Diritto all’oblio (the right to be forgotten): come si tutela?

Basta digitare una parola o un nome e la rete restituisce un'infinità di informazioni riguardanti quella parola e quel nome, spesso associati a eventi perduti nel tempo. Si può dire che per la rete è impossibile dimenticare.

È proprio con la nascita e lo sviluppo di Internet che si è posto il problema del diritto all'oblio, cioè di come tutelare l'interesse dell'individuo a che non vengano riproposte vicende ormai superate dal tempo; in altre parole, il diritto di essere dimenticato, a non essere più ricordato per fatti che in passato furono oggetto di cronaca.

Il diritto all'oblio è uno dei molteplici aspetti sotto i quali si manifesta il diritto alla riservatezza e alla protezione dei dati personali.

Diritto all'oblio e diritto di cronaca sono speculari: il presupposto del primo è che l'interesse pubblico alla conoscenza di un fatto è circoscritto in quello spazio di tempo necessario a informarne la collettività, e con il trascorrere del tempo si affievolisce fino a scomparire.

Frutto di elaborazione giurisprudenziale prima ancora che normativa, il diritto all'oblio è oggi regolato dall'art. 17 del GDPR (Regolamento UE n. 679/2016 sulla protezione dei dati personali), il quale stabilisce una serie di criteri generali e di eccezioni, che non risultano però di facile comprensione.

L'art. 17 elenca una serie di motivi in presenza dei quali l'interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo; fra le varie ipotesi, l'interessato può chiedere la cancellazione quando i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o trattati, o quando abbia revocato il consenso al trattamento o i dati siano stati trattati illecitamente. 

L'art. 17, allo stesso modo, stabilisce anche che questo diritto alla cancellazione non sussiste quando il trattamento dei dati è necessario per soddisfare alcune esigenze, ad esempio l'esercizio del diritto alla libertà di espressione e di informazione. L'ultima parola spetta sempre all'interprete, cioè all'autorità (garante privacy o giudice) chiamata a decidere se in una certa vicenda sottoposta al suo esame la persona possa legittimamente pretendere che una notizia che lo riguarda, pur legittimamente diffusa in passato, non resti esposta a tempo indeterminato alla possibilità di nuova divulgazione.

Alcune importanti decisioni della Corte Europea dei diritti dell'uomo, della Corte di Giustizia dell'Unione europea e della nostra Corte di Cassazione hanno contribuito a definire meglio le caratteristiche e le forme di tutela del diritto all'oblio in rapporto al diritto di cronaca e di informazione giornalistica.

La giurisprudenza ha da tempo affermato che il diritto di cronaca è legittimo quando ricorre l'utilità sociale dell'informazione e la verità dei fatti esposti.

Con una sentenza del 26 giugno 2018 la Corte Europea dei diritti dell'uomo ha affermato che il diritto all'oblio rientra nell'ambito del diritto alla tutela della vita privata previsto dall'art. 8 CEDU (Convenzione europea dei diritti dell'uomo). Secondo la Corte dei diritti dell'uomo il rifiuto dell'autorità non contrasta con il diritto alla tutela della vita privata qualora il contenuto delle informazioni online sia di interesse pubblico e purché i media abbiano agito in conformità alla loro etica e deontologia professionale.

In questi casi nel bilanciamento tra le due opposte esigenze il diritto alla libertà di espressione e alla formazione e conservazione della memoria collettiva devono prevalere sul "desiderio di essere dimenticati" dei ricorrenti.

Ad esempio, un caso particolarmente rilevante in materia ha visto contrapporsi Google Spain SL e Google Inc. contro l'Agencia Española de Protección de Datos e Mario Costeja González (causa C−131/12).

La Corte di Giustizia si è pronunciata il 13 maggio 2014 con la sentenza n. 317 in seguito al ricorso di un cittadino spagnolo che aveva richiesto la rimozione, prima al gestore del sito e poi a Google, di alcuni dati personali pubblicati in poche righe di un giornale spagnolo.

L'Agencia Espano͂la de Proteccion de Datos (AEPD), cioè l'equivalente spagnolo del nostro Garante per la protezione dei dati personali, aveva ordinato a Google di procedere alla rimozione di questi dati contestati dal ricorrente, ma Google si è rifiutato di procedere alla cancellazione perché ha ritenuto che la richiesta dell'AEPD andasse a ledere la libertà di espressione dei gestori di siti internet.

Il ricorrente chiedeva che fosse ordinato al quotidiano "di sopprimere o modificare le pagine suddette, affinché i suoi dati personali non vi comparissero più, oppure di ricorrere a strumenti forniti dai motori di ricerca per proteggere tali dati. L'AEPD ha affermato che i gestori dei motori di ricerca sono tenuti a rispettare la normativa in materia di protezione dei dati in quanto essi pongono in essere un trattamento di dati e sono i responsabili del trattamento.

Il diritto all'oblio è il diritto di un soggetto a chiedere la rimozione di informazioni o dati che non sono più attuali, o necessari per le finalità per le quali erano stati raccolti e trattati oppure perché l'interessato ha ritirato il consenso.

Questa materia è stata affrontata ed inserita nell'articolo 17 del nuovo Regolamento 2016/679 "diritto alla cancellazione (diritto all'oblio)" che ha previsto il diritto del soggetto interessato alla "cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l'obbligo di cancellare senza ingiustificato ritardo i dati personali" quando i dati personali non sono più necessari, quando il soggetto interessato ha revocato il consenso, precedentemente accordato, quando i dati personali sono stati trattati in maniera illecita oppure quando l'interessato si è opposto al trattamento dei dati personali.

In conclusione, è inoltre previsto che si debba procedere alla cancellazione dei dati quando vi è la necessità di procedere all'adempimento di un obbligo legale previsto dal diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento.