Il diritto all’oblio è frutto di una lunga elaborazione giurisprudenziale ed è oggi regolato espressamente dal Regolamento UE n. 679/2016 sulla protezione dei dati personali (il c.d. GDPR) all’art. 17, il quale prevede il diritto dell’interessato ad ottenere la cancellazione dei dati personali che lo riguardano, sorgendo il relativo obbligo sul titolare del trattamento.
Tra le eccezioni più rilevanti a questo diritto, che comporta una delicata contrapposizione di interessi contrastanti, si annovera il diritto alla libertà di informazione.
La recente sentenza della Corte di Cassazione del 24.11.2022, n. 34658, offre l’occasione di analizzare come opera in concreto il bilanciamento tra diritti costituzionalmente protetti, nonché i confini territoriali dei provvedimenti dell’Autorità Garante per la protezione dei dati personali.
Invero, la questione da risolversi nel caso di specie consiste nella possibilità per l’Autorità Garante di emettere un ordine di deindicizzazione di un indirizzo web (ossia, la non diretta accessibilità dell’indirizzo web tramite motori di ricerca esterni all’archivio in cui è collocato il contenuto) con efficacia extraterritoriale, bilanciando il diritto all’oblio dell’interessato con il diritto alla libertà di informazione del gestore di un motore di ricerca.
Diritto all’oblio e Il caso di specie
La vicenda trae spunto dalla lesione del diritto all’oblio a causa della “perdurante diffusione nel web di notizie non aggiornate circa una vicenda giudiziaria in cui era stato coinvolto [l’interessato], conclusasi con decreto di archiviazione del giudice per le indagini preliminari per infondatezza della notizia di reato”.
Con provvedimento emesso il 26.10.2017, il Garante per la protezione dei dati aveva ordinato di rimozione degli URL (Uniform Resource Locator), o indirizzi web, che vi facevano ancora riferimento.
La peculiarità della pronuncia riguarda l’efficacia territoriale dell’ordine che si estendeva non solo alle versioni del motore di ricerca nazionale ed europee, ma anche alle versioni extraeuropee, considerando gli interessi del ricorrente anche al di fuori del territorio nazionale.
Il gestore del motore di ricerca ha però impugnato il provvedimento dinnanzi al Tribunale di Milano, con sentenza del 21.9.2020, in quanto l’ordine di cancellazione era esteso anche alle versioni extraeuropee, ottenendo l’accoglimento delle proprie istanze.
Secondo il Giudice di merito, infatti, in applicazione della disciplina ormai abrogata del D.Lgs. 196/2003, che ha recepito la Direttiva 95/46/CEE sulla protezione dei dati personali, non sussisteva la competenza del Garante Privacy in ordine all’emissione di provvedimenti con efficacia extraterritoriale e non era stato effettuato un corretto bilanciamento tra il diritto all’oblio del ricorrente e il diritto alla libertà di informazione.
L’Autorità Garante, tuttavia, ha proposto ricorso innanzi alla Corte di Cassazione in quanto “la sentenza impugnata … aveva mal individuato il criterio sulla base del quale l’Autorità avrebbe dovuto eseguire il necessario bilanciamento di interessi, assumendo che la deindicizzazione ad efficacia extraterritoriale avrebbe dovuto parametrarsi ai distinti quadri giuridici sussistenti nei Paesi extra UE in cui la norma nazionale con effetti extraterritoriali permetterebbe di far valere l’ordine dell’Autorità”.
I precedenti giurisprudenziali sul diritto all’oblio e il bilanciamento con il diritto alla libertà di
informazione
Prima di analizzare la questione dell’efficacia territoriale dell’ordine dell’Autorità, la Corte ripercorre le pronunce più rilevanti della giurisprudenza, nazionale ed europea, espressasi in materia di diritto all’oblio e diritto alla libertà di informazione, con particolare riguardo al procedimento di deindicizzazione. Possono quindi sintetizzarsi i seguenti punti:
- è necessario provvedere al bilanciamento degli interessi delle parti coinvolte, non potendosi ammettere la deindicizzazione solamente in base alla sussistenza delle condizioni per la sua effettuazione (Cass. n. 3952 del 8.2.2022);
- il giudizio di bilanciamento opera diversamente a seconda che il soggetto interessato sia o meno un personaggio pubblico; solamente nel secondo caso, infatti, il diritto alla libertà di informazione, protetto dall’art. 21 della Costituzione, tende ad arretrare di fronte al diritto della persona interessata a non vedersi collegare a notizie ormai superate (Cass. n. 15160 del 31.5.2021) senza limiti di tempo, finendosi, diversamente, per pregiudicare il diritto all’identità personale e il diritto alla riservatezza (Cass. n. 9147 del 19.5.2020 e Cass., Sez. Un., n. 19681 del 22.7.2019).
Questi principi sono stati altresì confermati dalla giurisprudenza della Corte di Giustizia europea, con la sentenza del 13.5.2014, C-131/12, in applicazione della direttiva 95/46/CE.
In particolare, la Corte ha confermato che “l’attività di un motore di ricerca consistente nel trovare informazioni pubblicate o inserite da terzi su Internet, nell’indicizzarle in modo automatico, nel memorizzarle temporaneamente e, infine, nel metterle a disposizione degli utenti di Internet secondo un determinato ordine di preferenza, deve essere qualificata come trattamento di dati personali”.
Inoltre, i diritti fondamentali derivanti dagli art. 7 e 8 della Carta dei diritti fondamentali dell’Unione Europea consentono all’interato di pretendere che l’informazione non sia più resa accessibile al pubblico, salvo il caso in cui tale soggetto ricopra un particolare ruolo pubblico.
L’ammissibilità dell’ordine extraterritoriale di global delisting o global removal nei confronti del
gestore del motore di ricerca
Così delineato il funzionamento del bilanciamento tra diritto all’oblio e diritto alla libertà di informazione la Corte di Cassazione affronta il problema dell’ammissibilità dell’ordine extraterritoriale emesso dal Garante Privacy, partendo in primo luogo dalla sentenza della Corte di Giustizia europea c.d. "CNIL" del 24.9.2019.
Secondo la Corte di Giustizia dell’Unione Europea, " il diritto dell’Unione, pur se – come rilevato al punto 64 della presente sentenza – non impone, allo stato attuale, che la deindicizzazione accolta verta su tutte le versioni del motore di ricerca in questione, neppure lo vieta.
Pertanto, un’autorità di controllo o un’autorità giudiziaria di uno Stato membro resta competente ad effettuare, conformemente agli standard nazionali di protezione dei diritti fondamentali, un bilanciamento tra, da un lato, il diritto della persona interessata alla tutela della sua vita privata e alla protezione dei suoi dati personali e, dall’altro, il diritto alla libertà d’informazione e, al termine di tale bilanciamento, richiedere, se del caso, al gestore di tale motore di ricerca di effettuare una deindicizzazione su tutte le versioni di suddetto motore.".
Ciò chiarito, la Corte di Cassazione conferma come “il diritto alla protezione dei propri dati personali e il suo fondamento costituzionale non tollerino limitazioni territoriali all’esplicazione della sfera di protezione, tanto più che nella specie tale diritto si sovrappone e si accompagna ai diritti all’identità, alla riservatezza e alla contestualizzazione delle informazioni”; ciò a causa dello stretto collegamento tra la tutela dei diritti sui dati personali e i diritti fondamentali della persona garantiti dalla Costituzione.
Il bilanciamento, pertanto, non dovrà basarsi su distinti quadri giuridici esistenti, come asserito dal giudice di merito, ma non potrà che riferirsi ai principi nazionali ed europei, con la sola conseguenza che, qualora sussistesse un contrasto con l’ordinamento extraeuropeo, quest’ultimo non procederà al riconoscimento dell’ordine emanato dall’Autorità.
In conclusione, la sentenza della Corte di Cassazione qui ripercorsa si aggiunge al complesso quadro giurisprudenziale sviluppatosi in materia di diritto all’oblio, confermando la legittimità dell’ordine extraterritoriale di global delisting o removal.