Tra le novità di maggior rilievo del nuovo Regolamento Europeo sulla Privacy (il GDPR), si segnala anche l’art. 17 che disciplina il c.d. diritto all’oblio, vale a dire il diritto dell’interessato alla cancellazione dei dati personali che lo riguardano.

Il diritto all’oblio è al centro anche di un recente provvedimento del nostro Garante Privacy [doc. web n.7465315 del 21.12.2017] che ha ordinato a Google la deindicizzazione degli url riguardanti un cittadino italiano da tutti i risultati della ricerca, sia nelle versioni europee del motore, sia in quelle extraeuropee.

Nel caso all’esame del Garante, un cittadino italiano residente negli USA aveva chiesto la deindicizzazione di 26 url europei e extraeuropei che rimandavano a messaggi o brevi articoli anonimi pubblicati su forum o siti amatoriali gravemente offensivi della propria reputazione in quanto contenenti anche informazioni, a suo dire false, sul suo stato di salute e su dei gravi reati connessi alla sua attività di professore universitario.

Google si era opposto alla richiesta, ritenendo che non sussistessero i presupposti del diritto all’oblio enucleati nella sentenza della Corte di Giustizia Europea del 13.05.2014 (c.d. sentenza Costeja)[1] e nelle Linee Guida adottate sulla scia di quella sentenza dai Garanti europei il 26.11.2014: secondo la web company, gli articoli contestati erano recentissimi (2017) e il professore universitario ricopriva, inoltre, un “ruolo nella vita pubblica”; Google eccepiva, inoltre, il proprio difetto di legittimazione, ritenendo che l’interessato potesse agire nei confronti dell’autore dei post o del gestore del sito[2].

Il Garante ha ordinato comunque la deindicizzazione, ritenendo che la “perdurante reperibilità” sul web di contenuti non corretti e inesatti abbia un impatto “sproporzionatamente negativo” sulla sfera privata del ricorrente, anche in ragione della natura sensibile dei dati diffusi (dati sulla salute): nelle Linee guida dei Garanti europei, si individua proprio nel trattamento dei dati sulla salute uno dei criteri da tenere in considerazione per un corretto bilanciamento tra diritto all’oblio e diritto/dovere all’informazione, a causa del suo maggiore impatto sulla vita privata rispetto ai dati personali “comuni”.

Il provvedimento si inserisce in un più ampio dibattito, non solo europeo, sulla portata del diritto all’oblio, dibattito che vede come protagonista principale proprio Google.

Il noto motore di ricerca, infatti, si mostra alquanto restio nell’ottemperare alle richieste di cancellazione di dati, appellandosi alla libertà di espressione e al libero accesso all’informazione.

Particolarmente dura è la “guerra” che vede contrapposti ormai da alcuni anni Google Inc. e il Garante della Privacy francese (la CNIL).

Tutto ha avuto inizio con la sentenza del Tribunal Grande Instance de Paris del 16.09.2014 (il caso riguardava due vittime di post offensivi pubblicati su Facebook e su un sito web), che –per la prima volta in Europa e spingendosi ben oltre quanto stabilito dalla sentenza della CGUE di pochi mesi prima- ordinò a Google di deindicizzare i contenuti offensivi in tutti i domini europei e internazionali, prevedendo il pagamento di una astreinte di mille euro per ogni giorno di ritardo.

Successivamente, con provvedimento del 12.06.2015, il CNIL –richiamati i principi delle Linee Guida dei Garanti europei[3]– ribadì il principio dell’oblio planetario, ordinando a Google Inc. di applicare il de-listing a tutte le sue estensioni, tanto più perché il servizio offerto dal motore di ricerca “Google Search” costituisce un trattamento unico.

Google non ottemperò alla diffida e la CNIL avviò un procedimento sanzionatorio nell’ambito del quale Google proponeva –come soluzione di compromesso- il blocco dell’accesso all’informazione deindicizzata in funzione della residenza degli utenti (tramite geolocalizzazione del relativo IP): gli appartenenti alla stessa nazione dell’interessato si vedrebbero bloccato il contenuto anche nelle versioni straniere.

La CNIL rifiutò e inflisse una sanzione di € 100.000,00 a Google, che la impugnò, evidenziando il rischio che il principio affermato dal Garante francese apra la porta ad una progressiva erosione del libero accesso all’informazione online, estendendo a tutti i Paesi l’interpretazione francese del diritto all’oblio in violazione dell’indipendenza e della sovranità dei singoli stati.

Con decisione del 19.07.2017, infine, il Consiglio di Stato francese ha rimesso la questione alla CGUE, che dovrà dire se quella della CNIL sia un’interpretazione “francese” del diritto all’oblio o se sia invece una semplice derivazione dei principi sanciti dalla stessa CGUE con la c.d. sentenza Costeja.

Il diritto all’oblio planetario, in realtà, è stato recentemente riaffermato anche da un giudice non europeo: con sentenza del 27.06.2017, infatti, la Corte Suprema del Canada ha espressamente escluso il rischio -paventato da Google- che il diritto all’oblio globale e il conseguente ordine di cancellazione globale possano violare leggi e sovranità di altri Stati.

Una piccola società canadese di informatica era stata depredata on line dei propri brevetti e delle proprie invenzioni da un concorrente, che agiva da un luogo nascosto. Nell’impossibilità di rintracciare il concorrente pirata e considerato il gravissimo danno economico subito, la ricorrente chiedeva che venisse ordinato a Google in via cautelare la deindicizzazione planetaria di tutti i contenuti e dei siti web del concorrente pirata. Google provvedeva a delle deindicizzazioni nel dominio canadese ma rifiutava di procedere al no-index planetario: il competitor pirata continuava così a vendere on line i prodotti “rubati” grazie ad altre aziende-satellite operanti al di fuori del Canada e indicizzate nelle altre estensioni di Google nel mondo.

Giunti di fronte alla Corte Suprema del Canada, Google ripropone la questione della limitazione di sovranità prodotta dall’extraterritorialità del no-index planetario, che potrebbe obbligare la web company a infrangere leggi di altri Stati. La tesi di Google è stata respinta e liquidata come un falso problema: la Suprema Corte ha, viceversa, sottolineato che l’extraterritorialità del no-index planetario è indispensabile per assicurare una tutela efficace e non aggirabile dalla società pirata.

Come si vede, la questione non è di facile soluzione.

Nelle Linee Guida varate dopo la sentenza Costeja, il gruppo dei Garanti europei per la privacy hanno evidenziato come non esista una soluzione standard e occorra sempre cercare un bilanciamento tra il diritto alla riservatezza e la tutela della vita privata, da un lato, e la libertà di espressione, il diritto di cronaca e la libertà di circolazione delle informazioni, dall’altro.

D’altro canto, se il mondo del web non ha confini, l’unico modo per garantire che un ordine cautelare raggiunga davvero il suo obiettivo è quello di applicarlo dove Google opera e, quindi, a livello globale: solo così si garantisce il principio dell’effettività della tutela, principio invocato appunto dalle autorità francesi e canadesi.

Il diritto e i giudici devono adeguarsi per impedire che le norme vengano eluse: per questo, sembra logico ammettere anche degli ordini extraterritoriali, ovviamente nei limiti della compatibilità con gli altri ordinamenti giuridici (di fronte al rischio di violare le norme di altri Stati, Google potrebbe sempre chiedere dei correttivi degli ordini cautelati che le vengono rivolti).

In altre parole, perché si possa davvero parlare di diritto all’oblio, quell’oblio non può che essere planetario.

[1] La sentenza della CGUE nasceva dal ricorso di un cittadino spagnolo davanti all’Agencia Espanola de Proteccion de Datos (il Garante Privacy spagnolo) contro il quotidiano La Vanguardia, Google Spain e Google Inc.: il sig. Costeja Gonzalez lamentava che nell’indice del motore di ricerca di Google erano presenti link verso il quotidiano La Vanguardia, nelle cui pagine (risalenti al 1998) figurava un annuncio che menzionava il suo nome e relativo ad una vendita immobiliare all’asta nell’ambito di un pignoramento per la riscossione coattiva di crediti previdenziali; Costeja evidenziava che il debito era stato pagato e il pignoramento estinto da anni, chiedendo quindi l’eliminazione di quelle pagine. Ritenuta legittima la pubblicazione delle informazioni da parte del quotidiano (in quanto avvenuta su ordine dell’autorità giudiziaria a scopo di pubblicità della vendita), il Garante spagnolo ordinò invece a Google la rimozione dei dati. Google ricorse dinanzi all’Audiencia Nacional, che sottoponeva il caso alla Corte di Giustizia UE che –dopo aver premesso che la pubblicazione di dati personali in una notizia è giustificata dal diritto di cronaca- ha concluso che, quando l’interesse pubblico della notizia è venuto meno col tempo, la pubblicazione non è più giustificata e quindi è possibile chiedere la rimozione dei dati personali (diritto all’oblio).

[2] Come ribadito nel recente provvedimento del nostro Garante, invece, la c.d. sentenza Costeja ha espressamente qualificato Google come “titolare del trattamento connesso all’indicizzazione” (non semplice responsabile) delle informazioni che veicola: l’interessato ha dunque il diritto di chiedere direttamente a Google la rimozione delle informazioni “inadeguate, non pertinenti o non più pertinenti ovvero eccessive in rapporto alle finalità per le quali sono stati trattati e al tempo trascorso”.

[3] Il punto 7. delle Linee Guida prevede la necessità di applicare un de-listing globale per garantire effettivamente la protezione dei dati dell’interessato e per escludere tentativi di elusione della normativa privacy UE.