Il Diritto all’oblio nella giurisprudenza e nell’esperienza del Garante Privacy

Avv. Marco Scialdone

Cos’è il diritto all’oblio

“un nuovo profilo della riservatezza, inteso come giusto interesse di ogni persona a non restare indeterminatamente esposta ai danni ulteriori che arreca al suo onore e alla sua reputazione la reiterata pubblicazione di una notizia in passato legittimamente divulgata” (Cass. Civ., sez. III, sentenza n. 3679/1998)

…e poi arrivò Google

«..c’e una definizione storica, che ci viene dal razionalismo, dal Seicento in poi, che dice “Io sono quello che io dico di essere”.

E la definizione dell’identità, e un punto fondamentale e un modo di guardare alla conoscenza. “Io sono quello che io dico di essere”, dunque voi che mi guardate lo dovete fare attraverso questo punto di vista, la conoscenza che io metto a disposizione attraverso i miei comportamenti, attraverso una sorta di auto-definizione. Oggi si dice, e può sembrare una battuta, “Tu sei quello che Google decide che tu sei» (S. Rodotà,

Il diritto alla conoscenza)

Una damnatio memoriae al contrario

Nel diritto romano indicava una pena consistente nella cancellazione della memoria di una persona e nella distruzione di qualsiasi traccia che potesse tramandarla ai posteri, come se non fosse mai esistita. Si trattava di una pena particolarmente aspra riservata agli hostes, ossia ai nemici di Roma e del Senato, reali o presunti o divenuti tali dopo essere caduti in disgrazia del potere politico. L'efficacia della damnatio memoriae era favorita dalla disponibilità limitata di fonti storiche in età antica (fonte Wikipedia)

Nell’epoca di internet la «condanna della memoria» opera nel senso opposto: si è condannati ad essere ricordati per qualunque cosa si sia fatto in passato anche se non corrisponde più alla nostra attuale identità

Il caso «Google Spain» e l’intervento della Corte di Giustizia UE

Nel 2010 il sig. Mario Costeja González, cittadino spagnolo, ha presentato all’Agencia Española de Protección de Datos (Agenzia spagnola di protezione dei dati, AEPD) un reclamo contro La Vanguardia Ediciones SL (editore di un quotidiano largamente diffuso in Spagna, specialmente nella regione della Catalogna), nonché contro Google Spain e Google Inc.

Il sig. Costeja González faceva valere che, allorché il proprio nome veniva introdotto nel motore di ricerca del gruppo Google («Google Search»), l’elenco di risultati mostrava dei link verso due pagine del quotidiano di La Vanguardia, datate gennaio e marzo 1998.

Tali pagine annunciavano una vendita all’asta di immobili organizzata a seguito di un pignoramento effettuato per la riscossione coattiva di crediti previdenziali nei confronti del sig. Costeja González.

Il caso «Google Spain» e l’intervento della Corte di Giustizia UE

Mediante il reclamo, il sig. Costeja González chiedeva, da un lato, che fosse ordinato a La Vanguardia di sopprimere o modificare le pagine suddette (affinché i suoi dati personali non vi comparissero più) oppure di ricorrere a taluni strumenti forniti dai motori di ricerca per proteggere tali dati.

Dall’altro lato, chiedeva che fosse ordinato a Google Spain o a Google Inc. di eliminare o di occultare i suoi dati personali, in modo che cessassero di comparire tra i risultati di ricerca e non figurassero più nei link di La Vanguardia.

il pignoramento effettuato nei suoi confronti era stato interamente definito da svariati anni e che la menzione dello stesso era ormai priva di qualsiasi rilevanza.

Il caso «Google Spain» e l’intervento della Corte di Giustizia UE

L’AEPD ha respinto il reclamo diretto contro La Vanguardia, ritenendo che l’editore avesse legittimamente pubblicato le informazioni in questione.

Per contro, il reclamo è stato accolto nei confronti di Google Spain e Google Inc. L’AEPD ha chiesto a queste due società di adottare le misure necessarie per rimuovere i dati dai loro indici e per rendere impossibile in futuro l’accesso ai dati stessi.

Google Spain e Google Inc. hanno proposto due ricorsi dinanzi all’AudienciaNacional (Spagna), chiedendo l’annullamento della decisione dell’AEPD. È in tale contesto che il giudice spagnolo ha sottoposto una serie di questioni alla Corte di giustizia.

La decisione della Corte di Giustizia (13 maggio 2014)

il motore di ricerca è titolare del trattamento dei dati personali necessario all’indicizzazione dei link relativi alle notizie e alle informazioni cercate

I dati personali necessari per rendere reperibili le informazioni possono essere legittimamente trattati senza consenso ai sensi dell’art. 7, lett. f) della direttiva 95/46/CE

Il diritto di stabilimento è legato non solo al luogo in cui il gestore del motore di ricerca svolge l’attività di trattamento dei dati, ma anche quello in cui opera una sua succursale o filiale o incaricata della promozione e vendita di spazi pubblicitari, o come responsabile del trattamento dei dati che hanno stipulato contratti di fornitura di servizi , o destinataria di reclami

…già il nostro Garante Privacy nel 2006

“…presso il motore di ricerca in questione risulta effettuato un autonomo trattamento di dati personali della ricorrente, in particolare attraverso la creazione e la conservazione di cosiddette copie cache di pagine web pubblicate su siti sorgente” e che “rispetto a tali tipologie di trattamento gli interessati possono formulare legittimamente richieste di esercizio dei propri diritti cui va dato riscontro senza ritardo, qualora il Codice sia applicabile”,

“nella fattispecie non risulta però provato che il trattamento contestato, svolto attraverso il sito "www.google.it", sia effettuato da un soggetto stabilito sul territorio dello Stato, oppure da un soggetto che utilizzi per tale trattamento strumenti situati nel medesimo territorio (art. 5, comma 2, del Codice)”.

La deindicizzazione dopo Google Spain

Google

• modulo

• gratuito

Garante

• Ricorso

• Contributo spese

Tribunale

• Ricorso

• Contributo

Unificato

Ricorsi contro il diniego di Google (circa 60 in totale)

Accolti Respinti

Il ricorso ex art. 145, D.lgs 196/2003

l’interessato può far valere i diritti di cui all'articolo 7 dinanzi all'autorità giudiziaria o con ricorso al Garante

Il ricorso al Garante non può essere proposto se, per il medesimo oggetto e tra le stesse parti, è stata già adita l'autorità giudiziaria

La presentazione del ricorso al Garante rende improponibile un'ulteriore domanda dinanzi all'autorità giudiziaria tra le stesse parti e per il medesimo oggetto*

salvi i casi in cui il decorso del termine esporrebbe taluno a pregiudizio imminente ed irreparabile, il ricorso al Garante può essere proposto solo dopo che sia stata avanzata richiesta sul medesimo oggetto al titolare o al responsabile del trattamento dei dati e siano decorsi 15 giorni dal ricevimento (30 giorni nel caso di particolare complessità della richiesta che tuttavia deve essere comunicata all’interessato nel termine quindicinale), ovvero sia stato opposto alla richiesta un diniego anche parziale.

Il ricorso ex art. 145, D.lgs 196/2003

* Cass. Civ. 6775/2016, «il sistema dell’alternatività, previsto nell’ipotesi in cui entrambe le suddette iniziative abbiano il “medesimo oggetto”, risulta legittimo nel solo caso in cui le due domande siano tali che, in ipotesi di contestuale pendenza davanti a più giudici, potrebbero, in via generale, essere assoggettate al regime processuale della litispendenza o della continenza. Ne consegue che il detto principio non opera tutte le volte in cui, in sede giurisdizionale, si faccia valere l’inottemperanza, da parte del gestore del trattamento dei dati personali, rispetto ai provvedimenti assunti dal Garante, o, altresì, nel caso in cui venga proposta una domanda di risarcimento del danno riservata all’esame del giudice ordinario e che ha causa petendi e petitum autonomi e diversi»

Gli orientamenti del Garante

Diritto all’attualizzazione del dato (provvedimento n. 31 del 24 gennaio 2013, “va garantito il diritto (pienamente compreso fra le posizioni giuridiche azionabili ai sensi dell’articolo 7 del Codice) dell’interessato ad ottenere l’aggiornamento/integrazione dei dati personali che lo riguardano quando eventi e sviluppi successivi abbiano modificato le situazioni oggetto di cronaca giornalistica (seppure a suo tempo corretta), incidendo significativamente sul profilo e l’immagine dell’interessato che da tali rappresentazione può emergere”).

Diritto alla deindicizzazione del dato e al suo spostamento in una sezione archivio non raggiungibile dai motori di ricerca

Diritto alla modifica degli snippet (Provvedimento del 18 dicembre 2014, doc. web 3736353)

Cosa si chiede al Garante …

Le linee guida del WP 29

le Linee Guida contengono una serie di criteri per orientare l’attività delle autorità nazionali nella gestione dei reclami degli interessati a seguito del mancato accoglimento, da parte del motore di ricerca, delle richieste di deindicizzazione, chiarendo che nessun criterio è di per sé determinante. Ad esempio:

la natura del richiedente (in particolare, la circostanza per cui il richiedente rivesta un ruolo di rilievo pubblico, come nel caso di personaggi politici, dovrebbe tendenzialmente orientare verso il diniego della richiesta di deindicizzazione);

la minore età al momento della pubblicazione dell’informazione, che dovrebbe favorire l’accoglimento di una richiesta di deindicizzazione;

l’attinenza dell’informazione all’ambito professionale o personale dell’interessato;

la possibilità che la disponibilità di un determinato risultato di ricerca arrechi pregiudizio all’interessato o metta a rischio la sicurezza dello stesso;

Il Regolamento 679/2016/UE (art. 17)

1. L'interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l'obbligo di cancellare senza ingiustificato ritardo i dati personali, se sussiste uno dei motivi seguenti:

a) i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati;

b) l'interessato revoca il consenso su cui si basa il trattamento conformemente all'articolo 6, paragrafo 1, lettera a), o all'articolo 9, paragrafo 2, lettera a), e se non sussiste altro fondamento giuridico per il trattamento;

c) l'interessato si oppone al trattamento ai sensi dell'articolo 21, paragrafo 1, e non sussiste alcun motivo legittimo prevalente per procedere al trattamento, oppure si oppone al trattamento ai sensi dell'articolo 21, paragrafo 2;

d) i dati personali sono stati trattati illecitamente;

e) i dati personali devono essere cancellati per adempiere un obbligo legale previsto dal diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento;

f) i dati personali sono stati raccolti relativamente all'offerta di servizi della società dell'informazione di cui all'articolo 8, paragrafo 1.

Il Regolamento 679/2016/UE (art. 17)

2. Il titolare del trattamento, se ha reso pubblici dati personali ed è obbligato, ai sensi del paragrafo 1, a cancellarli, tenendo conto della tecnologia disponibile e dei costi di attuazione adotta le misure ragionevoli, anche tecniche, per informare i titolari del trattamento che stanno trattando i dati personali della richiesta dell'interessato di cancellare qualsiasi link, copia o riproduzione dei suoi dati personali.

3. I paragrafi 1 e 2 non si applicano nella misura in cui il trattamento sia necessario:

a) per l'esercizio del diritto alla libertà di espressione e di informazione;

b) per l'adempimento di un obbligo legale che richieda il trattamento previsto dal diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento o per l'esecuzione di un compito svolto nel pubblico interesse oppure nell'esercizio di pubblici poteri di cui è investito il titolare del trattamento;

c) per motivi di interesse pubblico nel settore della sanità pubblica in conformità dell'articolo 9, paragrafo 2, lettere h) e i), e dell'articolo 9, paragrafo 3;

d) a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici conformemente all'articolo 89, paragrafo 1, nella misura in cui il diritto di cui al paragrafo 1 rischi di rendere impossibile o di pregiudicare gravemente il conseguimento degli obiettivi di tale trattamento; o

e) per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria.

Memoria corta, lunga o eterna?

Memoria corta, lunga o eterna?

Cass. Civ., sentenza 24 giugno 2016, n. 13161

La “scadenza” del diritto di cronaca è stata fissata in due anni e mezzo (il tempo intercorso tra la pubblicazione dell’articolo e il ricevimento della diffida da parte dei proprietari del ristorante)

Secondo la Cassazione la grande accessibilità di un pezzo pubblicato online consentirebbe di ritenere che, in due anni e mezzo, l’interesse pubblico alla conoscenza della notizia sia stato soddisfatto e, dunque, il diritto alla privacy del singolo deve tornare a prevalere su quello della collettività ad informarsi e di un giornale ad informare.

Memoria corta, lunga o eterna?

Memoria corta, lunga o eterna?

Garante Privacy, provvedimento del 31 maggio 2016 n. 152

CONSIDERATO che tali informazioni riguardano una delle pagine più buie della storia italiana, della quale il ricorrente non è stato un comprimario, ma un vero e proprio protagonista di spicco ed hanno ormai assunto una valenza storica avendo segnato la memoria collettiva;

CONSIDERATO che per tali ragioni, nonostante il lungo lasso di tempo trascorso dagli eventi, l'attenzione del pubblico è tuttora molto alta su quel periodo e sui fatti avvenuti, come peraltro dimostra la relativa attualità dei riferimenti raggiungibili mediante i citati URL;

PRESO ATTO che, effettivamente, i reati di cui l'interessato si è macchiato risultano rientrare fra quelli particolarmente gravi indicati dal WP29 nelle citate Linee guida, tanto che – indipendentemente dall'avvenuta estinzione della pena inflitta – resta per l'interessato l'interdizione perpetua dai pubblici uffici;

RITENUTO pertanto che, nel caso di specie, debba ritenersi prevalente l'interesse del pubblico ad accedere alle notizie in questione e che pertanto debba dichiararsi infondata la richiesta di rimozione degli URL indicati dal ricorrente e tuttora indicizzati da Google;

Non lasciare che il passato ti dica chi sei, ma lascia che sia parte di chi diventerai (tratto da «Il mio grosso grasso matrimonio greco») .