| Garante per la protezione dei dati personali Reti telematiche e Internet - Motori di ricerca e provvedimenti di Autorità indipendenti: le misure necessarie a garantire il c.d. "diritto all'oblio" IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI Nella riunione odierna, in presenza del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello, vice presidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. Giovanni Buttarelli, segretario generale; Esaminato il ricorso presentato da A.B., in proprio e nella qualità di legale rappresentante di U.V. s.r.l., rappresentato e difeso dall'avv. Giancarlo Venturi presso il cui studio ha eletto domicilio nei confronti di Autorità garante della concorrenza e del mercato; Visti gli articoli 7, 8 e 145 s. del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196); Viste le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000; Relatore il dott. Mauro Paissan; PREMESSO: I ricorrenti affermano di non aver ricevuto idoneo riscontro ad un'istanza formulata all'autorità resistente ai sensi degli artt. 7 e 8 del Codice, con la quale si erano opposti alla diffusione di dati personali che li riguardano (con specifico riferimento alle loro generalità o estremi identificativi) effettuata pubblicando sul sito Internet della medesima autorità due provvedimenti adottati dalla stessa nel 1996 e nel 2002 e che avevano vietato la diffusione di alcuni messaggi pubblicitari ritenuti ingannevoli ai sensi del d.lg. n. 74/1992. I ricorrenti lamentano che tale modalità di pubblicazione delle due decisioni che li riguardano arrecherebbe loro un ingiusto pregiudizio. Ciò, con riferimento alla possibilità che, ricercando il relativo nominativo tramite i motori di ricerca in Internet, le medesime decisioni compaiono costantemente a fianco delle informazioni relative all'attività svolta attualmente dal A.B., facendo apparire le decisioni stesse "come attuali" rispetto ai messaggi pubblicitari che lo stesso diffonde oggi via Internet. L'Autorità resistente ha fornito riscontro osservando che i propri provvedimenti sono pubblicati nel Bollettino dell'Autorità stessa "in ottemperanza ad un obbligo di legge, previsto dall'art. 14, comma 1, del d.P.R. 11 luglio 2003, n. 284", che impone il regime di pubblicità per i provvedimenti da essa deliberati. Nel ricorso proposto ai sensi degli artt. 145 e ss. del Codice, gli interessati hanno ribadito la propria opposizione, osservando di aver contestato non la liceità della pubblicazione dei provvedimenti in questione sul Bollettino dell'Autorità, quanto la loro diffusione in Internet senza l'adozione di opportune cautele (quali l'oscuramento dei nominativi, oppure la possibilità di consentire l'accesso ai provvedimenti solo mediante una ricerca all'interno del sito e inibendone invece la reperibilità mediante motori di ricerca). Tale modalità di diffusione, trasformandosi in pubblicazione "perpetua", diverrebbe, a loro avviso, "ben più grave di quella a mezzo stampa che pure costituisce una precisa sanzione accessoria, limitata però nel tempo". I ricorrenti hanno chiesto di porre a carico di controparte le spese sostenute per il procedimento. A seguito dell'invito ad aderire formulato da questa Autorità in data 20 settembre 2004 ai sensi dell'art. 149 del Codice, l'Autorità garante della concorrenza e del mercato ha nuovamente risposto con memoria dell'11 ottobre e nell'audizione del 12 ottobre 2004, dichiarando che: * "l'Autorità diffonde i dati personali contenuti nei provvedimenti da essa adottati in materia di pubblicità ingannevole e comparativa sulla base di specifica previsione normativa: l'art. 14 del d.P.R. n. 284/2003, già art. 16 del d.P.R. n. 627/1996, il quale dispone che il provvedimento finale è "pubblicato, entro venti giorni dalla sua adozione, nel bollettino di cui all'art. 26 della legge 10 ottobre 1990, n. 287""; * "lo scopo della norma è, evidentemente, quello di assicurare adeguata pubblicità e conoscenza dell'attività svolta dall'Autorità" e che, "stante il suddetto principio di pubblicità, l'Autorità ha sempre dato ampia diffusione alla propria attività istituzionale, avvalendosi anche degli strumenti informatici mediante la pubblicazione del Bollettino sul proprio sito Internet, quale mezzo di comunicazione di grande utilità ed ormai di uso comune ampiamente utilizzato anche dalle pubbliche amministrazioni per assicurare la più ampia e tempestiva conoscibilità dell'azione amministrativa"; * anche il Garante per la protezione dei dati personali, in un parere reso al Dipartimento per gli affari giuridici e legislativi della Presidenza del Consiglio dei ministri nel 1999, osservava che "l'indicazione delle parti interessate nelle decisioni dell'Autorità pubblicate è "in termini generali giustificata e rispettosa del principio di pertinenza" di cui all'art. 9 della legge n. 675/1996" (ora, art. 11 del Codice); * "l'interesse pubblico alla piena conoscibilità delle decisioni dell'Autorità deve ritenersi senz'altro prevalente sull'interesse dell'operatore pubblicitario a non far conoscere al pubblico dei consumatori di essere stato destinatario di un provvedimento dell'Autorità"; * "l'identità personale dell'operatore pubblicitario non è un dato che possa essere sottratto all'obbligo di pubblicazione in quanto la sua omissione finirebbe in sostanza per frustrare il fine stesso della normativa in materia di pubblicità ingannevole soprattutto quando, come nel caso di specie, in mancanza di tale dato non sarebbe possibile identificare il messaggio pubblicitario"; * "attualmente, vengono pubblicati sul sito dell'Autorità tutti i provvedimenti in formato html, nonché la versione del Bollettino in formato pdf" e non viene utilizzato "alcun accorgimento di carattere tecnico idoneo a facilitare la ricerca effettuata dai vari motori di ricerca"; * l'Autorità non si oppone a che, con l'ausilio del Garante per la protezione dei dati personali, possano essere individuate possibili soluzioni tecniche che "da un lato consentano la piena conoscibilità delle decisioni dell'Autorità, stante il regime di pubblicazione normativamente previsto, dall'altro siano idonee ad evitare episodi, sia pure occasionali, come quello che ha dato luogo alla presente controversia". Con memorie del 10 ottobre e dell'11 ottobre 2004, i ricorrenti hanno ribadito la propria opposizione, rilevando che la pubblicazione delle pronunce in questione, pur connessa a messaggi pubblicitari non più divulgati, assumerebbe "un carattere di eternità, non essendo soggetta a limiti temporali". CIÒ PREMESSO IL GARANTE OSSERVA: Il ricorso concerne un'opposizione per motivi legittimi al trattamento di dati personali da parte di un'autorità indipendente, con riferimento alle modalità di diffusione, via Internet, dei dati personali dei ricorrenti contenuti in alcune decisioni adottate dall'Autorità stessa. Il trattamento dei dati personali in questione va esaminato alla luce dell'art. 19 del Codice, in base al quale la diffusione di dati personali da parte di un soggetto pubblico è consentita solo quando è prevista da una norma di legge o di regolamento. Le decisioni dell'Autorità garante della concorrenza e del mercato devono essere pubblicate, a norma dell'art. 26 della legge n. 287/1990, "in un apposito bollettino, a cura della Presidenza del Consiglio dei Ministri" e tale obbligo è ribadito, con specifico riferimento ai provvedimenti adottati dall'Autorità in materia di pubblicità ingannevole e comparativa, dall'art. 14 del d.P.R. n. 284/2003. Nel caso di specie, non è contestata la pubblicazione degli estremi identificativi dei ricorrenti nei provvedimenti adottati dall'Autorità resistente —la cui omissione, come argomentato da quest'ultima, non sarebbe stata peraltro possibile senza vanificare il fine specifico della pubblicazione del provvedimento relativo alla pubblicità ingannevole— bensì la modalità di conoscibilità in Internet delle decisioni medesime, tenuto anche conto che le stesse fanno riferimento a messaggi pubblicitari attualmente non più diffusi dai ricorrenti e che questi ultimi diffondono attualmente on line altri messaggi pubblicitari ritenuti rispettosi della vigente normativa. Le richiamate previsioni normative relative alla pubblicazione delle decisioni dell'Autorità garante della concorrenza e del mercato rendono in generale lecita la correlativa diffusione dei dati personali nelle stesse contenuti, e non pongono limiti specifici alle modalità attraverso le quali le decisioni pubblicate sul Bollettino dell'Autorità possano essere oggetto di diffusione contestuale o successiva. Peraltro, le modalità di funzionamento della rete Internet consentono, in particolar modo attraverso l'utilizzo di motori di ricerca, di rinvenire un consistente numero di informazioni, riferite a soggetti individuati, più o meno aggiornate e di natura differente. La questione sollevata dai ricorrenti è di particolare interesse e delicatezza coinvolgendo il dovere di informazione da parte di organi pubblici sulla propria attività, i diritti di utenti e consumatori, ma anche quelli dei soggetti cui si riferiscono i dati diffusi, in particolare del diritto all'oblio una volta che siano state perseguite le finalità alla base del trattamento dei dati (art. 11 del Codice). Decorsi determinati periodi, la diffusione istantanea e cumulativa su siti web di un gran numero di dati personali relativi ad una pluralità di situazioni riferite ad un medesimo interessato può comportare un sacrificio sproporzionato dei suoi diritti e legittimi interessi quando si tratta di provvedimenti risalenti nel tempo e che hanno raggiunto le finalità perseguite. Varie disposizioni, anche recenti, dell'ordinamento relative alla conoscibilità, ad esempio, dei dati giudiziari e di quelli relativi alle informazioni a contenuto economico-commerciale sono volte a individuare un equilibrio ragionevole tra i vari diritti e interessi coinvolti. Il Codice in materia di protezione dei dati personali prevede ad esempio che le decisioni e le sentenze dell'autorità giudiziaria possano essere rese accessibili anche attraverso Internet, ma nel rispetto di alcune specifiche cautele (art. 51, comma 2, del Codice), tra cui figura la possibilità per l'interessato di chiedere per motivi legittimi che sia apposta sull'originale del provvedimento un'annotazione volta a precludere la diffusione delle generalità e dei dati identificativi riportati nelle decisioni medesime (art. 52, comma 4). Tale cautela non opera, allo stato, per decisioni di autorità amministrative. I ricorrenti prefigurano in particolare la possibilità, per l'Autorità garante della concorrenza e del mercato, di scegliere selettivamente, mediante operatori logici, quali parti dei propri documenti possano essere rilevate dai motori di ricerca e proposte, come risultato, a chi faccia uso in Internet di specifiche stringhe di ricerca utilizzando in modo opportuno i suddetti operatori logici booleani (And, Or, Not). Ciò non riflette, però, il reale funzionamento dei motori di ricerca standard, intendendo con ciò quelli a maggiore diffusione, la cui azione nella fase di raccolta delle informazioni sulle pagine disponibili nel world wide web (fase di grabbing e di successiva indicizzazione) è influenzabile dal singolo amministratore di un sito web soltanto tramite la compilazione del file robots.txt, previsto dal "Robots Exclusion Protocol", o tramite l'uso del "Robots Meta tag". Si tratta di convenzioni concordate nella comunità Internet dai soggetti che sviluppano i protocolli, e non di standard veri e propri, allo stato largamente accettate nel contesto dei motori di ricerca. Tali convenzioni prevedono la possibilità per il gestore di un sito web di escludere selettivamente alcuni contenuti dall'azione di uno o più motori di ricerca. Oggetto dell'esclusione o della limitazione di accesso resta, però, sempre la pagina web o l'insieme di pagine web o di link in essa contenuti, anziché singole parole chiave o specifiche clausole di ricerca composte con operatori logici. Ciò, avviene sia con il "Robots Exclusion Protocol", sia con il ricorso ai Robots Meta tag da inserire nel codice delle pagine da visualizzare. Un'azione su singole parole chiave è possibile, ma soltanto "in positivo", ovvero è possibile per l'amministratore del sito promuovere pagine web inserendo, con opportuni comandi, alcune keyword che possono anche non corrispondere a parole presenti nel documento pubblicato. Tale meccanismo, come richiamato dall'Autorità resistente nella memoria difensiva, non è mai stato utilizzato sul sito dell'Autorità stessa per evidenziare documenti in relazione all'identità delle parti. Alla luce di quanto sopra considerato, non risulta allo stato tecnicamente praticabile la soluzione volta a far sì che i nominativi degli interessati contenuti nelle decisioni pubblicate sul sito siano rilevabili da motori di ricerca solo mediante l'associazione di più parole chiave che uniscano il nominativo dei ricorrenti alla materia trattati nei provvedimenti . Tuttavia, la diretta individuabilità in Internet, tramite motori di ricerca esterni, della decisione adottata dalla resistente nel 1996, non risulta più giustificata in rapporto alle finalità perseguite nel caso di specie. In applicazione del principio di cui all'art. 11, comma 1, lett. e), del Codice, l'Autorità resistente potrà continuare a pubblicare i propri provvedimenti sul relativo sito web modulando, però, nel tempo il periodo entro il quale le decisioni riguardanti i ricorrenti saranno direttamente individuabili in Internet tramite comuni motori di ricerca esterni. A tal fine, ai sensi dell'art. 150, comma 2, del Codice, vengono indicate in questa sede due misure necessarie a tutela dei diritti degli interessati. Entro tre mesi dalla data di ricezione del presente provvedimento l'Autorità resistente istituirà, nell'ambito del proprio sito web, una sezione (nella quale collocare la predetta decisione del 1996) liberamente consultabile telematicamente accedendo allo stesso indirizzo web, ma tecnicamente sottratta alla diretta individuabilità delle decisioni in essa contenute per il tramite dei comuni motori di ricerca esterni. Entro lo stesso termine dei tre mesi, l'Autorità individuerà, altresì, il periodo temporale entro il quale si potrà ritenere proporzionato, in rapporto alle finalità perseguite, mantenere sul sito provvedimenti (come, allo stato, quello del 2002 relativo ai ricorrenti) direttamente individuabili anche tramite motori di ricerca esterni. Entro il medesimo termine, la resistente darà conferma dell'avvenuto adempimento ai ricorrenti e a questa Autorità. Tenuto conto della originalità della materia, sussistono giusti motivi per compensare le spese fra le parti. PER QUESTI MOTIVI IL GARANTE: a) dichiara parzialmente fondato il ricorso e, per l'effetto, prescrive all'autorità resistente di conformare le modalità di diffusione telematica dei dati personali relativi ai ricorrenti nei termini di cui in motivazione; b) dichiara compensate le spese per il procedimento. Roma, 10 novembre 2004 IL PRESIDENTE IL RELATORE IL SEGRETARIO GENERALE |