Cassazione Civile, Sentenza n. 3952/2022 del 08/02/2022

Esito

La controversia

Una persona aveva chiesto al gestore di un motore di ricerca, il 22 aprile 2015, la rimozione dai risultati associati al proprio nome di diversi URL relativi a una vicenda giudiziaria, ritenuta non più attuale ai fini del diritto di cronaca. Dopo che il gestore aveva dichiarato di non essere titolare del trattamento, l’interessato si era rivolto al Garante per la protezione dei dati personali. Con provvedimento del 25 febbraio 2016 il Garante aveva ordinato a entrambe le società di rimuovere gli URL indicati e di cancellare le corrispondenti copie cache; aveva dichiarato non luogo a provvedere per URL già rimossi e inammissibili ulteriori richieste. Le società avevano impugnato il provvedimento davanti al Tribunale di Milano, che aveva rigettato il ricorso. In Cassazione hanno proposto cinque motivi: i primi tre contestavano l’applicabilità del regolamento UE sulla competenza giurisdizionale al procedimento amministrativo, l’idoneità degli artt. 13 CEDU e 47 della Carta di Nizza a fondare il potere del Garante e l’applicabilità territoriale della disciplina privacy, sostenendo che il trattamento fosse svolto dalla società irlandese e che la società italiana avesse un ruolo distinto; il quarto negava che l’attività del motore di ricerca costituisse trattamento di dati personali; il quinto contestava la legittimazione passiva e la possibilità per la società italiana di eseguire l’ordine, nonché l’estensione della misura alla cancellazione delle copie cache, anche in relazione al bilanciamento con l’interesse pubblico all’informazione e al divieto di imporre un obbligo generale di sorveglianza.

La decisione

La Corte ha rigettato i primi tre motivi, precisando che la questione non riguardava propriamente la giurisdizione, ma l’ambito territoriale dei poteri amministrativi del Garante. Ha ritenuto applicabile la disciplina italiana perché il trattamento realizzato dal motore di ricerca era svolto nel contesto delle attività dello stabilimento italiano, destinato alla promozione e vendita degli spazi pubblicitari; tale accertamento di fatto non era sindacabile in sede di legittimità. Ha rigettato anche il quarto motivo: reperimento, indicizzazione, memorizzazione temporanea e messa a disposizione di informazioni personali da parte del motore di ricerca costituiscono trattamento di dati personali. Quanto al quinto motivo, ha respinto la censura sulla legittimazione della società italiana, poiché l’attività dello stabilimento e quella del gestore sono inscindibilmente connesse e il Garante può adottare misure anche nei confronti dello stabilimento. Ha invece accolto la censura relativa alla cancellazione delle copie cache: tale cancellazione non discende automaticamente dalla legittimità della deindicizzazione nominativa, ma richiede una distinta ponderazione tra diritto all’oblio e interesse alla diffusione e acquisizione dell’informazione nel suo complesso, anche mediante parole chiave diverse dal nome dell’interessato. La sentenza è stata cassata limitatamente a questo profilo e la causa rinviata al Tribunale di Milano, in diversa composizione, anche per le spese del giudizio di legittimità. È stata inoltre disposta la non menzione dei dati identificativi dell’interessato in caso di riproduzione della sentenza.

Norme richiamate

• art. 4, par. 1, lett. a), dir. 95/46/CE

  In conclusione, “l’art. 4.1, lettera a), della direttiva 95/46 deve essere interpretato nel senso che un trattamento di dati personali viene effettuato nel contesto delle attività di uno stabilimento del responsabile di tale trattamento nel territorio di uno Stato membro, ai sensi della disposizione suddetta, qualora il gestore di un motore di ricerca apra in uno Stato membro una succursale o una filiale destinata alla promozione e alla vendita degli spazi pubblicitari proposti da tale motore di ricerca e l’attività della quale si dirige agli abitanti di detto Stato membro”.

  La disciplina nazionale di attuazione della direttiva si applica quando il trattamento è svolto nel contesto delle attività di uno stabilimento stabile nello Stato membro, anche se il trattamento non è materialmente eseguito da quello stabilimento. È sufficiente che esso promuova e venda gli spazi pubblicitari del motore di ricerca rivolgendosi agli abitanti dello Stato.

• art. 2, lett. b), dir. 95/46/CE

  In particolare, l’attività del motore di ricerca consistente nel trovare informazioni pubblicate o inserite da terzi su internet, nell’indicizzarle in modo automatico, nel memorizzarle temporaneamente e, infine, nel metterle a disposizione degli utenti di internet secondo un determinato ordine di preferenza, deve essere qualificata come “trattamento di dati personali”, ai sensi del citato art. 2, lettera b), cit., qualora tali informazioni contengano dati personali, e il gestore di detto motore di ricerca deve essere considerato come il “responsabile” del trattamento summenzionato, ai sensi dell’art. 2, lettera d), della stessa direttiva.

  Le operazioni di reperimento, indicizzazione, memorizzazione temporanea e presentazione ordinata di informazioni contenenti dati personali costituiscono trattamento di dati personali da parte del gestore del motore di ricerca.

• art. 2, lett. d), dir. 95/46/CE

  In particolare, l’attività del motore di ricerca consistente nel trovare informazioni pubblicate o inserite da terzi su internet, nell’indicizzarle in modo automatico, nel memorizzarle temporaneamente e, infine, nel metterle a disposizione degli utenti di internet secondo un determinato ordine di preferenza, deve essere qualificata come “trattamento di dati personali”, ai sensi del citato art. 2, lettera b), cit., qualora tali informazioni contengano dati personali, e il gestore di detto motore di ricerca deve essere considerato come il “responsabile” del trattamento summenzionato, ai sensi dell’art. 2, lettera d), della stessa direttiva.

  Il gestore del motore di ricerca è responsabile del trattamento dei dati personali realizzato mediante reperimento, indicizzazione, memorizzazione e messa a disposizione delle informazioni.

• art. 28, par. 3, dir. 95/46/CE

  Si è detto del nesso esistente tra il trattamento dei dati personali e l’attività di promozione e di vendita degli spazi pubblicitari da parte dello stabilimento: le due attività (quella del gestore del motore di ricerca e quella dello stabilimento) devono essere considerate “inscindibilmente connesse” (Corte giust. Google Spain e Google, cit., 56).

  La connessione inscindibile tra trattamento e attività pubblicitaria dello stabilimento consente all’autorità di controllo di esercitare i propri poteri anche nei confronti della filiale locale, pur se questa svolge attività di marketing e vendita e non gestisce direttamente il motore di ricerca.

• art. 150, D.Lgs. 196/2003

  Se, dunque, l’autorità di controllo dello Stato membro è titolata ad adottare provvedimenti nei confronti della filiale ivi ubicata ove l’impresa titolare del trattamento dei dati è stabilita fuori dall’Unione Europea, non vi è ragione per escludere che ciò possa accadere anche ove quest’ultima impresa abbia la propria sede in uno Stato membro.

  I provvedimenti attribuiti al Garante dalla normativa nazionale possono essere indirizzati anche allo stabilimento italiano del responsabile del trattamento, quando il trattamento è svolto nel contesto delle attività di tale stabilimento.

• art. 17, par. 3, lett. a), reg. (UE) 2016/679

  In ogni caso, poi, il diritto dell’interessato di ottenere dal titolare del trattamento la cancellazione dei dati personali non opera, a norma dell’art. 17.3, lett. a), nella misura in cui il trattamento sia necessario per l’esercizio del diritto alla libertà di espressione e di informazione; è quindi confermato che anche nella vigenza del regolamento 2016/679 opera quell’esigenza di bilanciamento di cui si è detto.

  Anche il diritto alla cancellazione deve essere bilanciato con la libertà di espressione e di informazione. La Corte precisa tuttavia che il regolamento 2016/679 non è applicabile alla controversia in esame.

• art. 52, comma 2, D.Lgs. 196/2003

  A norma del D.Lgs. n. 196 del 2003, art. 52, comma 2, si dispone che, in caso di riproduzione della sentenza in qualsiasi forma, non sia fatta menzione delle generalità e degli altri dati identificativi del controricorrente.

  La riproduzione della sentenza deve avvenire senza menzionare le generalità e gli altri dati identificativi dell’interessato.

Massime di principio

• Le operazioni con cui un motore di ricerca reperisce, indicizza, memorizza temporaneamente e presenta informazioni contenenti dati personali costituiscono trattamento di dati personali; il gestore del motore di ricerca ne è responsabile ai sensi della disciplina applicabile.
• La disciplina nazionale di protezione dei dati si applica al trattamento effettuato nel contesto delle attività di uno stabilimento situato nello Stato, quando la filiale promuove e vende gli spazi pubblicitari del motore di ricerca rivolgendosi agli abitanti di quello Stato, anche se il trattamento è materialmente realizzato dal gestore stabilito altrove.
• Il nesso inscindibile tra trattamento dei dati e attività promozionale e commerciale dello stabilimento consente all’autorità di controllo di adottare misure anche nei confronti dello stabilimento locale, benché questo non gestisca direttamente il motore di ricerca.
• La cancellazione delle copie cache non consegue automaticamente alla sussistenza dei presupposti per la deindicizzazione del dato a partire dal nome dell’interessato. Essa richiede un’autonoma ponderazione tra il diritto all’oblio e l’interesse alla diffusione e all’acquisizione dell’informazione nel suo complesso, anche attraverso parole chiave diverse dal nome.
• La deindicizzazione nominativa, che impedisce il collegamento tra il nome della persona e una notizia nei risultati di ricerca, è distinta dalla cancellazione della notizia o delle copie cache: la prima lascia l’informazione reperibile attraverso il sito sorgente o altri criteri di ricerca, mentre la seconda può incidere più ampiamente sulla possibilità di reperirla.

Come è indicizzato