GDPR e dati dell’account. Quando si possono cancellare?

Per rispondere al meglio a queste domande è necessario prendere in considerazione la disciplina contenuta nel GDPR (Reg. Europeo 679/2016) e, in particolare, quanto previsto all’art. 17, secondo il quale un soggetto ha il diritto di ottenere, dal titolare del trattamento, la cancellazione dei dati personali che lo riguardano quando:

1. a) i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati;
2. b) l'interessato ha revocato il consenso su cui si basa il trattamento (se non sussiste altro fondamento giuridico per il trattamento);
3. c) l'interessato si oppone al trattamento (e non sussiste alcun motivo legittimo prevalente per procedere al trattamento);
4. d) i dati personali sono stati trattati illecitamente;
5. e) i dati personali devono essere cancellati per adempiere un obbligo legale previsto dal diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento;
6. f) i dati personali sono stati raccolti relativamente all'offerta di servizi della società dell'informazione.

Il diritto alla cancellazione, tuttavia, soccombe di fronte alla necessità di tutela di altri diritti concorrenti. Ad esempio, il diritto alla cancellazione viene meno quando il trattamento dei dati è necessario:

1. a) per l'esercizio del diritto alla libertà di espressione e di informazione;
2. b) per l'adempimento di un obbligo legale che richieda il trattamento previsto dal diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento o per l'esecuzione di un compito svolto nel pubblico interesse oppure nell'esercizio di pubblici poteri di cui è investito il titolare del trattamento;
3. c) per motivi di interesse pubblico nel settore della sanità pubblica;
4. d) a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, nella misura in cui il diritto all’oblio rischi di rendere impossibile o di pregiudicare gravemente il conseguimento degli obiettivi di tale trattamento;
5. e) per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria.

Dunque, a mio parere, il regolamento di un Forum online sul web che esclude la possibilità di ottenere la cancellazione del proprio account è in contrasto con la normativa europea in tema di privacy.

Sarà quindi possibile richiedere la cancellazione dell’account e la rimozione dei propri dati personali dal forum. I post o i testi eventualmente pubblicati, invece, potrebbero essere – per pattuizione contrattuale – di proprietà del sito in questione. In questo caso non potrà essere richiesta la cancellazione, ma solamente una loro “anonimizzazione”.

Nel caso del sito web che non intende cancellare i suoi dati personali (carta d’identità e carta di credito) bisognerebbe approfondire la questione, anche alla luce dell’attività effettuata dal titolare del sito web, per verificare se basti la revoca del consenso al trattamento per ottenere la cancellazione o se esistano particolari obblighi di legge in capo a quella particolare attività di conservazione dei dati per un limitato periodo di tempo.