In questi ultimi giorni sono state pubblicate due sentenze della Corte di Giustizia europea sulla complessa materia del diritto all’oblio. Si tratta di provvedimenti che chiudono vicende risalenti nel tempo, ma ovviamente ancora attuali, e che avranno un impatto sui nostri diritti fondamentali.

In entrambi i casi la Corte analizza la questione in base alla precedente direttiva, ma tenendo conto anche del regolamento europeo in vigore, al fine di garantire che le risposte siano utili al giudice del rinvio.

Deindicizzazione solo all’interno dell’Unione

La prima sentenza (C-507/17 – qui il comunicato stampa) riguarda una vicenda del 2015, per la quale il CNIL (l’equivalente francese del Garante Privacy) nel 2016 multa Google Inc., quale titolare (controller, nella traduzione italiana indicato come responsabile) del trattamento dei dati (basato sui legittimi interessi del titolare) indicizzati dal motore di ricerca Google Search, per il suo rifiuto di deindicizzare (cioè sopprimere dall’elenco di risultati che appare a seguito di una ricerca effettuata a partire dal nome di una persona i link verso pagine web pubblicate da terzi e contenenti informazioni relative a questa persona) un contenuto, a seguito di richiesta per l’applicazione del diritto all’oblio, da tutte le estensione del dominio del suo motore. In breve, l’accusa era che Google avrebbe dovuto rimuovere il contenuto dal motore di ricerca senza concederne l’accesso a nessuno, non solo in Europa ma anche in tutti gli angoli del globo terrestre. Ricordiamo che Google aveva rimosso le notizie non solo da google.fr, google.de e altri domini dell'UE, ma anche da qualsiasi dominio che sembrava provenire dall'Europa.

Google si appella al Consiglio di Stato francese, il quale pur ritenendo sostanzialmente che la tutela del cittadino francese implica una deindicizzazione globale, data la complessità della materia gira il quesito alla Corte di Giustizia europea.

Il quadro normativo è per lo più noto. Il diritto all’oblio è presente fin dagli anni ‘90 nella normativa italiana e anche in altri Stati europei, e in tema risulta particolarmente importante una sentenza della Cassazione del 2012. A livello comunitario se ne inizia a discutere intorno al 2010, in particolare con l’ENISA (Agenzia europea per la sicurezza delle reti e dell'informazione) che se ne occupa in un rapporto fondamentale. Poi giunge la sentenza della Corte europea del 2014 a portare agli onori delle cronache tale diritto. Infine, il regolamento europeo lo introduce come diritto alla cancellazione.

A questo quadro normativo si richiama la Corte che, pur specificando che una deindicizzazione a livello mondiale “sarebbe idonea a conseguire pienamente l'obiettivo di protezione perseguito dal diritto dell’Unione”, tuttavia rileva una serie di problematiche che non consentono di pervenire a tale risultato. C’è il problema che non tutti gli Stati (esterni all’Unione ovviamente) riconoscono un diritto di questo tipo (es. Colombia), poi c’è la necessità di contemperare tale diritto con gli altri diritti fondamentali (es. diritto alla libertà di espressione, in particolare nella sua accezione passiva di diritto ad essere informati).

In breve non esiste al momento una norma europea che imponga a Google di deindicizzare un contenuto in tutto il mondo, cosa che sarebbe problematica in quanto necessiterebbe un previo bilanciamento dei diritti svolto da un legislatore. Il diritto dell’Unione, precisa la Corte, “non prevede attualmente strumenti e meccanismi di cooperazione siffatti per quanto riguarda la portata di una deindicizzazione al di fuori dell’Unione”. Per cui un motore di ricerca deve deindicizzare in tutti gli Stati dell’Unione (come aveva appunto fatto Google) ma non è obbligato a farlo al di fuori del territorio dell’Unione.

La notizia è stata lanciata da alcuni giornali e siti di informazione come una vittoria di Google, il che non è esatto, in quanto in realtà si tratta di un problema di corretto bilanciamento tra diritti fondamentali dell’uomo, da un lato il diritto all’oblio, appunto, e dall’altro la libertà di informazione (diritto di cronaca, diritto ad essere informati, quali diritti serventi rispetto all’esercizio della sovranità popolare – vedi Cass. del 2010).

Se da un lato erano schierati il CNIL francese e i garanti tedesco e del Regno Unito, dall’altro, insieme a Google, vi era Microsoft, Wikimedia Foundation (proprietaria di Wikipedia), il Reporters Committee for Freedom of the Press, il Center for democracy and technology, e il gruppo Article 19. Article 19 è un’organizzazione britannica che si occupa da anni delle difesa e la promozione della libertà di espressione e di informazione in tutto il mondo, e che prende il nome dal relativo articolo della Dichiarazione universale dei diritti umani. Infine, anche l’avvocato generale Szpunar aveva concluso ritenendo che l’attuazione delle decisioni sul diritto all’oblio dovessero rimanere limitate al territorio dell’Unione.

Insomma, non è certo una battaglia tra la megacorporazione Google e i diritti fondamentali dei cittadini, quanto piuttosto una decisione su come bilanciare correttamente due diritti fondamentali in contrapposizione tra loro.

Il direttore esecutivo di Article 19 ha salutato la sentenza come una vittoria per la libertà di espressione globale, in quanto il governo di uno Stato (nello specifico la Francia) non ha alcuna giurisdizione per limitare l’accesso alle informazioni legalmente pubblicate (ricordiamo che il diritto all’oblio interviene su informazioni del tutto lecite) al di fuori del territorio francese. Un residente non Ue, cercando su Google.com informazioni apparse in un articolo di un giornale statunitense, non ha alcuna aspettativa che la CNIL francese possa interferire con il suo diritto di accesso a tali informazioni. Del resto il rischio sarebbe che altri Stati cercherebbero di imporre le loro sentenze a tutto Internet, in una sorta di richiesta di reciprocità. Potremmo, ad esempio, avere la Turchia che chiede di rimuovere notizie non gradite al governo turco in tutto il mondo, il Pakistan che chiede di rimuovere notizie invise al governo pakistano, la Cina che chiede di bloccare notizie relative ai campi di concentramento per gli islamici, e così via. Anche la Russia utilizza il “diritto all’oblio” per censurare il dissenso interno. Insomma, un diversa decisione aprirebbe la strada alla censura a livello globale.

Allo stato Google ha ricevuto oltre 845mila richieste di deindicizzazione, di cui il 45% sono state accolte. Secondo Google la maggioranza delle richiesta perviene da studi legali e appositi servizi di ripulitura della reputazione, piuttosto che da singoli cittadini.

Due osservazioni. Innanzitutto, come risulta anche dalla sentenza (par. 42), Google ha modificato il funzionamento del motore di ricerca, utilizzando meccanismi di geolocalizzazione, in modo che un utente italiano, ad esempio, se anche passa per google.com vede comunque solo i risultati del motore google.it. In tal modo, ha precisato Google nelle sue difese, non è possibile aggirare eventuali deindicizzazioni (tranne forse utilizzando delle VPN).

La Corte, inoltre, specifica che se anche le norme dell’Unione non prevedono una extraterritorialità del diritto all’oblio, un’autorità nazionale resta eventualmente competente per effettuare un bilanciamento tra diritti e richiedere, se il caso, una deindicizzazione su tutte le versioni del motore di ricerca. Questo inciso non è chiaro, alcuni lo hanno letto come se fosse un via libera a norme (o sentenze) nazionali che impongano una deindicizzazione globale. Oppure semplicemente un’apertura a decisioni caso per caso da parte di autorità nazionali. In realtà non si capisce. In base a quale norma un’autorità potrebbe mai attuare una deindicizzazione globale?

Quello che non dobbiamo perdere di vista è che l’espansione del diritto all’oblio, un diritto non globale, implica generalmente una riduzione degli spazi della libertà di espressione. Un corretto bilanciamento è essenziale per la democrazia.

Trattamento di dati “sensibili” da parte del motore di ricerca

La seconda sentenza (C-136/17 – qui il comunicato stampa) riguarda quattro casi del 2017 (dei quali già avevamo parlato): privati che si rivolgono al motore di ricerca Google per la deindicizzazione di notizie contenenti dati “sensibili” (oggi a trattamento speciale ex. art. 9 GDPR). I dati sensibili sono quelli che possono rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, lo stato di salute e la vita sessuale.

Anche in questo caso la vicenda giunge alla Corte di Giustizia europea per il rifiuto di Google di ottemperare alla richiesta di deindicizzazione. Il Consiglio francese, infatti, trova notevoli difficoltà, in considerazione del fatto che in base alla normativa europea (la direttiva del 95 all’epoca), per il trattamento di dati sensibili occorreva il consenso, spesso anche scritto, a meno che non esistano specifiche deroghe (come per l’attività giornalistica, ma non è questo il caso). Ovviamente Google Search non ha il consenso per il trattamento, per cui il Consiglio di Stato francese si chiede quale sia la base giuridica applicabile. Se un cittadino esercita il diritto di opposizione in merito a dati sensibili, Google non dovrebbe nemmeno effettuare il bilanciamento dei diritti in gioco, perché il trattamento, in assenza di consenso, sarebbe ab origine illecito. E quindi dovrebbe solo eliminare il dato.

La Corte di Giustizia europea precisa che il gestore di un motore di ricerca, in quanto titolare del trattamento, quando riceve una richiesta di deindicizzazione riguardante un link verso una pagina Internet dove sono pubblicati dati sensibili, deve verificare se l’inserimento del link nell’indice sia assolutamente necessario per la promozione della libertà di informazione e in caso contrario, tenuto conto di tutti gli aspetti del caso, in particolare il tempo trascorso, rimuovere il link.

Aggiunge che nel caso di dati giudiziari (il caso classico riguarda documenti giudiziari pubblicati senza alcun editing), se tali dati risultano incompleti o inesatti (ad esempio se si tratta di notizie afferenti la fase iniziale di un processo poi concluso), il motore di ricerca è tenuto, “al più tardi al momento della richiesta di deindicizzazione”, a editare l’indice in modo che l’immagine dell’individuo risulti riflettere compitamente la situazione giudiziaria attuale, posizionando tali link ai primi posti dell’indice (par. 78).

In conclusione i dati sensibili possono essere mantenuti nell’indice se strettamente necessari per la libertà di informazione tenendo conto, però, che col tempo tale necessarietà va scemando. La Corte non prevede che Google debba fare particolari valutazioni al momento della raccolta dei dati, né raccogliere consensi (nonostante siano previsti dalla normativa per i dati sensibili), postponendo la valutazione (il bilanciamento dei diritti) nella fase successiva addirittura all'eventuale esercizio del diritto di opposizione da parte dell’interessato. In tal caso Google dovrebbe semplicemente deindicizzare il contenuto.

Rimane elusa la questione della base giuridica da utilizzare per il trattamento dei dati sensibili da parte di un motore di ricerca. Rammentando che il trattamento di Google è differente da quello del sito fonte (che può essere giornalistico), è plausibile che possa essere il “pubblico interesse” per un operatore commerciale come Google?

Osservazioni

Le due sentenze non si discostano particolarmente da precedenti decisioni. L’assenza di novità è stata vista da molti come un regresso, nel senso che la Corte avrebbe ridotto gli spazi del diritto all’oblio e quindi di un diritto fondamentale dei cittadini, secondo alcuni addirittura preferendo una visione aziendale.

In realtà la questione è molto più complessa. Il diritto all’oblio non è un diritto universale, non è riconosciuto ovunque. È vero che l’Unione europea da tempo sta cercando di imporre le sue regole (leggi) al resto del mondo (non che sia l’unica), probabilmente come compensazione del fatto che subisce le scelte tecnologiche di altri paesi. In tema di intelligenza artificiale, ad esempio, è noto che l’Ue vuole realizzare una serie di framework normativi sperando di imporli a paesi come la Cina e gli Usa che sono molto più avanti di noi. Purtroppo il diritto non funziona e non può funzionare così. Se non è accettato non verrà recepito ma combattuto. Il GDPR ha avuto un’accoglienza positiva perché si è visto che, nonostante le sue limitazioni, è una normativa che offre maggiore controllo ai cittadini che stavano perdendo fiducia nei servizi digitali. Per ravvivare tale fiducia verso l’economia digitale una regolamentazione come quella europea ha un buon effetto (il GDPR è strumentale rispetto al Digital Single Market in sostanza), e come tale molti paesi stanno o prevedono di recepirla con regole similari.

Ma per il diritto all’oblio la questione è molto più complicata. Si scontra con una concezione piuttosto diversa della libertà di espressione in altri paesi, ad esempio negli Usa, dove il relativo diritto trova ben pochi limiti. A differenza, in Europa il diritto del singolo individuo tende a prevalere anche sulla libertà di espressione.

L’Unione europea vorrebbe, quindi, estendere il proprio diritto all’oblio al resto del mondo, dimenticando che nell’Internet globale i diritti globali sono appunto globali. E quindi anche gli altri paesi avrebbero il diritto di chiedere l’attuazione del loro diritto all’oblio. Insomma si aprirebbe la strada alle censura governativa più sfrenata, non solo su scala locale, nel singolo Stato, ma a livello globale. Ciò che l’Unione europea potrà fare alla Russia e alla Cina, la Cina e la Russia potranno farlo all’Unione europea. La Russia potrebbe chiedere l’oblio per le questioni sulla Crimea, la Corea del Nord le critiche al proprio leader Kim Jong-un, e così via. Un diritto all’oblio globalizzato significherebbe che un paese come la Russia potrebbe censurare argomenti ad essa estranei ma di importanza politica all’interno della stessa Ue, in questo modo manipolando la politica europea. Come era quella storia della Russia che manipola le elezioni in Europa tramite Facebook? Beh, allo stato non risultano prove, ma con un diritto all’oblio globalizzato la Russia (o un altro paese) avrebbe lo strumento perfetto.

“Google wins”? No, the winners here are every Web user outside the EU who didn’t care to see search results censored worldwide to honor EU “right to be forgotten” decisions. https://t.co/tl9nxHP18x

— Rob Pegoraro (@robpegoraro) September 24, 2019

L’impressione è che l’Europa continui a non comprendere appieno le implicazioni delle nuove tecnologie, per fortuna stavolta la Corte non ha fatto il passo sbagliato.

Un'ultimissima considerazione. La Corte in entrambe le sentenze avverte che analizzerà la questione (soggetta alla direttiva del 95) anche in base al GDPR perché sia utile al giudice del rinvio. In che senso utile? Il giudice del rinvio dovrà giudicare in base alla normativa in vigore ai tempo del fatto non a quelle sopravvenute. Perché tale precisazione? Forse è l’indice che l’Europa si sta progressivamente avviando a diventare un sistema di common law (anche se molti paesi sono di civil law, come l’Italia). Infatti è sempre più frequente che gli esperti producano lunghe analisi delle sentenze della Corte europea per stabilire le regole del caso, piuttosto che partire dalle norme vere e proprie.

Per il futuro

Attualmente pende dinanzi alla Corte un altro caso riguardante il diritto all’oblio. Si tratta di un politico austriaco che chiede a Facebook di applicare il diritto all’oblio a livello globale. Lì la questione è molto più complessa, e l’analisi dell’avvocato generale è particolarmente preoccupante perché sembra autorizzare rimozioni algoritmiche basate su testo ma non le revisioni umane di eventuali errori dell'algoritmo. La decisione è prevista per il 3 ottobre.

Immagine in anteprima via weseenow.co.uk