Il diritto all’oblio

Il diritto cosiddetto "all'oblio" è regolato dal Regolamento Europeo 2016/679 (GDPR).

L’art. 17 configura il diritto all’oblio come il diritto alla cancellazione dei propri dati personali in forma rafforzata.

Più precisamente, al comma 1, l’art. 17 precisa che quando il soggetto interessato ne fa richiesta, il titolare è obbligato (se ha "reso pubblici" i dati personali dell’interessato, ad es. pubblicandoli sul sito web) a cancellare tali dati personali “senza giustificato ritardo” quanto sussistono determinati motivi elencati dallo stesso comma 1.

- Cancellazione per il venir meno delle finalità o per il trattamento illecito dei dati

a) La prima ipotesi è che i dati non siano più necessari rispetto alle finalità per le quali sono stati trattati o raccolti.

Questa è l’ipotesi che maggiormente può riguardare la pubblica amministrazione, così come la successiva lettera d) che dispone che l’interessato può chiedere la cancellazione “quando i dati sono trattati illecitamente”.

Con riferimento alla prima ipotesi, si pensi ad es. alle pubblicazioni di matrimonio. La diffusione dei dati personali dei nubendi è lecita perché prevista dalla legge che prevede l’obbligo di pubblicazione dell’avviso di matrimonio all’Albo pretorio per 20 giorni. Decorsi i 20 giorni, e dopo la celebrazione del matrimonio, viene meno la finalità per cui sono stati pubblicati tali dati nonché la condizione che rendeva lecita tale pubblicazione.

Ne consegue che decorsi tali termini l’avviso di matrimonio non può più restare pubblicato e l’interessato può quindi chiedere di rimuovere senza ritardi la diffusione di tali dati.

E’ evidente, quindi, che nel caso indicato la pubblicazione del dato oltre i termini consentiti si intreccia con il trattamento illecito dei dati, per cui viene a mancare la base giuridica che autorizza alla pubblicazione.

E’ evidente, quindi, che anche sotto il profilo del diritto all’oblio la Pubblica Amministrazione deve adottare un approccio “data protection by default and by design”. Questo significa che nella pubblicazione di atti o documenti amministrativi in Albo Pretorio o in Amministrazione Trasparente, deve sempre prevedersi prima della pubblicazione, che siano attuate misure sufficienti per tutelare il dato: quindi innanzi tutto verificare, soprattutto per la pubblicazione in Albo Pretorio, se vi è la norma che dispone l’obbligo della pubblicazione e che cosa prescrive la norma.

Una delle misure tecniche di maggior rilievo, è indicata dal Garante nelle “LINEE GUIDA IN MATERIA DI TRATTAMENTO DI DATI PERSONALI, CONTENUTI ANCHE IN ATTI E DOCUMENTI AMMINISTRATIVI, EFFETTUATO PER FINALITÀ DI PUBBLICITÀ E TRASPARENZA SUL WEB DA SOGGETTI PUBBLICI E DA ALTRI ENTI OBBLIGATI” del 2014.

Il Garante indica che “occorre evitare, ove possibile, la reperibilità dei dati personali da parte dei motori di ricerca esterni (es. Google), stante il pericolo di decontestualizzazione del dato personale e la riorganizzazione delle informazioni restituite dal motore di ricerca secondo una logica di priorità di importanza del tutto sconosciuta, non conoscibile e non modificabile dall’utente. Pertanto, è opportuno privilegiare funzionalità di ricerca interne al sito web, poiché in tal modo si assicurano accessi maggiormente selettivi e coerenti con le finalità di volta in volta sottese alla pubblicazione, garantendo, al contempo, la conoscibilità sui siti istituzionali delle informazioni che si intende mettere a disposizione”.

Tale misura è determinante per rendere efficace, in un secondo momento, la cancellazione del dato precedentemente pubblicato senza che lo stesso resti visibile sulla rete WEB indipendentemente dalla cancellazione sul sito istituzionale.

Solo in tal modo è possibile configurare il trattamento prevedendo fin dall’inizio le corrette modalità di pubblicazione e di cancellazione della pubblicazione quando cessano i presupposto per la pubblicazione.

b) Diritto di cancellazione per revoca del consenso

Ma vi sono altre ipotesi in cui il diritto all’oblio trova applicazione e per cui sorge il dovere di interrompere la pubblicazione dal proprio sito istituzionale, e sono elencate sempre nel comma 1 dell’art. 17 del GDPR.

Innanzitutto il diritto all’oblio si rinviene quando il soggetto interessato, che abbia prestato il consenso al trattamento del dato, revochi poi il consenso.

E’ il caso, ad es., delle attività ricreative o sociali che si svolgono in una amministrazione comunale e per le quali si chiede l’autorizzazione alla pubblicazioni di immagini relative all’evento. Per esempio per i campi estivi per ragazzi, o per eventi nelle case di cura gestite dall’Amministrazione.

In tali situazioni le pubblicazioni delle immagini (anche quando si tratti di eventi aperti al pubblico e l’immagine riprenda nello specifico il viso in primo piano della persona interessata) devono essere espressamente autorizzate dal soggetto ripreso e, nel caso di minori, da entrambi i genitori.

Può accadere che la persona interessata revochi il proprio consenso alla pubblicazione dell’immagine (il diritto è disciplinato dall’art. 17 comma 1 lett. b. del GDPR) e che non sussistano altri basi giuridiche che rendano legittima la pubblicazione (come nel caso della pubblicazione delle immagini dell’evento).

Anche in tal caso quindi il titolare, se il soggetto interessato ne fa richiesta, deve provvedere a rimuovere la foto che contiene l’immagine del soggetto che ha revocato il consenso o, se possibile, ad oscurare l’immagine dello stesso dal contesto della fotografia.

-I casi in cui il diritto all’oblio non trova applicazione

Il diritto all’oblio incontra dei limiti che sono riepilogati nel comma 3 del citato art. 17 del Regolamento che elenca i casi esclusi dall'applicazione del diritto alla cancellazione dei dati personali per bilanciamento con altri diritti o interessi legittimi e tutelati dall'ordinamento, in particolare:

a) esercizio del diritto alla libertà di espressione e d'informazione;

b) adempimento di un obbligo giuridico che richieda il trattamento previsto dal diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento, esecuzione di un compito svolto nel pubblico interesse oppure nell'esercizio di pubblici poteri di cui è investito il titolare del trattamento;

c) interesse pubblico nel settore della sanità pubblica in conformità dell'art. 9, par. 2, lettere h) e i), e dell'art. 9, par. 3;

d) archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici conformemente all'art. 89, par. 1, nella misura in cui il diritto di cui al par. 1 rischi di rendere impossibile o di pregiudicare gravemente il conseguimento degli obiettivi di tale trattamento;

e) accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria.

Chiaramente la prima ipotesi, ovvero quella della libertà di espressione e di informazione è l’ipotesi che maggiormente ricorre nella valutazione sulla opponibilità del diritto all’oblio.

Sul punto il Garante ha più volte ricordato che devono essere valutati, con riferimento a tale limite di applicazione, sia il fattore tempo che la rilevanza della notizia.

Ad. es il Garante, con provvedimento n. 204 del 17 maggio 2023 (doc. web 9903127 pubblicata il 28 giugno 2023), ha rigettato una richiesta di deindicizzazione con cui l’interessato aveva chiesto di ordinare a Google, la rimozione dai risultati di ricerca di 18 URL collegati ad articoli che riportavano la notizia di un suo arresto avvenuto nel 2019 nel Regno Unito per possesso di informazioni ritenute utili a commettere o preparare un atto terroristico.

IL Garante ha rigettato la richiesta ricordando che non si può procedere alla deindicizzazione di informazioni recenti quando a prevalere è l’interesse generale alla reperibilità delle notizie a causa della gravità delle condotte poste in essere dall’interessato. Nel caso specifico, il reclamante aveva commesso un reato di particolare allarme sociale legato al possesso di materiale appartenente a un’organizzazione terroristica internazionale come Al-Qaida.

Per quanto riguarda il fattore tempo – altro elemento importante per la valutazione del caso - l’intervallo di pochi mesi intercorso dalla conclusione della vicenda giudiziaria e dall’espiazione della pena della reclusione è risultato assai limitato, non potendosi perciò qualificare le informazioni come risalenti nel tempo, né ancora prive di interesse pubblico.

-Diritto all’oblio in caso di assoluzione nei processi penali o in caso di archiviazione delle indagini penali.

Per completezza, deve ricordarsi l’importante novità introdotta dalla cosiddetta Legge Cartabia ed entrata in vigore il 1 gennaio 2023.

Dal 1° gennaio 2023, infatti, per legge gli imputati che sono stati assolti o in seguito all’archiviazione del loro caso in un procedimento penale hanno diritto alla cancellazione del proprio nominativo dai motori di ricerca. È quanto prevede l’articolo 64-ter della legge Cartabia sul “Diritto all’oblio degli imputati e delle persone sottoposte ad indagini”.

Il Decreto legislativo 10 ottobre 2022 n.150 (Legge Cartabia), pubblicato in Gazzetta Ufficiale il 17.10.2022, prescrive infatti che “l'imputato destinatario di una sentenza di proscioglimento o di non luogo a procedere e la persona sottoposta alle indagini destinataria di un provvedimento di archiviazione possono richiedere che sia preclusa l'indicizzazione o che sia disposta la deindicizzazione, sulla rete Internet, dei dati personali riportati nella sentenza o nel provvedimento, ai sensi e nei limiti dell'articolo 17 del Regolamento del Parlamento europeo 679 del 27 aprile 2016”.

Le richieste di cancellazione potranno essere tanto di preclusione alla indicizzazione, quanto di ottenimento della deindicizzazione. La competenza, in tal senso, sarà della cancelleria del giudice che ha emesso il provvedimento e che dovrà apporre e sottoscrivere l’annotazione prevista.