Diritto all'oblio senza confini territoriali: un'altra sfida del GDPR
Secondo l'Ordinanza del 24 novembre 2022 n. 34658 della Prima Sezione Civile il motore di ricerca Google è tenuto ad effettuare la deindicizzazione dei contenuti richiesti, sussistendone i presupposti, a livello globale, ovvero in tutte le proprie versioni, non soltanto in quelle presenti nell'Unione Europea ma anche in quelle presenti nei Paesi extraeuropei
Secondo l'Ordinanza del 24 novembre 2022 n. 34658 della Prima Sezione Civile il motore di ricerca Google è tenuto ad effettuare la deindicizzazione dei contenuti richiesti, sussistendone i presupposti, a livello globale, ovvero in tutte le proprie versioni, non soltanto in quelle presenti nell'Unione Europea ma anche in quelle presenti nei Paesi extraeuropei.
Con tale affermazione i principi legislativi dettati dal Regolamento 679/2016 ("GDPR") dimostrano di poter superare i confini geografici che ne delimitano la stretta applicabilità allo Spazio Economico Europeo ed in forza dei quali le Corti di merito e di legittimità si erano espresse nel senso della non extraterritorialità della legge italiana e del riconoscimento del diritto all'oblio per le sole versioni dei motori di ricerca riferibili agli Stati dell'UE.
Tema cruciale, quello espresso nell'ultima Ordinanza della Cassazione, che coinvolge, al di là degli aspetti di diritto, profili di natura tecnica, istituzionale e geopolitica che giocano un ruolo fondamentale nello sviluppo della rete.
Diritto all'oblio ("right to be forgotten") e deindicizzazione ("delisting")
Il diritto all'oblio secondo il GDPR è interpretato dalla Cassazione come "il diritto a non rimanere esposti, senza limiti di tempo, ad una rappresentazione non più attuale della propria persona, con pregiudizio alla reputazione ed alla riservatezza" (Cass. 9147/2020): il diritto all'oblio è il maggior presidio dell'identità digitale e della reputazione on line.La deindicizzazione, quale principale declinazione del diritto all'oblio, è l'attività - che si richiede ad un editore/gestore di un motore di ricerca - di soppressione di un elenco di risultati che appaiono on line a seguito di una ricerca effettuata a partire dal nome di una persona (Corte di Giustizia della Comunità Europea, causa C-131/12).
I gestori dei motori di ricerca sono obbligati ad accogliere le richieste di deindicizzazione dei dati c.d. particolari (giudiziari, opinioni politiche, religiose, vita sessuale etc.) su richiesta dell'interessato, sussistendone i presupposti di legge, (non necessarietà del trattamento, per revoca del consenso o opposizione) e previo equo bilanciamento con i diritti e libertà degli interessati.
Bilanciamento degli interessi
il diritto alla cancellazione, nel bilanciamento degli interessi, può cedere il passo di fronte a talune eccezioni rappresentate da norme di norme di legge a tutela di diritti fondamentali, quali il diritto di informazione e la libertà di espressione.
Diritti, questi ultimi, che assumono tuttavia connotati del tutto nuovi sul web, in cui non soltanto le testate, ma anche i singoli, attraverso piattaforme quai social e blog, possono diventare editori.
Ruolo e responsabilità dei motori di ricerca
Il gestore del motore di ricerca è responsabile per il trattamento dei dati e deve sottostare ai limiti imposti GDPR secondo l'oramai consolidata giurisprudenza unionale.In talune sentenze nazionali, è stato chiarito che l'obbligo imposto ai motori di ricerca può estendersi alle copie c.d. "cache" per giustificare "l'integrale e irreversibile eliminazione della notizia non più accessibile online attraverso qualsiasi ricerca effettuata sulla base di parole chiave anche diverse dal nome della persona". (Cassazione Civile, sez. I, 08/02/2022, n. 3952).
Le norme che fondano l'utilizzo del web, quali la Direttiva E-commerce e le normative nazionali d'attuazione, sono tenute a dialogare con GDPR ed a considerare le implicazioni che porta con sé.
Ambito di applicazione (extra) territoriale del GDPR
Era sinora stato considerato in giurisprudenza che il diritto all'oblio dovesse ritenersi limitato alle sole versioni dei motori riferibili agli Stati dell'UE, non a tutte quelle, a livello mondiale, del dominio dei gestori.
L'Ordinanza 34658 della Prima Sezione Civile resa in data 24 novembre 2022 ed in questa sede commentata, superando di fatti i limiti geografici del diritto all'oblio, conferma lo status del GDPR quale standard internazionale di protezione dei diritti fondamentali andando dritto al punto: gli operatori in rete devono offrire risultati concreti ed implementare strumenti tecnici idonei a garantirli.
La pronuncia in commento costituisce un importante tassello nel profondo cambiamento culturale, organizzativo ed economico che impone il rispetto del GDPR con riflessi determinanti non soltanto sul piano giuridico ma anche sul piano economico e commerciale, all'interno dell'Unione Europea, nei rapporti tra operatori e con Paesi Terzi.
L'Ordinanza della Corte di Cassazione conferma la forza propulsiva del GDPR che, tutelando i diritti dei singoli, si pone come il principale driver di sviluppo della rete e delle stesse logiche che ne reggono il funzionamento.
*a cura dell' avv. Giovanna Boschetti, Counsel – Studio CBA
