Il diritto all'oblio in Europa: quando il passato non passa

Se una notizia che naviga in rete ci riguarda ed è però lesiva della nostra reputazione, è possibile rimuoverla? Come far valere il diritto all’oblio in Europa

 

Principi generali

Quando si parla di diritto all’oblio si intende il diritto di ogni cittadino a richiedere la cancellazione, l’aggiornamento o la modifica di una notizia che lo coinvolga in prima persona anche se al solo fine di salvaguardare la propria reputazione. Questo è uno dei diritti inviolabili dell’uomo, è riconosciuto e tutelato dalla Costituzione italiana all’art. 2, secondo cui “La Repubblica riconosce e garantisce i diritti inviolabili dell’uomo”. È sancito pertanto il diritto di ogni individuo ad essere dimenticato e non essere più ricordato per quei fatti che siano stati oggetto di cronaca in passato, destinati a riflettersi nella sua sfera privata.

Internet ha reso la conoscenza facilmente accessibile a tutti e la memoria, di fatto, infinita e indelebile.

Questa nel mondo fisico e analogico, è strettamente connessa ai limiti che lo strumento che la custodisce possiede per mantenerla nel tempo. Si cerca di trovare delle risposte ai quesiti che ci perseguitano ogni volta che una piccola informazione che ci riguarda viene inserita in rete: per quanto tempo si può conservare e ricordare un’informazione? Quanto è semplice condividerla con altri? Qual è la differenza tra la condivisione nel mondo digitale e quello dei media tradizionali?

Nel mondo digitale e di Internet è estremamente semplice la memorizzazione delle informazioni, con conseguente duplicazione e condivisione. Tutte le informazioni tendono a permanere, senza alcuna esigenza di selezione. Nel mondo del Cloud, infatti, non abbiamo concreta consapevolezza di chi e di dove ha memorizzato, duplicato, indicizzato e pubblicato le nostre informazioni: si crea così una catena che è impossibile controllare.

Non si tratta solo di impedire che permangano le nostre informazioni personali pubblicate dalla fonte originaria ma di vigilare sulle ripubblicazioni che tendono a restare sempre accessibili. Per questo motivo, ci si chiede quanto a lungo possa essere pubblicamente disponibile un’informazione online, prescindendo dal tempo trascorso dalla prima pubblicazione, che potrebbe aver fatto perdere alla notizia anche attualità e interesse pubblico. Nella rete, quindi, il problema da considerare non è tanto la ripubblicazione della notizia, quanto il danno che può derivare dal suo continuo permanere, come se questa galleggiasse in un “eterno attuale”[1].

 

Un diritto recente

Nel contesto europeo si parla di diritto all’oblio in Europa in Internet già dal 2010, quando il Commissario Europeo per la Giustizia, Viviane Reding, fissò fra gli obiettivi dell’Unione Europea quello di legiferare in materia.

Nel 2012 l’Europa ha elaborato numerose norme per assicurare il diritto all’oblio sul web a tutti gli utenti di internet con l’intento di limitare la raccolta delle informazioni personali, proponendo un’informativa chiara e completa in cui spiegare i fini della stessa per consentirne la rimozione completa. La Commissione Europea si è soffermata principalmente sui concetti di diritto all’oblio, trasparenza e irrilevanza della territorialità dei dati, provando a stabilire sia il diritto a non essere ricordati online per quei fatti che si dimostrino non più pertinenti, rilevanti e di interesse pubblico, sia il diritto a essere informati sull’utilizzo dei propri dati con la possibilità per gli utenti di segnalarne agli organi competenti l’uso illecito e inappropriato, chiedendone la cancellazione.

Si è arrivati così al Regolamento Europeo sulla Protezione dei Dati GDPR del 2016 che ha positivizzato diritti e modalità di tutela degli stessi prima affidati solo a pronunce di tipo giurisprudenziale sia a livello nazionale che europeo.

 

Diritto all’oblio e diritto all’informazione

Il diritto all’oblio in Europa è uno dei più recenti diritti di privacy perché la società digitale lo considera un presupposto essenziale per difendersi dall’invadenza del web e dalla sua capacità di ricordare senza limiti temporali.

A scrivere la storia del diritto all’oblio in Europa sono stati in larga parte i suoi sempre complessi rapporti con il diritto di cronaca e più in generale con quello di informazione. È con il diritto di informare ed essere informati che si scontra il diritto all’oblio.  D’altra parte, ogni individuo gode del diritto alla libertà di opinione e di espressione, incluso quello di ricevere e diffondere informazioni e idee attraverso ogni mezzo. Libertà che, grazie agli strumenti offerti dal web, consentono a chiunque, quindi non solo alle testate giornalistiche, di conoscere e rendere pubbliche le informazioni più disparate sulle persone.

 

Google Spain, il caso scatenante

Il diritto all’oblio è stato rivendicato per la prima volta nel maggio 2014 con il caso Google Spain, nato dal rinvio pregiudiziale di una sentenza emessa dall’Agenzia spagnola per la protezione dei dati e rifiutata da Google. La Corte di Giustizia Europea[2] ha stabilito in quell’occasione il diritto alla deindicizzazione dai motori di ricerca degli url dannosi per la reputazione del ricorrente.

Il caso si fondava sul fatto che ogni volta che un utente di Google digitava e cercava il nome del signor Costeja Gonzalez veniva collegato con dei link a due pagine di un quotidiano del 1998 in cui non c’era più alcun legame con il presente. La stessa sentenza negava, tuttavia, la cancellazione delle notizie, lecitamente pubblicate dal quotidiano locale, fonte originaria, all’epoca del loro avvenimento. Il diritto all’oblio quindi, nell’era dell’informazione digitale in cui i giornali online conservano le notizie, viene il più delle volte garantito attraverso la deindicizzazione dai motori di ricerca. Per ottenerla non occorre rivolgersi al giornale o al sito web ma a Google stesso. La notizia, infatti, come nel caso Google Spain, molto spesso permane visibile su internet, ma solo se si visita l’archivio del sito web.

Può capitare di ricevere il rifiuto a rimuovere il link perché il motore di ricerca ritiene ancora rilevante quella notizia. In questo caso ci si può rivolgere al Garante Nazionale per la Protezione Dati, il cosiddetto “garante alla privacy”, che esiste in tutti gli stati membri dell’Unione.

Ricapitolando, la Corte di Giustizia Europea ha approvato la richiesta di eliminazione dei link dal motore di ricerca e ha sancito che lo stesso Google, riconoscendo in capo a questa entità lo status di Titolare del Trattamento dei Dati, è obbligato a rimuovere i link dall’elenco dei risultati di ricerca, ottenuti digitando il nome di una persona, cioè quei contenuti online che riconducono a notizie ritenute lesive per il soggetto, senza però che le notizie vengano rimosse dal sito in cui compaiono e anche se la pubblicazione sia di per sé lecita. Il giudice ha dichiarato infatti che, sulla base degli articoli 7 e 8 della Carta dei Diritti Fondamentali dell’Unione Europea, il richiedente ha la facoltà di pretendere che l’informazione non sia più messa a disposizione di tutti attraverso i risultati dei motori di ricerca.

Attualmente la sentenza riguarda solo l’Europa ma ha aperto la strada a modalità ulteriori per la tutela del diritto all’oblio e all’autodeterminazione informativa in tutto il mondo.

In seguito ad essa, Google rende noti i dati inerenti alle segnalazioni e alle richieste di rimozione di contenuti indicizzati ai sensi delle leggi europee sulla privacy e diritto all’oblio. In particolare, è interessante rilevare che ad oggi in Italia sono stati rimossi il 39,2% degli url per i quali si è richiesta la deindicizzazione[3].

 

Cosa si intende per deindicizzazione

Riguardo il diritto all’oblio è possibile rimuovere dal web un’informazione, un articolo o qualsiasi contenuto lesivo della reputazione. A volte, però, l’eliminazione non si attua. Nonostante il diritto di cronaca vada in secondo piano dopo un adeguato periodo di tempo, le testate maggiori tendono a non toccare i loro archivi. Il rifiuto di cancellare completamente la notizia si scontra anche con questa realtà. È in quei casi che si applica la deindicizzazione.

Questa permette di evitare che un contenuto rimanga sui motori di ricerca. In che modo? L’interessato ha il diritto di chiedere al motore di ricerca di cancellare uno o più collegamenti a pagine web dall’elenco dei risultati visualizzati a seguito di una ricerca effettuata sulla base del suo nome. Tale diritto è stato sancito formalmente nell’articolo 17 del Regolamento europeo sulla protezione dei dati (GDPR).

 

Google vs CNIL, il concetto di geoblocking

A settembre 2019, nel caso Google vs CNIL[4], la vertenza riguardava una controversia tra Google LLC e la Commissione Nationale Informatique et Libertés (CNIL) (Francia) in merito ad una sanzione di 100.000 euro irrogata da quest’ultima a Google a causa del suo rifiuto di rimuovere i contenuti di una pagina sui risultati del motore ricerca Google a livello globale.

La multinazionale si opponeva alla richiesta di cancellazione totale, limitandosi a eliminare i collegamenti in questione solo sulle versioni del suo motore di ricerca negli Stati membri dell’Unione Europea: un meccanismo di “geoblocking” che la CNIL aveva ritenuto insufficiente e perciò lo aveva sanzionato.

Google, da parte sua, aveva impugnato il provvedimento sanzionatorio sostenendo che fosse basato su un’interpretazione errata delle disposizioni di legge, in quanto il diritto all’oblio non implicava necessariamente la cancellazione senza limitazione geografica su tutti i nomi di dominio del suo motore.

La Corte di Giustizia Europea si è espressa in merito definendo lo scopo territoriale del diritto alla deindicizzazione, precisando che l’articolo 17 del GDPR deve essere considerato “nel senso che il gestore di un motore di ricerca, quando accoglie una domanda di deindicizzazione in applicazione delle suddette disposizioni, è tenuto ad effettuare tale deindicizzazione non in tutte le versioni del suo motore di ricerca, ma nelle versioni di tale motore corrispondenti a tutti gli Stati membri, e ciò, se necessario, in combinazione con misure che, tenendo nel contempo conto delle prescrizioni di legge, permettono effettivamente di impedire agli utenti di Internet, che effettuano una ricerca sulla base del nome dell’interessato a partire da uno degli Stati membri, di avere accesso, attraverso l’elenco dei risultati visualizzato in seguito a tale ricerca, ai link oggetto di tale domanda, o quantomeno di scoraggiare seriamente tali utenti”.

La Corte di giustizia dell’Unione europea ha stabilito quindi che Google non deve applicare il diritto all’oblio a livello globale. Si tratta quindi di un diritto all’oblio in Europa. Il che significa che il colosso tecnologico potrà rimuovere i collegamenti che rimandano a contenuti e informazioni degli utenti, dopo aver ricevuto una richiesta appropriata, solo dai suoi risultati di ricerca in Europa e non altrove.

A seguito delle numerose sentenze in merito pronunciate dalla CGUE, il comitato europeo per la protezione dei dati (EDPB) ha impostato il processo di redazione di linee guida con l’elenco dei motivi per i quali un interessato può richiedere la deindicizzazione nonché le eccezioni all’esercizio di questo diritto: una prima versione delle linee guida è stata adottata nel dicembre 2019, la consultazione conclusa nel febbraio 2020, la seconda versione pubblicata il 7 luglio 2020.

 

Nello specifico: il GDPR

Il GDPR riconosce definitivamente il diritto all’oblio nell’art. 17, comma 1, ma lo fa coincidere con il diritto alla cancellazione applicabile nei seguenti casi:

1. se i dati non sono più necessari rispetto alle finalità per le quali sono stati raccolti, pertanto il trattamento deve essere limitato agli altri scopi;
2. se l’interessato revoca il consenso al trattamento dei dati personali, per una o più specifiche finalità, oppure revoca il consenso al trattamento di categorie particolari di dati e se non sussiste altro fondamento giuridico per il trattamento;
3. se l’interessato ha esercitato il diritto di opposizione al trattamento e non sussiste alcun motivo legittimo prevalente per procedere al trattamento, oppure si oppone al trattamento per finalità di marketing diretto, inclusa la profilazione;
4. se i dati personali sono stati trattati illecitamente;
5. se i dati personali devono essere cancellati per adempiere un obbligo legale previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento;
6. se i dati personali sono stati raccolti relativamente all’offerta di servizi della società dell’informazione e trattati sulla base del consenso di un minore, laddove il minore abbia almeno 16 anni di età, o del consenso prestato o autorizzato dal titolare della responsabilità genitoriale, laddove il minore non abbia almeno 16 anni.

 

L’art. 17 prosegue, al comma 3, precisando che il diritto alla cancellazione non si applica se il trattamento oggetto di cancellazione è necessario per:

1. l’esercizio del diritto alla libertà di espressione e di informazione;
2. l’adempimento di un obbligo legale che richieda il trattamento previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento o per l’esecuzione di un compito svolto nel pubblico interesse oppure nell’esercizio di pubblici poteri di cui è investito il titolare del trattamento;
3. motivi di interesse pubblico nel settore della sanità pubblica;
4. fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici;
5. l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria.

 

È importante sottolineare che l’azienda titolare del trattamento deve procedere spontaneamente e automaticamente alla cancellazione dei dati personali che riguardano un individuo se si verifica una delle situazioni elencate nell’art. 17 c. 1 del GDPR, a prescindere quindi dall’esercizio del diritto da parte dell’interessato.

Non è cioè necessario l’esercizio diretto di una richiesta di cancellazione da parte dell’interessato che ha comunque sempre facoltà di procedere con una richiesta espressa di cancellazione, nelle forme libere che ritiene opportune, se il titolare non ne ha predisposte appositamente.

Solo in due casi, stabiliti dal suddetto articolo al terzo comma, è possibile non richiamare il diritto all’oblio:

• se vi è una legge che lo impone per un periodo di tempo prestabilito;
• se deve essere preservato l’accertamento, l’esercizio o la difesa di un diritto dell’azienda in sede giudiziaria.

 

Conclusioni sul diritto all’oblio in Europa

Sebbene, dunque, il GDPR abbia fornito un quadro concreto per l’applicazione o la limitazione del diritto all’oblio in Europa, la applicabilità di questa norma continua ad essere resa complessa dai delicati rapporti con altri diritti di pari rango e da una certa dose di insensibilità delle nuove tecnologie alle regole del diritto. Internet non dimentica, anche se la legge dice che dovrebbe farlo affidando ancora una volta ai giudici, nazionali e sovranazionali, la responsabilità di bilanciare i diritti contrapposti e valutare la concreta efficacia delle misure poste a tutela del diritto all’oblio.

Con le Linee guida il comitato europeo per la protezione dei dati cerca di fornire così alle autorità di controllo nazionali degli strumenti utili nella ricerca di tale equilibrio.