Diritto all'oblio: come cancellare notizie online?

Guida al diritto all’oblio (art. 17 GDPR) per cancellare o deindicizzare notizie e dati personali online. A chi spetta, quando e come esercitarlo. Limiti ed eccezioni.

Nell’era di internet, dove l’informazione circola rapidamente e può rimanere accessibile per un tempo indefinito, la tutela della propria reputazione e della propria identità personale è diventata una sfida sempre più complessa. Un’eco digitale del nostro passato, anche se non più attuale o addirittura lesiva, può continuare a perseguitarci. Fortunatamente, il diritto europeo e quello italiano riconoscono uno strumento fondamentale a difesa del cittadino: il cosiddetto “diritto all’oblio”. Ma, attraverso il

diritto all’oblio, come cancellare notizie online e far valere in modo efficace i propri diritti? A chi spetta esattamente questa forma di tutela? E dopo quanti anni una notizia, magari non più rilevante o superata dai fatti, deve essere rimossa dai siti web o, quantomeno, deindicizzata dai risultati dei motori di ricerca?

Il Regolamento Generale sulla Protezione dei Dati (GDPR – Regolamento UE 2016/679) dell’Unione Europea fornisce gli strumenti normativi essenziali. La giurisprudenza, sia a livello europeo che nazionale, ne ha progressivamente delineato i contorni e le modalità di applicazione. Questa guida si propone di fare chiarezza e spiegare in cosa consiste il diritto all’oblio; illustra come funziona il delicato bilanciamento con altri diritti fondamentali, come la libertà di informazione; indica le procedure da seguire per esercitarlo concretamente.

Cosa significa esattamente “diritto all’oblio”?

Il diritto all’oblio non è semplicemente il diritto a “far sparire” qualsiasi traccia di sé dal web. È un concetto giuridico più specifico e articolato. Esso rappresenta una particolare specificazione del più ampio

diritto alla protezione dei dati personali e del diritto alla riservatezza di ogni individuo.

In sostanza, il diritto all’oblio si concretizza nel “giusto interesse di ogni persona a non restare indeterminatamente esposta ai danni ulteriori che arreca al suo onore e alla sua reputazione la reiterata pubblicazione di una notizia che, pur essendo stata legittimamente divulgata in passato, non è più attuale o rilevante” (come definito dalla Corte di Cassazione a Sezioni Unite, con la sentenza n. 19681 del 22 luglio 2019).

È importante distinguerlo dal diritto alla riservatezza in senso stretto. Quest’ultimo mira principalmente a proteggere informazioni intime o personali che non sono ancora state divulgate pubblicamente. Il diritto all’oblio, invece, interviene tipicamente su notizie o dati che sono già stati resi pubblici in modo legittimo, ma la cui continua e indiscriminata accessibilità nel tempo è divenuta pregiudizievole o non più giustificata (Tribunale Ordinario Milano, sez. 1, sentenza n. 4763/2021).

La finalità del diritto all’oblio è quella di tutelare la cosiddetta “proiezione sociale dell’identità personale“. Cioè, l’esigenza fondamentale di ogni individuo di non vedere la propria immagine e la propria identità attuali costantemente travisate, condizionate o compromesse dalla riproposizione decontestualizzata di fatti o vicende del passato che hanno ormai perso la loro originaria rilevanza e il loro interesse pubblico (Tribunale Ordinario Milano, sez. 1, sentenza n. 5820/2013). Non si tratta, quindi, di “cancellare la storia” o di negare il passato; si tratta piuttosto di proteggere il presente e il futuro dell’interessato, consentendogli di evolvere e di non essere per sempre definito da eventi pregressi (Corte d’Appello Milano, sez. 2, sentenza n. 1106/2020).

Il fondamento normativo principale del diritto all’oblio, a livello europeo e quindi anche italiano, si rinviene oggi nell’articolo 17 del Regolamento (UE) 2016/679, meglio noto come GDPR (General Data Protection Regulation). Questa norma è intitolata proprio “Diritto alla cancellazione («diritto all’oblio»)”.

L’articolo 17 del GDPR codifica il diritto dell’interessato a ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano, senza ingiustificato ritardo. Questo diritto sorge, però, solo in presenza di determinate condizioni specifiche, che vedremo più avanti.

Il Considerando 65 del GDPR chiarisce ulteriormente la portata e le finalità di questo diritto. Sottolinea la sua particolare rilevanza quando i dati personali non sono più necessari rispetto alle finalità per le quali erano stati originariamente raccolti o trattati; quando l’interessato revoca il consenso su cui si basava il trattamento (se non sussiste un’altra base giuridica); quando l’interessato si oppone legittimamente al trattamento dei suoi dati; o quando il trattamento dei dati è altrimenti non conforme al Regolamento. Il Considerando 65 pone anche una particolare attenzione alla tutela dei dati personali che sono stati raccolti quando l’interessato era ancora minorenne.

Chi può chiedere la cancellazione di notizie o dati online? A Chi spetta il diritto all’oblio?

Il diritto all’oblio, così come disciplinato dall’articolo 17 del GDPR, spetta all'”interessato”.

Per “interessato” si intende la persona fisica identificata o identificabile a cui si riferiscono i dati personali che sono oggetto di trattamento (cioè, di raccolta, conservazione, diffusione, ecc.).

Ogni individuo ha quindi, in linea di principio, la facoltà di invocare tale diritto e di chiedere la cancellazione o la deindicizzazione di notizie, articoli, immagini, video o altri dati personali che lo riguardano; specialmente se ritiene che la loro persistente reperibilità online, a causa del tempo trascorso o del mutamento delle circostanze, sia diventata per lui ingiustificatamente pregiudizievole, non più attuale, o lesiva della sua attuale identità e reputazione (Tribunale Ordinario Milano, n. 4763/2021).

Dopo quanti anni una vecchia notizia deve essere rimossa da internet?

Non esiste un termine temporale predefinito e universalmente valido (ad esempio, 5, 10 o 20 anni) decorso il quale una notizia debba essere automaticamente e inderogabilmente cancellata dalla fonte originale o deindicizzata dai motori di ricerca.

La Corte di Cassazione italiana ha chiarito in modo esplicito che “non si possa affermare tout court e in termini generali un obbligo di costante aggiornamento della notizia o di rimozione della stessa una volta che sia trascorso un determinato lasso di tempo (di cui non sarebbe neppure agevole una predeterminazione generalizzata)” (Cass. Civ., Sez. 3, N. 6116 del 1 marzo 2023). Sarebbe, infatti, molto difficile, se non impossibile, stabilire a priori un termine fisso valido per tutte le innumerevoli situazioni che possono presentarsi.

La valutazione sull’opportunità di concedere il diritto all’oblio va, quindi, condotta caso per caso. È necessario effettuare un attento e delicato bilanciamento tra:

• il diritto all’oblio dell’interessato (e il suo connesso diritto alla protezione dei dati personali e alla tutela della propria reputazione e identità);
• e altri diritti e interessi parimenti rilevanti e tutelati dall’ordinamento. Primo fra tutti, il diritto alla libertà di espressione e di informazione, che include il diritto di cronaca (cioè, il diritto di pubblicare e ricevere notizie su fatti di interesse pubblico) e il diritto di conservare archivi per finalità storiche, statistiche o di ricerca scientifica (Corte d’Appello Milano, n. 1106/2020; Articolo 17, paragrafo 3, e Considerando 65 del GDPR).

I

criteri principali che vengono presi in considerazione in questo complesso bilanciamento di interessi sono i seguenti:

• il tempo effettivamente trascorso dalla pubblicazione della notizia originaria e dagli eventi in essa narrati. È chiaro che una notizia molto risalente nel tempo (ad esempio, relativa a fatti accaduti oltre 10 o 15 anni prima) potrebbe essere considerata, a parità di altre condizioni, meno pertinente e più facilmente suscettibile di oblio rispetto a una notizia più recente (diversi provvedimenti del Garante per la protezione dei dati personali hanno, ad esempio, ritenuto meritevoli di considerazione richieste di rimozione relative a fatti avvenuti oltre 10 anni prima – si vedano, ad esempio, i provvedimenti del 25 febbraio 2016 [doc. web n. 4881581] o del 2 luglio 2015 [doc. web n. 4337107]);
• l’attualità e il persistente interesse pubblico alla conoscenza della notizia. Se il fatto pregresso, per qualche motivo, ritorna di attualità (ad esempio, perché si scoprono nuovi elementi, o perché è collegato a eventi correnti), o se permane un apprezzabile e concreto interesse pubblico a che quella specifica informazione rimanga accessibile (ad esempio, per la gravità dei fatti, per il ruolo pubblico del soggetto coinvolto, o per l’importanza storica della vicenda), allora il diritto di cronaca e di informazione può legittimamente prevalere sul diritto all’oblio del singolo (Cass. Civ., Sez. U, N. 19681/2019);
• la natura della notizia e la sua pertinenza rispetto alla vita attuale e all’identità sociale e professionale dell’interessato. Notizie relative a condotte di minima rilevanza, o a vicende ormai completamente superate e non più attinenti alla sfera professionale o sociale attuale dell’individuo, potrebbero più facilmente giustificare l’esercizio del diritto all’oblio (Provvedimento del Garante dell’8 luglio 2015 [doc. web n. 4348885]);
• il ruolo pubblico ricoperto dall’interessato o la sua notorietà. Per le persone che ricoprono o hanno ricoperto un ruolo significativo nella vita pubblica (politici, magistrati, alti funzionari, personaggi noti dello spettacolo o dello sport, ecc.), l’interesse del pubblico ad accedere a informazioni che li riguardano (anche del passato, se rilevanti per valutarne l’operato o la figura) potrebbe essere considerato preponderante; ciò potrebbe giustificare una minore tutela del loro diritto all’oblio rispetto a un privato cittadino sconosciuto al grande pubblico (Provvedimento del Garante del 2 luglio 2015 [doc. web n. 4337107]);
• le conseguenze concrete e sproporzionate che la perdurante disponibilità della notizia online sta avendo o potrebbe avere sulla reputazione, sull’onore, sulla vita privata e sulle opportunità (ad esempio, lavorative o sociali) dell’individuo interessato (Tribunale Ordinario Milano, n. 4763/2021);
• l’evoluzione successiva della vicenda a cui la notizia si riferiva. L’eventuale sentenza di assoluzione definitiva da un’accusa penale, una formale riabilitazione, o l’estinzione del reato per prescrizione o per altre cause, possono certamente rafforzare la richiesta di oblio o, quantomeno, il diritto a ottenere un aggiornamento completo e ben visibile della notizia originaria, che dia conto degli esiti favorevoli successivi (Cass. Civ., Sez. 3, N. 6116/2023; Provvedimento del Garante del 22 ottobre 2015 [doc. web n. 4589296]).

In sintesi, la cancellazione dei dati personali è dovuta, ai sensi dell’articolo 17, paragrafo 1, lettera a), del GDPR, quando i dati

non sono più necessari rispetto alle finalità per le quali erano stati originariamente raccolti o trattati. Oppure, più in generale, quando la loro continua diffusione, per effetto del significativo trascorrere del tempo e del mutamento delle circostanze, non è più giustificata da preminenti esigenze di tutela della libertà di informazione e del diritto di cronaca, e arreca un pregiudizio sproporzionato all’interessato.

Come posso chiedere di rimuovere una notizia che mi riguarda?

L’interessato che ritenga che la persistente reperibilità online di una notizia o di altri dati personali che lo riguardano sia lesiva dei suoi diritti e non più giustificata, può attivarsi attraverso diverse modalità per cercare di ottenere la cancellazione, l’aggiornamento o la deindicizzazione di tali informazioni.

La diffida al titolare del sito internet

Il primo passo è solitamente quello di rivolgersi direttamente al soggetto che ha pubblicato originariamente la notizia o che gestisce il sito web su cui essa si trova (il cosiddetto “titolare del trattamento dei dati” ai sensi del GDPR).

Si può chiedere formalmente (preferibilmente per iscritto, ad esempio tramite PEC o raccomandata A/R, per avere una prova della richiesta) la cancellazione completa dell’articolo o della pagina web che contiene i dati lesivi. Oppure, specialmente nel contesto giornalistico dove esiste anche un interesse alla conservazione degli archivi storici, si può chiedere l’aggiornamento della notizia con gli sviluppi successivi che potrebbero aver modificato la percezione dei fatti (ad esempio, inserendo in modo ben visibile la notizia di un’assoluzione in un vecchio articolo di cronaca giudiziaria che riportava l’accusa) (Cass. Civ., N. 6116/2023; Tribunale Ordinario Roma, sez. 1, sentenza n. 18115/2017).

La richiesta dovrebbe essere chiaramente motivata. È importante evidenziare il pregiudizio che la continua disponibilità della notizia sta causando; e le ragioni per cui si ritiene che la notizia non sia più attuale, pertinente o di interesse pubblico.

I motivi specifici per cui si può chiedere la cancellazione dei dati sono elencati nell’articolo 17, paragrafo 1, del GDPR. Tra questi: i dati non sono più necessari rispetto alle finalità per cui erano stati raccolti; l’interessato revoca il consenso su cui si basava il trattamento (se non c’è altra base giuridica); l’interessato si oppone al trattamento ai sensi dell’articolo 21 del GDPR e non sussistono motivi legittimi prevalenti per continuare il trattamento; oppure i dati sono stati trattati illecitamente.

Come accennato, nel contesto dell’informazione giornalistica, spesso si preferisce l’aggiornamento e la contestualizzazione della notizia originaria (ad esempio, aggiungendo un post scriptum o una nota che dia conto degli sviluppi successivi) piuttosto che la sua cancellazione completa. Questo per non “riscrivere la storia” e per preservare l’integrità dell’archivio storico, cercando così di bilanciare il diritto all’oblio del singolo con l’interesse pubblico alla completezza e all’accessibilità dell’informazione. Tuttavia, la Corte di Cassazione ha riconosciuto che il diritto di controllo dell’interessato sui propri dati può tradursi, a seconda delle circostanze specifiche del caso, “nella pretesa alla contestualizzazione e aggiornamento della notizia, e se del caso, avuto riguardo alla finalità della conservazione nell´archivio e all´interesse che la sottende, financo alla relativa cancellazione” (come citato nel Provvedimento del Garante del 22 ottobre 2015 [doc. web n. 4589296]).

La richiesta di cancellazione al motore di ricerca

L’interessato può anche chiedere direttamente al

gestore del motore di ricerca la deindicizzazione (o delisting) dei link che conducono alla notizia o alla pagina web che contiene i dati personali che si vogliono “obliare”. Questa richiesta va fatta specificamente per i risultati di ricerca che appaiono quando si digita il proprio nome e cognome nel motore (Garante Privacy, “Diritto all’oblio”; Tribunale Ordinario Milano, sez. 1, sentenza n. 1647/2023).

È importante capire che la deindicizzazione non comporta la cancellazione fisica della notizia dalla pagina web originale (che rimane sul sito sorgente, se il titolare di quel sito non la rimuove). Tuttavia, la deindicizzazione rende molto più difficile il reperimento di quella notizia attraverso una ricerca nominativa effettuata sul motore di ricerca. Di fatto, la “nasconde” al grande pubblico che effettua ricerche generiche.

La Corte di Giustizia dell’Unione Europea, con la celebre sentenza del 2014 nel caso “Google Spain” (noto anche come caso “Costeja”), ha stabilito che i gestori di motori di ricerca sono a tutti gli effetti “titolari del trattamento”

dei dati personali che indicizzano e rendono accessibili attraverso i loro servizi. Sono quindi destinatari legittimi delle richieste di deindicizzazione basate sul diritto all’oblio (Provvedimento del Garante del 2 luglio 2015 [doc. web n. 4337107]). Le Linee Guida emanate dall’EDPB (European Data Protection Board – il Comitato Europeo per la Protezione dei Dati) forniscono criteri dettagliati per l’esercizio del diritto all’oblio nei confronti dei motori di ricerca.

Ricorso al Garante della Privacy

In caso di mancata o insoddisfacente risposta da parte del titolare del trattamento dei dati (il sito sorgente) o del gestore del motore di ricerca entro i termini previsti dalla legge (di solito, un mese dalla richiesta, prorogabile di altri due mesi in casi complessi), l’interessato ha il diritto di presentare un reclamo formale al Garante per la Protezione dei Dati Personali. Questo diritto è previsto dall’articolo 77 del GDPR (Provvedimento del Garante del 26 gennaio 2023 [doc. web n. 9867661]).

Il Garante, una volta ricevuto il reclamo, può avviare un’istruttoria per valutare la fondatezza della richiesta. Se accerta una violazione della normativa sulla protezione dei dati, può ordinare al titolare del trattamento le misure correttive opportune (come, appunto, la cancellazione dei dati, la loro rettifica, o la deindicizzazione dei link). Può anche, nei casi più gravi, irrogare sanzioni amministrative pecuniarie.

Ricorrere all’Autorità Giudiziaria

L’interessato ha sempre e comunque la facoltà di adire l’autorità giudiziaria ordinaria (Tribunale civile) per tutelare i propri diritti relativi alla protezione dei dati personali, incluso il diritto all’oblio.

In sede giudiziaria, si può chiedere al giudice un provvedimento d’urgenza per ottenere la rimozione o la deindicizzazione immediata dei contenuti lesivi. Si può anche chiedere il risarcimento del danno eventualmente subito a causa della lesione della propria reputazione, della propria identità personale o della propria privacy, derivante dalla persistente e illecita diffusione online delle informazioni (Cass. Civ., Sez. 3, N. 6116/2023). Per ottenere il risarcimento, è però necessario allegare e fornire la prova del pregiudizio effettivamente subito.

Se una vecchia notizia di cronaca relativa a un piccolo reato per il quale sei stato poi prosciolto o riabilitato continua a comparire in modo prominente tra i primi risultati quando qualcuno cerca il tuo nome e cognome su Google, e questa notizia ti sta creando seri e attuali problemi nel trovare un nuovo lavoro o nel mantenere relazioni sociali serene, puoi compilare il modulo online che Google (e gli altri principali motori di ricerca) mettono a disposizione per chiedere la deindicizzazione di quel link specifico dai risultati associati al tuo nome. Dovrai motivare la tua richiesta in modo dettagliato; dovrai spiegare perché quella notizia non è più attuale o rilevante. Sarà utile allegare, se possibile, documentazione a supporto (ad esempio, la sentenza di assoluzione o il provvedimento di riabilitazione). Il motore di ricerca valuterà la tua richiesta e deciderà se accoglierla o meno, bilanciando il tuo diritto all’oblio con l’interesse del pubblico all’informazione.

Chi ha pubblicato i miei dati ha obblighi verso altri siti?

L’articolo 17, paragrafo 2, del GDPR introduce un obbligo rafforzato e particolarmente interessante a carico dei titolari del trattamento che hanno “reso pubblici” i dati personali dell’interessato e che sono poi obbligati, per uno dei motivi previsti dal paragrafo 1 dello stesso articolo, a cancellarli (ad esempio, a seguito di una richiesta legittima dell’interessato o di un ordine del Garante o del giudice).

In questi casi, il titolare del trattamento che ha reso pubblici i dati, tenendo conto della tecnologia disponibile e dei costi di attuazione, deve adottare misure ragionevoli, incluse quelle tecniche, per informare gli altri titolari del trattamento che stanno attualmente trattando quei medesimi dati personali della richiesta dell’interessato di cancellare qualsiasi link, copia o riproduzione di tali dati personali.

Questo è un tentativo da parte del legislatore europeo di rendere la cancellazione dei dati (il diritto all’oblio) più efficace e realmente pervasiva nell’ambiente digitale. Si cerca, cioè, di “inseguire” il dato anche laddove esso potrebbe essere stato copiato, replicato o ripubblicato da altri soggetti, informandoli dell’obbligo di cancellazione che grava sulla fonte originaria. L’effettiva attuazione pratica di questo obbligo di “informazione a catena” presenta, tuttavia, notevoli complessità tecniche e operative.

Ci sono casi in cui non posso chiedere la cancellazione dei miei dati?

È fondamentale comprendere che il diritto alla cancellazione dei propri dati personali (il cosiddetto diritto all’oblio)

non è un diritto assoluto e illimitato. L’articolo 17, paragrafo 3, del GDPR (nonché il Considerando 65 dello stesso Regolamento) elenca una serie di eccezioni importanti. In presenza di queste specifiche circostanze, il trattamento dei dati personali può continuare ad essere considerato lecito e necessario; di conseguenza, la richiesta di oblio presentata dall’interessato può essere legittimamente respinta dal titolare del trattamento.

Le eccezioni più rilevanti nel contesto della persistenza di notizie online sono:

• per l’esercizio del diritto alla libertà di espressione e di informazione: viene costantemente bilanciata con il diritto all’oblio quando si tratta di notizie di cronaca, di opinioni, o di informazioni che rivestono un interesse pubblico. La libertà di stampa e il diritto del pubblico a essere informato su fatti rilevanti sono considerati valori fondamentali nelle società democratiche;

• per l’adempimento di un obbligo legale al quale è soggetto il titolare del trattamento (ad esempio, un obbligo di conservazione di determinati documenti per un certo periodo di tempo);

  Annuncio pubblicitario

• per l’esecuzione di un compito svolto nel pubblico interesse o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento;

• per fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica, o a fini statistici, nella misura in cui il diritto alla cancellazione richiesto dall’interessato rischierebbe di rendere impossibile o di pregiudicare gravemente il conseguimento degli obiettivi di tale trattamento specifico. Ad esempio, la cancellazione indiscriminata di dati da archivi storici di giornali o da database di ricerca scientifica potrebbe compromettere irrimediabilmente la possibilità di ricostruire eventi del passato o di condurre studi importanti;

• per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria. Se i dati personali sono necessari per far valere o difendere un diritto in un procedimento legale, la loro conservazione e il loro trattamento possono essere giustificati.

Se una persona è stata condannata con sentenza definitiva per un reato di particolare gravità e di grande impatto sociale (ad esempio, una strage, un’associazione mafiosa, un grave caso di corruzione politica), anche a distanza di molti anni dai fatti, potrebbe essere molto difficile per quella persona ottenere il diritto all’oblio completo e la cancellazione totale di tutte le notizie che riguardano quella vicenda. Questo perché l’interesse pubblico a conoscere quei fatti (per la loro gravità storica e sociale) e la necessità di conservare la memoria di tali eventi potrebbero essere considerati prevalenti sul diritto del singolo individuo a essere “dimenticato” per quegli specifici accadimenti. In questi casi, si potrebbe al massimo ottenere un aggiornamento della notizia (ad esempio, se la persona ha scontato la pena ed è stata riabilitata), ma difficilmente una sua rimozione completa dagli archivi.