La sentenza Costeja della Corte di giustizia dell’Unione europea, da qui CGUE, del 13 maggio 2014, ha statuito che un interessato può richiedere al fornitore di un motore di ricerca online, o più propriamente fornitore del motore di ricerca la cancellazione di uno o più link/ UR avverso pagine web dall’elenco di risultati che appare dopo una ricerca effettuata a partire dal suo nome. Il diritto all’oblio si configura come il diritto di cancellare i propri dati personali dal web. Al fine di osservare il diritto all’oblio nei confronti dell’interessato, il titolare di quelle determinate informazioni che sono state diffuse pubblicamente su un sito web o una pagina contenuti pregiudizievoli, ha l’obbligo di informare della richiesta di cancellazione altri titolari che trattano allo stesso modo i dati personali cancellati. Sul punto, ai sensi dell’art. 17 par. II del GDPR si fa riferimento a “qualsiasi link, copia o riproduzioni”. La CGUE ha stabilito inoltre che una richiesta di deindicizzazione trovava fondamento nel diritto di rettifica/cancellazione e nel diritto di opposizione ai sensi, rispettivamente, degli articoli 12 e 14 della direttiva. L’articolo 17, paragrafo 1, stabilisce quali sono i principi generali al fine di poter richiedere la cancellazione dei delle informazioni personali dai motori di ricerca, come Google, che di seguito elenchiamo in maniera ordinata i paragrafi che seguendo la nomenclatura riportata nella normativa.
Dati personali non più necessari per le finalità per le quali sono stati raccolti o trattati
La disposizione consente ad un interessato di richiedere la ddeindicizzazione dal motore di ricerca delle informazioni personali che lo riguardano rese accessibili per un periodo superiore a quello necessario per il trattamento ad opera del fornitore del motore di ricerca. Nell’ambito del diritto di chiedere la deindicizzazione, deve essere raggiunto un equilibrio tra la tutela della vita privata e gli interessi degli utenti di Internet ad avere accesso all’informazione
Revocazione da parte dell’Interessato del consenso su cui si basa il trattamento
Nel caso proposto il fornitore del motore di ricerca avrebbe avuto il consenso dell’interessato quale base legale per il trattamento. L’art. 17, paragrafo 1, del RGPD solleva la questione della base legale del trattamento utilizzata da un fornitore del motore di ricerca per produrre i risultati del motore di ricerca, tra cui i dati personali.
L’interessato si oppone al trattamento
L’interessato può opporsi anche successivamente al trattamento dei suoi dati personali ai sensi dell’articolo 21, paragrafi 1 e 2, del RGPD. Il diritto di eccepire il trattamento, anche una volta prestato il consenso, è stato previsto dall’articolo 14 della direttiva ed ha costituito un principio giuridico circa le richieste di deindicizzazione sin dalla sentenza Costeja.
Trattamento illecito dei dati personali
Il concetto appena menzionato deve interpretarsi in maniera estensiva quale trasgressione di una disposizione di legge che risulta essere diversa dal RGPD. Questa interpretazione deve fondarsi su elementi oggettivi alla luce del diritto o della giurisprudenza nazionali. Per esemplificare, una richiesta di deindicizzazione è accolta laddove l’indicizzazione è stata vietata espressamente da un’ordinanza del Tribunale.
Cancellazione come adempimento di un obbligo legale
La necessità legale di adempiere un obbligo può derivare da un’ingiunzione, da una espressa previsione del diritto interno o dell’Unione in quanto sussiste un «obbligo legale alla cancellazione» o dalla semplice violazione del periodo di conservazione da parte del fornitore del motore di ricerca.
Raccolta di dati in relazione a offerte e servizi
I dati personali potrebbero essere stati raccolti anche relativamente all’offerta di servizi della società dell’informazione per i soggetti minori. La direttiva del Consiglio, dell’8 giugno 2000, fornisce una definizione ampia e ambigua del concetto di «offerta diretta di servizi della Società dell’informazione». Essa indica soprattutto che questi servizi «abbracciano una vasta gamma di attività economiche svolte in linea (on line)», ma specifica che non si tratta esclusivamente di «servizi che portano a stipulare contratti in linea ma anche di servizi non remunerati dal loro destinatario, nella misura in cui costituiscono un’attività economica, come l’offerta di informazioni o comunicazioni commerciali in linea o la fornitura di strumenti per la ricerca, l’accesso e il reperimento di dati», definendo poi i criteri di un’attività economica. Non è detto che l’interessato non possa scegliere più di un motivo da porre a fondamento della propria richiesta. Orbene, le linee guida del Garante Privacy si rendono portavoci dello scopo di fornire indicazioni di carattere generale rispetto al trattamento dei dati personali in diversi ambiti, per poter garantire la corretta applicazione dei princìpi stabiliti dal Codice.
