Diritto all’oblio globale

Fino a dove può spingersi il Garante italiano per la protezione dei dati personali in materia di diritto all’oblio? Lo chiarisce la recente ordinanza della prima sezione civile della Cassazione, depositata il 24 novembre 2022, che riconosce alle Autorità italiane – il Garante, nonché agli organi giurisdizionali – la possibilità, in conformità al diritto dell’Unione Europea, di ordinare al gestore di un motore di ricerca di effettuare una deindicizzazione globale¹.

Il caso

Anzitutto, conviene premettere che per “deindicizzazione” (delisting) si intende un’operazione attraverso la quale il gestore di un motore di ricerca “sopprime”, dall’elenco dei risultati che appare a seguito di una query correlata al nome di una persona, gli URL che rinviano a informazioni relative a tale persona. In altri termini, quindi, a differenza della cancellazione o rimozione di un contenuto, la deindicizzazione, quale species del diritto all’oblio su Internet, non implica l’eliminazione della pubblicazione, ma significa impedire che il contenuto pubblicato online venga trovato tramite motori di ricerca esterni all’archivio in cui il contenuto si trova.

In particolare, nel caso giudicato, l’interessato presentava ricorso al Garante nei confronti di un noto motore di ricerca statunitense per la rimozione di alcuni URL reperibili in associazione al proprio nome e cognome e riconducibili a contenuti non aggiornati, in quanto relativi ad una vicenda giudiziaria nella quale il medesimo era stato coinvolto e conclusasi con decreto di archiviazione per infondatezza della notizia di reato.

Con provvedimento del 26 ottobre 2017² il Garante, accertata la rimozione spontanea da parte del gestore degli URL dalle versioni europee del suo motore, a seguito di specifica richiesta dell’interessato, aveva ordinato di rimuovere entro venti giorni i medesimi URL anche dalle versioni extraeuropee del motore di ricerca, tenuto contro del fatto che il richiedente risiedeva e lavorava prevalentemente al di fuori dell’Europa.

Il provvedimento veniva impugnato dal colosso statunitense davanti al Tribunale di Milano che, accogliendo parzialmente il ricorso, limitava il provvedimento del Garante all’ordine di rimozione degli URL sulle sole versioni nazionali del motore di ricerca corrispondenti agli Stati membri dell’Unione Europea. L’Autorità, di conseguenza, proponeva ricorso per Cassazione sostenendo l’applicazione extraterritoriale dell’ordine di deindicizzazione.

La decisione

Chiamati nuovamente a pronunciarsi sul tema del “diritto all’oblio”, oggi sancito dall’art. 17 del Reg. UE 679/2016 (o GDPR), i giudici di legittimità hanno ripercorso rapidamente i passi salienti della giurisprudenza della stessa Corte in materia. Viene così ricordato che il diritto all’oblio consiste nel diritto della persona a non rimanere esposta senza limiti di tempo ad una rappresentazione non più attuale della propria persona con pregiudizio alla reputazione e alla riservatezza. È proprio con la nascita e lo sviluppo di Internet, infatti, che si è posto il problema del “diritto ad essere dimenticati”, data la facilità di accesso, tramite il semplice utilizzo di parole chiave, a contenuti remoti conservati nella memoria elefantiaca della rete. Tale diritto deve comunque essere bilanciato con l’interesse pubblico alla conoscenza del fatto, espressione del diritto alla libertà d’informazione, con il diritto di cronaca, nonché con l’interesse pubblico alla conservazione della notizia per finalità storico-sociale e documentaristica³.

Fatta questa dovuta premessa, la Corte si è concentrata sul principale elemento del contendere: la portata territoriale dell’ordine di deindicizzazione dei dati. Su questo piano, l’azione interpretativa degli Ermellini ha dovuto obbligatoriamente tenere in considerazione le coordinate fornite dalla decisione della Corte di Giustizia dell’Unione Europea (CGUE) del 2019, C- 507/2017, cd. caso “CNIL”⁴. In quella occasione la CGUE, in apposito paragrafo (n. 72), ha potuto chiarire che il diritto dell’Unione non impone agli Stati membri di far in modo che l’interessato che si avvalga del diritto alla deindicizzazione possa ottenere il risultato di incidere su tutte le versioni, anche extraeuropee, del motore di ricerca; nondimeno neppure vieta a tali Stati di consentire questo risultato. Pertanto, «ciascun Stato membro – e così l’Italia – è libero di effettuare nella sua disciplina nazionale, conformemente agli standard nazionali di protezione dei diritti fondamentali, un bilanciamento tra il diritto della persona interessata alla tutela della sua vita privata e alla protezione dei suoi dati personali e il diritto all’informazione, per richiedere all’esito al gestore di tale motore di ricerca di effettuare una deindicizzazione su tutte le versioni del proprio motore, incluse quelle extraeuropee»⁵.

Nel solco della strada intrapresa dalla CGUE, la Cassazione a valle di un complesso bilanciamento tra contrapposti diritti e libertà fondamentali ha stabilito che, in Italia, il livello accordato alla tutela dei dati personali – sancita agli artt. 21 e 2 della Costituzione, nonché all’art. 8 della Carta dei diritti fondamentali dell’UE – e agli altri diritti fondamentali posti a garanzia della dignità della persona non tollera limitazioni territoriali al diritto all’oblio. Di conseguenza, qualora il richiedente dimostri l’esistenza di un interesse concreto all’estensione extraterritoriale del provvedimento, il Garante (o organo giurisdizionale) potrà emanare un ordine di rimozione o deindicizzazione di portata globale.

Nel caso sottoposto alla Corte di Cassazione, ad esempio, il richiedente risiedeva e svolgeva la sua attività professionale prevalentemente al di fuori dell’Europa; pertanto, al fine di rendere adeguata ed effettiva la tutela garantita all’interessato, il provvedimento doveva necessariamente estendere la sua efficacia extra UE.

Infine, la Cassazione, aderendo alle osservazioni in controricorso del Garante, ha chiarito che la potenziale portata extraterritoriale di un provvedimento nazionale non inficia la sovranità delle altre Nazioni, le quali saranno libere di non riconoscerne la vincolatività.

Conclusioni

Il “diritto di essere dimenticati”, che si accompagna ai diritti all’identità, alla riservatezza e alla contestualizzazione delle informazioni, appare sempre più sfuggente in una rete capace di una memoria pressocché illimitata. Non è un caso che, proprio pochi giorni dopo la decisione della Corte di Cassazione, anche la CGUE sia tornata a pronunciarsi sul diritto all’oblio precisando che il gestore del motore di ricerca deve deindicizzare le informazioni incluse nel contenuto indicizzato qualora il richiedente ne dimostri la manifesta inesattezza. È evidente, dunque, che in un mondo in cui guadagnarsi un posticino nella memoria della rete è alla portata di tutti, è auspicabile che si prevedano rimedi obbligatori ed effettivi che permettano a chiunque di aggiornare costantemente la propria “biografia telematica”.

Paola Patriarca