| demo | 2023-05-21 · NEW:  Appunta · Stampa · pdf |
|
| Abstract: Documento annotato il 21.05.2023 Fonte: GPDP |
2019-2022
CONTRIBUTI
Piazza Venezia n. 11 - 00187 Roma
Tel: +39 06.69677.1
Fax: +39 06.69677.3785
e-mail: protocollo@gpdp.it
posta cer tificata: protocollo@pec.gpdp.it
www.gpdp.it
Applicare il GDPR
Le linee guida europee
www.gpdp.it
Sommario
Prefazione 9
I diritti degli interessati 11
Premessa - I diritti degli interessati 12
Linee guida 5/2019 sui criteri per l’esercizio del diritto all’obl
io
nel caso dei motori di ricerca, ai sensi del RGDP (parte 1) - Versione
2.0 14
Linee guida 5/2020 sul ........ .. ..... ... ........... (..) ..
2016/679 - Versione 1.1
Obblighi di titolari e responsabili - .............. ..
Premessa - Obblighi di titolari e responsabili - .............. ..
Linee guida 1/2019 sui codici di condotta e sugli organismi 86
di monitoraggio a norma del regolamento (UE) 2016/679 - Versione 2.0
Linea guida 2/2019 sul ........... .. .... ......... .. ..... ...
dell’articolo 6, paragrafo 1, lettera b), del regolamento generale
sulla protezione dei dati nel contesto della fornitura di servizi online
agli interessati - Versione 2.0
Linee guida 3/2019 sul ........... ... .... ......... .......... ...
dispositivi video - Versione 2.0
Linee guida 4/2019 sull’articolo 25 Protezione dei dati fin 184
dalla progettazione e per impostazione predefinita - Versione 2.0
Linee guida 01/2020 sul ........... ... .... ......... ... ........ ...
dei veicoli connessi e delle applicazioni legate alla mobilità - Vers
ione 2.0
Linee guida 06/2020 sull’interazione tra la seconda direttiva sui ser
vizi 270
di pagamento e il .... - ........ ...
Linee guida 07/2020 sui concetti di ........ ... ........... ...
e ............ ... ........... ... ....
Linee guida 8/2020 sul targeting degli utenti di social media - Versione
2.0 372
Linee guida 01/2021 su esempi riguardanti la notifica di una violazione 428
dei .... ......... - ........ ...
Linee guida 02/2021 sugli assistenti vocali virtuali - Versione 2.0 474
Garante per la protezione dei dati personali
Raccomandazioni 02/2021 sulla base giuridica per la conservazione 524
dei dati delle carte di credito al solo scopo di agevolare ulteriori
operazioni online
Decisione di esecuzione 2021/915 della Commissione europea 530
– Clausole contrattuali tipo titolare-responsabile del trattamento
Requisiti aggiuntivi di accreditamento degli organismi di certificazione 548
Requisiti di accreditamento degli organismi di monitoraggio dei codici 574
di condotta
Trasferimenti di dati verso paesi terzi e organismi internazionali 591
Premessa - Trasferimenti di dati verso paesi terzi e organismi 592
internazionali
Linee guida 2/2020 sull’articolo 46, paragrafo 2, lettera a), 596
e paragrafo 3, lettera b), del regolamento 2016/679 per i trasferimenti
di .... ......... ... .......à .. ......... ........ ... ... . .. ...
si
non appartenenti al SEE - Versione 2.0
Linee guida 4/2021 sui codici di condotta come strumento 620
per i trasferimenti - Versione 2.0
Raccomandazioni 01/2020 relative alle misure che integrano 642
gli strumenti di trasferimento al fine di garantire il rispetto del livello
di protezione dei .... ......... ....’.. - ........ ...
Raccomandazioni 2/2020 relative alle garanzie essenziali europee 700
per le misure di sorveglianza
Raccomandazioni 1/2021 sui criteri di riferimento per l’adeguatezza 718
ai sensi della direttiva sulla protezione dei dati nelle attività di
polizia
e giudiziarie
Dichiarazione in merito alla sentenza della Corte di giustizia 740
dell’Unione europea nella causa C-311/18 – Data Protection
Commissioner contro Facebook Ireland e Maximillian Schrems
Domande più frequenti in merito alla sentenza della Corte di giustizi
a 744
dell’Unione europea nella causa C-311/18 – Data Protection
Commissioner contro Facebook Ireland Ltd e Maximillian Schrems
Decisione di esecuzione 2021/914 della Commissione europea – 752
Clausole contrattuali tipo per trasferimenti dati verso paesi terzi
6
Meccanismi di applicazione del .... ...
Premessa - Meccanismi di applicazione del .... ...
Linee guida 3/2018 sull’ambito di applicazione territoriale del RGPD 788
(articolo 3) - Versione 2.1
Parere 8/2019 sulla competenza di un’autorità di controllo in caso
828
di mutamento delle circostanze relative allo stabilimento principale
o unico
Linee guida 9/2020 sull’obiezione pertinente e motivata ai sensi 840
del regolamento (UE) 2016/679 - Versione 2.0
Covid-19 859
Premessa - Covid-19 860
Linee guida 03/2020 sul ........... ... .... ........ .... ...... . .... ...
di ricerca scientifica nel contesto dell’emergenza legata al COVID-19
Linee guida 04/2020 sull’uso dei dati di localizzazione e degli strum
enti 880
per il tracciamento dei contatti nel contesto dell’emergenza legata
al COVID-19
Dichiarazione sul ........... ... .... ......... ... ........ ...
dell’epidemia da COVID-19
Appendice 913
Riferimenti utili 914
Garante per la protezione dei dati personali
7
Torna a Indice
Garante per la protezione dei dati personali
9
Prefazione
Con il secondo volume di “Applicare il
GDPR”, il Garante offre una panorami-
ca completa dei documenti di indirizzo
e orientamento prodotti dal Comitato
europeo per la protezione dei dati fra il
25 maggio 2019 e la fine del 2022, per i
quali è disponibile una versione definitiva
(al netto, quindi, di consultazioni pubbli-
che o ulteriori perfezionamenti). L’obietti-
vo perseguito è lo stesso del precedente
volume: fornire uno strumento agile e
comprensivo, di consultazione e di riferi-
mento, destinato in primo luogo a titolari
e responsabili del trattamento, ma anche
ai responsabili della protezione dei dati,
chiamati ad assistere i primi nel dare at-
tuazione adeguata e integrale alle norme
del Regolamento europeo sulla protezio-
ne dei .... ......... (.. ....). .. ......
offre, inoltre, chiarimenti e spunti di ri-
flessione a tutti coloro che vogliano com-
prendere e tutelare meglio i diritti fon-
damentali alla ....... . .... ..........
dei dati, che rappresentano strumenti di
democrazia prima ancora che facilitatori
dell’economia contemporanea.
L’arco temporale coperto da questa pub-
blicazione ha visto il manifestarsi di gran-
di sfide e problemi, non solo per la prote-
zione dei dati, ma per la società nel suo
complesso. In primis la pandemia di Co-
vid-19, che ha reso necessario disegnare
strumenti emergenziali di salute pubblica
garantendo sempre il corretto bilancia-
mento fra diritti egualmente fondamen-
tali, quali il diritto alla salute e quello alla tutela della propria sfera privata rispetto
a ingerenze ingiustificate o eccessive. Su
altri versanti, sono stati anni di intenso
lavoro per il Comitato europeo e le au-
torità, che hanno avuto modo di con-
frontarsi su questioni applicative a tutto
campo anche alla luce del sempre più
prepotente emergere di tecnologie perva-
sive e complesse come l’intelligenza arti-
ficiale in tutte le sue declinazioni. Vale la
pena aggiungere, in questa prospettiva,
che numerosi sono stati gli sviluppi nor-
mativi e giurisprudenziali riferiti alla pro-
tezione dei dati negli ultimi anni, e che di
tali sviluppi si coglie un riflesso anche nei
documenti qui presentati.
Tutta la documentazione è rinvenibile
sul sito del Comitato (www.edpb.euro-
pa.eu); il volume raccoglie anche alcuni
provvedimenti del Garante, disponibili
sul sito dell’autorità (www.gpdp.it), che
integrano o specificano le prescrizioni o
le raccomandazioni del Comitato. I do-
cumenti sono stati raggruppati in cinque
macro-aree, le stesse del precedente vo-
lume (diritti degli interessati, obblighi di
titolari e responsabili, principi relativi ai
trasferimenti internazionali di dati per-
sonali, meccanismi attuativi del GDPR)
oltre a una quinta, che si aggiunge alle
precedenti, per dare conto delle attività
a vario titolo connesse all’emergenza da
Covid-19. Completano il volume una se-
zione contenente link e riferimenti utili, e
un min i-glossario dei principali termini e
acronimi utilizzati nei testi qui raccolti.
Torna a Indice
Garante per la protezione dei dati personali
11
I diritti
degli interessati
1
12
Premessa
I diritti degli interessati
Il RGPD ha, da un lato, rafforzato i diritti riconosciuti agli interessati e, dall’altro
lato, ha introdotto nuovi diritti fra cui il diritto all’oblio.
Le linee guida sul ........ (.......... .... ........ .... ... . ...... ....)
rappresentano, in questo senso, un esempio significativo. Pur essendo il consen-
so uno dei requisiti per trattare lecitamente .... ......... . ... (........) ..
diritto degli interessati, il RGPD richiede uno sforzo di trasparenza maggiore da
parte dei titolari soprattutto quando vogliano ricorrere al ........ ... ........
dati personali. Quindi l’EDPB ha chiarito, in particolare, cosa debba intendersi
per ........ ......... ‘.........’, . .... .. ......... ... ........ .. ......-
renza (non solo di informazione) rispetto agli interessati, con particolare riguar -
do proprio alla prestazione del consenso, anche evidenziando la possibilità di
alcune semplificazioni. Non si può dimenticare, infine, che molti dubbi hanno
accompagnato e accompagnano l’applicazione del requisito di un ........
“esplicito” per il ........... ..... ......... ........... .. .... ......... .. ...
agli artt. 9 e 10 del RGPD, e anche su questo punto le linee guida offrono indica-
zioni operative ed esempi tratti dalla prassi quotidiana anche alla luce dei con-
tributi giunti dalla consultazione pubblica indetta dall’EDPB.
Con le linee guida 5/2019 in tema di diritto all’oblio (più correttamente, alla
cancellazione) e motori di ricerca, si sono fornite indicazioni specifiche sia sul-
le modalità per l’esercizio di uno dei diritti più innovativi sanciti dal RGPD, sia
sui criteri che possono assistere i titolari (ossia i motori di ricerca) nel rifiutare
agli interessati tale diritto. Le linee guida si compongono infatti di due parti: la
prima si sofferma sui presupposti che inducono l’interessato ad effettuare una
richiesta di deindicizzazione; la seconda, invece, esamina il regime di eccezio -
ni, che consentono al ........ ... ........... .. ... ......... .... .........
dell’interessato. L’art. 17 del RGPD riconosce all’interessato il diritto di ottenere
dal ........ ... ........... .. ............. ... .... ......... ... .. ........-
no, senza ingiustificato ritardo, se sussiste almeno uno dei sei motivi elencati
Torna a Indice
I diritti degli interessati
Garante per la protezione dei dati personali
13
dalla lett. a) alla lett. f ) del suo paragrafo 1; l’EDPB li esamina tutti e di ciascuno
offre un’interpretazione orientata all’esperienza raccolta e alla giurisprudenza
(per esempio in tema di necessità del trattamento, di contemperamento con altri
diritti del ........ .. .... .. ........... .. ........... .. ..... ....’...........,
o rispetto alla nozione di illiceità del trattamento, e così via). Quanto alle ipotesi
in cui l’esercizio del diritto all’oblio può essere rifiutato dal titolare, le linee guida
si soffermano sul possibile contrasto fra cancellazione e “libertà di espressione”
alla luce della giurisprudenza Ue e CEDU nonché sulla possibile esistenza di ob -
blighi di pubblicazione sanciti per legge, e sottolineano come il motore di ricer -
ca debba essere in grado di dimostrare che la cancellazione di un determinato
contenuto della pagina dei risultati rappresenta un grave ostacolo o impedisce
del tutto il raggiungimento delle finalità di ............. ....’......... ........,
ricerca scientifica o storica o per scopi statistici.
Premessa
14
Linee guida 5/2019
sui criteri per l’esercizio del diritto all’oblio
nel caso dei motori di ricerca, ai sensi del RGPD
(parte 1) - Versione 2.0
Adottate il 7 luglio 2020
Torna a Indice | Premessa
I diritti degli interessati
Garante per la protezione dei dati personali
15
Cronologia delle versioni
Versione 2.07 luglio 2020Adozione delle Linee guida
dopo la consultazione pubblica
Versione 1.1 17 febbraio 2020Correzioni min ori
Versione 1.0 2 dicembre 2019Adozione delle Linee guida
per consultazione pubblica
Linee guida 5/2019 sui criteri per l’esercizio del diritto all’oblio nel caso dei motori di ricerca, ai sensi del RGPD (parte 1) - Versione 2.0
16
Indice
Introduzione
1. Basi giuridiche di una richiesta di ................ .. ..... ... ....
1.1 Motivazione 1: il diritto di chiedere la ................ ...... . ....
personali non sono più necessari rispetto al ........... ... .........
del motore di ricerca (articolo 17, paragrafo 1, lettera a))
1.2 Motivazione 2: il diritto di chiedere la deindecizzazione quando l’in-
teressato ...... .. ........ ... .... .. ... .. .......... .........
del ........... ... ........ ...’........ ., ......... ., ....... .)
1.3 Motivazione 3: il diritto di chiedere la ................ ...... .’..-
teressato ha esercitato il diritto di opporsi al ........... ... .... ....
personali (articolo 17, paragrafo 1, lettera b))
1.4 Motivazione 4: il diritto di chiedere la ................ ...... . ....
personali sono stati trattati illecitamente (articolo 17, paragrafo 1,
lettera d))
1.5 Motivazione 5: il diritto di chiedere la ................ ...... . ....
personali sono stati cancellati per adempiere un obbligo legale (arti-
colo 17, paragrafo 1, lettera e))
1.6 Motivazione 6: il diritto di chiedere la ................ ...... . ....
personali sono stati raccolti relativamente all’offerta di servizi della
società dell’informazione a min ori (articolo 17, paragrafo 1, lettera f ))
2. Le eccezioni al diritto di chiedere la ................ .. ..... ....’........
17, paragrafo 3
2.1 Il ........... è .......... ... .’......... ... ....... .... ......à ..
espressione e di informazione
2.2 Il ........... è .......... ... .’........... .. .. ....... ...... ...
è soggetto il ........ ... ........... . ... .’.......... .. .. .......
svolto nel pubblico interesse oppure nell’esercizio di pubblici poteri di
cui è investito il ........ ... ...........
2.2.1 Obbligo legale
2.2.2 Esecuzione di un compito svolto nel pubblico interesse oppure
nell’esercizio di pubblici poteri
2.3 Motivi di interesse pubblico nel settore della sanità pubblica
2.4 Finalità di ............. ... ........ ........., .. ....... ...........
o storica o finalità ........... ............. ...’........ .., .........
1, nella misura in cui il diritto di cui al paragrafo 1 rischi di rendere
impossibile o di pregiudicare gravemente il conseguimento degli
obiettivi di tale trattamento
2.5 Accertamento, esercizio o difesa di un diritto in sede giudiziaria
I diritti degli interessati
Garante per la protezione dei dati personali
17
IL COMITATO EUROPEO PER LA PROTEZIONE DEI DATI
visto l’articolo 70, paragrafo 1, lettera e), del regolamento (UE) 2016/679 del Par -
lamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle
persone fisiche con riguardo al ........... ... .... ........., .....é .... ......
circolazione di tali dati e che abroga la direttiva 95/46/CE (in appresso «RGPD»),
visto l’accordo SEE, in particolare l’allegato XI e il protocollo n. 37 dello stesso,
modificati dalla decisione del Comitato misto SEE n. 154/2018 del 6 luglio 2018
1,
visti l’articolo 12 e l’articolo 22 del regolamento interno,
HA ADOTTATO LE SEGUENTI LINEE GUIDA:
Linee guida 5/2019 sui criteri per l’esercizio del diritto all’oblio nel caso dei motori di ricerca, ai sensi del RGPD (parte 1) - Versione 2.0
18
INTRODUZIONE
1. In esito alla sentenza Costeja della Corte di giustizia dell’Unione europea
(«CGUE») del 13 maggio 2014
2, un interessato può richiedere al fornitore di
un motore di ricerca online («fornitore del motore di ricerca») 3, di cancel-
lare uno o più link verso pagine web dall’elenco di risultati che appare dopo
una ricerca effettuata a partire dal suo nome.
2. Secondo la relazione sulla trasparenza di Google
4, la percentuale di URL che
Google non ha rimosso dall’elenco non è aumentata nel corso degli ultimi
5 anni dopo l’emanazione di detta sentenza. Tuttavia, successivamente alla
sentenza della CGUE, gli interessati sembrano essere più consapevoli del
loro diritto di presentare un reclamo avverso il rifiuto delle loro richieste di
deindicizzazione, considerato che le autorità di controllo hanno osservato
un aumento del numero di reclami riguardanti il rifiuto da parte dei .........
di motori di ricerca di deindicizzare link.
3. Il comitato europeo per la protezione dei dati («comitato»), conformemente
al proprio piano d’azione, sta sviluppando linee guida in merito all’artico -
lo 17 del regolamento generale sulla protezione dei dati («RGPD»). Fino a
quando tali linee guida non saranno ultimate, le autorità di controllo devono
continuare a gestire e a svolgere indagini sui reclami presentati dagli inte -
ressati nella misura del possibile e in maniera ragionevolmente tempestiva.
4. Pertanto, il presente documento intende fornire un’interpretazione del di-
ritto all’oblio nei casi dei motori di ricerca alla luce delle disposizioni dell’ar -
ticolo 17 del RGPD (il «diritto di richiedere la deindicizzazione»). Difatti, il
diritto all’oblio è stato introdotto, in particolare, nel quadro dell’articolo 17
del RGPD per tenere conto del diritto di richiedere la ................ .....-
lito dalla sentenza Costeja.
5. Tuttavia, come previsto dalla direttiva 95/46/CE del 24 ottobre 1995 (la «di-
rettiva») e come statuito dalla CGUE nella succitata sentenza Costeja
5, il di-
ritto di richiedere la ................ ....... ... ....... (.. ....... .. .... -
sizione e il diritto alla cancellazione RGPD). L’applicazione dell’articolo 21 è
infatti espressamente prevista quale ..... ...... ... .......... .. ....... ....
cancellazione. Pertanto, sia l’articolo 17 sia l’articolo 21 del RGPD possono
fungere da fondamento giuridico per le richieste di deindicizzazione. Il dirit -
to di opposizione e il diritto di ottenere la cancellazione erano già stati rico -
nosciuti dalla direttiva. Tuttavia, come vedremo, la formulazione del RGPD
richiede un adeguamento dell’interpretazione di tali diritti.
6. A titolo preliminare occorre osservare che, mentre l’articolo 17 del RGPD è
applicabile a tutti i titolari del trattamento, il presente documento si concen-
tra esclusivamente sul ........... .. ..... ... ......... .. ...... .. .......
e sulle richieste di ................ .......... ..... ............
7. Occorre svolgere alcune considerazioni per quanto concerne l’applicazione
dell’articolo 17 del RGPD in rapporto al ........... ... .... .. ..... .. ..
fornitore di motore di ricerca. A tal proposito, è necessario precisare che il
trattamento dei .... ......... .......... ... ...... ....’.......à ... .........
I diritti degli interessati
Garante per la protezione dei dati personali
19
di un motore di ricerca deve essere distinto dal ........... ....... .....
editori dei siti web di terzi (come i mezzi di comunicazione) che forniscono
contenuti giornalistici online
6.
8. Se un interessato ottiene la ................ .. .. ........... ........., ..ò
determina la cancellazione di tale contenuto specifico dall’elenco dei risul-
tati di ricerca relativi all’interessato, quando la ricerca è, in via generale, ef -
fettuata a partire dal suo nome. Il contenuto resterà tuttavia disponibile se
vengono utilizzati altri criteri di ricerca.
9. Le richieste di ................ ... .......... .. ............. ........
dei dati personali. Infatti, i .... ......... ... ....... .......... .é ... ....
web di origine né dall’indice e dalla cache del fornitore del motore di ricer -
ca. Ad esempio, un interessato può richiedere la rimozione dall’indice di un
motore di ricerca di .... ......... ........... .. .. ..... .. ........... -
ne, quale un articolo di giornale. In questo caso, il link ai .... ......... ..ò
essere rimosso dall’indice del motore di ricerca, ma l’articolo in questione
resterà comunque sotto il controllo del mezzo di comunicazione e può rima-
nere pubblicamente disponibile e accessibile, sebbene non sia più visibile
nei risultati di ricerca basati sulle interrogazioni che includono, in linea di
principio, il nome dell’interessato.
10. Tuttavia, i ......... .. ...... .. ....... ... .... ........., .. ... ........,
dall’obbligo di cancellazione completa. In alcuni casi eccezionali, dovranno
effettuare la cancellazione effettiva e completa dei propri indici o cache. Ad
esempio, nei casi in cui i ......... .. ...... .. ....... ... ............. ..ù
le richieste robots.txt attuate dall’editore originario, avrebbero effettivamen-
te l’obbligo di cancellare completamente l’URL corrispondente al contenuto,
a differenza della ................ ... è .............. ...... ... ....
dell’interessato.
11. Il presente documento affronta due temi. Il primo tema riguarda i motivi che
un interessato può invocare per chiedere la ................ . .. .........
di motore di ricerca ai sensi dell’articolo 17, paragrafo 1, del RGPD. Il secon-
do riguarda le eccezioni al diritto di richiedere la ................ .. .....
dell’articolo 17, paragrafo 3, del RGPD. Il presente documento sarà integrato
da un allegato dedicato alla valutazione dei criteri per gestire i reclami rela-
tivi al diniego di un richiesta di deindicizzazione.
12. Il presente documento non tratta dell’articolo 17, paragrafo 2
7, del RGPD. Tale
articolo impone infatti ai titolari del ........... ... ..... .... ........
dati personali di informare i titolari che hanno successivamente riutilizzato
tali .... ......... ........ ...., ..... . ............. .... ....... .. ..... -
mazione non si applica ai ......... .. ...... .. ....... ...... ....... ..... -
mazioni contenenti .... ......... .......... . .... ........... .. ........
da terzi, le indicizzano in maniera automatica, le memorizzano temporane -
amente e infine le mettono a disposizione degli utenti di Internet secondo un
determinato ordine di preferenza
8. Inoltre, l’articolo non impone ai .........
di motori di ricerca, che hanno ricevuto una richiesta di ................ ..
parte di un interessato, di informare il ..... ... .. .... ........ .... ..... -
Linee guida 5/2019 sui criteri per l’esercizio del diritto all’oblio nel caso dei motori di ricerca, ai sensi del RGPD (parte 1) - Versione 2.0
20
mazione su Internet. Questo obbligo intende rafforzare la responsabilità dei
titolari originari del ........... . ........ .. ............. ..... ..........
assunte dagli interessati. A tal proposito, rimane valido quanto affermato dal
gruppo “Articolo 29”, ossia che i ......... .. ...... .. ....... «... ..........,
quale prassi generale, informare i webmaster delle pagine deindicizzate del fatto che
non si riesca ad accedere ad alcune pagine web dal motore di ricerca in risposta ad
una specifica interrogazione» in quanto «non esiste alcun fondamento giuridico per
una tale comunicazione ai sensi della normativa UE sulla protezione dei dati»
9. Si
prevede di sviluppare linee guida specifiche e distinte anche in merito all’ar -
ticolo 17, paragrafo 2, del RGPD.
1. BASI GIURIDICHE DI UNA RICHIESTA DI ................ .. .....
DEL RGPD
13. Il diritto di richiedere la ................ ........ ....’........ .. ... ....
non inficia le conclusioni della sentenza Costeja, in cui la CGUE ha statuito
che una richiesta di ................ ....... .......... ... ....... .. .....-
fica/cancellazione e nel diritto di opposizione ai sensi, rispettivamente, degli
articoli 12 e 14 della direttiva.
14. L’articolo 17, paragrafo 1, stabilisce un principio generale per cancellare i
dati nei sei casi seguenti:
a. i .... ......... ... .... ..ù ......... ........ .... .......à ... .. .....
sono stati raccolti o altrimenti trattati (articolo 17, paragrafo 1, lettera a);
b. l’interessato ...... .. ........ .. ... .. .... .. ........... (........ ..,
paragrafo 1, lettera b);
c. l’interessato esercita il diritto di opporsi al ........... ... .... .... ... -
sonali ai sensi dell’articolo 21, paragrafi 1 e 2, del RGPD;
d. i .... ......... .... ..... ........ ............. (........ .., ......... ., ... -
tera d);
e. la cancellazione adempie un obbligo legale (articolo 17, paragrafo 1, lettera e);
f. i .... ......... .... ..... ........ ............. ...’....... .. ....... .....
società dell’informazione a min ori (articolo 17, paragrafo 1, lettera f ), che
rinvia all’articolo 8, paragrafo 1).
15. Sebbene tutti i motivi di cui all’articolo 17 siano teoricamente applicabili
quando si tratta di procedere a una deindicizzazione, in pratica alcuni non
verranno mai utilizzati o lo saranno solo raramente, come nel caso della re -
voca del ........ (.... ...... . .. .......).
16. Un interessato potrebbe tuttavia presentare una richiesta di deindicizzazio -
ne a un fornitore di motori di ricerca sulla base di uno o più motivi. Ad esem-
pio, un interessato potrebbe richiedere la ................ .....é ... ..... -
ne più necessario che i suoi .... ......... ..... ........ ... ...... .. .......
(articolo 17, paragrafo 1, lettera a)) ed esercitare anche il diritto di opporsi
al ........... .. ..... ....’........ .., ......... ., ... .... (........ ..,
paragrafo 1, lettera c)).
17. Onde valutare i reclami riguardanti un fornitore di motori di ricerca che si è
I diritti degli interessati
Garante per la protezione dei dati personali
21
rifiutato di cancellare un particolare risultato di ricerca ai sensi dell’artico-
lo 17 del RGPD, le autorità di controllo dovrebbero stabilire se il contenuto
cui si riferisce un URL debba essere deindicizzato o meno. Nell’analizzare il
merito del reclamo, le autorità dovrebbero quindi tenere conto della natura
del contenuto reso disponibile dagli editori dei siti web terzi.
1.1 MOTIVAZIONE 1: IL DIRITTO DI CHIEDERE LA ................ ......
I .... ......... ... .... ..Ù ......... ........ .. ...........
DEL FORNITORE DEL MOTORE DI RICERCA (ARTICOLO 17, PARAGRAFO 1,
LETTERA A))
18. Ai sensi dell’articolo 17, paragrafo 1, lettera a), del RGPD, un interessato può
richiedere a un fornitore di motore di ricerca, a seguito di una ricerca effet -
tuata in via generale a partire dal suo nome, di rimuovere contenuti dall’e -
lenco dei risultati di ricerca, qualora i .... ......... ....’........... .......
in questi risultati di ricerca non siano più necessari rispetto alle finalità del
trattamento del motore di ricerca.
19. Questa disposizione consente a un interessato di chiedere la deindicizzazio -
ne delle informazioni personali che lo riguardano rese accessibili per un pe -
riodo superiore a quello necessario per il ........... .. ..... ... .........
del motore di ricerca. Tuttavia, tale ........... è .......... .. ...........
per rendere le informazioni più facilmente accessibili agli utenti di Internet.
Nell’ambito del diritto di chiedere la deindicizzazione, deve essere raggiunto
un equilibrio tra la tutela della vita privata e gli interessi degli utenti di In-
ternet ad avere accesso all’informazione. In particolare, occorre valutare se
con il passare del tempo i .... ......... ..... ......... ........ . ... .....
stati aggiornati.
20. Ad esempio, un interessato può esercitare il diritto di chiedere la deindiciz -
zazione ai sensi dell’articolo 17, paragrafo 1, lettera a), quando:
• le informazioni che lo riguardano detenute da un’impresa sono state elimi-
nate dal registro pubblico;
• un link a un sito web di un’azienda contiene i suoi dati di contatto sebbene
non lavori più per quell’azienda;
• è necessario pubblicare informazioni su Internet per diversi anni in adem-
pimento di un obbligo legale e queste sono rimaste online per un periodo di
tempo superiore a quanto specificato dalla legislazione.
21. Come dimostrato dagli esempi, un interessato può chiedere in particolare la
deindicizzazione di un determinato contenuto, laddove le informazioni per -
sonali siano chiaramente inesatte perché obsolete o datate. Una tale valuta-
zione dipenderà, tra l’altro, dalle finalità del ........... ........... .. ..... -
guenza, le autorità di controllo dovrebbero anche tenere conto dei periodi di
conservazione iniziali dei dati personali, ove disponibili, allorché effettuano
la loro analisi in merito alle richieste di ................ .. ..... ....’...... -
lo 17, paragrafo 1, lettera a), del RGPD.
Linee guida 5/2019 sui criteri per l’esercizio del diritto all’oblio nel caso dei motori di ricerca, ai sensi del RGPD (parte 1) - Versione 2.0
22
1.2 MOTIVAZIONE 2: IL DIRITTO DI CHIEDERE LA ................
QUANDO L’INTERESSATO ...... .. ........ ... .... .. ...
IL FONDAMENTO GIURIDICO DEL ........... ... ........
ALL’ARTICOLO 6, PARAGRAFO 1, LETTERA A), O ALL’ARTICOLO 9, PARAGRAFO 2,
LETTERA A), DEL RGPD E SE NON SUSSISTE ALTRO FONDAMENTO GIURIDICO
PER IL ........... (........ .., ......... ., ....... .))
22. Ai sensi dell’articolo 17, paragrafo 1, lettera b), del RGPD, un interessato può
ottenere la cancellazione dei .... ......... ... .. .......... .. ...... ..
consenso al trattamento.
23. In caso di deindicizzazione, ciò significherebbe che il fornitore del motore di
ricerca si sarebbe avvalso del ........ ....’........... ..... .... ...... ...
il trattamento. L’articolo 17, paragrafo 1, del RGPD solleva infatti la questio -
ne della base legale del ........... .......... .. .. ......... ... ...... ..
ricerca per produrre i risultati del motore di ricerca, tra cui i dati personali.
24. Per tale ragione, sembra improbabile che una richiesta di ................
sia presentata da un interessato che desideri revocare il ........ .....é
il ........ ... ..........., . ... .. .... .. ....... ........, è .’....... ...
e non il gestore del motore di ricerca che indicizza i dati. Questa interpre -
tazione è stata confermata dalla CGUE nella propria sentenza C-136-17 del
24 settembre 2019 (la «sentenza Google 2»)
10. La Corte indica che «(...) il con -
senso deve essere “specifico” e vertere quindi specificamente sul ........... ........ -
to nell’ambito dell’attività del motore di ricerca (...). Orbene, in pratica è difficilmente
ipotizzabile (...) che il gestore di un motore di ricerca chieda il ........ ......... .....
interessati prima di procedere, per le necessità della sua attività di indicizzazione, al
trattamento dei .... ......... ... .. ........... .. .... ...., (...) .. ..... ...... ...
una persona presenti una richiesta di ................ ........., .. ..... .. .........,
che, quanto meno alla data di tale richiesta, non acconsente più al ........... ..... -
tuato dal gestore del motore di ricerca.»
25. Ciononostante, se un interessato revocasse il proprio ........ . ..........
i suoi dati su una particolare pagina web, l’editore originario di tale pagina
web dovrebbe informare i ......... .. ...... .. ....... ... ..... .........-
to i dati ai sensi dell’articolo 17, paragrafo 2, del RGPD. L’interessato avrebbe
comunque diritto a ottenere la ................ ... .... ......... ... .. ..-
guardano, ma in tal caso ai sensi dell’articolo 17, paragrafo 1, lettera c).
1.3 MOTIVAZIONE 3: IL DIRITTO DI CHIEDERE LA ................ ......
L’INTERESSATO HA ESERCITATO IL DIRITTO DI OPPORSI AL ...........
DEI SUOI .... ......... (........ .., ......... ., ....... .))
26. Ai sensi dell’articolo 17, paragrafo 1, lettera c) del RGPD, un interessato può
ottenere la cancellazione dei .... ......... ... .. .......... ... .........
del motore di ricerca, laddove l’interessato si opponga al ........... .. .....
dell’articolo 21, paragrafo 1, del RGPD e non sussiste alcun motivo legittimo
prevalente per procedere al ........... .. ..... ... .........
I diritti degli interessati
Garante per la protezione dei dati personali
23
27. Il diritto di opposizione offre agli interessati maggiori garanzie, poiché non
limita i motivi in base ai quali gli interessati possono chiedere la deindiciz -
zazione come invece avviene nel caso dell’articolo 17, paragrafo 1, del RGPD.
28. Il diritto di opporsi al ........... è ..... ........ ....’........ .. ..... ..... -
tiva
11 e ha costituito un fondamento giuridico delle richieste di deindicizza-
zione sin dalla sentenza Costeja. Tuttavia, le differenze nella formulazione
dell’articolo 21 del RGPD e dell’articolo 14 della direttiva indicano che vi pos -
sono essere anche differenze nella rispettiva applicazione.
29. Ai sensi della direttiva, l’interessato doveva basare la propria richiesta su
«motivi preminenti e legittimi, derivanti dalla sua situazione particolare». Quanto
al RGPD, un interessato può opporsi al ........... «... ...... ........ .... ... ..-
tuazione particolare». Pertanto, questi non deve più dimostrare l’esistenza di
«motivi preminenti e legittimi».
30. Il RGPD modifica pertanto l’onere della prova, stabilendo una presunzione a
favore dell’interessato e obbligando, al contrario, il ........ ... ........... .
dimostrare l’esistenza di «motivi legittimi cogenti per procedere al trattamento»
(articolo 21, paragrafo 1). Pertanto, quando un fornitore di motore di ricerca
riceve una richiesta di ................ ....... ..... .......... ...........
dell’interessato, è tenuto ora a cancellare i .... ......... .. ..... ....’....-
colo 17, paragrafo 1, lettera c), del RGPD, a meno che possa dimostrare che
sussiste un «motivo legittimo prevalente» per l’inclusione in un elenco dello
specifico risultato di ricerca che, in combinato disposto con l’articolo 21, pa-
ragrafo 1, configuri «motivi legittimi cogenti (...) che prevalgono sugli interessi, sui
diritti e sulle libertà dell’interessato». Il fornitore del motore di ricerca può sta-
bilire se sussiste un «motivo legittimo prevalente», inclusa qualsiasi esenzione
prevista dall’articolo 17, paragrafo 3, del RGPD. Tuttavia, se il fornitore del
motore di ricerca non dimostra l’esistenza di un motivo legittimo prevalente,
l’interessato ha il diritto di ottenere la ................ .. ..... ....’...... -
lo 17, paragrafo 1, lettera c), del RGPD. Di fatto, le richieste di deindicizzazio -
ne comportano ora la necessità di un bilanciamento tra le ragioni riguardan-
ti la situazione particolare dell’interessato e i motivi legittimi e cogenti del
fornitore del motore di ricerca. Il bilanciamento tra la tutela della vita privata
e gli interessi degli utenti di Internet ad avere accesso all’informazione come
stabilito dalla CGUE nella sentenza Costeja può essere pertinente ai fini di
questa valutazione, così come quello realizzato dalla Corte europea dei diritti
dell’uomo (Corte EDU) nelle sentenze relative alla libertà di informazione.
31. Pertanto, i criteri di ................ ........ ... ...... ”........ ..” ...-
le linee guida sull’attuazione della sentenza della Corte di giustizia dell’U -
nione nella causa C-131/12 «Google Spain SL e Google Inc. contro Agencia
Española de Protección de Datos (AEPD) e Mario Costeja González» possono
ancora essere utilizzati dai ......... .. ...... .. ....... . ..... .......à ..
controllo per valutare una richiesta di ................ ....... ... ....... ..
opposizione (articolo 17, paragrafo 1, lettera c), del RGPD).
32. A tal proposito, la richiesta di ................ .. ......à ..... «..........
particolare» dell’interessato (ad esempio, la circostanza per cui un risultato
Linee guida 5/2019 sui criteri per l’esercizio del diritto all’oblio nel caso dei motori di ricerca, ai sensi del RGPD (parte 1) - Versione 2.0
24
di ricerca arreca danno a un interessato nella ricerca di un impiego o min a la
sua reputazione nella vita personale) che sarà presa in considerazione nello
stabilire il bilanciamento tra i diritti personali e il diritto all’informazione, in
aggiunta ai criteri classici per gestire le richieste di deindicizzazione, quali:
• l’interessato non è una figura pubblica;
• le informazioni in questione non sono attinenti alla vita professionale
dell’interessato, ma si ripercuotono sulla sua vita privata;
• le informazioni costituiscono incitamento all’odio, calunnia, diffamazio -
ne o analoghi reati di opinione contro l’interessato come sancito da una
decisione giudiziale;
• i dati sembrano verificati, ma sono di fatto inesatti;
• le informazioni si riferiscono a un reato di gravità relativamente min ore
commesso molto tempo prima e arrecano pregiudizio all’interessato.
33. Tuttavia, tali criteri non dovranno essere esaminati in assenza di elementi
che comprovino la sussistenza di motivi legittimi e cogenti per rifiutare la
richiesta.
1.4 MOTIVAZIONE 4: IL DIRITTO DI CHIEDERE LA ................
QUANDO I .... ......... .... ..... ........ .............
(ARTICOLO 17, PARAGRAFO 1, LETTERA D))
34. Ai sensi dell’articolo 17, paragrafo 1, lettera d), del RGPD, un interessato può
ottenere la cancellazione dei .... ......... ... .. .......... ... .... .. ...
questi siano stati trattati illecitamente.
35. Il concetto di ........... ........ .. ............ ............ .... ....
dell’articolo 6 del RGPD sulla liceità del trattamento. Gli altri principi stabiliti
dal RGPD (come i principi dell’articolo 5 del RGPD o di altre disposizioni del
capo II) possono contribuire a tale interpretazione.
36. Questo concetto va, in secondo luogo, interpretato estensivamente quale vio -
lazione di una disposizione di legge diversa dal RGPD. Tale interpretazione
deve basarsi su elementi oggettivi alla luce del diritto o della giurisprudenza
nazionali. Ad esempio, una richiesta di ................ è ....... .......
l’indicizzazione è stata vietata espressamente da un’ordinanza del tribunale.
Qualora un fornitore di motore di ricerca non sia in grado di dimostrare
l’esistenza di un fondamento giuridico per il trattamento, una richiesta di
deindicizzazione può rientrare nell’ambito di applicazione dell’articolo 17,
paragrafo 1, lettera d), del RGPD, poiché il ........... ... .... ......... ..
questi casi deve essere considerato illecito. Tuttavia, occorre ricordare che
nel caso di illiceità del ........... .........., .’........... .. ........ ..
diritto di chiedere la ................ .. ..... ....’........ .., ......... .,
lettera c), del RGPD.
I diritti degli interessati
Garante per la protezione dei dati personali
25
1.5 MOTIVAZIONE 5: IL DIRITTO DI CHIEDERE LA ................ ......
I .... ......... .... ..... .......... ... ......... .. .......
LEGALE (ARTICOLO 17, PARAGRAFO 1, LETTERA E))
37. Ai sensi dell’articolo 17, paragrafo 1, lettera e), del RGPD, un interessato può
chiedere al fornitore del motore di ricerca di deindicizzare uno o più risul-
tati di ricerca, se i .... ......... ...... ...... .......... ... ......... ..
obbligo legale previsto dal diritto dell’Unione o dello Stato membro cui è sog-
getto il fornitore del motore di ricerca.
38. La necessità di adempiere un obbligo legale può derivare da un’ingiunzio -
ne, da una espressa previsione del diritto interno o dell’Unione in quanto
sussiste un «obbligo legale alla cancellazione» o dalla semplice violazione
del periodo di conservazione da parte del fornitore del motore di ricerca. Un
esempio potrebbe essere rappresentato dalla non osservanza del periodo
di conservazione fissato per legge (anche se questa ipotesi riguarda princi-
palmente i documenti pubblici). In un caso del genere potrebbero ricadere
anche dati non anonimizzati o identificativi messi a disposizione come dati
aperti.
1.6 MOTIVAZIONE 6: IL DIRITTO DI CHIEDERE LA ................ ......
I .... ......... .... ..... ........ ............. ...’.......
DI SERVIZI DELLA SOCIETÀ DELL’INFORMAZIONE A ...... (........ ..,
PARAGRAFO 1, LETTERA F))
39. Ai sensi dell’articolo 17, paragrafo 1, lettera f ), del RGPD, un interessato può
chiedere a un fornitore del motore di ricerca di deindicizzare uno o più risul-
tati se i .... ......... .... ..... ........ ............. ...’....... .. .......
della società dell’informazione a min ori, nei termini di cui all’articolo 8, pa-
ragrafo 1, del RGPD.
40. L’articolo riguarda l’offerta diretta di servizi della società dell’informazione e
nessun altro tipo di trattamento. Il RGPD non definisce i servizi della società
dell’informazione, ma rimanda alle definizioni esistenti nel diritto dell’UE
12.
Vi sono difficoltà nell’interpretazione in quanto il considerando 18 della
direttiva 2000/31/CE del Parlamento europeo e del Consiglio, dell’8 giu-
gno 2000, fornisce una definizione ampia e ambigua del concetto di «offer -
ta diretta di servizi della società dell’informazione». Essa indica soprattutto che
questi servizi «abbracciano una vasta gamma di attività economiche svolte in linea
(on line)», ma specifica che non si tratta esclusivamente di «servizi che portano
a stipulare contratti in linea ma anche di servizi non remunerati dal loro destina -
tario, nella misura in cui costituiscono un’attività economica, come l’offerta di
informazioni o comunicazioni commerciali in linea o la fornitura di strumenti per
la ricerca, l’accesso e il reperimento di dati», definendo poi i criteri di un’attività
economica.
41. Da quanto precede si desume che le attività dei ......... .. ...... .. ..... -
ca rientrano probabilmente nell’ambito di applicazione dell’offerta diret -
Linee guida 5/2019 sui criteri per l’esercizio del diritto all’oblio nel caso dei motori di ricerca, ai sensi del RGPD (parte 1) - Versione 2.0
26
ta di servizi della società dell’informazione. Tuttavia, i ......... .. ......
di ricerca non verificano se i .... ......... ... ........... .......... .
meno un min ore. Alla luce delle loro specifiche responsabilità e fatta salva
l’applicazione dell’articolo 17, paragrafo 3, del RGPD, essi dovrebbero però
deindicizzare un contenuto riguardante un min ore ai sensi dell’articolo 17,
paragrafo 1, lettera c), del RGPD, riconoscendo che il fatto di essere un min o -
re è un valido «motivo connesso ad una situazione particolare» (articolo 21
del RGPD) e che «i min ori meritano una specifica protezione relativamente ai loro
dati personali»” (considerando 38 del RGPD). In tal caso, deve essere preso in
considerazione l’ambito della raccolta dei .... ......... .. ..... ... ........
del trattamento. In particolare, si deve tenere conto della data di inizio del
trattamento da parte del sito web originario quando un interessato chiede la
deindicizzazione dello specifico contenuto.
2. LE ECCEZIONI AL DIRITTO DI CHIEDERE LA ................ .. .....
DELL’ARTICOLO 17, PARAGRAFO 3
42. L’articolo 17, paragrafo 3, del RGPD afferma che i paragrafi 1 e 2 dell’artico -
lo 17 del RGPD non si applicheranno quando il ........... è ..........: .. ... .’......... ... ....... .... ......à .. ........... . .. ............ (..-
ticolo 17, paragrafo 3, lettera a));
b. per l’adempimento di un obbligo legale che richieda il ........... .....-
sto dal diritto dell’Unione o dello Stato membro cui è soggetto il ........
del ........... . ... .’.......... .. .. ....... ...... ... ........ ..-
teresse oppure nell’esercizio di pubblici poteri di cui è investito il ........
del ........... (........ .., ......... ., ....... .)).
c. per motivi di interesse pubblico nel settore della sanità pubblica in con-
formità dell’articolo 9, paragrafo 2, lettere h) e i), e dell’articolo 9, para-
grafo 3 (articolo 17, paragrafo 3, lettera c));
d. a fini di ............. ... ........ ........., .. ....... ........... . ... -
rica o a fini statistici conformemente all’articolo 89, paragrafo 1, nella
misura in cui il diritto di cui al paragrafo 1 rischi di rendere impossibile
o di pregiudicare gravemente il conseguimento degli obiettivi di tale trat -
tamento (articolo 17, paragrafo 3, lettera d)); o
e. per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria
(articolo 17, paragrafo 3, lettera e)).
43. Questa sezione intende dimostrare che la maggior parte delle eccezioni di
cui all’articolo 17, paragrafo 3, del RGPD non sembrano attagliarsi alle ri-
chieste di deindicizzazione. Tale inadeguatezza depone a favore dell’appli-
cazione dell’articolo 21 del RGPD per le richieste di deindicizzazione. In ogni
caso, occorre ricordare che le eccezioni di cui all’articolo 17, paragrafo 3,
del RGPD possono essere invocate quali motivi legittimi prevalenti ai sensi
dell’articolo 17, paragrafo 1, lettera c), del RGPD.
I diritti degli interessati
Garante per la protezione dei dati personali
27
2.1 IL ........... È .......... ... .’......... ... ....... .... ..-
BERTÀ DI ESPRESSIONE E DI INFORMAZIONE
44. Questa eccezione all’applicazione dell’articolo 17, paragrafo 1, del RGPD
deve essere interpretata e applicata nell’ambito delle caratteristiche che de -
finiscono la cancellazione. L’articolo 17, paragrafo 1, del RGPD è formula-
to nei termini di un mandato chiaro e incondizionato rivolto ai titolari del
trattamento. Se le condizioni stabilite nell’articolo 17, paragrafo 1, del RGPD,
sono soddisfatte, il ........ ... ........... «.. .’....... .. .......... ..... .. -
giustificato ritardo i dati personali». Tuttavia, non si tratta di un diritto assoluto.
Le eccezioni di cui all’articolo 17, paragrafo 3, del RGPD, individuano i casi in
cui questo obbligo non si applica.
45. Tuttavia, l’equilibrio tra la tutela dei diritti delle parti interessate e la libertà
di espressione, incluso il libero accesso alle informazioni, costituisce parte
integrante dell’articolo 17 del RGPD.
46. La CGUE ha riconosciuto nella sentenza Costeja, e lo ha ripetuto di recente
nella sentenza Google 2, che il ........... .......... .. .. ......... .. .. -
tore di ricerca può incidere significativamente sui diritti fondamentali alla
vita privata e alla protezione dei dati quando la ricerca è effettuata utilizzan-
do il nome di un interessato.
47. Nel valutare i diritti e le libertà degli interessati e gli interessi degli utenti di
Internet ad avere accesso all’informazione tramite il fornitore del motore di
ricerca, la Corte ha fornito la seguente interpretazione: «Se indubbiamente i
diritti della persona interessata tutelati da tali articoli prevalgono, di norma, anche
sul citato interesse degli utenti di Internet, tale equilibrio può nondimeno dipendere,
in casi particolari, dalla natura dell’informazione di cui trattasi e dal suo carattere
sensibile per la vita privata della persona suddetta, nonché dall’interesse del pubblico
a disporre di tale informazione, il quale può variare, in particolare, a seconda del
ruolo che tale persona riveste nella vita pubblica.»
13
48. La Corte ha altresì ritenuto che i diritti degli interessati prevarranno, in linea
generale 14, sull’interesse degli utenti di Internet ad avere accesso all’infor -
mazione tramite il fornitore del motore di ricerca. Tuttavia, ha individuato
diversi fattori che possono influenzare tale determinazione. Tra di essi figu-
rano: la natura dell’informazione o il suo carattere sensibile, in particolare
l’interesse degli utenti di Internet ad avere accesso all’informazione, il quale
può variare a seconda del ruolo che tale persona interessata riveste nella vita
pubblica.
49. L’analisi svolta dalla Corte in tema di ................ ....... ..., ... ..-
lutare le richieste di deindicizzazione, la decisione sul mantenimento o
il blocco dei risultati di ricerca da parte del fornitore del motore di ricerca
debba necessariamente valutare quale sarebbe l’impatto di una decisione di
deindicizzazione sull’accesso alle informazioni da parte degli utenti di Inter -
net
15. Tale impatto non comporta per forza di cose il rigetto di una richiesta
di deindicizzazione. Come confermato dalla Corte, una tale interferenza con
i diritti fondamentali dell’interessato deve essere giustificata dall’interesse
preponderante del pubblico ad avere accesso all’informazione.
Linee guida 5/2019 sui criteri per l’esercizio del diritto all’oblio nel caso dei motori di ricerca, ai sensi del RGPD (parte 1) - Versione 2.0
28
50. La Corte ha altresì distinto tra la legittimità della diffusione di informazio -
ni da parte dell’editore di un sito web e la legittimità di tale diffusione da
parte del fornitore del motore di ricerca. La Corte ha riconosciuto che l’atti-
vità di un editore web può perseguire esclusivamente i fini giornalistici, nel
qual caso l’editore web beneficerebbe delle esenzioni che gli Stati membri
possono stabilire in questi casi sulla base dell’articolo 9 della direttiva (at -
tualmente articolo 85, paragrafo 2, del RGPD). A tal proposito, nella sentenza
«M.L. e W.W. contro Germania», del 28 giugno 2018, la Corte EDU indica che
l’equilibrio degli interessi in gioco può produrre risultati diversi in base alla
specifica richiesta – distinguendo tra i) una richiesta di cancellazione rivolta
all’editore originario, la cui attività è il nucleo essenziale di ciò che mira a
tutelare la libertà di espressione e ii) una richiesta nei confronti del motore
di ricerca, il cui primo interesse non è quello di pubblicare le informazioni
originarie sull’interessato, ma consentire in particolare l’identificazione del-
le informazioni disponibili su tale persona e dunque stabilire il suo profilo.
51. Queste considerazioni dovrebbero trovare applicazione in relazione ai recla-
mi concernenti l’articolo 17 del RGPD, dal momento che nelle decisioni in
materia i diritti degli interessati che hanno chiesto la ................ .. -
vono essere valutati alla luce degli interessi degli utenti di Internet ad avere
accesso all’informazione.
52. Come chiarito dalla CGUE nella sentenza Google 2, l’articolo 17, paragrafo 3,
lettera a), del RGPD è «espressione del fatto che il diritto alla protezione dei dati
personali non è un diritto assoluto, ma deve (...) essere considerato in relazione alla
sua funzione sociale ed essere bilanciato con altri diritti fondamentali, conforme -
mente al principio di proporzionalità»
16. Esso «prevede quindi espressamente il re -
quisito del bilanciamento tra, da un lato, i diritti fondamentali al rispetto della vita
privata e alla protezione dei dati personali, sanciti agli articoli 7 e 8 della Carta e,
d’altro lato, il diritto fondamentale alla libertà di informazione, garantito dall’arti-
colo 11 della Carta.»
17
53. La Corte conclude che «il gestore di un motore di ricerca, quando riceve una richie -
sta di ................ ........... .. .... ..... ... ...... ... ..... ..... ....
pubblicati .... ......... .......... ..... ......... ........... (...), .... – ..... ....
di tutti gli elementi pertinenti della fattispecie e tenuto conto della gravità dell’inge -
renza nei diritti fondamentali della persona interessata al rispetto della vita privata
e alla protezione dei dati personali, sanciti dagli articoli 7 e 8 della Carta – verificare,
alla luce dei motivi di interesse pubblico rilevante (...), se l’inserimento di detto link
nell’elenco dei risultati, visualizzato in esito ad una ricerca effettuata a partire dal
nome della persona in questione, si riveli strettamente necessario per proteggere la
libertà di informazione degli utenti di Internet potenzialmente interessati ad avere
accesso a tale pagina web mediante una ricerca siffatta, libertà che è sancita all’arti-
colo 11 della Carta.»
18
54. Per concludere, a seconda delle circostanze del caso, i ......... .. ...... ..
ricerca possono rifiutare la ................ .. .. ......... ....... ... -
sano dimostrare che l’inserimento di tale contenuto nell’elenco di risultati
è strettamente necessario per la tutela della libertà di informazione degli
utenti di Internet.
I diritti degli interessati
Garante per la protezione dei dati personali
29
2.2 IL ........... È .......... ... .’........... .. .. .......
LEGALE CUI È SOGGETTO IL ........ ... ...........
O PER L’ESECUZIONE DI UN COMPITO SVOLTO NEL PUBBLICO INTERESSE
OPPURE NELL’ESERCIZIO DI PUBBLICI POTERI DI CUI È INVESTITO
IL ........ ... ...........
55. Il contenuto di questa eccezione è difficilmente applicabile all’attività dei
fornitori di motori di ricerca e può influire sulle decisioni di deindicizzare
alcuni risultati, poiché il ........... ... .... .. ..... ... ......... .. ......
di ricerca si basa, in linea di principio, sul loro legittimo interesse.
2.2.1. OBBLIGO LEGALE
56. È difficile immaginare l’esistenza di disposizioni di legge che obblighino i
fornitori di motori di ricerca a divulgare determinate informazioni. Tale cir -
costanza deriva dal tipo di attività svolta dai ......... .. ........., . .....
non producono né presentano informazioni.
57. Pertanto, si ritiene improbabile che il diritto di uno Stato membro preveda
l’obbligo per i ......... .. ...... .. ....... .. .......... ........... .... ..
informazione, anziché stabilire che l’obbligo di procedere a tale pubblica-
zione debba essere assolto da altre pagine web che saranno poi collegate dai
fornitori di motori di ricerca.
58. Analoghe considerazioni valgono quanto alla possibilità che il diritto dell’U -
nione o dello Stato membro consenta a un’autorità pubblica di prendere de -
cisioni che obblighino i ......... .. ...... .. ....... . .......... .......-
zioni direttamente anziché mediante i link URL alla pagina web dove sono
contenute le informazioni.
59. Qualora il diritto di uno Stato membro stabilisca l’obbligo per i ......... ..
motori di ricerca di pubblicare decisioni o documenti contenenti informa-
zioni personali, o autorizzi le autorità pubbliche a esigere tale pubblicazione,
si dovrebbe applicare l’eccezione di cui all’articolo 17, paragrafo 3, lettera b),
del RGPD.
60. Nell’applicare l’eccezione suddetta occorre tenere conto dei termini in cui
è stabilita, ovvero del fatto che il mantenimento dell’informazione in que -
stione è necessario per ottemperare all’obbligo legale di pubblicazione. Ad
esempio, il fatto che un obbligo legale o la decisione assunta da un’autorità
a ciò legittimata possa prevedere un termine per la pubblicazione o finalità
espressamente dichiarate che possano essere conseguite entro un determi-
nato periodo di tempo. In questi casi, se la richiesta di ................ è
presentata oltre i rispettivi termini, si dovrebbe ritenere che l’eccezione non
sia più applicabile.
61. Al contrario, accade di frequente che il diritto di uno Stato membro preveda
la pubblicazione su pagine web di informazioni contenenti dati personali.
Quest’obbligo legale di pubblicare o mantenere pubblicate determinate in-
Linee guida 5/2019 sui criteri per l’esercizio del diritto all’oblio nel caso dei motori di ricerca, ai sensi del RGPD (parte 1) - Versione 2.0
30
formazioni non può essere considerato pertinente ai fini dell’eccezione di
cui all’articolo 17, paragrafo 3, lettera b), del RGPD, poiché non è rivolto al
fornitore del motore di ricerca, bensì agli editori web i cui contenuti sono po -
sti in connessione dall’indice del fornitore del motore di ricerca. Quest’ulti-
mo non può pertanto invocare l’esistenza dell’obbligo suddetto per rigettare
una richiesta di deindicizzazione.
62. Tuttavia, l’obbligo legale di pubblicazione posto in capo agli altri editori web
dovrebbe essere tenuto in considerazione quando si effettua il bilanciamen-
to tra i diritti degli interessati e l’interesse degli utenti di Internet ad avere
accesso all’informazione. Il fatto che un’informazione debba essere pubbli-
cata online per obblighi di legge o in seguito alla decisione assunta da un’au-
torità a ciò legittimata è indicativo di un interesse del pubblico ad avere la
possibilità di accedere a tale informazione.
63. Questa presunzione dell’esistenza di un interesse prevalente del pubbli-
co non è applicabile negli stessi termini alle pagine web originarie rispetto
all’indice dei risultati di un fornitore di motore di ricerca. Sebbene l’obbli-
go legale di pubblicare informazioni su un determinato sito web possa far
concludere che tali informazioni non debbano essere cancellate dalla pagina
web, non è detto che sia questa la conclusione relativa ai risultati offerti dal
fornitore del motore di ricerca quando il nome di un interessato è utilizzato
generalmente quale criterio di ricerca.
64. In casi del genere, la valutazione della richiesta di ................ ... .. -
vrebbe basarsi sull’assunto che l’esistenza di un obbligo legale di pubblica-
zione implichi necessariamente che, nella misura in cui tale obbligo sia im-
posto agli editori web originari, il fornitore del motore di ricerca non possa
accogliere la richiesta di deindicizzazione.
65. La decisione dovrebbe essere presa, come è la norma, individuando un bi-
lanciamento tra i diritti dell’interessato e l’interesse degli utenti di Internet
ad avere accesso a tale informazione tramite il fornitore del motore di ricerca.
2.2.2 ESECUZIONE DI UN COMPITO SVOLTO NEL PUBBLICO INTERESSE OPPURE
NELL’ESERCIZIO DI PUBBLICI POTERI
66. I ......... .. ...... .. ....... ... .... .......à ......... . ........ ...
esercitano pubblici poteri.
67. Tuttavia, potrebbero esercitare tali poteri se fossero loro attribuiti dal dirit -
to di uno Stato membro o dell’Unione. Analogamente, potrebbero svolgere
compiti di pubblico interesse se la loro attività fosse considerata necessaria
per soddisfare tale interesse pubblico conformemente alla legislazione na-
zionale
19.
68. Date le caratteristiche dei ......... .. ...... .. ......., è ........... ... ...
Stati membri attribuiscano loro pubblici poteri o considerino la loro attività,
o parte di essa, necessaria per il conseguimento di un interesse pubblico ri-
conosciuto dalla legge.
I diritti degli interessati
Garante per la protezione dei dati personali
31
69. Se, a ogni modo, si verifica un caso in cui il diritto degli Stati membri attri-
buisce ai ......... .. ...... .. ....... ........ ...... . ....... .. .... .......à
al perseguimento di un obiettivo di interesse pubblico, essi potrebbero av -
valersi dell’eccezione di cui all’articolo 17, paragrafo 3, lettera b), del RGPD.
Valgono le considerazioni svolte in precedenza rispetto ai casi in cui il diritto
di uno Stato membro preveda in capo ai ......... .. ...... .. ....... .. .. -
bligo legale di trattare le informazioni in questione.
70. Nel decidere sul rigetto di una richiesta di ................ ... ....... ....-
te a questa eccezione, occorre determinare se il mantenimento dell’informa-
zione nei risultati del motore di ricerca sia necessario per il conseguimento
dell’interesse pubblico perseguito o per l’esercizio dei poteri delegati.
71. D’altro canto, di norma la definizione giuridica di poteri pubblici o di interes -
se pubblico spetta al singolo Stato membro e se il motore di ricerca rigetta
una richiesta di ................ ..... .... ....’......... .. ..... .......
considerare che assume tale decisione poiché ritiene la sua attività neces -
saria per il conseguimento degli obiettivi di interesse pubblico. Il fornitore
del motore di ricerca dovrebbe, in questo caso, fornire le motivazioni per cui
ritiene che la sua attività sia svolta nell’interesse pubblico. In assenza di una
tale spiegazione, il rifiuto di dare seguito a una richiesta di ................
presentata dall’interessato non può basarsi sull’eccezione in esame.
72. Ne consegue anche che spetterebbe all’autorità di controllo dello Stato mem-
bro di cui si applica la legge trattare un eventuale reclamo, ai sensi dell’arti-
colo 55, paragrafo 2, del RGPD.
2.3 MOTIVI DI INTERESSE PUBBLICO NEL SETTORE DELLA SANITÀ PUBBLICA
73. Questa eccezione configura un caso specifico derivante dalla circostanza che
il ........... è .......... ... .’.......... .. .. ....... ...... ....’....... -
se pubblico.
74. In questo caso, l’interesse pubblico è limitato al settore della sanità pubblica,
ma come per l’interesse pubblico in altri settori, il fondamento di liceità del
trattamento deve essere previsto nel diritto dell’Unione o dello Stato membro.
75. Dal punto di vista dell’applicazione di questa eccezione nel contesto dell’at -
tività del fornitore del motore di ricerca, valgono le stesse conclusioni espo -
ste in precedenza. Non sembra probabile che il diritto di uno Stato membro
o dell’Unione possa stabilire una relazione tra, da un lato, l’attività del for -
nitore del motore di ricerca e il mantenimento dell’informazione o di una
categoria di informazioni nei risultati del fornitore del motore di ricerca e,
dall’altro lato, il conseguimento delle finalità di interesse pubblico nel settore
della sanità pubblica.
76. Tale conclusione risulta ancor più evidente se si considera che l’effetto della
deindicizzazione consiste soltanto nella rimozione di alcuni risultati dalla
pagina dei risultati che viene visualizzata quando si inserisce per lo più un
nome quale criterio di ricerca. Ma l’informazione non è cancellata dagli in-
Linee guida 5/2019 sui criteri per l’esercizio del diritto all’oblio nel caso dei motori di ricerca, ai sensi del RGPD (parte 1) - Versione 2.0
32
dici dei ......... .. ...... .. ....... . ..ò ...... ........ ........... .....
criteri di ricerca.
77. È pertanto difficile immaginare che mantenere questi risultati visibili quan-
do sono effettuate ricerche principalmente a partire dal nome di un interes -
sato possa essere considerato, in linea generale, necessario per motivi di
interesse pubblico nel settore della sanità pubblica.
78. I criteri concernenti l’applicabilità delle norme nazionali e l’identificazione
delle autorità di controllo competenti a trattare eventuali reclami qualora
richieste ai sensi dell’articolo 17 del RGPD siano rigettate sulla base della
presente eccezione sono stati discussi in precedenza.
2.4 FINALITÀ DI ............. ... ........ ........., .. .......
SCIENTIFICA O STORICA O FINALITÀ ........... .............
ALL’ARTICOLO 89, PARAGRAFO 1, NELLA MISURA IN CUI IL DIRITTO DI CUI
AL PARAGRAFO 1 RISCHI DI RENDERE IMPOSSIBILE O DI PREGIUDICARE
GRAVEMENTE IL CONSEGUIMENTO DEGLI OBIETTIVI DI TALE TRATTAMENTO
79. In questo scenario, il fornitore del motore di ricerca deve essere in grado di
dimostrare che la ................ .. .. ........... ......... ..... ....-
na dei risultati costituisce un serio ostacolo o impedisce totalmente il conse -
guimento delle finalità di ricerca scientifica o storica o le finalità statistiche.
80. Va inteso che queste finalità devono essere oggettivamente perseguite dal
fornitore del motore di ricerca. La possibilità che l’eliminazione dei risulta-
ti possa pregiudicare in modo significativo le finalità di ricerca o statistica
perseguite dagli utenti del servizio del fornitore del motore di ricerca non è
pertinente ai fini dell’applicazione di questa eccezione. Tali finalità, se esi-
stono, dovrebbero essere prese in considerazione nel bilanciamento tra i
diritti dell’interessato e gli interessi degli utenti di Internet ad avere accesso
all’informazione tramite il fornitore del motore di ricerca.
81. Va inoltre rilevato che queste finalità possono essere oggettivamente perse -
guite dal fornitore del motore di ricerca senza che sia necessario creare un
link, in linea di principio, tra il nome dell’interessato e i risultati di ricerca.
2.5 ACCERTAMENTO, ESERCIZIO O DIFESA DI UN DIRITTO IN SEDE GIUDIZIARIA
82. In linea di massima, è alquanto improbabile che i ......... .. ...... .. ..... -
ca possano invocare questa eccezione per rigettare richieste di deindicizza-
zione basate sull’articolo 17 del RGPD.
83. Va inoltre sottolineato che una richiesta di ................ ..........
l’eliminazione di determinati risultati dalla pagina dei risultati di ricerca
mostrata dal fornitore quando il criterio di tale ricerca è sostanzialmente il
nome di un interessato. L’informazione resta accessibile utilizzando altri cri-
teri di ricerca.
I diritti degli interessati
Garante per la protezione dei dati personali
33
NOTE
[1] Nelle presenti linee guida, i
riferimenti agli «Stati membri»
sono da intendersi come riferi-
menti agli «Stati membri del SEE».
[2] CGUE, causa C 131/12, Goo -
gle Spain SL e Google Inc. contro
Agencia Española de Protección
de Datos (AEPD) e Mario Costeja
González, sentenza del 13 mag-
gio 2014.
[3] Inclusi gli archivi web come
archive.org
[4] https://transparencyreport.
google.com/eu-privacy/over -
view?hl=it
[5] CGUE, causa C 131/12, sen-
tenza del 13 maggio 2014, pun -
to 88: «gli articoli 12, lettera b), e
14, primo comma, lettera a), della
direttiva 95/46 devono essere in-
terpretati nel senso che, al fine di
rispettare i diritti previsti da tali di-
sposizioni, e sempre che le condi-
zioni da queste fissate siano effet-
tivamente soddisfatte, il gestore di
un motore di ricerca è obbligato
a sopprimere, dall’elenco di risul-
tati che appare a seguito di una
ricerca effettuata a partire dal
nome di una persona, dei link ver-
so pagine web pubblicate da terzi
e contenenti informazioni relative
a questa persona, anche nel caso
in cui tale nome o tali informa-
zioni non vengano previamente o simultaneamente cancellati dalle
pagine web di cui trattasi, e ciò
eventualmente anche quando la
loro pubblicazione su tali pagine
web sia di per sé lecita».
[6] CGUE, causa C-131/12, sen-
tenza del 13 maggio 2014; Cor-
te europea dei diritti dell’uomo
(Corte EDU), «M.L. e W.W. contro
Germania», 28 giugno 2018.
[7] Regolamento 2016/679 (RGPD),
articolo 17, paragrafo 2: «Il tito -
lare del trattamento, se ha reso
pubblici .... ......... .. è ..-
bligato, ai sensi del paragrafo 1,
a cancellarli, tenendo conto della
tecnologia disponibile e dei costi
di attuazione adotta le misure ra-
gionevoli, anche tecniche, per in-
formare i titolari del ...........
che stanno trattando i dati perso-
nali della richiesta dell’interessato
di cancellare qualsiasi link, copia
o riproduzione dei suoi dati per-
sonali.»
[8] Cfr. CGUE, causa C 136/17,
GC e altri contro CNIL, sentenza
del 24 settembre 2019, punto 35
e causa C-131/12, sentenza del
13 maggio 2014, punto 41.
[9] Gruppo dell’articolo 29, Gui -
delines on the implementation
of the Court of Justice of the
European Union judgment on
«Google Spain and Inc v. Agen-
cia Española de Protección de
Datos (AEPD) and Mario Costeja
González» [Linee guida relative
all’esecuzione della sentenza
della Corte di giustizia dell’Unio -
ne europea nella causa «Goo -
gle Spain et Inc. contro Agencia
Española de Protección de Da-
tos (AEPD) e Mario Costeja Gon -
zález»], C-131/12, WP 225, 26
novembre 2014, pag. 23.
[10] CGUE, causa C-136/17,
Commission nationale de l’in-
formatique et des libertés (CNIL)
contro Google LLC, sentenza del
24 settembre 2019.
[11] Direttiva 95/46/CE, articolo
14: «Gli Stati membri riconoscono
alla persona interessata il diritto: a) almeno nei casi di cui all’ar-
ticolo 7, lettere e) e f), di opporsi
in qualsiasi momento, per motivi
preminenti e legittimi, derivanti
dalla sua situazione particolare,
al ........... .. .... ... .. ..-
guardano, salvo disposizione con-
traria prevista dalla normativa
nazionale. In caso di opposizione
giustificata il ........... .....-
tuato dal ............ ... ..ò
più riguardare tali dati ».
[12] In particolare, l’articolo 1, pa-
ragrafo 1, lettera b), della direttiva
(UE) 2015/1535 del Parlamento
europeo e del Consiglio, del 9
settembre 2015, che prevede
una procedura d’informazione
nel settore delle regolamentazio-
ni tecniche e delle regole relative
ai servizi della società dell’infor-
mazione (codificazione).
[13] CGUE, C-131/12, sentenza
del 13 maggio 2014, punto 81;
CGUE, C-136/17, sentenza del
24 settembre 2019, punto 66.
[14] CGUE, causa C-131/12, sen-
tenza del 13 maggio 2014, punto
99; CGUE, causa C-136/17, sen-
tenza del 24 settembre 2019,
punto 53.
[15] CGUE, causa C-136/17, sen-
tenza del 24 settembre 2019,
punto 56 e seguenti
[16] CGUE, causa C-136/17, sen-
tenza del 24 settembre 2019,
punto 57.
[17] CGUE, causa C-136/17, sen-
tenza del 24 settembre 2019,
punto 59.
[18] CGUE, causa C-136/17, sen-
tenza del 24 settembre 2019,
punto 69.
[19] RGPD, articolo 6, paragra -
fo 3: «La base su cui si fonda il
trattamento dei dati di cui al pa-
ragrafo 1, lettere c) ed e), deve
essere stabilita:
a) dal diritto dell’Unione; o
b) dal diritto dello Stato membro
cui è soggetto il ........ ... .... -
tamento (...)».
Linee guida 5/2019 sui criteri per l’esercizio del diritto all’oblio nel caso dei motori di ricerca, ai sensi del RGPD (parte 1) - Versione 2.0
34
Linee guida 5/2020
sul ........ .. ..... ... ........... (..)
2016/679 - Versione 1.1
Adottate il 4 maggio 2020
Torna a Indice | Premessa
I diritti degli interessati
Garante per la protezione dei dati personali
35
Cronologia delle versioni
Versione 1.113 maggio 2020Correzioni di formattazione
Versione 1.0 4 maggio 2020Adozione delle linee guida
Linee guida 5/2020 sul ........ .. ..... ... ........... (..) ..../... - ........ ...
36
Indice
0. Prefazione
1. Introduzione
2. ........ .. ... ...’........ ., ..... .., ... ........... ........ ..... ...-
tezione dei dati
3. Elementi del ........ ......
3.1 ........ ....../.............. .. ......à ......
3.1.1 Squilibrio di potere
3.1.2 Condizionalità
3.1.3 Granularità
3.1.4 Pregiudizio
3.2 Specifico
3.3 Informato
3.3.1 Requisiti min imi di contenuto del ........ “.........”
3.3.2 Come fornire le informazioni
3.4 Manifestazione di volontà inequivocabile
4. Ottenimento del ........ .........
5. Condizioni aggiuntive per l’ottenimento di un ........ ......
5.1 Dimostrazione del consenso
5.2 ...... ... ........
6. Interazione tra il ........ . ..... .... ......... .. ... ...’........ . ... .... -
lamento generale sulla protezione dati
7. Settori specifici di interesse nel regolamento generale sulla protezione dei dati
7.1 ...... (........ .)
7.1.1 Servizio della società dell’informazione
7.1.2 Forniti direttamente a un min ore
7.1.3 Età
7.1.4 ........ ... ... ... . .............à ...........
7.2 Ricerca scientifica
7.3 Diritti dell’interessato
8 ........ ........ . ..... ..... ......... ../../..
I diritti degli interessati
Garante per la protezione dei dati personali
37
IL COMITATO EUROPEO PER LA PROTEZIONE DEI DATI
visto l’articolo 70, paragrafo 1, lettera e), del regolamento (UE) 2016/679 del Par -
lamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle
persone fisiche con riguardo al ........... ... .... ........., .....é .... ......
circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale
sulla protezione dei dati),
visto l’accordo sullo Spazio economico europeo (SEE), in particolare l’allegato XI
e il protocollo 37, modificati dalla decisione del comitato misto SEE n. 154/2018
del 6 luglio 2018
1,
viste le linee guida sul ........ .. ..... ... ........... (..) ..../... ........
dal Gruppo di lavoro Articolo 29 (WP259 rev.01),
HA ADOTTATO LE SEGUENTI LINEE GUIDA:
Linee guida 5/2020 sul ........ .. ..... ... ........... (..) ..../... - ........ ...
38
0. PREFAZIONE
Il 10 aprile 2018 il Gruppo di lavoro Articolo 29 ha adottato le linee guida sul
consenso ai sensi del regolamento (UE) 2016/679 (WP259.01), che il Comitato
europeo per la protezione dei dati (“Comitato”) ha approvato nel corso della sua
prima riunione plenaria. Il presente documento è una versione leggermente ag-
giornata di tali linee guida. Qualsiasi riferimento alle linee guida sul ........
elaborate dal Gruppo di lavoro Articolo 29 (WP259 rev.01) dovrebbe d’ora in poi
essere inteso come riferimento alle presenti linee guida.
Il Comitato ha rilevato la necessità di ulteriori chiarimenti, in particolare per
quanto riguarda due aspetti:
1 la validità del ........ ........ ....’........... ....’.......... ... . .....-
detti “cookie walls”;
2 l’esempio 16 sullo scorrimento (“scrolling”) e il consenso.
I punti relativi a questi due aspetti sono stati rivisti e aggiornati, mentre il resto
del documento è rimasto invariato, fatta eccezione per alcune modifiche reda-
zionali. La revisione riguarda più specificamente:
• la sezione relativa alla Condizionalità (punti 38 - 41);
• la sezione relativa alla Manifestazione di volontà inequivocabile (punto 86).
1. INTRODUZIONE
1. Le presenti linee guida forniscono un’analisi approfondita della nozione di
consenso di cui al regolamento (UE) 2016/679 (“regolamento generale sulla
protezione dei dati” o “regolamento”). Il concetto di ........ .. ... .... ..-
rettiva sulla protezione dei dati (direttiva 95/46/CE) e alla direttiva relativa
alla vita privata e alle comunicazioni elettroniche (direttiva 2002/58/CE) si
è evoluto. Il regolamento generale sulla protezione dei dati fornisce ulteriori
chiarimenti e specifiche sui requisiti per ottenere e dimostrare un ........
valido. Prendendo le mosse dal parere 15/2011 del Gruppo di lavoro Artico -
lo 29 sul consenso, le presenti linee guida si concentrano sui cambiamenti
introdotti, fornendo orientamenti pratici per garantire il rispetto del regola-
mento. Il ........ ... ........... è ...... . ........ ... ....... .........
che siano conformi ai requisiti di legge e sostengano meglio la protezione dei
dati personali e gli interessi degli interessati.
2. Il ........ ...... ... ..... ... .... ......... ... ........ . .... .......-
li, come disposto dall’articolo 6 del regolamento
2. Prima di avviare attività
che implicano il ........... .. .... ........., .. ........ ... ........... ....
sempre valutare con attenzione la base legittima appropriata per il tratta-
mento.
3. Di norma il ........ ..ò .......... .. .... ......... ........... .... ..
all’interessato vengono offerti il controllo e l’effettiva possibilità di scegliere
se accettare i termini proposti o rifiutarli senza subire pregiudizio. Quando
richiede il consenso, il ........ ... ........... .... ........ .. ...... ...-
I diritti degli interessati
Garante per la protezione dei dati personali
39
disferà tutti i requisiti per essere valido. Se ottenuto nel pieno rispetto del
regolamento, il ........ è ... ......... ... ........ ...’........... .. ...-
trollo sul ........... ... .... ......... ... .. ........... .. .... .........,
il controllo diventa illusorio e il ........ ... .........à ... .... ...... ...
il trattamento, rendendo illecita l’attività di trattamento
3.
4. Ove coerenti con il nuovo quadro giuridico, i pareri che il Gruppo di lavoro
Articolo 29 ha formulato in materia di consenso
4 rimangono pertinenti, in
quanto il regolamento generale sulla protezione dei dati codifica gli orienta-
menti e le buone prassi generali del Gruppo di lavoro Articolo 29 e lascia im-
mutata la maggior parte degli aspetti essenziali del consenso. Di conseguen-
za, il presente documento del Comitato amplia e integra precedenti pareri
del Gruppo di lavoro Articolo 29 su argomenti specifici che fanno riferimen-
to al ........ .. ..... ..... ......... ../../.., ..... ............
5. Come affermato dal Gruppo di lavoro Articolo 29 nel parere 15/2011 sulla
definizione di consenso, l’invito ad accettare il ........... ... .... ........
essere soggetto a criteri rigorosi, poiché sono in gioco i diritti fondamentali
dell’interessato e il ........ ... ........... ....... ........ .. ...........
che senza il ........ ....... ........
5. Il ruolo cruciale del ........ è ... -
tolineato dagli articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione
europea. Inoltre, l’ottenimento del ........ ... .. ..... .... .é .......-
sce in alcun modo l’obbligo del ........ ... ........... .. .......... . ........
applicabili al ........... ....... ... ........... ........ ..... ..........
dei dati, in particolare all’articolo 5, per quanto concerne la correttezza, la
necessità e la proporzionalità, nonché la qualità dei dati. Il fatto che il tratta-
mento dei .... ......... .. .... ... ........ ....’........... ... .........
la raccolta di dati non necessari a una finalità specifica di trattamento, che
sarebbe fondamentalmente iniqua
6.
6. Parallelamente, il Comitato è a conoscenza della revisione della direttiva re -
lativa alla vita privata e alle comunicazioni elettroniche. La nozione di con-
senso nel progetto di regolamento sulla vita privata e le comunicazioni elet -
troniche rimane legata a quella del regolamento generale sulla protezione
dei dati
7. È probabile che ai sensi del futuro strumento le organizzazioni ne -
cessitino del ........ ... .. ....... ..... ... ........ .. ......... ....-
ne, per le chiamate di marketing e per i metodi di tracciamento online, com-
preso tramite l’uso di cookie, applicazioni o altri software. Il Comitato ha già
fornito raccomandazioni e orientamenti al legislatore europeo in merito alla
proposta di regolamento sulla vita privata e le comunicazioni elettroniche
8.
7. Per quanto riguarda l’attuale direttiva relativa alla vita privata e alle comuni-
cazioni elettroniche, il Comitato rileva che i riferimenti alla direttiva 95/46/
CE abrogata si intendono fatti al regolamento generale sulla protezione dei
dati
9. Ciò vale anche per i riferimenti riguardanti il consenso, poiché il rego -
lamento sulla vita privata e le comunicazioni elettroniche non sarà (ancora)
entrato in vigore il 25 maggio 2018. Ai sensi dell’articolo 95 del regolamento
generale sulla protezione dei dati, non sono imposti obblighi supplementari
in relazione al ........... ... ...... ..... ......... .. ....... .. ........-
zione elettronica accessibili al pubblico su reti pubbliche di comunicazione,
Linee guida 5/2020 sul ........ .. ..... ... ........... (..) ..../... - ........ ...
40
nella misura in cui la direttiva relativa alla vita privata e alle comunicazioni
elettroniche impone obblighi specifici aventi il medesimo obiettivo. Il Comi-
tato rileva che i requisiti per il ........ .. ..... ... ........... ........
sulla protezione dei dati non sono considerati un “obbligo supplementare”,
bensì condizioni preliminari per la liceità del trattamento. Pertanto, tali re -
quisiti sono applicabili alle situazioni che rientrano nel campo di applicazio -
ne della direttiva relativa alla vita privata e alle comunicazioni elettroniche.
2. ........ .. ... ...’........ ., ..... .., ... ........... .. -
NERALE SULLA PROTEZIONE DEI DATI
8. L’articolo 4, punto 11, del regolamento generale sulla protezione dei dati de -
finisce il ........ ....’........... ....: “......... .............. .. ......à
libera, specifica, informata e inequivocabile dell’interessato, con la quale lo stesso
manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabi-
le, che i .... ......... ... .. .......... ..... ....... .. ...........”.
9. La nozione di ........ ...... ............... ...... . ...... ..... ..... -
tiva 95/46/CE, e il ........ ...... ... ... ........... ... .. ...........
dei dati personali, ai sensi dell’articolo 6 del regolamento generale sulla pro -
tezione dei dati
10. Oltre alla definizione modificata di cui all’articolo 4, punto
11, il regolamento fornisce ulteriori indicazioni, all’articolo 7 e ai conside -
rando 32, 33, 42 e 43, su come il ........ ... ........... .... ..... ... ..-
spettare gli elementi principali del requisito del consenso.
10. L’inclusione, nel regolamento, di disposizioni e considerando specifici sulla
revoca del ........ ........ ... .....’...... ........ ...... ... ....-
sione reversibile e che l’interessato mantiene un certo grado di controllo.
3. ELEMENTI DEL ........ ......
11. L’articolo 4, punto 11, del regolamento generale sulla protezione dei dati sta-
bilisce che il ........ ....’........... è .........:
• manifestazione di volontà libera,
• specifica,
• informata e
• inequivocabile dell’interessato, con la quale lo stesso manifesta il proprio as -
senso, mediante dichiarazione o azione positiva inequivocabile, che i dati
personali che lo riguardano siano oggetto di trattamento.
12. Le sezioni che seguono analizzano la misura in cui la formulazione dell’ar -
ticolo 4, punto 11, richiede al ........ ... ........... .. .......... .. ...
richieste/i suoi moduli di ........ .......é ..... ........ .. ...........
generale sulla protezione dei dati
11.
I diritti degli interessati
Garante per la protezione dei dati personali
41
3.1 ........ ....../.............. .. ......À ...... ..
13. L’elemento della manifestazione di volontà “libera” implica che l’interessato
abbia una scelta effettiva e il controllo sui propri dati. Come regola generale,
il regolamento stabilisce che se l’interessato non dispone di una scelta effet -
tiva o si sente obbligato ad acconsentire oppure subirà conseguenze negative
se non acconsente, il ........ ... ...à ......
13. Se il ........ è .. ......-
to non negoziabile delle condizioni generali di contratto/servizio, si presume
che non sia stato prestato liberamente. Di conseguenza, il ........ ... ...à
considerato libero se l’interessato non può rifiutarlo o revocarlo senza subire
pregiudizio
14. Il regolamento generale sulla protezione dei dati ha preso in
considerazione anche la nozione di squilibrio tra ........ ... ........... .
interessato.
14. Nel valutare se il ........ ... ..... ........ ..........., .. .... ..... .. -
ner conto dell’eventualità che il ........ ... ......... ...’.......... .. ..
contratto o alla prestazione di un servizio come descritto all’articolo 7, pa-
ragrafo 4. L’articolo 7, paragrafo 4, contenendo l’inciso “tra le altre”, non è
esaustivo e può quindi comprendere altre eventualità. In termini generali,
qualsiasi azione di pressione o influenza inappropriata sull’interessato (che
si può manifestare in vari modi) che impedisca a quest’ultimo di esercitare il
suo libero arbitrio, rende il ........ .........
15. Esempio 1: Un’applicazione mobile per il fotoritocco chiede agli utenti
di attivare la localizzazione GPS per l’utilizzo dei suoi servizi. L’appli-
cazione comunica agli utenti che utilizzerà i dati raccolti per finalità di
pubblicità comportamentale. Né la geolocalizzazione né la .........à
comportamentale online sono necessarie per la prestazione del servizio
di fotoritocco e vanno oltre la fornitura del servizio principale. Poiché
gli utenti non possono utilizzare l’applicazione senza acconsentire a tali
finalità, il ........ ... ..ò ...... ........... ........... .........
3.1.1. SQUILIBRIO DI POTERE
16. Il considerando 43
15 indica chiaramente che è improbabile che le autorità
pubbliche possano basarsi sul ........ ... .......... .. ..........., .....é
quando il ........ ... ........... è ..’.......à ........ ........ ...... ..
evidente squilibrio di potere nella relazione tra il ........ ... ........... .
l’interessato. In molti di questi casi è inoltre evidente che l’interessato non
dispone di alternative realistiche all’accettazione (dei termini) del trattamen-
to. Il Comitato ritiene che esistano altre basi legittime, in linea di principio
più appropriate, per il ........... .. ..... ..... .......à .........
16.
17. Fatte salve queste considerazioni generali, il regolamento non esclude com-
pletamente il ricorso al ........ .... .... ......... ... .. ........... ...
dati da parte delle autorità pubbliche. I seguenti esempi mostrano infatti che
l’uso del ........ ..ò ...... ........... .. ........... ............
Linee guida 5/2020 sul ........ .. ..... ... ........... (..) ..../... - ........ ...
42
18. Esempio 2: Un comune sta pianificando l’esecuzione di lavori di manu-
tenzione stradale. Poiché i lavori possono perturbare il traffico per pa-
recchio tempo, il comune offre ai cittadini la possibilità di iscriversi a
una mailing list per ricevere aggiornamenti sull’avanzamento dei lavori
e sui ritardi previsti. Il comune chiarisce che la partecipazione non è
obbligatoria e chiede il ........ . .......... ... ......... .. ..... .... -
tronica per questa finalità (esclusiva). I cittadini che non acconsentono
non perderanno l’accesso ad alcun servizio fondamentale del comune
né alcun diritto, di conseguenza possono esprimere o rifiutare libera-
mente il loro ........ . ...... ... ... ..... ..... .. ............ ...
lavori stradali saranno disponibili anche sul sito web del comune.
19. Esempio 3: Un proprietario terriero necessita di alcuni ........ .....
dal comune quanto dalla provincia. Entrambi gli enti pubblici richiedo -
no le stesse informazioni per il rilascio dei permessi, ma non hanno ac -
cesso alle rispettive banche dati. Di conseguenza entrambi chiedono le
stesse informazioni e il proprietario terriero invia i dati ad entrambi. Il
comune e la provincia chiedono il ........ ....’........... ... .......
i fascicoli al fine di evitare duplicazioni di procedure e corrispondenza.
Entrambi gli enti pubblici assicurano che ciò è facoltativo e che le ri-
chieste di permesso verranno comunque trattate separatamente qualo -
ra l’interessato decida di non acconsentire alla riunione dei fascicoli. Il
proprietario terriero può quindi esprimere liberamente il ........ ....
autorità per la finalità di riunione dei fascicoli.
20. Esempio 4: Una scuola pubblica chiede agli studenti il ........ .. ...-
lizzare le loro fotografie in una rivista studentesca in formato cartaceo.
In questo caso il ........ ........... ... ...... .... . ....... . .....-
zione che agli studenti non vengano negati l’istruzione o altri servizi e
che gli studenti possano rifiutare il ........ ..... ...... ...........
17.
21. Lo squilibrio di potere sussiste anche nel contesto dell’occupazione
18. Data
la dipendenza risultante dal rapporto datore di lavoro/dipendente, è impro -
babile che l’interessato sia in grado di negare al datore di lavoro il consen-
so al ........... ... .... ..... ...... . ......... .. ...... .............
negative come conseguenza del rifiuto. È improbabile che il dipendente sia
in grado di rispondere liberamente, senza percepire pressioni, alla richiesta
del datore di lavoro di acconsentire, ad esempio, all’attivazione di sistemi di
monitoraggio, quali la sorveglianza con telecamere sul posto di lavoro, o alla
compilazione di moduli di valutazione
19. Di conseguenza il Comitato ritiene
problematico per il datore di lavoro trattare i .... ......... ... ..........
attuali o futuri sulla base del consenso, in quanto è improbabile che questo
venga prestato liberamente. Per la maggior parte delle attività di ...........
svolte sul posto di lavoro, la base legittima non può e non dovrebbe essere il
I diritti degli interessati
Garante per la protezione dei dati personali
43
consenso del dipendente (articolo 6, paragrafo 1, lettera a)) in considerazio-
ne della natura del rapporto tra datore di lavoro e dipendente 20.
22. Tuttavia, ciò non significa che il datore di lavoro non possa mai basarsi sul
consenso come base legittima per il trattamento. In alcune situazioni il da-
tore di lavoro è in grado di dimostrare che il ........ è ..... ..............
espresso liberamente. Dato lo squilibrio di potere tra il datore di lavoro e il
suo personale, i dipendenti possono manifestare il loro ........ .........-
te soltanto in casi eccezionali, quando non subiranno alcuna ripercussione
negativa per il fatto che esprimano il loro ........ . ....
21.
23. Esempio 5: Una troupe cinematografica filmerà una determinata area
di un ufficio. Il datore di lavoro chiede a tutti i dipendenti che hanno la
scrivania in quella zona il ........ . ...... ......., .. ...... ...... -
bero apparire sullo sfondo del video. Chi non vuole essere filmato non
viene penalizzato in alcun modo e ottiene invece una scrivania altrove
nell’edificio per l’intera ...... ..... ........
24. Gli squilibri di potere non sono limitati alle autorità pubbliche e ai datori di
lavoro, potendo verificarsi anche in altre situazioni. Come evidenziato dal
Comitato in diversi pareri, il ........ è ...... ........ .. .’........... è ..
grado di operare realmente una scelta e non c’è il rischio di raggiri, intimida-
zioni, coercizioni o conseguenze negative significative (ad es. costi aggiuntivi
sostanziali) in caso di rifiuto a prestare il consenso. Il ........ ... ...à ...-
siderato liberamente espresso qualora vi sia qualsiasi elemento di costrizio -
ne, pressione o incapacità di esercitare il libero arbitrio.
3.1.2 CONDIZIONALITÀ
25. Per valutare se il ........ ... ..... ........ ........... è .. ....... .’........
7, paragrafo 4, del regolamento
22.
26. L’articolo 7, paragrafo 4, indica, tra l’altro, che è altamente inopportuno “ac -
Testo del 2023-05-21 Fonte: GPDP
Demo Altre chiavi solo per gli iscritti
Link: https://www.gpdp.it/documents/10160/0/Applicare+il
Commenta
i commenti sono anonimi e inviati via mail e cancellati dopo aver migliorato la voce alla quale si riferiscono: non sono archiviati; comunque non lasciare dati particolari. Si applica la privacy policy.