Assolutamente meritevole di disamina, in tema di diritto all’oblio, è la recentissima ordinanza della Corte di Cassazione del 24/11/2022, n. 34658/2022 nella quale si afferma un importante principio di extraterritorialità degli ordini di deindicizzazione emessi dalle Autorità Garanti nazionali.
Più specificatamente, si afferma che è facoltà delle autorità di controllo – a seguito dello svolgimento di un bilanciamento fra il diritto alla riservatezza e quello alla diffusione della notizia nell’interesse del pubblico secondo gli standard di protezione dell’ordinamento italiano – richiedere al gestore del motore di ricerca di effettuare un c.d. global delisting, ossia la rimozione degli URL riferibili all’interessato in tutte le sue versioni globali e non solo in quelle degli Stati Membri dell’Unione.
Conservazione dei dati, principio di limitazione e obbligo di cancellare quelli non (più) necessari
Indice degli argomenti
Il contesto della decisione
La vicenda trae atto dall’accoglimento, da parte del Garante Privacy italiano, di un ricorso volto all’ottenimento della rimozione degli URL riferiti al richiedente non solo dalle versioni europee del motore di ricerca, ma anche da quelle extraeuropee.
Il ricorrente, infatti, lamentava che il proprio diritto all’oblio era stato pregiudicato “dalla perdurante diffusione nel web di notizie non aggiornate circa una vicenda giudiziaria [di natura penale, nda] in cui era stato coinvolti, che si era poi concluso con un decreto di archiviazione del giudice per le indagini preliminari, per infondatezza della notizia di reato”.
Il gestore del motore di ricerca, con ricorso ai sensi dell’art. 152 D.lgs. 196/03, richiedeva l’annullamento del provvedimento del Garante, lamentando la sussistenza di una serie di vizi di natura procedurale e contestando la decisione di estendere l’ordine di rimozione degli URL a livello globale.
Il Tribunale di primo grado, facendo applicazione della Direttiva 95/46/CEE, precedente al GDPR, accoglieva parzialmente il ricorso proposto dal gestore del motore di ricerca, limitando l’ordine di rimozione alle sole versioni nazionali del motore di ricerca corrispondenti agli Stati Membri dell’UE. Più nello specifico, il giudice affermava che la Direttiva non permettesse l’applicazione extraterritoriale delle norme sulla tutela dei dati personali, censurando il mancato bilanciamento tra il diritto della persona interessata e il diritto alla libertà di informazione richiesto dal par. 72 della decisione della Corte di Giustizia UE resa nella causa C-507 del 24.09.2019.
Avverso detta sentenza, l’Autorità Garante proponeva ricorso per cassazione, basato su tre motivi, che si va nel prosieguo ad esaminare:
- violazione della normativa che consentirebbe una applicazione extraterritoriale delle norme unionali e nazionali, non esclusa dalla citata sentenza della Corte di Giustizia UE resa nella causa C-507 del 24.09.2019;
- violazione delle disposizioni relative all’individuazione del criterio sulla base del quale l’Autorità dovrebbe eseguire il necessario bilanciamento di interessi: la sentenza del tirbunale di prime cure, infatti, assumeva che la deindicizzazione ad efficacia extraterritoriale avrebbe dovuto parametrarsi ai “distinti quadri giuridici sussistenti nei Paesi extra UE in cui la norma nazionale con effetti extraterritoriali permetterebbe di far valere l’ordine dell’Autorità;
- contraddittorietà della motivazione, relativamente alla parte della sentenza che affermava la mancata sufficiente prova della lesione subita, ai fini della conduzione del giudizio di bilanciamento necessario per poter estendere l’ordine di deindicizzazione al di fuori dei confini europei.
La decisione della Corte di Cassazione
Poiché i motivi di ricorso avanzati dall’Autorità Garante sono connessi fra loro, la Corte di Cassazione, nella sua ordinanza, provvede all’esame degli stessi congiuntamente, esaminando le possibilità, alla luce della disciplina applicabile, di estendere le richieste di deindicizzazione, o delisting, anche al di fuori dei confini europei.
La Corte, in primo luogo, evidenzia come la giurisprudenza formatasi sul tema del diritto all’oblio richieda lo svolgimento di una preliminare “ponderazione del diritto all’oblio dell’interessato col diritto avente ad oggetto la diffusione e l’acquisizione relativa al fatto nel suo complesso, attraverso parole chiave anche diverse dal nome della persona”. Infatti, prosegue, il diritto all’obblio, deve essere bilanciato con il diritto della collettività all’informazione, oltre che col diritto del soggetto a “non vedersi reiteratamente attribuita una biografia telematica diversa da quella reale e costituente oggetto di notizie ormai superate”, specie una volta che sia esaurito l’interesse pubblico alla circolazione dell’informazione.
Ciò posto, la Corte procede con la valutazione dell’ammissibilità di un ordine di deindicizzazione o rimozione extraterritoriale nei confronti del gestore del motore di ricerca, nota anche con il nome di global delisting, o global removal.
Secondo quanto indicato nella sentenza C-131/12 del 13.05.2014 della Corte di Giustizia, Grande Sezione, la Direttiva 95/46/CE deve essere sempre interpretata nel senso di ritenere che il gestore del motore di ricerca sia obbligato, ove le condizioni fissate dagli artt. 12 e 14 della direttiva medesima sussistano, a sopprimere dall’elenco di risultati delle ricerche i link che portano a pagine web contenenti informazioni relative alla persona che ha esercitato il proprio diritto all’oblio, a prescindere dalla circostanza che dette informazioni arrechino o meno un diritto all’interessato. Ciò che si richiede, viceversa, è che l’interesse pubblico all’accesso all’informazione non prevalga sul diritto alla riservatezza del richiedente.
Il tema dell’estensione territoriale del diritto all’oblio è stato poi affrontato dalla CGUE nel 2019, in due casi normativamente analoghi, che però venivano decisi in maniera opposta: nel primo caso, c.d. “caso CNIL” si affermava che l’interessato “può chiedere e pretendere […] la deindicizzazione solo nelle versioni del motore di ricerca in uso nel territorio degli Stati Membri dell’Unione Europea”; viceversa, nel secondo caso, detto anche “caso Glawischnig”, ove si lamentava la lesione dell’onore e della reputazione del richiedente, si affermava che il prestatore dei servizi di hosting può essere destinatario di un ordine di rimozione a livello mondiale.
Nella sentenza CNIL, tuttavia, la Corte affermava espressamente che il diritto dell’Unione non osta a che un’autorità di controllo o un’autorità giudiziaria – effettuati i dovuti bilanciamenti fra i diritti coinvolti – possa richiedere al gestore del motore di ricerca “di effettuare una deindicizzazione su tutte le versioni di detto motore”. Dunque, è facoltà di ogni Stato membro di effettuare un bilanciamento dei diritti fondamentali per richiedere all’esito al gestore del motore di ricerca di effettuare una deindicizzazione su tutte le versioni del proprio motore, incluse quelle extraeuropee.
La tesi della inammissibilità degli ordini di rimozione/deindicizzazione globale, si legge nell’ordinanza, per ragioni di diritto internazionale consuetudinario, “è quindi in contrasto con il diritto della unione Europea, così come interpretato dalla Corte di Giustizia”. “Secondo questa Corte”, si legge, “ non vi è dubbio che il diritto alla protezione dei propri dati personali e il suo fondamento costituzionale non tollerino limitazioni territoriali all’esplicazione della sfera di protezione, tanto più che nella specie tale diritto si sovrappone e si accompagna ai diritti all’identità, alla riservatezza e alla contestualizzazione delle informazioni”. Inoltre, all’interno dell’ordinamento costituzionale italiano, “a fronte delle modalità liquide e pervasive della circolazione dei dati sulla rete di Internet, non è consentita una limitazione della tutela assicurata alla tutela della vita privata e alla protezione dei dati personali mediante deindicizzazione delle sole versioni dei motori di ricerca corrispondenti a tutti gli Stati Membri”.
Le conclusioni e il principio di diritto
L’ordinanza, in conclusione, censura la sentenza del tribunale di merito, nella parte in cui si afferma che la deindicizzazione ad efficacia extraterritoriale debba parametrarsi ai distinti quadri giuridici sussistenti nei Paesi extra UE in cui la norma nazionale con effetti extraterritoriali permetterebbe di far valere l’ordine dell’Autorità di controllo. Lo standard cui si deve ispirare nello svolgimento del bilanciamento fra i diversi diritti della riservatezza e dell’informazione dovrà essere esclusivamente quello europeo e nazionale, non potendo rilevare un diritto non applicabile al rapporto giuridico oggetto di pronuncia.
Accoglie, dunque, il ricorso, affermando il principio di diritto per il quale la tutela alla riservatezza e all’identità personale, che si esprime nel c.d. diritto all’oblio, consente, in conformità con le norme UE, alle autorità di controllo nazionali di ordinare al gestore di un motore di ricerca di effettuare una deindicizzazione su tutte le versioni, anche extraeuropee, del suddetto motore, previo bilanciamento tra il diritto della persona interessata alla tutela della sua vita privata e alla protezione dei suoi dati personali e il diritto alla libertà d’informazione, da operarsi secondo gli standard di protezione dell’ordinamento italiano.
Detto interesse all’oblio deve essere comunque sufficientemente comprovato, al fine di fornire tutti gli elementi necessari allo svolgimento del bilanciamento fra i diritti meritevoli di tutela.
