Il Gruppo di lavoro e' stato istituito in virtu' dell'articolo 29 della direttiva 95/46/CE. E' l'organo consultivo indipendente dell'UE per la protezione dei dati personali e della vita privata. I suoi compiti sono fissati all'articolo 30 della direttiva 95/46/CE e all'articolo 15 della direttiva 2002/58/CE.

Le funzioni di segreteria sono espletate dalla direzione C (Diritti fondamentali e cittadinanza dell'Unione) della Commissione europea, direzione generale Giustizia, B -1049 Bruxelles, Belgio, ufficio MO-59 02/13.

Sito Internet: http://ec.europa.eu/justice/data-protection/index_it.htm

[NdT] Ai fini del presente parere, con “responsabile del trattamento” e con “incaricato del trattamento” si intendono rispettivamente il “titolare” e il “responsabile” di cui all'articolo 4, lettera f) e lettera g) del decreto legislativo 30 giugno 2003, n. 196 (codice in materia di protezione dei dati personali).

SINTESI

1. I motori di ricerca quali responsabili del trattamento dei dati

La sentenza riconosce che i gestori di motori di ricerca trattano dati personali e li definisce responsabili del trattamento dei dati ai sensi dell'articolo 2 della direttiva 95/46/CE. Il trattamento dei dati personali effettuato nell'ambito dell'attivita' del motore di ricerca deve aggiungersi ma rimanere distinto da quello svolto dagli editori di siti web di terzi.

2. Un giusto equilibrio tra diritti fondamentali e interessi

Nei termini della Corte di giustizia dell'Unione europea (in appresso, la Corte, CGUE), vista la gravita' potenziale dell'ingerenza di tale trattamento sui diritti fondamentali alla vita privata e alla protezione dei dati, i diritti dell'interessato prevalgono, come regola generale, sull'interesse economico del motore di ricerca e su quello degli utenti di Internet ad avere accesso alle informazioni personali attraverso il motore di ricerca. Tuttavia, occorre ricercare un giusto equilibrio tra i diritti e gli interessi pertinenti. Il risultato puo' dipendere dalla natura e dal carattere sensibile dei dati trattati, nonche' dall'interesse del pubblico ad accedere a quella particolare informazione, che sara' di gran lunga maggiore qualora l'interessato ricopra un ruolo nella vita pubblica.

3. Impatto limitato della cancellazione dall'elenco dei risultati di ricerca sull'accesso all'informazione

Nella pratica l'impatto della cancellazione dall'elenco dei risultati sul diritto alla liberta' di espressione e sull'accesso all'informazione sara' molto limitato. Nel valutare le circostanze pertinenti, le autorita' europee preposte alle protezione dei dati (in appresso, autorita' di protezione dei dati) terranno sistematicamente conto dell'interesse del pubblico ad accedere all'informazione. Qualora quest'ultimo prevalga sui diritti dell'interessato, la cancellazione dall'elenco dei risultati non sara' ritenuta opportuna.

4. L'informazione non e' eliminata dalla fonte d'origine

La sentenza stabilisce che il diritto concerne soltanto i risultati ottenuti a seguito di una ricerca effettuata a partire dal nome di una persona e non obbliga a sopprimere il link da tutti gli indici del motore di ricerca. In altre parole, l'informazione originaria continuera' a essere reperibile impiegando altri termini di ricerca o accedendo direttamente alla pagina d'origine dell'editore.

5. Gli interessati non sono tenuti a contattare il sito web d'origine

Una persona non e' tenuta a contattare il sito web d'origine per far valere i propri diritti nei confronti dei motori di ricerca. La normativa in materia di protezione dei dati si applica all'attivita' di un motore di ricerca che opera come responsabile del trattamento. Pertanto, gli interessati devono poter esercitare i loro diritti, conformemente alle disposizioni della direttiva 95/46/CE e, nello specifico, alle leggi nazionali di attuazione.

6. Diritto degli interessati di richiedere la cancellazione dall'elenco dei risultati di ricerca

In base al diritto dell'UE, tutti hanno diritto alla protezione dei dati. Nella pratica, le autorita' di protezione dei dati si concentreranno sulle domande che presentano un chiaro collegamento tra l'interessato e l'UE, ad esempio laddove detta persona sia un cittadino o residente di uno Stato membro dell'UE.

7. Effetto territoriale di una decisione di cancellazione dall'elenco dei risultati di ricerca

Per garantire la piena efficacia dei diritti dell'interessato conformemente alla sentenza della Corte, le decisioni di cancellazione dall'elenco dei risultati devono essere eseguite in modo tale da assicurare la tutela efficace e completa dei diritti degli interessati e da prevenire l'elusione delle norme dell'UE. In tal senso, limitare ai domini dell'UE la rimozione dall'elenco dei risultati a motivo del fatto che gli utenti tendono ad accedere ai motori di ricerca mediante i rispettivi domini nazionali, non puo' ritenersi un mezzo sufficiente per tutelare in modo soddisfacente i diritti degli interessati come previsto dalla sentenza. Nella pratica cio' implica che, in ogni caso, la cancellazione dall'elenco dei risultati deve valere per tutti i domini pertinenti, .com incluso.

8. Comunicazione al pubblico sulla cancellazione di specifici link

La prassi consistente nel comunicare agli utenti dei motori di ricerca che l'elenco dei risultati delle loro ricerche e' incompleto a seguito dell'applicazione della protezione dei dati a livello europeo non si fonda su alcun requisito giuridico previsto dalle norme in materia di protezione dei dati. Tale prassi e' accettabile soltanto se l'informazione e' presentata in modo tale che gli utenti non possano, in nessun caso, concludere che una determinata persona abbia chiesto di rimuovere risultati che la riguardano.

9. Comunicazione ai webmaster sulla cancellazione di specifici link

Di norma, i motori di ricerca non sono tenuti a informare i webmaster delle pagine interessate dalla cancellazione dall'elenco dei risultati del fatto che alcune pagine web non sono accessibili dal motore di ricerca a seguito di specifiche ricerche effettuate a partire da un nome. La normativa dell'UE sulla protezione dei dati non prevede alcuna base giuridica per una tale comunicazione.

In alcuni casi, i motori di ricerca possono decidere di contattare il webmaster d'origine in merito a una richiesta specifica prima di prendere una decisione sulla cancellazione dall'elenco dei risultati, al fine di ottenere ulteriori informazioni per valutare le circostanze concernenti la richiesta.

Considerato il ruolo importante svolto dai motori di ricerca nella diffusione e nell'accessibilita' alle informazioni pubblicate su Internet e viste le legittime aspettative dei webmaster sull'indicizzazione e sulla presentazione delle informazioni a partire dalle ricerche degli utenti, il gruppo di lavoro Articolo 29 (in appresso, il gruppo di lavoro) raccomanda vivamente ai motori di ricerca di comunicare i criteri di cancellazione utilizzati e di rendere disponibili statistiche piu' dettagliate.

INDICE

PARTE I - Interpretazione della sentenza della CGUE

A. I motori di ricerca quali responsabili del trattamento e relativa base giuridica

B. Esercizio dei diritti

C. Ambito di applicazione

D. Comunicazione a terzi

E. Ruolo delle autorita' di protezione dei dati

PARTE II - Elenco dei criteri comuni per il trattamento dei reclami da parte delle autorita' europee di protezione dei dati

PARTE I - Interpretazione della sentenza della CGUE

Il presente documento e' inteso a fornire informazioni su come le autorita' di protezione dei dati riunite in seno al gruppo di lavoro intendano dare esecuzione alla sentenza della CGUE nella causa "Google Spain SL e Google Inc. contro Agencia Espanola de Proteccio'n de Datos (AEPD) e Mario Costeja Gonza'lez" (C-131/12). Contiene inoltre l'elenco dei criteri comuni che le autorita' di protezione dei dati applicheranno nel trattare, caso per caso, i reclami presentati ai loro uffici nazionali in seguito al rifiuto di cancellazione dall'elenco dei risultati da parte dei motori di ricerca. L'elenco dei criteri e' da ritenersi uno strumento di lavoro flessibile, inteso ad aiutare le autorita' di protezione dei dati nel corso dei processi decisionali. I criteri saranno applicati conformemente alle normative nazionali pertinenti. Nessun criterio e' di per se' determinante. L'elenco di criteri non e' esaustivo e verra' modificato nel tempo, tenendo conto dell'esperienza maturata dalle autorita' di protezione dei dati.

A. I motori di ricerca quali responsabili del trattamento e relativa base giuridica

1. La sentenza riconosce che i gestori di motori di ricerca trattano dati personali e sono responsabili del trattamento di tali dati a norma dell'articolo 2 della direttiva 95/46/CE (punti 27, 28 e 33).

2. Il trattamento dei dati personali effettuato nell'ambito dell'attivita' di un motore di ricerca si distingue da e si aggiunge a quello effettuato dagli editori di siti web, consistente nel far apparire tali dati su una pagina Internet (punto 35).

3. La base giuridica per tale trattamento, conformemente alla direttiva dell'UE, e' l'articolo 7, lettera f), che ne precisa la necessita' per il perseguimento dell'interesse legittimo del responsabile del trattamento oppure del o dei terzi cui vengono comunicati i dati (punto 73).

4. Il trattamento effettuato dal gestore di un motore di ricerca puo' incidere significativamente sui diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali nel caso in cui la ricerca con l'aiuto di tale motore venga effettuata a partire dal nome di una persona, dal momento che detto trattamento consente a qualsiasi utente di Internet di ottenere, mediante l'elenco dei risultati, una visione complessiva strutturata delle informazioni relative a questa persona reperibili su Internet – informazioni che possono interessare una moltitudine di aspetti della vita privata dell'interessato e che, senza il motore di ricerca, non avrebbero potuto essere connesse tra loro o solo con grande difficolta' – e consente dunque di stabilire un profilo piu' o meno dettagliato di tale persona. Inoltre, l'effetto dell'ingerenza nei suddetti diritti della persona interessata risulta moltiplicato in ragione del ruolo importante che svolgono Internet e i motori di ricerca nella societa' moderna, i quali conferiscono alle informazioni contenute in un siffatto elenco dei risultati carattere ubiquitario (punto 80).

5. Per quanto concerne l'equilibrio di interessi che puo' legittimare il trattamento effettuato dal motore di ricerca, in base alla sentenza, i diritti dell'interessato prevalgono, di norma, sull'interesse economico del motore di ricerca, vista la potenziale gravita' dell'impatto di tale trattamento sui diritti fondamentali al rispetto della vita privata e alla protezione dei dati. Tali diritti prevalgono inoltre, in genere, sui diritti degli utenti di Internet di accedere all'informazione personale mediante il motore di ricerca, nell'ambito di una ricerca a partire dal nome dell'interessato. Tuttavia, occorre ricercare un giusto equilibrio tra i diversi diritti e interessi e il risultato puo' dipendere dalla natura dei dati trattati e dal loro carattere sensibile per la vita privata, nonche' dall'interesse del pubblico a disporre di tale informazione, il quale puo' variare, in particolare, a seconda del ruolo che tale persona riveste nella vita pubblica (punto 81).

6. Gli interessati hanno il diritto di chiedere e, qualora siano soddisfatte le condizioni di cui agli articoli 12 e 14 della direttiva 95/46/CE, di ottenere la cancellazione dall'elenco dei risultati che appare a seguito di una ricerca effettuata a partire dal nome di una persona, dei link verso pagine web pubblicate da terzi e contenenti informazioni relative a tale persona.

7. Le rispettive basi giuridiche per gli editori d'origine da un lato e i motori di ricerca dall'altro sono differenti. Il motore di ricerca deve effettuare la valutazione dei diversi elementi (interesse pubblico, pertinenza pubblica, natura dei dati, pertinenza effettiva, ecc.) in base alla rispettiva base giuridica, tenendo conto del proprio interesse economico e dell'interesse degli utenti di avere accesso all'informazione per mezzo dei motori di ricerca, utilizzando un nome come termine per la ricerca. Anche laddove la pubblicazione (continua) da parte degli editori d'origine sia lecita, la diffusione e accessibilita' universale di tale informazione da parte di un motore di ricerca, assieme ad altri dati relativi alla stessa persona, possono essere illecite per l'impatto sproporzionato sul rispetto della vita privata.

La sentenza non obbliga i motori di ricerca a effettuare sistematicamente tale valutazione per tutte le informazioni trattate, ma soltanto quando devono rispondere alle richieste degli interessati relative all'esercizio dei loro diritti.

8. L'interesse dei motori di ricerca nel trattamento di dati personali e' economico. Vi e' pero' anche un interesse degli utenti di Internet nell'ottenere l'informazione mediante i motori di ricerca. In tal senso, nel valutare le richieste degli interessati, e' necessario tenere conto del diritto fondamentale alla liberta' di espressione, inteso come "la liberta' di ricevere o di comunicare informazioni o idee", di cui all'articolo 11 della Carta dei diritti fondamentali dell'UE.

9. L'impatto dell'esercizio dei diritti di ogni persona sulla liberta' di espressione degli editori d'origine e degli utenti sara' in genere molto limitato. Nel valutare le circostanze concernenti ciascuna richiesta, i motori di ricerca devono prendere in considerazione l'interesse del pubblico ad accedere all'informazione. I risultati non devono essere soppressi qualora prevalga l'interesse del pubblico ad avere accesso a tale informazione. Tuttavia, anche laddove un determinato risultato di ricerca sia eliminato, il contenuto nel sito web di origine resta disponibile e l'informazione e' ancora accessibile mediante un motore di ricerca utilizzando altri termini di ricerca.

B. Esercizio dei diritti

10. La normativa in materia di protezione dei dati si applica all'attivita' di un motore di ricerca che opera quale responsabile del trattamento. Pertanto, gli interessati devono poter esercitare i loro diritti, conformemente alle disposizioni della direttiva 95/46/CE e, nello specifico, alle leggi nazionali di attuazione.

11. Una persona non e' nuta a contattare il sito d'origine, ne' prima ne' allo stesso tempo, al fine di far valere i propri diritti nei confronti dei motori di ricerca. Esistono due diverse operazioni di trattamento, con basi di legittimazione distinte, nonche' differenti effetti per i diritti e gli interessi dell'interessato. La persona interessata puo' ritenere che, date le circostanze del caso, sia meglio contattare prima il webmaster d'origine per richiedere la cancellazione dell'informazione o l'applicazione dei protocolli di "non indicizzazione", benche' la sentenza non lo richieda.

12. Per la stessa ragione, una persona puo' scegliere come esercitare i propri diritti nei confronti dei motori di ricerca, selezionandone uno o diversi. Presentando una richiesta a uno o piu' motori di ricerca, la persona effettua una valutazione dell'impatto della pubblicazione delle informazioni controverse su uno o piu' motori di ricerca e, di conseguenza, prende una decisione sui rimedi che possono bastare per limitare o annullare tale impatto.

13. Mentre la direttiva 95/46/CE non contiene disposizioni specifiche sui mezzi per l'esercizio dei diritti, la maggior parte delle leggi nazionali sulla protezione dei dati prevedono una grande flessibilita' al riguardo e danno agli interessati la possibilita' di presentare le loro richieste in diversi modi, indipendentemente dal fatto che i responsabili del trattamento possano avere istituito procedure "ad hoc".

Di conseguenza, e in quanto migliore pratica in linea con tutti i possibili requisiti giuridici in tutti gli Stati membri dell'UE, gli interessati devono potere esercitare i loro diritti nei confronti dei gestori di motori di ricerca, ricorrendo a ogni strumento del caso. Sebbene il ricorso a questi meccanismi specifici possa essere previsto dai motori di ricerca, in particolare con procedure online e moduli elettronici, ed essere vantaggioso e preferibile per la sua convenienza, esso non dovrebbe rappresentare l'unica modalita' a disposizione degli interessati per esercitare i propri diritti.

14. Per le stesse ragioni, i motori di ricerca devono seguire le normative nazionali in materia di protezione di dati per quanto concerne i requisiti di presentazione di una richiesta, nonche' quelli relativi ai termini e ai contenuti delle risposte. In particolare, laddove un interessato richieda la cancellazione di alcuni link, il responsabile del trattamento dei dati puo' chiedere una forma di identificazione, ma anche in questo caso in linea con quello che le normative nazionali considerano necessario e proporzionato, al fine di verificare l'identita' del richiedente nel contesto della richiesta. Nella raccolta delle informazioni di identificazione da parte del responsabile del trattamento devono essere previste opportune garanzie.

Affinche' il motore di ricerca possa procedere alla necessaria valutazione di tutte le circostanze del caso, gli interessati devono apportare sufficienti spiegazioni circa la richiesta di cancellazione, identificare gli URL specifici e indicare se rivestano o meno un ruolo nella vita pubblica.

15. Un motore di ricerca che si opponga a una richiesta di cancellazione deve fornire all'interessato spiegazioni sufficienti sulle ragioni del rifiuto. Deve inoltre informare gli interessati della possibilita' di rivolgersi all'autorita' di protezione dei dati o alle autorita' giudiziarie, qualora la risposta non li soddisfi. Tali spiegazioni devono inoltre essere fornite dagli interessati all'autorita' di protezione dei dati, qualora decidano di rivolgersi a quest'ultima.

16. In base alla sentenza, le filiali nazionali di Google nell'UE sono stabilimenti della societa' e il trattamento dei dati personali da parte di Google nell'ambito del motore di ricerca e' effettuato nel contesto delle attivita' di uno di questi stabilimenti, il che rende applicabili le norme dell'UE in materia di protezione dei dati.

La direttiva 95/46/CE non contiene disposizioni specifiche riguardo alla responsabilita' degli stabilimenti del responsabile del trattamento situati nel territorio degli Stati membri. L'unico riferimento e' l'articolo 4, paragrafo 1, lettera a), che recita: "qualora uno stesso responsabile del trattamento sia stabilito nel territorio di piu' Stati membri, esso deve adottare le misure necessarie per assicurare l'osservanza, da parte di ciascuno di detti stabilimenti, degli obblighi stabiliti dal diritto nazionale applicabile". La disposizione e' chiarita in qualche misura dal considerando 19: "quando un unico responsabile del trattamento e' stabilito nel territorio di diversi Stati membri, in particolare per mezzo di filiali, esso deve assicurare, segnatamente per evitare che le disposizioni vengano eluse, che ognuno degli stabilimenti adempia gli obblighi previsti dalla legge nazionale applicabile alle attivita' di ciascuno di essi".

L'effettiva esecuzione della sentenza e della normativa in materia di protezione dei dati prevede che l'interessato possa far valere i propri diritti nei confronti delle filiali nazionali dei motori di ricerca nei rispettivi Stati membri di residenza e che le autorita' di protezione dei dati possano contattare le rispettive filiali nazionali in merito alle richieste o ai reclami presentati dagli interessati.

Ovviamente, tali filiali sono libere di applicare procedure interne per trattare le richieste direttamente o inoltrandole ad altri stabilimenti della societa'. E' ragionevole altresi' aspettarsi che una prima risposta sia suggerire agli interessati di utilizzare le procedure "ad hoc" previste dalla societa' e i corrispondenti moduli elettronici. Tuttavia, qualora l'interessato continui a contattare la filiale nazionale, la richiesta non deve essere rifiutata.

C. Ambito di applicazione

17. Benche' riguardi specificatamente i motori di ricerca generalisti, la sentenza puo' essere applicata ad altri intermediari. I diritti possono essere esercitati ogni qualvolta siano soddisfatte le condizioni stabilite dalla sentenza.

18. I motori di ricerca inclusi nelle pagine web non producono gli stessi effetti dei motori di ricerca "esterni". Da un lato, recuperano solo le informazioni contenute in specifiche pagine web. Dall'altro, e anche qualora un utente ricerchi la stessa persona in piu' pagine web, i motori di ricerca interni non forniranno un profilo completo dell'interessato e i risultati non avranno su quest'ultimo una grossa incidenza. Pertanto, in linea di principio, il diritto di rimozione dagli elenchi non si dovrebbe applicare ai motori di ricerca con un campo di azione limitato, in particolare agli strumenti di ricerca dei siti Internet dei quotidiani.

19. L'articolo 8 della Carta dei diritti fondamentali dell'UE, cui la sentenza fa esplicito riferimento in diversi punti, riconosce il diritto alla protezione dei dati di "ogni persona". Nella pratica, le autorita' di protezione dei dati si concentreranno sulle domande in cui vi e' un chiaro collegamento tra l'interessato e l'UE, ad esempio laddove detta persona sia un cittadino o residente di uno Stato membro dell'UE.

20. Come stabilito dalla Corte, trova applicazione la normativa dell'UE e l'esecuzione della sentenza deve riguardare l'attivita' di trattamento consistente nel "nel trovare informazioni pubblicate o inserite da terzi su Internet, nell'indicizzarle in modo automatico, nel memorizzarle temporaneamente e, infine, nel metterle a disposizione degli utenti di Internet secondo un determinato ordine di preferenza".

Secondo la CGUE, "gli articoli12, letterab), e 14, primo comma, lettera a), della direttiva 95/46 devono essere interpretati nel senso che, al fine di rispettare i diritti previsti da tali disposizioni, e sempre che le condizioni da queste fissate siano effettivamente soddisfatte, il gestore di un motore di ricerca e' obbligato a sopprimere, dall'elenco di risultati che appare a seguito di una ricerca effettuata a partire dal nome di una persona, dei link verso pagine web pubblicate da terzi e contenenti informazioni relative a tale persona".

Infine, la Corte definisce altresi' "il gestore di tale motore di ricerca quale soggetto che determina le finalita' e gli strumenti di questa attivita' deve assicurare, nell'ambito delle sue responsabilita', delle sue competenze e delle sue possibilita', che detta attivita' soddisfi le prescrizioni della direttiva 95/46, affinche' le garanzie previste da quest'ultima possano sviluppare pienamente i loro effetti e possa essere effettivamente realizzata una tutela efficace e completa delle persone interessate, in particolare del loro diritto al rispetto della loro vita privata".

La sentenza stabilisce quindi un obbligo di risultato che incide sull'intera attivita' di trattamento effettuata dal motore di ricerca. La corretta esecuzione della sentenza deve avvenire in modo tale da garantire una protezione efficace degli interessati dalle ripercussioni della diffusione e dall'accessibilita' su scala mondiale delle informazioni personali fornite dai motori di ricerca in base alle ricerche effettuate a partire dal nome di una persona.

Sebbene le soluzioni concrete possano variare a seconda dall'organizzazione e della struttura interna dei motori di ricerca, le decisioni di cancellazione dall'elenco dei risultati devono essere attuate in modo da garantire una tutela efficace e completa di tali diritti e da impedire che le normative dell'UE possano essere facilmente eluse. In tal senso, secondo la sentenza, limitare ai domini dell'UE la rimozione dall'elenco dei risultati, a motivo del fatto che gli utenti tendono ad accedere ai motori di ricerca mediante i rispettivi domini nazionali, non puo' ritenersi un mezzo sufficiente per tutelare in modo soddisfacente i diritti degli interessati. Nella pratica cio' implica che, in ogni caso, la cancellazione dall'elenco dei risultati deve valere per tutti i domini pertinenti, .com incluso.

21. Da un punto di vista materiale, come gia' ricordato, la sentenza precisa espressamente che il diritto concerne soltanto i risultati ottenuti in seguito a ricerche effettuate a partire dal nome di una persona e non menziona in alcun caso la necessita' di rimuovere completamente la pagina dagli indici del motore di ricerca. La pagina resta accessibile usando altri termini di ricerca. E' opportuno osservare che la sentenza utilizza il termine "nome", senza ulteriori specificazioni. Si puo' pertanto concludere che il diritto si applica a diverse versioni del nome, inclusi i cognomi o le differenti grafie.

D. Comunicazione a terzi

22. Alcuni motori di ricerca hanno sviluppato la pratica di comunicare sistematicamente agli utenti che alcuni risultati delle loro ricerche sono stati rimossi dagli elenchi su richiesta di una persona. La finalita' della sentenza risulterebbe fortemente compromessa qualora tale informazione fosse visibile solo per i risultati di ricerca in cui i collegamenti ipertestuali siano stati effettivamente rimossi. Tale pratica puo' ritenersi accettabile solo se l'informazione e' fornita in modo tale che gli utenti non possano, in nessun caso, concludere che una determinata persona ha chiesto la cancellazione dei risultati che la riguardano.

L'impiego di avvisi o dichiarazioni deve essere coerente, in modo da evitare che gli utenti giungano a supposizioni errate o inesatte. Considerate le difficolta' comportate dalla gestione di tali dichiarazioni in base a un tipo specifico di termini di ricerca (ossia, nei casi in cui si utilizzino nomi), si consiglia di fornire tale informazione con una dichiarazione generale, integrata in modo permanente sulle pagine web dei motori di ricerca.

23. I gestori di motori di ricerca non devono, come regola generale, informare i webmaster delle pagine interessate dalla rimozione dall'elenco dei risultati che alcune pagine web non sono accessibili a partire dal motore di ricerca in seguito a specifiche ricerche. La normativa dell'UE in materia di protezione dei dati non prevede alcuna base giuridica per tale comunicazione.

Come gia' affermato, vi e' una differenza essenziale tra la base giuridica per il trattamento da parte dei motori di ricerca e la base giuridica per il trattamento da parte dell'editore d'origine. L'articolo 7, lettera f), costituisce la base giuridica per le operazioni di trattamento necessarie per il perseguimento dell'interesse legittimo del responsabile del trattamento oppure del o dei terzi cui vengono comunicati i dati, a condizione che non prevalgano l'interesse dei diritti e delle liberta' fondamentali della persona interessata. L'interesse dei webmaster d'origine a ricevere tale comunicazione e' opinabile per diverse ragioni. Da un lato, la cancellazione dall'elenco dei risultati di un collegamento ipertestuale nei risultati di una ricerca effettuata soltanto a partire dal nome di una persona ha un impatto limitato, come descritto in precedenza. Dall'altro lato, i webmaster d'origine non possono avvalersi concretamente della comunicazione ricevuta, poiche' riguarda un'operazione di trattamento effettuata dal responsabile del trattamento, su cui non esercitano alcun controllo o influenza. In effetti, i motori di ricerca non riconoscono il diritto legale degli editori di indicizzare e visualizzare i loro contenuti o visualizzare tali contenuti in un determinato ordine.

In ogni caso, tale interesse deve essere ponderato rispetto ai diritti, alle liberta' e agli interessi dell'interessato.

Nella normativa dell'UE sulla protezione dei dati non esiste alcuna disposizione che obblighi i motori di ricerca a comunicare ai webmaster d'origine che i risultati relativi ai loro contenuti sono stati soppressi dall'elenco dei risultati. Tale comunicazione costituisce in molti casi un trattamento dei dati personali e, in quanto tale, necessita di un'appropriata base giuridica per essere lecita. L'articolo 7 della direttiva 95/46/CE non fornisce alcuna base giuridica per la comunicazione regolare delle decisioni di cancellazione dall'elenco dei risultati ai responsabili principali del trattamento.

D'altro canto, in casi particolarmente difficili, laddove sia necessario avere una migliore comprensione delle circostanze del caso, puo' essere legittimo per i motori di ricerca contattare gli editori d'origine prima di prendere una decisione sulla richiesta di cancellazione dall'elenco dei risultati. In questi casi, i motori di ricerca dovrebbero prendere tutte le misure necessarie per garantire una tutela appropriata dei diritti dell'interessato.

Dato il ruolo importante che i motori di ricerca svolgono nella diffusione e nell'accessibilita' alle informazioni pubblicate su Internet e considerate le legittime aspettative dei webmaster sull'indicizzazione e sulla presentazione delle informazioni in seguito alle ricerche degli utenti, il gruppo di lavoro incoraggia vivamente i motori di ricerca a comunicare i criteri di cancellazione utilizzati e a rendere disponibili statistiche piu' dettagliate.

E. Ruolo delle autorita' di protezione dei dati

24. Sebbene la sentenza della CGUE abbia apportato nuovi elementi, la decisione in merito alla cancellazione di un determinato risultato di ricerca comporta, in sostanza, una valutazione sistematica della conformita' del trattamento dei dati personali effettuato dal motore di ricerca ai principi della protezione dei dati. Il gruppo di lavoro ritiene pertanto che i reclami presentati dagli interessati alle autorita' di protezione dei dati riguardanti il rifiuto totale o parziale da parte del motore di ricerca debbano considerarsi – per quanto possibile – domande formali ai sensi dell'articolo 28, paragrafo 4, della direttiva. Di conseguenza, tali domande devono essere trattate dall'autorita' di protezione dei dati a norma della legislazione nazionale analogamente alle altre domande/reclami/richieste di mediazione.

25. Il presidente del gruppo di lavoro contattera' i motori di ricerca al fine di chiarire quale sia lo stabilimento nell'UE che l'autorita' di protezione dei dati competente deve contattare e, se necessario, pubblichera' i risultati della consultazione pubblica.

PARTE II - Elenco dei criteri comuni per il trattamento dei reclami da parte delle autorita' europee di protezione dei dati

Nella decisione del 13 maggio 2014, la CGUE ha chiarito l'applicazione ai motori di ricerca della normativa in materia di protezione dei dati. La Corte ha concluso che gli utenti possono chiedere ai motori di ricerca, a determinate condizioni, la cancellazione dall'elenco dei risultati delle ricerche effettuate a partire dal loro nome di link a informazioni che incidono sulla loro vita privata. Qualora un motore di ricerca rifiuti tale richiesta, l'interessato puo' portare il caso all'attenzione delle autorita' di protezione dei dati o dell'autorita' giudiziaria competente, affinche' siano effettuate le verifiche necessarie e sia presa una decisione, conformemente ai poteri di cui dispongono ai sensi della normativa nazionale.

Deriva dalla sentenza della CGUE secondo cui l'interessato puo' "chiedere [a un motore di ricerca] che l'informazione [riguardante la sua persona] non venga piu' messa a disposizione del grande pubblico in virtu' della sua inclusione in un [...] elenco dei risultati". La Corte ha altresi' stabilito che i diritti fondamentali "prevalgono, in linea di principio, non soltanto sull'interesse economico del gestore del motore di ricerca, ma anche sull'interesse di tale pubblico ad accedere all'informazione suddetta in occasione di una ricerca concernente il nome di questa persona". Tale diritto e' riconosciuto dalla CGUE in virtu' dei diritti fondamentali previsti a norma degli articoli 7 e 8 della Carta dei diritti fondamentali dell'UE e in applicazione dell'articolo 12, lettera b) e dell'articolo 14, lettera a), primo comma, della direttiva 95/46/CE.

La Corte ha altres' riconosciuto l'esistenza di una deroga a questa norma generale, laddove "per ragioni particolari, come il ruolo ricoperto da tale persona nella vita pubblica, [...] l'ingerenza nei [...] diritti fondamentali [dell'interessato] e' giustificata dall'interesse preponderante del grande pubblico [...] ad avere accesso, mediante l'inclusione [dell'informazione] nell'elenco dei risultati, all'informazione di cui trattasi".

Una prima analisi delle denunce sinora ricevute dagli interessati, le cui richieste di cancellazione dall'elenco dei risultati sono state rifiutate dai motori di ricerca, ha permesso alle autorita' di protezione dei dati di stabilire una serie di criteri comuni che dette autorita' potranno utilizzare per verificare il rispetto della normativa relativa alla protezione dei dati. Le autorita' di protezione dei dati valuteranno i reclami caso per caso, applicando i criteri esposti in seguito.

L'elenco dei criteri e' da ritenersi uno strumento di lavoro flessibile, che sara' d'ausilio per le autorita' di protezione dei dati nel processo decisionale. I criteri saranno applicati conformemente alla legislazione nazionale pertinente.

Si prevede che, nella maggior parte dei casi, per giungere a una decisione sara' necessario prendere in considerazione piu' criteri. In altri termini, nessun criterio e' di per se' determinante.

Ogni criterio deve essere applicato alla luce dei principi stabiliti dalla CGUE e in particolare dell'"interesse del grande pubblico ad accedere all'informazione".

CRITERI E OSSERVAZIONE

1. Il risultato della ricerca concerne una persona fisica? Il risultato della ricerca appare in seguito a una ricerca effettuata a partire dal nome dell'interessato?

La sentenza Google riconosce che una ricerca su Internet effettuata a partire dal nome di una persona puo' incidere significativamente sul diritto di un singolo individuo al rispetto della vita privata.

Le autorita' di protezione dei dati prenderanno altresi' in considerazione gli pseudonimi e i soprannomi come termini di ricerca pertinenti, laddove l'interessato possa stabilire che sono collegati alla sua vera identita'.

2. L'interessato riveste un ruolo nella vita pubblica? L'interessato e' una personalita'?

La CGUE ha introdotto un'eccezione per le richieste di cancellazione dall'elenco dei risultati da parte degli interessati che rivestono un ruolo nella vita pubblica, laddove vi sia un interesse del pubblico ad avere accesso alle informazioni che li riguardano. Questo criterio e' piu' ampio di quello relativo alle "personalita'".

Cosa si intende per "ruolo nella vita pubblica"?

Non e' possibile definire con certezza il tipo di ruolo nella vita pubblica che una persona deve rivestire per giustificare l'accesso pubblico alle informazioni che la riguardano ottenute mediante un risultato di ricerca.

Tuttavia, a titolo di esempio, i politici, i funzionari pubblici di alto livello, gli uomini di affari e i membri delle professioni (regolamentate) possono essere considerati persone che rivestono un ruolo nella vita pubblica. Esistono dei motivi per consentire al pubblico di cercare informazioni pertinenti alle loro funzioni e attivita' pubbliche.

Una buona regola generale e' cercare di definire quando l'accesso del pubblico a una determinata informazione – resa disponibile mediante una ricerca a partire dal nome dell'interessato – possa tutelare tale pubblico da una condotta pubblica o professionale scorretta.

E' altresi' difficile definire la sottocategoria rappresentata dalle "personalita'". In generale si puo' affermare che le personalita' sono persone che, per le loro funzioni/mansioni, sono soggette a un certo livello di esposizione mediatica.

Nella risoluzione n. 1165(1998) dell'Assemblea parlamentare del Consiglio d'Europa, riguardante il diritto alla vita privata, e' contenuta una possibile definizione di "personalita'", secondo la quale le personalita' sono persone che detengono una carica pubblica o che usano risorse pubbliche e, in senso piu' ampio, tutti coloro che rivestono un ruolo nella vita pubblica, nei settori della politica, dell'economia, delle arti, della sfera sociale, dello sport o in qualunque altro ambito.

Alcune informazioni sulle personalita' possono essere a carattere prettamente privato e, di norma, non dovrebbero comparire nei risultati di ricerca, ad esempio le informazioni sul loro stato di salute o sui familiari. Tuttavia, in linea di principio, qualora i richiedenti siano personalita' e l'informazione in questione non sia di carattere prettamente privato, la motivazione contraria alla cancellazione dei rispettivi risultati di ricerca sara' piu' solida. Nel ricercare il giusto equilibrio, e' di particolare rilevanza la giurisprudenza della Corte europea dei diritti dell'uomo.

Corte europea dei diritti dell'uomo, von Hannover contro Germania (n. 2), 2012: "Il ruolo o la funzione dell'interessato e la natura delle attivita' oggetto dell'informazione e/o foto costituiscono un altro importante criterio, connesso al precedente. A tal proposito deve essere fatta una distinzione tra soggetti privati e persone che operano in un contesto pubblico, quali le personalita' politiche o pubbliche. Di conseguenza, mentre un soggetto privato sconosciuto al pubblico puo' richiedere una protezione specifica del proprio diritto alla vita privata, lo stesso non vale per le personalita' (cfr. Minelli contro Svizzera (dec.), 14991/02, del 14 giugno 2005, e Petrenco, di cui sopra, punto 55). Deve essere fatta una distinzione fondamentale tra la pubblicazione di fatti che potrebbero alimentare un dibattito in una societa' democratica, ad esempio riguardo a personalita' politiche nell'esercizio delle loro funzioni ufficiali, e la pubblicazione di informazioni sulla vita privata di un individuo che non esercita funzioni del genere (cfr. Von Hannover, di cui sopra, punto 63, e Standard Verlags GmbH, di cui sopra, punto 47)"1.

3. L'interessato e' un minore?

In linea di principio, qualora l'interessato sia legalmente minorenne – ossia, non abbia ancora compiuto 18 anni al momento della pubblicazione dell'informazione – e' piu' probabile che le autorita' di protezione dei dati chiedano la cancellazione dei risultati pertinenti.

Le autorita' di protezione dei dati sono tenute a tenere conto del concetto di "interesse superiore del minore". Tale concetto si ritrova, tra l'altro, all'articolo 24 della Carta dei diritti fondamentali dell'UE. "In tutti gli atti relativi ai minori, siano essi compiuti da autorita' pubbliche o da istituzioni private, l'interesse superiore del minore deve essere considerato preminente".

4. I dati sono esatti?

Di norma, "esatto" significa "veritiero rispetto a fatti". Vi e' una differenza tra un risultato di ricerca che si riferisce chiaramente all'opinione di una persona su un'altra persona e un risultato contenente informazioni fattuali.

Nella legislazione relativa alla protezione di dati, le nozioni di esattezza, adeguatezza e incompletezza sono strettamente connesse. E' piu' probabile che le autorita' di protezione dei dati ritengano opportuno sopprimere un risultato di ricerca in caso di effettiva inesattezza e qualora il risultato presenti un'immagine errata, inadeguata o fuorviante di un individuo. Quando un interessato si oppone a un risultato di ricerca poiche' lo ritiene inesatto, le autorita' di protezione dei dati possono intervenire qualora il ricorrente fornisca tutte le informazioni necessarie per stabilire che i dati siano effettivamente errati.

Nei casi in cui una controversia sull'inesattezza dell'informazione sia ancora pendente, ad esempio presso il tribunale, o qualora sia in corso un'indagine di polizia, le autorita' di protezione dei dati possono scegliere di non intervenire sino alla conclusione del procedimento.

5. I dati sono pertinenti e non eccessivi?

• I dati si riferiscono alla vita professionale dell'interessato?

• I risultati della ricerca rinviano a informazioni considerabili discorsi di incitamento all'odio/diffamazioni/ oltraggio o reati analoghi nell'ambito dell'espressione contro il richiedente?

• E' chiaro che i dati riflettono un'opinione personale o sembrano essere fatti accertati?

L'obiettivo generale di tali criteri e' valutare se l'informazione contenuta nel risultato di una ricerca sia pertinente o meno per l'interesse del grande pubblico ad accedere all'informazione.

La pertinenza e' altresi' strettamente collegata a quando risalgono i dati. In base ai fatti del caso, le informazioni pubblicate da molto tempo, ad esempio quindici anni fa, possono essere meno pertinenti di quelle pubblicate un anno fa.

L'autorita' di protezione dei dati valutera' la pertinenza in base ai fattori elencati in seguito.

a. I dati si riferiscono alla vita professionale dell'interessato?

Nell'esaminare la richiesta di cancellazione dall'elenco dei risultati, le autorita' di protezione dei dati devono operare una prima distinzione tra vita privata e vita professionale.

La tutela dei dati – e la legge sul rispetto della vita privata in senso piu' ampio – riguarda innanzitutto il rispetto del diritto fondamentale di un individuo alla vita privata (e alla protezione dei dati). Sebbene tutti i dati relativi a una persona siano dati personali, non tutti sono privati. Deve essere fatta una distinzione fondamentale tra la vita privata di una persona e la figura pubblica o professionale rivestita da tale persona. Meno un'informazione rivela sulla vita privata di una persona, piu' la presenza di tale informazione in un risultato di ricerca e' considerata accettabile.

Di norma, un'informazione relativa alla vita privata di una persona che non ricopre alcun ruolo nella vita pubblica non dovrebbe considerarsi pertinente. Tuttavia, anche le personalita' godono di un diritto alla vita privata, sebbene in forma limitata o modificata.

E' piu' probabile che l'informazione sia piu' pertinente se si riferisce alla vita professionale attuale dell'interessato. Tuttavia, molto dipendera' dalla natura dell'attivita' professionale dell'interessato e dal legittimo interesse del pubblico ad avere accesso a tale informazione per mezzo di una ricerca a partire dal nome di detta persona.

Altre due domande sono qui pertinenti:

• i dati riguardanti l'attivita' lavorativa di una persona sono eccessivi?

• l'interessato svolge ancora la stessa professione?

b. I risultati della ricerca rinviano a informazioni eccessive o considerabili discorsi di incitamento all'odio/diffamazioni/oltraggio o reati analoghi nell'ambito dell'espressione contro il richiedente?

Di norma, le autorita' di protezione dei dati non hanno il potere ne' le competenze per occuparsi delle informazioni che potrebbero costituire un illecito civile o penale relativo a "discorsi" contro il ricorrente, quali un discorso d'incitazione all'odio, la diffamazione o l'oltraggio. In tali casi, qualora una richiesta di cancellazione dall'elenco dei risultati sia stata respinta, le autorita' di protezione dei dati potranno indirizzare l'interessato verso le autorita' di polizia e/o giudiziarie. La situazione sarebbe diversa nel caso in cui un tribunale abbia stabilito che la pubblicazione dell'informazione costituisce effettivamente un reato o una violazione di altre normative.

Spetta tuttavia alle autorita' di protezione dei dati valutare se la normativa relativa alla protezione dei dati sia stata effettivamente rispettata.

c. E' chiaro che i dati riflettono un'opinione personale o sembrano essere fatti accertati?

La natura dell'informazione contenuta in un risultato di ricerca puo' altresi' essere pertinente, in particolare la differenza tra opinione personale e fatti accertati. Le autorita' di protezione dei dati riconoscono che alcuni risultati di ricerca conterranno link a contenuti che potrebbero essere parte di una campagna personale contro una determinata persona, consistenti in "invettive" o eventualmente in commenti personali sgradevoli. Sebbene l'accessibilita' a tale informazione possa essere offensiva e importuna, non necessariamente le autorita' di protezione dei dati considereranno necessario sopprimere i risultati della ricerca pertinenti. Tuttavia, e' piu' probabile che le autorita' di protezione dei dati prendano in considerazione la cancellazione dei risultati di ricerca che contengono dati che sembrano essere fatti accertati, ma che sono inesatti in termini fattuali.

6. L'informazione e' di natura delicata ai sensi dell'articolo 8 della direttiva 95/46/CE?

Come regola generale, i dati di natura delicata (definiti all'articolo 8 della direttiva 95/46/CE in quanto "categoria particolare di dati") hanno una maggiore incidenza sulla vita privata dell'interessato rispetto ai dati personali "ordinari". Un buon esempio potrebbero essere le informazioni sulla salute, la sessualita' o le convinzioni religiose di una persona. E' piu' probabile che le autorita' di protezione dei dati intervengano nei casi in cui le richieste di cancellazione dei risultati respinte riguardino risultati che rivelano al pubblico tali informazioni.

7. I dati sono aggiornati? I dati sono disponibili piu' a lungo di quanto necessario per le finalita' del trattamento?

Come regola generale, le autorita' di protezione dei dati interverranno a questo riguardo con l'obiettivo di garantire che le informazioni che non sono piu' ragionevolmente attuali e divenute inesatte perche' non piu' aggiornate siano rimosse. Tale valutazione dipendera' dalla finalita' del trattamento originario.

8. Il trattamento dei dati arreca un pregiudizio all'interessato? I dati hanno un impatto negativo eccessivo sull'interessato?

L'interessato non ha l'obbligo di dimostrare il danno subito per richiedere la cancellazione dei risultati. In altre parole, il danno arrecato non e' una condizione per esercitare il diritto riconosciuto dalla CGUE. Tuttavia, la dimostrazione che la pubblicazione di un risultato di ricerca arreca un pregiudizio all'interessato costituisce un valido elemento a favore dell'eliminazione del risultato2.

La direttiva 95/46/CE consente all'interessato di opporsi al trattamento dei dati per motivi preminenti e legittimi. In caso di opposizione giustificata, il responsabile del trattamento deve cessare il trattamento dei dati personali.

I dati possono avere un impatto eccessivamente negativo sull'interessato qualora un risultato di ricerca riguardi un'infrazione di minore entita' o superficiale che non sia piu' - o non sia mai stata - oggetto di un dibattito pubblico e laddove non vi sia piu' alcun ampio interesse pubblico nell'accedere all'informazione.

9. Il risultato della ricerca rimanda a informazioni che mettono a rischio l'interessato?

Le autorita' di protezione dei dati riconosceranno che l'accessibilita' a determinate informazioni mediante le ricerche su Internet puo' esporre gli interessati a rischi quali, ad esempio, il furto di identita' o lo stalking. In tali casi, laddove il rischio sia significativo, e' probabile che le autorita' di protezione dei dati ritengano opportuna la cancellazione di un risultato di ricerca.

10. In quale contesto e' stata pubblicata l'informazione?

1. Il contenuto e' stato pubblicato volontariamente dall'interessato?

2. Il contenuto era inteso a essere reso pubblico? L'interessato era ragionevolmente a conoscenza che il contenuto sarebbe stato reso pubblico?

Qualora l'unica base giuridica per la pubblicazione di dati personali su Internet sia il consenso, ma l'interessato lo revochi, in tal caso l'attivita' di trattamento – ossia, la pubblicazione – non avra' piu' alcuna base giuridica e dovra' pertanto essere cessata.

2 CGUE, Google Spain SL, Google Inc. contro Agencia Espanola de Proteccio'n de Datos (AEPD), Mario Costeja Gonzalez, 13 maggio 2014, punto 96, "occorre sottolineare che la constatazione di un diritto siffatto non presuppone che l'inclusione dell'informazione in questione nell'elenco di risultati arrechi un pregiudizio all'interessato".

Nel valutare le richieste, le autorita' di protezione dei dati prenderanno in considerazione se il link debba essere rimosso anche nel caso in cui il nome o l'informazione non vengano previamente o simultaneamente cancellati dalla fonte d'origine.

In particolare, laddove l'interessato abbia dato il proprio consenso per la pubblicazione originaria, ma non riesca successivamente a revocare detto consenso e la richiesta di rimozione sia rifiutata, in linea di principio le autorita' di protezione dei dati riterranno opportuna la cancellazione del risultato di ricerca.

11. Il contenuto originario e' stato pubblicato a scopi giornalistici?

Le autorita' di protezione dei dati riconoscono che, in base al contesto, puo' essere pertinente tenere conto del fatto che l'informazione e' stata pubblicata a fini giornalistici. Il fatto che l'informazione sia pubblicata da un giornalista, il cui lavoro consiste nell'informare il pubblico, e' un fattore da soppesare. Tuttavia, questo criterio non costituisce di per se' una base sufficiente per respingere una richiesta, dato che la sentenza opera una netta distinzione tra la base giuridica per la pubblicazione da parte dei mezzi di comunicazione e la base giuridica per l'organizzazione da parte dei motori di ricerca dei risultati di una ricerca a partire dal nome di una persona.

12. L'editore dei dati ha il potere o l'obbligo giuridico di rendere pubblicamente disponibili i dati personali?

Alcune autorita' pubbliche hanno il dovere giuridico di rendere pubbliche determinate informazioni personali - ad esempio ai fini della registrazione elettorale. Tale aspetto varia in base alla legge e agli usi degli Stati membri. Laddove cio' si verifichi, le autorita' di protezione dei dati possono ritenere appropriata la cancellazione, mentre rimane valido il requisito per l'autorita' pubblica di rendere l'informazione pubblicamente disponibile. Tuttavia, tale aspetto deve essere valutato caso per caso, assieme ai criteri relativi all'obsolescenza e alla mancanza di pertinenza.

Le autorita' di protezione dei dati possono ritenere che la cancellazione dall'elenco dei risultati sia opportuna anche qualora esista un obbligo giuridico di rendere il contenuto disponibile sul sito web d'origine.

13. I dati riguardano un reato?

Gli Stati membri dell'UE possono adottare diversi approcci per quanto concerne la divulgazione pubblica delle informazioni relative ad autori di reati e ai rispettivi reati. Possono esservi disposizioni giuridiche specifiche, con un'incidenza sulla disponibilita' di tali informazioni nel tempo. Le autorita' di protezione dei dati tratteranno tali casi conformemente ai principi e agli approcci nazionali. Di norma, e' piu' probabile che le autorita' di protezione dei dati prendano in considerazione la cancellazione dei risultati di ricerca riguardo a reati di portata relativamente minore, commessi molto tempo fa, rispetto a risultati connessi a reati piu' gravi verificatisi piu' di recente. Tuttavia, tali questioni richiedono un'attenta analisi e saranno esaminate caso per caso.

Fonte: Garante per la Protezione dei dati - WP225 GUIDELINES ON THE IMPLEMENTATION OF THE COURT OF JUSTICE OF THE EUROPEAN UNION JUDGMENT ON “GOOGLE SPAIN AND INC V. AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS (AEPD) AND MARIO COSTEJA GONZÁLEZ” C-131/12

LINK: https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=667236