Corte di giustizia, Sentenza C-136/17

Deindicizzazione nei motori di ricerca e dati sensibili/giudiziari

La pronuncia, resa in sede di rinvio pregiudiziale dal Conseil d’État francese, riguarda quattro controversie tra singoli richiedenti e la CNIL, nel contesto del rifiuto di ordinare a Google la deindicizzazione di link che rinviavano a pagine web di terzi. La Corte interpreta la direttiva 95/46/CE, tenendo conto anche del regolamento (UE) 2016/679, per chiarire l’estensione degli obblighi del motore di ricerca quando i risultati di ricerca, effettuati a partire dal nome della persona, rinviano a contenuti contenenti dati sensibili o informazioni su procedimenti penali.

Fatti e procedimento principale

I ricorrenti avevano chiesto a Google la deindicizzazione di link associati ai loro nomi. Le domande riguardavano, rispettivamente:

• un fotomontaggio satirico con riferimenti a una relazione intima e alla carriera politica di una ricorrente;
• un articolo relativo alla Chiesa di Scientology in cui un ricorrente era menzionato come responsabile delle relazioni pubbliche;
• articoli di stampa su un’indagine per finanziamento illecito del Partito Repubblicano, con riferimento a un ricorrente poi prosciolto;
• articoli su un processo penale e sulla condanna di un ricorrente per violenza sessuale su minori, con dettagli intimi riportati nelle cronache.

Dopo il diniego di Google, i ricorrenti hanno presentato reclami alla CNIL, che li ha archiviati; da qui i ricorsi al Conseil d’État, che ha sollevato quattro questioni pregiudiziali.

Normativa rilevante

La Corte richiama in particolare:

• la direttiva 95/46/CE, soprattutto gli articoli 2, 6, 7, 8, 9, 12, 14 e 28;
• il regolamento (UE) 2016/679, in particolare gli articoli 4, 5, 9, 10, 17, 21 e 85;
• la Carta dei diritti fondamentali, in particolare gli articoli 7, 8, 11 e 52.

La Corte sottolinea il passaggio dal regime della direttiva a quello del regolamento, applicabile dal 25 maggio 2018, ma decide le questioni alla luce della direttiva, senza perdere di vista il nuovo quadro normativo per garantire l’utilità della risposta al giudice del rinvio.

Prima questione: applicabilità delle regole sui dati sensibili al motore di ricerca

La Corte conferma che l’attività di un motore di ricerca costituisce un trattamento di dati personali e che il gestore è responsabile di tale trattamento. Ne consegue che il divieto o le restrizioni previsti dall’articolo 8, paragrafi 1 e 5, della direttiva 95/46 si applicano anche al gestore del motore di ricerca, nei limiti delle sue responsabilità, competenze e possibilità.

La Corte precisa però che tale applicazione riguarda non la pubblicazione originaria del dato sul sito terzo, ma l’indicizzazione e la messa a disposizione del link nei risultati di ricerca effettuata a partire dal nome dell’interessato. La verifica deve avvenire caso per caso, sotto il controllo delle autorità nazionali competenti, a seguito di una richiesta presentata dalla persona interessata.

Seconda questione: deindicizzazione di link verso pagine contenenti dati sensibili

In linea di principio, il gestore del motore di ricerca è tenuto ad accogliere le richieste di deindicizzazione riguardanti link verso pagine che contengono dati rientranti nelle categorie speciali dell’articolo 8, paragrafi 1 e 5, della direttiva 95/46.

La Corte esamina poi le eccezioni rilevanti:

• consenso esplicito: deve essere specifico e riguardare anche il trattamento effettuato dal motore di ricerca; nella pratica è difficile che il gestore abbia ottenuto tale consenso in modo preventivo, e la domanda di deindicizzazione normalmente indica che il consenso non sussiste più;
• dati resi manifestamente pubblici: tale eccezione può operare anche nei confronti del motore di ricerca, purché il trattamento rispetti tutte le altre condizioni di liceità;
• interesse pubblico rilevante e libertà di informazione: il gestore deve verificare se, alla luce di tutte le circostanze, l’inserimento del link sia strettamente necessario per tutelare la libertà di informazione degli utenti di Internet.

La Corte insiste sul fatto che, quando i dati sono particolarmente sensibili, l’ingerenza nei diritti fondamentali della persona può essere più grave e richiedere un bilanciamento più rigoroso con l’articolo 11 della Carta.

Terza questione: effetto della liceità della pubblicazione a fini giornalistici o espressivi

La terza questione non viene esaminata nel merito perché formulata solo nell’ipotesi di risposta negativa alla prima. Tuttavia, nel ragionamento sulla seconda questione, la Corte chiarisce che la pubblicazione di dati in una pagina web a soli fini giornalistici, artistici o letterari, ai sensi dell’articolo 9 della direttiva 95/46, non esclude automaticamente la deindicizzazione del link da parte del motore di ricerca. Il gestore deve comunque verificare se, nel caso concreto, la deindicizzazione sia necessaria per proteggere i diritti dell’interessato o, al contrario, se l’interesse del pubblico all’informazione prevalga.

Quarta questione: dati relativi a infrazioni, condanne penali e attualità delle informazioni

La Corte afferma che le informazioni relative a un procedimento giudiziario a carico di una persona fisica, incluse quelle sull’apertura dell’indagine, sul processo e sulla condanna eventualmente seguita, costituiscono dati relativi a «infrazioni» e «condanne penali» ai sensi dell’articolo 8, paragrafo 5, della direttiva 95/46 e dell’articolo 10 del regolamento 2016/679.

Di conseguenza, il gestore del motore di ricerca deve effettuare una verifica rigorosa quando riceve una richiesta di deindicizzazione relativa a tali link. Se le informazioni si riferiscono a una fase precedente del procedimento e non corrispondono più alla situazione attuale, il link deve essere rimosso dai risultati, salvo che, sulla base di tutte le circostanze pertinenti, risulti strettamente necessario mantenerlo per la libertà di informazione degli utenti.

La Corte elenca i criteri rilevanti per il bilanciamento:

• natura e gravità dell’infrazione;
• svolgimento ed esito del procedimento;
• tempo trascorso;
• ruolo pubblico dell’interessato;
• suo comportamento passato;
• interesse attuale del pubblico;
• contenuto e forma della pubblicazione;
• ripercussioni per la persona interessata.

Inoltre, anche quando la deindicizzazione non sia disposta, il motore di ricerca deve organizzare i risultati in modo che l’immagine complessiva rifletta la situazione giudiziaria attuale, ad esempio facendo comparire per primi i link con le informazioni più aggiornate.

Dispositivo

La Corte conclude che:

• il divieto e le restrizioni sui dati sensibili si applicano anche al gestore del motore di ricerca;
• la deindicizzazione va in linea di principio accolta per link verso pagine contenenti dati sensibili, salve le eccezioni previste;
• le informazioni su procedimenti giudiziari e condanne rientrano nei dati relativi a infrazioni e condanne penali;
• la deindicizzazione deve essere accordata quando tali informazioni non sono più attuali e il mantenimento del link non sia strettamente necessario per la libertà di informazione.

Principi affermati

La sentenza consolida il principio per cui il motore di ricerca non è un soggetto neutro rispetto ai dati personali: l’indicizzazione e la presentazione dei risultati costituiscono un trattamento autonomo, soggetto alle garanzie rafforzate previste per i dati sensibili e giudiziari. Il bilanciamento tra protezione dei dati e libertà di informazione deve essere concreto, aggiornato e fondato su tutte le circostanze del caso, con particolare attenzione alla sensibilità dei dati e all’attualità dell’informazione.