Lo scorso 8 febbraio, la Corte Suprema di Cassazione ha depositato la sentenza n. 3952, emessa il 1° dicembre 2021, con la quale si è pronunciata nuovamente in tema di diritto all’oblio nell’ambito dei motori di ricerca online. La Corte, in linea con una giurisprudenza ormai consolidata negli anni, sia a livello europeo sia a livello nazionale, ha riconosciuto il diritto alla deindicizzazione sui motori di ricerca ma – accogliendo il ricorso delle Società Convenute, come di seguito individuate – ha valutato negativamente la richiesta del Garante Privacy di “provvedere alla definitiva rimozione degli URL […], eliminando altresì le copie cache dalle pagine accessibili attraverso tali URL”. Se, infatti, viene riconosciuto il diritto dell’interessato alla deindicizzazione dei risultati associati al suo nome e reperibili sul motore di ricerca, la Corte ha concluso affermando che “il diritto all’oblio deve essere ponderato col diritto avente ad oggetto la diffusione e l’acquisizione dell’informazione, relativa al fatto nel suo complesso, attraverso parole chiave anche diverse dal nome della persona”. Esaminiamo la pronuncia nel dettaglio, cercando di fare chiarezza sui temi discussi. La vicenda La vicenda ha avuto inizio con un provvedimento dell’Autorità Garante per la protezione dei dati personali, emesso in data 25 febbraio 2016, con il quale, a seguito del ricorso di un utente volto a chiedere la rimozione di informazioni che facevano riferimento a una vicenda giudiziaria, a lui collegata e non più di interesse mediatico, il Garante Privacy imponeva ai gestori di un noto motore di ricerca online (i.e. Yahoo Italia S.r.l. e Yahoo Emea Limited) (le “Società Convenute”) “di provvedere alla definitiva rimozione degli URL indicati nel ricorso, eliminando altresì le copie cache delle pagine accessibili attraverso tali URL, entro trenta giorni dalla ricezione del provvedimento”. Le Società Convenute, dunque, impugnavano il provvedimento del Garante Privacy davanti al Tribunale di Milano, il quale non accoglieva le doglianze delle Società Convenute e rigettava il ricorso, confermando una prevalenza, altresì ampiamente riconosciuta dalla giurisprudenza della Corte di Giustizia dell’Unione europea e riferibile anche al caso di specie, dei diritti fondamentali della persona interessata (quali, l’articolo 7 “Rispetto della vita privata e della vita familiare” e l’articolo 8 “Protezione dei dati di carattere personale” della Carta dei diritti fondamentali dell’Unione europea) rispetto all’interesse economico del gestore del motore di ricerca e all’interesse del pubblico a ottenere l’informazione in occasione di una ricerca concernente il nome di quella stessa persona interessata. Di conseguenza, la sentenza del Tribunale di Milano veniva impugnata per cassazione dalle Società Convenute, le quali contestavano in particolare: Al fine di meglio comprendere le osservazioni e la decisione della Corte, di seguito riportiamo un breve inquadramento dei concetti discussi dalla stessa. La decisione della Corte di Cassazione Tornando alla decisione della Corte di Cassazione, con riferimento al primo punto di cui sopra, la Corte ha ritenuto infondati i motivi delle Società Convenute e, a tal fine, si è soffermata sull’ambito di operatività delle disposizioni nazionali che definiscono i poteri del Garante Privacy. In considerazione della richiesta di rimozione dei contenuti presentata al Garante Privacy, la Corte ha, innanzitutto, evidenziato che l’attività del motore di ricerca, consistente nel trovare informazioni su internet e nel metterle a disposizione degli utenti, va qualificata come attività di trattamento di dati personali. In ragione di ciò, l’attività rientra nell’ambito di applicazione della Direttiva 95/46/CE, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (la “Direttiva”) e, in particolare, nell’ambito di applicazione delle disposizioni nazionali italiane adottate in attuazione della Direttiva (oggi, sostituite dal GDPR e dal D.lgs. 101/2018), in quanto il trattamento veniva svolto “nel contesto delle attività di uno stabilimento” (i.e. Yahoo! Italia S.r.l.) “del responsabile del trattamento nel territorio dello Stato membro” (i.e. l’Italia). Pertanto, in considerazione dell’interpretazione estensiva ormai consolidata dei concetti di “nel contesto delle attività” e di “stabilimento”, la Corte ha riconosciuto che Yahoo Emea Limited, per il tramite di Yahoo! Italia S.r.l., svolgesse effettivamente delle attività di trattamento in Italia e fosse, quindi, soggetta alle disposizioni nazionali che regolano i poteri del Garante Privacy. Sul secondo punto, la Corte si è soffermata sulle contestazioni delle Società Convenute relativamente alla dedotta esorbitanza della misura, adottata dal Garante Privacy e confermata dal Tribunale di Milano, consistente nell’obbligo di cancellazione delle copie cache delle pagine web accessibili attraverso gli URL relativi alla vicenda giudiziaria che vedeva coinvolto il ricorrente (del primo provvedimento al Garante). Ed è in merito a questo punto che la Corte ha esaminato la differenza tra deindicizzazione e cancellazione delle copie cache e, quindi, il diverso bilanciamento d’interessi che le due misure comportano. In particolare, in ragione dei diversi obiettivi – e risultati – perseguiti attraverso la deindicizzazione (in quanto (i) “rimedio atto ad evitare che il nome della persona sia associato dal motore di ricerca ai fatti di cui internet continua a conservare memoria”; e in grado di (ii) assecondare ”il diritto della persona a non essere trovata facilmente", e (iii) evitare “che una persona che ne ignori il coinvolgimento si imbatta nelle relative notizie "per ragioni casuali”), la Suprema Corte non mette in dubbio la legittimità della misura della deindicizzazione. Piuttosto, la stessa censura la parte della decisione del Tribunale di Milano con la quale è stato ritenuto conforme al diritto, l’ordine del Garante Privacy, nei confronti delle Società Convenute, di procedere alla cancellazione delle copie cache delle pagine online accessibili attraverso gli URL riguardanti la vicenda giudiziaria in cui era coinvolto l’interessato. La Corte, infatti, conferma che la deindicizzazione possa rappresentare il giusto punto di equilibrio tra i contrapposti interessi in palio: da un lato i diritti fondamentali dell’interessato, e in particolare il diritto a essere dimenticato, e il diritto della collettività a informare ed essere informati. Difatti, con la deindicizzazione, il richiamato bilanciamento viene realizzato escludendo le altre soluzioni alternative ipotizzabili, vale a dire: quella di mantenere pienamente fruibile online la notizia, generando un pregiudizio all’interessato, e quella di eliminarla definitivamente dal web, non rendendola più accessibile agli utenti. Sul punto, la pronuncia in esame della Corte risulta in linea con una ormai consolidata giurisprudenza sia della Corte di Giustizia dell’Unione europea (Cort. Giust, UE Google Spain e Google) sia della Corte EDU (nel bilanciamento tra il diritto al rispetto della vita privata, di cui all’articolo 8 della CEDU e il diritto alla libertà di espressione di cui all’articolo 10 della stessa carta), decisive anche nel determinare i criteri per la ponderazione dei diritti concorrenti. Diversamente, con riferimento alla cancellazione delle copie cache - in quanto misura più radicale rispetto alla deindicizzazione per le motivazioni sopra meglio indicate – la Corte rileva come sia necessario che la valutazione circa l’adozione di tale misura e, quindi, il giudizio di bilanciamento dei diritti tenga a mente la prevalenza che tale misura attribuisce ai diritti della persona, e in particolare il diritto alla riservatezza, rispetto alla libertà di informazione. Tale bilanciamento (tra cancellazione e esercizio del diritto della libertà di espressione e di informazione) deve essere, in ogni caso, compiuto anche alla luce di quanto previsto dall’articolo 17, comma 3 del GDPR – che prevede, appunto, dei limiti all’operatività del diritto alla cancellazione dei dati personali. Pertanto, la Corte afferma che, prima di richiedere la cancellazione delle copie cache, “occorre verificare preventivamente se esista un interesse pubblico alla diffusione e all’acquisizione della notizia”. Nel caso di specie, pertanto, il Garante Privacy – prima di ordinare la cancellazione – avrebbe dovuto non solo prendere in considerazione che vi fosse un trattamento di dati personali del soggetto interessato e verificare l’interesse a conoscere atti di indagine relativi allo stesso ma, in senso più ampio, avrebbe dovuto verificare la sussistenza di un interesse a continuare a essere informati sulla vicenda di cronaca nel suo complesso, per come accessibile attraverso l’attività delle Società Convenute. In ragione di ciò, la Corte ha rinviato la decisione al Tribunale di Milano in diversa composizione. Conclusioni In conclusione, riconosciuta la rilevanza del diritto all’oblio nell’era digitale, la sentenza della Corte è particolarmente utile per comprendere che viene richiesto un diverso bilanciamento in caso di adozione della misura della deindicizzazione rispetto alla misura della cancellazione delle copie cache e in che termini tale diverso bilanciamento deve essere compiuto. In particolare, "la cancellazione delle copie cache relative a un’informazione accessibile attraverso il motore di ricerca, in quanto incidente sulla capacità, da parte del motore di ricerca, di fornire una risposta all’interrogazione posta dall’utente attraverso una o più parole chiave, non consegue alla constatazione della sussistenza delle condizioni per la deindicizzazione del dato a partire dal nome della persona, ma esige una ponderazione del diritto all’oblio dell’interessato col diritto avente a oggetto la diffusione e l’acquisizione dell’informazione, relativa al fatto nel suo complesso, attraverso parole chiave anche diverse dal nome della persona”.Diritto all’oblio, deindicizzazione e cancellazione delle copie cache Diritto all’oblio Per “diritto all’oblio” si intende il diritto a essere dimenticati e a non vedere il proprio nome associato a fatti o vicende ormai lontane nel tempo. Tale diritto è considerato un diritto di “nuova generazione” in quanto strettamente connesso all’evoluzione della tecnologia e, in particolare, alle esigenze di tutela della riservatezza e dell’identità personale sorte con l’avvento di Internet. In generale, si può parlare di diritto all’oblio in tre diverse accezioni: in senso tradizionale e dunque prima dell’avvento di Internet, quale diritto di un soggetto a non vedere nuovamente pubblicate notizie relative a vicende, in passato legittimamente diffuse, quando è ormai trascorso un notevole lasso di tempo tra la prima e la seconda pubblicazione (cd. “diritto ad essere dimenticati”);quale diritto alla cancellazione dei dati come previsto dal Considerando 65 del Regolamento UE 2016/679 (“GDPR”) e dall’art. 17 dello stesso, che pone altresì dei limiti all’applicazione di tale diritto (ad esempio, qualora il trattamento sia necessario per l'esercizio del diritto alla libertà di espressione e di informazione);quale diritto di un soggetto a non vedere più pubblicata su Internet una notizia non più attuale o veritiera, attraverso la richiesta di deindicizzazione. Le tre diverse accezioni del diritto all’oblio erano state meglio descritte in un precedente contributo disponibile sul nostro Osservatorio TMT e Data Protection, disponibile qui. Deindicizzazione La deindicizzazione consiste nell’escludere che il nome di un soggetto compaia tra i risultati di un motore di ricerca in esito a una interrogazione del medesimo. Pertanto, con la deindicizzazione: si elimina una particolare modalità di ricerca del dato, che rimane presente in rete e che continua a essere raggiungibile, ma con una ricerca più complessa e più lunga;si bilanciano gli interessi contrapposti del singolo, a essere dimenticato (in particolare, evitando che dalle ricerche collegate al nome dello stesso, si possano ottenere risultati idonei a far conoscere aspetti della sua vita passata) e della collettività, a essere informata e a conservare memoria del fatto storico – correlato dall’interesse dei media a informare; la deindicizzazione rappresenta, quindi, il più delle volte, il giusto punto di equilibrio tra gli interessi in gioco;si preserva l’identità digitale dell’utente e il suo interesse a veder tutelato il diritto alla protezione della sua sfera intima. La deindicizzazione è qualificabile come un’espressione del più ampio diritto all’oblio e asseconda il diritto della persona a non essere trovata facilmente sulla rete (si parla di “right not to be found easily”). Inoltre,trova un espresso riconoscimento nelle pronunce della Corte di Giustizia dell’Unione europea, in particolare con la sentenza del 13 maggio 2014 nel caso Google Spain e Google (causa C-131/12). In aggiunta, sul tema, assumono rilevanza le linee guida “Guidelines 5/2019 on the criteria of the Right to be Forgotten in the search engines cases under the GDPR” adottate il 7 luglio 2020 dall’European Data Protection Board, le quali forniscono indicazioni in merito alle basi giuridiche della deindicizzazione ai sensi del GDPR, nonché le relative eccezioni. Cancellazione delle copie cache La copia cache può essere descritta come un archivio di file i quali vengono utilizzati per velocizzare e rendere più efficiente la risposta di un motore di ricerca all’interrogazione dell’utente tramite l’immissione di parole chiave. Una eventuale cancellazione delle copie cache causa la quasi totale impossibilità al motore di ricerca di indirizzare l’utente alla notizia presente sul web e indicizzare in maniera efficiente i contenuti risultanti dall’utilizzo di parole chiave. Rispetto quindi alla deindicizzazione, con la cancellazione delle copie cache risulta evidente una netta prevalenza dell’interesse del soggetto a essere dimenticato e non facilmente trovato online, rispetto alla libertà di informazione riguardante il fatto occorso attraverso motori di ricerca online efficaci (quindi capaci di filtrare e bloccare contenuti nel rispetto della libertà di espressione garantita dall’articolo 10 della CEDU).
