Se, dunque, non è possibile essere dimenticati, che cosa è questo “diritto all’oblio” di cui tanto si parla? Se la cancellazione è impossibile allora rimane un’unica strada: rendere il più difficoltoso possibile il reperimento di quelle informazioni.
La struttura della rete consente di raggiungere questo risultato, modificando i risultati dei processi di indicizzazione dei motori di ricerca. In altre parole: un dato può anche rimanere su qualche server connesso al world wide web, ma se non è indicizzato, e viene quindi escluso dai risultati dei motori di ricerca, potrà essere raggiunto solo da chi sa già dove cercarlo.
Il cosiddetto “diritto all’oblio” oggi è il diritto alla deindicizzazione dai motori di ricerca: in questa direzione di muove il Garante italiano e, nella stessa direzione, si è orientata la Corte di Giustizia dell’unione europea con la ormai celebre sentenza sul caso Google Spain del 13 Maggio 2014.
Nel Gennaio 1998 un importante quotidiano spagnolo pubblica la notizia della vendita all’asta di alcuni beni dell’avvocato Mario Costeja Gonzalez a seguito di un pignoramento. Nel Luglio 2010 l’avvocato si accorge che, facendo una ricerca su Google con il proprio nome, tra i primi risultati della ricerca web appaiono proprio questi articoli.
Per tale motivo l’interessato fa reclamo al garante privacy spagnolo per chiedere un ordine nei confronti dell’editore del giornale affinché elimini o modifichi quelle pagine e, nei confronti di Google Spain affinché non le indicizzi più. L’autorità garante spagnola respinge la richiesta ma ordina a Google Spain di deindicizzare i contenuti in questione. Google Spain impugna la decisione davanti al giudice ordinario spagnolo e, nel 2012, l’Audencia Nacional chiede alla Corte di Giustizia Europea alcuni chiarimenti interpretativi.
La Corte di Giustizia Europea ha stabilito che l’attività di un motore di ricerca, qualora coinvolga informazioni contenenti dati perdonali, deve essere qualificata come “trattamento di dati personali” e che il gestore del motore di ricerca deve essere considerato “responsabile” del trattamento ai sensi della disciplina Europa sulla privacy.
La Corte ha respinto la tesi difensiva in cui Google ha cercato di sostenere l’incompetenza della Corte, affermando che si ha trattamento dei dati personali anche nel caso in cui il gestore di un motore di ricerca apra in uno Stato membro una succursale o una filiale destinata alla promozione o alla vendita di spazi pubblicitari agli abitanti di detto Stato membro.
La Corte ha deciso che, ai fini della tutela dei diritti di cui alla direttiva 95/46, la presentazione dei risultati di una ricerca può costituire una violazione della normativa sulla protezione dei dati personali, la cui sanzione è l’obbligo a carico del gestore del motore di ricerca di deindicizzare alcuni risultati.
La sentenza della Corte, pur affermando che “i diritti fondamentali prevalgono, in linea di principio, sull’interesse economico del gestore del motore di ricerca” ha prodotto effetti perversi e del tutto contrati alle aspettative.
Certo, la Corte afferma che i diritti fondamentali derivanti dagli articoli 7 e 8 della Carta di Nizza consentono all’interessato di chiedere la rimozione di informazioni da un certo elenco di risultati, ma aggiunge anche che esistono “ragioni particolari, come il ruolo ricoperto da tale persona nella vita pubblica, per le quali l’ingerenza nei suoi diritti fondamentali è giustificata dall’interesse preponderante del pubblico ad avere accesso all’informazione di cui trattasi”: con questo il problema non è risolto.
E dunque, chi decide se debba prevalere il diritto all’identità personale, alla riservatezza, alla protezione dei dati personali, oppure l’interessa pubblico dell’informazione?
C’è stato un tempo in cui la risposta a queste domande sarebbe dovuta arrivare dallo Stato, ma quel tempo è passato: considerando che rimangono sostanziali le distanze, in tema di privacy, tra la prospettiva statunitense e e quella europea, è a livello europeo che diventa indispensabile agire.
In questa prospettiva importante è il ruolo giocato dalle Autorità europee per la privacy riunitesi nel Working Party 29 al fine di mettere a punto le linee guida necessarie a garantire un’attuazione uniforme della sentenza ma anche ad affrontare problemi lasciati da questa insoluti: le linee-guida hanno ribadito la complessità del bilanciamento dei diritti coinvolti dalla procedura di deindicizzazione, stabilendo particolari oneri a carico dei gestori dei motori di ricerca.
Al documento dei garanti ha presto replicato Google con un proprio rapporto con cui ha stabilito la propria policy sul diritto all’oblio: mentre nel rapporto dei Garanti europei risulta centrale la tutela dei diritti alla riservatezza e all’identità personale, nel rapporto di Google lo scenario è dominato dalla libertà di informazione.
Per comprendere questo punto è sufficiente fare una ricerca su Google del tipo nome+cognome e notare che, in calce alla pagine in cui vengono riportati i risultati, è riportata la dicitura: “alcuni risultati possono essere stati rimossi nell’ambito della normativa europea sulla protezione dei dati”. Facendo esplicito riferimento alla sentenza della Corte di Giustizia, Google afferma che l’esercizio del diritto all’oblio “influisce profondamente sul funzionamento dei motori di ricerca in Europa”.
Alcuni soggetti possono vedersi riconosciuto il diritto di ottenere la rimozione dei risultati relativi a ricerche che includano il proprio nome, purché questi risultino essere inadeguati, irrilevanti o eccessivi: senza alcuna esitazione Google sostiene che si tratta di un procedimento complesso in questo è necessario “valutare ogni singola richiesta”.
Google, quindi, non soltanto ha definito una dettagliata procedura con cui l’interessato può presentare, attraverso un apposito modulo, una richiesta nella quale devono essere indicati alcuni dati essenziali ma ha anche stabilito i parametri che prenderà in considerazione per valutare la richiesta, specificando che l’interessato potrà adire il giudice competente o l’Autorità Garante.
Il risultato è che l’accoglimento di una richiesta di deindicizzazione da parte di Google non prevede alcun contraddittorio e non oggetto di alcun procedimento pubblico: si profila il concreto rischio che siano i provider a decidere su quali dati sarà concretamente possibile esercitare il “diritto all’oblio”.
Il pericolo più grave di questo meccanismo è che Google, onde evitare i costi di una eventuale soccombenza in giudizio, possa accogliere la maggior parte delle richieste di deindicizzazione: paradossalmente verrebbe così compromessa proprio quella libertà di informazione di cui Google pretende di essere paladina. Il colosso ha respinto questa accusa affermando che molte della richieste fino ad ora presentate non sono state accettate.
Le soluzioni proposte dal dibattito dottrinario che ha seguito la sentenza della corte sono state numerose: tra le più interessanti quella di adottare un meccanismo di notice and take down che prevede l’individuazione di un soggetto preposto alla mediazione tra portatori di interessi contrapposti, garantisce il contraddittorio, fissa termini temporali precisi per l’espletamento della procedura e stabilisce deterrenti atti a scongiurare tanto l’abuso del diritto da parte del richiedente quanto la tentazione di una qualche forma di censura da parte del provider.
La sentenza della corte ha provocato reazione anche da parte delle istituzioni: sul piano normativo l’Unione Europea è intervenuta approvando il regolamento 2016/679/UE, concernete la tutela delle persone fisiche con riguardo al trattamento dei dati personali e la loro libera circolazione. Con questo atto è stato introdotto, nell’ordinamento comunitario il “diritto all’oblio”.
L’articolo 17 del regolamento stabilisce infatti che l’interessato ha il diritto di richiedere la rimozione dei dati personali che lo riguardano se sussiste uno dei seguenti motivi:
- I dati non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati.
- L’interessato revoca il consenso su cui si fonda il
- L’interessato si oppone al trattamento di dati
- I dati personali sono stati trattati
- I dati personali devono essere cancellati per adempiere un obbligo legale previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento
La cancellazione può essere accordata soltanto a condizione che non impedisca un trattamento necessario per l’esercizio del diritto alla libertà di espressione e di informazione, per l’adempimento di un obbligo legale, per l’esecuzione di un compito di interesse pubblico nel settore della sanità pubblica, per l’esercizio di pubblici poteri di cui è investito il titolare del trattamento, per fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, per per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria.
Il “diritto all’oblio” di cui parla l’articolo 17 ha chiaramente un ambito applicativo di maggiore ampiezza rispetto al diritto alla deindicizzazione di cui tratta la sentenza della Corte di Giustizia Europea. Nulla il regolamento stabilisce sull’effettiva tutela del diritto all’oblio, tanto da non evocare neppure una volta il termine “motore di ricerca”. Questo punto sembra abbastanza grave, se pensiamo che nella società contemporanea la percezione della nostra identità è affidata sempre più ai motori di ricerca e ai social network.