Il diritto all'oblio è frutto di elaborazioni dottrinarie, giurisprudenziali e delle Autorità Garanti europee ed è definibile quale diritto dell’individuo ad essere dimenticato e a non vedere pubblicate notizie ormai appartenenti al passato e che nulla hanno a che fare con la vita attuale del soggetto mira a salvaguardare la riservatezza dell'individuo.
Come fondamento normativo del diritto all'oblio, il Codice della Privacy – d.lgs. 196/2003 - prevedeva all’art. 11 l’illegittimità del trattamento qualora i dati fossero conservati in una forma che consentisse l'identificazione dell'interessato per un periodo di tempo superiore a quello necessario agli scopi per i quali sono stati raccolti o trattati. L’interessato aveva il diritto di conoscere in ogni momento chi possiede i suoi dati personali e come li adopera, nonché di opporsi al trattamento dei medesimi, ancorché pertinenti allo scopo della raccolta, ovvero di ingerirsi al riguardo, chiedendone la cancellazione, la trasformazione, il blocco, ovvero la rettificazione, l’aggiornamento, l’integrazione (art. 17 d.lgs. n. 196/2003).
Anche la giurisprudenza ha avuto modo di occuparsene, riconoscendo il diritto e meglio delineandolo (per es. Cass., 9/4/1998, n. 3679; Cass., 25/6/2004, n. 11864; Cass. 05/04/2012 n. 5525; Cass.26/06/2013 n. 16111; Cass. 24/06/2016 n. 13161).
Nel Nuovo Regolamento – GDPR – in vigore dal 25 maggio 2018, il diritto all'oblio è recepito all'art. 17 che prevede che l'interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l'obbligo di cancellare senza ingiustificato ritardo i dati personali, se sussiste uno dei motivi seguenti:
a) i dati non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati;
b) l’interessato ritira il consenso su cui si basa il trattamento e non sussiste altro motivo legittimo per trattare i dati;
c) l'interessato si oppone al trattamento dei dati personali e non sussiste alcun motivo legittimo prevalente per procedere al trattamento;
d) i dati sono stati trattati illecitamente;
e) i dati devono essere cancellati per adempiere un obbligo legale previsto dal diritto dell'Unione o degli Stati membri cui è soggetto il titolare del trattamento;
f) i dati sono stati raccolti relativamente all'offerta di servizi della società dell’informazione.
Inoltre sempre l’art. 17 chiarisce che il titolare del trattamento, se ha reso pubblici dati personali ed è obbligato a cancellarli, tenendo conto della tecnologia disponibile e dei costi di attuazione prende le misure ragionevoli, anche tecniche, per informare i responsabili del trattamento che stanno trattando i dati, della richiesta dell’interessato di cancellare qualsiasi link, copia o riproduzione dei suoi dati personali.
La norma prescrive innanzitutto che i dati anche acquisiti lecitamente non possono essere conservati in eterno, anzi, devono essere cancellati quando hanno obiettivamente esaurito la loro funzione (in realtà, in tal senso era già previsto anche nella normativa precedente).
L’interessato ha il diritto di chiedere la cancellazione in tutti i casi sopra elencati, anche solo revocando il consenso prestato e non solo in presenza di un motivo specifico, ma anche, genericamente, perché non ha più senso che le informazioni, pur raccolte legittimamente, restino in vita. Ciò è importante ad es. se l’interessato ha prestato il proprio consenso quando era minorenne, quindi non pienamente consapevole dei rischi derivanti dal trattamento, ovvero, semplicemente nei casi in cui l’interessato decida, in un secondo momento, di eliminare dalla rete un certo tipo di dati personali che lo riguardano.
L’interessato può richiedere non solo la cancellazione dei suoi dati in capo al titolare a cui si rivolge, ma anche la cancellazione di “qualsiasi link, immagine, copia o riproduzione dei suoi dati personali”. Le richieste di cancellazione o aggiornamento vanno inoltrate dall'interessato al titolare del trattamento del luogo virtuale in cui l’informazione interessata compare: sul sito, sulla copia cache della pagina web, sui titoletti che costituiscono il risultato della ricerca tramite motore di ricerca. Ognuno di questi luoghi ha un titolare di trattamento diverso e per i gestori dei motori di ricerca extraeuropei c’è anche una diversa disciplina applicabile.
Con la sentenza Google Spain del 13 maggio 2014, resa nella causa C-131/12, la Corte di Giustizia ha affermato che anche i motori di ricerca svolgono un trattamento di dati personali, quali titolari, e che anche ad essi si applica, quindi, la normativa per la protezione dei dati personali. Il diritto dell’interessato alla cancellazione dei dati che lo riguardano si configura, verso tali soggetti, come un diritto alla de-indicizzazione.
La de-indicizzazione si differenzia per il fatto che il diritto all'oblio qui si incentra sui dati che rimangono a disposizione di chiunque abbia accesso alla rete e di cui l’interessato può chiedere, più che la cancellazione, la scomparsa dal motore di ricerca.
La norma prevede che il titolare del trattamento che ha pubblicato i dati personali comunichi agli altri titolari che stanno trattando tali dati di cancellare qualsiasi link, copia o riproduzione degli stessi. Nel fare ciò, è opportuno che si adottino misure ragionevoli, anche tecniche, tenendo conto della tecnologia disponibile e dei costi di attuazione.
Invero, il titolare a cui è stata rivolta la richiesta ha solo il dovere di effettuare la segnalazione, non anche quello di accertarsi del comportamento degli altri titolari e di informare di questo l’interessato.
Inoltre, come detto, lo stesso dovere di segnalazione trova un limite nella tecnologia disponibile e nei costi di attuazione ragionevoli.
E’ chiaro che l’intuibile facilità di diffondere in rete i dati e le notizie dà l’idea, per converso, della difficoltà di cancellare e/o impedire la circolazione e diffusione del dato.
Ad ogni modo, si rileva un indubbio rafforzamento del diritto alla cancellazione dei dati personali e del diritto all'oblio nell'ambiente online.
L’elaborazione giurisprudenziale e dottrinale colloca il diritto all'oblio nell'ambito dei diritti della personalità quale particolare forma di garanzia connaturata al diritto alla riservatezza.
Il diritto alla riservatezza è collegato al diritto all'identità personale che viene definito come il diritto di ogni persona a non vedere travisato o alterato all'esterno il proprio patrimonio intellettuale, politico, sociale, religioso, professionale, a causa dell’attribuzione di idee, opinioni, o comportamenti differenti da quelli che l’interessato ritenga propri e abbia manifestato nella vita di relazione (cfr. Cass., 7.2.1996, n. 978, in Corr. giur., 1996, 3, 264).
La distinzione tra diritto all'identità e diritto alla riservatezza è nel senso che il primo tutela l’immagine pubblica della persona e la l’immagine che il soggetto intende dare all'esterno; mentre il diritto alla riservatezza tutela la sfera privata dell’individuo, da mettere al riparo da intrusioni altrui.
Il diritto alla riservatezza e all'identità personale sono entrambi diritti della personalità strumentali alla tutela della reputazione che ognuno ha anche sui social e in rete.
Il diritto all'oblio quale aspetto appunto del diritto alla riservatezza, è il diritto dell’individuo a non vedere pubblicate notizie ormai appartenenti al passato e che nulla hanno a che fare con la vita attuale del soggetto.
Il diritto all'oblio è quindi il diritto di un soggetto a vedersi "dimenticato" dalle banche dati, dai mezzi di informazione, dai motori di ricerca che detengono i suoi dati in relazione ad un'attività di trattamento che sono autorizzati a compiere dal diretto interessato o dalla legge.
Si pensi alla pubblicazione di notizie in rete. E’ evidente che i siti o blog vanno equiparati ad una testata giornalistica se di questa hanno tutti gli aspetti, quali la continuità delle pubblicazioni, la presenza di un direttore responsabile, rilevanza pubblica delle notizie, ecc.
Se è equiparabile ad un giornale il sito deve rispettare il diritto di cronaca.
Il gestore di un sito, blog o pagine social rischia di essere condannato per il reato di diffamazione nel caso commetta illeciti nel commentare notizie o esprimere giudizi.
E’ evidente allora come il diritto all'oblio nasce storicamente in rapporto al'’esercizio del diritto di cronaca giornalistica. Un fatto privato va pubblicato e diventa lecitamente oggetto di cronaca se c’è interesse pubblico alla notizia. Quando però ormai cessa l’interesse alla notizia, la riproposizione della stessa non è più funzionale alla legittima informativa alla collettività e pertanto, sul diritto di cronaca prevale il diritto del singolo alla sua privacy.
Facendo corretta applicazione dei limiti che sono connaturali al diritto di cronaca, non può essere diffuso un fatto la cui diffusione non risponda ad un reale interesse pubblico, così come non va riproposta una vecchia notizia quando ciò non sia più rispondente ad una attuale esigenza informativa.
E’ quindi chiaro come l’esercizio del diritto all'oblio non ha carattere assoluto e deve essere contemperato con il diritto di cronaca e il diritto d’informazione che, nei casi di interesse pubblico, dovrà comunque prevalere sull'interesse del singolo. L’’interessato potrà perciò chiedere la cancellazione o, in alcuni casi, nella de-indicizzazione dei contenuti, dalle varie pagine web, di precedenti informazioni che lo riguardano, solo quando non c’è più un interesse attuale a quella notizia.
E’ noto che la giurisprudenza ha da tempo individuato i limiti del diritto di cronaca in 4 elementi:
La verità della notizia
La continenza nell'esposizione della notizia
Il pubblico interesse alla notizia pubblicata
Attualità della notizia
1. Il primo limite che incontra chi pubblica una notizia è quello della verità del fatto pubblicato.
Il giornalista deve sempre controllare la verità della notizia e sottoporre a verifica rigorosa la fonte della stessa (Cass. 9.7.2009, n. 28258; Cass. 30.9.2008, n. 37124; Cass.12.7.2007, n. 27283; Cass. 14.11.2007, n. 42067; Cass. 14.10.2005, n. 37463; Cass. 14.12.2004, n. 48095; Cass. 15.10.2004, n. 40415; Cass. 31.5.2004, n. 24711)
La fonte giornalistica deve essere sempre affidabile. Se si pubblica una notizia falsa il giornalista ne risponde penalmente per diffamazione ed è tenuto al risarcimento del danno.
2. Ovviamente, nel dare la notizia deve essere rispettato il principio di continenza e di obiettività nell'esposizione della stessa (Cass. 4.2.2005, n. 4009; Cass. 13.3.2001, n. 10337; Cass. 12.2.1999, n. 1847). Infatti, anche una notizia vera può essere diffamatoria se riportata in termini offensivi o denigratori, con insulti gratuiti e attacchi ingiustificati alla persona.
3. Una notizia vera ed esposta in modo obiettivo e corretto e rispettoso delle persone coinvolte può ugualmente violare i limiti del diritto di cronaca se non riguarda una questione di pubblico interesse.
Su questo concetto, in realtà, la giurisprudenza è piuttosto larga, ritenendo che possa essere d’interesse anche il fatto di gossip, il pettegolezzo o un aspetto della vita privata di una persona pubblica.
La Cassazione ha riconosciuto lecita la pubblicazione di notizie quando è riscontrato l’interesse pubblico alla conoscenza dei fatti riferiti in relazione alla loro attualità e utilità sociale (Cass. 17.12.2008, n. 46528; Cass. 12.12.2007, n. 46295; Cass. 14.11.2007, n. 42067; Cass. 7.3.2006, n. 8042). Quando manchi l’interesse pubblico alla notizia, la sua diffusione è illecita in quanto ha il mero scopo di diffamare.
4. L’interesse pubblico alla notizia sussiste quando il fatto è successo o è in corso, quando c'è l'attualità della notizia pubblicata. Un fatto non attuale non è più per definizione di pubblico interesse.
L’interessato ha diritto a vedersi cancellate notizie non più attuali.
Ovviamente vi sono fatti talmente gravi per i quali l’interesse pubblico alla loro riproposizione non viene mai meno, come ad es. per notizie e fatti che hanno fatto la storia o fatti gravi e crimini contro l’umanità che non diventano mai “privati”.
Il diritto al'’oblio inoltre, non è da contemperare solo con il diritto di cronaca e di informazione, ma anche con altri diritti quali interessi di sicurezza nazionale e salute pubblica, pubblica sicurezza, benessere economico del paese, difesa dell’ordine e prevenzione dei reati, protezione della salute o della morale o alla protezione dei diritti e delle libertà altrui.
Si sono avute importanti pronunce volte ad individuare il difficile punto di equilibrio tra la necessità, per interessi di sicurezza e salute pubblica, alla conservazione di dati personali particolarmente sensibili in quanto riguardanti la salute delle persone, e il diritto delle persone a che quei medesimi dati non siano conoscibili se non nei limiti dello stretto necessario e da parte di chi abbia a ciò un interesse tutelato.
Con l’ordinanza n. 19761 del 2017 la prima Sezione della Corte di Cassazione ha affermato che in tema di trattamento dei dati personali, ai sensi dell’art. 8 della CEDU nonché degli artt. 7 e 8 della cd. “Carta di Nizza”, l’interessato non ha diritto ad ottenere la cancellazione dei dati iscritti in un pubblico registro ed è legittima la loro conservazione quando essa sia prevista dalla legge e costituisca una misura che, in una società democratica, è necessaria alla sicurezza nazionale, alla pubblica sicurezza, al benessere economico del paese, alla difesa dell’ordine e alla prevenzione dei reati, alla protezione della salute o della morale o alla protezione dei diritti e delle libertà altrui.
Peraltro, la conservazione del dato in tal caso deve osservare particolari cautele.
Con la sentenza n. 30981 del 27 dicembre 2017 si è indicata la necessità di adottare particolari cautele nel trattamento, tra tutti i dati sensibili, dei dati supersensibili relativi alla salute, affermando che i dati idonei a rivelare lo stato di salute possono essere trattati soltanto mediante modalità organizzative, quali tecniche di cifratura o criptatura, che rendano non identificabile l’interessato. Ne consegue che i soggetti pubblici o le persone giuridiche private, anche quando agiscono rispettivamente in funzione della realizzazione di una finalità di pubblico interesse o in adempimento di un obbligo contrattuale, sono tenuti all’osservanza delle predette cautele nel trattamento dei dati in questione. A composizione di un contrasto è stato quindi affermato che i dati attinenti alla salute in quanto “supersensibili” godono del massimo statuto protettivo e non possono essere mai trattati in modo da ricondurre la condizione di salute al soggetto interessato (il principio è stato affermato in tema d’indennità dovuta ai soggetti emotrasfusi con materiale infetto e l’obbligo di cifratura o criptatura del dato è stato imposto sia al soggetto pubblico che a quello privato che siano titolari del trattamento).