Il diritto all'oblio, inizialmente riconosciuto soltanto a livello giurisprudenziale sia in campo europeo che nazionale, con l'entrata in vigore del nuovo Regolamento Generale sulla Protezione dei Dati Personali (RGPD, Regolamento UE 2016/679) riceve finalmente un'espressa regolamentazione che ne indica portata e limiti.
Questo diritto, che non ha carattere assoluto in quanto dev'essere inevitabilmente contemperato con altri interessi (primo fra tutti il diritto di cronaca), può essere definito come l'interesse di un singolo ad essere dimenticato: la sua esplicazione consiste nella cancellazione dei contenuti, dalle varie pagine web, di precedenti informazioni (spesso pregiudizievoli come ad esempio precedenti penali) che non rappresentano più la vera identità dell'interessato.
Vi è, dunque, la possibilità di richiedere l'eliminazione di notizie relative a fatti avvenuti in passato per tutelare la riservatezza e l'identità personale attuale di un soggetto.
Quanto detto, tuttavia, non può avvenire in modo incondizionato e, prima le Corti nazionali e comunitarie, poi la regolamentazione del RGPD hanno stabilito quali debbano essere le condizioni necessarie per un corretto esercizio di questo diritto, soprattutto ai fini della sua compatibilità con il diritto d'informazione che, nei casi in cui le notizie siano attuali e di interesse pubblico, dovrà comunque prevalere sull'interesse del singolo.
Nell'articolo tratterò inizialmente dell'iter giurisprudenziale che ha portato alla regolamentazione del diritto all'oblio, per poi analizzare la disciplina dettata dal RGPD.
Gli sviluppi giurisprudenziali
Il tema, prima della sua esplicita regolamentazione, è stato più volte portato all'attenzione dei giudici e, prima la Corte di Giustizia a livello europeo, poi la Cassazione a livello nazionale, ne hanno indicato limiti e portata, tracciando già, a grandi linee, la stessa disciplina che adesso si rinviene all'interno del RGPD.
La Corte di Giustizia si è pronunciata sulla questione con una sentenza del 2014 (causa C-131/12) nella quale veniva riconosciuto a un soggetto il diritto di richiedere la deindicizzazione di una determinata informazione sul web, in quanto interesse prevalente rispetto a quello economico del gestore del sito web (obbligato dunque alla cancellazione), ma non su quello di informazione degli utenti della rete: quando la notizia è attuale e di interesse pubblico, l'informazione prevale sul diritto alla riservatezza.
Anche la Corte di Cassazione veniva chiama ad esprimersi sulla questione (sent. 23771/15) e dopo aver ribadito la possibilità per un soggetto di richiedere l'eliminazione dei link contenenti notizie per lui pregiudizievoli, nel caso di specie, rigettava le richieste dell'interessato stabilendo, sulle basi dell'appena citata sentenza della Corte di Giustizia, che quando la notizia è recente e meritevole di attenzione da parte della collettività, sarà sempre il diritto di cronaca a prevalere.
La Suprema Corte ha comunque precisato che qualora non ricorrano questi due ultimi elementi (attualità ed interesse pubblico), il gestore di ricerca è obbligato alla deindicizzazione dei dati e, in caso contrario, l'interessato è legittimato a ricorrere alle autorità competenti: Garante per la protezione dei dati e giudici.
Prima di passare all'analisi dell'attuale regolamentazione è opportuno analizzare altresì le precisazioni effettuate dal Garante della Privacy in merito a quest'istituto (newsletter 400/2015).
Anche il Garante è in linea con le decisioni dei giudici nazionali e comunitari: a suo dire è necessario, ai fini dell'esercizio del diritto, che sia trascorso un importante lasso di tempo tra l'avvenimento narrato e la richiesta della cancellazione e che l'informazione abbia natura privata.
Nel caso non si possa esercitare il diritto per mancanza dei requisiti suddetti, il Garante precisa che chiunque, se ritiene inesatte le informazioni sul proprio conto, può comunque rivolgersi all'editore per richiedere la modifica o la rettifica delle stesse.
La regolamentazione
Come anticipato, con il nuovo Regolamento sulla privacy Ue (approvato nel 2016 ma operativo dal 2018), il diritto all'oblio, denominato più genericamente diritto alla cancellazione, riceve una regolamentazione espressa.
Già dal preambolo del RGPD si comprende l'importanza dell'istituto in quanto vengono dedicati ben 3 articoli, che specificano la necessità del diritto in questione per l'ordinamento UE (65-66-156).
Secondo quanto previsto dall'articolo 17 del RGPD, l'interessato ha diritto di ottenere, senza ingiustificato ritardo, la cancellazione dei dati che lo riguardano da parte del titolare quando ricorre una delle seguenti condizioni:
- Se i dati non siano più necessari ai fini del trattamento per il quale sono stati raccolti o trattati;
- Nel caso in cui l'interessato revochi il consenso al trattamento dei dati, il periodo di conservazione degli stessi sia spirato oppure quando non vi siano altri legittimi motivi per proseguire il trattamento;
- Quando vi è opposizione da parte dell'interessato al trattamento dei dati personali;
- Se un tribunale (o altra autorità di regolamentazione comunitaria) ordini in maniera definitiva ed assoluta la cancellazione dei dati;
- Nell'ipotesi in cui i dati siano stati trattati illecitamente.
In tali casi, dunque, il titolare dovrà procedere alla cancellazione dei dati e astenersi da ogni successivo trattamento degli stessi, anche se non in maniera assoluta: ci sono ipotesi previste dalla stessa norma in cui il diritto non può essere esercitato.
In primo luogo, come già detto, il diritto all'oblio non trova applicazione quando va a scontrarsi con il diritto di cronaca e il diritto di informazione che sono prevalenti.
La sua applicazione può, inoltre, essere limitata nei casi in cui la conservazione sia necessaria per adempiere ad obblighi previsti dal diritto comunitario o nazionale o per motivi di interesse pubblico nel settore della sanità, della ricerca scientifica e storica o a fini statistici.
Da ultimo, il diritto alla cancellazione non trova espressione quando i dati siano necessari per l'accertamento, l'esercizio o la difesa di un dritto in sede giudiziaria.
Di seguito riporto il testo integrale dell'articolo:
1. L'interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l'obbligo di cancellare senza ingiustificato ritardo i dati personali, se sussiste uno dei motivi seguenti:
a) i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati;
b) l'interessato revoca il consenso su cui si basa il trattamento conformemente all'articolo 6, paragrafo 1, lettera a), o all'articolo 9, paragrafo 2, lettera a), e se non sussiste altro fondamento giuridico per il trattamento;
c) l'interessato si oppone al trattamento ai sensi dell'articolo 21, paragrafo 1, e non sussiste alcun motivo legittimo prevalente per procedere al trattamento, oppure si oppone al trattamento ai sensi dell'articolo 21, paragrafo 2;
d) i dati personali sono stati trattati illecitamente;
e) i dati personali devono essere cancellati per adempiere un obbligo legale previsto dal diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento;
f) i dati personali sono stati raccolti relativamente all'offerta di servizi della società dell'informazione di cui all'articolo 8, paragrafo 1.
Il titolare del trattamento, se ha reso pubblici dati personali ed è obbligato, ai sensi del paragrafo 1, a cancellarli, tenendo conto della tecnologia disponibile e dei costi di attuazione adotta le misure ragionevoli, anche tecniche, per informare i titolari del trattamento che stanno trattando i dati personali della richiesta dell'interessato di cancellare qualsiasi link, copia o riproduzione dei suoi dati personali.
I paragrafi 1 e 2 non si applicano nella misura in cui il trattamento sia necessario:
a) per l'esercizio del diritto alla libertà di espressione e di informazione;
b) per l'adempimento di un obbligo legale che richieda il trattamento previsto dal diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento o per l'esecuzione di un compito svolto nel pubblico interesse oppure nell'esercizio di pubblici poteri di cui è investito il titolare del trattamento;
c) per motivi di interesse pubblico nel settore della sanità pubblica in conformità dell'articolo 9, paragrafo 2, lettere h) e i), e dell'articolo 9, paragrafo 3;
d) a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici conformemente all'articolo 89, paragrafo 1, nella misura in cui il diritto di cui al paragrafo 1 rischi di rendere impossibile o di pregiudicare gravemente il conseguimento degli obiettivi di tale trattamento; o
e) per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria.