La disciplina della cancellazione dei dati
L’art. 17 del GDPR disciplina il diritto alla cancellazione dei dati personali (“diritto all’oblio”) descrivendolo come il diritto ad ottenere dal titolare del trattamento, senza ingiustificato ritardo, la cancellazione dei dati personali che lo riguardano in presenza dei motivi elencati al primo comma: i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati, l’interessato revoca il consenso o si oppone al trattamento nei casi previsti dall’art. 21.1 e 21.2 del GDPR, i dati personali sono stati trattati illecitamente, oppure la cancellazione è necessaria in adempimento ad un obbligo giuridico previsto dalla legge o quando i dati sono stati raccolti relativamente all’offerta di servizi della società dell’informazione rivolti ai minori.
Nonostante tali motivazioni elencate dall’art. 17 del GDPR, il titolare del trattamento non è obbligato a cancellare i dati personali quando il trattamento dei dati è giustificato dalle seguenti motivazioni elencate al comma 3 del medesimo articolo: è necessario per l’esercizio del diritto alla libertà di espressione e di informazione, per l’adempimento di un obbligo giuridico previsto dalla legge o per l’esecuzione di un compito svolto nel pubblico interesse oppure nell’esercizio di pubblici poteri, per motivi di interesse pubblico nel settore della sanità pubblica, per fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o statistici o per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria.
Le linee guida del Comitato per la protezione dei dati per il diritto all’oblio nel caso dei motori di ricerca (il “Delisting”)
Il Comitato Europeo per la protezione dei dati ha adottato il 7 luglio 2020, dopo consultazione pubblica, la prima parte delle “Linee guida 5/2019 sui criteri per l’esercizio del diritto all’oblio nel caso dei motori di ricerca, definite in base alle previsioni del Regolamento (UE) 2016/679”.
Le linee guida riguardano solo il trattamento dei dati effettuato dai provider di motori di ricerca e le richieste di Delisting.
Il Comitato come necessaria premessa rammenta che, una volta effettuata la richiesta e ottenuta la rimozione di un link con un particolare contenuto, questo risulterà cancellato dalla lista dei risultati di una ricerca basata sul nome dell’interessato ma lo stesso contenuto potrà comunque essere ancora esistente in seguito ad una ricerca effettuata con altri criteri. In altre parole una richiesta di Delisting non comporta necessariamente la cancellazione completa del contenuto oggetto della richiesta.
Il Comitato passa poi ad analizzare le motivazioni per una richiesta di Delisting basata sull’art. 17 con la principale finalità di indirizzare e supportare le Autorità nazionali che devono decidere i reclami avverso il rifiuto di un provider di motori di ricerca ad una richiesta di Delisting.
Le singole motivazioni per la richiesta di Delisting
L’interessato, in seguito ad una ricerca effettuata inserendo il suo nome, potrebbe richiedere al provider del motore di ricerca di eliminare alcuni risultati quando i dati personali contenuti in questi risultati non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati dal motore di ricerca.
E’ necessario rammentare, tuttavia, che il trattamento di questi dati effettuato dal motore di ricerca è soprattutto posto in essere per rendere le informazioni maggiormente accessibili agli utenti di internet. Da questo punto di vista diventa dunque fondamentale saper bilanciare il diritto alla privacy con l’interesse degli utenti ad avere accesso alle informazioni di internet valutando, in particolare, se i dati in questione, con il tempo, sono diventati obsoleti o non sono stati aggiornati. La valutazione su questo tempo diventa dunque fondamentale e dipende dalla finalità originaria così come dal periodo di conservazione originariamente previsto per tale finalità.
Da questo punto di vista, dunque, i dati potrebbero risultare non più necessari quando sono stati già cancellati da un pubblico registro o, per esempio, quando, all’esito di una ricerca nominativa, compare un link al sito web di un’azienda con i dati di contatto dell’interessato anche se questi non lavora più presso tale azienda o ancora l’informazione doveva essere pubblicata in internet per assolvere ad un dovere legale ed è rimasta online oltre il termine legalmente previsto.
L’interessato, inoltre, in linea di principio potrebbe presentare una richiesta di Delisting per revoca del consenso.
A ben vedere non appare probabile che una richiesta di Delisting sia presentata da un soggetto che revoca il proprio consenso in quanto ciò dovrebbe significare che il provider del motore di ricerca stia trattando i dati personali dell’interessato in forza del consenso precedentemente prestato.
Il Comitato a questo punto si sofferma sulla richiesta di cancellazione perché l’interessato si oppone al trattamento nei casi previsti dall’art. 21.1 e 21.2 del GDPR.
Il diritto di opposizione, va ricordato, costituisce a sua volta una base giuridica per una richiesta di Delisting ed offre garanzie più forti agli interessati poiché non è limitato a determinati motivi come previsto dall’art. 17.1 GDPR. L’interessato ha il diritto di opporsi in qualsiasi momento, “per motivi connessi alla sua situazione particolare” (art. 21.1). Il GDPR da questo punto di vista fornisce una presunzione a favore dell’interessato obbligando, al contrario, il titolare del trattamento (in questo caso il provider del motore di ricerca) a dimostrare i “motivi legittimi cogenti per procedere al trattamento” (art. 21.1). Il provider del motore di ricerca può allora dimostrare tali “motivi”, incluse le eccezioni di cui all’art. 17.3. Appare chiaro, come sottolinea il Comitato, che tali richieste di cancellazione richiedano il bilanciamento tra le motivazioni relative alla “particolare situazione dell’interessato” e “i motivi legittimi” impellenti del provider, considerando sempre anche gli interessi degli utenti di Internet all’accesso alle informazioni. A tal fine possono essere utilizzati i criteri per il Delisting già sviluppati dal Gruppo di lavoro articolo 29 e dunque, la “situazione particolare” dell’interessato sarà alla base della richiesta di cancellazione.
Per esempio, un risultato di ricerca può creare uno svantaggio per l’interessato quando sta cercando un lavoro o quando va a minare la sua reputazione nella vita privata. Tale circostanza sarà considerata insieme ad altri criteri classici quali: il suo ruolo nella vita pubblica, se le informazioni in gioco non sono relative alla sua vita professionale ma riguardano la vita privata, se le informazioni costituiscono incitamento all’odio, calunnia, diffamazione o reati simili, se i dati sembrano essere riferiti ad un fatto verificato ma sono inesatti, se i dati si riferiscono a un reato minore accaduto molto tempo fa e arrecano un pregiudizio all’interessato.
Ai sensi dell’articolo 17.1. GDPR, un interessato può richiedere la cancellazione dei dati personali che lo riguardano nel caso in cui siano stati trattati illegalmente. La nozione di trattamento illecito deve essere interpretata in primo luogo alla luce dell’articolo 6 del GDPR dedicato alla liceità del trattamento e poi dell’art. 5 sui principi applicabili al trattamento. In secondo luogo, estensivamente, come violazione di una norma, anche diversa dal GDPR.
Ad esempio, in questo caso verrà accolta una richiesta di cancellazione quando la pubblicazione di informazioni personali è stata espressamente vietata da un tribunale. Il Delisting può essere inoltre richiesto quando i dati personali devono essere cancellati per adempimento di un obbligo legale. Questo obbligo può derivare anche dalla semplice violazione da parte del provider del periodo di conservazione dei dati originariamente previsto.