Nel presente articolo analizzeremo il “diritto all’oblio” e, in particolare, la possibilità di richiedere la cancellazione e/o la deindicizzazione dei contenuti online da parte del motore di ricerca e da parte del titolare del trattamento dei dati, sottolineando in ultimo la difficoltà nell’eliminazione dei contenuti pubblicati in rete.
Tale diritto è frutto di una lunga elaborazione dottrinale e giurisprudenziale e risulta oggi regolato dall’articolo 17 del GDPR.
Il diritto all’oblio è da intendersi come il diritto dell’individuo ad essere dimenticato: diritto che mira a salvaguardare il riserbo imposto dal tempo ad una notizia già resa pubblica.
Dunque, l’interessato può ottenere dal titolare o titolari che hanno reso pubblici i propri dati personali la cancellazione di questi dati che lo riguardano. Al tempo stesso si prevede l’obbligo per i titolari di informare della richiesta di cancellazione altri titolari che trattano dati personali cancellati (art 17 paragrafo 2 del Regolamento).
Quando si parla di diritto all’oblio “in rete”, il problema maggiore è capire in che modo l’interessato (ossia la persona a cui i dati personali pubblicati sul web si riferiscono) possa ottenere la rimozione dal web di contenuti che lo riguardano e che ledono il proprio diritto alla riservatezza o anche la sua reputazione.
Si deve distinguere tra due differenti modalità:
La richiesta volta al motore di ricerca prescinde dalla differente istanza di cancellazione proposta al soggetto che ha caricato l’informazione online.
In particolare, per ottenere la deindicizzazione del contenuto online, si possono scegliere due strade:
Per quanto riguarda la prima ipotesi, i principali motori di ricerca quali Google, Facebook, Twitter, YouTube prevedono la possibilità di segnalare i contenuti di cui si richiedere la rimozione e/o la deindicizzazione. A tal fine hanno predisposto, sui rispettivi siti, dei moduli per inoltrare le richieste2.
Se si legge, ad esempio, il modulo predisposto da Google si può notare che devono essere identificate le informazioni personali di cui si vuole la rimozione e la relativa posizione.
La valutazione circa la fondatezza della richiesta inoltrata al motore di ricerca è comunque discrezionale ed è affidata al motore di ricerca stesso.
Nel caso in cui Google non soddisfatti la richiesta, sarà necessario rivolgersi al Garante per la privacy affinché intervenga a tutela dell’interessato.
Solo nel caso in cui il provvedimento del Garante sia ritenuto insoddisfacente, l’interessato potrà adire la giurisdizione ordinaria e, in dettaglio, la magistratura Civile.
La seconda ipotesi riguarda invece la possibilità di interpellare direttamente il titolare del trattamento dei dati personali, al quale si può domandare di non rendere i propri dati personali reperibili a tutti i motori di ricerca.
Il gestore del sito web, dunque, per evitare che, al semplice inserimento di parole chiave nella ricerca compaia il contenuto online di cui l’interessato ha richiesto la deindicizzazione, può utilizzare un protocollo di esclusione robot, spesso chiamato robots.txt, che contiene le regole indicate dai gestori di un sito web ai crawler3 che lo visitano, chiedendo loro di applicare restrizioni di analisi sulle pagine del sito.
Quindi, quando il proprietario di un sito desidera fornire istruzioni ai robot Web, inserisce un file di testo denominatorobots.txt nella radice della gerarchia del sito web (ad es. d es. Https://www.example.com/robots.txt).
Piattaforme come Google, addirittura, mettono a disposizione dei proprietari di un sito delle linee guida di base per la creazione di un file robots.txt4 : questo file di testo consiste dunque in una serie di istruzioni.
Il problema di tale protocollo è quello di essere puramente consultivo e basarsi sulla conformità del Web robot. Di conseguenza, è improbabile in esempio che i robot Web dannosi rispettino il file robots.txt.
Occorre prestare attenzione, perché, come ormai molti sanno, i contenuti online sono molto difficili, se non impossibili, da rimuovere totalmente.
Abbiamo visto infatti che l’utilizzo di file robots.txt da parte del gestore della piattaforma non garantisce la deindicizzazione del contenuto.
Inoltre, il problema maggiore è quello di bilanciare il diritto alla privacy e alla protezione dei dati personali con l’interesse pubblico ad avere accesso alle informazioni5.
La Corte di Cassazione nella sentenza del 26 giugno 2013 n.16111 ha stabilito che “ il diritto del soggetto a pretendere che proprie, passate vicende personali siano pubblicamente dimenticate trova limite nel diritto di cronaca solo quando sussista un interesse effettivo ed attuale alla loro diffusione, nel senso che quanto recentemente accaduto trovi diretto collegamento con quelle vicende stesse e ne rinnovi l’attualità, in caso diverso risolvendosi il pubblico ed improprio collegamento tra le due informazioni in un’illecita lesione del diritto alla riservatezza.
Quindi, nel caso in cui non vi sia un interesse pubblico idoneo a fondare l’eventuale sacrificio del diritto alla riserva del privato, prevale il diritto all’oblio.
Successivamente, le Sezioni Unite della Corte di Cassazione nella sentenza del 22 luglio 2019, n.19681 hanno fornito i criteri su cui deve basarsi il bilanciamento tra l’interesse del singolo ad essere dimenticato e l’interesse pubblico alla notizia, chiarendo che assumono rilievo decisivo:
La valutazione spetta in prima istanza al webmaster, cioè a colui che ha pubblicato la notizia in un sito internet, in un giornale, in un blog, che dovrebbe agire da soggetto “terzo” e applicare i principi stabiliti dalla giurisprudenza. È chiaro che tale valutazione non avviene sempre in modo imparziale e corretto perché si crea un evidente conflitto di interesse: si chiede infatti al medesimo soggetto che ha pubblicato l’articolo (nella pratica spesso il caporedattore di un quotidiano online) di procedere alla sua deindicizzazione o rimozione.
In secondo lungo, ci si può rivolgere al motore di ricerca per la rimozione dei dati personali. Anche in questo caso, però, non è assicurata la rimozione dei contenuti online perchè la valutazione a è discrezionale ed è rimessa al motore di ricerca stesso.
In conclusione, con riferimento al tema della rimozione e/o deindicizzazione dei contenuti pubblicati online, di fatto non si può parlare di diritto all’oblio inteso come diritto ad essere dimenticati. Infatti, rimuovere completamente qualsiasi contenuto pubblicato in Internet è quasi impossibile6.
Un passo avanti è stato fatto recentemente dalla Corte di Cassazione civile nell’ordinanza del 24 novembre 2022, n. 34658 dove ha stabilito che il Garante può ordinare la deindicizzazione globale, dunque, anche nei confronti delle versioni dei motori di ricerca extraeuropee. Resta fermo però che i Paesi estranei all’Unione Europea potranno anche non tenere conto di tale ordine, restando impregiudicata la possibilità per questi ultimi di non riconoscere il relativo provvedimento.
È evidente, dunque, che in una rete capace di una memoria illimitata, occorre introdurre degli strumenti efficaci e idonei a modificare e aggiornare costantemente la nostra “immagine digitale”.
Camilla Zornetta
Note:
1Le ultime linee guida sulla deindicizzazione a cura dell’European Data Protection Board sono del luglio 2020: https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_201905_rtbfsearchengines_afterpublicconsultation_it.pdf
2 Si veda per esempio il modulo per la richiesta di rimozione di dati personali messo a disposizione di Google: https://reportcontent.google.com/forms/rtbf
3 I web crawler sono dei software automatici programmati per effettuare ricerche ed indicizzazione periodiche. Dovrebbero controllare, in una prima fase di analisi di un sito web, l’esistenza di file robots.txt ed applicare eventuali restrizioni richieste dal webmaster del sito.
4 Si vedano le linee guida predisposte da Google: https://developers.google.com/search/docs/crawling-indexing/robots/create-robots-txt?hl=it
5 Se vediamo il modulo predisposto da Google per la richiesta di rimozione di dati personali, viene espressamente affermato da Google che “Quando presenti la richiesta, bilanciamo i tuoi diritti alla privacy e alla protezione dei dati con l’interesse pubblico di avere accesso alle informazioni, oltre che con il diritto di altre persone a distribuirle. Ad esempio, potremmo rifiutarci di rimuovere determinate informazioni che riguardano frodi finanziarie, negligenza professionale, condanne penali o la condotta pubblica di funzionari governativi”.
6 Il 20 novembre 2012 la ENISA, European Network and Information Security Agency, ha pubblicato uno studio intitolato “The right to be forgotten- between expectations and practice” nel quale, tra l’altro, si evidenza come sia tecnicamente pressoché impossibile, allo stato, ottenere con certezza la cancellazione definitiva di un qualsiasi contenuto pubblicato in Internet.
Bibliografia: