Diritto all'oblio: tra memoria e cancellazione dei dati personali

A cura di E. Brambilla e G. Iovino (partecipanti dell'Executive Master in Giurista d'Impresa)

Fin dall'antichità il linguaggio è stato lo strumento fondamentale per la comunicazione, l'elaborazione, la trasmissione e la conservazione di informazioni. L'invenzione della scrittura prima e l'avvento della stampa poi, hanno aumentato in modo esponenziale la capacità umana di esprimere, custodire e tramandare il sapere portando a una sempre maggiore diffusione delle informazioni. Oggi, con l'uso quotidiano della rete Internet, è possibile sfruttare a pieno un'ampissima gamma di contenuti, ricercando notizie e dati in una memoria immensa e promuovendo la cooperazione, la condivisione e l'uso del sapere immagazzinato dalla rete. Inoltre, grazie alla possibilità, data dai motori di ricerca, di effettuare ricerche rapide nella moltitudine di informazioni presenti online, il recupero delle informazioni è semplice e alla portata di chiunque sia in possesso di un dispositivo connesso alla rete Internet.

In un tale contesto emergono nuove e rilevanti questioni connesse al web e, non ultimo, emerge il delicato tema del diritto all'oblio¹. Prima dello sviluppo della rete Internet le notizie erano lasciate alla sola memoria della carta stampata e perciò venivano velocemente (e facilmente) dimenticate. Il diritto all'oblio poteva quindi riguardare solo le vicende portate (o riportate) alla luce dai giornali e soggette comunque a una rapida dimenticanza in ragione del breve ciclo di vita della carta stampata.

I primi casi in cui la giurisprudenza italiana fu chiamata a pronunciarsi su questioni riconducibili al diritto all'oblio risalgono agli anni Novanta2 e si riferivano in genere alla rievocazione di reati commessi molti anni prima da soggetti che, una volta riemersa la notizia, lamentavano la lesione del proprio interesse a non veder riemergere fatti del passato suscettibili di arrecare pregiudizio alla propria reputazione.

Con l'avvento di Internet gli equilibri sono fortemente mutati e oggi la regola è, a differenza del passato, la conservazione dei dati e delle informazioni caricate online. Ecco quindi che il dibattito sul diritto all'oblio si rivolge principalmente alle questioni concernenti le informazioni presenti sul web e il ruolo svolto dai motori di ricerca³.

Il diritto all'oblio assume una definizione soggetta a diverse sfaccettature. Può essere inteso come "espressione del diritto alla riservatezza e del legittimo interesse di ciascuno a non rimanere indeterminatamente esposto ad una rappresentazione non più attuale della propria persona derivante dalla reiterata pubblicazione di una notizia"⁴. Ancora, può essere inteso come il diritto di ottenere la dimenticanza di informazioni che la tecnologia ha ormai reso impossibile abbandonare. Il diritto all'oblio può essere infine definito come diritto a non essere più ricordato per fatti che in passato furono oggetto di cronaca ma che attualmente non sono più di interesse pubblico⁵.

Al diritto all'oblio si riconosce in modo concorde la natura di situazione giuridica soggettiva e di diritto soggettivo. Il diritto all'oblio si può considerare come proiezione del diritto alla riservatezza in relazione a situazioni che nel momento in cui si sono verificate non rientravano nell'ambito della tutela della riservatezza ma che successivamente, venuta meno l'attualità che in precedenza caratterizzava l'interesse alla conoscenza delle stesse, rientrano nel diritto all'oblio. L'inquadramento concettuale del diritto all'oblio ravviva la distinzione tra diritto all'identità personale e diritto alla riservatezza. Il diritto all'oblio può essere ritenuto una manifestazione del diritto alla riservatezza inteso come non rappresentazione all'esterno delle proprie vicende personali non aventi per i terzi un interesse socialmente apprezzabile. Consegue che, riportare in vita una notizia da lungo tempo non ricordata dagli utenti, non comporti una lesione del diritto all'identità personale ma bensì una lesione del diritto alla riservatezza⁶.

La definizione di diritto all'oblio necessita poi di adattamenti in relazione alle questioni poste dal trattamento dei dati personali nel web e dall'attività svolta dai diversi motori di ricerca disponibili online. In tale contesto la lesione del diritto all'oblio deriva dalla possibilità di rievocare un numero potenzialmente infinito di volte le informazioni immesse nella rete in passato. Su questo particolare aspetto si è innestato l'ormai notorio caso Google Spain vs. Agencia Española de Protección de Datos (di seguito, AEPD) giunto fino ai giudici della Corte di Giustizia dell'Unione Europea⁷.

Il caso riguardava Costeja Gonzalez, cittadino spagnolo, che presentò un reclamo dinanzi alla Agencia Espanola de Protecciòn de Datos (AEPD) contro l'editore di un quotidiano spagnolo, Google Spain e Google Inc. lamentando che, introducendo nel noto motore di ricerca il proprio nome e cognome, chiunque potesse visualizzare alcune pagine della versione online del quotidiano (risalenti a dodici anni prima) in cui compariva un annuncio relativo alla vendita all'incanto di beni immobili del reclamante pignorati per la riscossione coattiva di crediti previdenziali. Il reclamante chiedeva un provvedimento che ordinasse all'editore e a Google di deindicizzare (ossia rimuovere) le pagine recanti i suoi dati dai risultati della ricerca.

L'AEDP rigettò il reclamo verso l'editore dal momento che la pubblicazione delle informazioni relative all'asta era stata imposta da un provvedimento del Ministero del Lavoro (e quindi totalmente lecita) ma lo accolse in relazione alle due società di Google ordinando loro di rimuovere i dati indicizzati e rendere impossibile l'accesso agli stessi. Si può chiaramente ravvisare come il provvedimento dell'AEPD, rigettando il reclamo verso l'editore del quotidiano, non fosse del tutto conforme ai principi elaborati in materia. Il diritto all'oblio viene in rilievo quando un'informazione sia stata legittimamente pubblicata in passato, ma il fatto che la pubblicazione sia stata ordinata da un'autorità statale non sembra essere sufficiente per giustificare la sua permanenza sul sito web.

Nel proseguo della pronuncia la Corte ha elaborato alcune questioni affermando che si configura un trattamento di dati personali ogni qualvolta in una pagina web si faccia riferimento a persone fisiche identificandole con nome e cognome (o altre indicazioni). La raccolta sistematica di dati personali, la loro indicizzazione e messa a disposizione di qualsiasi utente è quindi inquadrabile come trattamento di dati personali. In relazione a questa premessa, la Corte ha quindi indicato il gestore del motore di ricerca come responsabile del trattamento dei dati personali⁸.

La Corte di Giustizia dell'Unione Europea ha giudicato fondato il diritto dell'interessato (persona fisica a cui si riferiscono i dati personali trattati) a chiedere al responsabile del trattamento la cancellazione o il congelamento dei dati personali trattati. È stato quindi deciso che l'autorità giudiziaria o l'autorità di controllo adita (in questo caso si trattava della Agencia Española de Protección de Datos), all'esito della valutazione dei presupposti per l'esercizio del diritto di cancellazione, possa ordinare al gestore del motore di ricerca di sopprimere dall'elenco dei risultati i link verso pagine pubblicate da terzi contenenti dati personali relative all'interessato. Decidendo in tale direzione la Corte ha di fatto escluso che possa esistere un ordine dell'autorità adita a cancellare i dati personali dalla pagina web che li aveva in precedenza pubblicati. La Corte dissocia così i due piani della questione: fa gravare sul gestore del motore di ricerca l'onere di provvedere alla rimozione del dato dall'indicizzazione al cui trattamento l'interessato si è opposto, ma il dato personale rimarrà presente sulla pagina web dove era stato lecitamente pubblicato precedentemente.

Questa particolare decisione è stata giustificata in virtù della difficoltà di assicurare una tutela efficace nel caso di richiesta di cancellazione dei dati personali rivolta agli editori dei siti web tenuto conto anche della possibilità che gli stessi dati siano stati già ripubblicati su molte altre pagine web. Si consideri inoltre che una richiesta di questo tipo rivolta all'editore può essere del tutto inutile quando la pubblicazione delle informazioni sia stata legittima ovvero quando il trattamento delle medesime sia stato a solo scopo giornalistico.

In sintesi, la Corte di Giustizia dell'Unione Europea fa ricadere la responsabilità sul gestore del motore di ricerca caricandolo dell'onere di cancellare il link dai risultati delle ricerche. Dal noto caso Google Spain vs AEDP e da altri casi analizzati dalle giurisprudenze statali e non⁹, si è infine giunti alla scrittura del Regolamento n. 2016/679 del Parlamento europeo e del Consiglio relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali (di seguito, GDPR). La natura di questo Regolamento è chiaramente quella di fungere da testo unico col fine di riordinare e razionalizzare le disposizioni precedentemente emanate e l'esperienza maturata nell'ambito del trattamento di dati personali in ambito europeo¹⁰.

Uno dei desideri alla base della scrittura del GDPR era quello di introdurre una precisa definizione del diritto all'oblio come approdo finale del principio sancito dalla sentenza della Corte di Giustizia europea del 13 maggio 2014. Il risultato finale però è stato definito da molti come poco innovativo. La disposizione riconosce l'esistenza del diritto all'oblio ma senza riportarne una disciplina compiuta. Parte della dottrina non ha mancato di evidenziare come anche la rubrica della stessa disposizione portasse in grembo diversi dubbi e ripensamenti circa la possibilità di far coincidere il diritto all'oblio con il diritto alla cancellazione dei dati¹¹.

L'art. 17 GDPR rubricato "Diritto alla cancellazione (diritto all'oblio)" stabilisce che l'interessato "ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano". La stessa disposizione incarica il titolare del trattamento¹² di dar seguito alla richiesta dell'interessato senza ingiustificato ritardo.

Di seguito (sempre al paragrafo 1) si elencano i motivi che possono sorreggere la richiesta dell'interessato individuando fra questi i casi in cui: i dati personali non siano più necessari rispetto alle finalità per le quali sono stati in precedenza raccolti; l'interessato abbia revocato il consenso al loro trattamento o egli stesso si opponga al trattamento ai sensi dell'art. 21, par. 1 del GDPR (Diritto di opposizione) e non sussista alcun motivo legittimo prevalente per procedere al trattamento, oppure si oppone al trattamento ai sensi dell'art. 21, par. 2 del GDPR; i dati personali siano stati trattati illecitamente; i dati personali debbano essere cancellati in virtù di un obbligo legale previsto dal diritto dell'Unione Europea o dello Stato membro a cui è soggetto il titolare del trattamento.

Il paragrafo 2 della disposizione indica che qualora il titolare del trattamento abbia pubblicato dati personali e sia ora obbligato a cancellarli, debba adottare tutte le misure tecniche adeguate a informare i titolari del trattamento che stanno trattando i dati personali della richiesta pervenuta dall'interessato. Da più lati si è criticata la mancata presa di posizione circa le "misure adeguate" da prendere per assolvere alle richieste formulate dagli interessati, di fatto la norma lascia aperta una questione con importanti ricadute.

Infine, l'art. 17, par. 3 GDPR elenca i casi esclusi dall'applicazione del diritto alla cancellazione dei dati personali per bilanciamento con altri diritti o interessi legittimi e tutelati dall'ordinamento, in particolare:

a) esercizio del diritto alla libertà di espressione e di informazione;

b) adempimento di un obbligo giuridico che richieda il trattamento previsto dal diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento, esecuzione di un compito svolto nel pubblico interesse oppure nell'esercizio di pubblici poteri di cui è investito il titolare del trattamento;

c) interesse pubblico nel settore della sanità pubblica in conformità dell'art. 9, par. 2, lettere h) e i), e dell'art. 9, par. 3;

d) archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici conformemente all'art. 89, par. 1, nella misura in cui il diritto di cui al par. 1 rischi di rendere impossibile o di pregiudicare gravemente il conseguimento degli obiettivi di tale trattamento;

e) accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria.

Nella prassi, nonostante l’introduzione dell'art. 17 GDPR, la giurisprudenza ha trovato difficoltà nell’applicare ai casi concreti i principi cardine di tale articolo soprattutto per quanto riguarda il bilanciamento tra il diritto all’oblio e altri diritti garantiti dall’ordinamento. La Corte di Cassazione, con ordinanza interlocutoria del 5 novembre 2018, n. 28084 (relativa alla pronuncia Cass. Civile 20 marzo 2018, n. 6919), ha affrontato una questione legata al diritto di cronaca, il quale, come enunciato dall’art. 17 GDPR, può costituire un limite opponibile al diritto all'oblio. La Suprema Corte, analizzando il bilanciamento tra diritto all’oblio e diritto di cronaca ha rilevato che, alla luce del vigente quadro normativo e giurisprudenziale nazionale ed europeo, si configurerebbe come questione di massima importanza una pronuncia delle Sezioni Unite relativa all’individuazione di criteri univoci al fine di effettuare nel concreto un bilanciamento tra il diritto all’oblio con altri diritti altrettanto tutelati dall’ordinamento. Il ragionamento sotteso a tale affermazione risiede nel fatto che lo stesso principio di certezza del diritto impone l’individuazione di criteri univoci da applicare nei casi concreti, al fine di conoscere in modo preventivo, nel caso di specie, i casi in cui il diritto di cronaca può prevalere legittimamente sul diritto all’oblio, e di conseguenza, determinare quando sulla base di un pubblico interesse, la ripubblicazione di vicende passate del singolo soggetto non violino il diritto di quest’ultimo ad essere “dimenticato”.

Possiamo dire ad oggi che il diritto all'oblio è riconosciuto nell'ordinamento europeo come il diritto di ottenere la rimozione dei propri dati personali secondo quanto indicato all'art. 17 GDPR¹³. Il diritto all'oblio è quindi definibile come la possibilità di essere "dimenticati" dalla moltitudine di utenti che ogni giorno affolla la rete Internet impedendo che il proprio nome venga associato a fatti e a vicende lontane nel tempo, non più appartenenti alla propria identità personale di oggi, ben diversa da quella del passato¹⁴.

In conclusione, il diritto all'oblio può essere interpretato anche come protezione della personalità e dell'identità personale dell'individuo. Far sì che non vengano riportati alla luce fatti lontani nel tempo legati a un consociato può essere un valido strumento per favorirne lo sviluppo della personalità lasciando "cadere" aspetti non più oggi caratterizzanti la persona a cui erano riferiti.

In fondo, è davvero bene ricordare proprio tutto?

____________________________

¹ D. Miniussi, Il "diritto all'oblio": i paradossi del Caso Google, in Rivista Italiana di Diritto Pubblico Comunitario, 2015,1, 209.

² Cass. civ., sez. III, 9 aprile 1998, n. 3679 in Danno e responsabilità, 1998, 882.

³ G. E. Vigevani, Diritto all'informazione e privacy nell'ordinamento italiano; regole ed eccezioni, in Diritto

dell'Informazione e dell'Informatica, 2016, 3, 473.

⁴ S. Martinelli, Diritto all'oblio e motori di ricerca: il bilanciamento tra memoria e oblio in Internet e le problematiche poste dalla de-indicizzazione, in Diritto dell'Informazione e dell'Informativa, 2017, 3, 565.

⁵ S. Martinelli, Diritto all'oblio e motori di ricerca: il bilanciamento tra memoria e oblio in Internet e le problematiche poste dalla de-indicizzazione, cit., 570.

⁶ D. Miniussi, Il "diritto all'oblio": i paradossi del Caso Google, in Rivista Italiana di Diritto Pubblico Comunitario, 2015, 1, 209

⁷ Corte di Giustizia dell'Unione Europea (Grande Sezione), 13 maggio 2014, causa C-131/12.

⁸ Oggi la norma di riferimento per questa figura è l'art. 28 del Regolamento Europeo n. 679/2016 (GDPR).

⁹ Corte Europea dei Diritti dell'Uomo, sentenza 28 giugno 2018, C-60798/10 e 65599/10.

¹⁰ Direttiva Europea 1995/46/CE relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati recepita in Italia con il decreto legislativo 30 giugno 2003 n. 196 (Codice in materia di protezione dei dati personali); Corte di Giustizia dell'Unione Europea Grande Sezione, 13 maggio 2014, n. 131, causa C-131/12; art. 8 Carta dei diritti fondamentali dell'Unione Europea; Direttiva UE 27 aprile 2016, n. 680.

¹¹ D. Barbierato, Osservazioni sul diritto all'oblio e la (mancata) novità del Regolamento UE 2016/679 sulla protezione dei dati personali, in Responsabilità civile e Previdenza, 2017, 6, 2100.

¹² Art. 4, punto 7 GDPR: "persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali (...)".

¹³ Corte di Giustizia dell'Unione Europea, Grande Sezione, 13 maggio 2014, n. 131, causa C-131/12.

¹⁴ F. Barra Caracciolo, La tutela della personalità in Internet, in Diritto dell'Informazione e dell'Informatica, 2018, 2, 201.

BIBLIOGRAFIA

• Barra Caracciolo F., La tutela della personalità in Internet, in Diritto dell'Informazione e dell'Informatica, 2018, 2.
• Barbierato D., Osservazioni sul diritto all'oblio e la (mancata) novità del Regolamento UE 2016/679 sulla protezione dei dati personali, in Responsabilità civile e Previdenza, 2017, 6.
• Martinelli S., Diritto all'oblio e motori di ricerca: il bilanciamento tra memoria e oblio in Internet e le problematiche poste dalla de-indicizzazione, in Diritto dell'Informazione e dell'Informativa, 2017, 3.
• Miniussi D., Il "diritto all'oblio": i paradossi del Caso Google, in Rivista Italiana di Diritto Pubblico Comunitario, 2015, 1.
• Vigevani G. E., Diritto all'informazione e privacy nell'ordinamento italiano; regole ed eccezioni, in Diritto dell'Informazione e dell'Informatica, 2016, 3.

PRONUNCE

• Cass. civ., sez. III, 9 aprile 1998, n. 3679.
• Corte di Giustizia dell'Unione Europea (Grande Sezione), 13 maggio 2014, causa C-131/12.
• Corte Europea dei Diritti dell'Uomo, sentenza 28 giugno 2018, C-60798/10 e 65599/10.

>> Master per Giusristi