Causa C‑136/17
GC e a.
contro
Commission nationale de l’informatique e des libertés (CNIL)
[domanda di pronuncia pregiudiziale proposta dal Conseil d’État (Francia)]
Sentenza della Corte (Grande Sezione) del 24 settembre 2019
«Rinvio pregiudiziale – Dati personali – Protezione delle persone fisiche con riguardo al trattamento di tali dati che compaiono in pagine web – Direttiva 95/46/CE – Regolamento (UE) 2016/679 – Motori di ricerca su Internet – Trattamento dei dati contenuti nei siti web – Categorie di dati specifiche di cui all’articolo 8 di tale direttiva e agli articoli 9 e 10 di tale regolamento – Applicabilità dei suddetti articoli al gestore di un motore di ricerca – Portata degli obblighi di tale gestore alla luce dei suddetti articoli – Pubblicazione dei dati in siti web a soli fini di giornalismo o di espressione artistica o letteraria – Incidenza sul trattamento di una domanda di deindicizzazione – Articoli 7, 8 e 11 della Carta dei diritti fondamentali dell’Unione europea»
1. Ravvicinamento delle legislazioni – Tutela delle persone fisiche con riguardo al trattamento dei dati personali – Articolo 2 della direttiva 95/46 – Trattamento dei dati personali – Nozione – Attività di un motore di ricerca consistente nel trovare informazioni pubblicate o inserite da terzi su Internet, nell’indicizzarle, nel memorizzarle e nel metterle a disposizione degli utenti di Internet – Inclusione – Responsabile del trattamento – Nozione – Gestore di un motore di ricerca – Inclusione
[Direttiva del Parlamento europeo e del Consiglio 95/46, art. 2, b) e d)]
(v. punti 35-37)
2. Ravvicinamento delle legislazioni – Tutela delle persone fisiche con riguardo al trattamento dei dati personali – Direttiva 95/46 – Trattamento riguardante categorie particolari di dati personali – Divieti o restrizioni relative al trattamento di tali categorie di dati – Applicabilità al gestore di un motore di ricerca – Presupposti
(Regolamento del Parlamento europeo e del Consiglio 2016/679, artt. 9, § 1, e 10; direttiva del Parlamento europeo e del Consiglio 95/46, art. 8, §§ 1 e 5)
(voir points 42-48, disp. 1)
3. Ravvicinamento delle legislazioni – Tutela delle persone fisiche con riguardo al trattamento dei dati personali – Articoli 12 e 14 della direttiva 95/46 – Diritto di accesso della persona interessata ai dati personali e diritto di opposizione al loro trattamento – Diritto di chiedere la cancellazione dei link verso pagine web dall’elenco di risultati – Presupposti
[Direttiva del Parlamento europeo e del Consiglio 95/46, artt. 12, b), e 14, comma 1, a)]
(v. punti 50-52)
4. Ravvicinamento delle legislazioni – Tutela delle persone fisiche con riguardo al trattamento dei dati personali – Articoli 12 e 14 della direttiva 95/46, – Diritto di accesso della persona interessata ai dati personali e diritto di opposizione al loro trattamento – Ricerca effettuata attraverso un motore di ricerca a partire dal nome di una persona – Visualizzazione di un elenco di risultati – Diritto di chiedere che tale informazione non sia più messa a disposizione del pubblico
[Carta dei diritti fondamentali dell’Unione europea, artt. 7 e 8; direttiva del Parlamento europeo e del Consiglio 95/46, artt. 6, § 1, da c) a e), 12, b), e 14, comma 1, a)]
(v. punto 53)
5. Diritti fondamentali – Rispetto della vita privata – Tutela dei dati personali – Limitazioni – Presupposti
(Carta dei diritti fondamentali dell’Unione europea, artt. 7, 8 e 52, § 1)
(v. punto 58)
6. Ravvicinamento delle legislazioni – Tutela delle persone fisiche con riguardo al trattamento dei dati personali – Direttiva 95/46 – Trattamento riguardante categorie particolari di dati personali – Richiesta di deindicizzazione – Obbligo del gestore di un motore di ricerca di accogliere tale richiesta – Eccezione – Dati manifestamente resi pubblici dalla persona interessata – Presupposti
[Regolamento del Parlamento europeo e del Consiglio 2016/679, artt. 9, § 2, a), e) e g), 17, § 1, b) e c), e 21, § 1; direttiva del Parlamento europeo e del Consiglio 95/46, artt. 8, §§ 1, 2, a) ed e), e 4, e 14, comma 1, a)]
(v. punti 61-65, dispositivo 2)
7. Ravvicinamento delle legislazioni – Tutela delle persone fisiche con riguardo al trattamento dei dati personali – Direttiva 95/46 – Trattamento riguardante categorie particolari di dati personali – Domanda di deindicizzazione – Obbligo del gestore di un motore di ricerca di accogliere tale domanda – Eccezione – Protezione della libertà di informazione degli utenti di Internet – Verifica da parte di tale gestore
(Carta dei diritti fondamentali dell’Unione europea, artt. 7, 8, 11 e 52, § 1; regolamento del Parlamento europeo e del Consiglio 2016/679, artt. 9, § 1, e 10; direttiva del Parlamento europeo e del Consiglio 95/46, art. 8, §§ 1 e 5)
(v. punti 66-69, dispositivo 2)
8. Ravvicinamento delle legislazioni – Tutela delle persone fisiche con riguardo al trattamento dei dati personali – Direttiva 95/46 – Trattamento riguardante categorie particolari di dati personali – Dati relativi alle infrazioni e alle condanne penali – Nozione – Informazioni relative a un procedimento giudiziario – Inclusione – Richiesta di deindicizzazione – Obbligo del gestore di un motore di ricerca di accogliere tale richiesta – Presupposti – Conciliazione dei diritti al rispetto della vita privata e alla protezione dei dati della persona interessata con la libertà di informazione degli utenti di Internet – Verifica da parte di tale gestore
[Carta dei diritti fondamentali dell’Unione europea, artt. 7, 8 e 11; regolamento del Parlamento europeo e del Consiglio 2016/679, artt. 5, § 1, da c) a e), e 10; direttiva del Parlamento europeo e del Consiglio 95/46, artt. 6, § 1, da c) a e), e 8, §§ 4 e 5]
(v. punti 72-79, dispositivo 3)
Sintesi
Il divieto di trattare determinate categorie di dati personali sensibili si applica anche ai gestori di motori di ricerca
Con sentenza del 24 settembre 2019, GC e a. (Deindicizzazione di dati sensibili) (C‑136/17), la Corte, riunita in Grande Sezione, ha precisato gli obblighi del gestore di un motore di ricerca nell’ambito di una richiesta di deindicizzazione relativa a dati sensibili.
Google aveva rifiutato di accogliere le richieste di quattro persone di deindicizzare, nell’elenco dei risultati visualizzato dal motore di ricerca in risposta a una ricerca effettuata a partire dai loro rispettivi nomi, vari link che rinviavano a pagine web pubblicate da terzi, in particolare articoli di stampa. A seguito delle denunce di dette quattro persone, la Commission nationale de l’informatique et des libertés (CNIL) (Commissione nazionale per l’informatica e le libertà, Francia) si è rifiutata di ingiungere a Google di procedere alle deindicizzazioni richieste. Il Conseil d’État (Consiglio di Stato, Francia), chiamato a pronunciarsi sulla causa, ha chiesto alla Corte di precisare gli obblighi gravanti sul gestore di un motore di ricerca in sede di trattamento di una richiesta di deindicizzazione ai sensi della direttiva 95/46 (1).
In primo luogo, la Corte ha ricordato che il trattamento dei dati personali che rivelano l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l’appartenenza sindacale, nonché il trattamento di dati relativi alla salute e alla vita sessuale è vietato (2), fatte salve alcune eccezioni e deroghe. Quanto al trattamento di dati relativi alle infrazioni, alle condanne penali o alle misure di sicurezza, esso può essere effettuato solo sotto controllo dell’autorità pubblica, o se vengono fornite opportune garanzie specifiche, sulla base del diritto nazionale (3).
La Corte ha dichiarato che il divieto e le restrizioni relative al trattamento di tali categorie particolari di dati si applicano al gestore di un motore di ricerca, al pari di qualsiasi altro responsabile del trattamento di dati personali. Infatti, la finalità di detti divieti e restrizioni consiste nel garantire una maggiore protezione contro trattamenti del genere, i quali, a causa della natura particolarmente sensibile di tali dati, possono costituire un’ingerenza particolarmente grave nei diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali (4).
Tuttavia, il gestore di un motore di ricerca è responsabile non del fatto che i dati personali rientranti in tali disposizioni compaiono su una pagina web pubblicata da terzi, ma dell’indicizzazione di detta pagina. Pertanto, il divieto e le restrizioni relativi al trattamento di dati sensibili si applicano a tale gestore solo a causa di detta indicizzazione e, quindi, per il tramite di una verifica da effettuare, sotto il controllo delle autorità nazionali competenti, sulla base di una richiesta presentata dalla persona interessata.
In secondo luogo, la Corte ha dichiarato che, quando al gestore viene sottoposta una richiesta di deindicizzazione relativa a dati sensibili, esso è in linea di principio obbligato ad accoglierla, fatte salve determinate eccezioni. Quanto a tali eccezioni, il gestore può segnatamente rifiutarsi di accogliere una simile richiesta ove constati che i link rinviano a dati manifestamente resi pubblici dalla persona interessata (5), purché l’indicizzazione di tali link rispetti le altre condizioni di liceità di un trattamento di dati personali e a meno che detta persona non abbia il diritto di opporsi a detta indicizzazione per motivi derivanti dalla sua situazione specifica (6).
In ogni caso, il gestore di un motore di ricerca, quando riceve una richiesta di deindicizzazione, deve verificare se l’inserimento, nell’elenco visualizzato in esito ad una ricerca effettuata a partire dal nome della persona interessata, del link verso una pagina web in cui sono pubblicati dati sensibili sia strettamente necessario per tutelare la libertà di informazione degli utenti Internet (7) potenzialmente interessati ad accedere a detta pagina web attraverso tale ricerca. A questo proposito, la Corte ha sottolineato che, sebbene i diritti al rispetto della vita privata e alla protezione dei dati personali prevalgano, di norma, sulla libertà di informazione degli utenti di Internet, tale equilibrio può nondimeno dipendere, in casi particolari, dalla natura dell’informazione di cui trattasi e dal suo carattere sensibile per la vita privata della persona interessata, nonché dall’interesse del pubblico a disporre di tale informazione, il quale può variare, in particolare, in base al ruolo che tale persona riveste nella vita pubblica.
In terzo luogo, la Corte ha dichiarato che, nell’ambito di una richiesta di deindicizzazione riguardante dati relativi a un procedimento penale a carico della persona interessata, che si riferiscono a una fase precedente di tale procedimento e non corrispondono più alla situazione attuale, incombe al gestore del motore di ricerca valutare se detta persona abbia diritto a che le informazioni di cui trattasi non siano più, allo stato attuale, collegate al suo nome mediante un elenco dei risultati, visualizzato in esito ad una ricerca effettuata a partire da tale nome. Tuttavia, anche se tale ipotesi non ricorre per il fatto che l’inserimento di tale link si rivela strettamente necessario per conciliare i diritti della persona interessata al rispetto della vita privata e alla protezione dei dati con la libertà di informazione degli utenti di Internet potenzialmente interessati, il gestore è tenuto, al più tardi al momento della richiesta di deindicizzazione, a organizzare l’elenco dei risultati in modo tale che l’immagine globale che ne risulta per l’utente di Internet rifletta la situazione giudiziaria attuale, il che necessita, in particolare, che compaiano per primi, nel suddetto elenco, i link verso pagine web contenenti informazioni a tal proposito.