Diritto all’oblio: quali novità con il GDPR?

18 aprile 2018

Data la velocità con cui si diffondono le notizie in rete, le richieste di cancellazione di dati e notizie riguardanti individui precedentemente indagati o interessati da procedimenti giudiziari hanno visto una crescita esponenziale. La giurisprudenza e la prassi applicativa delle Autorità Nazionali per la Protezione dei dati hanno riconosciuto progressivamente il cosiddetto diritto all’oblio , legittimando la pretesa di far rimuovere dati e informazioni non più di interesse pubblico (specialmente articoli di cronaca giudiziaria presenti su Internet).

Anche se non espressamente previsto da alcuna norma giuridica né dell’ordinamento europeo né di quello degli stati membri, il diritto all’oblio è chiamato in causa sempre più spesso nella battaglia per la protezione della privacy e dei dati personali, e dal 25 Maggio 2018 troverà nel GDPR un regolamento “attuativo”.

Diritto all’oblio: cosa prevede il GDPR?

Se finora il diritto all’oblio è stato riconosciuto e giudicato caso per caso, il GDPR (acronimo di General Data Protection Regulation , ovvero il nuovo regolamento europeo per la protezione dei dati personali) ne definisce finalmente le modalità di applicazione e i limiti.

Qui il diritto all’oblio è rinominato “diritto alla cancellazione” ed è regolamentato dagli articoli 17, 18 e 19. In particolare, l’articolo 17 definisce che è possibile richiedere la cancellazione di dati e informazioni presenti online:

> qualora i dati personali non siano più necessari in relazione alle finalità per le quali erano stati originariamente forniti, raccolti, trattati;

> quando l’interessato revoca il consenso e non sussiste altro fondamento giuridico per il trattamento;

> quando l’interessato si oppone al trattamento;

> qualora i dati personali siano stati trattati illecitamente;

> quando i dati personali devono essere cancellati per adempiere ad un obbligo legale;

> quando i dati personali sono trattati in relazione all’offerta di servizi della società dell’informazione a minori inferiori a 16 o età inferiore (non inferiore a 13) prevista dagli Stati membri.

Ma la vera novità introdotta dal GDPR è che la richiesta di cancellazione rivolta a un titolare comporta anche l’obbligo di trasmetterla a tutti coloro che li utilizzano . Oltre a cancellare i dati, il titolare dovrà quindi informare della richiesta che gli è pervenuta anche gli altri eventuali titolari che stanno utilizzando i dati a lui resi pubblici. Questo obbligo sussiste quando la richiesta dell’interessato abbia ad oggetto la cancellazione di “qualsiasi link, copia o riproduzione dei suoi dati personali”.

L’attuazione della norma sarà piuttosto complessa. Occorre infatti che il titolare sia a conoscenza di quali sono gli altri titolari che stanno trattando i dati sulla base del fatto che lui li ha “resi pubblici”. Inoltre, il titolare a cui è stata rivolta la richiesta ha solo il dovere di segnalazione, non anche quello di accertarsi del comportamento degli altri titolari e di informare di questo l’interessato.

Infine, anche il dovere di segnalazione trova un limite nella “tecnologia disponibile” e nei “costi di attuazione ragionevoli”.

Quando non si applica il diritto all’oblio

Nello stesso articolo 17, il regolamento europeo specifica anche quando non si applica il diritto all’oblio (o alla cancellazione che dir si voglia). Innanzitutto, il diritto di cronaca prevale in ogni caso sul diritto all’oblio : se gli eventi sono ancora di interesse pubblico, non sarà possibile ottenere la cancellazione.

I dati non vanno cancellati anche quando bisogna adempiere ad un obbligo legale (come la sentenza di un tribunale) o se esistono motivi di interesse nel settore della sanità pubblica. Il diritto all’oblio non ha ragione d’essere anche nel caso in cui i dati siano archiviati ai fini di ricerca scientifica, storica o statistica.