Edoardo Rossi, Università di Urbino

Il 24 settembre 2019, con due sentenze emesse nei casi C-136/17, GC e altri c. Commission nationale de l’informatique et des libertés (CNIL) e C-507/17, Google LLC c. Commission nationale de l’informatique et des libertés (CNIL), la Corte di giustizia è tornata a pronunciarsi sul «diritto all’oblio», a oltre cinque anni di distanza dalla sentenza Google Spain del 13 maggio 2014 (C-131/12), con la quale, in buona sostanza, la Corte aveva stabilito che, in seguito a specifica richiesta di cancellazione da parte degli interessati, i gestori dei motori di ricerca sono obbligati a eliminare dall’elenco dei risultati di ricerca i link verso pagine web, pubblicate da terzi, contenenti informazioni sugli interessati, anche qualora tali informazioni non vengano o non possano essere cancellate dalle stesse pagine web (sul caso v. il contributo su SIDIBlog di Natoli, oltre ai commenti, tra gli innumerevoli comparsi in dottrina, di Lynskey, Crowther, Valvo, Castellaneta, Kranenborg,Spiecker, Stute).

Le due pronunce sono state anticipate dalle conclusioni dell’Avvocato generale Szpunar, pubblicate per entrambi i casi il 10 gennaio 2019 (v. qui e qui).

Alla base del primo dei due casi, C-136/17, si trovano i rifiuti di Google LLC, gestore dell’omonimo motore di ricerca, di cancellare alcuni link verso pagine web di terzi, i quali comparivano nell’elenco dei risultati a seguito di ricerche effettuate a partire dai nomi dei soggetti coinvolti.

I link oggetto di richiesta di cancellazione rimandavano a fotomontaggi satirici e ad articoli di giornale relativi a casi di cronaca nera, inchieste giudiziarie e condanne penali. Secondo l’art. 22 della direttiva 95/46/CE (ora sostituita dal regolamento UE 679/2016) i ricorrenti si rivolgevano all’autorità nazionale di controllo francese, la Commission nationale de l’informatique et des libertés (CNIL), la quale, tuttavia, archiviava i casi, costringendo i ricorrenti a proporre ricorso davanti ai tribunali francesi. Questi ultimi decidevano di sollevare alcune questioni pregiudiziali incentrate essenzialmente sulla compatibilità dei rifiuti di cancellazione di Google LLC con il «diritto all’oblio» degli interessati.

Il principale elemento di novità di questo caso rispetto alla sentenza Google Spain riguarda le particolari categorie di dati personali contenuti nelle pagine web indicizzate da Google. Alla Corte è stato chiesto, innanzitutto, se le attività del gestore di un motore di ricerca, consistenti nell’individuare informazioni pubblicate sul web da terzi e nell’indicizzarle automaticamente secondo le preferenze degli utenti, costituiscano un «trattamento di dati personali», che viene definito dall’art. 2 lett. b, della direttiva come «qualsiasi operazione o insieme di operazioni compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali», e quindi se al gestore del motore di ricerca vadano imposti i medesimi obblighi che spettano a qualunque «responsabile del trattamento». Questi, ai sensi dell’art. 2, lett. d, della direttiva è «la persona fisica o giuridica, l’autorità pubblica, il servizio o qualsiasi altro organismo che, da solo o insieme ad altri, determina le finalità e gli strumenti del trattamento di dati personali» ed è tenuto a garantire che i dati personali siano trattati in conformità ai principi posti dall’art. 6 (trattamento leale e lecito, che persegua finalità determinate, esplicite e legittime, in maniera adeguata, pertinente e proporzionata; garanzia di esattezza e aggiornamento dei dati e di cancellazione o rettifica degli stessi qualora inesatti; conservazione dei dati per una durata congrua e proporzionata).

Se le attività del gestore di un motore di ricerca costituissero un «trattamento di dati personali», gli Stati membri dovrebbero vietare, come imposto dall’art. 8, par. 1, della Direttiva, tutti i trattamenti di dati sensibili (origine razziale o etnica, opinioni politiche, convinzioni religiose o filosofiche, appartenenza sindacale, stato di salute e vita sessuale), fatte salve le deroghe previste dal par. 2 dell’art. 8 (v. infra), mentre, per quanto concerne i dati relativi a infrazioni o condanne penali, essi avrebbero potuto essere trattati solo sotto il controllo dell’autorità pubblica, fornendo opportune garanzie specifiche (art. 8, par. 5, della direttiva).

Al riguardo la Corte ha chiarito che le attività dei gestori dei motori di ricerca costituiscono «trattamenti di dati personali» e quindi ogni gestore di motore di ricerca deve rispettare le prescrizioni della direttiva in quanto «responsabile del trattamento», ancorché «nell’ambito delle sue responsabilità, competenze e possibilità» (punti 37 e 43 della sentenza). Quest’ultima specificazione, già formulata nella sentenza Google Spain, punti 38 e 83, si è resa necessaria in ragione delle specificità del trattamento effettuato dal gestore del motore di ricerca – ossia la sola indicizzazione dei risultati e non la pubblicazione dei contenuti – e tenendo conto, come ha osservato l’Avvocato generale al punto 44 delle conclusioni, che gli odierni motori di ricerca non esistevano al momento dell’approvazione della direttiva e, pertanto, le relative disposizioni sugli obblighi dei responsabili del trattamento non possono essere loro applicate in maniera letterale.

Dunque, pur imponendo la Corte ai gestori dei motori di ricerca i medesimi obblighi previsti per tutti gli altri responsabili del trattamento al fine di scongiurare gravi ingerenze nell’esercizio dei diritti garantiti dagli artt. 7 e 8 della Carta dei diritti fondamentali dell’Unione europea, essa ha riconosciuto che le peculiarità del trattamento effettuato dai gestori consentono di imporre loro soltanto l’obbligo di verifica a posteriori, sotto la vigilanza delle competenti autorità nazionali, in seguito a una espressa richiesta di cancellazione proveniente dall’interessato. Come notato anche dall’Avvocato generale, è infatti difficilmente ipotizzabile che un gestore di un motore di ricerca possa essere in grado di rimuovere automaticamente ed ex ante tutti i link alle pagine di terzi che contengano quelle particolari categorie di dati sensibili disciplinate dall’art. 8, par. 1 e 5 della direttiva (v. punto 54 delle conclusioni).

Un ulteriore aspetto problematico affrontato dalla Corte nella sentenza C-136/17 riguarda le modalità con le quali deve essere effettuata la deindicizzazione da parte del gestore del motore di ricerca. La Corte ha stabilito che, in linea di principio, quando si tratta di categorie particolari di dati – come quelli dei par. 1 e 5 dell’art. 8 della direttiva 95/46/CE – il diritto alla protezione dei dati personali e alla vita privata, tutelati rispettivamente dagli artt. 7 e 8 della Carta dei diritti fondamentali, prevalgono sulla libertà di espressione garantita dall’art. 11 della Carta stessa. Il gestore del motore di ricerca è quindi tenuto ad accogliere le richieste di cancellazione dei dati, facendo tuttavia salve le deroghe previste dall’art. 8, par. 2, che comprendono: il consenso esplicito al trattamento da parte della persona interessata (lett. a); la necessità del trattamento per l’assolvimento di obblighi del responsabile del trattamento in materia di diritto del lavoro (lett. b) o per la salvaguardia di un interesse vitale dell’interessato o di un terzo (lett. c); l’esecuzione di trattamenti da parte un organismo, senza scopo di lucro, a carattere politico, filosofico, religioso o sindacale, riguardanti unicamente i dati dei membri o delle persone che abbiano contatti regolari con l’organismo a motivo del suo oggetto (lett. d); nonché i trattamenti riguardanti dati personali resi manifestamente pubblici dall’interessato o necessari per costituire, esercitare o difendere un diritto in sede giudiziaria (lett. e).

Tra queste, le due deroghe potenzialmente rilevanti sono quelle previste dalla lett. a (consenso dell’interessato) e dalla lett. e (dati resi manifestamente pubblici dall’interessato). Tuttavia, l’operatività della prima di tali deroghe – il consenso dell’interessato – sembra difficilmente ipotizzabile, stante la necessità che il consenso sia specifico (art. 2, lett. h della direttiva e art. 4, par. 11, del  regolamento 679), dovendo cioè vertere specificamente sul trattamento effettuato dal motore di ricerca, consentendo l’inclusione nell’elenco dei risultati di ricerca (punto 62 della sentenza). Più frequenti, invece, sembrano i casi in cui i dati siano stati resi pubblici dall’interessato: in questo caso, tuttavia, pur ricorrendo la deroga ex art. 8, par. 2, lett. e, l’interessato mantiene comunque il diritto di opporsi al trattamento, che gli permetterebbe di ottenere la deindicizzazione (punti 63-65 della sentenza), «in qualsiasi momento per motivi preminenti e legittimi, derivanti dalla sua situazione particolare» (art. 14, par. 1, lett. a della direttiva).

Il principio secondo cui a prevalere sono gli artt. 7 e 8 della Carta dei diritti fondamentali deve comunque essere contemperato con il diritto degli utenti di accedere all’informazione (art. 8, par. 4, della direttiva e art. 9, par. 3, lett. g del regolamento). La Corte ha infatti imposto al gestore, pur riconoscendo in via generale la prevalenza della tutela della riservatezza, l’obbligo di trovare un equilibrio con la libertà di informazione degli utenti, tenendo conto degli elementi pertinenti della fattispecie.

In altri termini, il gestore dovrà comunque verificare se l’inserimento dei link tra i risultati della ricerca si presenta come strettamente necessario per proteggere la libertà di informazione degli utenti di Internet potenzialmente interessati ad accedere alle informazioni, valutando la natura dell’informazione, la gravità dell’ingerenza nella vita privata (anche in ragione del carattere sensibile dei dati) e l’interesse pubblico a disporre dell’informazione, il quale potrebbe cambiare a seconda del ruolo rivestito dal titolare dei dati nella vita pubblica (v. Van Calster).

La Corte, così, pur senza richiamarle espressamente e senza utilizzare le medesime argomentazioni, sembra aver recepito il senso delle indicazioni dell’Avvocato generale (punti 86 e 92 delle conclusioni), il quale aveva dichiarato di non trovarsi d’accordo con la posizione emersa nella sentenza Google Spain (punto 85). In essa, i giudici di Lussemburgo avevano ritenuto irrilevante l’art. 9 della direttiva – che concerne possibili esenzioni o deroghe per i trattamenti effettuati a scopi giornalistici – in quanto l’attività di un motore di ricerca non avrebbe carattere giornalistico o di informazione. Nella sentenza Google Spain (punto 97), la Corte si era limitata a ritenere potenzialmente giustificabili le ingerenze nella vita privata di soggetti con un particolare ruolo nella vita pubblica, prevedendo solo in tale ipotesi un possibile bilanciamento con l’interesse del pubblico all’accesso alle informazioni. Diversamente, l’Avvocato generale ha ritenuto l’attività del motore di ricerca, qualora finalizzata a individuare pagine web con contenuti di informazione, equiparabile all’attività giornalistica e, dunque, manifestazione della libertà di espressione protetta dall’art. 11 della Carta dei diritti fondamentali.

Nella parte finale della pronuncia C-136/17, la Corte si è concentrata specificamente sulle modalità di deindicizzazione dei «dati relativi a infrazioni o condanne penali» (art. 8, par. 5), chiarendo che le informazioni sull’apertura di inchieste giudiziarie o su indagini penali vanno ricomprese nel campo di applicazione della norma, a prescindere dall’esistenza di una condanna. Tali informazioni devono quindi essere trattate, come previsto dall’art. 8, par. 5, sotto il controllo dell’autorità pubblica e con specifiche garanzie, anche nell’ambito del trattamento effettuato dal gestore del motore di ricerca e anche nel caso in cui la commissione del reato non sia stata dimostrata (punti 72-73 della sentenza e punto 100 delle conclusioni).

Anche in questo caso, tuttavia, il gestore del motore di ricerca, prima di procedere alla deindicizzazione, deve verificare se l’inserimento dei link tra i risultati sia necessario per l’esercizio della libertà di informazione. Al riguardo, particolarmente rilevante appare quanto affermato dalla Corte, sebbene in maniera forse eccessivamente sbrigativa, al punto 78 della sentenza. Essa ha stabilito che anche se il gestore decidesse di mantenere il link ritenendo prevalente l’interesse pubblico a disporre dell’informazione, esso deve riorganizzare l’elenco dei risultati in modo da fornire all’utente un’immagine complessiva che risponda alla situazione giudiziaria attuale. Devono quindi comparire prima le informazioni più recenti, in modo tale da non falsare la percezione degli utenti dei motori di ricerca. Si tratta, in altri termini, di un nuovo obbligo imposto ai gestori dei motori di ricerca, i quali non potranno evitare di conformarvisi e di tenerne conto al fine di adeguarsi alle statuizioni della Corte di giustizia (cfr. Soro).

Nel secondo dei due casi, C-507/17 (sul quale v. Gstrein e Pollicino), la Corte è stata chiamata a precisare la portata territoriale dell’obbligo di cancellazione, chiarendo se la deindicizzazione da parte dei gestori di motori di ricerca operi solo al livello nazionale o europeo, oppure se si estenda a livello globale.

Le questioni pregiudiziali esaminate dalla Corte sono state sollevate nell’ambito di un procedimento giudiziario che ha visto contrapposti Google LLC e la CNIL, dopo che quest’ultima aveva irrogato a Google LLC una sanzione per non essersi conformata pienamente all’intimazione di cancellare da tutte le estensioni del nome di dominio del motore di ricerca alcuni link che comparivano nell’elenco dei risultati ottenuto in seguito alla ricerca effettuata a partire dal nome di una persona fisica.

In particolare, Google LLC si era limitata a cancellare i link soltanto dai risultati ottenuti sulle versioni del motore di ricerca con domini corrispondenti agli Stati membri dell’Unione. A questo riguardo, un aspetto particolarmente problematico è costituito dal fatto che anche se Google tende a reindirizzare gli utenti verso le versioni nazionali del motore di ricerca corrispondente all’indirizzo IP dell’utente in realtà tutte le versioni sono accessibili da qualunque Stato membro.

Su questo profilo si innestano le contestazioni di Google LLC che nella cancellazione globale, senza limitazioni geografiche ai soli Stati membri dell’Unione, ha individuato «un danno sproporzionato alle libertà d’espressione, d’informazione, di comunicazione e di stampa, garantite, in particolare, dall’art. 11 della Carta dei diritti fondamentali dell’Unione europea» (punto 27 delle conclusioni dell’Avvocato generale).

Con la prima delle tre questioni pregiudiziali, i giudici francesi hanno richiesto alla Corte di chiarire se il diritto all’oblio debba estendersi a tutti gli Stati dai quali può essere effettuata la ricerca (e dunque anche al di fuori dello spazio giuridico dell’Unione).

Con la seconda questione, invece, è stato richiesto di chiarire se dall’accoglimento di una domanda di cancellazione discenda l’obbligo di cancellazione a carico del gestore del motore di ricerca soltanto per la versione corrispondente allo Stato membro nel quale è stata effettuata la domanda di cancellazione oppure se esso si estenda anche alle versioni nazionali di tutti gli Stati membri.

Inoltre, con la terza questione, i giudici hanno richiesto chiarimenti sull’obbligo per il gestore di utilizzare il «blocco geografico» per impedire che da un indirizzo IP localizzato nello Stato di residenza dell’interessato vengano visualizzati i link controversi oppure, in aggiunta, se l’obbligo di blocco geografico debba estendersi a tutti gli Stati membri, indipendentemente dal nome di dominio utilizzato dall’utente che effettua la ricerca.

La Corte, trattando congiuntamente le tre questioni, ha preliminarmente osservato che il diritto alla protezione dei dati personali non si pone in termini assoluti, ma deve essere contemperato, nel rispetto del principio di proporzionalità, con altri diritti fondamentali, e in particolar modo con la libertà di accesso alle informazioni (punto 60 della sentenza).

Tale bilanciamento è stato operato dal legislatore dell’Unione in relazione ai dati sensibili (v. supra), ma non per quanto concerne la portata territoriale della deindicizzazione al di fuori dell’Unione. Questa circostanza non esclude che negli ordinamenti di Stati terzi vengano trovati punti di equilibrio diversi rispetto ai parametri europei nel contemperamento tra tutela dei dati personali e accesso alle informazioni.

Contrariamente a quanto sembrava emergere dalle Guidelines del 26 novembre 2014 del Gruppo ex art. 29 per l’esecuzione della sentenza Google Spain, le quali avevano previsto che «in any case de-listing should also be effective on all relevant domains, including .com» (v. punto 7 delle Guidelines), secondo la Corte anche dal tenore letterale delle disposizioni sul diritto all’oblio (artt. 12, lett. b, e 14, par. 1, lett. a della direttiva ed ora art. 17 del regolamento) non si può ricavare la volontà del legislatore di estendere la portata della deindicizzazione anche alle versioni del motore di ricerca diverse da quelle corrispondenti agli Stati membri (punti 64-65 della sentenza).

Ciò posto, circoscrivere al portata della deindicizzazione al solo territorio dello Stato membro di residenza dell’interessato è, ad avviso della Corte, parimenti illegittimo, alla luce della volontà del legislatore dell’Unione di garantire un livello coerente di tutela dei dati personali in tutti gli Stati membri, manifestata attraverso la sostituzione della direttiva 95/46/CE con il regolamento UE 679/2016, direttamente applicabile in modo uniforme negli ordinamenti degli Stati membri (punto 66 della sentenza).

La Corte, come suggerito dall’Avvocato generale ai punti 59 e 60 delle conclusioni, ha così messo l’accento sul collegamento territoriale che devono presentare i diritti fondamentali della Carta dei diritti fondamentali con il diritto dell’Unione, non limitando la portata dell’obbligo di cancellazione dei link a un solo ordinamento nazionale, ma circoscrivendolo allo spazio giuridico dell’Unione (così Pollicino, p. 2). Diversamente, l’Unione avrebbe impedito a soggetti che si trovano in un Paese terzo di accedere alle informazioni, legittimando, per contro, anche i Paesi terzi a impedire ai soggetti che si trovano nell’Unione l’accesso alle informazioni.

Tale orientamento dei giudici di Lussemburgo è stato tuttavia oggetto di critiche (v. Gstrein) sotto il profilo dell’enforcement dei diritti dei cittadini europei. In particolare, la mancanza di attribuzione alle autorità garanti nazionali di strumenti relativi alla deindicizzazione al fuori dell’UE, specificata espressamente al punto 63 della sentenza, sembrerebbe contrastare con le aspettative di applicabilità universale del regime europeo create dall’art. 3 del nuovo Regolamento 679/UE, che ne prevede, al par. 1, l’applicabilità «al trattamento dei dati personali effettuato nell’ambito delle attività di uno stabilimento da parte di un titolare del trattamento o di un responsabile del trattamento nell’Unione, indipendentemente dal fatto che il trattamento sia effettuato o meno nell’Unione» (cors. agg.) e, al par. 2, «al trattamento dei dati personali di interessati che si trovano nell’Unione, effettuato da un titolare del trattamento o da un responsabile del trattamento che non è stabilito nell’Unione, quando le attività di trattamento riguardano: a) l’offerta di beni o la prestazione di servizi ai suddetti interessati nell’Unione, indipendentemente dall’obbligatorietà di un pagamento dell’interessato; oppure b) il monitoraggio del loro comportamento nella misura in cui tale comportamento ha luogo all’interno dell’Unione» (cors. agg.).

La posizione assunta dai giudici dalla Corte sembrerebbe, inoltre, essere stata smentita, almeno in apparenza, dalla sentenza Glawischnig-Piesczek c. Facebook Ireland Ltd (sulla quale v. Monti, Pollicino e Castellaneta), emessa dalla Corte stessa solo pochi giorni dopo la sentenza C-507/17. In tale ulteriore caso, i giudici di Lussemburgo hanno stabilito che l’ordine rivolto dalle autorità competenti al noto gestore di social network relativo alla rimozione di espressioni diffamatorie pubblicate da un utente su un social network può avere anche una portata globale, imponendo la rimozione da qualsiasi estensione del social network in tutto il mondo e non solo nel territorio europeo, anche in riferimento a informazioni con un contenuto equivalente ad altre già precedentemente dichiarate illecite.

In realtà, la pronuncia è coerente con l’impostazione della sentenza C-507/17, poiché anche nel caso Glawischnig-Piesczek c. Facebook Ireland Ltd la Corte ha incentrato il proprio convincimento sul tenore letterale delle disposizioni del diritto dell’Unione e in particolare dell’art. 18 della direttiva sul commercio elettronico (direttiva 2000/31/CE), il quale disciplina i meccanismi di ricorso giurisdizionale a disposizione degli interessati nel caso di violazioni poste in essere, tra gli altri, dai prestatori di servizi di hosting (art. 14 della direttiva 2000/31/CE).

L’art. 18, nello specifico, riconosce agli Stati poteri discrezionali particolarmente ampi, al fine di «prendere rapidamente provvedimenti, anche provvisori, atti a porre fine alle violazioni», senza porre alcun limite alla portata territoriale di tali provvedimenti. Nulla, dunque, consente di desumere, in questo caso, che gli effetti territoriali dell’ordine di rimozione siano circoscritti geograficamente ai soli Stati membri (v. punto 49 della sentenza, sul quale sembra d’accordo Castellaneta).

In questo quadro, resta ferma la possibilità per le autorità nazionali di operare il bilanciamento tra protezione dei dati e libertà di accesso alle informazioni – in riferimento alle fattispecie concrete e alle specificità nazionali e nel rispetto dei limiti fissati dal diritto dell’Unione – in materia giornalistica e di espressione letteraria (art. 9 direttiva e ora art. 85 regolamento), conciliando adeguatamente il diritto alla vita privata e alla protezione dei dati personali con l’interesse del pubblico a essere informato, eventualmente anche attraverso l’imposizione ai gestori dei motori di ricerca di misure che permettano di impedire agli utenti l’accesso ai link contestati.

Tra queste rientra anche il «blocco geografico», che ha assunto rinnovata utilità al fine di garantire che la deindicizzazione sia efficace e completa, nonostante il regolamento UE 2018/302 – che ne ha vietato l’impiego finalizzato a impedire l’accesso a tutte le versioni nazionali di siti Internet a prescindere dalla collocazione geografica dell’IP in un determinato Stato membro, dalla nazionalità, dal luogo di residenza o stabilimento degli utenti – ne abbia recentemente ridimensionato l’utilizzabilità.

Dall’analisi dei due casi sembra poter essere dedotto, posta l’assenza di statuizioni specifiche nella sentenza Google Spain, un ridimensionamento da parte della Corte della netta prevalenza del diritto alla tutela dei dati personali sulla libertà di accesso alle informazioni, che invece era emersa chiaramente nella sentenza Google Spain. La Corte ha infatti rimarcato la necessità di un corretto bilanciamento tra riservatezza e informazione, proprio come aveva sottolineato l’Avvocato generale Jääskinen nelle sue conclusioni nel caso Google Spain, con le quali, al punto 133, aveva ammonito la Corte sui rischi legati al sacrificio della libertà di informazione dovuti all’affermazione del diritto all’oblio in maniera assoluta, senza adeguato bilanciamento.

Tale approccio della Corte ha suscitato tuttavia alcune critiche (tra cui quella del Garante italiano della privacy, Antonello Soro, v. qui e qui), che ne hanno contestato l’impatto sulla piena effettività del diritto all’oblio, con specifico riguardo per le barriere territoriali, che sono state ritenute «anacronistiche», sostenendo la necessità di una «garanzia universale» del diritto all’oblio, in virtù del carattere sempre più interconnesso della società digitale.

Sembra comunque scontato doversi rassegnare a ulteriori interventi della Corte di giustizia diretti a chiarire quelle zone d’ombra che nemmeno il Regolamento UE 679/2016 sembra avere illuminato. L’art. 17 del Regolamento si è infatti proposto di raggiungere il punto di equilibrio tra diritto alla protezione dei dati e il contrapposto diritto dei cittadini a essere informati, consacrando legislativamente il diritto all’oblio dell’interessato quale «diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo» nelle ipotesi previste dal primo paragrafo (dati personali non più necessari rispetto alle finalità per le quali sono stati raccolti o trattati; revoca del consenso o opposizione al trattamento da parte dell’interessato; trattamento illecito dei dati; adempimento di un obbligo previsto dal diritto dell’Unione o statale). Esso ha tuttavia previsto l’inapplicabilità di tale paragrafo nella misura in cui il trattamento sia necessario «per l’esercizio del diritto alla libertà di espressione e di informazione» (par. 3, lett. a), senza però precisare con chiarezza gli strumenti e i meccanismi che devono essere concretamente utilizzati al fine di attuare correttamente il bilanciamento (v. Soro).

Ai titolari del trattamento che devono stabilire quando accogliere le richieste di deindicizzazione degli interessati, così come alle autorità nazionali di controllo che devono stabilire se ordinare o meno ai titolari la deindicizzazione, sembra, insomma, essere stato lasciato, anche nella scelta concreta delle misure tecniche da adottare, un eccessivo margine di discrezionalità nelle valutazioni sul bilanciamento delle esigenze in gioco e, conseguentemente, sulla congruità della deindicizzazione.

È dunque opportuno che la Corte ne delimiti con più cura l’ambito di azione.