Questo sito web utilizza cookie tecnici e, previo Suo consenso, cookie di profilazione, nostri e di terze parti. Chiudendo questo banner, scorrendo questa pagina o cliccando qualunque suo elemento acconsente all'uso dei cookie. Leggi la nostra Cookie Policy per esteso.OK

Il diritto all’oblio: cosa prevede il GDPR e quali gli avanzamenti della giurisprudenza

pittogramma Zerouno

Metodologie

Il diritto all’oblio: cosa prevede il GDPR e quali gli avanzamenti della giurisprudenza

19 Feb 2018

di Francesca Lonardo

Sulla complessa, e quanto mai di attualità, materia del diritto all’oblio il GDPR si limita a prevedere che l’interessato ha il diritto di ottenere la cancellazione dei dati che lo riguardano in casi specificamente individuati, senza però recepire gli avanzamenti della giurisprudenza e della dottrina su questa tematica

Il GDPR prevede espressamente, per la prima volta, nell’ordinamento europeo, il cosiddetto “diritto all’oblio”. Ma, nonostante la rubrica della norma, “Diritto alla cancellazione («diritto all’oblio»), l’art. 17 si limita in realtà a riprodurre, con qualche precisazione e puntualizzazione, i contorni del diritto alla cancellazione disciplinato dalla direttiva 95/46, senza recepire gli avanzamenti della giurisprudenza e della dottrina sulla individuazione dei connotati dell’istituto.

Diritto all’oblio nel GDPR

Il GDPR, infatti, si limita a prevedere che l’interessato ha il diritto di ottenere, senza ingiustificato ritardo, la cancellazione dei dati che lo riguardano in casi specificamente individuati:

  1. qualora i dati personali non siano più necessari in relazione alle finalità per le quali erano stati originariamente forniti, raccolti, trattati;
  2. quando l’interessato revoca il consenso e non sussiste altro fondamento giuridico per il trattamento;
  3. quando l’interessato si oppone al trattamento;
  4. qualora i dati personali sono stati trattati illecitamente;
  5. quando i dati personali devono essere cancellati per adempiere ad un obbligo legale;
  6. quando i dati personali sono trattati in relazione all’offerta di servizi della società dell’informazione a minori inferiori a 16 o età inferiore (non inferiore a 13) prevista dagli Stati membri.

Nell’art. 17, co. 3 si prevede che la cancellazione non si applica nella misura in cui, il trattamento sia necessario, fra l’altro, per l’esercizio del diritto alla libertà di espressione e di informazione, ma non sono in alcun modo forniti criteri o indicazioni per il bilanciamento fra il diritto all’oblio e il diritto di cronaca (che si pone tipicamente in posizione antagonista con il primo). L’intero meccanismo è lasciato alla determinazione dei singoli legislatori nazionali, che possono prevedere esenzioni o deroghe ai diritti dell’interessato nel caso in cui il trattamento sia effettuato per scopi giornalistici, qualora necessari per conciliare il diritto alla protezione dei dati e la libertà di espressione e di informazione (così l’art. 85.2, in combinato disposto con l’art. 17.3).

Il diritto all’oblio secondo la giurisprudenza

Prima del GDPR non vi era alcuna norma giuridica che contemplasse espressamente il diritto all’oblio, né nell’ordinamento europeo, né in quello dei singoli Stati membri. La giurisprudenza e la prassi applicativa delle Autorità Nazionali per la Protezione dei dati ne hanno però riconosciuto progressivamente l’esigibilità, a seguito delle sempre più frequenti richieste di coloro che lamentavano il pregiudizio alla propria reputazione derivante dalle perdurante presenza in rete di articoli di cronaca giudiziaria afferenti ad una notizia sì lecitamente pubblicate (in quanto priva di carattere diffamatorio), ma risalente nel tempo e non più aggiornata. Tali notizie spostate negli archivi storici dei quotidiani online e reperite dai motori di ricerca determinavano quindi la conoscenza da parte degli utenti del web di aspetti, dati e di profili delle persone interessate nel frattempo totalmente diversi, a causa di eventi e sviluppi successivi (come l’archiviazione di un procedimento o l’assoluzione di un imputato), perpetrando una sorta di “gogna” elettronica.

Nei casi in cui una vicenda giudiziaria ha registrato una successiva evoluzione, la Corte di Cassazione (sentenza n. 5525/2012) ha riconosciuto all’interessato il diritto di ottenere, dall’editore, la contestualizzazione e l’aggiornamento della notizia di cronaca che lo riguarda presente nell’archivio storico on line della testata e resa disponibile tramite i motori di ricerca, pubblicando un link ad altre informazioni successivamente pubblicateche possano completare o financo radicalmente mutare il quadro evincentesi dalla notizia originaria“. Diversamente, la notizia, sia pure “originariamente completa e vera, diviene non aggiornata, risultando quindi parziale e non esatta, e pertanto sostanzialmente non vera”.

Il diritto all’oblio di creazione giurisprudenziale NON è quindi la possibilità di ottenere la rimozione di notizie «scomode» o «sgradite» dalla pubblica circolazione, di «ripulire» la reputazione macchiata da arresti, condanne o anche solo critiche, ma è il diritto a salvaguardare la propria identità personale in rete; la pretesa di ottenere l’aggiornamento di notizie che, sia pure ab origine corrette, sono potenzialmente lesive in quanto prive di attualità, essendosi ridotto il loro rilievo in termini di pubblico interesse, in relazione al trascorrere del tempo o al ruolo ricoperto nella vita pubblica dell’interessato, in misura tale da risultare soccombente nel bilanciamento rispetto al diritto alla protezione dei dati personali e/o al diritto alla reputazione dell’interessato.

Secondo la Suprema Corte il soggetto tenuto ad intervenire è l’editore (titolare del sito) e non il motore di ricerca che, in qualità di intermediario telematico (con responsabilità limitata ai sensi del decreto legislativo 70 del 2003), si limita a rendere accessibili agli utenti contenuti pubblicati in autonomia dai «siti sorgente», mettendo a disposizione link (generati automaticamente dagli “spider”) alle pagine web che per contenuti corrispondano alle richieste effettuate.

Il diritto all’oblio secondo il Garante Privacy

In ottica analoga si era mossa l’Autorità fin dalle prime pronunce in tema (a partire dal provvedimento del 10 novembre 2004), imponendo un obbligo di intervento esclusivamente ai titolari dei siti sorgente, stabilendo, in particolare, che le notizie risalenti nel tempo (lecitamente pubblicate) dovessero essere collocate, a cura dell’editore, in sezioni non indicizzabili dai comuni motori di ricerca esterni al sito, in modo tale che il loro reperimento fosse di fatto possibile solo attraverso una ricerca mirata e non attraverso una normale ricerca nominativa tramite motori di ricerca.

Dopo la sentenza della Suprema Corte, il Garante Privacy è tornato sulla questione, in occasione di successivi ricorsi concernenti la reperibilità di dati personali negli archivi storici on line dei quotidiani, disponendo non solo che le pagine o gli articoli lesivi dovessero essere disposti in aree non indicizzabili, ma che dovessero anche essere provvisti di annotazioni che rettificassero, completandola, la notizia, secondo quanto disposto dalla Cassazione.

Da notare che la posizione della giurisprudenza e dell’Autorità garante italiano NON si è mai spinta sino a chiamare in causa la responsabilità diretta dei motori di ricerca.

Diritto all’oblio secondo la CJEU

Tutto ciò cambia completamente nel 2014 con la sentenza della Corte di Giustizia UE nel c.d. caso Google Spain. La Corte ha infatti autorizzato l’interessato a chiedere direttamente al motore di ricerca la rimozione, dall’indice di Google, dei link alle pagine web pubblicate da terzi e contenenti proprie informazioni (cd. «deindicizzazione»), se la loro permanenza in rete non sia più giustificata in relazione al tempo trascorso. E ciò anche se si tratta di dati personali la cui pubblicazione è del tutto lecita e anche se i siti sorgente NON li hanno rimossi.

Il motore di ricerca, ricevuta la richiesta, è tenuto ad effettuare un bilanciamento tra interesse pubblico e diritto del singolo ad essere dimenticato sulla base dei seguenti criteri: tempo trascorso, ruolo pubblico del soggetto; inadeguatezza o non attuale pertinenza, rilevanza o eccessività delle notizie.

La sentenza è criticabile (ed è stata aspramente criticata) per la parte in cui attribuisce un potere decisionale sulle libertà fondamentali degli individui ad un soggetto imprenditoriale che manca, per propria natura, delle necessarie garanzie di indipendenza e imparzialità. Inoltre, non stabilisce un parametro oggettivo di riferimento in base al quale il motore di ricerca debba stabilire la rilevanza o meno delle informazioni: ad esempio dopo quanto tempo il politico, per il quale la protezione dei dati è ovviamente ridotta, torna ad essere un privato cittadino?

In realtà, quella della Corte è una soluzione parziale ed estremamente pratica, basata sulla premessa (suggerita da ENISA in un rapporto del 2012) che i motori di ricerca contano più dei siti sorgente. L’Agenzia europea per la sicurezza delle reti e dell’informazione aveva, infatti, evidenziato che, in un sistema aperto e globale come Internet, assicurare il diritto all’oblio è generalmente impossibile. Chiunque, infatti, può avere accesso a dati personali altrui, generalmente tramite motori di ricerca o social network, e farne delle copie anche su supporti che non possono essere controllati a distanza, come dvd o pendrive, per poi reimmetterli in un secondo momento e diffonderli. I dati non linkati da un motore di ricerca e non presenti nei social network (quindi i dati non strutturati né organizzati), però, sono difficili da recuperare; si può, quindi, solo di rendere più difficile il loro recupero, chiedendo ai motori di ricerca di filtrare i riferimenti ai dati da dimenticare.

In ogni caso, a seguito della sentenza Costeja, il nostro Garante ha valutato numerosi ricorsi nei confronti dei motori di ricerca che avevano rigettato le richieste di deindicizzazione di articoli contenenti dati personali dell’interessato riferiti a vicende giudiziarie nelle quali era stato coinvolto. L’Autorità solitamente respinge i ricorsi laddove, nel bilanciamento fra diritto all’oblio e il diritto di cronaca, ritiene quest’ultimo prevalente in quanto si tratta di un fatto recente e di rilevante interesse pubblico (ad esempio in ragione del ruolo rivestito nella vita pubblica dall’interessato), accogliendoli invece laddove le informazioni sono eccedenti o atte a danneggiare la reputazione e la vita privata del ricorrente.

D’altronde, il Gruppo di lavoro articolo 29 (WP29), nelle Linee Guida sull’implementazione della sentenza della Corte di Giustizia del 26 novembre 2014, precisa che il diritto all’oblio non dovrebbe essere concesso quando gli interessati rivestono un ruolo pubblico e quindi sussiste un maggiore interesse del pubblico ad avere accesso all’informazione, come nel caso di politici, alti funzionari, imprenditori e liberi professionisti. E il Tribunale di Roma, in una sentenza del 3 dicembre del 2015, ha rigettato una richiesta proprio sulla base del ruolo pubblico rivestito dal ricorrente, un professionista, ed in particolare un avvocato.

Dei suddetti avanzamenti giurisprudenziali non c’è purtroppo alcuna traccia nel GDPR. C’è da chiedersi se il Governo – chiamato, fra l’altro, in attuazione della delega contenuta Legge 163/2017, a modificare le norme del Codice Privacy al fine di attuare le disposizioni del GDPR non direttamente applicabili – ne terrà in qualche modo conto.

Si consideri, in ogni caso, che ai sensi del secondo comma dell’art. 17 del GDPR, i titolari che hanno «reso pubblici» i dati personali dell’interessato (ad esempio, pubblicandoli su un sito web) e sono obbligati a cancellarli,  sono tenuti, tenendo conto della «tecnologia disponibile e dei costi di attuazione», ad informare gli altri titolari che trattano tali dati della richiesta dell’interessato di cancellare «qualsiasi link, copia o riproduzione» ai dati personali cancellati, adottando «misure ragionevoli, anche tecniche». Poiché la Corte di giustizia ha qualificato i motori di ricerca come titolari, questa previsione potrebbe interpretarsi nel senso che i titolari dei siti sorgente debbano comunicare la richiesta di cancellazione ai motori di ricerca. La soluzione appare in certo qual modo simile a quella ipotizzata originariamente dal Garante, quando aveva imposto i titolari dei siti sorgente di collocare le notizie risalenti nel tempo in sezioni non indicizzabili dai comuni motori di ricerca esterni al sito.

Non resta che aspettare e verificare, a seguito dei decreti legislativi da emanarsi entro sei mesi dalla data entrata in vigore della legge delega (21 novembre 2017), come saranno gestite le richieste degli interessati ad essere dimenticati…

Francesca Lonardo
Lawyer specialized in IT and Privacy Law - P4I

Il diritto all’oblio: cosa prevede il GDPR e quali gli avanzamenti della giurisprudenza

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *

    LinkedIn

    Twitter

    Whatsapp

    Facebook

    Link

    Articolo 1 di 4