Bowling for Columbine. La Corte di giustizia sul caso Google Spain: l'oblio (quasi) prima di tutto?

| 13 maggio 2014

*Oreste Pollicino – Of Counsel, Portolano Cavallo Studio Legale – Docente di diritto dei media, Università Bocconi e Marco Bassini – Avvocato, Università degli Studi di Verona

In uno dei nostri ultimi interventi su questo portale ci eravamo soffermati sulle conclusioni consegnate dall'Avvocato generale nella causa C-131/12 pendente davanti alla Corte di giustizia (Google Spain). Al centro della causa, la possibilità per un motore di ricerca (Google, nella fattispecie) di essere obbligato a rimuovere dai propri risultati i collegamenti a quei siti che fossero ritenuti dagli interessati lesivi del loro "diritto all'oblio", vale a dire della pretesa a ottenere la cancellazione dei contenuti delle pagine web ritenuti offrire una rappresentazione non più attuale della propria persona. Il tutto senza il necessario coinvolgimento dei proprietari dei siti Internet sui quali i dati personali o le informazioni erano collocate.
Più precisamente, in termini strettamente giuridici le questioni (tra le altre) su cui la Corte di giustizia era stata chiamata a rispondere erano le seguenti:
-il motore di ricerca, nell'indicizzare il contenuto di pagine web gestite da terzi e nel rielaborarlo offrendo risultati di ricerca secondo un ordine preferenziale, svolge un trattamento di dati personali ai sensi della Direttiva 95/46, art. 2, lett. b)?
-il motore di ricerca opera come "responsabile del trattamento" dei dati personali (ai sensi dell'art. 2, lett. d) della Direttiva) contenuti nelle pagine web soggette a indicizzazione e comprese tra i risultati generati dalle ricerche effettuate dagli utenti?
-le norme contenute negli artt. 12, lett. b) e 14, c. 1, lett. a), relative al diritto degli interessati di opporsi al trattamento di dati personali o di ottenerne la cancellazione o la rettifica, fondano una pretesa dell'interessato a ottenere dal motore di ricerca l'esclusione dai risultati delle ricerche dei link a pagine web contenenti dati personali, senza che ciò comporti alcun intervento sul sito Internet "fonte"?
Dove eravamo rimasti, per l'appunto. L'Avvocato generale Jääskinen, nelle proprie conclusioni, rassegnate nel giugno dello scorso anno, aveva dato una risposta che era parsa sufficientemente equilibrata nel contemperare gli interessi in gioco, seppure non del tutto immune da rilievi critici.
In sintesi, l'Avvocato generale aveva ritenuto che l'attività compiuta da un motore di ricerca dovesse qualificarsi alla stregua di un trattamento di dati personali, così come tale concetto è inteso dalla Direttiva. A poco rilevava, infatti, secondo l'Avvocato generale, che l'attività di indicizzazione, memorizzazione e visualizzazione delle informazioni contenute su siti sorgente avvenisse in modo del tutto irrilevante rispetto ai contenuti e senza alcuna interazione che non sia puramente automatica.
Esito negativo riscontrava però la seconda domanda posta alla Corte di giustizia, laddove l'Avvocato generale precisava che, pur compiendo un "trattamento di dati personali", il gestore di un motore di ricerca non potesse essere considerato come "titolare del trattamento", cioè colui il quale, secondo la Direttiva, "determina le finalità e gli strumenti del trattamento". Tale condizione, ad avviso di Jääskinen, non era da ravvisarsi nel caso del motore di ricerca: perché possa parlarsi di un "responsabile del trattamento", infatti, è necessario che questi sia consapevole dell'esistenza di determinate tipologie di informazioni che costituiscono dati personali e che ne effettua il trattamento con un obiettivo che è strettamente connesso alla loro natura di dati personali. Il motore di ricerca, invece, compie un'attività meccanica di indicizzazione di informazioni e pur sapendo che tra di esse rientrano senz'altro dati personali, non è in condizione di discernere questi dati in quanto tali fra i contenuti indicizzati.
Solo in alcuni casi, secondo l'Avvocato generale, è possibile ritenere che il motore di ricerca rivesta la posizione di "responsabile del trattamento", detenendo una specifica consapevolezza circa l'esistenza di dati personali: per esempio, quando il proprietario della pagina web si adoperi tecnicamente per escludere dall'indicizzazione alcuni contenuti ovvero quando formuli una richiesta di modifica del contenuto della memoria cache del provider. In questi casi, agendo come "responsabile del trattamento", il gestore del motore di ricerca non potrà sottrarsi agli obblighi contemplati dalla Direttiva e dar corso alle eventuali richieste di rimozione.
Questo impianto, senz'altro perfettibile, ma tendenzialmente rispettoso sia del modello di business degli operatori che gestiscono motori di ricerca, sia del necessario bilanciamento tra diritti della personalità e esigenze di reperimento delle informazioni, è stato radicalmente stravolto dalla pronuncia odierna della Corte di giustizia. Una sentenza che, sorprendentemente e non senza porre motivi di allarme, sovverte in larga parte gli argomenti impiegati dall'Avvocato generale.
Ricapitoliamo gli argomenti.
Primo: la qualificazione dell'attività del motore di ricerca come trattamento di dati personali. Sul punto, l'Opinion di Jääskinen e la sentenza della Corte convergono: si tratta pacificamente di trattamento. Così come effettua un trattamento di dati personali chi quei dati pubblica sul proprio sito, parimenti lo effettua chi quei dati assoggetta a indicizzazione e organizza come risultati di ricerca.
I punti di convergenza si arrestano qui, però.
Infatti, afferma la Corte, il gestore del motore di ricerca determina finalità e strumenti del trattamento e come tale deve ricondursi alla nozione di "responsabile del trattamento". Opinabile però è il percorso tramite il quale la Corte addiviene a questa conclusione. Essa afferma, anzitutto, che ritenere in senso opposto sarebbe contrario non solo al tenore della disposizione (che invero appare tutto tranne che di agevole interpretazione) ma anche alla sua finalità, cioè quella di fornire una nozione sufficientemente ampia di "responsabile" in modo da garantire una tutela efficace e completa degli interessati. Qui l'architettura del ragionamento della Corte appare più che mai fragile: un'evidente excusatio non petita, la Corte cerca di recuperare un'ampia definizione di "responsabile" dietro una giustificazione, quella di assicurare ampia tutela degli interessati, inconferente. Questo inquadramento trascura che alla posizione di "responsabile del trattamento", infatti, si collegano gli obblighi che a detta figura fanno capo in base alla Direttiva, e che rischiano, se applicati al gestore di un motore di ricerca, di snaturare profondamente il modello di business di questi operatori.
Oltretutto la Corte non chiarisce un aspetto dirimente: per quale fine il responsabile del trattamento stabilisce finalità e strumenti? Se, come la Corte sostiene, tanto è trattamento quello di chi pubblica dati sulle proprie pagine web quanto lo è quello di chi le indicizza e le riformula in risultati di ricerca, verrebbe da chiedersi allora se anche il gestore del motore di ricerca, estremizzando (ma non troppo) il ragionamento, non debba ottenere il consenso degli interessati.
E poi la Corte smentisce in toto l'Avvocato generale, argomentando che il mancato utilizzo da parte dei proprietari delle pagine web di codici di esclusione volti a evitare l'indicizzazione dei relativi contenuti non priva i gestori dei motori di ricerca della loro natura di responsabili del trattamento per le operazioni rientranti nell'ambito di loro attività: anche in questo caso, infatti, finalità e strumenti del trattamento sono determinati dal motore di ricerca.
Su questo sfondo si stagliano le ulteriori conclusioni raggiunte dalla Corte di giustizia, che segnano una ancor più profonda distanza dagli argomenti utilizzati dall'Avvocato generale.
La Corte, infatti, esamina se i diritti conferiti agli interessati dalla Direttiva agli artt. 12, lett. b) e 14, c. 1, lett. b) conferiscano a questi ultimi la possibilità di ottenere dal motore di ricerca la rimozione dai risultati dei collegamenti a pagine web ove siano presenti dati personali, ancorché senza alcuna modifica del sito Internet interessato e senza che la pubblicazione abbia di per sé carattere illecito. Qui viene in gioco in modo diretto l'equilibrio tra, da un lato, la libertà di espressione dei gestori di siti Internet, e, dall'altro, il diritto degli interessati alla tutela dei propri dati personali.
Eppure, la Corte forza nuovamente il dato normativo per piegarlo a esigenze di tutela.
A riguardo dell'art. 12, lett. b), la Corte ricorda che l'interessato ha diritto di ottenere la cancellazione, la rettifica o il congelamento dei dati, ove il loro trattamento non sia conforme ai principi della Direttiva, "in particolare a causa del carattere inesatto e incompleto dei dati". La Corte interpreta quest'ultimo inciso a titolo esemplificativo e non esclusivo, così ponendo le basi perché qualsiasi difformità nel trattamento dalle norme della Direttiva attribuisca all'interessato il diritto di attivarsi come previsto dalla disposizione. Così operando, la sentenza finisce per allargare le maglie della previsione, snaturando il senso del diritto di ottenere la rettifica o la cancellazione dei dati personali, attraverso un richiamo generalista alle ipotesi di cui agli artt. 6 e 7 della Direttiva.
Ma al riguardo si impone di ricordare che una cosa è un trattamento illecito di dati personali, rispetto al quale i rimedi sono contemplati dalla Direttiva, altra è il trattamento senz'altro lecito di dati che l'interessato manifesti l'interesse a non vedere più diffusi in modo incondizionato, che corrisponde specificamente al diritto all'oblio. I due piani paiono confondersi nell'esame della Corte.
Così come è parimenti forzata la lettura che la Corte di giustizia propone del diritto di opposizione ex art. 14, c. 1, lett. b) della Direttiva: l'interessato può opporsi in qualsiasi momento al trattamento, per motivi preminenti e legittimi derivanti dalla sua situazione particolare. Anche qui la Corte impropriamente allarga il campo dell'eccezione a detrimento del significato genuino della disposizione: secondo i giudici di Lussemburgo, questa previsione consente agli interessati di far valere tutte le "circostanze caratterizzanti la loro situazione concreta".
Così argomentando, la Corte giunge a sostenere che gli artt. 12, lett. b) e 14, c. 1, lett. b) consentono agli interessati di esercitare i loro diritti davanti al responsabile del trattamento (i.e. il gestore del motore di ricerca) e di adire, ove d'uopo, l'autorità amministrativa o giudiziaria per ottenere le misure necessarie.
La Corte, tuttavia, realizza l'importanza dei valori in gioco e, forse consapevole degli esiti cui una lettura così favorevole agli interessati potrebbe condurre, cerca di ricalibrare la propria posizione: l'attività dei motori di ricerca è senz'altro fortemente invasiva dei diritti della persona, e in particolare del diritto alla vita privata e ai dati personali, e una siffatta incidenza non può trovare giustificazione nell'importanza degli interessi economici sottesi al business degli operatori. Ma, d'altro canto, la Corte rende conto del fatto che limitare la reperibilità dei risultati delle ricerche, in nome della tutela dei diritti della persona, potrebbe altresì risultare di detrimento al legittimo interesse degli utenti a reperire informazioni online. Occorre allora, a seconda dei casi, considerare anche la natura delle informazioni e operare un bilanciamento sensibile agli specifici interessi in gioco (per esempio, quando si tratti di informazioni che riguardano una persona che riveste un ruolo significativo nella vita pubblica).
Ne deriva che l'interessato può esigere dal gestore del motore di ricerca la rimozione di alcuni link, anche quando nessun ordine di rimozione sia stato formulato nei confronti del proprietario del sito, il quale, per esempio, potrebbe continuare a dare legittimamente diffusione ai dati personali per scopi giornalistici.
Il ragionamento della Corte sconta fino a questo punto il limite di ricondurre l'intero quadro entro l'alveo della Direttiva 95/46 e al suo sistema di regole ed eccezioni. Solo in ultima battuta la Corte di giustizia esamina il vero cuore della questione, vale a dire se la rimozione dei collegamenti a pagine web dai risultati delle ricerche posa essere ottenuta allorché i dati personali ivi contenuti abbiano formato oggetto di oblio.
Ancora una volta, però la Corte sembra scorgere nella Direttiva le fondamenta per pretendere dai motori di ricerca la rimozione di alcuni risultati: il ragionamento, infatti, si rifà al disposto dell'art. 12, lett. b), che –come già illustrato- consente all'interessato di reagire ove il trattamento risulti incompatibile con i principi posti dalla Direttiva. Tale incompatibilità, secondo i giudici di Lussemburgo, può essere anche "derivata", vale a dire discendere da un trattamento originariamente lecito e compatibile e non più tale per effetto del decorso del tempo: ciò può accadere, segnatamente, quando i dati risultino inadeguati, non siano più pertinenti, eccessivi rispetto alle finalità del trattamento e al tempo trascorso.
Si coglie fra le righe il tentativo della Corte di ancorare ai precetti della Direttiva la tutela del diritto all'oblio, benché formalmente inespressa. In altri termini, la Corte rifiuta di accogliere l'impostazione per cui di diritto all'oblio possa parlarsi solo in caso di trattamento lecito di dati personali, riconducendo tale ambito a quello del trattamento "divenuto" illecito per effetto del decorso di tempo. Certamente un punto opinabile.
Così determinandosi, però, la Corte conclude con il riconoscere che senz'altro, anche in base agli artt. 7 e 8 della Carta dei diritti fondamentali dell'Unione europea, gli interessati hanno diritto di ottenere l'eliminazione dai motori di ricerca di alcuni risultati: tali diritti, dice chiaramente la Corte di Lussemburgo, prevalgono senz'altro sugli interessi economici degli operatori, ma altresì sull'interesse pubblico al reperimento di informazioni su determinate persone. A meno che, osserva la Corte, l'intrusione nei diritti fondamentali dell'interessato che si realizza conservando online i risultati delle ricerche sia giustificata dal preponderante interesse pubblico a conservare l'accesso a tali informazioni.
Si evoca così, dopo un elaborato percorso logico che individua il fondamento alla pretesa all'oblio nei principi della Direttiva, una valutazione caso per caso, che ponderi gli interessi in gioco. Tanto rumore, allora, per nulla?
Tant'è che nel caso di specie è proprio una valutazione rispettosa delle peculiarità della vicenda (in particolare, la perdurante diffusione dei dati da circa 16 anni e il coinvolgimento di dati sensibili) a far suggerire alla Corte che la rimozione dei collegamenti possa operare senza pregiudicare alcun interesse preponderante della collettività.
Il rinvio a questo tipo di giudizio casistico, che pare comunque condivisibile, tuttavia, appare come un esito piuttosto timido rispetto alle ben più muscolari premesse elaborate dalla Corte nella qualificazione dei motori di ricerca e dell'attività da loro svolta. Premesse che, come già illustrato, potrebbero condurre a uno snaturamento del modello di business degli operatori, forse in controtendenza con l'impostazione stessa della Direttiva 2000/31, che disciplina il ruolo dei fornitori di servizi, e in definitiva con l'imprinting comunitario sotteso alla materia.
Probabilmente allo stesso risultato finale, apparentemente rispettoso dell'equilibrio tra i valori in gioco, si sarebbe forse potuti addivenire attraverso argomenti meno problematici e destinati a creare –c'è da scommetterci- implicazioni di grande criticità sotto più versanti.