EUR-Lex Access to European Union law
This document is an excerpt from the EUR-Lex website
Document 62017CC0507
Opinion of Advocate General Szpunar delivered on 10 January 2019.#Google LLC, successor in law to Google Inc. v Commission nationale de l'informatique et des libertés (CNIL).#Request for a preliminary ruling from the Conseil d'État.#Reference for a preliminary ruling — Personal data — Protection of individuals with regard to the processing of such data — Directive 95/46/EC — Regulation (EU) 2016/679 — Internet search engines — Processing of data on web pages — Territorial scope of the right to de-referencing.#Case C-507/17.
Conclusioni dell’avvocato generale M. Szpunar, presentate il 10 gennaio 2019.
Google LLC contro Commission nationale de l'informatique et des libertés (CNIL).
Domanda di pronuncia pregiudiziale proposta dal Conseil d'État (Francia).
Rinvio pregiudiziale – Dati personali – Protezione delle persone fisiche con riguardo al trattamento di tali dati – Direttiva 95/46/CE – Regolamento (UE) 2016/679 – Motori di ricerca su Internet – Trattamento dei dati contenuti nei siti web – Portata territoriale del diritto alla deindicizzazione.
Causa C-507/17.
Conclusioni dell’avvocato generale M. Szpunar, presentate il 10 gennaio 2019.
Google LLC contro Commission nationale de l'informatique et des libertés (CNIL).
Domanda di pronuncia pregiudiziale proposta dal Conseil d'État (Francia).
Rinvio pregiudiziale – Dati personali – Protezione delle persone fisiche con riguardo al trattamento di tali dati – Direttiva 95/46/CE – Regolamento (UE) 2016/679 – Motori di ricerca su Internet – Trattamento dei dati contenuti nei siti web – Portata territoriale del diritto alla deindicizzazione.
Causa C-507/17.
Court reports – general – 'Information on unpublished decisions' section
ECLI identifier: ECLI:EU:C:2019:15
CONCLUSIONI DELL’AVVOCATO GENERALE
MACIEJ SZPUNAR
presentate il 10 gennaio 2019 ( 1 )
Causa C‑507/17
Google LLC, succeduta alla Google Inc.
contro
Commission nationale de l’informatique et des libertés (CNIL),
con l’intervento di
Wikimedia Foundation Inc.,
Fondation pour la liberté de la presse,
Microsoft Corp.,
Reporters Committee for Freedom of the Press e a.,
Article 19 e a.,
Internet Freedom Foundation e a.,
Défenseur des droits
[domanda di pronuncia pregiudiziale proposta dal Conseil d’État (Consiglio di Stato, Francia)]
«Rinvio pregiudiziale – Dati personali – Portata del diritto alla cancellazione – Sentenza del 13 maggio 2014, Google Spain e Google, C‑131/12 – Cancellazione sull’estensione del nome di dominio corrispondente allo Stato membro della richiesta o sulle estensioni del nome di dominio del motore di ricerca corrispondenti alle estensioni nazionali di tale motore per tutti gli Stati membri»
I. Introduzione
1. |
La presente domanda di pronuncia pregiudiziale del Conseil d’État (Consiglio di Stato, Francia) fa seguito alla sentenza Google Spain e Google ( 2 ) e fornirà alla Corte, in particolare, l’occasione di precisare il campo di applicazione ratione loci della direttiva 95/46/CE ( 3 ). Come noto, nell’ambito di detta causa, la Corte ha sancito un «diritto all’oblio» nella misura in cui, a determinate condizioni, una persona può ottenere dal gestore di un motore di ricerca la cancellazione di link Internet. Nella presente controversia, la Corte è chiamata a precisare la portata territoriale di una cancellazione e a stabilire se le disposizioni della direttiva 95/46 impongano una cancellazione a livello nazionale, europeo o mondiale. |
2. |
Nell’ambito della presente causa, proporrò alla Corte una cancellazione a livello europeo: il gestore di un motore di ricerca dovrebbe essere tenuto a cancellare i link visualizzati in esito a una ricerca effettuata a partire da un luogo situato all’interno dell’Unione europea. |
II. Contesto normativo
A. Diritto dell’Unione
1. Direttiva 95/46
3. |
Conformemente al suo articolo 1, la direttiva 95/46 ha ad oggetto la tutela dei diritti e delle libertà fondamentali delle persone fisiche e particolarmente del diritto alla vita privata, riguardo al trattamento dei dati personali, nonché l’eliminazione degli ostacoli alla libera circolazione di tali dati. |
4. |
L’articolo 2 della direttiva 95/46 dispone che «[a]i fini [di tale] direttiva si intende per:
(…)
(…)
|
5. |
L’articolo 3, paragrafo 1, della direttiva di cui trattasi, intitolato «Campo d’applicazione», prevede quanto segue: «Le disposizioni della presente direttiva si applicano al trattamento di dati personali interamente o parzialmente automatizzato nonché al trattamento non automatizzato di dati personali contenuti o destinati a figurare negli archivi». |
6. |
L’articolo 4 di detta direttiva, recante il titolo «Diritto nazionale applicabile», così dispone: «1. Ciascuno Stato membro applica le disposizioni nazionali adottate per l’attuazione della presente direttiva al trattamento di dati personali:
(…)». |
7. |
Nel capo II, sezione I, intitolata «Principi relativi alla qualità dei dati», l’articolo 6 della direttiva 95/46 così recita: «1. Gli Stati membri dispongono che i dati personali devono essere:
2. Il responsabile del trattamento è tenuto a garantire il rispetto delle disposizioni del paragrafo 1». |
8. |
Nel capo II, sezione II, intitolata «Principi relativi alla legittimazione del trattamento dei dati», l’articolo 7 della direttiva 95/46 stabilisce quanto segue: «Gli Stati membri dispongono che il trattamento di dati personali può essere effettuato soltanto quando: (…)
|
9. |
L’articolo 12 della direttiva succitata, recante il titolo «Diritto di accesso», prevede quanto segue: «Gli Stati membri garantiscono a qualsiasi persona interessata il diritto di ottenere dal responsabile del trattamento: (…)
(…)». |
10. |
L’articolo 14 della medesima direttiva, intitolato «Diritto di opposizione della persona interessata», così dispone: «Gli Stati membri riconoscono alla persona interessata il diritto:
(…)». |
11. |
L’articolo 28 della direttiva 95/46, intitolato «Autorità di controllo», è così formulato: «1. Ogni Stato membro dispone che una o più autorità pubbliche siano incaricate di sorvegliare, nel suo territorio, l’applicazione delle disposizioni di attuazione della presente direttiva, adottate dagli Stati membri. (…) 3. Ogni autorità di controllo dispone in particolare:
(…) È possibile un ricorso giurisdizionale avverso le decisioni dell’autorità di controllo recanti pregiudizio. 4. Qualsiasi persona, o associazione che la rappresenti, può presentare a un’autorità di controllo una domanda relativa alla tutela dei suoi diritti e libertà con riguardo al trattamento di dati personali. La persona interessata viene informata del seguito dato alla sua domanda. (…) 6. Ciascuna autorità di controllo, indipendentemente dalla legge nazionale applicabile al trattamento in questione, è competente per esercitare, nel territorio del suo Stato membro, i poteri attribuitile a norma del paragrafo 3. Ciascuna autorità può essere invitata ad esercitare i suoi poteri su domanda dell’autorità di un altro Stato membro. Le autorità di controllo collaborano tra loro nella misura necessaria allo svolgimento dei propri compiti, in particolare scambiandosi ogni informazione utile. (…)». |
2. Regolamento (UE) 2016/679
12. |
Ai sensi del suo articolo 99, paragrafo 2, il regolamento (UE) 2016/679 ( 4 ) si applica a decorrere dal 25 maggio 2018. Il suo articolo 94, paragrafo 1, stabilisce che la direttiva 95/46 è abrogata a decorrere dalla stessa data. |
13. |
L’articolo 17 di detto regolamento, intitolato «Diritto alla cancellazione (“diritto all’oblio”)», è formulato come segue: «1. L’interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l’obbligo di cancellare senza ingiustificato ritardo i dati personali, se sussiste uno dei motivi seguenti:
2. Il titolare del trattamento, se ha reso pubblici dati personali ed è obbligato, ai sensi del paragrafo 1, a cancellarli, tenendo conto della tecnologia disponibile e dei costi di attuazione adotta le misure ragionevoli, anche tecniche, per informare i titolari del trattamento che stanno trattando i dati personali della richiesta dell’interessato di cancellare qualsiasi link, copia o riproduzione dei suoi dati personali. 3. I paragrafi 1 e 2 non si applicano nella misura in cui il trattamento sia necessario:
|
14. |
L’articolo 18 del regolamento 2016/679, intitolato «Diritto di limitazione di trattamento», così dispone: «1. L’interessato ha il diritto di ottenere dal titolare del trattamento la limitazione del trattamento quando ricorre una delle seguenti ipotesi:
(…)
2. Se il trattamento è limitato a norma del paragrafo 1, tali dati personali sono trattati, salvo che per la conservazione, soltanto con il consenso dell’interessato o per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria oppure per tutelare i diritti di un’altra persona fisica o giuridica o per motivi di interesse pubblico rilevante dell’Unione o di uno Stato membro. 3. L’interessato che ha ottenuto la limitazione del trattamento a norma del paragrafo 1 è informato dal titolare del trattamento prima che detta limitazione sia revocata». |
15. |
L’articolo 21, paragrafo 1, del regolamento succitato, intitolato «Diritto di opposizione», prevede quanto segue: «L’interessato ha il diritto di opporsi in qualsiasi momento, per motivi connessi alla sua situazione particolare, al trattamento dei dati personali che lo riguardano ai sensi dell’articolo 6, paragrafo 1, lettere e) o f), compresa la profilazione sulla base di tali disposizioni. Il titolare del trattamento si astiene dal trattare ulteriormente i dati personali salvo che egli dimostri l’esistenza di motivi legittimi cogenti per procedere al trattamento che prevalgono sugli interessi, sui diritti e sulle libertà dell’interessato oppure per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria». |
16. |
L’articolo 85 del regolamento di cui trattasi, intitolato «Trattamento e libertà d’espressione e di informazione», enuncia quanto segue: «1. Il diritto degli Stati membri concilia la protezione dei dati personali ai sensi del presente regolamento con il diritto alla libertà d’espressione e di informazione, incluso il trattamento a scopi giornalistici o di espressione accademica, artistica o letteraria. 2. Ai fini del trattamento effettuato a scopi giornalistici o di espressione accademica, artistica o letteraria, gli Stati membri prevedono esenzioni o deroghe rispetto ai capi II (principi), III (diritti dell’interessato), IV (titolare del trattamento e responsabile del trattamento), V (trasferimento di dati personali verso paesi terzi o organizzazioni internazionali), VI (autorità di controllo indipendenti), VII (cooperazione e coerenza) e IX (specifiche situazioni di trattamento dei dati) qualora siano necessarie per conciliare il diritto alla protezione dei dati personali e la libertà d’espressione e di informazione. 3. Ogni Stato membro notifica alla Commissione le disposizioni di legge adottate ai sensi del paragrafo 2 e comunica senza ritardo ogni successiva modifica». |
B. Diritto francese
17. |
La direttiva 95/46 è stata recepita nel diritto francese mediante la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (legge n. 78-17, del 6 gennaio 1978, relativa all’informatica, ai file e alle libertà; in prosieguo: la «legge del 6 gennaio 1978»). |
III. Fatti e procedimento principale
18. |
Con decisione del 21 maggio 2015, la presidente della Commission nationale de l’informatique et des libertés (Commissione nazionale per l’informatica e le libertà; in prosieguo: la «CNIL»), avendo accolto la domanda di una persona fisica diretta ad ottenere la cancellazione di taluni link dall’elenco di risultati visualizzato a seguito di una ricerca effettuata a partire dal suo nome, intimava alla società Google LLC di procedere alla cancellazione richiesta su tutte le estensioni del nome di dominio del suo motore di ricerca. |
19. |
Google si rifiutava di dar seguito a detta diffida, limitandosi a cancellare i link di cui trattasi dai soli risultati visualizzati in seguito a ricerche effettuate sulle declinazioni del suo motore il cui nome di dominio corrisponde a uno Stato membro dell’Unione. |
20. |
La CNIL reputava peraltro insufficiente la proposta complementare di un «blocco geografico», formulata dalla Google Inc. dopo la scadenza del termine fissato nella diffida, e consistente nel sopprimere la possibilità di accedere, da un indirizzo IP che si considera localizzato nello Stato di residenza dell’interessato, ai risultati controversi di una ricerca effettuata a partire dal nome di quest’ultimo, e ciò indipendentemente dalla declinazione del motore di ricerca richiesta dall’utente di Internet. |
21. |
Dopo aver preso atto che Google non si era conformata alla diffida entro il termine ivi impartito, con deliberazione del 10 marzo 2016, la CNIL infliggeva a detta società una sanzione, resa pubblica, di EUR 100000. |
22. |
Con ricorso proposto dinanzi al Conseil d’État (Consiglio di Stato, Francia), Google chiede l’annullamento di detta deliberazione. |
23. |
Nell’ambito di tale procedimento, il Conseil d’État (Consiglio di Stato) ha ritenuto ricevibili gli interventi della Wikimedia Foundation Inc., della Fondation pour la liberté de la presse, della Microsoft Corp., di Reporters Committee for Freedom of the Press e a., di Article 19 e a. e di Internet Freedom Foundation e a., avendo tali soggetti dimostrato di vantare un sufficiente interesse all’annullamento della deliberazione impugnata. |
24. |
Il Conseil d’État (Consiglio di Stato) osserva che il trattamento dei dati personali compiuto dal motore di ricerca gestito da Google, tenuto conto delle attività di promozione e di vendita degli spazi pubblicitari esercitate, in Francia, tramite la sua filiale Google France, rientra nell’ambito di applicazione della legge del 6 gennaio 1978, che garantisce il recepimento nel diritto francese della direttiva 95/46. |
25. |
Il Conseil d’État (Consiglio di Stato) osserva, inoltre, che il motore di ricerca gestito da Google si declina in nomi di dominio diversi attraverso estensioni geografiche, al fine di adattare i risultati della ricerca alle specificità, in particolare linguistiche, dei diversi paesi in cui tale società svolge la propria attività. Se la ricerca è eseguita a partire da «google.com», Google procede, in linea di principio, a un reindirizzamento automatico della stessa verso il nome di dominio corrispondente al paese dal quale, grazie all’identificazione dell’indirizzo IP dell’utente Internet, si ritiene che sia stata compiuta la ricerca. Tuttavia, a prescindere dalla sua localizzazione, l’utente di Internet rimane libero di effettuare le proprie ricerche sugli altri nomi di dominio del motore di ricerca. D’altronde, anche se i risultati possono differire a seconda del nome di dominio a partire dal quale viene effettuata la ricerca sul motore in questione, è pacifico che i link apparsi in seguito a una ricerca provengono da banche dati e da operazioni di indicizzazione comuni. |
26. |
Tenuto conto, da una parte, del fatto che i nomi di dominio del motore di ricerca di Google sono tutti accessibili dal territorio francese e, dall’altra, dell’esistenza di applicazioni-ponte tra i suddetti diversi nomi di dominio, che illustrano, in particolare, il summenzionato reindirizzamento automatico, nonché la presenza di cookies (marcatori) su estensioni del motore diverse da quella sulla quale sono stati inizialmente posizionati, a parere del Conseil d’État (Consiglio di Stato) vi è motivo di ritenere che il motore, il quale peraltro è stato oggetto di un’unica dichiarazione presso la CNIL, effettui un trattamento unico di dati personali, ai sensi della legge del 6 gennaio 1978. Ne risulterebbe che il trattamento di dati personali da parte del motore di ricerca gestito da Google è eseguito nell’ambito di uno dei suoi stabilimenti, Google France, situato in territorio francese, e che, a tale titolo, esso è soggetto alla legge del 6 gennaio 1978. |
27. |
Dinanzi al Conseil d’État (Consiglio di Stato), Google afferma che la sanzione controversa si baserebbe su un’interpretazione erronea delle disposizioni della legge del 6 gennaio 1978 che recepiscono gli articoli 12, lettera b), e 14, lettera a), della direttiva 95/46, sulla cui base, nella sentenza Google Spain e Google ( 5 ), la Corte ha riconosciuto un «diritto alla cancellazione». Secondo Google, il diritto succitato non comporta necessariamente che i link controversi debbano essere cancellati senza limitazioni geografiche su tutti i nomi di dominio del suo motore di ricerca. Inoltre, sostenendo un’interpretazione siffatta, la CNIL avrebbe violato i principi di cortesia e di non ingerenza riconosciuti dal diritto internazionale pubblico e arrecato un danno sproporzionato alle libertà d’espressione, d’informazione, di comunicazione e di stampa, garantite, in particolare, dall’articolo 11 della Carta dei diritti fondamentali dell’Unione europea (in prosieguo: la «Carta»). |
IV. Questioni pregiudiziali e procedimento dinanzi alla Corte
28. |
Avendo constatato che le argomentazioni di cui trattasi sollevano numerose e serie difficoltà sotto il profilo dell’interpretazione della direttiva 95/46, il Conseil d’État (Consiglio di Stato) sospendeva il procedimento e sottoponeva alla Corte le seguenti questioni pregiudiziali:
|
29. |
Hanno presentato osservazioni scritte Google, la CNIL, la Wikimedia Foundation, la Fondation pour la liberté de la presse, Reporters Committee for Freedom of the Press e a., Article 19 e a., Internet Freedom Foundation e a., il Défenseur des droits, i governi francese, irlandese, ellenico, italiano, austriaco e polacco e la Commissione europea. |
30. |
Tutte le parti succitate, ad eccezione del Défenseur des droits e del governo italiano, oltre a Microsoft sono comparse all’udienza dell’11 settembre 2018. |
V. Analisi
31. |
Le questioni sollevate dal giudice del rinvio concernono l’interpretazione delle disposizioni della direttiva 95/46 e non quelle del regolamento 2016/679. Detto regolamento, applicabile a decorrere dal 25 maggio 2018 ( 7 ), ha abrogato la direttiva con effetto da detta data ( 8 ). |
32. |
Posto che, nel diritto processuale amministrativo francese, il diritto applicabile a una controversia è quello vigente alla data della decisione impugnata, non vi è dubbio che al procedimento principale sia applicabile la direttiva 95/46. Pertanto, la Corte è chiamata a interpretare le disposizioni di detta direttiva. |
A. Prima questione pregiudiziale
33. |
Con la sua prima questione pregiudiziale, il Conseil d’État (Consiglio di Stato) chiede alla Corte, essenzialmente, se il gestore di un motore di ricerca, nel dare seguito a una richiesta di cancellazione, sia tenuto a eseguire tale operazione su tutti i nomi di dominio del suo motore, talché i link controversi non appaiano più indipendentemente dal luogo dal quale viene effettuata la ricerca avviata sul nome del richiedente. |
34. |
La CNIL, il Défenseur des droits e i governi francese, italiano e austriaco invocano la necessità di una protezione efficace e completa del diritto alla protezione dei dati personali, garantito dall’articolo 8 della Carta e l’efficacia pratica del diritto alla cancellazione, derivante dagli articoli 12, lettera b), e 14, primo comma, lettera a), della direttiva 95/46, affermando che, per garantire l’efficacia di detti diritti, sarebbe necessario un obbligo di cancellazione a livello mondiale. Questa sembra anche la posizione espressa dal «gruppo di lavoro “articolo 29” per la protezione dei dati» ( 9 ) nei suoi «Orientamenti per l’esecuzione della sentenza [Google Spain e Google ( 10 )]», del 26 novembre 2014 ( 11 ) (in prosieguo: gli «orientamenti»). Infatti, detto gruppo osserva che «[p]er garantire la piena efficacia dei diritti dell’interessato conformemente alla sentenza della Corte, le decisioni di cancellazione dall’elenco dei risultati devono essere eseguite in modo tale da assicurare la tutela efficace e completa dei diritti degli interessati e da prevenire l’elusione delle norme dell’UE. In tal senso, limitare ai domini dell’UE la rimozione dall’elenco dei risultati a motivo del fatto che gli utenti tendono ad accedere ai motori di ricerca mediante i rispettivi domini nazionali, non può ritenersi un mezzo sufficiente per tutelare in modo soddisfacente i diritti degli interessati come previsto dalla sentenza. Nella pratica ciò implica che, in ogni caso, la cancellazione dall’elenco dei risultati deve valere per tutti i domini pertinenti,.com incluso» ( 12 ). |
35. |
Per contro, Google, la Wikimedia Foundation, la Fondation pour la liberté de la presse, Reporters Committee for Freedom of the Press e a., Article 19 e a., Internet Freedom Foundation e a., i governi irlandese, ellenico e polacco e la Commissione sostengono, essenzialmente, che la previsione di un diritto di cancellazione a livello mondiale sulla base del diritto dell’Unione non sarebbe compatibile né con quest’ultimo, né con il diritto internazionale pubblico e costituirebbe un precedente pericoloso, potendo indurre i regimi autoritari a richiedere parimenti l’attuazione a livello mondiale dei loro provvedimenti di censura. |
36. |
L’idea di una cancellazione a livello mondiale può sembrare allettante in ragione della sua radicalità, chiarezza, semplicità ed efficacia. Tuttavia, tale soluzione non mi convince poiché tiene conto unicamente di un solo lato della medaglia, vale a dire della protezione dei dati di un individuo. |
1. Sulla sentenza Google Spain e Google
37. |
Nella mia analisi prenderò le mosse dalla sentenza Google Spain e Google ( 13 ). |
38. |
Tale sentenza non stabilisce la portata geografica dell’attuazione di una cancellazione. Tuttavia, essa contiene una serie di considerazioni, in particolare sulla questione del campo di applicazione territoriale della direttiva 95/46, che meritano di essere qui ricordate. |
39. |
Una delle questioni era stabilire a quali condizioni la direttiva 95/46 si applichi ratione loci al trattamento dei dati personali compiuto nel quadro dell’attività di un motore di ricerca come Google Search, gestito da Google Inc., società a capo del gruppo Google, la cui sede sociale si trova negli Stati Uniti. |
40. |
A questo proposito, fondandosi sull’articolo 4, paragrafo 1, lettera a), della direttiva 95/46, che prevede come criterio che il «trattamento [dei dati personali] è effettuato nel contesto delle attività di uno stabilimento del responsabile [di detto] trattamento nel territorio [di uno] Stato membro», la Corte ha stabilito che il campo di applicazione territoriale della direttiva 95/46 copre i casi in cui il gestore di un motore di ricerca apre in uno Stato membro una succursale o una filiale destinata alla promozione e alla vendita degli spazi pubblicitari proposti da tale motore di ricerca e l’attività della quale si dirige agli abitanti di detto Stato membro (come Google Spain o, nel caso di specie, Google France) ( 14 ). |
41. |
La Corte ha così respinto le argomentazioni dedotte da Google Spain e Google Inc., con cui esse affermavano che il trattamento dei dati personali in questione non era compiuto «nel contesto delle attività» di Google Spain, ma soltanto da Google Inc., che apparentemente gestiva Google Search senza alcun intervento da parte di Google Spain, la cui attività si limitava alla fornitura di un sostegno all’attività pubblicitaria del gruppo Google, distinta dal suo servizio di motore di ricerca. |
42. |
A tal riguardo, la Corte ha chiarito che l’obiettivo della direttiva 95/46 è garantire una tutela efficace e completa delle libertà e dei diritti fondamentali delle persone fisiche, segnatamente del diritto alla vita privata, riguardo al trattamento dei dati personali e che l’espressione «nel contesto delle attività» non potrebbe ricevere un’interpretazione restrittiva ( 15 ). Inoltre, dall’articolo 4 della direttiva 95/46 risulta che il legislatore dell’Unione ha inteso evitare che una persona venga esclusa dalla protezione garantita da tale direttiva e che tale protezione venga elusa, prevedendo a tal fine un ambito di applicazione territoriale particolarmente esteso ( 16 ). |
2. Sul luogo da cui è effettuata la ricerca
43. |
Come nel caso di specie, anche nell’ambito della causa Google Spain e Google ( 17 ) il procedimento principale vedeva Google ( 18 ), quale ricorrente, contrapposta a un’autorità statale per la protezione dei dati ( 19 ), in relazione a una decisione di detta autorità. |
44. |
Tuttavia, la persona al centro della sentenza Google Spain e Google ( 20 ) è chiaramente quella i cui dati personali devono essere protetti. Sono i diritti di detta persona che la Corte sceglie di privilegiare. In detta sentenza, il punto di vista del soggetto che ricerca le informazioni appare unicamente in via incidentale ( 21 ). Pertanto, menzionando unicamente «[l]’elenco di risultati che appare a seguito di una ricerca effettuata a partire dal nome di una persona», la Corte non ha precisato il contesto in cui detta ricerca è stata compiuta, da chi e a partire da dove. |
45. |
Sebbene le disposizioni della direttiva 95/46 mirino dunque a tutelare i diritti fondamentali, a norma degli articoli 7 e 8 della Carta, della persona «ricercata» e, successivamente, «indicata nei risultati», esse tacciono tuttavia sulla questione della territorialità della cancellazione. Ad esempio, né le suddette disposizioni, né la sentenza Google Spain e Google ( 22 ) precisano se occorra trattare diversamente una ricerca effettuata da Singapore rispetto a una compiuta a partire da Parigi o Katowice. |
46. |
A mio giudizio, è necessario distinguere a seconda del luogo dal quale è compiuta la ricerca. Le ricerche effettuate al di fuori del territorio dell’Unione non dovrebbero essere soggette a cancellazione dei risultati di ricerca. |
a) Sull’applicazione territoriale della direttiva 95/46
47. |
In forza dell’articolo 52, paragrafo 1, TUE, i Trattati si applicano ai 28 Stati membri ( 23 ). Il territorio di uno Stato membro è definito dal diritto nazionale e dal diritto internazionale pubblico ( 24 ). L’articolo 52, paragrafo 2, TUE aggiunge che il campo di applicazione territoriale dei Trattati è precisato all’articolo 355 TFUE ( 25 ). Al di fuori di detto territorio, il diritto dell’Unione non può, in linea di principio, applicarsi né, di conseguenza, essere fonte di diritti o di obblighi. |
48. |
Si pone quindi la questione se, per una ragione eccezionale, il campo di applicazione della direttiva 95/46 si estenda al di là delle frontiere territoriali succitate, vale a dire se le disposizioni di detta direttiva debbano essere interpretate in maniera estensiva, al punto da spiegare effetti oltre tali frontiere. |
49. |
Ritengo di no. |
50. |
È vero che esistono situazioni in cui il diritto dell’Unione ammette effetti extraterritoriali. |
51. |
Come sottolinea anche il governo francese, in ragione di una giurisprudenza costante in materia di diritto della concorrenza, il fatto che una delle imprese partecipanti a un accordo anticoncorrenziale o che attua una pratica di tale natura si trovi in un paese terzo non impedisce l’applicazione delle norme in materia di concorrenza dell’Unione, in forza degli articoli 101 e 102 TFUE, ove il suddetto accordo o la suddetta pratica produca effetti nel territorio dell’Unione ( 26 ). |
52. |
Nell’ambito del diritto dei marchi, la Corte ha stabilito che sarebbe pregiudicata l’efficacia delle disposizioni in materia di protezione dei diritti di marchio ( 27 ) qualora l’uso, in un’offerta in vendita o in una pubblicità su Internet destinata a consumatori che si trovano nell’Unione, di un segno identico o simile a un marchio registrato nell’Unione fosse sottratto all’applicazione di tali norme per il solo fatto che il terzo all’origine di detta offerta o pubblicità sia stabilito in uno Stato terzo, che il server del sito Internet da lui utilizzato si trovi in tale Stato o, ancora, che il prodotto oggetto di detta offerta o pubblicità si trovi in uno Stato terzo ( 28 ). |
53. |
A mio giudizio, queste due tipologie di situazioni costituiscono ipotesi estreme ed eccezionali. Nei due casi, l’aspetto essenziale è l’impatto sul mercato interno (anche se possono essere parimenti interessati anche ulteriori mercati). Il mercato interno è un territorio chiaramente delimitato dai Trattati. Per contro, Internet è per sua natura mondiale e, in un certo qual senso, presente ovunque. È pertanto difficile trovare analogie e compiere raffronti. |
b) Sugli effetti extraterritoriali dei diritti fondamentali
54. |
A mio parere, non si può neppure invocare, come fa il Défenseur des droits, la giurisprudenza della Corte europea dei diritti dell’uomo sugli effetti extraterritoriali della Convenzione per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali, firmata a Roma il 4 novembre 1950, nell’ambito dell’estradizione di una persona verso un paese terzo ( 29 ), e ciò per due ordini di ragioni. |
55. |
In primis, il campo di applicazione della Carta segue il campo di applicazione del diritto dell’Unione e non viceversa, come precisa espressamente l’articolo 51, paragrafo 2, della Carta ( 30 ). |
56. |
In secondo luogo, detta giurisprudenza concerne i casi specifici della pena di morte o del divieto di tortura, diritti dell’uomo alla base di ogni Stato di diritto rispetto ai quali non è possibile alcuna deroga ( 31 ). |
57. |
Per contro, aspetto questo che rappresenta in un certo modo l’essenza della presente controversia, il «diritto all’oblio» deve essere bilanciato con altri diritti fondamentali. |
c) Sul bilanciamento dei diritti fondamentali
58. |
L’argomento centrale che depone contro un obbligo di cancellazione a livello mondiale è quello del bilanciamento dei diritti fondamentali e degli insegnamenti che se ne traggono dalla sentenza Google Spain e Google ( 32 ). Nell’ambito di detta controversa, la Corte ha attribuito grande importanza al bilanciamento tra, da una parte, il diritto alla protezione dei dati personali e alla vita privata e, dall’altra, l’interesse legittimo del pubblico ad accedere all’informazione ricercata. |
59. |
È pacifico che i diritti alla protezione dei dati e alla vita privata sono diritti derivanti dagli articoli 7 e 8 della Carta e devono presentare un criterio di collegamento con il diritto dell’Unione e la sua territorialità. Lo stesso vale per l’interesse legittimo del pubblico ad accedere alle informazioni ricercate. Per quanto attiene all’Unione, tale diritto trae origine dall’articolo 11 della Carta. Il pubblico considerato non è il pubblico mondiale, ma si trova nel campo di applicazione della Carta, ed è quindi europeo. |
60. |
Se si ammettesse una cancellazione a livello mondiale, le autorità dell’Unione non sarebbero in grado di definire e determinare un diritto a ricevere informazioni e, ancor meno, di bilanciarlo con gli altri diritti fondamentali alla protezione dei dati e alla vita privata. Tanto più che un siffatto interesse del pubblico ad accedere all’informazione varia necessariamente da uno Stato terzo all’altro, a seconda della sua collocazione geografica. |
61. |
Inoltre, sussisterebbe il rischio che l’Unione impedisca alle persone che si trovano in un paese terzo di accedere all’informazione. Se un’autorità dell’Unione potesse ordinare una cancellazione a livello mondiale, ciò costituirebbe un segnale fatale ai paesi terzi, che potrebbero parimenti disporre una cancellazione in forza della proprie leggi. Ipotizziamo che, per una ragione qualsiasi, taluni Stati terzi interpretino determinati loro diritti nel senso che precludono alle persone che si trovano in uno Stato membro dell’Unione di accedere a un’informazione ricercata. Sussisterebbe un rischio reale di corsa al ribasso a danno della libertà di espressione, a livello sia europeo che mondiale ( 33 ). |
62. |
Pertanto, le questioni in gioco non impongono un’applicazione delle disposizioni della direttiva 95/46 al di fuori del territorio dell’Unione. Tuttavia, ciò non significa che il diritto dell’Unione non possa mai imporre a un gestore di un motore di ricerca come Google di adottare misure a livello mondiale. Non escludo che possano sussistere casi in cui l’interesse dell’Unione esiga un’applicazione delle disposizioni della direttiva 95/46 al di fuori del territorio dell’Unione. Tuttavia, in una situazione come quella oggetto della presente controversia non vi è motivo di applicare le disposizioni della direttiva di cui trattasi in tal modo. |
63. |
Propongo pertanto alla Corte di rispondere alla prima questione pregiudiziale dichiarando che le disposizioni degli articoli 12, lettera b), e 14, lettera a), della direttiva 95/46 devono essere interpretate nel senso che il gestore di un motore di ricerca, nel dare seguito a una richiesta di cancellazione, non è tenuto ad eseguire tale operazione su tutti i nomi di dominio del suo motore, talché i link controversi non appaiano più indipendentemente dal luogo dal quale viene effettuata la ricerca avviata sul nome del richiedente. |
B. Seconda e terza questione pregiudiziale
64. |
Considerato che propongo di rispondere alla prima questione in senso negativo, occorre proseguire l’analisi affrontando, congiuntamente, la seconda e la terza questione pregiudiziale. |
65. |
Con la seconda questione, il giudice del rinvio chiede se il gestore di un motore di ricerca, nel dare seguito a una richiesta di cancellazione, sia tenuto solamente a sopprimere i link controversi che appaiono in esito a una ricerca effettuata a partire dal nome del richiedente sul nome di dominio corrispondente allo Stato in cui si ritiene sia stata effettuata la domanda o, più in generale, sui nomi di dominio del motore di ricerca corrispondenti alle estensioni nazionali di tale motore per tutti gli Stati membri dell’Unione. |
66. |
La terza questione, sottoposta «a completamento» della seconda, mira a stabilire se il gestore di un motore di ricerca, quando accoglie una richiesta di cancellazione, sia tenuto a sopprimere, con la tecnica detta del «blocco geografico», da un indirizzo IP che si ritenga localizzato nello Stato di residenza del beneficiario del «diritto alla cancellazione», i risultati controversi delle ricerche effettuate a partire dal nome di quest’ultimo, o persino, più in generale, da un indirizzo IP che si ritenga localizzato in uno degli Stati membri assoggettato alla direttiva 95/46, e ciò indipendentemente dal nome di dominio utilizzato dall’utente di Internet che effettua la ricerca. |
67. |
Nelle sue questioni pregiudiziali, il giudice del rinvio ricollega in maniera indissolubile, da una parte, il nome di dominio di un motore di ricerca ( 34 ) e, dall’altra, il luogo dal quale viene effettuata una ricerca Internet sul nome del richiedente ( 35 ). |
68. |
Per quanto concerne la prima questione pregiudiziale, un collegamento siffatto è naturale: se il gestore di un motore di ricerca rende inaccessibili i risultati di una ricerca su tutti i suoi nomi di dominio, evidentemente, i link controversi non appaiono più, a prescindere dal luogo dal quale viene effettuata la ricerca. |
69. |
Per contro, un legame siffatto non s’impone più ove si risponda in senso negativo alla prima questione pregiudiziale, come da me proposto. Infatti, come osserva lo stesso giudice del rinvio, una persona rimane libera di effettuare le proprie ricerche sugli altri nomi di dominio del motore di ricerca. Ad esempio, l’estensione google.fr non è limitata alle ricerche effettuate a partire dalla Francia. |
70. |
Tuttavia, tale possibilità può essere limitata mediante la tecnologia detta del «blocco geografico». |
71. |
Il blocco geografico è una tecnica che limita l’accesso al contenuto Internet in funzione della collocazione geografica dell’utente. Nell’ambito di detto sistema, la localizzazione dell’utente è determinata grazie a tecniche di geolocalizzazione, quali la verifica dell’indirizzo IP dell’utente. Il blocco geografico, che costituisce una forma di censura, è ritenuto ingiustificato nel diritto del mercato interno dell’Unione dove è stato fatto oggetto, in particolare, di un regolamento volto a impedire ai professionisti operanti in uno Stato membro di bloccare o limitare l’accesso alle loro interfacce online a clienti di altri Stati membri, che desiderano effettuare operazioni transfrontaliere ( 36 ). |
72. |
Una volta ammesso il blocco geografico, poco importa quale nome di dominio del motore di ricerca sia utilizzato. Pertanto, propongo di rispondere alla terza questione prima della seconda. |
73. |
Nella sentenza Google Spain e Google ( 37 ), la Corte ha stabilito che il gestore di un motore di ricerca deve assicurare, nell’ambito delle sue responsabilità, delle sue competenze e delle sue possibilità, che l’attività di detto motore di ricerca soddisfi le prescrizioni della direttiva 95/46, affinché le garanzie previste da quest’ultima possano sviluppare pienamente i loro effetti e possa essere effettivamente realizzata una tutela efficace e completa degli interessati, in particolare del loro diritto al rispetto della loro vita privata ( 38 ). |
74. |
Pertanto, quando sia accertato un diritto alla cancellazione, il gestore di un motore di ricerca è tenuto ad adottare tutte le misure a sua disposizione per garantire una cancellazione efficace e completa ( 39 ). Tale gestore deve intraprendere tutte le iniziative per lui tecnicamente possibili. Per quanto attiene alla controversia principale, ciò comprende, in particolare, la tecnica detta del «blocco geografico», indipendentemente dal nome di dominio utilizzato dall’utente di Internet che effettua la ricerca. |
75. |
Come spiegherò nelle seguenti righe, una cancellazione deve essere effettuata non a livello nazionale, ma a livello dell’Unione europea. |
76. |
La direttiva 95/46, «mira[ndo] a garantire un elevato grado di tutela [nell’Unione]» ( 40 ), è volta a creare un sistema completo di protezione dei dati che oltrepassa le frontiere nazionali. Fondata sull’originario articolo 100a TCE ( 41 ), essa si inserisce in una logica di mercato interno che comporta, bisogna ricordarlo, uno spazio senza frontiere interne ( 42 ). Ne consegue che una cancellazione a livello nazionale contrasterebbe con detto obiettivo di armonizzazione e con l’efficacia pratica delle disposizioni della direttiva 95/46 ( 43 ). |
77. |
Inoltre, occorre osservare che, nella vigenza del regolamento 2016/679, tale questione nemmeno si pone, posto che il regolamento è, in quanto tale, «direttamente applicabile in ciascuno degli Stati membri» ( 44 ). Fondato sull’articolo 16 TFUE, il regolamento 2016/679 trascende l’approccio del mercato interno della direttiva 95/46 e mira a garantire un sistema completo di protezione dei dati personali all’interno dell’Unione ( 45 ). Il regolamento di cui trattasi si riferisce sistematicamente all’Unione, al territorio dell’Unione o agli Stati membri ( 46 ). |
78. |
Pertanto, propongo di rispondere alla seconda e alla terza questione pregiudiziale dichiarando che il gestore di un motore di ricerca è tenuto a sopprimere i link controversi che appaiono in esito a una ricerca effettuata, a partire dal nome del richiedente, da un luogo situato all’interno dell’Unione europea. In tale contesto, detto gestore è tenuto ad adottare tutte le misure a sua disposizione per garantire una cancellazione efficace e completa. Ciò include, in particolare, la tecnica detta del «blocco geografico» da un indirizzo IP che si ritiene localizzato in uno degli Stati membri assoggettato alla direttiva 95/46, e ciò indipendentemente dal nome di dominio utilizzato dall’utente di Internet che effettua la ricerca. |
VI. Conclusione
79. |
Alla luce di tutte le considerazioni che precedono, propongo alla Corte di rispondere alle questioni pregiudiziali sollevate dal Conseil d’État (Consiglio di Stato, Francia) nel seguente modo:
|
( 1 ) Lingua originale: il francese.
( 2 ) Sentenza del 13 maggio 2014 (C‑131/12, EU:C:2014:317).
( 3 ) Direttiva del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU 1995, L 281, pag. 31).
( 4 ) Regolamento del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46 (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1), e rettifica (GU 2016, L 127, pag. 2).
( 5 ) Sentenza del 13 maggio 2014 (C‑131/12, EU:C:2014:317).
( 6 ) Sentenza del 13 maggio 2014 (C‑131/12, EU:C:2014:317).
( 7 ) In forza dell’articolo 99, paragrafo 2, del regolamento 2016/679.
( 8 ) V. articolo 94, paragrafo 1, del regolamento 2016/679.
( 9 ) Con l’entrata in vigore del regolamento 2016/679, detto gruppo di lavoro è stato sostituito dal Comitato europeo per la protezione dei dati (v. articoli 68 e 94, paragrafo 2, del regolamento 2016/679).
( 10 ) Sentenza del 13 maggio 2014 (C‑131/12, EU:C:2014:317).
( 11 ) Disponibile al seguente indirizzo: http://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp225_fr.pdf.
( 12 ) V. punto 7 degli orientamenti.
( 13 ) Sentenza del 13 maggio 2014 (C‑131/12, EU:C:2014:317).
( 14 ) V. sentenza del 13 maggio 2014, Google Spain e Google (C‑131/12, EU:C:2014:317, punto 60 e punto 2 del dispositivo).
( 15 ) V. sentenza del 13 maggio 2014, Google Spain e Google (C‑131/12, EU:C:2014:317, punto 53).
( 16 ) V. sentenza del 13 maggio 2014, Google Spain e Google (C‑131/12, EU:C:2014:317, punto 54).
( 17 ) Sentenza del 13 maggio 2014 (C‑131/12, EU:C:2014:317).
( 18 ) Più precisamente, Google Spain SL e Google Inc.
( 19 ) L’autorità spagnola per la protezione dei dati nella causa Google Spain e Google e, qui, la CNIL.
( 20 ) Sentenza del 13 maggio 2014 (C‑131/12, EU:C:2014:317).
( 21 ) Come il soggetto che le mette inizialmente online. V., anche, le mie conclusioni nella causa C‑136/17, G.C. e a. (Cancellazione di dati delicati) presentate lo stesso giorno delle presenti conclusioni, paragrafo 67.
( 22 ) Sentenza del 13 maggio 2014 (C‑131/12, EU:C:2014:317).
( 23 ) La disposizione di cui trattasi conferma un principio generale del diritto internazionale pubblico, secondo cui le organizzazioni internazionali non dispongono di un proprio territorio ma sono composte dai territori dei loro Stati membri. V. Kokott, J., «Artikel 52 EUV», in Streinz, R. (a cura di), EUV/AEUV, Beck, 2a ed., Monaco di Baviera, 2012, punto 1.
( 24 ) V. altresì, a questo proposito, sentenza del 29 marzo 2007, Aktiebolaget NN (C‑111/05, EU:C:2007:195, punto 54), in cui, con riferimento all’articolo 299 CE, divenuto articolo 355 TFUE, la Corte ha stabilito che, «mancando nel Trattato definizioni più precise del territorio compreso nella sovranità di ogni Stato membro, spetta ad ogni Stato membro stabilire l’estensione e i limiti di tale territorio, conformemente alle regole del diritto internazionale pubblico».
( 25 ) Sull’articolo 355 TFUE, v., anche, le mie conclusioni nella causa The Gibraltar Betting and Gaming Association (C‑591/15, EU:C:2017:32, paragrafi 54 e segg.).
( 26 ) V. sentenza del 6 settembre 2017, Intel/Commissione (C‑413/14 P, EU:C:2017:632, punto 43).
( 27 ) Nella fattispecie e all’epoca, l’articolo 5, paragrafo 3, lettere b) e d), della prima direttiva 89/104/CEE del Consiglio, del 21 dicembre 1988, sul ravvicinamento delle legislazioni degli Stati membri in materia di marchi d’impresa (GU 1989, L 40, pag. 1), e l’articolo 9, paragrafo 2, lettere b) e d), del regolamento (CE) n. 40/94 del Consiglio, del 20 dicembre 1993, sul marchio comunitario (GU 1994, L 11, pag. 1).
( 28 ) V. sentenza del 12 luglio 2011, L’Oréal e a. (C‑324/09, EU:C:2011:474, punto 63)
( 29 ) V. Corte EDU, 7 luglio 1989, Soering c. Regno Unito, CE:ECHR:1989:0707JUD001403888; Corte EDU, 11 luglio 2000, Jabari c. Turchia, CE:ECHR:2000:0711JUD004003598; Corte EDU, 15 marzo 2001, Ismaili c. Germania, n. 58128/00, e Corte EDU, 4 settembre 2014, Trabelsi c. Belgio, CE:ECHR:2014:0904JUD000014010.
( 30 ) V., anche, sentenza del 26 febbraio 2013, Åkerberg Fransson (C‑617/10, EU:C:2013:105, punto 19).
( 31 ) V., per quanto attiene all’articolo 4 della Carta, sentenza della Corte del 5 aprile 2016, Aranyosi e Căldăraru (C‑404/15 e C‑659/15 PPU, EU:C:2016:198, punti 85 e 86 e i riferimenti espliciti agli articoli 3 e 15, paragrafo 2, della Convenzione per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali).
( 32 ) Sentenza del 13 maggio 2014 (C‑131/12, EU:C:2014:317).
( 33 ) V., altresì, le conclusioni nella causa Google Spain e Google (C‑131/12, EU:C:2013:424, paragrafo 121), in cui l’avvocato generale Jääskinen ha ritenuto che il diritto fondamentale all’informazione merita una particolare protezione nell’ordinamento dell’Unione, specialmente alla luce della crescente tendenza da parte di regimi autoritari in altre zone del mondo a limitare l’accesso a Internet o a censurare i contenuti che vi sono immessi.
( 34 ) Ad esempio, google.fr, google.lu, google.za o google.com.
( 35 ) Ad esempio, la Francia, il Lussemburgo, il Sud Africa o gli Stati Uniti.
( 36 ) V. regolamento (UE) 2018/302 del Parlamento europeo e del Consiglio, del 28 febbraio 2018, recante misure volte a impedire i blocchi geografici ingiustificati e altre forme di discriminazione basate sulla nazionalità, sul luogo di residenza o sul luogo di stabilimento dei clienti nell’ambito del mercato interno e che modifica i regolamenti (CE) n. 2006/2004 e (UE) 2017/2394 e la direttiva 2009/22/CE (GU 2018, L 601, pag. 1).
( 37 ) Sentenza del 13 maggio 2014 (C‑131/12, EU:C:2014:317).
( 38 ) V. sentenza del 13 maggio 2014, Google Spain e Google (C‑131/12, EU:C:2014:317, punto 38).
( 39 ) Nella sentenza del 15 settembre 2016, Mc Fadden (C‑484/14, EU:C:2016:689, punto 96), con riferimento alle violazioni del diritto di proprietà intellettuale, la Corte ha sottolineato che le misure adottate dal destinatario di un’ingiunzione, in sede di ottemperanza alla stessa, devono essere abbastanza efficaci da garantire una tutela effettiva del diritto fondamentale in parola, vale a dire che esse devono avere l’effetto di impedire o, almeno, di rendere difficilmente realizzabili le consultazioni non autorizzate dei materiali protetti e di scoraggiare seriamente gli utenti di Internet che ricorrono ai servizi del destinatario di tale ingiunzione dal consultare tali materiali messi a loro disposizione in violazione del suddetto diritto fondamentale. V., altresì, sentenza del 27 marzo 2014, UPC Telekabel Wien (C‑314/12, EU:C:2014:192, punto 62). Un siffatto ragionamento può essere esteso alla presente causa.
( 40 ) V. considerando 10 della direttiva 95/46.
( 41 ) Divenuto articolo 114 TFUE.
( 42 ) V. articolo 26, paragrafo 2, TFUE.
( 43 ) Per contro, mi sembra difficile invocare la Carta in questa sede, come fanno invece talune parti, posto che essa si applica unicamente nel campo di applicazione del diritto dell’Unione. Pertanto, il suo ambito di applicazione è determinato in ragione di quello della direttiva 95/46, e non viceversa.
( 44 ) V. articolo 288, secondo comma, TFUE, e, in funzione dichiaratoria, il regolamento 2016/679 in fine.
( 45 ) È opportuno aggiungere, per correttezza, che la disposizione di cui all’articolo 16 TFUE non esisteva al momento dell’adozione della direttiva 95/46, ragion per cui quest’ultima si fonda sull’articolo 114 TFUE (all’epoca, articolo 110a TCE).
( 46 ) Al plurale.