Lexalia Privacy Newsletter

515


Lexalia Privacy Newsletter

DIRITTO ALL’OBLIO e NUOVO REGOLAMENTO PRIVACY
MANCANO 15 MESI ALL’APPLICAZIONE DEL REGOLAMENTO: A CHE PUNTO SIAMO?
La possibilità di essere dimenticati dal web è sempre più a portata di mano, oggi che il diritto all’oblio è tutelato a livello normativo (qualora ne ricorrano i necessari presupposti).

Tale diritto può definirsi come quello di ogni individuo alla cancellazione dei propri dati, al fine di non essere più ricordato per fatti che lo riguardino e che in passato siano stati oggetto di cronaca. Tali richieste possono essere fatte valere nei confronti dei gestori dei motori di ricerca sulla rete, al fine di ottenere la rimozione dai propri risultati di ricerca web (“deindicizzazione”) o di chiedere ad un altro sito web la cancellazione di informazioni.

Il Regolamento sulla Protezione dei Dati Personali ha ufficialmente disciplinato il diritto all’art. 17 (“GDPR”, Reg. UE n. 679/2016: “Diritto alla cancellazione – «diritto all’oblio»)”.

DA DIRITTO RICONOSCIUTO SOLO A LIVELLO GIURISPRUDENZIALE…
I principi recentemente codificati dal GDPR erano già stati affermati in alcune sentenze della Corte di Giustizia Europea (“CGUE”) e dei tribunali di numerosi Paesi membri, tra cui anche quelli italiani.

La Direttiva privacy 95/46/CE, infatti, non prevedeva tale diritto, così come il Codice Privacy italiano (D. Lgs. n. 196/2003): il diritto all’oblio si è affermato nelle corti a partire dalla pronuncia della CGUE del 13 maggio 2014, resa nella causa C-131/12 (caso Google Spain), ed in Italia, ad esempio, con la sentenza della Corte di Cassazione, sez. I civile, n. 13161 del 24 giugno 2016.

…ALL’ART. 17 DEL GDPR
A partire dal 25 maggio 2016 il diritto all’oblio è disciplinato a livello normativo, infatti l’art. 17 del GDPR prevede che l’interessato abbia il diritto di ottenere dal Titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo, e il Titolare abbia l’obbligo di provvedere, qualora sussista uno dei seguenti motivi:

  • esaurimento delle finalità per cui i dati sono stati raccolti o trattati;
  • revoca del consenso da parte dell’interessato;
  • opposizione al trattamento da parte dell’interessato;
  • illiceità del trattamento dei dati da parte del Titolare;
  • obbligo legale previsto dal diritto UE o degli Stati membri cui è soggetto il responsabile del trattamento.

Ancora, l’art. 17 del GDPR prevede che il Titolare del trattamento, qualora abbia reso pubblici i dati personali e sia obbligato a cancellarli, tenuto conto della tecnologia a lui disponibile e dei costi di attuazione, prenda le misure ragionevoli per informare i Responsabili del trattamento che stanno trattando i dati a proposito della richiesta dell’interessato di cancellare qualsiasi link, copia o riproduzione dei suoi dati personali.

ESCLUSIONE DEL DIRITTO ALL’OBLIO
Il diritto all’oblio può essere esercitato dall’interessato per i dati che lo riguardano, nei limiti di altri diritti, precisamente:

  1. il diritto alla libertà di informazione ed espressione;
  2. obblighi legali previsti dal diritto dell’Unione Europea o dello Stato membro cui sia soggetto il Titolare del trattamento;
  3. motivi di pubblico interesse nel settore della sanità pubblica;
  4. per fini di archiviazione di pubblico interesse, di ricerca scientifica o storica, o statistica;
  5. per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria.

A titolo d’esempio, il Garante italiano, respingendo il ricorso di un interessato che contestava la decisione di Google di non deindicizzare un articolo su di un’inchiesta giudiziaria in cui risultava implicato, ha stabilito che il diritto all’oblio non sia esercitabile qualora una notizia sia riferita ad un fatto recente e di rilevante interesse pubblico (Provvedimento del Garante per la protezione dei dati personali n. 618 del 18 dicembre 2014). Il diritto all’oblio, quindi, deve essere bilanciato con il diritto di cronaca.

FORME E MODALITÀ PER L’ISTANZA E IL RISCONTRO
La cancellazione automatica è un obbligo del Titolare qualora ricorrano le condizioni richieste e, perciò, a prescindere dall’esercizio dell’interessato. Il Titolare deve impostare un termine per la cancellazione dei dati o per una verifica periodica della possibilità alla continuazione del trattamento.

Per quanto riguarda l’interessato, invece, può esercitare il diritto in qualsiasi momento, ricorrendone i presupposti, senza formalità particolari.

SANZIONI
Di grandissimo rilievo, per titolari e responsabili che trattano dati destinati ad essere “dimenticati”, sono le imponenti sanzioni che il GDPR ha previsto in caso di violazione del diritto all’oblio. Queste possono arrivare fino a 20 milioni di Euro o, per le imprese che superano tale soglia di fatturato mondiale annuo, fino al 4% dello stesso registrato nell’esercizio precedente.

PROSPETTIVE EUROPEE
Di tutti i ricorsi per riconoscimento del diritto all’oblio presentati al Garante della privacy nel corso del 2016 ben il 62% del totale ha ottenuto un risultato positivo per l’interessato al trattamento. Ciò, sia tenendo conto delle decisioni di accoglimento dell’Autorità, sia delle adesioni spontanee da parte dei Titolari del trattamento a cui era stata fatta richiesta di deindicizzazione.

Tale dato rappresenta, certamente, un segnale positivo riguardo l’applicazione del diritto stesso.

Anche in questo caso, come per gran parte delle novità normative introdotte dalla disciplina europea, sarà interessante osservare i dati che emergeranno una volta che il GDPR sarà applicato, così da potere eventualmente saggiare ulteriori passi avanti riguardo l’implementazione dei diritti privacy.

DIRITTO ALL’OBLIO IN RUSSIA
Il diritto all’oblio è in vigore in Russia già dal 1° gennaio 2016, in forza dell’art. 110 della Legge Federale n. 149-FZ (Legge sulla protezione dei dati). La norma garantisce ai cittadini russi il diritto di chiedere la rimozione dai motori di ricerca dei link contenenti informazioni riguardanti la persona interessata alla cancellazione, qualora ritenute effettivamente irrilevanti o inadeguate.

Pur avendo la Russia anticipato nei tempi l’Unione Europea nel riconoscere ufficialmente il diritto, tuttavia tale legge è stata aspramente criticata perché, diversamente da quanto disposto dalla Corte di Giustizia Europea nel caso “Google Spain” sopra citato e dal GDPR, la Legge Federale russa ha previsto anche la possibilità di cancellazione di link e dati relativi a figure di spiccata rilevanza pubblica: tali soggetti possono, quindi, rivolgersi ai motori di ricerca per chiedere e ottenere la rimozione dei contenuti a loro relativi.

Milano, 20 febbraio 2017

La presente Legal News ha il solo scopo di fornire informazioni di carattere generale. Di conseguenza, non costituisce un parere legale né può in alcun modo considerarsi come sostitutivo di una specifica consulenza legale.

Per qualsiasi richiesta di chiarimento, scrivere a:
Lexalia – Studio Legale e Tributario
Avv. Giovanna Ianni giovanna.ianni@lexalia.it