Il Regolamento privacy 679/2016 regola il diritto all’oblio. Cosa si intende e chi ne è interessato?
Il regolamento n. 679/2016 (GDPR) in materia di trattamento di dati personali ha introdotto un nuovo diritto a favore degli interessati del trattamento, ovvero dei soggetti proprietari dei dati trattati. Si tratta in estrema sintesi del diritto ad ottenere la cancellazione definitiva e completa dei propri dati trattati da un titolare del trattamento.
Questa tipologia di diritto non è comunque di nuova concezione, esso, infatti, parte dal più generale diritto della persona, costituzionalmente tutelato, di non veder compromessa la propria reputazione, si pensi ad esempio ai casi di cronaca, in cui un soggetto giudicato imputato per un reato, diventa anche imputato mediatico, nel momento in cui viene assolto egli ha il diritto che venga data al pubblico la giusta informazione che lo riguarda e che vengano cancellate le informazioni negative, non vere, a lui attinenti. Come parte della giurisprudenza italiana ha chiarito, si tratta della più specifica espressione del diritto alla riservatezza, che è diventata particolarmente pregnante e delicata nell’epoca di Internet: online, infatti, sebbene le informazioni a volte vengano apparentemente rimosse, non essendo state cancellate del tutto, possono riaffiorare nei motori di ricerca, perché ad esempio si è provveduto a rimuoverle solo dal proprio sistema informatico interno, senza provvedere alla deindicizzazione completa dai motori di ricerca. Anche il Garante della privacy, è più volte intervenuto sul diritto all’oblio, mediante provvedimenti suoi propri relativi a casi specifici (si veda ad esempio il provvedimento del Garante del 15 aprile del 2004, ma anche il più recente provvedimento del 21 dicembre 2017).
A livello internazionale, eclatante fu la vicenda del 2010 relativa ad un uomo spagnolo che intentò una causa contro un quotidiano online e un motore di ricerca, in quanto, da ricerche sul proprio nome, effettuate sul motore di ricerca, comparivano link al sito del giornale incriminato che aveva pubblicato la vendita all'asta di immobili a lui pignorati a causa di debiti previdenziali. In realtà, si trattava di una vicenda vecchissima, che il giornale aveva anche dimenticato di aver pubblicato. Tuttavia, l’indicizzazione sui motori di ricerca non perdona e la causa fu vinta dall’attore nel 2014. Da lì a poco, il motore di ricerca introdusse, tra i suoi strumenti tecnici, una procedura automatizzata per consentire in generale agli utenti – interessati del trattamento dei dati - di chiedere la deindicizzazione delle informazioni ad essi relative, indicizzate sullo stesso motore.
I diritti dell'interessato al trattamento
Bene, questo diritto di ottenere la cancellazione definitiva dei propri dati personali trattati da un titolare del trattamento è stato oggi espressamente inserito nel Regolamento n. 679, nella categoria dei diritti che gli interessati del trattamento possono esercitare nei confronti dei titolari.
L’interessato del trattamento, dunque, in base al Regolamento n. 679 (art. 17), ha il diritto di domandare al titolare del trattamento la cancellazione dei propri dati per giuste ragioni, ad esempio, quando il trattamento vìoli una disposizione del Regolamento stesso, una norma dell’Unione o dell’ordinamento interno o comunque se i dati sono stati trattati illecitamente. Ma, l’interessato ha anche il diritto di chiedere che siano cancellati e non più sottoposti a trattamento i propri dati personali se le finalità per cui gli stessi sono stati raccolti o altrimenti trattati siano terminate o anche quando abbia ritirato il proprio consenso o quando si sia opposto al trattamento dei dati personali a lui relativi. Tale diritto è in particolare rilevante se l'interessato ha prestato il proprio consenso quando aveva la minore età e quindi non pienamente consapevole dei rischi derivanti dal trattamento e intende cancellare i propri dati ad esempio da Internet (si veda il considerando n. 65 del Regolamento n. 679).
Il Regolamento stabilisce che, in alcune circostanze, se anche l’interessato esercita tale diritto nei confronti del titolare, è considerato lecito mantenere la sola conservazione dei dati personali cancellati, qualora sia necessaria per esercitare il diritto alla libertà di espressione e di informazione, per adempiere un obbligo legale, per eseguire un compito di interesse pubblico o nell’esercizio di pubblici poteri di cui è investito il titolare del trattamento, per motivi di interesse pubblico nel settore della sanità pubblica, a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, ovvero per accertare, esercitare o difendere un diritto in sede giudiziaria.
Per far sì che l’interessato possa avere la garanzia che il proprio «diritto all’oblio», in particolare online, sia effettivo, il titolare del trattamento, che ha pubblicato i suoi dati personali, è tenuto non solo a procedere alla loro cancellazione dai propri sistemi interni, ma deve informare gli altri titolari del trattamento che trattano tali dati personali di cancellare qualsiasi link verso tali dati personali o copia o riproduzione di detti dati personali (si pensi al caso in cui un interessato chieda ad un sito web che vengano cancellati i suoi dati, ebbene spetta a tale titolare il compito di procedere ad informare il motore di ricerca o altri soggetti cui eventualmente i dati trattati sono stati comunicati, come responsabili del trattamento, della necessaria cancellazione in modo da renderla effettiva e rendere irraggiungibili i dati da ogni dove). Nel fare ciò, il titolare del trattamento è tenuto ad adottare misure ragionevoli, tenendo conto della tecnologia e dei mezzi che ha a disposizione, comprese misure tecniche.
L’art. 17 del Regolamento n. 679 stabilisce inoltre che l’interessato deve essere messo nelle condizioni di poter esercitare il proprio diritto all’oblio in maniera semplice e tempestiva, come tempestiva deve essere la risposta di cancellazione dei dati.