Come scomparire dalla rete: dalla sentenza Google Spain ad oggi.
Di diritto all'oblio si è cominciato a parlare, sia in dottrina che in giurisprudenza, verso la seconda metà degli anni '50, allorquando si sono presentati i primi casi di persone che si erano sentite danneggiate da una ripubblicazione, a distanza di molto tempo dall'accaduto, di un fatto che le aveva viste protagoniste, o anche solamente coinvolte, e che era stato reso pubblico in nome - ed “in forza” - del diritto di cronaca, notizie che per il trascorrere del tempo risultavano oramai dimenticate o ignote alla generalità dei consociati.
Si comincia così a parlare di diritto al segreto del disonore inteso come diritto della persona a mantenere il segreto o il riserbo in merito a fatti di cronaca che ne avevano compromesso l'immagine pubblica, e che con il passare del tempo, non essendo più attuali, si riteneva fossero oramai entrati a fare parte della sfera privata, sottratti, in quanto tali, a qualsiasi loro nuova pubblicazione e diffusione.
Dopo alterne vicende, la Suprema Corte di Cassazione con la sentenza n. 36796 del 1998 riconosce finalmente il diritto all'oblio come: "Il giusto interesse di ogni persona a non restare indeterminatamente esposta ai danni ulteriori che arreca al suo onore e alla sua reputazione la reiterata pubblicazione di una notizia in passato legittimamente divulgata" … "salvo che eventi sopravvenuti rendano nuovamente attuali quei fatti, facendo sorgere un nuovo interesse pubblico alla divulgazione dell’informazione"; ma con l’avvento di Internet tutto cambia.
Nel World Wide web, grazie alla digitalizzazione degli archivi dei giornali e all'esistenza dei motori di ricerca qualsiasi informazione resta per sempre, e come tale può essere oggetto di infinite ripubblicazioni. Accanto al diritto all’oblio nasce, dunque, anche il diritto all'identità dinamica (1) come diritto a che la propria identità sia comunicata/trasmessa/riferita sempre aggiornata e contestualizzata.
Difatti, è con la sentenza 5 aprile 2012, n. 5525 che la S.C. di Cassazione afferma il diritto della persona ad essere riconosciuta per il suo attuale modo di essere nel mondo. "L'interessato ha diritto a che l'informazione oggetto di trattamento risponda ai criteri di proporzionalità, necessità pertinenza allo scopo, esattezza e coerenza con la sua attuale ed effettiva identità personale o morale" - giungendo, per questo, ad equiparare le notizie non aggiornate alle notizie parzialmente vere e dunque a quelle false.
A seguito della evoluzione normativa e giurisprudenziale, il discorso si è dunque spostato sul piano del trattamento dei dati, ma se a ciascuno di noi vengono dunque riconosciuti il diritto all'oblio ed alla identità dinamica, con il conseguente diritto a chiedere ed ottenere, in via preventiva, la cancellazione del dato, e sul piano della tutela giurisdizionale, sia cautelare che risarcitoria, anche la sua integrazione ed attualizzazione, a chi ci possiamo/dobbiamo rivolgerci? Chi è il proprietario dei nostri dati, ossia chi è il titolare dei dati ed il responsabile del trattamento dei nostri dati?
La sentenza Google Spain
A quest'ultimo proposito, la sentenza Google Spain della Corte di Giustizia Europea (2) si presenta quale pietra miliare del riconoscimento del diritto all'oblio a livello europeo, indicando il soggetto al quale dobbiamo rivolgerci al fine di chiedere la deindicizzazione di contenuti idonei capaci di ledere il nostro diritto all'oblio. Nella succitata sentenza, la Corte stabilisce che per chiedere la deindicizzazione di determinati contenuti dobbiamo rivolgerci direttamente al motore di ricerca che dovrà provvedere a cancellare il collegamento (link) tra il proprio archivio dati ed il sito (detto sito sorgente) che per primo ha pubblicato la notizia.
La Corte di Giustizia Europea non potendosi sostituire al Legislatore, sia esso comunitario che nazionale, finisce, tuttavia, con il riconoscere al motore di ricerca un potere enorme, restando quest'ultimo libero di decidere se concedere o meno il diritto all'oblio alla persona che lo richiede a causa della mancanza di una normativa specifica che disciplini la materia.
Ciononostante, l'importante risultato a cui la Corte giunge resta quello di qualificare l'attività di raccolta sistematica di informazioni, di indicizzazione e messa a disposizione degli utenti di una innumerevole quantità di dati, quale trattamento di dati personali, di conseguenza qualificando il motore di ricerca quale titolare del trattamento dei dati stessi.
E’ per questo che a seguito della pronuncia della Corte di Giustizia Europea, il motore di ricerca Google mette finalmente a disposizione dei propri utenti una pagina internet ed un modulo per chiedere la deindicizzazione e fare così valere il proprio diritto all'identità dinamica.
Altro problema da non sottovalutare è l'elevato numero dei motori di ricerca, ciascuno dei quali agisce del tutto autonomamente rispetto agli altri. Ciò significa che ottenuta da Google la deindicizzazione di un determinato contenuto, i nostri dati non saranno comunque cancellati ovunque e per sempre, restando sempre presenti e recuperabili in altri motori di ricerca.
Ciò posto, il General Data Protection Regulation Act 679/2016, ha inteso tutelare il diritto all’oblio attraverso la previsione di una specifica disposizione, l’articolo 17, rubricato: “Diritto alla cancellazione («diritto all'oblio»)” (4). Ad avviso di chi scrive, questo articolo 17 presenta diversi punti deboli. In primo luogo, in esso non é presente il termine “diritto all’oblio”, avendo i suoi autori utilizzato il sostantivo “cancellazione”, che poco ha in comune con il diritto all’oblio.
Chi si approccia alla lettura di tale disposizione rischia dunque di confondere, inevitabilmente, i due diritti. In secondo luogo, l'articolo in esame si scontra con la sentenza Google Spain, nella parte in cui quest'ultima dispone che il titolare dei dati può chiedere a chiunque la deindicizzazione di determinati contenuti. Difatti, tale principio non viene in alcun modo positivizzato nel GDPR che dispone che la cancellazione può essere chiesta solamente al primo titolare del trattamento, ossia solamente a colui che per primo ha pubblicato tali contenuti, ignorando del tutto il fatto che il primo titolare del trattamento può avere liberamente comunicato ad altri – titolari di secondo grado – i contenuti oggetto della istanza di cancellazione di cui si discute. Anche in questo caso, dunque, la norma pecca di tutela nei confronti del titolare dei dati, o meglio, in base alla lettura del suo comma 2, sembra volere privilegiare la figura del titolare del trattamento nella misura in cui subordina l'obbligo di comunicazione dell'istanza di cancellazione ai titolari del trattamento di secondo grado ai "costi di attuazione e alle tecnologie a disposizione” facendo conseguire tale valutazione a delle non meglio specificate misure ragionevoli".
Tuttavia, leggendo altre disposizioni del General Data Protection Regulation Act, sembrano profilarsi nuove soluzioni. L’articolo 16, ad esempio, titolato “Diritto di rettifica” (6) sancisce il diritto all’integrazione e all’aggiornamento dei dati personali. Esso deve essere letto in combinato disposto con l’articolo 5 , il quale al comma 1, sancisce i principi applicabili ai dati personali, in particolare alla lettera d) viene stabilito il principio di esattezza dei dati personali, essi devono essere “esatti e, se necessario, aggiornati”. Il principio di aggiornamento dei dati personali era stato già fissato dalla Corte di Cassazione nel 2012 (7).
Oltre all'articolo 16, anche l'articolo 18 (8) si presenta idoneo al fine di tutelare il diritto all'oblio. L'articolo 18 stabilisce il diritto di limitazione al trattamento dei dati personali. A differenza dell'articolo 16 l'articolo 18 presenta dei limiti, esso di fatti presenta il limite temporale, la limitazione di fatti non può essere illimitata bensì temporanea.
Infine, a tutela del diritto all’oblio può essere invocato altresì l’articolo 21 (9), in base alle linee guida sui criteri per l’esercizio del diritto all’oblio nel caso dei motori di ricerca, pubblicata dall’European Data Protection Board (10), adottate il 2 dicembre 2019: il diritto di opposizione previsto dall’articolo 21, paragrafo 1, offre maggiori garanzie agli interessati, dato che il suddetto articolo non limita i motivi in base ai quali il soggetto interessato può chiedere la limitazione al trattamento dei dati personali, come invero fa l’articolo 17, paragrafo 1.
In conclusione, dare una tale discrezionalità ai motori di ricerca nella decisione sulla concessione o meno del diritto all'oblio al soggetto che si sente leso, non può essere la soluzione. Al fine di ricevere una tutela più concreta il titolare dei dati personali può rivolgersi (oltre che al giudice ordinario) al Garante privacy (11), avendo quest'ultimo quale compito principale quello di garantire la tutela dei diritti e delle libertà fondamentali in tutti i settori, pubblici e privati, nei quali occorra assicurare il corretto trattamento dei dati personali.
"Anche se è eccessivo e persino pericoloso, noi siamo i nostri dati"
Stefano Rodotà
Note al testo
[1] Sul concetto di diritto dinamico si veda: DI Ciommo F., Il diritto all'oblio (oblito) nel regolamento UE 2016/679 sul trattamento dei dati personali, in Foro it., V, 2017.
[2] Sentenza della Corte di Giustizia Europea C-131/12, 13 maggio 2014, il testo della sentenza può essere consultato all'URL: https://urly.it/368c_
[3] La deindicizzazione di un contenuto comporta la cancellazione del link esistente tra il motore di ricerca e il sito sorgente, il sito che per primo ha pubblicato il contenuto di cui si chiede la deindicizzazione. Questa operazione comporta l’impossibilità di rinvenire tale contenuto attraverso la ricerca per parole chiavi nel motore di ricerca.
[4] General Data Protection Regulation Act 679/2016, articolo 17, “Diritto alla cancellazione (“diritto all’oblio”)”:
- L'interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l'obbligo di cancellare senza ingiustificato ritardo i dati personali, se sussiste uno dei motivi seguenti:
a) i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati;
b) l'interessato revoca il consenso su cui si basa il trattamento conformemente all'articolo 6, paragrafo 1, lettera a), o all'articolo 9, paragrafo 2, lettera a), e se non sussiste altro fondamento giuridico per il trattamento;
c) l'interessato si oppone al trattamento ai sensi dell'articolo 21, paragrafo 1, e non sussiste alcun motivo legittimo prevalente per procedere al trattamento, oppure si oppone al trattamento ai sensi dell'articolo 21, paragrafo 2;
d) i dati personali sono stati trattati illecitamente;
e) i dati personali devono essere cancellati per adempiere un obbligo legale previsto dal diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento;
f) i dati personali sono stati raccolti relativamente all'offerta di servizi della società dell'informazione di cui all'articolo 8, paragrafo 1.
- Il titolare del trattamento, se ha reso pubblici dati personali ed è obbligato, ai sensi del paragrafo 1, a cancellarli, tenendo conto della tecnologia disponibile e dei costi di attuazione adotta le misure ragionevoli, anche tecniche, per informare i titolari del trattamento che stanno trattando i dati personali della richiesta dell'interessato di cancellare qualsiasi link, copia o riproduzione dei suoi dati personali.
- I paragrafi 1 e 2 non si applicano nella misura in cui il trattamento è necessario: “per l'esercizio del diritto alla libertà di espressione e di informazione […]”.
[5] General Data Protection Regulation Act 679/2016, articolo 16, “Diritto di rettifica”: L'interessato ha il diritto di ottenere dal titolare del trattamento la rettifica dei dati personali inesatti che lo riguardano senza ingiustificato ritardo. Tenuto conto delle finalità del trattamento, l'interessato ha il diritto di ottenere l'integrazione dei dati personali incompleti, anche fornendo una dichiarazione integrativa.
[6] General Data Protection Regulation Act 679/2016, articolo 5, “Principi applicabili al trattamento dei dati personali” comma 1, lettera d): I dati personali sono: “esatti, e, se necessario, aggiornati; devono essere adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità per le quali sono trattati.”
[7] Si veda la Cassazione civile, sez. III, n. 5525 del 2012.
[8] General Data Protection Regulation Act 679/2016, articolo 18, “Diritto alla limitazione del trattamento”: L'interessato ha diritto di ottenere dal titolare del trattamento la limitazione del trattamento qualora si verifichi una delle seguenti condizioni:
a) l'accuratezza dei dati personali è contestata dall'interessato, per un periodo che consente al responsabile del trattamento di verificare l'accuratezza dei dati personali;
b) il trattamento è illecito e l'interessato si oppone alla cancellazione dei dati personali e richiede invece la limitazione del loro utilizzo;
c) il responsabile del trattamento non ha più bisogno dei dati personali ai fini del trattamento, ma sono richiesti dall'interessato per l'istituzione, l'esercizio o la difesa di rivendicazioni legali;
d) l'interessato si è opposto al trattamento ai sensi dell'articolo 21, paragrafo 1, in attesa della verifica se i motivi legittimi del responsabile del trattamento prevalgono su quelli dell'interessato. Laddove il trattamento sia stato limitato ai sensi del paragrafo 1, tali dati personali, ad eccezione della conservazione, devono essere trattati solo con il consenso dell'interessato o per l'istituzione, l'esercizio o la difesa di rivendicazioni legali o per la protezione dei diritti di un’altra persona giuridica o per motivi di rilevante interesse pubblico dell'Unione o di uno Stato membro. Una persona interessata che ha ottenuto la limitazione del trattamento ai sensi del paragrafo 1 è informata dal responsabile del trattamento prima che la limitazione del trattamento sia revocata”.
[9] General Data Protection Regulation Act 679/2016, articolo 21, comma 1, “Diritto di opposizione”: “L'interessato ha diritto di opporsi, per motivi connessi alla propria situazione particolare, in qualsiasi momento al trattamento dei dati personali che lo riguardano che si basa sull'articolo 6, paragrafo 1, lettera e) of) ), compresa la profilazione basata su tali disposizioni. Il responsabile del trattamento non tratta più i dati personali a meno che il responsabile del trattamento non dimostri validi motivi legittimi per il trattamento che prevalgono sugli interessi, i diritti e le libertà dell'interessato o per l'istituzione, l'esercizio o la difesa di rivendicazioni legali”.
[10] European Data Protection Board, maggio 2019, Guidelines 5/2019 on the criteria of the Right to be Forgottenin the search engines cases under the GDPR (part 1): “The Right to object affords stronger safeguards to data subjects since it does not restrict the grounds according to which The Right to object affords stronger safeguards to data subjects since it does not restrict the grounds according to which data subject may request delisting as under Article 17.1 GDPR. may request delisting as under Article 17.1 GDPR". Link: https://urly.it/368d5
[11] Il Garante per la protezione dei dati personali è un organo indipendente e collegiale, istituito con la legge n. 675 del 1996: i membri del suddetto organo non subiscono pressioni né dirette e né indirette. Esso è composto da quattro componenti due eletti dalla Camera dei deputati e due dal Senato della Repubblica. I componenti vengono scelti tra soggetti capaci di garantire indipendenza e che siano esperti nelle materie del diritto o dell’informatica, in particolare nel settore della protezione dei dati personali. Tra le funzioni del Garante Privacy troviamo quella di controllo, consulenza, promozione della conoscenza del contenuto del regolamento; in particolare, promuove la consapevolezza dei titolari e dei responsabili del trattamento riguardo agli obblighi a loro imposti dal regolamento.
Archivio news