Sentenza Sentenza Cassazione Civile n. 3952 del 08/02/2022

Cassazione civile sez. I, 08/02/2022, (ud. 01/12/2021, dep. 08/02/2022), n.3952

LA CORTE SUPREMA DI CASSAZIONE

SEZIONE PRIMA CIVILE

Composta dagli Ill.mi Sigg.ri Magistrati:

Dott. GENOVESE Francesco Antonio – Presidente –

Dott. SCOTTI Umberto L. G. C. – Consigliere –

Dott. IOFRIDA Giulia – Consigliere –

Dott. LAMORGESE Antonio Pietro – Consigliere –

Dott. FALABELLA Massimo – rel. Consigliere –

ha pronunciato la seguente:

SENTENZA

sul ricorso 17569/2017 proposto da:

(OMISSIS), (OMISSIS) S.r.l. in Liquidazione, in persona dei

rispettivi legali rappresentanti pro tempore, elettivamente

domiciliate in Roma, Piazza di Campitelli n. 3, presso lo studio

dell’avvocato Coltella Domenico, che le rappresenta e difende

unitamente all’avvocato Consonni Marco, giusta procura speciale per

Notaio R.J. di Dublino (Irlanda) del 28.6.2017 con apostille

del 29.6.2017 e procura allegata al ricorso;

– ricorrenti –

contro

Garante per la Protezione dei Dati Personali, in persona del

Presidente pro tempore, domiciliato in Roma, Via dei Portoghesi n.

12, presso l’Avvocatura Generale dello Stato, che lo rappresenta e

difende ope legis;

– controricorrente –

e contro

D.B.C., elettivamente domiciliato in Roma, Corso

Vittorio II n. 308, presso lo studio dell’avvocato Ruffolo Ugo, che

lo rappresenta e difende unitamente all’avvocato Loccisano Valter,

giusta procura in calce al controricorso;

– controricorrente –

avverso la sentenza n. 12623/2016 del TRIBUNALE di MILANO, pubblicata

il 05/01/2017;

udita la relazione della causa svolta nella pubblica udienza del

01/12/2021 dal Cons. Dott. FALABELLA MASSIMO;

udito il P.M., in persona del Sostituto Procuratore Generale Dott.ssa

DE RENZIS Luisa, che ha concluso per il rigetto del ricorso;

udito, per la ricorrente, l’avvocato Consonni Marco Giuseppe che ha

chiesto l’accoglimento del ricorso;

udito, per il controricorrente D.B., l’avvocato Loccisano

Valter che ha chiesto il rigetto del ricorso.

Fatto

FATTI DI CAUSA

1. – Con ricorso proposto a norma del D.Lgs. n. 196 del 2003, art. 152, avanti al Tribunale di Milano, (OMISSIS) e (OMISSIS) s.r.l. domandavano l’annullamento del provvedimento del Garante per la protezione dei dati personali emesso il 25 febbraio 2016. Deducevano, in particolare: che il 22 aprile 2015 D.B.C. aveva inviato a (OMISSIS) una richiesta fondata sul diritto all’oblio, avente ad oggetto la rimozione dai risultati delle ricerche su internet effettuate con l’utilizzazione dei servizi di ricerca (OMISSIS) in Europa di diversi URL, specificamente individuati, che collegavano il nome dell’interessato a una vicenda giudiziaria che si asseriva non più interessare il diritto di cronaca; che (OMISSIS) aveva replicato di non poter dar riscontro alla richiesta in quanto non era titolare del trattamento dei dati personali di D.B.; che quest’ultimo aveva quindi depositato un ricorso al nominato Garante; che le richieste formulate erano state parzialmente accolte, essendo stato ordinato a entrambe le società di rimuovere gli URL indicati nel ricorso, cancellando anche le copie cache dalle pagine accessibili attraverso i predetti URL; che con il detto provvedimento il Garante aveva poi dichiarato non luogo a provvedere in merito agli URL che erano stati già rimossi e aveva infine dichiarato l’inammissibilità di ulteriori richieste che qui più non rilevano.

Resistevano in giudizio il Garante per la protezione dei dati personali e D.B..

Con sentenza del 15 gennaio 2016 il Tribunale di Milano rigettava il ricorso. Il giudice del merito riteneva che il Garante avesse il potere di emettere il provvedimento impugnato nei confronti di (OMISSIS), società di diritto irlandese; rilevava, in proposito, che, in base al reg. 1215/2012/UE, doveva aversi riguardo al luogo in cui l’evento dannoso si era verificato e che era quindi da ritenersi competente, a scelta dell’attore, sia il giudice del luogo del fatto generatore del danno, sia il giudice del luogo in cui si era verificato il danno stesso: sicché assumeva rilievo la circostanza per cui la lesione del diritto di D.B. si era consumata ove lo stesso aveva acquisito consapevolezza della reperibilità, attraverso una ricerca effettuata con il mero inserimento del proprio nome sul motore di ricerca (OMISSIS), di numerosi articoli di stampa relativi alla vicenda giudiziaria di cui si è detto. Aggiungeva che alle medesime conclusioni era possibile pervenire avendo riguardo alle previsioni dell’art. 13 CEDU (Convenzione Europea dei diritti dell’uomo) e dell’art. 47 della Carta di Nizza (Carta dei diritti fondamentali dell’Unione Europea); richiamava, altresì, l’art. 4.1, lett. a), dir. 95/46/CE, secondo cui ciascuno Stato membro applica le disposizioni nazionali adottate per l’attuazione della direttiva al trattamento dei dati personali effettuato nel contesto delle attività di uno stabilimento del responsabile del trattamento nel territorio dello Stato membro, e rilevava che ai fini della precisa individuazione della nozione di stabilimento doveva aversi riguardo sia al grado di stabilità dell’organizzazione, sia all’esercizio effettivo delle attività. Il Tribunale osservava, poi, come l’operazione consistente nel far comparire su una pagina internet dati personali andasse considerata come un “trattamento”, ai sensi dell’art. 2, lett. b), dir. 95/46/CE. Rilevava, inoltre, che (OMISSIS) forniva alcuni servizi di supporto a (OMISSIS) e che quest’ultima utilizzava il proprio stabilimento, costituito dalla società italiana, per la promozione e la vendita di spazi pubblicitari. il Tribunale rilevava, poi, come, in base alla giurisprudenza della Corte di giustizia, i diritti fondamentali della persona interessata dovessero prevalere non solo sull’interesse economico del gestore del motore di ricerca, ma anche sull’interesse del pubblico a trovare l’informazione in occasione di una ricerca concernente il nome di quello stesso soggetto. Con riferimento alle modalità del trattamento e al correlato diritto dell’interessato a che la divulgazione dei propri dati personali risponda a criteri di proporzionalità, necessità, pertinenza e non eccedenza rispetto allo scopo, oltre che di esattezza e coerenza, osservava che le società ricorrenti si erano limitate genericamente a contestare la prevalenza del diritto all’oblio di D.B., senza nulla allegare chiaramente in merito all’interesse pubblico quanto alla conoscenza di atti di indagine relativi al procedimento penale per il quale, oltretutto, non era stata pronunciata alcuna condanna. Da ultimo, con riferimento alla cancellazione delle copie cache – che la ricorrente lamentava determinasse l’eliminazione definitiva dell’informazione dall’indice del motore di ricerca, con pregiudizio per il diritto dell’interesse del pubblico alla conoscenza delle dette notizie -, osservava come il provvedimento adottato fosse conforme ai principi ispiratori del reg. (UE) 2016/679, che aveva previsto il diritto a una cancellazione estesa dei dati personali oggetto del trattamento.

2. – La detta sentenza del Tribunale di Milano è stata impugnata per cassazione da (OMISSIS) e da (OMISSIS) con un ricorso articolato in cinque motivi. Hanno resistito con controricorso D.B.C. e il Garante per la protezione dei dati personali.

La causa, avviata alla trattazione camerale, è stata successivamente destinata alla pubblica udienza. In vista di tale udienza il pubblico ministero ha rassegnato conclusioni scritte e le parti hanno depositato memorie.

Diritto

RAGIONI DELLA DECISIONE

1. – Col primo motivo sono denunciate violazione e falsa applicazione degli artt. 1 e 7.2, del reg. 1512/2012 /UE. Osservano le ricorrenti aver errato il Tribunale nel ritenere applicabile al procedimento trattato avanti al Garante il reg. 1215/2012/UE, il quale non disciplina le controversie in materia amministrativa. Rilevano le istanti, al riguardo, che il Garante è un’autorità amministrativa indipendente mentre il cit. art. 7.2 assegna la giurisdizione all’autorità giurisdizionale del luogo dove l’evento dannoso si è verificato. Viene in conseguenza escluso che il detto regolamento possa essere invocato per dar ragione del potere esercitato dal Garante.

Col secondo motivo sono lamentate violazione e falsa applicazione dell’art. 13 CEDU e art. 47 della Carta di Nizza. Viene rilevato che le norme indicate non operano come criterio di riparto della giurisdizione tra le autorità gli Stati membri dell’Unione, ma come enunciazione di principi generali a cui le legislazioni nazionali sono tenute a uniformarsi.

Il terzo mezzo oppone violazione e falsa applicazione dell’art. 4.1, lett. a), e art. 28, paragrafi 1 e 6, dir. 95/46/CE. Viene osservato che la giurisdizione di ciascuna autorità garante della privacy è circoscritta al territorio dello Stato membro presso cui la stessa è istituita e che tra le diverse autorità è previsto un rapporto di collaborazione, e non certo di sovrapposizione funzionale. Con riferimento, poi, alla “giurisdizione” del Garante nei confronti di (OMISSIS), viene lamentato che il giudice del merito abbia valutato superficialmente i rapporti intercorrenti tra la stessa e (OMISSIS) e si osserva come quest’ultima non avesse, in realtà, alcuna relazione col motore di ricerca, gestito interamente dalla società di diritto irlandese.

1.1. – I tre motivi sono nel complesso infondati.

1.2. – La questione ad essi sottesa non investe propriamente il tema della giurisdizione, dal momento che in questa sede si dibatte dei provvedimenti emessi, a norma del D.Lgs. n. 196 del 2003, art. 150, dal Garante per la protezione dei dati personali. Quest’ultimo è organo amministrativo ed è investito di un procedimento anch’esso di natura amministrativa: onde non ricopre una posizione di terzietà assimilabile a quella assicurata dal giudice nel processo (Cass. 25 maggio 2017, n. 13151 la quale ha coerentemente escluso che il provvedimento della predetta autorità sia idoneo al passaggio giudicato: conclusione, questa, condivisa da Cass. 18 giugno 2018, n. 16061). Infatti, come evidenziato da risalente giurisprudenza di questa Corte, la natura giurisdizionale del Garante non può desumersi dall’attribuzione, a tale organo pubblico, di un procedimento speciale; e non può nemmeno ricavarsi dall’oggetto della potestà decisionale dello stesso, giacché anche alle pubbliche amministrazioni è dato di provvedere su diritti in forme che la dottrina definisce giustiziali, e neppure dall’interesse pubblico costituente il riferimento fondamentale del giudice, perché in via di principio la pubblica Amministrazione provvede in considerazione di un interesse pubblico generale, la cui forza talvolta attenua la stessa protezione della posizione soggettiva, che degrada ad interesse legittimo (così, in motivazione, Cass. 20 maggio 2002, n. 7341).

Il problema posto dai tre mezzi, di cui si è occupato il giudice del merito, ha piuttosto ad oggetto la sussistenza, in capo all’Autorità garante italiana, del potere di emettere i provvedimenti che essa è titolata a pronunciare secondo la legge italiana, ma nei confronti di un soggetto estero che operi al di fuori del territorio nazionale: e cioè di (OMISSIS), società di diritto irlandese, con sede a (OMISSIS).

A tal fine non risulta essere conducente la disciplina unionale in tema di competenza giurisdizionale, né appaiono risolutive le indicazioni desumibili dall’art. 13 CEDU e dall’art. 47 della Carta di Nizza, circa il diritto a un ricorso effettivo. Ciò che va accertato, infatti, è l’ambito di operatività delle disposizioni nazionali che definiscono i poteri dell’Autorità garante italiana, avanti alla quale, come è noto, possono essere fatti valere i diritti di cui al D.Lgs. n. 196 del 2003, art. 7 (art. 145 D.Lgs. teste’ citato).

1.3. – Al Garante italiano era stata richiesta la rimozione, dai risultati delle ricerche su internet effettuate mediante l’utilizzazione del servizio (OMISSIS), di URL, che collegavano il nome di D.B. a una vicenda che lo stesso ha assunto essere oramai estranea al diritto di cronaca (sentenza impugnata, pag. 2). Veniva dunque in questione una richiesta di deindicizzazione (o de-listing): attività, questa, consistente nell’escludere che il nome di un soggetto compaia tra i risultati di un motore di ricerca in esito a una interrogazione del medesimo; con la deindicizzazione (il punto sarò ripreso in seguito), si elimina una particolare modalità di ricerca del dato, che rimane presente in rete, e che continua ad essere raggiungibile, ma con una ricerca più complessa e più lunga.

Occorre premettere che, secondo quanto chiarito dalla Corte di giustizia, l’operazione consistente nel far comparire su una pagina internet dati personali va considerata come un trattamento, a norma dell’art. 2, lett. b), dir. 95/46/CE (Corte giust. UE, 6 novembre 2003, Lindqvist, C-101/01, 25, Corte giust. UE 13 maggio 2014, Grande sezione, Google Spain e Google, C-131/12, 26; Corte giust. UE 14 febbraio 2019, C-345/17, Sergejs Buivids, 37; Corte giust. 24 settembre 2019, Grande sezione, G.C. e altri, C-136/17, 35). In particolare, l’attività del motore di ricerca consistente nel trovare informazioni pubblicate o inserite da terzi su internet, nell’indicizzarle in modo automatico, nel memorizzarle temporaneamente e, infine, nel metterle a disposizione degli utenti di internet secondo un determinato ordine di preferenza, deve essere qualificata come “trattamento di dati personali”, ai sensi del citato art. 2, lettera b), cit., qualora tali informazioni contengano dati personali, e il gestore di detto motore di ricerca deve essere considerato come il “responsabile” del trattamento summenzionato, ai sensi dell’art. 2, lettera d), della stessa direttiva (Corte giust. Google Spain e Google, cit., 41).

Ciò posto, la pronuncia impugnata, nella parte in cui conferisce rilievo allo svolgimento dell’attività di trattamento dei dati a uno stabilimento italiano di (OMISSIS), risulta essere conforme al diritto e si sottrae, pertanto, a censura.

Deve rilevarsi, in proposito, che l’art. 4.1, lett. a), dir. 95/46/CE prevede che “(c)iascuno Stato membro applica le disposizioni nazionali adottate per l’attuazione della presente direttiva al trattamento di dati personali (..) effettuato nel contesto delle attività di uno stabilimento del responsabile del trattamento nel territorio dello Stato membro”.

La Corte di giustizia ha precisato, al riguardo, che la norma non esige che il trattamento di dati personali in questione venga effettuato “dallo” stesso stabilimento interessato, bensì soltanto che venga effettuato “nel contesto delle attività” di quest’ultimo e che, alla luce dell’obiettivo della dir. 95/46 di garantire una tutela efficace e completa delle libertà e dei diritti fondamentali delle persone fisiche, segnatamente del diritto alla vita privata, con riguardo al trattamento dei dati personali, l’espressione suddetta non può ricevere un’interpretazione restrittiva. Ha sottolineato, inoltre, che in considerazione di tale obiettivo della direttiva 95/46 e del tenore letterale del suo art. 4.1, lettera a), il trattamento di dati personali realizzato per le esigenze di servizio di un motore di ricerca, il quale venga gestito da un’impresa avente uno stabilimento in uno Stato membro, viene effettuato “nel contesto delle attività” di tale stabilimento qualora quest’ultimo sia destinato a garantire, in tale Stato membro, la promozione e la vendita degli spazi pubblicitari proposti dal suddetto motore di ricerca, che servono a rendere redditizio il servizio offerto da quest’ultimo: in tali circostanze – ha spiegato la Corte – le attività del gestore del motore di ricerca e quelle del suo stabilimento situato nello Stato membro interessato sono inscindibilmente connesse, dal momento che le attività relative agli spazi pubblicitari costituiscono il mezzo per rendere il motore di ricerca in questione economicamente redditizio e dal momento che tale motore e’, al tempo stesso, lo strumento che consente lo svolgimento di dette attività. Quel che rileva, quindi, secondo la Corte di giustizia, è che il trattamento di dati personali, consistente nella visualizzazione dei medesimi, venga effettuato nel contesto dell’attività pubblicitaria e commerciale dello stabilimento del responsabile del trattamento nel territorio di uno Stato membro (Corte giust., Google Spain e Google, cit., 52-57). In conclusione, “l’art. 4.1, lettera a), della direttiva 95/46 deve essere interpretato nel senso che un trattamento di dati personali viene effettuato nel contesto delle attività di uno stabilimento del responsabile di tale trattamento nel territorio di uno Stato membro, ai sensi della disposizione suddetta, qualora il gestore di un motore di ricerca apra in uno Stato membro una succursale o una filiale destinata alla promozione e alla vendita degli spazi pubblicitari proposti da tale motore di ricerca e l’attività della quale si dirige agli abitanti di detto Stato membro” (sent. cit., 60; più di recente cfr. Corte giust. UE 24 settembre 2019, Grande sezione, C-507/17, Google LLC, 49). In continuità con tale affermazione, e sempre valorizzando il dato del trattamento dei dati eseguito nel contesto delle attività del responsabile del trattamento, la stessa Corte ha poi precisato che l’art. 4.1, lett. a), cit. va interpretato nel senso che “consente l’applicazione della legge in materia di protezione dei dati personali di uno Stato membro diverso da quello nel quale il responsabile del trattamento di tali dati è registrato, purché il medesimo svolga, tramite un’organizzazione stabile nel territorio di tale Stato membro, un’attività effettiva e reale, anche minima, nel contesto della quale si svolge tale trattamento” (Corte giust. UE 1 ottobre 2015, C-230/14, Weltimmo, 41).

1.4. – Nel caso in esame il Tribunale di Milano ha appurato, sulla base dello statuto di (OMISSIS) e dalle deduzioni contenute nel ricorso introduttivo delle attrici, oggi ricorrenti per cassazione, che la detta convenuta forniva servizi di supporto a (OMISSIS) e che questa usava “il proprio “stabilimento”, costituito da (OMISSIS), per la promozione e la vendita di spazi pubblicitari”.

Tale accertamento di fatto non è in questa sede sindacabile ed è pienamente idoneo a sorreggere la conclusione per cui il trattamento dei dati personali che qui rileva, siccome attuato nel contesto di uno stabilimento del responsabile del trattamento che è ubicato nel territorio italiano, è soggetto alle disposizioni nazionali che regolano l’attività dell’Autorità garante italiana per la protezione dei dati personali.

2. – Con il quarto motivo la sentenza impugnata è censurata per violazione e falsa applicazione del D.Lgs. n. 196 del 2003, art. 154. Deducono le ricorrenti che in base a quest’ultima disposizione l’Autorità garante ha competenza giurisdizionale per materia circoscritta alle sole questioni strettamente attinenti al trattamento dei dati personali; nel caso in esame, tuttavia, (OMISSIS) non aveva svolto alcun trattamento dei dati personali di D.B., i quali comparivano nelle pagine corrispondenti agli URL indicati nel ricorso, ma si era limitata a localizzare in modo automatico il contenuto in questione in caso di interrogazione del motore di ricerca tramite il nome dell’interessato. In altri termini – è spiegato -, il fornitore di servizi di motore di ricerca offre semplicemente uno strumento di localizzazione delle informazioni, senza esercitare alcun controllo sui dati contenuti nelle pagine web che lo stesso indicizza, ma non conosce.

2.1. – Il motivo è infondato alla luce del principio, sopra richiamato (cfr. 1.3) per cui l’attività del motore di ricerca consistente nel reperimento di informazioni presenti sulla rete, nella indicizzazione, nella memorizzazione e nell’offerta al pubblico delle medesime integra trattamento di dati personali.

3. – Il quinto motivo denuncia violazione e falsa applicazione dell’art. 75 c.p.c., D.Lgs. n. 196 del 2003, artt. 150 e 154, art. 15 dir. 2000/31/CE e D.Lgs. n. 70 del 2003, art. 17. Ci si duole che a (OMISSIS) sia stato ordinato di porre in essere una rimozione definitiva degli URL ad onta del fatto che la società italiana non gestisce il motore di ricerca; viene osservato che la detta società mancherebbe di legittimazione passiva, posto che non avrebbe alcun potere di intervento su (OMISSIS) e non potrebbe, quindi, dare esecuzione al provvedimento emanato. In proposito, si deplora che il Garante abbia pronunciato l’ordine di rimozione dei contenuti lesivi del diritto all’oblio anche nei confronti della società italiana, laddove la stessa non poteva essere considerata titolare del trattamento dei dati personali di D.B.. Le ricorrenti rilevano, inoltre, come il Tribunale abbia avallato un’interpretazione del diritto all’oblio, già fatta propria dal Garante nel suo provvedimento, eccessivamente sbilanciata in favore dell’interessato, a detrimento di interessi diversi, come l’interesse dei terzi di accedere alle pagine web per finalità diverse da quelle di una verifica sulle vicissitudini giudiziarie di D.B.. In particolare, i ricorrenti censurano la sentenza impugnata nella parte in cui ha disposto l’eliminazione definitiva degli URL della loro copia cache delle corrispondenti pagine internet. Sul punto, è pure rimarcato come la misura adottata gravi le società istanti di un’incessante attività di sorveglianza, onde evitare che gli URL già rimossi non vengano nuovamente indicizzati e che pagine corrispondenti alle cache non vengano rese disponibili sotto diversi URL: è invocato, in proposito, il cit. art. 15 dir. 2000/31/CE, secondo cui nella prestazione dei servizi telematici il prestatore non è assoggettato un obbligo generale di sorveglianza sulle informazioni che trasmette e memorizza, né a un dovere di ricerca attiva quanto a fatti o circostanze che indichino la presenza di attività illecite.

3.1 – La prima delle doglianze sollevate col mezzo in esame va disattesa.

3.2. – Il Pubblico Ministero, nella sua prima requisitoria scritta, ha osservato che la società “stabilimento” non potesse non avere una legittimazione sostanziale, costituendo essa “l’elemento necessario di connessione” tra il titolare e gestore del motore di ricerca e “l’applicazione della disciplina di tutela”: tale società, secondo la parte pubblica, deve essere evocata in causa “in funzione dell’accertamento dei presupposti di quel nesso strumentale e di eventuale contestazione delle condizioni legittimanti la domanda”.

Tale posizione risulta in linea coi principi di fondo elaborati dalla Corte di giustizia.

Si è detto del nesso esistente tra il trattamento dei dati personali e l’attività di promozione e di vendita degli spazi pubblicitari da parte dello stabilimento: le due attività (quella del gestore del motore di ricerca e quella dello stabilimento) devono essere considerate “inscindibilmente connesse” (Corte giust. Google Spain e Google, cit., 56). Ciò ha portato a ritenere che ove un’impresa stabilita fuori dall’Unione Europea disponga di varie filiali in diversi Stati membri, l’autorità di controllo di uno Stato membro sia autorizzata ad esercitare i poteri che le conferisce l’art. 28.3 della dir. 95/46 pure nei confronti di una filiale dell’impresa situata nel territorio di tale Stato membro, e ciò quandanche tale filiale sia competente solamente, in base alla ripartizione delle funzioni all’interno del gruppo, per la vendita di spazi pubblicitari e per altre attività di marketing (Corte giust. UE, Grande sezione, 5 giugno 2018, C210/16, Unabhangiges Landeszentrum fiir Datenschutz Schleswig-Holstein, 64). Se, dunque, l’autorità di controllo dello Stato membro è titolata ad adottare provvedimenti nei confronti della filiale ivi ubicata ove l’impresa titolare del trattamento dei dati è stabilita fuori dall’Unione Europea, non vi è ragione per escludere che ciò possa accadere anche ove quest’ultima impresa abbia la propria sede in uno Stato membro. In questo caso, come nell’altro, l’attività di trattamento dei dati posta in essere dal motore di ricerca risulta inscindibilmente connessa con quella, promozionale, svolta dalla filiale, collocandosi “nel contesto delle attività di uno stabilimento del responsabile del trattamento nel territorio dello Stato membro”, a norma dell’art. 4.1, lett. a), della direttiva. Ebbene, quest’ultima condizione giustifica l’adozione di misure nei confronti dello stabilimento (cfr. la sentenza da ultimo citata, 53 e 62): detto stabilimento, dunque, non si sottrae alle disposizioni nazionali adottate dallo Stato italiano per l’attuazione della direttiva stessa (e quindi, segnatamente, alle prescrizioni dettate dal D.Lgs. n. 196 del 2003, art. 150, circa le statuizioni che il Garante può adottare a seguito di ricorso dell’interessato).

3.3. – La seconda delle censure svolte col quinto motivo di ricorso pone la questione della dedotta esorbitanza della misura, adottata dal Garante e confermata dal Tribunale, consistente nella cancellazione delle copie cache delle pagine web accessibili attraverso gli URL che riguardavano la vicenda “(OMISSIS)”, in cui era stato coinvolto l’odierno controricorrente.

Il provvedimento del Garante aveva infatti portato sia alla rimozione degli URL che rinviavano alla suddetta vicenda, che all’eliminazione delle copie cache in questione.

Con la prima statuizione, non contestata nella presente sede che con riguardo ai profili che si sono in precedenza esaminati, si era fatto luogo alla deindicizzazione dei risultati con cui il motore di ricerca associava il nome di D.B. a un dissesto finanziario che era stato oggetto di interesse mediatico e che aveva avuto risonanza in articoli giornalistici.

3.4. – Le Sezioni Unite di questa Corte hanno ricondotto la deindicizzazione al “diritto alla cancellazione dei dati”, nel quadro di una classificazione che considera il medesimo come una delle tre possibili declinazioni del diritto all’oblio: le altre due sono individuate nel diritto a non vedere nuovamente pubblicate notizie relative a vicende in passato legittimamente diffuse, quando è trascorso un certo tempo tra la prima e la seconda pubblicazione e quello, connesso all’uso di internet e alla reperibilità delle notizie nella rete, consistente nell’esigenza di collocare la pubblicazione, avvenuta legittimamente molti anni prima, nel contesto attuale (Cass. Sez. U. 22 luglio 2019, n. 19681, in motivazione). Sia la contestualizzazione dell’informazione che la deindicizzazione trovano ragione in un dato che innegabilmente connota l’esistenza umana nell’era digitale: un dato che si riassume, secondo una felice espressione, nella “stretta della persona in una eterna memoria collettiva, per una identità che si ripropone, nel tempo, sempre uguale a sé stessa” (così, in motivazione, Cass. 19 maggio 2020, n. 9147).

Non occorre qui indugiare sul rilievo per cui, nel mondo segnato dalla presenza di internet, in cui le informazioni sono affidate a un supporto informatico, le notizie sono sempre reperibili a distanza di anni dal verificarsi degli accadimenti che ne hanno imposto o comunque suggerito la prima diffusione. Mette conto solo di rilevare come la deindicizzazione si sia venuta affermando come rimedio atto ad evitare che il nome della persona sia associato dal motore di ricerca ai fatti di cui internet continua a conservare memoria. In tal senso la deindicizzazione asseconda il diritto della persona a non essere trovata facilmente sulla rete (si parla in proposito di right not to be found easily): lo strumento vale cioè ad escludere azioni di ricerca che, partendo dal nome della persona, portino a far conoscere ambiti della vita passata di questa che siano correlati a vicende che in sé – si badi – presentino ancora un interesse (e che non possono perciò essere totalmente oscurate), evitando che l’utente di internet, il quale ignori il coinvolgimento della persona nelle vicende in questione, si imbatta nelle relative notizie per ragioni casuali, o in quanto animato dalla curiosità di conoscere aspetti della trascorsa vita altrui di cui la rete ha ancora memoria (una memoria facilmente accessibile, nei suoi contenuti, proprio attraverso l’attività dei motori di ricerca). Come ricordato dalla Corte di Lussemburgo, l’inclusione nell’elenco di risultati – che appare a seguito di una ricerca effettuata a partire dal nome di una persona – di una pagina web e delle informazioni in essa contenute relative a questa persona, poiché facilita notevolmente l’accessibilità di tali informazioni a qualsiasi utente di internet che effettui una ricerca sulla persona di cui trattasi e può svolgere un ruolo decisivo per la diffusione di dette informazioni, è idonea a costituire un’ingerenza più rilevante nel diritto fondamentale al rispetto della vita privata della persona interessata che non la pubblicazione da parte dell’editore della suddetta pagina web (Corte giust. Google Spain e Google, cit., 87).

La deindicizzazione ha, così, riguardo all’identità digitale del soggetto: e ciò in quanto l’elenco dei risultati che compare in corrispondenza del nome della persona fornisce una rappresentazione dell’identità che quella persona ha in internet. E’ stato in proposito sottolineato, sempre dalla Corte di giustizia, che “l’organizzazione e l’aggregazione delle informazioni pubblicate su internet, realizzate dai motori di ricerca allo scopo di facilitare ai loro utenti l’accesso a dette informazioni, possono avere come effetto che tali utenti, quando la loro ricerca viene effettuata a partire dal nome di una persona fisica, ottengono attraverso l’elenco di risultati una visione complessiva strutturata delle informazioni relative a questa persona reperibili su internet, che consente loro di stabilire un profilo più o meno dettagliato di quest’ultima” (Corte giust. UE, Google Spain e Google, cit., 37).

L’attività del motore di ricerca si mostra in altri termini incidente sui diritti fondamentali alla vita privata e alla protezione dei dati personali (cfr., in particolare, Corte giust. UE, Google Spain e Google, cit., 38): e tuttavia, poiché la soppressione di link dall’elenco di risultati potrebbe avere, a seconda dell’informazione in questione, ripercussioni sul legittimo interesse degli utenti di internet potenzialmente interessati ad avere accesso a quest’ultima, occorre ricercare un giusto equilibrio tra tale interesse e i diritti fondamentali della persona di cui trattasi, derivanti dagli artt. 7 e 8 della Carta dei diritti fondamentali dell’Unione Europea (Corte giust. UE, Google Spain e Google, cit., 81; il tema è affrontato anche da Corte giust. UE, Grande sezione, 24 settembre 2019, G.C. e altri, cit., 66 e 75, ove è precisato che il gestore del motore di ricerca deve comunque verificare – alla luce dei motivi di interesse pubblico rilevante di cui all’art. 8.4, della dir. 95/46/CE o all’art. 9.2, lett. g), del reg. (UE) 2016/679, e nel rispetto delle condizioni previste da tali disposizioni – se l’inserimento del link, verso la pagina web in questione, nell’elenco visualizzato in esito a una ricerca effettuata a partire dal nome della persona interessata, sia necessario per l’esercizio del diritto alla libertà di informazione degli utenti di internet potenzialmente interessati ad avere accesso a tale pagina web attraverso siffatta ricerca, libertà protetta dall’art. 11 della Carta suddetta).

3.5. – Occorre però considerare che questa esigenza di bilanciamento tra l’interesse del singolo ad essere dimenticato e l’interesse della collettività ad essere informata – cui si correla l’interesse dei media a informare – permea l’intera area del diritto all’oblio, di cui quello alla deindicizzazione può considerarsi espressione; va rammentato, in proposito, quanto affermato dalle Sezioni Unite di questa Corte nel campo della rievocazione storica, a mezzo della stampa, di fatti e vicende concernenti eventi del passato: rievocazione rispetto alla quale è stato affermato l’obbligo, da parte del giudice del merito, di valutare l’interesse pubblico, concreto ed attuale, alla menzione degli elementi identificativi delle persone che di quei fatti e di quelle vicende furono protagonisti (in tal senso Cass. Sez. U. 22 luglio 2019, n. 19681, cit.). Nello stesso senso, la giurisprudenza della Corte EDU è ferma, da tempo, nel postulare un giusto equilibrio tra il diritto al rispetto della vita privata di cui all’art. 8 CEDU e il diritto alla libertà d’espressione di cui al successivo art. 10, che include “la libertà d’opinione e la libertà di ricevere o di comunicare informazioni o idee” e ha individuato, a tal fine, precisi criteri per la ponderazione dei diritti concorrenti: il contributo della notizia a un dibattito di interesse generale, il grado di notorietà del soggetto, l’oggetto della notizia; il comportamento precedente dell’interessato, le modalità con cui si ottiene l’informazione, la sua veridicità e il contenuto, la forma e le conseguenze della pubblicazione (si vedano, ad esempio: Corte EDU 19 ottobre 2017, Fuchsmann c. Germania, 32; Corte EDU 10 novembre 2015, Couderc et Hachette Filipacchi c. Francia, 93: sulla necessità del giusto equilibrio tra il diritto al rispetto della vita privata, da un lato, e la libertà di espressione e la libertà di informazione del pubblico, dall’altro, cfr. pure Corte EDU 28 giugno 2018, M.L. e W.W. c. Germania, 89).

Come è evidente, la deindicizzazione dei contenuti presenti sul web rappresenta, il più delle volte, l’effettivo punto di equilibrio tra gli interessi in gioco. Essa integra, infatti, la soluzione che, a fronte della prospettata volontà, da parte dell’interessato, di essere dimenticato per il proprio coinvolgimento in una vicenda del passato, realizza il richiamato bilanciamento escludendo le estreme soluzioni che sono astrattamente configurabili: quella di lasciare tutto com’e’ e quella di cancellare completamente la notizia dal web, rimuovendola addirittura dal sito in cui è localizzata.

E’ da rammentare, in proposito, che attraverso la deindicizzazione l’informazione non viene eliminata dalla rete, ma può essere attinta raggiungendo il sito che la ospita (il cosiddetto sito sorgente) o attraverso altre metodologie di ricerca, come l’uso di parole-chiave diverse: ciò che viene in questione e’, infatti, per usare le parole della Corte di giustizia, il diritto dell’interessato “a che l’informazione in questione riguardante la sua persona non venga più, allo stato attuale, collegata al suo nome da un elenco di risultati che appare a seguito di una ricerca effettuata a partire dal suo nome” (così Corte giust. UE, Google Spain e Google, cit., 99). In altri termini, con la deindicizzazione viene in discorso la durata e la facilità di accesso ai dati, non la loro semplice conservazione su internet (Corte EDU, 25 novembre 2021, Biancardi c. Italia, 50). La neutralità della deindicizzazione operata a partire da nome dell’interessato rispetto ad altri criteri di ricerca è stato del resto sottolineato dalle Linee-guida sull’attuazione della sentenza della Corte di giustizia nel caso C-131/12, elaborate dal Gruppo di lavoro “Art. 29″: in dette Linee-guida viene ricordato come la citata pronuncia non ipotizzi la necessità di una cancellazione completa delle pagine dagli indici del motore di ricerca e che dette pagine dovrebbero restare accessibili attraverso ogni altra chiave di ricerca. Tale avvertenza non è difforme da quella contenuta nelle Linee-guida 5/2019 che dettano ” criteri per l’esercizio del diritto all’oblio nel caso dei motori di ricerca, ai sensi del RGPD” (reg. 2016/679), adottate il 7 luglio 2020: è ivi evidenziato che la deindicizzazione di un particolare contenuto determina la cancellazione di esso dall’elenco dei risultati di ricerca relativi all’interessato, quando la ricerca e’, in via generale, effettuata a partire dal suo nome; in conseguenza, il contenuto deve restare disponibile se vengano utilizzati altri criteri di ricerca e le richieste di deindicizzazione non comportano la cancellazione completa dei dati personali, i quali non devono essere cancellati né dal sito web di origine né dall’indice e dalla cache del fornitore del motore di ricerca (punti 8 e 9).

In tal senso, questa Corte ha avuto modo di ritenere, di recente, che il bilanciamento tra il diritto della collettività ad essere informata e a conservare memoria del fatto storico, con quello del titolare dei dati personali a non subire una indebita compressione della propria immagine sociale possa essere soddisfatto assicurando la permanenza dell’articolo di stampa relativo a fatti risalenti nel tempo oggetto di cronaca giudiziaria nell’archivio informatico del quotidiano, a condizione, però, che l’articolo sia deindicizzato dai siti generalisti (Cass. 27 marzo 2020, n. 7559). Similmente, si è reputato che la tutela del diritto consistente nel non rimanere esposti senza limiti di tempo a una rappresentazione non più attuale della propria persona con pregiudizio alla reputazione ed alla riservatezza, a causa della ripubblicazione sul web, a distanza di un importante intervallo temporale, di una notizia relativa a fatti del passato, possa trovare soddisfazione – nel quadro dell’indicato bilanciamento del diritto stesso con l’interesse pubblico alla conoscenza del fatto, espressione del diritto di manifestazione del pensiero e quindi di cronaca e di conservazione della notizia per finalità storico-sociale e documentaristica – anche nella sola deindicizzazione dell’articolo dai motori di ricerca (Cass. 19 maggio 2020, n. 9147).

3.6. – In questa sede, come si è detto, non è controversa la legittimità della deindicizzazione (e quindi della ponderazione degli interessi che doveva presiedere all’adozione di tale misura), ma si censura, piuttosto, la decisione del Tribunale con cui è stato reputato conforme al diritto l’ordine, impartito dal Garante, di procedere alla cancellazione delle copie cache delle pagine internet accessibili attraverso gli URL degli articoli di stampa relativi alla vicenda “(OMISSIS)”.

La copia cache dei siti internet indicizzati consente al motore di ricerca di fornire una risposta più veloce ed efficiente all’interrogazione posta dall’utente attraverso una o più parole chiave. La cancellazione di esse preclude al motore di ricerca, nell’immediato, di avvalersi di tali copie per indicizzare i contenuti attraverso parole chiave anche diverse da quella corrispondente al nome dell’interessato. Detta cancellazione impedisce, inoltre, l’utilizzo di nuove copie cache che siano equivalenti a quelle cui si riferisce l’adottata statuizione, nella misura in cui si ritenga che tale ordine abbia il contenuto di una “ingiunzione dinamica”, estendendo la propria portata a tutte le copie, di contenuto sostanzialmente invariato rispetto a quelle cui si riferisce l’ordine, che il motore di ricerca possa realizzare nel futuro: è da ricordare, in proposito, che, seppure ad altro proposito, con riferimento ai servizi di hosting, la Corte di giustizia si è già pronunciata nel senso di ammettere, a determinate condizioni, ordini aventi ad oggetto informazioni già memorizzate, il cui contenuto sia identico o comunque equivalente a quello di un’informazione precedentemente dichiarata illecita, o di bloccare l’accesso alle medesime (Corte giust. UE, 3 ottobre 2019, Eva Glawischnig-Piesczek, C-18/18, 53).

Come rilevato, la deindicizzazione produce l’effetto di escludere che una certa notizia, riguardante una determinata persona, venga collegata al nome di questa attraverso un elenco di risultati che appare a seguito di una ricerca effettuata a partire dal nome predetto. E’ in tal senso che la deindicizzazione può attuare il divisato bilanciamento: l’interesse alla conoscenza dell’informazione riguardante il fatto è salvaguardato attraverso l’accesso al sito, o alla copia di esso, che si attua attraverso altre chiavi di ricerca; ma è tutelata, al contempo, la sfera personale del soggetto coinvolto nella vicenda, giacché la deindicizzazione esclude che l’utente di internet possa apprendere del fatto storico in conseguenza di una ricerca nominativa che miri ad altri risultati o che sia animata da mera curiosità per aspetti della vita altrui su cui l’interessato voglia mantenere il riserbo.

Se è astrattamente ipotizzabile l’adozione di una misura più radicale di quella appena indicata – una misura che quindi impedisca, o renda più difficile, nei fatti, al motore di ricerca di indirizzare l’utente alla notizia presente sul web, quali che siano le chiavi di ricerca che si possano a tal fine utilizzare -, è necessario, a mente di quanto sopra osservato, che un tale risultato rifletta una precisa ponderazione dei contrapposti interessi: che, in particolare, sia dato nella fattispecie di ravvisare una prevalenza dei diritti fondamentali della persona rispetto alla libertà dell’informazione, riguardante il fatto occorso, che sia tale da giustificare un provvedimento di tale contenuto. Non è superfluo ricordare, al riguardo, che, in base alla Raccomandazione CM/Rec(2012)3 del Comitato dei Ministri del Consiglio d’Europa agli Stati membri sulla protezione dei diritti umani in relazione ai motori di ricerca, un prerequisito per l’esistenza di motori di ricerca efficaci è la libertà di scansionare e indicizzare le informazioni disponibili su internet: è ivi rammentato che il filtraggio e il blocco dei contenuti di internet da parte dei fornitori di motori di ricerca comporta infatti il rischio di violazione della libertà di espressione garantita dall’art. 10 della CEDU per quanto riguarda i diritti dei fornitori e degli utenti di distribuire e accedere alle informazioni.

3.7. – Nella sentenza impugnata il Tribunale ha osservato, che la misura adottata dal Garante risultava essere conforme ai principi ispiratori del reg. (UE) 2016/679, il quale prevede il diritto a una cancellazione estesa dei dati personali oggetto del trattamento. Con ciò è stata postulata una sorta di automatismo tra deindicizzazione a partire dal nome e cancellazione del dato (nel caso presente nelle copie cache).

In realtà, il regolamento del 2016 è pacificamente inapplicabile alla presente controversia.

Sono stati inoltre avanzati dei dubbi, in dottrina, circa la portata innovativa della disciplina sulla cancellazione introdotta dall’art. 17 del regolamento, il quale – si è osservato – replicherebbe, con alcune puntualizzazioni, i contorni di un diritto alla cancellazione dei dati personali che era presente anche nella dir. 95/46/CE: il richiamo è alla disciplina dell’art. 12, lett. b), di tale direttiva, il quale contempla il diritto ad ottenere dal responsabile del trattamento la rettifica, la cancellazione o il congelamento dei dati il cui trattamento non risulti essere conforme alle disposizioni della direttiva medesima.

In ogni caso, poi, il diritto dell’interessato di ottenere dal titolare del trattamento la cancellazione dei dati personali non opera, a norma dell’art. 17.3, lett. a), nella misura in cui il trattamento sia necessario per l’esercizio del diritto alla libertà di espressione e di informazione; è quindi confermato che anche nella vigenza del regolamento 2016/679 opera quell’esigenza di bilanciamento di cui si è detto: circostanza, questa, che la Corte di giustizia, come in precedenza accennato, non ha mancato di sottolineare (Corte giust. UE, G.C. e altri, cit., 66 e 75; un preciso riferimento all’art. 17 è contenuto nel par. 59).

3.8. – A fronte della richiesta di cancellazione delle copie cache rimane dunque centrale l’esigenza di ponderare gli interessi contrapposti. Ma il bilanciamento da compiersi non coincide, in questo caso, con quello operante ai fini della deindicizzazione, giacché l’eventuale sacrificio del diritto all’informazione non ha ad oggetto una notizia raggiungibile attraverso una ricerca condotta a partire del nome della persona, in funzione del richiamato diritto di questa a non essere trovata facilmente sulla rete, quanto la notizia in sé considerata, siccome raggiungibile attraverso ogni diversa chiave di ricerca. Il diritto all’informazione e’, cioè, sempre collegato all’attività del motore di ricerca di cui si avvale l’utente, ma in funzione della residua capacità di questo di indirizzare all’informazione attraverso distinte e ulteriori modalità di interrogazione. Come è evidente, nella misura in cui, attraverso l’ordine di cancellazione delle copie cache, si esclude o si rende più difficoltoso il reperimento, da parte del motore di ricerca, della notizia attraverso l’uso di parole chiave, si delinea la necessità di una ponderazione che tenga conto non più dell’interesse a che il nome della persona sia dissociato dal motore di ricerca dall’informazione di cui trattasi, ma dell’interesse a che quella informazione non sia rinvenuta attraverso un qualsiasi diverso criterio di interrogazione.

La circostanza, rimarcata dal pubblico ministero nelle conclusioni da ultimo rassegnate D.L. n. 137 del 2020, ex art. 23, comma 8 bis, convertito dalla L. n. 176 del 2020 (pagg. 9 s.), per cui il mantenimento delle copie cache permette, in via di principio, “la perpetuazione – ancorché in modo più evanescente dal punto di vista informatico – del reperimento della stessa notizia e di quel dato che l’interessato ha chiesto di eliminare, dunque consente il mantenimento di una “memoria” del dato nonostante lo scorrere del tempo” non basta, da sola, a dar ragione della misura adottata, giacché, a mente di quanto sopra rilevato, occorre verificare preventivamente se esista un interesse pubblico alla diffusione e acquisizione della notizia.

Ora, il giudizio del Tribunale appare calibrato sulla vicenda personale dell’odierno controricorrente. Tenuto conto che nel caso in esame venivano in questione articoli giornalistici e ulteriori contenuti riguardanti la vicenda “(OMISSIS)”, era necessario non solo prendere in considerazione i dati personali di D.B. e verificare l’interesse a conoscere atti di indagine relativi allo stesso (cfr. sentenza impugnata, pag. 12), ma, in senso più ampio, l’interesse a continuare ad essere informati sulla vicenda di cronaca nel suo complesso, per come accessibile attraverso l’attività del motore di ricerca.

3.9. – Deve pertanto concludersi nel senso che la cancellazione delle copie cache relative a una informazione accessibile attraverso il motore di ricerca, in quanto incidente sulla capacità, da parte del detto motore di ricerca, di fornire una risposta all’interrogazione posta dall’utente attraverso una o più parole chiave, non consegue alla constatazione della sussistenza delle condizioni per la deindicizzazione del dato a partire dal nome della persona, ma esige una ponderazione del diritto all’oblio dell’interessato col diritto avente ad oggetto la diffusione e l’acquisizione dell’informazione, relativa al fatto nel suo complesso, attraverso parole chiave anche diverse dal nome della persona.

4. – In accoglimento della seconda censura del quinto motivo la sentenza va dunque cassata.

La causa è rinviata al Tribunale di Milano, in diversa composizione, che dovrà fare applicazione dell’indicato principio. Al giudice del rinvio è demandata la decisione circa le spese del giudizio di legittimità.

A norma del D.Lgs. n. 196 del 2003, art. 52, comma 2, si dispone che, in caso di riproduzione della sentenza in qualsiasi forma, non sia fatta menzione delle generalità e degli altri dati identificativi del controricorrente.

P.Q.M.

La Corte;

accoglie, nei sensi di cui in motivazione, il quinto motivo di ricorso e rigetta gli altri; cassa la sentenza impugnata in relazione alla censura accolta e rinvia la causa al Tribunale di Milano, in diversa composizione, anche per le spese del giudizio di legittimità; dispone che, in caso di diffusione della sentenza in qualsiasi forma, non sia fatta menzione delle generalità e degli altri dati identificativi del controricorrente.

Così deciso in Roma, nella Camera di consiglio della Sezione Prima Civile, il 1 dicembre 2021.

Depositato in Cancelleria il 8 febbraio 2022