Il diritto all’oblio nel contesto attuale di protezione dei dati e di sicurezza cibernetica

di Giovanni Finetto e Paola Finetto

Nell’attuale contesto di continua implementazione delle misure tecniche volte a mettere in sicurezza i sistemi, le reti e i dati, merita un approfondimento specifico l’intervento della Riforma Cartabia con riguardo anche all’esercizio e alla concreta attuazione del diritto all’oblio.
Il diritto all’oblio, anche noto come “Right to be Forgotten“1, è stato definito come “il giusto interesse di ogni persona a non restare indeterminatamente esposta ai danni ulteriori che arreca al suo onore ed alla sua reputazione la reiterata pubblicazione di una notizia in passato legittimamente divulgata”2. Tale diritto è volto a tutelare la dimensione attuale della reputazione e dell’immagine sociale del singolo. Di conseguenza, la differenza rispetto al diritto alla privacy è evidente: “il diritto all’oblio, a differenza del diritto alla riservatezza, non è volto a precludere la divulgazione di notizie e fatti appartenenti alla sfera intima della persona e tenuti fino ad allora riservati, ma ad impedire che fatti, già legittimamente pubblicati, e quindi sottratti al riserbo, possano essere rievocati nella rilevanza del tempo trascorso“3. Il diritto all’oblio risponde, pertanto, alla esigenza di affermare e ottenere la tutela della propria identità personale e, nello specifico, al diritto di non veder associato il proprio nome a contenuti presenti nei social network, in pubblicazioni online e, più in generale, nel web.
Il diritto all’oblio è disciplinato a livello europeo dall’art. 17 del Regolamento Europeo n. 679/2016 (GDPR), ai sensi del quale: “l’interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l’obbligo di cancellare senza ingiustificato ritardo i dati personali, se sussiste uno dei motivi seguenti:

  1. i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati;
  2. l’interessato revoca il consenso su cui si basa il trattamento conformemente all’articolo 6, paragrafo 1, lettera a), o all’articolo 9, paragrafo 2, lettera a), e se non sussiste altro fondamento giuridico per il trattamento;
  3. l’interessato si oppone al trattamento ai sensi dell’articolo 21, paragrafo 1, e non sussiste alcun motivo legittimo prevalente per procedere al trattamento, oppure si oppone al trattamento ai sensi dell’articolo 21, paragrafo 2;
  4. i dati personali sono stati trattati illecitamente;
  5. i dati personali devono essere cancellati per adempiere un obbligo giuridico previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento;
  6. i dati personali sono stati raccolti relativamente all’offerta di servizi della società dell’informazione di cui all’articolo 8, paragrafo 1″.

Una prima difficoltà nella tutela del diritto all’oblio sta nel suo corretto bilanciamento con gli ulteriori profili che necessariamente coinvolge: il diritto di cronaca e di informazione. Infatti, è necessario verificare in concreto, caso per caso, se sia giustificata o meno la prevalenza del diritto all’oblio rispetto all’interesse della collettività ad essere informata su determinati eventi. Fondamentali, per questa valutazione, sono sicuramente le linee guida, i commenti, le indicazioni forniti dalle autorità competenti, in particolare il Working Group Party Art. 29, il Garante per la Protezione dei dati personali Europeo (European Data Protection Board), la Corte di Giustizia dell’Unione Europea nonché la giurisprudenza nazionale e la dottrina. Un ulteriore aspetto spinoso nella tutela di questo diritto riguarda la sua concreta attuazione, una volta che ne sia accertata la legittimità. Si tratta, infatti, di definire se il titolare di tale diritto possa richiedere, ed eventualmente pretendere, la cancellazione piuttosto che la deindicizzazione o l’anonimizzazione dei dati che lo riguardano.
Si è molto parlato, nelle ultime settimane, dell’emendamento Costa della Riforma Cartabia e del rafforzamento del diritto in esame. In effetti, la forte spinta riformista impressa dal Piano Nazionale di Ripresa e Resilienza (PNRR) ha portato a modificare anche la disciplina del diritto all’oblio. La recente riforma sulla giustizia (Riforma Cartabia) – posta all’insegna di una maggiore celerità processuale e dunque anche di un risparmio in termini di tempi e costi -, ha introdotto importanti novità circa le modalità di esercizio del diritto all’oblio, in vigore dal 1° gennaio 2023. In particolare, il D.Lgs. 150/2022 ha introdotto l’art. 64-ter disp. att. c.p.p. “Diritto all’oblio degli imputati e delle persone sottoposte ad indagini“, con il quale si è previsto che “la persona nei cui confronti sono stati pronunciati una sentenza di proscioglimento o di non luogo a procedere ovvero un provvedimento di archiviazione può richiedere che sia preclusa l’indicizzazione o che sia disposta la deindicizzazione, sulla rete internet, dei dati personali riportati nella sentenza o nel provvedimento, ai sensi e nei limiti dell’articolo 17 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016. Resta fermo quanto previsto dall’articolo 52 del decreto legislativo 30 giugno 2003, n. 196″.
Secondo quanto riportato dalla Relazione Illustrativa dello stesso D.Lgs. 150/2022, gli aspetti maggiormente rilevanti da considerare sono i seguenti:

  • Innanzitutto, per quanto concerne la competenza di settore, la nuova disposizione normativa, mantiene invariata la competenza dell’Autorità Garante della Privacy.
  • Inoltre, dalla formulazione della legge delega (art. 25, comma 1, Legge 134/2021), ai sensi della quale la nuova disciplina deve prevedere “che il decreto di archiviazione e la sentenza di non luogo a procedere o di assoluzione costituiscano titolo per l’emissione di un provvedimento di deindicizzazione“, si deduce che rimane riconfermato l’approccio secondo il quale la tutela del diritto all’oblio non è mai frutto di automatismi, ma richiede un intervento attivo di parte. A tale proposito, la Riforma Cartabia individua chiaramente i provvedimenti che possono costituire titolo, ad esempio, per la richiesta di deindicizzazione, quali la sentenza di proscioglimento o di non luogo a procedere e il provvedimento di archiviazione.
  • Inoltre, è interessante osservare che l’art. 64-ter disp. att. c.p.p. opera due importanti rinvii, l’uno con riferimento alla disciplina europea sulla protezione dei dati personali, l’altro con riguardo alla disciplina nazionale in materia di privacy. In merito, come specifica la Relazione, il legislatore ha inteso fare un rinvio appositamente generico all’art. 17 GDPR per richiamarne l’applicabilità nella sua interezza, anche a fronte di eventuali future modifiche della disciplina europea. Infatti, il rinvio “fornisce comunque fondamento all’istituto della deindicizzazione, anche intesa in forma preventiva e con riferimento al c.d. ridimensionamento della visibilità mediatica, che rappresenta un aspetto “funzionale” del diritto all’identità personale cui pure è riconducibile il diritto all’oblio”4. Su suggerimento del Garante per la Privacy, il legislatore ha introdotto come clausola di salvaguardia il rinvio all’art. 52 del Codice in materia di protezione dei dati personali (D.Lgs. 196/2003). In particolare, tale norma dispone che “l’interessato può chiedere (…) che sia apposta a cura della medesima cancelleria o segreteria, sull’originale della sentenza o del provvedimento, un’annotazione volta a precludere, in caso di riproduzione della sentenza o provvedimento in qualsiasi forma, l’indicazione delle generalità e di altri dati identificativi del medesimo interessato riportati sulla sentenza o provvedimento“.

La novità principale apportata dalla Riforma Cartabia nella materia del diritto all’oblio riguarda, peraltro, la duplice tipologia di annotazioni che la cancelleria del Tribunale competente può predisporre a seguito della richiesta di deindicizzazione. In particolare, come riportato dalla Relazione Illustrativa, la cancelleria può rilasciare due diverse tipologie di annotazioni: “un preventivo ed originario divieto di indicizzazione del provvedimento (comma 2); una successiva attestazione della idoneità del titolo ad ottenere la deindicizzazione, da parte dei motori di ricerca generalisti, di contenuti relativi al procedimento penale, rispetto a ricerche condotte a partire dal nominativo dell’istante, ad indicizzazione già avvenuta (comma 3)”. In conclusione, si può dunque affermare che “sul piano contenutistico (…) si è ridefinito l’obbligo, con riguardo all’adozione di misure idonee a impedire la possibilità di reperire il provvedimento giudiziario in rete mediante ricerche condotte a partire esclusivamente dal nominativo della persona che ne era stata destinataria“5.
Merita altresì di essere ricordato che, ferma restando l’applicazione dell’art. 17 GDPR per le motivazioni sopra espresse, qualora la persona interessata a invocare il diritto all’oblio rientri in una delle situazioni previste dall’art. 17 comma 1 del GDPR6, il soggetto che – quale titolare del trattamento – ha la disponibilità e tratta i dati personali oggetto di richiesta di oblio, deve prevedere modalità volte ad agevolare l’esercizio dei diritti da parte dell’utente, tanto più che, solitamente, chi esercita il diritto all’oblio è supportato sia da un consulente legale, che da un esperto IT/cyber. Mandato di questi ultimi è, precisamente, la verifica della sussistenza dei presupposti per l’esercizio del diritto all’oblio, il monitoraggio della richiesta di oblio e del suo corso, infine la valutazione degli aspetti tecnici relativi alla concreta attuazione del diritto medesimo, sotto forma di cancellazione, piuttosto che di deindicizzazione o di anonimizzazione. Non si nasconde che la procedura che prende avvio dall’esercizio del diritto all’oblio è tuttora farraginosa, lunga, talvolta frustrante. In alcuni casi, soprattutto se si ha a che fare con interlocutori strutturati, è senz’altro possibile ottenere la rimozione (cancellazione) dei contenuti oggetto di richiesta. In altri casi, invece, risulta difficoltoso anche soltanto contattare il titolare del trattamento, oppure avere dallo stesso un riscontro alla richiesta avente ad oggetto l’esercizio del diritto all’oblio. Talora, all’esito della procedura, si riesce ad ottenere l’anonimizzazione dei dati, con conseguente impossibilità di reidentificazione dell’interessato (ad esempio, sostituendo nome e cognome con le iniziali), o comunque, più in generale, una limitazione della visibilità dei dati all’interno del web e dei motori di ricerca, attraverso i meccanismi della deindicizzazione. In quest’ultimo caso il contenuto non viene eliminato dalla rete ma vi rimane, ancorché in qualche modo nascosto, occultato, messo da parte e, per questo, non agevolmente raggiungibile.
Il diritto all’oblio, per quanto rafforzato dalla Riforma Cartabia, costituisce ancora oggi una sfida tecnologica, poiché, a parere degli scriventi, non può dirsi completamente attuato, fintantoché esso venga identificato con la mera deindicizzazione dei contenuti, anziché con la rimozione degli stessi.

  1. Art. 17 GDPR ↩︎
  2. Cass. N. 3679 del 1998 ↩︎
  3. Cass. Civ. 19 maggio 2020 n. 9147 ↩︎
  4. Cass. 27 marzo 2020, n. 7559 ↩︎
  5. Relazione Illustrativa al D.Lgs. 150/2022 ↩︎
  6. L’interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l’obbligo di cancellare senza ingiustificato ritardo i dati personali, se sussiste uno dei motivi seguenti:
    a. i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati;
    b. l’interessato revoca il consenso su cui si basa il trattamento conformemente all’articolo 6, paragrafo 1, lettera a), o all’articolo 9, paragrafo 2, lettera a), e se non sussiste altro fondamento giuridico per il trattamento;
    c. l’interessato si oppone al trattamento ai sensi dell’articolo 21, paragrafo 1, e non sussiste alcun motivo legittimo prevalente per procedere al trattamento, oppure si oppone al trattamento ai sensi dell’articolo 21, paragrafo 2;
    d. i dati personali sono stati trattati illecitamente;
    e. i dati personali devono essere cancellati per adempiere un obbligo giuridico previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento;
    f. i dati personali sono stati raccolti relativamente all’offerta di servizi della società dell’informazione di cui all’articolo 8, paragrafo 1. ↩︎
NEWS

I PIÙ LETTI

Load more