Diritto all’oblio in Europa

Diritto all’oblio in Europa

di Francesca Gollin

---

Disposizioni normative europee in materia di diritto all’oblio

Il diritto all’oblio è il diritto di una persona alla tutela della propria riservatezza, della propria identità personale, del proprio onore e reputazione.

Si tratta di un diritto recente dal momento che, in passato, le persone non erano esposte alla rete Internet e a tutti i dati che vi circolano: le ricerche su un determinato soggetto venivano condotte in modo cartaceo o mediante accesso a determinati archivi pubblici, mediante eventualmente specifiche motivazioni e autorizzazioni. Diversamente, al giorno d’oggi, le testate giornalistiche, anche locali, hanno una loro pagina web, così come informatici sono i database dei tribunali e degli organi inquirenti, con la conseguenza i dati personali di persone anche non necessariamente famose o di rilievo pubblico sono destinati a circolare a tempo indefinito in rete.

È stato grazie alla sollecitazione delle agenzie per la protezione dei dati personali dei singoli stati membri, in particolare proprio l’Italia, la Francia, la Spagna e la Germania, che la Commissione Europea ha adottato norme comuni a tutta l’Europa in merito alla tutela dei dati personali e, nello specifico, al diritto alla cancellazione degli stessi.

Il diritto all’oblio è dunque attualmente disciplinato da fonti europee comuni, quali:

• Il Regolamento n. 2016/679 (meglio conosciuto come “GDPR”):

il diritto all’oblio è tutelato dall’art. 17 – “Protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati”, il quale stabilisce che l’interessato può decidere in qualunque momento di chiedere la cancellazione dei propri dati personali.

Il titolare del trattamento, ovvero colui che gestisce o ha pubblicato dati personali di qualche individuo, ha l’obbligo di cancellare tali dati senza ingiustificato ritardo ogni qualvolta lo richiede l’interessato, ed inoltre quando:

• i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati;
• l’interessato revoca il consenso su cui si basa il trattamento;
• l’interessato si oppone al trattamento;
• i dati personali sono stati trattati illecitamente;
• i dati personali devono essere cancellati per adempiere ad un obbligo giuridico previsto dal diritto dell’Unione o dello stato membro cui è soggetto il titolare del trattamento;
• i dati personali sono stati raccolti relativamente all’offerta di servizi della società dell’informazione.

Lo stesso articolo 17 delimita tuttavia il diritto alla cancellazione appena descritto; pertanto, l’istanza dell’interessato può essere rigettata qualora il trattamento dei suoi dati sia avvenuto:

• per l’esercizio del diritto alla libertà di espressione e di informazione;
• per l’adempimento di un obbligo giuridico che richieda il trattamento previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento o per l’esecuzione di un compito svolto nel pubblico interesse oppure nell’esercizio di pubblici poteri di cui è investito il titolare del trattamento;
• per motivi di interesse pubblico nel settore della sanità pubblica;
• a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici;
• per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria.
• La Convenzione europea dei diritti dell’uomo del 1950 (“CEDU”), che all’articolo 8 sancisce il diritto al rispetto della vita privata e familiare, inteso come diritto fondamentale:

Articolo 8 — Diritto al rispetto della vita privata e familiare

1. Ogni persona ha diritto al rispetto della propria vita privata e familiare, del proprio domicilio e della propria corrispondenza.
2. Non può esservi ingerenza di una autorità pubblica nell’esercizio di tale diritto a meno che tale ingerenza sia prevista dalla legge e costituisca una misura che, in una società democratica, è necessaria alla sicurezza nazionale, alla pubblica sicurezza, al benessere economico del paese, alla difesa dell’ordine e alla prevenzione dei reati, alla protezione della salute o della morale, o alla protezione dei diritti e delle libertà altrui.

La giurisprudenza più recente della Corte Europea dei Diritti Umani in tema di oblio

Per quanto le norme descritte possano apparire di chiara formulazione, il diritto all’oblio non è un diritto assoluto, ma deve essere controbilanciato dal diritto della generalità ad essere informata su eventi passati e contemporanei. Per tale motivo, la “case law”, ovvero la declinazione concreta di tale diritto nella giurisprudenza della Corte Europea è di fondamentale importanza per stabilire i criteri di esercizio del diritto in questione, per comprendere quando è “lecito” e probabile che un’istanza di cancellazione venga accolta dai giudici, e quando no.

Di seguito verrà esaminato l’indirizzo della Corte di Strasburgo in relazione ad alcune vicende recenti, al fine di chiarire l’approccio più contemporaneo dei giudici in materia di oblio.

Nel caso M.L. e WW c. Germania, 2018, la Corte non ha ravvisato violazione dell’art. 8 della CEDU, rigettando l’istanza di oblio due persone condannate omicidio e rilasciate quattordici anni dopo per aver scontato la pena detentiva, disponendo il mantenimento delle notizie che li riguardavano. È curioso come la Corte, nell’effettuare il bilanciamento tra il diritto all’oblio e il diritto di cronaca, abbia prestato rilievo alle immagini raffigurate negli articoli a suo tempo pubblicati in rete: poiché tali fotografie risalivano a tredici anni prima, si riduceva la probabilità per gli istanti di essere riconosciuti dalla generalità dei consociati e questa “tutela” nel caso di specie è stata ritenuta sufficiente e congrua dalla Corte.

In senso contrario, è stata ravvisata violazione dell’art. 8 della CEDU nel caso M.M. c. Regno Unito, 2012, in relazione all’iscrizione di una misura cautelare nel casellario giudiziale del soggetto istante. La Corte ha infatti ritenuto che soprattutto un avvertimento o un provvedimento interdittivo diventino, con il passare del tempo, parte degli aspetti privati della vita di una persona (nel caso in questione l’evento era accaduto nel 2000 e nel 2006 era stata rigettata una domanda di impiego di M.M. sulla base dell’esito del casellario giudiziale). Nonostante la funzione pubblicistica del casellario giudiziale, l’archiviazione sistematica di tali informazioni comporta la loro divulgazione anche a distanza di molto tempo, quando ormai l’”incidente” è stato dimenticato. Inoltre, nel caso di specie, i criteri di revisione per consentire la cancellazione dei dati apparivano molto restrittivi e le richieste di cancellazione erano ammesse solo in casi eccezionali.

La violazione dell’art. 8 è stata riscontrata con ancor maggiore evidenza in caso di archiviazione nei registri pubblici di dati sensibili riguardanti l’orientamento politico di una persona (caso Catt c. Regno Unito, 2019). Il signor Catt, attualmente novantaquattrenne e residente a Brighton, veniva arrestato due volte per ostruzionismo alla polizia nel corso di manifestazioni pubbliche, senza tuttavia riportare alcuna condanna. I suoi dati personali venivano inseriti nel database riservato ai agli “estremisti”. Dopo una serie di decisioni contrastanti tra Tribunale, Corte d’Appello e Corte Suprema, la Corte Europea dei Diritti Umani ha espresso preoccupazione in relazione agli (scarsi) fondamenti giuridici sulla base dei quali continuavano ad essere trattenuti i dati personali del sig. Catt, nonché il fatto che avrebbero potuto essere conservati per un tempo indefinito. La Corte ha infine precisato che i dati personali riguardanti opinioni politiche devono essere considerati dati sensibili, soggetti ad una protezione maggiore rispetto agli altri dati. Per quanto riguarda i dati del sig. Catt relativi alla protesta pacifica, non era stato dimostrato né che la loro conservazione fosse assolutamente necessaria né che la cancellazione dei dati sarebbe stata eccessivamente gravosa per gli organi di polizia.

Il caso Ayçaguer c. Francia, 2017, riguardava la vicenda del sig. Ayçaguer, accusato di violenza a margine di una manifestazione di agricoltori e il suo rifiuto di sottoporsi ad un campionamento del DNA. Tale rifiuto, ai sensi della legge francese, costituisce reato e il signore veniva condannato in sede penale al pagamento di una multa. Invocando l’art. 8 Cedu, il ricorrente lamentava una violazione del suo diritto al rispetto della vita privata. I giudici di Strasburgo hanno affermato che l’attuale sistema di ritenzione dei profili di Dna nel sistema di conservazione dati francese non offre, in ragione della durata della conservazione e dell’impossibilità di presentare istanza di cancellazione, una protezione sufficiente per la persona interessata e non riflette un giusto bilanciamento tra gli interessi, pubblici e privati, coinvolti. La condanna penale del sig. Aycaguer, per essersi rifiutato di sottoporsi ad un prelievo biologico per la registrazione del suo profilo, è una violazione sproporzionata del diritto al rispetto della vita privata e non può essere considerata come necessaria in una società democratica. La Corte ha sottolineato che le persone condannate, come le persone sospettate di aver commesso un reato, prosciolte o assolte, dovrebbero avere la possibilità concreta di presentare una richiesta di cancellazione dei dati memorizzati, in modo da garantire che il periodo di conservazione dei dati sia proporzionata alla natura dei reati e alle finalità delle restrizioni (B.B. c. Francia, 2009; Brunet c. Francia, 2014).

In un recentissimo caso riguardante il bilanciamento tra il diritto di cronaca e il diritto all’oblio, Mediengruppe Österreich GmbH c. Austria, 2022, la Corte di Strasburgo ha privilegiato quest’ultimo in relazione alla pubblicazione di una foto del fratello di un candidato alle elezioni presidenziali, identificandolo come un “neo-Nazista condannato”. I giudici hanno rilevato l’insussistenza di un diritto di cronaca in relazione a tale fatto, accaduto vent’anni prima della pubblicazione dell’articolo e circa diciassette anni prima dall’aver il soggetto scontato la sua pena. In particolare, non è stata ravvisata lesione del diritto di informazione sulla base del lasso di tempo trascorso, la perdita di notorietà del soggetto interessato e la sua reintegrazione nella comunità.

Conclusioni

Nel contesto di continua evoluzione del diritto all’oblio e delle norme che disciplinano la conservazione dei dati personali, le pronunce della Corte dei Dritti Umani sono di fondamentale rilievo e i suoi orientamenti sono una guida importante per i professionisti e per le persone interessate al trattamento dei dati da parte di testate giornalistiche ma anche, come si è visto dai casi analizzati, da database di organi pubblici/statali.

Da un lato c’è la rete Internet, che non dimentica, dall’altro una normativa (GDPR) la cui interpretazione e il cui bilanciamento con gli altri interessi in gioco, tra cui il diritto di cronaca, è affidata in prima istanza ai giudici e alle corti nazionali.

Ogni stato, potenzialmente, è libero di applicare le norme stabilite dal GDPR e le proprie norme interne in tema di privacy in modo difforme: basti pensare che, mentre in Italia, proprio questo mese, il Garante della Privacy ha espresso parere favorevole per la riforma del processo penale, suggerendo di introdurre un forma di “oblio” più incisiva e immediata per le persone destinatarie di provvedimenti giudiziari di archiviazione o proscioglimento, nel Regno Unito si è di recente assistito ad una controversia avente ad oggetto la pubblicazione di informazioni relative ad un’indagine criminale specificamente indicate come “confidenziali”, con conseguenti potenziali danni irreparabili sia alle autorità indaganti, sia alla reputazione dei soggetti interessati (caso Bloomberg LP c. ZXC, risolto dalla Suprema Corte inglese a favore del soggetto istante la cancellazione dell’articolo pubblicato online dal giornale).

In uno scenario caratterizzato da interpretazioni e approcci variegati al tema privacy e reputazione, il lavoro di indirizzo e uniformità svolto dalla Corte Europea appare di notevole spessore.

Rimane ugualmente chiaro che la disciplina del GDPR e le pronunce della Corte Europea hanno rilievo esclusivamente nel territorio dell’Unione. In tal senso, se la rete internet è senza confini, un’attività di deindicizzazione di contenuti limitata ai soli domini europei si sostanzia in una tutela potenzialmente poco efficace.

Le Autorità europee hanno già affermato che l’obbligo di deindicizzazione in capo a Google deve intendersi come “obbligo di risultato”, estendendo tale tutela a tutti i domini interessati (caso Google Inc./Agencia Española de Protección de Datos, Mario Costeja González, causa 131/12). Tuttavia, scarso è il supporto che viene fornito oltreoceano su queste tematiche non esistendo, in particolare negli Stati Uniti, un riconoscimento esplicito né del diritto all’oblio, né del diritto alla rimozione di dati sensibili da database pubblici.

Sebbene il dibattito sia attuale e siano state emanate leggi in settori specifici, come nell’ambito dei minori di età e della tutela di dati sensibili da parte delle aziende, non sussistono attualmente una disciplina specifica che consenta di assicurare ai soggetti interessati una tutela estesa a tutto il web, come invece sarebbe auspicabile vista, appunto, l’assenza di confini che caratterizza il circolare delle informazioni in Internet.