Prescrizioni del Garante n. 104 del 22/03/2023

Google LLC - deindicizzazione di risultati di ricerca relativi a vicenda giudiziaria

Il Garante per la protezione dei dati personali decide su un reclamo proposto nei confronti di Google LLC per la persistente reperibilità, tramite ricerca per nome e cognome, di articoli giornalistici del 2017 riguardanti una vicenda penale che aveva coinvolto l’interessato. Il procedimento è impostato come richiesta di esercizio del diritto all’oblio e di rimozione di specifici URL dai risultati del motore di ricerca.

Origine del reclamo e posizione dell’interessato

L’interessato aveva chiesto a Google, il 24 giugno 2020, la deindicizzazione di alcuni link; la risposta della società, del 9 luglio 2020, era stata negativa. Nel reclamo presentato al Garante il 2 novembre 2020, l’interessato ha sostenuto che i fatti erano ormai risalenti, che la finalità di cronaca era esaurita e che la permanenza in rete dei contenuti contrastava con l’esigenza di reinserimento sociale del condannato, richiamando anche l’art. 27 Cost. e l’art. 17, par. 1, GDPR.

Osservazioni di Google LLC

Su richiesta dell’Autorità, Google ha distinto i tre URL oggetto di reclamo. Per un primo URL ha dichiarato che la pagina non compariva più tra i risultati di ricerca associati al nome del reclamante, ritenendo quindi superfluo ogni ulteriore intervento. Per gli altri due URL ha negato la rimozione, osservando che gli articoli non erano integralmente accessibili senza registrazione, ma che titoli e anteprime richiamavano una vicenda penale per tentata estorsione. La società ha valorizzato:

• la recente pubblicazione degli articoli (2017);
• la natura di reato, ritenuta non marginale;
• l’interesse pubblico alla conoscenza dei fatti;
• il ruolo professionale del reclamante, commercialista;
• la provenienza delle notizie da una testata giornalistica nazionale.

Competenza e norme richiamate

Il Garante afferma la propria competenza ai sensi dell’art. 55, par. 1, GDPR, richiamando altresì l’art. 3, par. 1, GDPR in relazione allo stabilimento europeo e alla gestione del motore di ricerca da parte di Google LLC. Viene anche ricordato che, salvo il più grave reato, chiunque renda dichiarazioni false o produca atti falsi nel procedimento davanti al Garante risponde ai sensi dell’art. 168 del Codice privacy.

Valutazione del diritto all’oblio

Ai fini della verifica del diritto all’oblio, l’Autorità richiama:

• l’art. 17, par. 1, lett. c), GDPR;
• l’art. 21, par. 1, GDPR;
• le Linee guida del WP29 del 26 novembre 2014;
• le Linee guida EDPB n. 5/2019 del 7 luglio 2020.

Il Garante osserva che non basta il decorso del tempo, ma occorre una valutazione complessiva dei criteri individuati dalla normativa e dalla prassi europea.

Esito sui singoli URL

Per il primo URL, il Garante prende atto della dichiarazione di Google secondo cui esso non è più visualizzato tra i risultati di ricerca associati al nome dell’interessato e conclude che non vi sono i presupposti per un intervento.

Per gli altri due URL, il Garante rileva che conducono a pagine di un sito di aggregazione di notizie, con anteprime consultabili solo dagli abbonati. Nell’anteprima, in sé, i dati identificativi del reclamante non risultano visibili; tuttavia, nello snippet mostrato dal motore di ricerca compaiono nome, cognome ed età dell’interessato. Secondo l’Autorità, questo determina un trattamento di dati personali eccedente rispetto a quanto effettivamente accessibile agli utenti non registrati e rende fondata la richiesta di rimozione.

Provvedimento finale e termini

In base all’art. 58, par. 2, lett. c) e g), GDPR, il Garante:

• prende atto dell’assenza del primo URL dai risultati di ricerca;
• dichiara fondato il reclamo per gli altri due URL;
• ingiunge a Google LLC di rimuoverli quali risultati di ricerca reperibili in associazione al nome e cognome dell’interessato entro 20 giorni dalla ricezione del provvedimento.

Annotazione nel registro interno e valore del provvedimento

L’Autorità dispone l’annotazione della misura nel registro interno ex art. 57, par. 1, lett. u), GDPR, ai sensi dell’art. 17 del regolamento del Garante n. 1/2019. Specifica però che tale annotazione non potrà essere considerata un precedente pertinente, in eventuali futuri procedimenti contro il medesimo titolare, ai fini dell’art. 83, par. 2, lett. c), GDPR.

Adempimento e opposizione

Ai sensi dell’art. 157 del Codice privacy, Google LLC è invitata a comunicare entro 30 giorni le iniziative adottate per dare esecuzione al provvedimento; il mancato riscontro è sanzionabile ai sensi dell’art. 166 del Codice. Avverso il provvedimento è ammessa opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice privacy e dell’art. 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.