Capita spesso, anche sul nostro forum, che qualcuno chieda agli amministratori la cancellazione dei messaggi ("post") che aveva precedentemente inserito nelle varie discussioni. In alcune circostanze, la richiesta giunge contestualmente a quella di eliminare interamente l'account di accesso al forum stesso, ma non sempre è così. Il gestore del servizio è legalmente vincolato a procedere? Per fare chiarezza sugli obblighi legali che sussistono ho contattato il Garante per la protezione dei dati personali. Queste sono le risposte che ho ottenuto.
Nota: questo articolo è da considerarsi come una linea-guida e non sostituisce la consulenza di un avvocato qualificato.
Saltiamo alle conclusioni
L'utente ha il diritto di:
- ottenere la cancellazione totale del proprio account dal forum
- ottenere l'eliminazione di tutti i propri dati personali dal database
- ottenere la cancellazione dei propri dati personali da specifici post, da indicarsi puntualmente
L'amministratore è obbligato per legge ad esaudire ognuna di queste tre richieste (avanzate singolarmente o in modo collettivo).
Al contrario, il gestore può rifiutarsi di cancellare i messaggi di un utente che ne faccia richiesta (al più, appunto, deve eliminare dagli stessi i dati personali come da precedente punto 3). Tale diritto dovrebbe essere garantito a priori, ma gli amministratori più scrupolosi possono rafforzare la propria posizione pubblicando una dicitura simile alla seguente nella pagina di registrazione e sotto ad ogni area adibita all'inserimento di post:
Inserendo un messaggio, dichiari di aver letto e accettato il regolamento di partecipazione. Nello specifico, sei consapevole che ti stai assumendo personalmente la totale responsabilità delle tue affermazioni, anche in sede civile e/o penale, manlevando i gestori di questo sito da ogni coinvolgimento e/o pretesa di rivalsa. Dichiari inoltre di essere consapevole che il messaggio sarà visibile pubblicamente, accetti di diffonderlo con licenza CC BY-NC-SA 3.0 (con attribuzione a "TurboLab.it") e rinunci ad ogni forma di compensazione (economica o altro). Rinunci inoltre esplicitamente a qualsiasi pretesa di cancellazione del messaggio.
cancellazione dell'account: obbligatoria
La cancellazione dell'account e di tutti i dati personali associati (nome, cognome, indirizzo email eccetera) in seguito ad una richiesta del titolare dell'account stesso è obbligatoria. L'amministratore non può rifiutarsi di farlo.
Su questo vige infatti l'articolo 7 del Codice in materia di protezione dei dati personali, nel quale il legislatore prevede che l'utente abbia il diritto di ottenere "la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge, compresi quelli di cui non è necessaria la conservazione in relazione agli scopi per i quali i dati sono stati raccolti o successivamente trattati".
Il Garante mi ha confermato che, su questo, non c'è accordo preventivo che tenga. In altre parole: se anche al momento della registrazione l'utente ha accettato espressamente la clausola di non richiedere mai la cancellazione del proprio account, questa indicazione è priva di ogni valore.
Cancellazione dei post: facoltativa
Fino ad ora abbiamo parlato di cancellazione dell'account. Ma come rispondere alla richiesta di cancellazione di tutti o specifici post inseriti dall'utente? Qui la questione è ben diversa.
Sostanzialmente, non c'è nulla nel Codice in materia di protezione dei dati personali che tuteli un post generico inserito su di un forum. In caso detto messaggio contenga dati personali del richiedente le cose si complicano (v. paragrafo "Cancellazione dei dati personali dai post") ma, in caso dette informazioni non siano presenti (come avviene nella stragrande maggioranza dei casi) l'amministratore è libero di eliminare il/i post, se così desidera, ma non è strettamente tenuto a procedere.
Comprensibilmente, considerato che una pagina del forum è composta da post multipli e legati fino a comporre la discussione, l'amministratore della piattaforma tenderà a conservare i post di tutti per non danneggiare irreparabilmente la comprensibilità dell'argomento. Fortunatamente, conferma il Garante, non c'è alcun obbligo di legge contrario.
I gestori del servizio che volessero tutelarsi ulteriormente possono comunque rafforzare la propria posizione indicando specificatamente all'atto della registrazione (e, magari, in ogni pagina di inserimento post) che i messaggi saranno mostrati pubblicamente e che, procedendo, l'utente rinuncia a qualsiasi pretesa di cancellazione del messaggio stesso. È perfettamente accettabile.
Cancellazione dei post "per diritto d'autore": invalida
Gli utenti più perseveranti potrebbero millantare di detenere il "diritto d'autore" sui messaggi, e di voler far valere tale diritto per rimuovere i propri post dalla piattaforma. Tale affermazione, semplicemente, non trova riscontro nella dottrina.
Innanzitutto, è bene precisare che l'articolo 1 della Legge 22 aprile 1941 n. 633 (quella a tutela del copyright) specifica: "Sono protette ai sensi di questa legge le opere dell'ingegno di carattere creativo che appartengono alla letteratura, alla musica, alle arti figurative, all'architettura, al teatro ed alla cinematografia, qualunque ne sia il modo o la forma di espressione.". La maggior parte dei post non rasentano nemmeno lontanamente la definizione di "opere dell'ingegno di carattere creativo" e, di conseguenza, non è tutelata da alcun diritto d'autore.
Il secondo capoverso parla specificatamente di computer, ma anche qui non c'è nulla che si rivolga a semplici messaggi/post: la definizione è pensata per garantire agli aventi diritto la protezione dei propri software: "Sono altresì protetti i programmi per elaboratore come opere letterarie ai sensi della convenzione di Berna sulla protezione delle opere letterarie ed artistiche ratificata e resa esecutiva con legge 20 giugno 1978, n. 399, nonché le banche di dati che per la scelta o la disposizione del materiale costituiscono una creazione intellettuale dell'autore.".
Cancellazione dei dati personali dai post: agire puntualmente
Ho quindi chiesto al Garante quali siano i doveri del gestore relativamente ad eventuali dati personali immessi dall'utente all'interno del corpo dei post (questa circostanza è impossibile da gestire se non scorrendo e modificando i messaggi ad uno ad uno). In questo caso le cose sono meno nette.
L'indicazione di massima è che l'amministratore sia tenuto ad agire fino quando l'impegno richiesto sia "accettabile"... in altre parole: non è chiaro se vi sia un obbligo forte o meno, ma su richieste puntuali da parte dell'autore del messaggio ("elimina il mio nome dal quarto post di questa discussione") è buona norma procedere. Non è necessario eliminare l'intero messaggio, bene inteso, ma solamente gli specifici "dati personali" del richiedente. Tutto il resto può rimanere come sta.
Complicando ulteriormente le cose: cosa succede quando i dati personali del richiedente siano stati "duplicati" con un copia-incolla di altri oppure tramite la funzione "citazione" ("quote")? Comprensibilmente, qui si atterra in un ambito talmente specifico da risultare estraneo alla dottrina e più vicino all'interpretazione della stessa. L'incaricata del Garante mi ha spiegato che, probabilmente, il procedimento di ricerca ed eliminazione è (cito dalla telefonata ricevuta) "eccessivamente farraginoso" per poter essere imposto all'amministratore. Anche qui, la rimozione dei soli dati personali su segnalazione puntuale e specifica del'interessato dovrebbe essere sufficiente.
Occhio all'informativa!
In maniera tangenzialmente correlata a quanto appena esposto, il Garante mi ha ricordato l'importanza di redarre e pubblicare la cosiddetta Informativa sul trattamento dei dati personali (meglio nota con il nome internazionale di Privacy policy). Come noto, si tratta di un documento nel quale il sito indica, fra gli altri:
- il nome completo di un titolare/responsabile trattamento dati
- dove questi dati vengano trattati
- quali dati personali vengano raccolti durante la navigazione
- durata della conservazione dei dati
- modalità di trattamento
- finalità del trattamento
- diritti dell'utente relativamente ai suoi dati personali conservati dal sito
TurboLab.it pubblica, da sempre, queste informazioni direttamente sulla pagina di registrazione, ma per essere ancora più compliant abbiamo riportato le stesse informazioni anche ad una pagina dedicata. Nel nostro caso abbiamo ritenuto sufficiente attingere all'equivalente documento esposto sul sito ufficiale del Garante stesso, ma chi si trovasse a gestire portali professionali o pagine web aziendali vorrà, probabilmente, rivolgersi ad un professionista del settore.
