E’ iniziata ieri la causa pregiudiziale C-398/15 presso la Corte di Giustizia dell’Unione europea, la quale dovrà decidere sul diritto all’oblio nelle banche dati pubbliche.
La fattispecie posta all’attenzione della Corte di Giustizia riguarda il caso della Camera di Commercio di Lecce, condannata a pagare un importo a titolo di risarcimento per non aver provveduto, a richiesta dell’interessato, a cancellare i dati personali relativi ad una vicenda fallimentare conclusa.
La questione di diritto verte nello stabilire se il diritto alla protezione dei dati personali imponga la cancellazione di iscrizioni o la negazione della pubblicità.
Il diritto all’oblio rappresenta una delle principali novità del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 e relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, che abroga la direttiva 95/46/CE ed entrerà in vigore dal 25 maggio 2018.
Nel Preambolo del Regolamento il diritto all’oblio è oggetto di ben tre considerando:
-n. 65: “Un interessato dovrebbe avere il diritto di ottenere la rettifica dei dati personali che lo riguardano e il diritto all’oblio se la conservazione di tali dati violi il presente regolamento o il diritto dell’Unione o degli Stati membri cui è soggetto il titolare del trattamento”;
-n. 66: “Per rafforzare il diritto all’oblio nell’ambiente online, è opportuno che il diritto di cancellazione sia esteso in modo tale da obbligare il titolare del trattamento che ha pubblicato dati personali a informare i titolari del trattamento che trattano tali dati personali di cancellare qualsiasi link verso tali dati personali o copia o riproduzione di detti dati personali”;
-n. 156: “Gli Stati membri dovrebbero essere autorizzati a fornire, a specifiche condizioni e fatte salve adeguate garanzie per gli interessati, specifiche e deroghe relative ai requisiti in materia di informazione e ai diritti alla rettifica, alla cancellazione, all’oblio, alla limitazione del trattamento, alla portabilità dei dati personali, nonché al diritto di opporsi in caso di trattamento di dati personali per finalità di archiviazione nel pubblico interesse, per finalità di ricerca scientifica o storica o per finalità statistiche”.
Sulla base di questi considerando, l’art. 17 del Regolamento, al primo comma, prevede il principio in base al quale “l’interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l’obbligo di cancellare senza ingiustificato ritardo i dati personali”. L’articolo elenca altresì i motivi che possono giustificare l’esercizio di questo diritto, tra i quali è opportuno menzionare:
a) i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati;
b) i dati personali sono stati trattati illecitamente;
c) i dati personali devono essere cancellati per adempiere un obbligo legale previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento.
Il secondo comma dell’art. 17 del Regolamento impone l’obbligo di cancellazione a carico del titolare del trattamento che abbia reso pubblici i dati personali, tenendo conto della tecnologia disponibile e dei costi di attuazione, ed adottando le misure ragionevoli, anche tecniche, per informare i titolari del trattamento che stanno trattando i dati personali oggetto di istanza, da parte dell’interessato, di cancellare qualsiasi link, copia o riproduzione dei suoi dati personali.
Sono previste anche delle fattispecie in relazione alle quali il diritto all’oblio non opera, disciplinate dal comma terzo dell’articolo 17; ad esempio questo diritto non trova applicazione nella misura in cui il trattamento sia necessario:
a) per l’esercizio del diritto alla libertà di espressione e di informazione;
b) per l’adempimento di un obbligo legale che richieda il trattamento previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento o per l’esecuzione di un compito svolto nel pubblico interesse oppure nell’esercizio di pubblici poteri di cui è investito il titolare del trattamento;
c) per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria.