Il diritto all’oblio: da Google Spain al GDPR

Per diritto all’oblio si intende il diritto di un soggetto ad ottenere la cancellazione dei propri dati personali che sono stati resi pubblici. Tale diritto è intimamente connesso alla tutela dell’identità personale, si potrebbe addirittura affermare che ne è il riflesso.

Ciascun soggetto può, dunque, chiedere di “essere dimenticato” (right to be forgotten). È stato apostrofato come un diritto “di nuova generazione” che non a caso segue l’evoluzione della tutela “dell’identità digitale”. Con specifico riguardo a quest’ultima, secondo una prima e più ampia accezione, l’espressione è utilizzata come un sinonimo di identità “in rete” o “virtuale”; secondo un’accezione più ristretta si tratterebbe di quell’insieme di informazioni e di risorse concesse da un sistema informatico ad un particolare utilizzatore che di norma sono protette da un sistema di autenticazione.

Il diritto all’oblio ha cominciato ad interessare i giudici e i giuristi soprattutto negli ultimi anni grazie anche alla nota decisione resa dalla Corte di Giustizia il 13 maggio 2014 nel caso Google Spain (causa C-131/12). A seguito della pubblicazione della citata sentenza si è aperta una ampia discussione sul riconoscimento o meno di un generale “diritto all’oblio” che ad oggi ha un’esplicita regolamentazione nell’art. 17 del Regolamento (UE) 2016/679 (c.d. General Data Protection Regulation - GDPR). A partire dal momento in cui la rete Internet è divenuta in strumento di diffusione “incontrollata” ed “incontrollabile” di dati, il diritto all’oblio ha assunto una rilevanza sempre più ampia. «Le azioni, le parole e le immagini si trasformano in miriadi di dati, che moltiplicano all’infinito, come in un prisma, i mille diversi aspetti della realtà materiale. Ogni individualità si disarticola e si scompone in tanti frammenti quanti sono i dati e le informazioni che la riguardano. (…). Sulla rete i dati vivono di una vita propria, senza regole e senza possibilità di prevedere tutte le finalità e tutti i contesti in cui saranno utilizzati». Queste parole sono state pronunciate dal Presidente del Garante per la protezione dei dati personali nella Relazione sull’attività dell’Autorità per l’anno 2006 e, a 12 anni di distanza, sono quantomai attuali.

In verità, occorre precisare che la Corte di Cassazione già nel 1998 con la sentenza n. 3679 aveva provato a definire il diritto all’oblio che, per la Corte, rappresenta un’estrinsecazione del diritto alla riservatezza, difatti il diritto a essere dimenticati si sostanzia nell’ «interesse di ogni persona a non restare indeterminatamente esposta ai danni ulteriori che arreca al suo onore e alla sua reputazione la reiterata pubblicazione di una notizia». Dopo qualche anno, con la pronuncia n. 5525 del 2012, la Corte di Cassazione aggiunge che il soggetto cui i dati appartengono può chiedere di evitare che «vengano ulteriormente divulgate notizie che per il trascorrere del tempo risultino ormai dimenticate o ignote alla generalità dei consociati».

Nel 2013, come si diceva, la Corte di Giustizia si pronuncia sul caso Google Spain e la sentenza diviene uno «spartiacque nel digital right to privacy». Secondo i giudici, Google e, più in generale, tutti i motori di ricerca in qualità di “titolari del trattamento”, possono essere i destinatari delle richieste di rimozione dell’indicizzazione da parte del titolare dei dati. Qualora il responsabile del trattamento non dia seguito a tali richieste, l’ interessato può adire l’autorità di controllo o quella giudiziaria affinché queste effettuino le verifiche necessarie e ordinino a detto responsabile l’adozione di misure precise. Con tale pronuncia la Corte, per la prima volta, riconosce il “diritto all’oblio”; il diritto, cioè, a far sì che le informazioni non più attuali né di pubblico interesse vengano eliminate dai risultati prodotti dal motore di ricerca ed impone ai motori di ricerca, a Google in primis, l’applicazione della normativa europea sulla protezione dei dati personali. La natura dell’informazione in questione deve essere posta in bilanciamento con l’interesse del pubblico a disporre di tale informazione, che può variare, in particolare, a seconda del ruolo che tale persona riveste nella vita pubblica. Qualora il diritto alla riservatezza del soggetto prevalga, esso «ha diritto a che l’informazione riguardante la sua persona non venga più collegata al suo nome da un elenco di risultati che appare a seguito di una ricerca effettuata a partire dal suo nome». A seguito della citata sentenza della Corte di giustizia, Google ha dovuto rimuovere un numero estremamente alto di URL indicizzati a fronte di richieste di cancellazione; dai dati risulta che furono quasi 70.000,00 le richieste di rimozione di link arrivate a Google da tutta Europa solo tra il 29 maggio e il 30 giugno 2014. Dall'Italia le richieste sono state circa 6.000,00. Per evitare che l’applicazione del principio enucleato dalla sentenza divenga uno strumento per eliminare notizie non “gradite” al soggetto interessato, si è modulato tale obbligo ritenendo che si debba decidere case by case e che ogni richiesta di cancellazione, come si è detto, vada valutata tenendo in debito conto sia l’interesse pubblico alla conoscenza che il diritto alla privacy dell’individuo.

In Italia, il recepimento del GDPR ha visto un percorso di adeguamento normativo, che si è concluso con l’emanazione del decreto legislativo 10 agosto 2018, n. 101 approvato dal Consiglio dei Ministri nell’8 agosto 2018, in vigore dal 19 settembre 2018, che ha modificato sostanzialmente, secondo quanto previsto dalla legge delega 25 ottobre 2017, n. 163 ,  il c.d. “Codice Privacy” (d. lgs. n. 196/03), in vigore dal 2004. Nel regolamento europeo si definisce, per la prima volta a livello normativo, il diritto all’oblio. L’art. 17 del Regolamento delinea le diverse circostanze che legittimano il diritto alla cancellazione dei propri dati personali. Nello specifico, secondo quanto previsto dal primo comma, l’interessato ha diritto di ottenere, senza ingiustificato ritardo, la cancellazione, dei dati che lo riguardano, da parte del titolare quando ricorra una delle seguenti condizioni: a) se i dati non siano più necessari ai fini del trattamento per il quale sono stati raccolti o trattati; b) nel caso in cui l’interessato revochi il consenso al trattamento dei dati, il periodo di conservazione degli stessi sia spirato oppure quando non vi siano altri legittimi motivi per proseguire il trattamento; c) quando vi sia opposizione da parte dell’interessato al trattamento dei dati personali; d) nell’ipotesi in cui i dati siano stati trattati illecitamente; e) qualora la cancellazione dei dati costituisca adempimento di un obbligo giuridico previsto dal diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento; f) se i dati personali sono stati raccolti relativamente all’offerta di servizi di una società dell'informazione ai minori. Invero, la disposizione, seppure significativa in quanto positivizza il “diritto all’oblio”, non apporta un’innovazione sostanziale rispetto alla disciplina previgente. Infatti, già la direttiva 95/46/CE aveva subordinato – all’art. 12, che disciplina il diritto di accesso, e all’art. 14, che tratta del diritto di opposizione - il diritto alla cancellazione dei dati e di opposizione al trattamento al ricorrere della condizione che il trattamento fosse avvenuto in violazione di legge o in caso di motivi legittimi; tali disposizioni erano poi state attuate nell’ ordinamento italiano all’art. 7, comma 3, lett. b e comma 4 del Codice Privacy. Rilevante è invece l’innovazione, presente nel secondo comma dell’art. 17, che introduce la responsabilità del titolare del trattamento, disponendo che debba cancellare i dati (sempre a patto che la richiesta pervenuta sia legittima), ma anche che sia tenuto, considerando la «tecnologia disponibile e dei costi di attuazione», ad adottare «misure ragionevoli, anche tecniche» per informare i terzi che stanno trattando i dati della richiesta dell’interessato di cancellare «qualsiasi link, copia o riproduzione dei suoi dati personali». Il titolare del trattamento svolge un ruolo da “intermediario” tra l’interessato e gli altri titolari che stanno gestendo i dati oggetto della richiesta di cancellazione.

Non si può concludere questo discorso omettendo di citare le parole di Stefano Rodotà sul punto, il qualche affermava che: «dalla cancellazione alla imposizione. Ieri la damnatio memoriae_, oggi l’obbligo del ricordo. Che cosa diviene la vita nel tempo in cui “Google ricorda sempre”? L’implacabile memoria collettiva di Internet, dove l’accumularsi d’ogni nostra traccia ci rende prigionieri d’un passato destinato a non passare mai, sfida la costruzione della personalità libera dal peso d’ogni ricordo, impone un continuo scrutinio sociale da parte di una infinita schiera di persone che possono facilmente conoscere le informazioni sugli altri. Nasce da qui il bisogno di difese adeguate, che prende la forma della richiesta di diritti nuovi – il diritto all’oblio, il diritto di non sapere, di non essere “tracciato”, rendono suscettibili non solo di più diffusa conoscenza, ma di rielaborazioni continue_».

Brevi note bibliografiche:

Rodotà, Il mondo delle rete. Quali diritti, quali vincoli?, Editori Laterza, Roma-Bari, 2014; Zeno Zencovich, Intorno alla decisione nel caso Schrems: la sovranità digitale e il governo internazionale delle reti di telecomunicazione, in Diritto dell’informazione e dell’informatica, 2015, 683 ss.; Peron, Il diritto all’oblio nell’era dell’informazione on-line, in Responsabilità civile e previdenza, 2014, 1177.

Pubblicato il 28/11/2018