GRUPPO DI LAVORO ARTICOLO 29 PER LA PROTEZIONE DEI DATI

14/IT

WP 225

ORIENTAMENTI PER L'ESECUZIONE DELLA SENTENZA DELLA CORTE DI GIUSTIZIA DELL'UNIONE EUROPEA
NELLA CAUSA C-131/12 "GOOGLE SPAIN E INC. CONTRO AGENCIA ESPANOLA DE PROTECCIO'N DE DATOS (AEPD) E MARIO COSTEJA GONZA'LEZ"

adottati il 26 novembre 2014

.... ( omissis) ...

2. Un giusto equilibrio tra diritti fondamentali e interessi

Nei termini della Corte di giustizia dell'Unione europea (in appresso, la Corte, CGUE), vista la gravita' potenziale dell'ingerenza di tale trattamento sui diritti fondamentali alla vita privata e alla protezione dei dati, i diritti dell'interessato prevalgono, come regola generale, sull'interesse economico del motore di ricerca e su quello degli utenti di Internet ad avere accesso alle informazioni personali attraverso il motore di ricerca. Tuttavia, occorre ricercare un giusto equilibrio tra i diritti e gli interessi pertinenti. Il risultato puo' dipendere dalla natura e dal carattere sensibile dei dati trattati, nonche' dall'interesse del pubblico ad accedere a quella particolare informazione, che sara' di gran lunga maggiore qualora l'interessato ricopra un ruolo nella vita pubblica.

B. Esercizio dei diritti

10. La normativa in materia di protezione dei dati si applica all'attivita' di un motore di ricerca che opera quale responsabile del trattamento. Pertanto, gli interessati devono poter esercitare i loro diritti, conformemente alle disposizioni della direttiva 95/46/CE e, nello specifico, alle leggi nazionali di attuazione.

11. Una persona non e' nuta a contattare il sito d'origine, ne' prima ne' allo stesso tempo, al fine di far valere i propri diritti nei confronti dei motori di ricerca. Esistono due diverse operazioni di trattamento, con basi di legittimazione distinte, nonche' differenti effetti per i diritti e gli interessi dell'interessato. La persona interessata puo' ritenere che, date le circostanze del caso, sia meglio contattare prima il webmaster d'origine per richiedere la cancellazione dell'informazione o l'applicazione dei protocolli di "non indicizzazione", benche' la sentenza non lo richieda.

12. Per la stessa ragione, una persona puo' scegliere come esercitare i propri diritti nei confronti dei motori di ricerca, selezionandone uno o diversi. Presentando una richiesta a uno o piu' motori di ricerca, la persona effettua una valutazione dell'impatto della pubblicazione delle informazioni controverse su uno o piu' motori di ricerca e, di conseguenza, prende una decisione sui rimedi che possono bastare per limitare o annullare tale impatto.

13. Mentre la direttiva 95/46/CE non contiene disposizioni specifiche sui mezzi per l'esercizio dei diritti, la maggior parte delle leggi nazionali sulla protezione dei dati prevedono una grande flessibilita' al riguardo e danno agli interessati la possibilita' di presentare le loro richieste in diversi modi, indipendentemente dal fatto che i responsabili del trattamento possano avere istituito procedure "ad hoc".

Di conseguenza, e in quanto migliore pratica in linea con tutti i possibili requisiti giuridici in tutti gli Stati membri dell'UE, gli interessati devono potere esercitare i loro diritti nei confronti dei gestori di motori di ricerca, ricorrendo a ogni strumento del caso. Sebbene il ricorso a questi meccanismi specifici possa essere previsto dai motori di ricerca, in particolare con procedure online e moduli elettronici, ed essere vantaggioso e preferibile per la sua convenienza, esso non dovrebbe rappresentare l'unica modalita' a disposizione degli interessati per esercitare i propri diritti.

14. Per le stesse ragioni, i motori di ricerca devono seguire le normative nazionali in materia di protezione di dati per quanto concerne i requisiti di presentazione di una richiesta, nonche' quelli relativi ai termini e ai contenuti delle risposte. In particolare, laddove un interessato richieda la cancellazione di alcuni link, il responsabile del trattamento dei dati puo' chiedere una forma di identificazione, ma anche in questo caso in linea con quello che le normative nazionali considerano necessario e proporzionato, al fine di verificare l'identita' del richiedente nel contesto della richiesta. Nella raccolta delle informazioni di identificazione da parte del responsabile del trattamento devono essere previste opportune garanzie.

Affinche' il motore di ricerca possa procedere alla necessaria valutazione di tutte le circostanze del caso, gli interessati devono apportare sufficienti spiegazioni circa la richiesta di cancellazione, identificare gli URL specifici e indicare se rivestano o meno un ruolo nella vita pubblica.

15. Un motore di ricerca che si opponga a una richiesta di cancellazione deve fornire all'interessato spiegazioni sufficienti sulle ragioni del rifiuto. Deve inoltre informare gli interessati della possibilita' di rivolgersi all'autorita' di protezione dei dati o alle autorita' giudiziarie, qualora la risposta non li soddisfi. Tali spiegazioni devono inoltre essere fornite dagli interessati all'autorita' di protezione dei dati, qualora decidano di rivolgersi a quest'ultima.

16. In base alla sentenza, le filiali nazionali di Google nell'UE sono stabilimenti della societa' e il trattamento dei dati personali da parte di Google nell'ambito del motore di ricerca e' effettuato nel contesto delle attivita' di uno di questi stabilimenti, il che rende applicabili le norme dell'UE in materia di protezione dei dati.

La direttiva 95/46/CE non contiene disposizioni specifiche riguardo alla responsabilita' degli stabilimenti del responsabile del trattamento situati nel territorio degli Stati membri. L'unico riferimento e' l'articolo 4, paragrafo 1, lettera a), che recita: "qualora uno stesso responsabile del trattamento sia stabilito nel territorio di piu' Stati membri, esso deve adottare le misure necessarie per assicurare l'osservanza, da parte di ciascuno di detti stabilimenti, degli obblighi stabiliti dal diritto nazionale applicabile". La disposizione e' chiarita in qualche misura dal considerando 19: "quando un unico responsabile del trattamento e' stabilito nel territorio di diversi Stati membri, in particolare per mezzo di filiali, esso deve assicurare, segnatamente per evitare che le disposizioni vengano eluse, che ognuno degli stabilimenti adempia gli obblighi previsti dalla legge nazionale applicabile alle attivita' di ciascuno di essi".

L'effettiva esecuzione della sentenza e della normativa in materia di protezione dei dati prevede che l'interessato possa far valere i propri diritti nei confronti delle filiali nazionali dei motori di ricerca nei rispettivi Stati membri di residenza e che le autorita' di protezione dei dati possano contattare le rispettive filiali nazionali in merito alle richieste o ai reclami presentati dagli interessati.

Ovviamente, tali filiali sono libere di applicare procedure interne per trattare le richieste direttamente o inoltrandole ad altri stabilimenti della societa'. E' ragionevole altresi' aspettarsi che una prima risposta sia suggerire agli interessati di utilizzare le procedure "ad hoc" previste dalla societa' e i corrispondenti moduli elettronici. Tuttavia, qualora l'interessato continui a contattare la filiale nazionale, la richiesta non deve essere rifiutata.

.... ( omissis) ..

Fonte: Garante per la Protezione dei dati - WP225 GUIDELINES ON THE IMPLEMENTATION OF THE COURT OF JUSTICE OF THE EUROPEAN UNION JUDGMENT ON “GOOGLE SPAIN AND INC V. AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS (AEPD) AND MARIO COSTEJA GONZÁLEZ” C-131/12

LINK: https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=667236