la cancellazione delle copie cache relative a una informazione accessibile attraverso il motore di ricerca, in quanto incidente sulla capacita’, da parte del detto motore di ricerca, di fornire una risposta all’interrogazione posta dall’utente attraverso una o piu’ parole chiave, non consegue alla constatazione della sussistenza delle condizioni per la deindicizzazione del dato a partire dal nome della persona, ma esige una ponderazione del diritto all’oblio dell’interessato col diritto avente ad oggetto la diffusione e l’acquisizione dell’informazione, relativa al fatto nel suo complesso, attraverso parole chiave anche diverse dal nome della persona.
Corte di Cassazione|Sezione 1|Civile|Sentenza|8 febbraio 2022| n. 3952
Data udienza 1 dicembre 2021
REPUBBLICA ITALIANA
IN NOME DEL POPOLO ITALIANO
LA CORTE SUPREMA DI CASSAZIONE
SEZIONE PRIMA CIVILE
Composta dagli Ill.mi Sigg.ri Magistrati:
Dott. GENOVESE Francesco Antonio – Presidente
Dott. SCOTTI Umberto L. G. C. – Consigliere
Dott. IOFRIDA Giulia – Consigliere
Dott. LAMORGESE Antonio Pietro – Consigliere
Dott. FALABELLA Massimo – rel. Consigliere
ha pronunciato la seguente:
SENTENZA
sul ricorso 17569/2017 proposto da:
(OMISSIS), (OMISSIS) S.r.l. in Liquidazione, in persona dei rispettivi legali rappresentanti pro tempore, elettivamente domiciliate in (OMISSIS), presso lo studio dell’avvocato (OMISSIS), che le rappresenta e difende unitamente all’avvocato (OMISSIS), giusta procura speciale per Notaio (OMISSIS) di (OMISSIS) del 28.6.2017 con apostille del 29.6.2017 e procura allegata al ricorso;
– ricorrenti –
contro
Garante per la Protezione dei Dati Personali, in persona del Presidente pro tempore, domiciliato in Roma, Via dei Portoghesi n. 12, presso l’Avvocatura Generale dello Stato, che lo rappresenta e difende ope legis;
– controricorrente –
e contro
(OMISSIS), elettivamente domiciliato in (OMISSIS), presso lo studio dell’avvocato (OMISSIS), che lo rappresenta e difende unitamente all’avvocato (OMISSIS), giusta procura in calce al controricorso;
– controricorrente –
avverso la sentenza n. 12623/2016 del TRIBUNALE di MILANO, pubblicata il 05/01/2017;
udita la relazione della causa svolta nella pubblica udienza del 01/12/2021 dal Cons. Dott. FALABELLA MASSIMO;
udito il P.M., in persona del Sostituto Procuratore Generale Dott.ssa DE RENZIS Luisa, che ha concluso per il rigetto del ricorso;
udito, per la ricorrente, l’avvocato (OMISSIS) che ha chiesto l’accoglimento del ricorso;
udito, per il controricorrente (OMISSIS), l’avvocato (OMISSIS) che ha chiesto il rigetto del ricorso.
FATTI DI CAUSA
1. – Con ricorso proposto a norma del Decreto Legislativo n. 196 del 2003, articolo 152, avanti al Tribunale di Milano, (OMISSIS) e (OMISSIS) s.r.l. domandavano l’annullamento del provvedimento del Garante per la protezione dei dati personali emesso il 25 febbraio 2016. Deducevano, in particolare: che il 22 aprile 2015 (OMISSIS) aveva inviato a (OMISSIS) una richiesta fondata sul diritto all’oblio, avente ad oggetto la rimozione dai risultati delle ricerche su internet effettuate con l’utilizzazione dei servizi di ricerca (OMISSIS) in Europa di diversi URL, specificamente individuati, che collegavano il nome dell’interessato a una vicenda giudiziaria che si asseriva non piu’ interessare il diritto di cronaca; che (OMISSIS) aveva replicato di non poter dar riscontro alla richiesta in quanto non era titolare del trattamento dei dati personali di (OMISSIS); che quest’ultimo aveva quindi depositato un ricorso al nominato Garante; che le richieste formulate erano state parzialmente accolte, essendo stato ordinato a entrambe le societa’ di rimuovere gli URL indicati nel ricorso, cancellando anche le copie cache dalle pagine accessibili attraverso i predetti URL; che con il detto provvedimento il Garante aveva poi dichiarato non luogo a provvedere in merito agli URL che erano stati gia’ rimossi e aveva infine dichiarato l’inammissibilita’ di ulteriori richieste che qui piu’ non rilevano.
Resistevano in giudizio il Garante per la protezione dei dati personali e (OMISSIS).
Con sentenza del 15 gennaio 2016 il Tribunale di Milano rigettava il ricorso. Il giudice del merito riteneva che il Garante avesse il potere di emettere il provvedimento impugnato nei confronti di (OMISSIS), societa’ di diritto irlandese; rilevava, in proposito, che, in base al reg. 1215/2012/UE, doveva aversi riguardo al luogo in cui l’evento dannoso si era verificato e che era quindi da ritenersi competente, a scelta dell’attore, sia il giudice del luogo del fatto generatore del danno, sia il giudice del luogo in cui si era verificato il danno stesso: sicche’ assumeva rilievo la circostanza per cui la lesione del diritto di (OMISSIS) si era consumata ove lo stesso aveva acquisito consapevolezza della reperibilita’, attraverso una ricerca effettuata con il mero inserimento del proprio nome sul motore di ricerca (OMISSIS), di numerosi articoli di stampa relativi alla vicenda giudiziaria di cui si e’ detto. Aggiungeva che alle medesime conclusioni era possibile pervenire avendo riguardo alle previsioni dell’articolo 13 CEDU (Convenzione Europea dei diritti dell’uomo) e dell’articolo 47 della Carta di Nizza (Carta dei diritti fondamentali dell’Unione Europea); richiamava, altresi’, l’articolo 4.1, lettera a), dir. 95/46/CE, secondo cui ciascuno Stato membro applica le disposizioni nazionali adottate per l’attuazione della direttiva al trattamento dei dati personali effettuato nel contesto delle attivita’ di uno stabilimento del responsabile del trattamento nel territorio dello Stato membro, e rilevava che ai fini della precisa individuazione della nozione di stabilimento doveva aversi riguardo sia al grado di stabilita’ dell’organizzazione, sia all’esercizio effettivo delle attivita’. Il Tribunale osservava, poi, come l’operazione consistente nel far comparire su una pagina internet dati personali andasse considerata come un “trattamento”, ai sensi dell’articolo 2, lettera b), dir. 95/46/CE. Rilevava, inoltre, che (OMISSIS) forniva alcuni servizi di supporto a (OMISSIS) e che quest’ultima utilizzava il proprio stabilimento, costituito dalla societa’ italiana, per la promozione e la vendita di spazi pubblicitari. il Tribunale rilevava, poi, come, in base alla giurisprudenza della Corte di giustizia, i diritti fondamentali della persona interessata dovessero prevalere non solo sull’interesse economico del gestore del motore di ricerca, ma anche sull’interesse del pubblico a trovare l’informazione in occasione di una ricerca concernente il nome di quello stesso soggetto. Con riferimento alle modalita’ del trattamento e al correlato diritto dell’interessato a che la divulgazione dei propri dati personali risponda a criteri di proporzionalita’, necessita’, pertinenza e non eccedenza rispetto allo scopo, oltre che di esattezza e coerenza, osservava che le societa’ ricorrenti si erano limitate genericamente a contestare la prevalenza del diritto all’oblio di (OMISSIS), senza nulla allegare chiaramente in merito all’interesse pubblico quanto alla conoscenza di atti di indagine relativi al procedimento penale per il quale, oltretutto, non era stata pronunciata alcuna condanna. Da ultimo, con riferimento alla cancellazione delle copie cache – che la ricorrente lamentava determinasse l’eliminazione definitiva dell’informazione dall’indice del motore di ricerca, con pregiudizio per il diritto dell’interesse del pubblico alla conoscenza delle dette notizie -, osservava come il provvedimento adottato fosse conforme ai principi ispiratori del reg. (UE) 2016/679, che aveva previsto il diritto a una cancellazione estesa dei dati personali oggetto del trattamento.
2. – La detta sentenza del Tribunale di Milano e’ stata impugnata per cassazione da (OMISSIS) e da (OMISSIS) con un ricorso articolato in cinque motivi. Hanno resistito con controricorso (OMISSIS) e il Garante per la protezione dei dati personali.
La causa, avviata alla trattazione camerale, e’ stata successivamente destinata alla pubblica udienza. In vista di tale udienza il pubblico ministero ha rassegnato conclusioni scritte e le parti hanno depositato memorie.
RAGIONI DELLA DECISIONE
1. – Col primo motivo sono denunciate violazione e falsa applicazione degli articoli 1 e 7.2, del reg. 1512/2012 /UE. Osservano le ricorrenti aver errato il Tribunale nel ritenere applicabile al procedimento trattato avanti al Garante il reg. 1215/2012/UE, il quale non disciplina le controversie in materia amministrativa. Rilevano le istanti, al riguardo, che il Garante e’ un’autorita’ amministrativa indipendente mentre il cit. articolo 7.2 assegna la giurisdizione all’autorita’ giurisdizionale del luogo dove l’evento dannoso si e’ verificato. Viene in conseguenza escluso che il detto regolamento possa essere invocato per dar ragione del potere esercitato dal Garante.
Col secondo motivo sono lamentate violazione e falsa applicazione dell’articolo 13 CEDU e articolo 47 della Carta di Nizza. Viene rilevato che le norme indicate non operano come criterio di riparto della giurisdizione tra le autorita’ gli Stati membri dell’Unione, ma come enunciazione di principi generali a cui le legislazioni nazionali sono tenute a uniformarsi.
Il terzo mezzo oppone violazione e falsa applicazione dell’articolo 4.1, lettera a), e articolo 28, paragrafi 1 e 6, dir. 95/46/CE. Viene osservato che la giurisdizione di ciascuna autorita’ garante della privacy e’ circoscritta al territorio dello Stato membro presso cui la stessa e’ istituita e che tra le diverse autorita’ e’ previsto un rapporto di collaborazione, e non certo di sovrapposizione funzionale. Con riferimento, poi, alla “giurisdizione” del Garante nei confronti di (OMISSIS), viene lamentato che il giudice del merito abbia valutato superficialmente i rapporti intercorrenti tra la stessa e (OMISSIS) e si osserva come quest’ultima non avesse, in realta’, alcuna relazione col motore di ricerca, gestito interamente dalla societa’ di diritto irlandese.
1.1. – I tre motivi sono nel complesso infondati.
1.2. – La questione ad essi sottesa non investe propriamente il tema della giurisdizione, dal momento che in questa sede si dibatte dei provvedimenti emessi, a norma del Decreto Legislativo n. 196 del 2003, articolo 150, dal Garante per la protezione dei dati personali. Quest’ultimo e’ organo amministrativo ed e’ investito di un procedimento anch’esso di natura amministrativa: onde non ricopre una posizione di terzieta’ assimilabile a quella assicurata dal giudice nel processo (Cass. 25 maggio 2017, n. 13151 la quale ha coerentemente escluso che il provvedimento della predetta autorita’ sia idoneo al passaggio giudicato: conclusione, questa, condivisa da Cass. 18 giugno 2018, n. 16061). Infatti, come evidenziato da risalente giurisprudenza di questa Corte, la natura giurisdizionale del Garante non puo’ desumersi dall’attribuzione, a tale organo pubblico, di un procedimento speciale; e non puo’ nemmeno ricavarsi dall’oggetto della potesta’ decisionale dello stesso, giacche’ anche alle pubbliche amministrazioni e’ dato di provvedere su diritti in forme che la dottrina definisce giustiziali, e neppure dall’interesse pubblico costituente il riferimento fondamentale del giudice, perche’ in via di principio la pubblica Amministrazione provvede in considerazione di un interesse pubblico generale, la cui forza talvolta attenua la stessa protezione della posizione soggettiva, che degrada ad interesse legittimo (cosi’, in motivazione, Cass. 20 maggio 2002, n. 7341).
Il problema posto dai tre mezzi, di cui si e’ occupato il giudice del merito, ha piuttosto ad oggetto la sussistenza, in capo all’Autorita’ garante italiana, del potere di emettere i provvedimenti che essa e’ titolata a pronunciare secondo la legge italiana, ma nei confronti di un soggetto estero che operi al di fuori del territorio nazionale: e cioe’ di (OMISSIS), societa’ di diritto irlandese, con sede a (OMISSIS).
A tal fine non risulta essere conducente la disciplina unionale in tema di competenza giurisdizionale, ne’ appaiono risolutive le indicazioni desumibili dall’articolo 13 CEDU e dall’articolo 47 della Carta di Nizza, circa il diritto a un ricorso effettivo. Cio’ che va accertato, infatti, e’ l’ambito di operativita’ delle disposizioni nazionali che definiscono i poteri dell’Autorita’ garante italiana, avanti alla quale, come e’ noto, possono essere fatti valere i diritti di cui al Decreto Legislativo n. 196 del 2003, articolo 7 (articolo 145 Decreto Legislativo teste’ citato).
1.3. – Al Garante italiano era stata richiesta la rimozione, dai risultati delle ricerche su internet effettuate mediante l’utilizzazione del servizio (OMISSIS), di URL, che collegavano il nome di (OMISSIS) a una vicenda che lo stesso ha assunto essere oramai estranea al diritto di cronaca (sentenza impugnata, pag. 2). Veniva dunque in questione una richiesta di deindicizzazione (o de-listing): attivita’, questa, consistente nell’escludere che il nome di un soggetto compaia tra i risultati di un motore di ricerca in esito a una interrogazione del medesimo; con la deindicizzazione (il punto saro’ ripreso in seguito), si elimina una particolare modalita’ di ricerca del dato, che rimane presente in rete, e che continua ad essere raggiungibile, ma con una ricerca piu’ complessa e piu’ lunga.
Occorre premettere che, secondo quanto chiarito dalla Corte di giustizia, l’operazione consistente nel far comparire su una pagina internet dati personali va considerata come un trattamento, a norma dell’articolo 2, lettera b), dir. 95/46/CE (Corte giust. UE, 6 novembre 2003, Lindqvist, C-101/01, 25, Corte giust. UE 13 maggio 2014, Grande sezione, Google Spain e Google, C-131/12, 26; Corte giust. UE 14 febbraio 2019, C-345/17, Sergejs Buivids, 37; Corte giust. 24 settembre 2019, Grande sezione, G.C. e altri, C-136/17, 35). In particolare, l’attivita’ del motore di ricerca consistente nel trovare informazioni pubblicate o inserite da terzi su internet, nell’indicizzarle in modo automatico, nel memorizzarle temporaneamente e, infine, nel metterle a disposizione degli utenti di internet secondo un determinato ordine di preferenza, deve essere qualificata come “trattamento di dati personali”, ai sensi del citato articolo 2, lettera b), cit., qualora tali informazioni contengano dati personali, e il gestore di detto motore di ricerca deve essere considerato come il “responsabile” del trattamento summenzionato, ai sensi dell’articolo 2, lettera d), della stessa direttiva (Corte giust. Google Spain e Google, cit., 41).
Cio’ posto, la pronuncia impugnata, nella parte in cui conferisce rilievo allo svolgimento dell’attivita’ di trattamento dei dati a uno stabilimento italiano di (OMISSIS), risulta essere conforme al diritto e si sottrae, pertanto, a censura.
Deve rilevarsi, in proposito, che l’articolo 4.1, lettera a), dir. 95/46/CE prevede che “(c)iascuno Stato membro applica le disposizioni nazionali adottate per l’attuazione della presente direttiva al trattamento di dati personali (..) effettuato nel contesto delle attivita’ di uno stabilimento del responsabile del trattamento nel territorio dello Stato membro”.
La Corte di giustizia ha precisato, al riguardo, che la norma non esige che il trattamento di dati personali in questione venga effettuato “dallo” stesso stabilimento interessato, bensi’ soltanto che venga effettuato “nel contesto delle attivita’” di quest’ultimo e che, alla luce dell’obiettivo della dir. 95/46 di garantire una tutela efficace e completa delle liberta’ e dei diritti fondamentali delle persone fisiche, segnatamente del diritto alla vita privata, con riguardo al trattamento dei dati personali, l’espressione suddetta non puo’ ricevere un’interpretazione restrittiva. Ha sottolineato, inoltre, che in considerazione di tale obiettivo della direttiva 95/46 e del tenore letterale del suo articolo 4.1, lettera a), il trattamento di dati personali realizzato per le esigenze di servizio di un motore di ricerca, il quale venga gestito da un’impresa avente uno stabilimento in uno Stato membro, viene effettuato “nel contesto delle attivita’” di tale stabilimento qualora quest’ultimo sia destinato a garantire, in tale Stato membro, la promozione e la vendita degli spazi pubblicitari proposti dal suddetto motore di ricerca, che servono a rendere redditizio il servizio offerto da quest’ultimo: in tali circostanze – ha spiegato la Corte – le attivita’ del gestore del motore di ricerca e quelle del suo stabilimento situato nello Stato membro interessato sono inscindibilmente connesse, dal momento che le attivita’ relative agli spazi pubblicitari costituiscono il mezzo per rendere il motore di ricerca in questione economicamente redditizio e dal momento che tale motore e’, al tempo stesso, lo strumento che consente lo svolgimento di dette attivita’. Quel che rileva, quindi, secondo la Corte di giustizia, e’ che il trattamento di dati personali, consistente nella visualizzazione dei medesimi, venga effettuato nel contesto dell’attivita’ pubblicitaria e commerciale dello stabilimento del responsabile del trattamento nel territorio di uno Stato membro (Corte giust., Google Spain e Google, cit., 52-57). In conclusione, “l’articolo 4.1, lettera a), della direttiva 95/46 deve essere interpretato nel senso che un trattamento di dati personali viene effettuato nel contesto delle attivita’ di uno stabilimento del responsabile di tale trattamento nel territorio di uno Stato membro, ai sensi della disposizione suddetta, qualora il gestore di un motore di ricerca apra in uno Stato membro una succursale o una filiale destinata alla promozione e alla vendita degli spazi pubblicitari proposti da tale motore di ricerca e l’attivita’ della quale si dirige agli abitanti di detto Stato membro” (sent. cit., 60; piu’ di recente cfr. Corte giust. UE 24 settembre 2019, Grande sezione, C-507/17, Google LLC, 49). In continuita’ con tale affermazione, e sempre valorizzando il dato del trattamento dei dati eseguito nel contesto delle attivita’ del responsabile del trattamento, la stessa Corte ha poi precisato che l’articolo 4.1, lettera a), cit. va interpretato nel senso che “consente l’applicazione della legge in materia di protezione dei dati personali di uno Stato membro diverso da quello nel quale il responsabile del trattamento di tali dati e’ registrato, purche’ il medesimo svolga, tramite un’organizzazione stabile nel territorio di tale Stato membro, un’attivita’ effettiva e reale, anche minima, nel contesto della quale si svolge tale trattamento” (Corte giust. UE 1 ottobre 2015, C-230/14, Weltimmo, 41).
1.4. – Nel caso in esame il Tribunale di Milano ha appurato, sulla base dello statuto di (OMISSIS) e dalle deduzioni contenute nel ricorso introduttivo delle attrici, oggi ricorrenti per cassazione, che la detta convenuta forniva servizi di supporto a (OMISSIS) e che questa usava “il proprio “stabilimento”, costituito da (OMISSIS), per la promozione e la vendita di spazi pubblicitari”.
Tale accertamento di fatto non e’ in questa sede sindacabile ed e’ pienamente idoneo a sorreggere la conclusione per cui il trattamento dei dati personali che qui rileva, siccome attuato nel contesto di uno stabilimento del responsabile del trattamento che e’ ubicato nel territorio italiano, e’ soggetto alle disposizioni nazionali che regolano l’attivita’ dell’Autorita’ garante italiana per la protezione dei dati personali.
2. – Con il quarto motivo la sentenza impugnata e’ censurata per violazione e falsa applicazione del Decreto Legislativo n. 196 del 2003, articolo 154. Deducono le ricorrenti che in base a quest’ultima disposizione l’Autorita’ garante ha competenza giurisdizionale per materia circoscritta alle sole questioni strettamente attinenti al trattamento dei dati personali; nel caso in esame, tuttavia, (OMISSIS) non aveva svolto alcun trattamento dei dati personali di (OMISSIS), i quali comparivano nelle pagine corrispondenti agli URL indicati nel ricorso, ma si era limitata a localizzare in modo automatico il contenuto in questione in caso di interrogazione del motore di ricerca tramite il nome dell’interessato. In altri termini – e’ spiegato -, il fornitore di servizi di motore di ricerca offre semplicemente uno strumento di localizzazione delle informazioni, senza esercitare alcun controllo sui dati contenuti nelle pagine web che lo stesso indicizza, ma non conosce.
2.1. – Il motivo e’ infondato alla luce del principio, sopra richiamato (cfr. 1.3) per cui l’attivita’ del motore di ricerca consistente nel reperimento di informazioni presenti sulla rete, nella indicizzazione, nella memorizzazione e nell’offerta al pubblico delle medesime integra trattamento di dati personali.
3. – Il quinto motivo denuncia violazione e falsa applicazione dell’articolo 75 c.p.c., Decreto Legislativo n. 196 del 2003, articoli 150 e 154, articolo 15 dir. 2000/31/CE e Decreto Legislativo n. 70 del 2003, articolo 17. Ci si duole che a (OMISSIS) sia stato ordinato di porre in essere una rimozione definitiva degli URL ad onta del fatto che la societa’ italiana non gestisce il motore di ricerca; viene osservato che la detta societa’ mancherebbe di legittimazione passiva, posto che non avrebbe alcun potere di intervento su (OMISSIS) e non potrebbe, quindi, dare esecuzione al provvedimento emanato. In proposito, si deplora che il Garante abbia pronunciato l’ordine di rimozione dei contenuti lesivi del diritto all’oblio anche nei confronti della societa’ italiana, laddove la stessa non poteva essere considerata titolare del trattamento dei dati personali di (OMISSIS). Le ricorrenti rilevano, inoltre, come il Tribunale abbia avallato un’interpretazione del diritto all’oblio, gia’ fatta propria dal Garante nel suo provvedimento, eccessivamente sbilanciata in favore dell’interessato, a detrimento di interessi diversi, come l’interesse dei terzi di accedere alle pagine web per finalita’ diverse da quelle di una verifica sulle vicissitudini giudiziarie di (OMISSIS). In particolare, i ricorrenti censurano la sentenza impugnata nella parte in cui ha disposto l’eliminazione definitiva degli URL della loro copia cache delle corrispondenti pagine internet. Sul punto, e’ pure rimarcato come la misura adottata gravi le societa’ istanti di un’incessante attivita’ di sorveglianza, onde evitare che gli URL gia’ rimossi non vengano nuovamente indicizzati e che pagine corrispondenti alle cache non vengano rese disponibili sotto diversi URL: e’ invocato, in proposito, il cit. articolo 15 dir. 2000/31/CE, secondo cui nella prestazione dei servizi telematici il prestatore non e’ assoggettato un obbligo generale di sorveglianza sulle informazioni che trasmette e memorizza, ne’ a un dovere di ricerca attiva quanto a fatti o circostanze che indichino la presenza di attivita’ illecite.
3.1 – La prima delle doglianze sollevate col mezzo in esame va disattesa.
3.2. – Il Pubblico Ministero, nella sua prima requisitoria scritta, ha osservato che la societa’ “stabilimento” non potesse non avere una legittimazione sostanziale, costituendo essa “l’elemento necessario di connessione” tra il titolare e gestore del motore di ricerca e “l’applicazione della disciplina di tutela”: tale societa’, secondo la parte pubblica, deve essere evocata in causa “in funzione dell’accertamento dei presupposti di quel nesso strumentale e di eventuale contestazione delle condizioni legittimanti la domanda”.
Tale posizione risulta in linea coi principi di fondo elaborati dalla Corte di giustizia.
Si e’ detto del nesso esistente tra il trattamento dei dati personali e l’attivita’ di promozione e di vendita degli spazi pubblicitari da parte dello stabilimento: le due attivita’ (quella del gestore del motore di ricerca e quella dello stabilimento) devono essere considerate “inscindibilmente connesse” (Corte giust. Google Spain e Google, cit., 56). Cio’ ha portato a ritenere che ove un’impresa stabilita fuori dall’Unione Europea disponga di varie filiali in diversi Stati membri, l’autorita’ di controllo di uno Stato membro sia autorizzata ad esercitare i poteri che le conferisce l’articolo 28.3 della dir. 95/46 pure nei confronti di una filiale dell’impresa situata nel territorio di tale Stato membro, e cio’ quandanche tale filiale sia competente solamente, in base alla ripartizione delle funzioni all’interno del gruppo, per la vendita di spazi pubblicitari e per altre attivita’ di marketing (Corte giust. UE, Grande sezione, 5 giugno 2018, C210/16, Unabhangiges Landeszentrum fiir Datenschutz Schleswig-Holstein, 64). Se, dunque, l’autorita’ di controllo dello Stato membro e’ titolata ad adottare provvedimenti nei confronti della filiale ivi ubicata ove l’impresa titolare del trattamento dei dati e’ stabilita fuori dall’Unione Europea, non vi e’ ragione per escludere che cio’ possa accadere anche ove quest’ultima impresa abbia la propria sede in uno Stato membro. In questo caso, come nell’altro, l’attivita’ di trattamento dei dati posta in essere dal motore di ricerca risulta inscindibilmente connessa con quella, promozionale, svolta dalla filiale, collocandosi “nel contesto delle attivita’ di uno stabilimento del responsabile del trattamento nel territorio dello Stato membro”, a norma dell’articolo 4.1, lettera a), della direttiva. Ebbene, quest’ultima condizione giustifica l’adozione di misure nei confronti dello stabilimento (cfr. la sentenza da ultimo citata, 53 e 62): detto stabilimento, dunque, non si sottrae alle disposizioni nazionali adottate dallo Stato italiano per l’attuazione della direttiva stessa (e quindi, segnatamente, alle prescrizioni dettate dal Decreto Legislativo n. 196 del 2003, articolo 150, circa le statuizioni che il Garante puo’ adottare a seguito di ricorso dell’interessato).
3.3. – La seconda delle censure svolte col quinto motivo di ricorso pone la questione della dedotta esorbitanza della misura, adottata dal Garante e confermata dal Tribunale, consistente nella cancellazione delle copie cache delle pagine web accessibili attraverso gli URL che riguardavano la vicenda “(OMISSIS)”, in cui era stato coinvolto l’odierno controricorrente.
Il provvedimento del Garante aveva infatti portato sia alla rimozione degli URL che rinviavano alla suddetta vicenda, che all’eliminazione delle copie cache in questione.
Con la prima statuizione, non contestata nella presente sede che con riguardo ai profili che si sono in precedenza esaminati, si era fatto luogo alla deindicizzazione dei risultati con cui il motore di ricerca associava il nome di (OMISSIS) a un dissesto finanziario che era stato oggetto di interesse mediatico e che aveva avuto risonanza in articoli giornalistici.
3.4. – Le Sezioni Unite di questa Corte hanno ricondotto la deindicizzazione al “diritto alla cancellazione dei dati”, nel quadro di una classificazione che considera il medesimo come una delle tre possibili declinazioni del diritto all’oblio: le altre due sono individuate nel diritto a non vedere nuovamente pubblicate notizie relative a vicende in passato legittimamente diffuse, quando e’ trascorso un certo tempo tra la prima e la seconda pubblicazione e quello, connesso all’uso di internet e alla reperibilita’ delle notizie nella rete, consistente nell’esigenza di collocare la pubblicazione, avvenuta legittimamente molti anni prima, nel contesto attuale (Cass. Sez. U. 22 luglio 2019, n. 19681, in motivazione).
Sia la contestualizzazione dell’informazione che la deindicizzazione trovano ragione in un dato che innegabilmente connota l’esistenza umana nell’era digitale: un dato che si riassume, secondo una felice espressione, nella “stretta della persona in una eterna memoria collettiva, per una identita’ che si ripropone, nel tempo, sempre uguale a se’ stessa” (cosi’, in motivazione, Cass. 19 maggio 2020, n. 9147).
Non occorre qui indugiare sul rilievo per cui, nel mondo segnato dalla presenza di internet, in cui le informazioni sono affidate a un supporto informatico, le notizie sono sempre reperibili a distanza di anni dal verificarsi degli accadimenti che ne hanno imposto o comunque suggerito la prima diffusione. Mette conto solo di rilevare come la deindicizzazione si sia venuta affermando come rimedio atto ad evitare che il nome della persona sia associato dal motore di ricerca ai fatti di cui internet continua a conservare memoria. In tal senso la deindicizzazione asseconda il diritto della persona a non essere trovata facilmente sulla rete (si parla in proposito di right not to be found easily): lo strumento vale cioe’ ad escludere azioni di ricerca che, partendo dal nome della persona, portino a far conoscere ambiti della vita passata di questa che siano correlati a vicende che in se’ – si badi – presentino ancora un interesse (e che non possono percio’ essere totalmente oscurate), evitando che l’utente di internet, il quale ignori il coinvolgimento della persona nelle vicende in questione, si imbatta nelle relative notizie per ragioni casuali, o in quanto animato dalla curiosita’ di conoscere aspetti della trascorsa vita altrui di cui la rete ha ancora memoria (una memoria facilmente accessibile, nei suoi contenuti, proprio attraverso l’attivita’ dei motori di ricerca).
Come ricordato dalla Corte di Lussemburgo, l’inclusione nell’elenco di risultati – che appare a seguito di una ricerca effettuata a partire dal nome di una persona – di una pagina web e delle informazioni in essa contenute relative a questa persona, poiche’ facilita notevolmente l’accessibilita’ di tali informazioni a qualsiasi utente di internet che effettui una ricerca sulla persona di cui trattasi e puo’ svolgere un ruolo decisivo per la diffusione di dette informazioni, e’ idonea a costituire un’ingerenza piu’ rilevante nel diritto fondamentale al rispetto della vita privata della persona interessata che non la pubblicazione da parte dell’editore della suddetta pagina web (Corte giust. Google Spain e Google, cit., 87).
La deindicizzazione ha, cosi’, riguardo all’identita’ digitale del soggetto: e cio’ in quanto l’elenco dei risultati che compare in corrispondenza del nome della persona fornisce una rappresentazione dell’identita’ che quella persona ha in internet. E’ stato in proposito sottolineato, sempre dalla Corte di giustizia, che “l’organizzazione e l’aggregazione delle informazioni pubblicate su internet, realizzate dai motori di ricerca allo scopo di facilitare ai loro utenti l’accesso a dette informazioni, possono avere come effetto che tali utenti, quando la loro ricerca viene effettuata a partire dal nome di una persona fisica, ottengono attraverso l’elenco di risultati una visione complessiva strutturata delle informazioni relative a questa persona reperibili su internet, che consente loro di stabilire un profilo piu’ o meno dettagliato di quest’ultima” (Corte giust. UE, Google Spain e Google, cit., 37).
L’attivita’ del motore di ricerca si mostra in altri termini incidente sui diritti fondamentali alla vita privata e alla protezione dei dati personali (cfr., in particolare, Corte giust. UE, Google Spain e Google, cit., 38): e tuttavia, poiche’ la soppressione di link dall’elenco di risultati potrebbe avere, a seconda dell’informazione in questione, ripercussioni sul legittimo interesse degli utenti di internet potenzialmente interessati ad avere accesso a quest’ultima, occorre ricercare un giusto equilibrio tra tale interesse e i diritti fondamentali della persona di cui trattasi, derivanti dagli articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione Europea (Corte giust. UE, Google Spain e Google, cit., 81; il tema e’ affrontato anche da Corte giust. UE, Grande sezione, 24 settembre 2019, G.C. e altri, cit., 66 e 75, ove e’ precisato che il gestore del motore di ricerca deve comunque verificare – alla luce dei motivi di interesse pubblico rilevante di cui all’articolo 8.4, della dir. 95/46/CE o all’articolo 9.2, lettera g), del reg. (UE) 2016/679, e nel rispetto delle condizioni previste da tali disposizioni – se l’inserimento del link, verso la pagina web in questione, nell’elenco visualizzato in esito a una ricerca effettuata a partire dal nome della persona interessata, sia necessario per l’esercizio del diritto alla liberta’ di informazione degli utenti di internet potenzialmente interessati ad avere accesso a tale pagina web attraverso siffatta ricerca, liberta’ protetta dall’articolo 11 della Carta suddetta).
3.5. – Occorre pero’ considerare che questa esigenza di bilanciamento tra l’interesse del singolo ad essere dimenticato e l’interesse della collettivita’ ad essere informata – cui si correla l’interesse dei media a informare – permea l’intera area del diritto all’oblio, di cui quello alla deindicizzazione puo’ considerarsi espressione; va rammentato, in proposito, quanto affermato dalle Sezioni Unite di questa Corte nel campo della rievocazione storica, a mezzo della stampa, di fatti e vicende concernenti eventi del passato: rievocazione rispetto alla quale e’ stato affermato l’obbligo, da parte del giudice del merito, di valutare l’interesse pubblico, concreto ed attuale, alla menzione degli elementi identificativi delle persone che di quei fatti e di quelle vicende furono protagonisti (in tal senso Cass. Sez. U. 22 luglio 2019, n. 19681, cit.).
Nello stesso senso, la giurisprudenza della Corte EDU e’ ferma, da tempo, nel postulare un giusto equilibrio tra il diritto al rispetto della vita privata di cui all’articolo 8 CEDU e il diritto alla liberta’ d’espressione di cui al successivo articolo 10, che include “la liberta’ d’opinione e la liberta’ di ricevere o di comunicare informazioni o idee” e ha individuato, a tal fine, precisi criteri per la ponderazione dei diritti concorrenti: il contributo della notizia a un dibattito di interesse generale, il grado di notorieta’ del soggetto, l’oggetto della notizia; il comportamento precedente dell’interessato, le modalita’ con cui si ottiene l’informazione, la sua veridicita’ e il contenuto, la forma e le conseguenze della pubblicazione (si vedano, ad esempio: Corte EDU 19 ottobre 2017, Fuchsmann c. Germania, 32; Corte EDU 10 novembre 2015, Couderc et Hachette Filipacchi c. Francia, 93: sulla necessita’ del giusto equilibrio tra il diritto al rispetto della vita privata, da un lato, e la liberta’ di espressione e la liberta’ di informazione del pubblico, dall’altro, cfr. pure Corte EDU 28 giugno 2018, M.L. e W.W. c. Germania, 89).
Come e’ evidente, la deindicizzazione dei contenuti presenti sul web rappresenta, il piu’ delle volte, l’effettivo punto di equilibrio tra gli interessi in gioco. Essa integra, infatti, la soluzione che, a fronte della prospettata volonta’, da parte dell’interessato, di essere dimenticato per il proprio coinvolgimento in una vicenda del passato, realizza il richiamato bilanciamento escludendo le estreme soluzioni che sono astrattamente configurabili: quella di lasciare tutto com’e’ e quella di cancellare completamente la notizia dal web, rimuovendola addirittura dal sito in cui e’ localizzata.
E’ da rammentare, in proposito, che attraverso la deindicizzazione l’informazione non viene eliminata dalla rete, ma puo’ essere attinta raggiungendo il sito che la ospita (il cosiddetto sito sorgente) o attraverso altre metodologie di ricerca, come l’uso di parole-chiave diverse: cio’ che viene in questione e’, infatti, per usare le parole della Corte di giustizia, il diritto dell’interessato “a che l’informazione in questione riguardante la sua persona non venga piu’, allo stato attuale, collegata al suo nome da un elenco di risultati che appare a seguito di una ricerca effettuata a partire dal suo nome” (cosi’ Corte giust. UE, Google Spain e Google, cit., 99). In altri termini, con la deindicizzazione viene in discorso la durata e la facilita’ di accesso ai dati, non la loro semplice conservazione su internet (Corte EDU, 25 novembre 2021, Biancardi c. Italia, 50).
La neutralita’ della deindicizzazione operata a partire da nome dell’interessato rispetto ad altri criteri di ricerca e’ stato del resto sottolineato dalle Linee-guida sull’attuazione della sentenza della Corte di giustizia nel caso C-131/12, elaborate dal Gruppo di lavoro “Art. 29″: in dette Linee-guida viene ricordato come la citata pronuncia non ipotizzi la necessita’ di una cancellazione completa delle pagine dagli indici del motore di ricerca e che dette pagine dovrebbero restare accessibili attraverso ogni altra chiave di ricerca.
Tale avvertenza non e’ difforme da quella contenuta nelle Linee-guida 5/2019 che dettano ” criteri per l’esercizio del diritto all’oblio nel caso dei motori di ricerca, ai sensi del RGPD” (reg. 2016/679), adottate il 7 luglio 2020: e’ ivi evidenziato che la deindicizzazione di un particolare contenuto determina la cancellazione di esso dall’elenco dei risultati di ricerca relativi all’interessato, quando la ricerca e’, in via generale, effettuata a partire dal suo nome; in conseguenza, il contenuto deve restare disponibile se vengano utilizzati altri criteri di ricerca e le richieste di deindicizzazione non comportano la cancellazione completa dei dati personali, i quali non devono essere cancellati ne’ dal sito web di origine ne’ dall’indice e dalla cache del fornitore del motore di ricerca (punti 8 e 9).
In tal senso, questa Corte ha avuto modo di ritenere, di recente, che il bilanciamento tra il diritto della collettivita’ ad essere informata e a conservare memoria del fatto storico, con quello del titolare dei dati personali a non subire una indebita compressione della propria immagine sociale possa essere soddisfatto assicurando la permanenza dell’articolo di stampa relativo a fatti risalenti nel tempo oggetto di cronaca giudiziaria nell’archivio informatico del quotidiano, a condizione, pero’, che l’articolo sia deindicizzato dai siti generalisti (Cass. 27 marzo 2020, n. 7559). Similmente, si e’ reputato che la tutela del diritto consistente nel non rimanere esposti senza limiti di tempo a una rappresentazione non piu’ attuale della propria persona con pregiudizio alla reputazione ed alla riservatezza, a causa della ripubblicazione sul web, a distanza di un importante intervallo temporale, di una notizia relativa a fatti del passato, possa trovare soddisfazione – nel quadro dell’indicato bilanciamento del diritto stesso con l’interesse pubblico alla conoscenza del fatto, espressione del diritto di manifestazione del pensiero e quindi di cronaca e di conservazione della notizia per finalita’ storico-sociale e documentaristica – anche nella sola deindicizzazione dell’articolo dai motori di ricerca (Cass. 19 maggio 2020, n. 9147).
3.6. – In questa sede, come si e’ detto, non e’ controversa la legittimita’ della deindicizzazione (e quindi della ponderazione degli interessi che doveva presiedere all’adozione di tale misura), ma si censura, piuttosto, la decisione del Tribunale con cui e’ stato reputato conforme al diritto l’ordine, impartito dal Garante, di procedere alla cancellazione delle copie cache delle pagine internet accessibili attraverso gli URL degli articoli di stampa relativi alla vicenda “(OMISSIS)”.
La copia cache dei siti internet indicizzati consente al motore di ricerca di fornire una risposta piu’ veloce ed efficiente all’interrogazione posta dall’utente attraverso una o piu’ parole chiave. La cancellazione di esse preclude al motore di ricerca, nell’immediato, di avvalersi di tali copie per indicizzare i contenuti attraverso parole chiave anche diverse da quella corrispondente al nome dell’interessato. Detta cancellazione impedisce, inoltre, l’utilizzo di nuove copie cache che siano equivalenti a quelle cui si riferisce l’adottata statuizione, nella misura in cui si ritenga che tale ordine abbia il contenuto di una “ingiunzione dinamica”, estendendo la propria portata a tutte le copie, di contenuto sostanzialmente invariato rispetto a quelle cui si riferisce l’ordine, che il motore di ricerca possa realizzare nel futuro: e’ da ricordare, in proposito, che, seppure ad altro proposito, con riferimento ai servizi di hosting, la Corte di giustizia si e’ gia’ pronunciata nel senso di ammettere, a determinate condizioni, ordini aventi ad oggetto informazioni gia’ memorizzate, il cui contenuto sia identico o comunque equivalente a quello di un’informazione precedentemente dichiarata illecita, o di bloccare l’accesso alle medesime (Corte giust. UE, 3 ottobre 2019, Eva Glawischnig-Piesczek, C-18/18, 53).
Come rilevato, la deindicizzazione produce l’effetto di escludere che una certa notizia, riguardante una determinata persona, venga collegata al nome di questa attraverso un elenco di risultati che appare a seguito di una ricerca effettuata a partire dal nome predetto. E’ in tal senso che la deindicizzazione puo’ attuare il divisato bilanciamento: l’interesse alla conoscenza dell’informazione riguardante il fatto e’ salvaguardato attraverso l’accesso al sito, o alla copia di esso, che si attua attraverso altre chiavi di ricerca; ma e’ tutelata, al contempo, la sfera personale del soggetto coinvolto nella vicenda, giacche’ la deindicizzazione esclude che l’utente di internet possa apprendere del fatto storico in conseguenza di una ricerca nominativa che miri ad altri risultati o che sia animata da mera curiosita’ per aspetti della vita altrui su cui l’interessato voglia mantenere il riserbo.
Se e’ astrattamente ipotizzabile l’adozione di una misura piu’ radicale di quella appena indicata – una misura che quindi impedisca, o renda piu’ difficile, nei fatti, al motore di ricerca di indirizzare l’utente alla notizia presente sul web, quali che siano le chiavi di ricerca che si possano a tal fine utilizzare -, e’ necessario, a mente di quanto sopra osservato, che un tale risultato rifletta una precisa ponderazione dei contrapposti interessi: che, in particolare, sia dato nella fattispecie di ravvisare una prevalenza dei diritti fondamentali della persona rispetto alla liberta’ dell’informazione, riguardante il fatto occorso, che sia tale da giustificare un provvedimento di tale contenuto. Non e’ superfluo ricordare, al riguardo, che, in base alla Raccomandazione CM/Rec(2012)3 del Comitato dei Ministri del Consiglio d’Europa agli Stati membri sulla protezione dei diritti umani in relazione ai motori di ricerca, un prerequisito per l’esistenza di motori di ricerca efficaci e’ la liberta’ di scansionare e indicizzare le informazioni disponibili su internet: e’ ivi rammentato che il filtraggio e il blocco dei contenuti di internet da parte dei fornitori di motori di ricerca comporta infatti il rischio di violazione della liberta’ di espressione garantita dall’articolo 10 della CEDU per quanto riguarda i diritti dei fornitori e degli utenti di distribuire e accedere alle informazioni.
3.7. – Nella sentenza impugnata il Tribunale ha osservato, che la misura adottata dal Garante risultava essere conforme ai principi ispiratori del reg. (UE) 2016/679, il quale prevede il diritto a una cancellazione estesa dei dati personali oggetto del trattamento. Con cio’ e’ stata postulata una sorta di automatismo tra deindicizzazione a partire dal nome e cancellazione del dato (nel caso presente nelle copie cache).
In realta’, il regolamento del 2016 e’ pacificamente inapplicabile alla presente controversia.
Sono stati inoltre avanzati dei dubbi, in dottrina, circa la portata innovativa della disciplina sulla cancellazione introdotta dall’articolo 17 del regolamento, il quale – si e’ osservato – replicherebbe, con alcune puntualizzazioni, i contorni di un diritto alla cancellazione dei dati personali che era presente anche nella dir. 95/46/CE: il richiamo e’ alla disciplina dell’articolo 12, lettera b), di tale direttiva, il quale contempla il diritto ad ottenere dal responsabile del trattamento la rettifica, la cancellazione o il congelamento dei dati il cui trattamento non risulti essere conforme alle disposizioni della direttiva medesima.
In ogni caso, poi, il diritto dell’interessato di ottenere dal titolare del trattamento la cancellazione dei dati personali non opera, a norma dell’articolo 17.3, lettera a), nella misura in cui il trattamento sia necessario per l’esercizio del diritto alla liberta’ di espressione e di informazione; e’ quindi confermato che anche nella vigenza del regolamento 2016/679 opera quell’esigenza di bilanciamento di cui si e’ detto: circostanza, questa, che la Corte di giustizia, come in precedenza accennato, non ha mancato di sottolineare (Corte giust. UE, G.C. e altri, cit., 66 e 75; un preciso riferimento all’articolo 17 e’ contenuto nel par. 59).
3.8. – A fronte della richiesta di cancellazione delle copie cache rimane dunque centrale l’esigenza di ponderare gli interessi contrapposti. Ma il bilanciamento da compiersi non coincide, in questo caso, con quello operante ai fini della deindicizzazione, giacche’ l’eventuale sacrificio del diritto all’informazione non ha ad oggetto una notizia raggiungibile attraverso una ricerca condotta a partire del nome della persona, in funzione del richiamato diritto di questa a non essere trovata facilmente sulla rete, quanto la notizia in se’ considerata, siccome raggiungibile attraverso ogni diversa chiave di ricerca. Il diritto all’informazione e’, cioe’, sempre collegato all’attivita’ del motore di ricerca di cui si avvale l’utente, ma in funzione della residua capacita’ di questo di indirizzare all’informazione attraverso distinte e ulteriori modalita’ di interrogazione. Come e’ evidente, nella misura in cui, attraverso l’ordine di cancellazione delle copie cache, si esclude o si rende piu’ difficoltoso il reperimento, da parte del motore di ricerca, della notizia attraverso l’uso di parole chiave, si delinea la necessita’ di una ponderazione che tenga conto non piu’ dell’interesse a che il nome della persona sia dissociato dal motore di ricerca dall’informazione di cui trattasi, ma dell’interesse a che quella informazione non sia rinvenuta attraverso un qualsiasi diverso criterio di interrogazione.
La circostanza, rimarcata dal pubblico ministero nelle conclusioni da ultimo rassegnate Decreto Legge n. 137 del 2020, ex articolo 23, comma 8 bis, convertito dalla L. n. 176 del 2020 (pagg. 9 s.), per cui il mantenimento delle copie cache permette, in via di principio, “la perpetuazione – ancorche’ in modo piu’ evanescente dal punto di vista informatico – del reperimento della stessa notizia e di quel dato che l’interessato ha chiesto di eliminare, dunque consente il mantenimento di una “memoria” del dato nonostante lo scorrere del tempo” non basta, da sola, a dar ragione della misura adottata, giacche’, a mente di quanto sopra rilevato, occorre verificare preventivamente se esista un interesse pubblico alla diffusione e acquisizione della notizia.
Ora, il giudizio del Tribunale appare calibrato sulla vicenda personale dell’odierno controricorrente. Tenuto conto che nel caso in esame venivano in questione articoli giornalistici e ulteriori contenuti riguardanti la vicenda “(OMISSIS)”, era necessario non solo prendere in considerazione i dati personali di (OMISSIS) e verificare l’interesse a conoscere atti di indagine relativi allo stesso (cfr. sentenza impugnata, pag. 12), ma, in senso piu’ ampio, l’interesse a continuare ad essere informati sulla vicenda di cronaca nel suo complesso, per come accessibile attraverso l’attivita’ del motore di ricerca.
3.9. – Deve pertanto concludersi nel senso che la cancellazione delle copie cache relative a una informazione accessibile attraverso il motore di ricerca, in quanto incidente sulla capacita’, da parte del detto motore di ricerca, di fornire una risposta all’interrogazione posta dall’utente attraverso una o piu’ parole chiave, non consegue alla constatazione della sussistenza delle condizioni per la deindicizzazione del dato a partire dal nome della persona, ma esige una ponderazione del diritto all’oblio dell’interessato col diritto avente ad oggetto la diffusione e l’acquisizione dell’informazione, relativa al fatto nel suo complesso, attraverso parole chiave anche diverse dal nome della persona.
4. – In accoglimento della seconda censura del quinto motivo la sentenza va dunque cassata.
La causa e’ rinviata al Tribunale di Milano, in diversa composizione, che dovra’ fare applicazione dell’indicato principio. Al giudice del rinvio e’ demandata la decisione circa le spese del giudizio di legittimita’.
A norma del Decreto Legislativo n. 196 del 2003, articolo 52, comma 2, si dispone che, in caso di riproduzione della sentenza in qualsiasi forma, non sia fatta menzione delle generalita’ e degli altri dati identificativi del controricorrente.
P.Q.M.
La Corte;
accoglie, nei sensi di cui in motivazione, il quinto motivo di ricorso e rigetta gli altri; cassa la sentenza impugnata in relazione alla censura accolta e rinvia la causa al Tribunale di Milano, in diversa composizione, anche per le spese del giudizio di legittimita’; dispone che, in caso di diffusione della sentenza in qualsiasi forma, non sia fatta menzione delle generalita’ e degli altri dati identificativi del controricorrente.