Diritto all’oblio: deindicizzazione o cancellazione dei dati?

Diritto all’oblio: deindicizzazione o cancellazione dei dati – una guida rapida

• Il caso
• La decisione della Corte
• La cancellazione dei dati
• Cos’è il diritto all’oblio
• Diritto all’oblio e diritto di cronaca
• Diritto all’oblio e dati personali
• L’art. 17 GDPR
• La posizione della Corte Europea dei diritti dell’uomo
• Il caso Google Spain
• Il caso C-507/17 della Corte UE
• La Corte di Cassazione n. 19681 del 22 luglio 2019
• Come esercitare il diritto all’oblio

Quando si parla di diritto all’oblio, sono diversi gli approcci utili per domandare il rispetto dei propri interessi. E la prima Sezione civile della Corte di Cassazione è recentemente intervenuta con una valutazione che non potrà che far discutere, considerato che introduce una diversa modalità di intervento a seconda che a optare per il ricorso al diritto all’oblio sia il Garante per il trattamento dei dati personali, o un giudice.

In sintesi, se a procedere in tal senso è il Garante, tutto ciò che si potrà ottenere è la deindicizzazione delle informazioni contenute negli archivi informatici. Se invece si desidera ottenere la cancellazione dei dati, sarà necessario munirsi di una apposita sentenza.

Il caso

Per apprezzare meglio l’orientamento, cerchiamo di ricostruire brevemente il caso. Nel 2015 un soggetto coinvolto nel fallimento di una società ha deciso di rivolgersi a Yahoo Italia per ottenere la rimozione del suo nome dai risultati della ricerca effettuata su quel motore.

Yahoo Italia ha però risposto con un rifiuto. Secondo la società, infatti, non era lei ad essere titolare del trattamento, bensì la propria gemella irlandese. Per questo motivo l’interessato proponeva istanza al Garante per il trattamento dei dati personali.

A sua volta, il Garante disponeva la deindicizzazione e la distruzione della copia cache con provvedimento amministrativo.

Dal canto suo, Yahoo Italia ha impugnato il provvedimento dinanzi al Tribunale di Milano. Il quale, dopo attenta analisi, confermava la decisione dell’Autorità Garante. Yahoo Italia ha dunque ulteriormente impugnato il provvedimento, giungendo fino alla Corte di Cassazione. Qui, con sentenza n. 3952/2022, emessa dalla Prima sezione civile, la questione veniva definita.

La decisione della Corte

In particolare, la Corte di Cassazione ha esordito confermando la potestà amministrativa del Garante nell’azione nei confronti della controllata italiana. E, dunque, a provvedere direttamente nei confronti della società estera in virtù della funzione del motore di ricerca, e per il fatto che a questi fini non rileva la sede societaria ma il luogo della raccolta pubblicitaria. Che, nel caso di specie, era l’Italia.

La Suprema Corte rammenta poi come la questione fosse stata risolta dalla sentenza Google Spain della Corte di Giustizia Europea. Nella pronuncia si affermava come il motore di ricerca fosse il titolare del trattamento. E che il diritto all’oblio e l’eventuale conseguente deindicizzazione, trovano fondamento nella Direttiva 95/46/CE. Le Autorità nazionali per il trattamento dei dati personali hanno dunque il potere amministrativo di imporre la deindicizzazione.

Fatte salve queste premesse, la Suprema Corte ha poi affermato che effettivamente il Garante aveva agito nel pieno delle proprie facoltà. Correttamente ha pertanto imposto la deindicizzazione. Tuttavia, fin lì possono fermarsi i poteri del Garante, considerato che per la cancellazione dei dati è necessaria una pronuncia giurisdizionale.

La cancellazione dei dati

Risulta pertanto di particolare interesse soffermarsi sulle diverse modalità di diritto all’oblio. L’esercizio di tale diritto non si esplica infatti in un unico modo, anche perché – a ben vedere – è la stessa accezione di diritto all’oblio ad essere piuttosto vaga.

Di fatti, da una parte c’è il diritto di ciascuna persona a domandare la deindicizzazione di notizie che lo riguardano per il solo fatto del trascorrere del tempo. E, dunque, al minore interesse della notizia con il passare degli anni. Dall’altra parte c’è però un interesse generale alla conservazione delle informazioni, anche nel tempo.

Ecco dunque che si manifesta un diverso approccio, che di seguito possiamo cercare di sintetizzare in poche righe:

• se la notizia è vera, è comunicata correttamente e non è oggetto di provvedimenti giurisdizionali, può essere cancellata solo se l’iniziativa è intrapresa dal soggetto che l’ha immessa in rete
• se la notizia è vera, è comunicata correttamente en on è oggetto di provvedimenti, può essere tuttavia oggetto di una deindicizzazione. In questo caso il provvedimento può essere assunto in seguito a istanza dell’interessato, solamente dopo il decorso di un determinato periodo di tempo. Ovvero, al cessare dell’interesse pubblico alla immediata conoscibilità della notizia in relazione alla quale si vuole esercitare il diritto all’oblio
• ancora, se la notizia è vera, è stata comunicata in modo corretto e non è deindicizzata in seguito alla legittima istanza dell’interessato, può essere oggetto di deindicizzazione in seguito a istanza, con provvedimento dell’Autorità per il trattamento dei dati personali o in seguito a provvedimento giurisdizionale
• infine, se la notizia è dichiarata diffamatoria con sentenza passata in giudicato, può essere sia deindicizzata che cancellata dagli archivi informatici.

Cos’è il diritto all’oblio

L’occasione ci è evidentemente utile per tornare a parlare di diritto all’oblio, riepilogando alcune delle caratteristiche di questa recente evoluzione.

Ricorrendo anche ad alcune pronunce giurisprudenziali, possiamo definire il diritto all’oblio come il giusto interesse di ogni persona a non restare indeterminatamente esposta ai danni ulteriori che arreca al suo onore e alla sua reputazione la reiterata pubblicazione di una notizia in passato legittimamente divulgata.

Appare infatti evidente come online chiunque possa pubblicare con facilità notizie, foto, video, audio e altri contenuti digitali, destinati a durare nel tempo e, potenzialmente, a produrre danni alla reputazione dei soggetti interessati, così come alla sua privacy.

Ecco dunque che il diritto all’oblio, applicato all’attuale era digitale, consisterà nella rimozione dei documenti e dei link che rimandano a un contenuto online che un soggetto ritiene dannoso.

Guai, però, a pensare che il diritto all’oblio sia “nato” con Internet. Anche nell’epoca precedente a questo contesto digitale, infatti, era lecito parlare di diritto all’oblio con riferimento alla possibilità, da parte dell’interessato, di poter richiedere che il proprio nome non fosse più immediatamente riconducibile a uno specifico evento, trascorsi alcuni anni dall’accaduto.

Diritto all’oblio e diritto di cronaca

Dalle poche righe che abbiamo condiviso in questo approfondimento, è evidente come il ricorso al diritto all’oblio tenda frequentemente a scontrarsi con il diritto di cronaca.

Proprio su questo tema si è espressa la nota sentenza n. 23771 del 2015 da parte del Tribunale di Roma, per la quale il diritto all’oblio è una particolare espressione del diritto alla riservatezza, chiarendone altresì i presupposti.

Per la pronuncia del Tribunale, l’avvenimento del quale si chiede l’oblio deve:

• essere lontano nel tempo
• avere uno scarso interesse pubblico.

Attraverso la verifica di questi presupposti, pertanto, si cerca di bilanciare:

• il diritto del cittadino di reperire informazioni su fatti particolarmente significativi, tali da poter essere definiti di interesse pubblico
• il diritto dei protagonisti della vicenda di essere dimenticati dall’opinione pubblica.

Diritto all’oblio e dati personali

Ricordiamo come i moduli che servono a raccogliere i dati personali dei clienti necessitino del consenso espresso degli interessati, sulla base delle linee guida GDPR. Il quale, peraltro, ben consente al cliente di domandare la cancellazione definitiva dei dati personali raccolti dai terzi in alcune ipotesi come:

• i dati non sono più necessari rispetto alle finalità per cui erano stati originariamente raccolti o trattati
• l’interessato decide di revocare il consenso su cui si basa il trattamento dei dati personali
• i dati personali sono stati trattati in maniera illecita
• vi è un obbligo legale che prevede la cancellazione dei dati.

Di contro, è lo stesso art. 17 del GDPR a stabilire quando il diritto alla cancellazione non sussiste, riconducendolo alle ipotesi in cui il trattamento dei dati personali sia necessari per soddisfare alcune esigenze. Fra queste, l’esercizio del diritto alla libertà di espressione e di informazione. Oppure, ai fini di archiviazione nel pubblico di interesse, di ricerca scientifica o di ricerca storica.

Naturalmente, la formulazione dell’art. 17 GDPR lascia aperti ampi margini di interpretazione e di incertezza. Rimane infatti, volta per volta, la necessità di stabilire quando il trattamento dei dati personali risulti concretamente necessario, o meno, per esercitare la libertà di espressione, di informazione e di archiviazione nel pubblico interesse.

Dunque, l’ultima parola in questo ambito non può che spettare sempre e comunque all’interprete. Ovvero, all’autorità (il Garante della Privacy o il giudice) che è chiamata a decidere se in una certa vicenda sottoposta al proprio esame, la persona possa legittimamente o meno pretendere che una notizia che lo riguardo, anche se legittimamente diffusa in passato, non rimanga esposta a tempo indeterminato alla possibilità di una nuova divulgazione.

Il testo dell’art. 17 GDPR

GDPR – Regolamento generale sulla protezione dei dati  (UE/2016/679)

Articolo 17

Diritto alla cancellazione («diritto all’oblio»)

1. L’interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l’obbligo di cancellare senza ingiustificato ritardo i dati personali, se sussiste uno dei motivi seguenti:a) i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati;b) l’interessato revoca il consenso su cui si basa il trattamento conformemente all’articolo 6, paragrafo 1, lettera a), o all’articolo 9, paragrafo 2, lettera a), e se non sussiste altro fondamento giuridico per il trattamento;

   c) l’interessato si oppone al trattamento ai sensi dell’articolo 21, paragrafo 1, e non sussiste alcun motivo legittimo prevalente per procedere al trattamento, oppure si oppone al trattamento ai sensi dell’articolo 21, paragrafo 2;

   d) i dati personali sono stati trattati illecitamente;

   e) i dati personali devono essere cancellati per adempiere un obbligo giuridico previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento; (1)

   f) i dati personali sono stati raccolti relativamente all’offerta di servizi della società dell’informazione di cui all’articolo 8, paragrafo 1.

Il titolare del trattamento, se ha reso pubblici dati personali ed è obbligato, ai sensi del paragrafo 1, a cancellarli, tenendo conto della tecnologia disponibile e dei costi di attuazione adotta le misure ragionevoli, anche tecniche, per informare i titolari del trattamento che stanno trattando i dati personali della richiesta dell’interessato di cancellare qualsiasi link, copia o riproduzione dei suoi dati personali.

L’art. 17 (continua)

3. I paragrafi 1 e 2 non si applicano nella misura in cui il trattamento sia necessario:

   a) per l’esercizio del diritto alla libertà di espressione e di informazione;

   b) per l’adempimento di un obbligo giuridico che richieda il trattamento previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento o per l’esecuzione di un compito svolto nel pubblico interesse oppure nell’esercizio di pubblici poteri di cui è investito il titolare del trattamento; (1)

   c) per motivi di interesse pubblico nel settore della sanità pubblica in conformità dell’articolo 9, paragrafo 2, lettere h) e i), e dell’articolo 9, paragrafo 3;

   d) a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici conformemente all’articolo 89, paragrafo 1, nella misura in cui il diritto di cui al paragrafo 1 rischi di rendere impossibile o di pregiudicare gravemente il conseguimento degli obiettivi di tale trattamento; o

   e) per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria.

Una forte relazione è quindi sussistente tra il diritto all’oblio e il diritto di cronaca. E si può brevemente ricordare quale sia stata l’evoluzione giurisprudenziale in materia per comprendere quando il diritto di cronaca è legittimo, o meno.

I requisiti da verificare sono principalmente tre:

• utilità sociale dell’informazione
• verità dei fatti esposti (oggettiva o putativa, purché frutto di un serio e diligente lavoro di ricerca)
• forma civile dell’esposizione dei fatti e della loro valutazione, che non deve eccedere lo scopo informativo da conseguire.

La posizione della Corte Europea dei diritti dell’uomo

Con la sentenza del 26 giugno 2018 la Corte Europea dei diritti dell’uomo ha ricondotto il diritto all’oblio all’interno del diritto alla tutela della vita privata di cui all’art.8 CEDU (Convenzione Europea dei diritti dell’uomo). Ha inoltre ricordato che la libertà di espressione è garantita dall’art. 10 CEDU.

Art. 8 CEDU Diritto al rispetto della vita privata e familiare

1. Ogni persona ha diritto al rispetto della propria vita privata e familiare, del proprio domicilio e della propria corrispondenza.
2. Non può esservi ingerenza di una autorità pubblica nell’esercizio di tale diritto a meno che tale ingerenza sia prevista dalla legge e costituisca una misura che, in una società democratica, è necessaria alla sicurezza nazionale, alla pubblica sicurezza, al benessere economico del paese, alla difesa dell’ordine e alla prevenzione dei reati, alla protezione della salute o della morale, o alla protezione dei diritti e delle libertà altrui.

Art. 10 CEDU Libertà di espressione

1. Ogni persona ha diritto alla libertà d’espressione. Tale diritto include la libertà d’opinione e la libertà di ricevere o di comunicare informazioni o idee senza ingerenza alcuna da parte delle autorità pubbliche e senza considerazione di frontiera. Il presente articolo non impedisce che gli Stati sottopongano a un regime di autorizzazione le imprese di radiodiffusione, di cinema o di televisione.
2. L’esercizio di queste libertà, comportando doveri e responsabilità, può essere sottoposto a determinate formalità, condizioni, restrizioni o sanzioni previste dalla legge e costituenti misure necessarie in una società democratica, per la sicurezza nazionale, l’integrità territoriale o l’ordine pubblico, la prevenzione dei disordini e dei reati, la protezione della salute e della morale, la protezione della reputazione o dei diritti altrui, o per impedire la divulgazione di informazioni confidenziali o per garantire l’autorità e la imparzialità del potere giudiziario.

Il caso

Ricordiamo che il caso su cui si è pronunciata la Corte Europea dei diritti dell’uomo riguardava il diniego dell’autorità giudiziaria tedesca di imporre a tre testate editoriali telematiche di rendere anonimi le informazioni in rete riguardanti la condanna dei ricorrenti, menzionati con il nome completo, per l’omicidio di un attore conosciuto.

Per la Corte, il rifiuto dell’autorità non è in contrasto con il diritto alla tutela della vita privata se il contenuto delle informazioni online sia di interesse pubblico e purché i media abbiano agito in conformità alla loro etica e deontologia professionale.

In tali ipotesi, infatti, nel bilanciamento delle due opposte esigenze il diritto alla libertà di espressione e alla formazione e conservazione della memoria collettiva devono prevalere sul desiderio di essere dimenticati dei ricorrenti.

Il caso Google Spain

Una delle pronunce più conosciute sul diritto all’oblio è quella sul caso Google Spain, la sentenza del 13 maggio 2014 della Corte di giustizia dell’Unione Europea.

La Corte aveva in tal sede affermato che il gestore di un motore di ricerca online è responsabile del trattamento dei dati personali che appaiono sulle pagine web pubblicate da terzi. Dunque, se in seguito a una ricerca effettuata a partire dal nome di una persona, l’elenco dei risultati mostra un link verso una pagina web che contiene informazioni sulla persona in questione, questa può ben rivolgersi direttamente al gestore. Se il gestore non da seguito alla propria domanda, può rivolgersi alle autorità competenti per ottenere, in presenza di certe condizioni, la soppressione di tale link dall’elenco dei risultati.

Per applicare il principio di cui alla sentenza Google Spain il gruppo di lavoro Articolo 29 (WP29) il 26 novembre 2014 ha pubblicato alcune linee guida in cui sono presenti i criteri orientativi che le autorità garanti nazionali devono seguire per gestire i reclami che riguardano richieste di deindicizzazione.

I criteri sono in tutto tredici e, tra di essi, rileva che il richiedente sia o meno un personaggio pubblico e/o sia un minore di età. Ancora, rileveranno anche il riferimento alla vita professionale o personale del soggetto così come il collegamento del risultato di ricerca con le informazioni che recano pregiudizio alla persona o alla sua sicurezza.

Il caso C-507/17 della Corte UE

Un’altra sentenza piuttosto nota in materia è quella del 24 settembre 2019 da parte della Corte UE.

La sentenza ricorda che il gestore di un motore di ricerca non è obbligato a effettuare la deindicizzazione in tutte le versioni del suo motore di ricerca. È invece obbligato a effettuarla nelle versioni del motore di ricerca che corrispondono agli Stati membri.

In aggiunta a ciò, il gestore deve attuare misure che scoraggino gli utenti di Internet dall’avere accesso – a partire da uno degli Stati membri – ai link contenuti nelle versioni extra UE del motore.

Quindi, in tale occasione, la Corte ha anche ribadito che spetta alle autorità nazionali degli Stati membri operare il bilanciamento tra diritto individuale alla tutela della vita privata e alla protezione dei dati personali da un lato, e il diritto alla libertà di informazione dall’altro. Alle stesse autorità nazionali il compito, al termine del bilanciamento, di domandare se necessario al gestore del motore di ricerca di effettuare la deindicizzazione su tutte le sue versioni.

La Corte di Cassazione n. 19681 del 22 luglio 2019

Sulla stessa relazione tra il diritto all’oblio e il diritto all’informazione è poi arrivata la sentenza delle Sezioni Unite della Corte di Cassazione n. 19681 del 22 luglio 2019. Il caso riguardava la rievocazione della notizia di un omicidio avvenuto più di 25 anni prima, commesso da un individuo che nel frattempo aveva scontato la pena in carcere e che si era reinserito positivamente nel contesto sociale.

Per i giudici della Suprema Corte, nel contrasto tra questi due diritti il giudice dovrà valutare l’interesse pubblico, concreto e attuale, alla menzione degli elementi identificativi delle persone che furono protagonisti di quelle vicende.

La rievocazione di tali elementi, si legge nella sentenza, è lecita solamente se si riferisce a personaggi che suscitino nel presente l’interesse della collettività, per ragioni di notorietà o per il ruolo pubblico che rivestono. Dunque, nel caso in cui non vi siano tali presupposti, il diritto degli interessati alla riservatezza prevarrà rispetto agli avvenimenti del passato che li feriscano nella dignità e nell’onore, e dei quali si sia oramai spenta la memoria collettiva.

Come esercitare il diritto all’oblio

Ma come si esercita il diritto all’oblio? A chi si può rivolgere il soggetto che ritiene che i propri diritti siano stati lesi?

Operativamente, chiunque intende esercitare il diritto all’oblio può domandare al gestore del motore di ricerca – in qualità, come abbiamo visto, di titolare del trattamento – di rimuovere dai risultati di ricerca associati al suo nome le URL che rinviano alle fonti che riportano informazioni ritenute per lui pregiudizievoli.

E nel caso in cui il gestore del sito internet non si muova in tale direzione? Allora si potrà ricorrere al Garante della Privacy sulla base di quanto stabilità dell’art 77 GDPR:

1. Fatto salvo ogni altro ricorso amministrativo o giurisdizionale, l’interessato che ritenga che il trattamento che lo riguarda violi il presente regolamento ha il diritto di proporre reclamo a un’autorità di controllo, segnatamente nello Stato membro in cui risiede abitualmente, lavora oppure del luogo ove si è verificata la presunta violazione.
2. L’autorità di controllo a cui è stato proposto il reclamo informa il reclamante dello stato o dell’esito del reclamo, compresa la possibilità di un ricorso giurisdizionale ai sensi dell’articolo 78.

In alternativa, sarà possibile ricorrere dinanzi all’autorità giudiziaria.