Forget to be forgotten

Arnò, Gaetano; Chillemi, Dafne

Privacy&

2020/3

Indice

Gaetano Arnò Dafne Chillemi

Forget to be forgotten

Scarica articolo in PDF

Premessa

L’oblio, un concetto che evoca qualcosa di nebuloso, un velo che nasconde e cancella fatti o persone, un tempo noti, che nessuno, in alcun luogo e tempo, ricorderà mai più.

In epoca romana esisteva l’istituto della damnatio memoriae, locuzione che significa letteralmente “condanna della memoria”, una pena particolarmente severa (solitamente applicata nei confronti di chi veniva ritenuto nemico o traditore di Roma e del Senato) consistente nella cancellazione di qualsiasi traccia o elemento riguardante una persona, come se non fosse mai esistita. Poteva essere irrogata in diverse forme, che andavano dalla abolitio nominis (il praenomen del condannato non si sarebbe tramandato in seno alla famiglia venendo cancellato da tutte le iscrizioni), alla rescissio actorum (completa distruzione di tutte le opere realizzate dal reo nell’esercizio della propria carica), fino all’abbattimento di statue e monumenti onorari e lo sfregio dei ritratti presenti sulle monete. Una vera e propria morte civile, certamente favorita dalla disponibilità limitata di fonti storiche nell’antichità ^[1].

Curiosamente, in tempi recenti, la situazione sembra essersi sostanzialmente capovolta, tanto che alle condanne irrogate dall’autorità giudiziaria si lega, in qualità di pena accessoria, la pubblicazione della sentenza ^[2]. Ricordare per punire; e allora l’essere dimenticati, in questi casi, lungi dal risultare qualcosa di odioso, viene bramato e invocato quale “diritto” della persona.

Arrivati ai giorni nostri, l’oblio ha subito un’ulteriore trasformazione, quasi assumendo le sembianze di Giano bifronte. Da un lato, nell’era della rivoluzione 4.0 (secondo alcuni addirittura già 5.0), dei social media e del discusso dominio degli influencer, rappresenta una sorta di mostro da sconfiggere ad ogni costo; bisogna infatti apparire, far parlare di sé, essere dovunque, a qualsiasi costo. Dall’altro lato, una volta entrati nel mondo di internet e delle sue mille sfaccettature tecniche, sono molto pochi (ammesso che vi siano) coloro che riescono volontariamente ad essere totalmente dimenticati (o cancellati che dir si voglia).

Viviamo nella stagione della c.d. “web reputation”, dove l’identità personale è forgiata non solo (e talvolta non tanto) dalle opere o azioni concretamente realizzate nel corso della vita (sul piano lavorativo o personale), ma anche, e spesso soprattutto, dalle tracce più o meno consapevolmente lasciate in rete, come se una sorta di filo di Arianna seguisse costantemente il “navigante” nei suoi movimenti nel labirinto del web.

Basti pensare, tra i molteplici possibili esempi, a come i professionisti che si occupano della selezione delle risorse umane, oltre al curriculum vitae, pongano ormai estrema attenzione anche ai profili social del candidato (primi fra tutti Linkedin, Facebook, Instagram, Twitter, Youtube). A quanti giovani “postare” quel video così divertente di una serata brava con gli amici è apparsa un’idea brillante, come provato dai molti “mi piace” raccolti. E quante volte, col (maledetto) senno di poi, si sono accorti che forse quel filmato era meglio tenerlo per sé, così come sarebbe stato meglio, ad esempio, non aver fatto apprezzamenti “coloriti” o esuberanti su determinati argomenti o personaggi.

La malia del web è proprio questa: esalta e diffonde ovunque pressoché in tempo reale, elargisce generosamente piccole o grandi dosi di una agognata celebrità (positiva o negativa che sia), regala la possibilità di navigare senza limiti e confini su milioni di siti cercando, e quasi sempre trovando, miliardi di informazioni (talvolta inutili ma più spesso di grande utilità)

Al tempo stesso, tuttavia, il World Wide Web non dimentica. Quasi mai.

Forget to be forgotten, dimenticati di essere dimenticato: un’affermazione che somiglia sinistramente ad una minaccia, ma che forse ben rispecchia lo “stato dell’arte” in merito al tanto discusso diritto all’oblio, da tempo assurto alle luci della ribalta, seppure con un corollario di conseguenze e limitazioni socio-giuridiche e tecnologiche tutt’altro che marginali. Dalla cancellazione tout court alla deindicizzazione, dai limiti territoriali a quelli informatici, sino all’eterna lotta con il diritto di cronaca (espressione del diritto del pubblico di sapere), essere dimenticati – in particolare in internet – rappresenta, al momento, un lusso per pochi eletti.

Il diritto all’oblio: nascita ed evoluzione

Dagli albori alla prima Direttiva in ambito data protection

L’opera della giurisprudenza è stata sicuramente determinante nel sancire la nascita e l’evoluzione del diritto all’oblio che, in origine, non godeva di autonomo riconoscimento, venendo piuttosto considerato una sorta di manifestazione di alcuni diritti inviolabili dell’uomo, quali il diritto al rispetto della vita privata e familiare, il diritto alla riservatezza, il diritto alla dignità ed alla identità personale ^[3].

In questo contesto, il diritto all’oblio era genericamente ritenuto un “diritto alla privacy storica, che permetterebbe all’individuo di mantenere il controllo di informazioni un tempo diffuse ma ormai dimenticate”^[4].

A partire dagli anni ‘50, in Italia – ancor prima dei Giudici – è stata la dottrina ad iniziare a ragionare su quanto il trascorrere del tempo potesse incidere sulla tutela dell’identità della persona, soprattutto in relazione al rapporto con il diritto di cronaca, e se fosse lecito pubblicare e ripercorrere nuovamente fatti ormai appartenenti al passato ^[5].

L’orientamento prevalente, seguito dalla Corte di Cassazione, negava che lo scorrere del tempo consentisse di dimenticare avvenimenti di cronaca passata, i quali potevano dunque essere nuovamente trattati, anche a distanza di diversi anni ^[6].

Una maggiore apertura si avrà solamente con l’avvento degli anni ‘70, sulla scia dei primi riconoscimenti della privacy come diritto fondamentale dell’uomo ^[7] e, soprattutto, del diritto all’identità personale ^[8].

Per assistere ad una vera “svolta” è però necessario attendere l’emanazione della Direttiva 95/49 CE (“Direttiva Privacy”)^[9], recepita in Italia con Legge n. 675 del 31 dicembre 1996 ^[10], sulla quale iniziano a fondarsi i nuovi ragionamenti della giurisprudenza, in particolare con specifico riguardo alla pubblicazione di notizie (per la maggior parte concernenti fatti di cronaca giudiziaria) rievocative di vicende passate che i diretti interessati ritenevano lesive della propria identità e riservatezza, soprattutto nell’eventualità che successivamente avessero addirittura dimostrato la propria estraneità ai fatti.

All’esito di questa evoluzione, è proprio la Corte di Cassazione a specificare come “la divulgazione di notizie che arrecano pregiudizio all’onore e alla reputazione deve, in base al diritto di cronaca, considerarsi lecita quando ricorrono tre condizioni: la verità oggettiva della notizia pubblicata; l’interesse pubblico alla conoscenza del fatto (c.d. pertinenza); la correttezza formale dell’esposizione (c.d. continenza)”. D’altro canto, “viene invece in considerazione un nuovo profilo del diritto di riservatezza recentemente definito anche come diritto all’oblio inteso come giusto interesse di ogni persona a non restare indeterminatamente esposta ai danni ulteriori che arreca al suo onore e alla sua reputazione la reiterata pubblicazione di una notizia in passato legittimamente divulgata. (…) Quando il fatto precedente per altri eventi sopravvenuti ritorna di attualità, rinasce un nuovo interesse pubblico all’informazione, non strettamente legato alla contemporaneità fra divulgazione e fatto pubblico che si deve contemperare con quel principio, adeguatamente valutando la ricorrente correttezza delle fonti di informazione”^[11].

L’avvento di internet

Ricordando i primi “vagiti” del diritto all’oblio, occorre sempre tenere a mente che, in parallelo allo sviluppo dottrinale e giurisprudenziale sul tema, la tecnologia stava vivendo una sorta di “nuova epifania” con la nascita di internet e del world wide web^[12].

La rete “mischia” le carte in tavola. Da questo momento in poi, il diritto all’oblio assume tre sfaccettature diverse: quella sinteticamente ricostruita nei precedenti paragrafi, consistente nel “diritto di un soggetto di non vedere pubblicate alcune notizie relative a vicende, già legittimamente pubblicate, rispetto all’accadimento delle quali è trascorso un notevole lasso di tempo”^[13]; la versione “aggiornata”, si potrebbe dire 2.0, fondata sul postulato che le informazioni immesse nella rete vi restano per un arco temporale illimitato a disposizione di un numero elevatissimo di siti, social network, piattaforme, alla mercé di una platea di soggetti potenzialmente infinita ^[14]; e infine la terza accezione, caratterizzata dal diritto alla rettifica e alla cancellazione dei dati personali o all’opposizione al loro trattamento, ai sensi dell’articolo 12 della Direttiva Privacy e, successivamente, dell’articolo 17 del Regolamento UE 2016/679 (“GDPR”).

Le mutate circostanze non sono sfuggite agli operatori del settore e sono state prontamente prese in considerazione tanto dalla giurisprudenza quanto dall’Autorità Garante per la Protezione dei Dati Personali (“Garante” o “Garante Privacy”), chiamate a prendere posizione in merito ad alcune vicende legate a fatti di cronaca giudiziaria che coinvolgevano anche quotidiani e siti di informazione on line. In alcuni casi, infatti, le pubblicazioni, pur se originariamente legittimate sulla base del diritto di cronaca, erano state memorizzate negli archivi dei quotidiani e risultavano pertanto reperibili in internet senza però essere state rettificate per tenere conto degli sviluppi successivi.

Nel nuovo contesto oggetto di analisi, la Suprema Corte – riprendendo in parte i principi di diritto affermati nella citata sentenza n. 3679/1998 e tenuto conto del dettato dell’articolo 11, comma 1 lett. b), D.Lgs. n. 196 del 2003 – ha stabilito che “il titolare dell’organo di informazione (nel caso, la società Rcs Quotidiani s.p.a.) che avvalendosi di un motore di ricerca (nel caso, Google) memorizza la medesima (n.d.r.: notizia) anche nella rete internet è tenuto ad osservare i criteri di proporzionalità, necessità, pertinenza e non eccedenza dell’informazione, avuto riguardo alla finalità che ne consente il lecito trattamento, nonché a garantire la contestualizzazione e l’aggiornamento della notizia già di cronaca oggetto di informazione e di trattamento, a tutela del diritto del soggetto cui i dati pertengono alla propria identità personale o morale nella sua proiezione sociale, nonché a salvaguardia del diritto del cittadino utente di ricevere una completa e corretta informazione, non essendo al riguardo sufficiente le mera generica possibilità di rinvenire all’interno del ‘mare di Internet’ ulteriori notizie concernenti il caso di specie, ma richiedendosi, atteso il ravvisato persistente interesse pubblico alla conoscenza della notizia in argomento, la predisposizione di sistema idoneo a segnalare (nel corso o a margine) la sussistenza di un seguito e di uno sviluppo della notizia, e quale esso sia stato (nel caso, dei termini della intervenuta relativa definizione in via giudiziaria), consentendo il rapido ed agevole accesso da parte degli utenti ai fini del relativo adeguato approfondimento, giusta modalità operative stabilite, in mancanza di accordo tra le parti, dal giudice di merito”.^[15]

Il Garante Privacy, dal canto suo, ha da subito precisato che il diritto all’oblio è chiaramente enunciato all’interno della Legge n. 675/1996, in particolare all’articolo 9, ai sensi del quale “l’interessato ha quindi non solo il diritto di richiedere che i propri dati siano pertinenti e non eccedenti rispetto alle finalità perseguite, ma anche quello di poter esercitare, ove possibile, il proprio “diritto all’oblio”, ossia il diritto che certi avvenimenti della propria vita, e situazioni personali non siano più oggetto di un trattamento di dati (nei limiti previsti dalla legge)”^[16].

Successivamente, a seguito dell’entrata in vigore del D.Lgs. n. 196 del 2003 (“Codice Privacy”), il Garante, confrontandosi con un ricorso avente ad oggetto la permanenza in rete di notizie pregiudizievoli per l’attività dell’interessato, prescriveva, nei confronti del titolare del trattamento, una serie di azioni da intraprendere affinché potessero essere mitigati gli effetti dovuti alla pubblicazione sul web della sentenza di condanna subita dal soggetto. Alla base del ragionamento del Garante stava la presa di coscienza che il trascorrere di un determinato lasso di tempo e il ravvedimento operoso dell’interessato non potessero essere inficiati dalla permanenza online di informazioni relative al provvedimento di condanna ^[17].

La svolta: il caso Google Spain

Il “punto di non ritorno” nel riconoscimento del diritto all’oblio può essere individuato in una importante sentenza della Corte di Giustizia Europea (sentenza C-131/12, in data 13 maggio 2014)^[18] chiamata a pronunciarsi sull’esistenza dell’obbligo dei gestori dei motori di ricerca di internet di rimuovere o, più propriamente, “de-indicizzare” i risultati delle ricerche riguardanti specifiche informazioni che potrebbero influenzare in maniera negativa la reputazione degli interessati.

Il caso muoveva dalla vicenda di un cittadino spagnolo assoggettato ad una procedura di recupero crediti di cui era stata a suo tempo data notizia da un quotidiano. A distanza di oltre di 15 anni, digitando il nome dell’interessato sul motore di ricerca Google, si veniva immediatamente re-indirizzati a tali pagine di stampa.

Appositamente interpellata, l’Autorità Garante per la protezione dei dati personali spagnola ha negato l’esistenza del diritto di chiedere la cancellazione della notizia dalle pagine del quotidiano e ha rimesso al vaglio della Corte UE la valutazione della richiesta di rimozione dei risultati della ricerca da parte di Google.

Come noto, ne è scaturita una pronuncia che ha lasciato stupiti molti operatori del settore per una serie di motivi concorrenti tra loro, a partire dal fatto che i Giudici comunitari (disattendendo completamente le affermazioni e le richieste dell’Avvocato Generale) hanno ribaltato le posizioni precedentemente affermatesi in tema di diritto all’oblio ed in merito alla responsabilità dei c.d. service provider, fino a quel momento ritenuti – al ricorrere di determinate circostanze – spettatori impassibili dei contenuti pubblicati di cui si fanno meri “portatori”^[19].

La dottrina ^[20] ha prontamente identificato (e riassunto) i seguenti principi alla base della decisione della Corte di Giustizia UE:

ai gestori dei motori di ricerca che non hanno la propria sede all’interno del territorio dell’Unione Europea ma che ivi abbiano un’organizzazione stabile si applicano le norme della Direttiva Privacy (oltre a quelle specifiche eventualmente adottate dallo Stato Membro interessato);
l’attività svolta dai motori di ricerca deve essere qualificata come trattamento di dati personali;
al ricorrere delle condizioni fissate dalla normativa europea in materia di data protection, i gestori dei motori di ricerca sono obbligati a rimuovere dall’elenco dei risultati ottenuti (o ottenibili) in relazione ad un determinato soggetto tutti i link ed i collegamenti a pagine e siti on line che lo riguardano;
il bilanciamento di interessi tra il diritto di cronaca e il diritto alla riservatezza dell’individuo va effettuato tenendo conto che i diritti fondamentali enunciati dagli articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione Europea “prevalgono, in linea di principio, non soltanto sull’interesse economico del gestore del motore di ricerca, ma anche sull’interesse di tale pubblico ad accedere all’informazione suddetta in occasione di una ricerca concernente il nome di questa persona”.

A fronte di questi principi, in larga parte condivisibili, la sentenza ha suscitato molteplici perplessità laddove prevede che il bilanciamento di interessi appena menzionato debba essere valutato caso per caso dal titolare del trattamento (e dunque dal gestore del motore di ricerca), sollevando le critiche di autorevoli giuristi che hanno considerato questa impostazione alla stregua dell’attribuzione – da parte di un organo di giustizia – di un potere “para-costituzionale”^[21] ai grandi player del web e cioè a degli operatori privati, chiamati in prima battuta ad effettuare il vaglio di fondatezza delle richieste degli interessati ^[22].

Peraltro, una richiesta di deindicizzazione non sembrerebbe presupporre necessariamente un trattamento illecito del contenuto pubblicato sul sito originario né l’esistenza di un pregiudizio nei confronti dell’interessato (condizioni che avrebbero invece potuto supportare una richiesta di cancellazione).

Probabilmente la Corte di Giustizia non aveva affatto intenzione di delineare il quadro di riferimento e di applicazione del diritto all’oblio, quanto piuttosto di affermare alcuni principi che ne discendono, pur differenziandosene. In termini più concreti ed espliciti, regolare una sorta di diritto non tanto ad essere dimenticato quanto ad ottenere che il proprio nome non venga più associato ad un determinato contenuto, oppure che sia data tutela al ripensamento della propria visibilità telematica; più che di un vero e proprio diritto all’oblio, di un diritto a “non essere trovati facilmente”^[23].

A valle della sentenza, Google non è ovviamente rimasta inerte, avendo provveduto a nominare un comitato consultivo di esperti ^[24] incaricato di elaborare attraverso una piattaforma (naturalmente online) specifici pareri sul bilanciamento tra il diritto all’oblio e il diritto del pubblico di “sapere” nei casi sottoposti ad esame.^[25]

Oggi è dunque possibile chiedere direttamente a Google, attraverso la compilazione di un apposito modulo, di rimuovere dal suo indice tutti i collegamenti ritenuti lesivi della propria vita privata ed attendere pazientemente (?) la risposta del gigante di Mountain View ^[26].

Lo stesso procedimento vale, mutatis mutandis, nei confronti degli altri motori di ricerca (tra i più importanti dei quali, come si vedrà nel prosieguo, vi sono anche Bing e Yahoo!).

Da allora qualcosa si è sicuramente mosso, considerato che nei 5 anni successivi alla pubblicazione della sentenza, soltanto Google ha ricevuto oltre 850.000 richieste di de-indicizzazione nei confronti di 3,3 milioni di siti internet ^[27]; dati, questi, che tuttavia non escludono la presenza (o persistenza) di alcune zone d’ombra non perfettamente eliminate (o individuate) dai Giudici comunitari.

Ad esempio, non risulta chiarissimo cosa si intenda quando i medesimi Giudici affermano che la domanda di de-indicizzazione dell’interessato non può essere accolta laddove sussistano motivi particolari (fra i quali, la posizione ricoperta dal soggetto nella vita pubblica) oppure l’interesse del pubblico risulta in ogni caso preponderante rispetto all’intrusione nella vita privata dello stesso interessato.

In prima battuta, non pare più dirimente il riferimento alla definizione del soggetto che “ricopre una carica nella vita pubblica”. Nell’era dei social network e degli influencer, infatti, il concetto di personaggio pubblico ha subito un radicale ripensamento, portando alla ribalta e riconoscendo di fatto (a suon di “like”) la celebrità a soggetti che in precedenza sarebbero stati considerati assolutamente comuni e anonimi ^[28].

Inoltre, data la rilevante mole di richieste successive alla pubblicazione della sentenza Google, non può escludersi il rischio che i motori di ricerca optino per un approccio volto ad evitare il più possibile eventuali “contenziosi” con gli interessati, assecondando anche richieste di deindicizzazione carenti dei relativi presupposti. A ciò potrebbe conseguire che chi è in grado di mettere in campo le migliori strategie di cancellazione e di gestione dei contenuti online assumerebbe un significativo vantaggio rispetto alla massa di user del web, tenuto anche conto, come si vedrà di seguito, che il processo di de-indicizzazione risulta, nei fatti, particolarmente complesso da mettere in atto ^[29].

Il GDPR, cancellazione vs de-indicizzazione

Appena qualche anno dopo la sentenza Google Spain, lo scenario normativo di riferimento è cambiato nuovamente con l’emanazione del GDPR.

La novità del Regolamento risiede sicuramente nell’esplicita considerazione del fenomeno di internet e della tecnologia sottostante, anche se nessun cenno viene fatto al ruolo dei gestori dei motori di ricerca ^[30].

L’articolo 17, paragrafo 1, GDPR, prevede che “l’interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l’obbligo di cancellare senza ingiustificato ritardo i dati personali, se sussiste uno dei motivi seguenti:

a. i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati;

b. l’interessato revoca il consenso su cui si basa il trattamento conformemente all’articolo 6, paragrafo 1, lettera a), o all’articolo 9, paragrafo 2, lettera a), e se non sussiste altro fondamento giuridico per il trattamento;

c. l’interessato si oppone al trattamento ai sensi dell’articolo 21, paragrafo 1, e non sussiste alcun motivo legittimo prevalente per procedere al trattamento, oppure si oppone al trattamento ai sensi dell’articolo 21, paragrafo 2;

d. i dati personali sono stati trattati illecitamente;

e. i dati personali devono essere cancellati per adempiere un obbligo giuridico previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento;

f. i dati personali sono stati raccolti relativamente all’offerta di servizi della società dell’informazione di cui all’articolo 8, paragrafo 1.

Il titolare del trattamento, se ha reso pubblici dati personali ed è obbligato, ai sensi del paragrafo 1, a cancellarli, tenendo conto della tecnologia disponibile e dei costi di attuazione, adotta le misure ragionevoli, anche tecniche, per informare i titolari del trattamento che stanno trattando i dati personali della richiesta dell’interessato di cancellare qualsiasi link, copia o riproduzione dei suoi dati personali ^[31].

I paragrafi 1 e 2 non si applicano nella misura in cui il trattamento sia necessario: a) per l’esercizio del diritto alla libertà di espressione e di informazione; b) per l’adempimento di un obbligo giuridico che richieda il trattamento previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento o per l’esecuzione di un compito svolto nel pubblico interesse oppure nell’esercizio di pubblici poteri di cui è investito il titolare del trattamento; c) per motivi di interesse pubblico nel settore della sanità pubblica in conformità dell’articolo 9, paragrafo 2, lettere h) e i), e dell’articolo 9, paragrafo 3; d) a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici conformemente all’articolo 89, paragrafo 1, nella misura in cui il diritto di cui al paragrafo 1 rischi di rendere impossibile o di pregiudicare gravemente il conseguimento degli obiettivi di tale trattamento; o e) per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria”^[32].

È evidente la differenza tra il diritto alla cancellazione disciplinato nell’articolo 17, GDPR, e la richiesta di de-indicizzazione formulata nei confronti dei motori di ricerca. In quest’ultimo caso l’interessato non domanda (né quindi tanto meno ottiene) “un colpo di spugna” radicale sui propri dati personali presenti su determinati siti web, ma soltanto che specifiche informazioni collegate al proprio nome non siano più disponibili all’interno degli indici di ricerca gestiti dai motori online ^[33].

La de-indicizzazione, infatti, non comporta la scomparsa dei dati all’interno dei siti, per così dire, di “origine” (ad esempio, una testata giornalistica on line), che saranno sempre reperibili laddove si conosca l’url ^[34] originale, pur risultando difficilmente accessibili agli utenti mediante l’usuale consultazione del World Wide Web svolta tramite motori di ricerca, i quali rendono indubbiamente più agevole reperire le informazioni presenti online ^[35].

Diverso è inoltre – giova ribadirlo – il presupposto: la richiesta di de-indicizzazione non richiede necessariamente la sussistenza di una delle condizioni per l’esercizio del diritto alla cancellazione ex articolo 17, GDPR, dovendo essere valutata sulla base del bilanciamento tra il diritto alla riservatezza del soggetto di volta in volta interessato e il diritto di cronaca e di informazione ^[36].

La seconda sentenza Google e i limiti territoriali

Il 10 marzo 2016, la Commission Nationale de l’Informatique et des Libertés (“CNIL”) ha irrogato una sanzione nei confronti di Google Inc. in conseguenza del suo rifiuto, contestualmente all’accoglimento di una domanda di deindicizzazione, di applicarla a tutte le estensioni del nome di dominio del proprio motore di ricerca. Google Inc. ricorreva, pertanto, al Conseil d’État domandando l’annullamento della decisione, ritenendo che il diritto alla de-indicizzazione non comporta necessariamente che i link controversi debbano essere soppressi, senza limitazioni geografiche, in tutti i nomi di dominio del proprio motore di ricerca. Il Conseil d’État ha sottoposto la questione al vaglio della Corte di Giustizia Europea la quale, il 24 settembre 2019, ha statuito in modo inequivoco che la richiesta di de-indicizzazione presentata ai sensi della normativa europea, ove accolta, può vincolare il gestore del motore di ricerca solo all’interno dei confini dell’Unione mentre non può obbligarlo ad effettuare la rimozione su scala globale ^[37].

La Corte rimarca infatti come “molti stati terzi non riconoscono il diritto alla de-indicizzazione o comunque adottano un approccio diverso per tale diritto”.

Sembra quindi che per ottenere la de-indicizzazione su base globale occorra fare il “giro del mondo”, promuovendo l’azione Stato per Stato, al netto di quei paesi che, come ricorda la Corte, non riconoscono tale diritto. Ciò significa un evidente notevole aggravio in termini di tempo e di costi per tutti i soggetti interessati a far valere la richiesta di de-indicizzazione al di fuori dei confini europei, rendendo estremamente complesso (come si vedrà anche nel prosieguo della trattazione) l’esercizio del diritto stesso ^[38].

Limiti tecnici e fattuali di de-indicizzazione e cancellazione

(a) Cancellazione

La cancellazione dei dati pone, in concreto, una serie di sfide (soprattutto di carattere tecnico) non indifferenti.

Tipicamente, all’interno della struttura organizzativa di un titolare del trattamento, i dati personali vengono gestiti e manutenuti attraverso l’utilizzo di una piattaforma messa a disposizione da un cloud service provider^[39] oppure con apparecchiature presenti, come suol dirsi, on-premises^[40].

In entrambi i casi, la progettazione ed implementazione dei sistemi operativi ed applicativi viene effettuata con l’obiettivo primario di ottenere livelli elevati di velocità, disponibilità, durabilità e coerenza della struttura informatica adottata.

Tali prestazioni/requisiti devono, tuttavia, trovare il giusto bilanciamento con la necessità di ottenere/eseguire, ove del caso, una tempestiva eliminazione dei dati ^[41].

Per ciò che specificamente riguarda il cloud service provider, al fine di garantire la corretta funzionalità del servizio, il sistema genera una serie di “copie” dei dati. Nel caso in cui si desiderasse procedere alla loro cancellazione sarà quindi necessario, in prima battuta, rintracciare tutti i dati presenti all’interno del cloud, non solo gli “originali”, ma anche le sopra menzionate copie e repliche. Un’operazione, questa, piuttosto lunga e laboriosa che lascia, in ogni caso, una percentuale di possibilità (variabile a seconda dei contesti) che non tutti i dati vengano effettivamente individuati e cancellati.

Un esempio che permette di illustrare concretamente il funzionamento e i tempi necessari ad operare la cancellazione di dati in cloud può essere rappresentato dalla procedura adottata dalla Google Cloud Platform^[42], all’interno della quale viene sottolineato come l’eliminazione logica avvenga in più fasi, partendo dalla marcatura immediata dei dati da eliminare nei sistemi di archiviazione attivi, dal loro isolamento rispetto all’elaborazione ordinaria che di quegli stessi dati viene fatta in altri livelli della piattaforma. Inoltre, al fine di rendere irrecuperabili i dati eliminati, Google afferma di utilizzare anche la cancellazione crittografica.

In ogni caso, il processo può essere completato entro due mesi circa dalla richiesta di eliminazione. I dati, tuttavia, restano per sei mesi ulteriori nei sistemi di backup di Google come misura di sicurezza in relazione a eventi catastrofici e disastri naturali.

Come anticipato, tutto il processo si fonda sull’assunto che, per raggiungere un determinato livello di prestazioni, le azioni compiute sui dati in Google Cloud Platform possano (rectius: debbano) essere replicate simultaneamente in più data center, in modo che i dati risultino immediatamente disponibili e la funzionalità operativa non subisca interruzioni.

Quando al provider arriva una richiesta di eliminazione, viene quindi attivato un processo in più step:

innanzitutto, si determina se l’eliminazione concerne singole informazioni o a un intero “account”, inteso come il complesso dei dati identificativi di un determinato soggetto;
viene poi avviata una fase di eliminazione temporanea, parallela ad una breve gestione dei dati ad interim, per assicurare il tempo necessario a recuperare quelli eventualmente contrassegnati per errore per l’eliminazione. Al termine di questo periodo, si procede con l’eliminazione definitiva;
a questo punto i dati vengono cancellati dai sistemi di archiviazione attivi e di backup di Google anche tramite tecniche di sovrascrittura e di crittografia ^[43].

Nell’ipotesi, invece, dei sistemi di gestione ed archiviazione dei dati on premises, la difficoltà nell’operare la cancellazione risiede, principalmente, nel c.d. “vincolo di integrità referenziale del dato”^[44].

Anche in questo caso, pertanto, la funzionalità della struttura risiede nella (o più correttamente dipende dalla) necessaria replica dei dati all’interno di più sistemi correlati tra loro in modo pressoché irreversibile. La richiesta di cancellazione, astrattamente sempre eseguibile, risulta quindi in pratica tecnicamente difficile e complessa, poiché potenzialmente (se non concretamente) idonea a compromettere la funzionalità dei sistemi connessi referenzialmente a quello di riferimento.

Ecco perché, molto spesso, i titolari, al posto di una vera e propria cancellazione, ricorrono a sistemi di oscuramento, cifratura o anonimizzazione ^[45] del dato (ad esempio, in ambito bancario, si utilizza il sistema della “tokenizzazione”, dove i dati vengono cifrati e la chiave di lettura - il c.d. token - successivamente eliminata).

Questi “escamotages” tecnologici, tuttavia, pur se apparentemente in grado di rendere non più immediatamente reperibile il dato, comportano comunque un rischio notevole, dal momento che un amministratore di sistema (per non parlare di un hacker) sarà virtualmente sempre in grado di rimuovere il sistema di oscuramento e raggiungere il dato in chiaro; situazione che pone non pochi problemi in merito alla conformità alle disposizioni del GDPR in caso di richiesta di cancellazione dei dati ^[46].

(b) De-indicizzazione

La rilevantissima mole di dati immessi quotidianamente nel World Wide Web ha necessariamente, ed inevitabilmente, favorito prima e reso indispensabile poi l’attività degli operatori economici in grado di sviluppare sistemi di ricerca nella rete.

Trattandosi di strumenti estremamente semplici (secondo la corrente dizione inglese, “user friendly”) ed accessibili alla totalità degli utenti, il loro utilizzo è divenuto ormai pressoché insostituibile, incrementando, tuttavia, il rischio di perdita di controllo dei dati personali (con i quali gli stessi motori di ricerca vengono costantemente alimentati) che entrano a far parte in modo permanente della rete.

Ma come funziona concretamente un sistema di selezione ed identificazione dei dati nel World Wide Web?

Gli algoritmi di ricerca hanno evidentemente la finalità di circoscrivere in maniera quanto più corretta e precisa possibile l’informazione da rintracciare, accertando l’esatta collocazione nella rete internet dei dati corrispondenti alla richiesta dell’utente.

Questo risultato è tipicamente raggiunto attraverso l’inserimento di parole chiave, assemblate in modo tale da formare stringhe di testo (c.d. “query strings”), oppure anche partendo da keywords non esclusivamente testuali – come immagini, filmati, file audio – che, immesse nel motore di ricerca, riescono a rintracciare delle corrispondenze. Inoltre, i sistemi di intelligenza artificiale consentono di effettuare ricerche complesse attraverso l’utilizzo del natural language^[47], senza necessità di ricorrere a parole o tags predeterminati ^[48].

In generale, la selezione e raccolta delle pagine web è svolta tramite un “agente automatico” denominato spider o crawler^[49] (definibile come una sorta di “sonda” di ispezione), in grado di tenere traccia di tutte le diramazioni attraversate nella rete da determinati contenuti ipertestuali che vengono memorizzati nella memoria cache^[50] del motore di ricerca, indicizzati e “ripescati” ogni qualvolta un utente ne faccia richiesta.

Il sistema, inoltre, calcola la frequenza con la quale specifici siti e contenuti vengono visitati dagli utenti regolando di conseguenza la periodicità delle ispezioni dello spider.

L’utilizzo di una memoria cache consente di indicizzare contenuti quanto più possibile aggiornati; se le informazioni memorizzate all’interno della cache differiscono da quelle rinvenibili nella pagina web originaria significa infatti che il link indicizzato non è più “attuale”. In questo caso è possibile accedere ad una sezione apposita dei motori di ricerca (ad esempio, Google Webmaster Tool^[51]) per segnalare indirizzi non più esistenti o modificati; anche senza segnalazioni, il sistema del motore di ricerca è comunque in grado di effettuare un aggiornamento autonomo seppure in un arco temporale virtualmente più lungo ^[52].

Se dunque, da un lato, l’evoluzione tecnologica rende l’attività dei motori di ricerca sempre più efficace, e quindi (per definizione) pervasiva, dall’altro lato si contrappone l’esigenza di sviluppare soluzioni che impediscano (in modo pressoché automatico) allo spider di visitare e quindi indicizzare alcune porzioni di contenuti garantendo in questo modo l’esercizio del diritto all’oblio tramite la de-indicizzazione ^[53].

Una delle soluzioni implementate per raggiungere tale risultato è il c.d. Robots Exclusion Protocol (“REP”), che rende modulabile la visibilità di specifiche informazioni all’interno di un motore di ricerca.

Se i contenuti non sono stati ancora pubblicati, il file “robots.txt” può essere programmato ab origine in modo da non consentirne l’indicizzazione da parte dei motori di ricerca; qualora, invece, le informazioni fossero già online, il file andrà configurato in modo da non renderle più rintracciabili da parte del motore stesso ^[54].

Il REP, tuttavia, non garantisce appieno che un determinato contenuto non venga più indicizzato, considerato che il protocollo non è sempre rispettato (in tutto o in parte) dagli operatori del web.^[55] Inoltre, l’efficacia del protocollo potrebbe essere minata dal fenomeno della ripubblicazione automatica del contenuto su altri siti online, favorita dalla presenza di funzioni c.d. di mirroring^[56] e di importazione automatica dei dati.^[57]

(c) E se invece si desiderasse letteralmente “scomparire” dal web?

Nelle reti aperte come internet non è generalmente possibile tenere sotto controllo le informazioni accessibili al pubblico contenenti dati di qualsiasi natura, inclusi quelli personali, che possono essere copiati digitalmente, memorizzati localmente e immessi nuovamente in rete, in siti diversi e per scopi differenti.

Tematiche, queste, che ben sono state catturate all’interno dello studio svolto dall’ENISA, nel quale viene sottolineato come “in a completely open system like the (vast) public portion of today’s world-wide web, anyone can make copies of a public data item and store them at arbitrary locations. Moreover, the system does not account for the number, owner or location of such copies. In such an open system it is not generally possible for a person to locate all personal data items (exact or derived) stored about them; it is difficult to determine whether a person has the right to request removal of a particular data item; nor does any single person or entity have the authority or jurisdiction to effect the deletion of all copies. Therefore, enforcing the right to be forgotten is impossible in an open, global system, in general. The ability to enforce a ‘right to be forgotten’ crucially depends on the capabilities of the underlying information system. In a nutshell, this capability is technically feasible only in ‘closed’ systems, which reliably account for the processing, storage and dissemination of all information, and prevent the dissemination of data to locations where an erasure cannot be enforced. In such a system, all participating entities must reside in a jurisdiction that enforces the right to be forgotten, every data request must be authenticated and logged, and the principals must be linkable to real-world persons or organizations”^[58].

L’attività di rimozione profonda da internet di tutti i dati e i contenuti afferenti ad un determinato soggetto richiede quindi lo svolgimento di una procedura enormemente più lunga e complessa (per non dire praticamente impossibile, come teorizzato da ENISA) rispetto a quella brevemente esaminata in relazione a un sistema cosiddetto “chiuso”.

Tentando, in ogni caso, di abbozzare una grossolana “metodologia”, un buon punto di partenza potrebbe/dovrebbe essere rappresentato dalla cancellazione degli account aperti sui social network e sistemi di instant messaging come Facebook, Twitter, Instagram, Linkedin, Messenger, WhatsApp, etc.^[59].

A questo fine, sarà necessario (pressoché inevitabilmente) ricorrere agli strumenti messi a disposizione da tali piattaforme, la maggior parte delle quali consente di rimuovere il proprio account in maniera definitiva (assicurando la cancellazione di tutti i contenuti conservati anche dalla memoria di back-up entro termini diversificati) oppure di oscurarlo temporaneamente (in questo caso, il profilo dell’utente non sarà più visibile a se stesso e ai terzi, ma risulterà possibile in ogni momento recuperare le informazioni ivi contenute).

Tuttavia, quasi tutti i social avvisano l’utente che non sarà (ovviamente) possibile eliminare del tutto alcuni dati. Come scrive, ad esempio, Facebook., “un amico potrebbe continuare ad avere i tuoi messaggi anche dopo che elimini l’account. Queste informazioni rimangono anche dopo l’eliminazione dell’account”^[60].

Fa in una certa misura eccezione Twitter, che nulla prevede in ordine alla possibilità di esercitare il diritto all’oblio mettendo a disposizione degli interessati un form piuttosto generico, nel quale viene specificato che la piattaforma non controlla i contenuti indicizzati dai motori di ricerca come Google o Bing ^[61].

Il passo successivo dovrebbe concentrarsi sul monitoraggio di tutte le piattaforme di e-commerce utilizzate, facendo mente locale alla moltitudine di transazioni che quotidianamente vengono effettuate in rete, dalla spesa all’home banking, dal pagamento del bollo auto a quello delle rate dei contributi previdenziali, etc.

Di fatto, se si volesse scomparire davvero dal web, non vi sarebbe altra soluzione che procedere pazientemente (investendo notevoli risorse in termini di tempo e denaro) alla cancellazione sito per sito, seguendo le istruzioni fornite dal provider di turno ^[62], senza dimenticarsi comunque di rintracciare anche tutti i dati personali contenuti, ad esempio, all’interno dei sistemi di un precedente datore di lavoro, di un recruiter, degli albi professionali, del proprio profilo universitario, e così via ^[63].

In questi ultimi casi, inoltre, la cancellazione, oltre ai limiti tecnici, potrebbe anche incontrare problemi di tipo normativo. Si pensi, ad esempio, ai dati personali detenuti dal datore di lavoro. Il dipendente che va in pensione, potrebbe teoricamente effettuare una richiesta di cancellazione ai sensi dell’articolo 17, GDPR. Tuttavia, il retention period che il titolare del trattamento ha legittimamente stabilito potrebbe non risultare compatibile con l’accoglimento della richiesta dell’interessato. Nell’esempio riportato, infatti, i dati dei dipendenti vengono usualmente conservati per parecchi anni successivi all’interruzione (per qualsivoglia causa) del rapporto di lavoro, in ossequio al periodo prescrizionale legislativamente previsto per l’esercizio di determinati diritti non solo da parte del lavoratore, ma anche del titolare del trattamento.

Come nell’ipotesi di esercizio del diritto all’oblio all’interno della rete, anche nei casi appena menzionati ci si può peraltro trovare (e di fatto ci si trova spesso) dinanzi alla decisione di molti titolari del trattamento di ricorrere, più che ad una vera e propria cancellazione dei dati personali, a tecniche di anonimizzazione ^[64] degli stessi, in modo che non possano essere più riconducibili ad un determinato interessato; una scelta che, per quanto - la maggior parte delle volte – adottata con intenzioni virtuose, non ottiene comunque altro risultato che “aggirare” l’ostacolo ^[65] con la permanenza di rilevanti dubbi sulla sua piena legittimità ai senso delle vigenti norme di legge.

Torna dunque, quasi come un mantra, la considerazione di apertura: più che essere dimenticati, si può, la maggior parte delle volte, solo ragionevolmente aspirare ad essere trovati con maggiore difficoltà ^[66].

Ne consegue inevitabilmente che, dal momento in cui specifiche informazioni sono state immesse nel web, nonostante le diverse tecniche ad oggi disponibili, la loro diffusione non è affatto governabile, dovendosi concludere che qualsiasi contenuto viene in ogni caso archiviato “in una sorte di memoria permanente della rete”^[67].

Conclusioni

È indubbio che l’affermazione del diritto all’oblio è arrivata al termine di un percorso difficile e tortuoso: dall’iniziale diffidenza della giurisprudenza, che stentava a riconoscerlo come autonomo diritto della personalità, alle prime aperture come eccezione alla regola della predominanza del diritto di cronaca e del diritto del pubblico a essere informato, si è giunti solo dopo molto tempo alla sua consacrazione anche a livello normativo come emanazione del diritto alla riservatezza.

Parimenti complesse sono le modalità pratiche di esercizio di tale diritto, sempre in bilico tra effettiva cancellazione, anonimizzazione, pseudonimizzazione o mero oscuramento dei dati personali, senza dimenticare, quando si pensa alla rete internet, al processo di de-indicizzazione, reso attuale e indispensabile dal progressivo (e ormai inarrestabile) affermarsi dei motori di ricerca.

Il diritto all’oblio nasce, cresce, matura, cambia pelle ed evolve seguendo (volente e nolente) lo sviluppo della tecnologia, la quale, da un lato, consente in maniera sempre più precisa di rintracciare i dati all’interno dei sistemi che li contengono (siano essi on premises o in cloud), mentre dall’altro lato, molto spesso, non permette di eliminare le stesse informazioni di cui si nutre senza compromettere la tenuta strutturale del sistema stesso.

Il raggiungimento del risultato perseguito è ostacolato, come visto, da molteplici limiti di carattere giuridico e tecnico.

La complessità insita nella realizzazione del diritto all’oblio permea trasversalmente tutte le ipotesi qui declinate.

Nella sua primaria accezione, si sforza di trovare il giusto bilanciamento con il diritto di cronaca e l’interesse del pubblico di sapere.

All’interno dei sistemi a supporto della struttura informativa di un titolare del trattamento le informazioni immesse non sempre risultano facilmente rintracciabili ed eliminabili (quando possibile) in maniera certa e definitiva, il più delle volte quasi “obbligando” gli operatori a ricorrere a tecnologie sostitutive in grado di superare il problema, anonimizzando, criptando e nascondendo “sotto il tappeto” ciò che non dovrebbe più esistere.

Nel momento in cui varca la soglia del World Wide Web sembra quasi assumere i connotati di un Don Chisciotte 2.0 nella sua crociata promossa nei confronti dell’incontrollabile riprodursi di dati e notizie consentito dal meccanismo congenito della rete stessa, generando la necessità di ricorrere alla de-indicizzazione (che risolve, forse, qualche problema ma di certo non tutti).

Se ciò non bastasse, la malia di internet è talmente forte da fare sì che siano gli stessi interessati ad immettere quantitativi gargantueschi di dati all’interno della rete, per poi talvolta (se non spesso) implorare l’identificazione dello strumento tramite il quale di loro non rimanga nemmeno la più piccola traccia virtuale.

Purtroppo, come evidenziato anche dal Garante Privacy ^[68], la maggior parte della popolazione possiede ancora una percezione piuttosto “naif” della realtà di internet visto come un contesto puramente virtuale, intangibile e distinto dalla realtà fisica in cui si dipana quotidianamente l’esistenza. Un’illusione tanto confortante quanto errata dalla quale sono in molti a farsi abbindolare.

La verità, come dovrebbe essere ormai chiaro a tutti, è ben diversa (e per certi aspetti anche un filo inquietante); dai pagamenti online effettuati per lo shopping sul web, alle immagini caricate su Instagram, ai tweet postati, tutto entra in rete e tutto vi rimane invischiato ^[69].

Bisognerebbe prestare maggiore attenzione a cosa lasciamo di noi nella rete, in quel mondo virtuale che per quanto intangibile ci afferra e plasma il nostro io con nuove sfumature non sempre previste e gradite, che costituiscono l’impalcatura di quella che viene sempre più spesso definita come web reputation^[70].

È proprio in questo articolato contesto complessivo che molto probabilmente si pone l’esigenza di ripensare a monte alla necessità o meno di trattare o rendere disponibili determinati dati personali nonché alle correlate tecniche di conservazione e di cancellazione, prefigurandosi (per quanto possibile) dall’origine le “strade” che prenderanno i dati, al fine di tenerne in qualche modo le fila.

Forget to be forgotten…and remember to be careful with your personal data.

Uno slogan che potrebbe paradossalmente stare bene sulla t-shirt di qualche influencer.

1

Sul punto, si veda L. Fascione, Manuale di diritto pubblico romano, II edizione, Giappichelli, Torino, 2013. Nell’Historia Augusta, si trova il riferimento dell’irrogazione della damnatio memoriae nei confronti di alcuni personaggi di rilievo, quali, ad esempio, l’imperatore Commodo: “Che il ricordo dell’assassino e del gladiatore sia cancellato del tutto. Lasciate che le statue dell’assassino e del gladiatore siano rovesciate. Lasciate che la memoria dell’osceno gladiatore sia completamente cancellata. Gettate il gladiatore nell’ossario. Ascolta oh Cesare: lascia che l’omicida sia trascinato con un gancio, alla maniera dei nostri padri, lascia che l’assassino del Senato sia trascinato con il gancio. Più feroce di Domiziano, più turpe di Nerone. Ciò che ha fatto agli altri, sia fatto a lui stesso. Sia da salvare invece il ricordo di chi è senza colpa. Si ripristinino gli onori degli innocenti, vi prego” (Historia Augusta, Commodo, 19.1.). Il caso dell’imperatore Commodo è altresì singolare, dal momento che in seguito la pena fu revocata e trasformata addirittura in apoteosi per ordine dell’imperatore Settimio Severo che voleva, in tal modo, legittimare il proprio potere. Da notarsi come anche nei confronti di altri personaggi che hanno subito tale condanna (ad esempio, l’imperatore Massimino Trace - Historia Augusta, I due Massimini, 26.2-4) senza successiva apoteosi, siamo in grado oggi di sapere cosa gli accadde e perché, con buona pace dell’oblio già in epoca romana!

2

Vedasi, ad esempio, articolo 36 c.p., articolo 536 c.p.p., articolo 126 D.Lgs. 30/2005 (“Codice della proprietà industriale”). In ambito data protection, l’articolo 16 del Regolamento n. 1/2019, concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali prevede che “Ai sensi dell’articolo 58, paragrafo 2, lettera i), e dell’articolo 83 del RGPD nonché dell’articolo 166 del Codice, il Collegio adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9107633).

3

Come noto, anche il diritto alla privacy ha avuto una strada piuttosto tortuosa prima di essere riconosciuto un autonomo diritto dell’uomo. Nel 1980, all’interno della rivista legale pubblicata dall’università di Harvard, Samuel Warren e Luis Brandeis sono i primi a parlare di un vero e proprio “right to privacy”, che nella loro concezione si riassumeva in un “right to be let alone”. Il diritto alla privacy (o, come originariamente concepito, il diritto alla riservatezza) nasceva con lo scopo principale di evitare la diffusione di informazioni facenti capo ad un individuo determinato nei confronti di terzi. In Italia è stata la Corte di Cassazione (nella sentenza n. 2129 del 29 maggio 1975, reperibile al seguente indirizzo http://www.jus.unitn.it/users/pascuzzi/varie/sem-inf99/Cass_1975.htm) a fornire un contributo notevole in materia, dapprima precisando che “il nostro ordinamento riconosce il diritto alla riservatezza, che consiste nella tutela di quelle situazioni e vicende strettamente personali e familiari le quali, anche se verificatesi fuori del domicilio domestico, non hanno per i terzi un interesse socialmente apprezzabile, contro le ingerenze che, sia pure compiute con mezzi leciti, per scopi non esclusivamente speculativi e senza offesa per l’onore, la reputazione o il decoro, non sono giustificati da interessi pubblici preminenti”, e successivamente,, nel 1998 (Corte di Cassazione Civile, Sezione III, n. 5658 del 1998 in Il Foro Italiano, Vol. 121, n. 9, Settembre 1998), affermando l’esistenza di “un vero e proprio diritto alla riservatezza anche al di fuori delle ipotesi espressamente previste dalla legge ordinaria”. La “costituzionalizzazione” giunge invece attraverso l’articolo 8 della Carta dei diritti fondamentali dell’Unione Europea ove si sancisce come “1. Ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano. 2. Tali dati devono essere trattati secondo il principio di lealtà, per finalità determinate e in base al consenso della persona interessata o a un altro fondamento legittimo previsto dalla legge. Ogni persona ha il diritto di accedere ai dati raccolti che la riguardano e di ottenerne la rettifica. 3. Il rispetto di tali regole è soggetto al controllo di un’autorità indipendente”.

4

M. Mezzanotte, Il diritto all’oblio. Contributo allo studio della privacy storica, Edizioni Scientifiche Italiane, 2009.

5

Sul punto, vedasi F. Mantovani, Diritto alla riservatezza e libertà di manifestazione del pensiero con riguardo alla pubblicità dei fatti criminosi, Archivio giuridico Filippo Serafini, 1968, pp. 40 e ss. e G. Galli, Riservatezza e cronaca giudiziaria, in Il diritto alla riservatezza, 1963, pp. 163 e ss. che afferma come “il rievocare ad esempio che l’indiziato di un reato sessuale già è stato coinvolto in precedente della stessa natura, determina automaticamente nel grosso pubblico un immediato giudizio di quasi definitiva colpevolezza, e riapre nella vita dell’individuo una parentesi di triste notorietà su episodi che, quale ne sia stato l’esito di fronte alla giustizia, appartengono al passato”.

6

Le prime pronunce di rilievo vertevano su vicende legate alla divulgazione di opere letterarie e cinematografiche su personaggi all’epoca noti. La prima riguardava la pubblicazione di due film biografici sul tenore Enrico Caruso i cui discendenti si opponevano alla proiezione assumendo che ledesse la vita privata dell’artista. Inizialmente, il Pretore di Roma fu favorevole a riconoscere l’esistenza di “un diritto soggettivo all’illesa intimità della vita privata”, confermato anche dal Tribunale e dalla Corte d’Appello, ma negato dalla Corte di Cassazione, secondo la quale “nessuna disposizione di legge autorizza a ritenere che sia stato sancito, come principio generale, il rispetto assoluto della intimità della vita privata, e tantomeno come limite alla libertà dell’arte” (vedasi P. Gargano, Una vita, una leggenda: Enrico Caruso, il più grande tenore del mondo, L’Airone, Milano, 1997, Pretore di Roma, 19 novembre 1951in https://www.jstor.org/stable/23143233?seq=1, Tribunale di Roma, 14 settembre 1953 in https://www.jstor.org/stable/23145955?seq=1 e Corte di Cassazione n. 4487/1956 in https://www.jstor.org/stable/23146612?seq=1) . Un altro caso interessante è stato quello portato innanzi ai giudici dai familiari di Claretta Petacci e Benito Mussolini, a seguito della pubblicazione - effettuata dal settimanale Il Tempo – di una puntata di un romanzo incentrato sulla relazione sentimentale che aveva legato la giovane donna al Duce. Il Tribunale di Milano (sentenza del 28 marzo 1958), pur escludendo che potesse sussistere l’autonoma tutela di un diritto al riserbo, ritenne in ogni caso offensivi i contenuti del romanzo per i familiari di Claretta Petacci. In secondo grado, i giudici della Corte di Appello di Milano si spinsero oltre ravvisando anche una lesione della riservatezza. Anche stavolta la Corte di Cassazione si oppose però al riconoscimento di un diritto alla riservatezza, affermando, tuttavia, come la divulgazione di notizie relative alla vita privata, in assenza di un consenso almeno implicito del soggetto e di un preminente interesse pubblico alla conoscenza di determinati fatti, sia in grado di ledere “il diritto assoluto di personalità, inteso quale diritto erga omnes alla libertà di autodeterminazione nello svolgimento della personalità dell’uomo come singolo” (sul punto, si veda E. Ligi, Il diritto alle vicende e la sfera della personalità, in Foro italiano, 1955, volume 1, pagg. 394 e ss.. ; E. Carnelutti, Diritto alla vita privata, in Rivista trimestrale di diritto pubblico, 1955, volume 1, pagg. 3 e ss., Corte di Cassazione n. 1446/1966, in Giustizia civile, 1966, volume 1, pag. 1255).

7

Sul punto, vedasi, ad esempio, la sentenza n. 38/1973 della Corte Costituzionale, disponibile all’indirizzo http://www.giurcost.org/decisioni/1973/0038s-73.html, nella quale si affermava come il testo degli articoli 21, comma 2, e 12 della Costituzione contenesse il riconoscimento della riservatezza come diritto soggettivo, da tutelare così come sancito dagli articoli 7 e 8 della Convenzione Europea dei Diritti dell’Uomo (“CEDU”).

8

V. Zeno-Zencovich, Una svolta giurisprudenziale nella tutela della riservatezza, Diritto dell’informazione e dell’informatica, 1986, vol.1, p. 934 e ss.

9

Direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati https://eur-lex.europa.eu/legal-content/it/ALL/?uri=CELEX%3A31995L0046.

10

Legge n. 675 del 31 dicembre 1996, Tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali, consultabile al seguente indirizzo https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/28335. Pur non affermando esplicitamente l’esistenza di un vero e proprio diritto all’oblio, estremamente interessante risulta il dettato dell’articolo 9, comma 1, lettera e), per il quale i dati personali oggetto di trattamento devono essere “conservati in una forma che consenta l’identificazione dell’interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati”, nonché l’articolo 13 comma 1, lettera c), numero 1, secondo il quale “in relazione al trattamento di dati personali l’interessato [aveva] diritto (…) di ottenere, a cura del titolare o del responsabile, senza ritardo la conferma dell’esistenza o meno di dati personali che lo riguardano, anche se non ancora registrati, e la comunicazione in forma intellegibile dei medesimi dati e della loro origine, nonché della logica e delle finalità su cui si basa il trattamento (…)”.

11

Cass., civile sez. III 09 aprile 1998 n. 3679, consultabile al seguente indirizzo http://www.diritto civile.it/Proprieta-e-Condominio/Cassazione-civile-sez.-III-09-aprile-1998-n.-3679.html; e Cass., n. 5525/2012, disponibile all’indirizzo http://www.italgiure.giustizia.it/xway/application/nif/clean/hc.dll?verbo=attach&db

=snciv&id=./20120410/snciv@s30@a2012@n05525@tS.clean.pdf.

12

Nel 1991, il ricercatore del CERN di Ginevra Tim Berners definì il protocollo HyperText Transfer Protocol (“HTTP”), che permette una lettura ipertestuale non sequenziale dei documenti mediante l’utilizzo di rimandi ( i link), lanciando il primo sito web della storia (https://web.archive.org/web/20150717103715/http://info.cern.ch/hypertext/WWW/TheProject.html). Il 30 aprile 1993 il CERN decide di rendere pubblica la tecnologia alla base del World Wide Web in modo che sia liberamente implementabile da chiunque. L’evoluzione futura della rete è migrata poi verso la sempre maggiore diffusione di contenuti multimediali (streaming di prodotti audio e video, web tv e web radio, etc.), rendendo necessari la decentralizzazione delle risorse, la compressione dei dati e la rete di accesso a banda larga. Al fine di rendere questa massa di informazioni e contenuti maggiormente “ordinata” e fruibile, nel 1997 nasce il motore di ricerca Google, il quale consente di reperire le informazioni sul web attraverso parole chiave e l’indicizzazione dei contenuti. L’avvento dei motori di ricerca ha tuttavia un prezzo piuttosto caro, consistente nel declino progressivo dell’idea iniziale di “open web” alla base della rete. La nascita dei grandi colossi come Google, Yahoo e Facebook consente l’implementazione di una infrastruttura sempre più potente ma, al tempo stesso, sempre più nelle mani delle imprese appena menzionate e delle grandi piattaforme commerciali, che riescono a sfruttare le informazioni veicolate ai propri fini. Per ulteriori informazioni vedasi https://www.wired.it/internet/web/2019/03/11/internet-world-wide-web-storia/#:~:text=%C3%88%20la%20nascita%20del%20world,sul%20funzionamento%20dello%20stesso%20web.

13

G. Finocchiaro, Il diritto all’oblio nel quadro dei diritti della personalità in Diritto dell’informazione e dell’informatica, Giuffrè Editore, 4-5/2014.

14

G. Cavallari, Il diritto all’oblio alla luce del recente Regolamento 2016/679, Ius in Itinere, 10 giugno 2019, reperibile al seguente indirizzo https://www.iusinitinere.it/il-dirittoalloblio-alla-luce-del-recente-regolamento-2016-679 20574#:~:text=Le%20diverse%20definizioni%20di%20diritto%20all’oblio&text=Si%20%C3%A8%20quindi%20fatto%20riferimento,un%20notevole%20lasso%20di%20tempo%E2%80%9D.

15

Cass., sez. III Civ., n. 5525/2012, consultabile al seguente indirizzo https://www.leggioggi.it/wp-content/uploads/2012/04/sentenza_cassazione_civile_5525_2012.pdf. Interessante il passaggio nel quale la Suprema Corte opera la distinzione tra “archivio” e “memoria”: il primo è organizzato secondo canoni di ricerca e criteri predeterminati, la seconda risulta priva di qualsivoglia regola di organizzazione delle informazioni. Nella realtà della rete, l’attività di archiviazione è affidata ai motori di ricerca. Sul punto, vedasi anche Cass., sez. III Civ., sentenza 26 giugno 2013, n. 16111, F. Pizzetti, Il caso del diritto all’oblio, Giappichelli Editore, Torino 2013.

16

Garante per la Protezione dei Dati Personali, Relazione annuale 1998, rinvenibile al seguente indirizzo https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/1341498.

17

Sul punto, il Garante espressamente statuiva come “I ricorrenti prefigurano in particolare la possibilità, per l’Autorità garante della concorrenza e del mercato, di scegliere selettivamente, mediante operatori logici, quali parti dei propri documenti possano essere rilevate dai motori di ricerca e proposte, come risultato, a chi faccia uso in Internet di specifiche stringhe di ricerca utilizzando in modo opportuno i suddetti operatori logici booleani (And, Or, Not). Ciò non riflette, però, il reale funzionamento dei motori di ricerca standard, intendendo con ciò quelli a maggiore diffusione, la cui azione nella fase di raccolta delle informazioni sulle pagine disponibili nel world wide web (fase di grabbing e di successiva indicizzazione) è influenzabile dal singolo amministratore di un sito web soltanto tramite la compilazione del file robots.txt, previsto dal “Robots Exclusion Protocol”, o tramite l´uso del “Robots Meta tag”. Si tratta di convenzioni concordate nella comunità Internet dai soggetti che sviluppano i protocolli, e non di standard veri e propri, allo stato largamente accettate nel contesto dei motori di ricerca. Tali convenzioni prevedono la possibilità per il gestore di un sito web di escludere selettivamente alcuni contenuti dall’azione di uno o più motori di ricerca. Oggetto dell’esclusione o della limitazione di accesso resta, però, sempre la pagina web o l’insieme di pagine web o di link in essa contenuti, anziché singole parole chiave o specifiche clausole di ricerca composte con operatori logici. Ciò, avviene sia con il “Robots Exclusion Protocol”, sia con il ricorso ai Robots Meta tag da inserire nel codice delle pagine da visualizzare. Un’azione su singole parole chiave è possibile, ma soltanto “in positivo”, ovvero è possibile per l’amministratore del sito promuovere pagine web inserendo, con opportuni comandi, alcune keyword che possono anche non corrispondere a parole presenti nel documento pubblicato. Tale meccanismo, come richiamato dall’Autorità resistente nella memoria difensiva, non è mai stato utilizzato sul sito dell’Autorità stessa per evidenziare documenti in relazione all’identità delle parti. Alla luce di quanto sopra considerato, non risulta allo stato tecnicamente praticabile la soluzione volta a far sì che i nominativi degli interessati contenuti nelle decisioni pubblicate sul sito siano rilevabili da motori di ricerca solo mediante l’associazione di più parole chiave che uniscono il nominativo dei ricorrenti alla materia trattata nei provvedimenti. Tuttavia, la diretta individuabilità in Internet, tramite motori di ricerca esterni, della decisione adottata dalla resistente nel 1996, non risulta più giustificata in rapporto alle finalità perseguite nel caso di specie. In applicazione del principio di cui all´art. 11, comma 1, lett. e), del Codice, l’Autorità resistente potrà continuare a pubblicare i propri provvedimenti sul relativo sito web modulando, però, nel tempo il periodo entro il quale le decisioni riguardanti i ricorrenti saranno direttamente individuabili in Internet tramite comuni motori di ricerca esterni.”. Il provvedimento è reperibile al seguente indirizzo https://www.gpdp.it/web/guest/home/docweb/-/docweb-display/docweb/1116068.

18

Consultabile al seguente indirizzo https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A62012CJ0131.

19

In tema di responsabilità del service provider, la norma di riferimento è la Direttiva dell’8 giugno del 2000 (“Direttiva sul commercio elettronico”, 2000/31/CE; recepita dal D.Lgs. n. 70 del 2003), che ha sancito l’assenza di un obbligo generale di sorveglianza per gli ISP (articolo 15, 2000/31/CE). I due punti focali della normativa sono: (i) il principio della neutralità degli operatori, in virtù del quale gli ISP non sono responsabili se la loro attività si limita ad un ruolo tecnico e non selezionano né i contenuti, né i destinatari delle informazioni, e (ii) l’assenza di un obbligo generale di sorveglianza sui contenuti diffusi dai destinatari dei propri servizi. Tuttavia, come correttamente rileva G. M. Riccio in Diritto all’oblio e responsabilità dei motori di ricerca, op. cit., “a distanza di quasi un quindicennio, lo scenario da cui muoveva la direttiva è però radicalmente mutato. Lo studio dello sviluppo delle imprese della new economy ha evidenziato alcune peculiarità rispetto alle imprese tradizionali, tra cui la capacità di realizzare, in un lasso di tempo relativamente breve, posizioni monopolistiche o dominanti sul mercato di riferimento. Allo stesso modo, pur in presenza di costi di start-up molto limitati, alcune di queste imprese hanno generato enormi utili, moltiplicando il proprio potere commerciale in pochi anni: non stupisce, quindi, che, scorrendo la classifica dei marchi di maggior valore, ci si avvede che le prime quattro posizioni sono occupate da società che operano prevalentemente nel ‘mondo’ di internet. In tale contesto, è giocoforza ammettere che gli operatori di internet, pur se agiscono da intermediari, hanno assunto un ruolo di deep pocket e, sempre per tale ragione, appare condivisibile la conclusione della Corte di Giustizia, che afferma categoricamente che il riconoscimento di un diritto all’oblio in capo ai singoli cittadini debba prevalere ‘sull’interesse economico del gestore del motore di ricerca’”.

20

T. E. Frosini, Google e il diritto all’oblio preso sul serio, G. Finocchiaro, Il diritto all’oblio nel quadro dei diritti della personalità, cit., S. Sica e V. d’Antonio, La procedura di de-indicizzazione, in Il diritto all’oblio su internet dopo la sentenza Google Spain, a cura di G. Resta e V. Zeno-Zencovich, Università degli Studi di Roma Tre, Dipartimento di Giurisprudenza, Collana Consumatori e Mercato, Roma Tre Press, 2015.

21

T.E. Frosini, op. cit., O. Pollicino, Un digital right to privacy preso (troppo) sul serio dai giudici di Lussemburgo? Il ruolo degli articoli 7 e 8 della carta di Nizza nel reasoning di Google Spain, in Il diritto all’oblio su internet dopo la sentenza Google Spain, a cura di G. Resta e V. Zeno-Zencovich, Università degli Studi di Roma Tre, Dipartimento di Giurisprudenza, Collana Consumatori e Mercato, Roma Tre Press, 2015. In particolare, O. Pollicino puntualizza come attribuire “un obbligo di rimozione dei link a carico esclusivamente del motore di ricerca, indipendentemente da quello che fa o non fa l’editore del sito web il cui link è indicizzato dal motore stesso, rischia non solo di portare ad una deresponsabilizzazione del primo e ad una responsabilizzazione forse eccessiva del secondo, ma ha come primo effetto quello di fare emergere un contrasto lampante, e paradossale in un apparato argomentativo che fa della tutela di (alcuni) diritti protetti dal bill of rights europeo la propria stella cometa, con un principio costituzionale fondamentale che caratterizza il nucleo duro di qualsiasi ordinamento che si fondi sulla rule of law. Il riferimento è evidentemente alla necessità di prevedere una riserva di giurisdizione nei casi di una possibile restrizione (in questo caso a seguito di bilanciamento) dei diritti fondamentali in gioco. Necessità che non sembra essere stata presa in considerazione dalla Corte di giustizia che, in sostanza, delega ad un operatore privato, che però svolge, di fatto, sul web, una funzione pubblica di natura para-costituzionale, di operare quel bilanciamento di interessi che viene teorizzato dalla stessa Corte tra diritto alla privacy e diritto ad essere informati”. Vedasi anche S. Sica e V. D’Antonio, op., cit., che sul punto sottolineano come “sarebbe stato auspicabile affidare il vaglio delle istanze di deindicizzazione direttamente ai Garanti nazionali oppure prevederne l’interpello necessario da parte dei motori di ricerca: ciò avrebbe consentito un’indubbia garanzia di obiettività di giudizio”.

22

I quali, laddove si vedessero rifiutare la propria richiesta da parte del motore di ricerca, potrebbero comunque sempre adire l’autorità nazionale di protezione dei dati personali oppure l’autorità giudiziaria, così come specificato al paragrafo 82 della decisione; “l’autorità di controllo o l’autorità giudiziaria, all’esito della valutazione dei presupposti di applicazione degli articoli 12, lettera b), e 14, primo comma, lettera a), della direttiva 95/46, da effettuarsi allorché ricevono una domanda quale quella oggetto del procedimento principale, possono ordinare al suddetto gestore di sopprimere, dall’elenco di risultati che appare a seguito di una ricerca effettuata a partire dal nome di una persona, dei link verso pagine web pubblicate da terzi e contenenti informazioni relative a tale persona, senza che un’ingiunzione in tal senso presupponga che tale nome e tali informazioni siano, con il pieno consenso dell’editore o su ingiunzione di una delle autorità sopra menzionate, previamente o simultaneamente cancellati dalla pagina web sulla quale sono stati pubblicati”.

23

S. Sica, V. D’ Antonio, op., cit.

24

Per maggiori informazioni sulla composizione e sulle attività del Google Advisory Council consultare l’indirizzo https://archive.google.com/advisorycouncil/.

25

T. E. Frosini, op. cit.

26

Il modulo di Google per il “diritto all’oblio”, Il Post, 30 maggio 2014, consultabile all’indirizzo https://www.ilpost.it/2014/05/30/google-modulo-diritto-oblio/.

27

Si fa presto a dire diritto all’oblio, Il Post, 23 settembre 2019, consultabile al seguente link https://www.ilpost.it/2019/09/23/diritto-oblio-corte-giustizia-unione-europea-primadanoi/. In una apposita sezione di Google, inoltre, è possibile rinvenire tutte le statistiche e le informazioni in merito alle richieste di de-indicizzazione affrontate quotidianamente dal motore di ricerca. Per maggiori informazioni visitare https://transparencyreport.google.com/eu-privacy/overview?hl=en.

28

G. M. Riccio, op., cit. L’autore riflette sul punto affermando che “da decenni si discute dell’affievolimento della dimensione dicotomica pubblico/privato: con la diffusione dei nuovi media e la parcellizzazione dei canali di comunicazione (social network, televisioni satellitari, ecc.) quali sono le figure pubbliche? Una persona che non ha accesso ai canali televisivi o alla carta stampata, ma che ha diecimila follower su Twitter, acquista il rango di figura pubblica?”.

29

G. M. Riccio, op., cit., S. Sica e V. d’ Antonio, op., cit.

30

Il Considerando 66, GDPR, prevede infatti che “Per rafforzare il «diritto all’oblio» nell’ambiente online, è opportuno che il diritto di cancellazione sia esteso in modo tale da obbligare il titolare del trattamento che ha pubblicato dati personali a informare i titolari del trattamento che trattano tali dati personali di cancellare qualsiasi link verso tali dati personali o copia o riproduzione di detti dati personali. Nel fare ciò, è opportuno che il titolare del trattamento adotti misure ragionevoli tenendo conto della tecnologia disponibile e dei mezzi a disposizione del titolare del trattamento, comprese misure tecniche, per informare della richiesta dell’interessato i titolari del trattamento che trattano i dati personali”.

31

Articolo 19, GDPR. Sul punto vedasi anche G.M. Riccio, G. Scorza, E. Belisario, GDPR e normativa privacy commentario, Wolters Kluwer, 2018, pp. 180 e ss.

32

Si noti, inoltre, come il D. Lgs.n. 101/2018, di adeguamento alla normativa dettata dal GDPR, ha esteso le limitazioni dell’esercizio del diritto all’oblio ad ulteriori specifiche ipotesi che possono determinare un pregiudizio effettivo e concreto agli interessi tutelati dalle disposizioni dettate in materia di (i) antiriciclaggio, (ii) sostegno alle vittime di richieste estorsive, (iii) attività delle Commissioni parlamentari d’inchiesta, (iv) attività di un soggetto pubblico connesse al sistema dei pagamenti, (v) controllo degli intermediari e dei mercati finanziari, (vi) svolgimento delle attività difensive o esercizio di un diritto in sede giudiziaria, (vii) riservatezza dell’identità del dipendente in ambito di whistleblowing, (viii) ragioni di giustizia. Da ricordare anche il riconoscimento del diritto all’oblio per le persone decedute (vedasi articoli 2 undecies, 2 duodecies e 2 terdecies D.Lgs. n. 1010/2018).

33

In data 7 luglio 2020 lo EDPB ha adottato le Guidelines 5/2019 on the criteria of the Right to be Forgotten in the search engines cases under the GDPR (part 1), documento volto a definire una serie di criteri per una corretta applicazione del diritto all’oblio in relazione alla facoltà dell’interessato di richiedere al fornitore di un motore di ricerca online di cancellare uno o più collegamenti a pagine web dall’elenco dei risultati visualizzati a seguito di una ricerca effettuata sulla base del suo nome. Nel documento viene espressamente precisato come - nonostante l’articolo 17, GDPR, si applichi a tutti i titolari del trattamento - le guidelines si concentrano esclusivamente sui fornitori di motori di ricerca cristallizzando il concetto che esercitare il diritto alla deindicizzazione non significa ottenere la cancellazione del dato dal sito web di origine, né dall’indice e dalla cache del fornitore del motore di ricerca: “Se una persona interessata ottiene la cancellazione di un determinato contenuto, ciò comporterà la cancellazione di quel contenuto specifico dall’elenco dei risultati di ricerca relativi alla persona interessata quando la ricerca è, come di regola, effettuata utilizzando il nome quale criterio di ricerca. Ciò non toglie che, utilizzando altri criteri di ricerca, il contenuto sarà ugualmente disponibile. Ma in alcuni casi i “motori di ricerca” dovranno cancellare definitivamente tali dati dai propri indici o dalla cache”. Le Linee Guida si strutturano in due sezioni, la prima dedicata all’analisi dei presupposti validi per una richiesta di deindicizzazione, la seconda incentrata sulle eccezioni alla deindicizzazione stessa (le linee guida sono consultabili al seguente indirizzo https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines_201905_rtbfsearchengines_afterpublicconsultation_en.pdf). Sul punto vedasi anche D. Battaglia, European Data Protection Board, arrivano le Linee Guida sul Diritto all’Oblio, Federprivacy, 12 dicembre 2019, reperibile al seguente indirizzo https://www.federprivacy.org/informazione/primo-piano/european-data-protection-board-arrivano-le-linee-guida-sul-diritto-all-oblio.

34

L’acronimo URL sta per Uniform Resource Locator e indica una sequenza di caratteri che identifica univocamente l’indirizzo di una risorsa su una rete di computer, ad esempio un documento, un’immagine, un file video su di un host server accessibile ad un client.

35

L. Bolognini, G. Ragusa, Effetti dei motori di ricerca sul pluralismo dell’informazione - Aspetti giuridici e di analisi econometrica, Roma, 26 novembre 2014, Uno studio dell’Istituto Italiano per la Privacy e la Valorizzazione dei Dati, reperibile al seguente indirizzo: www.istitutoitalianoprivacy.it/it a cura di L. Bolognini e G. Ragusa https://www.istitutoitalianoprivacy.it/wp-content/uploads/2016/02/Effetti-dei-motori-di-ricerca-sul-pluralismo-dell-informazione.pdf

36

A. Mantelero, Il diritto all’oblio dalla carta stampata ad internet, in F. Pizzetti, Il caso del diritto all’oblio, Giappichelli, Torino, 2013, 94; M. Orfino, Trattamento dei dati personali e libertà di espressione e di informazione, in L. Califano, C. Colapietro, Innovazione tecnologica e valore della persona, Il diritto alla protezione dei dati personali nel regolamento UE 2016/679, Editoriale Scientifica, Napoli, 2017.

37

Sentenza nella causa C-507/17 Google LLC, succeduta alla Google Inc. / Commission nationale de l’informatique et des libertés (CNIL) reperibile al seguente indirizzo https://curia.europa.eu/jcms/upload/docs/application/pdf/2019-09/cp190112it.pdf. La Corte afferma espressamente come “non c’è obbligo, per un motore di ricerca che risponde alla richiesta di de-indicizzazione di una persona (...) di condurre questa ricerca in tutte le versioni del suo motore di ricerca (...) la legge Ue richiede a un motore di svolgere questa de-indicizzazione sulle versioni del motore di ricerca che corrispondono a tutti gli stati membri della Ue”.

38

Sul punto, vedasi La Corte di Giustizia, 5 anni dopo Google Spain, limita l’estensione del diritto all’oblio all’Unione europea, pubblicato all’interno della rubrica Diritto dei nuovi media, a cura di O. Pollicino e M. Bassini, rinvenibile al seguente indirizzo https://www.filodiritto.com/la-corte-di-giustizia-5-anni-dopo-google-spain-limita-lestensione-del-diritto-alloblio-allunione-europea, L. Padovan, Diritto all’oblio, depotenziato dopo le sentenze su Google: ecco come, Agenda Digitale, 24 settembre 2019, https://www.agendadigitale.eu/sicurezza/privacy/diritto-alloblio-depotenziato-dopo-le-sentenze-su-google-ecco-come/, N. Pisanu, Diritto all’oblio solo in Europa: così la Corte europea restringe (a sorpresa) il GDPR, Cybersecurity360, 24 settembre 2019, reperibile al seguente indirizzo https://www.cybersecurity360.it/news/diritto-alloblio-solo-in-europa-cosi-la-corte-europea-restringe-a-sorpresa-il-gdpr/. Sul punto, si rileva come lo scorso 24 gennaio 2020, Il Tribunale di Milano, Sezione I (la sentenza è consultabile al link inserito all’interno dell’articolo citato il calce alla presente nota) ha emesso un’interessante sentenza relativa alla richiesta di de-indicizzazione avanzata da un soggetto che riteneva diffamatoria la pubblicazione di alcuni contenuti che lo riguardavano direttamente. Secondo il Giudice nazionale “Se – come è pacifico – l’associazione tra il nome del ricorrente e i siti in cui lo stesso è definito mafioso è opera del software messo a punto appositamente e adottato da Google (…) non può che conseguirne la diretta addebitabilità alla società, a titolo di responsabilità extracontrattuale, degli eventuali effetti negativi che l’applicazione di tale sistema per il trattamento dei dati dell’interessato può determinare”. Il Tribunale prosegue attribuendo la qualità di autonomo titolare del trattamento al motore di ricerca che aveva operato l’indicizzazione dei dati originati dal sito all’interno del quale la notizia era stata riportata. Pertanto, la richiesta di de- indicizzazione, alla quale veniva allegata la sentenza di condanna che accertava la sussistenza del reato di diffamazione, doveva essere accolta dal motore di ricerca (in questo caso specifico, la società Google LLC), che è stato pertanto condannato a risarcire i danni all’interessato (D. Battaglia, Alla sentenza per diffamazione deve seguire la deindicizzazione dal motore di ricerca, Federprivacy, 25 giugno 2020, https://www.federprivacy.org/informazione/primo-piano/tribunale-di-milano-alla-diffamazione-deve-seguire-la-deindicizzazione-dal-motore-di-ricerca). Da ultimo, la Corte di Cassazione (Cass. Civ. 19 maggio 2020 n. 9147) in una recente pronuncia ha precisato i principi utili per bilanciare il diritto all’oblio con quello alla cronaca, affermando come il diritto all’oblio “Non è volto a precludere la divulgazione di notizie e fatti appartenenti alla sfera intima della persona e tenuti fino ad allora riservati, ma ad impedire che fatti, già legittimamente pubblicati, e quindi sottratti al riserbo, possano essere rievocati nella rilevanza del tempo trascorso […] il fatto, completamente acquisito dalla collettività, dopo aver perduto la connotazione pubblica, nell’intervenuto decorso del tempo, con il trascolorare dell’interesse alla sua conoscenza diventa privato e, là dove riproposto, apre lo spazio al riconoscimento del diritto all’oblio”. Al fine di esaminare una richiesta di esercizio di diritto all’oblio, dunque, il giudice nazionale è chiamato a verificare se il tempo trascorso dalla condanna possa essere considerato sufficiente alla sua maturazione, nonché ad effettuare un bilanciamento tra i valori costituzionali in gioco. Solo dopo tali preliminari analisi, è dunque possibile valutare l’applicazione della misura della de-indicizzazione della notizia come strumento di protezione del diritto all’oblio (D. Battaglia, L’archiviazione giornalistica prevale sul diritto all’oblio: la carta baluardo della ‘memoria collettiva’, Federprivacy, 27 luglio 2020, https://www.federprivacy.org/informazione/primo-piano/l-archiviazione-giornalistica-prevale-sul-diritto-all-oblio-la-carta-baluardo-della-memoria-collettiva).

39

Un cloud service provider è un’azienda terza che offre una piattaforma, un’infrastruttura, un’applicazione o servizi di storage basati sul cloud, al quale, in genere, viene pagata la quantità di prestazioni di cui si è usufruito a seconda delle esigenze aziendali. Il servizio garantisce una notevole flessibilità, dal momento che non vi sono vincoli fisici, come nel caso dei server on-premises, e consente di personalizzare la configurazione dell’hardware secondo le proprie preferenze (https://itlaw.wikia.org/wiki/Cloud_service_provider).

40

Il software on-premise viene installato ed eseguito su computer presenti nei locali della persona o dell’organizzazione che utilizza il software medesimo, piuttosto che in una struttura remota come una server farm.

41

Sul punto, interessante l’Opinion 05/2012 on Cloud Computing del WP29, che, poneva alcune questioni e precauzioni in materia di cancellazione dei dati personali. In particolare, “According to Article 6(e) of Directive 95/46/EC, personal data must be kept in a form which permits the identification of data subjects for no longer than is necessary for the purposes for which the data were collected or for which they are further processed. Personal data that are not necessary any more must be erased or truly anonymised. If this data cannot be erased due to legal retention rules (e.g., tax regulations), access to this personal data should be blocked. Is the cloud client’s responsibility to ensure that personal data are erased as soon as they are not necessary in the aforementioned sense anymore. The principle of erasure of data applies to personal data regardless of whether they are stored on hard drives or on other storage media (e.g., backup tapes). Since personal data may be kept redundantly on different servers at different locations, it must be ensured that each instance of them is erased irretrievably (i.e., previous versions, temporary files and even file fragments are to be deleted as well)”. Il documento è disponibile al link https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2012/wp196_en.pdf.

42

https://cloud.google.com/security/deletion?hl=it.

43

Tutto il processo descritto può essere esaminato maggiormente nel dettaglio esaminando la procedura descritta da Google e reperibile al seguente indirizzo https://cloud.google.com/security/deletion?hl=it.

44

L’integrità referenziale è una proprietà che la guida di Windows definisce come "sistema di regole utilizzate per assicurare che le relazioni tra i record delle tabelle correlate siano valide e che non vengano eliminati o modificati per errore i dati correlati." Si tratta dunque di una regola fondamentale per la quale, nei sistemi costituiti da diverse “tabelle” di dati fra loro collegate, la possibilità di cancellare i dati medesimi viene “impedita” per evitarne un’eliminazione che comprometta l’interezza dei vari collegamenti.

(https://support.microsoft.com/it-it/office/mantenere-l-integrit%C3%A0-referenziale-nei-diagrammi-modello-database-80f60e10-1238-48f7-ab59-2bd31b2f047a).

45

In merito, vedasi il Considerando 26, GDPR e Article 29 Data Protection Working Party Opinion 05/2014 on Anonymisation Techniques, Adopted on 10 April 2014 ( https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp216_en.pdf.). Sul punto, vedasi anche G. D’Agostino, R. Raspadori, “Il punto sulla pseudonimizzazione: da possibili casi d’uso alle evoluzioni” in Privacy&, n. 1/2020.

46

Nelle ipotesi esaminate, infatti, il titolare del trattamento non sarebbe in grado di garantire piena applicazione al diritto all’oblio e alla cancellazione esercitato dall’interessato del trattamento di cui all’articolo 17, GDPR.

47

Il Natural Language Processing è un campo di ricerca interdisciplinare che abbraccia informatica, intelligenza artificiale e linguistica, il cui scopo è quello di sviluppare algoritmi in grado di analizzare, rappresentare e quindi “comprendere” il linguaggio naturale, scritto o parlato, in maniera similare o addirittura più performante rispetto agli esseri umani. M. Esposito, Linguaggio naturale e intelligenza artificiale: a che punto siamo, Agenda Digitale, 6 febbraio 2019, https://www.agendadigitale.eu/cultura-digitale/linguaggio-naturale-e-intelligenza-artificiale-a-che-punto-siamo/.

48

C. Comella, Indici, sommari, ricerche e aspetti tecnici della ‘de-indicizzazione’, in Il diritto all’oblio su internet dopo la sentenza Google Spain, a cura di G. Resta e V. Zeno-Zencovich, Università degli Studi di Roma Tre, Dipartimento di Giurisprudenza, Collana Consumatori e Mercato, Roma Tre Press, 2015.

49

Software che analizza i contenuti di una rete (o di un database) in un modo metodico e automatizzato, in genere per conto di un motore di ricerca. Nello specifico, un crawler è un tipo di bot (programma o script che automatizza delle operazioni) che solitamente acquisisce una copia testuale di tutti i documenti presenti in una o più pagine web creando un indice che ne permetta, successivamente, la ricerca e la visualizzazione (https://www.sciencedaily.com/terms/web_crawler.htm).

50

Con il termine cache si indica una memoria ad alta velocità d’accesso, separata dalla memoria principale, nella quale sono registrati dati di uso corrente. Essa è tipicamente di capienza inferiore rispetto alla memoria principale, ma il suo utilizzo è più conveniente in termini di tempo di accesso e/o carico sul sistema (https://www.seospecial.it/google-cache/).

51

https://search.google.com/search-console/about.

52

C. Comella, op., cit.

53

La European Union Agency for Network and Information Security (“ENISA”) nel 2012 ha emanato un rapporto sugli strumenti tecnici disponibili per implementare questo diritto nel contesto della pubblicazione in rete o dell’uso di dati personali nei sistemi informativi. Interessante la sezione nella quale si evidenzia come “The fundamental technical challenge in enforcing the right to be forgotten lies in (i) allowing a person to identify and locate personal data items stored about them; (ii) tracking all copies of an item and all copies of information derived from the data item; (iii) determining whether a person has the right to request removal of a data item; and, (iv) effecting the erasure or removal of all exact or derived copies of the item in the case where an authorized person exercises the right.” L’analisi dell’ENISA prosegue poi evidenziando come “In principle, systems such as corporate networks and access-controlled public networks that fall entirely within the jurisdiction of EU member states, could meet these requirements. However, such networks would require, without exception, that all principals (users and providers) be strongly authenticated using a form of electronic identity that can be linked to natural persons. In an open system such as the public portion of the Internet, on the other hand, public data can be accessed by principals with online identities that cannot be reliably linked to a natural person. These principles are capable of further distributing the information to other untrusted parties, possibly resulting in a massive replication of data. In such a system, there is no generally applicable, technical approach to enforce the right to be forgotten. This case is common in the Internet, e.g., when personal data is being included in social networking sites, homepages, blogs, tweets, etc. In the following subsections, we discuss both scenarios in more detail. It is important to understand that regardless of the type of information system, unauthorized copying of information by human observers is ultimately impossible to prevent by technical means”. Per maggiori informazioni sul tema è possibile visitare l’indirizzo https://www.enisa.europa.eu/publications/the-right-to-be-forgotten.

54

Ciò avviene appunto tramite il file robots.txt, presente nella root directory dei web server in modo tale da poter essere letto all’indirizzo http://nome.a.dominî. del.sito/robots.txt. Il REP prevede che ogni richiesta di acquisizione di una pagina web da parte di uno spider debba essere preceduta dalla verifica di non inclusione dell’indirizzo della pagina stessa nella ‘lista di esclusione’ del sito, descritta proprio dal contenuto del file robots.txt. In termini più semplici, il file viene utilizzato per fornire istruzioni ai programmi utilizzati per la scansione dei contenuti dei siti web. Attraverso le istruzioni contenute in questo file, è possibile inviare istruzioni ai crawler riguardo a cosa devono scansionare e cosa no, cosa deve essere indicizzato e cosa deve rimanere nascosto. Vedasi M. Koster, A Standard for Robot Exclusion, consultabile al seguente indirizzo http://www.redhat.com/support/resources/faqs/RH-apache-FAQ/misc/norobots.htmle).Per quanto riguarda Google, per esempio, accedendo ad un’apposita sezione, il motore di ricerca guida lo user nella compilazione della domanda di rimozione dalla “Ricerca Google” di risultati determinati, specificando come, nel valutare le richieste, l’operatore bilancia “i diritti alla privacy del privato con l’interesse del pubblico di avere accesso alle informazioni, oltre che con il diritto di altre persone a distribuire. Ad esempio, potremmo rifiutarci di rimuovere determinate informazioni che riguardano frodi finanziarie, negligenza professionale, condanne penali, o la condotta pubblica di funzionari statali”. Viene inoltre precisato come la rimozione può essere concessa agli interessati residenti o anche solo domiciliati in Europa. La procedura segue poi domandando alcuni ulteriori dettagli, fra i quali il nome utilizzato per la ricerca, gli url dei contenuti all’interno dei quali si trovano i dati personali che si desidera rimuovere e il motivo della rimozione stessa. Per ulteriori dettagli, è possibile consultare il modulo al seguente indirizzo http://www.google.com/webmaster/tools/legal-removalrequest?complaint_type=rtbf&visit_id=637288048888948853-101923730&rd=1. Piuttosto similare è la procedura predisposta da Bing, il motore di ricerca creato da Microsoft. Interessante notare come, all’interno del modulo di richiesta, Bing domanda all’interessato di indicare se riveste o meno un ruolo “pubblico”, nonché di specificare il motivo per il quale si richiede la de-indicizzazione: i dati sono incorretti o falsi, incompleti o inadeguati, non sono aggiornati, non risultano più di interesse, fino alla previsione dell’ipotesi in cui le informazioni risultino eccessive o inappropriate in qualunque altro modo https://www.bing.com/webmaster/tools/eu-privacy-request.

55

Google, sempre nella sopra indicata sezione Webmaster Tool specifica come “However, robots.txt Disallow does not guarantee that a page will not appear in results: Google may still decide, based on external information such as incoming links, that it is relevant. (...) While Google won’t crawl or index the content of pages blocked by robots.txt, we may still index the URLs if we find them on other pages on the web. As a result, the URL of the page and, potentially, other publicly available information such as anchor text in links to the site, or the title from the Open Directory Project (www. dmoz.org), can appear in Google search results”. Inoltre, giova rilevare la nascita del servizio Hidden from Google che attraverso un server extra UE registra tutti i contenuti che vengono, di volta in volta, de- indicizzati. Accedendo alla pagina http://hiddenfromgoogle.com è dunque possibile prendere visione della lista e, potenzialmente, risalire ai contenuti de-indicizzati. Sul punto vedasi F. Di Ciommo, Diritto all’oblio Quello che il diritto non dice. Internet e oblio, consultabile al seguente indirizzo https://www.unirc.it/documentazione/materiale_didattico/1465_2016_418_26590.pdf.

56

C. Comella, op., cit.

57

Una difficoltà che potrebbe però essere almeno in parte superata ricorrendo ad alcune tecnologie come i Completely Automated Public Turing Test to Tell Computers and Humans Apart (“Captcha”), strumenti in grado di discriminare tra utenti umani e programmi automatici di raccolta dei dati interagenti con un’applicazione informatica. Vedasi A.M. Turing, Computing machinery and intelligence, in 59 Mind pp. 433-460 (1950).

58

Vedasi ancora https://www.enisa.europa.eu/publications/the-right-to-be-forgotten.

59

Sulla pagina ufficiale di WhatsApp vengono brevemente descritti i passaggi che porteranno alla cancellazione dell’account: “If you delete your account: You can’t regain access to your account. It may take up to 90 days from the beginning of the deletion process to delete your WhatsApp information. Copies of your information may also remain after the 90 days in the backup storage that we use to recover in the event of a disaster, software error, or other data loss event. Your information isn’t available to you on WhatsApp during this time. It doesn’t affect the information other users have relating to you, such as their copy of the messages you sent them. Copies of some materials such as log records may remain in our database but are disassociated from personal identifiers.We may also keep your information for things like legal issues, terms violations, or harm prevention efforts. Please refer to the Law and Protection section of our Privacy Policy for more information. Your personal information shared with other Facebook Companies will also be deleted.” (https://faq.whatsapp.com/android/account-and-profile/how-to-delete-your-account/?lang=en).

60

Vedasi https://www.facebook.com/help/contact/144059062408922.

61

https://help.twitter.com/en/managing-your-account/how-to-deactivate-twitter-account.

62

Sul punto, estremamente interessante risulta la consultazione del sito Justdelete. me (consultabile al seguente indirizzo https://backgroundchecks.org/justdeleteme/), all’interno del quale è possibile rinvenire, per un numero rilevante di siti web, linee guida dedicate per effettuare la cancellazione dei rispettivi account. Per ogni sito viene inoltre indicato (utilizzando diversi colori) il grado di difficoltà di cancellazione (verde = facile, rosso = difficile, nero = impossibile). Per alcuni account viene espressamente specificato che la cancellazione completa risulta addirittura impossibile da realizzare. In tali casi l’utente dovrà limitarsi ad eliminare i dati personali contenuti all’interno della pagina, ma l’account non sparirà mai definitivamente da internet.

63

Intervista a Christian Nardi Fondatore di Privacygarantita.it: Cancellare una notizia da Google in tempi di web reputation, Break Magazine, 10 febbraio 2020, consultabile al seguente indirizzo https://www.breakhttps://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp216_en.pdfmagazine.it/https-www-breakmagazine-it-intervista-a-cristian-nardi-fondatore-di-privacygarantita-it-cancellare-una-notizie-da-google-in-tempi-di-reputation-ecco-coma-fare/?cn-reloaded=1.

64

Vedasi nota 54.

65

G. M. Riccio, G. Scorza, E. Belisario, op., cit.

66

Quanto mai vero anche con riferimento alle tecnologie emergenti quali la blockchain, dove i dati sono replicati su più nodi e non possono, per definizione, essere cancellati. Sul rapporto tra GDPR e blockchain, interessante il paper della Commission National Informatique & Libertés (“CNIL”) Solutions for a responsible use of the blockchain in the context of personal data consultabile al seguente indirizzo https://www.cnil.fr/sites/default/files/atoms/files/blockchain_en.pdf, nel quale vengono analizzati i diritti degli interessati stabiliti dal GDPR che rischiano di non poter essere completamente rispettati nell’ambito dei meccanisimi di blockchain. In particolare, relativamente al diritto alla cancellazione, viene rilevato come “The CNIL observes that it is technically impossible to grant the request for erasure made by a data subject when data is registered on a blockchain. However, when the data recorded on the blockchain is a commitment, a hash generated by a keyed- hash function or a ciphertext obtained through “state of the art” algorithms and keys, the data controller can make the data practically inaccessible, and therefore move closer to the effects of data erasure”.

67

C. Comella, op., cit.

68

Garante per la Protezione dei dati Personali, Web reputation, diritto all’oblio e salvaguardia dei dati personali in rete - Video-intervista ad Antonello Soro, 12 novembre 2014 https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/3533401.

69

Come insegna uno dei principi fondamentali della macroeconomia, la domanda genera l’offerta: se da un lato cresce il bisogno di soggetti esposti per volontà o loro malgrado alle luci della ribalta online, dall’altro lato è inevitabile che nascano nuove professionalità che della manipolazione della reputazione digitale ne hanno fatto un mestiere. Le attività delle quali si fanno portatrici le società di gestione della web reputation sono molteplici e possono riguardare la costruzione ex novo di una vera e propria identità virtuale (come accade oggi per tutte le “celebrità” che scelgono di fare di internet il proprio palcoscenico, così come i politici di nuova generazione) alla gestione di ipotesi nelle quali si desidera porre rimedio ad un danno subito, fino al supporto nell’esercizio del diritto all’oblio.

70

Locuzione che sta ad indicare la notorietà o la stima che persone fisiche e giuridiche possono vantare in rete, data dalla sommatoria di tutto quanto è reperibile online. L. Biarella, Diritto all’oblio sul web tra privacy e web reputation, Il Sole 24 ore, 05/08/2016, reperibile al seguente indirizzo http://www.diritto24.ilsole24ore.com/art/dirittoCivile/2016-08-02/dossier--diritto-oblio-web-privacy-e-web-reputation-151442.php.

Privacy&

2020/3

Indice

Editoriale

Il caso

L'approfondimento

L' osservatorio internazionale

La privacy applicata

L'intervista

Forget to be forgotten

Premessa

Il diritto all’oblio: nascita ed evoluzione

Limiti tecnici e fattuali di de-indicizzazione e cancellazione

Conclusioni