Evoluzione del diritto all'oblio: il caso Google Spain

[Torna su]

All'inizio del ventunesimo secolo, alcuni avvenimenti, particolarmente registratisi in Spagna, hanno sollevato notevole interesse e posto al centro di una importante sentenza della Corte di Giustizia Europea, emessa il 13 maggio 2014 all'esito del giudizio passato alle cronache mondiali come il caso "González vs. Google Spain", il rapporto tra Internet e diritto all'oblio.

Nel caso di specie un cittadino spagnolo, esercitando il proprio diritto ad essere dimenticato, chiedeva la rimozione, prima al gestore del sito e poi a Google, di alcuni dati personali pubblicati dal giornale "La Vanguardia Editiones SL" e da lui ritenuti non più attuali. In altre parole si affrontava la problematica riguardante la possibilità per un soggetto di chiedere ai motori di ricerca di non indirizzare i cibernauti su una determinata informazione ritenuta sgradita.

Le soluzioni a cui è pervenuta la Corte, sono state molto innovative tanto da scatenare un dibattito mondiale sul diritto all'oblio in Internet e sul ruolo dei motori di ricerca (in particolare di Google).

In primo luogo si è affrontato il problema del trattamento dei dati personali. Se da un lato Google riteneva che non aveva compiuto alcuna attività che potesse essere qualificata come «trattamento», ma soltanto una «indicizzazione automatica» con memorizzazione dei dati e messa a disposizione del pubblico, ponendo alla base di tale convinzione l'indicizzazione in automatico dei link
pubblicati sul web. La convenuta riteneva che pur volendo qualificare tale attività come "trattamento di dati", «il gestore di un motore di ricerca non poteva essere considerato come "responsabile" di tale trattamento, dal momento che egli non poteva avere conoscenza dei dati in questione e non esercitava alcun controllo su di essi»[1], d'altro canto la Corte ha ritenuto non condivisibile tale impostazione[2] ed ha dichiarato che «l'articolo 2, lettere b) e d), della direttiva 95/46 deve essere interpretato nel senso che, da un lato, l'attività di un motore di ricerca consistente nel trovare informazioni pubblicate o inserite da terzi su Internet, nell'indicizzarle in modo automatico, nel memorizzarle temporaneamente e, infine, nel metterle a disposizione degli utenti di Internet secondo un determinato ordine di preferenza, deve essere qualificata come "trattamento di dati personali", ai sensi del citato articolo 2, lettera b), qualora tali informazioni contengano dati personali, e che, dall'altro lato, il gestore di detto motore di ricerca deve essere considerato come il "responsabile" del trattamento summenzionato, ai sensi dell'articolo 2, lettera d), di cui sopra»[3]

Il secondo profili analizzato ha riguardato l'applicazione della normativa spagnola (e dunque europea) ad un'azienda con sede legale negli Stati Uniti (quale appunto Google) . I giudici di Lussemburgo hanno ritenuto che «l'articolo 4, paragrafo 1, lettera a), della direttiva 95/46 deve essere interpretato nel senso che un trattamento di dati personali viene effettuato nel contesto delle attività di uno stabilimento del responsabile di tale trattamento nel territorio di uno Stato membro, ai sensi della disposizione suddetta, qualora il gestore di un motore di ricerca apra in uno Stato membro una succursale o una filiale destinata alla promozione e alla vendita degli spazi pubblicitari proposti da tale motore di ricerca e l'attività della quale si dirige agli abitanti di detto Stato membro».[4]

Infine, il punto cruciale al vaglio della Corte concerneva l'obbligo di intervenire a tutela del diritto all'oblio, diritto riconosciuto al soggetto che abbia ragione di chiedere la rimozione online di un certo contenuto diretto a pregiudicarlo. Il conflitto dei diversi interessi in gioco, è risolvibile solo tramite un bilanciamento degli stessi; sul punto la Corte di Giustizia è stata perentoria: «gli articoli 12, lettera b), e 14, primo comma, lettera a), della direttiva 95/46 devono essere interpretati nel senso che, al fine di rispettare i diritti previsti da tali disposizioni, e sempre che le condizioni da queste fissate siano effettivamente soddisfatte, il gestore di un motore di ricerca è obbligato a sopprimere, dall'elenco di risultati che appare a seguito di una ricerca effettuata a partire dal nome di una persona, dei link verso pagine web pubblicate da terzi e contenenti informazioni relative a questa persona, anche nel caso in cui tale nome o tali informazioni non vengano previamente o simultaneamente cancellati dalle pagine web di cui trattasi, e ciò eventualmente anche quando la loro pubblicazione su tali pagine Web sia di per sé lecita».[5]

Dunque, risulta riconosciuto all'interessato il diritto di chiedere al motore di ricerca "responsabile", la "rimozione dell'indicizzazione", poichè in virtù degli artt. 7 e 8 della Carta europea dei diritti fondamentali, il rispetto della vita privata e della vita familiare e la protezione dei dati
di carattere personale hanno la meglio sia sull'interesse economico del gestore del motore di ricerca (ex art. 16), sia sull'interesse del pubblico all'informazione (ex art. 11).

Dal momento che non si configura più un diritto alla dimenticanza di sé (to be forgotten), risulta opportuno parlare di un diritto a non essere facilmente trovati (to not be found) o diritto non essere facilmente visti (to not be seen)[6], o meglio ancora sarebbe parlare di un diritto ad essere deindicizzati.

A ben vedere ,però, il diritto non dice che gli effetti della sentenza "Google Spain" non sono stati quelli tanto desiderati, e cioè che davvero il meccanismo congegnato dalla Corte di Lussemburgo potesse rendere non più rintracciabili notizie non gradite agli interessati, ma sono abbastanza deludenti; se è vero che l'avv. Mario Costeja Gonzàlez ha vinto la sua battaglia contro Google, poichè chi scrive il suo nome su "Google.es" non visualizza più l'articolo del quotidiano spagnolo "La Vanguardia" e, dunque, per questa via non può scoprire che nel 1998 il ministero del lavoro iberico aveva sequestrato e messo all'asta la sua abitazione, è pur vero che, scomparso dalle pagine europee del motore (come "Google.it" o, per l'appunto, "Google.es") in ottemperanza alla suddetta sentenza, l'articolo in questione è alla portata di chiunque navighi online utilizzando "Google.com", e cioè la pagina americana del motore di ricerca, o, tanto per fare un altro esempio, "Google.sm", e cioè la versione sanmarinese. Ma allora, tanto clamore per una sentenza che non dà il risultato sperato" Il problema risiede nella assenza di confini geografici e nazionali in Internet e nella ubiquità della Rete; il diritto si è dunque astenuto dal dire che tale lacuna rende facilmente aggirabili, sul piano tecnico, le disposizioni (tanto legislative, quanto pretorie) delle autorità nazionali, e quindi esso «sempre più spesso, rispetto alle questioni poste dalle nuove tecnologie (ed ovviamente non solo da quelle), appare davvero inadeguato»[7].

Dal caso "Wegrzybowski e Smolczewski" al GDPR e al diritto alla cancellazione

[Torna su]

Interessante è stato il punto di vista, sul tema, della Corte europea dei diritti umani. In particolare con la sentenza del 16 luglio 2013 (caso Wegrzybowski e Smolczewski vs. Polonia, Rc. N. 33846/2007) ha trattando una questione simile a quella affrontata dalla Corte di giustizia nel caso Google Spain, intervenendo sul tema del bilanciamento tra libertà di espressione, interessi individuali incisi dall'esercizio di tale libertà e interesse pubblico a conoscere la data informazione.

Il punto particolarmente significativo di tale sentenza è il disconoscimento, da parte della Cedu, del diritto dell'interessato ad ottenere la rimozione dell'informazione pubblicata online, individuandone la base nell'obbligo di pubblicare una nota aggiuntiva ad una fonte disponibile in un archivio Internet, la quale vada a specificare la circostanza che tale informazione sia stata reputata diffamatoria dall'autorità giudiziaria. I giudici di Strasburgo assicurano la piena libertà di espressione, corroborata dall'art. 10 della Convenzione europea dei diritti dell'uomo, e ritengono legittima la permanenza delle informazioni pubblicate su Internet, a tutela del diritto della collettività di accedere alle notizie, anche del passato. Inoltre considerano sproporzionata la rimozione integrale di un articolo giornalistico diffamatorio, pubblicato nella versione online di un quotidiano, finalizzata alla tutela della reputazione degli individui ex art 8 della Convenzione.

La Cedu così, nel bilanciamento tra il diritto al rispetto della vita familiare e la libertà di espressione ha dato prevalenza a quest'ultima, restringendo il campo di operatività e mettendo in ombra il diritto all'oblio: ha dimenticato il diritto ad essere dimenticati[8].

In questo quadro si inserisce a gamba tesa il Regolamento generale sulla protezione dei dati n. 2016/679 (anche noto come GDPR, General Data Protection Regulation) che con l'art. 17, riconosce all'interessato «il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo», mentre il titolare del trattamento ha l'obbligo di cancellare, senza ingiustificato ritardo, i dati personali in presenza di determinati motivi.

Se la disposizione non individua i tratti specifici del diritto all'oblio, parlando di diritto alla cancellazione, indica invece i presupposti - cumulabili o alternativi - per il riconoscimento e l'azionabilità del diritto:

a) i dati personali non siano più necessari rispetto alle finalità per le quali sono stati raccolti/trattati;

b) l'interessato revochi il consenso (e non esista altro fondamento giuridico per il trattamento);

c) l'interessato si opponga al trattamento per la sua particolare situazione;

d) i dati personali siano stati trattati illecitamente;

e) i dati personali debbano essere cancellati per adempiere un obbligo legale previsto dal diritto dell'Unione o dal diritto dello Stato membro cui è soggetto il titolare del trattamento;

f) i dati personali sono stati raccolti relativamente all'offerta di servizi della società dell'informazione ai minori.

Inoltre individua anche i casi in cui il trattamento dei dati sarebbe, invece, ammesso e ritenuto necessario in virtù del bilanciamento:

a) per l'esercizio del diritto alla libertà di espressione e di informazione;

b) per l'adempimento di un obbligo legale o per l'esecuzione di un compito svolto nel pubblico interesse o nell'esercizio di pubblici poteri;

c) per motivi di interesse pubblico sanitario;

d) a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici [...];

e) per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria.

Tuttavia molte sono state le criticità segnalate dalla dottrina: l'assenza di una precisa definizione; la discrezionalità nel bilanciamento giudiziale affidato alle Corti e alle Authorities nazionali; la modularità dei provvedimenti.

Delude molto che il diritto in questione (l'oblio) è ritenuto mera espressione del diritto alla cancellazione dei dati, realizzabile solo tramite quest'ultima.

GDPR, AI e privacy: nel mare magnum del progresso

[Torna su]

In quella che, ormai, potremmo definire una società liquida, caratterizzata da grandi e repentini cambiamenti, gli sviluppi dell'Intelligenza Artificiale stanno letteralmente rivoluzionando la nostra quotidianità ad una velocità a cui il diritto non è in grado di tenere testa.

Sebbene quella (l'intelligenza artificiale) che, già negli anni '50 Alan Turing[9] aveva teorizzato come la possibilità, per le macchine, di pensare come gli esseri umani, ha indubbie potenzialità (dai veicoli autonomi che migliorano la sicurezza stradale alla medicina personalizzata che salva vite; dall'automazione industriale che aumenta l'efficienza e la sostenibilità di processi produttivi alla traduzione automatica in grado di abbattere ogni barriera linguistica; dalle tecnologie capaci di ridurre il consumo energetico all'agricoltura di precisione; dai robot in grado di fornire counselling psicologico (vedi Replika) ai chatbot in grado di generare testo plausibile e coerente su una vasta gamma di argomenti), questo entusiasmo è smorzato dalle questioni che impattano, volenti o nolenti, sia con il trattamento dei dati personali che con la tutela dei diritti della persona.

Il maggior rischio evidenziato è il possibile sacrificio, sull'altare dell'efficienza e dell'efficacia, di importanti valori quali trasparenza e comprensibilità delle decisioni prese da un'IA oppure, ancora, la violazione della privacy personale.

Per migliorare il lavoro degli algoritmi, infatti, vi è bisogno di aumentare il numero e/o la qualità dei dati input, per determinare un più affidabile risultato. E' proprio questo il dato più preoccupante: l'Intelligenza Artificiale per essere abbastanza intelligente ha bisogno dei nostri dati personali ovvero delle informazioni che identificano o rendono identificabile, direttamente o indirettamente, una persona fisica e che possono fornire informazioni sulle sue caratteristiche anche particolari (le sue abitudini, il suo stile di vita, le sue relazioni personali, il suo stato di salute, la sua situazione economica, le sue preferenze, la sua localizzazione, ecc..), ma spesso questi dati sono reperiti autonomamente dal sistema (c.d.machine learning, che rende i sistemi di intelligenza artificiali imprevedibili, in quanto gli algoritmi ex ante vengono modificati ex post dal machine learning ) e molto probabilmente sono decontestualizzati al punto da apparire come "frammenti" di vita delle persone cui si riferiscono, o tracce della loro esistenza quasi surreali (la visita di un sito, la fotografia pubblicata in un social network, la videoripresa ad un casello autostradale).

Nel XXI secolo, quindi, per la commodity si cedono dati personali, in barba ai rischi che si celano dietro la grande AI. Proprio muovendo da questo assunto, il legislatore europeo ha deciso che fosse giunto il momento di tenere il passo dell'evoluzione tecnologica, e prima con la Direttiva 95/46 e poi con il Regolamento 2016/679 UE, ha tentato di dare una regolamentazione al fenomeno dei dati raccolti dalle intelligenze artificiali. Solo un mero e vano tentativo, però si è rivelato, dal momento che, come la Legge di Moore insegna, la tecnologia, con la sua progressione geometrica[10], è in grado di elaborare e comparare dati personali sempre in maggior numero e sempre più velocemente.

Tuttavia, il GDPR ha posto particolare attenzione al problema del trattamento automatizzato dei dati personali. In particolare, con l'art. 22 (Processo decisionale automatizzato relativo alle persone fisiche, compresa la profilazione) si chiarisce che nessuna tecnologia di Intelligenza Artificiale sia conforme al GDPR senza l'intervento umano, ergo l'Interessato ha il diritto di non essere sottoposto a una decisione basata esclusivamente sul trattamento automatizzato dei propri dati, a cominciare dalla profilazione, che produca effetti giuridici che lo riguardano o che incida allo stesso modo sulla sua persona in modo significativo.

Il primo paragrafo dell'art. 22, stabilisce che chi utilizza sistemi di intelligenza artificiale per acquisire e/o elaborare dati personali deve:

1. definire le finalità del trattamento;
2. informare sull'utilizzo che si fa della tecnologia IA;
3. raccogliere il consenso al trattamento automatizzato e alla profilazione;
4. determinare la base giuridica;
5. valutare l'impatto che l'uso dell'IA esercita sugli individui (DPIA);
6. dare prospetto compiuto e completo del funzionamento della tecnologia, per individuarne i criteri di ragionamento (ed eventualmente anche alcuni bias di partenza);
7. intervenire nel caso in cui si presentino possibili occasioni di violazione dei diritti degli interessati;
8. comunicare e informare in caso di data breach.