L’autorità di controllo svedese (Datainspektionen) ha emesso una sanzione verso Google per 75 milioni di corone (quasi 7 milioni di euro) per la mancata garanzia di effettività dell’esercizio del diritto di oblio da parte dell’interessato. Per un motore di ricerca, infatti, l’esercizio del diritto di oblio consta nella richiesta di deindicizzazione di risultati obsoleti in quanto inaccurati, irrilevanti o superflui.
Al termine di un procedimento ispettivo del 2017, la Datainspektionen aveva ingiunto (ai sensi dell’art. 58.2 lett. d) GDPR) a Google un ordine di rimozione riguardante alcuni risultati di ricerca, e in seguito ad un successivo accertamento, nel 2018, aveva rilevato che ancora non c’era stato un pieno adempimento ma anzi un ingiustificato ritardo nel garantire il pieno diritto all’oblio degli interessati e dunque così è stata avviata una seconda attività di ispezione ora terminata con la sanzione pecuniaria indicata.
La contestazione riguarda non solo l’inottemperanza all’ingiunzione bensì anche il depauperamento dell’esercizio dei diritti da parte degli interessati. Tale condotta è stata valutata dall’autorità di controllo svedese come una grave violazione del GDPR in quanto non fornisce adeguata garanzia di effettività alle tutele dei diritti e delle libertà delle persone fisiche e contrasta con il principio di responsabilizzazione.
La rimozione di un risultato di ricerca, infatti, deve avere tanto il carattere di tempestività quanto di effettività.
Sotto il profilo della tempestività non viene ammesso alcun ingiustificato ritardo a fronte del riscontro dei presupposti indicati dall’art. 17 GDPR per cui la richiesta di cancellazione è validamente avanzata da parte dell’interessato, e dunque la permanenza di un risultato di ricerca (addirittura anche in un tempo successivo rispetto all’ordine di rimozione da parte dell’autorità di controllo) costituisce già di per sé una violazione.
Andando ad approfondire invece il profilo dell’effettività per l’esercizio di un diritto da parte dell’interessato, un motore di ricerca deve essere in grado di fornire una tutela, ovviamente nei limiti del possibile, anche dall’attività di repost. In questo caso specifico è stata oggetto di contestazione la procedura in forza della quale Google comunica al proprietario del sito web presso cui è presente l’informazione sia la richiesta di rimozione sia il link del risultato di ricerca rimosso, consentendo così una ripubblicazione anche su un diverso sito o indirizzo (come avvenuto). Ciò comporta, in pratica, che il risultato di ricerca potrà essere comunque reso disponibile rendendo superfluo il buon esito della richiesta di deindicizzazione, relegandola ad un mero adempimento formale privo di sostanza e costringendo l’interessato a reiterare continue, e fondate, richieste di rimozione.
Ulteriormente, viene contestata la mancanza di una base giuridica per informare il proprietario del sito web dell’esito della deindicizzazione e, sempre badando alla garanzia di effettività del diritto, viene inoltre evidenziato un effetto ingannevole del modulo predisposto da Google. La presenza sul modulo per la richiesta di deindicizzazione di una formula informativa per l’utente circa l’eventuale comunicazione della richiesta e del buon esito della stessa, oltre che dell’URL al webmaster, è una pratica che, secondo valutazione della Datainspektionen, produce inevitabilmente l’effetto di scoraggiare gli interessati dall’esercitare il diritto di oblio. Tanto premesso, viene di conseguenza ordinato a Google, entro l’ambito dei servizi di ricerca effettuati dalla Svezia, la cessazione della pratica di informare i webmaster salvo richiesta da parte dell’interessato tramite selezione di una casella di controllo, nonché la conseguente modifica della formula presente nel modulo di richiesta di rimozione dei risultati.
“Ricordati di dimenticare”, recita un noto aforisma di Nietzsche.
Certamente, Google ha un buon motivo per ricordarsi di “far dimenticare” alcune ricerche. Almeno in Svezia.
