Prescrizioni del Garante n. 820 del 12/12/2024

Google LLC: deindicizzazione di URL associati al nominativo dell’interessato e richiesta di delisting globale

Il Garante per la protezione dei dati personali decide su un reclamo proposto nei confronti di Google LLC ai sensi dell’art. 77 GDPR. La controversia riguarda la deindicizzazione, in associazione al nominativo dell’interessato, di risultati di ricerca relativi a vicende di cronaca del 2015 e, in particolare, la richiesta di estendere la rimozione anche alle versioni extraeuropee del motore di ricerca.

Fatti e svolgimento del procedimento

Il reclamante chiede che Google rimuova una serie di URL e snippet collegati a notizie di cronaca relative alla presenza del suo nome in una presunta lista di correntisti di una banca elvetica, vicenda dalla quale teme derivino illazioni su possibili illeciti fiscali. Deduce che non gli è mai stato contestato alcun illecito, né in sede tributaria né penale, e che la permanenza online dei risultati arreca un pregiudizio reputazionale ingiusto.

L’Autorità, con nota del 25 ottobre 2023, chiede a Google osservazioni e l’eventuale intenzione di aderire alla richiesta. Nel contraddittorio, Google comunica in data 14 novembre 2023 di aver bloccato dalle versioni europee dei risultati di ricerca diversi URL associati al nome del reclamante, di aver adottato misure manuali per un ulteriore URL e di non poter intervenire per altri URL non più visibili tra i risultati associati al nominativo. Il reclamante replica contestando la sufficienza delle misure, insistendo per la rimozione globale e segnalando anche nuovi URL, successivamente richiamati in ulteriori comunicazioni.

Trattamenti esaminati e quadro normativo

Il trattamento oggetto di esame è quello effettuato da Google LLC tramite il proprio motore di ricerca, con particolare riguardo all’indicizzazione e deindicizzazione dei risultati associati al nominativo dell’interessato. Il Garante richiama la propria competenza ai sensi dell’art. 55, par. 1, GDPR, evidenziando che, per effetto delle attività svolte in ambito europeo, il trattamento è soggetto al Regolamento ai sensi dell’art. 3, par. 1.

Ai fini della valutazione del diritto all’oblio, l’Autorità richiama gli artt. 17 e 21, par. 1, GDPR, nonché le Linee guida del WP29 del 26 novembre 2014 e le Linee guida n. 5/2019 dell’EDPB del 7 luglio 2020. Viene inoltre ricordato che, in caso di dichiarazioni false nel procedimento, può trovare applicazione l’art. 168 del Codice.

Valutazioni sugli URL già oggetto di intervento del motore di ricerca

Per gli URL indicati da Google come già bloccati nelle versioni europee dei risultati di ricerca, o comunque non più visibili in associazione al nome del reclamante, il Garante prende atto di quanto dichiarato dal titolare e ritiene che non sussistano i presupposti per ulteriori provvedimenti. Lo stesso vale per l’URL rispetto al quale Google riferisce di aver già adottato misure manuali per impedirne il posizionamento tra i risultati associati al nome dell’interessato.

L’Autorità rileva anche che, per gli ulteriori URL menzionati nelle note di riscontro del 14 novembre 2023 e del 15 gennaio 2024, le dichiarazioni di Google circa la non visibilità nelle ricerche associate al nominativo non risultano contestate in modo utile dal reclamante. Per tali ragioni, il reclamo è ritenuto infondato in questa parte.

Richiesta di delisting globale ed esclusione della tutela extraterritoriale

Una parte centrale della decisione riguarda la domanda di rimozione anche dalle versioni extraeuropee del motore di ricerca. Il Garante la respinge, ritenendo che gli elementi dedotti non giustifichino un ordine di global delisting. In particolare:

• la lesione prospettata riguarda il profilo personale e reputazionale del reclamante, ma non basta a fondare un’estensione globale della tutela;
• la circostanza che egli rivesta un ruolo apicale in una società operante anche all’estero non dimostra un interesse personale idoneo a giustificare l’ordine su tutte le versioni del motore di ricerca;
• il bilanciamento richiesto dal diritto all’oblio va operato tra diritto all’informazione e protezione dei dati dell’interessato, senza che la mera proiezione internazionale dell’attività imprenditoriale della società sia sufficiente;
• il trattamento presenta un impatto territoriale modesto.

Il Garante conclude quindi che il reclamo è infondato nella parte in cui pretende il delisting globale, richiamando anche la giurisprudenza della Corte di giustizia e della Cassazione evocata dalle parti, ma senza ritenere che nel caso concreto ne discenda un obbligo di rimozione extraterritoriale.

URL accolto: interesse pubblico ormai cessato

Diverso l’esito per un URL che rinvia a una pagina istituzionale della Camera dei deputati contenente un’interrogazione parlamentare del 12 marzo 2015, costruita sulla base di notizie di stampa relative alla vicenda della presunta lista di correntisti. Il Garante osserva che sono trascorsi oltre nove anni e che non risulta più un interesse pubblico attuale all’associazione del nominativo dell’interessato a quella vicenda, anche perché non vi è stato alcun seguito giudiziario nei suoi confronti o della sua impresa.

L’Autorità sottolinea che la deindicizzazione del risultato non incide sul documento pubblicato sul sito istituzionale della Camera, ma solo sulla sua reperibilità in associazione al nominativo dell’interessato tramite il motore di ricerca. Per questo il reclamo è dichiarato fondato limitatamente a tale URL.

Dispositivo, ordine di rimozione e adempimenti

Nel dispositivo finale il Garante:

• prende atto delle misure già adottate da Google per gli URL indicati nelle proprie note;
• dichiara infondata la richiesta di delisting globale;
• dichiara fondato il reclamo limitatamente all’URL relativo all’interrogazione parlamentare;
• ingiunge a Google LLC, ai sensi dell’art. 58, par. 2, lett. c) e g), GDPR, di rimuovere tale URL come risultato di ricerca associato al nominativo dell’interessato entro venti giorni dalla ricezione del provvedimento.

Viene inoltre disposta l’annotazione nel registro interno dell’Autorità ai sensi dell’art. 17 del regolamento del Garante n. 1/2019, precisando che tale annotazione non vale come precedente per eventuali futuri procedimenti ai fini dell’art. 83, par. 2, lett. c), GDPR. Ai sensi dell’art. 157 del Codice, Google è invitata a comunicare entro trenta giorni le iniziative adottate per l’esecuzione del provvedimento; in caso di mancato riscontro è richiamata la sanzione di cui all’art. 166 del Codice, mentre per l’inosservanza dell’ordine può trovare applicazione l’art. 83, par. 5, lett. e), GDPR.

Impugnazione

Contro il provvedimento è ammessa opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011, nei termini di legge.