x

x

Diritto all’oblio: l’articolo deindicizzato resta nell’archivio online dell’editore, che però deve rispondere se no viene sanzionato!

un cielo sfumato
Ph. Ermes Galli / un cielo sfumato

La pronuncia nasce da un reclamo al Garante concernente l’esercizio del diritto all’oblio da parte di un interessato verso GEDI News Network, editore de “lastampa.it”, affinché quest’ultimo procedesse alla cancellazione dei dati personali contenuti in un articolo che, sebbene già deindicizzato, era comunque inserito nel catalogo dell’archivio online presente sul sito. Nello specifico, l’articolo riferiva che l’interessato era stato imputato nel 1998 per appropriazione indebita aggravata, sebbene il capo di imputazione fosse stato successivamente dichiarato estinto per prescrizione in Cassazione.

L’interessato lamentava dunque la violazione dei principi fondamentali del GDPR, contestando altresì il carattere non più attuale e irrilevante della notizia.

In risposta, l’editore si difendeva con apposite note, puntualizzando che:

  1. la notizia oggetto del reclamo permetteva a chiunque volesse entrare in relazione professionale con il reclamante di conoscere il fatto storico dell’imputazione, formandosi così un’opinione a riguardo.

Essa era dunque un’informazione di rilievo storico, la cui valenza informativa ed utilità sociale si correlavano all’esercizio della libertà di espressione.

  1. Erano state adottate tutte le misure tecniche e organizzative volte a garantire il giusto equilibrio tra la libertà d’informazione dell’editore e i diritti “privacy” dell’interessato.

Nel caso di specie, queste misure erano: (a) la deindicizzazione dell’articolo rispetto ai motori di ricerca; e (b) la disponibilità in archivio online di solo un breve estratto dell’articolo, essendo la lettura integrale riservata ai soli abbonati.

  1. L’avvenuta dichiarazione della prescrizione ad opera della Cassazione non indiceva sulla correttezza e/o veridicità della notizia, visto che tale pronuncia non entrava nel merito dei fatti oggetto dell’imputazione.

L’editore comunicava altresì di essere disponibile ad aggiornare la notizia con questo sviluppo della vicenda, richiesta che l’interessato non aveva comunque avanzato.

Il titolare riteneva dunque che il trattamento fosse necessario per l’esercizio del diritto alla libertà di espressione e di informazione e avesse una finalità archivistica di pubblico interesse, rientrando quindi nelle eccezioni al diritto all’oblio previste dall’articolo 17 paragrafo 3 del GDPR.

Nella propria pronuncia, il Garante ha aderito pressoché in toto alle argomentazioni difensive del titolare, osservando che:

  1. il trattamento era originariamente nato per lecite finalità d’esercizio del diritto di cronaca e continuato per finalità archivistiche di ordine storico-documentaristico, compatibili alle prime in forza degli articoli 5 lett. b) ed e), nonché per l’articolo 99 del GDPR;
  2. la misura della deindicizzazione volta a rendere inaccessibile l’articolo dai motori di ricerca esterni al sito del quotidiano poteva ritenersi idonea a soddisfare l’esigenza di bilanciamento tra il diritto all’oblio invocato dal reclamante e la salvaguardia delle finalità di informazione sopraindicate.

L’Autorità ha altresì ricordato che, come riconosciuto dalla giurisprudenza, in relazione a notizie di cronaca giudiziaria risalenti nel tempo, l’interessato ha diritto all’aggiornamento e/o integrazione della notizia già di cronaca che lo riguarda, e cioè il collegamento della notizia ad altre informazioni successivamente pubblicate concernenti l’evoluzione della vicenda, a patto che ne fornisca prova documentale al titolare del trattamento.

Nel caso all’esame del Garante, non essendo stata fornita né prova documentale dell’avvenuta prescrizione dell’imputazione né di una specifica richiesta di aggiornamento formulata dall’interessato al titolare, il Collegio ha ritenuto di non avere alcuna base per poter contestare un’inadempienza all’editore.

Sospiro di sollievo per il titolare quindi?

Eh no. Altro motivo di doglianza del reclamo riguardava il mancato riscontro all’esercizio del diritto da parte dell’interessato che, secondo l’editore, era dipeso da una “disattenzione involontaria e incolpevole” del proprio ufficio.

L’Autorità ha ritenuto che questa disattenzione” non potesse valere quale esimente dato che, in forza dell’obbligo di adottare misure privacy by-design adeguate a soddisfare gli obblighi imposti dalla normativa, spetti al titolare implementare tutte le misure adeguate a garantire un tempestivo riscontro alle richieste di esercizio di diritti “privacy” da parte degli interessati.

Stante il fatto che la medesima “giustificazione” era già stata infruttuosamente paventata dallo stesso titolare in altri procedimenti, il Garante ha ritenuto di irrogare una sanzione particolarmente alta, pari a 20.000 euro.

Il caso dimostra, ancora una volta, come al titolare sia sempre più richiesto di dotarsi di un vero e proprio sistema di gestione dei dati GDPR compliant, non potendo andare esente da sanzione provando, come nel caso di specie, di essere sostanzialmente nel giusto con riferimento al trattamento contestato. 

Puoi leggere il caso qui.