L’art 17 del Regolamento (UE) 679/2016: diritto alla cancellazione e diritto all’oblio

Il Regolamento (UE) n. 679 del 2016 è il testo normativo generale in vigore, nello Spazio Economico Europeo, in materia di protezione dei dati personali. Le istituzioni comunitarie, spinte da una volontà di armonizzazione della materia ̵ in tal senso si può leggere la scelta della fonte regolamentare ̵ sono pervenute all’approvazione del testo definitivo il 14 aprile del 2016. Il Regolamento, così come dichiarato in rubrica, andrà ad abrogare la direttiva 95/46/CE, sostituendo la precedente disciplina dei dati personali con una più dinamica e moderna, che tiene in considerazione il mutato contesto sociale, le nuove modalità di raccolta e trattamento dei dati, e le derivate esigenze di tutela che l’ampia diffusione di Internet ha comportato. Il Regolamento diventerà applicabile a tutti i soggetti presenti nell’UE149 _{a partire}

149 _{L’applicazione territoriale del Regolamento dipende dall’applicazione}

combinata di criteri geografici, logici e funzionali. Si riportano gli artt. 2 e 3 del Regolamento (UE) 679/2016, i quali disciplino l’ambito di applicazione del Regolamento.

Articolo 2 - Ambito di applicazione materiale: «1. Il presente regolamento si

applica al trattamento interamente o parzialmente automatizzato di dati personali e al trattamento non automatizzato di dati personali contenuti in un archivio o destinati a figurarvi. 2. Il presente regolamento non si applica ai trattamenti di dati personali: a) effettuati per attività che non rientrano nell'ambito di applicazione del diritto dell'Unione; b) effettuati dagli Stati membri nell'esercizio di attività che rientrano nell'ambito di applicazione del titolo V, capo 2, TUE; c) effettuati da una persona fisica per l'esercizio di attività a carattere esclusivamente personale o domestico; d) effettuati dalle autorità competenti a fini di prevenzione, indagine, accertamento o perseguimento di reati

72 dal 25 maggio 2018. Tra le innovazioni in esso introdotte emerge il riconoscimento del diritto all’oblio (art. 17, diritto alla

cancellazione, («diritto all’oblio»)), il quale viene per la prima volta

espressamente richiamato in una disposizione legislativa. Il rango comunitario della fonte - la quale non necessita di alcun atto di recepimento interno per divenire effettivamente applicabile150_-

o esecuzione di sanzioni penali, incluse la salvaguardia contro minacce alla sicurezza pubblica e la prevenzione delle stesse. 3. Per il trattamento dei dati personali da parte di istituzioni, organi, uffici e agenzie dell'Unione, si applica il regolamento (CE) n. 45/2001. Il regolamento (CE) n. 45/2001 e gli altri atti giuridici dell'Unione applicabili a tale trattamento di dati personali devono essere adeguati ai principi e alle norme del presente regolamento conformemente all'articolo 98. 4.Il presente regolamento non pregiudica pertanto l'applicazione della direttiva 2000/31/CE, in particolare le norme relative alla responsabilità dei prestatori intermediari di servizi di cui agli articoli da 12 a 15 della medesima direttiva.»

Articolo 3 - Ambito di applicazione territoriale: «1. Il presente regolamento si

applica al trattamento dei dati personali effettuato nell'ambito delle attività di uno stabilimento da parte di un titolare del trattamento o di un responsabile del trattamento nell'Unione, indipendentemente dal fatto che il trattamento sia effettuato o meno nell'Unione. 4.5.2016 L 119/32 Gazzetta ufficiale dell'Unione europea IT 2. Il presente regolamento si applica al trattamento dei dati personali di interessati che si trovano nell'Unione, effettuato da un titolare del trattamento o da un responsabile del trattamento che non è stabilito nell'Unione, quando le attività di trattamento riguardano: a) l'offerta di beni o la prestazione di servizi ai suddetti interessati nell'Unione, indipendentemente dall'obbligatorietà di un pagamento dell'interessato; oppure b) il monitoraggio del loro comportamento nella misura in cui tale comportamento ha luogo all'interno dell'Unione. 3. Il presente regolamento si applica al trattamento dei dati personali effettuato da un titolare del trattamento che non è stabilito nell'Unione, ma in un luogo soggetto al diritto di uno Stato membro in virtù del diritto internazionale pubblico».

150 _{Si ricorda che tra le fonti del diritto comunitario ̵ regolamenti, direttive e}

73 limita (ma non esclude) i rischi di interpretazioni ed applicazioni discordanti/difformi all’interno dell’Unione Europea. Rischio, come si è avuto modo di dire in precedenza, particolarmente concreto nei ‘nuovi’ diritti (tra cui rientra il diritto all’oblio) di difficile definizione in quanto in fase di continua specificazione151_. L’art. 17152_{, rubricato - con un singolare uso di virgolette e}

151 _{Permangono infatti delle questioni ‘collaterali’, nelle quali possono}

presentarsi forti discrasie applicative, dovute al carattere aperto di alcune norme. Si fa notare, ad esempio, come il Regolamento 679/2016 rimandi alla legislazione nazionale per quel che concerne la definizione del quantum risarcitorio del danno, o ancora, come si dirà infra, per quanto riguarda il bilanciamento tra i diritti della persona e il diritto alla libera manifestazione del pensiero.

152 _{Articolo 17 - Diritto alla cancellazione («diritto all'oblio») «1.L'interessato ha}

il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l'obbligo di cancellare senza ingiustificato ritardo i dati personali, se sussiste uno dei motivi seguenti: a) i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati; b) l'interessato revoca il consenso su cui si basa il trattamento conformemente all'articolo 6, paragrafo 1, lettera a), o all'articolo 9, paragrafo 2, lettera a), e se non sussiste altro fondamento giuridico per il trattamento; c) l'interessato si oppone al trattamento ai sensi dell'articolo 21, paragrafo 1, e non sussiste alcun motivo legittimo prevalente per procedere al trattamento, oppure si oppone al trattamento ai sensi dell'articolo 21, paragrafo 2; d) i dati personali sono stati trattati illecitamente; e) i dati personali devono essere cancellati per adempiere un obbligo legale previsto dal diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento; f) i dati personali sono stati raccolti relativamente all'offerta di servizi della società dell'informazione di cui all'articolo 8, paragrafo 1. 2.Il titolare del trattamento, se ha reso pubblici dati personali ed è obbligato, ai sensi del paragrafo 1, a cancellarli, tenendo conto della tecnologia disponibile e dei costi di attuazione adotta le misure ragionevoli, anche tecniche, per informare i titolari del trattamento che stanno trattando i dati personali della richiesta dell'interessato di cancellare qualsiasi link, copia o

74 parentesi ̵ “Diritto alla cancellazione («diritto all’oblio»)”, si pone quale principale strumento di opposizione al trattamento dei dati quando le ragioni della pubblicazione, che originariamente avevano legittimato il trattamento, vengono meno153_{. Nel primo} comma, l’articolo 17 statuisce tutta una serie di ipotesi nelle quali l’interessato ha diritto a richiedere, al titolare o al responsabile, la rimozione dei dati che lo riguardano e che impongono in capo al titolare l’obbligo di rimozione dei dati154 _{«senza ingiustificato}

riproduzione dei suoi dati personali. 3. I paragrafi 1 e 2 non si applicano nella misura in cui il trattamento sia necessario: a) per l'esercizio del diritto alla libertà di espressione e di informazione; b) per l'adempimento di un obbligo legale che richieda il trattamento previsto dal diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento o per l'esecuzione di un compito svolto nel pubblico interesse oppure nell'esercizio di pubblici poteri di cui è investito il titolare del trattamento; c) per motivi di interesse pubblico nel settore della sanità pubblica in conformità dell'articolo 9, paragrafo 2, lettere h) e i), e dell'articolo 9, paragrafo 3; d) a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici conformemente all'articolo 89, paragrafo 1, nella misura in cui il diritto di cui al paragrafo 1 rischi di rendere impossibile o di pregiudicare gravemente il conseguimento degli obiettivi di tale trattamento; o e) per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria».

153 _{RAMPONE F., Focus on: le novità introdotte dal Regolamento europeo sulla}

privacy, disponibile in Internet all’indirizzo http://iusletter.com/wp-

content/uploads/Focuson_giugno16.pdf [consultato in data 15 giugno 2017].

154 _{L’utilizzo del termine ‘cancellazione’ nel primo comma dell’art. 17 è stato}

definito ‘improprio’ da parte della dottrina. I termini ‘oblio’ e ‘cancellazione’ non esprimono infatti lo stesso concetto e, per questo motivo, non sono sovrapponibili. La cancellazione dei contenuti considerati lesivi è solo una delle possibili estrinsecazioni del diritto all’oblio. Come detto in precedenza, questo può esercitarsi attraverso una mera richiesta di deindicizzazione, che poco ha a che vedere con una rimozione ex toto dei contenuti dal web. I motori di ricerca non hanno d’altronde il potere di eliminare dalla Rete gli URL ‘incriminati’, potendo solo escluderli dalle proprie pagine di indicizzazione. Cfr. SIANO M., Il

75

ritardo». La richiesta di cancellazione dei dati può essere avanzata

qualora si considerino esaurite le finalità del trattamento (lett. a)), o non si ravveda la sussistenza di motivi legittimi prevalenti per procedere al trattamento (lett. c)), o anche quando il trattamento dei dati è da considerarsi illecito (lett. e)).

A dispetto di quanto enunciato in rubrica, la proposizione legislativa difatti non prevede espressamente un diritto alla deindicizzazione, potendo questo essere riconosciuto e tutelato solo attraverso un’interpretazione estensiva delle norme sopra citate. L’art. 17 prevede poi – al paragrafo 3 - una serie nutrita di eccezioni, nelle quali quanto disposto nei paragrafi precedenti non trova applicazione, determinando una soccombenza del diritto all’oblio. Cause escludenti sono: l’esercizio del diritto alla libertà di espressione e informazione; l’adempimento di un obbligo legale per l’esecuzione di un compito di interesse pubblico da parte del titolare del trattamento; l’archiviazione, nel pubblico interesse, per scopi scientifici, storici o statistici; l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria. Il legislatore comunitario ripropone dunque, come interesse ostativo al diritto soggettivo alla cancellazione, l’esercizio della libertà di espressione. Omette ancora una volta, scientemente, di fornire dei parametri orientativi sul bilanciamento tra gli interessi antinomici. L’art. 85 del Regolamento (trattamento e libertà di

espressione e di informazione)155 _{affida la questione al diritto degli}

diritto all’oblio in Europa, cit, p. 128; BOLOGNINI L. – PELINO E. – BISTOLFI C., Il Regolamento privacy europeo. Commentario alla nuova disciplina sulla protezione dei dati personali, Giuffrè, 2016, p. 264.

155 _{Articolo 85 - Trattamento e libertà d'espressione e di informazione. «1. Il}

76 Stati membri, i quale sono tenuti a notificare alla Commissione le esenzioni e le deroghe ai capi da II a IX del Regolamento, statuite dal diritto nazionale156_{. Trattasi di una disposizione} sostanzialmente in bianco, visti gli ampi spazi di deroga e la (pressoché totale) omissione di criteri di coordinamento157_{. Così} facendo è però facile immaginare come l’idea di una disciplina omogenea e uniforme del diritto all’oblio si prefiguri come difficilmente raggiungibile.

presente regolamento con il diritto alla libertà d'espressione e di informazione, incluso il trattamento a scopi giornalistici o di espressione accademica, artistica o letteraria. 4.5.2016 L 119/83 Gazzetta ufficiale dell'Unione europea IT 2. Ai fini del trattamento effettuato a scopi giornalistici o di espressione accademica, artistica o letteraria, gli Stati membri prevedono esenzioni o deroghe rispetto ai capi II (principi), III (diritti dell'interessato), IV (titolare del trattamento e responsabile del trattamento), V (trasferimento di dati personali verso paesi terzi o organizzazioni internazionali), VI (autorità di controllo indipendenti), VII (cooperazione e coerenza) e IX (specifiche situazioni di trattamento dei dati) qualora siano necessarie per conciliare il diritto alla protezione dei dati personali e la libertà d'espressione e di informazione. 3. Ogni Stato membro notifica alla Commissione le disposizioni di legge adottate ai sensi del paragrafo 2 e comunica senza ritardo ogni successiva modifica».

156 _{Limiti al potere di deroga derivano altresì dall’art. 23 il quale prevede per gli}

Stati membri la possibilità di limitare la portate degli obblighi e dei diritti di cui agli artt. da 12 a 22 (per i motivi ivi specificati, ad es.: sicurezza nazionale, difesa, perseguimento di reati, ecc.) “qualora tale limitazione rispetti l’essenza

dei diritti e delle libertà fondamentale e sia una misura necessaria e proporzionata in una società democratica…”.

157 _{“Il legislatore europeo decide di non decidere, posizione che è allo stesso tempo}

rassicurante, perché non turba la tradizione giuridica degli Stati membri su una materia decisiva, ma è altresì fortemente insoddisfacente, perché evita di normare, anche per linee generali, il principale e più tipico terreno di conflitto tra diritti fondamentali antagonisti”. BOLOGNINI L. – PELINO E. – BISTOLFI C., Il Regolamento privacy europeo, cit., p. 546.

77