Global Freedom of Expression | Google Spain SL v. Agencia Española de Protección de Datos – Global Freedom of Expression

Riassunto ed esito del caso

Nel marzo 2010, il cittadino spagnolo Costeja González ha presentato una denuncia all’Agenzia per la protezione dei dati del paese contro il giornale La Vanguardia, Google Spain e Google Inc. González voleva che il giornale rimuovesse o modificasse la registrazione del suo procedimento di pignoramento e sequestro del 1998 in modo che le informazioni non fossero più disponibili attraverso i motori di ricerca su Internet. Ha anche chiesto a Google Inc. o alla sua filiale, Google Spain, di rimuovere o nascondere i dati. González ha sostenuto che i procedimenti sono stati completamente risolti da diversi anni e quindi non dovrebbero più apparire online. L’Agenzia ha respinto la denuncia contro il giornale in quanto la pubblicazione era legalmente giustificata da un ordine del governo. Tuttavia, ha accolto il reclamo contro Google, trovando che i motori di ricerca su Internet sono anche soggetti alle leggi sulla protezione dei dati e devono prendere le misure necessarie per proteggere le informazioni personali.

In appello, l’Alta Corte Nazionale di Spagna ha sospeso il procedimento e ha presentato una serie di domande alla Corte di giustizia europea riguardo all’applicabilità della direttiva UE 95/46 (protezione dei dati personali) ai motori di ricerca su Internet. La Corte ha stabilito che un motore di ricerca è considerato come un “responsabile del trattamento” di dati personali attraverso il suo atto di localizzare, indicizzare, memorizzare e diffondere tali informazioni. Inoltre, ha ritenuto che per garantire i diritti della privacy e la protezione dei dati personali, gli operatori dei motori di ricerca possono essere tenuti a rimuovere le informazioni personali pubblicate da siti web di terzi. Ma il diritto della persona interessata a fare questa richiesta deve essere bilanciato con l’interesse del pubblico ad accedere alle sue informazioni personali.

Fatti

Nel 1998, il giornale spagnolo La Vanguardia ha pubblicato due articoli riguardanti un’azione di pignoramento e di sequestro contro Costeja González. Nel 2009, ha contattato il giornale, affermando che quando il suo nome è stato inserito in Google.com, c’era ancora un riferimento alle pagine del giornale riguardanti l’azione legale. González ha sostenuto che l’informazione doveva essere rimossa perché il procedimento si era concluso anni prima e che non c’era nessun credito in sospeso contro di lui. Il giornale, tuttavia, ha negato la sua richiesta, sostenendo che l’azione legale è stata pubblicata in base a un ordine del Ministero del Lavoro e degli Affari Sociali della Spagna. Poi, nel 2010, ha contattato Google Spagna, sostenendo che i risultati di ricerca online del suo nome non dovrebbero fare riferimento alla pubblicazione da parte del giornale del suo procedimento legale.

In seguito all’inadempienza di Google, González ha presentato una denuncia all’Agenzia spagnola per la protezione dei dati contro il giornale, Google Spagna e Google Inc. L’Agenzia ha respinto l’azione contro il giornale, argomentando che la pubblicazione è stata fatta in base a un ordine del governo. Ma ha accolto il reclamo contro Google e la sua filiale, Google Spain. Ha sostenuto che, poiché gli operatori dei motori di ricerca Internet trattano dati personali, sono soggetti alla legislazione sulla privacy e possono avere l’obbligo di rimuovere le informazioni che compromettono il diritto fondamentale alla privacy.

Di conseguenza, Google Inc. e Google Spain hanno presentato ricorsi separati contro la decisione. L’Alta Corte Nazionale di Spagna ha deciso di sospendere il procedimento come la valutazione dell’obbligo di Google di proteggere i dati personali che sono altrimenti pubblicati sui siti web di terzi.

Sintesi della decisione

L’Alta Corte Nazionale di Spagna ha sottoposto alla Corte di Giustizia Europea le seguenti questioni pregiudiziali:

(1) Se la direttiva UE 95/46 come attuata attraverso la legislazione nazionale di uno Stato membro possa essere applicata a una società straniera di motori di ricerca su Internet che ha una filiale o una controllata con l’intento di promuovere e vendere spazi pubblicitari destinati agli abitanti di tale Stato membro.

(2) Se l’atto dei motori di ricerca su Internet di localizzare informazioni pubblicate da terzi, e successivamente indicizzare e mettere le informazioni a disposizione degli utenti di Internet possa essere considerato come “trattamento di dati personali” ai sensi della direttiva.

(3) Se il gestore di un motore di ricerca debba essere considerato come un “responsabile del trattamento” per quanto riguarda il trattamento dei dati personali ai sensi dell’articolo 2, lettera d), della direttiva.

(4) Se, sulla base di motivi legittimi per proteggere il diritto alla privacy e altri diritti fondamentali previsti dalla direttiva, i gestori di motori di ricerca su Internet siano obbligati a rimuovere o cancellare le informazioni personali pubblicate da siti web di terzi, anche quando la diffusione iniziale di tali informazioni era legittima.

L’articolo 1 della direttiva 95/46 obbliga gli Stati UE a proteggere “i diritti e le libertà fondamentali delle persone fisiche, e in particolare il loro diritto alla privacy per quanto riguarda il trattamento dei dati personali”. Allo stesso tempo, vieta le restrizioni alla libera circolazione dei dati personali tra i membri dell’UE.

La direttiva definisce i dati personali come “qualsiasi informazione relativa ad una persona fisica identificata o identificabile (“persona interessata”); una persona identificabile è quella che può essere identificata, direttamente o indirettamente, in particolare mediante riferimento ad un numero di identificazione o ad uno o più elementi specifici della sua identità fisica, fisiologica, mentale, economica, culturale o sociale.” L’atto di trattare tali informazioni comprende “qualsiasi operazione o insieme di operazioni compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali, come la raccolta, la registrazione, l’organizzazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’impiego, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, il congelamento, la cancellazione o la distruzione”. Ai sensi dell’articolo 2(d), un “responsabile del trattamento” dei dati personali è qualsiasi “persona fisica o giuridica, autorità pubblica, agenzia o qualsiasi altro organismo che, da solo o insieme ad altri, determina le finalità e i mezzi del trattamento dei dati personali.”

La Corte di giustizia europea ha prima discusso se l’attività di un motore di ricerca Internet può essere classificata come “trattamento” di dati personali ai sensi dell’articolo 2(c) della direttiva. E se la risposta è affermativa, se il gestore di un motore di ricerca può essere considerato come un controllore che effettua il trattamento dei dati personali. La Corte ha ritenuto indiscutibile che alcune o molte informazioni indicizzate e memorizzate dai motori di ricerca sono relative a “persone fisiche identificabili e quindi “dati personali” ai sensi dell’articolo 2(a) della .” E che attraverso la sua ricerca costante e sistematica di informazioni online, il gestore di un motore di ricerca raccoglie spesso tali dati personali, che vengono successivamente indicizzati, memorizzati e messi a disposizione degli utenti di Internet. Di conseguenza, la Corte ha concluso che l’atto di Google di raccogliere, indicizzare, memorizzare e divulgare i dati personali è considerato “trattamento” di tali informazioni ai fini della direttiva.

Per quanto riguarda se il motore di ricerca Google deve essere considerato come un “responsabile” del trattamento dei dati personali, la Corte era del parere che il concetto di “responsabile” all’interno della direttiva deve essere interpretato in modo ampio al fine di garantire “una protezione efficace e completa degli interessati”. E che sarebbe contrario agli obiettivi previsti dalla direttiva escludere gli operatori dei motori di ricerca su Internet in quanto “svolgono un ruolo decisivo nella diffusione globale dei dati.”

Per quanto riguarda la possibilità di applicare la direttiva come attuata dalle leggi nazionali della Spagna a Google come “responsabile” del trattamento dei dati personali, gli atti della Corte hanno indicato che Google Spain è stato istituito nel 2003 da Google Inc. per agire principalmente come suo agente commerciale in Spagna “per promuovere, facilitare ed effettuare la vendita di prodotti e servizi pubblicitari on-line a terzi e la commercializzazione di tale pubblicità.” Ai sensi dell’articolo 4, paragrafo 1, lettera a), le disposizioni della direttiva sono applicabili quando:

“il trattamento viene effettuato nell’ambito delle attività di uno stabilimento del responsabile del trattamento nel territorio dello Stato membro; quando lo stesso responsabile del trattamento è stabilito nel territorio di più Stati membri, egli deve prendere le misure necessarie per garantire che ciascuno di questi stabilimenti rispetti gli obblighi previsti dal diritto nazionale applicabile.”

Prendendo in considerazione gli obiettivi della direttiva e la formulazione dell’articolo 4, paragrafo 1, lettera a), la Corte ha ritenuto che Google è soggetto alle disposizioni perché la sua filiale Google Spain è uno stabilimento in Spagna “destinato a promuovere e vendere, in tale , spazi pubblicitari offerti dal motore di ricerca, che serve a rendere redditizio il servizio offerto da tale motore.”

Infine, la Corte ha affrontato la portata della responsabilità di Google come motore di ricerca su Internet per quanto riguarda le informazioni personali pubblicate da siti web di terzi e successivamente cercato di essere rimosso o modificato dalla persona interessata. Le disposizioni applicabili in questo caso sono gli articoli 12(b) e 14(a) della direttiva. Ai sensi dell’articolo 12(b), ogni persona interessata ha il diritto di ottenere dal responsabile del trattamento “se del caso, la rettifica, la cancellazione o il blocco dei dati il cui trattamento non è conforme alle disposizioni della presente direttiva, in particolare a causa del carattere incompleto o inesatto dei dati.” L’articolo 14(a) concede inoltre alla persona interessata il diritto di “opporsi in qualsiasi momento, per motivi preminenti e legittimi connessi alla sua situazione particolare, al trattamento dei dati che la riguardano, salvo disposizione contraria della legislazione nazionale. In caso di opposizione giustificata, il trattamento avviato dal responsabile del trattamento non può più riguardare tali dati.”

Google Spain e Google Inc. hanno sostenuto che, sulla base del principio di proporzionalità, la rimozione delle informazioni personali deve essere indirizzata al sito web che ha pubblicato i dati e li ha resi pubblici. E che l’editore è nella posizione migliore per valutare la legittimità di quelle informazioni.

Nell’affrontare questa questione, la Corte ha prima sottolineato i diritti fondamentali alla privacy e alla protezione dei dati personali. L’articolo 8 della Carta dei diritti fondamentali dell’UE afferma che “ogni persona ha diritto alla protezione dei dati personali che la riguardano. Tali dati devono essere trattati in modo leale per finalità determinate e sulla base del consenso della persona interessata o di un’altra base legittima prevista dalla legge. Ogni persona ha il diritto di accedere ai dati che sono stati raccolti che la riguardano e il diritto di farli rettificare”. Come attuato, tra l’altro, ai sensi degli articoli 6, 7, 12, 14 e 28 della direttiva 95/46, la Corte ha anche sottolineato l’importanza di bilanciare il diritto alla privacy con il diritto di accesso alle informazioni.

Alla luce dei principi di cui sopra, la Corte ha dichiarato che i motori di ricerca su Internet sono soggetti a “incidere sui diritti fondamentali alla privacy e alla protezione dei dati personali quando la ricerca per mezzo di tale motore viene effettuata sulla base del nome di un individuo”. Tuttavia, il diritto degli utenti di Internet di accedere alle informazioni personali attraverso i motori di ricerca deve anche essere rispettato, in funzione “della natura delle informazioni in questione e della loro sensibilità per la vita privata della persona interessata e dell’interesse del pubblico a disporre di tali informazioni, interesse che può variare, in particolare, in funzione del ruolo svolto dalla persona interessata nella vita pubblica.”

In sintesi, la Corte ha stabilito che “il gestore di un motore di ricerca è obbligato a rimuovere dall’elenco dei risultati visualizzati a seguito di una ricerca effettuata sulla base del nome di una persona i link a pagine web, pubblicate da terzi e contenenti informazioni relative a tale persona, anche nel caso in cui tale nome o informazione non venga cancellato prima o contemporaneamente da tali pagine web, e anche, a seconda dei casi, quando la sua pubblicazione in sé su tali pagine è legittima.” La Corte ha anche affermato che le persone i cui dati personali sono pubblicamente disponibili attraverso i motori di ricerca su Internet possono “chiedere che le informazioni in questione non siano più rese disponibili al pubblico a causa della loro inclusione in un tale elenco di risultati” in quanto i loro diritti alla privacy e alla protezione dei dati personali prevalgono “non solo sull’interesse economico del gestore del motore di ricerca, ma anche sull’interesse del pubblico in generale ad avere accesso a tali informazioni in occasione di una ricerca relativa al nome della persona interessata”. La Corte, tuttavia, ha sottolineato che il diritto di avviare tale richiesta può cessare di esistere quando l’accesso alle informazioni personali “è giustificato dall’interesse preponderante del pubblico in generale ad avere, a causa della sua inclusione nella lista dei risultati, accesso alle informazioni in questione.”