venerdì, Marzo 29, 2024
Uncategorized

Il Provvedimento n. 116 del Garante Privacy: il diritto all’oblio e gli archivi online

Il Provvedimento n. 116 del Garante Privacy: il diritto all’oblio e gli archivi online.
Il Garante per la privacy nega la cancellazione di un articolo dall’archivio on-line di un quotidiano. 

a cura di Ylenia Falcone

Abstract

Il Garante per la Protezione dei Dati Personali, mediante il Provvedimento n. 116[1] del 25 marzo 2021, ha ritenuto infondata la richiesta di cancellazione di dati, avanzata dal “Titolare”, contenuti in un estratto nell’archivio on-line di un quotidiano. Ciò in quanto, il diritto all’oblio, e dunque ad essere “dimenticati”, incontra il proprio limite nell’esercizio del diritto alla libertà di espressione.

Il diritto all’oblio e l’evoluzione digitale

Il diritto all’oblio, nella sua duplice veste di diritto ad essere dimenticati e potere di controllare il flusso dei propri dati – la cui genesi all’interno del nostro ordinamento può rintracciarsi nelle storiche sentenze della Corte di Cassazione n.1563/58[2] e 3679/98 – è riconducibile al legittimo interesse di riservatezza rispetto ad avvenimenti del passato che possano, per la loro diffusione in contenuti cronachistici, minare la dignità e l’onore dei soggetti coinvolti.

Con l’avvento dell’evoluzione digitale e la pedissequa facilità con cui le informazioni vengono veicolate sul Web, abbiamo assistito al massivo potenziamento del diritto di informazione degli utenti della rete, e allo stesso tempo, di converso, all’acuirsi della preoccupazione circa le rischiose ricadute nell’ambito del diritto alla riservatezza dei singoli. Con riferimento alla rete internet, quindi, l’apprensione circa la tutela del c.d. Interessato nascerebbe dalla persistenza delle “informazioni” conservate nella memoria storica ed eterna delle pagine web, a monte, negli archivi storici dei quotidiani[3].

Nelle more della metamorfosi digitale, il diritto all’oblio ha assunto, così, molteplici sfaccettature. Secondo l’originario significato, quest’ultimo si concretizza, preliminarmente, nel legittimo interesse dei soggetti coinvolti a non vedere ripubblicate notizie allorquando sia trascorso un notevole lasso di tempo dalla legittima prima divulgazione e, parimenti, qualora non sussista un attuale interesse alla ritrattazione della medesima.

Nel solco delle pronunce della Corte della nomofilachia[4], invece, il diritto all’oblio ha assunto le vesti di una “garanzia” posta a tutela del soggetto cui i dati pertengono, tesa incontrovertibilmente alla tutela della di sua identità personale o morale, attuata mediante l’aggiornamento della notizia da parte delle testate giornalistiche on-line. Ai fini, dunque, della liceità e della correttezza del trattamento della notizia e della relativa diffusione on-line, secondo gli Ermellini è, da sempre, apoditticamente necessario che l’informazione e i dati trattati risultino opportunamente integrati e aggiornati e, dunque, contestualizzati rispetto allo status della realtà presente.

Da ultimo, per l’effetto dell’art. 17 del Regolamento europeo 679/2016[5] (c.d. GDPR), invece, il diritto all’oblio è stato inquadrato, quale diritto dell’interessato, attesa la sussistenza di determinate condizioni, ad ottenere senza ingiustificato ritardo, la cancellazione dei dati personali che direttamente lo riguardano[6].

Il limite del diritto all’oblio: il diritto di manifestare il proprio pensiero ex art. 21 della Costituzione

L’esistenza del diritto all’oblio è stata affermata sia nella giurisprudenza comunitaria che in quella nazionale con riferimento a vicende differenti nelle quali, però, la cui base comune è stata costantemente rintracciata nell’insopprimibile esigenza di armonizzazione tra due diversi diritti fondamentali: il diritto di cronaca, posto al connaturale servizio dell’interesse pubblico all’informazione, ed il diritto della persona a che certe vicende della propria vita non tornino alla ribalta, qualora non più connotate dai caratteri dell’attualità.

In ambito comunitario, sia la Corte di Giustizia UE che la Corte EDU sono state più volte adite affinché dettassero dei “criteri pilota” utili al bilanciamento tra i due diritti succitati. In particolare, nella storica vicenda che vedeva coinvolta Google Spain[7], la Corte di Giustizia EU ha incontrovertibilmente accertato che siffatta attività di pubblicazione di notizie, può incidere in maniera significativa sui diritti fondamentali della persona coinvolta, nella sua vita privata e nella sua proiezione sociale, atteso che – muovendo dal solo nominativo di una persona – è possibile, per qualsiasi utente di Internet ed in qualsiasi momento, accedere ad una visione complessiva, quasi spaventosamente viscerale, delle informazioni relative ad essa.

A fronte di ciò, dunque, il soggetto che abbia interesse a che le informazioni riguardanti la sua persona non siano più reperibili in rete può – per gli effetti degli artt. 7 e 8 della Carta di Nizza[8] nonché della normativa di nuovo conio in materia di protezione dei dati personali (il c.d. GDPR) – chiederne la cancellazione dell’informazione divenuta, ormai, non più di interesse per la collettività. Ciò in quanto, secondo orientamento costante della Corte di Giustizia europea, i diritti fondamentali della persona prevalgono, in linea di principio, non soltanto sull’interesse economico del gestore del motore di ricerca, ma anche sull’interesse del pubblico ad accedere all’informazione; fatta salva l’ipotesi in cui per marginali ragioni – quali a titolo esemplificativo il ruolo ricoperto nella vita pubblica dalla persona coinvolta – l’interferenza nei diritti fondamentali di quest’ultima appaia “sacrificabile” o comunque giustificata in nome dell’interesse preponderante della collettiva informazione.

Appurata l’assenza di qualsivoglia criterio risolutivo, dunque, in caso di contrasto tra i diritti della personalità e diritto all’informazione, è lapalissiano che divenga necessario, caso per caso, esaminare entro quali limiti l’uno debba prevalere sull’altro.

Ad ogni modo, in termini generali, l’esercizio del diritto di cronaca può dirsi legittimo[9] allorquando risulti conforme ai quattro canoni individuati dalla Suprema Corte di Cassazione, mediante il c.d. catalogo del giornalista (sentenza n. 5259/1984)[10]:

  1. verità dei fatti divulgati;
  2. forma civile dell’esposizione (c.d. continenza);
  3. interesse pubblico alla diffusione della notizia (c.d. pertinenza);
  4. attualità della notizia.

A riguardo di quest’ultimo “quarto requisito”, corre l’esigenza di sottolineare che non esiste una soglia temporale pre-individuata, mancando per l’appunto un dato normativo di riferimento. A riguardo può dirsi però che ordinariamente la diffusione della notizia si spoglia dell’interesse sociale allorquando sia intercorso un notevole e consistente lasso temporale dall’accadimento del fatto o dalla sua prima divulgazione; fatte salve le ipotesi in cui l’informazione non abbia cessato di avere ancora effetti nel presente o, di converso, abbia riacquisito interesse in virtù del verificarsi di ulteriori vicende ad essa collegate.

Da ciò si comprende, come suddetto, che la valutazione dell’interesse sociale alla diffusione di una notizia, è frutto di un accurato contemperamento tra i valori costituzionali in gioco, ovverosia il rispetto della persona, la libera manifestazione del pensiero e il pedissequo diritto ad essere informati.

Criterio principe ai fini di questa delicata operazione di bilanciamento è il principio di finalità, quale limite intrinseco del trattamento lecito dei dati personali e metro di giudizio in ordine alla necessaria essenzialità dell’informazione riguardo a fatti di interesse pubblico.

Tutto ciò premesso, in conformità con l’orientamento giurisprudenziale nazionale ed europeo, l’editore di un quotidiano on-line che memorizzi nel proprio archivio storico on-line le notizie di cronaca – mettendole naturalmente alla disposizione di un numero indefinito ed illimitato di persone – è tenuto ad evitare che, attraverso la diffusione di fatti remoti ed in assenza di un interesse pubblico pregnante ed attuale, possa essere leso il diritto all’oblio delle persone che, ai tempi, vi furono coinvolte[11].

 

Il provvedimento n. 116 del Garante per la privacy: la vicenda

Il Garante per la Protezione dei Dati Personali, mediante il Provvedimento n. 116 oggetto di trattazione, ha rigettato l’istanza con la quale un “Interessato” chiedeva la rimozione di un articolo riguardante la sua persona, contenuto in estratto nell’archivio on-line di un quotidiano.

L’interessato lamentando preliminarmente la mancata risposta alla propria istanza di cancellazione – disattesa a dire dell’Editore per “disattenzione involontaria e incolpevole dell’Ufficio”- inviatagli ai sensi degli artt. artt. 17 e 21 del GDPR, ha chiesto l’intervento del Garante affinché ordinasse a GEDI News Network in qualità di editore de “lastampa.it” di cancellare i propri dati personali dall’articolo in contestazione. Quest’ultimo, secondo il Reclamante riguardava, in particolare, una vicenda giudiziaria che lo vedeva coinvolto nel lontano 1998, e dunque non connotata dai caratteri dell’attualità e peraltro superata dall’intervenuta dichiarazione, per decisione della Corte di Cassazione, di estinzione del processo per prescrizione dell’imputazione.

Il motivo del reclamo, in buona sostanza, atteneva alla circostanza che, nonostante l’URL dell’articolo fosse stato già stato deindicizzato da parte dell’Editore e, pertanto, non fosse restituito dai motori di ricerca quale risultato direttamente associato alle generalità del reclamante, il suo contenuto era comunque liberamente consultabile nell’archivio storico della testata.

Al reclamo si difendeva l’Editore, asserendo che l’istanza di rimozione dell’articolo travalica i limiti del diritto all’informazione sino a costituire un “vero e proprio attacco e censura alla stampa”, peraltro minatorio della stessa connaturale funzione degli archivi storici giornalistici.

Entro detti limiti argomentativi, dunque, l’Editore sottolineava di aver già provveduto a circoscrivere la reperibilità dell’articolo attraverso una serie di misure tese ad un giusto contemperamento tra la libertà di informazione e il diritto all’identità personale; tra le quali la sua deindicizzazione rispetto ai motori di ricerca; la disponibilità nell’archivio solo di un breve estratto e la lettura dell’intero articolo esclusivamente agli abbonati al quotidiano; la divulgazione di un ulteriore trafiletto pubblicato ad integrazione della notizia principale recante espresso riferimento alla pronuncia della Corte di Cassazione nonostante il reclamante non avesse mai fornito elementi e/o documenti in ordine ai relativi sviluppi giudiziari.

In ordine a quest’ultimo rilievo sollevato dall’Editore, il reclamante controbatteva, invece, asserendo che il mancato aggiornamento della notizia fosse “imputabile ad un’inerzia del titolare e non dell’interessato al quale non compete di fornire prova degli sviluppi a lui favorevoli”[12] e che, allo stesso tempo, si rifiutava di fornire copia della sentenza ad Egli favorevole al solo fine di non fornire ulteriore materiale giornalistico alla testata.

 

La posizione del Garante

Il Garante, assolutamente conscio che nei casi notizie di cronaca giudiziaria non contemporanei e dunque privi dei caratteri dell’attualità, l’Interessato ha diritto all’aggiornamento e alla c.d. “contestualizzazione” della notizia già resa pubblicata; nel Provvedimento in esame rilevava che tali sviluppi giudiziari non risultavano documentati dall’Istante (né dall’Autorità), neanche successivamente alla disponibilità resa dal Titolare medesimo di provvedervi.

Ciò considerato, il Garante non ha ritenuto possibile contestare un’inadempienza dell’Editore in ordine al mancato aggiornamento della notizia principale, atteso che, l’Istante non forniva alcuna prova documentale dell’avvenuta prescrizione dell’imputazione, né tanto meno, indirizzava una specifica richiesta di aggiornamento all’Editore.

In conformità con quanto suddetto e parimenti in piena armonia con il recentissimo orientamento della giurisprudenza di legittimità registrato in materia[13], il Garante per la privacy ha sottolineato la liceità della pubblicazione originaria della notizia nell’ambito dell’esercizio del diritto di cronaca giornalistica, in quanto rispondente all’interesse del pubblico a conoscere le vicende riportate all’interno dei relativi articoli anche in considerazione dell’attività professionale svolta dall’interessato, nel pieno rispetto dell’art. 6 Regole deontologiche[14].

Parimenti, l’Autorità, ha chiarito la liceità dell’odierno trattamento dei dati effettuato dall’Editore attraverso la conservazione dell’articolo all’interno dell’archivio on-line giacchè rispondente ad una legittima finalità di archiviazione di interesse storico-documentaristico che, pur differente dall’originaria finalità di cronaca giornalistica, risulta compatibile con essa, così come espressamente previsto dall’art. 5[15], par. 1, lett. b) ed e), del Regolamento e dall’art. 99 del Codice[16]. Il che, dunque, ha portato nuovamente il Collegio a pronunciarsi in ordine ai limiti di applicazione del diritto all’oblio il quale per l’appunto si riscontra allorquando il trattamento dei dati sia necessario per l’esercizio del diritto alla libertà di espressione, di informazione nonché ai fini di archiviazione per pubblico interesse.

Il Garante, tutto ciò premesso, pur rigettando il reclamo per l’infondatezza della domanda di cancellazione avanzata dall’Interessato; in compenso, condannava GEDI News Network in qualità di Editore de “lastampa.it”, al pagamento di una sanzione amministrativa pecuniaria pari ad Euro 20.000,00 ai sensi dell’art. 12[17], comma 4 del Regolamento, a fronte del mancato riscontro all’istanza di rimozione dell’articolo; ciò in quanto le argomentazioni fornite da quest’ultimo al riguardo − “disattenzione involontaria e incolpevole dell’Ufficio” − secondo l’Autorità non potevano essere prese in considerazione in termini di esimenti, avuto riguardo alla rilevanza e all’attività svolta dal Titolare che, in ragione dei noti principi di responsabilizzazione e privacy by design introdotti dal GDRP (artt. 24 e 25)[18], è tenuta ad adottare le misure tecniche e organizzative adeguate al fine di soddisfare i requisiti richiesti dalla normativa in materia di protezione dei dati personali e tutelare i diritti degli interessati[19].

In conclusione, val la pena sottolineare che per la commisurazione della sanzione il Collegio ha tenuto conto, in primis, della reiterata “disattenzione” dell’Editore rispetto all’osservanza delle disposizioni in materia di esercizio dei diritti; in secundis, la circostanza che GEDI S.p.a. avesse già fornito analoga parte motiva rispetto ad altri casi in cui l’Autorità eccepiva il mancato riscontro ad una richiesta di cancellazione (Provvedimento 25 febbraio 2021 n.85[20]); e da ultimo, delle condizioni di rilievo sul piano organizzativo, economico e professionale dell’Editore.

[1] Autorità garante per la protezione dei dati personali, Provvedimento n. 116 del 25 Marzo 2021, disponibile qui: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9577346

[2]  La Corte di Cassazione venne chiamata a pronunciarsi sul caso del Questore Caruso, fucilato dopo la caduta del fascismo come corresponsabile della scelta delle vittime delle Fosse Ardeatine. Nella sentenza della Corte di Cassazione n. 1563 del 13 maggio 1958, veniva sfiorato il tema del diritto all’oblio, utilizzando la suggestiva espressione “diritto al segreto del disonore”, cioè di un diritto a preservare la propria dignità contro gli attacchi della verità.

[3] Cfr. Cass., civ, SS.UU, sent. del 22.07.2019 n. 19681, disponibile qui:http://www.italgiure.giustizia.it/xway/application/nif/clean/hc.dll?verbo=attach&db=snciv&id=./Oscurate20200108/snciv@sU0@a2019@n19681@tS@oY.clean.pdf

[4] Cass., civ, sez. III, sent. del 05.04.2012 n. 5525, disponibile qui: http://www.europeanrights.eu/public/sentenze/5525.pdf

[5] Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, disponibile qui: https://www.garanteprivacy.it/documents/10160/0/Regolamento+UE+2016+679.+Arricchito+con+riferimenti+ai+Considerando+Aggiornato+alle+rettifiche+pubblicate+sulla+Gazzetta+Ufficiale++dell%2527Unione+europea+127+del+23+maggio+2018

[6] Giulia Cavallari, Il diritto all’oblio alla luce del Regolamento 2016/679, Ius In Itinere, 10/06/2019, disponibile qui: https://www.iusinitinere.it/il-dirittoalloblio-alla-luce-del-recente-regolamento-2016-679-20574

[7] Il 13 maggio 2014 la Corte di giustizia dell’Unione Europea si è pronunciata sul caso Google Spain contro Agencia Española de Protección de Datos (AEPD) e Mario Costeja González. Al sig. Costeja Gonzales, un cittadino spagnolo, era stata pignorata una casa di sua proprietà a seguito di un procedimento per la riscossione coattiva di crediti previdenziali. A distanza di 15 anni dai fatti, attesa la reperibilità delle informazioni a suo riguardo, il signor Costeja Gonzales si rivolse all’”Agencia espagnola de proteccion de datos” affinché ordinasse la cancellazione delle pagine web e deindicizzazione delle stesse, nei confronti del quotidiano e di Google. Il Garante spagnolo respinse il ricorso contro il quotidiano, ma lo accolse nei confronti del motore di ricerca giacché l’annuncio relativo al pignoramento effettuato nei confronti del sig. Gonzales era stato, interamente definito da svariati anni e la cui menzione era ormai priva di qualsiasi rilevanza. Causa C-131/12, Google Spain SL, Google Inc. c. Agencia Española de Protección de Datos (AEPD), Mario Costeja González, 13 maggio 2014 (Grande Sezione), disponibile qui: https://curia.europa.eu/juris/document/document.jsf?docid=152065&doclang=it

[8]Articolo 7 (Rispetto della vita privata e della vita familiare): Ogni individuo ha diritto al rispetto della propria vita privata e familiare, del proprio domicilio e delle sue comunicazioni.
Articolo 8 (Protezione dei dati di carattere personale): Ogni individuo ha diritto alla protezione dei dati di carattere personale che lo riguardano. Tali dati devono essere trattati secondo il principio di lealtà, per finalità determinate e in base al consenso della persona interessata o a un altro fondamento legittimo previsto dalla legge. Ogni individuo ha il diritto di accedere ai dati raccolti che lo riguardano e di ottenerne la rettifica. Il rispetto di tali regole è soggetto al controllo di un’autorità indipendente. Carta dei diritti fondamentali dell’Unione europea (CDFUE), C-202/389 del 7.6.2016, consultabile qui: https://fra.europa.eu/it/eu-charter/article/7-rispetto-della-vita-privata-e-della-vita-familiare

[9] Anna Rovesti, Il “decalogo” della Cassazione sui limiti del diritto di cronaca, Ius in Itinere, 21/07/2017, disponibile qui: https://www.iusinitinere.it/decalogo-della-cassazione-sui-limiti-del-diritto-cronaca-4282

[10] Cass, civ, sez. I, sent. del 18 ottobre 1984, n. 5259, disponibile qui: https://iusletter.com/wp-content/uploads/Cass.-18-ottobre-1984-n.-5259.pdf

[11]  Cfr. Cass. sent. n. 5525 del 2012.

[12] Cfr. Autorità garante per la protezione dei dati personali, Provvedimento n. 116 del 25 Marzo 2021, consultabile qui: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9577346

[13] Corte di Cassazione 20 aprile 2021 n. 10347 consultabile qui: http://www.italgiure.giustizia.it/xway/application/nif/clean/hc.dll?verbo=attach&db=snciv&id=./20210420/snciv@s30@a2021@n10347@tO.clean.pdf

[14] Art. 6. (Essenzialità dell’informazione): La divulgazione di notizie di rilevante interesse pubblico o sociale non contrasta con il rispetto della sfera privata quando l´informazione, anche dettagliata, sia indispensabile in ragione dell´originalità del fatto o della relativa descrizione dei modi particolari in cui è avvenuto, nonché della qualificazione dei protagonisti. La sfera privata delle persone note o che esercitano funzioni pubbliche deve essere rispettata se le notizie o i dati non hanno alcun rilievo sul loro ruolo o sulla loro vita pubblica. Commenti e opinioni del giornalista appartengono alla libertà di informazione nonché alla libertà di parola e di pensiero costituzionalmente garantita a tutti. Regole deontologiche relative al trattamento di dati personali nell’esercizio dell’attività giornalistica pubblicate ai sensi dell’art. 20, comma 4, del d.lgs. 10 agosto 2018, n. 101 – 29 novembre 2018, consultabile qui: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9067692

[15] L’art. 5 (Principi applicabili al trattamento di dati personali) del Regolamento (UE) 2016/679 rescrive che i dati debbano essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato”.

[16] Art. 99 (Durata del trattamento): Il trattamento di dati personali a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici può essere effettuato anche oltre il periodo di tempo necessario per conseguire i diversi scopi per i quali i dati sono stati in precedenza raccolti o trattati. A fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici possono comunque essere conservati o ceduti ad altro titolare i dati personali dei quali, per qualsiasi causa, è cessato il trattamento nel rispetto di quanto previsto dall’articolo 89, paragrafo 1, del Regolamento. Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679, disponibile qui: https://www.garanteprivacy.it/documents/10160/0/Codice+in+materia+di+protezione+dei+dati+personali+%28Testo+coordinato%29

[17] Articolo 12 (Informazioni, comunicazioni e modalità trasparenti per l’esercizio dei diritti dell’interessato) Regolamento (UE) 2016/679.

[18] Ai sensi dell’art. 24 (Responsabilità del titolare del trattamento) del Regolamento (UE) 2016/679 il titolare del trattamento deve mettere in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al presente regolamento. Dette misure devono essere sono ri-esaminate e aggiornate qualora necessario. L’art. 25 (Protezione dei dati fin dalla progettazione e protezione dei dati per impostazione predefinita), invece, prescrive che tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche costituiti dal trattamento, sia al momento di determinare i mezzi del trattamento sia all’atto del trattamento stesso il titolare del trattamento deve mettere in atto misure tecniche e organizzative adeguate, quali la pseudonimizzazione, volte ad attuare in modo efficace i principi di protezione dei dati, quali la minimizzazione, e a integrare nel trattamento le necessarie garanzie al fine di soddisfare i requisiti del presente regolamento e tutelare i diritti degli interessati.

[19] Cfr. Autorità garante per la protezione dei dati personali, Provvedimento n. 116 del 25 Marzo 2021.

[20]  Autorità garante per la protezione dei dati personali, Provvedimento n. 88 del 25 Marzo 2021, consultabile qui: qui:https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9568244

Lascia un commento