Il diritto all’oblio tutela la persona fisica, non l’impresa
Il cosiddetto diritto all’oblio trova oggi il proprio principale riferimento normativo nell’art. 17 del Regolamento (UE) 2016/679 (GDPR), rubricato «Diritto alla cancellazione (“diritto all’oblio”)». La disposizione attribuisce all’interessato il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano quando ricorre una delle condizioni previste dal Regolamento, salvo le eccezioni poste a tutela, tra l’altro, della libertà di espressione e di informazione.
È importante chiarire fin dall’inizio un equivoco frequente. Il diritto disciplinato dall’art. 17 GDPR riguarda esclusivamente le persone fisiche, poiché il Regolamento tutela i dati personali degli individui e non quelli delle persone giuridiche.
Una società, un ente o un’impresa, pertanto, non sono titolari di un diritto all’oblio né possono chiedere la cancellazione o la deindicizzazione di dati personali in quanto tali. Quando un contenuto online arreca un pregiudizio alla reputazione commerciale o all’immagine aziendale, gli strumenti di tutela sono diversi e appartengono al diritto civile e, nei casi previsti dalla legge, anche al diritto penale, come le azioni per diffamazione, il risarcimento del danno, la tutela della reputazione commerciale o quella contro gli atti di concorrenza sleale.
Diversa è invece la posizione di imprenditori individuali, amministratori, manager, professionisti e rappresentanti legali, i quali possono esercitare il diritto all’oblio nella loro qualità di persone fisiche quando il trattamento dei dati personali riferiti al loro nominativo non risulti più giustificato alla luce dei principi di liceità, proporzionalità e attualità dell’informazione. La Corte di Cassazione ha più volte affermato che il diritto all’oblio costituisce una particolare espressione del diritto alla riservatezza e all’identità personale e consiste nel diritto a non rimanere indefinitamente esposti alla diffusione di vicende ormai prive di un attuale interesse pubblico.
Chi è obbligato a rispettare il diritto all’oblio
L’esercizio del diritto all’oblio non comporta automaticamente la cancellazione di qualsiasi contenuto presente su Internet. Occorre infatti distinguere i soggetti coinvolti nel trattamento dei dati personali e i rispettivi obblighi.
Il primo destinatario della richiesta è il titolare del trattamento, che, ai sensi dell’art. 17 GDPR, deve procedere alla cancellazione dei dati personali quando ricorrono i presupposti previsti dalla norma.
Diversa è la posizione dell’editore o del gestore del sito web che ospita il contenuto. La permanenza di un articolo nell’archivio storico può risultare legittima quando sussista un interesse documentale, storico o giornalistico, purché siano rispettati i principi elaborati dalla giurisprudenza in materia di diritto di cronaca e di proporzionalità.
Un ruolo autonomo è svolto dal gestore del motore di ricerca, il quale effettua un distinto trattamento dei dati personali attraverso l’indicizzazione dei contenuti pubblicati da terzi. Nei suoi confronti può essere chiesta la deindicizzazione, vale a dire la rimozione del collegamento dall’elenco dei risultati ottenuti effettuando una ricerca con il nome dell’interessato. In questo caso il contenuto rimane online, ma non è più facilmente reperibile attraverso il motore di ricerca.
L’evoluzione della giurisprudenza della Corte di giustizia dell’Unione europea
L’attuale disciplina del diritto all’oblio è stata profondamente modellata dalla giurisprudenza della Corte di giustizia dell’Unione europea.
Con la nota sentenza Google Spain (C-131/12) la Corte ha riconosciuto che il gestore del motore di ricerca è titolare di un autonomo trattamento dei dati personali e può essere obbligato a rimuovere dai risultati di ricerca i collegamenti a pagine contenenti informazioni riguardanti una persona fisica, pur quando tali contenuti siano lecitamente pubblicati sul sito originario.
Successivamente, nella sentenza Google/CNIL (C-507/17), la Corte ha precisato che il diritto dell’Unione non impone, come regola generale, una deindicizzazione estesa automaticamente a tutte le versioni mondiali del motore di ricerca, ma solo a quelle che interessano gli Stati dellUnione, pur lasciando impregiudicato il potere delle autorità nazionali di adottare provvedimenti più ampi quando ciò sia giustificato dal bilanciamento dei diritti fondamentali.
Particolarmente significativa è poi la sentenza Google (C-460/20), dell’8 dicembre 2022, relativa alla deindicizzazione di contenuti asseritamente inesatti. La Corte ha affermato che il gestore del motore di ricerca non è tenuto a svolgere autonome attività investigative sulla veridicità delle informazioni pubblicate. Tuttavia, quando l’interessato fornisce elementi sufficienti a dimostrare la manifesta inesattezza del contenuto, il motore di ricerca deve procedere alla deindicizzazione, senza poter pretendere, come regola generale, una preventiva sentenza pronunciata nei confronti dell’editore. La decisione conferma che il diritto alla protezione dei dati personali deve essere costantemente bilanciato con la libertà di espressione e di informazione secondo il principio di proporzionalità.
Leggi di più: European Cort of Human Rights e European Agency for Human Rights, “Right to be forgotten ECtHR and CJEU Case-Law”, 2024.
L’orientamento della Corte di Cassazione
La giurisprudenza italiana si è sviluppata in sostanziale continuità con quella europea.
Le Sezioni Unite, con la sentenza n. 19681 del 22 luglio 2019, hanno definito il diritto all’oblio come il diritto dell’individuo a non subire gli effetti pregiudizievoli della persistente diffusione di notizie ormai prive di attualità, imponendo un costante bilanciamento tra diritto alla riservatezza e diritto di cronaca.
Di particolare interesse per gli operatori economici è la sentenza Cass. civ., sez. I, n. 34658 del 24 novembre 2022. Richiamando la decisione della Corte di giustizia nel caso Google/CNIL, la Suprema Corte ha affermato che il Garante per la protezione dei dati personali e il giudice italiano possono ordinare, nei casi concreti, una deindicizzazione estesa anche alle versioni extraeuropee del motore di ricerca, qualora il bilanciamento tra tutela della vita privata, protezione dei dati personali e libertà di informazione, effettuato secondo gli standard dell’ordinamento italiano, renda necessario assicurare una tutela effettiva del diritto dell’interessato. La pronuncia rappresenta uno dei più significativi sviluppi della giurisprudenza nazionale in materia di efficacia extraterritoriale dei provvedimenti di deindicizzazione.
Leggi di più: Diritto alla riservatezza e all’oblio: la giurisprudenza della Corte di Cassazione, coerenza e limiti.
Quando imprenditori, manager e professionisti possono valutare l’esercizio del diritto all’oblio
Per imprenditori, manager e professionisti il diritto all’oblio non costituisce uno strumento per eliminare qualsiasi contenuto sgradito reperibile online. Ogni richiesta richiede una valutazione giuridica fondata sul bilanciamento tra la tutela dei dati personali, la reputazione individuale e il diritto della collettività a essere informata.
La verifica deve considerare, tra gli altri elementi, la natura delle informazioni, la loro attualità, l’eventuale inesattezza, il ruolo pubblico dell’interessato e la permanenza di un interesse pubblico concreto alla conoscibilità dei fatti.
Solo all’esito di questa analisi è possibile stabilire se ricorrano i presupposti per chiedere la cancellazione dei dati personali, la deindicizzazione dei risultati di ricerca o altri rimedi previsti dall’ordinamento. Per ottenere, poi, l’oblio, occorre presentare tutti gli elementi da cui emerga l’inaccuratezza dell’informazione o dell’immagine di cui si chiede la cancellazione.
Per le società, invece, la tutela della reputazione continua a trovare fondamento negli strumenti civilistici e penalistici predisposti dall’ordinamento, non nel diritto alla cancellazione disciplinato dall’art. 17 GDPR.