È di poche ore fa la notizia che la Corte di Cassazione (I sez. Civile) ha pubblicato la sentenza 3952/2022 relativa ad un ricorso proposto da Yahoo!Emea Limited e Yahoo!Italia s.r.l. contro il provvedimento del Garante Privacy emesso in data 25 febbraio 2016.
In poche parole, la Corte riconosce il diritto alla deindicizzazione sui motori di ricerca, ma valuta negativamente la richiesta posta in essere nel provvedimento del Garante Privacy “di provvedere alla definitiva rimozione degli URL indicati nel ricorso, eliminando altresì le copie cache delle pagine accessibili attraverso tali URL, entro trenta giorni dalla ricezione del presente provvedimento”.
Diritto all’oblio e deindicizzazione: quadro normativo e regole operative
Indice degli argomenti
Vediamo i fatti
Il Garante Privacy, nel suo provvedimento del 25 febbraio 2016, era intervenuto nei confronti di Yahoo!Emea Limited e Yahoo!Italia s.r.l., a cui un interessato aveva inviato una richiesta fondata sul diritto aII’obIio, e avente ad oggetto la rimozione dai risultati delle ricerche su internet effettuate con l’uso del motore di ricerca Yahoo! di diversi URL, specificamente individuati, che collegavano il nome dell’interessato a una vicenda giudiziaria che si asseriva non più interessare il diritto di cronaca.
Fatte le valutazioni del caso, il Garante Privacy impone alle società: “… di provvedere alla definitiva rimozione degli URL indicati nel ricorso, eliminando altresì le copie cache delle pagine accessibili attraverso tali URL, entro trenta giorni dalla ricezione del presente provvedimento”.
Quindi, il Garante Privacy non solo chiedeva la deindicizzazione (tra l’altro già parzialmente realizzata dalle società), ma anche l’eliminazione delle URL e delle pagine presenti all’interno della cache a queste URL collegate.
Poteri e giurisdizione del Garante Privacy
Le due società hanno fatto ricorso alla Corte di Cassazione mettendo tra l’altro in dubbio i poteri del Garante Privacy e la usa giurisdizione quale organo amministrativo. È stato innanzitutto contestato il potere di emettere i provvedimenti che tale autorità può pronunciare secondo la legge italiana, ma nei confronti di un soggetto estero che operi al di fuori del territorio nazionale.
La Corte ha ritenuto che l’articolo 4.1, Iettera a), della direttiva 95/46 va interpretato nel senso che «consente l’applicazione della legge in materia di protezione dei dati personali di uno Stato membro diverso da quello nel quale il responsabile del trattamento di tali dati è registrato, purché il medesimo svolga, tramite un’organizzazione stabile nel territorio di tale Stato membro, un’attività effettiva e reale, anche minima, nel contesto della quale si svolge tale trattamento» (Corte giust. UE 1 ottobre 2015, C-230/14, Weltimmo, 41).
Diritto all’oblio
Le due società hanno inoltre contestato la richiesta di cancellazione dei dati contenuti nella cache, ritenendola eccessiva.
Il provvedimento del Garante aveva infatti richiesto sia la rimozione degli URL che rinviavano alla suddetta vicenda (deindicizzazione), che l’eliminazione delle copie cache in questione.
Le Sezioni Unite della Corte hanno ricondotto la deindicizzazione al «diritto alla cancellazione dei dati», nel quadro di una classificazione che considera il medesimo come una delle tre possibili declinazioni del diritto all’oblio: le altre due sono individuate nel diritto a non vedere nuovamente pubblicate notizie relative a vicende in passato legittimamente diffuse, quando è trascorso un certo tempo tra la prima e la seconda pubblicazione e quello, connesso all’uso di internet e alla reperibilità delle notizie nella rete, consistente nell’esigenza di collocare la pubblicazione, avvenuta legittimamente molti anni prima, nel contesto attuale (Cass. Sez. U. 22 luglio 2019, n. 19681, in motivazione).
Bilanciamento degli interessi del singolo rispetto a quelli della collettività
Relativamente invece alla cancellazione de “le copie cache delle pagine accessibili dalle URL”, la Corte ha indicato che si deve sempre considerare “l’esigenza di bilanciamento tra l’interesse del singolo ad essere dimenticato e l’interesse della collettività ad essere informata — cui si correla l’interesse dei media a informare”.
A tal proposito, la Corte ribadisce che “la deindicizzazione dei contenuti presenti sul web rappresenta, il più delle volte, l’effettivo punto di equilibrio tra gli interessi in gioco. Essa integra, infatti, la soluzione che, a fronte della prospettata volontà, da parte dell’interessato, di essere dimenticato per il proprio coinvolgimento in una vicenda del passato, realizza il richiamato bilanciamento escludendo le estreme soluzioni che sono astrattamente configurabili: quella di lasciare tutto com’è e quella di cancellare completamente la notizia dal web, rimuovendola addirittura dal sito in cui è localizzata”.
Attraverso la deindicizzazione l’informazione non viene eliminata dalla rete, ma può essere attinta raggiungendo il sito che la ospita (il cosiddetto sito sorgente) attraverso altre metodologie di ricerca, come l’uso di parole-chiave diverse: ciò che viene in questione è, infatti, per usare le parole della Corte di giustizia, il diritto dell’interessato «a che l’informazione in questione riguardante la sua persona non venga più, allo stato attuale, collegata al suo nome da un elenco di risultati che appare a seguito di una ricerca.
Conclusioni
La Corte di Cassazione, quindi, annullando il provvedimento del Garante Privacy ribadisce che:
- Si deve sempre effettuare un bilanciamento tra gli interessi del singolo (ad essere dimenticato) e quelli della collettività ad essere informata.
- Il diritto all’oblio può essere sempre realizzare con la deindicizzazione, così come evidenziato nelle Linee-guida 5/2019 che dettano «criteri per l’esercizio del diritto all’oblio nel caso dei motori di ricerca, ai sensi del RGPD» (reg. 2016/679), adottate il 7 luglio 2020. In tali linee guida si sottolinea “che la deindicizzazione di un particolare contenuto determina la cancellazione di esso dall’elenco dei risultati di ricerca relativi all’interessato, quando la ricerca è, in via generale, effettuata a partire dal suo nome; in conseguenza, il contenuto deve restare disponibile se vengano utilizzati altri criteri di ricerca e le richieste di deindicizzazione non comportano la cancellazione completa dei dati personali, i quali non devono essere cancellati né dal sito web di origine né dall’indice e dalla cache del fornitore del motore di ricerca (punti 8 e 9).
