Il diritto all’oblio consente di ottenere la cancellazione dei dati personali quando ricorre uno dei presupposti dell’articolo 17 GDPR e il trattamento non rimane necessario per una delle eccezioni previste dalla stessa disposizione. La richiesta richiede una decisione concreta: quali dati eliminare, quali eventualmente conservare, per quale ragione e con quali limiti d’uso. Cancellare un account, interrompere una newsletter e rimuovere un risultato da un motore di ricerca sono operazioni diverse.
Per il titolare, il primo obiettivo è rispondere senza ingiustificato ritardo e comunque entro un mese dalla ricezione, applicando correttamente le eventuali proroghe. Per la persona, è utile individuare il soggetto che decide il trattamento e precisare il risultato desiderato. Questa guida distingue le condizioni del diritto, la procedura italiana di deindicizzazione e le verifiche che rendono effettiva una cancellazione.
I sei presupposti dell’articolo 17
Il primo caso riguarda dati non più necessari rispetto alle finalità per cui sono stati raccolti o successivamente trattati. Una candidatura chiusa, un account disattivato o una promozione terminata richiedono un’analisi delle finalità residue: l’assenza di uso quotidiano è un segnale, mentre l’esistenza di un obbligo documentale può giustificare la conservazione di una parte del fascicolo. La limitazione della conservazione opera anche senza una richiesta dell’interessato.
Il secondo caso è la revoca del consenso, quando il trattamento si fondava sull’articolo 6, paragrafo 1, lettera a), oppure sull’articolo 9, paragrafo 2, lettera a), e non esiste un altro fondamento giuridico applicabile. Questo non permette di cambiare retroattivamente base giuridica per eludere la revoca. Occorre distinguere, per esempio, il consenso a ricevere pubblicità dall’obbligo di conservare una fattura: hanno finalità e presupposti differenti.
Il terzo caso comprende due situazioni. Nell’opposizione ai sensi dell’articolo 21, paragrafo 1, la cancellazione segue quando non prevalgono motivi legittimi per proseguire il trattamento. Nell’opposizione al marketing diretto prevista dal paragrafo 2, non si svolge quel bilanciamento per continuare la pubblicità: i dati non devono più essere trattati per tale finalità. La guida sull’opposizione al marketing approfondisce la distinzione, compresa la profilazione connessa.
Il quarto presupposto è il trattamento illecito. Il quinto riguarda la cancellazione necessaria per adempiere un obbligo previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare. Il sesto riguarda dati raccolti relativamente all’offerta di servizi della società dell’informazione di cui all’articolo 8, paragrafo 1. Quest’ultima disposizione non equivale a un diritto automatico di cancellare ogni documento che riguardi un minore: richiama quello specifico contesto di servizi e consenso.
La valutazione va condotta sui dati e sulle finalità effettive. Un modulo che chiede soltanto di selezionare «consenso revocato» oppure «nessun consenso» rischia di perdere gli altri presupposti. La persona non deve conoscere il numero dell’articolo corretto perché il titolare comprenda una richiesta chiaramente espressa. Una domanda ambigua può essere chiarita con un contatto proporzionato, evitando di trasformare il chiarimento in un ostacolo.
Le eccezioni richiedono necessità e limiti
L’articolo 17, paragrafo 3, esclude gli obblighi dei paragrafi 1 e 2 nella misura in cui il trattamento rimane necessario per le finalità indicate. Non basta assegnare al database un’etichetta generica, come «archivio storico» o «contenzioso». Il titolare deve collegare l’eccezione a dati determinati e spiegare perché non può soddisfare integralmente la richiesta.
La libertà di espressione e informazione richiede un bilanciamento concreto, particolarmente importante per archivi giornalistici e pubblicazioni di interesse pubblico. Anche il tempo trascorso, il ruolo della persona, l’esattezza delle informazioni e l’interesse attuale possono incidere. La semplice presenza online di un articolo non dimostra né l’obbligo di cancellarlo né un diritto illimitato a renderlo reperibile attraverso ogni ricerca nominativa.
L’obbligo legale riguarda il diritto dell’Unione o dello Stato membro applicabile al titolare. La medesima lettera comprende il compito svolto nel pubblico interesse o nell’esercizio di pubblici poteri attribuiti al titolare. In azienda, la conservazione delle scritture contabili è un caso ricorrente: l’articolo 2220 del codice civile prevede dieci anni dalla data dell’ultima registrazione. Occorre verificare la categoria documentale e le ulteriori esigenze tributarie applicabili, senza estendere quel termine all’intero profilo commerciale del cliente.
L’eccezione sanitaria non copre qualunque attività che coinvolga dati di salute. Il regolamento richiama motivi di interesse pubblico nel settore della sanità pubblica conformemente all’articolo 9, paragrafo 2, lettere h) e i), e al paragrafo 3. Analogamente, archiviazione nel pubblico interesse, ricerca scientifica o storica e statistica richiedono le garanzie dell’articolo 89, paragrafo 1, e che la cancellazione rischi di rendere impossibile o compromettere gravemente gli obiettivi di quel trattamento.
Infine, possono essere conservati dati necessari per accertare, esercitare o difendere un diritto in sede giudiziaria. La possibilità astratta che qualunque cliente possa un giorno fare causa non giustifica la conservazione indiscriminata. È preferibile identificare il diritto, la documentazione pertinente, il termine applicabile e il responsabile del riesame. La tabella dei tempi di conservazione aiuta a separare queste categorie e i rispettivi eventi iniziali.
Un’accoglienza parziale è spesso la risposta corretta. Si possono eliminare preferenze commerciali, copie superflue e dati di profilazione, conservando la fattura in un archivio limitato alla finalità documentale. La conservazione residua non autorizza a continuare a inviare offerte o a riutilizzare il fascicolo per nuovi scopi incompatibili.
Un mese per la risposta: come gestire il procedimento
Registrate la data di ricezione e il canale attraverso cui la domanda è arrivata. Il diritto può essere esercitato anche senza il modulo aziendale: il modulo serve a facilitare, non a restringere l’esercizio. Assegnate un referente che coordini le ricerche e una scadenza interna sufficientemente anticipata per raccogliere le conferme dei fornitori.
Verificate l’identità con mezzi adeguati al rischio. Se sussistono ragionevoli dubbi, l’articolo 12, paragrafo 6, consente di chiedere informazioni ulteriori necessarie a confermare l’identità. La copia integrale di un documento non è la risposta automatica per qualunque richiesta proveniente da un account già autenticato. Evitate anche di cancellare dati sulla base di una richiesta fraudolenta: proporzionalità significa valutare entrambe le conseguenze.
La risposta sulle azioni intraprese deve arrivare senza ingiustificato ritardo e al più tardi entro un mese. L’articolo 12, paragrafo 3, ammette una proroga di due ulteriori mesi se necessaria, considerando complessità e numero delle richieste. Entro il primo mese bisogna comunicare la proroga e le ragioni. Una casella sovraccarica o un fornitore che non risponde non costituiscono, da soli, una formula sufficiente a giustificare sistematicamente il rinvio.
Se non si dà seguito alla richiesta, l’articolo 12, paragrafo 4, impone di comunicare senza ritardo, e comunque entro un mese, i motivi e la possibilità di proporre reclamo all’autorità di controllo e ricorso giurisdizionale. Il rifiuto non può essere lasciato senza risposta perché l’organizzazione ritiene che la domanda sia infondata. Anche per richieste manifestamente infondate o eccessive, le condizioni dell’articolo 12, paragrafo 5, devono essere dimostrate dal titolare.
Una risposta utile separa ciò che è stato cancellato da ciò che rimane. Verificate anche la coerenza con i periodi o criteri comunicati nell’informativa privacy, correggendo eventuali descrizioni ormai superate. Per i dati conservati indicate la finalità residua, la ragione giuridica e il periodo o criterio applicabile, senza ricopiare informazioni personali non necessarie. Un modello di riscontro all’accesso può suggerire una struttura comunicativa; contenuto ed esito devono però essere adattati al diritto alla cancellazione.
Individuare i dati e verificare l’esecuzione
Partite dagli identificativi effettivamente utilizzati: account, indirizzi precedenti, riferimenti di pratica e identificativi nei sistemi collegati. Il registro dei trattamenti aiuta a individuare attività e destinatari; non sostituisce la ricerca tecnica nei sistemi. Le copie possono trovarsi in CRM, assistenza, cartelle condivise, esportazioni, piattaforme di invio e ambienti di sviluppo.
La cancellazione di una riga dal sistema principale non dimostra che l’intero trattamento sia cessato. Verificate gli allegati e i sistemi alimentati mediante importazioni periodiche. In un esempio ipotetico, un cliente viene eliminato dal CRM ma ricompare il giorno seguente perché una sincronizzazione rilegge un vecchio archivio. La correzione richiede anche la modifica della sorgente o della regola di sincronizzazione.
I responsabili devono assistere il titolare nell’adempimento dei diritti, tenendo conto della natura del trattamento, mediante misure tecniche e organizzative adeguate e nella misura in cui ciò sia possibile. La disciplina dell’articolo 28 va tradotta in istruzioni, interlocutori e prove dell’esecuzione. Se un destinatario agisce come titolare autonomo, non si può trattarlo semplicemente come un fornitore subordinato: bisogna applicare gli obblighi di comunicazione pertinenti e chiarire le rispettive responsabilità.
Per i backup, definite come la richiesta viene applicata alle copie, come sono limitati gli accessi e come si evita la reintroduzione di dati cancellati dopo un ripristino. La rotazione documentata delle copie non è una deroga generale al diritto né una giustificazione per conservarle indefinitamente. Quando la cancellazione selettiva incontra limiti tecnici, la soluzione deve essere valutata concretamente e accompagnata da misure effettive. La verifica dopo il ripristino dei backup aiuta a controllare questo passaggio.
Non confondete anonimizzazione e semplice rimozione del nome. Se una combinazione di elementi o un identificativo consente ancora di ricondurre il record a una persona, la trasformazione potrebbe essere soltanto pseudonimizzazione. Per conservare risultati statistici dopo la cancellazione dei dati individuali serve una valutazione dell’effettiva non identificabilità, non una dichiarazione inserita nella procedura.
Conservate una prova proporzionata della gestione: ricezione, valutazione, attività eseguite, eccezioni e risposta. Non è necessario ricostituire nel registro delle richieste una copia completa di tutto ciò che è stato cancellato. Limitate accessi e durata di questa documentazione alla sua finalità di dimostrazione e gestione delle contestazioni.
Articolo 19 e dati pubblicati: due comunicazioni diverse
L’articolo 19 riguarda i destinatari cui erano stati comunicati i dati. Il titolare comunica la cancellazione effettuata ai sensi dell’articolo 17, paragrafo 1, a ciascuno di essi, salvo impossibilità o sforzo sproporzionato. Se l’interessato lo chiede, il titolare lo informa di tali destinatari. La disposizione riguarda anche rettifica e limitazione: non va ridotta a un avviso ai soli responsabili del trattamento.
L’articolo 17, paragrafo 2, riguarda invece il titolare che ha reso pubblici i dati ed è obbligato a cancellarli. Tenendo conto della tecnologia disponibile e dei costi, deve adottare misure ragionevoli, anche tecniche, per informare gli altri titolari che stanno trattando quei dati della richiesta di cancellare collegamenti, copie o riproduzioni. Non è una garanzia che ogni copia presente su Internet scompaia immediatamente.
Per esempio, eliminare un documento pubblicato sul proprio sito richiede anche di valutare le comunicazioni agli altri titolari interessati dalla diffusione. Registrate gli interventi effettivamente possibili e le risposte ricevute. Dire soltanto «abbiamo cancellato dal nostro server» può essere insufficiente; promettere la cancellazione universale di copie fuori controllo sarebbe altrettanto inesatto.
Deindicizzazione e procedura italiana dell’articolo 64-ter
La deindicizzazione agisce sulla reperibilità di un contenuto mediante il motore di ricerca. Non elimina necessariamente la pagina dell’editore o l’archivio che la conserva. Per questo è utile distinguere la richiesta al sito dalla richiesta al motore, individuando i risultati interessati, le ricerche nominative e le ragioni per cui la reperibilità dovrebbe cessare.
In Italia, l’articolo 64-ter delle disposizioni di attuazione del codice di procedura penale prevede una procedura specifica per la persona destinataria di una sentenza di proscioglimento o di non luogo a procedere, oppure di un provvedimento di archiviazione. Su richiesta dell’interessato, la cancelleria del giudice che ha emesso il provvedimento appone e sottoscrive l’annotazione prevista. La disciplina resta nei limiti dell’articolo 17 GDPR e lascia fermo l’articolo 52 del Codice privacy.
Le annotazioni rispondono a due situazioni. La prima preclude l’indicizzazione del provvedimento rispetto a ricerche effettuate a partire dal nome dell’istante. La seconda attesta che il provvedimento costituisce titolo per ottenere dai motori generalisti la sottrazione dall’indicizzazione di contenuti relativi al procedimento, sempre rispetto a ricerche nominative. Non si tratta di una cancellazione automatica di ogni notizia sul procedimento.
La nota del Ministero della giustizia del 7 settembre 2023 chiarisce il carattere su richiesta della procedura e i limiti del compito della cancelleria. Quest’ultima verifica la presenza dei titoli indicati dalla norma; non estende autonomamente la procedura a provvedimenti diversi attraverso interpretazioni analogiche. Per casi diversi rimangono da valutare i rimedi e il bilanciamento previsti dalla disciplina generale.
Coordinare gli altri diritti senza confonderli
Una richiesta di accesso può servire alla persona per capire quali dati esistono prima di decidere quali cancellare. La portabilità ha condizioni proprie e non determina automaticamente la cancellazione presso il primo titolare. Quando entrambe sono richieste, organizzate la sequenza in modo da non distruggere i dati prima di aver valutato il trasferimento domandato.
La limitazione prevista dall’articolo 18 può essere pertinente, per esempio, se la persona contesta l’esattezza oppure ha bisogno dei dati per un diritto in giudizio mentre il titolare non ne ha più necessità. Non è una soluzione generica per rinviare tutte le cancellazioni. Deve ricorrere uno dei presupposti previsti e l’uso successivo resta limitato dalle condizioni del regolamento.
Per newsletter e campagne, applicate la decisione anche ai messaggi già in coda e alle importazioni successive. La sincronizzazione della revoca tra CRM e invii affronta un rischio diverso dalla semplice eliminazione del profilo: una richiesta correttamente registrata può essere vanificata da una lista riutilizzata. Un eventuale elenco minimo di esclusione richiede finalità, base e durata proporzionate; non deve diventare un nuovo archivio commerciale.
La procedura funziona quando valutazione giuridica e attuazione tecnica arrivano allo stesso risultato. Un diniego deve essere motivato e tempestivo; un’accoglienza deve produrre effetti verificabili. Il riferimento normativo è il GDPR, in particolare gli articoli 12, 17, 18 e 19, integrato dalle regole italiane applicabili al documento o al procedimento concreto.