Art. 17 GDPR — Diritto alla cancellazione («diritto all’oblio»)

Commento

Il diritto all'oblio e la sua portata

L'art. 17 GDPR riconosce il diritto alla cancellazione, comunemente noto come diritto all'oblio. La nozione è ampia: include la cancellazione di dati il cui trattamento non è più giustificato e l'oblio digitale di informazioni storiche non più rilevanti. La giurisprudenza CGUE consolidata (con la sentenza Google Spain del 2014 e i successivi sviluppi) ha consacrato il diritto come bilanciamento tra protezione dei dati e libertà di informazione (art. 85). Il diritto opera sia verso il titolare originario sia verso i motori di ricerca, che svolgono ruolo specifico di amplificatori della visibilità.

Le sei ipotesi di cancellazione (par. 1)

Il par. 1 elenca sei ipotesi tassative: i dati non sono più necessari rispetto alle finalità (lett. a); l'interessato revoca il consenso e non sussiste altro fondamento (lett. b); l'interessato si oppone ex art. 21 e non sussistono motivi legittimi prevalenti (lett. c); i dati sono trattati illecitamente (lett. d); cancellazione richiesta dal diritto UE o nazionale (lett. e); dati raccolti in connessione con offerta di SSI a minori (lett. f). Le sei ipotesi coprono il ciclo di vita del trattamento: dalla finalità esaurita alla illiceità originaria, dalla revoca all'opposizione, dall'obbligo legale alla protezione rafforzata dei minori.

Cancellazione di dati diffusi online (par. 2)

Il par. 2 disciplina la cancellazione di dati che il titolare ha reso pubblici e che sono stati indicizzati da terzi: il titolare deve adottare misure ragionevoli, anche tecniche, per informare i titolari che stanno trattando i dati personali della richiesta di cancellazione, comprese copie, riproduzioni e link. È la base normativa delle de-indicizzazioni da motori di ricerca: la CGUE ha confermato che Google e altri motori sono titolari autonomi e devono valutare le richieste secondo il bilanciamento di cui all'art. 17 e all'art. 21.

Eccezioni alla cancellazione (par. 3)

Il par. 3 elenca le eccezioni in cui la cancellazione non opera: esercizio della libertà di espressione e di informazione (lett. a, in coordinamento con art. 85); adempimento di obblighi legali (lett. b); motivi di interesse pubblico nel settore della sanità pubblica (lett. c); archiviazione di pubblico interesse, ricerca scientifica/storica o fini statistici con garanzie ex art. 89 (lett. d); accertamento, esercizio o difesa di un diritto in sede giudiziaria (lett. e). Le eccezioni sono restrittive e vanno motivate dal titolare.

Bilanciamento con diritto di informazione

Il bilanciamento con la libertà di informazione è il fronte applicativo più delicato. La CGUE ha precisato che il diritto all'oblio prevale, di regola, quando i dati non sono più di interesse pubblico attuale e quando l'identificazione dell'interessato non aggiunge valore informativo. Per personaggi pubblici, soglia più alta: l'interesse alla cronaca e alla storia prevale frequentemente. Per fatti penali con condanna risalente o assoluzione, il Garante italiano ha ordinato deindicizzazione anche da motori di ricerca su nomi di persona, lasciando l'articolo originale accessibile per ricerca testuale.

Coordinamento con altri diritti

Il diritto all'oblio si coordina con la rettifica (art. 16), la limitazione (art. 18) e l'opposizione (art. 21): l'interessato sceglie la tutela più idonea. In contesti lavoristici, sanitari e bancari, la cancellazione è spesso esclusa per obblighi di conservazione (D.Lgs. 196/2003, D.Lgs. 231/2007, conservazione contabile). Per il marketing diretto, la cancellazione opera frequentemente (revoca o opposizione). Per archivi giornalistici online, prassi di bilanciamento ha sviluppato strumenti intermedi (anonimizzazione del nome, no-index).

Regola pratica e checklist operativa

Compliance art. 17: (i) procedura standard di valutazione (sei ipotesi + eccezioni); (ii) motivazione documentata della decisione; (iii) notifica ai destinatari ex art. 19; (iv) per dati diffusi, misure ragionevoli verso terzi (par. 2); (v) bilanciamento per fatti penali, personaggi pubblici, archivi storici; (vi) form di richiesta dedicato; (vii) tracciamento nel registro. Le sanzioni in materia sono frequenti.

Accountability e documentazione

Tutti gli adempimenti relativi a questa disposizione devono essere documentati ai fini del principio di accountability di cui all'art. 5, par. 2 GDPR: integrazione nel registro dei trattamenti (art. 30), valutazione del rischio in DPIA quando applicabile (art. 35), formazione del personale autorizzato al trattamento (art. 29), audit periodici e tracciamento delle decisioni. Le sanzioni amministrative di cui all'art. 83 GDPR e la responsabilità civile dell'art. 82 presuppongono la dimostrazione, da parte del titolare, di aver adottato misure tecniche e organizzative adeguate. La consulenza del DPO, ove designato, è strumento prezioso per la corretta declinazione operativa.

Coordinamento con il Codice Privacy italiano

L'applicazione di questa disposizione in Italia avviene in coordinamento con il D.Lgs. 196/2003 (Codice in materia di protezione dei dati personali) come modificato dal D.Lgs. 101/2018 di adeguamento al GDPR. Il Codice integra il Regolamento europeo nelle materie specifiche lasciate alla discrezionalità degli Stati membri: lavoro (art. 88 D.Lgs. 196/2003), sanità (artt. 75 ss.), ricerca scientifica e statistica (artt. 99-110), giornalismo (art. 137), archivi (artt. 99-103), trattamento di categorie particolari (art. 2-septies), dati di condanne penali (art. 2-octies), limitazioni (art. 2-undecies). I provvedimenti generali e le regole deontologiche approvati dal Garante per la protezione dei dati personali hanno valore precettivo e devono essere considerati. La giurisprudenza della Cassazione e del Tribunale di Roma (competente per ricorsi ex art. 152 D.Lgs. 196/2003) ha consolidato la prassi interpretativa nazionale, coerente con la giurisprudenza CGUE. Per il consulente privacy, l'approccio sistematico richiede integrazione di GDPR, Codice Privacy e provvedimenti del Garante in un framework unitario di compliance.