Diritto all'oblio

DIRITTO ALL’OBLIO

Sentenza nella causa C-131/12 Google Spain SL, Google Inc. / Agencia Española de

Protección de Datos, Mario Costeja González

Direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle

persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati

Nel 2010 il sig. Mario Costeja González, cittadino spagnolo, ha presentato all’Agencia

Española de Protección de Datos, un reclamo contro La Vanguardia Ediciones SL (editore

di un quotidiano largamente diffuso in Spagna, specialmente nella regione della Catalogna),

nonché contro Google Spain e Google Inc. Il sig. Costeja González faceva valere che,

allorché il proprio nome veniva introdotto nel motore di ricerca del gruppo Google («Google

Search»), l’elenco di risultati mostrava dei link verso due pagine del quotidiano di La

Vanguardia, datate gennaio e marzo 1998. Tali pagine annunciavano una vendita all’asta di

immobili organizzata a seguito di un pignoramento effettuato per la riscossione coattiva di

crediti previdenziali nei confronti del sig. Costeja González.

Mediante detto reclamo, il sig. Costeja González chiedeva, da un lato, che fosse ordinato a

La Vanguardia di sopprimere o modificare le pagine suddette (affinché i suoi dati personali

non vi comparissero più) oppure di ricorrere a taluni strumenti forniti dai motori di ricerca per

proteggere tali dati. Dall’altro lato, chiedeva che fosse ordinato a Google Spain o a Google

Inc. di eliminare o di occultare i suoi dati personali, in modo che cessassero di comparire tra

i risultati di ricerca e non figurassero più nei link di La Vanguardia. Il sig. Costeja González

affermava in tale contesto che il pignoramento effettuato nei suoi confronti era stato

interamente definito da svariati anni e che la menzione dello stesso era ormai priva di

qualsiasi rilevanza.

L’AEPD ha respinto il reclamo diretto contro La Vanguardia, ritenendo che l’editore

avesse legittimamente pubblicato le informazioni in questione. Per contro, il reclamo è

stato accolto nei confronti di Google Spain e Google Inc. L’AEPD ha chiesto a queste

due società di adottare le misure necessarie per rimuovere i dati dai loro indici e per

rendere impossibile in futuro l’accesso ai dati stessi. Google Spain e Google Inc. hanno

proposto due ricorsi dinanzi all’Audiencia Nacional (Spagna), chiedendo l’annullamento

della decisione dell’AEPD. È in tale contesto che il giudice spagnolo ha sottoposto una serie

di questioni alla Corte di giustizia.

Nella sua sentenza odierna, la Corte constata anzitutto che, esplorando Internet in modo

automatizzato, costante e sistematico alla ricerca delle informazioni ivi pubblicate, il gestore

di un motore di ricerca «raccoglie» dati ai sensi della direttiva. La Corte giudica inoltre che il

gestore «estrae», «registra» e «organizza» tali dati nell’ambito dei suoi programmi di

indicizzazione, prima di «conservarli» nei suoi server e, eventualmente, di «comunicarli» e

di «metterli a disposizione» dei propri utenti sotto forma di elenchi di risultati. Tali operazioni,

contemplate in maniera esplicita e incondizionata dalla direttiva, devono essere qualificate

come «trattamento», indipendentemente dal fatto che il gestore del motore di ricerca

applichi le medesime operazioni anche ad altri tipi di informazioni diverse dai dati personali.

La Corte ricorda inoltre che le operazioni contemplate dalla direttiva devono essere

considerate come un trattamento anche nell’ipotesi in cui riguardino esclusivamente

informazioni già pubblicate tali e quali nei media. Una deroga generale all’applicazione della

direttiva in un’ipotesi siffatta avrebbe come effetto di svuotare in larga parte quest’ultima del

suo significato.

La Corte reputa inoltre che il gestore del motore di ricerca sia il «responsabile» di tale

trattamento, ai sensi della direttiva, dato che è lui a determinarne le finalità e gli strumenti

del trattamento stesso. La Corte rileva in proposito che, nella misura in cui l’attività di un

motore di ricerca si aggiunge a quella degli editori di siti web e può incidere

significativamente sui diritti fondamentali alla vita privata e alla protezione dei dati personali,

il gestore del motore di ricerca deve garantire, nell’ambito delle sue responsabilità, delle sue

competenze e delle sue possibilità, che detta attività soddisfi le prescrizioni della direttiva.

Soltanto in tal modo le garanzie previste dalla direttiva potranno sviluppare pienamente i

loro effetti e potrà essere effettivamente realizzata una tutela efficace e completa delle

persone interessate.

Quanto all’ambito di applicazione territoriale della direttiva, la Corte osserva che Google

Spain costituisce una filiale di Google Inc. nel territorio spagnolo e, pertanto, uno

«stabilimento» ai sensi della direttiva. La Corte respinge l’argomento secondo cui il

trattamento di dati personali da parte di Google Search non viene effettuato nel contesto

delle attività di tale stabilimento in Spagna. La Corte considera al riguardo che, quando dati

siffatti vengono trattati per le esigenze di un motore di ricerca gestito da un’impresa che,

sebbene situata in uno Stato terzo, dispone di uno stabilimento in uno Stato membro, il

trattamento viene effettuato «nel contesto delle attività» di tale stabilimento, ai sensi della

direttiva, qualora quest’ultimo sia destinato ad assicurare, nello Stato membro in questione,

la promozione e la vendita degli spazi pubblicitari proposti sul motore di ricerca al fine di

rendere redditizio il servizio offerto da quest’ultimo.

Per quanto riguarda poi l’estensione della responsabilità del gestore del motore di ricerca, la

Corte constata che quest’ultimo è obbligato, in presenza di determinate condizioni, a

sopprimere, dall’elenco di risultati che appare a seguito di una ricerca effettuata a partire dal

nome di una persona, dei link verso pagine web pubblicate da terzi e contenenti

informazioni relative a tale persona. Tale obbligo può esistere anche nell’ipotesi in cui tale

nome o tali informazioni non vengano previamente o simultaneamente cancellati dalle

suddette pagine web, e ciò eventualmente anche quando la loro pubblicazione sulle pagine

in questione sia di per sé lecita.

La Corte sottolinea in tale contesto che un trattamento di dati personali effettuato da un

gestore siffatto consente a qualsiasi utente di Internet, allorché effettua una ricerca a partire

dal nome di una persona fisica, di ottenere, mediante l’elenco di risultati, una visione

complessiva strutturata delle informazioni relative a questa persona su Internet. La Corte

rileva inoltre che tali informazioni toccano potenzialmente una moltitudine di aspetti della

vita privata e che, in assenza del motore di ricerca, esse non avrebbero potuto, o soltanto

difficilmente avrebbero potuto, essere connesse tra loro. Gli utenti di Internet possono così

stabilire un profilo più o meno dettagliato delle persone ricercate. Inoltre, l’effetto

dell’ingerenza nei diritti della persona risulta moltiplicato in ragione del ruolo importante che

svolgono Internet e i motori di ricerca nella società moderna, i quali conferiscono alle

informazioni contenute negli elenchi di risultati carattere ubiquitario. Tenuto conto della sua

potenziale gravità, una simile ingerenza non può, secondo la Corte, essere giustificata dal

semplice interesse economico del gestore del motore di ricerca nel trattamento dei dati.

Tuttavia, poiché la soppressione di link dall’elenco di risultati potrebbe, a seconda

dell’informazione in questione, avere ripercussioni sul legittimo interesse degli utenti di

Internet potenzialmente interessati a avere accesso a quest’ultima, la Corte constata che

occorre ricercare un giusto equilibrio tra tale interesse e i diritti fondamentali della

persona interessata, e segnatamente il diritto al rispetto della vita privata e il diritto alla

protezione dei dati personali. La Corte rileva in proposito che, se indubbiamente i diritti della

persona interessata prevalgono, di norma, anche sul citato interesse degli utenti di Internet,

tale equilibrio può nondimeno dipendere, in casi particolari, dalla natura dell’informazione di

cui trattasi e dal suo carattere sensibile per la vita privata della persona suddetta, nonché

dall’interesse del pubblico a ricevere tale informazione, il quale può variare, in particolare, a

seconda del ruolo che tale persona riveste nella vita pubblica.

Infine, interrogata sulla questione se la direttiva consenta alla persona interessata di

chiedere che dei link verso pagine web siano cancellati da tale elenco di risultati per il fatto

che detta persona desideri che le informazioni ivi figuranti relative alla sua persona siano

oggetto di «oblio» dopo un certo tempo, la Corte rileva che, qualora si constati, in

seguito a una richiesta della persona interessata, che l’inclusione di tali link nell’elenco è,

allo stato attuale, incompatibile con la direttiva, le informazioni e i link figuranti in tale elenco

devono essere cancellati. La Corte osserva al riguardo che anche un trattamento

inizialmente lecito di dati esatti può divenire, con il tempo, incompatibile con la direttiva

suddetta nel caso in cui, tenuto conto dell’insieme delle circostanze caratterizzanti il caso di

specie, tali dati risultino inadeguati, non pertinenti o non più pertinenti ovvero eccessivi in

rapporto alle finalità per le quali sono stati trattati e al tempo trascorso. La Corte aggiunge

che, nel valutare una domanda di questo tipo proposta dalla persona interessata contro il

trattamento realizzato dal gestore di un motore di ricerca, occorre verificare in particolare se

l’interessato abbia diritto a che le informazioni in questione riguardanti la sua persona non

vengano più, allo stato attuale, collegate al suo nome da un elenco di risultati che appare a

seguito di una ricerca effettuata a partire dal suo nome. Qualora si verifichi un’ipotesi

siffatta, i link verso pagine web contenenti tali informazioni devono essere cancellati da tale

elenco di risultati, a meno che sussistano ragioni particolari, come il ruolo ricoperto da tale

persona nella vita pubblica, giustificanti un interesse preminente del pubblico ad avere

accesso, nell’ambito di una ricerca siffatta, a dette informazioni.

La Corte precisa che la persona interessata può rivolgere domande siffatte direttamente al

gestore del motore di ricerca, che deve in tal caso procedere al debito esame della loro

fondatezza. Qualora il respons