law e del due process, e sulla necessità di una procedura che permetta in prima battuta all’interessato, leso nei suoi diritti, di rivolgersi a un soggetto terzo e imparziale che, oltre alle garanzie procedurali, rispetti il principio del contraddittorio, sottraendo un compito para-costituzionale a Google, per affidarlo a un organo di garanzia, e che non costringa l’interessato a scegliere tra Autorità Amministrativa e Autorità Giudiziaria.
