La gloria di colui che tutto move per l’universo penetra. Fondati dubbi sulla Corte di Giustizia, convinta dell’ onnipotenza del provider, motore di ricerca

di Maurizio De Giorgi Corte di Giustizia 13 maggio 2014 (causa C 131/12) All’inizio del 1998, un giornale ad ampia diffusione in Spagna ha pubblicato nell’edizione cartacea due annunci riguardanti un’asta immobiliare collegata ad un procedimento esecutivo derivante da debiti contratti con il sistema previdenziale. Una persona era menzionata quale proprietaria degli immobili. Successivamente, l’editore aveva pubblicato la versione elettronica del giornale. Nel novembre 2009 la persona interessata ha contattato l’editore del giornale facendo valere che, inserendo il suo nome e cognome nel motore di ricerca Google, compariva un riferimento che rinviava alle pagine del giornale contenenti quegli annunci. Affermava che il procedimento si era concluso e risolto da vari anni e che attualmente era irrilevante. L’editore ribatteva che non era appropriato eliminare i dati che riguardavano l’interessato, in quanto la pubblicazione era stata fatta per ordine del Ministero del Lavoro e della Previdenza sociale spagnolo. Nel febbraio 2010 la persona in questione ha contattato Google Spain e ha chiesto che, in caso di inserimento del suo nome e cognome nel motore di ricerca Google, i risultati della ricerca non mostrassero i link verso il giornale. Google Spain ha inoltrato la richiesta a Google Inc., la cui sede sociale è in California (Stati Uniti), considerando che quest’ultima fosse l’impresa fornitrice del servizio di ricerca Internet. Successivamente, l’interessato ha presentato reclamo alla Agencia Española de Protección de Datos (Autorità spagnola per la protezione dei dati, «AEPD») contro l’editore e Google. Con decisione del 30 luglio 2010 il direttore della AEPD ha accolto il reclamo contro Google Spain e Google Inc., ingiungendo loro di ritirare i dati dal loro indice e di rendere impossibile in futuro l’accesso agli stessi. Il reclamo contro l’editore è stato invece respinto, in quanto la pubblicazione sulla stampa era legalmente giustificata. Google Inc. e Google Spain hanno allora proposto impugnazione dinanzi alla Audiencia Nacional (Alta Corte nazionale, Spagna), chiedendo l’annullamento della decisione della AEPD. In tale contesto i giudici spagnoli hanno sottoposto una serie di questioni alla Corte di giustizia Dalla lettura della sentenza emergono alcuni dubbi. Un fornitore di servizi di motore di ricerca su Internet, il cui motore di ricerca localizza informazioni pubblicate o immesse in Internet da terzi, le indicizza in modo automatico, le archivia temporaneamente e infine le mette a disposizione degli utenti di Internet secondo un determinato ordine di preferenza, «tratta» dati personali ai sensi dell’articolo 2, lettera b), della direttiva 95/46 quando tali informazioni contengono dati personali. Tuttavia, il fornitore di servizi di motore di ricerca su Internet non può essere considerato «responsabile del trattamento» di tali dati personali ai sensi dell’articolo 2, lettera d), della direttiva 95/46, fatta eccezione per i contenuti dell’indice del suo motore di ricerca, sempre che il fornitore di servizi non indicizzi o archivi dati personali contro le istruzioni o le richieste dell’editore della pagina web. Dato che l’interessato può, sulla scorta dei suoi diritti fondamentali derivanti dagli articoli 7 e 8 della Carta, chiedere che l’informazione in questione non venga più messa a disposizione del grande pubblico mediante la sua inclusione in un siffatto elenco di risultati, occorre considerare – come risulta in particolare dal punto 81 della presente sentenza – che i diritti fondamentali di cui sopra prevalgono, in linea di principio, non soltanto sull’interesse economico del gestore del motore di ricerca, ma anche sull’interesse di tale pubblico a trovare l’informazione suddetta in occasione di una ricerca concernente il nome di questa persona. Tuttavia, così non sarebbe qualora risultasse, per ragioni particolari, come il ruolo ricoperto da tale persona nella vita pubblica, che l’ingerenza nei suoi diritti fondamentali è giustificata dall’interesse preponderante del pubblico suddetto ad avere accesso, mediante l’inclusione summenzionata, all’informazione di cui trattasi. La tesi della Corte sembra provare troppo, in quanto gli obblighi imposti al responsabile del trattamento si basano sull’idea della responsabilità del responsabile del trattamento riguardo ai dati personali trattati, nel senso che il responsabile del trattamento è consapevole dell’esistenza di una categoria definita di informazioni che corrispondono a dati personali e intende trattare, avendone la possibilità, tali informazioni proprio in quanto dati personali. Il Gruppo di lavoro Articolo 29 osserva giustamente che «[i]l concetto di responsabile del trattamento è funzionale, finalizzato cioè all’attribuzione di responsabilità laddove intervenga un’influenza effettiva: si basa quindi su un’analisi fattuale piuttosto che formale». Il Gruppo prosegue affermando che «il responsabile del trattamento de[ve] determinare quali dati debbano essere trattati per la finalità o le finalità previste». Le disposizioni sostanziali della direttiva, più in particolare gli articoli 6, 7 e 8, si basano sulla premessa che il responsabile del trattamento sappia quel che fa riguardo ai dati personali considerati, nel senso che è consapevole di quale tipo di dati personali sta trattando e perché. In altri termini, il trattamento dei dati deve apparirgli come un trattamento di dati personali, ossia «informazion[i] concernent[i] una persona fisica identificata o identificabile» in una maniera semanticamente rilevante, e non un semplice codice informatico. È questo il motivo per cui è da considerarsi adeguato l’approccio del Gruppo di lavoro Articolo 29, in quanto esso tenta di tracciare una linea tra le funzioni interamente passive e di intermediazione dei motori di ricerca e le situazioni in cui la loro attività rappresenta un effettivo controllo sui dati personali trattati. Il fornitore di servizi di motore di ricerca su Internet non ha alcun rapporto con il contenuto delle pagine web source di terzi su Internet in cui possono comparire dati personali. Inoltre, dato che il motore di ricerca lavora sulla base di copie di pagine web source che il crawler ha estratto e copiato, il fornitore di servizi non ha mezzi per cambiare le informazioni sui server host. Fornire uno strumento di localizzazione di informazioni non implica alcun controllo sul contenuto. Né tale attività mette il fornitore di servizi di motore di ricerca su Internet in condizione di distinguere tra i dati personali ai sensi della direttiva, ossia i dati che si riferiscono ad una persona fisica identificata e identificabile, e gli altri dati. Concludendo sarebbe stato opportuno  ritenere che, in virtù del principio di proporzionalità, qualsiasi domanda diretta alla soppressione di informazioni debba essere indirizzata all’editore del sito web interessato, in quanto quest’ultimo è colui che assume la responsabilità di rendere pubbliche le informazioni, che è in grado di valutare la liceità di tale pubblicazione e che dispone dei mezzi più efficaci e meno restrittivi per rendere inaccessibili le informazioni stesse. Inoltre, imporre al gestore di un motore di ricerca di rimuovere dai propri indici informazioni pubblicate su Internet non terrebbe sufficientemente conto dei diritti fondamentali degli editori di siti web, degli altri utenti di Internet, nonché dello stesso gestore. Al soggetto che neutralmente assume le informazioni, la Corte chiede di divenire parte, e scegliere quale diritto privilegiare, anzi chiedendo a monte di strizzare l’occhio al diritto all’oblio. Tutto ciò dimenticandosi che la Proposta della Commissione per un regolamento generale sulla protezione dei dati prevede, all’articolo 17, un diritto all’oblio. Tuttavia, a quanto pare, tale Proposta ha incontrato una notevole opposizione e non è ritenuta costituire una codificazione del diritto vigente, bensì un’importante innovazione giuridica. È tuttavia interessante notare che, ai sensi dell’articolo 17, paragrafo 2, della proposta, «[q]uando ha reso pubblici dati personali, il responsabile del trattamento (…) prende tutte le misure ragionevoli (…) in relazione ai dati della cui pubblicazione è responsabile per informare i terzi che stanno trattando tali dati della richiesta dell’interessato di cancellare qualsiasi link, copia o riproduzione dei suoi dati personali». Questa formulazione sembra considerare i fornitori di servizi di motore di ricerca in Internet più come terzi che come responsabili del trattamento in quanto tali. 20 maggio 2014