Il Regolamento sulla Data Protection: una naturale evoluzione del Codice della Privacy

SEZIONE I: Il nuovo Regolamento europeo sulla protezione dei dati personali: un ponte tra presente e futuro

5) Il Regolamento sulla Data Protection: una naturale evoluzione del Codice della Privacy

Il Codice nazionale della Privacy, D.Lgs 196/2003, elaborato in recepimento ed attuazione della Direttiva 95/46 CE, dopo oltre dieci anni di operatività, ancora ritenuto completo e organico, pressoché integralmente applicabile ed in armonia con l’Ordinamento giuridico, (nonostante le novità procedurali degli ultimi anni), già prevedeva il diritto alla cancellazione dei dati personali in casi particolari, disponendo che “l’interessato ha il diritto di ottenere la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge, compresi quelli di cui non è

182_{E’ questa l’opinione anche di A. M}_ANTELERO_{, U.S. Concern about the Eupean Right to Be Forgotten}

and Free Speech, in Contemporary Private Law/Sylvia Kirkegaard International Association of it lawyers,

88.

183_{Il 28 luglio 2015, ad un anno esatto dall’insediamento, la Commissione, voluta dall’allora Presidente} della Camera, Laura Boldrini, e presieduta dal giurista Stefano Rodotà, ha presentato un documento unico nel suo genere in Europa, la ‘Dichiarazione dei diritti in Internet’, utile strumento per contribuire a costruire una cittadinanza nell’era di Internet.

126

necessaria la conservazione in relazione agli scopi per i quali i dati siano stati raccolti o successivamente trattati, vietando altresì la comunicazione e la diffusione di quei dati per i quali era stata ordinata la cancellazione o per i quali sia decorso il tempo indicato184_”.

Nonostante un po’ tutte le legislazioni nazionali degli Stati membri, allo stesso modo dell’Ordinamento italiano, contenessero previsioni normative a protezione e tutela dei dati della persona, il Legislatore europeo ha ritenuto indispensabile ed indifferibile il suo intervento per perimetrare ulteriormente gli spazi entro i quali i soggetti attivi del trattamento avrebbero potuto operare, consolidando definitivamente un diritto, relativamente nuovo, quale il diritto all’oblio, cui ha dedicato particolari attenzioni, non solo per ragioni squisitamente giuridiche, ma anche per gli ‘effetti negativi’ che informazioni non più attuali e prive d’interesse avrebbero potuto generare nel campo della ‘business information’ e, più ancora, nella sfera intima del titolare di tali informazioni. Da un punto di vista strettamente giuridico, d’altra parte, una regolamentazione uniforme della materia non poteva che giovare agli interessi di tutti, non solo delle parti direttamente coinvolte.

La pronuncia 131/2014 della CGUE, intransigente, quanto dirompente, in materia di oblio, aveva sicuramente moltiplicato le problematiche piuttosto che semplificarle, lasciando molti interrogativi inevasi e costringendo le Corti nazionali, in sede di decisione, ad allargare o restringere le maglie di quel diritto, talvolta con modalità decisamente discrezionali. Prova ne è in Italia una pronuncia della Suprema Corte che185_,

allargando un po’ troppo le maglie del diritto all’oblio, ha colpito il giornale online PrimaDaNoi.it, con un’interpretazione inedita, quanto pericolosa di quella pretesa. Nella sentenza i giudici di legittimità, in nome della Google Spain, hanno stabilito che un articolo di cronaca relativo ad un accoltellamento in un ristorante dovesse essere ‘rimosso dall’archivio digitale’ perché, pur corretto e vero, aveva prodotto danni ai ricorrenti, soggetti attivi della vicenda giudiziaria, garantendo le loro istanze oltre ogni limite. Con l’aggravate che la vicenda giudiziaria relativa all’accoltellamento, ai tempi della richiesta di rimozione, non si era ancora conclusa.

Non pare che nella fattispecie sia stato operato un equo bilanciamento tra i due diritti fondamentali, quello di cronaca e il diritto all’oblio, perché con l’accoglimento della

184_{D.Lgs 196/2003, art. 7 comma 3 lett. b).} 185_{Cass. Civ., Sez. I, 24 giugno 2016, n. 13161.}

127

richiesta di rimozione dell’articolo dall’archivio online, il diritto della collettività all’informazione ne è sicuramente risultato fortemente indebolito. Né è invocabile, a supporto di una decisione così tanto generosa, la pronuncia CGUE n. 131/2014, dal momento che i giudici europei hanno riconosciuto al ricorrente il solo diritto alla de- indicizzazione dal motore di ricerca della notizia su digitazione del suo nome, consentendole di continuare a vivere negli archivi delle testate giornalistiche e più in generale nei canali del web, accessibile sempre e comunque, attraverso l’uso di altre chiavi di accesso che non fossero i dati dell’interessato.

Critiche che hanno trovato ulteriore conferma nelle Linee Guida del WP Articolo 29, che, al paragrafo 18, hanno stabilito che la de-indicizzazione (e non la rimozione dagli archivi come voluta dai giudici di legittimità) non dovesse riguardare i motori di ricerca di piccola portata, come quelli dei giornali online. Ergo, nel caso di specie, per la testata on-line non vi sarebbe stato l’obbligo di rimuovere l’articolo e tantomeno di deindicizzarlo dal proprio motore di ricerca.

Per fortuna, in un maggior numero di casi, altre Autorità giudiziarie e lo stesso Garante per la protezione dei dati personali, più volte sollecitato dagli interessati ad intervenire, molto raramente hanno riconosciuto, nell’operazione di bilanciamento la prevalenza del diritto all’oblio, rigettando i ricorsi che, per la verità, erano pervenuti a migliaia dopo la pronuncia della CGUE, tanto da aver indotto Google.com a predisporre un modulo per la presentazione delle richieste di de-indicizzazione, spinta dal timore di evitare elevate sanzioni pecuniarie.

La situazione di grande caos, anche a causa dell’assenza di parametri oggettivi in base ai quali operare il bilanciamento del diritto all’oblio dell’interessato con l’interesse pubblico alla conoscenza delle informazioni che, a meno che non infierisca pesantemente sulla sfera personale dell’interessato, dovrebbe essere prevalente, ha portato le Autorità Garanti per la privacy ad attivarsi nell’elaborazione di criteri comuni per gestire i ricorsi ed i reclami presentati dagli interessati che si erano visti respingere le istanze da parte del motore di ricerca, sollecitando, nel contempo, l’intervento del legislatore europeo al fine di elaborare una disciplina armonica, contenente criteri, procedurali e sostanziali, in forza dei quali operare un equo bilanciamento.

128

6) Genesi del ‘diritto alla cancellazione («diritto all’oblio»)’ di cui all’art. 17 Reg. 2016/679 UE

La Commissione europea, in data 25 gennaio 2012, ha adottato la proposta concernente un regolamento generale sulla protezione dei dati, destinato a sostituire la Direttiva 95/46, animato dal duplice scopo di rafforzare i diritti in materia di protezione dei dati delle persone fisiche e migliorare le opportunità per le imprese, agevolando la libera circolazione dei dati personali nel mercato unico digitale.

Parallelamente alla proposta di Regolamento, la Commissione europea adottava una comunicazione strategica186_{, contenente gli obiettivi, ed una direttiva sul trattamento dei}

dati187_{a fini di attività di contrasto, volte a sostituire la decisione quadro del 2008 sulla}

protezione dei dati.

Il Consiglio europeo invitava così la Commissione a valutare il funzionamento degli strumenti giuridici dell’Unione europea in tema di protezione dei dati e a presentare, se necessario, nuove iniziative legislative e non.

Sul punto il Parlamento europeo, nella risoluzione sul Programma di Stoccolma, rubricata “Uno spazio di libertà, sicurezza e giustizia al servizio dei cittadini188_{”, aveva già accolto}

la proposta relativa ad un quadro giuridico completo in materia di protezione dei dati in Unione europea, chiedendo, tra l’altro, la revisione della decisione quadro. Nel piano d’azione per l’attuazione del programma di Stoccolma, la Commissione europea aveva a sua volta evidenziato la necessità di assicurare l’applicazione sistematica di quello che era stato ritenuto il diritto fondamentale alla protezione dei dati personali nel contesto di tutte le politiche europee. Il piano d’azione sottolineava che: “In una società globalizzata, caratterizzata da un rapido progresso tecnologico, in cui lo scambio d’informazioni non conosce confini, è quanto mai importante garantire il rispetto della vita privata. L’Unione deve assicurare l’applicazione sistematica del diritto fondamentale alla protezione dei dati. Occorre rafforzare la posizione dell’UE in relazione alla protezione dei dati personali

186_{Commissione europea, Comunicazione della Commissione al Parlamento europeo, al Consiglio, al}

Comitato economico e sociale europeo e al Comitato delle regioni per salvaguardare la privacy in un mondo interconnesso. Un quadro europeo della protezione dei dati per il XI Sec., 27 gennaio 2012, n 5852.

187_{Commissione europea, Proposta di Direttiva del Parlamento europeo e del Consiglio, concernente la}

tutela delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali nonché libera circolazione di tali dati, 27 gennaio 2012, n. 5833.

188 _Testo _disponibile _{all’indirizzo}

http://www.europarl.europa.eu/sides/getDoc.do?pubRef=//EP//TEXT+TA+P7-TA-2009- 0090+0+DOC+XML+V0//IT.

129

in tutte le politiche europee, anche nel contrastare e prevenire la criminalità e nelle relazioni internazionali”.

La proposta concernente un regolamento generale sulla protezione dei dati conteneva, già nella versione del 25 gennaio 2012, una previsione esplicita della volontà di disciplinare un diritto all’oblio ed alla cancellazione, in forza del quale l’interessato avrebbe avuto il diritto di ottenere, dal responsabile del trattamento, la cancellazione di dati personali che lo riguardavano e la rinuncia ad una ulteriore diffusione di tali dati, in particolare in relazione a quelli resi pubblici quando lo stesso era minore189_.

189_{Il testo di tale articolo era il seguente:}

«1. L’interessato ha il diritto di ottenere dal responsabile del trattamento la cancellazione di dati personali

che lo riguardano e la rinuncia a un’ulteriore diffusione di tali dati, in particolare in relazione ai dati personali resi pubblici quando l’interessato era un minore, se sussiste uno dei motivi seguenti:

a) i dati non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati; b) l’interessato revoca il consenso su cui si fonda il trattamento, di cui all’articolo 6, paragrafo 1, lettera a), oppure il periodo di conservazione dei dati autorizzato è scaduto e non sussiste altro motivo legittimo per trattare i dati;

c) l’interessato si oppone al trattamento di dati personali ai sensi dell’articolo 19; 252 d) il trattamento dei dati non è conforme al presente regolamento per altri motivi;

2. Quando ha reso pubblici dati personali, il responsabile del trattamento di cui al paragrafo 1 prende tutte le misure ragionevoli, anche tecniche, in relazione ai dati della cui pubblicazione è responsabile per informare i terzi che stanno trattando tali dati della richiesta dell’interessato di cancellare qualsiasi link, copia o riproduzione dei suoi dati personali. Se ha autorizzato un terzo a pubblicare dati personali, il responsabile del trattamento è ritenuto responsabile di tale pubblicazione.

3. Il responsabile del trattamento provvede senza ritardo alla cancellazione, a meno che conservare i dati personali non sia necessario:

a) per l’esercizio del diritto alla libertà di espressione in conformità dell’articolo 80;

b) per motivi di interesse pubblico nel settore della sanità pubblica in conformità dell’articolo 81; c) per finalità storiche, statistiche e di ricerca scientifica in conformità dell’articolo 83;

d) per adempiere un obbligo legale di conservazione di dati personali previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il responsabile del trattamento; il diritto dello Stato membro deve perseguire un obiettivo di interesse pubblico, rispettare il contenuto essenziale del diritto alla protezione dei dati personali ed essere proporzionato all’obiettivo legittimo;

e) nei casi di cui al paragrafo 4.

4. Invece di provvedere alla cancellazione, il responsabile del trattamento limita il trattamento dei dati personali:

a) quando l’interessato ne contesta l’esattezza, per il periodo necessario ad effettuare le opportune verifiche;

b) quando, benché non ne abbia più bisogno per l’esercizio dei suoi compiti, i dati devono essere conservati a fini probatori;

c) quando il trattamento è illecito e l’interessato si oppone alla loro cancellazione e chiede invece che ne sia limitato l’utilizzo;

d) quando l’interessato chiede di trasmettere i dati personali a un altro sistema di trattamento automatizzato, in conformità dell’articolo 18, paragrafo 2. 5. I dati personali di cui al paragrafo 4 possono essere trattati, salvo che per la conservazione, soltanto a fini probatori o con il consenso dell’interessato oppure per tutelare i diritti di un’altra persona fisica o giuridica o per un obiettivo di pubblico interesse. 6. Quando il trattamento dei dati personali è limitato a norma del paragrafo 4, il responsabile del trattamento informa l’interessato prima di eliminare la limitazione al trattamento.

7. Il responsabile del trattamento predispone i meccanismi per assicurare il rispetto dei termini fissati per la cancellazione dei dati personali e/o per un esame periodico della necessità di conservare tali dati.

130

Il testo veniva successivamente emendato, con l’esclusione del diritto all’oblio ed alla cancellazione in favore di un ‘diritto alla cancellazione’, che prevedeva il diritto dell’interessato ad ottenere, dal responsabile del trattamento, la cancellazione di dati personali che lo riguardassero, la rinuncia ad un’ulteriore diffusione di tali dati nonché la possibilità di ottenere da terzi la cancellazione di qualsiasi link, copia o riproduzione di dati, al sussistere di determinate condizioni.

Il tema connesso alla possibilità di disciplinare il diritto all’oblio mediante una norma positiva ha altresì attirato le attenzioni della dottrina190_.

L’iniziativa legislativa del Parlamento europeo si concretizzava poco tempo dopo, il 25 gennaio 2012: in tale sede, il Comitato per le libertà civili, la giustizia e gli Affari interni auspicava un nuovo regolamento che avrebbe dovuto, tra l’altro, tutelare il diritto all’oblio ed alla cancellazione. Il Comitato per l’Energia, venendo migliorate le informazioni sui diritti e sulla protezione dei dati e auspicando l’introduzione del diritto di rettifica, di oblio e di cancellazione, nonché di quelli di opposizione ed alla portabilità dei dati, manifestava parere positivo, nell’intento di vedere rafforzata la fiducia dei consumatori nei confronti dei servizi on-line.191

Dello stesso avviso appariva il Comitato giuridico, il quale, per bocca di Marielle Gallo192_{, chiariva come fosse necessario rafforzare anche il diritto all’oblio, proponendo}

d’introdurre un obbligo, a carico del responsabile del trattamento, di informare l’interessato della risposta data dai terzi alla richiesta.

8. Quando provvede alla cancellazione, il responsabile del trattamento si astiene da altri trattamenti di tali dati personali.

9. Alla Commissione è conferito il potere di adottare atti delegati in conformità all’articolo 86 al fine di precisare:

a) i criteri e i requisiti per l’applicazione del paragrafo 1 per specifici settori e situazioni di trattamento dei dati;

b) le condizioni per la cancellazione di link, copie o riproduzioni di dati personali dai servizi di comunicazione accessibili al pubblico, come previsto al paragrafo 2;

c) i criteri e le condizioni per limitare il trattamento dei dati personali, di cui al paragrafo 4».

190_{In senso critico G. H}_ORNUNG_{, Eine Datenschutz-Grundverordnung fur Europa, in Licht und Schatten}

im kommissionsentwurf vom, ZD, 2012, vol. 25, 99-106.

191_{L’iniziativa 2012/0011 (COD) prevedeva la necessità di «provides the data subject’s right to be}

forgotten and to erasure». Curiosamente la versione francese dello stesso documento diversamente

indicava «un droit a l’oublì numerique tout en precisant le droit d’effacement prevu a la directive 95/46

CE», prevedendo così un diritto alla cancellazione valido unicamente nell’ambiente digitale.

192_M_ARIELLE_G_ALLO_{, Relatore del Progetto di parere della Commissione giuridica destinato alla}

Commissione per le libertà civili, la giustizia e gli affari interni sulla proposta di regolamento del Parlamento europeo e del Consiglio, concernente la tutela delle persone fisiche con riguardo al trattamento dei dati personali e alla libera circolazione di tali dati. (COM (2012)0011- C7-0025/2012-

131

Il 12 marzo 2014 il Parlamento europeo approvava il testo definitivo, cancellandovi la menzione del diritto all’oblio in favore di un diritto alla cancellazione, che avrebbe consentito all’interessato “di ottenere da terzi la cancellazione di qualsiasi link, copia o riproduzione di tali dati193_”.

193_{Il testo di tale articolo è il seguente:}

«1. L’interessato ha il diritto di ottenere dal responsabile del trattamento la cancellazione di dati personali

che lo riguardano e la rinuncia a un’ulteriore diffusione di tali dati e di ottenere da terzi la cancellazione di qualsiasi link, copia o riproduzione di tali dati, se sussiste uno dei motivi seguenti:

c) l’interessato si oppone al trattamento di dati personali ai sensi dell’articolo 19; c bis) un tribunale o autorità di regolamentazione dell’Unione ha deliberato in maniera definitiva e assoluta che i dati in questione devono essere cancellati;

d) i dati sono stati trattati illecitamente. 1 bis. L’applicazione del paragrafo 1 dipende dalla capacità del responsabile del trattamento di verificare che la persona che richiede la cancellazione sia l’interessato. 2. Quando ha reso pubblici dati personali ingiustificatamente conformemente all’articolo 6, paragrafo1, il responsabile del trattamento prende tutte le misure ragionevoli per far cancellare i dati, anche da parte di terzi, fatto salvo l’articolo 77. Il responsabile del trattamento informa l’interessato, ove possibile, dell’azione intrapresa da parte dei terzi interessati.

3. Il responsabile del trattamento e, se del caso, i terzi provvedono senza ritardo alla cancellazione, a meno che conservare i dati personali non sia necessario:

a) per l’esercizio del diritto alla libertà di espressione in conformità dell’articolo 80;

e) nei casi di cui al paragrafo 4.

4. Invece di provvedere alla cancellazione, il responsabile del trattamento limita il trattamento dei dati personali in modo tale che non siano sottoposti al normale accesso ai dati e alle operazioni di trattamento e che non possano più essere modificati:

a) quando l’interessato ne contesta l’esattezza, per il periodo necessario ad effettuare le opportune verifiche;

b) quando, benché non ne abbia più bisogno per l’esercizio dei suoi compiti, i dati devono essere conservati a fini probatori;

c) quando il trattamento è illecito e l’interessato si oppone alla loro cancellazione e chiede invece che ne sia limitato l’utilizzo;

c bis) quando un tribunale o autorità di regolamentazione dell’Unione ha deliberato in maniera definitiva e assoluta che i dati in questione devono essere limitati;

d) quando l’interessato chiede di trasmettere i dati personali a un altro sistema di trattamento automatizzato, in conformità dell’articolo 15, paragrafo 2 bis.

d bis) quando la particolare tecnologia di memorizzazione non consente la cancellazione ed è stata installata prima dell’entrata in vigore del presente regolamento.

5. I dati personali di cui al paragrafo 4 possono essere trattati, salvo che per la conservazione, soltanto a fini probatori o con il consenso dell’interessato oppure per tutelare i diritti di un’altra persona fisica o giuridica o per un obiettivo di pubblico interesse.

6. Quando il trattamento dei dati personali è limitato a norma del paragrafo 4, il responsabile del trattamento informa l’interessato prima di eliminare la limitazione al trattamento.

7. Soppresso

8. Quando provvede alla cancellazione, il responsabile del trattamento si astiene da altri trattamenti di tali dati personali.

132

Giunto in sede di Consiglio dell’Unione Europea, i diversi orientamenti dei componenti ivi presenti consentivano una convergenza di vedute che si traduceva nell’approvazione di numerosi194_{emendamenti, contenuti poi nel testo definitivo. Tale testo veniva poi}

pubblicato il 4 maggio 2016 sulla Gazzetta Ufficiale dell’Unione europea, insieme alla Direttiva che regola il trattamento dei dati personali nei settori di prevenzione, contrasto e repressione dei crimini. Il Regolamento sarebbe stato vigente, in via diretta in tutti gli Stati europei, a partire dal 25 maggio 2018.

Nel documento Il diritto all’oblio e i suoi confini: quando il dovere del ricordo annebbia l’ombra del tempo (pagine 128-135)