Vedi anche:
Conclusioni dell'Avvocato Generale Niilo JAASKINEN, presentate il 25/6/2013

 

Denuncia depositata contro Google Spain SL e Google Inc. perché adottino le misure necessarie per rimuovere dai propri indici alcuni dati personali riguardanti l'interessato e impedire in futuro l'accesso a tali dati

CORTE DI GIUSTIZIA DELLE COMUNITA' EUROPEE

SENTENZA DELLA CORTE

(Grande Sezione)

13 maggio 2014 (*)

 

«Datipersonali – Tutela delle persone fisiche con riguardo al trattamento ditali dati – Direttiva 95/46/CE – Articoli 2, 4, 12 e 14 –Ambito di applicazione materiale e territoriale – Motori di ricerca suInternet – Trattamento dei dati contenuti in siti web – Ricerca,indicizzazione e memorizzazione di tali dati – Responsabilità del gestoredel motore di ricerca – Stabilimento nel territorio di uno Stato membro– Portata degli obblighi di tale gestore e dei diritti della personainteressata – Carta dei diritti fondamentali dell'Unione europea –Articoli 7 e 8»

Nellacausa C-131/12,

aventead oggetto la domanda di pronuncia pregiudiziale proposta alla Corte, ai sensidell'articolo 267 TFUE, dall'Audiencia Nacional (Spagna), con decisione del 27febbraio 2012, pervenuta in cancelleria il 9 marzo 2012, nel procedimento

Google Spain SL,

GoogleInc.

contro

Agencia Espanola de Proteccion de Datos (AEPD),

Mario Costeja González,

 

LACORTE (Grande Sezione),

compostada V. Skouris, presidente, K. Lenaerts, vicepresidente, M. Ilešič(relatore), L. Bay Larsen, T. von Danwitz, M. Safjan, presidenti di sezione, J.Malenovský, E. Levits, A. Ó Caoimh, A. Arabadjiev, M. Berger, A. Prechale E. Jarašiūnas, giudici,

avvocatogenerale: N. Jääskinen

cancelliere:M. Ferreira, amministratore principale

vistala fase scritta del procedimento e in seguito all'udienza del 26 febbraio 2013,

consideratele osservazioni presentate:

–per Google Spain SL e Google Inc., da F. González Díaz, J. Bano Fos e B.Holles, abogados;

–per M. Costeja González, da J. Munoz Rodríguez, abogado;

–per il governo spagnolo, da A. Rubio González, in qualità di agente;

–per il governo ellenico, da E.-M. Mamouna e K. Boskovits, in qualità di agenti;

– per il governo italiano, da G. Palmieri, inqualità di agente, assistita da P. Gentili, avvocato dello Stato;

–per il governo austriaco, da G. Kunnert e C. Pesendorfer, in qualità di agenti;

–per il governo polacco, da B. Majczyna e M. Szpunar, in qualità di agenti;

–per la Commissione europea, da I. Martínez del Peral e B. Martenczuk, inqualità di agenti,

sentitele conclusioni dell'avvocato generale, presentate all'udienza del 25 giugno2013,

hapronunciato la seguente

Sentenza

1 Ladomanda di pronuncia pregiudiziale verte sull'interpretazione degli articoli 2,lettere b) e d), 4, paragrafo 1, lettere a) e c), 12, lettera b), e 14, primocomma, lettera a), della direttiva 95/46/CE del Parlamento europeo e delConsiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche conriguardo al trattamento dei dati personali, nonché alla libera circolazione ditali dati (GU L 281, pag. 31), nonché dell'articolo 8 della Carta dei dirittifondamentali dell'Unione europea (in prosieguo: la «Carta»).

2Tale domanda è stata proposta nell'ambito di una controversia che oppone lesocietà Google Spain SL (in prosieguo: «Google Spain») e Google Inc.all'Agencia Espanola de Proteccion de Datos (AEPD) (Agenzia di protezione deidati; in prosieguo: l'«AEPD») e al sig. Costeja González, in merito ad unadecisione di detta Agenzia che ha accolto la denuncia depositata dal sig.Costeja González contro le due società suddette e ha ordinato a Google Inc. diadottare le misure necessarie per rimuovere dai propri indici alcuni datipersonali riguardanti detto interessato e di impedire in futuro l'accesso atali dati.

Contesto normativo

Dirittodell'Unione

3 Ladirettiva 95/46 – che, ai sensi del suo articolo 1, ha per oggetto latutela dei diritti e delle libertà fondamentali delle persone fisiche, esegnatamente del diritto alla vita privata, con riguardo al trattamento deidati personali, nonché l'eliminazione degli ostacoli alla libera circolazionedi tali dati – enuncia, ai considerando 2, 10, da 18 a 20, e 25, quantosegue:

«(2)considerando che i sistemi di trattamento dei dati sono al servizio dell'uomo;che essi, indipendentemente dalla nazionalità o dalla residenza delle personefisiche, debbono rispettare le libertà e i diritti fondamentali delle stesse,in particolare la vita privata, e debbono contribuire al (...) benessere degliindividui;

(...)

(10)considerando che le legislazioni nazionali relative al trattamento dei datipersonali hanno lo scopo di garantire il rispetto dei diritti e delle libertàfondamentali, in particolare del diritto alla vita privata, riconosciuto anchedall'articolo 8 della

Convenzione europea per la salvaguardia dei dirittidell'uomo e delle libertà fondamentali[, firmata a Roma il 4 novembre 1950,] edai principi generali del diritto comunitario; che pertanto il ravvicinamentodi dette legislazioni non deve avere per effetto un indebolimento della tutelada esse assicurata ma deve anzi mirare a garantire un elevato grado di tutela nellaComunità;

(...)

(18)considerando che, onde evitare che una persona venga privata della tutela cuiha diritto in forza della presente direttiva, è necessario che qualsiasitrattamento di dati personali effettuato nella Comunità rispetti lalegislazione di uno degli Stati membri; che, a questo proposito, è opportunoassoggettare i trattamenti effettuati da una persona che opera sotto l'autoritàdel responsabile del trattamento stabilito in uno Stato membro alla legge ditale Stato;

(19)considerando che lo stabilimento nel territorio di uno Stato membro implical'esercizio effettivo e reale dell'attività mediante un'organizzazione stabile;che la forma giuridica di siffatto stabilimento, si tratti di una semplicesuccursale o di una filiale dotata di personalità giuridica, non è il fattoredeterminante a questo riguardo; che quando un unico responsabile deltrattamento è stabilito nel territorio di diversi Stati membri, in particolareper mezzo di filiali, esso deve assicurare, segnatamente per evitare che ledisposizioni vengano eluse, che ognuno degli stabilimenti adempia gli obblighiprevisti dalla legge nazionale applicabile alle attività di ciascuno di essi;

(20)considerando che la tutela delle persone prevista dalla presente direttiva nondeve essere impedita dal fatto che il responsabile del trattamento siastabilito in un paese terzo; che, in tal caso, è opportuno che i trattamentieffettuati siano disciplinati dalla legge dello Stato membro nel quale sonoubicati i mezzi utilizzati per il trattamento in oggetto e che siano prese legaranzie necessarie per consentire l'effettivo rispetto dei diritti e degliobblighi previsti dalla presente direttiva;

(...)

(25)considerando che i principi di tutela si esprimono, da un lato, nei variobblighi a carico delle persone (...) [che trattano dati], obblighi relativi inparticolare alla qualità dei dati, alla sicurezza tecnica, alla notificazioneall'autorità di controllo, alle circostanze in cui il trattamento può essereeffettuato, e, dall'altro, nel diritto delle persone, i cui dati sono oggettodi trattamento, di esserne informate, di poter accedere ai dati, e chiederne larettifica, o di opporsi al trattamento in talune circostanze».

4L'articolo 2 della direttiva 95/46 prevede che «[a]i fini [di tale] direttivasi intende per:

a)"dati personali": qualsiasi informazione concernente una persona fisicaidentificata o identificabile ("persona interessata"); si consideraidentificabile la persona che può essere identificata, direttamente oindirettamente, in particolare mediante riferimento ad un numero diidentificazione o ad uno o più elementi specifici caratteristici della suaidentità fisica, fisiologica, psichica, economica, culturale o sociale;

b)"trattamento di dati personali" ("trattamento"): qualsiasi operazione o insiemedi operazioni compiute con o senza l'ausilio di processi automatizzati eapplicate a dati personali, come la raccolta, la registrazione,l'organizzazione, la conservazione, l'elaborazione o la modifica, l'estrazione,la consultazione, l'impiego, la comunicazione

mediante trasmissione, diffusione o qualsiasi altraforma di messa a disposizione, il raffronto o l'interconnessione, nonché ilcongelamento, la cancellazione o la distruzione;

(...)

d)"responsabile del trattamento": la persona fisica o giuridica, l'autoritàpubblica, il servizio o qualsiasi altro organismo che, da solo o insieme adaltri, determina le finalità e gli strumenti del trattamento di dati personali.Quando le finalità e i mezzi del trattamento sono determinati da disposizionilegislative o regolamentari nazionali o comunitarie, il responsabile deltrattamento o i criteri specifici per la sua designazione possono esserefissati dal diritto nazionale o comunitario;

(...)».

5L'articolo 3 della citata direttiva, intitolato «Campo d'applicazione»,enuncia, al paragrafo 1, quanto segue:

«Ledisposizioni della presente direttiva si applicano al trattamento di datipersonali interamente o parzialmente automatizzato nonché al trattamento nonautomatizzato di dati personali contenuti o destinati a figurare negliarchivi».

6L'articolo 4 della stessa direttiva, intitolato «Diritto nazionaleapplicabile», prevede:

«1.Ciascuno Stato membro applica le disposizioni nazionali adottate perl'attuazione della presente direttiva al trattamento di dati personali:

a)effettuato nel contesto delle attività di uno stabilimento del responsabile deltrattamento nel territorio dello Stato membro; qualora uno stesso responsabiledel trattamento sia stabilito nel territorio di più Stati membri, esso deveadottare le misure necessarie per assicurare l'osservanza, da parte di ciascunodi detti stabilimenti, degli obblighi stabiliti dal diritto nazionaleapplicabile;

b)il cui responsabile non è stabilito nel territorio dello Stato membro, ma in unluogo in cui si applica la sua legislazione nazionale, a norma del dirittointernazionale pubblico;

c)il cui responsabile, non stabilito nel territorio della Comunità, ricorre, aifini del trattamento di dati personali, a strumenti, automatizzati o non automatizzati,situati nel territorio di detto Stato membro, a meno che questi non sianoutilizzati ai soli fini di transito nel territorio della Comunità europea.

2.Nella fattispecie di cui al paragrafo 1, lettera c), il responsabile deltrattamento deve designare un rappresentante stabilito nel territorio di dettoStato membro, fatte salve le azioni che potrebbero essere promosse contro lostesso responsabile del trattamento».

7Nell'ambito del capo II della direttiva 95/46, segnatamente nella sezione I, intitolata«Principi relativi alla qualità dei dati», l'articolo 6 dispone quanto segue:

«1.Gli Stati membri dispongono che i dati personali devono essere:

a)trattati lealmente e lecitamente;

b) rilevati per finalità determinate, esplicite elegittime, e successivamente trattati in modo non incompatibile con talifinalità. Il trattamento successivo dei dati per scopi storici, statistici oscientifici non è ritenuto incompatibile, purché gli Stati membri forniscanogaranzie appropriate;

c)adeguati, pertinenti e non eccedenti rispetto alle finalità per le qualivengono rilevati e/o per le quali vengono successivamente trattati;

d)esatti e, se necessario, aggiornati; devono essere prese tutte le misureragionevoli per cancellare o rettificare i dati inesatti o incompleti rispettoalle finalità per le quali sono rilevati o sono successivamente trattati,cancellati o rettificati;

e)conservati in modo da consentire l'identificazione delle persone interessateper un arco di tempo non superiore a quello necessario al conseguimento dellefinalità per le quali sono rilevati o sono successivamente trattati. Gli Statimembri prevedono garanzie adeguate per i dati personali conservati oltre ilsuddetto arco di tempo per motivi storici, statistici o scientifici.

2.Il responsabile del trattamento è tenuto a garantire il rispetto delledisposizioni del paragrafo 1».

8Nel capo II della direttiva 95/46, all'interno della sezione II, intitolata«Principi relativi alla legittimazione del trattamento dei dati», l'articolo 7recita così:

«GliStati membri dispongono che il trattamento di dati personali può essereeffettuato soltanto quando:

(...)

f) ènecessario per il perseguimento dell'interesse legittimo del responsabile deltrattamento oppure del o dei terzi cui vengono comunicati i dati, a condizioneche non prevalgano l'interesse o i diritti e le libertà fondamentali dellapersona interessata, che richiedono tutela ai sensi dell'articolo 1, paragrafo1».

9L'articolo 9 della citata direttiva, intitolato «Trattamento di dati personalie libertà d'espressione», ha il seguente tenore:

«GliStati membri prevedono, per il trattamento di dati personali effettuatoesclusivamente a scopi giornalistici o di espressione artistica o letteraria,le esenzioni o le deroghe alle disposizioni del presente capo e dei capi IV eVI solo qualora si rivelino necessarie per conciliare il diritto alla vitaprivata con le norme sulla libertà d'espressione».

10L'articolo 12 della medesima direttiva, intitolato «Diritto di accesso», cosìdispone:

«GliStati membri garantiscono a qualsiasi persona interessata il diritto diottenere dal responsabile del trattamento:

(...)

b) aseconda dei casi, la rettifica, la cancellazione o il congelamento dei dati ilcui trattamento non è conforme alle disposizioni della presente direttiva, inparticolare a causa del carattere incompleto o inesatto dei dati;

(...)».

11L'articolo 14 della direttiva 95/46, intitolato «Diritto di opposizione dellapersona interessata», ha il seguente tenore:

«GliStati membri riconoscono alla persona interessata il diritto:

a)almeno nei casi di cui all'articolo 7, lettere e) e f), di opporsi in qualsiasimomento, per motivi preminenti e legittimi, derivanti dalla sua situazioneparticolare, al trattamento di dati che la riguardano, salvo disposizionecontraria prevista dalla normativa nazionale. In caso di opposizionegiustificata il trattamento effettuato dal responsabile non può più riguardaretali dati;

(...)».

12L'articolo 28 di detta direttiva, intitolato «Autorità di controllo», è cosìformulato:

«1.Ogni Stato membro dispone che una o più autorità pubbliche siano incaricate disorvegliare, nel suo territorio, l'applicazione delle disposizioni diattuazione della presente direttiva, adottate dagli Stati membri.

(...)

3.Ogni autorità di controllo dispone in particolare:

–di poteri investigativi, come il diritto di accesso ai dati oggetto ditrattamento e di raccolta di qualsiasi informazione necessaria all'eserciziodella sua funzione di controllo;

–di poteri effettivi d'intervento, come quello (...) di ordinare ilcongelamento, la cancellazione o la distruzione dei dati, oppure di vietare atitolo provvisorio o definitivo un trattamento (...);

–(...).

Èpossibile un ricorso giurisdizionale avverso le decisioni dell'autorità dicontrollo recanti pregiudizio.

4.Qualsiasi persona, o associazione che la rappresenti, può presentare aun'autorità di controllo una domanda relativa alla tutela dei suoi diritti elibertà con riguardo al trattamento di dati personali. La persona interessataviene informata del seguito dato alla sua domanda.

(...)

6.Ciascuna autorità di controllo, indipendentemente dalla legge nazionaleapplicabile al trattamento in questione, è competente per esercitare, nelterritorio del suo Stato membro, i poteri attribuitile a norma del paragrafo 3.Ciascuna autorità può essere invitata ad esercitare i suoi poteri su domandadell'autorità di un altro Stato membro.

Leautorità di controllo collaborano tra loro nella misura necessaria allosvolgimento dei propri compiti, in particolare scambiandosi ogni informazioneutile.

(...)».

Diritto spagnolo

13La direttiva 95/46 è stata trasposta nell'ordinamento spagnolo mediante lalegge organica n. 15/1999, del 13 dicembre 1999, relativa alla tutela dei datipersonali (BOE n. 298, del 14 dicembre 1999, pag. 43088).

Procedimento principale e questioni pregiudiziali

14Il 5 marzo 2010, il sig. Costeja González, cittadino spagnolo con domicilio inSpagna, ha presentato dinanzi all'AEPD un reclamo contro La VanguardiaEdiciones SL, che pubblica un quotidiano di larga diffusione, soprattutto inCatalogna (Spagna) (in prosieguo: «La Vanguardia»), nonché contro Google Spaine Google Inc. Tale reclamo era fondato sul fatto che, allorché un utente diInternet introduceva il nome del sig. Costeja González nel motore di ricercadel gruppo Google (in prosieguo: «Google Search»), otteneva dei link verso duepagine del quotidiano di La Vanguardia rispettivamente del 19 gennaio e del 9marzo 1998, sulle quali figurava un annuncio, menzionante il nome del sig.Costeja González, per una vendita all'asta di immobili connessa ad unpignoramento effettuato per la riscossione coattiva di crediti previdenziali.

15Mediante detto reclamo, il sig. Costeja González chiedeva, da un lato, chefosse ordinato a La Vanguardia di sopprimere o modificare le pagine suddetteaffinché i suoi dati personali non vi comparissero più, oppure di ricorrere ataluni strumenti forniti dai motori di ricerca per proteggere tali dati.Dall'altro lato, egli chiedeva che fosse ordinato a Google Spain o a GoogleInc. di eliminare o di occultare i suoi dati personali, in modo che cessasserodi comparire tra i risultati di ricerca e non figurassero più nei link di LaVanguardia. Il sig. Costeja González affermava in tale contesto che ilpignoramento, che era stato effettuato nei suoi confronti, era stato interamentedefinito da svariati anni e che la menzione dello stesso era ormai priva diqualsiasi rilevanza.

16Con decisione del 30 luglio 2010, l'AEPD ha respinto il suddetto reclamo nellaparte in cui era diretto contro La Vanguardia, ritenendo che la pubblicazioneda parte di quest'ultima delle informazioni in questione fosse legalmentegiustificata, dato che aveva avuto luogo su ordine del Ministero del Lavoro edegli Affari sociali e aveva avuto lo scopo di conferire il massimo dipubblicità alla vendita pubblica, al fine di raccogliere il maggior numero dipartecipanti all'asta.

17Detto reclamo è stato invece accolto nella parte in cui era diretto controGoogle Spain e Google Inc. L'AEPD ha considerato in proposito che i gestori dimotori di ricerca sono assoggettati alla normativa in materia di protezione deidati, dato che essi effettuano un trattamento di dati per il quale sonoresponsabili e agiscono quali intermediari della società dell'informazione.L'AEPD ha ritenuto di essere autorizzata ad ordinare la rimozione dei datinonché il divieto di accesso a taluni dati da parte dei gestori di motori diricerca, qualora essa ritenga che la localizzazione e la diffusione deglistessi possano ledere il diritto fondamentale alla protezione dei dati e la dignitàdelle persone in senso ampio, ciò che includerebbe anche la semplice volontàdella persona interessata che tali dati non siano conosciuti da terzi. L'AEPDha affermato che tale obbligo può incombere direttamente ai gestori di motoridi ricerca, senza che sia necessario cancellare i dati o le informazioni dalsito web in cui questi compaiono, segnatamente quando il mantenimento di taliinformazioni nel sito in questione sia giustificato da una norma di legge.

18 Google Spain e Google Inc. hanno proposto duericorsi separati contro la decisione di cui sopra dinanzi all'AudienciaNacional, dei quali quest'ultima ha disposto la riunione.

19Detto giudice chiarisce nella decisione di rinvio che i ricorsi sopramenzionati portano a chiedersi quali obblighi incombano ai gestori di motori diricerca per la tutela dei dati personali delle persone interessate, le qualinon desiderino che alcune informazioni, pubblicate sui siti web di terzi econtenenti loro dati personali che consentono di collegare ad esse detteinformazioni, vengano localizzate, indicizzate e messe a disposizione degliutenti di Internet in modo indefinito. La risposta a tale quesito dipenderebbedal modo in cui la direttiva 95/46 deve essere interpretata nel contesto diqueste tecnologie che sono apparse dopo la sua pubblicazione.

20Alla luce di tali considerazioni, l'Audiencia Nacional ha deciso di sospendereil procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali:

«1)Per quanto concerne l'ambito territoriale di applicazione della direttiva[95/46] e, di conseguenza, della normativa spagnola sulla protezione dei dati,si chiede:

a)Se debba ritenersi che esista uno "stabilimento" ai sensi dell'articolo 4,paragrafo 1, lettera a), della direttiva [95/46], qualora ricorrano una o piùdelle seguenti circostanze:

–l'impresa che gestisce il motore di ricerca apre in uno Stato membro unasuccursale o una filiale destinata alla promozione e alla vendita degli spazipubblicitari proposti dal motore di ricerca e l'attività della quale si dirigeagli abitanti di tale Stato;

o

–la società madre designa una filiale situata in tale Stato membro come suorappresentante e responsabile del trattamento di due file specifici contenentii dati dei clienti che hanno stipulato contratti con detta società per lafornitura di servizi pubblicitari;

o

–la succursale o la filiale stabilita in uno Stato membro trasmette alla societàmadre, avente sede al di fuori dell'Unione europea, i reclami e le ingiunzioniche le vengono presentati tanto dalle persone interessate quanto dalle autoritàcompetenti perché sia rispettato il diritto alla protezione dei dati, anchequando tale collaborazione abbia carattere volontario.

b)Se l'articolo 4, paragrafo 1, lettera c), della direttiva [95/46] debba essereinterpretato nel senso che si configura un "ricorso a strumenti situati nelterritorio di detto Stato membro" qualora un motore di ricerca:

–utilizzi dei "web spiders" o dei crawler per localizzare e indicizzare leinformazioni contenute in pagine web alloggiate su server situati in tale Statomembro

o

– utilizzi un nome di dominio proprio di unoStato membro e indirizzi le ricerche e i risultati in funzione della lingua ditale Stato membro.

c)Se possa considerarsi come un ricorso a strumenti, ai sensi dell'articolo 4,paragrafo 1, lettera c), della direttiva [95/46], la memorizzazione temporaneadelle informazioni indicizzate dai motori di ricerca su Internet. In caso dirisposta affermativa a quest'ultimo quesito, se si possa ritenere soddisfattotale criterio di collegamento quando l'impresa si rifiuti di rivelare il luogoin cui archivia detti indici, adducendo ragioni di concorrenza.

d) Aprescindere dalla risposta ai precedenti quesiti, e specialmente nel caso incui la Corte ritenesse inapplicabili i criteri di collegamento previstidall'articolo 4 della direttiva [95/46]:

Se,alla luce dell'articolo 8 della [Carta], la direttiva [95/46] debba essereapplicata nello Stato membro nel quale si trova il centro di gravità delconflitto e nel quale è possibile ottenere una tutela più efficace dei dirittidei cittadini dell'Unione (...).

2)Per quanto concerne l'attività dei motori di ricerca quali fornitori dicontenuti in relazione alla direttiva [95/46], si chiede:

a)Riguardo all'attività [di Google Search] quale fornitore di contenuti,consistente nel localizzare le informazioni pubblicate o messe in rete daterzi, nell'indicizzarle in maniera automatica, nel memorizzarletemporaneamente e infine nel metterle a disposizione degli utenti di Internetsecondo un determinato ordine di preferenza, qualora tali informazionicontengano dati personali di terzi:

Seun'attività come quella descritta debba considerarsi rientrante nella nozionedi "trattamento di dati" ai sensi dell'articolo 2, lettera b), della direttiva[95/46].

b)In caso di risposta affermativa al quesito precedente, e sempre con riferimentoad un'attività come quella sopra descritta:

Sel'articolo 2, lettera d), della direttiva [95/46] debba essere interpretato nelsenso che la società che gestisce [Google Search] deve essere considerata"responsabile del trattamento" dei dati personali contenuti nelle pagine web daessa indicizzate.

c)In caso di risposta affermativa al quesito precedente:

Sel'[AEPD], al fine di tutelare i diritti enunciati agli articoli 12, lettera b),e 14, [primo comma,] lettera a), della direttiva [95/46], possa ordinaredirettamente [a Google Search] di rimuovere dai propri indici un'informazionepubblicata da terzi, senza rivolgersi previamente o simultaneamente al titolaredella pagina web in cui è inserita tale informazione.

d)In caso di risposta affermativa al quesito precedente:

Se imotori di ricerca siano sollevati dall'obbligo di rispettare i diritti di cuisopra qualora l'informazione contenente i dati personali sia stata lecitamentepubblicata da terzi e rimanga sulla pagina web di origine.

3) Per quanto concerne la portata del diritto dicancellazione e/o opposizione al trattamento di dati in relazione al dirittoall'oblio, si chiede:

Sesi debba ritenere che i diritti di cancellazione e congelamento dei dati,disciplinati dall'articolo 12, lettera b), e il diritto di opposizione al lorotrattamento, regolato dall'articolo 14, [primo comma,] lettera a), delladirettiva [95/46], implichino che l'interessato può rivolgersi ai motori diricerca per impedire l'indicizzazione delle informazioni riguardanti la suapersona pubblicate su pagine web di terzi, facendo valere la propria volontàche tali informazioni non siano conosciute dagli utenti di Internet, ove eglireputi che la loro divulgazione possa arrecargli pregiudizio o desideri chetali informazioni siano dimenticate, anche quando si tratti di informazionipubblicate da terzi lecitamente».

Sulle questioni pregiudiziali

Sullaseconda questione, lettere a) e b), concernente l'ambito di applicazionemateriale della direttiva 95/46

21Con la sua seconda questione, lettere a) e b), da esaminarsi per prima, ilgiudice del rinvio chiede, in sostanza, se l'articolo 2, lettera b), delladirettiva 95/46 debba essere interpretato nel senso che l'attività di un motoredi ricerca quale fornitore di contenuti, consistente nel trovare informazionipubblicate o inserite da terzi su Internet, nell'indicizzarle in modoautomatico, nel memorizzarle temporaneamente e, infine, nel metterle adisposizione degli utenti di Internet secondo un determinato ordine dipreferenza, deve essere qualificata come «trattamento di dati personali», aisensi della disposizione suddetta, qualora tali informazioni contengano datipersonali. In caso di risposta affermativa, il giudice del rinvio desiderainoltre sapere se il citato articolo 2, lettera d), debba essere interpretatonel senso che il gestore di un motore di ricerca deve essere considerato comeil «responsabile» del suddetto trattamento di dati personali, ai sensi diquest'ultima disposizione.

22Secondo Google Spain e Google Inc., l'attività dei motori di ricerca non può essereconsiderata quale trattamento dei dati che appaiono sulle pagine web di terzivisualizzate nell'elenco dei risultati della ricerca, dato che detti motori diricerca trattano le informazioni accessibili su Internet nel loro insieme senzaoperare una selezione tra i dati personali e le altre informazioni. Inoltre,anche supponendo che tale attività debba essere qualificata come «trattamentodi dati», il gestore di un motore di ricerca non può essere considerato come«responsabile» di tale trattamento, dal momento che egli non ha conoscenza deidati in questione e non esercita alcun controllo su di essi.

23Per contro, il sig. Costeja González, i governi spagnolo, italiano, austriaco epolacco, nonché la Commissione europea, ritengono che l'attività suddettaimplichi all'evidenza un «trattamento di dati» nel senso di cui alla direttiva95/46, il quale si distingue dal trattamento di dati ad opera degli editori disiti web e persegue obiettivi diversi rispetto a quelli di quest'ultimo. Ilgestore di un motore di ricerca sarebbe «responsabile» del trattamento dei datida questo effettuato, essendo detto gestore a determinare le finalità e glistrumenti di tale trattamento.

24Secondo il governo ellenico, l'attività in questione costituisce un«trattamento» siffatto, ma poiché i motori di ricerca fungono da sempliciintermediari, le imprese che li gestiscono non possono essere considerate«responsabili», ad eccezione del caso in cui esse memorizzino dei

dati in una «memoria intermedia» o una «memoria cache»per un periodo di tempo superiore a quanto tecnicamente necessario.

25 Aquesto proposito occorre rilevare come l'articolo 2, lettera b), delladirettiva 95/46 definisca il «trattamento di dati personali» come «qualsiasioperazione o insieme di operazioni compiute con o senza l'ausilio di processiautomatizzati e applicate a dati personali, come la raccolta, la registrazione,l'organizzazione, la conservazione, l'elaborazione o la modifica, l'estrazione,la consultazione, l'impiego, la comunicazione mediante trasmissione, diffusioneo qualsiasi altra forma di messa a disposizione, il raffronto ol'interconnessione, nonché il congelamento, la cancellazione o la distruzione».

26Per quanto riguarda in particolare Internet, la Corte ha già avuto modo diconstatare che l'operazione consistente nel far comparire su una paginaInternet dati personali va considerata come un «trattamento» siffatto ai sensidell'articolo 2, lettera b), della direttiva 95/46 (v. sentenza Lindqvist,C-101/01, EU:C:2003:596, punto 25).

27Per quanto concerne l'attività in esame nel procedimento principale, non ècontestato che tra i dati trovati, indicizzati, memorizzati dai motori diricerca e messi a disposizione degli utilizzatori di questi ultimi sonopresenti anche informazioni riguardanti persone fisiche identificate oidentificabili, e dunque «dati personali» ai sensi dell'articolo 2, lettera a),della direttiva citata.

28Pertanto, occorre constatare che, esplorando Internet in modo automatizzato,costante e sistematico alla ricerca delle informazioni ivi pubblicate, ilgestore di un motore di ricerca «raccoglie» dati siffatti, che egli «estrae»,«registra» e «organizza» successivamente nell'ambito dei suoi programmi diindicizzazione, «conserva» nei suoi server e, eventualmente, «comunica» e«mette a disposizione» dei propri utenti sotto forma di elenchi dei risultatidelle loro ricerche. Poiché tali operazioni sono contemplate in manieraesplicita e incondizionata all'articolo 2, lettera b), della direttiva 95/46,esse devono essere qualificate come «trattamento» ai sensi di taledisposizione, senza che rilevi il fatto che il gestore del motore di ricercaapplichi le medesime operazioni anche ad altri tipi di informazioni e nondistingua tra queste e i dati personali.

29La constatazione di cui sopra non viene invalidata neppure dal fatto che talidati abbiano già costituito l'oggetto di una pubblicazione su Internet e nonvengano modificati dal suddetto motore di ricerca.

30Infatti, la Corte ha già constatato che le operazioni contemplate dall'articolo2, lettera b), della direttiva 95/46 devono essere considerate come untrattamento siffatto anche nell'ipotesi in cui riguardino esclusivamenteinformazioni già pubblicate tali e quali nei media. La Corte ha infattirilevato, a questo proposito, che una deroga generale all'applicazione delladirettiva 95/46 in un'ipotesi siffatta priverebbe in larga parte del suosignificato tale direttiva (v., in tal senso, sentenza SatakunnanMarkkinapörssi e Satamedia, C-73/07, EU:C:2008:727, punti 48 e 49).

31Inoltre, discende dalla definizione contenuta nell'articolo 2, lettera b),della direttiva 95/46 che, se indubbiamente la modificazione di dati personalicostituisce un trattamento ai sensi della direttiva stessa, le altre operazionimenzionate in tale disposizione non esigono affatto, invece, che i datisuddetti vengano modificati.

32 Quanto alla questione se il gestore di un motore diricerca debba o no essere considerato come il «responsabile del trattamento»dei dati personali effettuato da tale motore nell'ambito di un'attività comequella oggetto del procedimento principale, occorre ricordare che l'articolo 2,lettera d), della direttiva 95/46 definisce detto responsabile come «la personafisica o giuridica, l'autorità pubblica, il servizio o qualsiasi altroorganismo che, da solo o insieme ad altri, determina le finalità e glistrumenti del trattamento di dati personali».

33Orbene, è il gestore del motore di ricerca a determinare le finalità e glistrumenti di tale attività e dunque del trattamento di dati personali che eglistesso effettua nell'ambito dell'attività medesima, ed è di conseguenza lui adover essere considerato come il «responsabile» di tale trattamento a norma delcitato articolo 2, lettera d).

34Inoltre, occorre constatare che sarebbe contrario non soltanto al chiaro tenoreletterale di tale disposizione, ma anche alla sua finalità – consistentenel garantire, mediante un'ampia definizione della nozione di «responsabile»,una tutela efficace e completa delle persone interessate – il fatto diescludere dalla nozione di cui sopra il gestore di un motore di ricerca per ilmotivo che egli non esercita alcun controllo sui dati personali pubblicatisulle pagine web di terzi.

35 Aquesto proposito, occorre sottolineare che il trattamento di dati personalieffettuato nell'ambito dell'attività di un motore di ricerca si distingue da esi aggiunge a quello effettuato dagli editori di siti web, consistente nel farapparire tali dati su una pagina Internet.

36Inoltre, è pacifico che tale attività dei motori di ricerca svolge un ruolodecisivo nella diffusione globale dei dati suddetti, in quanto rendeaccessibili questi ultimi a qualsiasi utente di Internet che effettui unaricerca a partire dal nome della persona interessata, anche a quegli utenti chenon avrebbero altrimenti trovato la pagina web su cui questi stessi dati sonopubblicati.

37Per di più, l'organizzazione e l'aggregazione delle informazioni pubblicate suInternet, realizzate dai motori di ricerca allo scopo di facilitare ai loroutenti l'accesso a dette informazioni, possono avere come effetto che taliutenti, quando la loro ricerca viene effettuata a partire dal nome di unapersona fisica, ottengono attraverso l'elenco di risultati una visionecomplessiva strutturata delle informazioni relative a questa persona reperibilisu Internet, che consente loro di stabilire un profilo più o meno dettagliatodi quest'ultima.

38Pertanto, nella misura in cui l'attività di un motore di ricerca può incidere,in modo significativo e in aggiunta all'attività degli editori di siti web, suidiritti fondamentali alla vita privata e alla protezione dei dati personali, ilgestore di tale motore di ricerca quale soggetto che determina le finalità egli strumenti di questa attività deve assicurare, nell'ambito delle sueresponsabilità, delle sue competenze e delle sue possibilità, che dettaattività soddisfi le prescrizioni della direttiva 95/46, affinché le garanziepreviste da quest'ultima possano sviluppare pienamente i loro effetti e possaessere effettivamente realizzata una tutela efficace e completa delle personeinteressate, in particolare del loro diritto al rispetto della loro vitaprivata.

39Infine, la circostanza che gli editori di siti web abbiano la facoltà diindicare ai gestori di motori di ricerca, con l'aiuto segnatamente diprotocolli di esclusione come «robot.txt» o di codici come «noindex» o«noarchive», il loro desiderio che una determinata informazione, pubblicata sulloro sito, venga esclusa in tutto o in parte dagli indici automatici di dettimotori di ricerca, non significa che la mancanza di un'indicazione siffatta daparte di questi editori

liberi il gestore di un motore di ricerca dalla suaresponsabilità per il trattamento dei dati personali che egli effettuanell'ambito dell'attività del motore stesso.

40Infatti, tale circostanza non modifica il fatto che le finalità e gli strumentidel citato trattamento sono determinati da detto gestore. Inoltre, anchesupponendo che la summenzionata facoltà degli editori di siti web significhiche costoro determinano insieme con il suddetto gestore gli strumenti di taletrattamento, tale circostanza nulla toglierebbe alla responsabilità diquest'ultimo, dato che l'articolo 2, lettera d), della direttiva 95/46 prevedeespressamente che tale determinazione possa essere effettuata «da solo oinsieme ad altri».

41Alla luce di quanto sopra esposto, occorre rispondere alla seconda questione,lettere a) e b), dichiarando che l'articolo 2, lettere b) e d), della direttiva95/46 deve essere interpretato nel senso che, da un lato, l'attività di unmotore di ricerca consistente nel trovare informazioni pubblicate o inserite daterzi su Internet, nell'indicizzarle in modo automatico, nel memorizzarletemporaneamente e, infine, nel metterle a disposizione degli utenti di Internetsecondo un determinato ordine di preferenza, deve essere qualificata come«trattamento di dati personali», ai sensi del citato articolo 2, lettera b),qualora tali informazioni contengano dati personali, e che, dall'altro lato, ilgestore di detto motore di ricerca deve essere considerato come il«responsabile» del trattamento summenzionato, ai sensi dell'articolo 2, letterad), di cui sopra.

Sullaprima questione, lettere da a) a d), concernente l'ambito di applicazioneterritoriale della direttiva 95/46

42Con la sua prima questione, lettere da a) a d), il giudice del rinvio mira astabilire se sia possibile applicare la normativa nazionale di recepimentodella direttiva 95/46 in circostanze quali quelle in esame nel procedimentoprincipale.

43In tale contesto, il giudice del rinvio ha accertato i seguenti fatti:

–Google Search viene proposto a livello mondiale tramite il sito web«www.google.com». In numerosi Stati esistono versioni locali adattate allalingua nazionale. La versione in lingua spagnola di Google Search vieneproposta tramite il sito web «www.google.es», registrato dal 16 settembre 2003.Google Search è uno dei motori di ricerca più utilizzati in Spagna.

–Google Search è gestito da Google Inc., che è la società madre del gruppoGoogle e la cui sede sociale si trova negli Stati Uniti.

–Google Search indicizza i siti web del mondo intero, e tra questi i sitiubicati in Spagna. Le informazioni indicizzate dai suoi «web spiders» o daisuoi crawler, ossia programmi informatici utilizzati per reperire escandagliare il contenuto delle pagine web in modo metodico e automatizzato,vengono memorizzate temporaneamente in server dei quali si ignora lo Stato diubicazione, informazione questa che viene mantenuta segreta per ragioni diconcorrenza.

–Google Search non si limita a dare accesso ai contenuti ospitati sui siti webindicizzati, ma sfrutta tale attività per includere, dietro pagamento,pubblicità associate ai termini di ricerca introdotti dagli utenti di Internet,a beneficio di imprese che desiderano utilizzare tale mezzo per offrire i lorobeni o servizi a tali utenti.

– Il gruppo Google utilizza la propria filialeGoogle Spain per la promozione delle vendite di spazi pubblicitari generati sulsito web «www.google.com». Google Spain, che è stata costituita il 3 settembre2003 e che gode di personalità giuridica autonoma, ha la propria sede sociale aMadrid (Spagna). Essa sviluppa le proprie attività essenzialmente adestinazione delle imprese basate in Spagna, operando quale agente commercialedel gruppo suddetto in tale Stato membro. Il suo oggetto sociale consiste nelpromuovere, facilitare ed effettuare la vendita di prodotti e di servizi dipubblicità online a terzi, nonché il marketing di questa pubblicità.

–Google Inc. ha designato Google Spain come responsabile del trattamento, inSpagna, di due file registrati da Google Inc. presso l'AEPD, tenendo presenteche tali file hanno lo scopo di contenere i dati personali dei clienti chehanno concluso contratti di servizi pubblicitari con Google Inc.

44In concreto, il giudice del rinvio si interroga, in via principale, in meritoalla nozione di «stabilimento», ai sensi dell'articolo 4, paragrafo 1, letteraa), della direttiva 95/46, e a quella di «ricorso a strumenti situati nelterritorio di detto Stato membro», ai sensi dell'articolo 4, paragrafo 1,lettera c), della medesima direttiva.

Sullaprima questione, lettera a)

45Con la sua prima questione, lettera a), il giudice del rinvio chiede, insostanza, se l'articolo 4, paragrafo 1, lettera a), della direttiva 95/46 debbaessere interpretato nel senso che un trattamento di dati personali vieneeffettuato nel contesto delle attività di uno stabilimento del responsabile ditale trattamento nel territorio di uno Stato membro, ai sensi delladisposizione di cui sopra, qualora una o più delle seguenti tre condizionisiano soddisfatte:

–il gestore di un motore di ricerca apre in uno Stato membro una succursale ouna filiale destinata alla promozione e alla vendita degli spazi pubblicitariproposti dal motore di ricerca e l'attività della quale si dirige agli abitantidi tale Stato, oppure

–la società madre designa una filiale situata in tale Stato membro come suorappresentante e responsabile del trattamento di due file specifici contenentii dati dei clienti che hanno stipulato contratti con detta società per lafornitura di servizi pubblicitari, oppure

–la succursale o la filiale stabilita in uno Stato membro trasmette alla societàmadre, avente sede al di fuori dell'Unione, i reclami e le ingiunzioni che levengono presentati tanto dalle persone interessate quanto dalle autoritàcompetenti perché sia rispettato il diritto alla protezione dei dati personali,anche quando tale collaborazione abbia carattere volontario.

46Per quanto riguarda la prima di queste tre condizioni, il giudice del rinviorileva che Google Search è gestito e amministrato da Google Inc., e che non èdimostrato che Google Spain realizzi in Spagna un'attività direttamenteconnessa all'indicizzazione o alla memorizzazione di informazioni o di daticontenuti nei siti web di terzi. Tuttavia, l'attività di promozione e divendita degli spazi pubblicitari, di cui si occupa Google Spain per la Spagna,costituirebbe la parte essenziale dell'attività commerciale del gruppo Google epotrebbe essere considerata come strettamente connessa a Google Search.

47 Il sig. Costeja González, i governi spagnolo,italiano, austriaco e polacco, nonché la Commissione, ritengono che, tenutoconto del nesso inscindibile tra l'attività del motore di ricerca gestito daGoogle Inc. e quella di Google Spain, quest'ultima debba essere considerata comeuno stabilimento della prima, nel contesto delle cui attività viene effettuatoil trattamento di dati personali. Invece, secondo Google Spain, Google Inc. edil governo ellenico, l'articolo 4, paragrafo 1, lettera a), della direttiva95/46 non trova applicazione nell'ipotesi corrispondente alla prima delle trecondizioni elencate dal giudice del rinvio.

48 Aquesto proposito occorre anzitutto rilevare che il considerando 19 delladirettiva 95/46 precisa che «lo stabilimento nel territorio di uno Stato membroimplica l'esercizio effettivo e reale dell'attività mediante un'organizzazionestabile», e «che la forma giuridica di siffatto stabilimento, si tratti di unasemplice succursale o di una filiale dotata di personalità giuridica, non è ilfattore determinante a questo riguardo».

49Orbene, non è contestato che Google Spain si dedica all'esercizio effettivo ereale di un'attività mediante un'organizzazione stabile in Spagna. Essendoinoltre dotata di una personalità giuridica propria, detta società costituiscein tal modo una filiale di Google Inc. nel territorio spagnolo e, diconseguenza, uno «stabilimento» ai sensi dell'articolo 4, paragrafo 1, letteraa), della direttiva 95/46.

50Al fine di soddisfare il criterio fissato da questa disposizione, è altresìnecessario che il trattamento di dati personali ad opera del responsabile dellostesso venga «effettuato nel contesto delle attività» di uno stabilimento diquesto responsabile nel territorio di uno Stato membro.

51Google Spain e Google Inc. negano che tale situazione sussista nel caso dispecie, dal momento che il trattamento di dati personali in esame nelprocedimento principale viene effettuato esclusivamente da Google Inc., chegestisce Google Search senza alcun intervento da parte di Google Spain, la cuiattività si limita alla fornitura di un sostegno all'attività pubblicitaria delgruppo Google, che si differenzia dal suo servizio di motore di ricerca.

52Tuttavia, come sottolineato in particolare dal governo spagnolo e dallaCommissione, l'articolo 4, paragrafo 1, lettera a), della direttiva 95/46 nonesige che il trattamento di dati personali in questione venga effettuato«dallo» stesso stabilimento interessato, bensì soltanto che venga effettuato«nel contesto delle attività» di quest'ultimo.

53Inoltre, alla luce dell'obiettivo della direttiva 95/46 di garantire una tutelaefficace e completa delle libertà e dei diritti fondamentali delle personefisiche, segnatamente del diritto alla vita privata, con riguardo altrattamento dei dati personali, l'espressione suddetta non può ricevereun'interpretazione restrittiva (v., per analogia, sentenza L'Oréal e a.,C-324/09, EU:C:2011:474, punti 62 e 63).

54In tali circostanze, occorre rilevare che risulta in particolare daiconsiderando da 18 a 20 e dall'articolo 4 della direttiva 95/46 che illegislatore dell'Unione ha inteso evitare che una persona venga esclusa dallaprotezione garantita da tale direttiva e che tale protezione venga elusa,prevedendo a tal fine un ambito di applicazione territoriale particolarmenteesteso.

55Tenuto conto di tale obiettivo della direttiva 95/46 e del tenore letterale delsuo articolo 4, paragrafo 1, lettera a), occorre affermare che il trattamentodi dati personali realizzato per le esigenze di servizio di un motore diricerca come Google Search, il quale venga gestito da un'impresa con sede inuno Stato terzo ma avente uno stabilimento in uno Stato membro,

viene effettuato «nel contesto delle attività» di talestabilimento qualora quest'ultimo sia destinato a garantire, in tale Statomembro, la promozione e la vendita degli spazi pubblicitari proposti dalsuddetto motore di ricerca, che servono a rendere redditizio il servizioofferto da quest'ultimo.

56Infatti, in circostanze del genere, le attività del gestore del motore diricerca e quelle del suo stabilimento situato nello Stato membro interessatosono inscindibilmente connesse, dal momento che le attività relative agli spazipubblicitari costituiscono il mezzo per rendere il motore di ricerca inquestione economicamente redditizio e che tale motore è, al tempo stesso, lostrumento che consente lo svolgimento di dette attività.

57 Aquesto proposito occorre ricordare che, come si è precisato ai punti da 26 a 28della presente sentenza, la visualizzazione stessa di dati personali su unapagina di risultati di una ricerca costituisce un trattamento di datipersonali. Orbene, poiché la suddetta visualizzazione di risultati èaccompagnata, sulla stessa pagina, da quella di pubblicità correlate ai terminidi ricerca, è giocoforza constatare che il trattamento di dati personali inquestione viene effettuato nel contesto dell'attività pubblicitaria ecommerciale dello stabilimento del responsabile del trattamento nel territoriodi uno Stato membro, nella fattispecie il territorio spagnolo.

58Date tali circostanze, non si può accettare che il trattamento di datipersonali effettuato per le esigenze del funzionamento del suddetto motore diricerca venga sottratto agli obblighi e alle garanzie previsti dalla direttiva95/46, ciò che pregiudicherebbe l'effetto utile di quest'ultima e la tutelaefficace e completa delle libertà e dei diritti fondamentali delle personefisiche che detta direttiva mira a garantire (v., per analogia, sentenzaL'Oréal e a., EU:C:2011:474, punti 62 e 63), segnatamente il diritto alrispetto della loro vita privata, con riguardo al trattamento dei datipersonali, al quale detta direttiva riconosce un'importanza particolare, comeconfermato segnatamente dall'articolo 1, paragrafo 1, e dai considerando 2 e 10della direttiva medesima (v., in tal senso, sentenze Österreichischer Rundfunke a., C-465/00, C-138/01 e C-139/01, EU:C:2003:294, punto 70; Rijkeboer,C-553/07, EU:C:2009:293, punto 47, nonché IPI, C-473/12, EU:C:2013:715, punto28 e la giurisprudenza ivi citata).

59Dal momento che la prima delle tre condizioni elencate dal giudice del rinvio èsufficiente di per sé sola per concludere che uno stabilimento come GoogleSpain soddisfa il criterio previsto dall'articolo 4, paragrafo 1, lettera a),della direttiva 95/46, non è necessario esaminare le altre due condizioni.

60Alla luce delle considerazioni di cui sopra, occorre rispondere alla prima questione,lettera a), dichiarando che l'articolo 4, paragrafo 1, lettera a), delladirettiva 95/46 deve essere interpretato nel senso che un trattamento di datipersonali viene effettuato nel contesto delle attività di uno stabilimento delresponsabile di tale trattamento nel territorio di uno Stato membro, ai sensidella disposizione suddetta, qualora il gestore di un motore di ricerca apra inuno Stato membro una succursale o una filiale destinata alla promozione e allavendita degli spazi pubblicitari proposti da tale motore di ricerca el'attività della quale si dirige agli abitanti di detto Stato membro.

Sullaprima questione, lettere da b) a d)

61Tenuto conto della soluzione data alla prima questione, lettera a), non vi èluogo a rispondere alla prima questione, lettere da b) a d).

Sulla seconda questione, lettere c) e d), concernentel'estensione della responsabilità del gestore di un motore di ricerca ai sensidella direttiva 95/46

62Con la sua seconda questione, lettere c) e d), il giudice del rinvio chiede, insostanza, se gli articoli 12, lettera b), e 14, primo comma, lettera a), delladirettiva 95/46 debbano essere interpretati nel senso che, per rispettare idiritti previsti da tali disposizioni, il gestore di un motore di ricerca èobbligato a sopprimere, dall'elenco di risultati che appare a seguito di unaricerca effettuata a partire dal nome di una persona, dei link verso pagine webpubblicate da terzi e contenenti informazioni relative a questa persona, anchenel caso in cui tale nome o tali informazioni non vengano previamente osimultaneamente cancellati dalle pagine web di cui trattasi, e ciòeventualmente anche quando la loro pubblicazione su tali pagine sia di per sélecita.

63Google Spain e Google Inc. ritengono che, in virtù del principio diproporzionalità, qualsiasi domanda diretta alla soppressione di informazionidebba essere indirizzata all'editore del sito web interessato, in quantoquest'ultimo è colui che assume la responsabilità di rendere pubbliche leinformazioni, che è in grado di valutare la liceità di tale pubblicazione e chedispone dei mezzi più efficaci e meno restrittivi per rendere inaccessibili leinformazioni stesse. Inoltre, imporre al gestore di un motore di ricerca dirimuovere dai propri indici informazioni pubblicate su Internet non terrebbesufficientemente conto dei diritti fondamentali degli editori di siti web,degli altri utenti di Internet, nonché dello stesso gestore.

64Secondo il governo austriaco, un'autorità di controllo nazionale può ordinare atale gestore di cancellare dai propri archivi informazioni pubblicate da terziunicamente nel caso in cui l'illiceità o l'inesattezza dei dati in questionesia stata previamente constatata o la persona interessata abbia presentato consuccesso un'opposizione dinanzi all'editore del sito web sul quale taliinformazioni sono state pubblicate.

65Il sig. Costeja González, i governi spagnolo, italiano e polacco, nonché laCommissione, ritengono che l'autorità nazionale possa ordinare direttamente algestore di un motore di ricerca di rimuovere dai propri indici e dalla propriamemoria intermedia informazioni contenenti dati personali pubblicati da terzi,senza doversi rivolgere previamente o simultaneamente all'editore della paginaweb nella quale compaiono tali informazioni. Oltre a ciò, ad avviso del sig.Costeja González, dei governi spagnolo e italiano nonché della Commissione, lacircostanza che le informazioni suddette siano state pubblicate in modo lecitoe ancora compaiano sulla pagina web d'origine non incide sugli obblighiincombenti a detto gestore in forza della direttiva 95/46. Invece, per ilgoverno polacco, tale circostanza è idonea a liberare il gestore del motore diricerca dai propri obblighi.

66In via preliminare, occorre ricordare che, come risulta dall'articolo 1 e dalconsiderando 10 della direttiva 95/46, quest'ultima mira a garantire un livelloelevato di protezione delle libertà e dei diritti fondamentali delle personefisiche, in particolare del diritto alla vita privata, con riguardo altrattamento dei dati personali (v., in tal senso, sentenza IPI, EU:C:2013:715,punto 28).

67 Amente del considerando 25 della direttiva 95/46, i principi di tutela previstida quest'ultima si esprimono, da un lato, nei vari obblighi a carico dei soggettiche trattano dati – obblighi relativi in particolare alla qualità deidati, alla sicurezza tecnica, alla notificazione all'autorità di controllo,alle circostanze in cui il trattamento può essere effettuato – e,dall'altro, nel diritto delle persone, i cui dati sono oggetto di trattamento,di esserne informate, di poter

accedere ai dati e di poterne chiedere la rettifica, oanche di opporsi al trattamento in talune circostanze.

68La Corte ha già statuito che le disposizioni della direttiva 95/46, disciplinandoil trattamento di dati personali che possono arrecare pregiudizio alle libertàfondamentali e, segnatamente, al diritto alla vita privata, devononecessariamente essere interpretate alla luce dei diritti fondamentali che,secondo una costante giurisprudenza, formano parte integrante dei principigenerali del diritto di cui la Corte garantisce l'osservanza e che sono ormaiiscritti nella Carta (v., in particolare, sentenze Connolly/Commissione,C-274/99 P, EU:C:2001:127, punto 37, nonché Österreichischer Rundfunk e a.,EU:C:2003:294, punto 68).

69In tal senso, l'articolo 7 della Carta garantisce il diritto al rispetto dellavita privata, mentre l'articolo 8 della Carta proclama espressamente il dirittoalla protezione dei dati personali. I paragrafi 2 e 3 di quest'ultimo articoloprecisano che i dati suddetti devono essere trattati secondo il principio dilealtà, per finalità determinate e in base al consenso della personainteressata o a un altro fondamento legittimo previsto dalla legge, che ognipersona ha il diritto di accedere ai dati raccolti che la riguardano e diottenerne la rettifica, e che il rispetto di tali regole è soggetto alcontrollo di un'autorità indipendente. Tali prescrizioni ricevono attuazione inparticolare mediante gli articoli 6, 7, 12, 14 e 28 della direttiva 95/46.

70Quanto all'articolo 12, lettera b), della direttiva 95/46, esso dispone che gliStati membri garantiscono a qualsiasi persona interessata il diritto diottenere dal responsabile del trattamento, a seconda dei casi, la rettifica, lacancellazione o il congelamento dei dati il cui trattamento non sia conformealle disposizioni di questa direttiva, in particolare a causa del carattereincompleto o inesatto dei dati. Poiché quest'ultima precisazione relativa all'ipotesidel mancato rispetto di talune prescrizioni dettate dall'articolo 6, paragrafo1, lettera d), della direttiva 95/46 risulta avere carattere esemplificativo enon esaustivo, ne consegue che la non conformità del trattamento, atta aconferire alla persona interessata il diritto garantito dall'articolo 12,lettera b), di tale direttiva, può derivare anche dal mancato rispetto dellealtre condizioni di liceità imposte da quest'ultima al trattamento di datipersonali.

71 Aquesto proposito occorre ricordare che, fatte salve le deroghe ammesse ai sensidell'articolo 13 della direttiva 95/46, qualsiasi trattamento di dati personalideve, da un lato, essere conforme ai principi relativi alla qualità dei dati,enunciati all'articolo 6 di detta direttiva, e, dall'altro, rispondere ad unodei principi relativi alla legittimazione dei trattamenti di dati, elencatiall'articolo 7 della direttiva stessa (v. sentenze Österreichischer Rundfunk ea., EU:C:2003:294, punto 65; ASNEF e FECEMD, C-468/10 e C-469/10, EU:C:2011:777,punto 26, nonché Worten, C-342/12, EU:C:2013:355, punto 33).

72 Amente del citato articolo 6, e fatte salve le disposizioni specifiche che gliStati membri possono prevedere per trattamenti a scopi storici, statistici oscientifici, spetta al responsabile del trattamento garantire che i datipersonali siano «trattati lealmente e lecitamente», che vengano «rilevati perfinalità determinate, esplicite e legittime, e successivamente trattati in modonon incompatibile con tali finalità», che siano «adeguati, pertinenti e noneccedenti rispetto alle finalità per le quali vengono rilevati e/o per le qualivengono successivamente trattati», che siano «esatti e, se necessario,aggiornati» e, infine, che siano «conservati in modo da consentire l'identificazionedelle persone interessate per un arco di tempo non superiore a quellonecessario al conseguimento delle finalità per le quali sono rilevati o sonosuccessivamente trattati». In tale contesto, detto responsabile deve prenderetutte le misure ragionevoli affinché i dati che non soddisfano le prescrizionidettate dalla disposizione suddetta vengano cancellati o rettificati.

73 Quanto alla legittimazione, ai sensi dell'articolo7 della direttiva 95/46, di un trattamento come quello oggetto del procedimentoprincipale effettuato dal gestore di un motore di ricerca, esso può ricaderesotto il motivo contemplato dal citato articolo 7, alla lettera f).

74Tale disposizione consente il trattamento di dati personali allorché questo ènecessario per il perseguimento dell'interesse legittimo del responsabile deltrattamento oppure del terzo o dei terzi cui vengono comunicati i dati, acondizione che non prevalgano l'interesse o i diritti e le libertà fondamentalidella persona interessata – segnatamente il suo diritto al rispetto dellasua vita privata con riguardo al trattamento dei dati personali –, iquali richiedono una tutela ai sensi dell'articolo 1, paragrafo 1, di dettadirettiva. L'applicazione del citato articolo 7, lettera f), esige dunque una ponderazionedei contrapposti diritti e interessi in gioco, nell'ambito della quale si devetener conto dell'importanza dei diritti della persona interessata risultantidagli articoli 7 e 8 della Carta (v. sentenza ASNEF e FECEMD, EU:C:2011:777,punti 38 e 40).

75Se dunque la conformità del trattamento di dati agli articoli 6 e 7, letteraf), della direttiva 95/46 può essere verificata nell'ambito di una domanda aisensi dell'articolo 12, lettera b), di quest'ultima, la persona interessata puòinoltre avvalersi, a determinate condizioni, del diritto di opposizioneprevisto dall'articolo 14, primo comma, lettera a), della medesima direttiva.

76Ai sensi di tale articolo 14, primo comma, lettera a), gli Stati membririconoscono alla persona interessata il diritto – almeno nei casi di cuiall'articolo 7, lettere e) e f), della citata direttiva – di opporsi inqualsiasi momento, per motivi preminenti e legittimi derivanti dalla suasituazione particolare, al trattamento di dati che la riguardano, salvodisposizione contraria prevista dalla normativa nazionale. La ponderazione daeffettuarsi nell'ambito di tale articolo 14, primo comma, lettera a), permettecosì di tener conto in modo più specifico di tutte le circostanzecaratterizzanti la situazione concreta della persona interessata. In caso diopposizione giustificata, il trattamento messo in atto dal responsabile diquest'ultimo non può più riguardare tali dati.

77Le domande ai sensi degli articoli 12, lettera b), e 14, primo comma, letteraa), della direttiva 95/46 possono essere direttamente presentate dalla personainteressata al responsabile del trattamento, il quale deve in tal casoprocedere al debito esame della loro fondatezza e, eventualmente, porre fine altrattamento dei dati in questione. Qualora il responsabile del trattamento nondia seguito a tali domande, la persona interessata può adire l'autorità dicontrollo o l'autorità giudiziaria affinché queste effettuino le verifichenecessarie e ordinino al suddetto responsabile l'adozione di misure precise conseguenti.

78 Aquesto proposito occorre rilevare che dall'articolo 28, paragrafi 3 e 4, delladirettiva 95/46 risulta che qualsiasi persona può presentare a un'autorità dicontrollo una domanda relativa alla tutela dei suoi diritti e delle sue libertàcon riguardo al trattamento di dati personali, e che tale autorità dispone dipoteri investigativi e di poteri effettivi di intervento che le consentono diordinare in particolare il congelamento, la cancellazione o la distruzione didati, oppure di vietare a titolo provvisorio o definitivo un trattamento.

79 Èalla luce di tali considerazioni che occorre interpretare e applicare ledisposizioni della direttiva 95/46 disciplinanti i diritti della personainteressata allorché quest'ultima presenta all'autorità di controllo oall'autorità giudiziaria una domanda quale quella oggetto del procedimento aquo.

80 A questo proposito occorre anzitutto rilevare che,come si è constatato ai punti da 36 a 38 della presente sentenza, untrattamento di dati personali, quale quello in esame nel procedimentoprincipale, effettuato dal gestore di un motore di ricerca, può incideresignificativamente sui diritti fondamentali al rispetto della vita privata ealla protezione dei dati personali, nel caso in cui la ricerca con l'aiuto ditale motore venga effettuata a partire dal nome di una persona fisica, dalmomento che detto trattamento consente a qualsiasi utente di Internet diottenere, mediante l'elenco di risultati, una visione complessiva strutturatadelle informazioni relative a questa persona reperibili su Internet, chetoccano potenzialmente una moltitudine di aspetti della sua vita privata e che,senza il suddetto motore di ricerca, non avrebbero potuto – o solodifficilmente avrebbero potuto – essere connesse tra loro, e consente dunquedi stabilire un profilo più o meno dettagliato di tale persona. Inoltre,l'effetto dell'ingerenza nei suddetti diritti della persona interessata risultamoltiplicato in ragione del ruolo importante che svolgono Internet e i motoridi ricerca nella società moderna, i quali conferiscono alle informazionicontenute in un siffatto elenco di risultati carattere ubiquitario (v., in talsenso, sentenza eDate Advertising e a., C-509/09 e C-161/10, EU:C:2011:685,punto 45).

81Vista la gravità potenziale di tale ingerenza, è giocoforza constatare chequest'ultima non può essere giustificata dal semplice interesse economico delgestore di un siffatto motore di ricerca in questo trattamento di dati.Tuttavia, poiché la soppressione di link dall'elenco di risultati potrebbe, aseconda dell'informazione in questione, avere ripercussioni sul legittimointeresse degli utenti di Internet potenzialmente interessati ad avere accessoa quest'ultima, occorre ricercare, in situazioni quali quelle oggetto delprocedimento principale, un giusto equilibrio segnatamente tra tale interesse ei diritti fondamentali della persona di cui trattasi derivanti dagli articoli 7e 8 della Carta. Se indubbiamente i diritti della persona interessata tutelatida tali articoli prevalgono, di norma, anche sul citato interesse degli utentidi Internet, tale equilibrio può nondimeno dipendere, in casi particolari,dalla natura dell'informazione di cui trattasi e dal suo carattere sensibileper la vita privata della persona suddetta, nonché dall'interesse del pubblicoa disporre di tale informazione, il quale può variare, in particolare, aseconda del ruolo che tale persona riveste nella vita pubblica.

82L'autorità di controllo o l'autorità giudiziaria, all'esito della valutazionedei presupposti di applicazione degli articoli 12, lettera b), e 14, primocomma, lettera a), della direttiva 95/46, da effettuarsi allorché ricevono unadomanda quale quella oggetto del procedimento principale, possono ordinare alsuddetto gestore di sopprimere, dall'elenco di risultati che appare a seguitodi una ricerca effettuata a partire dal nome di una persona, dei link versopagine web pubblicate da terzi e contenenti informazioni relative a talepersona, senza che un'ingiunzione in tal senso presupponga che tale nome e taliinformazioni siano, con il pieno consenso dell'editore o su ingiunzione di unadelle autorità sopra menzionate, previamente o simultaneamente cancellati dallapagina web sulla quale sono stati pubblicati.

83Infatti, come si è constatato ai punti da 35 a 38 della presente sentenza,poiché il trattamento dei dati effettuato nel contesto dell'attività di unmotore di ricerca si distingue da e si aggiunge a quello effettuato daglieditori di siti web e incide ulteriormente sui diritti fondamentali dellapersona interessata, il gestore di tale motore di ricerca quale responsabiledel trattamento in questione deve assicurare, nell'ambito delle sueresponsabilità, delle sue competenze e delle sue possibilità, che taletrattamento soddisfi le prescrizioni della direttiva 95/46, affinché legaranzie previste da quest'ultima possano sviluppare pienamente i loro effetti.

84 In proposito occorre rilevare che, tenuto contodella facilità con cui informazioni pubblicate su un sito web possono essereriprodotte su altri siti, nonché del fatto che i responsabili della loropubblicazione non sempre sono assoggettati alla normativa dell'Unione, nonsarebbe possibile realizzare una tutela efficace e completa delle personeinteressate nel caso in cui queste dovessero preventivamente o in paralleloottenere dagli editori di siti web la cancellazione delle informazioni che leriguardano.

85Inoltre, il trattamento da parte dell'editore di una pagina web, consistentenella pubblicazione di informazioni relative a una persona fisica, può,eventualmente, essere effettuato «esclusivamente a scopi giornalistici» ebeneficiare così, a norma dell'articolo 9 della direttiva 95/46, di deroghealle prescrizioni dettate da quest'ultima, mentre non sembra integrare taleipotesi il trattamento effettuato dal gestore di un motore di ricerca. Non sipuò dunque escludere che la persona interessata possa, in determinatecircostanze, esercitare i diritti contemplati dagli articoli 12, lettera b), e14, primo comma, lettera a), della direttiva 95/46 contro il suddetto gestoredel motore di ricerca, ma non contro l'editore della pagina web.

86Infine, occorre constatare che non soltanto il motivo giustificante, a normadell'articolo 7 della direttiva 95/46, la pubblicazione di un dato personale suun sito web non coincide necessariamente con il motivo che si applicaall'attività dei motori di ricerca, ma che, anche quando tale coincidenzasussista, il risultato del bilanciamento degli interessi in gioco daeffettuarsi ai sensi degli articoli 7, lettera f), e 14, primo comma, letteraa), di detta direttiva può divergere a seconda che si tratti del trattamentoeffettuato dal gestore di un motore di ricerca o di quello effettuatodall'editore di detta pagina web, in quanto, da un lato, i legittimi interessiche giustificano questi trattamenti possono essere differenti e, dall'altro, leconseguenze che tali trattamenti hanno per la persona interessata, esegnatamente per la sua vita privata, non sono necessariamente le stesse.

87Infatti, l'inclusione nell'elenco di risultati – che appare a seguito diuna ricerca effettuata a partire dal nome di una persona – di una paginaweb e delle informazioni in essa contenute relative a questa persona, poichéfacilita notevolmente l'accessibilità di tali informazioni a qualsiasi utentedi Internet che effettui una ricerca sulla persona di cui trattasi e puòsvolgere un ruolo decisivo per la diffusione di dette informazioni, è idonea acostituire un'ingerenza più rilevante nel diritto fondamentale al rispettodella vita privata della persona interessata che non la pubblicazione da partedell'editore della suddetta pagina web.

88Alla luce dell'insieme delle considerazioni sopra esposte, occorre risponderealla seconda questione, lettere c) e d), dichiarando che gli articoli 12,lettera b), e 14, primo comma, lettera a), della direttiva 95/46 devono essereinterpretati nel senso che, al fine di rispettare i diritti previsti da talidisposizioni, e sempre che le condizioni da queste fissate siano effettivamentesoddisfatte, il gestore di un motore di ricerca è obbligato a sopprimere,dall'elenco di risultati che appare a seguito di una ricerca effettuata apartire dal nome di una persona, dei link verso pagine web pubblicate da terzie contenenti informazioni relative a questa persona, anche nel caso in cui talenome o tali informazioni non vengano previamente o simultaneamente cancellatidalle pagine web di cui trattasi, e ciò eventualmente anche quando la loropubblicazione su tali pagine web sia di per sé lecita.

Sullaterza questione, concernente la portata dei diritti della persona interessatagarantiti dalla direttiva 95/46

89 Con la sua terza questione, il giudice del rinviochiede, in sostanza, se gli articoli 12, lettera b), e 14, primo comma, letteraa), della direttiva 95/46 debbano essere interpretati nel senso che consentonoalla persona interessata di esigere dal gestore di un motore di ricerca chequesti sopprima dall'elenco di risultati, che appare a seguito di una ricercaeffettuata a partire dal nome di questa persona, dei link verso pagine weblegittimamente pubblicate da terzi e contenenti informazioni veritiereriguardanti quest'ultima, a motivo del fatto che tali informazioni possonoarrecarle pregiudizio o che essa desidera l'«oblio» di queste informazioni dopoun certo tempo.

90Google Spain, Google Inc., i governi ellenico, austriaco e polacco, nonché laCommissione, ritengono che tale questione esiga una risposta negativa. GoogleSpain, Google Inc., il governo polacco e la Commissione fanno valere inproposito che gli articoli 12, lettera b), e 14, primo comma, lettera a), delladirettiva 95/46 conferiscono dei diritti alle persone interessate unicamente acondizione che il trattamento in parola sia incompatibile con la direttivastessa, oppure in ragione di motivi preminenti e legittimi attinenti alla lorosituazione particolare, e non per il semplice fatto che tali persone ritenganoche tale trattamento possa arrecare loro pregiudizio o che esse desiderino chei dati costituenti l'oggetto di detto trattamento cadano nell'oblio. I governiellenico e austriaco reputano che la persona interessata debba rivolgersiall'editore del sito web in questione.

91Il sig. Costeja González nonché i governi spagnolo e italiano ritengono che lapersona interessata possa opporsi all'indicizzazione dei propri dati personaliad opera di un motore di ricerca, qualora la diffusione di tali dati tramitequest'ultimo le arrechi pregiudizio e i diritti fondamentali di questa personaalla protezione dei dati suddetti e al rispetto della vita privata,comprendenti il «diritto all'oblio», prevalgano sui legittimi interessi delgestore del motore di ricerca e sull'interesse generale alla libertàd'informazione.

92Quanto all'articolo 12, lettera b), della direttiva 95/46, la cui applicazioneè subordinata alla condizione che il trattamento di dati personali siaincompatibile con la direttiva stessa, occorre ricordare che, come si èrilevato al punto 72 della presente sentenza, un'incompatibilità siffatta puòderivare non soltanto dal fatto che tali dati siano inesatti, ma anchesegnatamente dal fatto che essi siano inadeguati, non pertinenti o eccessivi inrapporto alle finalità del trattamento, che non siano aggiornati, oppure chesiano conservati per un arco di tempo superiore a quello necessario, a meno chela loro conservazione non si imponga per motivi storici, statistici oscientifici.

93Da tali prescrizioni, dettate dall'articolo 6, paragrafo 1, lettere da c) a e),della direttiva 95/46, discende che anche un trattamento inizialmente lecito didati esatti può divenire, con il tempo, incompatibile con la direttiva suddettaqualora tali dati non siano più necessari in rapporto alle finalità per lequali sono stati raccolti o trattati. Tale situazione si configura inparticolare nel caso in cui i dati risultino inadeguati, non siano o non sianopiù pertinenti, ovvero siano eccessivi in rapporto alle finalità suddette e altempo trascorso.

94Pertanto, nell'ipotesi in cui si constati, in seguito a una domanda della personainteressata ai sensi dell'articolo 12, lettera b), della direttiva 95/46, chel'inclusione nell'elenco di risultati – che appare a seguito di unaricerca effettuata a partire dal suo nome – dei link verso pagine web,legittimamente pubblicate da terzi e contenenti informazioni veritiere relativealla sua persona, è, allo stato attuale, incompatibile con il citato articolo6, paragrafo 1, lettere da c) a e), a motivo del fatto che tali informazioniappaiono, alla luce dell'insieme delle circostanze caratterizzanti il caso dispecie, inadeguate, non pertinenti o non più pertinenti, ovvero eccessive inrapporto alle finalità del trattamento in questione realizzato dal gestore del

motore di ricerca, le informazioni e i link in paroladi cui al suddetto elenco di risultati devono essere cancellati.

95Per quanto riguarda le domande ai sensi del suddetto articolo 12, lettera b),fondate sul presunto mancato rispetto delle condizioni previste dall'articolo7, lettera f), della direttiva 95/46, nonché le domande a norma dell'articolo14, primo comma, lettera a), della medesima direttiva, occorre rilevare checiascun trattamento di dati personali deve essere legittimato in virtù di talearticolo 7 per tutto il tempo in cui viene effettuato.

96Alla luce di quanto precede, nel valutare domande di questo tipo propostecontro un trattamento di dati quale quello in esame nel procedimentoprincipale, occorre verificare in particolare se l'interessato abbia diritto ache l'informazione riguardante la sua persona non venga più, allo statoattuale, collegata al suo nome da un elenco di risultati che appare a seguitodi una ricerca effettuata a partire dal suo nome. In proposito occorresottolineare che la constatazione di un diritto siffatto non presuppone chel'inclusione dell'informazione in questione nell'elenco di risultati arrechi unpregiudizio all'interessato.

97Dato che l'interessato può, sulla scorta dei suoi diritti fondamentaliderivanti dagli articoli 7 e 8 della Carta, chiedere che l'informazione in questionenon venga più messa a disposizione del grande pubblico mediante la suainclusione in un siffatto elenco di risultati, occorre considerare – comerisulta in particolare dal punto 81 della presente sentenza – che idiritti fondamentali di cui sopra prevalgono, in linea di principio, nonsoltanto sull'interesse economico del gestore del motore di ricerca, ma anchesull'interesse di tale pubblico a trovare l'informazione suddetta in occasionedi una ricerca concernente il nome di questa persona. Tuttavia, così nonsarebbe qualora risultasse, per ragioni particolari, come il ruolo ricoperto datale persona nella vita pubblica, che l'ingerenza nei suoi diritti fondamentaliè giustificata dall'interesse preponderante del pubblico suddetto ad avereaccesso, mediante l'inclusione summenzionata, all'informazione di cui trattasi.

98Relativamente ad una situazione come quella in esame nel procedimentoprincipale, che riguarda la visualizzazione – nell'elenco di risultatiche l'utente di Internet ottiene effettuando una ricerca a partire dal nomedella persona interessata con l'aiuto di Google Search – di link versopagine degli archivi online di un quotidiano, contenenti annunci che menzionanoil nome di tale persona e si riferiscono ad un'asta immobiliare legata ad unpignoramento effettuato per la riscossione coattiva di crediti previdenziali,occorre affermare che, tenuto conto del carattere sensibile delle informazionicontenute in tali annunci per la vita privata di detta persona, nonché delfatto che la loro pubblicazione iniziale era stata effettuata 16 anni prima, lapersona interessata vanta un diritto a che tali informazioni non siano piùcollegate al suo nome attraverso un elenco siffatto. Pertanto, dal momento chenella fattispecie non sembrano sussistere ragioni particolari giustificanti uninteresse preponderante del pubblico ad avere accesso, nel contesto di unaricerca siffatta, a dette informazioni – aspetto questo che spetta peròal giudice del rinvio verificare –, la persona interessata può esigere, anorma degli articoli 12, lettera b), e 14, primo comma, lettera a), delladirettiva 95/46, la soppressione dei link suddetti da tale elenco di risultati.

99Dalle suesposte considerazioni discende che occorre rispondere alla terzaquestione dichiarando che gli articoli 12, lettera b), e 14, primo comma,lettera a), della direttiva 95/46 devono essere interpretati nel senso che, nelvalutare i presupposti di applicazione di tali disposizioni, si deve verificarein particolare se l'interessato abbia diritto a che l'informazione in questioneriguardante la sua persona non venga più, allo stato attuale, collegata al suonome da un elenco di risultati che appare a seguito di una ricerca effettuata apartire dal suo nome,

senza per questo che la constatazione di un dirittosiffatto presupponga che l'inclusione dell'informazione in questione in taleelenco arrechi un pregiudizio a detto interessato. Dato che l'interessato può,sulla scorta dei suoi diritti fondamentali derivanti dagli articoli 7 e 8 dellaCarta, chiedere che l'informazione in questione non venga più messa adisposizione del grande pubblico in virtù della sua inclusione in un siffattoelenco di risultati, i diritti fondamentali di cui sopra prevalgono, in lineadi principio, non soltanto sull'interesse economico del gestore del motore diricerca, ma anche sull'interesse di tale pubblico ad accedere all'informazionesuddetta in occasione di una ricerca concernente il nome di questa persona.Tuttavia, così non sarebbe qualora risultasse, per ragioni particolari, come ilruolo ricoperto da tale persona nella vita pubblica, che l'ingerenza nei suoidiritti fondamentali è giustificata dall'interesse preponderante del pubblicosuddetto ad avere accesso, in virtù dell'inclusione summenzionata, all'informazionedi cui trattasi.

Sulle spese

100Nei confronti delle parti nella causa principale il presente procedimentocostituisce un incidente sollevato dinanzi al giudice nazionale, cui spettaquindi statuire sulle spese. Le spese sostenute da altri soggetti perpresentare osservazioni alla Corte non possono dar luogo a rifusione.

 

Perquesti motivi, la Corte (Grande Sezione) dichiara:

1)  L'articolo 2,lettere b) e d), della direttiva 95/46/CE del Parlamento europeo e delConsiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche conriguardo al trattamento dei dati personali, nonché alla libera circolazione ditali dati, deve essere interpretato nel senso che, da un lato, l'attività di unmotore di ricerca consistente nel trovare informazioni pubblicate o inserite daterzi su Internet, nell'indicizzarle in modo automatico, nel memorizzarletemporaneamente e, infine, nel metterle a disposizione degli utenti di Internetsecondo un determinato ordine di preferenza, deve essere qualificata come«trattamento di dati personali», ai sensi del citato articolo 2, lettera b),qualora tali informazioni contengano dati personali, e che, dall'altro lato, ilgestore di detto motore di ricerca deve essere considerato come il«responsabile» del trattamento summenzionato, ai sensi dell'articolo 2, letterad), di cui sopra.

2)  L'articolo 4,paragrafo 1, lettera a), della direttiva 95/46 deve essere interpretato nelsenso che un trattamento di dati personali viene effettuato nel contesto delleattività di uno stabilimento del responsabile di tale trattamento nelterritorio di uno Stato membro, ai sensi della disposizione suddetta, qualora ilgestore di un motore di ricerca apra in uno Stato membro una succursale o unafiliale destinata alla promozione e alla vendita degli spazi pubblicitariproposti da tale motore di ricerca e l'attività della quale si dirige agliabitanti di detto Stato membro.

3)  Gli articoli 12,lettera b), e 14, primo comma, lettera a), della direttiva 95/46 devono essereinterpretati nel senso che, al fine di rispettare i diritti previsti da talidisposizioni, e sempre che le condizioni da queste fissate siano effettivamentesoddisfatte, il gestore di un motore di ricerca è obbligato a sopprimere,dall'elenco di risultati che appare a seguito di una ricerca effettuata apartire dal nome di una persona, dei link verso pagine web pubblicate da terzie contenenti informazioni relative a questa persona, anche nel caso in cui talenome o tali informazioni non vengano previamente o simultaneamentecancellati dalle pagine web di cui trattasi, e ciò eventualmente anche quandola loro pubblicazione su tali pagine web sia di per sé lecita.

4)  Gli articoli 12,lettera b), e 14, primo comma, lettera a), della direttiva 95/46 devono essereinterpretati nel senso che, nel valutare i presupposti di applicazione di talidisposizioni, si deve verificare in particolare se l'interessato abbia dirittoa che l'informazione in questione riguardante la sua persona non venga più,allo stato attuale, collegata al suo nome da un elenco di risultati che apparea seguito di una ricerca effettuata a partire dal suo nome, senza per questoche la constatazione di un diritto siffatto presupponga che l'inclusionedell'informazione in questione in tale elenco arrechi un pregiudizio a dettointeressato. Dato che l'interessato può, sulla scorta dei suoi dirittifondamentali derivanti dagli articoli 7 e 8 della Carta, chiedere chel'informazione in questione non venga più messa a disposizione del grandepubblico in virtù della sua inclusione in un siffatto elenco di risultati, idiritti fondamentali di cui sopra prevalgono, in linea di principio, nonsoltanto sull'interesse economico del gestore del motore di ricerca, ma anchesull'interesse di tale pubblico ad accedere all'informazione suddetta inoccasione di una ricerca concernente il nome di questa persona. Tuttavia, cosìnon sarebbe qualora risultasse, per ragioni particolari, come il ruoloricoperto da tale persona nella vita pubblica, che l'ingerenza nei suoi dirittifondamentali è giustificata dall'interesse preponderante del pubblico suddettoad avere accesso, in virtù dell'inclusione summenzionata, all'informazione dicui trattasi.

Firme

 

 

 

 

 

CONCLUSIONIDELL'AVVOCATO GENERALE

NiiloJAASKINEN

presentateil 25 giugno 2013 (1)

Causa C131/12

GoogleSpain SL

GoogleInc.

contro

AgenciaEspanola de Proteccion de Datos (AEPD)

MarioCosteja González

[domandadi pronuncia pregiudiziale proposta dalla Audiencia Nacional (Spagna)]

«WorldWide Web – Dati personali – Motore di ricerca su Internet –Direttiva 95/46 sulla protezione dei dati – Interpretazione degliarticoli 2, lettere b) e d), 4, paragrafo 1, lettere a) e c), 12, lettera b), e14, lettera a) – Ambito di applicazione territoriale – Nozione distabilimento nel territorio di uno Stato membro – Ambito di applicazioneratione materiae – Nozione di trattamento dei dati personali –Nozione di responsabile del trattamento di dati personali – Diritti dicancellazione e congelamento dei dati – "Diritto all'oblio" – Cartadei diritti fondamentali dell'Unione europea – Articoli 7, 8, 11 e 16»

 

I – Introduzione

1.         Nel1890, nel loro storico articolo sulla Harvard Law Review intitolato «The Rightto Privacy» (2), Samuel D. Warren e Louis D. Brandeis denunciavano che«[i]nvenzioni e tecniche commerciali recenti», come «le fotografie e i giornali[, avevano] invaso i sacri recinti della vita privata e domestica». In quellostesso articolo i due autori facevano riferimento ai «passi da intraprendereper la tutela della persona».

2.        Al giornod'oggi, la protezione dei dati personali e della vita privata degli individui èdivenuta sempre più importante. Qualsiasi tipo di contenuto che comprenda datipersonali, che si tratti di testi o di materiali audiovisivi, può essere resoaccessibile, all'istante e in maniera permanente, in formato digitale in tuttoil mondo. Internet ha rivoluzionato le nostre vite rimuovendo le barrieretecniche e istituzionali alla diffusione e alla ricezione delle informazioni edha creato una piattaforma per numerosi servizi della società dell'informazione.Tali servizi vanno a beneficio dei consumatori, delle imprese e della societàin generale. Ciò ha dato origine a situazioni senza precedenti, nelle qualioccorre trovare un equilibrio tra più diritti fondamentali, come la libertà diespressione, la libertà di informazione e la libertà di impresa, da un lato, ela tutela dei dati personali e della riservatezza degli individui, dall'altrolato.

3.        Per quantoriguarda Internet, vanno distinte tre situazioni relative ai dati personali. Laprima è la pubblicazione di dati personali su una qualsiasi pagina web diInternet (3) (la «pagina web source») (4). Laseconda riguarda il caso in cui un motore di ricerca su Internet forniscarisultati di ricerca che indirizzano l'utente di Internet verso la pagina websource. La terza situazione, meno evidente, ricorre quando un utente diInternet effettua una ricerca utilizzando un motore di ricerca su Internet ealcuni dei suoi dati personali, come l'indirizzo IP dal quale la ricerca viene effettuata,vengono automaticamente trasferiti al fornitore di servizi di motore di ricercasu Internet (5).

4.        Per quantoriguarda la prima situazione, nella sentenza Lindqvist la Corte ha giàdichiarato che le è applicabile la direttiva 95/46/CE (6) (in prosieguo:la «direttiva sulla protezione dei dati personali» o la «direttiva»). La terzasituazione non è oggetto di discussione nella presente causa e sono in corsoprocedimenti amministrativi promossi da autorità nazionali competenti per laprotezione dei dati allo scopo di chiarire agli utenti di motori di ricerca suInternet l'ambito di applicazione delle norme dell'Unione in materia diprotezione dei dati (7).

5.         L'ordinanzadi rinvio nella presente causa riguarda la seconda situazione. Essa è stata formulatadall'Audiencia Nacional (Corte suprema, Spagna) nell'ambito di una controversiatra Google Spain SL e Google Inc. (in prosieguo, individualmente ocongiuntamente: «Google»), da un lato, e l'Agencia Espanola de Proteccion deDatos (in prosieguo: l'«AEPD») e il signor Mario Costeja González (inprosieguo: la «persona interessata» o l'«interessato»), dall'altro lato. Ilprocedimento verte sull'applicazione della direttiva sulla protezione dei datipersonali ad un motore di ricerca su Internet che Google gestisce comefornitore di servizi. Nel procedimento nazionale è assodato che alcuni datipersonali relativi alla persona interessata sono stati pubblicati da ungiornale spagnolo in due delle sue edizioni cartacee nel 1998, entramberipubblicate successivamente in versione elettronica disponibile su Internet.La persona interessata ritiene oggi che tali informazioni non dovrebbero piùessere visualizzate nei risultati di ricerca presentati dal motore di ricercasu Internet gestito da Google nel momento in cui viene effettuata una ricercadel suo nome e cognome.

6.        Le questionideferite alla Corte si suddividono in tre gruppi (8). Ilprimo gruppo di quesiti [la prima questione] si riferisce all'ambitoterritoriale di applicazione delle norme dell'Unione sulla protezione deidati. Il secondo gruppo [la seconda questione] tratta della posizione giuridicadi un fornitore di servizi di motore di ricerca su Internet (9) allaluce della direttiva, segnatamente in relazione al suo ambito diapplicazione ratione materiae. Infine, la terza questione verte sulcosiddetto diritto all'oblio e sulla questione se le persone interessatepossano chiedere che tutti o parte dei risultati di ricerca che le riguardanonon siano più accessibili attraverso il motore di ricerca. Tutti i suddettiquesiti, che sollevano anche problemi importanti relativi alla tutela deidiritti fondamentali, sono una novità per la Corte.

7.        Questasarebbe la prima causa in cui la Corte è chiamata ad interpretare la direttivacon riferimento ai motori di ricerca su Internet; una questione, a quanto pare,di attualità per le autorità nazionali competenti per la protezione dei dati eper i giudici degli Stati membri. Difatti, il giudice di rinvio ha dichiaratodi essere investito di molte cause analoghe.

8.        Il piùimportante precedente sottoposto alla Corte nel quale sono stati affrontatiproblemi relativi alla protezione dei dati e a Internet è la controversia cheha dato luogo alla sentenza Lindqvist (10). Talecausa, però, non verteva sui motori di ricerca su Internet. La direttiva stessaè stata oggetto di interpretazione in una serie di cause. Tra queste, le causeÖsterreichischer Rundfunk e a. (11), Satakunnan Markkinapörssie Satamedia (12) e Volker und Markus Schecke e Eifert (13) sonoparticolarmente importanti. Inoltre, il ruolo dei motori di ricerca su Internetin relazione ai diritti di proprietà intellettuale e alla competenzagiurisdizionale sono stati esaminati dalla Corte nelle cause Google France eGoogle, Portakabin, L'Oréal e a., Interflora e Interflora British Unit, eWintersteiger (14).

9.        Dopol'adozione della direttiva, una disposizione sulla protezione dei datipersonali è stata inserita nell'articolo 16 TFUE e nell'articolo 8 della Cartadei diritti fondamentali dell'Unione europea (in prosieguo: la «Carta»).Inoltre, nel 2012 la Commissione ha presentato una proposta di regolamentogenerale sulla protezione dei dati (15) da sostituire alladirettiva. La presente causa, tuttavia, dev'essere decisa sulla base deldiritto vigente.

10.      La domanda pregiudizialein esame è caratterizzata dal fatto che, nel momento in cui è stata elaboratala proposta di direttiva della Commissione nel 1990, Internet nell'attualesignificato del World Wide Web non esisteva né esistevano motori di ricerca.All'epoca in cui la direttiva è stata adottata, nel 1995, Internet era appenastato lanciato e cominciavano ad apparire i primi rudimentali motori diricerca, ma nessuno avrebbe potuto prevedere quanto profondamente tutto questoavrebbe cambiato il mondo. Oggigiorno praticamente chiunque possegga unosmartphone o un computer può essere considerato svolgere attività su Internetalle quali sarebbe applicabile la direttiva.

II – Contestonormativo

A – La direttiva sulla protezione dei datipersonali

11.      Ai sensi dell'articolo 1della direttiva, gli Stati membri garantiscono, conformemente alle disposizionidella direttiva stessa, la tutela dei diritti e delle libertà fondamentalidelle persone fisiche e particolarmente del diritto alla vita privata, conriguardo al trattamento dei dati personali.

12.      L'articolo 2 definisce,tra le altre, la nozione di «dati personali» e di «persona interessata», di«trattamento di dati personali», di «responsabile del trattamento» e di«terzi».

13.     Ai sensi dell'articolo 3, ledisposizioni della direttiva si applicano al trattamento di dati personaliinteramente o parzialmente automatizzato nonché, in certe situazioni, altrattamento non automatizzato.

14.      Ai sensi dell'articolo 4,paragrafo 1, gli Stati membri applicano le disposizioni nazionali adottate perl'attuazione della direttiva al trattamento di dati personali effettuato làdove vi sia uno stabilimento del responsabile del trattamento nel loroterritorio o, se il responsabile non è stabilito nell'Unione, nei casi in cuiegli ricorra, ai fini del trattamento di dati personali, a strumenti situatinel territorio degli Stati membri.

15.      L'articolo 12 delladirettiva attribuisce alle persone interessate un «diritto di accesso» ai datipersonali trattati dal responsabile del trattamento e l'articolo 14 un «dirittodi opporsi» al trattamento di tali dati in alcune situazioni.

16.      L'articolo 29 delladirettiva istituisce un Gruppo di lavoro consultivo indipendente composto,inter alia, da autorità degli Stati membri per la protezione dei dati (inprosieguo: il «Gruppo di lavoro Articolo 29»).

B –  Diritto nazionale

17.      La legge organican. 15/1999 sulla protezione dei dati ha trasposto la direttiva nel dirittospagnolo (16).

III – Fatti equestioni pregiudiziali

18.      Agli inizi del 1998, ungiornale di ampia diffusione in Spagna pubblicava nella sua edizione cartaceadue annunci relativi ad un'asta di beni immobili collegata ad un procedimentoesecutivo derivante da debiti contratti con il sistema previdenziale. La personainteressata era menzionata come proprietario degli immobili. Successivamente,l'editore rendeva disponibile online una versione elettronica del giornale.

19.      Nel novembre 2009 lapersona interessata contattava l'editore del giornale facendo valere che, inserendoil suo nome e cognome nel motore di ricerca Google, compariva un riferimentoche rinviava alle pagine del giornale contenenti gli annunci relativi all'astaimmobiliare. Egli affermava che il procedimento esecutivo per debiti con ilsistema previdenziale si era concluso e risolto da vari anni e che attualmenteera irrilevante. L'editore ribatteva che non era appropriato eliminare i datiche riguardavano l'interessato, in quanto la pubblicazione era stata fatta perordine del Ministero del Lavoro e della Previdenza sociale.

20.     Nel febbraio 2010 la personainteressata contattava Google Spain e chiedeva che, in caso di inserimento delsuo nome e cognome nel motore di ricerca Google, i risultati della ricerca nonmostrassero più i link verso il giornale. Google Spain inoltrava la richiesta aGoogle Inc., la cui sede sociale è in California (Stati Uniti), considerandoche fosse quest'ultima l'impresa fornitrice del servizio di ricerca Internet.

21.      Successivamente, lapersona interessata presentava reclamo dinanzi all'AEPD chiedendo di ordinareall'editore la rimozione o la modifica dell'informazione pubblicata, in modoche non comparissero più i suoi dati personali, oppure di utilizzare glistrumenti forniti dai motori di ricerca per tutelare i suoi dati personali.Egli chiedeva inoltre di ordinare a Google Spain o a Google Inc. di eliminare ooccultare i suoi dati, in modo che non comparissero più tra i risultati dellaricerca né mostrassero più links al quotidiano.

22.     Con decisione del 30 luglio2010, il direttore dell'AEPD accoglieva il reclamo della persona interessatanei confronti di Google Spain e di Google Inc., invitando tali imprese adadottare le misure necessarie per ritirare i dati dal loro indice e impedirel'accesso futuro ai medesimi, ma respingeva il reclamo nei confrontidell'editore. La motivazione era che la pubblicazione dei dati sulla stampa eralegalmente giustificata. Google Spain e Google Inc. hanno proposto ciascunaimpugnazione dinanzi al giudice del rinvio, chiedendo l'annullamento delladecisione dell'AEPD.

23.      Il giudice nazionale hasospeso il procedimento e sottoposto alla Corte le seguenti questionipregiudiziali:

«1. Per quanto concerne l'ambito territoriale diapplicazione della [direttiva] e, di conseguenza, della normativa spagnolasulla protezione dei dati:

1.1. se debba ritenersi che esiste uno "stabilimento" aisensi dell'articolo 4, paragrafo 1, lettera a), della [direttiva], qualoraricorrano una o più delle seguenti circostanze:

– l'impresa che gestisce il motore di ricerca aprein uno Stato membro un'agenzia o una filiale, con l'incarico di promuovere e divendere gli spazi pubblicitari del motore di ricerca, la quale diriga lapropria attività agli abitanti di tale Stato;

– la società madre designa una filiale stabilitain tale Stato membro come suo rappresentante e responsabile del trattamento didue file specifici contenenti i dati dei clienti che hanno contrattato con talesocietà per la fornitura di servizi pubblicitari;

–  l'agenzia o la filiale stabilita in unoStato membro trasmette alla società madre avente sede al di fuori dell'Unioneeuropea i reclami e le ingiunzioni che le sono inoltrati tanto dalle personeinteressate quanto dalle autorità competenti perché sia rispettato il dirittoalla protezione dei dati, anche quando tale collaborazione abbia caratterevolontario.

1.2. Se l'articolo 4, paragrafo 1, lettera c), della[direttiva] debba essere interpretato nel senso che si configura un ricorso "astrumenti situati nel territorio di detto Stato membro" qualora un motore diricerca:

–  utilizzi uno spider o un robot perlocalizzare e indicizzare le informazioni contenute nelle pagine web alloggiatesui server di tale Stato membro

o

– utilizzi un nome di dominio di uno Stato membroe indirizzi le ricerche e i risultati in funzione della lingua di tale Statomembro.

1.3.     Se possa considerarsi unricorso a strumenti ai sensi dell'articolo 4, paragrafo 1, lettera c), della[direttiva] la memorizzazione temporanea delle informazioni indicizzate daimotori di ricerca su Internet. In caso di risposta affermativa a quest'ultimoquesito, se si possa ritenere soddisfatto tale criterio di collegamento quando,per ragioni di concorrenza, la società rifiuta di rivelare il luogo in cuiarchivia i detti indici.

1.4.     A prescindere dallarisposta ai precedenti quesiti, e specialmente nel caso in cui la [Corte]ritenesse inapplicabili i criteri di collegamento previsti all'articolo 4 delladirettiva se, alla luce dell'articolo 8 della [Carta], la [direttiva] debbaessere applicata nello Stato membro dove si trova il centro di gravità delconflitto e sia possibile ottenere una tutela più efficace dei diritti deicittadini dell'Unione europea.

2.        Per quantoriguarda l'attività dei motori di ricerca quali fornitori di contenuti inrelazione alla [direttiva]:

2.1.     quanto all'attività delmotore di ricerca su Internet della società Google, quale fornitore dicontenuti, consistente nel localizzare le informazioni pubblicate o messe inrete da terzi, indicizzarle in maniera automatica, memorizzarle temporaneamentee infine metterle a disposizione degli internauti secondo un determinato ordinedi preferenza, qualora tali informazioni contengano dati personali di terzi, seun'attività come quella descritta debba essere considerata rientrare nellanozione di "trattamento di dati" ai sensi dell'articolo 2, lettera b), della[direttiva].

2.2.     In caso di rispostaaffermativa al quesito sub 2.1, e sempre con riferimento ad un'attività comequella descritta, se l'articolo 2, lettera d), della [direttiva] debba essereinterpretato nel senso che la società che gestisce il motore di ricerca Googledeve essere considerata "responsabile del trattamento" dei dati personalicontenuti nelle pagine web da essa indicizzate.

2.3.     In caso di risposta affermativaal quesito sub 2.2, se l'autorità nazionale di controllo dei dati (nel casopresente l'[AEPD]), al fine di tutelare i diritti enunciati agli articoli 12,lettera b), e 14), lettera a), della [direttiva], possa ordinare direttamenteal motore di ricerca della società Google di ritirare dai suoi indiciun'informazione pubblicata da terzi, senza rivolgersi previamente osimultaneamente al titolare della pagina web in cui è inserita taleinformazione.

2.4.     In caso di rispostaaffermativa al quesito sub 2.3, se i motori di ricerca siano sollevatidall'obbligo di rispettare tali diritti qualora l'informazione contenente idati personali sia stata lecitamente pubblicata da terzi e rimanga sulla paginaweb di origine.

3.        Rispettoalla portata del diritto alla cancellazione/opposizione al trattamento dati inrelazione al "diritto di oblio", si pone la seguente questione:

3.1.     se si debba ritenere che idiritti di cancellazione e congelamento dei dati, disciplinati dall'articolo12, lettera b), e il diritto di opposizione al loro trattamento, regolatodall'articolo 14, lettera a), della [direttiva], implichino che l'interessatopossa rivolgersi ai motori di ricerca per impedire l'indicizzazione delleinformazioni riguardanti la sua persona, pubblicate sulla pagina web di terzi,facendo valere la propria volontà che tali informazioni non siano divulgateagli utenti di Internet, ove reputi che detta divulgazione possa nuocergli odesideri che tali informazioni siano dimenticate, sebbene si tratti diinformazioni pubblicate da terzi lecitamente».

24.     Osservazioni scritte sono statepresentate da Google, dai governi di Spagna, Grecia, Italia, Austria e Polonianonché dalla Commissione europea. Tranne il governo polacco, tutti, compresa lapersona interessata, hanno preso parte all'udienza del 26 febbraio 2013 edhanno presentato osservazioni orali.

IV – Osservazonipreliminari

A – Rilievi introduttivi

25.     Il problema principale di cuialla presente causa è sapere come debba essere interpretato il ruolo svolto daifornitori di servizi di motore di ricerca su Internet alla luce dei vigentistrumenti giuridici dell'Unione in materia di protezione dei dati, inparticolare alla luce della direttiva. È pertanto utile iniziare con alcuneosservazioni riguardanti lo sviluppo della protezione dei dati, Internet e imotori di ricerca su Internet.

26.     Quando la direttiva è statanegoziata e adottata nel 1995 (17), le è stato attribuito unampio ambito di applicazione ratione materiae. Ciò perché gli sviluppitecnologici avevano consentito ai responsabili del trattamento di dati untrattamento maggiormente decentrato rispetto ai sistemi di archiviazione basatisulle tradizionali banche dati centralizzate, che comprendeva altresì nuovitipi di dati personali, come le immagini, e di tecniche di trattamento, come lericerche testuali libere (18).

27.     Nel 1995, l'accessogeneralizzato a Internet era un fenomeno nuovo. Oggi, a distanza di quasi duedecenni, il volume dei contenuti digitali disponibili online è esploso. Èpossibile accedervi facilmente, consultarli e diffonderli tramite i socialmedia, così come scaricarli su diversi apparecchi, come tablet, smartphone ecomputer portatili. Tuttavia, è evidente che il legislatore comunitario nonaveva previsto che Internet si sarebbe evoluto in un deposito completo eglobale di informazioni, accessibile e consultabile dappertutto.

28.     Al centro del presente rinviopregiudiziale è il fatto che Internet amplifica e facilita in modo inedito ladiffusione di informazioni (19). Come l'invenzione dellastampa nel XV secolo ha consentito di riprodurre un numero illimitato di copieche prima dovevano essere scritte a mano, così caricare materiali su Internetpermette un accesso di massa a informazioni che prima potevano essere reperitesolo dopo faticose ricerche e in posti fisicamente limitati. L'accessouniversale all'informazione online è possibile ovunque, con l'eccezione di queipaesi le cui autorità hanno limitato l'accesso a Internet con diversi mezzitecnici (come i firewall elettronici) o nei quali l'accesso alletelecomunicazioni è controllato o scarso.

29.     A causa di queste evoluzioni,l'ambito di applicazione potenziale della direttiva nel mondo moderno èdivenuto sorprendentemente ampio. Si pensi ad un professore di diritto europeo cheabbia scaricato sul suo portatile la giurisprudenza essenziale della Corte dalsito della stessa. A termini della direttiva, questo professore potrebbe essereconsiderato un «responsabile del trattamento» di dati personali provenienti daun soggetto terzo. Il professore è in possesso di file contenenti datipersonali trattati automaticamente a scopo di ricerca e di consultazionenell'ambito di attività che non sono puramente personali o domestiche. Inrealtà, chiunque oggi legga un giornale su un tablet o segua un social media suuno smartphone apparentemente effettua un trattamento di dati personali tramitestrumenti automatizzati e potrebbe teoricamente rientrare nell'ambito diapplicazione della direttiva nella misura in cui tale attività si svolga al difuori della sua stretta sfera privata (20). Per dipiù, l'ampia interpretazione che la Corte ha dato del diritto fondamentale allavita privata nell'ambito della protezione dei dati personali sembra esporrequalunque comunicazione umana effettuata tramite mezzi elettronici ad essereesaminata alla luce di tale diritto.

30.     Nella situazione attuale, leampie definizioni delle nozioni di dati personali, trattamento dei datipersonali e responsabile del trattamento sono atte a coprire una serie mai cosìampia di nuove situazioni di fatto legate all'evoluzione tecnologica. Ciò èdovuto alla circostanza che la maggior parte, se non la totalità, dei sitiInternet e dei file accessibili loro tramite contengono dati personali, come inomi di persone fisiche viventi. Questo impone alla Corte di applicare unaregola di ragionevolezza, ossia il principio di proporzionalità,nell'interpretare l'ambito della direttiva, al fine di evitare conseguenzegiuridiche irrazionali ed eccessive. La Corte ha già seguito questo approcciomoderato nella sentenza Lindqvist, nella quale ha respinto un'interpretazioneche avrebbe potuto portare ad attribuire un ambito di applicazione di ampiezzaingiustificata all'articolo 25 della direttiva, relativo al trasferimento didati personali verso paesi terzi nell'ambito di Internet (21).

31.     Pertanto, nella presente causabisognerà trovare un equilibrio corretto, ragionevole e proporzionato tra laprotezione dei dati personali, l'interpretazione coerente degli obiettivi dellasocietà dell'informazione e gli interessi legittimi degli operatori economici edegli utenti di Internet in senso ampio. Sebbene la direttiva non abbia subitomodifiche da quando è stata adottata nel 1995, la sua applicazione a situazioninuove è stata inevitabile. Si tratta di un campo complesso in cui siconfrontano il diritto e le nuove tecnologie. I pareri del Gruppo di lavoroArticolo 29 forniscono, al riguardo, analisi di grande utilità (22).

B –  I motori di ricerca suInternet e la protezione dei dati personali

32.     Nell'analisi della posizionegiuridica di un motore di ricerca su Internet alla luce delle norme sullatutela dei dati personali è necessario porre in evidenza i seguentielementi (23).

33.     In primo luogo, nella sua formadi base, un motore di ricerca su Internet non crea, in linea di principio,contenuti autonomi nuovi. Nella sua forma più semplice, esso si limita aindicare dove può essere reperito un contenuto già esistente, messo adisposizione da terzi su Internet, fornendo un hyperlink verso il sito webcontenente i termini di ricerca.

34.     In secondo luogo, i risultativisualizzati da un motore di ricerca su Internet non sono basati su una ricercaistantanea dell'intero World Wide Web, ma sono raccolti dal contenuto che ilmotore di ricerca su Internet ha precedentemente trattato. Questo significa cheil motore di ricerca su Internet ha recuperato contenuti dai siti web esistentied ha copiato, analizzato e indicizzato tali contenuti sui propri dispositivi.Questi contenuti recuperati includono dati personali se le pagine web source necontengono a loro volta.

35.     In terzo luogo, per consentireun utilizzo più funzionale dei risultati di ricerca, i motori di ricerca suInternet visualizzano spesso contenuti addizionali a fianco del link verso il sitoweb originale. Può trattarsi di estratti di testi, di audiovisivi o diistantanee di pagine web source. Queste anteprime di informazione possonoessere, almeno in parte, recuperate dai dispositivi del fornitore di servizi dimotore di ricerca su Internet e non estratte istantaneamente dal sito weboriginale. Di conseguenza, il fornitore di servizi detiene effettivamente leinformazioni così visualizzate.

C –  Regolamentazione dei motoridi ricerca su Internet

36.     L'Unione europea ha attribuitogrande importanza allo sviluppo della società dell'informazione. In taleambito, è stato trattato anche il ruolo degli intermediari della societàdell'informazione. Questi intermediari assicurano un collegamento tra ifornitori di contenuti e gli utenti di Internet. La specificità del loro ruoloè stata riconosciuta, per esempio, nella direttiva sulla protezione dei datipersonali (considerando 47), nella direttiva 2000/31 sul commercioelettronico (24) (articolo 21, paragrafo 2, e considerando 18) nonchénel parere n. 1/2008 del Gruppo di lavoro Articolo 29. Il ruolo dei fornitoridi accesso a Internet è stato ritenuto fondamentale per la societàdell'informazione e la loro responsabilità per i contenuti di terzi da essitrasferiti e/o immagazzinati è stata limitata per agevolarne le attivitàlegittime.

37.     Il ruolo e la posizionegiuridica dei fornitori di servizi di motore di ricerca su Internet non sonostati oggetto di regolamentazione specifica nel diritto dell'Unione. In quantotali, i «servizi di motori di ricerca» sono prestati a distanza, per viaelettronica e su richiesta individuale di un destinatario di servizi, ecorrispondono quindi ad un servizio della società dell'informazione consistentenel fornire strumenti per la ricerca, l'accesso e il reperimento di dati.Tuttavia, i fornitori di servizi di motore di ricerca su Internet come Google,i quali non prestano un servizio retribuito dagli utenti di Internet, nonrientrerebbero, in questa loro qualità, nell'ambito di applicazione delladirettiva 2000/31 sul commercio elettronico (25).

38.     Malgrado ciò, è necessarioesaminarne la posizione alla luce dei principi giuridici che stanno alla basedelle limitazioni di responsabilità dei fornitori di accesso a Internet. Inaltri termini, in quale misura le attività svolte da un fornitore di servizi dimotore di ricerca su Internet siano analoghe, sotto il profilo dei principisulla responsabilità, ai servizi elencati nella direttiva 2000/31 sul commercioelettronico [trasporto, semplice memorizzazione temporanea («caching»),stoccaggio («hosting»)] o ai servizi di trasmissione menzionati nelconsiderando 47 della direttiva, e in quale misura il fornitore di servizi dimotore di ricerca su Internet agisca come fornitore autonomo di contenuto.

D –  Il ruolo e la responsabilitàdegli editori di pagine web source

39.     Nella sentenza Lindqvist laCorte ha dichiarato che «l'operazione consistente nel far comparire in unapagina Internet dati personali va considerata come un trattamento [di datipersonali]» (26). Inoltre, «far apparire delle informazioni in unapagina Internet impone, secondo i procedimenti tecnici e informaticiattualmente applicati, di realizzare un'operazione di caricamento di questapagina su un server nonché le operazioni necessarie per rendere questa paginaaccessibile a coloro che si sono collegati ad Internet. Tali operazioni vengonoeffettuate, almeno in parte, in modo automatizzato». La Corte ha concluso che«l'operazione consistente nel fare riferimento, in una pagina Internet, adiverse persone e nell'identificarle vuoi con il loro nome, vuoi con altrimezzi» «costituisce un "trattamento di dati personali interamente oparzialmente automatizzato" ai sensi dell'articolo 3, paragrafo 1, della[direttiva]».

40.     Dalle citate affermazionicontenute nella sentenza Lindqvist emerge che l'editore di pagine web sourcecontenenti dati personali è un responsabile del trattamento di dati personaliai sensi della direttiva. In quanto tale, l'editore è vincolato dalla serie diobblighi che la direttiva impone ai responsabili del trattamento.

41.     Le pagine web source vengonoconservate su server «host» connessi a Internet. L'editore di pagine web sourcepuò avvalersi di «codici di esclusione» (27) per ilfunzionamento dei motori di ricerca su Internet. I codici di esclusioneavvisano i motori di ricerca di non indicizzare o archiviare una pagina websource o di non visualizzarla nei risultati di ricerca (28). Il loroutilizzo indica che l'editore non vuole che certe informazioni sulle pagine websource vengano reperite per essere diffuse attraverso i motori di ricerca.

42.     Pertanto, l'editore puòtecnicamente inserire nelle proprie pagine web codici di esclusione chelimitino l'indicizzazione e l'archiviazione della pagina, rafforzando in talmodo la protezione dei dati personali. Al limite, l'editore potrà ritirare lapagina dal server host, ripubblicarla senza i dati personali in questione edesigere l'aggiornamento della pagina nelle memorie cache dei motori di ricerca.

43.     Di conseguenza, la persona chepubblica il contenuto di una pagina web source è responsabile, in quantoresponsabile del trattamento, dei dati personali pubblicati sulla pagina edispone di diversi mezzi per adempiere i suoi obblighi al riguardo. Questaregolazione della responsabilità giuridica è coerente con i principiconsolidati sulla responsabilità dell'editore nell'ambito dei mediatradizionali (29).

44.     Tuttavia, questa responsabilitàdell'editore non garantisce che i problemi di protezione dei dati personalipossano essere risolti unicamente rivolgendosi ai responsabili del trattamentodelle pagine web source. Come sottolineato dal giudice del rinvio, è possibileche gli stessi dati personali siano stati pubblicati su un numero incalcolabiledi pagine, cosa che renderebbe difficile, se non impossibile, rintracciare econtattare tutti gli editori interessati. Per di più, l'editore potrebberisiedere in uno Stato terzo e le pagine web di cui trattasi potrebberosfuggire all'ambito di applicazione delle norme di diritto dell'Unione relativealla protezione dei dati personali. Potrebbero inoltre sussistere ostacoligiuridici simili a quelli del caso di specie, in cui il mantenimento dellapubblicazione originale su Internet è stato considerato legittimo.

45.      In realtà,l'accessibilità universale delle informazioni su Internet dipende dai motori diricerca, dato che trovare informazioni rilevanti senza di essi sarebbe troppocomplicato e difficile e produrrebbe risultati limitati. Come osservatogiustamente dal giudice del rinvio, ottenere informazioni sugli annuncirelativi alla vendita forzata dell'immobile della persona interessata avrebberichiesto altrimenti una visita agli archivi del giornale. Ora questeinformazioni possono essere acquisite inserendo il suo nome in un motore diricerca su Internet e questo rende la diffusione di tali dati molto piùefficiente, ma allo stesso tempo molto più importuna per la personainteressata. I motori di ricerca su Internet possono essere utilizzati perottenere un profilo completo degli individui tramite la ricerca e la raccoltadei loro dati personali. Orbene, proprio i timori legati alla profilazionedegli individui sono stati il motivo che ha ispirato gli sviluppi della modernalegislazione in materia di protezione dei dati personali (30).

46.     Per questi motivi è importanteesaminare la responsabilità dei fornitori di servizi di motore di ricerca suInternet relativamente ai dati personali pubblicati su pagine web source diterzi accessibili tramite i loro motori di ricerca. In altri termini, nel presentecaso la Corte si trova di fronte al problema della «responsabilità secondaria»di questa categoria di prestatori di servizi della società dell'informazione,problema analogo a quello da essa affrontato nelle sue decisioni in materia dimarchi e di mercati online (31).

E –  Attività di un fornitore diservizi di motore di ricerca su Internet

47.     Un fornitore di servizi dimotore di ricerca su Internet può svolgere più tipi di attività. La natura e lavalutazione delle suddette attività può variare sotto il profilo dellaprotezione dei dati.

48.     Un fornitore di servizi dimotore di ricerca su Internet può acquisire in modo automatico dati relativi aisuoi utenti (32), vale a dire relativi alle persone che inserisconotermini di ricerca nel motore di ricerca. Questi dati automaticamente trasmessipossono comprendere i loro indirizzi IP, le preferenze (lingua, ecc.) enaturalmente gli stessi termini di ricerca che, in caso di «egosurfing»(ricerche compiute da un utente inserendo il proprio nome), rivelano facilmentel'identità dell'internauta. Inoltre, per quanto riguarda soggetti che hanno unproprio account utente e quindi si sono registrati, i loro dati personali comenome, indirizzo di posta elettronica e numeri di telefono, finiscono quasiinvariabilmente nelle mani del fornitore di servizi di motore di ricerca suInternet.

49.     A remunerare il fornitore diservizi di motore di ricerca su Internet non sono gli utenti che inserisconotermini nel motore di ricerca, ma gli inserzionisti che acquistano termini diricerca come parole chiave, in modo che il loro annuncio pubblicitario vengavisualizzato contemporaneamente ai risultati delle ricerche di chi utilizzaquella parola chiave (33). Ovviamente, i dati personali relativi ai clientidegli inserzionisti entrano in possesso del fornitore di servizi.

50.     La presente domandapregiudiziale verte tuttavia sull'attività esercitata da Google come semplicefornitore di servizi di motore di ricerca su Internet in relazione a dati,compresi i dati personali, pubblicati su Internet in pagine web source di terzie trattati e indicizzati dal suo motore di ricerca. Pertanto, i problemi degliutenti e dei clienti degli inserzionisti, ai dati dei quali la direttiva èsenza dubbio applicabile con riferimento ai loro rapporti con Google, non hannorilievo sull'analisi del secondo gruppo di questioni pregiudiziali. Nondimeno,per quanto riguarda i problemi di competenza sollevati dal primo gruppo diquestioni pregiudiziali, le suddette categorie di clienti possono essere rilevanti.

V –  Ilprimo gruppo di quesiti, relativo all'ambito territoriale di applicazione delladirettiva

A –  Introduzione

51.      Il primo gruppo diquesiti pregiudiziali verte sull'interpretazione dell'articolo 4 delladirettiva con riferimento ai criteri per stabilire l'ambito territoriale diapplicazione della normativa nazionale di trasposizione.

52.     Il giudice del rinvio hasuddiviso la questione pregiudiziale relativa all'ambito territoriale diapplicazione della normativa spagnola in materia di protezione dei dati inquattro quesiti. Il primo verte sulla nozione di «stabilimento» ai sensidell'articolo 4, paragrafo 1, lettera a), della direttiva, mentre il secondoriguarda i casi in cui è fatto «ricorso a strumenti situati nel territorio di dettoStato membro [la Spagna]» ai sensi dell'articolo 4, paragrafo 1, lettera c).Con il terzo quesito il giudice nazionale chiede se sia possibile considerarericorso a strumenti lo stoccaggio temporaneo delle informazioni indicizzate daimotori di ricerca su Internet e, in caso di soluzione affermativa, se possaritenersi adempiuto tale criterio di collegamento nel caso in cui l'impresarifiuti di rivelare il luogo in cui archivia i suddetti indici. Con il quartoquesito si chiede se, alla luce dell'articolo 8 della Carta, debba essereapplicata la normativa nazionale di attuazione dello Stato membro in cui sisitua il centro di gravità della controversia e nel quale è possibile unatutela più efficace dei diritti dei cittadini dell'Unione europea.

53.     Mi occuperò in primo luogodell'ultimo quesito, che il giudice nazionale ha proposto «a prescindere dallarisposta ai precedenti quesiti, e specialmente nel caso in cui la [Corte]ritenesse inapplicabili i criteri di collegamento previsti all'articolo 4, paragrafo1, della direttiva».

B –  Il centro geografico digravità della controversia non è di per sé sufficiente a rendere applicabile ladirettiva

54.     Ai sensi del suo articolo 51,paragrafo 2, la Carta non estende l'ambito di applicazione del diritto dell'Unioneal di là delle competenze dell'Unione né introduce competenze nuove o compitinuovi per l'Unione o modifica le competenze e i compiti definiti neitrattati (34). Tale principio si applica anche all'articolo 8 dellaCarta sulla protezione dei dati personali. Pertanto, l'interpretazione delladirettiva conformemente alla Carta non può aggiungere alcun nuovo elemento chefaccia scattare l'applicazione territoriale della normativa nazionale diattuazione della direttiva a quelli indicati dall'articolo 4, paragrafo 1,della direttiva stessa. Naturalmente, si deve tener conto dell'articolo 8 dellaCarta nell'interpretare le nozioni di cui all'articolo 4, paragrafo 1, delladirettiva, ma i criteri di collegamento definiti dal legislatore dell'Unionenon possono essere integrati da un criterio completamente nuovo attraverso unriferimento al suddetto diritto fondamentale (35).

55.     Il Gruppo di lavoro Articolo 29ha giustamente sottolineato che l'ambito di applicazione territoriale delladirettiva e della normativa nazionale di attuazione della stessa dipendono odal luogo di stabilimento del responsabile del trattamento o, quando ilresponsabile del trattamento sia stabilito al di fuori del SEE, dall'ubicazionedei mezzi e degli strumenti utilizzati. Non sono decisivi la cittadinanza o illuogo di residenza abituale dell'interessato né l'ubicazione fisica dei datipersonali (36).

56.     Il Gruppo di lavoro Articolo 29ha proposto che nella futura legislazione venga elaborato un approccioorientato ai destinatari del servizio quando i responsabili del trattamento nonsono stabiliti nell'Unione (37). Nella Proposta dellaCommissione per un regolamento generale sulla protezione dei dati (2012) (38)l'offerta di beni o la prestazione di servizi a interessati residenti nell'Unioneeuropea costituirebbe un fattore di applicazione della normativa dell'Unione intema di protezione dei dati a responsabili del trattamento stabiliti in paesiterzi. Simile approccio, che collega l'applicabilità territoriale dellalegislazione UE al pubblico cui ci si rivolge, è coerente con la giurisprudenzadella Corte in materia di applicabilità della direttiva 2000/31 sul commercioelettronico (39), del regolamento n. 44/2001 (40) e delladirettiva 2001/29 (41) a situazioni transfrontaliere.

57.     Per contro, il criterio delpubblico cui ci si rivolge, nel caso presente gli utenti spagnoli del motore diricerca su Internet di Google, ai cui occhi la reputazione della personainteressata ha potuto essere compromessa a seguito degli annunci pubblicitaricontroversi, non appare decisivo per l'applicabilità territoriale delladirettiva e della corrispondente normativa nazionale di attuazione.

58.     Pertanto, il centro di gravitàdella controversia in Spagna non può essere aggiunto ai criteri indicati nell'articolo4, paragrafo 1, della direttiva che, a mio parere, armonizza pienamente laportata territoriale di applicazione delle normative degli Stati membri inmateria di protezione dei dati. Ciò vale a prescindere se detto centro digravità sia costituito dalla cittadinanza o dalla residenza degli interessati,dall'ubicazione dei dati personali controversi nel sito web del giornale o dalfatto che il sito web spagnolo di Google sia diretto specificamente al pubblicospagnolo (42).

59.     Per i suddetti motivi propongoalla Corte, per il caso in cui essa consideri necessario rispondere alla primaquestione, di apportare una risposta negativa al quarto quesito.

C –  L'applicabilità delcriterio dello «stabilimento nell'Unione» al fornitore di servizi di motore diricerca su Internet di un paese terzo

60.     Ai sensi dell'articolo 4,paragrafo 1, della direttiva, il fattore principale che comporta l'applicazioneterritoriale della normativa nazionale in materia di protezione dei dati è cheil trattamento dei dati personali venga effettuato nell'ambito delle attivitàdi uno stabilimento del responsabile del trattamento sito sul territorio delloStato membro. La legislazione di detto Stato membro si applica, inoltre, nelcaso in cui il responsabile del trattamento non sia stabilito nel territoriodell'Unione ma ricorra a mezzi o strumenti (43) situatinel territorio dello Stato membro ai fini del trattamento dei dati personali, ameno che detti mezzi o strumenti non vengano impiegati soltanto per il transitosul territorio dell'Unione.

61.     Come già sottolineato, ladirettiva e il suo articolo 4 sono stati adottati prima che iniziasse lafornitura su larga scala di servizi online su Internet. Inoltre, sotto questoprofilo la formulazione letterale non è coerente e completa (44). Nonsorprende che esperti in materia di protezione dei dati personali abbiano avutodifficoltà notevoli nell'interpretarla con riferimento a Internet. I fatti dicui alla presente causa illustrano questi problemi.

62.     Google Inc. è una società californianache possiede controllate in numerosi Stati membri dell'Unione. Le sue attivitàeuropee sono, in certa misura, coordinate dalla sua controllata irlandese.Attualmente, essa dispone di centri dati quanto meno in Belgio e in Finlandia.Le informazioni sull'esatta posizione geografica delle funzioni relative al suomotore di ricerca non sono pubbliche. Google sostiene che nessun trattamento didati personali connesso con il suo motore di ricerca viene effettuato inSpagna. Google Spain agisce in quanto rappresentante commerciale di Google perle sue attività pubblicitarie. In quanto tale, essa ha assunto laresponsabilità per il trattamento dei dati personali relativi ai suoi clientiinserzionisti spagnoli. Google nega che il suo motore di ricerca effettuioperazioni sui server host delle pagine web source o che raccolga informazionitramite cookies di utenti non registrati del suo motore di ricerca.

63.     In questo contesto di fatto, ildettato dell'articolo 4, paragrafo 1, della direttiva non è molto utile. Googlepossiede numerosi stabilimenti nel territorio dell'Unione. Secondoun'interpretazione letterale, ciò escluderebbe l'applicabilità del criterioriguardante gli strumenti di cui all'articolo 4, paragrafo 1, lettera c), delladirettiva. D'altro canto, non è chiaro fino a che punto e dove il trattamentodei dati personali di interessati residenti nell'Unione avvenga nell'ambitodelle attività delle sue controllate stabilite nell'Unione.

64.     A mio avviso, la Corte dovrebbeaffrontare la questione dell'applicabilità territoriale prendendo inconsiderazione il modello economico dei fornitori di servizi di motore diricerca su Internet. Come ho indicato, questo modello si basa di solito sulla pubblicitàmediante parole chiave, che costituisce la fonte del reddito e che, inquanto tale, è la ragione per la fornitura di uno strumento gratuito dilocalizzazione dell'informazione nella forma di un motore di ricerca. L'entitàche si occupa della pubblicità mediante parole chiave (denominata nellagiurisprudenza della Corte «prestatore di un servizio di posizionamento» (45)) ècollegata al motore di ricerca su Internet. Tale entità deve essere presentesui mercati pubblicitari nazionali. Per questo motivo Google ha stabilitocontrollate in molti Stati membri, le quali chiaramente costituisconostabilimenti ai sensi dell'articolo 4, paragrafo 1, lettera a), delladirettiva. Google inoltre fornisce domini web nazionali come google.es ogoogle.fi. L'attività del motore di ricerca tiene conto di questa diversificazionenazionale in vari modi nella visualizzazione dei risultati della ricerca, datoche il normale modello di finanziamento della pubblicità tramite parole chiavesegue il principio del prezzo per click [payperclick] (46).

65.     Per questi motivi ritengo didover concordare con le conclusioni del Gruppo di lavoro Articolo 29 secondo lequali dev'essere tenuto in considerazione il modello economico di un fornitoredi servizi di motore di ricerca su Internet nel senso che il suo stabilimentoha un ruolo significativo nel trattamento dei dati personali se è collegato adun servizio implicato nella vendita di pubblicità mirata agli abitanti di taleStato membro (47).

66.     Inoltre, anche se, per quantoriguarda le sue disposizioni sostanziali, l'articolo 4 della direttiva si basasu un'unica nozione di responsabile del trattamento, ritengo che, per decideresulla questione preliminare dell'applicabilità territoriale, un operatoreeconomico debba essere considerato come una entità singola e che pertanto, inquesta fase dell'analisi, non debba guardarsi alle sue singole attivitàrelative al trattamento di dati personali o ai differenti gruppi di interessatiai quali queste si riferiscono.

67.     In conclusione, il trattamentodi dati personali avviene nell'ambito di uno stabilimento del responsabile deltrattamento se tale stabilimento funge da collegamento per il servizio diposizionamento per il mercato pubblicitario di tale Stato membro, anche se leoperazioni tecniche di trattamento dei dati hanno luogo in altri Stati membri oin paesi terzi.

68.     Per questi motivi propongo allaCorte di rispondere al primo gruppo di quesiti pregiudiziali nel senso che iltrattamento di dati personali avviene nel contesto delle attività di uno«stabilimento» del responsabile del trattamento, ai sensi dell'articolo 4,paragrafo 1, lettera a), della direttiva, quando l'impresa che fornisce ilmotore di ricerca apra in uno Stato membro, ai fini della promozione e dellavendita di spazi pubblicitari sul motore di ricerca, un ufficio o una controllatache orienti le proprie attività verso gli abitanti del suddetto Stato.

VI – Ilsecondo gruppo di quesiti, relativo alla portata di applicazione rationemateriae della direttiva

69.     Il secondo gruppo di quesitiverte sulla posizione giuridica, alla luce delle disposizioni della direttiva,di un fornitore di servizi di motore di ricerca su Internet che offre accessoad un motore di ricerca su Internet. Il giudice nazionale ha formulato isuddetti quesiti riferendoli alle nozioni di «trattamento» dei dati personali(quesito 2.1) e di «responsabile del trattamento» (quesito 2.2), allecompetenze dell'autorità nazionale per la protezione dei dati di impartireordini direttamente al fornitore di servizi di motore di ricerca su Internet(quesito 2.3) e all'eventuale esclusione della protezione dei dati personali daparte del fornitore di servizi di motore di ricerca su Internet riguardo adinformazioni legalmente pubblicate da terzi su Internet (quesito 2.4). Gliultimi due quesiti sono rilevanti solo nel caso in cui si possa considerare cheil fornitore di servizi di motore di ricerca su Internet tratta dati personalisu pagine web source di terzi ed è il responsabile del loro trattamento.

A –  Il trattamento di datipersonali ad opera di un motore di ricerca su Internet

70.     Il primo quesito del presentegruppo verte sull'applicabilità delle nozioni di «dati personali» e di«trattamento» ad un fornitore di servizi di motore di ricerca su Internet comeGoogle, intendendo per dati personali non quelli di utenti o di inserzionisti,bensì quelli pubblicati su pagine web source di terzi e trattati da un motoredi ricerca su Internet gestito dal fornitore di servizi. Nella descrizione delgiudice nazionale, il trattamento consiste nel localizzare le informazioni pubblicateo immesse in Internet da terzi, indicizzarle automaticamente, archiviarletemporaneamente e infine metterle a disposizione degli utenti di Internet inbase ad un particolare ordine di preferenza.

71.      A mio avviso, unarisposta affermativa al presente quesito non richiede una lunga discussione. Lanozione di dati personali viene definita in maniera ampia nella direttiva etale definizione ampia è stata applicata dal Gruppo di lavoro Articolo 29 econfermata dalla Corte (48).

72.     Per quanto riguarda la nozionedi «trattamento», le pagine web source su Internet possono contenere, e spessocontengono, nomi, immagini, indirizzi, numeri di telefono, descrizioni e altreindicazioni per mezzo delle quali una persona fisica può essere identificata. Ilfatto che la loro natura di dati personali rimanga «sconosciuta» al fornitoredi servizi di motore di ricerca su Internet, il cui motore di ricerca funzionasenza intervento umano sui dati raccolti, indicizzati e visualizzati per laricerca, non modifica questa osservazione (49). Lostesso vale per il fatto che la presenza di dati personali nelle pagine websource è in un certo senso casuale per il fornitore di servizi di motore diricerca su Internet, in quanto per quest'ultimo, o più precisamente per lefunzioni di esplorazione, analisi e indicizzazione del motore di ricerca, cheriguardano tutte le pagine web accessibili su Internet, può non esserci alcunadifferenza tecnica o operativa tra una pagina web source contenente datipersonali ed un'altra che non ne contiene (50).Tuttavia, a mio avviso queste circostanze dovrebbero influiresull'interpretazione della nozione di «responsabile del trattamento».

73.     La funzione di esplorazione delmotore di ricerca di Google, denominata «googlebot», perlustra Internet in modocostante e sistematico e, procedendo da una pagina web source all'altra sullabase di hyperlink tra le pagine, chiede ai siti visitati di inviarle una copiadelle pagine visitate (51). Le copie di queste pagine web source vengonoanalizzate dalla funzione di indicizzazione di Google. Le sequenze di segni(parole chiave, termini di ricerca) trovate sulle pagine vengono registratenell'indice del motore di ricerca (52). Il complesso algoritmo diricerca di Google valuta inoltre la rilevanza dei risultati della ricerca. Lecombinazioni di queste parole chiave con gli indirizzi URL, quando è possibiletrovarle, formano l'indice del motore di ricerca. Le ricerche lanciate dagliutenti vengono eseguite all'interno dell'indice. Ai fini dell'indicizzazione edella visualizzazione dei risultati della ricerca, la copia delle pagine vieneregistrata nella memoria cache del motore di ricerca (53).

74.     Una copia della pagina websource ricercata, immagazzinata nella memoria cache, può essere visualizzata dopoche l'utente ha effettuato la ricerca. L'utente, tuttavia, può accedere allapagina originale se, per esempio, vuole visualizzare immagini nella pagina websource. La memoria cache viene aggiornata frequentemente, ma può accadere chela pagina visualizzata dal motore di ricerca non corrisponda più alle pagineweb source presenti nel server host a seguito di modifiche osoppressione (54).

75.     Va da sé che le operazionidescritte nei paragrafi precedenti rientrano nel «trattamento» di datipersonali sulle pagine web source copiate, indicizzate, immesse nella memoriacache e visualizzate dal motore di ricerca. Più in particolare, tali operazionicomprendono la raccolta, la registrazione, l'organizzazione e la conservazionedi questi dati personali e possono comportarne l'impiego, la comunicazionemediante trasmissione, la diffusione o qualsiasi altra forma di messa adisposizione e l'interconnessione ai sensi dell'articolo 2, lettera b), delladirettiva.

B –  La nozione di «responsabiledel trattamento»

76.     Ai sensi dell'articolo 2,lettera d), della direttiva, per «responsabile del trattamento» (55) siintende «la persona fisica o giuridica (Š) che, da sol[a] o insieme ad altri,determina le finalità e gli strumenti del trattamento di dati personali». A mioavviso, il problema fondamentale nel presente caso è se, e in quale misura, unfornitore di servizi di motore di ricerca su Internet rientri in taledefinizione.

77.     Tutte le parti, con l'eccezionedi Google e del governo ellenico, propongono di dare una risposta affermativa atale questione, che potrebbe facilmente essere difesa come conclusione logicadi un'interpretazione letterale, e forse persino teleologica, della direttiva,dato che le definizioni di base della direttiva sono state formulate in manieraampia per farvi rientrare i nuovi sviluppi. A mio avviso, tuttavia, un simileapproccio rappresenterebbe un metodo che trascura totalmente il fatto che,quando la direttiva è stata redatta, non era possibile prevedere l'emersione diInternet e dei diversi fenomeni connessi.

78.     Quando la direttiva è stataadottata, il World Wide Web era una realtà appena comparsa e i motori diricerca su Internet erano ancora agli inizi. Le disposizioni della direttivasemplicemente non tengono conto del fatto che masse ingenti di documenti e difile elettronici ospitati in maniera decentralizzata sono accessibili daqualsiasi parte del mondo e che i loro contenuti possono essere copiati,analizzati e diffusi da persone che non hanno alcuna relazione con i rispettiviautori o con quanti li hanno caricati in un server host connesso a Internet.

79.     Ricordo che nella sentenzaLindqvist la Corte non ha seguito l'approccio massimalista suggerito dallaCommissione riguardo all'interpretazione della nozione di trasferimento di dativerso paesi terzi. La Corte ha dichiarato che, «[t]enuto conto, da una parte,dello stato dello sviluppo di Internet all'epoca dell'elaborazione della[direttiva] e, dall'altra, della mancanza, nel suo capo IV, di criteriapplicabili all'uso di Internet, non si può presumere che il legislatorecomunitario avesse l'intenzione di includere prospettivamente nella nozione di"trasferimenti verso un paese terzo di dati personali" l'inserimento, da partedi una persona che si trovi nella situazione della [signora] Lindqvist, di datiin una pagina Internet, anche se questi sono così resi accessibili alle personedi paesi terzi in possesso dei mezzi tecnici per consultarli» (56). Questoimplica, a mio parere, che, al fine di ottenere un risultato equilibrato eragionevole, nell'interpretare la direttiva alla luce dei nuovi fenomenitecnologici debbono essere tenuti in considerazione il principio diproporzionalità, gli obiettivi della direttiva e gli strumenti in essa previstiper il loro raggiungimento.

80.     A mio avviso, una questionefondamentale nel presente caso è stabilire se rilevi che, nella definizione delresponsabile del trattamento, la direttiva si riferisca al soggetto che«determina le finalità e gli strumenti di trattamento di dati personali»(il corsivo è mio). Le parti che considerano Google come responsabile deltrattamento fondano questa valutazione sul fatto innegabile che il fornitore diservizi che gestisce un motore di ricerca su Internet determina le finalità e imezzi del trattamento dati alla luce degli scopi che persegue.

81.     Dubito, tuttavia, che unasimile analisi porti a un'interpretazione fedele della direttiva quando iltrattamento verte su file che combinano dati personali e altri tipi di dati inmaniera non sistematica, indiscriminata e aleatoria. Il professore di dirittoeuropeo che ho citato nell'esempio del paragrafo 29 delle presenti conclusionidetermina forse le finalità e i mezzi del trattamento dei dati personalifiguranti nelle sentenze della Corte da lui scaricate sul proprio portatile?L'osservazione del Gruppo di lavoro Articolo 29 secondo cui «[a]nche gli utentidel motore di ricerca potrebbero essere considerati a rigor di terminiresponsabili del trattamento» rivela l'irrazionalità della ciecainterpretazione letterale della direttiva nell'ambito di Internet (57). LaCorte non dovrebbe accogliere un'interpretazione che renda responsabile deltrattamento di dati personali pubblicati su Internet virtualmente qualsiasipersona in possesso di uno smartphone o di un tablet o di un computerportatile.

82.     A mio avviso, l'economiagenerale della direttiva, la maggior parte delle sue versioni linguistiche egli obblighi individuali da essa imposti al responsabile del trattamento sibasano sull'idea della responsabilità del responsabile del trattamentoriguardo ai dati personali trattati, nel senso che il responsabiledel trattamento è consapevole dell'esistenza di una categoria definita diinformazioni che corrispondono a dati personali e intende trattare taliinformazioni proprio in quanto dati personali (58).

83.     Il Gruppo di lavoro Articolo 29osserva giustamente che «[i]l concetto di responsabile del trattamento èfunzionale, finalizzato cioè all'attribuzione di responsabilità laddoveintervenga un'influenza effettiva: si basa quindi su un'analisi fattualepiuttosto che formale» (59). Il Gruppo prosegue affermando che «il responsabiledel trattamento de[ve] determinare quali dati debbano essere trattati per lafinalità o le finalità previste» (60). Le disposizioni sostanzialidella direttiva, più in particolare gli articoli 6, 7 e 8, si basano, a mioavviso, sulla premessa che il responsabile del trattamento sappia quel che fariguardo ai dati personali considerati, nel senso che è consapevole di qualetipo di dati personali sta trattando e perché. In altri termini, il trattamentodei dati deve apparirgli come un trattamento di dati personali, ossia«informazion[i] concernent[i] una persona fisica identificata o identificabile»in una maniera semanticamente rilevante, e non un semplice codiceinformatico (61).

C –  Un fornitore di servizi dimotore di ricerca su Internet non è un «responsabile del trattamento» di datipersonali su pagine web source di terzi

84.     Il fornitore di servizi dimotore di ricerca su Internet che offre semplicemente uno strumento dilocalizzazione delle informazioni non esercita alcun controllo sui datipersonali contenuti in pagine web di terzi. Il fornitore di servizi è«consapevole» dell'esistenza di dati personali unicamente nel senso che, sottoun profilo statistico, è probabile che le pagine web contengano dati personali.Durante il trattamento delle pagine web source a scopo di esplorazione, dianalisi e di indicizzazione, i dati personali non si manifestano in quanto taliin alcun modo particolare.

85.     È questo il motivo per cuiconsidero adeguato l'approccio del Gruppo di lavoro Articolo 29, in quanto essotenta di tracciare una linea tra le funzioni interamente passive e diintermediazione dei motori di ricerca e le situazioni in cui la loro attivitàrappresenta un effettivo controllo sui dati personali trattati (62). Peramor di completezza, occorre aggiungere che stabilire se i dati personali sianodivenuti pubblici (63) o siano stati legalmente diffusi su pagine web sourcedi terzi non è rilevante ai fini dell'applicazione della direttiva (64).

86.     Il fornitore di servizi dimotore di ricerca su Internet non ha alcun rapporto con il contenuto dellepagine web source di terzi su Internet in cui possono comparire dati personali.Inoltre, dato che il motore di ricerca lavora sulla base di copie di pagine websource che il crawler ha estratto e copiato, il fornitore di servizi non hamezzi per cambiare le informazioni sui server host. Fornire uno strumento dilocalizzazione di informazioni non implica alcun controllo sul contenuto. Nétale attività mette il fornitore di servizi di motore di ricerca su Internet incondizione di distinguere tra i dati personali ai sensi della direttiva, ossiai dati che si riferiscono ad una persona fisica identificata e identificabile,e gli altri dati.

87.     In questa fase, farei leva sulprincipio enunciato nel considerando 47 della direttiva. In esso si afferma cheil responsabile del trattamento di messaggi contenenti dati personali trasmessitramite telecomunicazioni o posta elettronica è colui che ha emanato ilmessaggio e non la persona che presta i servizi di trasmissione. Questoconsiderando, così come le deroghe alla responsabilità previste nella direttiva2000/31 sul commercio elettronico (articoli 12, 13 e 14), si basa sul principiogiuridico secondo il quale i rapporti automatizzati, tecnici e passivi relativiad un contenuto archiviato o trasmesso elettronicamente non implicano alcuncontrollo o responsabilità sullo stesso.

88.     Il Gruppo di lavoro Articolo 29ha sottolineato che la nozione di responsabile del trattamento serve adeterminare in primissimo luogo chi risponde dell'osservanza delle normerelative alla protezione dei dati e ad assegnare tale responsabilità a chiesercita un'influenza effettiva (65). Secondo il Gruppo dilavoro, «[i]l principio di proporzionalità comporta che, nella misura in cuiinterviene esclusivamente come intermediario, il provider di motori di ricercanon deve essere considerato il responsabile principale del trattamento conriguardo al trattamento di dati personali in questione. In questo caso, iresponsabili principali del trattamento sono i fornitori diinformazioni» (66).

89.     A mio avviso, il fornitore diservizi di motore di ricerca su Internet non può, né in diritto né in fatto,adempiere gli obblighi del responsabile del trattamento previsti dagli articoli6, 7 e 8 della direttiva in relazione ai dati personali contenuti in pagine websource ospitate su server di terzi. Pertanto, un'interpretazione ragionevoledella direttiva esige che il fornitore di servizi non sia considerato, ingenerale, rivestire tale posizione (67).

90.     Un'opinione contrariaimplicherebbe che i motori di ricerca su Internet sono incompatibili con ildiritto dell'Unione, conclusione secondo me assurda. In particolare, se ifornitori di servizi di motore di ricerca su Internet fossero consideratiresponsabili del trattamento dei dati personali contenuti su pagine web sourcedi terzi e se in una di queste pagine vi fossero «categorie particolari di dati»,ai sensi dell'articolo 8 della direttiva (ossia dati personali che rivelanoopinioni politiche e convinzioni religiose o dati relativi alla salute e allavita sessuale degli individui), l'attività del fornitore di servizi di motoredi ricerca su Internet diventerebbe automaticamente illegale, quando lerigorose condizioni dettate nel suddetto articolo per il trattamento di talidati non siano rispettate.

D –  Circostanze in cui ilfornitore di servizi di motore di ricerca su Internet è un «responsabile deltrattamento»

91.      È evidente che ilfornitore di servizi di motore di ricerca su Internet controlla l'indice delmotore di ricerca che collega le parole chiave agli indirizzi URL pertinenti.Il fornitore di servizi stabilisce il modo in cui l'indice è strutturato e puòtecnicamente bloccare alcuni risultati di ricerca, per esempio non mostrandoindirizzi URL provenienti da taluni paesi o domini (68).Inoltre, il fornitore di servizi di motore di ricerca su Internet controlla ilproprio indice, nel senso che decide se i codici di esclusione (69) supagine web source debbano essere rispettati o meno.

92.     Per contro, i contenuti dellamemoria cache del motore di ricerca su Internet non si possono considerare comerientranti sotto il controllo del fornitore di servizi, in quanto la cache è ilrisultato di processi totalmente tecnici e automatizzati che produconoun'immagine specchio dei dati testuali delle pagine web esplorate, conl'eccezione dei dati esclusi dall'indicizzazione e dall'archiviazione. Èinteressante che alcuni Stati membri risultano prevedere speciali derogheorizzontali riguardo alla responsabilità dei motori di ricerca analoghe aquelle previste nella direttiva 2000/31 sul commercio elettronico per alcuniprestatori di servizi della società dell'informazione (70).

93.     Tuttavia, per quanto riguarda icontenuti della memoria cache, a mio avviso la decisione di non rispettare icodici di esclusione (71) su una pagina web implica la responsabilità delprovider, ai sensi della direttiva, per il trattamento di tali dati personali.Lo stesso vale nel caso in cui il fornitore di servizi di motore di ricerca suInternet non aggiorni una pagina web nella propria memoria cache nonostante ilsito web gliene abbia fatto richiesta.

E –  Gli obblighi di unfornitore di servizi di motore di ricerca su Internet in quanto «responsabiledel trattamento»

94.     È evidente che, se e quando puòessere considerato «responsabile del trattamento», il fornitore di servizi dimotore di ricerca su Internet è tenuto ad adempiere gli obblighi previsti dalladirettiva.

95.     Per quanto riguarda i criteriche rendono legittimo il trattamento dei dati in mancanza del consenso dellapersona interessata [articolo 7, lettera a), della direttiva], appare evidenteche la prestazione di servizi di motori di ricerca su Internet persegue, inquanto tale, interessi legittimi [articolo 7, lettera f), della direttiva],ossia (i) facilitare l'accesso alle informazioni per gli utenti di Internet;(ii) migliorare l'efficacia della diffusione delle informazioni caricate suInternet; e (iii) consentire diversi servizi della società dell'informazioneofferti dal fornitore di servizi di motore di ricerca su Internet che sonoaccessori al motore di ricerca, come l'offerta di pubblicità tramite parolechiave. Questi tre obiettivi si rapportano, rispettivamente, a tre dirittifondamentali tutelati dalla Carta, vale a dire la libertà di informazione e lalibertà di espressione (sancite entrambe all'articolo 11) e la libertàd'impresa (articolo 16). Pertanto, un fornitore di servizi di motore di ricercasu Internet persegue interessi legittimi, ai sensi dell'articolo 7, lettera f),della direttiva, quando tratta dati, compresi dati personali, messi adisposizione su Internet.

96.     In quanto responsabile deltrattamento, un fornitore di servizi di motore di ricerca su Internet è tenutoa soddisfare i requisiti previsti dall'articolo 6 della direttiva. Inparticolare, i dati personali debbono essere adeguati, pertinenti e noneccedenti rispetto alle finalità perseguite, ed aggiornati, vale a dire nonobsoleti per i fini per i quali sono rilevati. È necessario inoltre ponderaregli interessi del «responsabile del trattamento», o dei terzi a vantaggio deiquali il trattamento viene effettuato, e quelli delle persone considerate.

97.     Nel procedimento principale, lapersona interessata chiede il ritiro dall'indice di Google dell'indicizzazionedel suo nome e del suo cognome assieme agli indirizzi URL delle pagine delgiornale in cui sono visualizzati i dati personali che vuole far sopprimere.Infatti, i nomi delle persone vengono utilizzati come termini di ricerca e sonoregistrati come parole chiave negli indici dei motori di ricerca. Orbene, disolito un nome non è di per sé sufficiente per un'identificazione direttadi una persona fisica su Internet, poiché a livello globale esistono molte oaddirittura migliaia o milioni di persone che hanno lo stesso nome o la stessacombinazione di uno o più determinati nomi e cognomi (72).Tuttavia, ritengo che nella maggior parte dei casi la combinazione di un datonome e cognome come termine di ricerca permetta l'identificazione indirettadi una persona fisica ai sensi dell'articolo 2, lettera a), della direttiva,quando i risultati nell'indice di un motore di ricerca rivelano un numero cosìristretto di link da consentire ad un utente di Internet di distinguere trapersone che hanno lo stesso nome.

98.     Un indice di motore di ricercacollega i nomi e gli altri identificativi che sono utilizzati come termini di ricercaad uno o più link verso determinate pagine web. Nei limiti in cui il link èadeguato, nel senso che i dati corrispondenti al termine di ricerca compaionorealmente o sono comparsi sulle pagine web linkate, l'indice – a mioavviso – risponde ai criteri di adeguatezza, pertinenza, proporzionalità,esattezza e completezza elencati nell'articolo 6, lettere c) e d), delladirettiva. Per quanto riguarda gli aspetti temporali di cui all'articolo 6,lettere d) ed e) (i dati personali debbono essere aggiornati e non debbonoessere conservati più a lungo di quanto necessario), occorre esaminare anchequesti problemi dal punto di vista del trattamento de quo, ossia la prestazionedi un servizio di localizzazione delle informazioni, e non come una questionerelativa al contenuto delle pagine web source (73).

F –  Conclusione sul secondogruppo di quesiti

99.     Sulla base di questoragionamento ritengo che un'autorità nazionale per la protezione dei dati nonpossa imporre a un fornitore di servizi di motore di ricerca su Internet diritirare alcune informazioni dal suo indice, salvo i casi in cui tale fornitoredi servizi non abbia rispettato i codici di esclusione (74) o nonabbia soddisfatto una richiesta di aggiornamento della memoria cacheproveniente dal sito web. Questo scenario non appare rilevante per il presenterinvio pregiudiziale. Un'eventuale procedura di «notifica e rimozione» (75) relativaa link verso pagine web source a contenuto illecito o inappropriato è unaquestione di diritto nazionale in materia di responsabilità per danni fondatasu motivi diversi dalla protezione dei dati personali (76).

100.   Per i suddetti motivi propongo alla Cortedi rispondere al secondo gruppo di quesiti nel senso che, nelle circostanzeindicate nella domanda pregiudiziale, un fornitore di servizi di motore diricerca su Internet «tratta» dati personali ai sensi dell'articolo 2, letterab), della direttiva. Tuttavia, il fornitore di servizi non può essereconsiderato «responsabile del trattamento» di tali dati personali ai sensidell'articolo 2, lettera d), della direttiva, fatta salva l'eccezione sopraillustrata.

VII – La terzaquestione, relativa all'eventuale «diritto all'oblio» della persona interessata

A –  Osservazioni preliminari

101.   La terza questione pregiudiziale harilevanza solo qualora la Corte respinga la conclusione cui sono pervenutopoc'anzi, secondo la quale, in linea generale, Google non va considerata come«responsabile del trattamento», ai sensi dell'articolo 2, lettera d), delladirettiva, oppure convenga con me che in taluni casi a un fornitore di servizidi motore di ricerca su Internet, come Google, può essere riconosciuto un talestatus. In ogni altra ipotesi, la sezione che segue è superflua.

102.   Ad ogni modo, con la sua terza questione ilgiudice nazionale chiede se il diritto di ottenere la cancellazione e ilcongelamento dei dati, previsto all'articolo 12, lettera b), della direttiva, eil diritto di opposizione, previsto all'articolo 14, lettera a), delladirettiva, consentano alla persona interessata di contattare essa stessa ifornitori di servizi di motore di ricerca su Internet affinché non indicizzinole informazioni che la riguardano personalmente e che sono state pubblicate supagine web di terzi. Ciò facendo, l'interessato cerca di impedire cheinformazioni potenzialmente nocive vengano a conoscenza degli utenti diInternet o esprime il desiderio che le stesse siano dimenticate, anche se sonostate pubblicate da terzi legalmente. In altri termini, il giudice nazionalechiede, in sostanza, se dagli articoli 12, lettera b), e 14, lettera a), delladirettiva possa essere derivato un «diritto all'oblio» . Questo è il primopunto che occorre esaminare nell'analisi qui di seguito esposta, la quale èfondata sul tenore letterale e sugli obiettivi delle summenzionatedisposizioni.

103.   Se giungerò alla conclusione che gliarticoli 12, lettera b), e 14, lettera a), della direttiva, in se stessi e perse stessi, non offrono siffatta protezione, procederò allora a valutare se unasimile interpretazione sia compatibile con la Carta (77). Saràquindi necessario considerare il diritto alla protezione dei dati personali, dicui all'articolo 8, il diritto al rispetto della vita privata e familiare,sancito all'articolo 7, le libertà di espressione e di informazione, cometutelate dall'articolo 11 (entrambe con riferimento alla libertà di espressionedegli editori di pagine web e alla libertà degli utenti di Internet di ottenereinformazioni), e la libertà di impresa, prevista all'articolo 16. Infatti, idiritti delle persone interessate previsti agli articoli 7 e 8 debbono essereponderati con i diritti, garantiti agli articoli 11 e 16, di quanti intendonodiffondere i dati o avervi accesso.

B –  Se i diritti allarettifica, alla cancellazione, al congelamento e all'opposizione previsti nelladirettiva corrispondano a un «diritto all'oblio» della persona interessata

104.   Il diritto alla rettifica, allacancellazione e al congelamento dei dati previsto all'articolo 12, lettera b),della direttiva, riguarda i dati il cui trattamento non è conforme alledisposizioni della direttiva, in particolare a causa della loroincompletezza o inesattezza (il corsivo è mio).

105.   Nell'ordinanza di rinvio si riconosce chele informazioni apparse sulle pagine web di cui trattasi non possono essereconsiderate incomplete o inesatte. Tanto meno si sostiene che siano inesatti oincompleti l'indice di Google o i contenuti della sua memoria cachecomprendenti tali dati. Pertanto, il diritto alla rettifica, alla cancellazioneo al congelamento, ex articolo 12, lettera b), della direttiva, sorgerà solonel caso in cui il trattamento da parte di Google dei dati personaliprovenienti da pagine web source di terzi sia incompatibile con la direttivaper ragioni diverse.

106.   Ai sensi dell'articolo 14, lettera a),della direttiva, gli Stati membri debbono garantire alla persona interessata ildiritto di opporsi in qualsiasi momento, per motivi preminenti e legittimi,derivanti dalla sua situazione particolare, al trattamento di dati che lariguardano, salvo disposizione contraria prevista dalla normativa nazionale.Ciò vale in particolare nei casi di cui all'articolo 7, lettere e) e f), delladirettiva, vale a dire nei casi in cui il trattamento è necessario per uninteresse pubblico o per il perseguimento dell'interesse legittimo delresponsabile del trattamento oppure di terzi. Inoltre, ai sensi dell'articolo14, lettera a), «il trattamento effettuato dal responsabile» non può piùriguardare i dati controversi in caso di obiezione giustificata.

107.   Nei casi in cui i fornitori di servizi dimotore di ricerca su Internet sono considerati responsabili del trattamento didati personali, l'articolo 6, paragrafo 2, della direttiva impone loro dicontemperare gli interessi del responsabile del trattamento, o dei terzi avantaggio dei quali il trattamento viene effettuato, con quelli della personainteressata. Come osservato dalla Corte nella sentenza ASNEF e FECEMD, ai finidi questo contemperamento è rilevante se i dati di cui trattasi figurino già, omeno, in fonti accessibili al pubblico (78).

108.   Tuttavia, come sostenuto da quasi tutte leparti che hanno presentato osservazioni scritte nella presente causa, ritengoche la direttiva non preveda un diritto generale all'oblio nel senso che unapersona interessata abbia il diritto di limitare o di porre fine alladiffusione di dati personali che consideri nocivi o contrari ai propriinteressi. Sono lo scopo del trattamento e gli interessi da esso tutelati,confrontati con quelli della persona interessata, e non le preferenze diquest'ultima, i criteri da applicare allorché i dati vengono trattati senza ilconsenso della stessa. Di per sé, una preferenza soggettiva non costituisce unmotivo preminente e legittimo ai sensi dell'articolo 14, lettera a), delladirettiva.

109.   Quand'anche la Corte dovesse dichiarare chei fornitori di servizi di motore di ricerca su Internet sono responsabili inquanto «responsabili del trattamento», quod non, dei dati personali presenti supagine web source di terzi, la persona interessata non avrebbe comunque un«diritto all'oblio» assoluto da invocare nei loro confronti. Tuttavia, ilprestatore di servizi dovrebbe calarsi nella posizione dell'editore dellapagina web source e verificare se la diffusione di dati personali sulla paginaweb possa, in quel momento, essere considerata legale e legittima ai sensidella direttiva. In altri termini, il fornitore di servizi dovrebbe smettere dimediare tra l'utente e l'editore ed assumere la responsabilità del contenuto dellapagina web source e, se necessario, censurarlo impedendo o limitando l'accessoalla stessa.

110.   Per amore di completezza ricordo che laProposta della Commissione per un regolamento generale sulla protezione deidati prevede, all'articolo 17, un diritto all'oblio. Tuttavia, a quanto pare,tale Proposta ha incontrato una notevole opposizione e non è ritenutacostituire una codificazione del diritto vigente, bensì un'importanteinnovazione giuridica. Pertanto, essa non sembra influire sulla risposta allaquestione pregiudiziale. È tuttavia interessante notare che, ai sensidell'articolo 17, paragrafo 2, della proposta, «[q]uando ha reso pubblici datipersonali, il responsabile del trattamento (Š) prende tutte le misureragionevoli (Š) in relazione ai dati della cui pubblicazione è responsabile perinformare i terzi che stanno trattando tali dati della richiestadell'interessato di cancellare qualsiasi link, copia o riproduzione dei suoidati personali». Questa formulazione sembra considerare i fornitori di servizidi motore di ricerca in Internet più come terzi che come responsabili deltrattamento in quanto tali.

111.    Pertanto, concludo che gli articoli12, lettera b), e 14, lettera a), della direttiva non prevedono un dirittoall'oblio. Mi accingo ora a verificare se questa interpretazione delle suddettedisposizioni sia conforme alla Carta.

C –  I diritti fondamentali dicui trattasi

112.   L'articolo 8 della Carta garantisce a tuttiil diritto alla protezione dei dati personali. Tali dati devono essere trattatisecondo il principio di lealtà, per finalità determinate e in base al consensodella persona interessata o a un altro fondamento legittimo previsto dallalegge. Ogni persona ha il diritto di accedere ai dati raccolti che lariguardano e di ottenerne la rettifica. Il rispetto di tali regole è soggettoal controllo di un'autorità indipendente.

113.   A mio avviso, questo diritto fondamentale,costituendo una riaffermazione dell'acquis dell'Unione europea e del Consigliod'Europa in questo settore, mette in risalto l'importanza della protezione deidati personali, ma di per sé non aggiunge alcun elemento nuovoall'interpretazione della direttiva.

114.   Ai sensi dell'articolo 7 della Carta, ognipersona ha diritto al rispetto della propria vita privata e familiare, delproprio domicilio e delle proprie comunicazioni. Tale disposizione,sostanzialmente identica all'articolo 8 della Convenzione europea per lasalvaguardia dei diritti dell'uomo e delle libertà fondamentali, firmata a Romail 4 novembre 1950 (in prosieguo: la «CEDU»), dev'essere tenuta in debito contonell'interpretazione delle disposizioni rilevanti della direttiva, la qualeimpone agli Stati membri di tutelare in particolare il diritto allariservatezza.

115.   Ricordo che anche l'articolo 8 della CEDUcopre le questioni relative alla protezione dei dati personali. Per questaragione, e conformemente all'articolo 52, paragrafo 3, della Carta, lagiurisprudenza della Corte europea dei diritti dell'uomo sull'articolo 8 dellaCEDU è rilevante tanto ai fini dell'interpretazione dell'articolo 7 della Cartaquanto ai fini dell'applicazione della direttiva in conformità con l'articolo 8della Carta.

116.   Nella sentenza Niemetz, la Corte europeadei diritti dell'uomo ha concluso che le attività professionali e commercialidi un individuo possono rientrare nell'ambito della vita privata come tutelatadall'articolo 8 della CEDU (79). Lo stesso orientamento èstato seguito in successive pronunce della Corte.

117.   Inoltre, nella sentenza Volker und MarkusSchecke e Eifert (80), la Corte ha dichiarato che «il rispetto deldiritto alla vita privata con riguardo al trattamento dei dati personali,riconosciuto dagli [articoli] 7 e 8 della Carta, [è] riferito ad ogniinformazione [il corsivo è mio] relativa ad una persona fisica identificatao identificabile (Š) e (Š) che le limitazioni che possono essere legittimamenteapportate al diritto alla protezione dei dati personali corrispond[o]no aquelle tollerate nell'ambito dell'[articolo] 8 della CEDU».

118.   Sulla base della sentenza Volker und MarkusSchecke e Eifert concludo che la protezione della vita privata in base allaCarta, relativamente al trattamento dei dati personali, riguarda tutte leinformazioni su un individuo, indipendentemente dal fatto che egli agisca in unambito del tutto privato o come operatore economico oppure, ad esempio, comepolitico. Considerata l'ampiezza che nel diritto dell'Unione rivestono lenozioni di dati personali e di trattamento degli stessi, dalla giurisprudenzasummenzionata sembra emergere che qualsiasi atto di comunicazione effettuatotramite mezzi automatizzati come telecomunicazioni, posta elettronica o socialmedia che riguardi una persona fisica interferisce potenzialmente con talediritto fondamentale e necessita pertanto di giustificazione (81).

119.   Al paragrafo 75 delle presenti conclusioniho affermato che un fornitore di servizi di motore di ricerca su Interneteffettua un trattamento di dati personali visualizzati su pagine web source diterzi. Inoltre, dalla sentenza della Corte Volker und Markus Schecke e Eifertemerge che, indipendentemente da come vengano qualificate ai sensi delladirettiva, le sue attività interferiscono con il diritto alla riservatezzadelle persone interessate, sancito all'articolo 7 della Carta. Secondo la CEDUe la Carta, qualsiasi interferenza con i diritti protetti dev'essere basatasulla legge e risultare necessaria in una società democratica. Nella presentecausa ci troviamo di fronte non a un'interferenza da parte di autoritàpubbliche che necessiti di una giustificazione, bensì al problema di stabilirein che misura possa essere tollerata un'interferenza simile esercitata daprivati. I limiti a tale interferenza sono fissati nella direttiva e sono,quindi, basati sulla legge, come richiesto dalla CEDU e dalla Carta. Pertanto,l'interpretazione della direttiva consiste precisamente nell'analizzare allaluce della Carta i limiti al trattamento dati effettuato dai privati. Nediscende la questione di stabilire se esista un obbligo positivo per l'Unione egli Stati membri di imporre ai fornitori di servizi di motore di ricerca suInternet, che sono soggetti privati, di dare attuazione a un dirittoall'oblio (82). Tale questione ci porta, a sua volta, al problemadella giustificazione delle interferenze con gli articoli 7 e 8 della Carta edel rapporto con i concorrenti diritti alla libertà di espressione e diinformazione e alla libertà di impresa.

D –  Diritti alla libertà diespressione e di informazione e alla libertà di impresa

120.   La presente causa riguarda sotto diversiprofili la libertà di espressione e di informazione sancita all'articolo 11della Carta, che corrisponde all'articolo 10 CEDU. Ai sensi dell'articolo 11,paragrafo 1, della Carta, «[o]gni persona ha diritto alla libertà di espressione.Tale diritto include la libertà di opinione e la libertà di ricevere o dicomunicare informazioni o idee senza che vi possa essere ingerenza da partedelle autorità pubbliche e senza limiti di frontiera» (83).

121.   Il diritto degli utenti di Internet dicercare e ottenere informazioni messe a disposizione online è tutelatodall'articolo 11 della Carta (84), il quale riguarda sia leinformazioni sulle pagine web source sia le informazioni fornite da motori diricerca su Internet. Come ho già indicato, Internet ha rivoluzionato l'accessoe la diffusione di ogni tipo di informazione ed ha permesso nuove forme dicomunicazione e interazione sociale tra individui. A mio avviso, il dirittofondamentale di informazione merita una particolare protezione nell'Unione,specialmente alla luce della crescente tendenza da parte di regimi autoritariin altre zone del mondo a limitare l'accesso a Internet o a censurare icontenuti che vi sono immessi (85).

122.   Anche gli editori di pagine web godono diprotezione ai sensi dell'articolo 11 della Carta. Rendere un contenutodisponibile online rientra, in quanto tale, nell'ambito dell'esercizio dellalibertà di espressione (86), specialmente quando l'editore abbia collegato lapropria pagina ad altre pagine e non ne abbia limitato l'indicizzazione ol'archiviazione tramite motori di ricerca, palesando in tal modo la sua volontàdi dare ampia diffusione al contenuto. Per gli individui la pubblicazione sulweb è un mezzo per partecipare al dibattito o per diffondere la propriaopinione o contenuti caricati da altri su Internet (87).

123.   In particolare, la presente domandapregiudiziale riguarda dati personali pubblicati negli archivi storici di ungiornale. Nella sua sentenza Times Newspapers Ltd c. Regno Unito (nn. 1 e2), la Corte europea dei diritti dell'uomo ha rilevato che gli archivi suInternet forniscono un contributo sostanziale alla preservazione eall'accessibilità di notizie e di informazioni: «Tali archivi costituiscono unafonte preziosa per l'insegnamento e le ricerche storiche, specie perché sonoimmediatamente accessibili al pubblico e generalmente gratuiti. (Š) Tuttavia,il margine di discrezionalità di cui gli Stati membri godono nello stabilire unequilibrio tra i diritti in gioco è probabilmente più ampio quando si tratta diinformazioni archiviate vertenti su eventi passati che non quando si tratta diinformazioni relative ad eventi attuali. In particolare, l'obbligo per lastampa di conformarsi ai principi di un giornalismo responsabile, verificandol'esattezza [il corsivo è mio] delle informazioni pubblicate aventicarattere storico, piuttosto che di quelle di attualità, è probabilmente piùrigoroso non essendovi l'urgenza di pubblicare il materiale» (88).

124.   I fornitori commerciali di servizi dimotore di ricerca su Internet offrono i propri servizi di localizzazione delleinformazioni nell'ambito di un'attività economica volta a ricavare proventidalla pubblicità tramite parole chiave. Questo ne fa un'impresa, la cui libertàè riconosciuta dall'articolo 16 della Carta, conformemente al dirittodell'Unione e al diritto nazionale (89).

125.   Inoltre, occorre ricordare che nessuno deidiritti fondamentali di cui trattasi nella presente causa ha carattereassoluto. Tali diritti possono essere limitati, se necessario, alle condizionistabilite dall'articolo 52, paragrafo 1, della Carta (90).

E –  Se sia possibile derivareun «diritto all'oblio» della persona interessata dall'articolo 7 della Carta

126.   Da ultimo, occorre valutare sel'interpretazione degli articoli 12, lettera b), e 14, lettera a), delladirettiva alla luce della Carta, e in particolare del suo articolo 7, possaportare a riconoscere un «diritto all'oblio» nel senso indicato dal giudicenazionale. Una constatazione di questo tipo non sarebbe contraria, a priori,all'articolo 51, paragrafo 2, della Carta, in quanto porterebbe a precisare laportata del diritto di opposizione della persona interessata, già riconosciutodalla direttiva, senza creare nuovi diritti o ampliare l'ambito del dirittodell'Unione.

127.   La Corte europea dei diritti dell'uomo hadichiarato, nella sentenza Aleksey Ovchinnikov (91), che «inalcuni casi può essere giustificato limitare la riproduzione di informazionigià divenute di pubblico dominio, ad esempio al fine di impedire un'ulteriorediffusione dei dettagli della vita privata di una persona estranea a qualsiasidibattito politico o pubblico su un argomento di importanza generale».Pertanto, in linea di principio, il diritto fondamentale alla protezione dellavita privata può essere invocato anche se le informazioni di cui trattasi sonogià di pubblico dominio.

128.   Tuttavia, il diritto della personainteressata alla protezione della sua vita privata dev'essere contemperato conaltri diritti fondamentali, in particolare con la libertà di espressione e lalibertà di informazione.

129.   La libertà di informazione dell'editore diun giornale tutela il suo diritto di ripubblicare su Internet in via digitalele proprie copie cartacee. A mio parere, le autorità, comprese le autorità perla protezione dei dati, non possono censurare una tale ripubblicazione. Lasentenza Times Newspapers Ltd c. Regno Unito (nn. 1 e 2) della Corteeuropea dei diritti dell'uomo (92) dimostra che laresponsabilità dell'editore riguardo all'esattezza delle pubblicazioniaventi carattere storico può essere più rigorosa di quella prevista per lepubblicazioni di notizie di attualità e può esigere l'uso di apposite avvertenzeche completino il contenuto controverso. Tuttavia, a mio avviso, nulla puògiustificare la richiesta di una nuova pubblicazione, in formato digitale, delnumero di un giornale con un contenuto diverso da quello della versionecartacea originariamente edita. Ciò equivarrebbe ad un falso storico.

130.   Il problema della protezione dei dati, cheè al centro della presente controversia, si pone solo nel caso in cui un utentedi Internet inserisca il nome e il cognome della persona interessata nel motoredi ricerca ottenendo un link verso le pagine web del giornale in cui compaionogli annunci contestati. In una situazione di questo genere l'utente di Internetesercita attivamente il proprio diritto ad ottenere informazioni relativealla persona interessata provenienti da fonti pubbliche per motivi chesolamente lui conosce (93).

131.   Nella società contemporaneadell'informazione, cercare informazioni pubblicate su Internet tramite motoridi ricerca costituisce uno degli strumenti più importanti per esercitare dettodiritto fondamentale. Tale diritto comprende, indubbiamente, quello di cercareinformazioni relative ad altre persone, ossia, in linea di principio,informazioni protette dal diritto alla vita privata, come quelle che compaionosu Internet a proposito delle attività svolte da un imprenditore o da unpolitico. Il diritto all'informazione di un utente di Internet sarebbepregiudicato se la sua ricerca di informazioni su una persona producesserisultati che non riflettono fedelmente le pagine web pertinenti, ma ne offronosolo una versione «bowdlerizzata» (94).

132.   Un fornitore di servizi di motore diricerca su Internet esercita legalmente tanto la sua libertà di impresa quantola sua libertà di espressione quando rende disponibili su Internet strumenti dilocalizzazione delle informazioni sulla base di un motore di ricerca.

133.   La costellazione particolarmente complessae difficile di diritti fondamentali che questo caso presenta osta allapossibilità di rafforzare la posizione giuridica della persona interessata aisensi della direttiva riconoscendole un diritto all'oblio. Ciò vorrebbe diresacrificare diritti primari come la libertà di espressione e di informazione.Inoltre, inviterei la Corte a non concludere che questi interessi concorrentipossono essere ponderati in modo soddisfacente in situazioni individuali sullabase di una valutazione caso per caso, lasciando la decisione ai fornitori diservizi di motore di ricerca su Internet. Simili «procedure di notifica erimozione», se la Corte le richiedesse, porterebbero probabilmente o al ritiroautomatico dei link verso qualsiasi contenuto oggetto di un'opposizione oppuread un numero ingestibile di richieste ai fornitori di servizi di motori diricerca su Internet più popolari e importanti (95). In talecontesto, occorre ricordare che le «procedure di notifica e rimozione» di cuialla direttiva 2003/31 sul commercio elettronico si riferiscono a contenutiilleciti, mentre il presente caso verte su una richiesta di soppressione diinformazioni legittime e legali entrate nella sfera pubblica.

134.   In particolare, i fornitori di servizi dimotore di ricerca su Internet non dovrebbero vedersi addossare un simileobbligo. Ciò implicherebbe un'interferenza con la libertà di espressionedell'editore di una pagina web, il quale non godrebbe di una tutela legaleadeguata in tale situazione, poiché ogni «procedura di notifica e rimozione»non regolamentata sarebbe una questione privata tra la persona interessata e ilfornitore di servizi di motori di ricerca (96). Questoequivarrebbe ad una censura del contenuto pubblicato effettuata da unprivato (97). È questione del tutto diversa il fatto che gli Statimembri abbiano obblighi positivi di offrire un ricorso effettivo nei confrontidell'editore che violi il diritto alla vita privata, cosa che, nell'ambito diInternet, riguarderebbe l'editore della pagina web.

135.   Come osservato dal Gruppo di lavoroArticolo 29, è possibile che la responsabilità sussidiaria dei fornitori diservizi di motore di ricerca su Internet in forza della legislazione nazionalepossa implicare obblighi di congelare l'accesso a siti web di terzi aventicontenuti illegali, come pagine web che violano i diritti di proprietàintellettuale o che visualizzano informazioni diffamatorie o criminali (98).

136.   Per contro, nessun diritto generalizzatoall'oblio può essere fatto valere nei loro confronti sulla base delladirettiva, anche ad interpretarla conformemente alla Carta.

137.   Per questi motivi propongo alla Corte dirispondere alla terza questione pregiudiziale nel senso che il diritto di ottenerela cancellazione e il congelamento dei dati, previsto all'articolo 12, letterab), e il diritto di opposizione, previsto all'articolo 14, lettera d), delladirettiva, non comprendono un diritto all'oblio come quello descritto nelrinvio pregiudiziale.

VIII – Conclusione

138.   Alla luce delle suesposte considerazioni,ritengo che la Corte dovrebbe rispondere alle questioni sollevatedall'Audiencia Nacional come segue:

1.  Il trattamento dei dati personali vieneeffettuato nell'ambito delle attività di uno «stabilimento» del responsabiledel trattamento, ai sensi dell'articolo 4, paragrafo 1, lettera a), delladirettiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995,relativa alla tutela delle persone fisiche con riguardo al trattamento dei datipersonali, nonché alla libera circolazione di tali dati, allorché l'impresa chefornisce il motore di ricerca crea in uno Stato membro, ai fini dellapromozione e della vendita di spazi pubblicitari sul motore di ricerca, unufficio o una controllata che indirizzi le proprie attività verso gli abitantidel suddetto Stato.

2. Un fornitore di servizi di motore di ricerca suInternet, il cui motore di ricerca localizza informazioni pubblicate o immessein Internet da terzi, le indicizza in modo automatico, le archiviatemporaneamente e infine le mette a disposizione degli utenti di Internetsecondo un determinato ordine di preferenza, «tratta» dati personali ai sensidell'articolo 2, lettera b), della direttiva 95/46 quando tali informazionicontengono dati personali.

Tuttavia,il fornitore di servizi di motore di ricerca su Internet non può essereconsiderato «responsabile del trattamento» di tali dati personali ai sensidell'articolo 2, lettera d), della direttiva 95/46, fatta eccezione per icontenuti dell'indice del suo motore di ricerca, sempre che il fornitore diservizi non indicizzi o archivi dati personali contro le istruzioni o lerichieste dell'editore della pagina web.

3. Il diritto di cancellazione e di congelamento deidati, previsto all'articolo 12, lettera b), e il diritto di opposizione,previsto all'articolo 14, lettera d), della direttiva 95/46, non consentonoalla persona interessata di rivolgersi essa stessa ad un fornitore di servizidi motore di ricerca per impedire l'indicizzazione di informazioni che lariguardano personalmente, pubblicate legalmente su pagine web di terzi, facendovalere la sua volontà che tali informazioni non giungano a conoscenza degliutenti di Internet, quando la persona interessata ritenga che le suddette potrebberoarrecarle pregiudizio o desideri che vengano dimenticate.

 

NOTE                                                             
1 –  Linguaoriginale: l'inglese.

2 –  HarvardLaw Review, vol. IV, n. 5, del 15 dicembre 1890.

3 –  Di fatto, «Internet» comprende dueservizi principali, ossia il World Wide Web e i servizi di posta elettronica.Sebbene Internet, in quanto rete di computer interconnessi, esista da un certotempo sotto diverse forme, a cominciare da Arpanet (Stati Uniti), la reteaperta e liberamente accessibile con indirizzi www e una struttura comune deicodici è iniziata soltanto al principio degli anni '90. A quanto risulta, iltermine storicamente corretto sarebbe World Wide Web. Tuttavia, tenuto contodell'uso corrente e delle scelte terminologiche effettuate nella giurisprudenzadella Corte, qui di seguito verrà principalmente utilizzato il termine«Internet» con riferimento alla parte World Wide Web della rete.

4 –La collocazione delle pagine web è identificata con un indirizzo individuale,l'URL (Uniform Ressource Locator), un sistema creato nel 1994. Si può accederead una pagina web digitando il suo URL nel web browser [navigatore web],direttamente o con l'aiuto di un nome di dominio. Le pagine web devono esserecodificate con un linguaggio di marcatura. L'HyperText Markup Language (HTML) èil principale linguaggio di marcatura per la creazione di pagine web e di altreinformazioni visualizzabili in un web browser.

5 –  La portata delle tre questioni èillustrata dalle informazioni seguenti (anche se non sono disponibili datiprecisi). In primo luogo, è stato stimato che esistano oltre 600 milioni disiti web in Internet. In questi siti Internet vi sarebbero oltre 40 miliardi dipagine web. In secondo luogo, riguardo ai motori di ricerca, il loro numero èmolto più limitato: esisterebbero meno di 100 motori di ricerca importanti eattualmente Google deterrebbe una quota enorme su molti mercati. È stato dettoche il successo del motore di ricerca di Google è basato su web crawler[programmi per la raccolta di informazioni o programmi spider] estremamentepotenti, su sistemi di indicizzazione efficaci e su una tecnologia che consentedi classificare i risultati della ricerca in base alla loro rilevanza perl'utente (compreso l'algoritmo brevettato PageRank): v. LopezTarruella, A., «Introduction: Google Pushing theBoundaries of Law», Google and the Law. Empirical Approaches to LegalAspects of Knowledge Economy Business Models, ed. Lopez-Tarruella, A.,T.M.C., Asser Press, L'Aja, 2012, pagg. da 1 a 8, in particolarepag. 2. In terzo luogo, oltre tre quarti degli Europei utilizzano Internete, nella misura in cui essi utilizzano motori di ricerca, i loro datipersonali, in quanto utenti di motori di ricerca su Internet, possono essereraccolti e trattati dal motore di ricerca su Internet di cui si sono serviti.

6 –  Direttiva95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativaalla tutela delle persone fisiche con riguardo al trattamento dei datipersonali, nonché alla libera circolazione di tali dati (GU L 281,pag. 31).

7 –  V., in generale, Gruppo di lavoroArticolo 29 per la protezione dei dati personali, parere n. 1/2008 sugliaspetti della protezione dei dati connessi ai motori di ricerca (WP 148). Lapolitica di riservatezza seguita da Google riguardo agli utenti del suo motoredi ricerca viene esaminata dalle autorità degli Stati membri incaricate dellaprotezione dei dati personali. L'azione è condotta dall'Autorità francese perla tutela dei dati personali (la CNIL). Per sviluppi recenti, v. la lettera del16 ottobre 2012 inviata a Google dal Gruppo di lavoro Articolo 29, disponibilesul sito Internet menzionato alla nota 22.

8 –  V. infra, paragrafo 19.

9 –  Nelprosieguo, con l'espressione «motore di ricerca su Internet» si faràriferimento alla combinazione di software e strumenti che rende possibile laricerca di testi e contenuti audiovisivi su Internet. Le questioni specificherelative ai motori di ricerca operanti all'interno di un dominio Internetdefinito (o sito web), come http://curia.europa.eu, non sono oggetto didiscussione nelle presenti conclusioni. L'operatore economico che forniscel'accesso ad un motore di ricerca verrà definito con l'espressione «fornitoredi servizi di motore di ricerca su Internet». Nella presente causa, è GoogleInc. il fornitore di servizi che danno accesso al motore di ricerca Googlenonché a numerose altre funzioni di ricerca, come maps.google.com enews.google.com.

10 –Sentenza del 6 novembre 2003 (C101/01, Racc. pag. I12971).

11 –  Sentenza del 20 maggio 2003 (C465/00, C138/01 e C139/01, Racc. pag. I4989).

12 –Sentenza del 16 dicembre 2008 (C73/07, Racc. pag. I9831).

13 –  Sentenza del 9 novembre 2010 (C92/09 e C93/09, Racc. pag. I11063).

14 –Sentenze, rispettivamente, del 23 marzo 2010 (da C236/08 a C238/08, Racc. pag. I2417); dell'8 luglio 2010 (C558/08, Racc. pag. I6963); del 12 luglio 2011 (C324/09, Racc. pag. I6011); del 22 settembre 2011 (C323/09, Racc. pag. I8625) e del 19 aprile 2012 (C523/10, non ancora pubblicata nella Raccolta).

15 –  Propostadi regolamento del Parlamento europeo e del Consiglio concernente la tuteladelle persone fisiche con riguardo al trattamento dei dati personali e lalibera circolazione di tali dati (regolamento generale sulla protezione deidati), COM(2012) 11 def.

16 –  BOEn. 298, del 14 dicembre 1999, pag. 43088.

17 –  Aisensi del considerando 11, i «principi della tutela dei diritti e delle libertàdelle persone, in particolare del rispetto della vita privata, contenuti dallapresente direttiva precisano ed ampliano quelli enunciati dalla convenzione del28 gennaio 1981 del Consiglio d'Europa sulla protezione delle persone conriferimento al trattamento automatizzato dei dati di carattere personale».

18 –  Gruppodi lavoro Articolo 29, parere n. 1/2010 sui concetti di «responsabile deltrattamento» e «incaricato del trattamento» (WP 169), pagg. 3 e 4.

19 –  Peresempio, sentenza del 25 ottobre 2011, eDate Advertising e Martinez (C509/09 e C161/10, Racc. pag. I10269, punto 45).

20 –  Disolito un giornale contiene dati personali, come i nomi di persone fisiche.Questi dati personali sono trattati nel momento in cui vengono consultatitramite mezzi automatizzati. Tale trattamento ricade nell'ambito diapplicazione della direttiva, a meno che non sia effettuato da una personafisica nell'esercizio di attività puramente personali o domestiche. V. articolo2, lettere a) e b), e articolo 3, paragrafo 2, della direttiva. Inoltre, anchela lettura di un documento cartaceo o la visualizzazione di immagini contenentidati personali equivale a un trattamento degli stessi. V. Dammann, U., eSimitis, S., EG-Datenschutzrichtlinie, Nomos Verlagsgesellschaft,Baden-Baden, 1997, pag. 110.

21 –  V.sentenza Lindqvist, cit., punti da 67 a 70, relativamente all'interpretazione dell'articolo25 della direttiva.

22 –  I pareri sono disponibili sul sitoInternet http://ec.europa.eu/justice/data-protection/index_en.htm.

23 –I motori di ricerca su Internet sono in costante evoluzione e in questa sede siintende solo dare un'idea generale delle caratteristiche essenziali attualmenterilevanti.

24 –  Direttiva2000/31/CE del Parlamento europeo e del Consiglio, dell'8 giugno 2000, relativaa taluni aspetti giuridici dei servizi della società dell'informazione, inparticolare il commercio elettronico, nel mercato interno («direttiva sulcommercio elettronico») (GU L 178, pag. 1).

25 –  V.considerando 18 e articolo 2, lettera a), della direttiva 2000/31 sul commercioelettronico, in combinato disposto con la direttiva 98/34/CE del Parlamentoeuropeo e del Consiglio, del 22 giugno 1998, che prevede una procedurad'informazione nel settore delle norme e delle regolamentazioni tecniche edelle regole relative ai servizi della società dell'informazione(GU L 204, pag. 37), come modificata dalla direttiva 98/48 delParlamento europeo e del Consiglio, del 20 luglio 1998 (GU L 217,pag. 18).

26 –  Cit., punti da 25 a 27.

27 –Un tipico codice di esclusione attuale (o protocollo robot di esclusione) èchiamato «robots.txt»; v. http://en.wikipedia.org/wiki/Robots.txt ohttp://www.robotstxt.org.

28 –  Icodici di esclusione, tuttavia, non impediscono tecnicamente l'indicizzazione ola visualizzazione, il fornitore di servizi che gestisce un motore di ricercapuò decidere di ignorarli. I principali fornitori di servizi di motore diricerca su Internet, Google compresa, sostengono di rispettare i codicicontenuti nella pagina web source. V. il parere n. 1/2008 del Gruppo dilavoro Articolo 29, cit., pag. 14.

29 –V. sentenza della Corte europea dei diritti dell'uomo, K.U. c. Finlandia,n. 2872/02, §§ 43 e 48, Corte eur. D.U. 2008, nella quale la Corte hafatto riferimento all'esistenza di obblighi positivi inerenti ad un rispettoeffettivo della vita privata e familiare. Questi obblighi possono comprenderel'adozione di misure volte a garantire il rispetto della vita privata anchenell'ambito dei rapporti interpersonali. Nella sentenza K.U. c. Finlandia loStato aveva un obbligo positivo di garantire l'esistenza di un rimedioeffettivo nei confronti dell'editore.

30 –  Internet,tuttavia, non è un'unica e gigantesca banca dati creata dal «Grande Fratello»,bensì un sistema decentrato di informazioni che derivano da innumerevoli fontiindipendenti, nel quale l'accesso e la diffusione delle informazioni dipende daservizi di intermediari che, in quanto tali, nulla hanno a che vedere con icontenuti.

31 –  V., al riguardo, le mie conclusionirelative alla sentenza L'Oréal e a., cit., paragrafi 54 e segg.

32 –  Il che corrisponde alla terzasituazione menzionata supra, al paragrafo 3.

33 –  Perun esempio di un sistema di pubblicità tramite parole chiave (Google's AdWords)v. le sentenze Google France e Google, cit., punti 22 e 23; del 25 marzo 2010,BergSpechte (C278/08, Racc. pag. I2517, punti da 5 a 7); Portakabin, cit., punti da 8 a10; e Interflora e Interflora British Unit, cit., punti da 9 a 13.

34 –  Sentenze del 5 ottobre 2010, McB. (C400/10 PPU, Racc. pag. I8965, punti 51 e 59); del 15 novembre 2011, Derecie a. (C256/11, non ancora pubblicata nella Raccolta, punti 71 e 72);dell'8 novembre 2012, Iida (C40/11, non ancora pubblicata nella Raccolta, punto 78); e del 26febbraio 2013, Åkerberg Fransson (C617/10, non ancora pubblicata nella Raccolta, punto 23).

35 –  Per esempio, nella sentenza McB., laCorte ha respinto un'interpretazione, richiesta sulla base dell'articolo 7della Carta, del «diritto di affidamento» di cui all'articolo 2, paragrafo 9,del regolamento (CE) n. 2201/2003 del Consiglio, del 27 novembre 2003,relativo alla competenza, al riconoscimento e all'esecuzione delle decisioni inmateria matrimoniale e in materia di responsabilità genitoriale, che abroga ilregolamento (CE) n. 1347/2000 (GU L 338, pag. 1), che neavrebbe ampliato il significato. Ciò premesso, naturalmente, una disposizionelegislativa dell'Unione che non possa essere interpretata in conformità con idiritti fondamentali tutelati dal diritto dell'Unione dev'essere dichiaratainvalida. V. sentenza del 1° marzo 2011, Association belge des ConsommateursTestAchatse a. (C236/09, Racc. pag. I773, punti da 30 a 34).

36 –Gruppo di lavoro Articolo 29, parere n. 8/2010 - WP 179 sul dirittoapplicabile, pag. 10.

37 –Gruppo di lavoro Articolo 29, parere n. 8/2010, pagg. 24 e 31[pag. 36, ndT].

38 –  Articolo 3, paragrafo 2, lettera a),della Proposta della Commissione.

39 –  SentenzaL'Oréal e a. e direttiva n. 2000/31 sul commercio elettronico.

40 –Regolamento (CE) n. 44/2011 del Consiglio, del 22 dicembre 2000,concernente la competenza giurisdizionale, il riconoscimento e l'esecuzionedelle decisioni in materia civile e commerciale (GU L 12,pag. 1), e sentenze del 7 dicembre 2010, Pammer e Hotel Alpenhof (C585/08 e C144/09, Racc. pag. I12527), nonché Wintersteiger, cit. V. inoltre le mieconclusioni relative alla causa Pinckney (C170/12), ancora pendente.

41 – Direttiva2001/29 del Parlamento europeo e del Consiglio, del 22 maggio 2001,sull'armonizzazione di taluni aspetti del diritto d'autore e dei diritticonnessi nella società dell'informazione (GU L 167, pag. 10), esentenza del 21 giugno 2012, Donner (C5/11, non ancora pubblicata nella Raccolta).

42 –Il rinvio pregiudiziale non specifica cosa si intenda per «centro di gravità»,ma la stessa espressione è stata impiegata dall'avvocato generale Cruz Villalonnelle sue conclusioni relative alla sentenza eDate Advertising e Martinez(paragrafi 32 e 55).

43 –  Gruppodi lavoro Articolo 29, parere n. 8/2010, pag. 10. Il Gruppo di lavorosottolinea inoltre che il termine «equipment» («strumenti») utilizzato nellaversione inglese della direttiva è eccessivamente ristretto, in quanto le altreversioni linguistiche adoperano termini più simili all'inglese «means»(«mezzi»), termine che copre anche dispositivi immateriali come i cookies(pagg. 23 e 24).

44 –  V.,in particolare, Gruppo di lavoro Articolo 29, parere n. 8/2010,pag. 22, in cui si sostiene che [non l'articolo 4, paragrafo 1, letteraa), bensì] l'articolo 4, paragrafo 1, lettera c), della direttiva dovrebbeapplicarsi, malgrado la sua formulazione, quando il responsabile deltrattamento ha stabilimenti nell'UE, ma le sue attività sono senza rapporto conil trattamento di dati personali.

45 –V. sentenza Google France e Google (cit., punto 23).

46 –  V.sentenza Google France e Google (punto 25) e parere n. 1/2008 del Gruppodi lavoro Articolo 29, pagg. 5 e 6. È facile verificare che l'uso dellestesse parole chiave su domini nazionali Google diversi può determinare lavisualizzazione di risultati e annunci pubblicitari diversi.

47 –  Gruppodi lavoro Articolo 29, parere n. 1/2008, pag. 10.

48 –V. articolo 2, lettera a), della direttiva, ai sensi del quale si intende perdati personali «qualsiasi informazione concernente una persona fisicaidentificata o identificabile». Nel suo parere n. 4/2007, relativo allanozione di dati personali (WP 136), il Gruppo di lavoro Articolo 29fornisce un'ampia gamma di esempi. La Corte ha confermato l'interpretazioneampia nella sentenza Lindqvist (cit., punti da 24 a 27). V. anche sentenzeÖsterreichischer Rundfunk e a. (cit., punto 64); Satakunnan Markkinapörssie Satamedia (cit., punti da 35 a 37); del 16 dicembre 2008, Huber (C524/06, Racc. pag. I9705, punto 43); del 7 maggio 2009, Rijkeboer (C553/07, Racc. pag. I3889, punto 62); del 19 aprile 2012, Bonnier Audioe a. (C461/10, non ancora pubblicata nella Raccolta, punto 93); eVolker und Markus Schecke e Eifert (cit., punti 23, 55 e 56).

49 –  IlGruppo di lavoro Articolo 29 ricorda che «non è necessario che le informazionisiano considerate dati personali contenuti in una base dati o in un archiviostrutturati. Anche le informazioni contenute sotto forma di testo libero in undocumento elettronico possono essere considerate dati personali (Š)»; v. pareren. 4/2007, pag. 8.

50 –  Esistonomotori di ricerca o funzionalità di motori di ricerca che riguardanospecificamente i dati personali, i quali possono, in quanto tali, essereidentificati per forma (per esempio, i numeri di previdenza sociale) o percomposizione (le sequenze di segni corrispondenti a nomi e cognomi). V. Gruppodi lavoro Articolo 29, parere n. 1/2008, pag. 14. Tali motori diricerca possono sollevare problemi particolari in materia di protezione deidati personali che esulano dall'ambito delle presenti conclusioni.

51 –  Tuttavia,le cosiddette pagine orfane, che non hanno nessun link ad altre pagine web,rimangono inaccessibili al motore di ricerca.

52 –  Lepagine web trovate dal crawler vengono immagazzinate nella banca datiindicizzata di Google, organizzata alfabeticamente per termini di ricerca,nella quale ciascun invio di indice archivia un elenco di documenti in cuicompaiono il termine e la sua posizione all'interno del testo. Alcune parole,come articoli, pronomi e avverbi comuni, nonché alcuni numeri e lettere singolenon sono indicizzati. V. http://www.googleguide.com/google_works.html.

53 –  Questecopie (cosiddette «snapshot») delle pagine web archiviate nella memoria cachedi Google consistono soltanto di codici HTML e non di immagini, le qualidebbono essere caricate dalla posizione originale. V. Peguera, M., «CopyrightIssues Regarding Google Images and Google Cache», Google and the Law,pagg. da 169 a 202, in particolare pag. 174.

54 –  Ifornitori di servizi di motori di ricerca su Internet di solito permettono aiwebmaster di chiedere l'aggiornamento della copia della pagina web contenutanella memoria cache. Le istruzioni relative possono essere reperite sullapagina «Strumenti per i webmaster» di Google.

55 –Le versioni linguistiche della direttiva [italiana], francese, tedesca,spagnola, svedese e neerlandese parlano di un'entità «responsabile» deltrattamento dei dati, la versione inglese parla di un «controllore»(«controller)», mentre altre versioni, come quella finlandese e polacca,utilizzano termini più neutri (in finlandese «rekisterinpitäjä»; in polacco«administrator danych»).

56 –Sentenza Lindqvist (cit., punto 68).

57 –  Gruppodi lavoro Articolo 29, parere n. 1/2008, pag. 14, nota 17. Secondotale parere, il ruolo degli utenti esulerebbe dall'ambito di applicazione delladirettiva sulla protezione dei dati in quanto essi esercitano «attivitàpuramente personali». Trovo quest'affermazione non condivisibile. In genere gliutenti di Internet utilizzano motori di ricerca anche per attività che non sonopuramente personali, per esempio per fini professionali, di studio, commercialio nell'ambito del terziario.

58 –  Nelparere n. 4/2007 il Gruppo di lavoro Articolo 29 fornisce numerosi esempidella nozione e del trattamento dei dati personali, responsabile deltrattamento compreso, e mi sembra che in tutti gli esempi offerti il suddettorequisito sia soddisfatto.

59 –  Gruppodi lavoro Articolo 29, parere n. 1/2010, pag. 10.

60 –  Ibid.,pag. 14.

61 –Dammann e Simitis (op. cit., pag. 120) osservano che il trattamentocon mezzi automatizzati non solo deve riguardare il supporto sul quale i datisono registrati (Datenträger), ma deve anche riferirsi ai dati nella lorodimensione semantica o sostanziale. A mio parere, è fondamentale che i datipersonali siano «informazioni» ai sensi della direttiva, ossia costituiscano uncontenuto rilevante sul piano semantico.

62 –  Gruppodi lavoro Articolo 29, parere n. 1/2008, pag. 14.

63 –Sentenza Lindqvist (cit., punto 27).

64 –Sentenza Satakunnan Markkinapörssi e Satamedia (cit., punto 37).

65 –  Gruppodi lavoro Articolo 29, parere n. 1/2010, pagg. 4 e 10.

66 –  Gruppodi lavoro Articolo 29, parere n. 1/2008, pag. 14.

67 –Tuttavia, il Gruppo di lavoro Articolo 29, nel parere n. 1/2008,pag. 14, aggiunge che a stabilire se sussista un obbligo di cancellare odi bloccare i dati personali sono il diritto penale generale e le disposizionisulla responsabilità vigenti nei singoli Stati membri. In alcuni Stati membrila normativa nazionale prevede procedure di «notifica e rimozione» che ilfornitore di servizi di motore di ricerca su Internet deve seguire per nonincorrere in responsabilità.

68 –      Vi è chi hasostenuto che Google effettua un filtraggio di questo tipo in quasi tutti ipaesi, per esempio a proposito della violazione di diritti di proprietàintellettuale. Inoltre, negli Stati Uniti sono state filtrate alcune criticherelative a Scientology. In Francia e in Germania Google filtra i risultati diricerca relativi ad «oggetti di collezione nazisti, ai negazionisti dell'Olocausto,ai sostenitori della supremazia bianca e ai siti che fanno propaganda control'ordine costituzionale democratico». Per altri esempi, v. Friedmann, D.,«Paradoxes, Google and China: How Censorship can Harm and Intellectual Propertycan Harness Innovation», Google and the Law, pagg. da 303 a 327, inparticolare pag. 307.

69 –  V.supra, paragrafo 41.

70 –  Primarelazione in merito all'applicazione della [direttiva 2000/31 sul commercioelettronico], COM(2003)702 def., pag. 13, nota 69, e Gruppo di lavoro Articolo29, parere n. 1/2008, pag. 14, nota 16.

71 –  V.supra, paragrafo 41.

72 –  Lacapacità di un nome proprio di identificare una persona fisica dipende dalcontesto. Un nome comune può non identificare una persona su Internet, masicuramente la identifica, per esempio, all'interno di una classe scolastica.Nel trattamento informatico di dati personali ad una persona viene di solitoassegnato un identificativo unico per evitare confusioni tra due soggetti.Esempi tipici di questi identificatori sono i numeri di previdenza sociale. V.,al riguardo, Gruppo di lavoro Articolo 29, parere n. 4/2007, pag. 13,e parere n. 1/2008, pag. 9, nota 11.

73 –      Èinteressante sottolineare tuttavia che, nell'ambito dei dati archiviati dalleagenzie governative, la Corte europea dei diritti dell'uomo ha dichiarato che«[i]l diritto interno deve garantire, in particolare, che questi dati sianopertinenti e non eccedenti rispetto alle finalità per le quali vengonoarchiviati; inoltre, essi debbono essere conservati in modo da consentirel'identificazione delle persone interessate per un arco di tempo non superiorea quello necessario al conseguimento delle finalità per le quali sonoconservati» (v. sentenza S. e Marper c. Regno Unito [GC], nn. 30562/04 e30566/04, § 103, Corte eur. D.U. 2008; v. altresì sentenza Segerstedt-Wiberge a. c. Svezia, n. 62332/00, § 90, Corte eur. D.U. 2006-VII).Tuttavia, la Corte europea dei diritti dell'uomo ha altresì riconosciuto,nell'ambito dell'articolo 10 della CEDU, relativo alla libertà di espressione,«il contributo essenziale offerto dagli archivi di Internet alla custodia eall'accessibilità di notizie e di informazioni» [v. sentenza Times NewspapersLtd c. Regno Unito (nn. 1 e 2), nn. 3002/03 e 23676/03, § 45, Corteeur. D.U. 2009].

74 –  V.supra, paragrafo 41.

75 –V. articolo 14 della direttiva sul commercio elettronico.

76 –  Gruppodi lavoro Articolo 29, parere n. 1/2008, pag. 14.

77 –Questo è l'approccio seguito dalla Corte nella sentenza McB (cit., punti 44 e49).

78 –Sentenza del 24 novembre 2011 (C468/10 e C469/10, non ancora pubblicata nella Raccolta, punti 44 e45). La Corte europea dei diritti dell'uomo ha sottolineato che lapubblicazione di dati personali in altro luogo pone fine al superiore interessealla tutela della riservatezza; v. sentenza del 16 dicembre 2010, AlekseyOvchinnikov c. Russia, n. 24061/04, § 49.

79 –Corte eur. D.U., sentenze Niemietz c. Germania, del 16 dicembre 1992, serie An. 251-B, § 29; Amann c. Svizzera [GC], n. 27798/95, Recueil des arrêtset décisions, 2000II, § 65; e Rotaru c. Romania [GC], n. 28341/95, Recueildes arrêts et décisions, 2000 V, § 43.

80 –      Cit., punto52.

81 –Per contro, la Corte europea dei diritti dell'uomo si è astenuta dal fornireuna definizione del concetto di vita privata in termini positivi. A suogiudizio, quella di vita privata è una nozione ampia, non suscettibile di unadefinizione esaustiva (v. sentenza CostelloRoberts c. Regno Unito, del 25 marzo 1993, serie An. 247C, § 36).

82 –Riguardo agli obblighi dello Stato di attivarsi per proteggere la vita privatain caso di violazione da parte di privati e alla necessità di contemperare ogniintervento in tal senso con il diritto alla libertà di espressione di questiultimi, v., per esempio, Corte eur. D.U., sentenze Von Hannover c.Germania, n. 59320/00, Recueil des arrêts et décisions 2004VI, e Ageyevy c. Russia, n. 7075/10, del 18 aprile2013.

83 –V. Corte eur. D.U., sentenze Handyside c. Regno Unito, del 7 dicembre 1976,serie A n. 24, § 49; Müller e a. c. Svizzera, del 24 maggio 1988,serie A n. 133, § 33; Vogt c. Germania, del 26 settembre 1995, serie An. 323, § 52; e Guja c. Moldavia [GC], n. 14277/04, § 69, Recueildes arrêts et décisions 2008. V. inoltre sentenza del 6 marzo 2001,Connolly/Commissione (C274/99 P, Racc. pag. I1611, punto 39), e conclusioni dell'avvocato generaleKokott relative alla sentenza Satakunnan Markkinapörssi e Satamedia (cit.,paragrafo 38).

84 –      Sentenza del16 febbraio 2012, SABAM/Netlog (C360/10, non ancora pubblicata nella Raccolta, punto 48).

85 –Nazioni Unite, Consiglio dei Diritti Umani, Rapporto del Relatore specialesulla promozione e la protezione del diritto di libertà di opinione edespressione, Frank La Rue (Document A/HRC/17/27), del 16 maggio 2011.

86 –      SentenzaSatakunnan Markkinapörssi e Satamedia (cit., punto 60).

87 –      Occorre quiricordare che la deroga per il giornalismo prevista dall'articolo 9 delladirettiva si applica «non solo alle imprese operanti nel settore dei media maanche a chiunque svolga attività giornalistica»; v. sentenza SatakunnanMarkkinapörssi e Satamedia (cit., punto 58).

88 –      Corte eur.D.U., sentenza Times Newspapers Ltd (nn. 1 e 2), § 45.

89 –Sentenze del 24 novembre 2011, Scarlet Extended (C70/10, non ancora pubblicata nella Raccolta, punto 46),e SABAM/Netlog (cit., punto 44).

90 –V. anche sentenza del 18 marzo 2010, Alassini e a. (da C317/08 a C320/08, Racc. pag. I2213, punto 63), in cui la Corte ha dichiarato che,«secondo una giurisprudenza costante, i diritti fondamentali non si configuranocome prerogative assolute, ma possono soggiacere a restrizioni, a condizioneche queste rispondano effettivamente ad obiettivi di interesse generaleperseguiti dalla misura di cui trattasi e non costituiscano, rispetto alloscopo perseguito, un intervento sproporzionato ed inaccettabile, tale da lederela sostanza stessa dei diritti così garantiti (v., in tal senso, sentenza del15 giugno 2006, Dokter e a., C 28/05, Racc. pag. I5431, punto 75, e la giurisprudenza ivi citata, nonchéCorte eur. D.U., sentenza Fogarty c. Regno Unito del 21 novembre 2001, Recueildes arrêts et décisions 2001XI, § 33)».

91 –Cit., punto 50.

92 –      Cit.supra.

93 –      Per quantoriguarda il diritto ad ottenere informazioni, v. sentenze della Corte eur.D.U., Observer e Guardian c. Regno Unito, del 26 novembre 1991, serie A,n. 216, § 60, e Timpul InfoMagazin e Anghel c. Moldova, del 27 novembre 2007,n. 42864/05, § 34.

94 –Thomas Bowdler (1754–1825) pubblicò una versione ingentilita dell'operadi William Shakespeare, che voleva essere più adatta a donne e bambini del XIXsecolo rispetto a quella originale.

95 –Sentenza SABAM/Netlog (cit., punti da 45 a 47).

96 –      V. le mieconclusioni nella sentenza L'Oréal e a. (cit., paragrafo 155).

97 –      V. sentenzaSABAM/Netlog (cit., punti 48 e 50).

98 –      Gruppo dilavoro Articolo 29, parere n. 1/2008, pagg. 14 e 15.