Diritto all'oblio e protezione dei dati personali: passo avanti in Europa. E in Italia?

Con l’avvento delle nuove tecnologie e la capillare diffusione di Internet, la tutela della riservatezza delle persone fisiche e giuridiche è stata duramente messa alla prova. Il web, infatti, non solo ha determinato un incremento esponenziale della velocità di circolazione e diffusione delle notizie, ma ha anche consentito la loro memorizzazione e catalogazione con un’efficienza assolutamente irraggiungibile con i sistemi di archiviazione cartacea. Ciò, se da un lato ha rappresentato un’indubbia miglioria per il diritto ad essere informati, pacificamente dotato di ancoraggio costituzionale ai sensi dell’art. 21 della Carta Fondamentale, per altro verso ha generato indubbie criticità.

In primo luogo, infatti, si è posto il problema della qualità dell’informazione, giacché l’avere a disposizione un accesso più agevole alle notizie non necessariamente implica il miglioramento del livello di consapevolezza critica degli utenti: il problema dell’attendibilità delle fonti e della (in)capacità degli utenti di distinguere notizie vere da vere “bufale” rappresenta una delle più importanti questioni dell’epoca contemporanea.

Sotto altro punto di vista, poi, la “memoria infinita” di Internet e più in generale l’utilizzo dei sistemi informatici per la conservazione dei dati pongono delicatissimi problemi per quel che attiene alla salvaguardia del diritto dell’individuo al rispetto della sua privacy.

Il diritto alla riservatezza, sebbene non abbia un aggancio diretto nella nostra Costituzione, è stato ricavato per via interpretativa dall’art. 2 della Carta, giacché la Repubblica è tenuta a riconoscere (e a tutelare) i diritti fondamentali dell’individuo al fine di garantire il pieno sviluppo della personalità. Ebbene, non c’è dubbio che tale sviluppo transiti pure attraverso una efficace difesa del “diritto ad essere lasciati da soli”.

Il rilievo primario della riservatezza, poi, ha trovato esplicito riconoscimento normativo nella Convenzione Europea dei Diritti dell’Uomo (CEDU) che, all’art. 8, sancisce come “ogni persona ha diritto al rispetto della propria vita privata e familiare, del proprio domicilio e della propria corrispondenza”.

Gli strumenti di tutela esistenti e le novità più recenti

Proprio al fine di garantire un miglior livello di tutela di tali interessi, il legislatore italiano già nel 2003 aveva adottato il Decreto Legislativo n. 196 denominato “Codice in materia di protezione dei dati personali” esplicitando il principio della imprescindibilità – salvo segnate eccezioni – del consenso del titolare dei dati personali per il loro trattamento da parte di terzi. La normativa, poi, ha previsto anche molteplici strumenti di tutela per il titolare (alcuni più efficaci, altri meno), nonché alcuni illeciti amministrativi e penali per le ipotesi di violazione delle prescrizioni e delle limitazioni imposte dalla legge ai soggetti a vario titolo coinvolti nel trattamento.

Tuttavia, la necessità di innalzare il livello di tutela offerta e di prevedere delle norme minime comuni a tutti gli stati aderenti all’Unione ha indotto il legislatore comunitario ad avviare un articolato iter conclusosi il 16 maggio 2016 con l’adozione del Regolamento Europeo nr. 679 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati.

Il testo normativo, che entrerà in vigore a partire dal 25 maggio 2018, contiene numerosi aspetti di sicuro rilievo, soprattutto per quel che attiene al diritto all’oblio e al cd. “data breach”.

Il diritto all’oblio 2.0

Quello di diritto all’oblio è, in realtà, un concetto nient’affatto recente, giacché anche prima della diffusione del web si era posto il problema della riproposizione, sui media tradizionali, di notizie datate e che, dunque, avessero perso il connotato del pubblico interesse assumendo, al contrario, quello della speciosa persecuzione di un individuo mediante la anacronistica rievocazione di fatti su cui, invece, sarebbe stato opportuno che cadesse il velo della dimenticanza.

Internet, tuttavia, ha determinato un significativo mutamento del diritto all’oblio: non viene più in rilievo la riproposizione di determinate notizie, bensì la loro più o meno agevole e più o meno immediata reperibilità in rete. Viene in rilievo, in altri termini, il problema della cosiddetta “indicizzazione” ad opera dei motori di ricerca e, quindi, il diritto all’oblio assume le vesti di un diritto alla “de-indicizzazione”.

A riprova dell’importanza che “l’oblio 2.0” assume nel sistema d’informazione moderno, il nuovo regolamento comunitario per la prima volta lo positivizza (art. 17) con il chiaro intento di assicurare al soggetto “il diritto di chiedere che siano cancellati e non più sottoposti a trattamento i propri dati personali che non siano più necessari per le finalità per le quali sono stati raccolti o altrimenti trattati, quando abbia ritirato il proprio consenso o si sia opposto al trattamento dei dati personali che lo riguardano o quando il trattamento dei suoi dati personali non sia altrimenti conforme al presente regolamento. Tale diritto è in particolare rilevante se l’interessato ha prestato il proprio consenso quando era minore, e quindi non pienamente consapevole dei rischi derivanti dal trattamento, e vuole successivamente eliminare tale tipo di dati personali, in particolare da internet” (considerando nr. 65).

A parte il dato, pure di rilievo, della posizione autonoma riconosciuta al minore, l’aspetto veramente importante è che a questo diritto si accompagna l’obbligo per il titolare del trattamento che ha pubblicato i dati di comunicare la richiesta di cancellazione a chiunque li stia trattando, ovviamente nei limiti di quanto tecnicamente possibile.

In altri termini, il sito web che ha pubblicato dati personali sarà tenuto ad informare i provider che trattano tali dati personali affinché questi provvedano a cancellare qualsiasi link verso tali dati personali o loro copie o riproduzione: viene cioè positivizzato il diritto alla “de-indicizzazione”.

Un fenomeno sottovalutato: il data breach

Un altro aspetto di sicura rilevanza, poi, attiene – come accennato – al cd. data breach, ovverosia alla diffusione o al pericolo di diffusione dei dati immagazzinati a seguito di attacchi hacker o comunque di malfunzionamento dei sistemi. In questa ipotesi, il titolare del trattamento non solo dovrà comunicare il data breach all’Autorità nazionale di protezione dei dati ma, se essa rappresenta una minaccia per i diritti e le libertà delle persone, dovrà informare in modo chiaro, semplice e immediato anche tutti gli interessati e offrire indicazioni su come intende limitare le possibili conseguenze negative.

Tuttavia, il titolare del trattamento potrà evitare tale incombenza se riterrà che la violazione non comporti un rischio elevato per i suoi diritti (quando non si tratti, ad esempio, di frode, furto di identità, danno di immagine, ecc.) o se – richiesto sul punto dal Garante – dimostrerà di avere adottato misure di sicurezza (come la cifratura) a tutela dei dati violati o, da ultimo, se la comunicazione dovesse comportare uno sforzo sproporzionato (ad esempio, se il numero delle persone coinvolte è elevato). In quest’ipotesi, tuttavia, è comunque imposto l’obbligo di una comunicazione pubblica o adatta a raggiungere quanti più interessati possibile (ad esempio, tramite un’inserzione su un quotidiano o una comunicazione sul sito web del titolare).

L’Autorità di protezione dei dati (per l’Italia il Garante per la protezione dei dati personali) potrà comunque imporre al titolare del trattamento di informare gli interessati sulla base di una propria autonoma valutazione del rischio associato alla violazione. Va aggiunto che, trattandosi di un Regolamento, esso sarà direttamente applicabile e direttamente efficace negli Stati membri e dunque non occorreranno atti di recepimento o di adeguamento delle normative interne, così da realizzare senz’altro un passo in avanti nella tutela del diritto alla riservatezza.

Per ulteriori informazioni sul regolamento comunitario predisposto dal Garante è possibile consultare la guida al nuovo regolamento europeo in materia di protezione dati.

L’OBLIO TRADIZIONALE E LE SUE “CADUCITÀ”

In termini più ampi, però, non vanno comunque dimenticati due aspetti fondamentali: da un lato, infatti, il giudizio di bilanciamento tra il diritto all’oblio di un dato soggetto e quello ad essere informata della collettività è sempre estremamente delicato e non può prescindere dalle specificità soggettive e fattuali delle vicende che di volta in volta vengono in rilievo; dall’altro lato, poi, non va sottovalutata l’importanza che l’oblio per così dire “tradizionale” continua a rivestire, soprattutto in rapporto alle pubblicazioni a mezzo stampa e anche in considerazione dei possibili riflessi in termini di diffamatorietà dei contenuti.

In proposito, significativo è il caso deciso con una recentissima pronuncia della Corte di Cassazione (Sez. 5, Sentenza n. 38747 del 2017), in cui il Giudice di Legittimità ha ritenuto che, anche rispetto ad un fatto avvenuto più di trent’anni prima, è ben possibile che permanga un interesse pubblico alla rievocazione di una data notizia. In particolare, si trattava di un articolo pubblicato nel 2007 su un noto quotidiano nazionale e relativo ad un fatto di cronaca ma nell’ambito del quale vi era la rievocazione di un altro accadimento, verificatosi tre decenni prima. Segnatamente, si trattava dell’oscura vicenda verificatasi nel 1987 in cui perse la vita un giovane cittadino tedesco, Dirk Hamer, a seguito di un colpo di fucile esploso da Vittorio Emanuele di Savoia. Proprio nel commentare con tono critico la sua partecipazione in quei giorni alla riapertura di una ex residenza sabauda (la Reggia di Venaria Reale), l’articolista si riferiva all’erede degli ex monarchi come a «quello che usò con disinvoltura il fucile all’isola di Cavallo, uccidendo un uomo».

Ne scaturiva un defatigante procedimento penale a carico dell’articolista e del direttore del giornale per il reato di diffamazione a mezzo stampa, diffamazione correlata anche alla “gratuità” della riproposizione della notizia a distanza di moltissimo tempo e, quindi, alla lesione del diritto all’oblio del Savoia. La Suprema Corte, tuttavia, nel confermare la sentenza assolutoria di appello (che aveva ribaltato quella di condanna, resa in primo grado) sottolinea come anzitutto l’articolo rispettasse i canoni di verità (essendosi il fatto storicamente verificato in quei termini, a prescindere dalla assenza di responsabilità penale per il Savoia) e continenza espressiva (trattandosi al più di un giudizio critico, non certo di un attacco smodato).

Ma – ed è quel che qui più importa – l’inciso dell’articolo che rievocava l’evento passato risultava sicuramente assistito da un interesse pubblico, giacché esso fu pubblicato in occasione di un fatto di cronaca cui partecipò Vittorio Emanuele di Savoia, ovverosia un soggetto «reduce, all’epoca, da altre disavventure giudiziarie», essendo stato pure detenuto in carcere (sebbene poi assolto dagli addebiti ascrittigli). Dal punto di vista soggettivo, poi, «Vittorio Emanuele di Savoia è figlio dell’ultimo re d’Italia e, secondo il suo dire, erede al trono d’Italia». 

Si tratta, in altri termini, di un soggetto la cui storia rivestiva senz’altro rilievo pubblico sia in considerazione delle vicissitudini giudiziarie che in quegli anni lo avevano interessato, sia per le (anacronistiche) rivendicazioni reali: dunque perfettamente legittima era la nuova evocazione dell’evento — mai del tutto chiarito — che nel passato lo aveva riguardato.

Conclude allora la Cassazione stabilendo che «il diritto all’oblio sulle proprie vicende personali […] si deve confrontare, invero, col diritto della collettività ad essere informata e aggiornata sui fatti da cui dipende la formazione dei propri convincimenti, anche quando da essa derivi discredito alla persona che è titolare di quel diritto, sicché non può dolersi Savoia della riesumazione di un fatto certamente idoneo alla formazione della pubblica opinione». 

Il delicato bilanciamento che si impone, quindi, fa sì che il diritto all’oblio si proponga come una sorta di diritto “a geometria variabile”.