Diritto all’oblio e web

A cura dell’Avv Chiara Parasiliti

Immagine generata con IA  su prompt personale

Definizione del Diritto all’Oblio

Il diritto “all’oblio” è il diritto che consente agli individui di richiedere, senza ingiustificato ritardo, la cancellazione dei propri dati personali quando ricorrano determinati motivi.

1. Non più necessario: I dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati.

Una volta che il motivo per il quale i dati sono stati raccolti viene meno, i dati devono essere cancellati.

In questo caso il Titolare dovrebbe agire autonomamente alla cancellazione, non essendo una richiesta esplicita da parte dell’interessato poiché in mancanza starebbe effettuando un trattamento illecito dei dati.

2. Revoca del consenso: L’interessato revoca il consenso su cui si basava il trattamento e non sussiste un altro fondamento giuridico per il trattamento.

Questo diritto si innesta, quindi, nel contesto più ampio del consenso al trattamento dei dati personali.

L’assenza di un consenso esplicito, infatti, impone la cancellazione dei dati relativi all’interessato.

Ma è importante sottolineare come ogni persona ha il diritto di chiedere la cancellazione dei propri dati anche se ha revocato il consenso precedentemente accordato.

3. Opposizione al trattamento: L’interessato si oppone al trattamento e non sussiste alcun motivo legittimo prevalente per procedere al trattamento.

Il diritto all’opposizione è esercitabile specialmente contro il trattamento dei dati per finalità di marketing diretto, incluso la profilazione, o quando il trattamento si basa su interessi legittimi.

4. Trattamento illecito: I dati personali sono stati trattati illecitamente.

In caso di trattamento illecito dei dati, questi devono essere eliminati, e in caso di mancato adempimento, sono previste sanzioni da parte dell’autorità garante.

5. Obblighi legali: I dati personali devono essere cancellati per adempiere a un obbligo legale nell’Unione Europea o negli Stati membri.
6. Consenso dei minori: I dati personali sono stati raccolti in relazione all’offerta di servizi della società dell’informazione a minori di 16 anni.

Occorre ricordare che il GDPR tutela unicamente le persone fisiche, di conseguenza, il diritto all’oblio non potrà essere invocato aziende per rimuovere informazioni che le riguardano.

Il bilanciamento tra informazione e privacy

Il diritto all’oblio non è assoluto.

Esso deve essere bilanciato con altri diritti quali:

• diritto alla libertà di espressione e di informazione;
• l’adempimento di un obbligo giuridico per l’adempimento di un obbligo o l’esecuzione di un compito di pubblico interesse oppure nell’esercizio di pubblici poteri di cui è investito il titolare del trattamento;

• interesse pubblico in campo sanitario;
• ricerca storica, scientifica o statistica;
•  per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria.

Responsabilità del Titolare del Trattamento

Il Considerando 59 del GDPR stabilisce che il titolare deve prevedere modalità volte ad agevolare l’esercizio dei diritti da parte dell’interessato potendo operare una valutazione circa la sussistenza del diritto.

Al termine della valutazione il Titolare del trattamento, se il diritto alla cancellazione non è applicabile, deve notiziare l’interessato motivando il rifiuto alla cancellazione. 

Se, invece, il diritto alla cancellazione è applicabile, il Titolare del trattamento deve:

• rimuovere “senza ingiustificato ritardo” le informazioni;
• comunicare la cancellazione a ciascuno dei destinatari cui sono stati trasmessi i dati;
• in caso di dati “resi pubblici” (ad esempio perché pubblicati su un sito web) informare della richiesta di cancellazione altri titolari che trattano i dati personali cancellati, compresi “qualsiasi link, copia o riproduzione”

Diritto all’oblio e web

Il diritto all’oblio nel mondo digitale, caratterizzato dalla “condivisione” (sharing) dei contenuti, è strettamente collegato non solo alla cancellazione delle informazioni da parte del Titolare ma, anche, all’eliminazione delle successive ripubblicazioni da parte di terzi soggetti.

Anche la Riforma Cartabia ha affrontato la questione con l’art. 64-ter disp. att. c.p.p. “il diritto all’oblio per imputati e indagati” che così dispone « La persona nei cui confronti sono stati pronunciati una sentenza di proscioglimento o di non luogo a procedere ovvero un provvedimento di archiviazione può richiedere che sia preclusa l’indicizzazione o che sia disposta la deindicizzazione, sulla rete internet, dei dati personali riportati nella sentenza o nel provvedimento, ai sensi e nei limiti dell’articolo 17 del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016. Resta fermo quanto previsto dall’articolo 52 del decreto legislativo 30 giugno 2003, n. 196 […]».

Ciò significa che una persona assolta o contro la quale è stata emessa una decisione di non perseguibilità o un ordine di archiviazione può richiedere la deindicizzazione dei propri dati personali da Internet.

In questo contesto, il diritto degli interessati ad ottenere deindicizzate dalla ricerca delle proprie informazioni personali, creando in linea teorica, una impossibilità di trovarle sul Web, fu consacrato la sentenza Costeja della Corte di Giustizia dell’Unione Europea.

Ma per comprendere la portata del problema occorre precisare che l’informazione non viene eliminata, essa continuerà ad essere presente in rete.

Le linee guida 05/2019 dell’European Data Protection Board (EDPB) sui criteri per l’esercizio del diritto all’oblio nel caso dei motori di ricerca spiegano, infatti, che «Se un interessato ottiene la deindicizzazione di un particolare contenuto, ciò determina la cancellazione di tale contenuto specifico dall’elenco dei risultati di ricerca relativi all’interessato, quando la ricerca è, in via generale, effettuata a partire dal suo nome. Il contenuto resterà tuttavia disponibile se vengono utilizzati altri criteri di ricerca […] Ad esempio, un interessato può richiedere la rimozione dall’indice di un motore di ricerca di dati personali provenienti da un mezzo di comunicazione, quale un articolo di giornale. In questo caso, il link ai dati personali può essere rimosso dall’indice del motore di ricerca, ma l’articolo in questione resterà comunque sotto il controllo del mezzo di comunicazione e può rimanere pubblicamente disponibile e accessibile, sebbene non sia più visibile nei risultati di ricerca basati sulle interrogazioni che includono, in linea di principio, il nome dell’interessato.»

Il problema della identificabilità è stato affrontato, da ultimo, dalla Corte di Giustizia dell’Unione Europea, con la sentenza del 7/3/2024, nella causa C-479/22, che ha evidenziato come, con ricerche incrociate su Internet, sia facile abbinare informazioni, in partenza non nominative, alla persona cui si riferiscono.

La persona è identificabile, secondo la Corte UE, anche quando si possa arrivare all’identità, a partire da informazioni non nominative, utilizzando l’insieme dei fattori oggettivi, tra cui i costi e il tempo necessari per l’identificazione, tenendo conto sia delle tecnologie disponibili al momento del trattamento sia degli sviluppi tecnologici.

La sentenza della Corte di Giustizia dell’Unione Europea del 7/3/2024 sull’identificabilità delle persone su Internet rafforza l’importanza della protezione dei dati personali e la necessità di utilizzare tecniche come l’anonimizzazione e la pseudonimizzazione per proteggere la privacy degli individui.

Disclaimer