La sentenza Google e la questione delle esternalità dei trattamenti di dati personali

di Lorella Bianchi e Giuseppe D’Acquisto [*] Abstract This paper moves up from the conclusions reached by the recent ruling of the European Court of Justice concerning the Google Spain case. In particular, the authors elaborate on the controllership responsibilities of the search engine and the limits of the legitimate interest as the legal ground for the specific type of processing carried out by Google. Such processing (ranking) consists in the dynamic arrangement of a list of links to all available information on the web related to a data subject, as outcome of a search query based on his/her name, according to a specific order determined by an algorithm (Pagerank) entirely managed by Google. It can be argued that this kind of ranking equals, to a certain extent, building a specific profile of that data subject. An impact on data subject is then determined, with limited possibilities to intervene (externality). The authors explore the possibility to mitigate such externalities, pointing out that the ECJ ruling has just paved the way, and that further and more effective solutions than simple de-linking of search query results can be envisaged. These possibilities may also be interpreted as the exercise of a peculiar right to rectify with regard to the processing carried out by the search engine, and it is demonstrated how this right can be implemented in the current data protection legal framework and considering the technical capabilities of the search engine. Such solutions strike a new balance between innovation and the respect of fundamental rights, and offer a new and more concrete instrument to cope with externalities, whenever such rights, especially in the presence of externalities, could get fewer safeguards by applying the traditional data protection categories of information and consent. Il contributo muove dalle conclusioni della Corte di Giustizia nella sentenza Google Spain, segnatamente dalla ricorrenza del legittimo interesse quale presupposto della titolarità, in capo al motore di ricerca, dello specifico trattamento consistente nell’organizzare dinamicamente liste di collegamenti (link) alle informazioni disponibili in rete riferibili ad un interessato, all’esito di una query di ricerca a partire dal suo nome. L’utilizzo, da parte di Google, dell’algoritmo Pagerank determina il posizionamento di tali informazioni secondo un particolare ordine e ciò, oltre ad amplificarne la diffusione, restituisce uno specifico profilo del soggetto cui i dati si riferiscono. Ne consegue un effetto sull’interessato che non è da questi controllabile, ovvero una “esternalità”. Gli autori esplorano la possibilità di consentire alla persona di intervenire in maniera da mitigare l’effetto delle esternalità indotte dal motore di ricerca, offrendo una possibilità ulteriore rispetto a quella di de-linking prevista dalla sentenza, e proponendo il possibile esercizio, nei confronti del trattamento effettuato dal motore di ricerca, di un particolare configurarsi del diritto di rettifica, nei modi e nelle forme che la normativa in materia di protezione dei dati personali e la tecnologia già oggi possono consentire. Si porrebbero, così, le basi per una nuova modalità di bilanciamento e un auspicabile riequilibrio tra la “prevalenza dell’algoritmo” e i diritti fondamentali dell’individuo i quali, specie in presenza di esternalità, rischiano di non essere più concretamente tutelabili attraverso i tradizionali meccanismi propri delle categorie classiche della data protection, e cioè informativa e consenso. Sommario: 1. Introduzione. – 2. Sul ruolo di titolare, ai sensi della direttiva 46/95/CE, e sulla legittimità dell’interesse “legittimo”. – 3. Cosa possiamo chiedere a Google? Sull’impossibilità tecnica del requisito di qualità del dato (art. 6 della Direttiva) con interventi unilaterali da parte del motore di ricerca e sulla possibilità di esercizio del diritto di “rettifica” da parte dell’interessato, come forma di riequilibrio di una esternalità. – 4. Tra legittimo interesse e consenso dell’interessato. – 5. Sulla possibilità di notificare al sito-sorgente l’avvenuta deindicizzazione di uno specifico contenuto. 1. Introduzione. La recente sentenza della Corte di Giustizia Europea sul caso Costeja-Google [1] stabilisce che è trattamento di dati personali quello effettuato da Google con riferimento alla presentazione organica (ranking) dei risultati (link) di una interrogazione (query) avente come chiave di ricerca il nome di un interessato, e che quest’ultimo ha diritto alla cancellazione di uno specifico risultato (de-linking), a meno che non risulti per ragioni particolari, come il ruolo ricoperto da tale persona nella vita pubblica, che l’ingerenza nei suoi diritti fondamentali è giustificata dall’interesse preponderante del pubblico suddetto ad avere accesso, in virtù dell’inclusione summenzionata, all’informazione di cui trattasi (punto 4 del dispositivo) Si tratta di una sentenza per molti versi rivoluzionaria persino per le Autorità europee di protezione dei dati personali, che nel recente passato non si erano spinte sino a considerare come trattamento il ranking dei risultati di una query su un motore di ricerca [2]. La decisione è stata salutata come il riconoscimento del diritto all’oblio, controverso oggetto dell’art. 17 del nuovo Regolamento europeo in materia, e certamente spiazza giuristi e tecnologi, i quali sono costretti ad un profondo ripensamento degli schemi a cui sono stati abituati in passato, soprattutto in merito a quali diritti siano realmente invocabili e a quali soluzioni tecnologiche ne consentano eventualmente l’esercizio [3]. Le argomentazioni che portano il Giudice alla attribuzione della titolarità (secondo il lessico della protezione dei dati personali) del trattamento di ranking in capo a Google e del relativo assoggettamento alla legislazione europea sono riassunte, come è noto, nei punti 41) e 60) della sentenza 41) …l’articolo 2, lettere b) e d), della direttiva 95/46 deve essere interpretato nel senso che, da un lato, l’attività di un motore di ricerca consistente nel trovare informazioni pubblicate o inserite da terzi su Internet, nell’indicizzarle in modo automatico, nel memorizzarle temporaneamente e, infine, nel metterle a disposizione degli utenti di Internet secondo un determinato ordine di preferenza, deve essere qualificata come «trattamento di dati personali», ai sensi del citato articolo 2, lettera b), qualora tali informazioni contengano dati personali, e che, dall’altro lato, il gestore di detto motore di ricerca deve essere considerato come il «responsabile» del trattamento summenzionato, ai sensi dell’articolo 2, lettera d), di cui sopra 60) … l’articolo 4, paragrafo 1, lettera a), della direttiva 95/46 deve essere interpretato nel senso che un trattamento di dati personali viene effettuato nel contesto delle attività di uno stabilimento del responsabile di tale trattamento nel territorio di uno Stato membro, ai sensi della disposizione suddetta, qualora il gestore di un motore di ricerca apra in uno Stato membro una succursale o una filiale destinata alla promozione e alla vendita degli spazi pubblicitari proposti da tale motore di ricerca e l’attività della quale si dirige agli abitanti di detto Stato membro Si è già avuto modo di osservare [4] come la maggior parte dei trattamenti che avvengono oggi su internet non possano facilmente essere ricondotti al classico schema bipolare titolare-interessato, e che la parola chiave per comprendere questo scenario (ormai non così nuovo, invero) sia “esternalità”, ossia l’insieme dei fattori che producono conseguenze su un individuo, rispetto alle quali lo stesso ha limitate o nulle capacità di intervento. Letta alla luce delle diverse esternalità che il trattamento di ranking genera, la sentenza offre spunti per una più chiara individuazione dei soggetti coinvolti nel trattamento stesso, degli interessi in gioco e di come essi siano tra loro alcune volte contrapposti, altre volte persino simbiotici. Cogliere questi interessi è il presupposto per il loro corretto bilanciamento. 2. Sul ruolo di titolare, ai sensi della direttiva 46/95/CE, e sulla legittimità dell'interesse “legittimo”. Se la finalità del trattamento effettuato da Google è la messa in sequenza secondo uno specifico ordine dei link che conducono a contenuti associabili al nome di un interessato, perché si raggiunga quel determinato ordine è necessario il completamento di un insieme di operazioni che coinvolgono almeno altri tre soggetti, oltre al motore di ricerca. In prima istanza, l’autore del contenuto, ossia colui il quale redige il testo contenente il nome dell’interessato o che attribuisce una etichetta (un titolo o un tag) con il nome dell’interessato ad uno specifico file anche non testuale (video, immagine, ecc.), il quale persegue una finalità ascrivibile, in senso ampio, alla libera manifestazione del pensiero; quindi, il publisher, che decide di pubblicare il contenuto sulla base di autonome scelte editoriali o più genericamente imprenditoriali (nel caso dei blog, l’autore e il publisher possono coincidere); esiste poi la platea degli utenti, i quali hanno un ruolo attivo nella determinazione del ranking di un risultato: l’algoritmo che fa funzionare Google (Pagerank), infatti, ordina in modo automatico le pagine web disponibili su internet sulla base di un criterio di popolarità (wisdom of the crowd) che porta nelle posizioni più alte del rank le pagine maggiormente citate (ossia, con maggior numero di link “entranti”) da altri siti, in particolare se i siti “citanti” sono a loro volta popolari, ossia letti, citati e consultati da una platea ampia di utenti, secondo un meccanismo ricorsivo a ritroso di notevole complessità computazionale [5]; vi è, in ultimo, il motore di ricerca, che fa funzionare l’algoritmo, modificando continuamente [6], sulla base di obiettivi tecnico-organizzativi ed economici autodeterminati, i fattori correttivi che intervengono nella generazione del ranking. È di tutta evidenza come in questo trattamento siano in gioco diversi interessi contrapposti: da una parte troviamo gli autori, gli autori/publisher, il motore di ricerca e la platea degli utenti di internet, i quali hanno interesse alla maggiore visibilità e raggiungibilità di un contenuto per ragioni anche diverse, quali l’espressione del proprio pensiero (autori e autori/publisher), il conseguimento di uno scopo commerciale di natura editoriale (i publisher), la remunerazione di un investimento (il motore di ricerca), l’accrescimento della propria conoscenza (gli utenti); dall’altra invece l’interessato, il cui nome - che dunque deve essere già noto all’utente che digita la relativa, specifica query - può essere utilizzato da chiunque come chiave di ricerca. L’interessato potrebbe beneficiare dell'effetto di divulgazione dell’informazione che lo riguarda; ma potrebbe, tuttavia, anche non gradire la presenza di un determinato risultato, dal quale non si sente correttamente rappresentato come “persona”, all’interno di un ranking, ovvero potrebbe, allo stesso modo, non gradire lo specifico posizionamento di una notizia a connotazione negativa o disonorevole che lo riguarda, come effettuato - peraltro secondo logiche da lui non conosciute né controllabili – dall’algoritmo utilizzato dal motore di ricerca; potrebbe, infine, non gradire l'omessa associazione, al suo nome, di ulteriori informazioni personali, al pari vere e presenti nel web, idonee a smentire o, quantomeno, riequilibrare, attenuandola, la valenza negativa della prima. Si pensi, per la migliore comprensione del fenomeno, ai molti piccoli e grandi casi di damnatio memoriae, di cui è pieno il web: dal caso di una persona sottoposta a procedimento penale, indagata ovvero perfino condannata nel primo grado di giudizio ma successivamente assolta, o al caso di un lieve insuccesso professionale, a cui ha fatto seguito una serie di brillanti risultati, al caso, infine, molto vicino a quello concretamente sottoposto alla Corte di Giustizia che ha interessato il sig. Mario Costeja Gonzales, del cattivo pagatore ovvero dell'evasore successivamente, pienamente riabilitato. Nel bilanciamento di tutti i diversi interessi in gioco - che è, lo si ricorda, il principale scopo della sentenza - il Giudice riconosce all’interessato, ad eccezione dei residuali casi cui si è fatto riferimento, il diritto di chiedere e, all'esito di un obbligatorio processo valutativo, eventualmente di ottenere dal motore di ricerca il de-linking di un risultato che lo riguarda e cioè la cancellazione della URL, ovvero dell’indirizzo internet del link, corrispondente. L'eliminazione di un collegamento diretto al contenuto in questione, che pure non è interessato in sé dalla modifica, ne limita di fatto più che considerevolmente la reperibilità. Ma si è data, con questa opportunità di de-linking offerta all’interessato, piena ed esaustiva applicazione al quadro giuridico europeo in materia di protezione dei dati personali? Sono stati realmente contemperati (e, prima ancora, compiutamente rappresentati) tutti gli interessi in gioco? Esistono, in definitiva, ulteriori margini di manovra, rispetto ai quali la decisione della Corte di Giustizia si ponga come il primo, fondamentale passo di un cammino ancora da esplorare? La sentenza afferma, al punto 73), che Quanto alla legittimazione, ai sensi dell’articolo 7 della direttiva 95/46, di un trattamento come quello oggetto del procedimento principale effettuato dal gestore di un motore di ricerca, esso può ricadere sotto il motivo contemplato dal citato articolo 7, alla lettera f) così individuando, tra i diversi possibili, nel legittimo interesse del motore di ricerca-titolare il presupposto giuridico dello specifico trattamento del dato personale di un interessato, di cui si discute. Tale ricostruzione, forse la sola possibile, comporta una serie di conseguenze di straordinaria portata, che paiono tuttora non sufficientemente indagate. In primo luogo è opportuno interrogarsi circa la natura della menzionata scriminante, dunque sulla legittimità dell’interesse del motore di ricerca, idoneo a consentire il trattamento di dati in questione anche in assenza del consenso degli interessati. Non c'è dubbio che la ragione che induce un soggetto (nella specie, la società americana) ad impiegare mezzi e risorse per la fornitura di questo servizio abbia natura essenzialmente commerciale, imprenditoriale e di business. L’interesse perseguito, cioè, è di tipo pienamente privatistico, sia per la qualifica soggettiva del titolare, sia per il profilo funzionale che lo caratterizza. Eppure, il ruolo interpretato dai motori di ricerca nell’attuale scenario, specie se si ha riguardo agli innegabili benefici derivanti dall’effetto espansivo della conoscenza e dal suo avvicinamento ai fruitori/utenti, consente di porsi l’interrogativo circa le caratteristiche di tale interesse e sul possibile ruolo da attribuirsi anche alla soddisfazione, che il motore di ricerca consente, del contestuale interesse a conoscere del pubblico degli utenti. Considerato allora che la legittimità dell’interesse, come peraltro afferma l’art. 7 della Direttiva, sussiste anche quando esso sia riconosciuto in capo ad un terzo e non solo al titolare [7], forse in questo caso proprio questo interesse a conoscere dei terzi-utenti risulta essere l’elemento decisivo dell'indagine. Se, infatti, guardiamo alle statistiche, queste ci rappresentano un interesse verso la possibilità di reperire informazione su internet di portata ormai globale: quotidianamente vengono gestiti da Google diversi miliardi di query, poste da persone che da ogni parte del mondo interrogano il motore di ricerca per le più varie esigenze [8]. L’interesse economico del titolare non è dunque l’unico in gioco. Google agisce, è vero, per remunerare un investimento economico, ma anche per consentire a tutti gli utenti un rapido ed efficace reperimento dell’informazione presente su internet, anche valutata la velocità con la quale essa si muove nella rete. In questo caso, gli utenti (tutti) e il motore di ricerca si trovano dalla stessa parte ed esprimono in simbiosi un “legittimo” interesse, gli uni a conoscere quanto di più aggiornato è possibile reperire sul web, e Google (per dirla con le parole della sentenza) a “trovare informazioni pubblicate o inserite da terzi su Internet, …indicizzarle in modo automatico, … memorizzarle temporaneamente e, infine, … metterle a disposizione degli utenti di Internet secondo un determinato ordine di preferenza”. Viene allora ricondotta ad unità un’apparente antinomia del giudicato in esame, che se da un lato, appunto, fonda sulla scriminante di cui all’art. 7, lettera f) della Direttiva la “legittimazione” di Google all’effettuazione del trattamento del quale sono state ampiamente descritte le caratteristiche, dall’altro afferma, al punto 81, che l’ingerenza nei diritti fondamentali della persona interessata esercitata dal trattamento di dati personali effettuato da Google, nonché l’effetto moltiplicativo proprio dei motori di ricerca e idoneo a conferire alle informazioni contenute nell’elenco di risultati carattere ubiquitario, fanno sì che tale ingerenza 81.(...) non può essere giustificata dal semplice interesse economico del gestore di un siffatto motore di ricerca in questo trattamento di dati [9] È dunque il perseguimento dell’interesse privato di un singolo, ma in buona misura coincidente con quello di una moltitudine, specie in un mondo in cui, lo si ribadisce, i contenuti della rete aumentano a ritmo incessante e cambiano continuamente con altrettanta velocità, che rende legittimo il trattamento di dati effettuato da Google consistente nell’indicizzare i contenuti presenti in internet secondo l’illustrato schema di wisdom of the crowd. 3. Cosa possiamo chiedere a Google? Sull’impossibilità tecnica del requisito di qualità del dato (art. 6 della Direttiva) con interventi unilaterali da parte del motore di ricerca e sulla possibilità di esercizio del diritto di “rettifica” da parte dell’interessato, come forma di riequilibrio di una esternalità. Ma in che modo può Google-titolare - sebbene esonerato, proprio in virtù del suo legittimo interesse, dall’obbligo di acquisire il preventivo consenso informato degli interessati - garantire anche i requisiti di qualità del dato di cui all’art. 6 della Direttiva? Si è detto come la specifica posizione occupata da un link sia il risultato di una serie di fattori sotto il controllo di diversi soggetti, quali la popolarità storica (rilevata in passato) dell’autore e del publisher, ossia il numero di visite ricevute nel tempo (misurabili ma non determinabili da Google), l’effettivo interesse per quello specifico contenuto, e per un determinato nome all’interno di quel contenuto, misurabile attraverso il numero di link “entranti” verso quel contenuto (metrica ancora una volta rilevabile ma non determinabile da Google). E si è accennato anche alla wisdom of the crowd (la saggezza della folla) come criterio per l’indicizzazione, che non sempre è sinonimo di accuratezza e pertinenza. Google, per ciò che è dato di sapere, anche a seguito delle recente e accurata indagine svolta dalla Federal Trade Commission in materia di search neutrality [10], indicizza i propri contenuti seguendo un criterio di popolarità e non di accuratezza. Google, secondo la FTC, non avrebbe ad oggi un interesse economico a porre in essere pratiche di indicizzazione contrarie alla wisdom of the crowd, incarnata dall’algoritmo Pagerank. Ma allora quale tipo di qualità o, più oltre ancora, quali ragionevoli interventi possiamo chiedere a Google-titolare su un dato che non domina? Innanzitutto – riteniamo - che quel dato, se disponibile e non sottratto ab origine, ad opera dell’autore o del publisher, alla possibilità di indicizzazione, sia effettivamente indicizzato dal motore di ricerca, al quale pertanto dovrebbe essere precluso qualsiasi arbitrio nella selezione delle informazioni immesse in rete da altri; che esso sia inoltre effettivamente disponibile per la consultazione, ovvero che sia garantita la corrispondenza tra una URL esistente presso il publisher e un link presente nel rank di risultati. Idealmente, il motore di ricerca dovrebbe restituire una “mappa” il più fedele possibile dell’informazione esistente e pubblicamente disponibile, riducendo al minimo i casi di risultati di query a cui non corrispondono, ovvero non corrispondono più, URL attive, ad esempio per effetto del cosiddetto caching, ossia della memorizzazione temporanea che il motore di ricerca può effettuare [11]. Quella richiesta a Google è dunque una forma di search neutrality, ma non l’unica. Se, infatti, come dice l’FTC, la wisdom of the crowd è il criterio più idoneo per l’indicizzazione, e se l’algoritmo Pagerank la rappresenta correttamente, Google non dovrà alterare la neutralità di questo schema favorendo un publisher anziché un altro sulla base di propri interessi economici [12]. Infine, ogni mancato rispetto della volontà di non indicizzazione espressa dall’autore/publisher, mediante l’uso del protocollo robots.txt o dei metatag no index, o dagli interessati, secondo quanto oggi disposto dalla sentenza, costituisce una riduzione dell’accuratezza del ranking, non rispettosa del dettato dell’art. 6 della Direttiva. Possiamo spingerci oltre e chiedere che il dato raggiungibile dal link presente in un risultato sia anche corretto “semanticamente”, ossia che riporti la “verità” su un fatto? Per le ragioni prima richiamate, altri soggetti (l’autore e il publisher) sono in grado di controllare questo tipo di accuratezza del dato “alla fonte”. Ma, quand’anche il dato venisse aggiornato e contestualizzato [13], nessuno può garantire che esso sia altrettanto popolare del dato non aggiornato e non-contestualizzato, con il rischio di trovarlo molto in fondo nel ranking, vanificando la tutela per l’interessato. Diverso sarebbe lo scenario in un ambiente di web cosiddetto “semantico”, in cui ogni dato è strutturato in modo tale da segnalare a chi ne usufruisce, e dunque anche al motore di ricerca, di possedere degli attributi (ad esempio “questo dato è accurato”, oppure “questo dato è sostituito da una nuova versione reperibile alla URL XYZ”), consentendo un ranking basato sull’accuratezza della fonte, oltreché sulla popolarità. Ma siamo ancora lontani da questo scenario e attribuire proprietà ai dati è una operazione costosa. Inoltre non è ancora chiaro, nel dibattito sul web semantico, chi sarà disponibile a promuovere questa transizione e a sostenerne il costo, e se il solo obiettivo di assicurare il più compiuto ed efficace possibile rispetto dei diritti possa essere ragione sufficiente, specie dal punto di vista di un soggetto privato, per dare impulsi al mercato e stimolare l’adozione di questa tecnologia. È forse opportuno, a questo punto, sgombrare il campo da un equivoco di fondo: al motore di ricerca non è né può essere richiesta alcuna azione sull’aspetto contenutistico dell’informazione, per la semplice ragione che esso non costituisce oggetto del trattamento nella sua titolarità. Per questo motivo non paiono condivisibili le critiche alla sentenza della Corte di Giustizia che hanno inteso leggere nelle sue statuizioni l’attribuzione a Google di una responsabilità sul merito di notizie pubblicate e diffuse ad opera di terzi, anche nella fase della necessaria valutazione preliminare preordinata alla deindicizzazione. In realtà, e al contrario, la Corte è perfettamente consapevole dell’inimputabilità al motore di ricerca delle scelte editoriali degli autori e dei publisher, i soli che dispongono di tutti gli elementi idonei a compiere le opportune valutazioni circa la liceità e rilevanza di tale diffusione, ed è proprio muovendo da tale netta distinzione di ruoli che ha stabilito che ben può essere richiesto al gestore di sopprimere, dall’elenco di risultati che appare a seguito di una ricerca effettuata a partire dal nome di una persona, dei link verso pagine web pubblicate da terzi e contenenti informazioni relative a tale persona, senza che un’ingiunzione in tal senso presupponga che tale nome e tali informazioni siano, con il pieno consenso dell’editore o su ingiunzione di una delle autorità sopra menzionate, previamente o simultaneamente cancellati dalla pagina web sulla quale sono stati pubblicati (punto 82 della sentenza) È tuttavia indubbio che il motore di ricerca riveste in misura crescente il ruolo di gatekeeper, ossia di guardiano dell’accesso all’informazione, almeno con riguardo alle ormai irrinunciabili caratteristiche di immediatezza e di facilità di reperimento delle informazioni cui siamo abituati, e che se è per Google una esternalità la valutazione di merito resa sul contenuto dall’autore e dal publisher, lo è anche per l’interessato la presenza o la specifica posizione di un risultato nel ranking. Sennonché è proprio a questo concetto di esternalità, nell’accezione già indicata di influenza esercitabile sulla e nella sfera giuridica di un altro soggetto, che occorre aver riguardo per comprendere quanto le categorie poste a fondamento della disciplina in materia di protezione dei dati personali, e innanzitutto quelle relative all’informativa e al consenso, possano rivelarsi segnate da penalizzanti limiti, se non si compie lo sforzo di coniugarle in modo nuovo, alla ricerca di soluzioni concrete idonee a disciplinare fenomeni altrimenti destinati a sfuggire ad una corretta regolamentazione. In questa prospettiva pertanto, parafrasando la celebre frase di Andy Warhol “nel futuro, tutti avranno 15 minuti di celebrità”, potremmo dire che l’auspicio è che nel futuro tutti abbiano “15 millimetri di buona memoria”. Tanto è infatti, e forse anche meno, lo spazio necessario per ospitare un link - di fianco al ranking, e segnatamente in adiacenza al link alla URL in cui è riportata la notizia sgradita all’interessato - ad uno spazio che consenta a quest’ultimo, sia in via principale, sia anche in via subordinata rispetto all’ipotesi di mancato accoglimento della richiesta di deindicizzazione, ed indipendentemente dall'eventuale ruolo ricoperto dal richiedente nella vita pubblica, di indicare la URL ove sia reperibile un’altra informazione, connessa alla prima, che lo rappresenti più compiutamente. Si offrirebbe in tal modo all’interessato, che si assume danneggiato o comunque non, o non più correttamente rappresentato dal suo stesso profilo come desumibile dal ranking effettuato dal motore di ricerca in automatico e secondo logiche incognite, la possibilità di riequilibrare la valenza negativa della prima notizia non solo mediante la messa in relazione, ma anche attraverso l’accentuata e autonomamente determinata evidenza conferibile ad altra informazione, già pubblicata da altri e dunque presente – al pari della prima – nel web; una notizia dunque anch’essa indicizzata, secondo le regole generali, dal motore di ricerca, ma che in base all’algoritmo utilizzato da Google avrebbe potuto ricevere e dunque ipoteticamente mantenere un posizionamento diverso, anche di gran lunga inferiore, sì da renderla di ridotta se non affatto trascurabile fruibilità tra i risultati elencati in replica alla specifica query che ha ad oggetto il nome dell’interessato medesimo (si richiamano, al riguardo, gli esempi già formulati: una persona accusata di un reato e successivamente assolta, etc.). Se infatti si condivide la tesi, innanzitutto enunciata nella sentenza della Corte di Giustizia, per la quale il trattamento di dati personali da parte di Google – titolare consiste proprio nell’effettuare, sulla base di un interesse riconosciuto legittimo, la raccolta attraverso il web di contenuti resi disponibili da altri ordinandoli secondo criteri autodeterminati e dunque delineando così un profilo ben specifico della persona cui le informazioni si riferiscono, e se crediamo che queste operazioni di trattamento debbano essere conformi ai principi enunciati dalla Direttiva, potremo allora concludere che assicurare la qualità del dato ai sensi del suo art. 6, ovvero garantire che i trattamenti siano improntati a liceità e correttezza, significa anche consentire all’interessato l’esercizio di un simile “diritto di replica” o “di rettifica”; con l'ulteriore riflesso che, secondo questa impostazione, la qualità del dato non si determina e non si esaurisce nella predisposizione (appunto, preliminare e unilaterale) di specifiche modalità del trattamento prefissate dal titolare, ma passa per un particolare esercizio del diritto di accesso (rectius, di aggiornamento o, a seconda dei casi, di ripristino dell’esattezza e della completezza del dato) rimesso all’iniziativa dell'interessato, e dunque si raggiunge solo successivamente rispetto all’effettuazione del trattamento medesimo. Si tratta, com’è ovvio, di un diritto ben diverso da quello codificato nell’art. 8 della L. n. 48 dell’8 febbraio 1947 (Legge sulla stampa), essenzialmente perché, a differenza di quello, non affonda le proprie radici nella contrapposizione tra la libertà e il diritto di informazione da un lato e i doveri di cronaca dall’altro, né intende traslare sul motore di ricerca una responsabilità relativa al contenuto dell’informazione ovvero alla sua valutazione che, lo si ribadisce, è e resta dell’autore o, a seconda dei casi, del publisher. Il bilanciamento cui il meccanismo descritto tende non è volto, in altri termini, all’espressione di un’opinione ovvero all’allegazione di un fatto che completi o smentisca le informazioni precedentemente rese note, bensì a riequilibrare, al ricorrere di determinate condizioni, l’asimmetria decisionale che è conseguenza della “prevalenza dell’algoritmo” e, in definitiva, a bilanciare gli effetti di una esternalità ogni qualvolta essa risulti penalizzante per l’interessato, poiché parziale o fuorviante. Garantire a questo soggetto la possibilità dell’esercizio di un tale diritto significa, allora, proprio assicurare la conformità del trattamento nella titolarità di Google ai requisiti previsti dal menzionato art. 6 della Direttiva, avendo riguardo in particolare a quelli di cui al suo comma 1, lett. d), che impone che i dati siano esatti e, se necessario, aggiornati; che siano, inoltre, adottate tutte le misure ragionevoli per cancellare o rettificare quelli inesatti o incompleti rispetto alle finalità per le quali sono rilevati o sono successivamente trattati, cancellati o rettificati. D’altro canto, già da molto tempo Google offre diversi strumenti assimilabili a quello che qui si propone, che dunque costituirebbe una mera, ulteriore modalità, in aggiunta a quelle esistenti, con funzione di contrappeso rispetto alla forza unilateralmente esercitata da Google medesima sugli utenti/interessati per il tramite della richiamata esternalità. Si pensi, a titolo di esempio, agli accorgimenti e ai rimedi previsti a beneficio degli interessati che si ritengano lesi dal trattamento di dati che li riguarda effettuato per il tramite del servizio Google Street View: in aggiunta all’oscuramento automatico di volti e targhe presenti nelle immagini a 360 gradi riprese da Google e destinate ad essere diffuse on line per il tramite di Google Maps è, infatti, previsto che, a seguito della pubblicazione delle immagini riprese, gli utenti possano richiedere sia “un ulteriore offuscamento di qualsiasi immagine in cui sia visibile l’utente, la sua famiglia, la sua auto o la sua abitazione”, sia la rimozione di immagini con contenuti inappropriati [14]. Ma anche concentrando l’analisi sulla sola funzione del motore di ricerca è agevole rinvenire ulteriori esempi di tali meccanismi “correttivi” o, comunque, modificativi dei risultati di una interrogazione, come generati dalla wisdom of the crowd: ci si riferisce, innanzitutto, a quelli resi disponibili per “disambiguare” i risultati di una ricerca [15], dandone evidenza nella zona sottostante le cosiddette ricerche organiche, e consistenti nella possibilità di selezionare, tra le diverse alternative proposte, quella maggiormente idonea a precisare l’oggetto dell’interrogazione formulata. O, ancora, alle sponsored search, cioè ai collegamenti, ospitati sul sito del motore di ricerca di fianco alle ricerche organiche, che mostrano con maggiore evidenza link ai siti web di aziende che, dietro corrispettivo, vengono appunto posizionati tra i primi risultati quando si digiti una query i cui termini di ricerca siano relativi al proprio ambito di attività. Analoga, o simile evidenza potrebbe essere data allora anche ai “15 millimetri di buona memoria”. Sulle technicalities di questa soluzione, sui costi e sulle difficoltà realizzative (si pensi alla rigorosa necessità di identificazione del soggetto legittimato all’esercizio di un tale diritto, al caso di omonimie, alla verifica circa l’affinità rationae materiae tra la prima informazione e quella destinata a corredarla etc.) c’è spazio per un serio dibattito tecnico-giuridico, ma i tempi sono maturi perché il principio del diritto alla buona memoria possa essere enunciato e, per il particolare ruolo ricoperto da Google, è auspicabile che siano estesi in questa direzione gli effetti dalla sentenza. 4. Tra legittimo interesse e consenso dell’interessato. Alle medesime conclusioni deve pervenirsi anche con riguardo ad un ulteriore ordine di considerazioni. Si è detto della configurabilità, nella specie, del legittimo interesse nell’accezione, precisata, che riguarda non solo il titolare, ma anche i terzi interessati nonché i fruitori del servizio, come pure del fatto che tale interesse, disciplinato dall’art. 7, lettera f), della Direttiva, si contrappone (“oppure”) al requisito del consenso dell’interessato previsto, invece, dalla lettera a) della stessa norma, al punto da doversi considerare entrambi presupposti equipollenti di legittimità del trattamento di dati personali effettuato dal titolare. Sennonché, ad uno sguardo più approfondito, i due presupposti differiscono sotto un profilo non trascurabile: se da un lato, infatti, il riconoscimento del legittimo interesse pare strumento, nella disponibilità del giurista, maggiormente idoneo a favorire lo sviluppo e l’innovazione nonché a consentire un approccio più duttile e moderno alla necessaria regolamentazione di tale innovazione, dall’altro ricondurre, per tale via, nell’ambito della legittimità anche attività non assistite dalla consapevolezza e non preventivamente autorizzate dalla persona su cui, pure, esse sono destinate ad incidere, impone l’accettazione di un rischio. La questione non è di poco momento, e val la pena di accennarla seppur marginalmente in connessione con i temi di cui qui si discute, i quali hanno però il pregio di farne emergere l’urgenza nel dibattito sempre aperto sul ruolo di indirizzo che la protezione dei dati personali può esercitare nel quadro tecnologico attuale. Si fa da più parti osservare come l’autodeterminazione preventiva, ossia l’invocazione del consenso come presupposto giuridico al trattamento, mal si concili con l’incontenibile necessità espansiva delle nuove tecnologie e dei servizi più evoluti (e più apprezzati dagli utenti). Ciò in quanto essa dà luogo ad un fenomeno noto in letteratura come selection bias [16] (che potemmo tradurre come “selezione dei consapevoli”), ossia la selezione dei soli utenti informati e motivati, che potrebbero esercitare una influenza decisiva sull’affermazione di una tecnologia. Ciò, non a torto, può talvolta costituire un freno allo sviluppo di nuove idee, e – spiace doverlo rilevare – costituire un vero e proprio attrattore rispetto alla tentazione di regolare i fenomeni tecnologici con approcci di natura ideologica. Non sembra dunque essere il consenso (lo si ascolta sovente anche all’interno della comunità dei Garanti europei, con un tono da “bandiera bianca”) la strada per l’innovazione. D’altro canto, il ricorso alla categoria concettuale del legittimo interesse, di pari passo con il progressivo allontanamento dal principio cardine della protezione dei dati personali che si fonda invece, lo si è detto, sulla manifestazione di volontà della persona cui i dati personali si riferiscono, è infatti proprio all’origine del potenzialmente sempre più incisivo prodursi di esternalità, quali quelle descritte, destinate a gravare esclusivamente sull’interessato medesimo. Ecco allora che nella traslazione tra l’applicabilità dei presupposti codificati, rispettivamente, nelle lettere a) e f) dell’art. 7 della Direttiva, e dunque via via che si sostituisce la logica del legittimo interesse a quella del consenso, occorre tentare di ribilanciare il possibile squilibrio prodotto, sostituendo al meccanismo del consenso ex ante quello dell'intervento ex post e cioè, nella concreta vicenda, appunto garantendo all’interessato la possibilità di contrastare gli effetti negativi di un trattamento di dati che egli non ha autorizzato, beneficiando almeno dei più volte menzionati “15 millimetri di buona memoria”. 5. Sulla possibilità di notificare al sito-sorgente l’avvenuta deindicizzazione di uno specifico contenuto. Infine, oltre alla rimozione del link dai risultati di una ricerca, come Google ha già cominciato a fare con il form on-line appositamente predisposto, e oltre alla proposta di assicurare la qualità del dato mediante la predisposizione del meccanismo di riequilibrio dell’esternalità ora illustrato, siamo certi che non sia possibile ipotizzare ulteriori interventi che tengano realmente conto di tutti gli interessi in gioco? Anche qui - crediamo - il coraggio manifestato dal Giudice, e da più parti apprezzato, poteva spingersi oltre per affrontare e dirimere le esternalità che l’applicazione della sentenza determina negli altri soggetti. Rimuovere un contenuto determina, ad esempio, una esternalità nei confronti dell’autore/publisher. Se partiamo dall’assunto che ogni intervento (laddove non sussistano specifici obblighi di legge o insormontabili ostacoli tecnico-realizzativi) volto a mitigare l’effetto di esternalità debba essere favorito e l’interesse di chi lo invoca considerato legittimo, può ad esempio anche essere legittimamente notificato all’autore/publisher l’avvenuto de-linking di un risultato. Questa operazione di notifica, in sé neutra, facoltativa e non assimilabile ad un trattamento di dati personali poiché qualificabile quale mera comunicazione circa l’avvenuto accoglimento di una richiesta di de-linking in relazione al contenuto immesso in rete dal destinatario della comunicazione medesima, mitiga l’insorgere di ulteriori esternalità e restituisce simmetria informativa tra le varie parti che hanno determinato, lo si è detto, la posizione di un link nel ranking dei risultati. In aggiunta a questo, tale notifica può essere a beneficio dell’interessato in quanto mette anche il publisher nella condizione di valutare l’opportunità di una de-indicizzazione permanente alla fonte o mediante l’applicazione del protocollo robots.txt, o quella ancora più efficace dei metatag no index. Ma il numero di gatekeeper della società dell’informazione è più elevato della sola Google, che tuttavia ha specificità rilevanti sia per la funzionalità offerta di motore di ricerca, sia per il grado di diffusione del servizio. Può questo modello dei “15 millimetri di buona memoria” qui proposto adattarsi a modelli di business diversi, quali quello di Wikipedia o Facebook? Note: * Quanto espresso in questa memoria costituisce opinione degli autori e non impegna in alcun modo il Garante per la protezione dei dati personali presso il quale lavorano. [**] Il presente contributo è stato preventivamente sottoposto a referaggio anonimo affidato ad un componente del Comitato di Referee secondo il Regolamento adottato da questa Rivista. [1] Sentenza della Corte (Grande Sezione) 13 maggio 2014, «Dati personali – Tutela delle persone fisiche con riguardo al trattamento di tali dati – Direttiva 95/46/CE – Articoli 2, 4, 12 e 14 – Ambito di applicazione materiale e territoriale – Motori di ricerca su Internet – Trattamento dei dati contenuti in siti web – Ricerca, indicizzazione e memorizzazione di tali dati – Responsabilità del gestore del motore di ricerca – Stabilimento nel territorio di uno Stato membro – Portata degli obblighi di tale gestore e dei diritti della persona interessata – Carta dei diritti fondamentali dell’Unione europea – Articoli 7 e 8» [2] Opinion 1/2008 on data protection issues related to search engines - WP 148 [3] Si veda, al riguardo, l’interpretazione c.d. “autentica” resa dal giudice relatore della sentenza, Marko Ilešic, nel corso del recente intervento alla riunione interparlamentare dei Presidenti delle Commissioni competenti in materia di diritti fondamentali, Roma, Camera dei deputati, 13 e 14 ottobre u.s., disponibile al link http://webtv.camera.it/archivio?id=6978&position=0, secondo cui la pronuncia non ha interessato l’esercizio del diritto all’oblio, ma il ben più limitato ambito di uno specifico trattamento effettuato dal motore di ricerca Google, cioè quello che, a seguito di una ricerca su base nominativa, rende disponibile “un link a informazioni fornite da un sito e messe in rete da parte di un terzo”, nonché, in dottrina, F. Pizzetti, Le Autorità garanti per la protezione dei dati personali e la sentenza della Corte di Giustizia sul caso Google Spain: è tempo di far cadere il velo di Maya, contributo per il gruppo di studio Astrid su “Internet: libertà d'informazione e tutela della persona”, in http://www.astrid-online.it, con ivi ulteriori richiami, secondo cui, più che di diritto all’oblio, si dovrebbe correttamente parlare di “diritto a non essere facilmente trovato“ [4] G. D’Acquisto, Diritto all’oblio: tra tecnologia e diritto, in AA.VV. Il caso del diritto all'oblio, a cura di F. Pizzetti, Giappichelli 2013 [5] A.N. Langville, C.D. Meyer, A survey of eigenvector methods for Web information retrieval, SIAM Review, Vol. 47, No. 1, pp. 135–161, 2005 [6] Introducendo circa 500-600 modifiche ogni anno http://moz.com/google-algorithm-change [7] Art. 7(f): (il trattamento) è necessario per il perseguimento dell'interesse legittimo del responsabile del trattamento oppure del o dei terzi cui vengono comunicati i dati, a condizione che non prevalgano l'interesse o i diritti e le libertà fondamentali della persona interessata, che richiedono tutela ai sensi dell’articolo 1, paragrafo 1. Sulla sottigliezza tra comunicazione e diffusione di cui all’art 7(f) della Direttiva, e su quale delle due operazione il motore di ricerca effettui concretamente con riferimento al trattamento individuato, forse può giovare riflettere sul fatto che il ranking è il risultato di una specifica interrogazione su parole chiave trasmessa esclusivamente all’utente che ha sottoposto una determinata query a Google. [8] http://www.statisticbrain.com/google-searches/ [9] Nello stesso senso, anche una recente pronuncia della Corte distrettuale di Amsterdam, resa nell'ambito di un procedimento cautelare nei confronti di Google Inc. Testualmente: “il trattamento dei dati è necessario al fine di promuovere i propri interessi legittimi così come i legittimi interessi degli utenti ai quali viene dato accesso ai dati e dei soggetti i cui dati vengono resi accessibili” (cfr. Sentenza della Corte distrettuale di Amsterdam C/13/569654 / KG ZA 14-960 PS/BB). [10] Statement of the Federal Trade Commission Regarding Google’s Search Practices In the Matter of Google Inc. FTC File Number 111-0163 January 3, 2013 [11] Attività questa rispetto alla quale il WP 29, già a far data dall’ottobre 2009, ha affermato, in una comunicazione indirizzata a Google all’esito di un’audizione tenutasi l’11 febbraio precedente, che nel momento in cui le informazioni oggetto di pubblicazione su siti terzi fossero rimosse o modificate, sarebbe proprio il motore di ricerca ad assumerne la piena titolarità (cfr. lettera del WP 29 a Google del 23 ottobre 2009, disponibile al link http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/others/2009_10_23_letter_wp_google.pdf [12] Sugli incentivi di carattere economico che un motore di ricerca può avere ad alterare l’ordine dei risultati di una ricerca P. Coucheney, G. D'Acquisto, P. Maillè, M. Naldi and B.Tuffin. Influence of search neutrality on the economics of advertisement-financed content, ACM Transactions on Internet Technology (October 2014) [13] Come ad esempio richiede la sentenza della Corte di Cassazione n. 5525/2012 circa “i doveri a carico dei titolari del trattamento nel caso di gestione degli archivi storici” [14] cfr. l’informativa “Privacy e sicurezza” relativa al servizio Street View di Google, disponibile al link http://www.google.it/intl/it/maps/about/behind-the-scenes/streetview/privacy/ [15] Ossia, risolvere i problemi di ambiguità tra voci omografe, cioè scritte allo stesso modo [16] Si veda http://en.wikipedia.org/wiki/Selection_bias LEGGI Diritto all’oblio: prime pronunce del Garante privacy sulle richieste di de-indicizzazione respinte De-indicizzazione risultati di ricerca: a novembre gli URL esaminati da Google aumentano di 2700 al giorno. Mentre arrivano le linee guida dei Garanti europei Il search in continuo movimento: i protagonisti di un mercato in evoluzione  Diritto all’oblio, “che fare se Google dice no”. Autorità europee al lavoro su criteri comuni Diritto all’oblio, Google ascolta gli esperti. E i nodi restano da sciogliere Pizzetti: “Sentenza CGUE non è su diritto all’oblio. Ma pone questioni fondamentali su evoluzione normativa” Data protection e diritto all’oblio, il Commissario Reicherts: “Dibattito distorto da detrattori. Adottare subito nuove è più forti tutele sulla protezione dei dati” "Diritto all'oblio, Google "interrogato" dai Garanti privacy europei. Accolta la metà delle richieste. In attesa di linee guida condivise" Privacy e diritto all’oblio, il gestore di un motore di ricerca online è responsabile del trattamento da esso effettuato dei dati personali che appaiono su pagine web di terzi. Montuori (Garante Privacy): “Consonanza con direzione intrapresa dall’Autorità”. Google: “Decisione deludente, sopresi differisca da Advocate General” "Google e diritto all’oblio, Giuseppe Busia (Garante Privacy): 'Stabilito un principio sulla competenza territoriale'. Il Prof. Gambino: 'Richiesta ai motori di ricerca è tutela estrema e subordinata, ma aspetti positivi per tutela delle fragilità' " "Uno, nessuno e centomila: tra reputazione online e diritto all’oblio. Montuori (Garante Privacy): 'Importante capire il diritto alla contestualizzazione dell’informazione' " 13 gennaio 2014