Quando si parla di privacy, non è fuori luogo pensare anche alla sicurezza; non solo per quanto riguarda la protezione dei dati e delle informazioni personali, ma anche relativamente all’incolumità fisica: la cronaca recente ci rimanda, purtroppo, alla tragica vicenda di una donna vittima della diffusione on line di un video che la riguardava. L’accadimento drammatico ripropone il problema della cancellazione dei dati personali dal web (il cosiddetto diritto all’oblio).
Nell’attuale disciplina della privacy, contenuta nel D. Lgs. 196/2003, il diritto all’oblio è enunciato nell’art. 7, co. 3, lett. b), dove si attribuisce all’interessato il diritto di chiedere “la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge, compresi quelli di cui non è necessaria la conservazione in relazione agli scopi per i quali i dati sono stati raccolti o successivamente trattati”; a partire dal 25 maggio 2018, data in cui sarà applicabile il Regolamento U.E. 2016/679 sulla privacy, invece, troveremo la disciplina della cancellazione dei dati nell’art. 17 della normativa unionaria. Come si legge nel “considerando” n. 65 del Regolamento in parola “Un interessato dovrebbe avere il diritto di ottenere la rettifica dei dati personali che lo riguardano e il «diritto all’oblio» se la conservazione di tali dati violi il presente regolamento o il diritto dell’Unione o degli Stati membri cui è soggetto il titolare del trattamento. In particolare, l’interessato dovrebbe avere il diritto di chiedere che siano cancellati e non più sottoposti a trattamento i propri dati personali che non siano più necessari per le finalità per le quali sono stati raccolti o altrimenti trattati, quando abbia ritirato il proprio consenso o si sia opposto al trattamento dei dati personali che lo riguardano o quando il trattamento dei suoi dati personali non sia altrimenti conforme al presente regolamento. Tale diritto è in particolare rilevante se l’interessato ha prestato il proprio consenso quando era minore, e quindi non pienamente consapevole dei rischi derivanti dal trattamento, e vuole successivamente eliminare tale tipo di dati personali, in particolare da internet. L’interessato dovrebbe poter esercitare tale diritto indipendentemente dal fatto che non sia più un minore. Tuttavia, dovrebbe essere lecita l’ulteriore conservazione dei dati personali qualora sia necessaria per esercitare il diritto alla libertà di espressione e di informazione, per adempiere un obbligo legale, per eseguire un compito di interesse pubblico o nell’esercizio di pubblici poteri di cui è investito il titolare del trattamento, per motivi di interesse pubblico nel settore della sanità pubblica, a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, ovvero per accertare, esercitare o difendere un diritto in sede giudiziaria”.
Conformemente, l’articolo 17 disciplina in modo articolato il diritto all’oblio, come possiamo leggere di seguito:
“Diritto alla cancellazione («diritto all’oblio»)
1. L’interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l’obbligo di cancellare senza ingiustificato ritardo i dati personali, se sussiste uno dei motivi seguenti:
a) i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati; b)l’interessato revoca il consenso su cui si basa il trattamento conformemente all’articolo 6, paragrafo 1, lettera a), o all’articolo 9, paragrafo 2, lettera a), e se non sussiste altro fondamento giuridico per il trattamento; c) l’interessato si oppone al trattamento ai sensi dell’articolo 21, paragrafo 1, e non sussiste alcun motivo legittimo prevalente per procedere al trattamento, oppure si oppone al trattamento ai sensi dell’articolo 21, paragrafo 2; d) i dati personali sono stati trattati illecitamente; e) i dati personali devono essere cancellati per adempiere un obbligo legale previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento; f) i dati personali sono stati raccolti relativamente all’offerta di servizi della società dell’informazione di cui all’articolo 8, paragrafo 1.
2. Il titolare del trattamento, se ha reso pubblici dati personali ed è obbligato, ai sensi del paragrafo 1, a cancellarli, tenendo conto della tecnologia disponibile e dei costi di attuazione adotta le misure ragionevoli, anche tecniche, per informare i titolari del trattamento che stanno trattando i dati personali della richiesta dell’interessato di cancellare qualsiasi link, copia o riproduzione dei suoi dati personali.
3. I paragrafi 1 e 2 non si applicano nella misura in cui il trattamento sia necessario:
a) per l’esercizio del diritto alla libertà di espressione e di informazione; b) per l’adempimento di un obbligo legale che richieda il trattamento previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento o per l’esecuzione di un compito svolto nel pubblico interesse oppure nell’esercizio di pubblici poteri (1) di cui è investito il titolare del trattamento; c) per motivi di interesse pubblico nel settore della sanità pubblica in conformità dell’articolo 9, paragrafo 2, lettere h) e i), e dell’articolo 9, paragrafo 3; d)a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici conformemente all’articolo 89, paragrafo 1, nella misura in cui il diritto di cui al paragrafo 1 rischi di rendere impossibile o di pregiudicare gravemente il conseguimento degli obiettivi di tale trattamento; o e) per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria.
Negli aspetti più diffusi, dunque, il diritto all’oblio poggia o sulla mancanza del consenso dell’interessato o sul trascorrere del tempo, se questo rende superate le finalità per cui i dati sono stati raccolti. Mentre il primo caso riguarda, per lo più, social network ed applicazioni, con cui vengono diffuse immagini e video, spesso senza il consenso delle persone rappresentate, lo scorrere del tempo riguarda maggiormente le notizie giornalistiche, che realizzano il diritto all’informazione e il dovere di cronaca, ma lasciano dubbi sulla reale necessità di permanenza indefinita on line; le notizie, infatti, spesso veridiche all’inizio, nel tempo potrebbero risultare incomplete, non esatte o non più rispondenti allo status attuale della persona; l’esempio calzante è quello dell’articolo sull’imputato di un processo penale, della cui eventuale successiva assoluzione non venga fornita alcuna informazione. Tuttavia, il provvedimento n. 152/2016 del Garante della Privacy esclude la cancellazione quando la notizia riceva un’attenzione molto alta da parte del pubblico, nonostante il trascorrere del tempo.
Quando si parla di diritto alla riservatezza, bisogna sempre tener presente che esso va contemperato con altri diritti, con cui potrebbe entrare in contrapposizione. Nel caso specifico del diritto all’oblio, il contraltare è spesso costituito dalla libertà di espressione e dal diritto di cronaca. Alcuni studiosi, soprattutto statunitensi, sostengono che il diritto all’oblio si sostanzierebbe solo nel diritto di cancellare i dati che si è personalmente pubblicati e non nel diritto di cassare il materiale pubblicato da altri, poichè si violerebbe la libertà di espressione dei terzi, con la conseguenza che, per timore di effetti nocivi, molti titolari di trattamento (aziende, enti pubblici, testate giornalistiche, etc.) potrebbero eliminare delle informazioni , producendo, in tal modo, un effetto-censura. Parimenti, l’individuo interessato potrebbe limitare il diritto di cronaca o l’attività di archiviazione storica, chiedendo la cancellazione di notizie a lui non gradite. Proprio per questo, il Regolamento unionario summenzionato subordina l’esercizio del diritto alle specifiche condizioni sopra riportate.
Precisiamo che spesso chi richiede la cancellazione dei dati che lo riguardano lamenta non una lesione del diritto alla protezione di quei dati, molte volte lecitamente pubblicati, ma una lesione proveniente dalla permanenza indefinita delle informazioni, liberamente lasciate all’accesso di chiunque, soprattutto sul web. Sul piano giudiziario la questione venne posta per la prima volta dall’Autorità spagnola garante della privacy alla Corte di Giustizia dell’Unione Europea, che venne chiamata ad interpretare la Direttiva 95/46/CE (2). La Corte emanò una sentenza, la C-131/12 del 2014 (3), in cui affermava che il motore di ricerca è uno dei titolari del trattamento dei dati (l’altro è il sito dove essi vengono pubblicati), che deve soddisfare la richiesta dell’utente che voglia la rimozione dei link che lo riguardano dalle pagine web, a meno che essi non siano di pubblico interesse. Secondo l’interpretazione della Corte, i diritti fondamentali dell’individuo ( di cui agli artt. 7 e 8 della Carta dei diritti fondamentali dell’Unione Europea) prevalgono sugli interessi economici dei gestori dei motori di ricerca e sull’interesse del pubblico ad accedere alle informazioni, a meno che queste non siano relative a persone pubbliche. La sentenza, tuttavia, riconosceva solo la possibilità di cancellazione dei link dal motore di ricerca.
Invece, una recente pronuncia della Corte di Cassazione, la n. 13161 del 24.06.2016, riconosce che anche alle notizie giornalistiche vanno applicati gli articoli 11 e 25 dell’attuale Codice della Privacy ( che, in buona sostanza, dicono che i dati personali non possono essere trattati per un periodo di tempo superiore a quello necessario agli scopi per cui erano stati raccolti). La Suprema Corte, dunque, sostiene che la permanenza dei dati personali on line, anche se contenuti in un articolo di giornale, col trascorrere del tempo lede il diritto alla riservatezza, poichè una notizia risalente ad un periodo antecedente, ma facilmente accessibile, esorbita dal lecito trattamento di archiviazione dei dati giornalistici per finalità storiche o redazionali. In sintesi, si ammette la cancellazione di un articolo dall’archivio storico di una testata giornalistica on line, su richiesta dell’interessato.
Quanto questa interpretazione potrà far discutere, lo si può solo immaginare, visto che in gioco ci sono libertà costituzionalmente protette e, fra meno di due anni, sarà applicabile anche l’art. 17, co. 3, lett. a) del Regolamento europeo 2016/679, che esclude il diritto all’oblio per l’esercizio del diritto alla libertà di espressione e d’informazione. Forse, un buon risultato di compromesso sarebbe raggiunto in base alla sentenza della C.G.U.E., sopra menzionata, che ammette la deindicizzazione della notizia dai motori di ricerca, ma la conservazione nell’archivio on line del giornale, per la consultazione di chi ne abbia interesse, come si farebbe con le copie cartacee conservate in un’emeroteca. Purtroppo, il punctum dolens della questione sta proprio nell’ampiezza del fenomeno, più che nel fenomeno in sé: nell’era analogica, qualsiasi notizia riportata su supporti cartacei, e conservata, poteva essere liberamente consultata; in quella situazione non avrebbe avuto senso parlare di diritto all’oblio, in quanto non sarebbe stato possibile cassare una notizia stampata. Con l’avvento dell’era digitale cambia l’ampiezza e la possibilità di accesso alle informazioni, cosa che potrebbe risultare pregiudizievole per i soggetti coinvolti ed oltrepassare anche il diritto di cronaca ( con molti leciti dubbi e diatribe), riconosciuto dall’art. 136 e dall’art. 137, co. 2, del D. Lgs. 196/2003 ( Codice della privacy).
Sicuramente il problema andrà affrontato anche con una nuova pedagogia del web, che educhi il comportamento di ognuno alla prudenza, al rispetto ed alla discrezione; infatti, la diffusione di dati e notizie dovuta ad Internet rende difficile l’esercizio dell’oblio, nonostante l’attuale disciplina obblighi i titolari del trattamento a fare il possibile in tal senso ( v. art. 17, co. 2, Reg. U.E. 2016/679), perchè tecnicamente i dati sono conservati all’interno di siti, copie cache, account, smartphone personali, social network, etc., con titolari di trattamento diversi, anche extra-continentali, e relativa impossibilità di raggiungere tutti ed invocare in proposito l’applicazione della normativa europea. Quando si parla di navigazione torna alla mente Ulisse, il Navigatore per antonomasia, i cui compagni nella terra dei Lotofagi obliavano tutto mangiando un frutto chiamato “loto”; purtroppo (o, a volte, per fortuna) ai moderni navigatori del web non è possibile obliare sempre e tutto…bisogna solo fare molta attenzione e conoscere i propri diritti, per la sicurezza propria ed altrui.
(1) Le banche-dati in uso alle forze di polizia, in ottemperanza a quanto disposto ( oltre che dal Regolamento U.E. sopra riportato) anche dall’art. 11 del D. Lgs. 196/2003, non possono subire la cancellazione delle informazioni che contengono, neppure di fronte a procedimenti penali conclusi con l’assoluzione dell’imputato ( Cass., sez. II, 11/02/1994). I dati possono essere eliminati solo dietro ordine del tribunale, nell’ipotesi che siano inesatti o illegittimamente acquisiti. Il motivo di questa disciplina diversificata sta proprio nel fatto che le banche-dati della polizia sono uno strumento indispensabile per tutelare l’ordine pubblico e la sicurezza dei cittadini. In questi casi non è invocabile il diritto all’oblio, ma solo l’aggiornamento e la rettifica dei dati non corretti.
(2) Tale sentenza è l’espressione del potere della Corte di Giustizia dell’Unione Europea di decidere sul rinvio pregiudiziale (art. 267 T.F.U.E.): ossia, di stabilire come debba essere interpretata una norma dei Trattati U.E. e degli atti normativi unionari ( regolamenti, direttive, decisioni, ex art. 288 T.F.U.E.), su richiesta di un’autorità giurisdizionale statale che debba decidere una controversia applicando le suddette norme. Lo scopo del rinvio pregiudiziale alla C.G.U.E. è quello di garantire un’uniforme interpretazione ed applicazione del diritto unionario in tutti gli Stati membri. Per tale motivo, la sentenza pregiudiziale vincola il Giudice nazionale che l’ha sollecitata, ma anche altri magistrati ed amministratori nazionali saranno tenuti ad applicare la norma così come interpretata dalla C.G.U.E.
(3) Stralci della sentenza :”Gli articoli 12, lettera b), e 14, primo comma, lettera a), della direttiva 95/46 devono essere interpretati nel senso che, al fine di rispettare i diritti previsti da tali disposizioni, e sempre che le condizioni da queste fissate siano effettivamente soddisfatte, il gestore di un motore di ricerca è obbligato a sopprimere, dall’elenco di risultati che appare a seguito di una ricerca effettuata a partire dal nome di una persona, dei link verso pagine web pubblicate da terzi e contenenti informazioni relative a questa persona, anche nel caso in cui tale nome o tali informazioni non vengano previamente o simultaneamente cancellati dalle pagine web di cui trattasi, e ciò eventualmente anche quando la loro pubblicazione su tali pagine web sia di per sé lecita.…Gli articoli 12, lettera b), e 14, primo comma, lettera a), della direttiva 95/46 devono essere interpretati nel senso che, nel valutare i presupposti di applicazione di tali disposizioni, si deve verificare in particolare se l’interessato abbia diritto a che l’informazione in questione riguardante la sua persona non venga più, allo stato attuale, collegata al suo nome da un elenco di risultati che appare a seguito di una ricerca effettuata a partire dal suo nome, senza per questo che la constatazione di un diritto siffatto presupponga che l’inclusione dell’informazione in questione in tale elenco arrechi un pregiudizio a detto interessato. Dato che l’interessato può, sulla scorta dei suoi diritti fondamentali derivanti dagli articoli 7 e 8 della Carta, chiedere che l’informazione in questione non venga più messa a disposizione del grande pubblico in virtù della sua inclusione in un siffatto elenco di risultati, i diritti fondamentali di cui sopra prevalgono, in linea di principio, non soltanto sull’interesse economico del gestore del motore di ricerca, ma anche sull’interesse di tale pubblico ad accedere all’informazione suddetta in occasione di una ricerca concernente il nome di questa persona. Tuttavia, così non sarebbe qualora risultasse, per ragioni particolari, come il ruolo ricoperto da tale persona nella vita pubblica, che l’ingerenza nei suoi diritti fondamentali è giustificata dall’interesse preponderante del pubblico suddetto ad avere accesso, in virtù dell’inclusione summenzionata, all’informazione di cui trattasi…”.
