Quello della deindicizzazione, o delisting, è un argomento molto attuale e delicato. Le nostre vite si svolgono ormai tra mondo materiale e mondo virtuale, a volte con una predominanza della seconda componente.

Reputazione digitale e diritto alla deindicizzazione

Accanto alla reputazione tradizionalmente intesa, infatti, ha assunto un ruolo egemonico la reputazione digitale, la web reputation, che può definirsi la somma delle informazioni che circolano online in relazione a una persona a prescindere dalla sua volontà, costruita attraverso contenuti pubblicati su social media, siti web, motori di ricerca, testate giornalistiche online e altre fonti digitali.

La gestione della reputazione online rappresenta una sfida giuridica complessa, poiché implica il bilanciamento tra libertà di espressione e diritto alla riservatezza. Ed invero, la web reputation è direttamente correlata al diritto all’identità personale, e il suo pregiudizio può incidere sulla sfera lavorativa, sociale e psicologica dell’individuo.

Una differenza cruciale tra le due realtà in cui si esplica la personalità di ciascun individuo sta nell’immanenza delle informazioni che permea quale postulato la realtà virtuale: dalla più semplice traccia di navigazione alla più articolata informazione che ci riguarda, tutto tende a diventare una realtà consolidata sempre consultabile e investigabile. Basti pensare che uno dei rami di intelligence – sia istituzionale, che investigativa, che economica – più attualmente in auge è proprio l’osint, l’open source intelligence, l’intelligence delle fonti aperte, che si fonda proprio su tutte quelle informazioni liberamente accessibili[1].

L’o.s.int. si pone come una cartina tornasole sul volume di informazioni ricavabile da fonte aperta, tanto che non è un caso che l’attività di intelligence attinge prima e più dall’o.s.int. piuttosto che dai prodotti di intelligence “tradizionale”.

In un simile contesto, la deindicizzazione dai motori di ricerca costituisce uno strumento strategico per recuperare anche solo parte del dominio sull’identità personale, quandunque la personalità sì creatasi riferisca ciò che si è stato, ma ormai si discosta inesorabilmente da ciò che si è diventati.

Tra memoria e oblio: il fondamento umano e giuridico

“Il Tempo, nel suo scorrere perpetuo e irresistibile, trascina via con sé tutte le cose create, e le sprofonda negli abissi dell’oscurità, siano esse azioni di nessun conto o, al contrario, azioni grandi e degne di essere celebrate… ma il racconto dell’indagine storiografica è un valido argine contro il fluire del tempo, e in certo modo costituisce un ostacolo al suo flusso irresistibile, e afferrando con una salda presa quante più cose galleggiano sulla sua superficie, impedisce che scivolino via e si perdano nell’abisso dell’Oblio”. Così Anna Comnena, nel Proemio all’Alessiade, descrive magistralmente il rapporto tra memoria e oblio, ponendo sin da subito il tempo come un elemento in grado di scandirne il legame e il racconto storiografico come veicolo rievocativo in grado di lasciare alla memoria ciò che invece il tempo avrebbe irreversibilmente relegato all’oblio.

Quella che può apparentemente apparire una poetica ricostruzione del rapporto tra oblio e memoria – che può declinarsi a seconda dei casi tal volta come cronaca, tal altra come storiografia – costituisce invece problematica tutt’altro che sopita e desinata ad obbligare ad una sempre attenta riflessione.

L’oblio si trova in stretto rapporto con la memoria, se non addirittura in conflitto, trovando spazio nella contrapposizione tra il desiderio dell’imperituro ricordo («Da un lato, essi aspirano all’immortalità e, sapendo di non poterla avere, cercano di lasciare il più a lungo possibile memoria di sé come unico modo per prolungare la propria vita, o meglio il ricordo nel futuro del fatto che essi sono esistiti, e di ciò che hanno realizzato») e la sofferenza di voler celare ciò che si ritiene sia opportuno escludere dal ricordo (“All’opposto, ogni persona umana ha anche il terrore che ogni atto negativo compiuto nel corso della propria esistenza possa essere ricordato per sempre, o almeno fino a quando è in vita e lo sono quelli che ne hanno memoria»[2].

Il diritto all’oblio è relativo a vicende che hanno costituito fatti di cronaca o comunque in relazione ai quali la pubblicizzazione, cioè la fuoruscita dalla sfera della riservatezza degli interessati, era da considerarsi lecita. Il problema è «se la persona o le vicende legittimamente pubblicizzate possano sempre costituire oggetto di nuova pubblicizzazione o se, invece, il trascorrere del tempo e il mutamento delle situazioni non la rendano illecita»[3]. Ecco che il diritto all’oblio appartiene «alle ragioni e “alle regioni” del diritto alla riservatezza»[4].

L’identità personale non è una sintesi statica di elementi immutabili, ma una sintesi di tanti elementi di natura diversa in continuo divenire. Va da sé che la persona è ciò che è in un determinato momento storico e l’identità di conseguenza muta col tempo, motivo per cui la contestualizzazione e la storicizzazione divengono concetti essenziali, dal momento che quanto accaduto in un dato periodo potrebbe non concorrere più a comporre la personalità di una persona ormai diversa, “altra” rispetto al passato. Ecco che «sul terreno di questo conflitto, fra la verità della storia e l’identità attuale, nasce il diritto all’oblio», che molto più prosaicamente si rivela come «diritto di un soggetto a non vedere pubblicate alcune notizie relative a vicende, già legittimamente pubblicate, rispetto all’accadimento delle quali è trascorso un notevole lasso di tempo»[5].

La diffusione delle ICT (Tecnologie dell’Informazione e della Comunicazione) e il loro utilizzo da parte della società influenzano radicalmente la condizione umana, in quanto modificano il rapporto con noi stessi, con gli altri e con il mondo[6]. Di talché la circolazione e l’aggregazione di dati e informazioni sono per la maggiore il risultato dell’interazione umana nel web e della profilazione che dalla stessa scaturisce, nell’inarrestabile evoluzione e diversificazione della realtà digitale[7].

Su Internet, poi, cambia non solo la quantità ma la natura della comunicazione[8]: le informazioni sono molte, facilmente reperibili e il più delle volte carenti di contestualizzazione e di indicazione di fonti certe. Questo appiattimento reca la cifra del peso della notizia, dal momento che la fonte dell’informazione conferisce un peso all’informazione stessa.

In questo senso, il diritto all’oblio svela sin da subito il suo più intimo significato, dato dalla sua funzione a scongiurare «che ciascuno sia implacabilmente seguito da qualsiasi traccia abbia lasciato nel corso della sua vita»[9]. Ed invero, il diritto all’oblio si risolve in «una modalità attraverso la quale si esplica il nostro diritto all’identità personale: si oblia (si chiede di obliare) ciò che riteniamo non debba essere più parte della nostra identità personale»[10].

Non mancano le preoccupazioni circa un’applicazione “radicale” di un concetto siffatto, dal momento che «in nome del diritto all’oblio si rischia non solo di eliminare tracce di reati, ma anche la democrazia e il fondamentale diritto alla “memoria”» con il rischio di «travalicare il sacrosanto diritto a ottenere la rimozione dei link e dei riferimenti che rimandano ad un contenuto online ritenuto lesivo», sì da consentire una rimozione “chirurgica” di notizie online soltanto non gradite[11].

Qui trova fondamento la disciplina normativa, proprio nel bilanciamento degli interessi contrapposti.

La sentenza Costeja e la nascita del diritto alla deindicizzazione

In esito alla sentenza Costeja della Corte di giustizia dell’Unione europea del 13 maggio 2014, un interessato poteva richiedere al fornitore di un motore di ricerca online e agli archivi web di cancellare uno o più link verso pagine web dall’elenco di risultati che appare dopo una ricerca effettuata a partire dal suo nome, statuendo che «Il gestore di un motore di ricerca su Internet è responsabile del trattamento dei dati personali che compaiono su pagine web di terzi, e può essere obbligato a rimuovere dai risultati di ricerca, ottenuti a partire dal nome di una persona, dei link verso tali pagine, anche se la loro pubblicazione è di per sé lecita, quando l’interessato richieda la deindicizzazione per motivi legittimi, in particolare legati al diritto alla riservatezza e all’oblio»[12]. Di talché la Corte introduceva il c.d. diritto all’oblio digitale, rafforzando la tutela dei dati personali nel contesto dell’indicizzazione da parte dei motori di ricerca, con riferimento «ai risultati ottenuti mediante una ricerca effettuata a partire dal nome dell’interessato»[13], nonostante il Gruppo Articolo 29 ne avrebbe esteso l’ambito nell’immediato, dal momento che le Autorità avrebbero potuto ritenere pertinenti “quali termini utilizzati nella ricerca anche pseudonimi o soprannomi” se la persona fosse stato in grado di stabilire una connessione con l’identità reale[14].

Il diritto all’oblio ha poi trovato la sua disciplina positiva nell’art. 17 Gdpr, rubricato “Diritto alla cancellazione («diritto all’oblio»)”.

In tema di deindicizzazione dai motori di ricerca, poi, il Comitato europeo per la protezione dei dati (EDPB – European Data Protection Board) ha emanato le “Linee Guida 5/2019 sui criteri per l’esercizio del diritto all’oblio nel caso dei motori di ricerca ai sensi del GDPR”, che forniscono un’interpretazione del diritto all’oblio nei casi dei motori di ricerca in ossequio alle disposizioni offerte dall’art. 17 Gdpr, introdotto anche per tenere conto del diritto di richiedere la deindicizzazione stabilito proprio dalla sentenza Costeja.

Nell’ordito elaborato dal Comitato, il diritto di richiedere la deindicizzazione implica due diritti: il diritto di opposizione e il diritto alla cancellazione. Pertanto, sia l’articolo 17 sia l’articolo 21 del GDPR possono fungere da fondamento giuridico per le richieste di deindicizzazione.

Le Linee Guida precisano che il trattamento dei dati personali effettuato nel quadro dell’attività del fornitore di un motore di ricerca deve essere distinto dal trattamento operato degli editori dei siti web di terzi che forniscono contenuti giornalistici online. Invero, se un interessato ottiene la deindicizzazione di un particolare contenuto, ciò determina la cancellazione di tale contenuto specifico dall’elenco dei risultati di ricerca relativi all’interessato, quando la ricerca è effettuata a partire dal suo nome. Il contenuto resterà tuttavia disponibile se vengono utilizzati altri criteri di ricerca[15].

Inoltre, le richieste di deindicizzazione non comportano la cancellazione completa dei dati personali, dal momento che questi non saranno cancellati né dal sito web di origine né dall’indice e dalla cache del fornitore del motore di ricerca[16]. Tuttavia, i fornitori di motori di ricerca non sono esonerati, in via generale, dall’obbligo di cancellazione completa, potendosi verificare casi eccezionali per cui dovranno effettuare la cancellazione effettiva e completa dei propri indici o cache[17].

I cinque motivi di cancellazione previsti dall’articolo 17 GDPR

In particolare, l’art. 17 GDPR individua cinque motivi per cui l’interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo, rivenendo per il titolare del trattamento l’obbligo di cancellare senza ingiustificato ritardo i dati personali. Sebbene tutti i motivi di cui all’articolo 17 GDPR siano teoricamente applicabili, secondo le Linee Guida quando si tratta di procedere a una deindicizzazione alcuni non verranno mai utilizzati o lo saranno solo raramente, come nel caso della revoca del consenso, ovvero un interessato potrebbe presentare una richiesta di deindicizzazione a un fornitore di motori di ricerca sulla base di uno o più motivi.

Ai sensi dell’art. 17, paragrafo 1, GDPR, l’interessato può chiedere la cancellazione dei dati:

a) quando i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati: secondo le Linee Guida (18-21), questa disposizione consente a un interessato di chiedere la deindicizzazione delle informazioni personali che lo riguardano rese accessibili ad opera del fornitore del motore di ricerca per un periodo superiore a quello necessario per il trattamento. Tuttavia, tale trattamento è effettuato in particolare per rendere le informazioni più facilmente accessibili agli utenti di Internet, motivo per cui nell’ambito del diritto di chiedere la deindicizzazione deve essere raggiunto un equilibrio tra la tutela della vita privata e gli interessi degli utenti di Internet ad avere accesso all’informazione. In particolare, occorre valutare se con il passare del tempo i dati personali siano diventati obsoleti o non siano stati aggiornati[18]. Un interessato può chiedere in particolare la deindicizzazione di un determinato contenuto laddove le informazioni personali siano chiaramente inesatte perché obsolete o datate. Una tale valutazione dipenderà, tra l’altro, dalle finalità del trattamento originario.

b) quando l’interessato revoca il consenso su cui si basa il trattamento[19] e se non sussiste altro fondamento giuridico per il trattamento: secondo le Linee Guida (22-25), sembra improbabile che una richiesta di deindicizzazione sia presentata da un interessato che desideri revocare il consenso, dal momento che il titolare del trattamento a cui ha dato il proprio consenso è l’editore web e non il gestore del motore di ricerca che indicizza i dati[20]. Se un interessato, quindi, revocasse il proprio consenso a utilizzare i suoi dati su una particolare pagina web, l’editore originario di tale pagina web dovrebbe informare i fornitori di motori di ricerca che hanno indicizzato i dati ai sensi dell’articolo 17, paragrafo 2, RGPD, di talché l’interessato avrebbe sì diritto a ottenere la deindicizzazione dei dati personali che lo riguardino, però ai sensi dell’art. 17, paragrafo 1, lettera c).

c) quando l’interessato si oppone al trattamento per motivi connessi alla sua situazione particolate e non sussiste alcun motivo legittimo prevalente per procedere al trattamento[21] oppure si oppone al trattamento per finalità di marketing diretto[22]: le Linee Guida (26-33) chiariscono come il diritto di opposizione offra agli interessati maggiori garanzie, poiché non limitato ai motivi cui gli interessati dovranno attenersi per chiedere la deindicizzazione ai sensi dell’art. 17 RGPD. Proprio il diritto di opposizione – prima previsto dall’art. 14 della Direttiva 95/46/CE – ha costituito un fondamento giuridico delle richieste di deindicizzazione sin dalla sentenza Costeja. Secondo l’art. 21 RGPD l’interessato può opporsi al trattamento «per motivi connessi alla sua situazione particolare»,stabilendo una presunzione a favore dell’interessato e obbligando il titolare del trattamento a dimostrare l’esistenza di «motivi legittimi cogenti per procedere al trattamento». Pertanto, quando un fornitore di motore di ricerca riceva una richiesta di deindicizzazione fondata sulla situazione particolare dell’interessato, è tenuto ora a cancellare i dati personali ai sensi dell’articolo 17, paragrafo 1, lettera c), RGPD, a meno che possa dimostrare che sussista un «motivo legittimo prevalente» per l’inclusione in un elenco dello specifico risultato di ricerca che, in combinato disposto con l’articolo 21, paragrafo 1, configuri «motivi legittimi cogenti (…) che prevalgono sugli interessi, sui diritti e sulle libertà dell’interessato». Di fatto, le richieste di deindicizzazione comportano la necessità di un bilanciamento tra le ragioni riguardanti la situazione particolare dell’interessato e i motivi legittimi e cogenti del fornitore del motore di ricerca[23].

d) quando i dati personali sono stati trattati illecitamente: le Linee Guida (34-36) ribadiscono la necessità di interpretare il concetto di trattamento illecito alla luce dell’articolo 6 GDPR, potendo contribuire anche l’art. 5 e gli altri principi di cui alle disposizioni del capo II GDPR rubricato “Principi”. In ogni caso, il concetto deve essere interpretato estensivamente quale violazione di una disposizione di legge anche diversa dal GDPR, dunque alla luce del diritto o della giurisprudenza nazionali[24]. Qualora un fornitore di motore di ricerca non sia in grado di dimostrare l’esistenza di un fondamento giuridico per il trattamento, una richiesta di deindicizzazione può rientrare nell’ambito di applicazione dell’articolo 17, paragrafo 1, lettera d), RGPD, poiché il trattamento dei dati personali in questi casi deve essere considerato illecito. Tuttavia, occorre ricordare che nel caso di illiceità del trattamento originario, l’interessato ha comunque il diritto di chiedere la deindicizzazione ai sensi dell’articolo 17, paragrafo 1, lettera c), RGPD.

e) quando i dati personali devono essere cancellati per adempiere un obbligo giuridico previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento: le Linee Guida (37-38) indicano che la necessità di adempiere un obbligo legale può derivare da un’ingiunzione, da una espressa previsione del diritto interno o dell’Unione in quanto sussista un «obbligo legale alla cancellazione» o dalla semplice violazione del periodo di conservazione da parte del fornitore del motore di ricerca[25].

f) quando i dati personali sono stati raccolti relativamente all’offerta di servizi della società dell’informazione ai minori[26]: le Linee Guida (39-41) evidenziano che si fa riferimento all’offerta diretta di servizi della società dell’informazione e a nessun altro tipo di trattamento. Le attività dei fornitori di motori di ricerca rientrano probabilmente nell’ambito di applicazione dell’offerta diretta di servizi della società dell’informazione. Tuttavia, i fornitori di motori di ricerca non verificano se i dati personali che indicizzano riguardino o meno un minore, essi dovrebbero però deindicizzare un contenuto riguardante un minore ai sensi dell’articolo 17, paragrafo 1, lettera c), GDPR, riconoscendo la minore età quale valido «motivo connesso ad una situazione particolare» (articolo 21 del GDPR), posto che «i minori meritano una specifica protezione relativamente ai loro dati personali»” (considerando 38 del GDPR). In tal caso, deve essere preso in considerazione l’ambito della raccolta dei dati personali da parte del titolare del trattamento. In particolare, si deve tenere conto della data di inizio del trattamento da parte del sito web originario quando un interessato chiede la deindicizzazione dello specifico contenuto.

Le eccezioni al diritto di cancellazione: libertà di espressione e interesse pubblico

Il secondo paragrafo dell’art. 17 GDPR obbliga, poi, il titolare del trattamento, quandunque fosse obbligato a cancellare i dati personali oggetto della richiesta di cancellazione e abbia reso pubblici tali dati, ad informare i titolari del trattamento che stanno trattando i dati personali della richiesta dell’interessato di cancellare qualsiasi link, copia o riproduzione dei suoi dati personali. Tuttavia, le Linee Guida chiariscono che, nel caso di deindicizzazione dai motori di ricerca, non trova applicazione l’art. 17, paragrafo 2, GDPR, che impone ai titolari del trattamento che hanno reso pubblici dati personali di informare i titolari che hanno successivamente riutilizzato tali dati personali mediante link, copia o riproduzione[27].

Il Comitato europeo ha inteso confermare quanto affermato dal gruppo “Articolo 29”, ossia che i fornitori di motori di ricerca «non dovrebbero, quale prassi generale, informare i webmaster delle pagine deindicizzate del fatto che non si riesca ad accedere ad alcune pagine web dal motore di ricerca in risposta ad una specifica interrogazione» in quanto «non esiste alcun fondamento giuridico per una tale comunicazione ai sensi della normativa UE sulla protezione dei dati».

L’art. 17, poi, al paragrafo 3 individua, i casi di trattamento necessario che liberano il titolare del trattamento dal procede alla cancellazione. Invero, l’art. 17, paragrafo 1, RGPD è formulato nei termini di un mandato chiaro e incondizionato rivolto ai titolari del trattamento: se le condizioni stabilite nell’art. 17, paragrafo 1, RGPD sono soddisfatte, il titolare del trattamento «ha l’obbligo di cancellare senza ingiustificato ritardo i dati personali». Tuttavia, non si tratta di un diritto assoluto, tant’è che le eccezioni di cui all’art. 17, paragrafo 3, del GDPR individuano i casi in cui questo obbligo non si applica. Le Linee Guida ritengono che la maggior parte delle eccezioni non sembrano attagliarsi alle richieste di deindicizzazione, leggendo in tale inadeguatezza un favor per l’applicazione dell’articolo 21 GDPR per le richieste di deindicizzazione, ritenendo invocabili tali eccezioni quali motivi legittimi prevalenti ai sensi dell’articolo 17, paragrafo 1, lettera c), GDPR.

Le eccezioni di cui al paragrafo 3 dell’art. 17 GDPR sono le seguenti:

a) l’esercizio del diritto alla libertà di espressione e di informazione: secondo le Linee Guida (44-54), l’equilibrio tra la tutela dei diritti delle parti interessate e la libertà di espressione, incluso il libero accesso alle informazioni, costituisce parte integrante dell’articolo 17 RGPD. Le Linee Guida hanno fatto propri i principi elaborati dalla CGUE nella sentenza Costeja, così come ribaditi nella sentenza Google 2. Infatti, il trattamento effettuato da un fornitore di motore di ricerca può incidere significativamente sui diritti fondamentali alla vita privata e alla protezione dei dati quando la ricerca è effettuata utilizzando il nome di un interessato. I diritti degli interessati prevarranno, in linea generale, sull’interesse degli utenti di Internet ad avere accesso all’informazione tramite il fornitore del motore di ricerca. Tuttavia, ci sono diversi fattori che possono influenzare tale determinazione, e tra essi figurano la natura dell’informazione o il suo carattere sensibile, ovvero l’interesse degli utenti di Internet ad avere accesso all’informazione che varia a seconda del ruolo che l’interessato riveste nella vita pubblica. Nel valutare le richieste di deindicizzazione, il fornitore del motore di ricerca deve valutare quale sarebbe l’impatto di una della deindicizzazione sull’accesso alle informazioni da parte degli utenti di Internet, dal momento che un’interferenza con i diritti fondamentali dell’interessato deve essere giustificata dall’interesse preponderante del pubblico ad avere accesso all’informazione. Deve anche distinguersi tra la legittimità della diffusione di informazioni da parte dell’editore di un sito web e la legittimità di tale diffusione da parte del fornitore del motore di ricerca. L’attività di un editore web può perseguire esclusivamente i fini giornalistici, nel qual caso l’editore web beneficerebbe delle esenzioni che gli Stati membri possono stabilire in questi casi ex art. 85, paragrafo 2, GDPR. L’equilibrio degli interessi in gioco può produrre risultati diversi in base alla specifica richiesta, distinguendosi tra una richiesta di cancellazione rivolta all’editore originario (la cui attività è il nucleo essenziale di ciò che mira a tutelare la libertà di espressione) e una richiesta nei confronti del motore di ricerca, il cui primo interesse non è quello di pubblicare le informazioni originarie sull’interessato, ma consentire l’identificazione delle informazioni disponibili su tale persona. A seconda delle circostanze del caso, i fornitori di motori di ricerca possono rifiutare la deindicizzazione di un contenuto, allorquando dimostrino che l’inserimento di tale contenuto nell’elenco di risultati è strettamente necessario per la tutela della libertà di informazione degli utenti di Internet[28].

b) l’adempimento di un obbligo giuridico che richieda il trattamento previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento o per l’esecuzione di un compito svolto nel pubblico interesse oppure nell’esercizio di pubblici poteri di cui è investito il titolare del trattamento: secondo le Linee Guida (55), il contenuto di questa eccezione è difficilmente applicabile all’attività dei fornitori di motori di ricerca, il cui trattamento si basa – in linea di principio – sul loro legittimo interesse. Per le Linee Guida (56-65) è improbabile che il diritto di uno Stato membro preveda l’obbligo per i fornitori di motori di ricerca di pubblicare determinati tipi di informazione, dal momento che gli stessi non producono informazioni, gravando tale obbligo semmai sugli editori web. Tuttavia, l’obbligo legale di pubblicazione posto in capo agli altri editori web dovrebbe essere tenuto in considerazione quando si effettua il bilanciamento tra i diritti degli interessati e l’interesse degli utenti di Internet ad avere accesso all’informazione. Invero, tale obbligo potrebbe essere indicativo di un interesse presuntivamente prevalente del pubblico ad avere la possibilità di accedere a tale informazione. Tuttavia, la valutazione della richiesta di deindicizzazione non dovrebbe basarsi esclusivamente sull’assunto dell’esistenza di un obbligo legale di pubblicazione, imprescindibile in ogni caso il giudizio di bilanciamento. Inoltre (66-71), i fornitori di motori di ricerca non sono autorità pubbliche e pertanto non esercitano pubblici poteri, a meno che siano loro attribuiti dal diritto di uno Stato membro o dell’Unione, se la loro attività fosse considerata necessaria per soddisfare tale interesse pubblico conformemente alla legislazione nazionale. Tuttavia, si ritiene improbabile che i motori di ricerca possano assurgere a tali caratteristiche.

c) i motivi di interesse pubblico nel settore della sanità pubblica[29]: come spiegano le Linee Guida (73-78), questa eccezione rinvia al trattamento necessario per l’interesse pubblico, segnatamente la sanità pubblica, quandunque il fondamento di liceità del trattamento sia previsto nel diritto dell’Unione o dello Stato membro. Non sembra probabile che il diritto di uno Stato membro o dell’Unione possa stabilire una relazione tra l’attività del fornitore del motore di ricerca e il mantenimento dell’informazione o di una categoria di informazioni nei risultati per il conseguimento delle finalità di interesse pubblico nel settore della sanità pubblica. Invero, l’effetto della deindicizzazione consiste soltanto nella rimozione di alcuni risultati dalla pagina dei risultati che viene visualizzata quando si inserisce un nome quale criterio di ricerca. Tuttavia l’informazione non viene cancellata dagli indici dei fornitori di motori di ricerca e può essere estratta utilizzando altri criteri di ricerca. È pertanto difficile immaginare che mantenere questi risultati visibili quando sono effettuate ricerche principalmente a partire dal nome di un interessato possa essere considerato necessario per motivi di interesse pubblico nel settore della sanità pubblica.

d) i fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici[30], nella misura in cui il diritto alla cancellazione rischi di rendere impossibile o di pregiudicare gravemente il conseguimento degli obiettivi di tale trattamento: secondo le Linee Guida (79-81), il fornitore del motore di ricerca deve essere in grado di dimostrare che la deindicizzazione di un determinato contenuto sulla pagina dei risultati ostacoli o impedisca totalmente il conseguimento delle finalità di ricerca scientifica o storica o le finalità statistiche. Tali finalità dovrebbero essere oggettivamente perseguite dal fornitore del motore di ricerca, pertanto tale eccezione non è pertinente alla questione della deindicizzazione. Si tratta di finalità che dovrebbero essere prese in considerazione nel bilanciamento tra i diritti dell’interessato e gli interessi degli utenti di Internet ad avere accesso all’informazione tramite il fornitore del motore di ricerca. Le Linee Guida rilevano, inoltre, che queste finalità possano essere oggettivamente perseguite dal fornitore del motore di ricerca senza che sia necessario creare un collegamento tra il nome dell’interessato e i risultati di ricerca.

e) l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria: anche in questo caso, le Linee Guida (82-83) depongono per l’improbabilità che i fornitori di motori di ricerca possano invocare questa eccezione per rigettare richieste di deindicizzazione. Dal momento che una richiesta di deindicizzazione presuppone l’eliminazione di determinati risultati dalla pagina dei risultati di ricerca mostrata dal fornitore quando il criterio di tale ricerca è sostanzialmente il nome di un interessato, l’informazione resta accessibile utilizzando altri criteri di ricerca.

Il diritto all’oblio nella giurisprudenza della Cassazione

Come si è visto, la deindicizzazione dalle pagine di ricerca postula un bilanciamento di interessi contrapposti: da un lato l’interesse di chi tende a tutelare la propria identità personale, dall’altro l’interesse degli utenti di Internet all’accessibilità alle informazioni.

La sentenza: bilanciamento concreto tra identità e cronaca

La recente sentenza della Sezione I della Suprema Corte del 30/05/2025, n. 14488 offre la plastica tensione del bilanciamento tra opposti interessi nella valutazione di meritevolezza della richiesta di deindicizzazione dai motori di ricerca.

La parte ricorrente, nel mese di novembre 2011, veniva sottoposta alla misura della custodia cautelare a causa della sua presunta appartenenza ad un’associazione criminale di stampo mafioso. Il giudizio di primo grado si concludeva con l’assoluzione dell’imputato. Il giudice di secondo grado ribaltava l’esito del giudizio e accoglieva l’appello proposto dal pubblico ministero. La Corte di cassazione, con sentenza del 2015, al contrario, dichiarava la sua estraneità all’associazione mafiosa. Pertanto l’interessato chiedeva al fornitore del motore di ricerca la deindicizzazione, quindi la rimozione dei collegamenti alle notizie di cronaca relative a tali fatti correlati al suo nome risalenti al 2010-2011, dunque la rimozione di alcuni URL correlati al suo nome che facevano riferimento a tale vicenda processuale.

Il fornitore del motore di ricerca accoglieva la richiesta, tuttavia l’interessato nel febbraio 2022, ricercando il proprio nome sullo stesso, scopriva la presenza di contenuti relativi alla medesima vicenda. Pertanto, formulata una nuova richiesta di cancellazione, il fornitore del motore di ricerca non accoglieva la richiesta, sul presupposto che i contenuti riguardavano un’attività svolta sino a poco tempo prima.

L’interessato esperiva ricorso al Tribunale ai sensi dell’art. 79 RGPD affinché fosse accertata e dichiarata l’illegittimità della condotta posta in essere dal fornitore del motore di ricerca che aveva memorizzato i suoi dati personali su un certo numero di URL, chiedendo che fosse ordinata la loro rimozione dai motori di ricerca delle pagine web e degli URL, sì da impedire il protrarsi della lesione dei diritti alla riservatezza, alla reputazione e all’onore del medesimo, chiedendo che fosse finanche prescritto il blocco o il divieto di utilizzare i dati personali di cui trattasi.

In particolare, per l’interessato il permanente richiamo dei contenuti che lo affiancavano all’associazione criminale attraverso la digitazione del proprio nome sul motore di ricerca assumeva i connotati di una doppia violazione: da un lato, del diritto alla deindicizzazione dai motori di ricerca di coloro che, a seguito di indagini, vengano poi assolti o siano destinatari di un provvedimento di archiviazione o di non luogo a procedere, dall’altro, del più generale diritto all’oblio, quandunque il tempo trascorso dalla commissione dei fatti fa venir meno l’interesse pubblico ad una notizia ormai obsoleta, non riguardando peraltro una persona che ricopra un ruolo pubblico o socialmente rilevante.

Aggiornamento prima di deindicizzazione: la gerarchia dei rimedi

Il fornitore del motore di ricerca si costituiva, rilevando che i contenuti degli URL oggetto di contestazione e ancora indicizzati non fossero inesatti, in quanto sebbene l’interessato fosse stato assolto dal contestato reato di associazione mafiosa per difetto di prove della sua appartenenza al sodalizio criminale, la Corte di cassazione confermava la sua condanna per il reato di usura aggravata in concorso con l’organizzazione criminale. Per tale motivo, il fornitore del motore di ricerca sosteneva la legittimità del collegamento dei contenuti al nominativo dell’interessato, permanendo l’interesse pubblico alla conoscenza della notizia, anche in considerazione del ruolo del ricorrente, agente immobiliare iscritto all’albo, riguardando i fatti proprio l’attività immobiliare durante l’Expo di Milano ed essendo lo stesso un protagonista della vita politica della propria comunità comunale.

Il Tribunale, riconosciute la qualità di titolare del trattamento da parte del fornitore del motore di ricerca, rigettava la domanda dell’interessato ricorrente per gli URL ancora indicizzati, reputando insussistenti i presupposti del riconoscimento del diritto all’oblio, in specie di diritto alla deindicizzazione, viceversa ritenendo prevalenti l’interesse della collettività a conoscere delle informazioni contenute negli articoli. Secondo il giudice di prime cure «il diritto all’oblio non è un diritto al quale l’ordinamento offra una tutela incondizionata, giacché deve essere necessariamente bilanciato con ulteriori interessi, tra cui spicca il diritto alla informazione nel legittimo esercizio del diritto di cronaca, quale declinazione del diritto enucleato dall’art. 21 Cost.».

Il Tribunale teneva conto della tipologia del fatto di reato commesso dal ricorrente e del ruolo che lo stesso avesse nella politica locale, essendo candidato per le elezioni amministrative, e nel settore immobiliare, associandolo le notizie oggetto di controversia alle attività immobiliari legate all’Expo 2015. Di talché, secondo il Tribunale, permaneva l’interesse della collettività a conoscere le vicende processuali che avevano coinvolto il ricorrente e ad essere informata sui fatti penalmente rilevanti da egli commessi.

Dunque, l’interessato interponeva ricorso per la cassazione della sentenza di prime cure censurandola con cinque motivi che sinteticamente possono esporsi nella violazione dell’art. 2 del d.lgs. n. 196 del 2003, degli artt. 5, 6, 7, 10, 12, 16, 17, 23 e 32 RGPD e dell’art. 2 Cost., delle Linee guida n. 5/2019 sui criteri per l’esercizio del diritto all’oblio nel caso dei motori di ricerca, assumendo tra l’altro l’omessa ed apparente motivazione ed omesso esame circa un fatto decisivo per il giudizio che è stato oggetto di discussione tra le parti nel primo grado ex art. 360, n. 5, c.p.c., ossia che il ricorrente è stato assolto dall’accusa di associazione mafiosa con sentenza emessa dalla Corte di cassazione il 1° settembre 2015, ravvisata invece l’erronea sussistenza di un interesse della collettività a conoscere delle vicende processuali che lo hanno visto coinvolto.

Le censure riguardano la non pertinenza delle notizie di lite, la non attualità delle stesse e gli effetti pregiudizievoli sull’immagine e il decoro dell’interessato, che possono essere così enucleate:

– le notizie in rete risalivano agli anni 2010-2011, oltre 12 anni prima rispetto al momento in cui se ne chiedeva la deindicizzazione, quindi obsolete e in grado di offrire una rappresentazione non più attuale della realtà e non rispondente ad un interesse pubblico attuale alla relativa conoscenza, non riguardando peraltro una persona che ricopra un ruolo pubblico o socialmente rilevante, che come tale ha il diritto a conservare l’anonimato sulle vicende della sua vita privata;

– le notizie non corrispondevano al vero, indicando il ricorrente come esponente del sodalizio criminale, a fronte della sentenza della Corte di cassazione che ne accertava l’estraneità all’associazione, pertanto si trattava di trattamento di dati non esatti, non aggiornati, non pertinenti, non veritieri e, comunque, non più rispondenti alle finalità per le quali erano stati raccolti;

– l’interesse economico del motore di ricerca a conservare contenuti ritenuti infondati non può prevalere su quello del soggetto a non vedersi attribuire connotazioni calunniose, diffamatorie e denigratorie, lesive dell’immagine, del decoro e della reputazione dell’interessato, fermo l’interesse pubblico ad essere correttamente informati e a conoscere la verità dei fatti rappresentati.

– l’intervallo di tempo da esaminare per la comprensione dell’attualità della notizia e dell’interesse deve essere oggetto di una corretta valutazione, dal momento che, nella ponderazione del decorso del tempo in grado di far venire meno l’interesse alla conoscenza dei fatti, il dies a quo non può trarsi dalla data della sentenza definitiva che abbia accertato l’infondatezza dei fatti, quando anch’essa (in specie, il 2015) è ben lungi dal periodo di pubblicazione delle notizie (in specie, il 2010) e ancor di più da quello della verificazione degli stessi (in specie, il 2008);

– nel bilanciamento degli interessi coinvolti nel trattamento dei dati personali, in particolare il diritto di cronaca e il diritto all’oblio, a fronte di un provvedimento giudiziale definitivo che statuisca l’assoluzione dai fatti pubblicati, deve ritenersi prevalente l’interesse alla cancellazione degli articoli non aggiornati, così da non consentirsi il mantenimento di notizie infondate in quanto non più rispondenti all’evoluzione storica dei fatti, in ossequio al principio di proporzionalità;

Nel ritenere ammissibili le doglianze dell’interessato ricorrente, la Suprema Corte ha offerto un compendio dei principi che fondano la disciplina dell’oblio in materia di trattamento dei dati personali.

Nella consapevolezza che in un’accezione di “privacy informatica” la questione si incentra non tanto nella “riproposizione”, bensì nella “permanenza” della notizia nella disponibilità dell’utente della rete, la Sezione I esordisce nel ricondurre la questione all’autodeterminazione informativa, ossia «il diritto fondamentale al controllo dell’insieme delle informazioni che definiscono la propria immagine “sociale”», da cui riviene «l’interesse a controllare le modalità di conservazione e archiviazione dei propri dati personali sul web, allo scopo di evitare che l’indiscriminata accessibilità agli stessi finisca per portare a conoscenza di un’indeterminata cerchia di destinatari (al di là di una specifica finalità divulgativa) informazioni screditanti o (anche semplicemente) sgradite per l’interessato in quanto non più attuali».

Ed è proprio in un simile contesto che si delineano i contorni del diritto all’oblio, definito dalla Corte «il diritto a non rimanere esposti, senza limiti di tempo, ad una rappresentazione non più attuale della propria persona, con pregiudizio alla reputazione ed alla riservatezza, per la ripubblicazione (a distanza di un importante intervallo temporale destinato ad integrare il diritto ed al cui decorso si accompagni una diversa identità della persona) o il mantenimento senza limiti temporali di una notizia relativa a fatti commessi in passato, che nella sua versione dinamica consiste nel potere, attribuito al titolare del diritto, al controllo del trattamento dei dati personali ad opera di terzi responsabili».

In tal senso, secondo la Corte, la deindicizzazione (c.d. delisting) si atteggia a rimedio in grado di garantire quel controllo sulle informazioni, come accade in relazione ad un evento modificativo dei fatti narrati (quale, nella specie, un provvedimento penale favorevole e divenuto definitivo).

Il giudizio di bilanciamento dei contrapposti interessi – quello del singolo ad essere dimenticato a tutela dei propri dati personali e quello collettivo a conoscere fatti legittimamente divulgati nell’esercizio del diritto di cronaca – deve costituire una valutazione che si estrinseca in termini di ragionevolezza, adeguatezza e pertinenza, tenendo conto dell’atteggiarsi del singolo fatto concreto, assumendo rilievo decisivo la notorietà dell’interessato, il suo coinvolgimento nella vita pubblica, l’oggetto della notizia e il tempo trascorso.

Tutti questi elementi devono essere opportunamente valorizzati, sì da poter comprendere quale interesse in gioco debba cedere il passo all’altro. Infatti, la I Sezione pone quale naturale declinazione di una tale valutazione l’attenzione sulla diversa valenza che di volta in volta assumono il fattore temporale, da un lato, e il successivo evento modificativo dei fatti (nella specie il provvedimento penale favorevole), dall’altro, sicché la diversa valenza assegnata all’uno o all’altro aspetto può determinare tal ora l’esistenza di una reale esigenza a preservare l’immagine attuale della persona, tra l’altra giustificare la permanente accessibilità della notizia.

Nonostante la corretta qualificazione del ricorrente operata dal Tribunale quale personaggio pubblico – sul rilievo che questi fosse un imprenditore, attivo nel settore immobiliare e candidato per il locale consiglio comunale (non occorrendo rivestire un ruolo a livello nazionale) – e nonostante altresì i conferenti riferimenti alla giurisprudenza di settore, la I Sezione ha cassato la decisione di prime cure, ritenendo che il giudice di merito non avesse operato il corretto bilanciamento degli interessi, non restituendo la corretta valorizzazione del fattore temporale e della sopravvenuta sentenza di assoluzione che rendevano le notizie decontestualizzate e non più rispondenti alla realtà.

Secondo la Corte «la necessità che i dati personali siano aggiornati e contestualizzati, ovvero corrispondano alla realtà, appartiene alla sfera dell’identità personale del soggetto», che altrimenti ne risulterebbe gravemente compromessa, sì come connotata da caratteri non più rispondenti alla sua attuale essenza.

Ecco che «il diritto all’oblio rappresenta un’ulteriore frontiera di tutela dei “tradizionali” diritti della personalità (riservatezza, identità personale, onore, reputazione), attivabile quando il disvalore connesso alla divulgazione di un’informazione risieda nello iato temporale che la separa dal momento dell’originaria diffusione», quale ulteriore tutela a presidio della “identità dinamica” del soggetto, per come venutasi a conformare nel corso del tempo.

L’idea di fondo è che, in considerazione del passare del tempo, possa venir meno l’attualità di una notizia che, in origine, era stata legittimamente pubblicata, in quanto provvista dei requisiti della verità, pertinenza e continenza. Quando intercorra un intervallo di tempo di una certa consistenza tra la narrazione e il fatto che ne costituisce l’oggetto, la libertà di manifestazione del pensiero è controbilanciata dalla pretesa del soggetto di essere dimenticato, o meglio di non essere ricordato in relazione a quel fatto, che pure legittimamente era stato oggetto di cronaca in passato.

La Sezione I, però, offre un ulteriore spunto di riflessione.

Manifestando una chiara consapevolezza che il diritto all’oblio nell’accezione di “privacy informatica” non suppone una cesura temporale tra due successive divulgazioni della notizia, dal momento che quest’ultima permane a disposizione dell’utente della rete, a prescindere da una specifica “riproposizione”, la Suprema Corte dà prova dell’accresciuta sensibilità nei confronti di un rinnovato contesto sganciato dai canoni della materialità, rilevando «l’interesse a controllare le modalità di conservazione e archiviazione dei propri dati personali sul web, allo scopo di evitare che l’indiscriminata accessibilità agli stessi finisca per portare a conoscenza di un’indeterminata cerchia di destinatari (al di là di una specifica finalità divulgativa) informazioni screditanti o (anche semplicemente) sgradite per l’interessato, in quanto non più attuali».

Pur tuttavia, posto che la deindicizzazione costituisce un rimedio in grado di offrire quel necessario controllo sulle informazioni al fine di garantire l’autodeterminazione informativa, è altresì vero che non viene indicata quale unico rimedio, neppure principale, semmai una extrema ratio quandunque l’aggiornamento della notizia non restituirebbe la corretta attualità dei fatti, ovvero l’aggiornamento non sarebbe possibile.

Tale conclusione deve ricavarsi in un inciso motivazionale che pone, in ogni caso, l’aggiornamento della notizia quale rimedio principale per la tutela dell’identità personale. Non a caso la I Sezione puntualizza che «la perdurante reperibilità in Rete degli articoli associati al nominativo del ricorrente che si riferiscono ad un’accusa penale… senza la possibilità di collegare quella notizia ad un’altra, più aggiornata, che restituisca agli utenti della Rete e alla collettività un quadro rispettoso dell’identità personale ovvero, ove l’aggiornamento non risulti possibile, senza neppure rimuovere, attraverso la deindicizzazione, il collegamento ipertestuale che consente agli utenti di accedervi, potrebbe creare un impatto sproporzionato sull’identità della persona, giacché [l’interessato] è risultato, a seguito della sentenza della Cassazione penale, estraneo all’associazione di tipo mafioso».

È possibile comprendere che, nell’argomento ermeneutico accolto dalla Suprema Corte, il primo rimedio volto a restituire la corretta dimensione all’identità personale dell’interessato è l’aggiornamento della notizia e solo laddove ciò non si rendesse possibile dovrebbe darsi luogo alla deindicizzazione.

La graduazione delle soluzioni, a ben vedere, si pone in continuità logica con la necessità di operare un bilanciamento tra interessi contrapposti – l’integrità dell’identità personale e l’interesse della collettività alla cronaca dei fatti – laddove il bilanciamento dovrebbe appunto, laddove possibile, bilanciare le diverse esigenze. Se l’aggiornamento della notizia o la pubblicazione di una seconda notizia di aggiornamento hanno l’effetto di contemperare interessi che trovano entrambi una copertura costituzionale (rispettivamente nell’art. 2 e nell’art. 21 Cost.), nel pieno rispetto del pluralismo che contraddistingue un ordinamento democratico che non prevede una gerarchia di valori enucleando “diritti fondamentali tiranni” con “pretesa di assolutezza”[31], la deindicizzazione costituisce una forte e grave limitazione dell’interesse della collettività ad accedere ad un’informazione che, non più immediatamente ricercabile, finisce col divenire repertorio di non immediata e diretta consultazione.

Deindicizzazione e archivi storici: la distinzione necessaria

A tal proposito, per la Suprema Corte è fondamentale non confondere la deindicizzazione con la cancellazione della notizia. Infatti, la deindicizzazione postula la cancellazione dei riferimenti degli URL dei motori di ricerca o da quelli utilizzati dai quotidiani online per l’indicizzazione della notizia, sì da impedire l’emersione della notizia partendo dai dati personali della persona di interesse. La notizia, invece, resterà nell’archivio storico del quotidiano. In tal senso, come chiarito dal Garante per la protezione dei dati personali, «l’archivio online di un giornale svolge un’importante funzione per la ricostruzione storica degli eventi che si sono verificati nel tempo», dal momento «che la conservazione dell’articolo all’interno dell’archivio online dell’editore risponde ad una legittima finalità di archiviazione di interesse storico-documentaristico che, pur differente da quella originaria di cronaca giornalistica, è anch’essa prevista dal Regolamento europeo che stabilisce specifici limiti al potere di esercitare il diritto di cancellazione»[32].

Si coglie nuovamente lo spirito pluralista che permea la disciplina del diritto all’oblio, che vive nel bilanciamento dei contrapposti interessi proprio come plasticamente evidenziato dalla sentenza in commento, che tra l’altro si pone in piena continuità con i chiarimenti offerti dal Garante in tema di diritto all’oblio degli imputati e delle persone sottoposte alle indagini di cui all’art. 64-ter disp. att. c.p.p..[33]. Anche in questo caso, il Garante ha avuto modo di precisare che la norma «stabilisce che i provvedimenti in essa richiamati… costituiscono titolo per ottenere un provvedimento di sottrazione dall’indicizzazione di contenuti riferiti al procedimento penale che si è concluso con una delle decisioni indicate… ma pur sempre “ai sensi e nei limiti dell’art. 17 del Regolamento UE 2016/679”, con ciò ponendo una clausola di salvaguardia delle deroghe previste dallo stesso art. 17 all’esercizio del diritto di cancellazione; tra le eccezioni che quest’ultimo pone vi è quella legata alla necessità di garantire il corretto espletamento della libertà di espressione e di informazione con la quale il diritto di cancellazione, anche nella sub specie del diritto all’oblio, deve essere pertanto bilanciato e ciò anche nelle ipotesi ricadenti nell’ambito di applicazione dell’art. 64-ter sopra citato il quale, facendo salvi i limiti dell’art. 17 del Regolamento, pone una presunzione relativa e non assoluta in merito all’accoglibilità dell’istanza di deindicizzazione dell’interessato»[34].

La Suprema Corte con la sentenza in commento ha offerto un valido ed attuale riferimento ermeneutico nella concreta applicazione dei canoni normativi che sovrintendono il riconoscimento del diritto all’oblio, nella sua declinazione di diritto alla deindicizzazione dai motori di ricerca, confermando principi di matrice euro unitaria, fornendo altresì la corretta soluzione nell’individuazione dello strumento più utile garantire i diritti in gioco, attestando la gradualità delle misure che intervengono a seguito dell’esperimento di un rigoroso giudizio di bilanciamento.

L’intelligenza artificiale e il machine learning: una minaccia per l’oblio

Concludendo, è d’uopo fare riferimento, quasi a guisa di “provocazione”, all’intelligenza artificiale e alle conseguenze sull’effettività del diritto all’oblio.

Invero, il funzionamento dei sistemi di IA sono ben lungi dall’essere neutrali rispetto al trattamento dei dati personali. L’avvento dell’IA ha da subito messo in luce il suo rapporto con il trattamento dei dati personali. Infatti, il sistema di apprendimento automatico (c.d. machine learning) si fonda su un’acquisizione di una vastissima mole di dati e informazioni, entro cui vanno ricompresi necessariamente anche i dati personali.

Il Legislatore europeo ha mostrato sin da subito piena consapevolezza sulla problematica di tale rapporto, tanto che sin dal Considerando n. 10 dell’AI Act si colgono tutta una serie di principi circa il trattamento dei dati personali. Infatti, l’AI Act nelle intenzioni del Legislatore europeo:

– lascia impregiudicata l’applicazione del vigente diritto dell’Unione che disciplina il trattamento dei dati personali e pone, anzi, i regolamenti (UE) 2016/679 e (UE) 2018/1725^[35] del Parlamento europeo e del Consiglio, dalla direttiva (UE) 2016/680^[36]e la direttiva 2002/58/CE^[37] del Parlamento europeo e del Consiglio quali «base per un trattamento sostenibile e responsabile dei dati, anche nei casi in cui gli insiemi di dati comprendono una combinazione di dati personali e non personali»;

– lascia impregiudicati «gli obblighi dei fornitori e dei deployer dei sistemi di IA nel loro ruolo di titolari del trattamento o responsabili del trattamento derivanti dal diritto dell’Unione o nazionale in materia di protezione dei dati personali, nella misura in cui la progettazione, lo sviluppo o l’uso di sistemi di IA comportino il trattamento di dati personali»;

– lascia impregiudicati «i compiti e i poteri delle autorità di controllo indipendenti competenti a monitorare la conformità con tali strumenti»;

– conferma «i diritti e le garanzie degli interessati loro conferiti da tale diritto dell’Unione, compresi i diritti connessi al processo decisionale esclusivamente automatizzato relativo alle persone fisiche, compresa la profilazione»;

– deve «facilitare l’efficace attuazione e consentire l’esercizio dei diritti degli interessati e di altri mezzi di ricorso garantiti dal diritto dell’Unione in materia di protezione dei dati personali nonché degli altri diritti fondamentali» attraverso le norme regolatrici dell’immissione sul mercato, la messa in servizio e l’uso di sistemi di IA.

Il Considerando n. 3, poi, esplicita come il Legislatore euro unitario abbia ritenuto opportuno basarsi sull’art. 16 TFUE e consultare il Comitato europeo per la protezione dei dati (EDPB) ogniqualvolta il Regolamento abbia dovuto prevedere regole specifiche sulla protezione delle persone fisiche con riguardo al trattamento dei dati personali.

In materia di deindicizzazione, l’intelligenza artificiale potrebbe costituire un vero e proprio vulnus in grado di vanificare il fine ultimo per cui la deindicizzazione è stata concepita. Invero, se la deindicizzazione dai motori di ricerca è finalizzata ad elidere il collegamento diretto di una notizie al nome dell’interessato sì da consentire che una ricerca a partire da quel dato nome non restituisca tutta una serie di notizie che si assumono lesive di una personalità non più allineata alle stesse, quandunque le stesse notizie siano state utilizzate per addestrare l’intelligenza artificiale, rivivrebbe il collegamento tra il nome dell’interessate e le notizie ritenute non più rilevanti.

Per far sì che ciò si verificasse, basterebbe che un editore web consentisse ad un fornitore di servizi di intelligenza artificiale di addestrarsi con i contenuti che formano l’archivio delle notizie.

L’interveneto del Garante sull’accordo Gedi-OpenAI

In merito proprio ad una simile accordo tra GEDI Gruppo Editoriale S.p.a. e OpenAI, è intervenuto il Garante con l’avvertimento di cui al provvedimento del 27 novembre 2024[38].

L’esposizione dei fatti e del’iter argomentativo del Garante è utile per comprendere l’impatto di un accordo siffatto sulla tenuta del sistema di data protection.

§§§

Con il comunicato stampa del 26 settembre 2024, GEDI Gruppo Editoriale S.p.a. annunciava la sottoscrizione di un accordo con la società OpenAI «per portare contenuti in lingua italiana dal portafoglio di agenzie di notizie di alta qualità di GEDI agli utenti di OpenAI», i quali «avranno accesso a citazioni attribuite, contenuti e link alle pubblicazioni di GEDI, tra cui La Repubblica e La Stampa». Le testate interessate sono ossia Repubblica, La Stampa, La Provincia Pavese, La Sentinella, Limes Online, Huffingtonpost, Formulapassion, MyMovies, AlFemminile.

L’Autorità, pertanto, chiedeva informazioni ai sensi degli artt. 58, par. 1, lett. a), RGPD e 157 del Codice e GEDI riferiva che l’oggetto dell’accordo triennale consistesse nella «comunicazione dei contenuti editoriali da parte di alcune testate del Gruppo GEDI a OpenAI, con l’obiettivo di tutelare i diritti di proprietà industriale e intellettuale del Gruppo GEDI (sia morali, sia patrimoniali) promuovendo la libertà di informazione tramite la diffusione di contenuti attuali e di qualità, nonché verificati secondo le norme applicabili alla professione giornalistica e ciò, naturalmente, a riduzione del rischio di veicolazione di fake news». GEDI riferiva altresì che avrebbe ottenuto una remunerazione a fronte della condivisione dei contenuti editoriali. Oggetto dell’accordo era la comunicazione ad OpenAI, una tantum e in unica soluzione, dei contenuti dell’archivio pubblicati sino al 29 novembre 2024, cui sarebbe seguita una successiva comunicazione, in modo contestuale e immediato, dei contenuti pubblicati a partire dal 30 novembre 2024. In particolare, GEDI precisava che tutti i contenuti editoriali sarebbero stati utilizzati da OpenAI «per consentire agli utenti di fare ricerche in tempo reale di notizie di attualità, con contestuale fornitura di un riassunto (generato da sistemi di intelligenza artificiale di OpenAI) e del link diretto alla notizia medesimi» e che tutti i contenuti editoriali sarebbero stati utilizzati da OpenAI «altresì per migliorare i propri servizi e addestrare i propri algoritmi di intelligenza artificiale».

Il Garante rilevava che la DPIA era stata trasmessa all’Autorità ancora non ultimata all’atto del riscontro alla richiesta di informazioni, e in ogni caso dalla stessa risultava che il trattamento di dati personali c.d. comuni si sarebbe basato sul legittimo interesse del titolare ex art. 6 par. 1, lett. f) GDPR, considerato prevalente, «ad esercitare l’attività giornalistica secondo modalità innovative e in grado di preservare la capacità e la funzione informativa dei contenuti editoriali», mentre il trattamento di dati personali appartenenti a categorie particolari e relativi a condanne penali e reati veniva ricondotta all’esercizio dell’attività giornalistica in conformità agli artt. 136 e 137 del Codice privacy e alle disposizioni contenute all’interno delle Regole deontologiche.

L’Autorità rilevava, poi, che l’accordo era stato sì stipulato da GEDI, ma i contenuti editoriali si riferissero a GEDI News Network S.p.A., GEDI Periodici e Servizi S.p.A., GEDI Digital S.r.l., Monet S.r.l. e Alfemminile S.r.l., tutti autonomi titolari del trattamento e che le attività di trattamento costì individuate potevano essere qualificate di “larga scala”, in quanto destinate a coinvolgere un grande volume di dati personali, anche di natura particolare.

In particolare, secondo L’Autorità, nella DPIA non risultava sufficientemente analizzata la riconduzione del trattamento all’attività giornalistica, in particolare alla luce del disposto dell’art. 137, comma 3, del Codice, il quale prevede che “in caso di diffusione o di comunicazione dei dati per le finalità di cui all’articolo 136 restano fermi i limiti del diritto di cronaca a tutela dei diritti di cui all’articolo 1, paragrafo 2, del Regolamento e all’articolo 1 del presente codice e, in particolare, quello dell’essenzialità dell’informazione riguardo a fatti di interesse pubblico”. In particolare, il Garante osservava che «il legittimo interesse non è condizione legittimante il trattamento di dati personali di carattere particolare, in quanto l’articolo 9 del Regolamento, al suo secondo comma, individua tali “basi giuridiche” quali eccezioni alla regola generale del primo comma, secondo la quale: “È vietato trattare dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona”».

Secondo il Garante non è sufficientemente chiaro come la base giuridica del legittimo interesse di cui si vorrebbe avvalere GEDI per il trattamento dei dati per finalità giornalistiche possa risultare anche una base giuridica idonea per consentire alla stessa GEDI di comunicare i dati personali inclusi nei contenuti editoriali ad OpenAI, anche per operazioni di “addestramento” delle proprie applicazioni di intelligenza artificiale. Proprio le attività di addestramento, come riferito dalla stessa GEDI, sono «integralmente sottratte alla partecipazione e al controllo di GEDI e delle testate del Gruppo GEDI».

A questo punto, l’Autorità involge nell’argomentazione i diritti degli interessati, i cui dati comuni e particolari sono contenuti negli archivi e negli articoli oggetto di comunicazione ad OpenAI. Invero, gli interessati non possono ragionevolmente aspettarsi siffatta comunicazione, senza contare che il paragrafo integrativo delle informative privacy pubblicate sui siti internet delle testate coinvolte «non appare sufficiente a considerare adempiuto l’obbligo di trasparenza di cui agli artt. 13 e 14 del Regolamento», atteso che alla data del provvedimento dello stesso Garante tale paragrafo non risultava ancora pubblicato e che lo stesso era rivolto agli utenti registrati alle predette testate e non agli interessati i cui dati sarebbero stati oggetto di comunicazione ad OpenAI.

Non rileva oltremodo, secondo il Garante, che l’integrazione delle informative prevedesse che ogni interessato avrebbe potuto sempre esercitare il diritto di opposizione alla comunicazione dei dati a OpenAI e gli altri diritti riconosciuti dalla normativa applicabile mediante comunicazione da trasmettere all’editore, oltre l’implementazione di procedure idonee a garantire l’adempimento degli obblighi derivanti dalla normativa applicabile. Infatti GEDI non risultava nelle condizioni di garantire i diritti degli interessati, sia con riferimento agli archivi giornalistici, sia nei casi in cui la comunicazione ad OpenAI fosse avvenuta contestualmente alla pubblicazione dei singoli articoli. Per il Garante l’esercizio del diritto di opposizione nei confronti delle testate del gruppo GEDI coinvolte non risultava effettivo, in quanto l’esercizio dei diritti di cui al Capo III del Regolamento sarebbe potuto avvenire esclusivamente nei confronti di OpenAI.

Inoltre, l’Autorità ha pure mostrato perplessità altresì per il fatto che dalla DPIA risultava che le testate del Gruppo GEDI non sarebbero state responsabili in alcun modo dell’operazione o dell’insieme di operazioni di trattamento di dati personali messe in atto da parte di OpenAI, che avrebbe agito in qualità di titolare autonomo del trattamento anche per fini di training dei propri sistemi di intelligenza artificiale e di miglioramento dei propri servizi.

Per tutte queste ragioni, il Garante ravvisata la necessità di rivolgere un avvertimento nei confronti del GEDI Gruppo Editoriale S.p.A e di tutte le società parte dell’accordo di comunicazione dei contenuti editoriali stipulato con OpenAI in qualità di titolari del trattamento dei dati personali, ai sensi dell’art. 58, par. 2, lett. a), RGPD e dell’art. 154, comma 1, lett. f), Codice,: la comunicazione dei contenuti editoriali delle predette testate del Gruppo GEDI a OpenAI avrebbe potuto verosimilmente configurare una violazione della disposizioni di cui agli artt. 9, 10, 13, 14 e del Capo III RGPD, con tutte le conseguenze, anche di carattere sanzionatorio, ivi previste.

Possibili soluzioni: human in the loop e responsabilità dei fornitori di IA

L’avvertimento del Garante non prende in considerazione una verosimile violazione dell’art. 17 GDPR, ma non sembra residuino dubbi dell’impatto sull’effettività dell’esercizio di un diritto quale quello all’oblio, sotto il profilo della deindicizzazione da un motore di ricerca.

Invero, l’intelligenza artificiale si fonda, come si è detto, sull’apprendimento automatico, il cosiddetto machine learning, sicché tutte le informazioni utilizzate per l’addestramento dell’IA saranno oggetto di un output coerente al prompt inserito dall’utente. Dal momento che la deindicizzazione non postula la cancellazione dell’informazione, bensì l’elisione del collegamento della stessa da un criterio di ricerca che tenga conto dei dati personali dell’interessato (a partire dal nome), anche nel caso di riconosciuto diritto alla deindicizzazione dai motori di ricerca, l’inserimento del nome dell’interessato nel prompt che costituisce l’input di partenza per l’interrogazione dell’IA farà sì che la stessa restituisca quell’informazione proprio partendo dal dato personale dell’interessato, finanche dal nome.

In una simile prospettiva, la vanificazione del diritto all’oblio come predicato dall’art. 17 GDPR è destinato ad assumere proporzioni forse non controllabili, perché nel qual caso solo l’eliminazione dell’informazione potrà garantire l’efficace ed effettivo esercizio del diritto. Soluzione, questa, che non può trovare un meritevole avallo giuridico, dal momento che – dicendolo nuovamente con il Garante – «l’archivio online di un giornale svolge un’importante funzione per la ricostruzione storica degli eventi che si sono verificati nel tempo», dal momento «che la conservazione dell’articolo all’interno dell’archivio online dell’editore risponde ad una legittima finalità di archiviazione di interesse storico-documentaristico che, pur differente da quella originaria di cronaca giornalistica, è anch’essa prevista dal Regolamento europeo che stabilisce specifici limiti al potere di esercitare il diritto di cancellazione»[39], limite precisamente cristallizzato dall’art. 17, paragrafo 3, n. d).

Non si tratta di un semplice affievolimento di un diritto, in specie quello all’oblio declinato quale diritto alla deindicizzazione dai motori di ricerca, bensì di una vera e propria inibizione di un diritto che troverebbe la sua ragione in una sterile formalità vanificata da nuovi metodi di ricerca che postulano quale criterio di ricerca proprio il riferimento oggetto di deindicizzazione.

Una possibile soluzione potrebbe rivenire dal fisiologico e naturale inquadramento del fornitore del sistema di IA come titolare del trattamento. Invero, il fornitore del sistema di IA diverrebbe destinatario di richiesta di cancellazione ex art. 17 RGDP, il quale dovrebbe intervenire nell’apprendimento automatico, sì da inibire output in grado di riferire notizie a seguito di un prompt contenente il nome dell’interessato.

Un altro rimedio potrebbe rinvenirsi in una lettura attualizzata dell’art. 17, paragrafo 2, RGPD, imponendo anche al fornitore del motore di ricerca, quandunque obbligato ad addivenire alla deindicizzazione, di informare i titolari di trattamento che stanno trattando i dati personali della richiesta dell’interessato, quindi i fornitori di sistema IA, di cancellare qualsiasi riproduzione dei suoi dati personali. Una tale soluzione si porrebbe come una necessaria revisione a normativa invariata della soluzione delineata dalle Linee Guida 5/2019 secondo cui – come si è detto in precedenza – nel caso di deindicizzazione dai motori di ricerca, non troverebbe applicazione l’art. 17, paragrafo 2, RGPD, dal momento che l’EDPB ha inteso confermare quanto affermato dal gruppo “Articolo 29”, ossia che i fornitori di motori di ricerca «non dovrebbero, quale prassi generale, informare i webmaster delle pagine deindicizzate del fatto che non si riesca ad accedere ad alcune pagine web dal motore di ricerca in risposta ad una specifica interrogazione» in quanto «non esiste alcun fondamento giuridico per una tale comunicazione ai sensi della normativa UE sulla protezione dei dati». Proprio il meccanismo delineato dall’art. 17, paragrafo 2, RGPD sembrerebbe quello più opportuno per soddisfare rinnovate esigenze di effettività dell’esercizio del diritto alla cancellazione del dato, senza imporre all’interessato di rivolgersi a più titolari del trattamento fornitori dei servizi coinvolti, così svincolandolo da un aggravio procedurale per l’esercizio effettivo di un diritto della personalità.

In ogni caso, si aprirebbe un’ulteriore questione. Tutto ciò, infatti, non solo comporterebbe dei costi di attuazione per il fornitore del sistema di IA, ma postulerebbe un approccio peculiare al machine learning, quella dell’HITL, ossia dell’human in the loop, «un approccio in cui l’essere umano è coinvolto nel ciclo di addestramento e test degli algoritmi, mantenendo un ruolo centrale nei processi decisionali»[40]. Invece di lasciare che l’IA prenda decisioni completamente autonome, l’human in the loop implica che un essere umano supervisioni, corregga o intervenga in caso di necessità, garantendo che l’IA operi in modo sicuro, etico e conforme agli obiettivi desiderati. Un tale approccio potrebbe contraddire l’aspirazione ad automatismo sempre più perfezionato atto ad affrancare l’attività umana da compiti ripetitivi o comunque delegabili. Tuttavia, come è stato osservato (sebbene in un contesto che rimarca ben altre problematiche), «occorre tenere in considerazione che per fare una intelligenza artificiale occorrono due ingredienti: gli algoritmi e i dati. E in particolare, i dati stanno diventando molto più importanti degli algoritmi stessi»[41].

Questa ulteriore narrazione, di una IA antropocentrica che non esclude l’uomo dai suoi meccanismi di apprendimento, di fatto è quella che sembra collimare maggiormente con la necessità di garantire la piena effettività di un diritto della personalità come quello all’identità personale, sì declinato in diritto all’oblio.

La soluzione non potrà che essere tratta in via interpretativa o de iure condendo.

Bibliografia

Auletta, T.A.; Diritto alla riservatezza e “droit à l’ oubli”, in Alpa, G. – Bessone, M. – Caiazza (a cura), L’informazione e i diritti della persona, Napoli, Jovene, 1983.

Catalieta, A.; Diritto all’oblio e privacy, cos’è e come esercitarlo, in Agenda Digitale, 13/01/2023.

Ferri, G.B.; Diritto all’ informazione e diritto all’ oblio, Riv. Dir. Civ., 1990.

Finocchiaro, G.D.; Identità personale (diritto alla), in Digesto delle discipline privatistiche, Torino, Utet, 2010.

Floridi, L.; The Online Manifesto, Springer Open, 2015.

Maraglino, R.; Privacy e diritto all’oblio: senza regole certe, a rischio democrazia e memoria, in Agenda Digitale, 30/11/2020.

Martire, D.;, Human in the loop. L’essere umano come fattore condizionante della – o condizionato dalla – intelligenza artificiale, in Rivista Italiana di Informatica e Diritto, 2/2024

Papa, A.; La problematica tutela del diritto all’autodeterminazione informativa nella big data society, in Consulta OnLine – Liber Amicorum per Pasquale Costanzo, 17/04/2020.

Pizzetti, F.; Privacy e il Diritto Europeo alla Protezione dei Dati Personali, Torino, Giappichelli, 2016.

Rodotà, S.; Tecnopolitica, La democrazia e le nuove tecnologie della comunicazione, Roma, Laterza, 2004.

Zanzotto, F.M.; Human in the loop, per un’intelligenza artificiale al servizio degli uomini: il nuovo approccio, in Agenda Digitale, 22/01/2019

Zeno Zencovich, V.; Comunicazione, reputazione, sanzione, in Il Diritto dell’Informazione e dell’Informatica, Milano, Giuffrè, 2007.

Provvedimenti del Garante PDP

GPDP, Nota del 6 febbraio 2024, Doc-Web 9980144

GPDP, Provvedimento del 27 novembre 2024, doc. web n. 10077129

GPDP, provvedimento del 28/09/2023, Doc-Web 9946736

[1] Ho avuto modo di confrontarmi con la tematica dell’o.s.int. in ragione del personale coinvolgimento da parte dell’assistente di Polizia di Stato Gabriele Milazzo, analista o.s.int. e soc.mint. della Polizia delle Telecomunicazioni, con il quale abbiamo curato due edizioni (2023 e 2025) di un manuale in uso alla Polizia delle Telecomunicazioni dal titolo “Unnamed Open source intelligence.”. Il manuale nella sua ultima edizione (2025) è stato reso disponibili su PG Informatica (www.pginformatica-mi.it), portale ad accesso riservato agli appartenenti alle forze di polizia e alla magistratura.

[2] F. Pizzetti, Privacy e il Diritto Europeo alla Protezione dei Dati Personali, Giappichelli, 2016.

[3]T. Auletta, Diritto alla riservatezza e “droit à l’oubli”, in Alpa-Bessone-Caiazza, L’informazione e i diritti della persona, a cura di, Napoli, Jovene, 1983, p. 129.

[4]G.B. Ferri, Diritto all’informazione e diritto all’ oblio, in Riv. Dir. Civ., 1990, p. 808.

[5] G.D. Finocchiaro, Identità personale (diritto alla), in Digesto delle discipline privatistiche, Milano, Utet, 2010

[6] L. Floridi, The Online Manifesto, Springer Open, 2015

[7] A. Papa, La problematica tutela del diritto all’autodeterminazione informativa nella big data society, in Consulta OnLine – Liber Amicorum per Pasquale Costanzo, 17/04/2020

[8]V. Zeno Zencovich, Comunicazione, reputazione, sanzione, in Diritto dell’Informazione e dell’Informatica, 2007, p. 266.

[9]S. Rodotà, Tecnopolitica, La democrazia e le nuove tecnologie della comunicazione, Roma, Laterza, 2004, p. 158

[10] A. Catalieta, Diritto all’oblio e privacy, cos’è e come esercitarlo, in Agenda Digitale, 13/01/2023.

[11]R. Maraglino, Privacy e diritto all’oblio: senza regole certe, a rischio democrazia e memoria, in Agenda Digitale, 30/11/2020.

[12] CGUE, causa C-131/12, Google Spain SL e Google Inc. contro Agencia Española de Protección de Datos (AEPD) e Mario Costeja González, sentenza del 13 maggio 2014.

Mario Costeja González, cittadino spagnolo, ha presentato un reclamo all’AgenciaEspañola de Protección de Datos (AEPD) contro il quotidiano “La Vanguardia” e contro Google SpainSL e Google Inc., poiché, digitando il suo nome su Google, apparivano link a due vecchi articoli del 1998 che riportavano la vendita all’asta di immobili pignorati per debiti previdenziali.
Egli chiedeva la rimozione o l’anonimizzazione delle pagine web e in subordine, che Google eliminasse quei link dai risultati di ricerca.

La AEPD respingeva la richiesta nei confronti del quotidiano, mentre accoglieva quella nei confronti di Google, ordinando la rimozione dei link dai risultati di ricerca.

Contro tale decisione, Google Spaine e Google Inc. hanno proposto ricorso dinanzi all’Audiencia Nacional spagnola. L’Audiencia Nacional ha sospeso il procedimento e ha rinviato alla Corte di Giustizia dell’Unione europea varie questioni pregiudiziali, fra cui se l’attività del motore di ricerca costituisca “trattamento di dati personali” e se Google sia “responsabile del trattamento” ai sensi della direttiva 95/46/CE; se l’interessato possa ottenere direttamente dal motore di ricerca la rimozione di link contenenti dati personali, anche se le informazioni sono state pubblicate lecitamente e sono ancora online; se il diritto alla cancellazione (art. 12 lett. b) e quello di opposizione (art. 14 lett. a) implichino un “diritto all’oblio”.

La Corte ha accolto l’impostazione dell’AEPD e dell’interessato, individuando l’attività di Google (indicizzazione, memorizzazione e visualizzazione dei dati) quale trattamento di dati personali, anche se questi provengono da fonti terze. Determinando finalità e mezzi del trattamento, Google doveva pure inquadrarsi come responsabile del trattamento ai sensi dell’art. 2 lett. d) della direttiva 95/46/CE, pertanto era obbligato a rimuovere i link a contenuti contenenti dati personali, anche se i dati sono pubblicati lecitamente sul sito di origine.

La Corte ha sottolineato che l’interesse dell’interessato a non essere associato a determinate informazioni può prevalere sull’interesse del pubblico ad accedervi, quindi l’interessato ha diritto alla cancellazione se i dati non sono più pertinenti, la loro conservazione è sproporzionata rispetto alle finalità, vi è pregiudizio nei suoi confronti anche senza illiceità.

Il diritto dell’interessato alla cancellazione o all’opposizione, secondo la Corte, è esercitabile direttamente nei confronti del motore di ricerca (in specie, Google), senza necessità di coinvolgere il sito di origine.

[13] CGUE, causa C-131/12, Google Spain SL e Google Inc., paragrafi 80 e 81.

[14] Gruppo Articolo 29 (WP225, 2014), Criterio n. 1 – Parte II, pag. 12.

[15] Punti 7 e 8.

[16] Punto 9. Ad esempio, un interessato può richiedere la rimozione dall’indice di un motore di ricerca di dati personali provenienti da un mezzo di comunicazione, quale un articolo di giornale. In questo caso, il link ai dati personali può essere rimosso dall’indice del motore di ricerca, ma l’articolo in questione resterà comunque sotto il controllo del mezzo di comunicazione e può rimanere pubblicamente disponibile e accessibile, sebbene non sia più visibile nei risultati di ricerca basati sulle interrogazioni che includono, in linea di principio, il nome dell’interessato.

[17] Punto 10. Ad esempio, nei casi in cui i fornitori di motori di ricerca non rispettassero più le richieste robots.txt attuate dall’editore originario, avrebbero effettivamente l’obbligo di cancellare completamente l’URL corrispondente al contenuto, a differenza della deindicizzazione che è principalmente basata sul nome dell’interessato.

[18] Ad esempio, un interessato può esercitare il diritto di chiedere la deindicizzazione ai sensi dell’articolo 17, paragrafo 1, lettera a), quando le informazioni che lo riguardano detenute da un’impresa sono state eliminate dal registro pubblico, quando un link a un sito web di un’azienda contiene i suoi dati di contatto sebbene non lavori più per quell’azienda, quando è necessario pubblicare informazioni su Internet per diversi anni in adempimento di un obbligo legale e queste sono rimaste online per un periodo di tempo superiore a quanto specificato dalla legislazione.

[19]Conformemente all’articolo 6, paragrafo 1, lettera a), o all’articolo 9, paragrafo 2, lettera a).

[20] Questa interpretazione è stata confermata dalla CGUE nella propria sentenza C-136-17 del 24 settembre 2019 (la «sentenza Google 2»). La Corte indica che «(…) il consenso deve essere “specifico” e vertere quindi specificamente sul trattamento effettuato nell’ambito dell’attività del motore di ricerca (…). Orbene, in pratica è difficilmente ipotizzabile (…) che il gestore di un motore di ricerca chieda il consenso esplicito degli interessati prima di procedere, per le necessità della sua attività di indicizzazione, al trattamento dei dati personali che li riguardano. In ogni caso, (…) il fatto stesso che una persona presenti una richiesta di deindicizzazione significa, in linea di principio, che, quanto meno alla data di tale richiesta, non acconsente più al trattamento effettuato dal gestore del motore di ricerca.»

[21] Ai sensi dell’articolo 21, paragrafo 1.

[22] Ai sensi dell’articolo 21, paragrafo 2.

[23] A tal proposito, la richiesta di deindicizzazione si fonderà sulla «situazione particolare» dell’interessato (ad esempio, la circostanza per cui un risultato di ricerca arreca danno a un interessato nella ricerca di un impiego o mina la sua reputazione nella vita personale) che sarà presa in considerazione nello stabilire il bilanciamento tra i diritti personali e il diritto all’informazione, in aggiunta ai criteri classici per gestire le richieste di deindicizzazione, quali:

– l’interessato non è una figura pubblica;

– le informazioni in questione non sono attinenti alla vita professionale dell’interessato, ma si ripercuotono sulla sua vita privata;

– le informazioni costituiscono incitamento all’odio, calunnia, diffamazione o analoghi reati di

opinione contro l’interessato come sancito da una decisione giudiziale;

– i dati sembrano verificati, ma sono di fatto inesatti;

– le informazioni si riferiscono a un reato di gravità relativamente minore commesso molto tempo prima e arrecano pregiudizio all’interessato.

Tuttavia, tali criteri non dovranno essere esaminati in assenza di elementi che comprovino la sussistenza di motivi legittimi e cogenti per rifiutare la richiesta.

[24] . Ad esempio, una richiesta di deindicizzazione è accolta laddove l’indicizzazione è stata vietata espressamente da un’ordinanza del tribunale.

[25] Un esempio potrebbe essere rappresentato dalla non osservanza del periodo di conservazione fissato per legge (anche se questa ipotesi riguarda principalmente i documenti pubblici). In tale casistica potrebbero ricadere anche dati non anonimizzati o identificativi messi a disposizione come dati aperti.

[26] Di cui all’articolo 8, paragrafo 1.

[27] Punto 12. Tale obbligo di informazione non si applica ai fornitori di motori di ricerca quando trovano informazioni contenenti dati personali pubblicate o rese disponibili su Internet da terzi, le indicizzano in maniera automatica, le memorizzano temporaneamente e infine le mettono a disposizione degli utenti di Internet secondo un determinato ordine di preferenza. Inoltre, l’articolo non impone ai fornitori di motori di ricerca, che hanno ricevuto una richiesta di deindicizzazione da parte di un interessato, di informare il terzo che ha reso pubblica tale informazione su Internet. Questo obbligo intende rafforzare la responsabilità dei titolari originari del trattamento e impedire il moltiplicarsi delle iniziative assunte dagli interessati.

[28] Le Linee Guida riportano uno snodo della sentenza Google 2, per cui l’art. 17, paragrafo 3, RGPD è l’«espressione del fatto che il diritto alla protezione dei dati personali non è un diritto assoluto, ma deve(…) essere considerato in relazione alla sua funzione sociale ed essere bilanciato con altri diritti fondamentali, conformemente al principio di proporzionalità» (16). Esso «prevede quindi espressamente il requisito del bilanciamento tra, da un lato, i diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali, sanciti agli articoli 7 e 8 della Carta e, d’altro lato, il diritto fondamentale alla libertà di informazione, garantito dall’articolo 11 della Carta.». Per cui «il gestore di un motore di ricerca, quando riceve una richiesta di deindicizzazione riguardante un link verso una pagina web nella quale sono pubblicati dati personali rientranti nelle categorie particolari (…), deve – sulla base di tutti gli elementi pertinenti della fattispecie e tenuto conto della gravità dell’ingerenza nei diritti fondamentali della persona interessata al rispetto della vita privata e alla protezione dei dati personali, sanciti dagli articoli 7 e 8 della Carta – verificare, alla luce dei motivi di interesse pubblico rilevante (…), se l’inserimento di detto link nell’elenco dei risultati, visualizzato in esito ad una ricerca effettuata a partire dal nome della persona in questione, si riveli strettamente necessario per proteggere la libertà di informazione degli utenti di Internet potenzialmente interessati ad avere accesso a tale pagina web mediante una ricerca siffatta, libertà che è sancita all’articolo 11 della Carta».

[29] In conformità dell’articolo 9, paragrafo 2, lettere h) e i), e dell’articolo 9, paragrafo 3

[30] Conformemente all’articolo 89, paragrafo 1

[31] Corte cost.,sent. n. 85 del 2013.

[32]GPDP, nota del 6 febbraio 2024, Doc-Web 9980144. Nel caso di specie, non sussistendo ragioni di interesse pubblico che giustificassero una perdurante reperibilità dell’articolo, l’Autorità ha ingiunto all’editore di adottare misure tecniche idonee ad inibire l’indicizzazione dell’articolo da parte di motori di ricerca esterni al sito del quotidiano, posto che la deindicizzazione disposta solo da un motore di ricerca ha il solo effetto di dissociare il nome dell’interessata dall’URL collegato all’articolo, il quale resta comunque reperibile utilizzando chiavi di ricerca diverse.

[33] Introdotta dal D. Lgs. 10 ottobre 2022 n. 150 (c.d. “Riforma Cartabia”), la norma prevede che la persona nei cui confronti sono stati pronunciati una sentenza di proscioglimento o di non luogo a procedere ovvero un provvedimento di archiviazione possa richiedere che sulla rete internet sia preclusa l’indicizzazione o che sia disposta la deindicizzazione dei dati personali riportati nella sentenza o nel provvedimento, ai sensi e nei limiti dell’articolo 17 del RGPD. Resta fermo quanto previsto dall’articolo 52 del decreto legislativo 30 giugno 2003, n. 196 circa la preclusione dell’indicazione delle generalità e di altri dati identificativi riportati su sentenze io provvedimenti.

[34] GPDP, provvedimento del 28/09/2023, Doc-Web 9946736

[35] Regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n, 45/2001 e la decisione n, 1247/2002/CE.

[36] Direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio.

[37] Direttiva 2002/58/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche)

[38] GPDP, Provvedimento del 27 novembre 2024, doc. web n. 10077129.

[39]GPDP, nota del 6 febbraio 2024, Doc-Web 9980144. Cit. vd. nota 32.

[40] D. Martire, Human in the loop. L’essere umano come fattore condizionante della – o condizionato dalla – intelligenza artificiale, in Rivista Italiana di Informatica e Diritto, 2/2024.

[41] F.M. Zanzotto, Human in the loop, per un’intelligenza artificiale al servizio degli uomini: il nuovo approccio, in Agenda Digitale, 22/01/2019.