Prescrizioni del Garante n. 29 del 26/01/2023

Il Sole 24 Ore S.p.a. e SEIF S.p.a. – diritto all’oblio e deindicizzazione di articoli giornalistici

Il Garante ha esaminato un reclamo proposto da un interessato che lamentava la persistente reperibilità, in associazione al proprio nome, di due articoli giornalistici risalenti al 2014 relativi a una vicenda giudiziaria conclusasi nel 2019 con assoluzione. Il procedimento ha riguardato due editori di testate online, Il Sole 24 Ore S.p.a. e SEIF S.p.a., e si è incentrato sul bilanciamento tra diritto all’oblio, libertà di informazione e corretto esercizio dei diritti dell’interessato.

Fatti e svolgimento del procedimento

Il reclamante aveva presentato istanza nel dicembre 2019 per ottenere la cancellazione dei dati personali e, in particolare, la rimozione o deindicizzazione delle URL contenenti gli articoli. Nel reclamo al Garante del 15 maggio 2020 ha sostenuto che la persistente associazione della notizia al suo nome fosse obsoleta e fuorviante, con pregiudizio alla sua immagine professionale e sociale.

L’Autorità ha chiesto alle società resistenti di fornire osservazioni e di indicare se intendessero aderire alle richieste. I titolari hanno riferito di aver aggiornato gli articoli con l’esito assolutorio e di aver ritenuto non necessaria la rimozione. SEIF, in sede di integrazione istruttoria, ha poi chiarito che l’istanza non era pervenuta alla redazione per un disguido tecnico, pur essendo formalmente consegnata.

Trattamento esaminato e quadro normativo

Il trattamento riguardava la pubblicazione e la conservazione online di articoli giornalistici contenenti il nome e cognome dell’interessato e il suo coinvolgimento in una vicenda giudiziaria. Il Garante ha richiamato il GDPR, in particolare:

• art. 17 GDPR, sul diritto alla cancellazione e al diritto all’oblio;
• artt. 15-21 GDPR, sui diritti dell’interessato;
• art. 12 GDPR, sui termini e le modalità di riscontro;
• art. 58, par. 2, lett. a), c), g) GDPR, per avvertimento e misure correttive;
• art. 83, par. 5, lett. b) GDPR, quale possibile base sanzionatoria per il mancato riscontro.

Sono stati inoltre richiamati il Codice privacy, in particolare gli artt. 136 e ss. e l’art. 168, nonché l’art. 6 delle Regole deontologiche per l’attività giornalistica. Il provvedimento richiama anche l’art. 64-ter del d.lgs. 150/2022, entrato in vigore il 1° gennaio 2023, in tema di diritto all’oblio.

Valutazioni del Garante sul diritto all’oblio

L’Autorità ha precisato che le linee guida e la giurisprudenza richiamate dal reclamante sui criteri del diritto all’oblio riguardano soprattutto il delisting operato dai motori di ricerca, che sono titolari autonomi, mentre nel caso di specie il reclamo era rivolto agli editori delle testate.

Sul merito, il Garante ha riconosciuto che la pubblicazione originaria dell’articolo era lecita, perché effettuata nell’esercizio del diritto di cronaca giornalistica e rispondente all’interesse pubblico a conoscere la vicenda. Ha però osservato che, al momento delle istanze dell’interessato, il procedimento si era concluso da pochi mesi e che, nel frattempo, la vicenda era divenuta complessivamente definita, con un affievolimento dell’interesse pubblico al reperimento degli articoli.

In tale contesto, l’Autorità ha ritenuto proporzionata una misura di deindicizzazione dagli indici esterni ai siti delle testate, tale da bilanciare il diritto all’oblio con le finalità di informazione.

Valutazione sull’esercizio dei diritti ex artt. 15-21 GDPR

Quanto alle istanze dell’interessato, il Garante ha rilevato che:

• Il Sole 24 Ore aveva dato un primo riscontro tempestivo, chiedendo la documentazione necessaria all’aggiornamento, ma non aveva poi comunicato formalmente né l’avvenuto aggiornamento né le ragioni del mancato accoglimento delle ulteriori richieste.
• SEIF ha sostenuto che l’istanza non era giunta agli uffici competenti per un problema tecnico, senza mala fede o intento ostruzionistico.

Pur considerando le peculiarità del caso, l’Autorità ha ritenuto che tali circostanze fossero astrattamente idonee a integrare una violazione dell’art. 12 GDPR, in quanto il titolare deve garantire un riscontro effettivo, completo e nei termini alle richieste riconducibili all’esercizio dei diritti dell’interessato.

Decisione, misure ordinate e avvertimento

Il Garante ha dichiarato il reclamo fondato e ha ingiunto a Il Sole 24 Ore S.p.a. e SEIF S.p.a., ai sensi dell’art. 58, par. 2, lett. c) e g) GDPR, di adottare specifiche misure tecniche per impedire l’indicizzazione, da parte dei motori di ricerca esterni ai rispettivi siti, degli articoli indicati in premessa in associazione al nome e cognome del reclamante.

Contestualmente ha disposto un avvertimento ex art. 58, par. 2, lett. a) GDPR, evidenziando che il mancato o incompleto riscontro a una richiesta di esercizio dei diritti ex artt. 15-21 GDPR costituisce una condotta contra legem e può dar luogo anche a sanzione amministrativo-pecuniaria ex art. 83, par. 5, lett. b) GDPR. Ha inoltre richiamato i principi di responsabilizzazione e privacy by design di cui agli artt. 24 e 25 GDPR, invitando i titolari ad adottare misure organizzative idonee a garantire in futuro l’effettivo esercizio dei diritti degli interessati.

Opposizione al provvedimento

Il provvedimento indica la possibilità di proporre opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR e degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro trenta giorni dalla comunicazione, ovvero sessanta giorni se il ricorrente risiede all’estero.