Sulle questioni pregiudiziali
Sulla seconda questione, lettere a) e b), concernente l’ambito di applicazione materiale della direttiva 95/46
21 Con la sua seconda questione, lettere a) e b), da esaminarsi per prima, il giudice del rinvio chiede, in sostanza, se l’articolo 2, lettera b), della direttiva 95/46 debba essere interpretato nel senso che l’attività di un motore di ricerca quale fornitore di contenuti, consistente nel trovare informazioni pubblicate o inserite da terzi su Internet, nell’indicizzarle in modo automatico, nel memorizzarle temporaneamente e, infine, nel metterle a disposizione degli utenti di Internet secondo un determinato ordine di preferenza, deve essere qualificata come «trattamento di dati personali», ai sensi della disposizione suddetta, qualora tali informazioni contengano dati personali. In caso di risposta affermativa, il giudice del rinvio desidera inoltre sapere se il citato articolo 2, lettera d), debba essere interpretato nel senso che il gestore di un motore di ricerca deve essere considerato come il «responsabile» del suddetto trattamento di dati personali, ai sensi di quest’ultima disposizione.
22 Secondo Google Spain e Google Inc., l’attività dei motori di ricerca non può essere considerata quale trattamento dei dati che appaiono sulle pagine web di terzi visualizzate nell’elenco dei risultati della ricerca, dato che detti motori di ricerca trattano le informazioni accessibili su Internet nel loro insieme senza operare una selezione tra i dati personali e le altre informazioni. Inoltre, anche supponendo che tale attività debba essere qualificata come «trattamento di dati», il gestore di un motore di ricerca non può essere considerato come «responsabile» di tale trattamento, dal momento che egli non ha conoscenza dei dati in questione e non esercita alcun controllo su di essi.
23 Per contro, il sig. Costeja González, i governi spagnolo, italiano, austriaco e polacco, nonché la Commissione europea, ritengono che l’attività suddetta implichi all’evidenza un «trattamento di dati» nel senso di cui alla direttiva 95/46, il quale si distingue dal trattamento di dati ad opera degli editori di siti web e persegue obiettivi diversi rispetto a quelli di quest’ultimo. Il gestore di un motore di ricerca sarebbe «responsabile» del trattamento dei dati da questo effettuato, essendo detto gestore a determinare le finalità e gli strumenti di tale trattamento.
24 Secondo il governo ellenico, l’attività in questione costituisce un «trattamento» siffatto, ma poiché i motori di ricerca fungono da semplici intermediari, le imprese che li gestiscono non possono essere considerate «responsabili», ad eccezione del caso in cui esse memorizzino dei dati in una «memoria intermedia» o una «memoria cache» per un periodo di tempo superiore a quanto tecnicamente necessario.
25 A questo proposito occorre rilevare come l’articolo 2, lettera b), della direttiva 95/46 definisca il «trattamento di dati personali» come «qualsiasi operazione o insieme di operazioni compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali, come la raccolta, la registrazione, l’organizzazione, la conservazione, l’elaborazione o la modifica, l’estrazione, la consultazione, l’impiego, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, nonché il congelamento, la cancellazione o la distruzione».
26 Per quanto riguarda in particolare Internet, la Corte ha già avuto modo di constatare che l’operazione consistente nel far comparire su una pagina Internet dati personali va considerata come un «trattamento» siffatto ai sensi dell’articolo 2, lettera b), della direttiva 95/46 (v. sentenza Lindqvist, C 101/01, EU:C:2003:596, punto 25).
27 Per quanto concerne l’attività in esame nel procedimento principale, non è contestato che tra i dati trovati, indicizzati, memorizzati dai motori di ricerca e messi a disposizione degli utilizzatori di questi ultimi sono presenti anche informazioni riguardanti persone fisiche identificate o identificabili, e dunque «dati personali» ai sensi dell’articolo 2, lettera a), della direttiva citata.
28 Pertanto, occorre constatare che, esplorando Internet in modo automatizzato, costante e sistematico alla ricerca delle informazioni ivi pubblicate, il gestore di un motore di ricerca «raccoglie» dati siffatti, che egli «estrae», «registra» e «organizza» successivamente nell’ambito dei suoi programmi di indicizzazione, «conserva» nei suoi server e, eventualmente, «comunica» e «mette a disposizione» dei propri utenti sotto forma di elenchi dei risultati delle loro ricerche. Poiché tali operazioni sono contemplate in maniera esplicita e incondizionata all’articolo 2, lettera b), della direttiva 95/46, esse devono essere qualificate come «trattamento» ai sensi di tale disposizione, senza che rilevi il fatto che il gestore del motore di ricerca applichi le medesime operazioni anche ad altri tipi di informazioni e non distingua tra queste e i dati personali.
29 La constatazione di cui sopra non viene invalidata neppure dal fatto che tali dati abbiano già costituito l’oggetto di una pubblicazione su Internet e non vengano modificati dal suddetto motore di ricerca.
30 Infatti, la Corte ha già constatato che le operazioni contemplate dall’articolo 2, lettera b), della direttiva 95/46 devono essere considerate come un trattamento siffatto anche nell’ipotesi in cui riguardino esclusivamente informazioni già pubblicate tali e quali nei media. La Corte ha infatti rilevato, a questo proposito, che una deroga generale all’applicazione della direttiva 95/46 in un’ipotesi siffatta priverebbe in larga parte del suo significato tale direttiva (v., in tal senso, sentenza Satakunnan Markkinapörssi e Satamedia, C 73/07, EU:C:2008:727, punti 48 e 49).
31 Inoltre, discende dalla definizione contenuta nell’articolo 2, lettera b), della direttiva 95/46 che, se indubbiamente la modificazione di dati personali costituisce un trattamento ai sensi della direttiva stessa, le altre operazioni menzionate in tale disposizione non esigono affatto, invece, che i dati suddetti vengano modificati.
32 Quanto alla questione se il gestore di un motore di ricerca debba o no essere considerato come il «responsabile del trattamento» dei dati personali effettuato da tale motore nell’ambito di un’attività come quella oggetto del procedimento principale, occorre ricordare che l’articolo 2, lettera d), della direttiva 95/46 definisce detto responsabile come «la persona fisica o giuridica, l’autorità pubblica, il servizio o qualsiasi altro organismo che, da solo o insieme ad altri, determina le finalità e gli strumenti del trattamento di dati personali».
33 Orbene, è il gestore del motore di ricerca a determinare le finalità e gli strumenti di tale attività e dunque del trattamento di dati personali che egli stesso effettua nell’ambito dell’attività medesima, ed è di conseguenza lui a dover essere considerato come il «responsabile» di tale trattamento a norma del citato articolo 2, lettera d).
34 Inoltre, occorre constatare che sarebbe contrario non soltanto al chiaro tenore letterale di tale disposizione, ma anche alla sua finalità – consistente nel garantire, mediante un’ampia definizione della nozione di «responsabile», una tutela efficace e completa delle persone interessate – il fatto di escludere dalla nozione di cui sopra il gestore di un motore di ricerca per il motivo che egli non esercita alcun controllo sui dati personali pubblicati sulle pagine web di terzi.
35 A questo proposito, occorre sottolineare che il trattamento di dati personali effettuato nell’ambito dell’attività di un motore di ricerca si distingue da e si aggiunge a quello effettuato dagli editori di siti web, consistente nel far apparire tali dati su una pagina Internet.
36 Inoltre, è pacifico che tale attività dei motori di ricerca svolge un ruolo decisivo nella diffusione globale dei dati suddetti, in quanto rende accessibili questi ultimi a qualsiasi utente di Internet che effettui una ricerca a partire dal nome della persona interessata, anche a quegli utenti che non avrebbero altrimenti trovato la pagina web su cui questi stessi dati sono pubblicati.
37 Per di più, l’organizzazione e l’aggregazione delle informazioni pubblicate su Internet, realizzate dai motori di ricerca allo scopo di facilitare ai loro utenti l’accesso a dette informazioni, possono avere come effetto che tali utenti, quando la loro ricerca viene effettuata a partire dal nome di una persona fisica, ottengono attraverso l’elenco di risultati una visione complessiva strutturata delle informazioni relative a questa persona reperibili su Internet, che consente loro di stabilire un profilo più o meno dettagliato di quest’ultima.
38 Pertanto, nella misura in cui l’attività di un motore di ricerca può incidere, in modo significativo e in aggiunta all’attività degli editori di siti web, sui diritti fondamentali alla vita privata e alla protezione dei dati personali, il gestore di tale motore di ricerca quale soggetto che determina le finalità e gli strumenti di questa attività deve assicurare, nell’ambito delle sue responsabilità, delle sue competenze e delle sue possibilità, che detta attività soddisfi le prescrizioni della direttiva 95/46, affinché le garanzie previste da quest’ultima possano sviluppare pienamente i loro effetti e possa essere effettivamente realizzata una tutela efficace e completa delle persone interessate, in particolare del loro diritto al rispetto della loro vita privata.
39 Infine, la circostanza che gli editori di siti web abbiano la facoltà di indicare ai gestori di motori di ricerca, con l’aiuto segnatamente di protocolli di esclusione come «robot.txt» o di codici come «noindex» o «noarchive», il loro desiderio che una determinata informazione, pubblicata sul loro sito, venga esclusa in tutto o in parte dagli indici automatici di detti motori di ricerca, non significa che la mancanza di un’indicazione siffatta da parte di questi editori liberi il gestore di un motore di ricerca dalla sua responsabilità per il trattamento dei dati personali che egli effettua nell’ambito dell’attività del motore stesso.
40 Infatti, tale circostanza non modifica il fatto che le finalità e gli strumenti del citato trattamento sono determinati da detto gestore. Inoltre, anche supponendo che la summenzionata facoltà degli editori di siti web significhi che costoro determinano insieme con il suddetto gestore gli strumenti di tale trattamento, tale circostanza nulla toglierebbe alla responsabilità di quest’ultimo, dato che l’articolo 2, lettera d), della direttiva 95/46 prevede espressamente che tale determinazione possa essere effettuata «da solo o insieme ad altri».
41 Alla luce di quanto sopra esposto, occorre rispondere alla seconda questione, lettere a) e b), dichiarando che l’articolo 2, lettere b) e d), della direttiva 95/46 deve essere interpretato nel senso che, da un lato, l’attività di un motore di ricerca consistente nel trovare informazioni pubblicate o inserite da terzi su Internet, nell’indicizzarle in modo automatico, nel memorizzarle temporaneamente e, infine, nel metterle a disposizione degli utenti di Internet secondo un determinato ordine di preferenza, deve essere qualificata come «trattamento di dati personali», ai sensi del citato articolo 2, lettera b), qualora tali informazioni contengano dati personali, e che, dall’altro lato, il gestore di detto motore di ricerca deve essere considerato come il «responsabile» del trattamento summenzionato, ai sensi dell’articolo 2, lettera d), di cui sopra.
Sulla prima questione, lettere da a) a d), concernente l’ambito di applicazione territoriale della direttiva 95/46
42 Con la sua prima questione, lettere da a) a d), il giudice del rinvio mira a stabilire se sia possibile applicare la normativa nazionale di recepimento della direttiva 95/46 in circostanze quali quelle in esame nel procedimento principale.
43 In tale contesto, il giudice del rinvio ha accertato i seguenti fatti:
– Google Search viene proposto a livello mondiale tramite il sito web «www.google.com». In numerosi Stati esistono versioni locali adattate alla lingua nazionale. La versione in lingua spagnola di Google Search viene proposta tramite il sito web «www.google.es», registrato dal 16 settembre 2003. Google Search è uno dei motori di ricerca più utilizzati in Spagna.
– Google Search è gestito da Google Inc., che è la società madre del gruppo Google e la cui sede sociale si trova negli Stati Uniti.
– Google Search indicizza i siti web del mondo intero, e tra questi i siti ubicati in Spagna. Le informazioni indicizzate dai suoi «web spiders» o dai suoi crawler, ossia programmi informatici utilizzati per reperire e scandagliare il contenuto delle pagine web in modo metodico e automatizzato, vengono memorizzate temporaneamente in server dei quali si ignora lo Stato di ubicazione, informazione questa che viene mantenuta segreta per ragioni di concorrenza.
– Google Search non si limita a dare accesso ai contenuti ospitati sui siti web indicizzati, ma sfrutta tale attività per includere, dietro pagamento, pubblicità associate ai termini di ricerca introdotti dagli utenti di Internet, a beneficio di imprese che desiderano utilizzare tale mezzo per offrire i loro beni o servizi a tali utenti.
– Il gruppo Google utilizza la propria filiale Google Spain per la promozione delle vendite di spazi pubblicitari generati sul sito web «www.google.com». Google Spain, che è stata costituita il 3 settembre 2003 e che gode di personalità giuridica autonoma, ha la propria sede sociale a Madrid (Spagna). Essa sviluppa le proprie attività essenzialmente a destinazione delle imprese basate in Spagna, operando quale agente commerciale del gruppo suddetto in tale Stato membro. Il suo oggetto sociale consiste nel promuovere, facilitare ed effettuare la vendita di prodotti e di servizi di pubblicità online a terzi, nonché il marketing di questa pubblicità.
– Google Inc. ha designato Google Spain come responsabile del trattamento, in Spagna, di due file registrati da Google Inc. presso l’AEPD, tenendo presente che tali file hanno lo scopo di contenere i dati personali dei clienti che hanno concluso contratti di servizi pubblicitari con Google Inc.
44 In concreto, il giudice del rinvio si interroga, in via principale, in merito alla nozione di «stabilimento», ai sensi dell’articolo 4, paragrafo 1, lettera a), della direttiva 95/46, e a quella di «ricorso a strumenti situati nel territorio di detto Stato membro», ai sensi dell’articolo 4, paragrafo 1, lettera c), della medesima direttiva.
