Interpretazione o manipolazione? La Corte di giustizia definisce un nuovo diritto alla privacy digitale

Transcript

1 F O C U S T M T 24 N O V E M B R E 2014 Interpretazione o manipolazione? La Corte di giustizia definisce un nuovo diritto alla privacy digitale di Oreste Pollicino Professore associato di Diritto pubblico comparato Università Bocconi di Milano

2 Interpretazione o manipolazione? La Corte di giustizia definisce un nuovo diritto alla privacy digitale * di Oreste Pollicino Professore associato di Diritto pubblico comparato Università Bocconi di Milano Sommario: 1. Introduzione. Le nuove frontiere interpretative della Corte di giustizia. 2. Un parametro di giudizio composito. 3. Il caso Digital Ireland. 4. Il caso Google Spain. 5. Conclusioni. 1. Introduzione. Le nuove frontiere interpretative della Corte di giustizia «As legislative inertia and European democratic failings are good reasons for judicial activism, by contrast, when democracy advances and politics assert its claims, judges are bound to take a step back» 1. Si scriveva cosi dieci anni fa, a proposito di un ambito di esperienza (apparentemente) distante da quello della tutela dei diritti fondamentali nell era digitale. Ma, né il tempo, né la distanza tematica sembrano in grado di far venir meno l assunto di base che caratterizza, tra l altro, portata e limiti dell attitudine creativa della Corte di giustizia in grado di elaborare, come è stato acutamente osservato, «a constitutional doctrine by a common law method» 2. Tutte le volte in cui gli stati membri dimostrano di non voler progredire nel percorso di arricchimento dell acquis comunitario per via legislativa, ecco * Articolo sottoposto a referaggio. Esso costituisce il testo rielaborato della relazione tenuta in occasione del convegno Governance di Internet ed efficienza delle regole: verso il nuovo regolamento europeo sulla privacy, 13 Novembre, 2014, Roma. Il testo riprende solo parzialmente, ampliandoli, contestualizzandoli e riaggiornandoli, alcuni spunti presenti in Il ruolo degli articoli 7 e 8 della Carta di Nizza nella decisione Google Spain, in Diritto dell informazione e dell informatica, numero monografico, curato da G. RESTA e V. ZENO ZENCOVICH, dedicato alla decisione appena richiamata, con contributi di G. CAGGIANO, C. COMELLA, R. FLOR, G. FINOCCHIARO, A. MANTELERO, F. PIZZETTI, G.M. RICCIO, G. SARTOR, S. SICA, nonché in La Corte di giustizia a piedi uniti, in corso di pubblicazione in Giurisprudenza costituzionale. 1 O. POLLICINO, Legal reasoning of the Court of Justice in the Context of Principle of Equality Between Judicial Activism and self-restraint, in German Law Journal, 2004, 283 ss. 2 R. POSNER, Law and Legal Theory in England and America, Oxford federalismi.it focus TMT n. 3/2014

3 che la Corte di giustizia indossa, con una certa disinvoltura, va detto, i panni del judge made law e accelera per via giurisprudenziale. Non sembra qualcosa di assai dissimile sia accaduto rispetto alle ultime evoluzioni relative ai meccanismi di protezione dei dati personali presenti nell ordinamento comunitario. Oramai da anni, a livello intergovernativo, si era deciso che fosse necessario uno scatto in avanti riguardo il livello di tutela della privacy europea, e che fosse indispensabile un atto di portata generale immediatamente vincolante ed obbligatorio in tutti i suoi elementi che portasse ad una maggiore uniformazione del dato normativo degli stati membri e che adeguasse i meccanismi di protezione dei dati al contesto digitale che, ovviamente, non era l ambito elettivo di riferimento quando si è adottata la direttiva del 46/95. Ciò nonostante, il destino del regolamento generale a protezione dei dati personali, la cui approvazione, non a caso, ha subito un accelerazione a seguito dell intervento, a piedi uniti, della Corte di giustizia nelle due decisioni che qui si commentano, sembrava vincolato al superamento di veti incrociati di difficile risoluzione. Una situazione di stagnazione cui i giudici comunitari rispondono in maniera decisa, con le due decisioni tra aprile e maggi del 2014, in cui sembra emergere la chiara volontà, da parte degli stessi giudici, di prendere molto (forse troppo?) sul serio la protezione di un nuovo digital right to privacy. Un tentativo, in altre parole, da parte della Corte di giustizia, di adeguare, a legislazione invariata, alle caratteristiche tecniche del mondo dei bit quel Right to Privacy che Warren e Brandeis, per primi, nel 1890, avevano teorizzato sulla Harvard Law Review, pensando, ovviamente, ad un mondo di atomi. Un diritto alla privacy digitale che, seppure mai esplicitamente, i giudici di Lussemburgo enucleano fondandolo sulle due colonne portanti costituite dai diritti al rispetto della vita privata ed al trattamento dei propri dati personali, previsti, rispettivamente, dagli artt. 7 3 ed 8 4 della Carta dei diritti fondamentali dell Unione europea. 5 3 Ai sensi dell art. 7: «Ogni persona ha diritto al rispetto della propria vita privata e familiare, del proprio domicilio e delle proprie comunicazioni». 4 Ai sensi dell art. 8: «1. Ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano. 2. Tali dati devono essere trattati secondo il principio di lealtà, per finalità determinate e in base al consenso della persona interessata o a un altro fondamento legittimo previsto dalla legge. Ogni persona ha il diritto di accedere ai dati raccolti che la riguardano e di ottenerne la rettifica. Il rispetto di tali regole è soggetto al controllo di un'autorità indipendente». 5 Corte di giustizia dell Unione europea, 8 aprile 2014, cause riunite C-293/12 e C-594/12, Digital Right Ireland e Seitlinger e a., 13 maggio 2014, C-131/12, Google Spain SL e Google Inc. c. Agencia Española de Protectión de Datos (AEPD) e Mario Costeja Conzález. 3 federalismi.it focus TMT n. 3/2014

4 Nella prima pronuncia i giudici di Lussemburgo hanno annullato, perché in contrasto con alcune previsioni della Carta dei diritti fondamentali dell Unione europea, la direttiva del in materia di conservazione dati (c.d. data retention) 7, nella seconda hanno invece posto a carico dei motori di ricerca l obbligo, a certe condizioni, di rimuovere, su espressa richiesta del ricorrente, link a pagine Internet contenenti informazioni in grado di poter ledere il cd. diritto all oblio 8 del soggetto i cui dati personali, e spesso sensibili, permangono per un periodo significativo in rete. In entrambe le decisioni in esame il terreno di gioco è quello caratterizzato dai processi di deterritorializzazione, destatualizzazione e dematerializzazione che costituiscono, forse, il portato più immediato e, paradossalmente, più tangibile della rivoluzione digitale 9. E, in entrambe le pronunce, la prospettiva privilegiata attraverso cui la Corte di Lussemburgo esplora tale terreno è 6 Direttiva 2006/24/CE del Parlamento e del Consiglio del 15 marzo 2006 riguardante la conservazione di dati generate o trattati nell ambito della fornitura di servizi di comunicazione elettronica accessibili al pubblico o di reti pubbliche di comunicazione e che modifica la direttiva 2002/58/CE 7 Per una ricostruzione della vicenda v. F. BOEHM, M. D. COLE, Data retention after the Judgement of the Court of Juistice of the European Union, studio supportato da Greens/EFA all interno del Parlamento europeo, giugno 2014, reperibile in A. VEDASCHI, V. LUBELLO, Data retention and its implications for the fundamental right to privacy: a European perspective, in Tilburg Law Review, in corso di pubblicazione; F. FABBRINI, The European Court of Justice Ruling in the Data Retention Case and its Lessons for Privacy and Surveillance in the U.S., 28 Harvard Human Right Journal (2015) in corso di pubblicazione; J. RAUHOFER, D. M. SITHIGH, The Data Retention Directive Never Existed, in 11:1 SCRIPTed, 2014, reperibile all url I. PELIN-RADUCUM, Deferential Dialogues between the Court of Justice and domestic courts regarding the compatibility of the EU Data Retention Directive with (Higer?) National Fundamental Rights Standards, Law Working Paper Series, University of Luxemburg, No , reperibile in papers.ssrn.com.; F. BOEHM, D. COLE, Data Retention after the Judgment of the Court of Justice of the European Union, The Greens, European Free Alliance in the European Parliament, 30 giugno 2014, reperibile in 8 Per alcune osservazioni critiche sulla decisione in esame si v. T.E. FROSINI, Diritto all oblio e Internet e F. PIZZETTI, La decisione della Corte di giustizia sul caso Google Spain: più problemi che soluzioni, entrambi in focus comunicazioni, nuove tecnologie e media, 10 giugno Si vv. anche i commenti a caldo di O. POLLICINO, M. BASSINI, Reconciling Right to Be Forgotten and Freedom of Information: Past and Future of Personal Data Protection in Europe, in Diritto pubblico comparato ed europeo, 2014, 641 ss.; C. BLENGINO, La Corte di giustizia e i motori di ricerca: una sentenza sbagliata, in 19 maggio 2014; G. CORRIAS LUCENTE, Ancora su Google e il diritto all oblio, in 24 giugno 2014; M. BASSINI, Google e diritto all oblio: cosa accade ora?, in ID., Il diritto all oblio ai tempi di Internet: la Corte di giustizia sui motori di ricerca, in, in Quad. cost., 2014, 3, 730 ss.. V. da ultimo, a seguito dell adozione da parte della Commissione Ue di alcune brevi linee guida, v. M. CASTELLANETA, Diritto all oblio: la Commissione Ue prova a chiarire il contenuto della sentenza Google, in 20 settembre Per tematiche strettamente connesse, ancorché non del tutto sovrapponibili al c.d. diritto all oblio, può essere utile rimandare a quanto esposto con riferimento al caso Google vs. Vivi Down in E. APA, O. POLLICINO, Modeling the Liability of Internet Service Providers: Google vs. Vivi Down, Milano, 2013 nonché, con riferimento alla sola sentenza di primo grado, O. POLLICINO, G. CAMERA, La legge è uguale anche sul web, Milano, Su quest ultimo aspetto v. altresì A. MANNA, La prima affermazione, a livello giurisprudenziale, della responsabilità penale dell internet provider: spunti di riflessione tra diritto e tecnica, in questa Rivista, 2010, 1856 s. 9 Si v. G. PASCUZZI, Il diritto dell'era digitale, Bologna, 2002, 185 ss. 4 federalismi.it focus TMT n. 3/2014

5 quella relativa all impatto del fattore tecnologico 10 sul livello di protezione dei diritti fondamentali in gioco, in cui la partita si gioca sull an e sul quomodo la previsione delle possibili limitazioni che questi ultimi possono subire attraverso le nuove modalità di sorveglianza ed indicizzazione fornite dallo sviluppo della tecnologia digitale. Il riferimento, appena fatto, ai processi di sorveglianza e indicizzazione fa subito emergere un terzo profilo di comunanza tra le due decisioni che consiglia un commento unitario. In questa sede, dopo un sintetico riferimento al portato degli artt. 7 e 8 della Carta e all interpretazione che a quest ultimi è stata data in una prima fase della giurisprudenza rilevante della Corte di Lussemburgo antecedente alle due decisioni oggetto di analisi, si concentrerà sul reasoning di tali pronunce, facendo emergere, in particolare, il ruolo giocato dalle disposizioni della Carta appena citate nel processo argomentativo e nel portato finali delle decisioni. Le riflessioni conclusive si appunteranno invece sulle conseguenze che sembrano discendere, nei termini di un abbassamento del livello di protezione di alcuni diritti in gioco, dalle operazioni di bilanciamento operate dalla Corte di giustizia quando il campo di gioco rilevante muta dal contesto analogico a quello digitale 2. Un parametro di giudizio composito Se si volesse identificare quale, tra la disposizioni previste dagli artt. 7 e 8, sia dotata di maggiore portato innovativo, non vi sarebbero dubbi nell indicare, a questo proposito, la previsione di un diritto al dato personale sancita dall art Nonostante, infatti, il tentativo da parte delle Spiegazioni allegate alla Carta 12 di restringerne la portata a una mera riproposizione dell acquis esistente 13, in realtà, il margine di innovazione dell art. 8 è piuttosto significativo. E non consiste 10 P. COSTANZO, Il fattore tecnologico e le sue conseguenze, relazione al Convegno annuale AIC, Costituzionalismo e Globalizzazione, Salerno, novembre 2012, reperibile in 11 Il che è peraltro confermato dalle Spiegazioni all articolo 7 in cui si legge che «I diritti di cui all'articolo 7 corrispondono a quelli garantiti dall'articolo 8 della CEDU. Per tener conto dell'evoluzione tecnica, il termine comunicazioni è stato sostituito a corrispondenza. Conformemente all'articolo 52, paragrafo 3, il significato e la portata di questi diritti sono identici a quelli del corrispondente articolo della CEDU. Le limitazioni che vi possono legittimamente essere apportate sono pertanto quelle autorizzate ai sensi del suddetto articolo 8». 12 V. le Spiegazioni relative alla Carta dei diritti fondamentali, 2007/C 303/02, in GUUE, C 303/17 del 14/12/ Ai sensi delle Spiegazioni: «Questo articolo si fonda sull'articolo 286 del trattato che istituisce la Comunità europea, sulla direttiva 95/46/CE del Parlamento europeo e del Consiglio relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali nonché alla libera circolazione di tali dati (GU L 281 del ), nonché sull'articolo 8 della CEDU e sulla convenzione del Consiglio d'europa sulla protezione delle persone rispetto al trattamento automatizzato di dati di carattere personale 5 federalismi.it focus TMT n. 3/2014

6 soltanto nel costituzionalizzare il diritto alla protezione dei dati personali, ma anche, e forse specialmente, nell emancipare definitivamente quest ultimo da quella connessione alla dimensione economica propria del consolidamento del mercato interno che invece caratterizzava, almeno ab origine, il portato normativo della direttiva 95/ È vero, a partire dall entrata in vigore del Trattato di Lisbona che, come è notissimo, è coinciso con l attribuzione di un carattere vincolante alla Carta di Nizza, tale tutela para-costituzionale del diritto alla protezione dei dati personali è condivisa anche dal primo comma dell art. 16 TFUE 15, ma non può non essere sottolineato come un ruolo pioneristico a questo riguardo, sin dal 2001, sia stato giocato proprio dall art. 8 della Carta 16 che, tra l altro, costituzionalizza anche, unica tra le autorità indipendenti, il ruolo del Garante per la protezione dei dati personali. Nella giurisprudenza precedente della Corte di giustizia al terribile uno/due di Lussemburgo costituito dalle decisioni in tema di data retention e diritto all oblio, può identificarsi una duplice caratterizzazione con riguardo all oggetto di questa indagine. Da una parte, la giurisprudenza rilevante si caratterizza per un approccio per cosi dire omnicomprensivo alla protezione della privacy che si concretizza, a sua volta, in un riferimento spesso cumulativo agli artt. 7 e 8 della Carta, senza fare emergere con chiarezza l autonomia concettuale del diritto alla protezione dei dati personali rispetto al classico diritto al rispetto della vita privata. Dall altra parte, quando è emerso il tema delle limitazioni consentite ai diritti previsti del 28 gennaio 1981, ratificata da tutti gli Stati membri. Il diritto alla protezione dei dati personali si esercita alle condizioni previste dalla suddetta direttiva e può essere limitato alle condizioni previste dall'articolo 53 della Carta». Come però è stato recentemente osservato, i redattori della Carta non sono riusciti nell intento di attribuire una giustificazione esauriente alla codificazione, ai sensi dell art. 8 della stessa, di un vero e proprio diritto fondamentale alla protezione dei dati, il che ha aperto le porte ad una serie di speculazioni sul punto, non sempre tutti convincenti, da parte della dottrina. V. ORLA LYNSKEY, Deconstructing Data Protection: The Added-value of a Right to Data Protection in The EU Legal Order, in 63 International and Comparative Law Quarterly 569 (2014), Come è tra le altre cose confermato, inter alia, in primo luogo, dalla circostanza, di per sé cruciale, che la base giuridica identificata per l adozione della direttiva è stata l ex art. 100 A, introdotto con l Atto Unico Europeo e poi divenuto art 95 TCE, che è per l appunto il fondamento di tutti gli atti dell UE che hanno per oggetto l armonizzazione delle misure nazionali relativi all instaurazione ed al funzionamento del mercato interno. In secondo luogo da quanto si legge nel terzo considerando della direttiva, ai sensi del quale, «l'instaurazione e il funzionamento del mercato interno, nel quale, conformemente all'articolo 7 A del Trattato, è assicurata la libera circolazione delle merci, delle persone, dei servizi e dei capitali, esigono non solo che i dati personali possano circolare liberamente da uno Stato membro all'altro, ma che siano altresì salvaguardati i diritti fondamentali della persona». 15 Ai sensi del quale «ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano». 16 Ruolo pioneristico che non è limitato, peraltro, al settore della legislazione comunitaria rilevante, visto che il primo riconoscimento giurisprudenziale di un diritto alla protezione dati è successivo al periodo della redazione della Carta e fa fatto risalire alla decisione della Corte di giustizia nel caso Promusicae c. Telefónica de España SAU, C-275/06 del 29 gennaio federalismi.it focus TMT n. 3/2014

7 dagli artt. 7 e 8 e, in particolare, dunque, in riferimento all applicazione dell art della Carta, i giudici comunitari non avevano mai distinto, fino alle decisioni di questi ultimi mesi, i due profili presenti nella previsione ora richiamata: da un lato, quello relativo all applicazione del principio di proporzionalità, dall altro lato quello riguardante la violazione del contenuto essenziale dei diritti in gioco. Con riguardo, in particolare, alla prima delle due attitudini appena descritte, un esempio abbastanza emblematico può essere rintracciato nella sentenza Shelcke del 2010, 18 in cui i giudici comunitari testualmente affermano che «si deve ritenere, da un lato, che il rispetto del diritto alla vita privata con riguardo al trattamento dei dati personali, riconosciuto dagli artt. 7 e 8 della Carta, sia riferito ad ogni informazione relativa ad una persona fisica identificata o identificabile [ ] e, dall altro, che le limitazioni che possono essere legittimamente apportate al diritto alla protezione dei dati personali corrispondano a quelle tollerate nell ambito dell art. 8 della CEDU (par. 52)». A ben vedere, lo stesso riferimento, nella decisione per ultimo richiamata, all art. 8 della CEDU fa emergere come il diritto alla protezione dati sia considerato semplicemente quale una appendice accessoria rispetto al diritto al rispetto alla vita privata previsto dall art. 7 della Carta e, in particolare, esso sia inteso quale diritto alla predeterminazione informativa che non può non rievocare l Informationelle Selbsbestimmung di matrice tedesca. 19 Il che, però, non sembra del tutto corrispondere alle intenzioni dei redattori della Carta di Nizza. Mentre, infatti, come è noto, il concetto di predeterminazione informativa ruota intorno al meccanismo di richiesta di consenso al trattamento, quando si è concepita la formulazione dell art. 8, si è voluto emancipare, almeno in alcuni casi, il trattamento dei dati dal consenso iniziale dell avente diritto. 20 Come infatti è stato acutamente rilevato, l art. 8 riflette un acquis 17 Ai sensi del quale «Eventuali limitazioni all esercizio dei diritti e delle libertà riconosciuti dalla presente Carta devono essere previste dalla legge e rispettare il contenuto essenziale di detti diritti e libertà. Nel rispetto del principio di proporzionalità, possono essere apportate limitazioni solo laddove siano necessarie e rispondano effettivamente a finalità di interesse generale riconosciute dall Unione o all esigenza di proteggere i diritti e le libertà altrui». 18 Corte di giustizia dell Unione europea, 9 novembre 2010, cause riunite C-92/09 e C-93/09, Volker and Markus Schelke, par. 52. Altro passaggio che testimonia l attitudine della Corte di giustizia ad una piuttosto indifferenziata lettura degli artt. 7 ed 8 è quello in cui, nella pronuncia appena richiamata si legge espressamente che gli articoli 7 e 8 della Carta sono strettamente legati al punto da poter essere considerati come integranti un «diritto alla vita privata con riguardo al trattamento dei dati personali» (par.52). 19 Come è noto formulata per la prima volta nel 1984 dal BVerfG nel caso Volkszählung (Microcensus). 20 Come è chiaro dal riferimento che le Spiegazioni fanno (anche) alla Convenzione n. 108 del 1981 del Consiglio d Europa che non fa del consenso dell avente diritto un principio fondante. 7 federalismi.it focus TMT n. 3/2014

8 comunitario in materia di protezione dati che «looks beyond consent only and create a system of checks and balances which ensures lawful processing also without asking the consent of the person involved» Il caso Digital Ireland Ebbene, in ordine cronologico, è in primo luogo nella decisione in materia di data retention che i giudici comunitari, innovando rispetto alla giurisprudenza precedente, da una parte sembrano più inclini a considerare la rilevanza autonoma dei due diritti previsti dagli artt. 7 e 8 della Carta 22, e dall altra parte, fanno emergere una distinzione piuttosto netta tra, per un verso, il profilo connesso alla violazione, da parte dell atto di diritto derivato oggetto d esame, del contenuto essenziale di tali diritti 23 e, per altro verso, quello relativo all accertamento della proporzionalità delle misure identificate dalla stessa direttiva per realizzare gli obiettivi previsti di tutela dell ordine pubblico e lotta contro il terrorismo. Misure, quest ultime, invece considerate dalla Corte di Lussemburgo eccessivamente intrusive nei confronti dei diritti al rispetto alla vita privata e alla protezione dei dati personali. Prima di guardare nello specifico ai due profili considerati, è importante sottolineare il nucleo duro di rilevanza costituzionale che caratterizza il caso in esame e che viene magistralmente catturato nelle parole dell Avvocato generale Cruz Villalón, allorchè quest ultimo osservava che «nelle cause in esame la Corte è adita due volte 24 in via pregiudiziale di una questione vertente 21 H. KRANENBORG, Article 8, in S. PEERS, T. HARVEY, J. KENNER, A. WARD (a cura di), The EU Charter of Fundamental Rights : a Commentary, Oxford-Portland, Oregon, 2014, 224 s., spec Anche se emerge ancora la tendenza ad una tutela indifferenziata, laddove, nella sentenza Google Spain, al par. 53, testualmente si dice che occorre ricordare che la tutela dei dati personali, risultante dall obbligo esplicito previsto all articolo 8, paragrafo 1, della Carta, riveste un importanza particolare per il diritto al rispetto della vita provata sancito dall articolo 7 della stessa. 23 Chiarissimi, in questo senso, i parr. 39 e 40 della pronuncia, in cui si legge che «per quanto riguarda il contenuto essenziale del diritto fondamentale al rispetto della vita privata e degli altri diritti sanciti all articolo 7 della Carta, si deve rilevare che, sebbene la conservazione dei dati imposta dalla direttiva 2006/24 costituisca un ingerenza particolarmente grave in tali diritti, essa non è tale da pregiudicare il suddetto contenuto poiché, come deriva dall articolo 1, paragrafo 2, della stessa direttiva, quest ultima non permette di venire a conoscenza del contenuto delle comunicazioni elettroniche in quanto tale. Tale conservazione dei dati non è neppure idonea a pregiudicare il contenuto essenziale del diritto fondamentale alla protezione dei dati personali, sancito all articolo 8 della Carta, considerato che la direttiva 2006/24 prevede, all articolo 7, una regola relativa alla protezione e alla sicurezza dei dati ai sensi della quale, fatte salve le disposizioni adottate in conformità delle direttive 95/46 e 2002/58, i fornitori di servizi di comunicazione elettronica accessibili al pubblico o di una rete pubblica di comunicazione sono tenuti a rispettare taluni principi di protezione e di sicurezza dei dati, principi in base ai quali gli Stati membri assicurano l adozione di adeguate misure tecniche e organizzative contro la distruzione accidentale o illecita, la perdita o l alterazione accidentale dei dati». 24 In particolare, la prima questione pregiudiziale è posta dalla High Court irlandese che si chiedeva se la disciplina prevista dalla direttiva, fosse compatibile con il principio di proporzionalità, previsto dall art. 52, par 1 della Carta e non si ponesse in contrasto con il diritto al rispetto della vita privata, il diritto alla 8 federalismi.it focus TMT n. 3/2014

9 sulla validità della direttiva 2006/24/CE, che le offre l occasione di pronunciarsi sulle condizioni alle quali è costituzionalmente possibile per l Unione europea prevedere una limitazione all esercizio dei diritti fondamentali nel senso particolare di cui all articolo 52, paragrafo 1, della Carta dei diritti fondamentali dell Unione europea, mediante una direttiva e i relativi provvedimenti nazionali di recepimento» 25. E i giudici di Lussemburgo non si lasciano sfuggire la ghiotta occasione e decidono, prima volta nella storia del processo di integrazione europea, di annullare, come si anticipava, un atto di diritto derivato dell Unione perché in contrasto con il bill of rights europeo, quella Carta dei diritti fondamentali che è, nel caso di specie, utilizzata (anche, ma non solo, come si dirà in conclusione) quale parametro di costituzionalità da parte di una Corte che, non potendo abiurare al suo DNA internazionalistico, con il tempo integrato con un iniezione di una dose massiccia di sovranazionalità, mette ciononostante in bella evidenza la sua mal celata vocazione di giudice para-costituzionale e quindi di custode della legalità, per l appunto costituzionale, in Europa. A guardar bene, non è un caso che un capitolo storico della giurisprudenza di matrice costituzionale della Corte di giustizia sia stato scritto in riferimento a una disciplina sostanziale come quella prevista della direttiva 2006/24, che già una volta aveva evitato le mannaie della Corte stessa, perché il petitum, in quel caso, si appuntava sulla pretesa erroneità della base giuridica e non sul profilo relativo alla non sufficiente tutela dei diritti fondamentali in gioco 26. Una disciplina, quella prevista dalla direttiva in questione che, se è vero che ha la sua discendenza diretta in quel securization ethos che fu reazione immediata attacchi dell 11 settembre 2001, trova le protezione dei dati di carattere personale, il diritto alla libertà di espressione ed il diritto alla buona amministrazione, rispettivamente previsti dagli articoli 7, 8 e 11 della Carta. In secondo luogo è stato il giudice delle leggi austriaco, sollecitato dai ricorsi diretti di costituzionalità di privati (a cui va aggiunto quello del governo della Carinzia) in cui si chiedeva l annullamento della legge interna di recepimento della Direttiva, a porre un quesito in pregiudiziale chiedendosi se le modalità di raccolta di dati prevista dalla direttiva fosse compatibile con il diritto al rispetto della vita privata, con il diritto alla protezione dei dati personali e con il diritto alla libertà di espressione tutelati dalla Carta dei diritti fondamentali. Inoltre, la stessa Corte costituzionale austriaca ha domandato alcuni chiarimenti in merito all applicazione dell art. 52, par. 1 della Carta dei diritti e, in particolare, ha chiesto alla Corte del Lussemburgo di verificare se il quadro normativo europeo rispettasse il contenuto essenziale del diritto alla protezione dei dati personali e se la conservazione dei dati fosse compatibile con le tradizioni costituzionali comuni e con l art. 8 della Convenzione europea. 25 Conclusioni dell Avvocato Generale Cruz Villalòn, 12 dicembre 2013, C-293/12, cit. 26 Si v. Corte di giustizia dell Unione europea, C-301/06, Irlanda c. Parlamento e Consiglio, 10 febbraio A tal proposito, si deve ricordare che, nella decisione appena citata, la Corte era stata investita di un ricorso diretto d annullamento della direttiva 2006/24 nell ambito del quale era stato sostenuto unicamente che essa fosse basata su un fondamento normativo errato. Di conseguenza la Corte, ha espressamente indicato, al p.to 57 della sentenza, che «il ricorso proposto dall Irlanda verte[va] unicamente sulla scelta del fondamento normativo e non già su un eventuale violazione dei diritti fondamentali derivanti dalle ingerenze nell esercizio del diritto al rispetto della vita privata, che la direttiva 2006/24». 9 federalismi.it focus TMT n. 3/2014

10 sue radici originarie in quel progressivo emergere, nell ordinamento dell Unione, delle ragioni attinenti alla tutela della sicurezza europea. Emersione, quest ultima, che è si è affermata, in un primo tempo, quale esigenza funzionale alla migliore realizzazione delle quattro libertà fondamentali e poi, a partire dal Trattato di Maastricht, quale telos autonomo dell'unione europea. Una disciplina, quella oggetto di esame da parte della Corte che, imbevuta della logica del controllo preventivo e del sospetto diffuso 27, deroga, come ricorda lo stesso Avvocato Generale nelle sue Conclusioni 28, al regime di tutela del diritto al rispetto della vita privata, istituito dalle direttive 95/46 e 2002/58, con riferimento al trattamento dei dati personali nel settore delle comunicazioni elettroniche. Se infatti le suddette direttive hanno previsto la riservatezza delle comunicazioni e dei dati relativi al traffico nonché l obbligo di cancellare o di rendere anonimi i dati stessi quando non siano più necessari alla trasmissione di una comunicazione, salvo che per esigenze di fatturazione e solo fintanto che tali esigenze perdurino, la direttiva del dispone, derogando, per l appunto, al principio generale appena esposto, che gli Stati membri prevedano, «for the purposes of the investigation, detection and prosecution of serious crime» 30 un obbligo di conservazione dei dati stessi per un periodo non inferiore a sei mesi e non superiore a due anni. Il punto non è passato inosservato alle Corti costituzionali e supreme 31 degli Stati membri che dovevano valutare la conformità delle normative nazionali di recepimento e che, a partire dal 2008, hanno sollevato delle obiezioni relative alla non sufficiente tutela, da parte della disciplina 27 La stessa Corte di giustizia si sofferma su questo aspetto al p.to 37 del reasoning sottolineando come «il fatto che la conservazione dei dati e l utilizzo ulteriore degli stessi siano effettuati senza che l abbonato o l utente registrato ne siano informati può ingenerare nelle persone interessate, come rilevato dall avvocato generale ai paragrafi 52 e 72 delle sue conclusioni, la sensazione che la loro vita privata sia oggetto di costante sorveglianza». 28 Si vv. i p.ti 39 e 40 delle Conclusioni dell Avvocato Generale, C-293/12, cit. 29 La natura ambivalente della direttiva che da una parte armonizza, dall altra stabilisce, non p sfuggita all Avvocato generale che al p.to 46 ha notato come «la direttiva 2006/24 si caratterizza per la sua duplice funzione. Si tratta, da una parte, di una classica direttiva che mira ad armonizzare le legislazioni nazionali divergenti o che possono diventare tali, adottata nell interesse del funzionamento del mercato interno e precisamente concepita per tale scopo, come ha stabilito la Corte nella sentenza Irlanda/Parlamento e Consiglio. Dall altra, essa è altresì una direttiva che, anche nella sua funzione armonizzatrice, cerca di stabilire, se del caso, obblighi, in particolare di conservazione dei dati, che integrano, come mostrerò nel prosieguo, gravi ingerenze nel godimento dei diritti fondamentali garantiti ai cittadini europei dalla Carta, soprattutto del diritto al rispetto della vita privata e del diritto alla protezione dei dati personali». 30 Cfr. Art. 1, dir. 2006/24/CE. 31 Cfr. Corte suprema amministrativa bulgara, 11 dicembre 2008, n , reperibile in Corte suprema cipriota, 1 febbraio 2010, ric. n. 65/2009, 78/2009, 82/2009 e 15/ /2010, reperibile in Corte costituzionale rumena, n. 1258, 8 ottobre 2009, reperibile in Corte costituzionale tedesca, 2 marzo 2010, 1 BvR 256/08, reperibile in commentata da A. DI MARTINO, Il Bundesverfassungsgericht dichiara l incostituzionalità della data retention sul rapporto tra libertà e sicurezza, in Giurisprudenza costituzionale, 2010, 5149 ss.; Corte costituzionale ceca, 22 marzo 2011, PI US 24/2010, reperibile in 10 federalismi.it focus TMT n. 3/2014

11 appena ricordata, dei diritti di privacy e di protezione dati, identificando quale diretto bersaglio, la legislazione nazionale di recepimento e, indirettamente, ma allo stesso tempo evidentemente, la direttiva europea in materia di data retention. A riguardo, particolare menzione va fatta per i casi pendenti di fronte alle corti slovacca e slovena. La prima, infatti, a seguito della sentenza della Corte di giustizia, ha preferito in pendenza di un giudizio di legittimità riguardante la legge di recepimento sospendere l efficacia delle norme di attuazione della direttiva stessa. Anticipando in tal modo gli effetti della sua stessa decisione sul punto. Diverso è invece il caso della Slovenia, la cui Corte costituzionale ha sospeso il proprio giudizio in attesa della pronuncia della Corte di giustizia per poi riprenderlo, insieme agli indirizzi interpretativi provenienti da Lussemburgo, dichiarando illegittima la norma di recepimento 32. Come si diceva poc anzi, il primo dei due aspetti che, in questa sede, sembra meritare di essere posto in particolare rilievo è dato dalla rilevanza autonoma attribuita, nel caso di specie, assai innovativamente, agli artt. 7 e 8 della Carta, fino a quel momento, come anticipato, considerati semplicemente elementi di un binomio inscindibile. In particolare l Avvocato generale Cruz Villalón scinde abbastanza chiaramente, nelle sue Conclusioni, i due profili, facendo notare come «l art. 8 della Carta sancisce il diritto alla protezione dei dati di carattere personale come diritto distinto dal diritto al rispetto della vita privata. Pur se la protezione dei dati è volta a garantire il rispetto della vita privata, essa è soprattutto soggetta a un regime autonomo» 33. Il ragionamento dell Avvocato è tutto volto a fare emergere come ci possano essere dei casi, come quello di specie, in cui una normativa che restringe il diritto alla protezione dei dati di carattere personale in conformità dell art. 8 della Carta possa nondimeno essere considerata come recante una lesione sproporzionata dell art. 7 della stessa. E per raggiungere tale scopo, lo stesso Avvocato generale ha bisogno di tracciare una differenza, mai fatta in passato, e non sprovvista di una certa dose di artificialità, tra dati personali tout court e dati più che personali 34. I primi avrebbero come esclusiva funzione quella di individuare una persona e, dotati di una certa permanenza e spesso anche di un certo carattere neutro sarebbero «dati personali e nulla più, e, in generale, si può dire che sono quelli per i quali 32 Si v. la sentenza 3 luglio 2014, I-65/ Per una puntuale sintesi v. S. BARDUTZKY, The Timing of Dialogue: Slovenian Constitutional Court and the Data Retention Directive, in 10 settembre ( 32 ) Conclusioni avvocato generale, C-293/12, p Conclusioni avvocato generale, C-293/12, p Ivi, par federalismi.it focus TMT n. 3/2014

12 la struttura e le garanzie dell articolo 8 della Carta sono le più adeguate» 35. I secondi, invece, si riferirebbero sotto il profilo qualitativo, alla riservatezza della vita privata, compresa la sfera intima. In tali casi le problematiche sollevate dai dati personali iniziano, per così dire, già «a monte» 36 e la questione che si porrebbe in questo caso non sarebbe «quella delle garanzie afferenti al trattamento dei dati, ma più a monte, quella dei dati in quanto tali, vale a dire il fatto che le circostanze della vita privata di una persona abbiano potuto cristallizzarsi in forma di dati, ossia in una forma che può essere assoggettata a trattamento informatico» 37. La seconda distinzione che emerge chiaramente, e ancora una volta innovativamente rispetto all acquis giurisprudenziale precedente, dall analisi del caso in esame, e specificatamente, questa volta, dal reasoning dei giudici comunitari è, come si accennava, quella, che ritrova un riscontro testuale nel par. 1 dell art. 52 della Carta 38, tra il profilo connesso all accertamento della possibile violazione, da parte della direttiva, del contenuto essenziale dei diritti previsti dagli artt. 7 e 8 e quello relativo alla valutazione della proporzionalità delle misure identificate dalla stessa direttiva per realizzare gli obiettivi previsti, e considerati legittimi dalla Corte, di tutela dell ordine pubblico e lotta contro il terrorismo. Fino alla decisione in commento, la giurisprudenza comunitaria aveva sempre dimostrato la tendenza a considerare quale una sorta di blocco unico il par. 1 dell art. 52 della Carta, senza soffermarsi in modo analitico sulla possibilità che una limitazione dei diritti fondamentali in gioco, pur non andando a intaccare il contenuto essenziale di questi ultimi, potesse essere valutata non proporzionata rispetto agli obiettivi prefissati dalla disciplina sostanziale oggetto di esame. Nel reasoning della decisione in esame, al contrario, i giudici di Lussemburgo, dopo aver accertato che «l ingerenza che la direttiva 2006/24 nei confronti degli artt. 7 ed 8 è di vasta portata», affrontano in modo distinto l esame dei due profili previsti dall art. 52, par. 1, appena evidenziati. Con riguardo al primo, la Corte esclude una violazione del nucleo essenziale con riferimento alla tutela tanto del diritto alla vita privata quando a quello relativo alla protezione dati. Nel primo caso perché la direttiva, ai sensi dell art. 5, c. 2, vieta di venire a conoscenza del contenuto delle 35 Ivi, par Ivi, par Ibidem. 38 Ai sensi di detta previsione, infatti da una parte «Eventuali limitazioni all esercizio dei diritti e delle libertà riconosciuti dalla presente Carta devono essere previste dalla legge e rispettare il contenuto essenziale di detti diritti e libertà, dall altra «Nel rispetto del principio di proporzionalità, possono essere apportate limitazioni solo laddove siano necessarie e rispondano effettivamente a finalità di interesse generale riconosciute dall Unione o all esigenza di proteggere i diritti e le libertà altrui. 12 federalismi.it focus TMT n. 3/2014

13 comunicazioni elettroniche, il che consente, a seguire il ragionamento dei giudici, di pervenire quantomeno a una protezione dell oggetto delle stesse comunicazioni, ovviamente il dato più sensibile con riguardo alla protezione della privacy degli utenti. Nel secondo caso in quanto, a detta delle Corte, la espressa previsione, da parte della direttiva stessa, di alcuni principi in materia di protezione e sicurezza dei dati, fornirebbe l assicurazione necessaria affinché, a livello nazionale di ciascuno Stato membro, sia prevista «l adozione di adeguate misure tecniche e organizzative contro la distruzione accidentale o illecita, la perdita o l alterazione accidentale dei dati» 39. Sancendo di fatto l ammissibilità di meccanismi di data retention e conseguente messa a disposizione delle autorità naturali, la Corte afferma altresì che tali meccanismi rispondono a obiettivi di interesse generale dell Unione europea come la lotta la terrorismo finalizzata al mantenimento della pace della sicurezza internazionali, nonché, più in generale, all obiettivo di contribuire al contrasto della criminalità grave e, con essa, alla sicurezza pubblica. È invece in relazione al profilo inerente alla valutazione della proporzionalità della raccolta e conservazione dei dati, cosi come previste dalla direttiva, che la Corte di giustizia esprime una valutazione negativa 40. Dopo aver prospettato un ingerenza di vasta portata nei confronti dei diritti tutelati dagli articoli 7 e 8 della Carta, la Corte si interroga, infatti, sulla proporzionalità di tale ingerenza con riferimento agli obiettivi perseguiti dalla direttiva. Sicché il reasoning dei giudici è orientato a valutare l esistenza di garanzie sufficienti e necessarie capaci di giustificare le prospettate limitazioni ai diritti fondamentali tutelati e garantiti dalla Carta. Da questa impostazione, deriva un analisi puntuale di ciascuna delle criticità della direttiva. La Corte muove allora le sue argomentazioni dal presupposto che l ingerenza nella vita privata degli individui riguardi la «totalità della popolazione europea» (p.to 56), senza limitazione alcuna. In tale ottica, la Corte specifica come la stessa raccolta sia rivolta nei confronti di persone su cui non grava alcun indizio di reato e sia disposta in maniera del tutto indipendente da qualsiasi connessione diretta o indiretta con la commissione di un reato grave. In sintesi, la raccolta dei dati non è limitata né a una determinata cerchia di persone, né a una particolare area geografica, né circoscritta ad un limitato periodo di tempo. Lacunoso e generico, o comunque non rispettoso del principio di proporzionalità, è altresì il riferimento alla nozione di reati gravi. Secondo i giudici infatti la direttiva nel permettere a 39 Corte giust., C-293/12, p Le criticità della direttiva erano in vero già state fatte emergere dalla dottrina. Si v. F. BIGNAMI, Protecting Privacy Against the Police in the European Union: The Data Retention Directive, in GWU Legal Studies Paper, No , 2006, nonché E. KOSTA, The Way to Luxembourg: National Court Decisions on the Compatibility of the Data Retention Directive with the Right to Privacy and Data Protection, in 10:3 SCRIPTed, federalismi.it focus TMT n. 3/2014

14 ciascuno Stato membro di dare una propria definizione di reato grave rende la stessa nozione non facilmente determinabile e circoscrivibile. La Corte sottolinea poi l assenza di specifiche garanzie, sostanziali e procedurali, idonee a garantire un accesso controllato alle autorità degli Stati membri. Il numero di persone nell ambito delle autorità di ciascuno Stato membro che può accedere ai dati raccolti risulta infatti ancora una volta indefinito 41. Né tantomeno lo stesso accesso ai dati risulta subordinato ad un controllo preventivo da parte di un giudice o di un autorità amministrativa indipendente. Al vaglio della Corte passa poi la durata del periodo di conservazione dei dati. Su questo aspetto le criticità sono legate al fatto che non sussiste alcuna distinzione tra tipologie di dati e la relativa durata di conservazione che in ogni caso deve essere limitata allo stretto necessario. Questi sono dunque i presupposti in base ai quali la Corte ritiene che la direttiva 2006/24 non preveda norme chiare e precise capaci di regolare la portata dell ingerenza nei diritti fondamentali sanciti dagli articoli 7 e 8 della Carta. Constatando come la prospettata ingerenza di vasta portata non sia supportata dal principio di necessità, ancillare e integrativo del più generale principio di proporzionalità (p.to 65) Il caso Google Spain Il percorso avviato in occasione della pronuncia appena esaminata che ha annullato la direttiva in materia di data retention, e che tende alla identificazione di un digital (Internet based) right to data protection trova la sua apoteosi nel reasoning dei giudice che caratterizza la decisione nel caso Google Spain, di qualche settimana successiva, in materia di diritto all oblio, in cui i giudici comunitari, come si vedrà nel prossimo paragrafo, enfatizzano ulteriormente il carattere assoluto della protezione della privacy in era digitale attraverso una lettura estensiva, meglio manipolativa, e assiologicamente orientata, alla luce delle disposizioni degli artt. 7 e 8 Carta di Nizza, della direttiva 95/46 (entrata in vigore in momento di transizione dall analogico al digitale e sicuramente non redatta pensando ad Internet quale ambiente tecnologico privilegiato). Più precisamente, il tema sul quale la Corte di giustizia è stata chiamata, con un rinvio sollevato nel 2012 dall Audiencia Nacional spagnola, a pronunciarsi in via pregiudiziale riguarda il rapporto tra la disciplina affidata alla direttiva 95/46/CE, che costituisce la normativa di riferimento tuttora vigente in materia di dati personali a livello dell Unione europea, e gli Internet Service 41 Si v. C. COCQ, F. GALLI, Comparative paper on data retention regulation in a sample of EU Member States, Surveille Project D4.3, 2013, 11 ss. 42 Corte giust., C-293/12, p federalismi.it focus TMT n. 3/2014

15 Provider che gestiscono un motore di ricerca, Google nel caso di specie. Nel caso che ha originato il rinvio pregiudiziale, l Agencia Española de Protección de Datos, l autorità iberica per la protezione dei dati personali, aveva ordinato a Google di rimuovere dai risultati generati attraverso il suo motore di ricerca i collegamenti ad alcune notizie relative a un pignoramento subito dal sig. Costeja González, ricorrente davanti alla stessa Agencia, considerate ormai prive di rilevanza Google rifiutava di ottemperare al provvedimento allegando la sua presunta estraneità alla disciplina europea sui dati personali (e, di conseguenza, a quella spagnola) e rilevando come un intervento come quello imposto dall Autorità potesse configurare un indebita compromissione della libertà di espressione dei gestori di siti Internet. Piuttosto, ad avviso del motore di ricerca, solo un intervento sui siti soggetti a indicizzazione avrebbe garantito soddisfazione alla pretesa di ritorno all anonimato da parte degli interessati. L Audiencia Nacional, investita dell appello contro il provvedimento dell AEPD, sollevava pertanto un rinvio pregiudiziale, formulando tre complessi quesiti volti a verificare, in sostanza l applicabilità a un provider come Google della Direttiva 95/46 e la possibilità di garantire l enforcement del diritto all oblio da parte dei soggetti cui i dati personali si riferiscono. «La costellazione particolarmente complessa e difficile di diritti fondamentali che questo caso presenta osta alla possibilità di rafforzare la posizione giuridica della persona interessata ai sensi della direttiva riconoscendole un diritto all oblio. Ciò vorrebbe dire sacrificare diritti primari come la libertà di espressione e di informazione. Inoltre, inviterei la Corte a non concludere che questi interessi concorrenti possono essere ponderati in modo soddisfacente in situazioni individuali sulla base di una valutazione caso per caso, lasciando la decisione ai fornitori di servizi di motore di ricerca su Internet» 43. Questo è quanto l Avvocato generale Jääskinen, nelle sue conclusioni, proponeva alla Corte di Lussemburgo in merito al bilanciamento tra i diritti coinvolti, nella sua bella immagine, in una costellazione particolarmente complessa alla base del caso in esame. Si fa fatica a ricordare dei precedenti a Lussemburgo in cui la Corte di giustizia abbia raggiunto non soltanto una conclusione opposta a quella caldeggiata dall Avvocato generale, ma anche un percorso argomentativo radicalmente differente da quello proposto da quest ultimo. Sarebbe sufficiente riformulare, a contrario, il passaggio dell Avvocato generale appena citato che, ben vedere, si compone di due elementi portanti, per identificare, scontando, ovviamente, un inevitabile tasso di semplificazione e approssimazione, i due (uguali e contrari) punti cardinali 43 Conclusioni dell Avvocato Generale Jääskinen, 25 giugno 2013, C-131/ federalismi.it focus TMT n. 3/2014

16 emergenti dall operazione di (non) bilanciamento operata dalla Corte di giustizia nel caso di specie. Infatti, con riguardo al primo elemento portante che sembra caratterizzare detto passaggio, i giudici di Lussemburgo, esattamente (e letteralmente) al contrario di quanto si legge nelle riflessioni dell Avvocato generale prima richiamate, rafforzano decisamente la posizione giuridica della persona interessata (ai sensi della direttiva 95/46) riconoscendole, in sostanza, e forse atecnicamente, quel diritto all oblio 44 che l Avvocato generale invece negava, come si è appena letto, fosse possibile identificare alla luce dell esistente acquis comunitario. E lo fanno, sacrificando, come si vedrà più avanti, proprio quelle libertà di informazione e di espressione che lo stesso Avvocato generale definisce, sempre nello stesso passaggio, diritti primari. Con riferimento al secondo elemento portante della riflessione di Jääskinen non sembra essere così lontano dal vero affermare, salvo poi integrare e precisare nel prosieguo che, nuovamente, esattamente e (letteralmente) all opposto di quanto proposto dallo stesso Jääskinen, i giudici concludono, in sostanza, e con implicazioni non di poco conto, che il bilanciamento tra i diritti confliggenti prima evocati (da una parte diritto all oblio, dall altra libertà di informazione e espressione) può essere operato in modo soddisfacente in situazioni individuali sulla base di una valutazione caso per caso, lasciando, di fatto, contrariamente a quanto caldamente consigliato dall Avvocato generale, la decisione ai fornitori di servizi di motore di ricerca su Internet. Forse è il par. 69 della pronuncia quello che illustra meglio di altri la dichiarazione di intenti dei giudici comunitari in merito alla volontà di leggere le disposizioni rilevanti della direttiva alla luce delle previsioni della Carta a tutela della c.d. privacy digitale. I giudici comunitari, in particolare, notano che «l articolo 7 della Carta garantisce il diritto al rispetto della vita privata, mentre l articolo 8 della Carta proclama espressamente il diritto alla protezione dei dati personali. I paragrafi 2 e 3 di quest ultimo articolo precisano che i dati suddetti devono essere trattati secondo il principio di lealtà, per finalità determinate e in base al consenso della persona interessata o a un altro fondamento legittimo previsto dalla legge, che ogni persona ha il diritto di accedere ai dati raccolti che la riguardano e di ottenerne la rettifica, e che il rispetto di tali regole è soggetto al controllo di un autorità indipendente. Tali prescrizioni ricevono attuazione in particolare mediante gli articoli 6, 7, 12, 14 e 28 della direttiva 95/46». 44 Per alcune osservazioni critiche, si veda T.E. FROSINI, Diritto all oblio e Internet e F. PIZZETTI, La decisione della Corte di giustizia sul caso Google Spain: più problemi che soluzioni, entrambi in focus comunicazioni, nuove tecnologie e media, 10 giugno Si vedano anche i commenti a caldo di C. BLENGINO, La Corte di giustizia e i motori di ricerca: una sentenza sbagliata, in 19 maggio 2014; G. CORRIAS LUCENTE, Ancora su Google e il diritto all oblio, in 24 giugno 2014; M. BASSINI, Google e diritto all oblio, cit.; ID., Il diritto all oblio ai tempi di Internet: la Corte di giustizia sui motori di ricerca, cit. 16 federalismi.it focus TMT n. 3/2014

17 Non si fa fatica a rilevare come la lettura in questione sia talmente orientata da portare ad una sorta di capovolgimento temporale: nel reasoning della Corte sono gli artt. 7 e 8, pensati all inizio di questo millennio, a ricevere attuazione da parte di disposizioni di diritto derivato certamente più recenti. Partendo da queste premesse, le riflessioni che seguiranno tenteranno di fare emergere le distorsioni, le anomalie o, semplicemente, le rimodulazioni argomentative che sembrano conseguire dalla scelta, da parte dei giudici comunitari, di concentrarsi quasi esclusivamente, nella soluzione del caso, sui parametri forniti dagli artt. 7 e 8 della Carta di Nizza. La prima anomalia argomentativa è forse la più evidente. A differenza di quanto fatto dall Avvocato generale, che aveva operato un riferimento numericamente quasi equivalente tra, da una parte, gli articoli appena citati e, dall altra parte, le disposizioni della Carta rilevanti in tema di libertà di espressione (e accesso all informazione) art e di libertà di iniziativa economica - art. 16 -, nell apparato argomentativo della Corte entrambe le previsioni normative appena richiamate scompaiono. Nessun riferimento agli artt. 11 e 16 è rinvenibile e il campo è lasciato interamente libero alle numerosissime citazioni presenti, invece, degli artt. 7 e 8 della Carta. Non è difficile cogliere un indizio piuttosto serio di un bilanciamento tra diritti contrastanti che non può non nascere asimmetrico, del tutto sbilanciato, già in partenza, a favore delle ragioni di tutela della privacy digitale. Il che, peraltro, è confermato dal passaggio che la Corte ripete più volte 45, in cui, dopo aver ragionevolmente affermato che la soppressione di link dall elenco di risultati potrebbe, a seconda dell informazione in questione, avere ripercussioni sul legittimo interesse degli utenti di Internet potenzialmente interessati ad avere accesso a quest ultima occorre ricercare, in situazioni quali quelle oggetto del procedimento principale, «un giusto equilibrio segnatamente tra tale interesse e i diritti fondamentali della persona di cui trattasi derivanti dagli articoli 7 e 8 della Carta», conclude il ragionamento con una presunzione di prevalenza assai poco comprensibile. In particolare, rilevando che se «indubbiamente, i diritti della persona interessata tutelati dagli articoli da ultimo citati, prevalgono di norma, anche sull interesse degli utenti di Internet, tale equilibrio può nondimeno dipendere, in casi particolari, dalla natura dell informazione di cui trattasi e dal suo carattere sensibile per la vita privata della persona suddetta, nonché dall interesse del pubblico a disporre di tale informazione, il quale può variare, in particolare, a seconda del ruolo che tale persona riveste nella vita pubblica». 45 Corte giust., C-131/12, pp. 81 e federalismi.it focus TMT n. 3/2014

18 In altre parole, la regola è la soccombenza del diritto (derubricato in mero interesse) all accesso all informazione a favore dei diritti che riguardano la protezione della sfera privata e dei dati personali degli utenti, l eccezione è la possibile prevalenza, in determinati casi ed a certe condizioni, del primo sui secondi. A ben vedere, però questo rapporto regola/eccezione non solo non figura minimamente nel bilanciamento tra diritti contrastanti proposto dall Avvocato generale Jääskinen ed era stato già tempo fa esplicitamente escluso dall Avvocato generale Kokott 46 nel caso Satamedia 47, ma è anche agli antipodi rispetto a quanto emerge piuttosto univocamente dalla giurisprudenza rilevante della Corte europea dei diritti dell uomo. A cominciare dalla recente decisione Węgrzynowski e Smolczewski 48 in cui, come è stato sottolineato 49, la Corte di Strasburgo, ribadendo un impostazione presente fin dalle sue prime grandi decisioni in materia di libertà di espressione, fa chiaramente intendere come la prevalenza di quest ultima sia la regola e le restrizioni a tale libertà siano eccezioni, che debbono essere interpretate in modo restrittivo. E ciò anche nel caso in cui il conflitto, come nella fattispecie, sia tra accesso all informazione sul web e interesse del soggetto ricorrente a fare in modo che informazioni pregiudizievoli per la sua reputazione non siano rintracciabili sul web 50. Se l enfatizzazione del ruolo giocato degli artt. 7 e 8 della Carta riveste un importanza cruciale in riferimento al preorientamento assiologico con cui la Corte imposta il bilanciamento tra i diritti in conflitto, importanza non minore è assunta dagli stessi parametri quando la Corte, come si diceva, ha proceduto all applicazione delle disposizioni rilevanti della direttiva 95/46 al caso di specie. 46 Conclusioni dell Avvocato generale Kokott, 8 maggio 2008, C-73/07, p. 43, in cui si legge che «Una rigida applicazione della tutela dei dati potrebbe limitare sensibilmente la libertà di espressione. Così, se i media potessero elaborare e pubblicare informazioni personali solo su consenso o dopo aver avvisato le persone coinvolte, il giornalismo investigativo sarebbe ampiamente escluso. D altra parte, è evidente che i media possono violare il diritto alla vita privata dei singoli. È pertanto necessario raggiungere un equilibrio». 47 Si v. Corte di giustizia dell Unione europea, 16 dicembre 2008, C-73/07, Tietosuojavaltuutettu c. Satakunnan Markkinapörssi Oy e Satamedia Oy. 48 Corte europea dei diritti dell uomo, 16 luglio 2013, ric. n /07, Węgrzynowski e Smolczewski c. Polonia. 49 Si v. G.E. VIGEVANI, Identità, oblio, informazione e memoria in viaggio da Strasburgo a Lussemburgo, passando per Milano, in Danno e responsabilità, 2014, 7, 707 s. 50 Nelle riflessioni conclusive si aggiungerà, però, come un trend giurisprudenziale che sembra recentemente accomunare i percorsi interpretativi delle due Corti europee pare portare, attraverso modalità argomentative differenti, all analogo risultato consistente in una rimodulazione dell ambito di protezione riconosciuto alla libertà di espressione quando esercitata sul web, rispetto agli standard di tutela ad essa riconosciuta allorché il suo esercizio si esplica nel mondo degli atomi. 18 federalismi.it focus TMT n. 3/2014

19 Quattro sembrano, in particolare, gli ambiti applicativi in cui maggiore è stato, per così dire, l effetto manipolativo derivante dalla interpretazione che i giudici comunitari fanno della direttiva alla luce dei più volti richiamati artt. 7 e 8 della Carta. In primo luogo, la rilevanza, nel caso di specie, della disciplina dell Unione europea; in secondo luogo, l identificazione del motore di ricerca quale controller, titolare del trattamento e dunque responsabile dello stesso; in terzo luogo l applicazione al caso di specie di quanto previsto, da una parte, dall art. 12, lett. b) della direttiva che disciplina modalità e ipotesi, inter alia, del diritto di ottenere cancellazione, rettifica e congelamento dei dati personali e, dall altra, dall art. 9 della stessa direttiva in materia di deroghe alla disciplina generale in caso di trattamento di dati relativo all attività giornalistica. Innanzitutto, con riguardo al primo punto evidenziato, è vero che l Avvocato generale aveva raggiunto la stessa conclusione dei giudici comunitari in merito alla applicabilità delle disciplina europea ad un motore di ricerca che abbia aperto in uno Stato membro, per la promozione e la vendita di spazi pubblicitari, un ufficio che rivolga la sua attività ai cittadini di tale Stato. I giudici di Lussemburgo danno però una giustificazione ultronea rispetto a quella a fondamento del reasoning dell Avvocato generale, argomentando come una interpretazione estensiva della locuzione, prevista dall art. 4 lett. a), «nel contesto delle attività» 51 in modo da consentire l applicazione della disciplina europea anche nei confronti di Google Spain (che la Corte ammette, «non tratta tecnicamente dati») sarebbe necessaria in quanto «alla luce dell obiettivo della direttiva 95/46 di garantire una tutela efficace e completa delle libertà e dei diritti fondamentali delle persone fisiche, segnatamente del diritto alla vita privata, con riguardo al trattamento dei dati personali, l espressione suddetta non può ricevere un interpretazione restrittiva» 52. Di nuovo, il diritto alla vita privata diviene prisma esclusivo di modulazione della tutela, senza che si faccia riferimento alla necessaria protezione degli interessi contrastanti. Non solo, ma la Corte, nel tentativo di giustificare tale affermazione, cita, per analogia, nelle sue stesse parole, i punti 62 e 63 della sua precedente pronuncia nel caso L Oréal 53. Passaggi che, però, a ben vedere, hanno una limitatissima rilevanza per il caso di specie. Si fa riferimento, infatti, a norme differenti di diritto derivato, in cui è cruciale la protezione, e i limiti di essa, accordata ai diritti di proprietà 51 L articolo 4 della direttiva 95/46, intitolato diritto nazionale applicabile, prevede, in particolare, alla lettera a), che ciascuno Stato membro applica le disposizioni nazionali adottate per l attuazione della presente direttiva al trattamento di dati personali effettuato «nel contesto delle attività di uno stabilimento del responsabile del trattamento nel territorio dello Stato membro». 52 Corte giust., C-131/12, p Corte di giustizia dell Unione europea, 12 luglio 2011, C-324/09, L Oréal e a., citato al p. 53 della sentenza Google Spain. 19 federalismi.it focus TMT n. 3/2014

20 industriale e non alla tutela dei dati personali, con un unico riferimento rilevante relativo alla ubicazione extraeuropea dei server 54. In secondo luogo, con riferimento alla identificazione del motore di ricerca quale controller del trattamento, in questa sede l unico aspetto rilevante è quello in cui emerge il peso giocato dal preorientamento assiologico della Corte fondato sull identificazione degli artt. 7 e 8 quali (quasi) esclusivi parametri di riferimento. E tale peso sembra manifestarsi chiaramente allorché i giudici comunitari, trovandosi a interpretare l ambito di applicazione dell art. 2 lett. d) della direttiva che definisce la figura del controller, aggiungono che «inoltre, occorre constatare che sarebbe contrario non soltanto al chiaro tenore letterale di tale disposizione, ma anche alla sua finalità consistente nel garantire, mediante un ampia definizione della nozione di responsabile, una tutela efficace e completa delle persone interessate il fatto di escludere dalla nozione di cui sopra il gestore di un motore di ricerca per il motivo che egli non esercita alcun controllo sui dati personali pubblicati sulle pagine web di terzi (par. 34)». Qui, l interpretazione della disciplina rilevante alla luce delle previsioni contenute negli artt. 7 e 8 della Carta ha l effetto, lungi dall illuminare il ragionamento della Corte di giustizia, di renderlo più oscuro e debole. Si tratta, infatti, come si è avuto modo di evidenziare altrove 55, di un evidente excusatio non petita. La Corte cerca di recuperare un ampia definizione di responsabile dietro una giustificazione, quella di assicurare ampia tutela degli interessati, inconferente. Questo inquadramento trascura che alla posizione di titolare del trattamento, infatti, si collegano gli obblighi che a detta figura fanno capo in base alla direttiva, e che rischiano, se applicati al gestore di un motore di ricerca, di snaturare profondamente il modello di business di questi operatori. Oltretutto la Corte non chiarisce un aspetto dirimente: per quale fine il titolare del trattamento stabilisce finalità e strumenti? Se, come i giudici comunitari sostengono, tanto è trattamento quello di chi pubblica dati sulle proprie pagine web quanto lo è quello di chi le indicizza e le riformula in risultati di ricerca, verrebbe da chiedersi allora se anche il gestore del motore di 54 Ivi, p. 53 in cui si legge che «come hanno osservato l avvocato generale al paragrafo 127 delle sue conclusioni e la Commissione nelle sue osservazioni scritte, sarebbe pregiudicata l efficacia di tali norme qualora l uso, in un offerta in vendita o in una pubblicità su Internet destinata a consumatori che si trovano nell Unione, di un segno identico o simile a un marchio registrato nell Unione fosse sottratto all applicazione di tali norme per il solo fatto che il terzo all origine di detta offerta o pubblicità sia stabilito in uno Stato terzo, che il server del sito Internet da lui utilizzato si trovi in tale Stato o ancora che il prodotto oggetto di detta offerta o pubblicità si trovi in uno Stato terzo». 55 M. BASSINI, O. POLLICINO, Bowling for Columbine. La Corte di giustizia sul caso Google Spain: l'oblio (quasi) prima di tutto?, in 13 maggio federalismi.it focus TMT n. 3/2014