Prescrizioni del Garante n. 432 del 15/12/2022

Google LLC: deindicizzazione di un URL associato al nominativo dell’interessato

Il Garante per la protezione dei dati personali ha deciso su un reclamo ex art. 77 GDPR presentato nei confronti di Google LLC, relativo alla reperibilità nei risultati di ricerca, in associazione al nome dell’interessato, di URL collegati a una vicenda giudiziaria e a informazioni sul suo stato di salute. Il procedimento riguarda l’esercizio del diritto all’oblio nei confronti di un motore di ricerca.

Origine del reclamo e contenuto della richiesta

L’interessato ha chiesto la rimozione dai risultati di ricerca associati al proprio nominativo di alcuni URL riferiti ad articoli di giornale e post pubblicati su blog. I contenuti rinviavano a una vicenda risalente al 2008, nella quale era stato accusato di aver appiccato numerosi incendi dolosi, e rispetto alla quale nel 2012 era intervenuta sentenza di assoluzione del Tribunale per incapacità di intendere e di volere. Il reclamante ha evidenziato il pregiudizio derivante dalla persistente reperibilità in rete dei contenuti e ha sostenuto che, a distanza di molti anni dalla definizione giudiziaria, non sussistesse più un interesse pubblico alla loro conoscenza. Ha anche rappresentato di essersi già rivolto ai gestori dei siti, non essendo stato possibile rintracciare i titolari di alcuni blog o riviste online.

Istruttoria e posizioni delle parti

Il Garante ha chiesto a Google LLC, con nota del 12 settembre 2022, di fornire osservazioni e di comunicare l’eventuale intenzione di aderire alle richieste del reclamante. Con memoria del 16 novembre 2022 Google ha dichiarato di aver disposto il blocco di tre URL dalle versioni europee dei risultati di ricerca per query correlate al nome del reclamante. Per un quarto URL, invece, ha negato l’adesione all’istanza, sostenendo che:

• l’articolo era recente, pubblicato nel 2020;
• esso riferiva che l’interessato, dopo la decisione del 2012, avrebbe ripetutamente violato la libertà vigilata ed era stato sottoposto nel 2020 a misura di sicurezza con ricovero in REMS per pericolosità sociale;
• la persistenza dell’interesse pubblico era confermata anche da documentazione sanitaria successiva, inclusa una raccomandazione del Dipartimento di salute mentale dell’ASL I della XX dell’agosto 2022.

Il reclamante, replicando, ha sostenuto che la gravità delle condizioni psicologiche emerse nelle relazioni sanitarie avrebbe dovuto imporre una tutela della privacy particolarmente stringente; ha inoltre affermato di non risiedere più in REMS da alcuni mesi e di avere una stabile occupazione. Ha anche osservato che il contenuto era stato rimosso dal sito della testata originaria.

Competenza del Garante e quadro normativo

Il Garante ha richiamato il principio di stabilimento, ritenendo che nei confronti di Google LLC trovasse applicazione il Regolamento in quanto le attività in ambito europeo sono svolte tramite proprie sedi, ai sensi dell’art. 3, par. 1, GDPR. Ha inoltre evidenziato che il trattamento connesso al motore di ricerca è gestito da Google LLC anche per il territorio UE, con sede negli Stati Uniti, circostanza idonea a radicare la competenza dell’Autorità italiana ai sensi dell’art. 55, par. 1, GDPR.

Valutazione del diritto all’oblio e del bilanciamento degli interessi

Per la valutazione della richiesta di deindicizzazione, l’Autorità ha richiamato i criteri elaborati dal Gruppo Articolo 29 nelle Linee guida del 26 novembre 2014 sul diritto all’oblio, che impongono di considerare non solo il decorso del tempo ma anche gli altri elementi rilevanti del caso concreto.

Nel caso esaminato, il Garante ha rilevato che:

• la notizia risultava accessibile solo su PressReader, qualificato come mero aggregatore di notizie;
• l’URL rinviava a un articolo della testata originaria che era stato rimosso su richiesta del reclamante;
• l’articolo conteneva un’informazione sullo stato di salute mentale dell’interessato;
• il reclamante non poteva rivolgersi a PressReader per esercitare i diritti di cui all’art. 17 GDPR, e quindi non aveva altra possibilità di impedire la diffusione dell’informazione;
• non risultavano in rete, perché già deindicizzati, ulteriori articoli utili a ricostruire la vicenda giudiziaria risalente nel tempo.

Alla luce di tali elementi, il Garante ha ritenuto che, per l’URL residuo, prevalessero le ragioni dell’interessato e che il reclamo dovesse essere accolto.

Decisione finale, misure e termini

L’Autorità ha pertanto:

• preso atto del blocco dei primi tre URL comunicato da Google e dichiarato che, per essi, non sussistono i presupposti per ulteriori provvedimenti;
• dichiarato fondato il reclamo relativamente al restante URL;
• ingiunto a Google LLC, ai sensi dell’art. 58, par. 2, lett. c) e g), GDPR, di deindicizzare l’URL quale risultato di ricerca reperibile in associazione al nominativo dell’interessato entro venti giorni dalla ricezione del provvedimento.

Annotazione nel registro interno e profili sanzionatori

Il Garante ha inoltre disposto, ai sensi dell’art. 17 del regolamento interno n. 1/2019 e dell’art. 57, par. 1, lett. u), GDPR, l’annotazione delle misure adottate nel registro interno dell’Autorità. Ha però precisato che tale annotazione non potrà essere considerata, in futuri procedimenti contro il medesimo titolare, quale precedente pertinente ai fini dell’art. 83, par. 2, lett. c), GDPR, trattandosi di una valutazione legata alle peculiarità del singolo caso.

È stato infine ricordato che, in caso di inosservanza dell’ordine di deindicizzazione, può trovare applicazione la sanzione amministrativa di cui all’art. 83, par. 5, lett. e), GDPR.

Mezzi di opposizione

Contro il provvedimento è ammessa opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 1° settembre 2011, n. 150, entro trenta giorni dalla comunicazione, ovvero sessanta giorni se il ricorrente risiede all’estero.