03.07.01.01 L’oblio quale diritto degli interessati [DEMO]

Il diritto "all’oblio" introdotto in applicabilità dal maggio del 2018 dall'art. 17 del GDPR, è un diritto “rafforzato” (e di potenziale maggiore estensione rispetto) alla cancellazione dei dati personali ma, come vedremo, almeno in base agli ultimi pronunciamenti della Corte di Cassazione italiana [link] in taluni casi anche meno radicale rispetto alla cancellazione pura, totale e definitiva dei dati personali che possono essere coinvolti da un trattamento.

L'oblio, se esercitato quale diritto, impone infatti ai titolari che, ad esempio, hanno pubblicato i dati personali dell'interessato su un sito web, di informare della richiesta di “oblio”

cfr., ad esempio, "Capitalismo senza futuro", di Emanuele Severino, BUR Biblioteca Univ. Rizzoli, 2013. ↑

(che ha comportato la cancellazione) anche tutti gli altri titolari che trattano i dati personali cancellati, compresi qualsiasi link, copia o riproduzione degli stessi (cfr. art. 17, par. 2).

L'oblio rappresenta pertanto qualche cosa in più rispetto al “blocco” o alla cancellazione del trattamento dei dati anche perché esso è un diritto che si può esercitare nei seguenti casi:

(a) i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati;

(b) l'interessato revoca il consenso su cui si basa il trattamento conformemente all'art. 6, paragrafo 1, lettera a), o all'art. 9, paragrafo 2, lettera a), e se non sussiste altro fondamento giuridico per il trattamento;

(c) l'interessato si oppone al trattamento ai sensi dell'articolo 21, paragrafo 1, e non sussiste alcun motivo legittimo prevalente per procedere al trattamento, oppure si oppone al trattamento ai sensi dell'articolo 21, paragrafo 2;

(d) i dati personali sono stati trattati illecitamente;

(e) i dati personali devono essere cancellati per adempiere un obbligo giuridico previsto dal diritto dell'UE o dello Stato membro cui è soggetto il titolare del trattamento;

(f) i dati personali sono stati raccolti relativamente all'offerta di servizi della società dell'informazione di cui all'articolo 8, paragrafo 1.

E se viene richiesta dall'interessato la limitazione del trattamento dei propri dati, fatta eccezione per la (legittima) conservazione degli stessi

E/o una serie di disparate informazioni, se vogliamo. ↑

di cui ai casi predetti, ogni altro tipo di trattamento dei dati di cui è stata chiesta la limitazione è vietato, tranne nei casi in cui vi siano le seguenti condizioni legittimanti, o di non applicazione delle limitazioni, previste dal paragrafo 3 dell’art. 17 del GDPR, ovverosia:

(a) per l'esercizio del diritto alla libertà di espressione e d'informazione;

(b) per l'adempimento di un obbligo giuridico che richieda il trattamento previsto dal diritto dell'UE o dello Stato membro cui è soggetto il titolare del trattamento o per l'esecuzione di un compito svolto nel pubblico interesse oppure nell'esercizio di pubblici poteri di cui è investito il titolare del trattamento;

(c) per motivi di interesse pubblico nel settore della sanità pubblica in conformità dell'art. 9, paragrafo 2, lettere h) e i), e dell'art. 9, paragrafo 3;

(d) a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici conformemente all'articolo 89, paragrafo 1, nella misura in cui il diritto di cui al paragrafo 1 rischi di rendere impossibile o di pregiudicare gravemente il conseguimento degli obiettivi di tale trattamento; o

(e) per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria.

In base alle motivazioni di cui al Considerando n. 65 del GDPR, infatti, dovrebbe sempre «essere lecita l'ulteriore conservazione dei dati personali qualora sia necessaria per esercitare il diritto alla libertà di espressione e d'informazione, per adempiere un obbligo legale, per eseguire un compito di interesse pubblico o nell'esercizio di pubblici poteri di cui è investito il titolare del trattamento, per motivi di interesse pubblico nel settore della sanità pubblica, a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, ovvero per accertare, esercitare o difendere un diritto in sede giudiziaria»

In ogni caso, l'autorità garante raccomanda che il dato personale di cui sia stata richiesta la limitazione venga sempre "contrassegnato" in attesa di decisioni ulteriori. E' quindi opportuno che i titolari prevedano nei propri sistemi informativi (elettronici o meno), e nelle proprie procedure, misure tecniche ed organizzative idonee per adempiere a tale incombente di contrassegnazione.

In base ad un recente pronunciamento della Corte di Cassazione, assunto con sentenza n. 3952 del 01-12-2021 [link] da parte della prima sezione del giudice di legittimità, e che ha visto processualmente contrapposti due società (Yahoo! Emea Limited e Yahoo Italia Srl) al Garante per protezione dei dati personali, l’attuazione del diritto all’oblio richiederebbe dei bilanciamenti e delle limitazioni (e ciò tenuto conto che la Corte italiana declina da tempo il diritto all’oblio in tre forme: 1. la deindicizzazione; 2. Il divieto di ripubblicazione di notizie datate e non più utili; 3. la necessità di contestualizzare la notizia

Un recente eclatante caso che riguarda anche i dati biometrici è, infatti, del 21-12-2021. l’EDPS (ossia l’Europen Data Protection Supervisor [link] [link]) ha nello specifico assunto la Decision definita “on the retention by Europol of datasets lacking Data Subject Categorisation” [link], intimando a Europol [link], ai sensi dell’art.18 paragrafo 5 della Europol Regulation, di cancellare entro sei mesi dalla notifica della decisione i dati conservati dalla stessa agenzia che non siano stati sottoposti alla Data Subjects Categorisation (DSC) come richiesto dall’Allegato II B ER e dalla Opening Decision Orders quali atti che, per contro, indicavano le necessarie attività di analisi di diverse categorie di dati personali e di dati riferiti a persone fisiche al fine di rendere i trattamenti di archiviazione rispettosi delll’art. 18 paragrafo 3 del Regolamento Europol. In buona sostanza l’EDPS ha contestato la mancanza di un'adeguata categorizzazione dei dati trattati da parte di Europol tra cui anche dati attinenti a profilazioni di tipo biometrico conservati per finalità di accertamenti di polizia. ↑

In buona sintetica sostanza, la vicenda muove da una “sentenza” del 15-01-2016 del Tribunale di Milano secondo cui il provvedimento del Garante italiano, che aveva ordinato alle suddette società di rimuovere tutte le URL

Cfr. Manuale per i responsabili politici sui diritti del bambino nell’ambiente digitale (dicembre 2020) https://www.coe.int/en/web/children/home/-/asset_publisher/m06SMMbKyjRF/content/-all-on-board-all-online-launch-of-the-new-council-ofeurope-handbook-for-policy-makers-on-the-rights-of-the-child-in-the-digital-environment?inheritRedirect=true&redirect=%2Fen%2Fweb%2Fchildren%2Fhome ↑

e di cancellare le copie CACHE [link] in relazione ad una vicenda giudiziaria che aveva coinvolto degli interessati, era da considerare legittimo, posto che, nel caso, dovevano prevalere i diritti fondamentali delle persone fisiche «non solo sull'interesse economico del gestore del motore di ricerca, ma anche sull'interesse del pubblico a trovare l'informazione».

La Corte Suprema, in sede di impugnazione della decisione del Tribunale meneghino, è andata però di diverso avviso. Infatti, la stessa ha sancito che, al netto del diritto alla deindicizzazione dei risultati con cui un motore di ricerca può legare i dati personali (nome e cognome) di un interessato ad una vertenza giudiziaria poco edificante ed il cui interesse pubblico sia scemato, l’eliminazione radicale della notizia mediante la cancellazione delle pagine e delle copie cache va, al contrario, ben ponderata, dovendosi colà operare un attento "bilanciamento" tra interessi contrapposti, evitando cioè di aprioristicamente impedire in modo definitivo l'accesso informatico alle notizie in questione quando l’accesso possa avvenire attraverso altre parole chiave che ne permettano la ricerca indipendentemente dal nome degli interessati (al tempo) coinvolti dalla vicenda.

Nella fattispecie, infatti, sottolinea il consesso romano, «venivano in questione articoli giornalistici e ulteriori contenuti riguardanti la vicenda …, era necessario non solo prendere in considerazione i dati personali di XX e verificare l'interesse a conoscere atti di indagine relativi allo stesso, ma, in senso più ampio, l'interesse a continuare ad essere informati sulla vicenda di cronaca nel suo complesso, per come accessibile attraverso l'attività del motore di ricerca».

Ciò che si prefigge di impedire la Corte è, dunque, ogni automatismo tra la deindicizzazione e la cancellazione del dato (che nel caso era) presente nelle copie cache al fine di garantire la corretta ponderazione e bilanciamento degli interessi contrapposti in gioco.

Il principio di diritto affermato dalla Cassazione in tale pronuncia è, pertanto, il seguente: «la cancellazione delle copie cache relative a una informazione accessibile attraverso il motore di ricerca, in quanto incidente sulla capacità, da parte del detto motore di ricerca, di fornire una risposta all'interrogazione posta dall'utente attraverso una o più parole chiave, non consegue alla constatazione della sussistenza delle condizioni per la deindicizzazione del dato a partire dal nome della persona, ma esige una ponderazione del diritto all'oblio dell'interessato col diritto avente ad oggetto la diffusione e l'acquisizione dell'informazione, relativa al fatto nel suo complesso, attraverso parole chiave anche diverse dal nome della persona».

o0o

Rispetto all’esercizio del diritto d’oblio nei confronti dei motori di ricerca è interessante la pronunzia della Grande sezione della CGUE in data 08-12-22 nella causa C 460/20 [link] relativamente alla richiesta di deindicizzazione da parte dell'interessato di contenuti asseritamente inesatti.

In particolare, ‘‘Due dirigenti di un gruppo di società hanno chiesto a Google di deindicizzare i risultati, in esito ad una ricerca effettuata a partire dai loro nomi, contenenti link verso alcuni articoli che presentano in modo critico il modello di investimento di tale gruppo poiché sostenevano che detti articoli contenevano affermazioni inesatte. Essi hanno inoltre chiesto a Google che le loro fotografie, visualizzate sotto forma di miniature (“thumbnails”), fossero eliminate dall’elenco dei risultati di una ricerca di immagini effettuata a partire dal loro nomi. Tale elenco visualizzava unicamente le miniature in quanto tali, senza riportare gli elementi del contesto della pubblicazione delle foto nella pagina Internet indicizzata. In altri termini, il contesto iniziale della pubblicazione delle immagini non era né indicato né in altro modo visibile al momento della visualizzazione delle miniature.

Google si è rifiutata di accogliere tali domande, rinviando al contesto professionale nel quale si inserivano tali articoli e foto e argomentando che essa ignorava se le informazioni contenute in tali articoli fossero esatte o meno’’.

In questo recente caso la Corte è giunta alla (prevedibile) conclusione che, nell’ambito del bilanciamento che occorre effettuare tra i diritti di cui agli articoli 7 e 8 della Carta di Nizza, da un lato, e quelli di cui all’articolo 11 (‘‘libertà di espressione e d’informazione’’) della CDFUE, dall’altro, ai fini dell’esame di una richiesta di deindicizzazione rivolta al gestore di un motore di ricerca e diretta ad ottenere l’eliminazione, dall’elenco dei risultati di una ricerca, del link verso un contenuto che include affermazioni che la persona che ha presentato detta richiesta ritiene inesatte, tale deindicizzazione non è subordinata alla condizione che la questione dell’esattezza del contenuto indicizzato sia stata risolta, almeno provvisoriamente, nel quadro di un’azione legale intentata da detta persona contro il fornitore di tale contenuto

Art. 10 cc: “Qualora l'immagine di una persona o dei genitori, del coniuge o dei figli sia stata esposta o pubblicata fuori dei casi in cui l'esposizione o la pubblicazione è dalla legge consentita, ovvero con pregiudizio al decoro o alla reputazione della persona stessa o dei detti congiunti, l'autorità giudiziaria, su richiesta dell'interessato, può disporre che cessi l'abuso, salvo il risarcimento dei danni”. ↑