info@msclex.it
071 969 7023 - 071 969 6969

DIRITTO ALL’OBLIO

PRIVACY E DIRITTO ALL’OBLIO. Come cancellare i dati di una persona da internet.

L’European Data Protection Board – il Comitato europeo per la protezione dei dati, vale a dire l’organo dell’UE incaricato dell’applicazione del Regolamento generale sulla protezione dei dati a partire dal 25 maggio 2018 – ha adottato le Linee guida 5/2019 sui criteri del diritto all’oblio nei casi riguardanti i motori di ricerca.

Le Linee guida apparse sul sito istituzionale dell’EDPB, il 07 luglio, sono la versione 2.0.[1] e forniscono indicazioni per le richieste di deindicizzazione dei dati personali dell’interessato (quelle istanze che gli interessati possono rivolgere al fornitore di un motore di ricerca online per ottenere la cancellazione ad uno o più collegamenti a pagine web dall’elenco dei risultati visualizzati a seguito di una ricerca effettuata sulla base del proprio nome), nonché le eccezioni a tale diritto.

Le suddette indicazioni si basano sul Regolamento generale sulla protezione dei dati n.679 del 2016 (c.d. GDPR) e fanno riferimento, in particolare, all’art. 17[2] relativo alla cancellazione dei dati dell’interessato (“diritto all’oblio”).

Il documento guida risulta articolato in due parti fondamentali che rispecchiano rispettivamente il paragrafo 1 ed il paragrafo 3 dell’art. 17. Più specificatamente, la prima è dedicata ai motivi che legittimano il pieno esercizio del diritto all’oblio ai sensi dell’art.17.1 del GDPR. La seconda, invece, è dedicata alle eccezioni che operano ai sensi dell’art.17.3.

Partiamo dalla parola OBLIO, essa deriva dal termine latino oblivium, di cui è dato l’etimo a oblivione, cioè Dimenticanza. Il Diritto all’Oblio è il diritto di un individuo a essere dimenticato e, più propriamente, a non essere più menzionato in relazione a fatti che lo hanno riguardato in passato e che erano stati oggetto di cronaca.

L’articolo 17 del GDPR stabilisce che l’interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l’obbligo di cancellare senza ingiustificato ritardo i dati personali, in sei casi, elencati nel seguito del medesimo articolo.

  • Quando i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati.

Tale previsione consente all’interessato di richiedere la cancellazione dall’elenco delle informazioni personali che lo riguardano laddove le informazioni personali siano inesatte o non aggiornate a causa del trascorrere del tempo (esempio nel caso in cui i collegamenti ipertestuali a determinate aziende riportano alla luce i dettagli di contatto di una persona che ha ormai cessato il proprio rapporto lavorativo ovvero di informazioni pubblicate per un certo numero di anni per un obbligo legale, ma rimaste online più del termine necessario a soddisfare quella determinata esigenza).

Nelle linee guida però si legge che, poiché tale trattamento viene effettuato allo scopo di rendere le informazioni accessibili agli utenti di Internet, deve essere svolta un’analisi del bilanciamento tra la tutela della privacy di un interessato e gli interessi degli utenti ad accedere alle informazioni. In questa analisi sarà necessario tenere conto anche del periodo di conservazione dei dati, visto che si tratta spesso di stabilire, nei fatti, se queste informazioni siano obsolete.

  • Quando l’interessato revoca il consenso su cui si basa il trattamento conformemente all’articolo 6, paragrafo 1, lettera a), o all’articolo 9, paragrafo 2, lettera a), e se non sussiste altro fondamento giuridico per il trattamento.

A tal proposito, le linee guida sottolineano che è improbabile che un soggetto interessato presenti una richiesta di cancellazione dall’elenco sulla base del fatto che desidera revocare il consenso poiché il responsabile del trattamento che indicizza i dati in questo caso è l’editore e non l’operatore del motore di ricerca. Pertanto, le Linee guida specificano che nel caso in cui un soggetto interessato revocasse il proprio consenso per l’uso dei propri dati in una determinata pagina Web, l’editore originale di quella pagina dovrebbe informare i fornitori di motori di ricerca che avevano indicizzato i dati ai sensi dell’articolo 17, paragrafo 2, del GDPR. Successivamente, l’interessato potrebbe ottenere la cancellazione dall’elenco dei risultati del motore di ricerca ai sensi dell’articolo 17, paragrafo 1, lettera c).

  • Quando l’interessato si oppone al trattamento ai sensi dell’articolo 21, paragrafo 1, e non sussiste alcun motivo legittimo prevalente per procedere al trattamento, oppure si oppone al trattamento ai sensi dell’articolo 21, paragrafo 2.

In merito a questo punto le Linee Guida sottolineano che tale ambito offre ai soggetti interessati maggiori garanzie in quanto prevede un raggio di azione ben più ampio rispetto a quello determinato dalla tutela dell’oblio, non limitando le richieste di rimozione ai casi indicati dall’art.17 paragrafo 1. Inoltre, con riferimento specificamente al diritto di opposizione, il Comitato evidenzia nel Regolamento europeo un importante cambio di prospettiva rispetto alla previgente disciplina in materia[3]. Di conseguenza, quando un fornitore di motori di ricerca riceve una richiesta di rimozione dall’elenco in base alla situazione particolare dell’interessato, deve ormai cancellare i dati personali, ai sensi dell’articolo 17 paragrafo 1 lettera c) del GDPR, a meno che non possa dimostrare “motivi legittimi prevalenti” per l’inserimento nell’elenco del risultato di ricerca specifico, che sono “motivi legittimi convincenti (…) che prevalgono sugli interessi, i diritti e le libertà dell’interessato oppure per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria” ai sensi dell’articolo 21.

  • Quando i dati personali sono stati trattati illecitamente.

L’interessato può richiedere la deindicizzazione qualora i dati siano stati trattati in modo illecito. La nozione di trattamento illecito deve essere interpretata in modo ampio ma oggettivo. Così, se il trattamento lecito si riferisce in primis alle basi del trattamento elencate all’articolo 6 GDPR[4], il trattamento può essere considerato illegale e la deindicizzazione richiesta anche in caso di violazione di una disposizione legale diversa dal GDPR.

  • Quando i dati personali devono essere cancellati per adempiere un obbligo giuridico previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento.

Ciò può derivare da un’ingiunzione, da un’applicazione espressa del diritto nazionale o dell’UE o da una semplice violazione del periodo di conservazione da parte del fornitore del motore di ricerca.

  • Quando i dati personali sono stati raccolti relativamente all’offerta di servizi della società dell’informazione di cui all’articolo 8, paragrafo 1.

Il regolamento non definisce la nozione di ISS ma l’EDPB nota che è probabile che le attività dei motori di ricerca rientrino nell’ambito di applicazione della ISS. In tali casi, deve essere considerato il contesto della raccolta di dati personali da parte del responsabile del trattamento originale. In particolare, sarà necessario tenere in considerazione la data di inizio del trattamento da parte del sito su cui si trova la notizia originale.

Una volta analizzate le motivazioni che legittimano la pretesa di tutela di deindicizzazione, il Comitato passa in disamina le eccezioni che possono applicarsi a tale diritto.

  • per l’esercizio del diritto alla libertà di espressione e di informazione.

Il documento del 07 luglio scorso dell’EDPB evidenzia che, nonostante i diritti fondamentali della persona debbano essere considerati di norma prevalenti, il titolare del trattamento in presenza di una richiesta di rimozione di dati personali deve comunque valutare il caso specifico raffrontando la natura delle informazioni con l’interesse della collettività ad accedere alle stesse – un interesse che può variare a seconda del ruolo rivestito dall’interessato all’interno della comunità

  • per l’adempimento di un obbligo giuridico che richieda il trattamento previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento o per l’esecuzione di un compito svolto nel pubblico interesse oppure nell’esercizio di pubblici poteri di cui è investito il titolare del trattamento.

Meritevole di attenzione è il punto in cui le Linee guida sottolineano che la valutazione della richiesta di cancellazione non deve presumere che l’obbligo legale di pubblicazione implichi necessariamente che non sia possibile accettare la richiesta di cancellazione da parte del motore di ricerca. In questo caso, la decisione sulla richiesta di cancellazione dovrebbe essere presa ancora una volta al fine di trovare un equilibrio tra i diritti dell’interessato e l’interesse degli utenti di Internet ad accedere alle informazioni.

  • per motivi di interesse pubblico nel settore della sanità pubblica in conformità dell’articolo 9, paragrafo 2, lettere h) e i), e dell’articolo 9, paragrafo 3

In questo particolare caso, si legge, gli effetti della cancellazione devono essere intesi solo come l’eliminazione di alcuni risultati dalla pagina dei risultati che si ottiene quando viene inserito un nome come criterio di ricerca, e non che le informazioni siano completamente cancellate dall’indice dei motori di ricerca.

  • a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici conformemente all’articolo 89, paragrafo 1, nella misura in cui il diritto di cui al paragrafo 1 rischi di rendere impossibile o di pregiudicare gravemente il conseguimento degli obiettivi di tale trattamento.

le Linee Guida sottolineano che per usufruire di tale causa di giustificazione i motori di ricerca devono essere in grado di dimostrare che la cancellazione di un determinato contenuto dalla lista dei risultati costituirebbe un grave ostacolo ovvero impedirebbe completamente il raggiungimento di tali obiettivi, fondamentali in una società democraticamente avanzata.

  • per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria.

Anche in questo caso il Comitato evidenzia che in linea di principio tale eccezione difficilmente può applicarsi ai motori di ricerca alla luce della loro peculiare attività di collegamento ad informazioni presenti su siti web gestiti da terzi, in quanto le informazioni rimangono accessibili quando si utilizzano altri termini di ricerca.

CONCLUSIONI

Come già era emerso dalle sentenze della Corte di giustizia, il diritto all’oblio, nel caso soprattutto dei motori di ricerca, non può intendersi in termini assoluti. Sarà necessario, nel caso specifico, operare un bilanciamento tra l’interesse degli utenti ad accedere alle informazioni e i diritti della persona interessata. In tale ottica, è possibile ritenere sicuramente le Linee Guida del Comitato europeo un importante ed utile strumento di supporto per le attività di valutazione delle richieste di rimozione dei link nei casi concreti e per operare il predetto bilanciamento e trovare il giusto equilibrio.

Avv. Giulia Annese

 

NOTE
[1] La prima versione, precedente rispetto alla consultazione pubblica, è stata adottata nel dicembre 2019. La consultazione si è poi conclusa nel febbraio 2020 e la seconda versione delle linee guida è stata pubblicata il 7 luglio 2020
[2] Il diritto alla cancellazione dei dati personali, contenuto nell’art.17 del GDPR, è stato affermato ancora prima nella nota sentenza della Corte di Giustizia Europea n.131 del 13 maggio 2014. Tale pronuncia è risultata fondamentale in quanto ha stabilito che gli operatori dei motori di ricerca su internet sono tenuti a cancellare dai loro risultati le informazioni “inadeguate, non pertinenti o non più pertinenti” legati al nome di un privato cittadino, nel caso che quest’ultimo lo richieda.
[3] Se la direttiva 95/46/CE prevedeva, infatti, la possibilità per il soggetto di opporsi al trattamento “per motivi preminenti e legittimi derivanti dalla sua situazione particolare”, oggi l’art. 21 del GDPR consente allo stesso di procedere semplicemente per “motivi connessi alla sua situazione particolare”, come ad esempio nel caso di un danno effettivo per la sua vita personale o sociale
[4] Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni: a) l’interessato ha espresso il consenso al trattamento dei propri dati personali per una o più specifiche finalità; b) il trattamento è necessario all’esecuzione di un contratto di cui l’interessato è parte o all’esecuzione di misure precontrattuali adottate su richiesta dello stesso; c) il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento; d) il trattamento è necessario per la salvaguardia degli interessi vitali dell’interessato o di un’altra persona fisica; e) il trattamento è necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento; f) il trattamento è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali, in particolare se l’interessato è un minore.