La pronuncia della Corte di Giustizia UE sulla portata territoriale del diritto alla deindicizzazione

La Corte di Giustizia dell’Unione Europea, insieme alla sentenza pronunciata nella causa C-136/17, è intervenuta anche con un’altra pronuncia sul tema del "diritto all’oblio" e sui limiti, anche territoriali, entro cui il gestore di un motore di ricerca è tenuto a cancellare i link visualizzati in esito ad una ricerca effettuata a partire da un luogo situato all’interno dell’Unione Europea.

Si tratta della sentenza del 24 settembre 2019, relativa al procedimento C-507/17, avviato a seguito di una domanda di pronuncia pregiudiziale del Conseil d’État (Consiglio di Stato francese).

La sentenza ha offerto l’occasione alla Corte di Giustizia di precisare il campo di applicazione ratione loci della direttiva 95/46/CE e di chiarire la portata territoriale del diritto di una persona di ottenere dal gestore di un motore di ricerca la cancellazione di link Internet, verificando se le disposizioni della direttiva 95/46 impongano una cancellazione a livello nazionale, europeo o mondiale. Nella sentenza viene chiarito preliminarmente dalla Corte che, sebbene alla data di presentazione della domanda di pronuncia pregiudiziale fosse vigente la direttiva 95/46/CE, essa è stata abrogata con effetto dal 25 maggio 2018, data a partire dalla quale è applicabile il regolamento UE 2016/679; la Corte, quindi, esamina esamina le questioni sollevate tanto alla luce della citata direttiva quanto del nuovo regolamento per garantire che le sue risposte siano, in ogni caso, utili al giudice del rinvio.

“Il gestore di un motore di ricerca non è tenuto a effettuare la deindicizzazione in tutte le versioni del suo motore di ricerca. È tuttavia tenuto ad effettuarla nelle versioni di tale motore di ricerca corrispondenti a tutti gli Stati membri e ad attuare misure che scoraggino gli utenti di Internet dall’avere accesso, a partire da uno degli Stati membri, ai link di cui trattasi contenuti nelle versioni extra UE di detto motore”.

A tale conclusione è giunta la Corte di Giustizia nella sentenza in esame sulla domanda di pronuncia pregiudiziale proposta Consiglio di Stato francese con decisione del 19 luglio 2017, nel procedimento Google LLC, succeduta alla Google Inc., contro Commission nationale de l'informatique et des libertés (CNIL).

Con decisione del 10 marzo 2016, la presidente della Commissione nazionale francese per l’informatica e le libertà (CNIL) ha irrogato una sanzione di 100.000 auro alla Google Inc. in conseguenza del suo rifiuto, quando accoglie una domanda di deindicizzazione, di applicare la deindicizzazione a tutte le estensioni del nome di dominio del suo motore di ricerca. La Google Inc., alla quale la CNIL aveva intimato, il 21 maggio 2015, di applicare la deindicizzazione a tutte le estensioni, aveva rifiutato di ottemperare e si era limitata a sopprimere i link di cui trattasi dai soli risultati visualizzati in esito a ricerche effettuate sulle declinazioni del suo motore di ricerca il cui nome di dominio corrisponde a uno Stato membro.

La Google Inc. ha chiesto al Consiglio di Stato francese di annullare la decisione del 10 marzo 2016. Essa ritiene, infatti, che il diritto alla deindicizzazione non comporti necessariamente che i link controversi debbano essere soppressi, senza limitazioni geografiche, in tutti i nomi di dominio del suo motore di ricerca. Il Conseil d’État ha sottoposto alla Corte di Giustizia varie questioni pregiudiziali al fine di stabilire se le norme del diritto dell’Unione Europea relative alla protezione dei dati personali debbano essere interpretate nel senso che, quando il gestore di un motore di ricerca accoglie una domanda di deindicizzazione, è tenuto ad effettuare quest’ultima su tutte le versioni del suo motore di ricerca o se, al contrario, sia tenuto ad effettuarla solo sulle versioni del suddetto motore corrispondenti a tutti gli Stati membri, oppure solo su quella corrispondente allo Stato membro di residenza del beneficiario della deindicizzazione.

Le questioni pregiudiziali sottoposte all'esame della Corte di Giustizia sono le seguenti:

1) Se il “diritto alla deindicizzazione”, come sancito dalla [Corte] nella sentenza del 13 maggio 2014, [Google Spain e Google (C‑131/12, EU:C:2014:317),] sulla base delle disposizioni di cui all’articolo 12, lettera b), e all’articolo 14, [primo comma,] lettera a), della direttiva [95/46], debba essere interpretato nel senso che il gestore di un motore di ricerca, nel dare seguito a una richiesta di deindicizzazione, è tenuto ad eseguire tale deindicizzazione su tutti i nomi di dominio del suo motore, affinché i link controversi non appaiano più - indipendentemente dal luogo a partire dal quale viene effettuata la ricerca avviata sul nome del richiedente - e ciò anche al di fuori dell’ambito di applicazione territoriale della direttiva [95/46].

2) In caso di risposta negativa alla prima questione, se il «diritto alla deindicizzazione», come sancito dalla [Corte] nella summenzionata sentenza, debba essere interpretato nel senso che il gestore di un motore di ricerca, nel dare seguito a una richiesta di deindicizzazione, sia tenuto solamente a sopprimere i link controversi che appaiono in esito a una ricerca effettuata a partire dal nome del richiedente sul nome di dominio corrispondente allo Stato in cui si ritiene sia stata effettuata la domanda o, più in generale, sui nomi di dominio del motore di ricerca corrispondenti alle estensioni nazionali di tale motore per tutti gli Stati membri (...).

3) Inoltre se, a complemento degli obblighi richiamati [nella seconda questione], il “diritto alla deindicizzazione”, come sancito dalla [Corte] nella summenzionata sentenza, debba essere interpretato nel senso che il gestore di un motore di ricerca, quando accoglie una richiesta di deindicizzazione, è tenuto a sopprimere, con la cosiddetta tecnica del “blocco geografico”, a partire da un indirizzo IP che si ritiene localizzato nello Stato di residenza del beneficiario del “diritto alla deindicizzazione”, i risultati controversi delle ricerche effettuate a partire dal nome di quest’ultimo, o persino, più in generale, a partire da un indirizzo IP che si ritiene localizzato in uno degli Stati membri assoggettati alla direttiva [95/46], e ciò indipendentemente dal nome di dominio utilizzato dall’utente di Internet che effettua la ricerca.

La Corte di Giustizia ha così risposto sulle questioni sollevate:

L’articolo 12, lettera b), e l’articolo 14, primo comma, lettera a), della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, e l’articolo 17, paragrafo 1, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46 (regolamento generale sulla protezione dei dati), devono essere interpretati nel senso che il gestore di un motore di ricerca, quando accoglie una domanda di deindicizzazione in applicazione delle suddette disposizioni, è tenuto ad effettuare tale deindicizzazione non in tutte le versioni del suo motore di ricerca, ma nelle versioni di tale motore corrispondenti a tutti gli Stati membri, e ciò, se necessario, in combinazione con misure che, tenendo nel contempo conto delle prescrizioni di legge, permettono effettivamente di impedire agli utenti di Internet, che effettuano una ricerca sulla base del nome dell’interessato a partire da uno degli Stati membri, di avere accesso, attraverso l’elenco dei risultati visualizzato in seguito a tale ricerca, ai link oggetto di tale domanda, o quantomeno di scoraggiare seriamente tali utenti.

Nella sentenza in esame, la Corte di Giustizia ricorda di aver già dichiarato (sentenza del 13 maggio 2014, Google Spain e Google, C-131/12) che il gestore di un motore di ricerca è obbligato a sopprimere, dall’elenco di risultati che appare a seguito di una ricerca effettuata a partire dal nome di una persona, dei link verso pagine Internet pubblicate da terzi e contenenti informazioni relative a questa persona, anche nel caso in cui tale nome o tali informazioni non vengano previamente o simultaneamente cancellati dalle pagine Internet di cui trattasi, e ciò eventualmente anche quando la loro pubblicazione su tali pagine sia di per sé lecita.

La Corte rileva che lo stabilimento di cui la Google Inc. dispone in territorio francese svolge attività, in particolare attività commerciali e pubblicitarie, che sono inscindibilmente connesse al trattamento di dati personali effettuato per le esigenze del funzionamento del motore di ricerca in questione e, dall’altro, che il suddetto motore di ricerca deve essere considerato - tenuto conto, in particolare, dell’esistenza di applicazioni-ponte (gateway) tra le sue diverse versioni nazionali - un soggetto che procede a un unico trattamento di dati personali nel contesto delle attività dello stabilimento francese della Google Inc. Tale situazione rientra quindi nell’ambito di applicazione della normativa dell’Unione in materia di protezione dei dati personali.

La Corte sottolinea che, in un mondo globalizzato, l’accesso da parte degli utenti di Internet, in particolare quelli localizzati al di fuori dell’Unione, all’indicizzazione di un link, che rinvia a informazioni concernenti una persona il cui centro di interessi si trova nell’Unione, può produrre effetti immediati e sostanziali sulla persona in questione all’interno dell’Unione stessa, ragion per cui una deindicizzazione mondiale sarebbe idonea a conseguire pienamente l’obiettivo di protezione perseguito dal diritto dell’Unione. Essa precisa tuttavia che molti Stati terzi non riconoscono il diritto alla deindicizzazione o comunque adottano un approccio diverso per tale diritto.

La Corte aggiunge che il diritto alla protezione dei dati personali non è una prerogativa assoluta, ma va considerato alla luce della sua funzione sociale e va contemperato con altri diritti fondamentali, in ossequio al principio di proporzionalità. Inoltre, l’equilibrio tra il diritto al rispetto della vita privata e alla protezione dei dati personali, da un lato, e la libertà di informazione degli utenti di Internet, dall’altro, può variare notevolmente nel mondo. Orbene, dalla normativa non emerge che il legislatore dell’Unione abbia proceduto a tale bilanciamento per quanto riguarda la portata di una deindicizzazione al di fuori dell’Unione, né che abbia scelto di attribuire ai diritti dei singoli una portata che vada oltre il territorio degli Stati membri. Non risulta neppure che esso abbia inteso imporre a un operatore, come Google, un obbligo di deindicizzazione riguardante anche le versioni nazionali del suo motore di ricerca che non corrispondono agli Stati membri. Il diritto dell’Unione non prevede, per giunta, strumenti e meccanismi di cooperazione per quanto riguarda la portata di una deindicizzazione al di fuori dell’Unione.

La Corte di Giustizia così conclude:

• allo stato attuale, non sussiste, per il gestore di un motore di ricerca che accoglie una richiesta di deindicizzazione presentata dall’interessato, eventualmente a seguito di un’ingiunzione di un’autorità di controllo o di un’autorità giudiziaria di uno Stato membro, un obbligo, derivante dal diritto dell’Unione, di effettuare tale deindicizzazione su tutte le versioni del suo motore. Il diritto dell’Unione obbliga tuttavia il gestore di un motore di ricerca a effettuare tale deindicizzazione nelle versioni del suo motore di ricerca corrispondenti a tutti gli Stati membri e ad adottare misure sufficientemente efficaci per garantire una tutela effettiva dei diritti fondamentali della persona interessata. In tal senso, una simile deindicizzazione deve, se necessario, accompagnarsi a misure che permettano effettivamente di impedire - o quantomeno di scoraggiarli seriamente dal farlo - agli utenti di Internet che effettuano una ricerca sulla base del nome dell’interessato a partire da uno degli Stati membri di accedere, attraverso l’elenco dei risultati visualizzato in seguito a tale ricerca mediante una versione «extra UE» del suddetto motore, ai link oggetto della domanda di deindicizzazione. Il giudice nazionale dovrà verificare che le misure attuate dalla Google Inc. soddisfino tali esigenze.
• il diritto dell’Unione Europea, pur non imponendo, allo stato attuale, che la deindicizzazione verta su tutte le versioni del motore di ricerca, neppure lo vieta. Pertanto, le autorità degli Stati membri restano competenti ad effettuare, conformemente agli standard nazionali di protezione dei diritti fondamentali, un bilanciamento tra, da un lato, il diritto della persona interessata alla tutela della sua vita privata e alla protezione dei suoi dati personali e, dall’altro, il diritto alla libertà d’informazione e, al termine di tale bilanciamento, a richiedere, se del caso, che il gestore di tale motore di ricerca effettui una deindicizzazione su tutte le versioni di suddetto motore.