DIRITTO ALL’OBLIO: UN POST SU INTERNET È PER SEMPRE?

I social network e il web sono diventati una straordinaria – ma insidiosissima – piazza virtuale planetaria.

Se, da un lato, consentono a chiunque di esprimere senza confini di spazio – e potenzialmente neppure di tempo, come vedremo – le proprie idee, dall’altro rischiano di trasformarsi in memoria indelebile di fatti, opinioni e vicissitudini personali che magari, a distanza di tempo, non corrispondono più al pensiero o alla situazione di vita delle persone che le hanno espresse o che ne sono state protagoniste.

I soggetti interessati potrebbero avere l’interesse a porre “nell’oblio” questa memoria collettiva che non li corrisponde più o dalla quale si ritengono, in qualche modo, pregiudicati.

Ma esiste un diritto a richiedere questa rimozione di contenuti dai social e dal web in generale?

E, se esiste, chi è tenuto a provvedervi e su richiesta di chi ed entro quali limiti?

E ancora, come si concilia questo diritto all’oblio con il diritto dei terzi – non meno rilevante – all’informazione o alla libera espressione del pensiero?

DIRITTO ALL’OBLIO: COSA È E DOVE È PREVISTO

Il cd. diritto all’oblio ha ricevuto nell’ordinamento italiano il suo primo esplicito riconoscimento, quale specificazione del più generale diritto alla riservatezza di ogni individuo, nella sentenza n. 3679-1998 della Corte di Cassazione.

La Cassazione lo ha definito come il “giusto interesse di ogni persona a non restare indeterminatamente esposta ai danni ulteriori che arreca al suo onore ed alla sua reputazione la reiterata pubblicazione di una notizia – anche veritiera e che la riguardi N.d.R. – in passato legittimamente divulgata…”.

Questo diritto ha poi trovato una sua codificazione dapprima nel Codice della Privacy (D.lgs. n. 196/2003) – e precisamente nell’art. 11 – e poi all’art. 17 del Regolamento generale sulla protezione dei dati (GDPR UE/2016/679), che, in quanto fonte di diritto direttamente applicabile negli ordinamenti di tutti gli Stati membri, ha introdotto una disciplina comunitaria uniforme riguardo al trattamento e la circolazione dei dati personali delle persone fisiche.

ART. 17 DEL GDPR: LA NUOVA DISCIPLINA SUL DIRITTO ALL’OBLIO E I SUOI LIMITI

L’art. 17 del GDPR ha statuito che ogni individuo ha il diritto di ottenere da chiunque tratta i dati personali che lo riguardano, e senza un ingiustificato ritardo, la cancellazione di tali dati allorquando – tra le altre ipotesi contemplate dalla norma – i dati trattati non sono più necessari per la finalità per le quali sono stati raccolti e utilizzati.

Questo diritto alla cancellazione – o all’oblio – trova precisati nella stessa norma alcuni limiti, tra i quali è compreso il diritto di altri soggetti alla libertà di espressione e di informazione.

Richiesta di rimozione di un contenuto disponibile on-line

Se si applica questa norma al caso concreto di un post pubblicato sui social e riguardante avvenimenti che abbiano visto protagonista il soggetto interessato, si può concludere che quest’ultimo ha diritto di chiedere al titolare del blog o del sito web la cancellazione dei dati, delle informazioni o notizie che lo riguardano quando ritenga che non vi sia più giustificazione al mantenimento on-line del relativo post, articolo o contenuto.

E il diritto alla informazione ?

Il titolare, dal canto suo, sempre in applicazione della medesima norma, potrà sottrarsi all’obbligo della cancellazione dimostrando l’esistenza, ad esempio, di un attuale e perdurante interesse, basato sul diritto di informazione o sulla libertà di espressione, nel mantenere visibili e reperibili i suddetti dati, informazioni o notizie.

In casi come questo è dunque necessario capire come devono essere contemperati il diritto alla riservatezza di un individuo, da una parte, e il diritto alla libertà di espressione e di informazione di altri soggetti, dall’altra, tutti diritti giudicati meritevoli di tutela tanto nell’ordinamento italiano quanto in quello dell’Unione europea.

Un’importante sentenza pronunciata dalla Corte di Giustizia dell’Unione Europea il 29 settembre 2019 nella causa C 207-2017 ha avuto il merito di chiarire una serie di interrogativi sulla materia.

SENTENZA CORTE DI GIUSTIZIA UE 24.9.2019 CAUSA C 207/17

Per meglio comprendere la decisione del giudice europeo è utile riassumere per sommi capi la vicenda che ha portato il giudice francese a chiedere alla Corte di giustizia di chiarire fino a quale punto debba o possa spingersi il riconoscimento del diritto di oblio assicurato alle persone fisiche.

Il caso sottoposto alla Corte di Giustizia UE 

Un soggetto residente in Franchia si rivolgeva alla Commissione nazionale per l’informatica e le libertà (il CNIL) per chiedere la cancellazione di taluni link – che riconducevano a contenuti che lo riguardavano – dall’elenco di risultati visualizzati a seguito di una ricerca sul suo nome effettuata attraverso Google.

Il CNIL accoglieva la domanda e intimava alla società Google LLC di procedere alla cancellazione dei link relativi su tutte le estensioni “geografiche” (.fr, .it.,.com) del nome di dominio Google.

LA TESI DIFENSICA DI GOOGLE LLC

Google riteneva tuttavia che il diritto alla cancellazione non comportasse necessariamente la cancellazione dei link controversi, senza limitazioni geografiche, su tutti i nomi di dominio del suo motore di ricerca e quindi si limitava a sopprimere i link dai soli risultati visualizzati all’esito delle ricerche effettuate sul suo motore “google.fr”

Il CNIL, reputando questa azione insufficiente, comminava una sanzione a Google LLT e quest’ultima si rivolgeva al Consiglio di stato francese per chiederne l’annullamento.

RINVIO PREGIUDIZIALE ALLA CORTE DI GIUSTIZIA DA PARTE DEL GIUDICE NAZIONALE FRANCESE

Il Consiglio di Stato, con un rinvio pregiudiziale, si rivolgeva alla Corte di Giustizia per sapere se il diritto alla cancellazione assicurato alla persona fisica, come già interpretato dalla stessa Corte europea, imponga che un  gestore di un motore di ricerca, nel dare esecuzione a una domanda di cancellazione, debba fare in modo che i link controversi non appaiano più nella ricerca fatta sul nome dell’interessato indipendentemente dal luogo dal quale questa viene effettuata e indipendentemente dal nome di dominio  – .fr, .it, .uk o altri – utilizzato dall’utente di Internet che effettua la ricerca.

IL RAGIONAMENTO DELLA CORTE DI GIUSTIZIA

La Corte, ripercorrendo l’evoluzione delle norme europee che si sono succedute nel corso del tempo – dalla direttiva 95/46/ CE al GDPR – ha precisato che a ogni persona deve essere assicurato il diritto all’oblio – ovvero alla cancellazione dei dati che lo riguardano – se la conservazione di tali dati avviene in violazione del GDPR stesso o delle norme dettate in materia dagli Stati membri.

La possibilità di una conservazione nel tempo dei dati personali

La stessa Corte ha precisato che, tuttavia, può essere consentita un’ulteriore conservazione dei dati personali dell’interessato qualora il loro mantenimento sia necessario per esercitare, da parte di altri soggetti, il diritto alla libertà di espressione e di informazione.

Nelle ipotesi di conservazione va contemplata anche la “archiviazione” on-line di dati e informazioni che consenta, con una operazione di ricerca sui vari motori a disposizione – di qualunque estensione geografica – di riportare alla luce i contenuti contenenti i dati e le informazioni riguardanti un soggetto.

Il meccanismo di reindirizzamento e le banche dati comuni

La Corte ha osservato che, quando la ricerca è effettuata a partire da google.com, in linea di principio Google procede a reindirizzare automaticamente la ricerca verso il nome di dominio corrispondente allo Stato a partire dal quale, base all’identificazione dell’indirizzo internet dell’utente (il cd. IP), si presume sia stata effettuata la ricerca.

Peraltro, ha chiarito il giudice europeo, risulta che i link visualizzati in risposta a una ricerca provengono pur sempre, quale sia il dominio “geografico” del motore di ricerca che si utilizza, da banche dati e da operazioni di indicizzazione comuni.

IL DIRITTO DI DEINDICIZZAZIONE STATUITO NELLA SENTENZA DEL 13 MAGGIO 2014 GOOGLE SPAIN E GOOGLE

Già nella precedente sentenza del 13 maggio 2014 – Google Spain e Google (C‑131/12) – la Corte di Giustizia aveva affermato la sussistenza, in favore di un soggetto che ne aveva fatto richiesta, del cd. diritto alla deindicizzazione di alcuni link che rinviavano a contenuti nei quali erano contenuti dati e informazioni che lo riguardavano.

La deindicizzazione consiste in quel particolare accorgimento tecnico per il quale, pur non rimuovendo un contenuto da un archivio “virtuale” – ad esempio quello di un giornale on-line – si impedisce che lo stesso venga trovato tramite motori di ricerca esterni e conseguentemente compaia nell’indice delle ricerche dell’utente che interroga il sistema.

La deindicizzazione nel Regolamento 679/2016 

Nell’ambito del GDPR 2016/679, il cui obiettivo è quello di garantire un elevato livello di protezione dei dati personali in tutta l’Unione – il diritto dell’interessato alla deindicizzazione si basa oggi sul già menzionato articolo 17 del regolamento stesso

La Corte di giustizia ha però chiarito che il diritto alla protezione dei dati personali non è una prerogativa assoluta, ma va contemperato, in base a un criterio di proporzionalità, con altri diritti ugualmente fondamentali tra cui quello della libertà di informazione degli utenti di Internet.

La potenziale ubiquità dei dati e delle informazioni reperibili in Internet 

Internet è una rete globale che non ha frontiere e i motori di ricerca funzionano con modalità tali da rendere potenzialmente ubique tutte le informazioni e i link visualizzati a seguito di una ricerca effettuata, a partire dal nome di una persona fisica, su qualsivoglia estensione geografica del motore stesso.

La possibilità di accedere alle informazioni di un soggetto tutelato dal diritto comunitario e disponibili on-line può pertanto avvenire da qualunque estensione geografica di un motore di ricerca, ivi comprese quelle che si riferiscono a paesi terzi che non fanno parte dell’Unione europea.

Tuttavia, ha rilevato la Corte europea, ci sono molti Stati terzi che non riconoscono il diritto alla deindicizzazione.

LA RICOGNIZIONE DEL DIRITTO VIGENTE EFFETTUATO DALLA CORTE DI GIUSTIZIA

Dall’esame delle norme del GDPR emerge che, se da un lato il legislatore dell’Unione, nell’articolo 17, ha introdotto nel suo ordinamento un bilanciamento tra diritto all’oblio – e quindi alla deindicizzazione – e il diritto di libertà di informazione, non ha però previsto, dall’altra, alcuna norma che abbia inteso imporre a un operatore – come Google – un obbligo di deindicizzazione che riguardi anche le versioni nazionali del suo motore di ricerca corrispondenti a Stati che non sono membri della UE.

La Corte ha dunque stabilito che, alla luce della normativa comunitaria vigente, non sussisteva a carico di Google – come per qualunque gestore di un motore di ricerca – l’obbligo di effettuare una deindicizzazione su tutte le versioni del suo motore a seguito o di una richiesta in tal senso da parte di un interessato, o anche di un’ingiunzione di un’autorità di controllo o giudiziaria di uno Stato membro intervenuta a tutela dell’interessato.

La Corte ha invece ritenuto che, fatta una richiesta di deindicizzazione nella versione del motore corrispondente allo Stato membro di residenza dell’interessato, il gestore sia tenuto ad effettuarla, in linea di principio, anche sui motori di ricerca corrispondenti a tutti gli altri Stati membri.

La scelta di regolamentare la materia della protezione dei dati attraverso un regolamento direttamente applicabile in tutti gli Stati membri testimonia infatti dalla volontà dell’Unione di assicurare un livello uniforme ed elevato di protezione in tutto l’ordinamento comunitario e dunque solo la “deindicizzazione comunitaria” – cioè riferita alle estensioni geografiche di un motore di ricerca afferenti tutti gli Stati membri – può soddisfare tale scopo.

Avv. Elena Pagliaretta