L'oblio non è planetario? Il Diritto dell'Unione non lo impone ma neppure lo vieta

Oblio planetario. Il Diritto UE non impone al motore di ricerca l'obbligo di deindicizzazione a livello globale ma neppure lo vieta. Spetta all'autorità di controllo o al giudice stabilire la portata territoriale del diritto all'oblio caso per caso a seconda dei risultati del bilanciamento tra privacy e accesso all'informazione.

La pronunzia della CGUE 24 settembre 2019 deriva da una richiesta di chiarimenti del Consiglio di Stato francese a seguito dello scontro sul diritto all'oblio planetario tra il garante privacy nazionale CNIL e Google. Nella rimessione della materia alla CGUE il supremo organo giudiziario amministrativo chiede se il Diritto UE obblighi il motore di ricerca a eseguire il diritto all'oblio a livello planetario. Di conseguenza la Corte europea - essendo vincolata alla questione sottesa - risponde sulla scorta del diritto UE costituito prima dalla direttiva 95/46 e dopo dal GDPR 2016/679. Tuttavia questo non significa che la Corte di Giustizia non ammetta in assoluto il diritto all'oblio planetario. Tant'è vero che al punto numero 72 della sentenza si lascia una soluzione alternativa sostenendo che comunque l'efficacia territoriale del diritto all'oblio si stabilisce caso per caso numero 72. Occorre infine sottolineare che il diritto dell’Unione, pur se – come rilevato al punto 64 della presente sentenza – non impone, allo stato attuale, che la deindicizzazione accolta verta su tutte le versioni del motore di ricerca in questione, neppure lo vieta. Pertanto, un’autorità di controllo o un’autorità giudiziaria di uno Stato membro resta competente ad effettuare [ ] un bilanciamento tra protezione dei dati personali e diritto alla libertà d’informazione e, al termine di tale bilanciamento, richiedere, se del caso, al gestore di tale motore di ricerca di effettuare una deindicizzazione su tutte le versioni di suddetto motore . La comprensione dell'importanza della questione sottesa al caso in oggetto richiede di partire dall'inizio della storia ovvero dalle ragioni per cui la CNIL il 10 marzo 2016 ha inflitto a Google l'esecuzione del diritto all'oblio planetario pena la sanzione di 100 mila euro. La posizione della CNIL. Le argomentazioni del rifiuto del Garante Privacy francese sono assai condivisibili. Garante Privacy Francese-Commissione nazionale per l'informatica e le libertà CNIL -La CNIL met en demeure Google de procéder aux déréférencements sur toutes les extensions du moteur de recherche, 12.06.2015 . L'Authority - forte delle Linee Guida del WP29 sulla CGUE Costeja 13.05.2014 - sostiene che la soluzione di variare i diritti degli interessati in base alla provenienza geografica di coloro che ne cercano notizie non consente alle persone di beneficiare del pieno effetto del loro diritto all'oblio sulla scorta dei seguenti motivi - i contatti personali o professionali che vivono fuori dall'Europa continuano ad accedere al risultato della ricerca deindicizzato che punta a contenuti che potrebbero violare la privacy dell'interessato - i contatti personali o professionali che vivono in Europa potrebbero continuare ad accedere al risultato della ricerca deindicizzato ove si collegassero ad un'estensione extra UE del motore di ricerca ad es. il .com mediante un indirizzo IP non francese - esistono soluzioni tecnologiche in grado di aggirare le misure di filtraggio di Google e di far apparire l'indirizzo IP dell'utente francese come un IP proveniente da un altro Stato. Il Garante privacy francese, una volta smontate le tesi di Google, così conclude il servizio del motore di ricerca di Google costituisce un unico trattamento e le differenti estensioni geografiche .fr , .es , .com , ecc. non possono essere considerate come dei trattamenti distinti. Infatti la net company inizio' questo servizio partendo dall'estensione .com e poi nel corso del tempo ha registrato ulteriori domini in ragione dei Paesi che richiedevano la funzione di ricerca unicamente per agevolare gli utenti che potevano fruire del servizio ciascuno nella propria lingua. Tuttavia il servizio è sempre stato lo stesso ovvero il servizio di ricerca a partire da parole chiave. Questo è l'unico trattamento di Google Search a prescindere dalla lingua in cui venga espletato. Pertanto al fine di garantire un effettivo risultato di oblio secondo i dettami della CGUE Costeja 13.05.2014 occorre che l'interessato francese ottenga la deindicizzazione su tutte le estensioni del dominio di Google. Contrariamente a quanto sostenuto da quest'ultima società, il diritto all'oblio planetario non viola la libertà di espressione e il diritto di libero accesso all'informazione per due motivi - perché i contenuti deindicizzati non vengono cancellati e continuano ad esistere allocati nei siti di origine - perché gli stessi contenuti possono essere rintracciati tramite parole-chiave pensate per tematica anziché per nome di persona. Come opportunamente osservato dai Garanti Privacy UE WP29 nelle Linee guida sull'interpretazione e l'applicazione della CGUE Costeja 13.05.2014 la ricerca della notizia con i motori digitali non viene interdetta ove si utilizzi una parola-chiave diversa dal nome dell'interessato. Pertanto le notizie sono ugualmente raggiungibili basta cercare per tematiche e non per soggetti. La posizione di Google. Il motore di ricerca sostiene che la tolleranza del provvedimento francese significherebbe aprire la porta alla progressiva erosione del libero accesso all'informazione on line e alla censura del web. Google si fa paladino” della garanzia dell'interesse pubblico al libero accesso all'informazione e dell'applicazione di uno dei principi-cardine del diritto internazionale ovvero che gli Stati sono indipendenti e sovrani. Google sostiene che con la deindicizzazione e il blocco geografico ha trovato un giusto compromesso tra diritto all'oblio e libertà di espressione/informazione in ossequio alla CGUE Costeja 13.05.2014. Google osserva anche che come si è prestata ad applicare le regole dell'Unione si presta anche a rispettare le regole di tutti gli altri Stati del mondo che fruiscono del servizio di ricerca. Di conseguenza estendere a tutti i Paesi l'interpretazione francese del diritto all'oblio costituirebbe violazione del principio-cardine di diritto internazionale secondo cui tutti gli Stati sono indipendenti e sovrani. Viene specificato che ove si rispettasse l'ordine della CNIL di eseguire l'oblio planetario si produrrebbe l'effetto di rimuovere i link dall'Australia google.com.au allo Zambia google.co.zm e da tutti i domini che ci sono nel mezzo, incluso google.com - anche se il contenuto potrebbe essere perfettamente legale in quei paesi. La pronunzia della CGUE 24.09.2019 e l'inammissibilità dell'oblio planetario. La Corte di Giustizia non ha sposato ne' la posizione di Google ne' quella della CNIL in quanto vincolata dalla formulazione delle questioni a valutare la materia dell'oblio unicamente sotto il profilo normativo inerente all'estensione territoriale di tale diritto. In realtà questa pronunzia aspettata con grande pathos da tutti gli addetti ai lavori non poteva avere la portata politico-giudiziaria sperata a causa della svilente formulazione delle questioni presentate. Probabilmente la vera politica giudiziaria della Corte si manifesterà nella sentenza attesa per la fine anno sul caso Schrems/Facebook. Le tre questioni sottoposte alla CGUE dal Consiglio di Stato francese 1 se il diritto alla deindicizzazione dev'essere applicato a tutti i domini di Google e quindi anche al di fuori dell’ambito di applicazione territoriale della direttiva 95/46 oblio planetario 2 in caso di risposta negativa al punto 1 , se il diritto alla deindicizzazione dev'essere applicato soltanto ai domini europei di Google 3 se il diritto alla deindicizzazione debba essere praticato mediante la tecnica del blocco geografico sul dominio dello Stato di appartenenza del beneficiario del no-index oppure su qualsiasi dominio europeo da cui parta la domanda di ricerca. Questione numero 1. La Corte risponde negativamente alla questione numero 1, non perché ritenga in assoluto inammissibile applicare il diritto all'oblio a livello planetario ma perché il legislatore europeo non si è spinto a stabilire la portata territoriale di tale diritto 57. In un mondo globalizzato l’accesso da parte degli utenti di Internet, in particolare quelli localizzati al di fuori dell’Unione, all’indicizzazione di un link, che rinvia a informazioni concernenti una persona il cui centro di interessi si trova nell’Unione, può quindi produrre effetti immediati e sostanziali sulla persona in questione anche all’interno dell’Unione. 58. Tali considerazioni sono atte a giustificare l’esistenza di una competenza del legislatore dell’Unione a prevedere un obbligo, per il gestore di un motore di ricerca, di procedere, quando accoglie una richiesta di deindicizzazione formulata da una persona siffatta, alla deindicizzazione su tutte le versioni del suo motore di ricerca. 59. Occorre, tuttavia, sottolineare che molti Stati terzi non riconoscono il diritto alla deindicizzazione o comunque adottano un approccio diverso per tale diritto. 60. Inoltre, il diritto alla protezione dei dati personali non è una prerogativa assoluta, ma va considerato alla luce della sua funzione sociale e va contemperato con altri diritti fondamentali, in ossequio al principio di proporzionalità [v., in tal senso, sentenza del 9 novembre 2010, Volker und Markus Schecke e Eifert, -92/09 e -93/09, EU C 2010 662, punto 48, nonché parere 1/15 Accordo PNR UE-Canada , del 26 luglio 2017, EU C 2017 592, punto 136]. A ciò si aggiunge che l’equilibrio tra il diritto al rispetto della vita privata e alla protezione dei dati personali, da un lato, e la libertà di informazione degli utenti di Internet, dall’altro, può variare notevolmente nel mondo. 61. Orbene, pur se il legislatore dell’Unione, nell’articolo 17, paragrafo 3, lettera a , del regolamento 2016/679, ha effettuato un bilanciamento tra tale diritto e tale libertà per quanto concerne l’Unione [v., in tal senso, sentenza in data odierna, GC e a. Deindicizzazione dei dati sensibili , -136/17, punto 59], si deve necessariamente constatare che, d’altro lato, esso non ha, allo stato attuale, proceduto a tale bilanciamento per quanto riguarda la portata di una deindicizzazione al di fuori dell’Unione. 62. In particolare, dal tenore letterale delle disposizioni dell’articolo 12, lettera b , e dell’articolo 14, primo comma, lettera a , della direttiva 95/46 o dell’articolo 17 del regolamento 2016/679 non risulta affatto che il legislatore dell’Unione abbia scelto, al fine di garantire la realizzazione dell’obiettivo menzionato al punto 54 della presente sentenza, di attribuire ai diritti sanciti da tali disposizioni una portata che vada oltre il territorio degli Stati membri e che abbia inteso imporre a un operatore che, come Google, rientra nell’ambito di applicazione della direttiva o del regolamento suddetti, un obbligo di deindicizzazione riguardante anche le versioni nazionali del suo motore di ricerca che non corrispondono agli Stati membri. 63. Inoltre, mentre il regolamento 2016/679 fornisce, agli articoli 56 e da 60 a 66, alle autorità di controllo degli Stati membri gli strumenti e i meccanismi che consentono loro, se del caso, di cooperare per raggiungere una decisione comune basata su un bilanciamento tra, da un lato, il diritto alla tutela della vita privata dell’interessato e la protezione dei dati personali che lo riguardano e, dall’altro, l’interesse del pubblico di diversi Stati membri ad avere accesso alle informazioni, si deve necessariamente rilevare che il diritto dell’Unione non prevede attualmente strumenti e meccanismi di cooperazione siffatti per quanto riguarda la portata di una deindicizzazione al di fuori dell’Unione. 64. Ne consegue che, allo stato attuale, non sussiste, per il gestore di un motore di ricerca che accoglie una richiesta di deindicizzazione presentata dall’interessato, eventualmente, a seguito di un’ingiunzione di un’autorità di controllo o di un’autorità giudiziaria di uno Stato membro, un obbligo, derivante dal diritto dell’Unione, di effettuare tale deindicizzazione su tutte le versioni del suo motore. 65. Alla luce di tutte le suesposte considerazioni, il gestore di un motore di ricerca non può essere tenuto, ai sensi dell’articolo 12, lettera b e dell’articolo 14, primo comma, lettera a , della direttiva 95/46 e dell’articolo 17, paragrafo 1, del regolamento 2016/679, a procedere ad una deindicizzazione in tutte le versioni del suo motore . Questione numero 2. Rigettando la questione numero 1, conseguentemente la Corte accoglie la questione numero 2 ammettendo l'esecuzione del no-index su tutti i domini europei del motore di ricerca basandosi sull'efficacia del GDPR 2016/679 direttamente esecutivo in tutti gli Stati membri numero 66 direttamente applicabile in tutti gli Stati membri, e ciò, come sottolineato dal considerando 10 del regolamento 2016/679, al fine di assicurare un livello coerente ed elevato di protezione in tutta l’Unione e di rimuovere gli ostacoli alla circolazione dei dati all’interno della stessa risulta che si ritiene che la deindicizzazione in questione sia da effettuare, in linea di principio, per tutti gli Stati membri . Tuttavia la Corte opera un distinguo sull'applicazione automatica a tutta l'Europa del no-index riservando a ciascuno Stato membro la facoltà di verificare caso per caso sulla scorta del bilanciamento tra privacy e interesse pubblico all'informazione 67. È tuttavia importante rilevare che l’interesse del pubblico ad accedere alle informazioni può, anche all’interno dell’Unione, variare da uno Stato membro all’altro, cosicché il risultato del bilanciamento da realizzare tra tale interesse, da un lato, e i diritti alla tutela della vita privata e alla protezione dei dati personali dell’interessato, dall’altro, non è necessariamente identico per tutti gli Stati membri, tanto più che, ai sensi dell’articolo 9 della direttiva 95/46 e dell’articolo 85 del regolamento 2016/679, spetta agli Stati membri prevedere, in particolare per il trattamento a fini esclusivamente giornalistici o di espressione artistica o letteraria, le esenzioni e le deroghe necessarie per conciliare tali diritti con, in particolare, la libertà di informazione . Questione numero 3. In merito alla questione numero 3 sull'applicazione della tecnica del blocco geografico la Corte non si pronunzia e rinvia la scelta del mezzo tecnico di attuazione del no-index al prudente apprezzamento del giudice e al livello di accountability del motore di ricerca numero 70. È compito, inoltre, del gestore del motore di ricerca adottare, se necessario, misure sufficientemente efficaci per garantire una tutela effettiva dei diritti fondamentali della persona interessata. Tali misure devono soddisfare tutte le esigenze giuridiche e avere l’effetto di impedire agli utenti di Internet negli Stati membri di avere accesso ai link in questione a partire da una ricerca effettuata sulla base del nome di tale persona o, perlomeno, di scoraggiare seriamente tali utenti v., per analogia, sentenze del 27 marzo 2014, VUPC Telekabel Wien, -314/12, EU C 2014 192, punto 62 e del 15 settembre 2016, Mc Fadden, -484/14, EU C 2016 689, punto 96 . 71. Spetta al giudice del rinvio verificare se, alla luce anche delle recenti modifiche apportate al suo motore di ricerca, menzionate al punto 42 della presente sentenza, le misure adottate o proposte da Google soddisfino tali esigenze . Infine, la Corte lascia aperta una soluzione alternativa in merito alla tematica trattata perché in definitiva l'applicazione o meno del diritto all'oblio planetario dev'essere verificata caso per caso. Pertanto si potrebbe intendere che la causa CNIL/Google sia soltanto uno dei tanti casi in tema di diritto all'oblio trattati dalla Corte e quindi l'attuale decisione non preclude che la stessa Corte possa pronunziarsi in modo opposto in un altro caso ammettendo il diritto all'oblio planetario numero 72. Occorre infine sottolineare che il diritto dell’Unione, pur se – come rilevato al punto 64 della presente sentenza – non impone, allo stato attuale, che la deindicizzazione accolta verta su tutte le versioni del motore di ricerca in questione, neppure lo vieta. Pertanto, un’autorità di controllo o un’autorità giudiziaria di uno Stato membro resta competente ad effettuare, conformemente agli standard nazionali di protezione dei diritti fondamentali v., in tal senso, sentenze del 26 febbraio 2013, Åkerberg Fransson, -617/10, EU C 2013 105, punto 29, e del 26 febbraio 2013, Melloni, -399/11, EU C 2013 107, punto 60 , un bilanciamento tra, da un lato, il diritto della persona interessata alla tutela della sua vita privata e alla protezione dei suoi dati personali e, dall’altro, il diritto alla libertà d’informazione e, al termine di tale bilanciamento, richiedere, se del caso, al gestore di tale motore di ricerca di effettuare una deindicizzazione su tutte le versioni di suddetto motore . La politica giudiziaria della Corte di Giustizia e il caso Schrems/Facebook. L'occasione per verificare la politica giudiziaria della Corte sul rapporto tra privacy europea e legge della piattaforma si individua nel caso Schrems/Facebook che in passato condusse al cambiamento della disciplina privacy dei flussi informativi transfrontalieri UE-USA e alla sostituzione del Safe Harbor con l'attuale Privacy Shield. Dopo questo cambiamento i flussi transfrontalieri vengono eseguiti tramite un protocollo normativo che si chiama Standard Contractual Clauses. Tuttavia secondo Scrhems anche questo protocollo non sarebbe sicuro e così ha chiesto al Garante Privacy Irlandese il blocco del passaggio dei dati degli europei agli USA. L'Authority ha rimesso la questione alla CGUE che dovrà pronunciarsi su quanto di seguito se in base l’articolo 4 del Standard Contractual Clauses e dell’articolo 28 della direttiva europea sulla privacy, l’Authority irlandese può esercitare il potere di bloccare il trasferimento dei dati degli utenti europei di Facebook nei server della società negli Usa . Ove la CGUE rispondesse in senso positivo verrebbe automaticamente superato il problema di estendere a livello planetario il diritto all'oblio perché verrebbe addirittura richiesto il blocco del trasferimento dati dalla UE agli USA. Così tutto il traffico informativo dovrebbe svolgersi unicamente su server allocati in Europa con buona pace del business sui dati attualmente in corso e sullo spionaggio americano sui flussi informativi europei.