Il Ruolo della Deindicizzazione nel Diritto all’Oblio su Google

Attraverso l’operazione di deindicizzazione, in relazione ai motori di ricerca, è possibile vedere riconosciuto il diritto all’oblio. Si definisce deindicizzazione quell’ “operazione sostanzialmente differente dalla rimozione/cancellazione di un contenuto”. Quest’ultimo, infatti, non viene eliminato, ma la deindicizzazione “lo rende non direttamente accessibile tramite motori di ricerca esterni all’archivio in cui quel contenuto si trova”. A tal proposito, è possibile far riferimento alla sentenza della Corte di giustizia del 2014, dove fu dibattuto il caso Google e Google Spain nei confronti di Costeja. Al termine del dibattimento, la Corte aveva stabilito il ricorrente avrebbe potuto avanzare una richiesta al fornitore di un motore di ricerca online perché fossero cancellati uno o più collegamenti a pagine web dall’elenco dei risultati ottenuti in seguito ad una ricerca, effettuata digitando il suo nome. Del resto, questo diritto sarà poi contenuto e ribadito all’interno dell’articolo 17 del Regolamento europeo sulla protezione dei dati, entrato in vigore nel 2016 e conosciuto anche con la sigla di GDPR. Un ulteriore passo in avanti sulla questione della deindicizzazione è stato compiuto nel settembre del 2019, anche questa volta nel corso di un procedimento, che ha visto Google contro  a Commission nationale de l’informatique et des libertés (CNIL). In questo caso, la Corte ha definito lo scopo territoriale del diritto alla deindicizzazione, sottolineando quale sia l’interpretazione più adeguata dell’articolo 17 del GDPR, affermando che “il gestore di un motore di ricerca, quando accoglie una domanda di deindicizzazione in applicazione delle suddette disposizioni, è tenuto ad effettuare tale deindicizzazione non in tutte le versioni del suo motore di ricerca, ma nelle versioni di tale motore corrispondenti a tutti gli Stati membri”. Inoltre, ancora la Corte ha aggiunto che la procedura va effettuata “se necessario, in combinazione con misure che, tenendo nel contempo conto delle prescrizioni di legge, permettono effettivamente di impedire agli utenti di Internet, che effettuano una ricerca sulla base del nome dell’interessato a partire da uno degli Stati membri, di avere accesso, attraverso l’elenco dei risultati visualizzato in seguito a tale ricerca, ai link oggetto di tale domanda, o quantomeno di scoraggiare seriamente tali utenti”.

Queste sentenze della Corte di Lussemburgo hanno spinto il Comitato Europeo per la Protezione dei Dati (EPDB) a stilare i nuovi principi che guidano il diritto all’oblio, in relazione ai motori di ricerca. Nel dicembre 2019 è stata redatta la prima versione, che è precedente rispetto alla consultazione pubblica. Questa, invece, si è conclusa nel febbraio 2020 e la seconda versione delle linee guida è stata pubblicata il 7 luglio 2020. Le Linee guida 5/2019 sui criteri del diritto all’oblio nei casi riguardanti i motori di ricerca contengono i motivi per i quali l’utente può effettuare la richiesta di deindicizzazione, oltre che  tutte le eccezioni legate all’esercizio di questo diritto.

In particolare, è l’articolo 17 del GDPR ad elencare i sei casi per cui l’interessato può avere il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali. I principi dettati dall’EDPB presentano un’analisi di questi principi giuridici, sottolineando che l’utente potrebbe avanzare una richiesta di deindicizzazione a un motore di ricerca basandosi su più basi giuridiche in contemporanea. L’EDPB, poi, indica come dovrà comportarsi, un’Autorità garante qualora si trovasse a dover decidere in merito a un reclamo che riguardasse il rifiuto da parte di un motore di ricerca a deindicizzare il dato personale dell’utente. In questo caso, l’analisi dell’Autorità dovrebbe considerare il carattere del contenuto pubblicato sul sito che si desidera deindicizzare. In conformità all’articolo 17, par. 1, lettera a) del GDPR, l’interessato potrà avanzare una richiesta di rimozione dei contenuti presso il fornitore di un motore ricerca se i dati personali ancora pubblici non sono più necessari in relazione alle finalità del trattamento da parte del motore di ricerca. Grazie a questa particolare disposizione, l’utente potrà richiedere la cancellazione dall’elenco delle informazioni personali che lo riguardano, se questi dati risultano sbagliati o non aggiornati a causa del trascorrere del tempo. In questo caso, però, il comitato afferma che diventa necessario svolgere un’analisi e valutare il giusto bilanciamento tra la tutela della privacy dell’utente e gli interessi degli utenti ad accedere alle informazioni. L’analisi, poi, dovrà considerare il periodo di conservazione dei dati, al fine di comprendere se queste informazioni sono ormai superate. Inoltre, l’utente potrebbe revocare il consenso, se venissero a mancare le ragioni fondamentali del trattamento. I principi guida elencati dall’EPDB evidenziano, però, come sia improbabile l’eventualità che un utente faccia richiesta di cancellazione dall’elenco al fine di  revocare il consenso. E questo, soprattutto perché il responsabile del trattamento che indicizza i dati è l’editore e non l’operatore del motore di ricerca.

Sempre tra i principi guida redatti dall’EPDB, dunque, si afferma che, qualora l’utente revocasse il proprio consenso per l’uso dei propri dati all’interno di una pagina in un sito web, l’editore originale della pagina dovrebbe comunicarlo ai fornitori di motori di ricerca e che, a loro volta, avevano indicizzato i dati, secondo quanto previsto dall’articolo 17, paragrafo 2, del GDPR. In seguito, allora, l’interessato potrebbe ottenere la cancellazione dall’elenco dei risultati del motore di ricerca, in conformità a quanto contenuto nell’articolo 17, paragrafo 1, lettera c). Proprio quest’ultima disposizione consente all’utente di dichiararsi contrario al trattamento dei dati, adducendo quale motivazione le ragioni relative alla sua situazione particolare, potendo peraltro far riferimento all’articolo 21 GDPR. Tuttavia, l’articolo 21 ha modificato l’onere della prova, prevedendo una presunzione a favore dell’interessato; invece,  il titolare del trattamento è obbligato a dimostrare i “motivi legittimi cogenti per procedere al trattamento”. In questo modo, il fornitore di motori di ricerca che riceve una richiesta di eliminazione dall’elenco in relazione alla situazione specifica di un utente dovrà cancellare i dati personali, secondo quanto previsto dall’articolo 17.1.c del GDPR. La situazione potrà essere diversa se si concretizzano “motivi legittimi prevalenti” per l’inserimento nell’elenco del risultato di ricerca specifico. Tuttavia, dovrà trattarsi di “motivi legittimi convincenti (…) che prevalgono sugli interessi, i diritti e le libertà dell’interessato”, sempre in conformità con quanto descritto all’interno dell’articolo 21. I criteri contenuti dal Gruppo di lavoro ex articolo 29 all’interno delle linee guida riguardanti la sentenza Google Spain agevolano nell’azione di bilanciamento degli interessi tra quelli che appartengono all’utente e quelli che, invece, appartengono al titolare. A tal proposito, allora, sarà necessario osservare con attenzione la situazione dell’interessato. Tuttavia, nessuno di questi criteri dovrà essere analizzato dall’Autorità garante se il titolare non porta a dimostrazione nessuna prova a di motivi legittimi prevalenti per rifiutare la richiesta di deindicizzazione.

Un’altra occasione in cui l’interessato può fare richiesta di deindicizzazione è rappresentata dall’eventualità in cui i dati siano stati trattati in modo illegale, come ricorda sempre l’EPBD. Il concetto di trattamento illecito merita un’interpretazione vasta, ma oggettiva. Pertanto, se da un lato il trattamento lecito fa riferimento alle basi del trattamento, previste all’interno dell’articolo 6 GDPR, il trattamento sarà illegale e la deindicizzazione richiesta anche in caso di violazione di una disposizione legale diversa dal GDPR. Inoltre, la rimozione dei dati personali può essere avanzata se, in conformità all’articolo 17, par. 1, lettera e) del GDPR, si concretizza la necessità di ottemperare ad un obbligo legale previsto dal diritto dell’Unione o dello Stato membro, a cui è il titolare del trattamento è sottoposto. Infine, un utente può avanzare richiesta di rimozione di uno o più risultati legati ai suoi dati personali se questi sono stati raccolti in relazione all’offerta di Servizi della Società dell’Informazione (ISS) a un minore, secondo quanto previsto dall’articolo 8.1 del GDPR. Il regolamento non fornisce una precisa definizione di Servizi della Società dell’Informazione, seppur l’’EDPB evidenzia che è probabile che le attività dei motori di ricerca rientrino nel settore di competenza di una ISS. In questo caso, sarà necessario tenere in considerazione il contesto della raccolta di dati personali da parte del responsabile del trattamento originale, con una particolare attenzione nei confronti della data di inizio del trattamento da parte del sito su cui si trova la notizia originale – e così via per cancellare notizie da Google, eliminare il proprio nome dai motori di ricerca, togliere pagine web contenenti notizie obsolete, rimuovere risultati di ricerca Google, tutte richieste di cancellazioni Google ai sensi delle leggi sulle privacy europee.

Tuttavia, sarà opportuno rilevare la presenza di alcune eccezioni in relazione alla questione del trattamento e alla cancellazione dei contenuti personali da un sito web. La prima afferisce all’eventualità in cui il trattamento diventi stringente e necessario per rendere concreto il diritto alla libertà di espressione e di informazione. In questo caso, allora è lecito rifiutare la rimozione di un qualsiasi contenuto, purché però il motore di ricerca riesca a dimostrare che la sua presenza nell’elenco dei risultati sia realmente necessaria per tutelare la libertà di informazione di tutti gli utenti del Web. La seconda eccezione fa riferimento a tutte quelle situazioni in cui il trattamento diventa necessario per ottemperare ad un obbligo legale, a cui il titolare del trattamento è sottoposto. I principi stabiliti dall’EPBD, però, evidenziano come la valutazione della richiesta di cancellazione non deve presumere che l’obbligo legale di pubblicazione implichi necessariamente che non sia possibile accettare la richiesta di cancellazione da parte del motore di ricerca. Qualora si concretizzi questa situazione, la decisione sulla richiesta di cancellazione dovrebbe rispettare il giusto equilibrio tra i diritti dell’utente e l’interesse degli utilizzatori del web ad avere accesso alle informazioni. La terza e la quarta eccezione che autorizzano a non procedere alla cancellazione dei dati personali da un sito web fanno riferimento a situazioni particolari.

DIRITTO ALL’OBLIO E GDPR PER CANCELLARE NOTIZIE DA GOOGLE. QUALI LE FINALITA’ DEL TRATTAMENTO?

Essi afferiscono a notizie che toccano le sfere dell’interesse pubblico nel settore della sanità pubblica e gli scopi di archiviazione nel pubblico interesse, di ricerca scientifica o storica o scopi statistici, nella misura in cui ciò potrebbe rendere impossibile o compromettere gravemente il raggiungimento degli obiettivi di tale trattamento. Secondo quanto riportato dall’EDPB, la cancellazione deve comportare unicamente l’eliminazione di alcuni contenuti dalla pagina dei risultati; questo si otterrà quando si procederà con l’eliminazione di un nome come criterio di ricerca,. Infatti, non saranno le informazioni ad essere completamente cancellate dall’indice dei motori di ricerca. Inoltre, le finalità devono essere oggettivamente ricercate dal motore di ricerca, senza che ci sia un obbligo di un collegamento tra il nome dell’interessato e i risultati della ricerca. L’ultima eccezione fa riferimento all’accertamento, all’esercizio o alla difesa di rivendicazioni legali. Le Linee guida ricordano però che, anche qualora le informazioni vengano rimosse dagli elenchi, esse sono fruibili quando si utilizzano altri termini di ricerca. Le linee guida previste dall’EDPB sottolineano che la maggior parte delle eccezioni, previste dall’articolo 17.3 del GDPR, non sembrano idonee in caso di richiesta di cancellazione. Allora, in relazione alla deindicizzazione, il comitato sostiene l’applicazione dell’articolo 21, par. 1 GDPR che, a tal proposito, prevede la seguente disposizione: “L’interessato ha il diritto di opporsi in qualsiasi momento, per motivi connessi alla sua situazione particolare, al trattamento dei dati personali che lo riguardano ai sensi dell’articolo 6, paragrafo 1, lettere e) o f), compresa la profilazione sulla base di tali disposizioni. Il titolare del trattamento si astiene dal trattare ulteriormente i dati personali salvo che egli dimostri l’esistenza di motivi legittimi cogenti per procedere al trattamento che prevalgono sugli interessi, sui diritti e sulle libertà dell’interessato oppure per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria”. Dunque, grazie alle sentenze della Corte di Giustizia, il diritto all’oblio, soprattutto in relazione ai motori di ricerca, non si può considerare in modo completo. Anche per poter esplicare il proprio diritto all’oblio, deve realizzarsi un giusto equilibrio tra il diritto degli utenti del web ad accedere alle informazioni e i diritti e le esigenze del soggetto coinvolto. Per questo motivo, la valutazione delle richieste di rimozione delle notizie dai risultati di ricerca Google dovrebbe essere sempre fatta dall’Autorità per la protezione dei dati ogni volta che le notizie non siano obsolete o inesatte.