La sentenza della Corte di giustizia europea stabilisce confini nell’applicazione del diritto all’oblio. Ma non spegne le domande sul perimetro della privacy
Commento scritto a doppia firma da Giulio Coraggio, socio dello studio legale Dla Piper e tra i fondatori di IoT Italy,e da Tommaso Ricci, legal tech & privacy expert, collaboratore dello studio legale Dla Piper.
Il perenne contrasto tra il diritto a essere informati e quello ad essere dimenticati sembrerebbe essere arrivato ad un punto di svolta, almeno in Europa (ma con ricadute su scala globale).
La Corte di Giustizia dell’Unione europea, con una recentissima sentenza del 24 settembre, ha previsto che Google non è obbligata a garantire fuori dall’Europa il cosiddetto diritto all’oblio. In particolare la Corte ha dichiarato che la normativa europea non obbliga espressamente il gestore di un motore di ricerca a dare seguito alla richiesta di deindicizzazione in tutte le versioni del suo motore di ricerca, ma solo nelle versioni di tale motore corrispondenti a tutti gli Stati membri.
Si tratta di uno dei temi più dibattuti con l’avvento dell’informazione online: la possibilità di costringere Google e altri motori di ricerca a cancellare i link a siti web, articoli di attualità e banche dati che includono informazioni personali considerate vecchie, non più rilevanti o non più di interesse pubblico.
L’eterna battaglia
Tale diritto era stato riconosciuto nel 2014 con la famosa decisione “Google Spain” della stessa Corte e ha poi trovato consacrazione attraverso il Regolamento europeo sulla privacy, il Gdpr, che ha rafforzato il diritto alla cancellazione dei dati di una persona fisica, estendendolo e regolandolo anche con riferimento alla società digitale a tutto tondo. Il Gdpr ha però previsto che tale diritto può essere limitato per garantire la libertà di espressione e di informazione e la recente sentenza della Corte Ue ha ulteriormente delimitato la portata del diritto, circoscrivendone l’applicazione ai confini europei.
Il caso è sorto dopo che Google ha contestato una multa di 100mila euro da parte dell’autorità francese per la protezione dei dati (Cnil), che nel 2016 aveva ordinato al motore di ricerca di deindicizzare i link a livello mondiale, citando il principio del diritto all’oblio. Non è un caso che la questione sia sorta in Francia, si tratta del paese più attivo in Europa quanto all’esercizio del diritto all’oblio, con oltre 672.439 richieste di deindicizzazione dal 2014, più del doppio di quelle italiane, dove la tematica è ugualmente molto sentita ed in alcuni casi è stata portata di fronte alle corti europee.
Secondo la Corte il diritto alla protezione dei dati personali non è un diritto assoluto, ma deve essere considerato in relazione alla sua funzione nella società e bilanciato proporzionalmente con altri diritti fondamentali, quale appunto il diritto di poter accedere alle informazioni sul web.
Gli interrogativi
Tuttavia, come riconosciuto dalla stessa Corte, tale bilanciamento è suscettibile di variazioni significative in tutto il mondo, con approcci diversi anche all’interno dell’Ue. D’altro canto però la Corte non ha del tutto escluso la possibilità di ottenere una deindicizzazione globale, prevedendo che l’ultima parola spetta alle autorità garanti per la protezione dei dati dei singoli stati membri, che possono prendere una decisione comune sull’opportunità di una cancellazione globale di alcuni indirizzi url, grazie anche ai meccanismi di cooperazione introdotti dal Gdpr. Ciò potrebbe accadere, per esempio, quando il diritto alla privacy individuale in casi specifici prevale rispetto agli interessi pubblici generali di accedere alle informazioni.
La sentenza tuttavia solleva alcuni interrogativi, in particolare su quale sia il giusto equilibrio tra la protezione effettiva del diritto alla privacy individuale, l’accesso alle informazioni e la libertà di espressione e soprattutto su quale sia il soggetto competente ad effettuare questo bilanciamento. Tali quesiti auspicabilmente troveranno soluzione nelle prossime pronunce e nell’esercizio dei propri poteri da parte delle autorità di controllo in materia di protezione dei dati personali.
Potrebbe interessarti anche