C’era una volta un mondo in cui le notizie si leggevano solo su pubblicazioni periodiche in forma cartacea, che, per forza di cose, dopo un certo periodo venivano dimenticate se non addirittura distrutte dal tempo. Grazie a questo ciclo naturale, redimersi dopo essere stati vittime, anche ingiustamente, della cronaca, era fattibile; un errore era considerato come tale: temporaneo e superabile. Oggi di naturale è rimasto ben poco, compreso il fatto che una notizia negativa finita online rischia di perseguitarci per sempre.
Cosa dice la legge sulla gestione dei dati personali?
Il regolamento generale sulla protezione dei dati (in sigla RGPD o GDPR, ufficialmente regolamento (UE) n. 2016/679 GDPR), all’articolo 17, paragrafo 1, lettera a), rubricato “Diritto alla cancellazione (diritto all'oblio)”, stabilisce che “L'interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l'obbligo di cancellare senza ingiustificato ritardo i dati personali quando i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati”.
Un importante principio giurisprudenziale in sede di applicazione della normativa comunitaria in Italia è stato recentemente espresso dalla sentenza della Suprema Corte di Cassazione, Sezione Prima Civile 08.02.2022, n. 3952, nell’ambito di una vicenda scaturita dalla richiesta di rimozione dei risultati da un motore di ricerca di internet che collegavano il nome di un cittadino ad una vicenda giudiziaria ritenuta non più rilevante per il diritto di cronaca.
Garante della privacy v. Suprema Corte di Cassazione
Il contenzioso era giunto all’attenzione della S.C. dopo che il Tribunale di Milano aveva respinto il ricorso della società che gestiva il motore di ricerca, contro la decisione del Garante per la privacy che le ordinava “di provvedere alla definitiva rimozione degli URL, eliminando altresì le copie cache delle pagine accessibili attraverso tali URL”. Tale provvedimento, secondo la sentenza impugnata, risultava essere conforme ai principi ispiratori del reg. (UE) 2016/679, laddove prevede il diritto a una cancellazione estesa dei dati personali oggetto del trattamento, in questo postulando una sorta di automatismo tra deindicizzazione a partire dal nome e cancellazione del dato (nel caso presente nelle copie cache).
Secondo alcuni commentatori, il diritto all’oblio è stato introdotto per tenere conto del diritto di richiedere la deindicizzazione stabilito dalla sentenza Costeja (Google Spain SL e Google Inc. contro Agencia Española de Protección de Datos (AEPD) e Mario Costeja González. Causa C‑131/12), la quale ha stabilito che “Il gestore di un motore di ricerca su Internet è responsabile del trattamento da esso effettuato dei dati personali che appaiono su pagine web pubblicate da terzi”. Per questa ragione, se, successivamente ad una ricerca effettuata basandosi sul nome di una persona, l'elenco di risultati mostri un link verso una pagina web che contiene informazioni sulla stessa, questa potrà rivolgersi direttamente al gestore oppure, qualora questi non dia seguito alla sua domanda, adire le autorità competenti per ottenere, in presenza di determinati presupposti, l’eliminazione di tale link dall’elenco di risultati.
La S.C. è invece pervenuta alla diversa conclusione che, in realtà, il regolamento del 2016 è pacificamente inapplicabile alla presente controversia. Sono poi emerse perplessità, in dottrina, riguardo alla portata innovativa della disciplina sulla cancellazione introdotta dall'art. 17 del regolamento, che ribadirebbe, con alcune puntualizzazioni, il perimetro di un diritto alla cancellazione dei dati personali che era presente anche nella dir. 95/46/CE: il richiamo è alla disciplina dell'art. 12, lett. b), di tale direttiva, il quale contempla il diritto ad ottenere dal responsabile del trattamento la rettifica, la cancellazione o il congelamento dei dati il cui trattamento non risulti essere conforme alle disposizioni della direttiva medesima. In ogni caso, poi, il diritto dell'interessato di ottenere dal titolare del trattamento la cancellazione dei dati personali non opera, a norma dell'art. 17.3, lett. a), nella misura in cui il trattamento sia necessario per l'esercizio del diritto alla libertà d’espressione e d’informazione; è quindi confermato che, anche nella vigenza del regolamento 2016/679, opera quell'esigenza di bilanciamento di cui si è detto: circostanza, questa, che la Corte di giustizia, come in precedenza accennato, non ha mancato di sottolineare (Corte giust. UE, G.C. e altri, cit., 66 e 75; un preciso riferimento all'art. 17 è contenuto nel par. 59).
L’incubo della memoria collettiva
Dopo questa precisazione di carattere sistematico e la riaffermazione che “l'attività del motore di ricerca consistente nel reperimento di informazioni presenti sulla rete, nell’indicizzazione, nella memorizzazione e nell'offerta al pubblico delle medesime integra trattamento di dati personali”, la S.C. ha richiamato le motivazioni contenute nella sentenza delle Sezioni Unite del 19 maggio 2020, n. 9147. Esse hanno ricondotto la deindicizzazione al diritto alla cancellazione dei dati, nel quadro di una classificazione che considera il medesimo come una delle tre possibili declinazioni del diritto all'oblio: le altre due sono individuate nel diritto a non vedere nuovamente pubblicate notizie relative a vicende in passato legittimamente diffuse, quando è trascorso un certo tempo tra la prima e la seconda pubblicazione e quello, connesso all'uso di internet e alla reperibilità delle notizie nella rete, consistente nell'esigenza di collocare la pubblicazione, avvenuta legittimamente molti anni prima, nel contesto attuale. Sia la contestualizzazione dell'informazione che la deindicizzazione trovano ragione in un dato che innegabilmente connota l'esistenza umana nell'era digitale: un dato che si riassume, secondo una felice espressione, nella "stretta della persona in una eterna memoria collettiva, per una identità che si ripropone, nel tempo, sempre uguale a sé stessa".
Ciò posto, pur avendo riconosciuto il diritto alla deindicizzazione sui motori di ricerca, la S.C. ha valutato negativamente la decisione del Garante per la privacy di ordinare anche la rimozione delle copie cache delle pagine accessibili attraverso tali URL, ossia di quel meccanismo che consente di visitare vecchi siti web oppure una pagina che non è più online . Questo nella misura in cui, attraverso l'ordine di cancellazione delle copie cache, si esclude o si rende più difficoltoso il reperimento, da parte del motore di ricerca, della notizia attraverso l'uso di parole chiave, si delinea la necessità di una ponderazione che tenga conto non più dell'interesse a che il nome della persona sia dissociato dal motore di ricerca dall'informazione di cui trattasi, ma dell'interesse a che quell’informazione non sia rinvenuta attraverso un qualsiasi diverso criterio di interrogazione.
No a soluzioni estreme
A questo proposito, la S.C. ha ritenuto che “il giudizio del Tribunale appare calibrato sulla vicenda personale dell'odierno controricorrente”. Tenuto conto che, nel caso in esame, venivano in questione articoli giornalistici e ulteriori contenuti riguardanti la vicenda, era necessario non solo prendere in considerazione i dati personali e verificare l'interesse a conoscere atti d’indagine relativi allo stesso, ma, in senso più ampio, l'interesse a continuare ad essere informati sulla vicenda di cronaca nel suo complesso, per come accessibile attraverso l'attività del motore di ricerca, ossia attraverso la capacità, da parte del detto motore di ricerca, di fornire una risposta all'interrogazione posta dall'utente attraverso una o più parole chiave, anche diverse dal nome della persona.
In sostanza, annullando il provvedimento del Garante della privacy, la S.C. ha ribadito che “la deindicizzazione dei contenuti presenti sul web rappresenta, il più delle volte, l’effettivo punto di equilibrio tra gli interessi in gioco”. Essa integra, infatti, la soluzione che, a fronte della prospettata volontà, da parte dell’interessato, di essere dimenticato per il proprio coinvolgimento in una vicenda del passato, realizza il richiamato bilanciamento escludendo le estreme soluzioni che sono astrattamente configurabili: quella di lasciare tutto com’è e quella di cancellare completamente la notizia dal web, rimuovendola addirittura dal sito in cui è localizzata.
Volendo tentare di costruire una massima, si può ravvisare il principio di diritto secondo il quale si deve sempre effettuare un bilanciamento tra gli interessi del singolo (ad essere dimenticato) e quelli della collettività ad essere informata. Conseguentemente, la cancellazione delle copie cache relative a un’informazione accessibile attraverso il motore di ricerca non deriva automaticamente dalla constatazione della sussistenza delle condizioni per la deindicizzazione del dato a partire dal nome della persona, ma esige una ponderazione del diritto all’oblio dell'interessato col diritto avente ad oggetto la diffusione e l’acquisizione dell'informazione, relativa al fatto nel suo complesso, attraverso parole chiave anche diverse dal nome della persona.
Il difficile equilibrio tra massime ed ostacoli
A fronte di questi indubbi chiarimenti a livello giurisprudenziale, rimane tuttora l’ostacolo frapposto da alcuni fornitori di servizi internet (ISP), i quali, alla richiesta di deindicizzazione avanzata dall’interessato, sovente rispondono che il loro ruolo si limita all’aggregazione e all’organizzazione delle informazioni pubblicate online, che non hanno il controllo sui contenuti di terze parti presenti nelle pagine web e quindi non possono rimuoverne i contenuti. Pertanto, la soluzione della controversia deve forzatamente passare attraverso la proposizione di un ricorso al Garante della privacy – previo interpello al Titolare del trattamento dei dati, che spesso ha sede all’estero – o l’azione in sede civile, con i tempi e i costi che tutti conosciamo.
In questo senso, il Tribunale ordinario di Milano, Prima Sezione Civile, sentenza del 24 gennaio 2020, n.4911, aveva già condannato un’importante società stabilendo che “…oltre ad attivarsi in qualità di hosting provider, nella fornitura del servizio - OMISSIS - agisce e opera altresì come una vera e propria banca dati, avente ad oggetto pagine web prelevate dagli spiders, memorizzate su enormi sistemi di storage residenti presso la sua web-farm e successivamente offerti in visione in maniera aggregata ed organizzata secondo parametri scelti da - OMISSIS - e coperti da segreto industriale: nello svolgimento di questa attività, - OMISSIS - riveste il ruolo di titolare autonomo per il trattamento dei dati dell’interessato, con la conseguente responsabilità extracontrattuale per i risultati eventualmente lesivi determinati dal meccanismo di funzionamento di questo particolare sistema di ricerca, non essendo rilevante l’assenza di ogni intenzionalità lesiva nel provider".
In ultimo, non si può non citare la recente Legge 27 settembre 2021, n. 134 – cosiddetta “riforma Cartabia”, dal nome del Ministro della Giustizia, Marta Cartabia, del Governo Draghi – con cui il legislatore ha delegato il governo ad intervenire in materia di efficienza del processo penale nonché di giustizia riparativa e, in generale, per la celerità dei procedimenti giudiziari. Il comma 25 dell’articolo 1, sancisce che “il decreto di archiviazione e la sentenza di non luogo a procedere o di assoluzione costituiscano titolo per l’emissione di un provvedimento di deindicizzazione che, nel rispetto della normativa dell’Unione europea in materia di dati personali, garantisca in modo effettivo il diritto all'oblio degli indagati o imputati”, definendo, dunque, i confini entro cui esercitare il diritto alla deindicizzazione per la rimozione dai motori di ricerca dei dati personali o di notizie – riferiti alla cronaca giudiziaria – ritenute ormai obsolete. Se a ciò non si adempie entro sette giorni, il soggetto interessato può rivolgersi al Garante della Privacy per ottenere la deindicizzazione.
Carlotta Caromani
Comments