Diritto all’oblio: cosa non possiamo chiedere a Google. Considerazioni sull’applicazione della sentenza della Corte di Giustizia

di Giuseppe D’Acquisto (Funzionario presso il Garante per la protezione dei dati personali) [*] Introduzione La recente sentenza della Corte di Giustizia Europea sul caso Costeja-Google stabilisce che è trattamento di dati personali quello effettuato da Google con riferimento alla presentazione organica (ranking) dei risultati (link) di una interrogazione (query) avente come chiave di ricerca il nome di un interessato, e che quest’ultimo ha diritto alla cancellazione di uno specifico risultato (de-linking), a meno che non risulti per ragioni particolari, come il ruolo ricoperto da tale persona nella vita pubblica, che l’ingerenza nei suoi diritti fondamentali è giustificata dall’interesse preponderante del pubblico suddetto ad avere accesso, in virtù dell’inclusione summenzionata, all’informazione di cui trattasi (punto 4 del dispositivo). Si tratta di una sentenza per certi versi rivoluzionaria persino per le Autorità europee di protezione dei dati personali, che nel recente passato non si erano spinte sino a considerare come trattamento il ranking dei risultati di una query su un motore di ricerca. La decisione è stata salutata come il riconoscimento del diritto all’oblio, controverso oggetto dell’art. 17 del nuovo Regolamento europeo in materia, e certamente spiazza giuristi e tecnologi, i quali sono costretti ad un profondo ripensamento degli schemi a cui sono stati abituati in passato, soprattutto in merito a quali diritti siano realmente invocabili e a quali soluzioni tecnologiche ne consentano eventualmente l’esercizio. Le argomentazioni che portano il Giudice alla attribuzione della titolarità (secondo il lessico della protezione dei dati personali) del trattamento di ranking in capo a Google e del relativo assoggettamento alla legislazione europea sono riassunte, come è noto, nei punti 41) e 60) della sentenza: 41) …l’articolo 2, lettere b) e d), della direttiva 95/46 deve essere interpretato nel senso che, da un lato, l’attività di un motore di ricerca consistente nel trovare informazioni pubblicate o inserite da terzi su Internet, nell’indicizzarle in modo automatico, nel memorizzarle temporaneamente e, infine, nel metterle a disposizione degli utenti di Internet secondo un determinato ordine di preferenza, deve essere qualificata come «trattamento di dati personali», ai sensi del citato articolo 2, lettera b), qualora tali informazioni contengano dati personali, e che, dall’altro lato, il gestore di detto motore di ricerca deve essere considerato come il «responsabile» del trattamento summenzionato, ai sensi dell’articolo 2, lettera d), di cui sopra. 60) … l’articolo 4, paragrafo 1, lettera a), della direttiva 95/46 deve essere interpretato nel senso che un trattamento di dati personali viene effettuato nel contesto delle attività di uno stabilimento del responsabile di tale trattamento nel territorio di uno Stato membro, ai sensi della disposizione suddetta, qualora il gestore di un motore di ricerca apra in uno Stato membro una succursale o una filiale destinata alla promozione e alla vendita degli spazi pubblicitari proposti da tale motore di ricerca e l’attività della quale si dirige agli abitanti di detto Stato membro. Si è già avuto modo di osservare come la maggior parte dei trattamenti che avvengono oggi su internet non possano facilmente essere ricondotti al classico schema bipolare titolare-interessato, e che la parola chiave per comprendere questo scenario (ormai non così nuovo, invero) sia “esternalità”, ossia l’insieme dei fattori che producono conseguenze su un individuo, rispetto alle quali lo stesso ha limitate o nulle capacità di intervento. Letta alla luce delle diverse esternalità che il trattamento di ranking genera, la sentenza offre spunti per una più chiara individuazione dei soggetti coinvolti nel trattamento stesso, degli interessi in gioco e di come essi siano tra loro alcune volte contrapposti, altre volte persino simbiotici. Cogliere questi interessi è il presupposto per il loro corretto bilanciamento. Sul ruolo di titolare, ai sensi della Direttiva 46/95/CE Se l’obiettivo del trattamento effettuato da Google è la messa in sequenza secondo uno specifico ordine dei link che conducono a contenuti associabili al nome di un interessato, perché si raggiunga quel determinato ordine è necessario il completamento di un insieme di operazioni che coinvolgono almeno altri tre soggetti, oltre al motore di ricerca. In prima istanza, l’autore del contenuto, ossia colui il quale redige il testo contenente il nome dell’interessato o che attribuisce una etichetta (un titolo o un tag) con il nome dell’interessato ad uno specifico file anche non testuale (video, immagine, ecc.); quindi, il publisher, che decide di pubblicare il contenuto, sulla base di autonome scelte editoriali o semplicemente per una libera manifestazione del proprio pensiero (nel caso dei blog, l’autore e il publisher possono coincidere); esiste poi la platea degli utenti, i quali hanno un ruolo attivo nella determinazione del ranking di un risultato: l’algoritmo che fa funzionare Google (Pagerank), infatti, ordina in modo automatico le pagine web disponibili su internet sulla base di un criterio di popolarità (wisdom of the crowd) che porta nelle posizioni più alte del rank le pagine maggiormente citate (ossia, con maggior numero di link “entranti”) da altri siti, in particolare se i siti “citanti” sono a loro volta popolari, ossia letti, citati e consultati da una platea ampia di utenti, secondo un meccanismo ricorsivo a ritroso di notevole complessità computazionale; vi è, in ultimo, il motore di ricerca, che fa funzionare l’algoritmo, modificando continuamente, sulla base di obiettivi tecnico-organizzativi ed economici autodeterminati, i fattori correttivi che intervengono nella generazione del ranking. È di tutta evidenza come in questo trattamento siano in gioco diversi interessi contrapposti: da una parte troviamo gli autori/publisher, il motore di ricerca e la platea degli utenti di internet, i quali hanno interesse alla maggiore visibilità e raggiungibilità di un contenuto, per ragioni anche diverse, quali l’espressione del proprio pensiero (autori/publisher), la remunerazione di un investimento (il motore di ricerca), l’accrescimento della propria conoscenza (gli utenti); dall’altra invece l’interessato, il cui nome può essere utilizzato da chiunque come chiave di ricerca, il quale può non gradire la presenza di uno specifico risultato, da cui non si sente correttamente rappresentato come “persona”, all’interno di un rank. Nel bilanciamento tra questi interessi, che è, lo si ricorda, il principale scopo della sentenza, il Giudice riconosce all’interessato, ad eccezione dei residuali casi che si ricordavano, il diritto di chiedere al motore di ricerca e di ottenere il de-linking di un risultato che lo riguarda e della URL, ovvero dell’indirizzo internet del link, corrispondente. Ma, verrebbe da chiedersi, si è data, con questa opportunità di de-linking offerta all’interessato, piena applicazione al quadro giuridico europeo in materia di protezione dei dati personali? Sono stati realmente contemperati (e ben rappresentati) tutti gli interessi in gioco? Se è vero che la sentenza afferma al punto 73) che Quanto alla legittimazione, ai sensi dell’articolo 7 della direttiva 95/46, di un trattamento come quello oggetto del procedimento principale effettuato dal gestore di un motore di ricerca, esso può ricadere sotto il motivo contemplato dal citato articolo 7, alla lettera f) individuando, tra i vari possibili, nel legittimo interesse del motore di ricerca-titolare il presupposto giuridico al trattamento del dato personale di un interessato, è bene ricordare che il ruolo di titolare configura in capo a Google una serie ben codificata di obblighi, e offre all’interessato un altrettanto ben descritto insieme di tutele e strumenti di controllo, dei quali il de-linking di un risultato appare solo come una sfocata proiezione. Se non è difficile affermare che il de-linking rientra tra i diritti garantiti all’interessato dall’art. 12 della Direttiva (diritto di accesso), e in particolare dalla lettera b), nulla la sentenza dice con riferimento ai requisiti di qualità del dato di cui all’art. 6 della stessa Direttiva, specialmente sull’accuratezza e pertinenza. Il ranking dei risultati, se vale la titolarità del trattamento da parte del motore di ricerca, dovrebbe possedere questi requisiti. Cosa possiamo chiedere a Google? Sull’impossibilità tecnica del requisito di qualità del dato (art. 6 della Direttiva) con interventi unilaterali da parte del motore di ricerca e sulla legittimità dell’interesse “legittimo” In che modo può Google-titolare garantire i requisiti di qualità del dato di cui all’art. 6 della Direttiva? Si è detto come la specifica posizione occupata da un link sia il risultato di una serie di fattori, sotto il controllo di diversi soggetti, quali la popolarità storica (rilevata in passato) dell’autore e del publisher, ossia il numero di visite ricevute nel tempo (misurabili ma non determinabili da Google), l’effettivo interesse per quello specifico contenuto, e per un determinato nome all’interno di quel contenuto, misurabile attraverso il numero di link “entranti” verso quel contenuto (metrica ancora una volta rilevabile ma non determinabile da Google). E si è accennato anche alla wisdom of the crowd (la saggezza della folla), come criterio per l’indicizzazione, che non sempre è sinonimo di accuratezza e pertinenza. Google, per ciò che è dato di sapere, anche a seguito delle recente e accurata indagine svolta dalla Federal Trade Commission in materia di search neutrality indicizza i propri contenuti seguendo un criterio di popolarità e non di accuratezza. Google, secondo la FTC, non avrebbe ad oggi un interesse economico a porre in essere pratiche di indicizzazione contrarie alla wisdom of the crowd, incarnata dall’algoritmo Pagerank. Anche la Corte di Giustizia, a leggere il punto 73) della sentenza, considera come “legittimo” l’interesse di Google a indicizzare i contenuti presenti in internet secondo questo schema di wisdom of the crowd. Vorremmo, se ci è consentito, provare ad argomentare su questo punto cardine della sentenza, così laconicamente motivato al punto 73), suggerendo che tale legittimità, come peraltro afferma l’art. 7 della Direttiva può essere attribuita anche ad un terzo e non solo al titolare, e che forse in questo caso l’interesse a conoscere dei terzi-utenti è l’elemento decisivo. Se, infatti, consideriamo le statistiche, queste ci rappresentano un interesse verso la possibilità di reperire informazione su internet di portata ormai globale: quotidianamente vengono gestiti da Google diversi miliardi di query, da parte di utenti che da ogni parte del mondo interrogano il motore di ricerca per le più varie esigenze. L’interesse economico del titolare non è dunque il solo interesse in gioco. Google agisce, è vero, per remunerare un investimento economico, ma anche per consentire a tutti gli utenti un rapido ed efficace reperimento dell’informazione presente su internet. In questo caso, gli utenti (tutti) e il motore di ricerca si trovano dalla stessa parte ed esprimono in simbiosi un “legittimo” interesse, gli uni a conoscere quanto di più aggiornato è possibile reperire sul web, e Google (per dirla con le parole della sentenza) a “trovare informazioni pubblicate o inserite da terzi su Internet, …indicizzarle in modo automatico, … memorizzarle temporaneamente e, infine, … metterle a disposizione degli utenti di Internet secondo un determinato ordine di preferenza”. Risolta, in tal modo, la questione sulla titolarità e sui presupposti giuridici per il trattamento, quale tipo di qualità possiamo chiedere a Google-titolare su un dato che non domina? Innanzitutto – riteniamo – che quel dato, se indicizzato, sia disponibile per la consultazione, ovvero che sia garantita la corrispondenza tra una URL esistente presso il publisher e un link presente nel rank di risultati. Idealmente, il motore di ricerca dovrebbe restituire una “mappa” il più fedele possibile dell’informazione esistente e pubblicamente disponibile, riducendo al minimo i casi di risultati di query a cui corrispondono URL non più attive (ad esempio, per effetto del cosiddetto caching, ossia della memorizzazione temporanea che il motore di ricerca può effettuare). È una forma di search neutrality, ma non l’unica. Se, infatti, come dice l’FTC, la wisdom of the crowd è il criterio più idoneo per l’indicizzazione, e se l’algoritmo Pagerank la rappresenta correttamente, Google non dovrà alterare la neutralità di questo schema favorendo un publisher anziché un altro sulla base di propri interessi economici. Infine, ogni mancato rispetto della volontà di non indicizzazione espressa dall’autore/publisher, mediante l’uso del protocollo robots.txt o dei metatag no index, o dagli interessati, secondo quanto oggi disposto dalla sentenza, costituisce una riduzione dell’accuratezza del ranking, non rispettosa del dettato dell’art. 6 della Direttiva. Possiamo spingerci oltre e chiedere che il dato raggiungibile dal link presente in un risultato sia anche corretto “semanticamente”, ossia che riporti la “verità” su un fatto? Per le ragioni prima richiamate, altri soggetti (l’autore e il publisher) sono in grado di controllare questo tipo di accuratezza del dato “alla fonte”. Ma, quand’anche il dato venisse aggiornato e contestualizzato, nessuno può garantire che esso sia altrettanto popolare del dato non aggiornato e non-contestualizzato, con il rischio di trovarlo molto in fondo nel ranking, vanificando la tutela per l’interessato. Diverso sarebbe lo scenario in un ambiente di web cosiddetto “semantico”, in cui ogni dato è strutturato in modo tale da segnalare a chi ne usufruisce, e dunque anche al motore di ricerca, di possedere degli attributi (ad esempio “questo dato è accurato”, oppure “questo dato è sostituito da nuova versione reperibile alla URL XYZ”), consentendo un ranking basato sull’accuratezza della fonte, oltreché sulla popolarità. Ma siamo ancora lontani da questo scenario e attribuire proprietà ai dati è una operazione costosa, e non è ancora chiaro nel dibattito sul web semantico chi sarà disponibile a promuovere questa transizione e a sostenere questo costo, e se il solo rispetto dei diritti possa essere sufficiente a dare impulsi al mercato e a stimolare l’adozione di questa tecnologia. È tuttavia indubbio che il motore di ricerca riveste in misura crescente il ruolo di gatekeeper, ossia di guardiano dell’accesso all’informazione, e che se è per Google una esternalità la valutazione di merito che fanno sul contenuto l’autore e il publisher, lo è anche per l’interessato la presenza o la posizione di un risultato nel ranking. Pertanto, parafrasando la celebre frase di Andy Warhol “nel futuro, tutti avranno 15 minuti di celebrità”, potremmo dire che l’auspicio è che “nel futuro, tutti avranno 15 millimetri di buona memoria”. Tanto è infatti lo spazio necessario per ospitare un link, di fianco al ranking, ad uno spazio gestito dall’interessato (ed eventualmente messo a disposizione del motore di ricerca), che consenta all’interessato stesso di poter esprimere la propria voce sulle ricerche che lo riguardano. Sulle technicalities di questa soluzione e sulle difficoltà realizzative (si pensi al caso di omonimie) c’è spazio per un serio dibattito tecnico-giuridico, ma i tempi sono maturi perché il principio del diritto alla buona memoria possa essere enunciato e, per il particolare ruolo svolto da Google, è auspicabile che siano estesi in questa direzione gli effetti dalla sentenza. D’altro canto, da molto tempo, Google offre strumenti per “disambiguare” i risultati di una ricerca, dandone evidenza nella zona sottostante le cosiddette ricerche organiche. Analoga, o simile evidenza potrebbe essere data ai “15 millimetri di buona memoria”. Infine, oltre alla rimozione del link dai risultati di una ricerca, come Google si appresta a fare con il form on-line appositamente predisposto, siamo certi che non sia possibile ipotizzare ulteriori interventi che tengano realmente conto di tutti gli interessi in gioco? Anche qui – crediamo – il coraggio manifestato dal Giudice, e da più parti apprezzato, poteva spingersi oltre per affrontare e dirimere le esternalità che l’applicazione della sentenza determina negli altri soggetti. Rimuovere un contenuto determina, ad esempio, una esternalità nei confronti dell’autore/publisher. Se partiamo dall’assunto che ogni intervento (laddove non sussistano specifici obblighi di legge o insormontabili ostacoli tecnico-realizzativi) volto a mitigare l’effetto di esternalità debba essere favorito e l’interesse di chi lo invoca considerato legittimo, può ad esempio anche essere legittimamente notificato all’autore/publisher l’avvenuto de-linking di un risultato. Questa operazione di notifica, in sé neutra, può essere utile nella fase istruttoria che Google deve svolgere per valutare le condizioni per l’accoglimento di una richiesta di de-linking da parte di un interessato, mitiga l’insorgere di ulteriori esternalità e restituisce simmetria informativa tra le varie parti che hanno determinato, lo si è detto, la posizione di un link nel ranking dei risultati. In aggiunta a questo, tale notifica può essere a beneficio dell’interessato in quanto mette, ad esempio, il publisher nella condizione di porre in essere una de-indicizzazione permanente alla fonte o mediante l’applicazione del protocollo robots.txt, o quella ancora più efficace dei metatag no index. Ma il numero di gatekeeper della società dell’informazione è più elevato del solo Google, che tuttavia ha specificità rilevanti sia per la funzionalità offerta di motore di ricerca, sia per il grado di diffusione del servizio. Può questo modello dei “15 millimetri di buona memoria” qui proposto adattarsi a modelli di business diversi, quali quello di Wikipedia o Facebook? [*] Quanto espresso in questa memoria costituisce opinione dell’autore e non impegna in alcun modo l’Autorità. CONSULTA

Google Transparency Report: Richieste di rimozione di risultati di ricerca ai sensi delle leggi europee sulla privacy 

  LEGGI Diritto all’oblio, “che fare se Google dice no”. Autorità europee al lavoro su criteri comuni Diritto all’oblio, Google ascolta gli esperti. E i nodi restano da sciogliere Pizzetti: “Sentenza CGUE non è su diritto all’oblio. Ma pone questioni fondamentali su evoluzione normativa” Data protection e diritto all’oblio, il Commissario Reicherts: “Dibattito distorto da detrattori. Adottare subito nuove è più forti tutele sulla protezione dei dati” “Diritto all’oblio, Google “interrogato” dai Garanti privacy europei. Accolta la metà delle richieste. In attesa di linee guida condivise” Privacy e diritto all’oblio, il gestore di un motore di ricerca online è responsabile del trattamento da esso effettuato dei dati personali che appaiono su pagine web di terzi. Montuori (Garante Privacy): “Consonanza con direzione intrapresa dall’Autorità”. Google: “Decisione deludente, sopresi differisca da Advocate General” “Google e diritto all’oblio, Giuseppe Busia (Garante Privacy): ‘Stabilito un principio sulla competenza territoriale’. Il Prof. Gambino: ‘Richiesta ai motori di ricerca è tutela estrema e subordinata, ma aspetti positivi per tutela delle fragilità’ ” “Uno, nessuno e centomila: tra reputazione online e diritto all’oblio. Montuori (Garante Privacy): ‘Importante capire il diritto alla contestualizzazione dell’informazione’ ” 13 ottobre 2014