CONCLUSIONI DELL’AVVOCATO GENERALE
MACIEJ SZPUNAR
presentate il 10 gennaio 2019 (1)
Causa C‑507/17
Google LLC, succeduta alla Google Inc.
contro
Commission nationale de l’informatique et des libertés (CNIL),
con l’intervento di
Wikimedia Foundation Inc.,
Fondation pour la liberté de la presse,
Microsoft Corp.,
Reporters Committee for Freedom of the Press e a.,
Article 19 e a.,
Internet Freedom Foundation e a.,
Défenseur des droits
[domanda di pronuncia pregiudiziale proposta dal Conseil d’État (Consiglio di Stato, Francia)]
«Rinvio pregiudiziale – Dati personali – Portata del diritto alla cancellazione – Sentenza del 13 maggio 2014, Google Spain e Google, C‑131/12 – Cancellazione sull’estensione del nome di dominio corrispondente allo Stato membro della richiesta o sulle estensioni del nome di dominio del motore di ricerca corrispondenti alle estensioni nazionali di tale motore per tutti gli Stati membri»
I. Introduzione
1. La presente domanda di pronuncia pregiudiziale del Conseil d’État (Consiglio di Stato, Francia) fa seguito alla sentenza Google Spain e Google (2) e fornirà alla Corte, in particolare, l’occasione di precisare il campo di applicazione ratione loci della direttiva 95/46/CE (3). Come noto, nell’ambito di detta causa, la Corte ha sancito un «diritto all’oblio» nella misura in cui, a determinate condizioni, una persona può ottenere dal gestore di un motore di ricerca la cancellazione di link Internet. Nella presente controversia, la Corte è chiamata a precisare la portata territoriale di una cancellazione e a stabilire se le disposizioni della direttiva 95/46 impongano una cancellazione a livello nazionale, europeo o mondiale.
2. Nell’ambito della presente causa, proporrò alla Corte una cancellazione a livello europeo: il gestore di un motore di ricerca dovrebbe essere tenuto a cancellare i link visualizzati in esito a una ricerca effettuata a partire da un luogo situato all’interno dell’Unione europea.
II. Contesto normativo
A. Diritto dell’Unione
1. Direttiva 95/46
3. Conformemente al suo articolo 1, la direttiva 95/46 ha ad oggetto la tutela dei diritti e delle libertà fondamentali delle persone fisiche e particolarmente del diritto alla vita privata, riguardo al trattamento dei dati personali, nonché l’eliminazione degli ostacoli alla libera circolazione di tali dati.
4. L’articolo 2 della direttiva 95/46 dispone che «[a]i fini [di tale] direttiva si intende per:
a) “dati personali”: qualsiasi informazione concernente una persona fisica identificata o identificabile (“persona interessata”); si considera identificabile la persona che può essere identificata, direttamente o indirettamente, in particolare mediante riferimento ad un numero di identificazione o ad uno o più elementi specifici caratteristici della sua identità fisica, fisiologica, psichica, economica, culturale o sociale;
b) “trattamento dei dati personali” (“trattamento”): qualsiasi operazione o insieme di operazioni compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali, come la raccolta, la registrazione, l’organizzazione, la conservazione, l’elaborazione o la modifica, l’estrazione, la consultazione, l’impiego, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, nonché il congelamento, la cancellazione o la distruzione;
(…)
d) “responsabile del trattamento”: la persona fisica o giuridica, l’autorità pubblica, il servizio o qualsiasi altro organismo che, da solo o insieme ad altri, determina le finalità e gli strumenti del trattamento di dati personali. Quando le finalità e i mezzi del trattamento sono determinati da disposizioni legislative o regolamentari nazionali o comunitarie, il responsabile del trattamento o i criteri specifici per la sua designazione possono essere fissati dal diritto nazionale o comunitario;
(…)
h) “consenso della persona interessata”: qualsiasi manifestazione di volontà libera, specifica e informata con la quale la persona interessata accetta che i dati personali che la riguardano siano oggetto di un trattamento».
5. L’articolo 3, paragrafo 1, della direttiva di cui trattasi, intitolato «Campo d’applicazione», prevede quanto segue:
«Le disposizioni della presente direttiva si applicano al trattamento di dati personali interamente o parzialmente automatizzato nonché al trattamento non automatizzato di dati personali contenuti o destinati a figurare negli archivi».
6. L’articolo 4 di detta direttiva, recante il titolo «Diritto nazionale applicabile», così dispone:
«1. Ciascuno Stato membro applica le disposizioni nazionali adottate per l’attuazione della presente direttiva al trattamento di dati personali:
a) effettuato nel contesto delle attività di uno stabilimento del responsabile del trattamento nel territorio dello Stato membro; qualora uno stesso responsabile del trattamento sia stabilito nel territorio di più Stati membri, esso deve adottare le misure necessarie per assicurare l’osservanza, da parte di ciascuno di detti stabilimenti, degli obblighi stabiliti dal diritto nazionale applicabile;
(…)».
7. Nel capo II, sezione I, intitolata «Principi relativi alla qualità dei dati», l’articolo 6 della direttiva 95/46 così recita:
«1. Gli Stati membri dispongono che i dati personali devono essere:
a) trattati lealmente e lecitamente;
b) rilevati per finalità determinate, esplicite e legittime, e successivamente trattati in modo non incompatibile con tali finalità. Il trattamento successivo dei dati per scopi storici, statistici o scientifici non è ritenuto incompatibile, purché gli Stati membri forniscano garanzie appropriate;
c) adeguati, pertinenti e non eccedenti rispetto alle finalità per le quali vengono rilevati e/o per le quali vengono successivamente trattati;
d) esatti e, se necessario, aggiornati; devono essere prese tutte le misure ragionevoli per cancellare o rettificare i dati inesatti o incompleti rispetto alle finalità per le quali sono rilevati o sono successivamente trattati (…);
e) conservati in modo da consentire l’identificazione delle persone interessate per un arco di tempo non superiore a quello necessario al conseguimento delle finalità per le quali sono rilevati o sono successivamente trattati. Gli Stati membri prevedono garanzie adeguate per i dati personali conservati oltre il suddetto arco di tempo per motivi storici, statistici o scientifici.
2. Il responsabile del trattamento è tenuto a garantire il rispetto delle disposizioni del paragrafo 1».
8. Nel capo II, sezione II, intitolata «Principi relativi alla legittimazione del trattamento dei dati», l’articolo 7 della direttiva 95/46 stabilisce quanto segue:
«Gli Stati membri dispongono che il trattamento di dati personali può essere effettuato soltanto quando:
(…)
f) è necessario per il perseguimento dell’interesse legittimo del responsabile del trattamento oppure del o dei terzi cui vengono comunicati i dati, a condizione che non prevalgano l’interesse o i diritti e le libertà fondamentali della persona interessata, che richiedono tutela ai sensi dell’articolo 1, paragrafo 1».
9. L’articolo 12 della direttiva succitata, recante il titolo «Diritto di accesso», prevede quanto segue:
«Gli Stati membri garantiscono a qualsiasi persona interessata il diritto di ottenere dal responsabile del trattamento:
(…)
b) a seconda dei casi, la rettifica, la cancellazione o il congelamento dei dati il cui trattamento non è conforme alle disposizioni della presente direttiva, in particolare a causa del carattere incompleto o inesatto dei dati;
(…)».
10. L’articolo 14 della medesima direttiva, intitolato «Diritto di opposizione della persona interessata», così dispone:
«Gli Stati membri riconoscono alla persona interessata il diritto:
a) almeno nei casi di cui all’articolo 7, lettere e) e f), di opporsi in qualsiasi momento, per motivi preminenti e legittimi, derivanti dalla sua situazione particolare, al trattamento di dati che la riguardano, salvo disposizione contraria prevista dalla normativa nazionale. In caso di opposizione giustificata il trattamento effettuato dal responsabile non può più riguardare tali dati;
(…)».
11. L’articolo 28 della direttiva 95/46, intitolato «Autorità di controllo», è così formulato:
«1. Ogni Stato membro dispone che una o più autorità pubbliche siano incaricate di sorvegliare, nel suo territorio, l’applicazione delle disposizioni di attuazione della presente direttiva, adottate dagli Stati membri.
(…)
3. Ogni autorità di controllo dispone in particolare:
– di poteri investigativi, come il diritto di accesso ai dati oggetto di trattamento e di raccolta di qualsiasi informazione necessaria all’esercizio della sua funzione di controllo;
– di poteri effettivi d’intervento, come quello (…) di ordinare il congelamento, la cancellazione o la distruzione dei dati, oppure di vietare a titolo provvisorio o definitivo un trattamento (…),
(…)
È possibile un ricorso giurisdizionale avverso le decisioni dell’autorità di controllo recanti pregiudizio.
4. Qualsiasi persona, o associazione che la rappresenti, può presentare a un’autorità di controllo una domanda relativa alla tutela dei suoi diritti e libertà con riguardo al trattamento di dati personali. La persona interessata viene informata del seguito dato alla sua domanda.
(…)
6. Ciascuna autorità di controllo, indipendentemente dalla legge nazionale applicabile al trattamento in questione, è competente per esercitare, nel territorio del suo Stato membro, i poteri attribuitile a norma del paragrafo 3. Ciascuna autorità può essere invitata ad esercitare i suoi poteri su domanda dell’autorità di un altro Stato membro.
Le autorità di controllo collaborano tra loro nella misura necessaria allo svolgimento dei propri compiti, in particolare scambiandosi ogni informazione utile.
(…)».
2. Regolamento (UE) 2016/679
12. Ai sensi del suo articolo 99, paragrafo 2, il regolamento (UE) 2016/679 (4) si applica a decorrere dal 25 maggio 2018. Il suo articolo 94, paragrafo 1, stabilisce che la direttiva 95/46 è abrogata a decorrere dalla stessa data.
13. L’articolo 17 di detto regolamento, intitolato «Diritto alla cancellazione (“diritto all’oblio”)», è formulato come segue:
«1. L’interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l’obbligo di cancellare senza ingiustificato ritardo i dati personali, se sussiste uno dei motivi seguenti:
a) i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati;
b) l’interessato revoca il consenso su cui si basa il trattamento conformemente all’articolo 6, paragrafo 1, lettera a), o all’articolo 9, paragrafo 2, lettera a), e se non sussiste altro fondamento giuridico per il trattamento;
c) l’interessato si oppone al trattamento ai sensi dell’articolo 21, paragrafo 1, e non sussiste alcun motivo legittimo prevalente per procedere al trattamento, oppure si oppone al trattamento ai sensi dell’articolo 21, paragrafo 2;
d) i dati personali sono stati trattati illecitamente;
e) i dati personali devono essere cancellati per adempiere un obbligo legale previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento;
f) i dati personali sono stati raccolti relativamente all’offerta di servizi della società dell’informazione di cui all’articolo 8, paragrafo 1.
2. Il titolare del trattamento, se ha reso pubblici dati personali ed è obbligato, ai sensi del paragrafo 1, a cancellarli, tenendo conto della tecnologia disponibile e dei costi di attuazione adotta le misure ragionevoli, anche tecniche, per informare i titolari del trattamento che stanno trattando i dati personali della richiesta dell’interessato di cancellare qualsiasi link, copia o riproduzione dei suoi dati personali.
3. I paragrafi 1 e 2 non si applicano nella misura in cui il trattamento sia necessario:
a) per l’esercizio del diritto alla libertà di espressione e di informazione;
b) per l’adempimento di un obbligo giuridico che richieda il trattamento previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento o per l’esecuzione di un compito svolto nel pubblico interesse oppure nell’esercizio di pubblici poteri di cui è investito il titolare del trattamento;
c) per motivi di interesse pubblico nel settore della sanità pubblica in conformità dell’articolo 9, paragrafo 2, lettere h) e i), e dell’articolo 9, paragrafo 3;
d) a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici conformemente all’articolo 89, paragrafo 1, nella misura in cui il diritto di cui al paragrafo 1 rischi di rendere impossibile o di pregiudicare gravemente il conseguimento degli obiettivi di tale trattamento; o
e) per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria».
14. L’articolo 18 del regolamento 2016/679, intitolato «Diritto di limitazione di trattamento», così dispone:
«1. L’interessato ha il diritto di ottenere dal titolare del trattamento la limitazione del trattamento quando ricorre una delle seguenti ipotesi:
a) l’interessato contesta l’esattezza dei dati personali, per il periodo necessario al titolare del trattamento per verificare l’esattezza di tali dati personali;
b) il trattamento è illecito e l’interessato si oppone alla cancellazione dei dati personali e chiede invece che ne sia limitato l’utilizzo;
(…)
d) l’interessato si è opposto al trattamento ai sensi dell’articolo 21, paragrafo 1, in attesa della verifica in merito all’eventuale prevalenza dei motivi legittimi del titolare del trattamento rispetto a quelli dell’interessato.
2. Se il trattamento è limitato a norma del paragrafo 1, tali dati personali sono trattati, salvo che per la conservazione, soltanto con il consenso dell’interessato o per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria oppure per tutelare i diritti di un’altra persona fisica o giuridica o per motivi di interesse pubblico rilevante dell’Unione o di uno Stato membro.
3. L’interessato che ha ottenuto la limitazione del trattamento a norma del paragrafo 1 è informato dal titolare del trattamento prima che detta limitazione sia revocata».
15. L’articolo 21, paragrafo 1, del regolamento succitato, intitolato «Diritto di opposizione», prevede quanto segue:
«L’interessato ha il diritto di opporsi in qualsiasi momento, per motivi connessi alla sua situazione particolare, al trattamento dei dati personali che lo riguardano ai sensi dell’articolo 6, paragrafo 1, lettere e) o f), compresa la profilazione sulla base di tali disposizioni. Il titolare del trattamento si astiene dal trattare ulteriormente i dati personali salvo che egli dimostri l’esistenza di motivi legittimi cogenti per procedere al trattamento che prevalgono sugli interessi, sui diritti e sulle libertà dell’interessato oppure per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria».
16. L’articolo 85 del regolamento di cui trattasi, intitolato «Trattamento e libertà d’espressione e di informazione», enuncia quanto segue:
«1. Il diritto degli Stati membri concilia la protezione dei dati personali ai sensi del presente regolamento con il diritto alla libertà d’espressione e di informazione, incluso il trattamento a scopi giornalistici o di espressione accademica, artistica o letteraria.
2. Ai fini del trattamento effettuato a scopi giornalistici o di espressione accademica, artistica o letteraria, gli Stati membri prevedono esenzioni o deroghe rispetto ai capi II (principi), III (diritti dell’interessato), IV (titolare del trattamento e responsabile del trattamento), V (trasferimento di dati personali verso paesi terzi o organizzazioni internazionali), VI (autorità di controllo indipendenti), VII (cooperazione e coerenza) e IX (specifiche situazioni di trattamento dei dati) qualora siano necessarie per conciliare il diritto alla protezione dei dati personali e la libertà d’espressione e di informazione.
3. Ogni Stato membro notifica alla Commissione le disposizioni di legge adottate ai sensi del paragrafo 2 e comunica senza ritardo ogni successiva modifica».
B. Diritto francese
17. La direttiva 95/46 è stata recepita nel diritto francese mediante la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (legge n. 78-17, del 6 gennaio 1978, relativa all’informatica, ai file e alle libertà; in prosieguo: la «legge del 6 gennaio 1978»).
III. Fatti e procedimento principale
18. Con decisione del 21 maggio 2015, la presidente della Commission nationale de l’informatique et des libertés (Commissione nazionale per l’informatica e le libertà; in prosieguo: la «CNIL»), avendo accolto la domanda di una persona fisica diretta ad ottenere la cancellazione di taluni link dall’elenco di risultati visualizzato a seguito di una ricerca effettuata a partire dal suo nome, intimava alla società Google LLC di procedere alla cancellazione richiesta su tutte le estensioni del nome di dominio del suo motore di ricerca.
19. Google si rifiutava di dar seguito a detta diffida, limitandosi a cancellare i link di cui trattasi dai soli risultati visualizzati in seguito a ricerche effettuate sulle declinazioni del suo motore il cui nome di dominio corrisponde a uno Stato membro dell’Unione.
20. La CNIL reputava peraltro insufficiente la proposta complementare di un «blocco geografico», formulata dalla Google Inc. dopo la scadenza del termine fissato nella diffida, e consistente nel sopprimere la possibilità di accedere, da un indirizzo IP che si considera localizzato nello Stato di residenza dell’interessato, ai risultati controversi di una ricerca effettuata a partire dal nome di quest’ultimo, e ciò indipendentemente dalla declinazione del motore di ricerca richiesta dall’utente di Internet.
21. Dopo aver preso atto che Google non si era conformata alla diffida entro il termine ivi impartito, con deliberazione del 10 marzo 2016, la CNIL infliggeva a detta società una sanzione, resa pubblica, di EUR 100 000.
22. Con ricorso proposto dinanzi al Conseil d’État (Consiglio di Stato, Francia), Google chiede l’annullamento di detta deliberazione.
23. Nell’ambito di tale procedimento, il Conseil d’État (Consiglio di Stato) ha ritenuto ricevibili gli interventi della Wikimedia Foundation Inc., della Fondation pour la liberté de la presse, della Microsoft Corp., di Reporters Committee for Freedom of the Press e a., di Article 19 e a. e di Internet Freedom Foundation e a., avendo tali soggetti dimostrato di vantare un sufficiente interesse all’annullamento della deliberazione impugnata.
24. Il Conseil d’État (Consiglio di Stato) osserva che il trattamento dei dati personali compiuto dal motore di ricerca gestito da Google, tenuto conto delle attività di promozione e di vendita degli spazi pubblicitari esercitate, in Francia, tramite la sua filiale Google France, rientra nell’ambito di applicazione della legge del 6 gennaio 1978, che garantisce il recepimento nel diritto francese della direttiva 95/46.
25. Il Conseil d’État (Consiglio di Stato) osserva, inoltre, che il motore di ricerca gestito da Google si declina in nomi di dominio diversi attraverso estensioni geografiche, al fine di adattare i risultati della ricerca alle specificità, in particolare linguistiche, dei diversi paesi in cui tale società svolge la propria attività. Se la ricerca è eseguita a partire da «google.com», Google procede, in linea di principio, a un reindirizzamento automatico della stessa verso il nome di dominio corrispondente al paese dal quale, grazie all’identificazione dell’indirizzo IP dell’utente Internet, si ritiene che sia stata compiuta la ricerca. Tuttavia, a prescindere dalla sua localizzazione, l’utente di Internet rimane libero di effettuare le proprie ricerche sugli altri nomi di dominio del motore di ricerca. D’altronde, anche se i risultati possono differire a seconda del nome di dominio a partire dal quale viene effettuata la ricerca sul motore in questione, è pacifico che i link apparsi in seguito a una ricerca provengono da banche dati e da operazioni di indicizzazione comuni.
26. Tenuto conto, da una parte, del fatto che i nomi di dominio del motore di ricerca di Google sono tutti accessibili dal territorio francese e, dall’altra, dell’esistenza di applicazioni-ponte tra i suddetti diversi nomi di dominio, che illustrano, in particolare, il summenzionato reindirizzamento automatico, nonché la presenza di cookies (marcatori) su estensioni del motore diverse da quella sulla quale sono stati inizialmente posizionati, a parere del Conseil d’État (Consiglio di Stato) vi è motivo di ritenere che il motore, il quale peraltro è stato oggetto di un’unica dichiarazione presso la CNIL, effettui un trattamento unico di dati personali, ai sensi della legge del 6 gennaio 1978. Ne risulterebbe che il trattamento di dati personali da parte del motore di ricerca gestito da Google è eseguito nell’ambito di uno dei suoi stabilimenti, Google France, situato in territorio francese, e che, a tale titolo, esso è soggetto alla legge del 6 gennaio 1978.
27. Dinanzi al Conseil d’État (Consiglio di Stato), Google afferma che la sanzione controversa si baserebbe su un’interpretazione erronea delle disposizioni della legge del 6 gennaio 1978 che recepiscono gli articoli 12, lettera b), e 14, lettera a), della direttiva 95/46, sulla cui base, nella sentenza Google Spain e Google (5), la Corte ha riconosciuto un «diritto alla cancellazione». Secondo Google, il diritto succitato non comporta necessariamente che i link controversi debbano essere cancellati senza limitazioni geografiche su tutti i nomi di dominio del suo motore di ricerca. Inoltre, sostenendo un’interpretazione siffatta, la CNIL avrebbe violato i principi di cortesia e di non ingerenza riconosciuti dal diritto internazionale pubblico e arrecato un danno sproporzionato alle libertà d’espressione, d’informazione, di comunicazione e di stampa, garantite, in particolare, dall’articolo 11 della Carta dei diritti fondamentali dell’Unione europea (in prosieguo: la «Carta»).
IV. Questioni pregiudiziali e procedimento dinanzi alla Corte
28. Avendo constatato che le argomentazioni di cui trattasi sollevano numerose e serie difficoltà sotto il profilo dell’interpretazione della direttiva 95/46, il Conseil d’État (Consiglio di Stato) sospendeva il procedimento e sottoponeva alla Corte le seguenti questioni pregiudiziali:
«1) Se il “diritto alla cancellazione”, quale sancito dalla [Corte] nella sentenza [Google Spain e Google (6)] sulla base delle disposizioni di cui agli articoli 12, lettera b), e 14, lettera a), della direttiva [95/46], debba essere interpretato nel senso che il gestore di un motore di ricerca, nel dare seguito a una domanda di cancellazione, è tenuto ad eseguire tale operazione su tutti i nomi di dominio del suo motore, talché i link controversi non appaiano più, indipendentemente dal luogo dal quale viene effettuata la ricerca avviata sul nome del richiedente, e anche al di fuori dell’ambito di applicazione territoriale della direttiva [95/46].
2) In caso di risposta negativa alla prima questione, se il “diritto alla cancellazione”, quale sancito dalla [Corte] nella summenzionata sentenza, debba essere interpretato nel senso che il gestore di un motore di ricerca, nel dare seguito a una richiesta di cancellazione, sia tenuto solamente a sopprimere i link controversi che appaiono in esito a una ricerca effettuata a partire dal nome del richiedente sul nome di dominio corrispondente allo Stato in cui si ritiene sia stata effettuata la domanda o, più in generale, sui nomi di dominio del motore di ricerca corrispondenti alle estensioni nazionali di tale motore per tutti gli Stati membri dell’Unione europea.
3) Inoltre se, a completamento degli obblighi richiamati [nella seconda questione], il “diritto alla cancellazione”, quale sancito dalla [Corte] nella summenzionata sentenza, debba essere interpretato nel senso che il gestore di un motore di ricerca, quando accoglie una richiesta di cancellazione, è tenuto a sopprimere, con la tecnica del “blocco geografico”, da un indirizzo IP che si ritiene localizzato nello Stato di residenza del beneficiario del “diritto alla cancellazione”, i risultati controversi delle ricerche effettuate a partire dal nome di quest’ultimo, o persino, più in generale, da un indirizzo IP che si ritiene localizzato in uno degli Stati membri assoggettato alla direttiva [95/46], e ciò indipendentemente dal nome di dominio utilizzato dall’utente di Internet che effettua la ricerca».
29. Hanno presentato osservazioni scritte Google, la CNIL, la Wikimedia Foundation, la Fondation pour la liberté de la presse, Reporters Committee for Freedom of the Press e a., Article 19 e a., Internet Freedom Foundation e a., il Défenseur des droits, i governi francese, irlandese, ellenico, italiano, austriaco e polacco e la Commissione europea.
30. Tutte le parti succitate, ad eccezione del Défenseur des droits e del governo italiano, oltre a Microsoft sono comparse all’udienza dell’11 settembre 2018.
V. Analisi
31. Le questioni sollevate dal giudice del rinvio concernono l’interpretazione delle disposizioni della direttiva 95/46 e non quelle del regolamento 2016/679. Detto regolamento, applicabile a decorrere dal 25 maggio 2018 (7), ha abrogato la direttiva con effetto da detta data (8).
32. Posto che, nel diritto processuale amministrativo francese, il diritto applicabile a una controversia è quello vigente alla data della decisione impugnata, non vi è dubbio che al procedimento principale sia applicabile la direttiva 95/46. Pertanto, la Corte è chiamata a interpretare le disposizioni di detta direttiva.
A. Prima questione pregiudiziale
33. Con la sua prima questione pregiudiziale, il Conseil d’État (Consiglio di Stato) chiede alla Corte, essenzialmente, se il gestore di un motore di ricerca, nel dare seguito a una richiesta di cancellazione, sia tenuto a eseguire tale operazione su tutti i nomi di dominio del suo motore, talché i link controversi non appaiano più indipendentemente dal luogo dal quale viene effettuata la ricerca avviata sul nome del richiedente.
34. La CNIL, il Défenseur des droits e i governi francese, italiano e austriaco invocano la necessità di una protezione efficace e completa del diritto alla protezione dei dati personali, garantito dall’articolo 8 della Carta e l’efficacia pratica del diritto alla cancellazione, derivante dagli articoli 12, lettera b), e 14, primo comma, lettera a), della direttiva 95/46, affermando che, per garantire l’efficacia di detti diritti, sarebbe necessario un obbligo di cancellazione a livello mondiale. Questa sembra anche la posizione espressa dal «gruppo di lavoro “articolo 29” per la protezione dei dati» (9) nei suoi «Orientamenti per l’esecuzione della sentenza [Google Spain e Google (10)]», del 26 novembre 2014 (11) (in prosieguo: gli «orientamenti»). Infatti, detto gruppo osserva che «[p]er garantire la piena efficacia dei diritti dell’interessato conformemente alla sentenza della Corte, le decisioni di cancellazione dall’elenco dei risultati devono essere eseguite in modo tale da assicurare la tutela efficace e completa dei diritti degli interessati e da prevenire l’elusione delle norme dell’UE. In tal senso, limitare ai domini dell’UE la rimozione dall’elenco dei risultati a motivo del fatto che gli utenti tendono ad accedere ai motori di ricerca mediante i rispettivi domini nazionali, non può ritenersi un mezzo sufficiente per tutelare in modo soddisfacente i diritti degli interessati come previsto dalla sentenza. Nella pratica ciò implica che, in ogni caso, la cancellazione dall’elenco dei risultati deve valere per tutti i domini pertinenti,.com incluso» (12).
35. Per contro, Google, la Wikimedia Foundation, la Fondation pour la liberté de la presse, Reporters Committee for Freedom of the Press e a., Article 19 e a., Internet Freedom Foundation e a., i governi irlandese, ellenico e polacco e la Commissione sostengono, essenzialmente, che la previsione di un diritto di cancellazione a livello mondiale sulla base del diritto dell’Unione non sarebbe compatibile né con quest’ultimo, né con il diritto internazionale pubblico e costituirebbe un precedente pericoloso, potendo indurre i regimi autoritari a richiedere parimenti l’attuazione a livello mondiale dei loro provvedimenti di censura.
36. L’idea di una cancellazione a livello mondiale può sembrare allettante in ragione della sua radicalità, chiarezza, semplicità ed efficacia. Tuttavia, tale soluzione non mi convince poiché tiene conto unicamente di un solo lato della medaglia, vale a dire della protezione dei dati di un individuo.
1. Sulla sentenza Google Spain e Google
37. Nella mia analisi prenderò le mosse dalla sentenza Google Spain e Google (13).
38. Tale sentenza non stabilisce la portata geografica dell’attuazione di una cancellazione. Tuttavia, essa contiene una serie di considerazioni, in particolare sulla questione del campo di applicazione territoriale della direttiva 95/46, che meritano di essere qui ricordate.
39. Una delle questioni era stabilire a quali condizioni la direttiva 95/46 si applichi ratione loci al trattamento dei dati personali compiuto nel quadro dell’attività di un motore di ricerca come Google Search, gestito da Google Inc., società a capo del gruppo Google, la cui sede sociale si trova negli Stati Uniti.
40. A questo proposito, fondandosi sull’articolo 4, paragrafo 1, lettera a), della direttiva 95/46, che prevede come criterio che il «trattamento [dei dati personali] è effettuato nel contesto delle attività di uno stabilimento del responsabile [di detto] trattamento nel territorio [di uno] Stato membro», la Corte ha stabilito che il campo di applicazione territoriale della direttiva 95/46 copre i casi in cui il gestore di un motore di ricerca apre in uno Stato membro una succursale o una filiale destinata alla promozione e alla vendita degli spazi pubblicitari proposti da tale motore di ricerca e l’attività della quale si dirige agli abitanti di detto Stato membro (come Google Spain o, nel caso di specie, Google France) (14).
41. La Corte ha così respinto le argomentazioni dedotte da Google Spain e Google Inc., con cui esse affermavano che il trattamento dei dati personali in questione non era compiuto «nel contesto delle attività» di Google Spain, ma soltanto da Google Inc., che apparentemente gestiva Google Search senza alcun intervento da parte di Google Spain, la cui attività si limitava alla fornitura di un sostegno all’attività pubblicitaria del gruppo Google, distinta dal suo servizio di motore di ricerca.
42. A tal riguardo, la Corte ha chiarito che l’obiettivo della direttiva 95/46 è garantire una tutela efficace e completa delle libertà e dei diritti fondamentali delle persone fisiche, segnatamente del diritto alla vita privata, riguardo al trattamento dei dati personali e che l’espressione «nel contesto delle attività» non potrebbe ricevere un’interpretazione restrittiva (15). Inoltre, dall’articolo 4 della direttiva 95/46 risulta che il legislatore dell’Unione ha inteso evitare che una persona venga esclusa dalla protezione garantita da tale direttiva e che tale protezione venga elusa, prevedendo a tal fine un ambito di applicazione territoriale particolarmente esteso (16).
2. Sul luogo da cui è effettuata la ricerca
43. Come nel caso di specie, anche nell’ambito della causa Google Spain e Google (17) il procedimento principale vedeva Google (18), quale ricorrente, contrapposta a un’autorità statale per la protezione dei dati (19), in relazione a una decisione di detta autorità.
44. Tuttavia, la persona al centro della sentenza Google Spain e Google (20) è chiaramente quella i cui dati personali devono essere protetti. Sono i diritti di detta persona che la Corte sceglie di privilegiare. In detta sentenza, il punto di vista del soggetto che ricerca le informazioni appare unicamente in via incidentale (21). Pertanto, menzionando unicamente «[l]’elenco di risultati che appare a seguito di una ricerca effettuata a partire dal nome di una persona», la Corte non ha precisato il contesto in cui detta ricerca è stata compiuta, da chi e a partire da dove.
45. Sebbene le disposizioni della direttiva 95/46 mirino dunque a tutelare i diritti fondamentali, a norma degli articoli 7 e 8 della Carta, della persona «ricercata» e, successivamente, «indicata nei risultati», esse tacciono tuttavia sulla questione della territorialità della cancellazione. Ad esempio, né le suddette disposizioni, né la sentenza Google Spain e Google (22) precisano se occorra trattare diversamente una ricerca effettuata da Singapore rispetto a una compiuta a partire da Parigi o Katowice.
46. A mio giudizio, è necessario distinguere a seconda del luogo dal quale è compiuta la ricerca. Le ricerche effettuate al di fuori del territorio dell’Unione non dovrebbero essere soggette a cancellazione dei risultati di ricerca.
a) Sull’applicazione territoriale della direttiva 95/46
47. In forza dell’articolo 52, paragrafo 1, TUE, i Trattati si applicano ai 28 Stati membri (23). Il territorio di uno Stato membro è definito dal diritto nazionale e dal diritto internazionale pubblico (24). L’articolo 52, paragrafo 2, TUE aggiunge che il campo di applicazione territoriale dei Trattati è precisato all’articolo 355 TFUE (25). Al di fuori di detto territorio, il diritto dell’Unione non può, in linea di principio, applicarsi né, di conseguenza, essere fonte di diritti o di obblighi.
48. Si pone quindi la questione se, per una ragione eccezionale, il campo di applicazione della direttiva 95/46 si estenda al di là delle frontiere territoriali succitate, vale a dire se le disposizioni di detta direttiva debbano essere interpretate in maniera estensiva, al punto da spiegare effetti oltre tali frontiere.
49. Ritengo di no.
50. È vero che esistono situazioni in cui il diritto dell’Unione ammette effetti extraterritoriali.
51. Come sottolinea anche il governo francese, in ragione di una giurisprudenza costante in materia di diritto della concorrenza, il fatto che una delle imprese partecipanti a un accordo anticoncorrenziale o che attua una pratica di tale natura si trovi in un paese terzo non impedisce l’applicazione delle norme in materia di concorrenza dell’Unione, in forza degli articoli 101 e 102 TFUE, ove il suddetto accordo o la suddetta pratica produca effetti nel territorio dell’Unione (26).
52. Nell’ambito del diritto dei marchi, la Corte ha stabilito che sarebbe pregiudicata l’efficacia delle disposizioni in materia di protezione dei diritti di marchio (27) qualora l’uso, in un’offerta in vendita o in una pubblicità su Internet destinata a consumatori che si trovano nell’Unione, di un segno identico o simile a un marchio registrato nell’Unione fosse sottratto all’applicazione di tali norme per il solo fatto che il terzo all’origine di detta offerta o pubblicità sia stabilito in uno Stato terzo, che il server del sito Internet da lui utilizzato si trovi in tale Stato o, ancora, che il prodotto oggetto di detta offerta o pubblicità si trovi in uno Stato terzo (28).
53. A mio giudizio, queste due tipologie di situazioni costituiscono ipotesi estreme ed eccezionali. Nei due casi, l’aspetto essenziale è l’impatto sul mercato interno (anche se possono essere parimenti interessati anche ulteriori mercati). Il mercato interno è un territorio chiaramente delimitato dai Trattati. Per contro, Internet è per sua natura mondiale e, in un certo qual senso, presente ovunque. È pertanto difficile trovare analogie e compiere raffronti.
b) Sugli effetti extraterritoriali dei diritti fondamentali
54. A mio parere, non si può neppure invocare, come fa il Défenseur des droits, la giurisprudenza della Corte europea dei diritti dell’uomo sugli effetti extraterritoriali della Convenzione per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali, firmata a Roma il 4 novembre 1950, nell’ambito dell’estradizione di una persona verso un paese terzo (29), e ciò per due ordini di ragioni.
55. In primis, il campo di applicazione della Carta segue il campo di applicazione del diritto dell’Unione e non viceversa, come precisa espressamente l’articolo 51, paragrafo 2, della Carta (30).
56. In secondo luogo, detta giurisprudenza concerne i casi specifici della pena di morte o del divieto di tortura, diritti dell’uomo alla base di ogni Stato di diritto rispetto ai quali non è possibile alcuna deroga (31).
57. Per contro, aspetto questo che rappresenta in un certo modo l’essenza della presente controversia, il «diritto all’oblio» deve essere bilanciato con altri diritti fondamentali.
c) Sul bilanciamento dei diritti fondamentali
58. L’argomento centrale che depone contro un obbligo di cancellazione a livello mondiale è quello del bilanciamento dei diritti fondamentali e degli insegnamenti che se ne traggono dalla sentenza Google Spain e Google (32). Nell’ambito di detta controversa, la Corte ha attribuito grande importanza al bilanciamento tra, da una parte, il diritto alla protezione dei dati personali e alla vita privata e, dall’altra, l’interesse legittimo del pubblico ad accedere all’informazione ricercata.
59. È pacifico che i diritti alla protezione dei dati e alla vita privata sono diritti derivanti dagli articoli 7 e 8 della Carta e devono presentare un criterio di collegamento con il diritto dell’Unione e la sua territorialità. Lo stesso vale per l’interesse legittimo del pubblico ad accedere alle informazioni ricercate. Per quanto attiene all’Unione, tale diritto trae origine dall’articolo 11 della Carta. Il pubblico considerato non è il pubblico mondiale, ma si trova nel campo di applicazione della Carta, ed è quindi europeo.
60. Se si ammettesse una cancellazione a livello mondiale, le autorità dell’Unione non sarebbero in grado di definire e determinare un diritto a ricevere informazioni e, ancor meno, di bilanciarlo con gli altri diritti fondamentali alla protezione dei dati e alla vita privata. Tanto più che un siffatto interesse del pubblico ad accedere all’informazione varia necessariamente da uno Stato terzo all’altro, a seconda della sua collocazione geografica.
61. Inoltre, sussisterebbe il rischio che l’Unione impedisca alle persone che si trovano in un paese terzo di accedere all’informazione. Se un’autorità dell’Unione potesse ordinare una cancellazione a livello mondiale, ciò costituirebbe un segnale fatale ai paesi terzi, che potrebbero parimenti disporre una cancellazione in forza della proprie leggi. Ipotizziamo che, per una ragione qualsiasi, taluni Stati terzi interpretino determinati loro diritti nel senso che precludono alle persone che si trovano in uno Stato membro dell’Unione di accedere a un’informazione ricercata. Sussisterebbe un rischio reale di corsa al ribasso a danno della libertà di espressione, a livello sia europeo che mondiale (33).
62. Pertanto, le questioni in gioco non impongono un’applicazione delle disposizioni della direttiva 95/46 al di fuori del territorio dell’Unione. Tuttavia, ciò non significa che il diritto dell’Unione non possa mai imporre a un gestore di un motore di ricerca come Google di adottare misure a livello mondiale. Non escludo che possano sussistere casi in cui l’interesse dell’Unione esiga un’applicazione delle disposizioni della direttiva 95/46 al di fuori del territorio dell’Unione. Tuttavia, in una situazione come quella oggetto della presente controversia non vi è motivo di applicare le disposizioni della direttiva di cui trattasi in tal modo.
63. Propongo pertanto alla Corte di rispondere alla prima questione pregiudiziale dichiarando che le disposizioni degli articoli 12, lettera b), e 14, lettera a), della direttiva 95/46 devono essere interpretate nel senso che il gestore di un motore di ricerca, nel dare seguito a una richiesta di cancellazione, non è tenuto ad eseguire tale operazione su tutti i nomi di dominio del suo motore, talché i link controversi non appaiano più indipendentemente dal luogo dal quale viene effettuata la ricerca avviata sul nome del richiedente.
B. Seconda e terza questione pregiudiziale
64. Considerato che propongo di rispondere alla prima questione in senso negativo, occorre proseguire l’analisi affrontando, congiuntamente, la seconda e la terza questione pregiudiziale.
65. Con la seconda questione, il giudice del rinvio chiede se il gestore di un motore di ricerca, nel dare seguito a una richiesta di cancellazione, sia tenuto solamente a sopprimere i link controversi che appaiono in esito a una ricerca effettuata a partire dal nome del richiedente sul nome di dominio corrispondente allo Stato in cui si ritiene sia stata effettuata la domanda o, più in generale, sui nomi di dominio del motore di ricerca corrispondenti alle estensioni nazionali di tale motore per tutti gli Stati membri dell’Unione.
66. La terza questione, sottoposta «a completamento» della seconda, mira a stabilire se il gestore di un motore di ricerca, quando accoglie una richiesta di cancellazione, sia tenuto a sopprimere, con la tecnica detta del «blocco geografico», da un indirizzo IP che si ritenga localizzato nello Stato di residenza del beneficiario del «diritto alla cancellazione», i risultati controversi delle ricerche effettuate a partire dal nome di quest’ultimo, o persino, più in generale, da un indirizzo IP che si ritenga localizzato in uno degli Stati membri assoggettato alla direttiva 95/46, e ciò indipendentemente dal nome di dominio utilizzato dall’utente di Internet che effettua la ricerca.
67. Nelle sue questioni pregiudiziali, il giudice del rinvio ricollega in maniera indissolubile, da una parte, il nome di dominio di un motore di ricerca (34) e, dall’altra, il luogo dal quale viene effettuata una ricerca Internet sul nome del richiedente (35).
68. Per quanto concerne la prima questione pregiudiziale, un collegamento siffatto è naturale: se il gestore di un motore di ricerca rende inaccessibili i risultati di una ricerca su tutti i suoi nomi di dominio, evidentemente, i link controversi non appaiono più, a prescindere dal luogo dal quale viene effettuata la ricerca.
69. Per contro, un legame siffatto non s’impone più ove si risponda in senso negativo alla prima questione pregiudiziale, come da me proposto. Infatti, come osserva lo stesso giudice del rinvio, una persona rimane libera di effettuare le proprie ricerche sugli altri nomi di dominio del motore di ricerca. Ad esempio, l’estensione google.fr non è limitata alle ricerche effettuate a partire dalla Francia.
70. Tuttavia, tale possibilità può essere limitata mediante la tecnologia detta del «blocco geografico».
71. Il blocco geografico è una tecnica che limita l’accesso al contenuto Internet in funzione della collocazione geografica dell’utente. Nell’ambito di detto sistema, la localizzazione dell’utente è determinata grazie a tecniche di geolocalizzazione, quali la verifica dell’indirizzo IP dell’utente. Il blocco geografico, che costituisce una forma di censura, è ritenuto ingiustificato nel diritto del mercato interno dell’Unione dove è stato fatto oggetto, in particolare, di un regolamento volto a impedire ai professionisti operanti in uno Stato membro di bloccare o limitare l’accesso alle loro interfacce online a clienti di altri Stati membri, che desiderano effettuare operazioni transfrontaliere (36).
72. Una volta ammesso il blocco geografico, poco importa quale nome di dominio del motore di ricerca sia utilizzato. Pertanto, propongo di rispondere alla terza questione prima della seconda.
73. Nella sentenza Google Spain e Google (37), la Corte ha stabilito che il gestore di un motore di ricerca deve assicurare, nell’ambito delle sue responsabilità, delle sue competenze e delle sue possibilità, che l’attività di detto motore di ricerca soddisfi le prescrizioni della direttiva 95/46, affinché le garanzie previste da quest’ultima possano sviluppare pienamente i loro effetti e possa essere effettivamente realizzata una tutela efficace e completa degli interessati, in particolare del loro diritto al rispetto della loro vita privata (38).
74. Pertanto, quando sia accertato un diritto alla cancellazione, il gestore di un motore di ricerca è tenuto ad adottare tutte le misure a sua disposizione per garantire una cancellazione efficace e completa (39). Tale gestore deve intraprendere tutte le iniziative per lui tecnicamente possibili. Per quanto attiene alla controversia principale, ciò comprende, in particolare, la tecnica detta del «blocco geografico», indipendentemente dal nome di dominio utilizzato dall’utente di Internet che effettua la ricerca.
75. Come spiegherò nelle seguenti righe, una cancellazione deve essere effettuata non a livello nazionale, ma a livello dell’Unione europea.
76. La direttiva 95/46, «mira[ndo] a garantire un elevato grado di tutela [nell’Unione]» (40), è volta a creare un sistema completo di protezione dei dati che oltrepassa le frontiere nazionali. Fondata sull’originario articolo 100a TCE (41), essa si inserisce in una logica di mercato interno che comporta, bisogna ricordarlo, uno spazio senza frontiere interne (42). Ne consegue che una cancellazione a livello nazionale contrasterebbe con detto obiettivo di armonizzazione e con l’efficacia pratica delle disposizioni della direttiva 95/46 (43).
77. Inoltre, occorre osservare che, nella vigenza del regolamento 2016/679, tale questione nemmeno si pone, posto che il regolamento è, in quanto tale, «direttamente applicabile in ciascuno degli Stati membri» (44). Fondato sull’articolo 16 TFUE, il regolamento 2016/679 trascende l’approccio del mercato interno della direttiva 95/46 e mira a garantire un sistema completo di protezione dei dati personali all’interno dell’Unione (45). Il regolamento di cui trattasi si riferisce sistematicamente all’Unione, al territorio dell’Unione o agli Stati membri (46).
78. Pertanto, propongo di rispondere alla seconda e alla terza questione pregiudiziale dichiarando che il gestore di un motore di ricerca è tenuto a sopprimere i link controversi che appaiono in esito a una ricerca effettuata, a partire dal nome del richiedente, da un luogo situato all’interno dell’Unione europea. In tale contesto, detto gestore è tenuto ad adottare tutte le misure a sua disposizione per garantire una cancellazione efficace e completa. Ciò include, in particolare, la tecnica detta del «blocco geografico» da un indirizzo IP che si ritiene localizzato in uno degli Stati membri assoggettato alla direttiva 95/46, e ciò indipendentemente dal nome di dominio utilizzato dall’utente di Internet che effettua la ricerca.
VI. Conclusione
79. Alla luce di tutte le considerazioni che precedono, propongo alla Corte di rispondere alle questioni pregiudiziali sollevate dal Conseil d’État (Consiglio di Stato, Francia) nel seguente modo:
1) Le disposizioni degli articoli 12, lettera b), e 14, lettera a), della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, devono essere interpretate nel senso che il gestore di un motore di ricerca, nel dare seguito a una richiesta di cancellazione, non è tenuto ad eseguire tale operazione su tutti i nomi di dominio del suo motore, talché i link controversi non appaiano più indipendentemente dal luogo dal quale viene effettuata la ricerca avviata sul nome del richiedente.
2) Il gestore di un motore di ricerca è tenuto a sopprimere i link controversi che appaiono in esito a una ricerca effettuata, a partire dal nome del richiedente, da un luogo situato all’interno dell’Unione europea. In tale contesto, detto gestore è tenuto ad adottare tutte le misure a sua disposizione per garantire una cancellazione efficace e completa. Ciò include, in particolare, la tecnica detta del «blocco geografico» da un indirizzo IP che si ritiene localizzato in uno degli Stati membri assoggettato alla direttiva 95/46, e ciò indipendentemente dal nome di dominio utilizzato dall’utente di Internet che effettua la ricerca.