Nel presente articolo analizzeremo il “diritto all’oblio” e, in particolare, la possibilità di richiedere la cancellazione e/o la deindicizzazione dei contenuti online da parte del motore di ricerca e da parte del titolare del trattamento dei dati, sottolineando in ultimo la difficoltà nell’eliminazione dei contenuti pubblicati in rete.
Normativa di riferimento
- Articolo 17 GDPR (General Data Protection Regulation), Regolamento (UE) n.679/2016: disciplina del diritto all’oblio.
- Costituzione: il diritto alla riservatezza trova la propria fonte di protezione agli articoli 2,3 e 21 della Costituzione, che tutelano rispettivamente i diritti inviolabili dell’uomo e la dignità di ciascuna persona e prevedono la necessità di realizzare un bilanciamento tra diritto di cronaca e i diritti della personalità.
- Codice della privacy (decreto legislativo n. 196 del 2003): contiene le norme di protezione dei dati personali e in particolare il diritto ad ottenere la cancellazione dei dati personali trattati in violazione o di cui non sia necessaria la conservazione (articolo 7 comma 3 lettera b).
- Decreto legislativo 10 agosto 2018, n. 101: Disposizioni per l’adeguamento del Codice in materia di protezione dei dati personali (Decreto legislativo 30 giugno 2003, n. 196) alle disposizioni del Regolamento (UE) 2016/679.
Definizione del Diritto all’oblio
Tale diritto è frutto di una lunga elaborazione dottrinale e giurisprudenziale e risulta oggi regolato dall’articolo 17 del GDPR.
Il diritto all’oblio è da intendersi come il diritto dell’individuo ad essere dimenticato: diritto che mira a salvaguardare il riserbo imposto dal tempo ad una notizia già resa pubblica.
Dunque, l’interessato può ottenere dal titolare o titolari che hanno reso pubblici i propri dati personali la cancellazione di questi dati che lo riguardano. Al tempo stesso si prevede l’obbligo per i titolari di informare della richiesta di cancellazione altri titolari che trattano dati personali cancellati (art 17 paragrafo 2 del Regolamento).
Diritto all’oblio in rete
Quando si parla di diritto all’oblio “in rete”, il problema maggiore è capire in che modo l’interessato (ossia la persona a cui i dati personali pubblicati sul web si riferiscono) possa ottenere la rimozione dal web di contenuti che lo riguardano e che ledono il proprio diritto alla riservatezza o anche la sua reputazione.
Si deve distinguere tra due differenti modalità:
- La rimozione integrale o anonimizzazione del contenuto online. In questo caso la richiesta dell’interessato dovrà essere rivolta direttamente al titolare del trattamento dei dati personali (ad esempio nel caso di pubblicazione di un articolo di giornale che leda la reputazione o la riservatezza di un soggetto, la richiesta di rimozione o anonimizzazione dovrà essere rivolta direttamente alla testata giornalistica).
- La deindicizzazione dai motori di ricerca che si realizza eliminando il contenuto in questione dai risultati delle ricerche effettuate online attraverso appunti tali motori. La deindicizzazione risulta spesso l’unica soluzione praticabile quando, ad esempio, i contenuti si sono diffusi in rete al punto tale da rendere molto difficile risalire a tutte le pagine online che hanno riprodotto il contenuto1.
La richiesta volta al motore di ricerca prescinde dalla differente istanza di cancellazione proposta al soggetto che ha caricato l’informazione online.
In particolare, per ottenere la deindicizzazione del contenuto online, si possono scegliere due strade:
- La prima è domandare la deindicizzazione al motore di ricerca.
- La seconda consiste nell’interpellare direttamente il titolare del trattamento dei dati personali che ha operato la pubblicazione.
Deindicizzazione del contenuto da parte del motore di ricerca
Per quanto riguarda la prima ipotesi, i principali motori di ricerca quali Google, Facebook, Twitter, YouTube prevedono la possibilità di segnalare i contenuti di cui si richiedere la rimozione e/o la deindicizzazione. A tal fine hanno predisposto, sui rispettivi siti, dei moduli per inoltrare le richieste2.
Se si legge, ad esempio, il modulo predisposto da Google si può notare che devono essere identificate le informazioni personali di cui si vuole la rimozione e la relativa posizione.
La valutazione circa la fondatezza della richiesta inoltrata al motore di ricerca è comunque discrezionale ed è affidata al motore di ricerca stesso.
Nel caso in cui Google non soddisfatti la richiesta, sarà necessario rivolgersi al Garante per la privacy affinché intervenga a tutela dell’interessato.
Solo nel caso in cui il provvedimento del Garante sia ritenuto insoddisfacente, l’interessato potrà adire la giurisdizione ordinaria e, in dettaglio, la magistratura Civile.
Deindicizzazione da parte del titolare del trattamento dei dati personali: protocollo di esclusione robot
La seconda ipotesi riguarda invece la possibilità di interpellare direttamente il titolare del trattamento dei dati personali, al quale si può domandare di non rendere i propri dati personali reperibili a tutti i motori di ricerca.
Il gestore del sito web, dunque, per evitare che, al semplice inserimento di parole chiave nella ricerca compaia il contenuto online di cui l’interessato ha richiesto la deindicizzazione, può utilizzare un protocollo di esclusione robot, spesso chiamato robots.txt, che contiene le regole indicate dai gestori di un sito web ai crawler3 che lo visitano, chiedendo loro di applicare restrizioni di analisi sulle pagine del sito.
Quindi, quando il proprietario di un sito desidera fornire istruzioni ai robot Web, inserisce un file di testo denominatorobots.txt nella radice della gerarchia del sito web (ad es. d es. Https://www.example.com/robots.txt).
Piattaforme come Google, addirittura, mettono a disposizione dei proprietari di un sito delle linee guida di base per la creazione di un file robots.txt4 : questo file di testo consiste dunque in una serie di istruzioni.
Il problema di tale protocollo è quello di essere puramente consultivo e basarsi sulla conformità del Web robot. Di conseguenza, è improbabile in esempio che i robot Web dannosi rispettino il file robots.txt.
Bilanciamento tra diritto alla riservatezza e diritto alla cronaca e all’informazione
Occorre prestare attenzione, perché, come ormai molti sanno, i contenuti online sono molto difficili, se non impossibili, da rimuovere totalmente.
Abbiamo visto infatti che l’utilizzo di file robots.txt da parte del gestore della piattaforma non garantisce la deindicizzazione del contenuto.
Inoltre, il problema maggiore è quello di bilanciare il diritto alla privacy e alla protezione dei dati personali con l’interesse pubblico ad avere accesso alle informazioni5.
La Corte di Cassazione nella sentenza del 26 giugno 2013 n.16111 ha stabilito che “ il diritto del soggetto a pretendere che proprie, passate vicende personali siano pubblicamente dimenticate trova limite nel diritto di cronaca solo quando sussista un interesse effettivo ed attuale alla loro diffusione, nel senso che quanto recentemente accaduto trovi diretto collegamento con quelle vicende stesse e ne rinnovi l’attualità, in caso diverso risolvendosi il pubblico ed improprio collegamento tra le due informazioni in un’illecita lesione del diritto alla riservatezza.
Quindi, nel caso in cui non vi sia un interesse pubblico idoneo a fondare l’eventuale sacrificio del diritto alla riserva del privato, prevale il diritto all’oblio.
Successivamente, le Sezioni Unite della Corte di Cassazione nella sentenza del 22 luglio 2019, n.19681 hanno fornito i criteri su cui deve basarsi il bilanciamento tra l’interesse del singolo ad essere dimenticato e l’interesse pubblico alla notizia, chiarendo che assumono rilievo decisivo:
- la notorietà dell’interessato;
- il suo coinvolgimento nella vita pubblica;
- il contributo ad un dibattito di interesse generale;
- l’oggetto della notizia;
- la forma della pubblicazione;
- il tempo trascorso dal momento in cui i fatti si sono effettivamente verificati.
La valutazione spetta in prima istanza al webmaster, cioè a colui che ha pubblicato la notizia in un sito internet, in un giornale, in un blog, che dovrebbe agire da soggetto “terzo” e applicare i principi stabiliti dalla giurisprudenza. È chiaro che tale valutazione non avviene sempre in modo imparziale e corretto perché si crea un evidente conflitto di interesse: si chiede infatti al medesimo soggetto che ha pubblicato l’articolo (nella pratica spesso il caporedattore di un quotidiano online) di procedere alla sua deindicizzazione o rimozione.
In secondo lungo, ci si può rivolgere al motore di ricerca per la rimozione dei dati personali. Anche in questo caso, però, non è assicurata la rimozione dei contenuti online perchè la valutazione a è discrezionale ed è rimessa al motore di ricerca stesso.
Conclusione: si può parlare di diritto all’oblio con riferimento ai contenuti pubblicati online?
In conclusione, con riferimento al tema della rimozione e/o deindicizzazione dei contenuti pubblicati online, di fatto non si può parlare di diritto all’oblio inteso come diritto ad essere dimenticati. Infatti, rimuovere completamente qualsiasi contenuto pubblicato in Internet è quasi impossibile6.
Un passo avanti è stato fatto recentemente dalla Corte di Cassazione civile nell’ordinanza del 24 novembre 2022, n. 34658 dove ha stabilito che il Garante può ordinare la deindicizzazione globale, dunque, anche nei confronti delle versioni dei motori di ricerca extraeuropee. Resta fermo però che i Paesi estranei all’Unione Europea potranno anche non tenere conto di tale ordine, restando impregiudicata la possibilità per questi ultimi di non riconoscere il relativo provvedimento.
È evidente, dunque, che in una rete capace di una memoria illimitata, occorre introdurre degli strumenti efficaci e idonei a modificare e aggiornare costantemente la nostra “immagine digitale”.
Camilla Zornetta
Note:
1Le ultime linee guida sulla deindicizzazione a cura dell’European Data Protection Board sono del luglio 2020: https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_201905_rtbfsearchengines_afterpublicconsultation_it.pdf
2 Si veda per esempio il modulo per la richiesta di rimozione di dati personali messo a disposizione di Google: https://reportcontent.google.com/forms/rtbf
3 I web crawler sono dei software automatici programmati per effettuare ricerche ed indicizzazione periodiche. Dovrebbero controllare, in una prima fase di analisi di un sito web, l’esistenza di file robots.txt ed applicare eventuali restrizioni richieste dal webmaster del sito.
4 Si vedano le linee guida predisposte da Google: https://developers.google.com/search/docs/crawling-indexing/robots/create-robots-txt?hl=it
5 Se vediamo il modulo predisposto da Google per la richiesta di rimozione di dati personali, viene espressamente affermato da Google che “Quando presenti la richiesta, bilanciamo i tuoi diritti alla privacy e alla protezione dei dati con l’interesse pubblico di avere accesso alle informazioni, oltre che con il diritto di altre persone a distribuirle. Ad esempio, potremmo rifiutarci di rimuovere determinate informazioni che riguardano frodi finanziarie, negligenza professionale, condanne penali o la condotta pubblica di funzionari governativi”.
6 Il 20 novembre 2012 la ENISA, European Network and Information Security Agency, ha pubblicato uno studio intitolato “The right to be forgotten- between expectations and practice” nel quale, tra l’altro, si evidenza come sia tecnicamente pressoché impossibile, allo stato, ottenere con certezza la cancellazione definitiva di un qualsiasi contenuto pubblicato in Internet.
Bibliografia:
- Michele Iaselli, I ricorsi al garante della privacy, i diritti, i doveri e le sanzioni, Maggioli Editore, 2022, pp. 44-66
- GDPR (General Data Protection Regulation), Regolamento (UE) n.679/2016
- Codice della privacy, D.lgs. 196/2003
- https://www.garanteprivacy.it/i-miei-diritti/diritti/oblio
- https://developers.google.com/search/docs/crawling-indexing/robots/intro?hl=it
