Articolo 17 GDPR - Diritto alla cancellazione («diritto all’oblio»)

1. L’interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l’obbligo di cancellare senza ingiustificato ritardo i dati personali, se sussiste uno dei motivi seguenti:
a) i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati;
b) l’interessato revoca il consenso su cui si basa il trattamento conformemente all’articolo 6, paragrafo 1, lettera a), o all’articolo 9, paragrafo 2, lettera a), e se non sussiste altro fondamento giuridico per il trattamento;
c) l’interessato si oppone al trattamento ai sensi dell’articolo 21, paragrafo 1, e non sussiste alcun motivo legittimo prevalente per procedere al trattamento, oppure si oppone al trattamento ai sensi dell’articolo 21, paragrafo 2;
d) i dati personali sono stati trattati illecitamente;
e) i dati personali devono essere cancellati per adempiere un obbligo giuridico previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento;
f) i dati personali sono stati raccolti relativamente all’offerta di servizi della società dell’informazione di cui all’articolo 8, paragrafo 1.
2. Il titolare del trattamento, se ha reso pubblici dati personali ed è obbligato, ai sensi del paragrafo 1, a cancellarli, tenendo conto della tecnologia disponibile e dei costi di attuazione adotta le misure ragionevoli, anche tecniche, per informare i titolari del trattamento che stanno trattando i dati personali della richiesta dell’interessato di cancellare qualsiasi link, copia o riproduzione dei suoi dati personali.
3. I paragrafi 1 e 2 non si applicano nella misura in cui il trattamento sia necessario:
a) per l’esercizio del diritto alla libertà di espressione e di informazione;
b) per l’adempimento di un obbligo giuridico che richieda il trattamento previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento o per l’esecuzione di un compito svolto nel pubblico interesse oppure nell’esercizio di pubblici poteri di cui è investito il titolare del trattamento;
c) per motivi di interesse pubblico nel settore della sanità pubblica in conformità dell’articolo 9, paragrafo 2, lettere h) e i), e dell’articolo 9, paragrafo 3;
d) a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici conformemente all’articolo 89, paragrafo 1, nella misura in cui il diritto di cui al paragrafo 1 rischi di rendere impossibile o di pregiudicare gravemente il conseguimento degli obiettivi di tale trattamento; o
e) per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria.

Considerando pertinenti

Domande frequenti

Risposte brevi alle domande più frequenti su questa disposizione. Costituiscono informazioni generali e non una consulenza legale.

Il paragrafo 1 obbliga il titolare del trattamento a cancellare senza ingiustificato ritardo qualora sussista uno di sei motivi, ossia che i dati non siano più necessari rispetto alle finalità per le quali sono stati raccolti, che il consenso di cui all’articolo 6, paragrafo 1, lettera a), o all’articolo 9, paragrafo 2, lettera a), sia stato revocato e non sussista altro fondamento giuridico, che un’opposizione ai sensi dell’articolo 21, paragrafo 1, non sia superata da motivi legittimi prevalenti o che sia stata proposta un’opposizione ai sensi dell’articolo 21, paragrafo 2, che i dati siano stati trattati illecitamente, che la cancellazione sia imposta da un obbligo giuridico previsto dal diritto dell’Unione o dello Stato membro, o che i dati siano stati raccolti relativamente all’offerta di servizi della società dell’informazione a un minore ai sensi dell’articolo 8, paragrafo 1. Al di fuori di tali motivi, l’interessato non ha alcuna pretesa alla cancellazione in base a questo articolo.

No. Il paragrafo 3 esclude l’applicazione dei paragrafi 1 e 2 nella misura in cui il trattamento sia necessario per l’esercizio del diritto alla libertà di espressione e di informazione, per l’adempimento di un obbligo giuridico o per l’esecuzione di un compito svolto nel pubblico interesse o nell’esercizio di pubblici poteri, per motivi di sanità pubblica in conformità dell’articolo 9, paragrafo 2, lettere h) e i), e dell’articolo 9, paragrafo 3, a fini di archiviazione, di ricerca o statistici conformemente all’articolo 89, paragrafo 1, laddove la cancellazione rischi di rendere impossibile o di pregiudicare gravemente il conseguimento degli obiettivi, oppure per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria.

In base al paragrafo 2 deve adottare le misure ragionevoli, anche tecniche, per informare gli altri titolari del trattamento che stanno trattando i dati della richiesta dell’interessato di cancellare qualsiasi link, copia o riproduzione di tali dati. L’obbligo è commisurato alla tecnologia disponibile e ai costi di attuazione, e rappresenta quindi un dovere di diligenza ragionevole e non la garanzia che ogni copia scompaia.

Soltanto quando il consenso era il fondamento del trattamento e non sussiste altro fondamento giuridico, come chiarisce la lettera b) del paragrafo 1. Se il titolare del trattamento può legittimamente proseguire il trattamento su un diverso fondamento dell’articolo 6, paragrafo 1, quale un obbligo giuridico, la sola revoca del consenso non lo obbliga a cancellare.

La lettera c) del paragrafo 1 collega i due diritti. Un’opposizione per motivi connessi alla situazione particolare dell’interessato ai sensi dell’articolo 21, paragrafo 1, conduce alla cancellazione solo se il titolare del trattamento non riesce a dimostrare motivi legittimi prevalenti, mentre un’opposizione al marketing diretto ai sensi dell’articolo 21, paragrafo 2, determina la cancellazione senza alcun bilanciamento, poiché l’articolo 21, paragrafo 3, vieta in modo assoluto l’ulteriore trattamento per tale finalità.