VEDI ANCHE Newsletter del 6 giugno 2024

[doc. web n. 10022403]

Provvedimento del 9 maggio 2024

Registro dei provvedimenti
n. 274 del 9 maggio 2024

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, ed il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTO il Regolamento (UE) 2022/2065 sui servizi digitali approvato il 5 luglio 2022 (Digital Services Act, di seguito “DSA”);

VISTE le Linee-guida 3/2018 sull’ambito di applicazione territoriale del Regolamento (articolo 3) adottate dall’ European Data Protection Board (di seguito “EDPB”) nella versione definitiva il 12 novembre 2019;

VISTO il Regolamento del Garante n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante;

VISTO il reclamo presentato al Garante, ai sensi dell’art. 77 del Regolamento, in data 1° dicembre 2021, con il quale XX, rappresentato e difeso dagli avv.ti  XX e XX, ha lamentato una violazione della vigente normativa in materia di protezione dei dati personali, in relazione alla pubblicazione, attraverso testate giornalistiche on-line e blog, nonché nella pagina web di Wikipedia a lui riferita (reperibile al link: https://...) della notizia relativa alla vicenda giudiziaria risalente al 2017 e conclusasi nel 2018 con una sentenza di patteggiamento, che lo aveva visto imputato per i reati di cui agli artt. 609-bis c.p. (violenza sessuale) e 600-quater 1° co. c.p. (detenzione di materiale pedopornografico);

VISTO il successivo provvedimento n. 115 del 22 febbraio 2024, rivolto agli altri titolari coinvolti nel lamentato trattamento, dal quale si è ritenuto di dover stralciare la posizione di Wikimedia Foundation Inc., in ragione della peculiarità di taluni aspetti di quest’ultima rispetto a quella degli altri titolari;

CONSIDERATO che nel reclamo l’interessato ha, in particolare, rappresentato che:

la diffusione dei suoi dati (nome, cognome, età, nazionalità e ruolo ricoperto) era avvenuta “in chiaro e senza alcuna autorizzazione e/o preavviso”, attraverso una narrazione dei fatti spesso “travisata ed inserita nel contesto più ampio degli scandali a sfondo sessuale che negli ultimi anni hanno interessato la Santa Sede”;

gli atti di violenza ascrittigli erano riferiti ad un palpeggiamento nei confronti di persona maggiore d’età e che da una perizia effettuata in corso di causa era emersa “sia l’assenza di frammenti di immagini pedopornografiche sull’hard disk che di attività di downloading delle stesse”;

il giudizio era stato definito con la sentenza di patteggiamento resa dal XX in data 15 febbraio 2018 ed aveva comportato una condanna alla pena detentiva di un anno e due mesi di reclusione poi sospesa, nonché alla pena accessoria, anch’essa sospesa, dell’interdizione perpetua da qualunque incarico nelle scuole di ogni ordine e grado, oltre che da ogni ufficio o servizio in istituzioni o strutture pubbliche o private frequentate prevalentemente da minori;

la richiesta del rito del patteggiamento era stata avanzata “al solo fine di evitare di esporre ulteriormente la Santa Sede all’ennesimo processo mediatico” e non “come ammissione della propria colpevolezza sempre fermamente negata”;

lo scopo era stato esclusivamente quello di “evitare la celebrazione del dibattimento pubblico” che avrebbe attirato l’attenzione dei mass media con il rischio, comunque verificatosi, di una strumentalizzazione della notizia stessa;

la vicenda, di particolare delicatezza, non rivestiva più un interesse pubblico, avendo la collettività ormai preso conoscenza del fatto, mentre la relativa permanenza on-line aveva causato un evidente danno di immagine all’interessato, con ripercussioni sui suoi rapporti familiari e sulla vita relazionale con la comunità parrocchiale e professionale;

CONSIDERATO che, in ragione di tali circostanze il reclamante ha lamentato la violazione dell’art. 137, comma 3, del Codice, nonché degli artt. 5, par. 1, lett. e) e 17 del Regolamento (UE) 2016/679, rilevando che nel rapporto tra diritto di cronaca e tutela dell’identità personale, in virtù del tempo trascorso, il primo può dirsi affievolito non essendo più sussistente un apprezzabile interesse sociale alla notizia e che l’indicizzazione “risulta certamente contraria al principio di essenzialità dell’informazione”;

CONSIDERATO, pertanto, che anche con riguardo alla posizione di Wikimedia Foundation Inc., il reclamante ha richiesto l’adozione di tutte le misure più opportune alla rimozione da Wikipedia dell’articolo biografico reperibile al menzionato link, ovvero, in subordine, delle specifiche misure tecniche di deindicizzazione per rendere inaccessibile tale articolo tramite i motori di ricerca esterni al sito;

CONSIDERATO, inoltre, che il reclamante ha rilevato che alla richiesta di esercizio dei diritti, in particolare di accesso ai propri dati personali ex art. 15 del Regolamento (UE) 2016/679, nonché di “intervento sugli stessi ex artt. 16, 17 e 18 dello stesso regolamento” avanzata nei confronti di Wikimedia Foundation Inc. in sede di interpello preventivo non ha fatto seguito “alcun riscontro né alcuna cancellazione o deindicizzazione dei contenuti (…) in violazione dell’art. 12, par. 2, 3 e 4 del Regolamento”;

VISTA la nota del 6 maggio 2022 con la quale l’Autorità ha chiesto a Wikimedia Foundation Inc. di fornire le proprie osservazioni in ordine a quanto in esso rappresentato e di comunicare l’eventuale intenzione di aderire alle richieste del reclamante;

VISTA la comunicazione del 27 maggio 2022, con la quale la Fondazione, nel fornire riscontro alla richiamata richiesta, ha rappresentato che:

le contestazioni avanzate nel reclamo “sono imprecise e non applicabili al trattamento posto in essere dalla Fondazione stessa”, in quanto lo stesso non tiene conto della “diversa natura della titolarità delle parti coinvolte e dei trattamenti in questione”;

le affermazioni circa l’asserita lesione della dignità, dell’onore e della reputazione del reclamante non rispecchiano il contenuto della pagina web di Wikipedia.org riferita a XX, in cui si riporta solo il dato oggettivo della vicenda giudiziaria e l’informazione costituisce “il semplice riassunto di fatti originariamente riportati da altre fonti”;

i volontari di Wikipedia, che provvedono a scrivere le notizie all’interno dell’enciclopedia, sono chiamati a seguire le linee-guida sulla neutralità e verificabilità delle informazioni riportate;

la Fondazione ha interesse a pubblicare notizie quanto più accurate e veritiere possibile, avendo adottato a tal fine opportune policy e procedure, anche con riguardo alle biografie delle persone in vita che “devono essere scritte prudentemente tenendo conto della privacy del soggetto”;

la Fondazione ha tempestivamente provveduto a dare riscontro alla richiesta di esercizio dei diritti del reclamante presentata “in data 12 novembre 2021 e non, come erroneamente affermato dallo stesso, nel maggio 2021” con un primo riscontro del 22 novembre 2021, seguito, da un ulteriore riscontro del 18 dicembre con il quale ha fornito al reclamante “informazioni utili riguardo alla sua possibilità di intervento per ottenere la cancellazione o la deindicizzazione del contenuto dell’articolo presente sulla pagina web di Wikipedia”;

il reclamante “non ha fornito alcuna risposta, né risulta abbia seguito le indicazioni fornite dalla Fondazione”;

il Regolamento (UE) 2016/679 non trova applicazione nel caso di specie con riguardo al coinvolgimento della Fondazione, posto che l’art. 3, par. 2, ne prevede l’applicabilità al trattamento di dati personali di interessati che si trovano nell’UE, effettuati da un titolare che non è stabilito nell’Unione, laddove le attività riguardino, tra le altre cose, l’offerta di beni o la prestazione di servizi ai suddetti interessati, mentre nel caso di specie “il servizio offerto non è diretto, nello specifico, al soggetto interessato (i.e., XX) a cui i dati personali si riferiscono” ;

la mission della Fondazione “è quella di dare la possibilità alle persone di tutto il mondo di raccogliere e sviluppare contenuti educativi e diffonderli liberamente e a livello globale”;

la Fondazione “ospita le informazioni riguardanti XX perché è una persona degna di nota e non per fornire un servizio specifico al Reclamante stesso”;

le Linee-guida 3/2018 dell’EDPB, sull’ambito di applicazione territoriale del Regolamento, hanno chiarito che il presupposto di cui all’art. 3, par. 2, lett. a) “può dirsi sussistente qualora il titolare o il responsabile dimostrino la propria intenzione di offrire beni o servizi agli interessati presenti nel territorio dell’Unione”;

la natura dei servizi e l’assenza di uno stabilimento nell’UE, nonché la presenza del lamentato contenuto solo nelle lingue inglese e arabo-egiziano, “suggeriscono fortemente l’insussistenza dei requisiti di cui all’art. 3, paragrafo 2, lett. a) GDPR”;

in ogni caso, altri elementi impediscono l’applicabilità del Regolamento, essendo dubbia la sussistenza dei presupposti di cui all’art. 17, par. 1, lett. a) dello stesso, data l’attualità della vicenda giudiziaria e la gravità della stessa;

la pubblicazione delle informazioni che riguardano il reclamante rappresenta “l’esercizio legittimo dei diritti alla libertà di espressione e di informazione dei volontari e dei lettori”;

“la cancellazione dell’articolo dall’enciclopedia di Wikipedia” potrebbe “anche arrivare a compromettere seriamente la ricerca storica”; 

“anche le deroghe previste dal diritto nazionale possono potenzialmente sollevare la Fondazione dall’obbligo di cancellare o deindicizzare i contenuti in questione, come previsto ai sensi degli articoli 85 e 89 del GDPR”;

VISTE le successive repliche dell’11 giugno 2022 con le quali il reclamante ha preliminarmente rappresentato la tardività e, quindi, l’inammissibilità delle osservazioni di Wikimedia Foundation Inc. in quanto trasmesse oltre i 20 giorni previsti per fornire riscontro (nello specifico il ventunesimo giorno) e ha ribadito le proprie doglianze, contestando:

l’asserito richiamo al solo dato oggettivo della sua vicenda giudiziaria, data la reperibilità della notizia attraverso una pagina web dalla quale “è possibile visionare come appare sul motore di ricerca la presentazione wikipedia sul XX”, contenente, in particolare, un’erronea indicazione del suo nome (XX) e della qualificazione (giurista), nonché un’immagine a corredo, riferibile ad un soggetto diverso (il XX);

la corretta narrazione della vicenda, non dandosi atto della circostanza dell’avvenuto patteggiamento della pena;

l’asserita inapplicabilità del Regolamento al caso di specie, posto che “l’articolo 3 GDPR riflette l’intenzione del legislatore Europeo di garantire una protezione globale dei diritti degli interessati nell’UE e di stabilire standard minimi di protezione della circolazione globale dei dati per le società attive sui mercati dell’UE”,;

l’assenza di “ostacoli alla richiesta di deindicizzazione sul motore di ricerca, unico strumento che riesce a coniugare entrambe le esigenze: ricerca storica e tutela del diritto alla protezione dei dati dell’interessato”;

VISTA la successiva nota del 27 giugno 2022 con la quale la Fondazione ha replicato a quanto osservato dal reclamante precisando che:

la doglianza sulla tardività della risposta non riveste pregio, tenuto conto che anche le osservazioni del reclamante sono giunte in ritardo di diversi giorni;

i tre dati contestati: una foto, un’occupazione ed un nome, non sono correlati al reclamo originale, ma si riferiscono ad uno screenshot preso da www.google.it rispetto al quale la Fondazione non esercita alcun controllo;

sulla piattaforma Wikipedia l’articolo non riporta alcuna fotografia e si riferisce al reclamante solo come “XX”, con un riferimento alla relativa professione di ecclesiastico e giurista con un’esperienza anche nel diritto canonico;

l’articolo “adotta (…) misure specifiche per evitare qualsiasi confusione e/o ipotesi di omonimia con altre persone”;

in particolare, “metà della pagina Wikipedia è occupata da un cosiddetto riquadro di “controllo dell’autorità” che fornisce collegamenti a fonti informative riferibili alla stessa persona presenti in data base di terze parti, come la biblioteca digitale vaticana (…)’;

anche l’affermazione presente nel riquadro riassuntivo di Google, rispetto all’accusa di molestie sui minori e di possesso di materiale pedopornografico, riguarda una pubblicazione al di fuori del controllo della Fondazione; inoltre il link a Wikipedia, fornito nel riquadro di Google, consente agli utenti di pervenire alla notizia del patteggiamento;

a fronte dell’asserita applicazione diretta ed universale della normativa europea al caso di specie, il reclamante trascura le indicazioni fornite dall’EDPB nelle menzionate Linee-guida 3/2018 sulla necessità di valutare, caso per caso, l’effettiva applicabilità dell’art. 3 e la sottesa preoccupazione di non estenderne eccessivamente l’ambito di applicazione;

“la Fondazione accetta chiaramente che il GDPR si estenda oltre i confini degli Stati membri”, ad esempio, rispetto ai dati raccolti e trattati con riferimento agli utenti dell’Unione Europea, che creano un account su Wikipedia, per cui si è provveduto a nominare un rappresentante nell’UE, tanto che la richiesta di accesso del reclamante, ai sensi del Regolamento, nel novembre 2021, è stata tempestivamente verificata e riscontrata;

l’art. 3, par. 2 stabilisce una differenza tra i cittadini dell’UE che utilizzano un servizio e sono oggetto di marketing o monitoraggio e quelli che sono semplicemente “oggetto di discussione” su tale servizio per libera scelta degli autori dei contenuti;

il richiamo all’art. 17, par. 3, del Regolamento risulta determinante per il caso in oggetto “(…) incluse le disposizioni (…) che riflettono, tra l’altro, i requisiti dell’art. 85, GDPR”, considerando che la mancata disponibilità di un articolo negli strumenti di ricerca globali può rivelarsi dannosa per la ricerca stessa e rappresenta “una grave interferenza con i diritti degli utenti alla libertà di espressione e di informazione”;

VISTA la successiva comunicazione del 30 giugno 2022 con la quale il reclamante ha ribadito la sola irricevibilità delle ulteriori osservazioni formulate dalla Fondazione, richiamando il regolamento interno del Garante n. 1/2019 e la circostanza che lo stesso “nulla dice in merito alla possibilità di replicare alle osservazioni del reclamante”, stante la sottesa ratio della “necessità di interrompere il contraddittorio tra le parti (…)” e di evitare di giungere ad una “stasi della procedura.”;

VISTA la nota di questa Autorità del 28 aprile 2023 con la quale, ai sensi dell’art. 166, comma 5 del Codice, è stato comunicato a Wikimedia Foundation Inc. l’avvio del procedimento per l’eventuale adozione dei provvedimenti di cui all’art. 58, par. 2 del Regolamento e sono state, altresì, notificate le presunte violazioni dell’art. 5 par. 1, lett. a) del Regolamento, nonché degli artt. 17 par. 1, lett. c) e 21, par. 1 del Regolamento;

CONSIDERATO, in particolare, che rispetto alla contestata applicazione del Regolamento al caso di specie, nell’ambito di tale comunicazione è stato preliminarmente evidenziato che:

le caratteristiche e l’organizzazione che connota Wikipedia portano ad escludere che l’attività di quest’ultima possa considerarsi circoscritta al mero “ospitare le informazioni” inserite nelle relative pagine web dai c.d. volontari, posto che la stessa fornisce un servizio che non sembra limitarsi, come pacificamente ammesso, solo ai volontari;

Wikimedia Foundation Inc. ha peraltro dichiarato di accettare pienamente la normativa europea sulla protezione dei dati personali con riguardo agli utenti dell’UE che creano un account, tanto da aver provveduto a nominare un rappresentante nell’Unione, conformemente a quanto previsto dall’art. 27, par. 1 del Regolamento stesso;

dalla stessa rappresentazione fornita, in sede di riscontro alla richiesta di informazioni dell’Autorità, è emerso che, pur in assenza di uno stabilimento nell’Unione Europea, venga offerto comunque un servizio anche agli utenti dell’UE che fruiscono dei contenuti presenti nelle pagine web Wikipedia;

dalle linee-guida e procedure interne di Wikipedia, rispetto alle informazioni inserite dai volontari nelle pagine web traspare, infatti, un’organizzazione che fornisce, pure ai destinatari di tali contenuti, presenti nel territorio dell’Unione, un servizio di diffusione di informazioni, di cui viene regolata e verificata l’accuratezza e la veridicità, attraverso specifiche policy interne che si applicano anche rispetto all’inserimento di note biografiche riferite a persone in vita delle quali si richiama il rispetto alla relativa privacy;

lo stesso intervento della Fondazione, in termini di riscontro alle istanze di esercizio dei diritti del reclamante ed il rilascio a quest’ultimo di informazioni utili (sull’attività dei volontari, le linee-guida applicabili, i canali di contatto) per ottenere “la cancellazione o la deindicizzazione dell’articolo presente sulla pagina web” ad esso riferita, testimonia la presenza di un’organizzazione che svolge attivamente un’opera di intermediazione rispetto all’intervento dei volontari, anche successivamente alla pubblicazione dei contenuti;

gli elementi sopra riportati, in linea anche con le richiamate indicazioni di cui alle Linee-guida 3/2018 dell’EDPB, denotano proprio l’“intenzione” di offrire alle persone un servizio di informazione e divulgazione delle notizie, reso sulla base di un’azione costante di indirizzo e verifica di determinati standard qualitativi, volti a garantire attendibilità delle fonti e previsione di misure specifiche per evitare errori redazionali, ad esempio, come pure rappresentato, in ipotesi di confusione o omonimia;

nelle pagine Wikipedia risulta, difatti, il c.d. “riquadro di controllo dell’autorità” che offre collegamenti ad altre fonti informative riferibili alla persona delle cui informazioni si tratta;

l’intenzione di offrire servizi a persone fisiche di uno o più Paesi membri può peraltro essere desunta, valutato il concreto contesto di riferimento, secondo alcuni indicatori richiamati nelle citate Linee-guida e nello stesso Considerando 23 del Regolamento, quali la “creazione di versioni del sito web dedicate agli utenti di uno o più Stati membri” e la “menzione di clienti o utenti che si trovano nel territorio dell’Unione europea”;

anche la presa di posizione nel merito del reclamo, in ordine all’applicazione dell’art. 17 del Regolamento ed il richiamo al par. 3 di quest’ultimo a sostegno delle legittime finalità di conservazione e ricerca, come pure dell’art. 85 con riguardo alla necessaria coniugazione della protezione dei dati personali con il diritto alla libertà di espressione e informazione, offre una chiara conferma della piena accettazione della normativa europea nella fattispecie in esame;

VISTA la comunicazione del 16 maggio 2023 con cui Wikimedia Foundation Inc. ha chiesto una proroga dei termini per la presentazione dei propri scritti difensivi, stante la necessità di consultazione con i propri consulenti locali circa i profili di specificità relativi all’applicazione del Regolamento;

VISTA la successiva memoria difensiva del 12 giugno 2023, pervenuta il 21 luglio, con la quale la Fondazione ha ribadito la propria natura di organizzazione no-profit statunitense e richiesto, rispetto alle presunte violazioni collegate all’applicazione della normativa europea, la definizione del procedimento senza l’irrogazione di alcuna sanzione, tenuto conto che:

non tutte le attività di trattamento di dati personali di Wikimedia Foundation Inc. rientrano nell’ambito applicativo del Regolamento;

i dati personali sono potenzialmente trattati nell’ambito di tre distinti scenari, definibili come “reading”, ovvero lettura di articoli che richiede potenzialmente il trattamento di una minima quantità di dati personali dei lettori/utenti (ad es. pagina web richiesta); “writing”, ovvero  redazione di articoli che richiede potenzialmente il trattamento dei dati personali degli autori (ad es. conservazione per fini di tracciamento/amministrativi) e “content hosting” che consente di ospitare contenuti generati dagli utenti su argomenti riferibili sia a persone viventi che a persone decedute;

il reclamo di XX ha ad oggetto un contenuto in lingua inglese offerto alla comunità anglofona del mondo e non riguarda la cancellazione dei dati personali connessi alla sua attività di lettura dell’enciclopedia, ma piuttosto la cessazione o modifica dei contenuti ospitati;

l’attività di ospitare informazioni non rappresenta una offerta di beni o servizi ai fini della richiamata applicazione della normativa europea;

il content hosting “non è un servizio offerto (…) a coloro i cui dati sono oggetto di trattamento”, come pure “consentire ai membri della collettività di scrivere un argomento di loro interesse” non si configura “come una offerta di servizi ai soggetti viventi descritti nei suoi articoli”;

Wikipedia non è assimilabile alla pagina di un profilo Linkedin o ad una pubblicità su un giornale e gli articoli enciclopedici non costituiscono servizi offerti alle persone in essi descritte;

il riscontro alla richiesta di accesso del reclamante “verteva sulla (…) incapacità a trovare un account che lo riguardasse”, ritenendo che si trattasse di un utente nel contesto del richiamato scenario di “writing”;

la mera disponibilità degli articoli di Wikipedia per la collettività “è chiaramente insufficiente a soddisfare i requisiti di cui all’art. 3, par. 2, lett. a) del Regolamento” dovendo infatti sussistere almeno “(…) un qualche elemento di targeting geografico degli interessati (…) che qui non è presente”;

Wikipedia è inoltre organizzata per lingua e non per paese e ciascuna edizione in lingua si ritiene al servizio di persone a livello globale;

sebbene Wikipedia contenga informazioni riguardanti XX, tale scelta “non intende (…) rappresentare o soddisfare un interesse puramente locale”, a tal riguardo i relativi articoli sono presenti solo in inglese e arabo-egiziano, per cui “non è possibile sostenere che il content hosting sia indirizzato al XX”;

l’asserita intenzione di offrire alle persone un servizio di informazione e divulgazione di notizie, non offre indicazioni “sulle modalità con le quali la disponibilità globale di tali informazioni faccia emergere un unico targeting di lettori dell’UE”;

il “riquadro di controllo dell’autorità” è creato dai volontari e non è monitorato né controllato dalla Fondazione, né gli standard di verifica e di affidabilità provano l’”intenzione di rivolgersi a qualcuno in particolare in quanto vengono creati e utilizzati dalla comunità di utenti”;

sono gli autori degli articoli che “fungono da moderatori volontari e offrono costante direzione alle informazioni disponibili su Wikipedia”;

la richiesta di cancellazione o deindicizzazione di XX è stata gestita separatamente e per mezzo del servizio di posta elettronica legal@wikimedia.org, deputato a ricevere istanze da persone provenienti da tutto il mondo, cui possono applicarsi normative con diversa rilevanza territoriale come, ad esempio, rispetto a richieste di cancellazione di contenuti diffamatori, anche l’EU Digital Services Act;

la risposta alla richiesta di cancellazione avanzata dal reclamante “non ha tenuto particolarmente in considerazione il Regolamento” e, di fatto, non è stata svolta alcuna attività di intermediazione da parte della Fondazione, ma si è piuttosto incoraggiato il reclamante stesso a procedere mediante i meccanismi istituiti dalla comunità dei volontari;

seppure si ritenesse applicabile il Regolamento la cancellazione o deindicizzazione risultano inappropriate in quanto non può dirsi che il decorso del tempo abbia fatto venir meno “il significativo interesse pubblico” dell’articolo, tenuto conto del contesto generale di riferimento e dello stretto collegamento con la questione degli abusi sessuali nella Chiesa Cattolica, nonché della carica di particolare prestigio ricoperta dal reclamante quale XX;

XX non ha in alcun modo fornito spiegazioni in merito alla asserita circostanza che la narrazione dei fatti nei quali è stato coinvolto sia stata travisatala rimozione delle informazioni relative al reclamante che soddisfano “l’esigenza legittima dei volontari e dei lettori di esercitare i propri diritti di libertà di espressione e di informazione” può arrivare a “compromettere gravemente la ricerca storica”;

la Fondazione può analogamente avvalersi delle deroghe previste dal diritto nazionale al fine di sottrarsi all’obbligo di cancellare o deindicizzare i contenuti in questione in applicazione dell’art. 85 del Regolamento e dell’art. 136, comma 1, lett. c) del Codice;

il principio di essenzialità dell’informazione già sancito dall’art. 137, comma 3 del Codice e specificato dall’art. 6, comma 1 delle Regole Deontologiche trova piena applicazione nel caso di specie, stante la rilevanza pubblica della notizia riportata nell’articolo di Wikipedia;

i dati personali di XX sono stati trattati nel pieno rispetto dei principi di liceità e correttezza di cui all’art. 5, par. 1, lett. a) del Regolamento;

le informazioni che lo riguardano non sono distorte o lesive dell’onore e della reputazione e riassumono fatti originariamente pubblicati da altre fonti pubblicamente accessibili;

un migliore equilibrio sarebbe raggiunto mediante la rettifica o il completamento, ove necessario, delle informazioni piuttosto che la relativa cancellazione;

VISTO il verbale dell’audizione svoltasi il 25 settembre 2023 nel corso della quale Wikimedia Foundation Inc., oltre a richiamare gli argomenti dedotti nella memoria già depositata, ha inteso precisare di essere un host neutrale e che:

un intervento sui contenuti, scavalcando le decisioni della comunità, potrebbe comportare un rischio di censura sui contenuti stessi;

le vecchie versioni di articoli che si intende deindicizzare all’interno dell’enciclopedia sono contrassegnate dal metatag “NOINDEX” dal software di Wikipedia;

la Fondazione non ha alcun potere di deindicizzazione rispetto ai singoli Paesi, in quanto un eventuale intervento potrebbe avvenire solo a livello globale e non per aree geografiche all’interno della sola UE;

XX dovrebbe, di conseguenza, rivolgere le proprie istanze solo al motore di ricerca Google in ragione della possibilità di filtrare i risultati in base a determinate chiavi di ricerca o per determinati territori;

un’eventuale deindicizzazione del solo link riportato nel reclamo non escluderebbe che “ove in futuro i motori di ricerca indicizzassero altre pagine che richiamano il nominativo di XX, anche a tali contenuti dovrebbe potersi estendere un’eventuale richiesta di deindicizzazione (…) come quella in esame”;

più appropriato sarebbe che il reclamante formulasse una richiesta di rettifica direttamente alla comunità dei volontari di Wikipedia e, laddove in possesso di elementi probatori volti a comprovare una diversa prospettazione dei fatti, si rivolgesse alla fonte originaria della notizia, per poi notificare la modifica alla comunità che deve essere comunque coinvolta, direttamente o attraverso la Fondazione;

“le comunità delle diverse versioni di Wikipedia sono libere di prendere le proprie decisioni su cosa debba essere considerato una fonte affidabile”, mentre con riguardo alla trasparenza di quest’ultima è il link che ad essa rinvia, presente nei contenuti pubblicati, che costituisce un elemento di verifica della relativa attendibilità;

CONSIDERATO che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi, ne risponde ai sensi dell’art. 168 del Codice (“Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”);

CONSIDERATO preliminarmente che, nel caso di specie, deve ribadirsi la piena applicabilità del Regolamento, posto che nessuna delle argomentazioni fornite dalla Fondazione può ritenersi idonea ad escludere il rispetto della relativa normativa da parte di quest’ultima, non rilevando, elementi idonei a comprovare una sua asserita estraneità rispetto all’attività svolte dalle comunità di volontari di Wikipedia;

RIBADITO, in particolare, che la disponibilità e consultabilità, da parte di chiunque, degli articoli enciclopedici presenti sul sito web Wikipedia che costituisce “un progetto creato da Wikimedia Foundation”, proprio nel contesto delle attività svolte dalla Fondazione, concretizzano l’offerta di un servizio anche agli interessati nell’Unione, ai sensi del richiamato art. 3, comma 2, lett. a) del Regolamento, tenuto conto di quell’elemento di “intenzionalità”, pure evidenziato nelle Linee-guida 3/2018 dell’EDPB, che emerge anche dagli indicatori sopra richiamati (creazione di più versioni del sito Wikipedia dedicate agli utenti di uno o più Stati membri; menzione di clienti o utenti che si trovano nell’Unione);

CONSIDERATO che il termine “servizio” di cui al menzionato art. 3 è generalmente interpretato in senso ampio, anche se non trova una specifica definizione  nel Regolamento e che risulta evidente che Wikimedia Foundation Inc. offre, attraverso il sito Wikipedia, servizi di informazione, su una grande varietà di argomenti, rivolti anche al mercato europeo, a prescindere dalla circostanza che essi siano gratuiti [cfr. anche la decisione della Data Protection Authority austriaca del 9 gennaio 2023 (DSB (Austria) - procedura DSB-D130.217)];

VALUTATO che la componente decisionale, idonea a definire il ruolo di titolarità, o quanto meno di contitolarità del trattamento, in capo a Wikimedia Foundation Inc., ai sensi dell’art. 4, par. 7 del Regolamento, può peraltro agevolmente desumersi sia dalle finalità di sostegno al progetto Wikipedia di diffusione delle informazioni sia di fornitura e sviluppo dell’infrastruttura tecnica e di supporto legale, definite dalla stessa Fondazione, come pure di raccolta di fondi, svolta direttamente o attraverso le varie associazioni che operano a livello di singoli Paesi (come ad esempio Wikimedia Italia che, tra l’altro, sostiene  progetti come Wikipedia);

TENUTO CONTO, quindi, del ruolo strategico che Wikimedia Foundation Inc. svolge nel contesto digitale anche attraverso l’attività di collegamento tra i volontari che inseriscono i contenuti offerti su Wikipedia e gli utenti della rete che di tali contenuti fruiscono;

CONSIDERATO che la rilevanza attiva delle piattaforme digitali e dei motori di ricerca,che offrono contenuti on-line ed i rischi connessi a tali attività per i diritti fondamentali delle persone è ribadita anche nella richiamata e recente normativa di cui al Regolamento (UE) 2022/2065 sui servizi digitali approvato il 5 luglio 2022 (DSA);

RILEVATO, altresì che, proprio ai sensi di tale ultima normativa, “piattaforme digitali” sono espressamente considerati “i fornitori di un servizio di memorizzazione di informazioni che, su richiesta di un destinatario del servizio, memorizza e diffonde informazioni al pubblico” (cfr. art. 3, par. 1, lett. i) del Regolamento (UE) 2022/2065);

CONSIDERATO che Wikipedia è stata inserita dalla stessa Commissione UE nell’elenco già stilato il 25 aprile 2023 delle grandi piattaforme on-line tenute al rispetto degli obblighi previsti dal DSA;

RILEVATO pertanto, nel caso specifico, che – come più volte sostenuto dall’Autorità – al fine di contemperare i diritti della persona (in particolare il diritto alla riservatezza) con la libertà di manifestazione del pensiero, la disciplina in materia di protezione dei dati personali prevede specifiche garanzie e cautele nel caso di trattamenti effettuati per finalità giornalistiche e altre manifestazioni del pensiero, confermando la loro liceità, anche laddove essi si svolgano senza il consenso degli interessati, purché avvengano nel rispetto dei diritti, delle libertà fondamentali e della dignità delle persone alle quali si riferiscono i dati trattati (cfr. artt. 136 e ss. e art. 102, comma 2, lett. a), del Codice) e sempreché si svolgano nel rispetto del principio dell’essenzialità dell'informazione riguardo a fatti di interesse pubblico (art. 6 delle “Regole deontologiche relative al trattamento di dati personali nell’esercizio dell’attività giornalistica”, pubblicate in G. U. 4 gennaio 2019, n. 3, doc. web n. 9067692);

RILEVATO in particolare che, con riguardo alla richiesta di cancellazione dell’articolo ancora presente nella pagina web di Wikipedia:

il trattamento dei dati personali dell’interessato risulta essere stato effettuato, all’epoca della pubblicazione della notizia, nell’esercizio del diritto di libera manifestazione del pensiero e rispondente all’interesse del pubblico a conoscere le vicende riportate all’interno del relativo articolo che, per tale motivo, non può essere ritenuto illecito;

anche il trattamento effettuato attraverso la conservazione del predetto articolo all’interno dell’archivio del sito web deve ritenersi rispondente ad una legittima finalità di archiviazione di interesse storico-documentaristico che risulta compatibile con essa, come espressamente previsto dall’art. 5, par. 1, lett. b), del Regolamento che infatti contempla specifici limiti alla esercitabilità del diritto di cancellazione con riguardo a tali ipotesi (art. 17, par. 3, lett. d), del Regolamento);

l’archivio di un sito web al pari di quello on-line di un giornale, così come l’equivalente cartaceo, presenta in sé un importante funzione ai fini della ricostruzione storica degli eventi che si sono verificati nel tempo, specie laddove si tratti di vicende riguardanti persone che hanno svolto e/o svolgono un determinato ruolo nella vita collettiva (cfr. in merito Cass. Civ. Sez. III n. 5525 del 5 aprile 2012 e Cass. Civ. Sez. I n. 7559 del 27 marzo 2020);

la protezione normativa dell’archivio storico giornalistico ha formato oggetto di disciplina anche nell’ambito del Regolamento europeo (cfr. art. 89, par. 1, del Regolamento);

RITENUTO, quindi, in considerazione di quanto sopra esposto, di dover considerare infondata la richiesta di cancellazione dell’articolo indicato nell’atto di reclamo e pubblicato nella pagina web di Wikipedia reperibile al menzionato link  https://...;

RILEVATO, invece, con riguardo alla diversa richiesta di deindicizzazione del suddetto articolo, ancora reperibile on-line attraverso i motori di ricerca esterni al sito web di Wikipedia, che:

la vicenda giudiziaria che ha coinvolto XX risale al 2017 e si è conclusa nel 2018 con l’applicazione della pena su richiesta delle parti, per effetto della quale l’interessato è stato condannato ad un anno e due mesi di reclusione con il beneficio della sospensione condizionale della pena;

tale beneficio è stato esteso anche alla pena accessoria dell’interdizione perpetua da qualunque incarico nelle scuole di ogni ordine e grado, nonché da ogni ufficio o servizio in istituzioni o strutture pubbliche o private frequentate prevalentemente da minori;

con riguardo a tale procedimento l’art. 24, comma 1, lett. e), del d.P.R. del 14 novembre 2002, n. 313, come modificato dal d.lgs. 2 ottobre 2018, n. 122 – recante il “Testo unico delle disposizioni legislative e regolamentari in materia di casellario giudiziale, di casellario giudiziale europeo, di anagrafe delle sanzioni amministrative dipendenti da reato e dei relativi carichi pendenti” dispone l’esclusione dall’iscrizione nel certificato del casellario giudiziale del provvedimento di applicazione della pena su richiesta delle parti laddove quest’ultima non sia superiore a due anni;

il beneficio in tal modo riconosciuto dall’ordinamento, finalizzato a limitare la conoscibilità della condanna subita da un determinato soggetto, verrebbe, di fatto, vanificato ove fosse consentito al titolare di trattare ulteriormente i dati del reclamante attraverso la reperibilità in rete degli stessi, pregiudicando così la sfera di riservatezza dell’interessato;

non sembrano pertanto sussistere, allo stato attuale, specifiche ragioni di interesse pubblico che giustifichino una perdurante reperibilità dell’articolo in questione al di fuori dell’archivio del sito;

RITENUTO che rispetto ai profili di asserita violazione della normativa circa il mancato riscontro all’esercizio dei diritti dell’interessato, non sussistono i presupposti per l’adozione di provvedimenti da parte dell’Autorità, stante la diversa e non contestata prospettazione dei fatti successivamente fornita e comprovata da Wikimedia Foundation Inc.;

RITENUTO, invece, per quanto sopra esposto di dover considerare il reclamo fondato, con riguardo alla richiesta di deindicizzazione dell’articolo dai motori di ricerca esterni al sito web di Wikipedia;

RITENUTO, pertanto, quale misura a tutela dei diritti dell’interessato, di dover ordinare, ai sensi dell’art. 58, par. 2, lett. c) e g), del Regolamento, a Wikimedia Foundation Inc., di adottare misure tecniche idonee ad inibire l’indicizzazione dell’articolo, reperibile attraverso il link indicato nell’atto introduttivo del procedimento, tramite motori di ricerca esterni al sito medesimo, quali ad esempio, come espressamente indicato dalla stessa Fondazione, l’applicazione del metatag “NOINDEX”;

RITENUTO, ai sensi dell’art. 17 del regolamento del Garante n. 1/2019, che ricorrano i presupposti per procedere all’annotazione nel registro interno dell’Autorità di cui all’art. 57, par. 1, lett. u), del Regolamento, relativamente alle misure adottate nel caso di specie nei confronti di Wikimedia Foundation Inc. in conformità all’art. 58, par. 2, del Regolamento medesimo;

VISTA la documentazione in atti;

VISTE le osservazioni formulate ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE l’avv. Guido Scorza;

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi dell’art. 57, par. 1 lett. f), del Regolamento:

a) dichiara il reclamo infondato nei confronti di Wikimedia Foundation Inc. relativamente alla richiesta di cancellazione dell’articolo oggetto di reclamo reperibile nella pagina di Wikipedia al link https://..., come indicato nell’atto introduttivo del procedimento;

b) dichiara il reclamo fondato ed ordina a Wikimedia Foundation Inc., ai sensi dell’art. 58, par. 2, lett. c) e g) del Regolamento, l’adozione di misure tecniche idonee ad inibire l’indicizzazione dell’articolo, indicato nell’atto introduttivo del procedimento, tramite motori di ricerca esterni al sito Wikipedia, quali, ad esempio, l’apposizione del metatag “NOINDEX” come sopra richiamato;

c) prende altresì atto di quanto sopra rappresentato, rispetto ai profili di asserita violazione della normativa circa il mancato riscontro all’esercizio dei diritti dell’interessato e ritiene, pertanto, che non vi siano i presupposti per l’adozione di provvedimenti da parte dell’Autorità;

e) dispone, ai sensi dell’art, 17 del regolamento del Garante n. 1/2019, l’annotazione nel registro interno dell’Autorità di cui all’art. 57, par. 1, lett. u), del Regolamento, relativamente alle misure adottate nel caso di specie nei confronti di Wikimedia Foundation Inc. in conformità all’art. 58, par. 2, del Regolamento medesimo.

Ai sensi dell’art. 157 del Codice, invita Wikimedia Foundation Inc. a comunicare, entro quaranta giorni dalla data di ricezione del presente provvedimento, quali iniziative siano state intraprese al fine di dare attuazione a quanto ivi prescritto. Si ricorda che il mancato riscontro alla richiesta di cui sopra è punito con la sanzione amministrativa di cui all’art. 166 del Codice.

Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d. lg. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato, alternativamente, presso il tribunale del luogo ove risiede o ha sede il titolare del trattamento ovvero presso quello del luogo di residenza dell’interessato entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 9 maggio 2024

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL SEGRETARIO GENERALE
Mattei