Il diritto all’oblio nei confronti dei motori di ricerca

Il 02/12/2019 l’EDPB ha pubblicato la quinta release delle guidelines sull’esercizio del diritto all’oblio nei confronti dei motori di ricerca. Trattandosi di un diritto molto importante, è interessante comprendere come esse interpretino l’art. 17 del GDPR.

Giovanni Ricci

Il diritto all’oblio esercitato nei confronti dei motori di ricerca genera la cancellazione dei risultati ottenuti (ad esempio) su Google, utilizzando il nome di una persona, dal novero dei link relativi ai contenuti pubblicati da siti terzi circa quella medesima persona (delisting); mentre detti contenuti rimangono accessibili grazie a ricerche basate su termini diversi dal nome della persona.

Le basi giuridiche dell’esercizio del diritto all’oblio nei confronti dei motori di ricerca web.

L’art. 17.1 del GDPR elenca 6 basi giuridiche, in forza delle quali si può chiedere ai motori di ricerca il delisting.

a) Quando i dati personali non sono più necessari per il trattamento eseguito dal motore di ricerca; il diritto sussiste quando i dati raccolti dal motore di ricerca non sono più attuali o aggiornati a causa del tempo intercorso dal momento del loro conferimento (spesso un riferimento sicuro, in tale frangente, è rappresentato dal periodo stabilito per la conservazione dei dati).

b) Quando il titolare dei dati revoca il consenso al trattamento (anche con riferimento ai dati sensibili oggetto dell’art. 9.2 lettera a), e non esiste altra differente base giuridica a sostegno del trattamento. È una ipotesi rara per i motori di ricerca; poiché essi non raccolgono direttamente i dati personali, ma indicizzano semplicemente i contenuti pubblicati altrove; a meno che il titolare dei dati abbia esercitato il diritto di cancellazione dei contenuti nei confronti del titolare del trattamento che li ha generati (ad esempio un organo di stampa), essendone in questo caso il delisting una sua semplice conseguenza.

c) Quando il titolare dei dati ha esercitato il diritto di opposizione (art. 21 del GDPR) sulla base di una sua “particolare situazione personale”. Si realizza qui una inversione dell’onere della prova; poiché il motore di ricerca è obbligato ad assentire; a meno che non dimostri la presenza di “prevalenti legittime ragioni” di ordine contrario.

d) Quando il trattamento è illecito ai sensi dell’art. 6 del GDPR, oppure in forza di particolari disposizioni della normativa interna di uno Stato dell’Unione, ovvero ancora in forza di un ordine/provvedimento amministrativo/giudiziario. A questo riguardo è utile ricordare che quando il trattamento originario è illecito, il delisting rientra nell’ipotesi precedente.

e) Quando il trattamento è illegittimo sulla base di una ingiunzione legale o di un obbligo di legge. Si tratta di una ipotesi che prende in considerazione i trattamenti proseguiti oltre il legittimo periodo di conservazione dei dati, ovvero i trattamenti eseguiti prescindono dalla dovuta anonimizzazione dei dati.

f) Quando i dati personali sono stati raccolti in occasione dell’offerta a un minore di servizi della società dell’informazione. È difficile capire cosa significhi l’espressione “servizi della società dell’informazione”; ma per averne un’idea si può pensare a tutti quei servizi offerti online che, indipendentemente da una loro remunerazione diretta, rappresentano e/o sono il risultato di una attività economica (come per esempio quelli che offrono gratuitamente comunicazioni commerciali). In questo caso, i motori di ricerca sono tenuti al delisting qualora il soggetto che ha originariamente raccolto i dati li abbia trattati quando il loro titolare era minorenne.