Diritto all’oblio Google: le linee guida aggiornate UE

Con il Regolamento (UE) nr. 679/2016 è stato introdotto il nuovo Codice della Privacy, GDPR – letteralmente General Data Protection Regulation, in materia di protezione dei dati personali che introduce degli importanti strumenti a tutela del c.d. diritto all’oblio anche conosciuto come “il diritto all’essere dimenticati” o anche alla “cancellazione dei propri dati personali”.

Il diritto all’oblio si configura quale diritto atto a rimuovere dal web i propri dati personali. Al fine di osservare il diritto all’oblio nei confronti dell’interessato, il Titolare delle informazioni personali che sono state diffuse pubblicamente su un sito web o una pagina, che abbiamo però contenuto pregiudizievole, ha l’obbligo di informare della richiesta di cancellazione altri titolari che trattato allo stesso modo i dati personali cancellati. Sul punto, ai sensi dell’art. 17 par. II del GDPR si fa riferimento a “qualsiasi link, copia o riproduzioni”.

Le linee guida 5/2019

In via preliminare è necessario fare una piccola premessa, si è parlato in apertura di GDPR, ebbene mentre l’articolo 17 del RGPD è applicabile a tutti i titolari del trattamento, le linee guida si concentrano esclusivamente sul trattamento da parte dei fornitori di motori di ricerca nonché su tutte le richieste di deindicizzazione presentate dagli interessati.

Cosa si intende per deindicizzazione

Se un soggetto che ha interesse nella cancellazione ovvero nella deindicizzazione di un contenuto che per lui è lesivo della privacy o dell’onore professionale, ottiene la deindicizzazione di quel particolare contenuto, lo stesso non vedrà l’articolo, l’URL cancellato dall’elenco dei risultati di ricerca relativi all’interessato bensì, quel contenuto resterà disponibile laddove vengano usati parametri di ricerca differenti, che non siano il nome del soggetto che ne ha fatto richiesta.

Orbene, le richieste di deindicizzazione non assumo la rimozione completa dei dati personali nonché dei contenuti lesivi della reputazione di cui si fa richiesta. Infatti, i dati personali non saranno cancellati né dal sito web di origine né dall’indice e dalla cache del fornitore del motore di ricerca. Ad esempio, un interessato può richiedere la rimozione dall’indice di un motore di ricerca di dati personali provenienti da un mezzo di comunicazione, quale un articolo di giornale. In questo caso, il link ai dati personali può essere rimosso dall’indice del motore di ricerca, ma l’articolo in questione resterà comunque sotto il controllo del mezzo di comunicazione e può rimanere pubblicamente disponibile e accessibile, sebbene non sia più visibile nei risultati di ricerca basati sulle interrogazioni che includono, in linea di principio, il nome dell’interessato.

Cosa fa il titolare del trattamento una volta deindicizzato il contenuto lesivo?

I fornitori di motori di ricerca, per ritenderci Google, non sono sollevati, in via generale, dall’obbligo di cancellazione completa. In alcuni casi eccezionali, questi dovranno in ogni caso provvedere alla eliminazione definitiva dei contenuti dalle proprie ricerche o dalle cache.

Limiti alla deindicizzazione

Il diritto di richiedere la deindicizzazione è previsto, alla stregua della cancellazione, dall’articolo 17 del RGPD non inficia le conclusioni della sentenza Costeja, in cui la CGUE ha statuito che una richiesta di deindicizzazione trovava fondamento nel diritto di rettifica/cancellazione e nel diritto di opposizione ai sensi, rispettivamente, degli articoli 12 e 14 della direttiva.

La deindicizzazione, dunque, segue le stesse regole applicative della cancellazione, infatti anche questo è un modo di attuazione del diritto all’oblio. Dunque, se segue le stesse regole non possiamo che affermare che segue anche le stesse limitazioni, invero, oltre al limite dell’interesse storiografico, viene disposto anche quello legale, estrinsecato dalle linee guida orna in analisi.

Si ritiene improbabile che il diritto di uno Stato membro preveda l’obbligo per i fornitori di motori di ricerca di pubblicare alcuni tipi di informazione.

Per applicare l’eccezione suindicata è necessario rilevare i termini in cui è stabilita, vale a dire del fatto che il mantenimento sul web della notizia per cui si chiede la deindicizzazione è necessario per rispettare l’obbligo legale di pubblicazione.

È possibile, ad esempio, che diritto di uno Stato membro preveda la pubblicazione su pagine web di informazioni contenenti dati personali, ma l’obbligo alle pagine web no può rientrare nel novero della casistica dell’art. 17 par. 3 lett. b) del GDPR poiché non è rivolto al fornitore del motore di ricerca.