Prescrizioni del Garante n. 274 del 09/05/2024

Wikimedia Foundation Inc. – articolo Wikipedia su vicenda giudiziaria e deindicizzazione

Il Garante esamina il reclamo di un interessato contro Wikimedia Foundation Inc. per la permanenza online, sulla pagina biografica di Wikipedia a lui riferita, di informazioni relative a una vicenda giudiziaria conclusa con patteggiamento. Il procedimento origina anche dal mancato soddisfacimento delle richieste dell'interessato di cancellazione e di deindicizzazione, nonché dal dibattito sull'applicabilità del GDPR a un servizio globale come Wikipedia.

Origine del reclamo e contenuto delle contestazioni

Il reclamante lamenta la pubblicazione, tramite testate online, blog e pagina Wikipedia, di dati personali e di una narrazione ritenuta inesatta o travisata della vicenda giudiziaria. In particolare, deduce che la notizia riporti elementi identificativi in chiaro, che la notizia non rifletta correttamente l'esito del procedimento penale e che, per effetto del tempo trascorso e della delicatezza dei fatti, sia venuto meno l'interesse pubblico alla sua persistente reperibilità. Richiama quindi la violazione dell'art. 137, comma 3, Codice privacy, degli artt. 5, par. 1, lett. e), 12, 15, 16, 17 e 18 GDPR.

Difese di Wikimedia Foundation Inc.

La Fondazione contesta innanzitutto che il GDPR si applichi al caso, sostenendo che Wikipedia sia un progetto globale, organizzato per lingue e non per Paesi, che non offre un servizio diretto alla persona interessata e che ospita contenuti creati dai volontari. Aggiunge che il trattamento sarebbe espressione della libertà di informazione e che, comunque, l'eventuale cancellazione o deindicizzazione inciderebbe sulla ricerca storica e sull'archivio del sito. La Fondazione richiama anche le deroghe previste dagli artt. 85 e 89 GDPR e il proprio ruolo di host neutrale.

Applicabilità del Regolamento e posizione della Fondazione nel trattamento

Il Garante respinge l'eccezione di inapplicabilità del Regolamento. Richiama le caratteristiche organizzative di Wikipedia, le policy interne, il sistema di riscontro alle richieste degli interessati e il ruolo della Fondazione nel coordinamento del progetto e nella fornitura dell'infrastruttura tecnica e del supporto legale. Sottolinea che il servizio è disponibile anche per gli utenti dell'Unione europea e che gli elementi del caso integrano l'intenzionalità richiesta dall'art. 3, par. 2, lett. a), GDPR, in coerenza con le Linee guida 3/2018 dell'EDPB. Osserva inoltre che la componente decisionale della Fondazione consente di qualificare il suo ruolo, quanto meno, come titolare o contitolare del trattamento ai sensi dell'art. 4, par. 7, GDPR.

Valutazione sulla cancellazione dell'articolo

Quanto alla richiesta di rimozione della pagina Wikipedia, il Garante ritiene che il trattamento originario fosse lecito perché espressione della libertà di manifestazione del pensiero e rispondente all'interesse pubblico di informazione sulla vicenda. Parimenti, la conservazione nell'archivio del sito è considerata coerente con una finalità di archivio storico-documentaristico, compatibile con il trattamento ai sensi dell'art. 5, par. 1, lett. b), GDPR e sottratta al diritto alla cancellazione per effetto dell'art. 17, par. 3, lett. d), GDPR. Il provvedimento richiama anche la disciplina dell'archivio storico giornalistico e le Regole deontologiche in materia di attività giornalistica.

Valutazione sulla deindicizzazione dai motori di ricerca esterni

L'Autorità giunge a conclusione diversa rispetto alla reperibilità del contenuto tramite motori di ricerca esterni. Considera rilevante che la vicenda risalga al 2017 e si sia conclusa nel 2018 con patteggiamento e pena sospesa; evidenzia inoltre che il beneficio riconosciuto dall'ordinamento in materia di casellario giudiziale, per le condanne entro un certo limite, sarebbe di fatto svuotato se la notizia continuasse a essere facilmente rintracciabile in rete. Per tale ragione ritiene che non sussistano, allo stato attuale, specifiche ragioni di interesse pubblico tali da giustificare la perdurante indicizzazione esterna dell'articolo.

Provvedimenti adottati e adempimenti richiesti

Il Garante dichiara infondato il reclamo nella parte relativa alla cancellazione della pagina Wikipedia, ma lo dichiara fondato nella parte concernente la deindicizzazione. Ordina pertanto a Wikimedia Foundation Inc., ai sensi dell'art. 58, par. 2, lett. c) e g), GDPR, di adottare misure tecniche idonee a impedire l'indicizzazione dell'articolo da parte dei motori di ricerca esterni, indicando come esempio l'apposizione del metatag "NOINDEX". Per le doglianze sul mancato riscontro alle richieste di esercizio dei diritti, l'Autorità prende atto delle giustificazioni fornite e non dispone ulteriori interventi. È inoltre prevista l'annotazione nel registro interno dell'Autorità e l'invito a comunicare entro 40 giorni le iniziative adottate, con richiamo alla sanzione ex art. 166 Codice in caso di mancata risposta.