La vicenda processuale
Il Sig. Costeja González non vuole si sappia che nel lontano 1998 la sua casa è stata venduta per debiti. L’annuncio della procedura di vendita era stato pubblicato in allora del tutto legittimamente su di un giornale spagnolo (cartaceo) per pubblicizzare l’asta; undici anni dopo, nel 2009, quel trafiletto compare tra i risultati di Google. Il giornale ha infatti messo on-line il proprio archivio storico consentendone l’indicizzazione: diligentemente i “ragni” di Google hanno scalato ogni riga, memorizzando e ordinando ogni dato per poter rispondere alle domande degli utenti. A richiesta “Costeja González” Google restituisce tra gli altri risultati anche il link a quella vicenda spiacevole e potenzialmente disonorevole. D’altra parte Google ha una missione dichiarata: “organizzare le informazioni a livello mondiale e renderle universalmente accessibili e utili”. E questo fa.
Il Sig. González nel 2010 chiede, ricorrendo al Garante Privacy spagnolo, che quell’informazione personale a lui sgradita sia cancellata: lo chiede al giornale che l’ha immessa in rete, resuscitandola nel 2009 dal sonno indisturbato di inconsultabili emeroteche, e lo chiede a Google, che quell’informazione ha solo indicizzato, rendendola raggiungibile.
La richiesta viene respinta nei confronti del giornale, ovvero di colui che ha immesso i dati personali in rete, perché ab origine il trattamento era legittimo, ma viene accolta nei confronti del motore di ricerca che deve rimuovere l’informazione.
Google impugna la decisione e l’Audiencia Nacional (il Tribunale) rimette alla Corte di Giustizia Europea una serie di quesiti che possono esser così grossolanamente sintetizzati:
1) la legge europea si applica a Google Search che è gestito da una società Americana, ma fa soldi con filiali in tutta Europa con i dati dei cittadini europei?
2) se sì, quando Google raccoglie, memorizza temporaneamente, indicizza e linka pagine altrui presenti sul web che contengono dati personali, compie una operazione che può definirsi “trattamento”, ai sensi della Direttiva sulla Privacy? E se sì, tratta quei dati come fossero suoi, per fini propri e dunque è qualificabile come Titolare ed assume su quei dati una propria autonoma responsabilità?
3) In caso di risposte affermative alle precedenti domande, può un cittadino europeo ottenere dal motore di ricerca la rimozione di uno specifico risultato, senza richiedere contestualmente la rimozione del contenuto originario che contiene quei dati? Ed ancora, il motore di ricerca può/deve eliminare dai risultati un sito o una informazione che è invece presente e disponibile sul web?
Sullo sfondo ovviamente campeggia il “diritto all’oblio”.
Cosa dice la Sentenza
La sentenza, in parziale contrasto con le argomentazioni portate dall’Avvocato Generale, di fatto conferma quanto statuito dal Garante Spagnolo:
1) al motore di ricerca Google Search si applica la legge europea in tema di protezione dei dati personali;
2) Google” tratta” ai sensi della legge privacy, sui suoi server, i dati che raccoglie sul web, e li tratta per un fine che gli è proprio, l’attività commerciale da cui lucra, offrendo un servizio che è diverso da quello svolto dai siti da cui estrae i dati: dunque Google indicizzando i contenuti di terzi presenti sul web diventa titolare (leggasi responsabile o co-responsabile) anche dei dati personali in cui incappa: a questo punto potremmo dire, di tutti i dati personali esistenti in internet.
3) Poiché Google è “titolare” dei dati, e la finalità del servizio (rendere rintracciabile l’informazione) è finalità diversa rispetto a quelle perseguite dai siti indicizzati, è possibile dividere i due trattamenti e le responsabilità: un dato può esser legittimamente trattato su di un sito e l’interessato non può opporsi alla sua pubblicazione (ad es. in una notizia di cronaca), ma lo stesso dato può diventare illegittimo se trattato dal motore di ricerca, posto che le finalità di questo secondo trattamento sono diverse e possono esser valutate, a seconda dei casi, recessive rispetto alle ragioni della richiesta di cancellazione dell’interessato. In conclusione, González può chiedere al solo motore di ricerca di togliere quel risultato, pur rimanendo legittimamente pubblica l’informazione presente sull’archivio storico del giornale.
Qualche considerazione in diritto
Sulla legge applicabile a Google Search, il responso della Corte, se non in diritto, era inevitabile in fatto. Siamo in Europa, e si sta parlando di protezione dei nostri dati personali: qui da noi, quel diritto nuovo e un po’ misterioso che ondeggia tra riservatezza, privacy e identità, e di cui non abbiamo ancora ben compreso natura e soprattutto confini, è, per fortuna, un diritto fondamentale riconosciuto come tale dalla Carta dei Diritti dell’Unione. Tanto basta. L’Europa deve difendere e render effettivi anche nel non-territorio delle reti di comunicazione i diritti fondamentali dei propri cittadini, compreso quello alla protezione dei dati personali. Google se ne faccia una ragione.
Sulla titolarità (e responsabilità) dei dati personali raccolti e sull’artificiosa duplicazione del trattamento, la risposta della Corte è invece tecnicamente sorprendente ed è incompatibile, prima ancora che con il diritto, con il buon senso. Dire che il gestore di un motore di ricerca è titolare e responsabile dei singoli dati personali contenuti nei siti che indicizza, sarebbe come dire che il gestore di una catena di supermercati, che distribuisce al pubblico migliaia di differenti prodotti, è responsabile non del prodotto, ma di ogni singolo ingrediente o composto contenuto nella merce preconfezionata che egli semplicemente distribuisce e vende. Il dato personale, e con esso l’informazione che può trarsi nel contesto, è l’ingrediente di buona parte dei prodotti del web che Google (o qualsiasi motore di ricerca) rende accessibili grazie al servizio di ricerca. Ma è evidente che quei dati, trattati al solo fine di indicizzarli (come il supermercato espone i prodotti per genere), mantengono la medesima valenza informativa (più o meno legittima) determinata da chi quel dato ha immesso in rete (il gestore del sito o, per il supermercato, il produttore del bene). Solo colui che ha immesso in rete il dato in un determinato contesto determina la finalità del dato e dell’informazione che da esso può trarsi: costui è dunque il titolare responsabile del trattamento. Se il dato personale è illegittimamente trattato, dovrà esser espunta dalla rete l’informazione, ed il motore di ricerca dovrà eliminare il risultato che non esiste più. Come per un supermercato: difficile pensare che il prodotto confezionato da terzi sia legittimamente in commercio per il produttore, ma invendibile per il titolare del semplice supermercato che distribuisce quel medesimo prodotto. La Corte, su questo punto fondamentale prende una cantonata, e confonde la finalità economico-commerciale del servizio Google Search gestito da Google Inc., con la finalità del trattamento del singolo dato personale del González, che è quella rilevabile unicamente dal contesto del trafiletto di giornale pubblicato nel 1998 e immesso in rete dallo stesso giornale nel 2009. Google non ha mutato di una virgola la finalità di quel dato: ha solo reso disponibile come informazione quel trafiletto presente sul web. Che poi, nel caso, la finalità dell’informazione era inizialmente proprio quella di dare alla stessa la maggior diffusione possibile, la stessa perseguita da Google: finalità oggettivamente non più attuale, ma non solo per il motore di ricerca nel 2010, ma anche per il giornale che nel 2009 l’ha (ri)diffusa mettendo on-line il suo archivio storico senza cautele. L’identità della finalità del trattamento rende evidente l’errore della Corte: se è legittima la pubblicazione iniziale sul giornale, è legittima l’indicizzazione su Google; se, come credo, è mutata la finalità con la pubblicazione in rete, sarà solo il giornale a detreminare le modalità di diffusione. Ma il dato di González continua ad avere un unico titolare che ne determina i fini, ovvero il giornale, non Google che funge da mero intermediario dell’informazione.
La cancellazione dei dati e l’oblio
Non ho mai capito cosa sia esattamente il diritto all’oblio che comparve nella proposta di modifica della normativa europea a tutela dei dati personali nel lontano 2012. Ne scrissi qui . So, come lo sa la Corte di Giustizia, che esiste dal 1995 un diritto alla cancellazione dei propri dati quando questi sono trattati da terzi senza consenso, oppure, e qui sta il punto, quando la ragione della richiesta di cancellazione, che deriva dal diritto fondamentale di ciascuno di noi di gestire e controllare la propria identità, risulti “preminente” rispetto alle ragioni e alle finalità che giustificano il trattamento. E’ il punto nodale di tutto ciò che ruota intorno al diritto all’oblio ed in generale ai diritti della personalità. Quando prevale il diritto del singolo rispetto ai diritti ed agli interessi della collettività? E soprattutto, chi è preposto ad operare questo complesso e mutevole bilanciamento?
Quì la Corte sbanda pericolosamente e commette una serie di imperdonabili errori, frutto dell’equivoco appena descritto circa la titolarità dei dati da parte di Google, e frutto di una sorprendente sottovalutazione del ruolo degli intermediari nell’ecosistema del web. Che Google Inc. sia considerata una vorace società americana che gestisce un servizio come Search per fini economico-commerciali è fatto del tutto irrilevante nel giudizio di bilanciamento. Si può legittimamente lucrare svolgendo servizi fondamentali per la collettività. Anche i giornali lucrano sulle notizie, e il diritto di cronaca è tutelato e preminente sul diritto del povero arrestato anche se esercitato a fini economico-commerciali, non solo per amor d’informazione. E’ la finalità (e l’utilità) del trattamento del dato in sè che determina la preminenza o la soccombenza della richiesta di cancellazione dell’interessato, non le motivazioni imprenditoriali o filantropiche di chi quel trattamento opera. Le garanzie dettate per la stampa non hanno come fine la tutela degli interessi economici degli editori, ma l’interesse collettivo a che sia tutelata la libertà di espressione e informazione. Ed è sorprendente che la Corte di Giustizia in tutta la sentenza non nomini mai l’art. 11 della Carta dei Diritti fondamentali, ovvero la libertà di espressione e informazione. E’ quello il termine di paragone con cui deve confrontarsi il diritto di González alla cancellazione (e sarebbe stato meglio, almeno per ora, non chiamarlo oblio), non il fatto che Google faccia soldi con search o con la pubblicità. Per la verità la Corte, giunta alla fine del suo contorto ed errato cammino motivazionale si accorge delle conseguenze inaccettabili del suo ragionamento e accenna all’interesse pubblico alla reperibilità dei dati e dunque all’informazione, ma ormai l’errore è compiuto e la strada segnata: i tentativi di recuperare i termini corretti del bilanciamento, ovvero libertà di informazione/tutela dei dati personali, sono ormai vani. Nell’ultimo paragrafo la Corte fa una considerazione sorprendente per la superficialità del ragionamento: certo, se González fosse famoso o una figura pubblica allora sarebbe diverso… Speriamo che González non si candidi mai alle elezioni, che se diventa un personaggio pubblico, poi saremo costretti e recuperare il link.
Le buone ragioni di González
Gonzalez ha ragione. Quella informazione, contenente un suo dato personale, era disonorevole ma legittima nel 1998: l’asta doveva esser per legge pubblicizzata il più possibile. Poi la finalità di quel trattamento si è esaurita e la nuova diffusione dieci anni dopo, conseguente alla digitalizzazione dell’archivio storico del giornale, non poteva più esser giustificata da quelle motivazioni. Bisognava indagare se vi erano altre finalità che giustificassero la nuova diffusione e la conseguente indicizzazione di Google. C’erano e ci sono le finalità storiche, statistiche o scientifiche che giustificano in tutto il mondo la pubblicazione in rete degli archivi storici. La Storia siamo noi, nessuno si senta offeso, direbbe qualcuno. E’ però indubbio che quelle finalità,pur tutelate costituzionalmente, sono diverse dalle originarie, e possono esser parzialmente recessive rispetto al diritto alla cancellazione. Per assolvere al loro scopo, quel trattamento compiuto ex-novo dal giornale (e non da Google), potrebbe non necessitare di una diffusione indiscriminata, ma mirata a chi persegue ricerca storica, statistica o scientifica. Dunque, a fronte del diritto del González alla protezione dei suoi dati personali, nel giudizio di bilanciamento, quelle informazioni ben potrebbero non esser indicizzate sui motori di ricerca. Ma chi dovrebbe evitare l’indizzazione? Ovviamente chi è “titolare” di quel dato e l’ha messo on-line, il solo che può valutare le motivazioni e le finalità del trattamento, il contesto. Solo lui, ai sensi dell’attuale normativa deve evitare che il trattamento non sia eccessivo e che sia proporzionale al fine perseguito, evitando, se necessario, l’indicizzazione sui motori di ricerca generalisti. Così operano usualmente le Autorità Garanti per la Privacy dopo attenta verifica, imponendo ai giornali di compilare <<robots.txt>> sui loro archivi. Più che verso Google, gli strali della legge dovrebbero rivolgersi contro quei giornali che manco rispondono alle richieste di rettifica e cancellazione avanzati dagli utenti. Pretendere che sia Google a farlo, vuol dire negare la funzione stessa del servizio di indicizzazione. Vuol dire non aver compreso il ruolo dei servizi intermediari della comunicazione. Vuol dire soprattutto assegnare ad una compagnia commerciale americana -votata al profitto- il compito, per lei tecnicamente ed umanamente impossibile, di valutare, per l’intero pianeta, il corretto bilanciamento dei diritti fondamentali in gioco: dei nostri diritti di cittadini Europei. Vuol dire delegare a Google (o a chiunque altro) la scelta di ciò che è reperibile in rete e ciò che c’è ma deve rimaner nascosto. Basta riflettere sulle conseguenze che discendono dalla sentenza per comprendere che c’è un errore. In diritto.
.
