VEDI ANCHE Newsletter dell'11 settembre 2023

[doc. web n. 9926884]

Provvedimento del 6 luglio 2023

Registro dei provvedimenti
n. 295 del 6 luglio 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, l’avv. Guido Scorza, componente, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTO il reclamo ai sensi dell’art. 77 del Regolamento presentato al Garante in data 14 marzo 2023 dall’avv. XX, per conto del sig. XX, nei confronti di Google LLC, con il quale ha chiesto la deindicizzazione dai risultati di ricerca reperibili in associazione al proprio nome e cognome di un Url (https:/...) corrispondente ad un sito web che indebitamente utilizza una immagine e altri dati personali (indirizzo di residenza) del reclamante, ed in cui si invitano i visitatori a comunicare eventuali notizie sullo stesso utilizzando un apposito indirizzo mail (XX), la cui denominazione implicitamente associa al medesimo la qualifica di mafioso;

CONSIDERATO che il reclamante, dopo aver specificato di essere cittadino italiano, ha precisato:

di essere un imprenditore che opera a livello internazionale come presidente del XX, un fondo di investimento privato attivo nei settori dei servizi finanziari, e di aver inoltre costituito XX, durante i giochi paralimpici invernali di Torino, per offrire finanziamenti agli atleti paralimpici al fine di consentire loro di allenarsi e partecipare alle competizioni;

di essere venuto a conoscenza del sito Internet in esame avendogli, un suo partner comunicato che digitando le sue generalità sul motore di ricerca Google si veniva indirizzati al sito in questione, apparentemente riferibile al reclamante, ma in realtà gestito da soggetti terzi allo stato non identificabili, contenente affermazioni diffamatorie e lesive della sua onorabilità e che ne pregiudicano le attività imprenditoriali;

di non aver mai riportato condanne, né di essere mai stato interessato, in alcuno dei paesi dell’Unione europea, come risulta dal certificato del Ministero degli interni della Federazione Russa, allegato al reclamo, da coinvolgimenti di qualsiasi natura in procedimenti giudiziari, vertenze, indagini legate a contesti di criminalità economica o malavita organizzata menzionati nel sito in esame;

di aver proposto ricorso alla Autorità giudiziaria della Federazione Russa, luogo in cui si sarebbero verificati gran parte dei fatti falsamente riportati nel sito in esame, per far conoscere come non veritiere e diffamatorie le affermazioni contenute nel sito oggetto di reclamo, e di aver ottenuto dal Tribunale XX, della città di Mosca, la sentenza del 26 dicembre 2019, diventata definitiva il 31 dicembre 2019, nella quale si sono riconosciute come non veritiere una serie di informazioni diffamatorie diffuse attraverso il suddetto sito web;

che, nonostante le indagini effettuate dal Regional Network Center JSC, non è stato possibile identificare la persona che ha diffuso le informazioni pubblicate nel sito web in questione;

di aver chiesto a Google, sulla base della decisione del Tribunale XX del 26 dicembre 2019, di non visualizzare più nei risultati di ricerca di tale motore di ricerca il link al sito internet contenete il suo nome e cognome, senza però ottenere alcun risultato, ma anzi ricevendo un diniego che lo ha portato a ricorrere alla Autorità giudiziaria per ottenere l’ottemperanza alla decisione del Tribunale distrettuale di Gararinsky;

di aver ottenuto, a seguito del suddetto ricorso, la sentenza del 14 dicembre 2021 del Tribunale XX Mosca, divenuta definitiva il 21 dicembre 2021, la quale, decidendo la XX intentata dal reclamante, ha obbligato Google, convenuta in giudizio, a non visualizzare più nei risultati di ricerca il link al sito internet contenente il nome e cognome di XX, condannando Google al pagamento delle spese della causa;

che, nonostante tale decisione dell’Autorità giudiziaria, la deindicizzazione del link che rinvia al sito https://... è stata effettuata da Google unicamente sui server operanti nella Federazione Russa;

che il sito https://... non rispetta quanto previsto nel Regolamento, in quanto non fornisce alcuna informativa, e non contiene i recapiti dei titolari del trattamento per esercitare i diritti di opposizione di cui all’art. 21 del Regolamento, né il banner per la gestione dei consensi relativi all’utilizzo dei cookie;

che il sito https://... indebitamente utilizza i dati personali e l’immagine del sig. XX, il quale, ancorchè l’Url sia costituito dal nome del reclamante, non è il titolare o l’amministratore del sito web;

che l’utilizzo della immagine del reclamante all’apertura del sito web e l’indicazione delle sue residenze personali determinano una lesione del suo diritto all’immagine e del trattamento dei suoi dati personali, tutelato dalla normativa sulla protezione dei dati personali;

che la persistente diffusione di tali dati risulta in violazione dei principi di cui all’art. 5 del Regolamento e dei principi da esso affermati, e in particolare: a) del principio di minimizzazione dei dati, il quale richiede che i dati siano adeguati, pertinenti e limitati a quanto è necessario rispetto alle finalità del trattamento; b) del principio dell’esattezza, secondo cui i dati devono essere sempre esatti e aggiornati; c) del principio della limitazione della conservazione, il quale impone che i dati vengano conservati per un tempo non superiore a quello necessario rispetto agli scopi per i quali ha avuto luogo il trattamento;

VISTA la nota del 21 marzo 2023, con la quale questa Autorità ha chiesto a Google, in qualità di titolare del trattamento, di fornire elementi in ordine alla richiesta del reclamante e di far conoscere se avesse intenzione di adeguarsi ad essa;

VISTA la nota dell’11 aprile 2023, con la quale Google ha rappresentato quanto segue:

il reclamo risulta inammissibile, in quanto basato sulla tutela della reputazione, dell’onore e dell’immagine del reclamante, non sulla tutela dei suoi dati personali;

il fondamento giuridico sul quale si basa la pretesa del reclamante sembrerebbe essere il reato di diffamazione, e non la violazione del diritto all’oblio dello stesso;

Google non dispone di alcuno strumento, elemento o informazione in grado di consentirgli di svolgere una valutazione in merito alla pretesa inesattezza dei contenuti riportati nell’Url oggetto di reclamo;

la decisione del Tribunale russo richiamata e allegata dal reclamante tratta unicamente della natura diffamatoria dei contenuti oggetto di reclamo, senza nulla statuire in merito alla violazione delle leggi sulla protezione dei dati personali;

l’Url oggetto di reclamo contiene mere ricostruzioni fattuali della vita personale e professionale del reclamante, senza tuttavia fornire alcun dato contrario alla documentazione fornita dal reclamante stesso a supporto delle proprie pretese;

il ruolo pubblico coperto del reclamante, in quanto “importante imprenditore” e presidente di noti fondi di investimento e fondazioni, rappresenta “un argomento a favore del diritto del pubblico a ricercare le informazioni rilevanti rispetto al loro ruolo e alle attività pubbliche” (cfr. pag. 13 delle Linee Guida del WP29 adottate il 26 novembre 2014 dal Gruppo Articolo 29 sulla protezione dei dati personali a seguito della sentenza della Corte di Giustizia dell’Unione europea del 13 maggio 2014, Causa C-131/12 (di seguito “Linee Guida 2014”);

VISTA la nota del 9 maggio 2023, con la quale il reclamante, oltre a ribadire le ragioni già poste a base del reclamo, in replica alle argomentazioni fornite da Google, ha precisato che in esse non si considerano le plurime violazioni del Regolamento poste in essere dagli autori del sito https://..., ed in particolare la mancanza di informativa e dei riferimenti dei titolari del sito, che rendono impossibile porre rimedio all’utilizzo improprio della sua immagine e dei suoi dati personali. Da ciò la competenza del Garante a pronunciarsi in proposito;

CONSIDERATO che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”;

CONSIDERATO che:

- nei confronti di Google LLC trova applicazione, per effetto delle attività svolte in ambito europeo attraverso le proprie sedi, il principio di stabilimento e che pertanto i relativi trattamenti sono soggetti alle disposizioni del Regolamento in virtù di quanto previsto dall’art. 3, par. 1;

- il trattamento di dati personali connesso all’utilizzo del motore di ricerca di Google risulta tuttavia direttamente gestito, anche per il territorio UE, da Google LLC, avente sede negli Stati Uniti;

- tale circostanza è idonea a fondare, ai sensi dell’art. 55, par. 1, la competenza del Garante italiano a decidere i reclami ad esso proposti con riferimento al proprio territorio nazionale;

VISTI gli artt. 17 e 21, par. 1, del Regolamento;

CONSIDERATO, in merito all’istanza di rimozione dell’Url indicato nel reclamo che, ai fini della valutazione dell’esistenza dei presupposti per ritenere legittimamente invocabile il diritto all’oblio, occorre tenere conto, oltre che dell’elemento costituito dal trascorrere del tempo, anche degli ulteriori criteri espressamente individuati nelle “Linee Guida 2014”, nonché delle più recenti Linee Guida n. 5/2019, adottate dallo European Data Protection Board (EDPB) il 7 luglio 2020, contenenti i criteri per l’applicazione del diritto all’oblio da parte dei motori di ricerca alla luce del Regolamento (di seguito “Linee Guida 2019”);

CONSIDERATO, in particolare, il criterio relativo all’esattezza del dato, di cui al punto n. 4 delle “Linee Guida 2014”, laddove si sottolinea l’esigenza di tenere in particolare conto, ai fini della valutazione delle richieste di deindicizzazione, di quelle informazioni che originino “un’impressione inesatta, inadeguata o fuorviante rispetto alla persona interessata”;

RILEVATO che l’Url in questione, per effetto della sua denominazione (X) e del fatto che esso appaia tra i primi risultati di ricerca su Google digitando sul motore di ricerca il nome del reclamante, dà senz’altro l’impressione di essere un sito creato dallo stesso;

RILEVATO altresì che l’accostamento, in tale Url, dell’immagine del reclamante con la mail XX è chiaramente volto a denigrare il medesimo;

CONSIDERATO che l’interessato si è opposto per motivi legittimi all’ulteriore trattamento della sua immagine, motivando che la sua diffusione sul sito in questione reca pregiudizio alla sua immagine, e ottenendo la sentenza del 14 dicembre 2021 dell’autorità giudiziaria russa, che ha imposto la deindicizzazione del sito in questione, obbligando Google a non visualizzare più nei risultati di ricerca degli utenti Google il link al sito Internet http://... contenente il nome e cognome di XX (confronta Linee Guida del 2019, paragrafo 43);

CONSIDERATO:

che il sito http://... contiene link a molti documenti pubblici che possono essere reperiti autonomamente anche indipendentemente dal sito in questione, quali:

un documento del governo canadese reperibile al seguente link: https://...;

un report del governo australiano reperibile al seguente link: https://...;

una serie di link a titoli e articoli di giornali on line statunitensi;

che tali documenti, essendo pubblici, sono comunque reperibili nel web, anche digitando via Google il nome del reclamante;

che il sito non contiene alcun riferimento all’informativa sull’utilizzo dei dati personali né al titolare del trattamento cui rivolgersi per esercitare i diritti di opposizione e di rettifica di cui all’art. 12 del Regolamento;

che, a causa dell’assenza di questi riferimenti nel sito, è estremamente difficile per l’interessato, che ha già fatto ricorso in due occasioni alle autorità giudiziarie russe, ottenendo in ambedue i casi ragione, esercitare tali diritti e porre rimedio all’uso improprio e a fini denigratori dei suoi dati personali all’interno del sito in questione;

RITENUTO, pertanto, di dover considerare il reclamo fondato in ordine alla richiesta di rimozione del sopra indicato Url e di dover, per l’effetto, ingiungere a Google LLC, ai sensi dell’art. 58, par. 2, lett. c) e g), del Regolamento, di disporne la rimozione quali risultati di ricerca reperibili in associazione al nominativo dell’interessato nel termine di venti giorni dalla ricezione del presente provvedimento;

RITENUTO, ai sensi dell’art, 17 del regolamento del Garante n. 1/2019, che ricorrano i presupposti per procedere all’annotazione nel registro interno dell’Autorità di cui all’art. 57, par. 1, lett. u), del Regolamento, relativamente alle misure adottate nel caso di specie nei confronti di Google LLC in conformità all'art. 58, par. 2, del Regolamento medesimo;

RILEVATO, tuttavia, che la misura adottata nel caso in esame nei confronti della predetta società discende da una valutazione effettuata dall’Autorità sulla base delle specificità del singolo caso e che, pertanto, l’iscrizione di essa nel registro interno sopra citato non potrà essere ritenuta, in eventuali futuri procedimenti incardinati nei confronti del medesimo titolare del trattamento, quale precedente pertinente ai fini previsti dall’art. 83, par. 2) lett. c), del Regolamento;

RILEVATO che, in caso di inosservanza di quanto disposto dal Garante, può trovare applicazione la sanzione amministrativa di cui all’art. 83, par. 5, lett. e), del Regolamento;

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Ginevra Cerrina Feroni;

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi dell’art. 57, par. 1 lett. f), del Regolamento:

a) dichiara il reclamo fondato con riguardo alla richiesta di deindicizzazione dell’Url https://... e, per l’effetto, ai sensi dell'art. 58, par. 2, lett. c) e g), del Regolamento, ingiunge a Google LLC di disporne la rimozione quali risultati di ricerca reperibili in associazione al nominativo dell'interessato nel termine di venti giorni dalla ricezione del presente provvedimento;

b) ai sensi dell’art. 17 del regolamento del Garante n. 1/2019, dispone l’annotazione nel registro interno dell’Autorità di cui all’art. 57, par. 1, lett. u), del Regolamento, delle misure adottate nei confronti di Google LLC in conformità all’art. 58, par. 2, del Regolamento medesimo, senza tuttavia attribuire a tale annotazione – per le ragioni di cui in premessa – valore di precedente in eventuali futuri procedimenti incardinati nei confronti del medesimo titolare del trattamento, ai fini previsti dall’art. 83, par. 2), lett. c), del Regolamento.

Ai sensi dell'art. 157 del Codice, si invita Google LLC a comunicare, entro trenta giorni dalla data di ricezione del presente provvedimento, quali iniziative siano state intraprese al fine di dare attuazione a quanto ivi prescritto. Si ricorda che il mancato riscontro alla richiesta di cui sopra è punito con la sanzione amministrativa di cui all'art. 166 del Codice.

Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d. lg. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato, alternativamente, presso il tribunale del luogo ove risiede o ha sede il titolare del trattamento ovvero presso quello del luogo di residenza dell'interessato entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 6 luglio 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Mattei