Il Comitato Europeo chiarisce l’applicazione dell’articolo 17 del GDPR
Il 2 dicembre 2019 l’European Data Protection Board (EDPB), ovvero il Comitato europeo per la protezione dei dati, ha adottato le Linee guida 5/2019 (parte I) sui criteri per l’esercizio del diritto all’oblio nel caso dei motori di ricerca, ai sensi del Regolamento Europeo per la protezione dei dati personali, Reg. EU 679/16 (cd. GDPR), che ha abrogato la direttiva europea 95/46.
L’EDPB, istituito dal GDPR, sostituisce il Gruppo di lavoro art. 29 per la protezione dei dati (così denominato perché appunto previsto dall’art. 29 della citata direttiva). È un organo europeo indipendente composto da rappresentanti delle autorità nazionali per la protezione dei dati e dal Garante europeo della protezione dei dati (GEPD) e ha come obiettivo quello di garantire l’applicazione coerente ed uniforme nell’Unione europea della nuova normativa sulla privacy.
Il cd. diritto all’oblio, quale diritto alla de-indicizzazione dai motori di ricerca, può essere, in sintesi, definito il diritto di una persona fisica di ottenere la cancellazione dagli indici dei motori di ricerca dei riferimenti ad informazioni che lo riguardano e che, per il loro contenuto o per il tempo trascorso dal momento della loro raccolta, non abbiano più rilevanza pubblica (delisting).
Trattasi di un diritto di creazione giurisprudenziale, affermato nella famosa sentenza “Google Spain” del 13 maggio 2014, che trae origine dal ricorso all’Autorità Garante della Privacy spagnolo contro Google Spain e Google Inc., presentato da un cittadino che nel 1998 era stato coinvolto in una procedura di riscossione coattiva di crediti previdenziali ed il cui nome era stato pubblicato dal quotidiano spagnolo “La Vanguardia” tra gli avvisi relativi ad un’asta immobiliare. Dopo 16 anni, digitando il nome del ricorrente nella barra di ricerca di Google, quest’ultimo rendeva reperibili le pagine web del quotidiano in questione. Si occupano del diritto all’oblio anche le Linee Guida del Gruppo di lavoro articolo 29 (oggi, EDPB) e la raccomandazione del Comitato dei Ministri agli Stati Membri sulla protezione dei diritti dell’uomo nel contesto dei motori di ricerca, entrambe del 2014. In Italia, il diritto all’oblio è contemplato all’art. 11 della Carta dei Diritti in Internet, approvata il 3 novembre del 2015 dalla Camera dei Deputati. Da ultimo, il citato GDPR ha normativizzato il diritto all’oblio all’art. 17 (cd. right to erase), che contempla anche il diritto di richiedere l’eliminazione di uno o più collegamenti a pagine web dall’elenco dei risultati visualizzati a seguito di una ricerca basata sul proprio nominativo (cd. right to be forgotten).
Quando è possibile richiedere la cancellazione dai motori di ricerca.
L’EDPB ha deciso di emanare le linee guida al fine di garantire un’uniforme interpretazione delle disposizioni del citato articolo 17 del GDPR, in quanto le autorità di controllo hanno registrato un aumento del numero di reclami riguardanti il rifiuto da parte dei fornitori dei motori di ricerca di eliminare i collegamenti di cui trattasi.
L’articolo 17 riconosce il diritto alla cancellazione in diversi casi.
Primo caso: i dati personali non sono più necessari in relazione alle finalità per i quali sono stati raccolti o altrimenti trattati. In proposito, l’EDPB stabilisce che, nell’analizzare le richieste di delisting e al fine di raccordare la tutela della privacy con il diritto degli utenti di Internet ad accedere alle informazioni, le autorità nazionali devono valutare se, nel corso del tempo, i dati personali sono diventati obsoleti o non sono stati aggiornati, in relazione alle finalità del trattamento originario e ai connessi periodi di conservazione dei dati stessi.
Secondo caso: l’interessato ha revocato il consenso su cui si basa il trattamento. L’EDPB chiarisce che tale disposizione dell’art. 17 non si applica ai fornitori del motore di ricerca, atteso che il consenso è stato fornito dall’interessato non a tali operatori, ma ai titolari delle pagine web indicizzate. Pertanto, nel caso in cui l’interessato revochi il proprio consenso all’uso dei suoi dati su una determinata pagina Web, sarà il titolare di quest’ultima a dover richiedere la de-indicizzazione ai motori di ricerca.
In ogni caso, l’istante potrà ottenere la cancellazione dei dati personali, opponendosi al trattamento (terzo caso), purchè non vi siano motivi legittimi prevalenti sugli interessi, i diritti e le libertà del richiedente, motivi la cui sussistenza, peraltro, dovrà essere provata dal provider del motore di ricerca. Se, quindi, un risultato di ricerca crea un danno per l’interessato quando fa domanda per un lavoro o mina la sua reputazione nella sua vita personale, il fornitore dovrà considerare il diritto all’informazione, il ruolo pubblico dell’istante, il legame tra le informazioni indicizzate e la vita professionale del medesimo, la circostanza che le informazioni costituiscono incitamento all’odio o un reato in base ad un provvedimento dell’autorità giudiziaria nazionale (es. diffamazione, calunnia) o che, infine, esse riguardino un reato relativamente minore avvenuto molto tempo fa, che danneggia l’interessato.
Quarto caso: i dati personali sono stati trattati illecitamente. Secondo l’EDPB, l’illiceità deve essere interpretata in senso lato, avendo riguardo non solo alle norme del GDPR, ma anche alle leggi nazionali o decisioni giudiziarie di ciascuno Stato membro.
Quinto caso: la richiesta di cancellazione è basata su un obbligo legale previsto dalla normativa nazionale o europea o da un provvedimento dell’autorità giurisdizionale. In tal caso, la richiesta di cancellazione ha una base normativa specifica e quindi non si pongono problemi applicativi o interpretativi di rilievo.
Sesto caso: i dati personali di cui si richiede la cancellazione sono stati raccolti in relazione all’offerta di servizi della società dell’informazione a un minore. Tali servizi abbracciano un’ampia gamma di attività economiche on line, incluse quelle che consistono nel fornire informazioni, comunicazioni commerciali o strumenti che consentono la ricerca, l’accesso e il recupero dei dati. L’EDPB precisa che le attività dei fornitori di motori di ricerca potrebbero rientrare tra i servizi della società dell’informazione e pertanto dovrebbero eliminare contenuti relativi ai minori.
Le eccezioni.
Dopo aver analizzato le ipotesi in cui è possibile esercitare il diritto all’oblio, le linee guida affrontano i casi in cui la richiesta di eliminazione non può essere accolta, in base all’art. 17 GDPR. Quest’ultimo non si applica, in primis, quando il trattamento dei dati personali è necessario per l’esercizio del diritto alla libertà di espressione, incluso il libero accesso alle informazioni. L’EDPB richiama quanto specificato dalla Corte di Giustizia Europea sul bilanciamento tra diritto all’informazione e diritto alla privacy, ovvero che l’equilibrio tra tali interessi contrapposti dipende, in particolare, dal ruolo svolto dall’interessato nella vita pubblica, nonché dal preponderante interesse del grande pubblico ad avere accesso alle informazioni oggetto della richiesta di cancellazione. Altro motivo per cui non si applica l’art. 17 è l’esistenza di disposizioni di legge che obblighino a non cancellare i dati personali. Sul punto, le linee guida ritengono sia improbabile che i fornitori dei motori di ricerca siano obbligati per legge a diffondere determinate informazioni e ciò in quanto essi non creano informazioni.
Non viene, tuttavia, esclusa la possibilità che la legge di uno Stato membro possa imporre tale obbligo ai provider, stabilendo, peraltro, un limite di tempo alla pubblicazione, superato il quale, l’esenzione non è più applicabile e la richiesta di delisting può essere accolta.
Al di là di tale possibilità, l’EDPB afferma che l’esistenza di un l’obbligo legale di pubblicazione imposto ai titolari dei siti web di origine non implica necessariamente che il fornitore del motore di ricerca debba rigettare la richiesta di cancellazione.Il diritto di cui all’art. 17 GDPR è escluso, altresì, nel caso in cui il trattamento avvenga in esecuzione di un compito svolto nell’interesse pubblico o nell’esercizio di un pubblico potere. Il Comitato Europeo precisa che i fornitori di motori di ricerca non essendo autorità pubbliche, non esercitano poteri pubblici ed è altresì improbabile che le leggi degli Stati membri possano stabilire diversamente, ovvero che la loro attività o parte di essa sia necessaria per il raggiungimento di un interesse pubblico.
Quanto alle finalità di archiviazione nell’interesse pubblico, ricerca scientifica o storica o scopi statistici che legittimerebbero il rigetto della richiesta di delisting, in base alle linee guida il fornitore del motore di ricerca deve essere in grado di dimostrare che la cancellazione di un determinato contenuto della pagina dei risultati rappresenta un grave ostacolo o impedisce completamente il raggiungimento delle citate finalità, le quali, secondo l’EDPB, possono tra l’altro essere perseguite obiettivamente dal provider, senza che sia necessario un collegamento tra il nome dell’interessato e i risultati della ricerca.