Il GDPR per le piccole (e piccolissime) imprese
Innanzi tutto partiamo dal presupposto: per ottenere la deindicizzazione del proprio nome dai motori di ricerca occorre che i propri dati personali siano stati pubblicati lecitamente sul web (in una graduatoria, in un provvedimento amministrativo, in un articolo o un post ecc…); inoltre occorre che, in ragione del decorso del tempo, l’attualità della pubblicazione sia venuta meno e, con essa, sia venuto meno anche l’interesse della collettività alla conoscenza dell’informazione.
Ho già parlato del diritto all’oblio e qui e non mi dilungherò ulteriormente. In questa sede vorrei invece limitarmi a dare qualche indicazione pratica, sottolineando solo, preliminarmente, alcune delle condizioni che deve soddisfare il trattamento di dati personali per essere lecito, in ordine soprattutto alla diffusione sul web.
Trattamento illecito
La regola generale è che non si possano diffondere dati personali altrui sul web senza aver ottenuto il preventivo consenso da parte dell’interessato. Il consenso deve essere libero, specifico e informato e va registrato in per iscritto. Nel caso di dati sensibili (cioè dati personali idonei a rivelare l’origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché lo stato di salute e la vita sessuale) il consenso deve essere prestato in forma scritta (attenzione: per il trattamento di dati sensibili occorre anche l’autorizzazione del Garante. L’acquisizione del consenso è, quindi, condizione necessaria ma non sufficiente).
Il consenso non si può desumere da un comportamento e non può essere implicito. Ad esempio, la comunicazione dei dati personali a una o più persone, operata direttamente dall’interessato, non rappresenta un consenso prestato alla diffusione. Comunicazione e diffusione sono infatti due cose ben diverse, come chiarisce la normativa: “comunicazione” è “il dare conoscenza dei dati personali a uno o più soggetti determinati diversi dall’interessato (…), in qualunque forma, anche mediante la loro messa a disposizione o consultazione”; mentre “diffusione” è “il dare conoscenza dei dati personali a soggetti indeterminati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione”;
Questa regola vale anche per i privati. L’eccezione prevista dall’articolo 5 del Codice Privacy infatti non esonera completamente dall’applicazione del Codice della Privacy, anzi: l’articolo 5 prevede che “il trattamento di dati personali effettuato da persone fisiche per fini esclusivamente personali è soggetto all’applicazione del presente codice solo se i dati sono destinati ad una comunicazione sistematica o alla diffusione. Si applicano in ogni caso le disposizioni in tema di responsabilità e di sicurezza dei dati di cui agli articoli 15 e 31.” Ciò sta a significare che una volta che si intenda far fuoriuscire i dati dalla propria sfera di dominio, ad esempio pubblicandoli sul web o su un profilo social, si esce anche dall’ambito di esenzione delineato dalle finalità esclusivamente personali, e trovano piena applicazione tutti gli adempimenti previsti dal Codice Privacy in capo al titolare. Ciò anche se non si trae alcun guadagno dalla diffusione ed essa non è riconducibile alla propria attività lavorativa o professionale ma attiene alla propria vita privata, amicale e familiare.
Un contemperamento a quanto detto sino ad ora si trova per alcuni tipi di trattamento (scopi storici, statistici o per finalità giornalistiche e altre manifestazioni del pensiero). In questi casi sono previste deroghe più o meno ampie alla normale disciplina del consenso e di altri adempimenti (ad esempio, per quanto riguarda l’informativa). Per non appesantire troppo, parlerò di quella maggiormente fraintesa, ossia della disposizione secondo cui “possono essere trattati i dati personali relativi a circostanze o fatti resi noti direttamente dagli interessati o attraverso loro comportamenti in pubblico”. I dati resi noti direttamente dall’interessato non possono essere trattati impunemente: si tratta di una deroga alla normale disciplina che opera solo nell’ambito delle finalità sopra descritte.
Per quanto riguarda l’attività giornalistica, rientra nell’ambito di applicazione della speciale disciplina prevista dal Codice della Privacy anche il trattamento “temporaneo finalizzato esclusivamente alla pubblicazione o diffusione occasionale di articoli, saggi e altre manifestazioni del pensiero anche nell’espressione artistica”, ossia il trattamento svolto, ad esempio, da blogger o youtubers, o, ancora, da chiunque attraverso i social network.
Il trattamento di favore riservato all’attività giornalistica (e affini) deriva dalla necessaria contemplazione tra contrapposti diritti (privacy e protezione dei dati da una parte, diritto di cronaca e libertà di espressione dall’altra); poiché però il fatto che da grandi poteri derivano grandi responsabilità vale anche nell’ambito della protezione dei dati, occorre anche che il trattamento dei dati effettuato da blogger, youtubers, ecc. rispetti gli oneri previsti per la categoria giornalistica (ad esempio, il rispetto del principio di essenzialità dell’informazione e del codice deontologico allegato al Codice della Privacy) che sono il rovescio della medaglia del favore accordato nel bilanciamento degli interessi operato dal legislatore; altrimenti si cade nel trattamento illecito, che è sanzionato sia sotto il profilo amministrativo che penale. Inoltre all’interessato è riconosciuto il diritto a essere risarcito dei danni eventualmente patiti.
Un’altra premessa da fare è che in questi ambiti, soprattutto nel caso di trattamento illecito operato sul web, possono incontrarsi diverse fattispecie, dalla violazione dei diritti d’autore, alla tutela dell’immagine, a quella della reputazione. Non è questa la sede per una complessa analisi delle interferenze o delle ipotesi di concorso tra le varie fattispecie, basti qui ricordare che la tutela apportata dalla normativa posta a protezione dei dati personali non esaurisce da sola lo spettro dei rimedi esperibili.
L’ordinamento, comunque, ha previsto vari rimedi contro il trattamento illecito dei dati, ma tra questi non c’è il diritto all’oblio. Come abbiamo detto prima, infatti, il primo presupposto per ottenere la deindicizzazione del proprio nome dai motori di ricerca, facendo leva sul diritto all’oblio, è che il trattamento dal quale si origini la richiesta dell’interessato di essere “dimenticato”, fosse lecito.
Come ottenere la deindicizzazione del proprio nome dai motori di ricerca
Chi si trovi nella posizione di poter esercitare il diritto all’oblio, cosa deve fare in concreto?
Principalmente si possono scegliere due strade, oltre alla tutela in sede civile, sulla quale non mi soffermerò, ma è che sempre possibile esperire (non solo, quindi, in via di opposizione a un provvedimento del Garante nei casi previsti).
- La via più semplice e immediata è domandare la deindicizzazione al motore di ricerca. I principali motori di ricerca hanno approntato una pagina ad hoc, con un modulo di facile compilazione. Per chiedere la deindicizzazione del proprio nome dal motore di ricerca, pertanto, si possono utilizzare il modulo di Google, il modulo di Yahoo e il modulo di Bing. La valutazione circa la fondatezza della richiesta inoltrata è discrezionale, ed è appannaggio del motore di ricerca. Nel caso non venga soddisfatta la richiesta, sarà possibile rivolgersi al Garante, per domandarne l’intervento nelle forme consuete (il provvedimento preso dal Garante su ricorso dell’interessato, ove ritenuto non soddisfacente, potrà poi essere opposto dall’interessato stesso innanzi al Giudice Civile). Oppure, come si è accennato sopra, si potrà tentare di far valere direttamente il proprio diritto in sede civile.
- La seconda via, invece, consiste nell’ interpellare direttamente il titolare dei dati personali che ha operato la pubblicazione, al quale si può domandare di non rendere i propri dati personali reperibili a tutti i motori di ricerca e di inserire la pubblicazione nell’archivio del sito, in modo che sia raggiungibile solo attraverso il motore di ricerca interno. Anche in questa ipotesi, in caso di diniego, è possibile interpellare il Garante, in contraddittorio con il Titolare, per ottenere un provvedimento che dia seguito alla richiesta; in caso di diniego anche da parte del Garante o di rigetto del ricorso si può opporre il provvedimento dell’Autorità innanzi al Giudice Civile. Come si è detto sopra, anche in questo caso ci si può rivolgere direttamente al Giudice, senza necessariamente passare dal procedimento innanzi al Garante.
Il Garante per la protezione dei dati ha predisposto una pagina in cui chiarisce i vari rimedi esperibili innanzi all’Autorità stessa per la tutela dei propri dati personali; la pagina è consultabile qui.
Aggiornamento, rettificazione e integrazione
Con particolare riferimento alla deindicizzazione del proprio nome dai motori di ricerca, il Garante per la Protezione dei dati ha chiarito, altresì, che anche quando la notizia contestata risulti essere molto recente, di sicuro interesse pubblico e i dati personali riportati siano stati trattati nel rispetto del principio di essenzialità dell’informazione, e, quindi, non sia possibile ottenere la deindicizzazione per il prevalere del diritto di cronaca sul diritto all’oblio, la persona interessata che ritenga non veritiere o inesatte le notizie che la riguardano, può comunque chiedere all’editore l’aggiornamento, la rettificazione e l’integrazione dei dati contenuti nell’articolo.
Tale principio è applicabile anche ai cosiddetti “snippet“, ovvero alle sintesi automatiche generate dal motore di ricerca e poste a corredo dei risultati.
Quand’anche, pertanto, non si possa ottenere la deindiciizzazione del proprio nome dai motori di ricerca è comunque possibile chiedere ai motori di ricerca la cancellazione o la modifica di uno snippet che restituiscea una sintesi inesatta e fuorviante rispetto all’articolo originale.
Infine: uno dei rischi maggiori, quando si tratta di oblio, ma anche di trattamento illecito di dati personali (e ogni volta che si è coinvolti in una controversia suscettibile di scatenare l’interesse del pubblico), è l’effetto Streisand: si finisce col dare ancora più rilievo alle informazioni che si vorrebbero eclissare. Chiedere l’anonimizzazione dei provvedimenti del Garante o giudiziari non risolve il problema, ma costituisce il primo, ineludibile passo per cercare di contenerlo.
Tutti i contenuti presenti nel blog, ove non diversamente specificato, sono distribuiti con licenza Creative Commons Attribuzione – Condividi allo stesso modo 4.0 Internazionale.
Articoli correlati
