Prescrizioni del Garante n. 394 del 24/11/2022

Google LLC - deindicizzazione di un URL contenente dati giudiziari e riferimenti a candidatura politica

Il Garante accoglie il reclamo presentato da un interessato nei confronti di Google LLC e ordina la deindicizzazione, rispetto alle ricerche effettuate con il suo nome, di un URL che rinviava a una pagina web di un partito politico contenente il suo certificato del casellario giudiziale e il curriculum vitae. Il caso è inquadrato come esercizio del diritto all'oblio in relazione alla reperibilità via motore di ricerca di dati giudiziari e di informazioni idonee a far emergere preferenze politiche.

Origine del reclamo e contenuto dell'URL

Il reclamante, ai sensi dell'art. 77 GDPR, ha chiesto la rimozione dai risultati di ricerca di un URL pubblicato nel maggio 2022 sul sito di un partito politico, collegato a una ipotetica lista di candidati alle elezioni amministrative del 12-26 giugno 2022. La pagina includeva il certificato del casellario giudiziale e, successivamente, il curriculum vitae dell'interessato. Secondo quanto riferito dal reclamante, dopo la rinuncia alla candidatura quei contenuti continuavano a essere reperibili attraverso Google, nonostante nel sito del partito il suo nome fosse stato rimosso dall'elenco dei candidati.

Posizione del reclamante e difese di Google

Il reclamante ha sostenuto che la permanenza dell'URL nei risultati di ricerca, associata al suo nome, esponeva pubblicamente le sue preferenze politiche e incideva sulla riservatezza delle sue intenzioni di voto. In replica, Google ha negato la deindicizzazione, affermando che sussistesse ancora un interesse pubblico alla reperibilità dell'informazione in ragione del ruolo dell'interessato nella vita pubblica, derivante dalla professione svolta e dalle cariche ricoperte nel tempo. La società ha inoltre richiamato le Linee guida WP29 del 26 novembre 2014, sostenendo che l'interessato rientrasse tra i soggetti che svolgono un ruolo nella vita pubblica per effetto della propria professione; ha richiamato anche la condanna riportata nel certificato del casellario giudiziale.

Competenza del Garante e quadro normativo

L'Autorità afferma la propria competenza nei confronti di Google LLC richiamando l'art. 3, par. 1, GDPR, in relazione allo stabilimento nell'Unione, e l'art. 55, par. 1, GDPR, quanto alla competenza a decidere i reclami riferiti al territorio nazionale. Richiama poi gli artt. 17 e 21, par. 1, GDPR, osservando che la valutazione del diritto all'oblio deve considerare non solo il trascorrere del tempo, ma anche gli ulteriori criteri elaborati nelle Linee guida WP29 sul diritto all'oblio e nelle Linee guida EDPB n. 5/2019.

Valutazione sul bilanciamento tra interesse pubblico e diritti dell'interessato

Il Garante sottolinea che i dati oggetto di consultazione riguardano dati giudiziari, per i quali le Linee guida WP29 evidenziano un impatto più elevato sulla vita privata rispetto ai dati personali comuni. Nel caso concreto rileva che:

• nell'elenco dei candidati pubblicato sul sito del partito il nominativo del reclamante non era più presente;
• nel medesimo sito il certificato del casellario giudiziale e il curriculum del reclamante non erano visibili, salvo accesso tramite ricerca su Google;
• digitando il nome dell'interessato nel motore di ricerca si otteneva la pubblicazione integrale del documento.

Secondo il Garante, tale reperibilità determina un pregiudizio non giustificato da un ruolo pubblico del reclamante, atteso che egli aveva rinunciato alla candidatura. La diffusione del documento, inoltre, comportava la conoscibilità di dati relativi alle sue preferenze politiche e di una condanna in sede giudiziaria.

Decisione, ordine di deindicizzazione e annotazione interna

Il reclamo viene dichiarato fondato limitatamente alla richiesta di deindicizzazione dell'URL in relazione alle query collegate al nome dell'interessato. Ai sensi dell'art. 58, par. 2, lett. c) e g), GDPR, il Garante ingiunge a Google LLC di deindicizzare il risultato di ricerca entro venti giorni dalla ricezione del provvedimento.

L'Autorità dispone inoltre, ai sensi dell'art. 17 del regolamento del Garante n. 1/2019, l'annotazione della misura nel registro interno di cui all'art. 57, par. 1, lett. u), GDPR. Tuttavia precisa che tale annotazione non può valere come precedente, in futuri procedimenti nei confronti del medesimo titolare, ai fini dell'art. 83, par. 2, lett. c), GDPR, trattandosi di valutazione legata alle specificità del caso concreto.

Rimedi

Il provvedimento indica la possibilità di opposizione dinanzi all'autorità giudiziaria ordinaria ai sensi dell'art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro trenta giorni dalla comunicazione, ovvero sessanta giorni se il ricorrente risiede all'estero.