L’art. 17 del GDPR costituisce il primo riferimento di diritto positivo in materia di diritto all’oblio, così menzionato nella rubrica che recita “Diritto alla cancellazione («diritto all’oblio»)”, e contiene tutti i casi in cui l’interessato può chiedere al titolare del trattamento la cancellazione dei propri dati personali.[1]
Se la cancellazione dei dati personali ha rappresentato l’unica forma di tutela del diritto all’oblio espressamente contemplata dal diritto positivo, ben presto si è rivelato un rimedio insufficiente rispetto allo scopo dell’interessato, dal momento che la notizia poteva essere ripresa da altri siti, o indicizzata da motori di ricerca, o conservata in archivi telematici. Da qui la deindicizzazione che, pur non espressamente menzionata dall’art. 17 GDPR, in via interpretativa è stata ricompresa nel concetto di cancellazione dei link.
Indice degli argomenti
Diritto all’oblio degli imputati e degli indagati nel quadro del GDPR
Nello scenario tecnologico-digitale, dal diritto all’oblio discende una prospettiva più ampia della tutela dell’identità dinamica del soggetto, dacché il diritto alla cancellazione dei dati è venuto ad inscriversi in un più ampio insieme di prerogative, quali quelle messe a disposizione dell’interessato dagli artt. 16 (rettifica dei dati inesatti e integrazione di quelli incompleti), 18 (diritto alla “limitazione” del trattamento) e 21 (diritto di opposizione alla protrazione del trattamento) GDPR.
Con l’art. 64-ter disp. att. c.p.p., introdotto dal D.Lgs. 10 ottobre 2022 n. 150 (c.d. Riforma Cartabia) ed entrato in vigore il 30 gennaio 2022, il Legislatore italiano ha positivizzato il concetto di oblio con riferimento agli imputati e alle persone sottoposte ad indagini, agganciandolo all’art. 17 GDPR in riferimento al contenuto e ai limiti applicativi.
Con l’ordinanza n. 34217 del 26/12/2025 la Suprema Corte offre il corretto canone ermeneutico per l’interpretazione della norma di nuovo conio, cogliendo l’occasione dall’impugnazione del provvedimento del Garante per la protezione dei dati personali del 28/09/2023, Doc-Web 9946736.
Il provvedimento del Garante, che escludeva il carattere innovativo della normativa di nuovo conio, per nulla svincolata dall’art. 17 GDPR, si fa prologo del successivo arresto nomofilattico, fondamentale lente con cui connotare il diritto all’oblio dell’imputato e dell’indagato come un istituto per nulla autonomo rispetto alla consolidata disciplina generale eurounitaria, in grado semmai di aprire ad evidenti dubbi interpretativi.
Art. 64-ter disp. att. c.p.p. e diritto all’oblio: la norma
Preliminarmente, è d’uopo dar conte del tenore normativo dell’istituto di cui all’art. 64-ter disp. att. c.p.p., rubricato “Diritto all’oblio degli imputati e delle persone sottoposte alle indagini”:
“1. La persona nei cui confronti sono stati pronunciati una sentenza di proscioglimento o di non luogo a procedere ovvero un provvedimento di archiviazione può richiedere che sia preclusa l’indicizzazione o che sia disposta la deindicizzazione, sulla rete internet, dei dati personali riportati nella sentenza o nel provvedimento, ai sensi e nei limiti dell’articolo 17 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016. Resta fermo quanto previsto dall’articolo 52 del decreto legislativo 30 giugno 2003, n. 196.
- Nel caso di richiesta volta a precludere l’indicizzazione, la cancelleria del giudice che ha emesso il provvedimento appone e sottoscrive la seguente annotazione, recante sempre l’indicazione degli estremi del presente articolo: «Ai sensi e nei limiti dell’articolo 17 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, è preclusa l’indicizzazione del presente provvedimento rispetto a ricerche condotte sulla rete internet a partire dal nominativo dell’istante.».
- Nel caso di richiesta volta ad ottenere la deindicizzazione, la cancelleria del giudice che ha emesso il provvedimento appone e sottoscrive la seguente annotazione, recante sempre l’indicazione degli estremi del presente articolo: «Il presente provvedimento costituisce titolo per ottenere, ai sensi e nei limiti dell’articolo 17 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, un provvedimento di sottrazione dell’indicizzazione, da parte dei motori di ricerca generalisti, di contenuti relativi al procedimento penale, rispetto a ricerche condotte a partire dal nominativo dell’istante”.
L’interpretazione del Garante sulla deindicizzazione
Il Garante per la protezione dei dati personali ha avuto modo di prendere posizione sulla corretta ricaduta dalla disciplina a seguito di un reclamo ai sensi dell’art. 77 GDPR proposto avverso Google LLC che non aderiva alla richiesta ex art. 17 GDPR fondata sull’apposizione dell’annotazione ex art. 64-ter, co. 3, disp. att. c.p.p. finalizzato alla deindicizzazione di alcuni URL, sull’addotta presenza di un interesse pubblico alle notizie giornalistiche ivi riportate.
Tuttavia l’Autorità, con provvedimento del 28 settembre 2023, n. 480, considerava infondato il reclamo, ritenendo che l’art. 64-ter disp. att. c.p.p. prevede la deindicizzazione dei contenuti riferiti al procedimento penale che si è concluso con una delle decisioni indicate pur sempre ai sensi e nei limiti dell’art. 17 del GDPR, con ciò ponendo una clausola di salvaguardia delle deroghe previste dallo stesso art. 17 all’esercizio del diritto di cancellazione, tra le quali rileva la «necessità di garantire il corretto espletamento della libertà di espressione e di informazione con la quale il diritto di cancellazione, anche nella sub specie del diritto all’oblio, deve essere pertanto bilanciato», alla luce del «fattore temporale», della «rilevanza pubblica delle informazioni», della loro «attualità» ed «esattezza» e, infine, del «ruolo ricoperto dall’interessato nella vita pubblica».
Tutti elementi ravvisati dall’Autorità, ritenendo che la conoscenza dei fatti appariva funzionale a dare conto alla collettività degli esiti favorevoli della vicenda che involgevano l’interessato, rilevando proprio il ruolo da lui ricoperto che non appariva idoneo a pregiudicarlo.
Il Garante ha altresì avuto modo di precisare che la norma «stabilisce che i provvedimenti in essa richiamati… costituiscono titolo per ottenere un provvedimento di sottrazione dall’indicizzazione di contenuti riferiti al procedimento penale che si è concluso con una delle decisioni indicate… ma pur sempre “ai sensi e nei limiti dell’art. 17 del Regolamento UE 2016/679”, con ciò ponendo una clausola di salvaguardia delle deroghe previste dallo stesso art. 17 all’esercizio del diritto di cancellazione; tra le eccezioni che quest’ultimo pone vi è quella legata alla necessità di garantire il corretto espletamento della libertà di espressione e di informazione con la quale il diritto di cancellazione, anche nella sub specie del diritto all’oblio, deve essere pertanto bilanciato e ciò anche nelle ipotesi ricadenti nell’ambito di applicazione dell’art. 64-ter sopra citato il quale, facendo salvi i limiti dell’art. 17 del Regolamento, pone una presunzione relativa e non assoluta in merito all’accoglibilità dell’istanza di deindicizzazione dell’interessato».
Diritto all’oblio degli imputati e degli indagati secondo la Cassazione
La sentenza della Suprema Corte offre un’esaustiva trattazione dell’istituto, facendone comprendere contenuto e portata.
In forza dell’art. 64-ter disp. att. c.p.p. la persona nei cui confronti sono stati pronunciati una sentenza di proscioglimento o di non luogo a procedere ovvero un provvedimento di archiviazione può richiedere che sia preclusa l’indicizzazione o che sia disposta la deindicizzazione sulla rete internet dei dati personali riportati nella sentenza o nel provvedimento, ai sensi e nei limiti dell’articolo 17 GDPR, fermo restando quanto previsto dall’articolo 52 del Codice privacy.
Sicché l’interessato potrà chiedere la preclusione dell’indicizzazione del provvedimento (i.e. inibitoria), ovvero potrà ottenere la sottrazione all’indicizzazione (i.e. deindicizzazione).
Inibitoria all’indicizzazione del provvedimento
Nel primo caso (art. 64-ter, co. 2, disp. att. c.p.p) la cancelleria del giudice che ha emesso il provvedimento appone e sottoscrive l’annotazione «Ai sensi e nei limiti dell’articolo 17 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, è preclusa l’indicizzazione del presente provvedimento rispetto a ricerche condotte sulla rete internet a partire dal nominativo dell’istante». Come precisato dalla I Sezione, si tratta di una inibitoria che fuoriesce dal perimetro concettuale del diritto all’oblio, il quale invece presuppone un’originaria pubblicazione. Infatti, nel caso dell’art. 64-ter, co. 2, disp. att. c.p.p., si mira a scongiurare in radice la pubblicazione, tanto da potersi parlare di “inibitoria all’indicizzazione”. Tant’è che oggetto dell’inibitorio è il provvedimento[2].
Deindicizzazione ex post e oblio attenuato
Nel secondo caso (art. 64-ter, co. 2, disp. att. c.p.p) la cancelleria appone e sottoscrive l’annotazione «Il presente provvedimento costituisce titolo per ottenere, ai sensi e nei limiti dell’articolo 17 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, un provvedimento di sottrazione dell’indicizzazione, da parte dei motori di ricerca generalisti, di contenuti relativi al procedimento penale, rispetto a ricerche condotte a partire dal nominativo dell’istante». In tal caso si può sì parlare di deindicizzazione, una deindicizzazione ex post, in grado di attuare secondo la Suprema Corte un oblio “attenuato”, non precludendo la comunicazione o la diffusione dei provvedimenti dell’Autorità giudiziaria, ma soltanto la più agevole reperibilità dei relativi contenuti afferenti ai dati personali dell’ex indagato o imputato nei siti sorgente, attraverso l’algoritmo su cui si basa il motore di ricerca. Non a caso la deindicizzazione ex post allude in maniera più rigorosa ai “contenuti relativi al procedimento penale, rispetto a ricerche condotte a partire dal nominativo dell’istante“.
I principi nomofilattici sul diritto all’oblio degli indagati e degli imputati
Orbene, la decisione della doglianza dell’interessato[3] postulava l’interpretazione del comma 3 dell’articolo suddetto, dunque la deindicizzazione ex post, di talché la Corte è stata chiamata a stabilire se, una volta apposto il provvedimento di cui alla suddetta norma («Il presente provvedimento costituisce titolo per ottenere, ai sensi e nei limiti dell’articolo 17 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, un provvedimento di sottrazione dell’indicizzazione, da parte dei motori di ricerca generalisti, di contenuti relativi al procedimento penale, rispetto a ricerche condotte a partire dal nominativo dell’istante»), la deindicizzazione fosse imposta automaticamente al gestore dei motori di ricerca, senza alcun bilanciamento ulteriore di interessi, ovvero persistesse in capo allo stesso la necessità di effettuare un tale bilanciamento tra il diritto dell’istante e l’interesse pubblico.
La I Sezione rimarca sin da subito che l’art. 64-ter disp. att. c.p.p. fa diretto riferimento alla cd. indicizzazione delle informazioni da parte dei motori di ricerca richiamando poi l’art. 17 RGPD, così individuando sin da subito il riferimento normativo su cui fondare l’interpretazione dell’istituto. Invero, il comma 1 dell’art. 64-ter disp. att. c.p.p., nell’attribuire alla “persona nei cui confronti sono stati pronunciati una sentenza di proscioglimento o di non luogo a procedere ovvero un provvedimento di archiviazione” la facoltà di “richiedere che sia preclusa l’indicizzazione o che sia disposta la deindicizzazione, sulla rete internet, dei dati personali riportati nella sentenza o nel provvedimento”, aggiunge pure “ai sensi e nei limiti dell’articolo 17 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016”.
L’annotazione della deindicizzazione prevista dall’art. 64-ter, co. 1 e 3, disp. att. c.p.p. è prevista “ai sensi e nei limiti dell’articolo 17 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016”, e la sua apposizione su uno dei provvedimenti indicati non determina una presunzione assoluta di fondatezza dell’istanza, per ciò non precludendo al destinatario di quella misura (i.e. il gestore del motore di ricerca) il potere di valutare la richiesta. Infatti, il gestore del motore di ricerca, così come il Garante o l’autorità giudiziaria, già prima dell’entrata in vigore di detta norma dovevano vagliare – ciascuno secondo le loro prerogative – le domande dirette ad ottenere la deindicizzazione. Anche dopo l’introduzione dell’articolo di cui trattasi, tali soggetti sono chiamati ad operare di tal guisa, bilanciando in concreto la tutela da apprestare al soggetto interessato all’oblio ed i diritti all’informazione e di cronaca.
Come indicato dalla Suprema Corte, anche nella vigenza del nuovo articolo, un dato lecitamente inserito nel web legittimamente vi permane fino a quando le ragioni che ne hanno giustificato la pubblicazione siano venute meno in considerazione, tra l’altro, di un apprezzabile intervallo temporale da essa trascorso, all’esito del quale sarà possibile ottenere dal gestore del motore di ricerca oppure dall’autorità amministrativa preposta o, infine, dall’autorità giudiziaria, la chiesta deindicizzazione pur sempre ricorrendone gli altri presupposti desumibili dell’articolo 17 del menzionato regolamento (UE) 2016/679.
Rinvio all’art. 17 GDPR e bilanciamento degli interessi
Citando la requisitoria del Procuratore generale, «quando un dato viene inserito legittimamente nel web, esso legittimamente vi permane, fino a che le ragioni che ne hanno giustificato la pubblicazione restano attuali; solo quando quelle ragioni presentano un grado di obsolescenza tale che la finalità della raccolta viene meno, sarà possibile domandare l’oscuramento o il suo congelamento. Se dunque questa è la “notizia interpretativa” che può agevolmente ricavarsi dall’art. 17 lett. a), non può ritenersi che l’art. 64-ter c.p.p. non preveda alcuna forma di bilanciamento: anche quest’ultima norma, richiamando i limiti desumibili dalla prima, impone la necessità che i dati non siano più attuali rispetto alle finalità della raccolta e dunque che il diritto all’oblio (anche quello conseguente all’archiviazione) venga bilanciato con l’accertamento della perduranza o meno delle ragioni che giustificarono la pubblicazione».
Proprio l’inciso “ai sensi e nei limiti dell’articolo 17 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016” ha indotto la Cassazione ad interpretare l’art. 64-ter disp. att. c.p.p. alla luce del rinvio mobile all’art. 17 GDPR, dunque a quanto in esso stabilito in tema di diritto all’oblio e di bilanciamento dello stesso con altri interessi. La Cassazione individua la conferma di tale assunto nella comparazione tra il secondo (inibitoria) e il terzo comma (deindicizzazione) dell’art. 64-ter disp. att. c.p.p.: a fronte del tenore “imperativo” del secondo comma che riguarda informazioni che non sono state oggetto di divulgazione («è preclusa l’indicizzazione del presente provvedimento»), il tenore “servile” del terzo comma («il presente provvedimento costituisce titolo per ottenere un provvedimento di sottrazione dall’indicizzazione») induce a ritenere che solo la prima misura ha un carattere inibitorio in grado di interdire al destinatario della misura qualsiasi potere valutativo.
Invero, il terzo comma dell’art. 64-ter disp. att. c.p.p. costituisce un istituto “rimediale“, in cui la deindicizzazione ha lo scopo di rendere più difficoltoso il reperimento di notizie precedentemente divulgate e legate al procedimento penale a carico dell’interessato e conclusosi in modo a lui favorevole. Tanto il riferimento all’art. 17 RGPD, quanto l’uso della forma “servile” permettono di ritenere che l’istituto lasci spazio a scelte discrezionali dei destinatari del “titolo”, potendo e dovendo in concreto bilanciare gli interessi in gioco.
Di talché, l’art. 64-ter disp. att. c.p.p. comporta non altro che una presunzione di fondatezza della richiesta di deindicizzazione solo relativa e non assoluta, atteso che l’apposizione dell’annotazione da parte della cancelleria è un atto dovuto che non predetermina il risultato. In tal senso permane un margine di discrezionalità in capo al gestore del motore di ricerca, il quale potrà aderire o meno alla richiesta, ferma restando la facoltà dell’interessato di rivolgersi al Garante, a garanzia di un bilanciamento in concreto.
Oblio giudiziario oltre l’art. 64-ter
L’assenza di novità dell’annotazione di cui al comma 3 dell’art. 64-ter disp. att. c.p.p. dimostra che detta norma è volta a rafforzare la tutela della presunzione di innocenza, dunque il rafforzamento di un principio di sistema. In tale ottica si è giustamente evidenziato come la deindicizzazione “rafforzata” dal provvedimento di cui al comma 3 dell’art. 64-ter disp. att. c.p.p. si pone in linea con la sempre più avvertita limitazione della conservazione dei dati, che può eccedere il tempo necessario alla finalità per cui sono stati raccolti e trattati, e della tutela della presunzione di innocenza, che esce potenziata, anche sul versante informatico, secondo quanto già impone, in termini generali, il D.Lgs. n. 188 del 2021.
L’art. 64-ter disp. att. c.p.p., poi, non reca con sé innovazione alcuna anche perché sia la giurisprudenza che la prassi del Garante riconducono all’esito favorevole del procedimento penale la valenza di parametro rilevante da dover prendere in conto ai fini della decisione sull’istanza di deindicizzazione.
In tal senso appare ancora più interessante quanto desunto dalla Cassazione in merito ai vuoti di tutela “rafforzata”, prevista soltanto per i provvedimenti di archiviazione, di non luogo a procedere e di proscioglimento.
Invero, la Suprema Corte scorge nell’impostazione dell’art. 64-ter disp. att. c.p.p. una limitazione degli esiti positivi del procedimento penale (i.e. sentenza di proscioglimento o di non luogo a procedere ovvero un provvedimento di archiviazione), quantunque il diritto all’oblio è già riconosciuto anche al condannato che beneficia della non menzione della sentenza di condanna, o al condannato che abbia scontato la pena trascorso un apprezzabile lasso di tempo dalla commissione del reato[4], ovvero ancora alla persona non formalmente indagata o imputata ma comunque associata a soggetti coinvolti in un procedimento penale: tutti casi in cui i soggetti interessati sono destinatari di un danno connesso al permanere all’interno della rete internet di notizie soggettivamente lesive, pur disancorate da qualsivoglia provvedimento liberatorio.
Forse, come in altri casi, si scontano gli effetti di una certa “fretta” della tecnica legislativa.
Note
[1] Art. 17 RGPD. Diritto alla cancellazione («diritto all’oblio»)
1. L’interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l’obbligo di cancellare senza ingiustificato ritardo i dati personali, se sussiste uno dei motivi seguenti:
a) i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati;
b) l’interessato revoca il consenso su cui si basa il trattamento conformemente all’articolo 6, paragrafo 1, lettera a), o all’articolo 9, paragrafo 2, lettera a), e se non sussiste altro fondamento giuridico per il trattamento;
c) l’interessato si oppone al trattamento ai sensi dell’articolo 21, paragrafo 1, e non sussiste alcun motivo legittimo prevalente per procedere al trattamento, oppure si oppone al trattamento ai sensi dell’articolo 21, paragrafo 2;
d) i dati personali sono stati trattati illecitamente;
e) i dati personali devono essere cancellati per adempiere un obbligo giuridico previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento;
f) i dati personali sono stati raccolti relativamente all’offerta di servizi della società dell’informazione di cui all’articolo 8, paragrafo 1.
2. Il titolare del trattamento, se ha reso pubblici dati personali ed è obbligato, ai sensi del paragrafo 1, a cancellarli, tenendo conto della tecnologia disponibile e dei costi di attuazione adotta le misure ragionevoli, anche tecniche, per informare i titolari del trattamento che stanno trattando i dati personali della richiesta dell’interessato di cancellare qualsiasi link, copia o riproduzione dei suoi dati personali.
3. I paragrafi 1 e 2 non si applicano nella misura in cui il trattamento sia necessario:
a) per l’esercizio del diritto alla libertà di espressione e di informazione;
b) per l’adempimento di un obbligo giuridico che richieda il trattamento previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento o per l’esecuzione di un compito svolto nel pubblico interesse oppure nell’esercizio di pubblici poteri di cui è investito il titolare del trattamento;
c) per motivi di interesse pubblico nel settore della sanità pubblica in conformità dell’articolo 9, paragrafo 2, lettere h) e i), e dell’articolo 9, paragrafo 3;
d) a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici conformemente all’articolo 89, paragrafo 1, nella misura in cui il diritto di cui al paragrafo 1 rischi di rendere impossibile o di pregiudicare gravemente il conseguimento degli obiettivi di tale trattamento; o
e) per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria.
[2] Come ricordato dalla stessa Corte, nel parere sullo schema di decreto legislativo di attuazione della legge n. 134/2021, dell’1 settembre 2022, l’Autorità garante per la protezione dei dati personali aveva auspicato una riformulazione della norma che tenesse “conto del fatto che oggetto dell’indicizzazione è il contenuto in quanto tale e non il singolo dato”, rimontando l’effetto lesivo per l’interessato – di per sé – all’associazione del suo nome al provvedimento di cui si discute, indipendentemente dalla circostanza che essa sia veicolata dalla divulgazione del provvedimento stesso ovvero emerga da altri testi (per così dire, di “secondo grado) all’interno del web (si pensi, ad esempio, agli articoli di cronaca giudiziaria). L’invito del Garante, però, non è stato accolto dal legislatore delegato.
[3] Avverso il provvedimento del Garante, l’interessato interponeve ricorso ex art. 78 RGPD, ex D.Lgs. n. 196 del 2003 (Codice della privacy) ed ex art. 10 D.Lgs. n. 150 del 2011, chiedendo al Tribunale di annullarlo, ovvero di ordinare al Garante di disporre affinché Google LLC ad ogni altro motore di ricerca procedesse con la deindicizzazione degli url residuali, ovvero ancora di ordinare direttamente a Google LLCe ad ogni altro motore di ricerca la deindicizzazione di tali url.
Il Tribunale respingeva le doglianze, sul ritenuto bilanciamento tra il diritto all’oblio ed il diritto di cronaca, prevalendo nel caso di specie l’interesse del pubblico alla reperibilità delle notizie sul conto dell’interessato, ricorrendo l’attualità della notizia, la natura giornalistica dei contenuti e la notorietà dell’interessato.
Pertanto, l’interessato proponeva ricorso per la cassazione della sentenza, censurando – per quanto qui di interesse – la violazione o falsa applicazione, tra gli altri, dell’art. 64-ter disp. att. c.p.p..
[4] Cfr. Cass., SU, n. 19681 del 2019; Corte cost., sent. n. 23 del 2013
