Il 15 ottobre 2020, l’Autorità garante per la protezione dei dati personali (“Garante” o l’ “Autorità”) ha ribadito, con due distinti provvedimenti, il principio per il quale una persona ha diritto a vedere deindicizzati dai motori di ricerca gli articoli che riportano vicende giudiziarie risalenti nel tempo alle quali è poi risultata estranea. Il diritto all’oblio Giova premettere che per “diritto all’oblio” si intende il diritto ad essere dimenticati e a non vedere il proprio nome associato a fatti o vicende ormai lontane nel tempo. Tale diritto, espressamente riconosciuto dalla Corte di Giustizia dell’Unione europea (“CGUE”) con la sentenza del 13 maggio 2014 nel caso Google Spain (causa C-131/12) a seguito di un lungo percorso giurisprudenziale, è considerato un diritto di “nuova generazione” in quanto strettamente connesso all’evoluzione della tecnologia e, in particolare, alle esigenze di tutela della riservatezza e dell’identità personale sorte con l’avvento di Internet. In generale, si può parlare di diritto all’oblio in tre diverse accezioni: Il diritto ad essere dimenticati Nella prima accezione del diritto all’oblio, affinché l’interessato possa essere “dimenticato”, la notizia che lo riguarda deve essere valutata alla luce di specifici criteri, quali il fattore tempo, la posizione politica o sociale rivestita dall’interessato, la gravità dei fatti cui la notizia si riferisce, nonché l’importanza sociale degli eventi. Si evince pertanto che l’esercizio del diritto all’oblio dipenderà dal corretto bilanciamento tra il c.d. “right to be let alone” e il diritto/dovere di informazione, dove gli interessi in gioco sono, da un lato, la riservatezza del singolo e, dall’altro, l’interesse alla conservazione di una “memoria collettiva”[2]. Il diritto alla cancellazione (o diritto all’oblio) ai sensi dell’art. 17 del GDPR L’art. 17 del GDPR rubricato “Diritto alla cancellazione (o diritto all’oblio)” disciplina, a sua volta, il diritto all’oblio. Il primo comma del summenzionato articolo prevede le diverse specifiche circostanze che legittimano l’interessato ad esercitare il diritto alla cancellazione dei propri dati personali, ossia: L’articolo contempla altresì delle limitazioni all’esercizio del diritto in commento, le quali operano nella misura in cui il trattamento sia necessario, a titolo esemplificativo e non esaustivo, per l’esercizio del diritto alla libertà di espressione e informazione, l’adempimento di un obbligo legale, nonché per finalità di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici. Alla luce delle limitazioni di cui sopra, si evince che il diritto all’oblio non è un diritto assoluto ma, al contrario, un diritto soggetto ad un bilanciamento, caso per caso, con altri diritti della società civile tra i quali il diritto di informazione[3]. La novità introdotta sul punto dal GDPR riguarda non solo l’obbligo imposto dalla normativa in capo al titolare del trattamento di procedere tempestivamente alla cancellazione dei dati che sono stati dallo stesso resi pubblici, ma anche – tenuto conto della tecnologia e dei costi di attuazione – di adottare misure ragionevoli (anche di tipo tecnico) per informare della richiesta di cancellazione anche altri eventuali titolari che utilizzano i dati resi pubblici. Ciò in quanto alla richiesta di cancellazione dei dati non necessariamente corrisponde - come effetto diretto - “l’oblio” dell’interessato. Infatti, per “essere dimenticato”, l’interessato dovrebbe chiedere, oltre alla cancellazione, anche la deindicizzazione e la cessazione della diffusione del dato, attività che, tuttavia, potrebbero non essere effettuate dal titolare a cui la richiesta è rivolta in prima battuta. Pertanto, come anticipato, per consentire una efficace e completa gestione della richiesta dell’interessato, il GDPR ha introdotto l’obbligo per il titolare di informare della richiesta il soggetto competente per la deindicizzazione (e.g., gestori dei motori di ricerca quali Google e Yahoo). In ogni caso, l’obbligo di informazione è limitato – come espressamente disposto dal secondo comma dell’art. 17 del GDPR – dalla tecnologia a disposizione del titolare e dai costi di attuazione. In tal modo, il legislatore ha dunque voluto limitare l’obbligo di segnalazione in capo al titolare ai soli casi in cui ciò non comporti un’attività per lui eccessivamente onerosa. La deindicizzazione Con la sentenza emessa nel caso “Google Spain”, la CGUE ha riconosciuto all’interessato il diritto alla deindicizzazione delle informazioni personali risultate “inadeguate, irrilevanti o non più rilevanti” rispetto alle finalità del trattamento, ampliando il principio di autodeterminazione informativa del soggetto, includendo altresì la sua identità digitale. Nell’ambito della medesima pronuncia, la CGUE ha stabilito che i motori di ricerca sono tenuti a cancellare, su esplicita richiesta dell’interessato, i link che lo riguardano a seguito dello svolgimento di un equo bilanciamento tra il legittimo interesse degli utenti di Internet - interessati ad avere accesso alle informazioni di cui si chiede la cancellazione - e il diritto dell’interessato alla protezione dei propri dati personali. La deindicizzazione è stata ulteriormente disciplinata attraverso delle specifiche linee guida del Working Party 29 (ora European Data Protection Board, “EDPB”) del 26 novembre del 2014, “Linee guida sull’attuazione della sentenza della CGUE nel caso C-131/12 “Google Spain e INC. contro Agencia Española de Protección de Datos (AEPD) e Mario Costeja González” volte a fornire, sia ai motori di ricerca sia alle Autorità garanti europee, dei criteri utili circa il predetto bilanciamento, il quale dovrà essere effettuato tenendo in considerazione, ad esempio, la natura privata o pubblica dell’informazione, l’attinenza della stessa all’ambito professionale o personale dell’interessato, la natura dell’informazione e il tempo trascorso dalla pubblicazione della notizia. A seguito dell’entrata in vigore del GDPR, le predette linee guida sono state sostituite dalle “Guidelines 5/2019 on the criteria of the Right to be Forgotten in the search engines cases under the GDPR” emesse dall’EDPB, le quali forniscono chiare indicazioni e approfondimenti in merito alle basi giuridiche della deindicizzazione ai sensi del GDPR, nonché le eccezioni a tale processo ai sensi dell’art. 17, comma 3 del GDPR. Vengono forniti di seguito degli esempi di bilanciamento tra il diritto all’oblio e altri diritti fondamentali, effettuati dall’Autorità nell’ambito dell’esame di reclami presentati da soggetti interessati. Il recente intervento dell’Autorità sul diritto all’oblio Sul tema della deindicizzazione è recentemente intervenuto il Garante con i provvedimenti n. 9491061 e n. 9491078 entrambi del 15 ottobre 2020 con i quali, come anticipato, ha confermato il diritto all’oblio e, dunque alla deindicizzazione di URL, di articoli relativi a due reclamanti coinvolti erroneamente in vicende giudiziarie risalenti nel tempo, rispetto alle quali poi sono risultati estranei. In particolare, l’Autorità si è espressa nell’ambito di due procedimenti instaurati a seguito di due distinti reclami presentati dagli interessati ai sensi dell’art. 77 del GDPR contro la società Google LLC (“Google”), all’esito dei quali l’Autorità ha ordinato a quest’ultima la rimozione degli URL degli articoli reperibili facendo una ricerca online con i nominativi dei reclamanti. Con il primo reclamo presentato al Garante, il reclamante chiedeva all’Autorità di imporre a Google la rimozione dai risultati di ricerca di alcuni articoli, reperibili in associazione al proprio nominativo, riguardanti un’inchiesta giudiziaria relativa a condotte contestate ad altri soggetti e rispetto alla quale il reclamante era risultato estraneo (circostanza attestata, nel caso di specie, dal certificato penale depositato in atti). Con il secondo reclamo presentato al Garante, invece, il reclamante chiedeva all’Autorità di ordinare a Google la rimozione, dai risultati di ricerca reperibili in associazione al proprio nominativo, di alcuni URL collegati a pagine contenenti notizie del 2013, riferite ad indagini penali relative a presunte irregolarità amministrative nella percezione di finanziamenti pubblici da parte di imprese gestite da soggetti diversi e alle quali lo stesso sarebbe rimasto estraneo, come confermato dal certificato del casellario giudiziale e da quello dei carichi pendenti prodotti dal reclamante. In entrambi i casi, i reclamanti lamentavano un pregiudizio alla propria reputazione personale e professionale causato dalla perdurante reperibilità in rete degli articoli di cui sopra. Il Garante chiedeva quindi a Google di fornire le proprie osservazioni in ordine a quanto rappresentato nei reclami e di comunicare l’eventuale adesione alle richieste dei reclamanti. In tale occasione, Google comunicava di non poter aderire alle richieste dei reclamanti in quanto non riteneva sussistenti i presupposti per l’esercizio del diritto all’oblio di cui all’art. 17, comma 1 del GDPR. In particolare, trattandosi di articoli piuttosto recenti, Google sosteneva l’esistenza di un interesse del pubblico a conoscere la vicenda, rappresentando quest’ultima circostanza quale causa di limitazione all’esercizio del diritto all’oblio. Dopo attenta valutazione degli elementi a propria disposizione, l’Autorità ha affermato che, contrariamente a quanto sostenuto da Google, la perdurante reperibilità in rete degli articoli associati ai nominativi dei reclamanti creasse un impatto sproporzionato sui loro diritti, non bilanciato da un interesse pubblico a conoscere notizie che non hanno avuto alcun seguito giudiziario a loro carico. Il Garante ha quindi ordinato a Google la rimozione degli URL e ha disposto l'annotazione nel registro interno dell'Autorità, previsto dal GDPR, della misura adottata nei confronti del motore di ricerca. Conclusioni Per concludere, dalle considerazioni suesposte si evince che il bilanciamento richiesto dalle norme che prevedono il diritto all’oblio viene rimesso alle Autorità o ai giudici nazionali che valuteranno, in ogni specifico caso, la sussistenza delle condizioni per accogliere la domanda dell’interessato di cancellare i propri dati personali dalla rete Internet, effettuando gli opportuni bilanciamenti con altre libertà e diritti di pari rango quali, in primis, la libertà di informazione e il diritto di cronaca. [1] Cfr. G. Cassano, S. Previti, “Il diritto di Internet nell’era digitale”, Giuffré, Milano, 2020, p. 101 e ss.. [2] Cfr. G. M. Riccio, G. Scorza, E. Belisario, “GDPR e normativa privacy, commentario”, Wolters Kluwer, Milano, 2018, p. 184 e ss.. [3] Cfr. R. Panetta, “Circolazione e protezione dei dati personali, tra libertà e regole del mercato”, Giuffré, Milano,2019, p. 199 e ss..
