Minori e tutela dei dati personali: uno sguardo d´insieme

1.    Il nuovo diritto alla privacy

Il rapido progresso tecnologico, seguito da un ampio utilizzo soprattutto da parte dei più giovani dei diversi servizi offerti dalla rete, ha influenzato l’evoluzione di taluni diritti propri dell’individuo, i quali in virtù ciò, si vedono arricchiti di nuovi e inediti significati^[1].

In tale contesto, non vi è alcun dubbio che proprio l’identità personale e la privacy costituiscano oggi i diritti che, maggiormente, hanno risentito delle nuove prerogative emerse con l’era digitale.

Volendo in tale sede soffermarci, ma per ragioni di sinteticità, solo sul diritto alla privacy esso trova le sue origini nel diritto alla riservatezza^[2]; tant’è vero che, il più delle volte, il significato di quest’ultimo e quello della tutela del diritto della privacy vengono spesso intesi quali aspetti di un medesimo fenomeno, anche se connotati di un significato proprio, che in relazione al campo giuridico a cui si riferisce può talvolta mutare di significato^[3].

Ciò posto, al fine di meglio comprendere il contenuto, ma anche le peculiarità del diritto di cui stiamo discorrendo, diviene necessario procedere ad un rapido excursus storico del diritto alla riservatezza, confrontando gli ordinamenti di common law con quelli di civil law, poiché proprio nei primi il diritto in esame ha trovato la sua genesi.

Orbene, gli ordinamenti di common law, in particolare nei Paesi anglo-americani, pur non conoscendo in senso proprio il diritto alla riservatezza, ma solo il concetto di privacy, intendono quest’ultimo come il diritto ad essere lasciati soli (right to let alone), la cui prima elaborazione è avvenuta ad opera dei due celebri avvocati Samuel D. Warren e Louis D. Brandeis, con la stesura del “The Right to Privacy^[4]”.

Tale opera, considerata pacificamente come la colonna portante della privacy, nello stabilire che tutti i soggetti hanno diritto ad essere lasciati in pace, tutelando per questa via la loro sfera più intima, nonché di salvaguardarsi da possibili ingerenze nella loro proprietà privata, ha dato avvio ad un rapido mutamento di prospettiva della stessa nozione di privacy, la quale non può più essere intesa come semplice libertà negativa, o come guarentigia della proprietà privata, ma dev’essere definita come la facoltà di ogni soggetto di mettere a conoscenza o meno i terzi delle proprie idee o pensieri.

In virtù di ciò, la privacy viene quindi in rilievo come un diritto autonomo, indipendente pertanto dagli altri diritti della personalità, idoneo a tutelare l’individuo in quanto tale, capace di mostrare una stretta connessione con la nozione di libertà^[5].

Se per certi versi nei paesi di common law, il diritto alla riservatezza, da intendersi quale precedente manifestazione del diritto alla privacy, ha visto un riconoscimento graduale e lineare, lo stesso non si può constatare anche per gli ordinamenti di civil law, ed in particolare in Italia.

Ed invero, nel nostro ordinamento, il diritto alla riservatezza iniziò ad affiorare timidamente solo dalla seconda metà del 1900, con il noto caso giudiziale^[6], incardinatosi a seguito della pubblicazione del libro Il grande amore, avente come protagonista la vita privata di Claretta Petacci, compagna di Benito Mussolini.

Ripercorrendo i principali fatti di causa, i componenti della famiglia della stessa, ritenendo la pubblicazione di quest’ultimo, lesivo della sfera intima della protagonista, adirono il giudice competente al fine di vedersi tutelati i propri diritti. A seguito di codesta richiesta, il tribunale di Milano nel 1958, accogliendo la domanda attorea, emise una sentenza ad essi favorevole condannando l’autore al risarcimento del danno sofferto.

La parte convenuta, ritenendo diversamente la sentenza di primo grado lesiva dei propri diritti, decise di adire il giudice di secondo grado, il quale, in virtù dell’estrema complessità nel definire natura e contenuto del diritto alla riservatezza, pur ammettendo la sussistenza della lesione di tale diritto, non ritenne concedibile lo strumento risarcitorio a causa dell’assenza di prove.

A seguito di tale decisione, la questione approdò dinnanzi ai giudici della Suprema Corte di Cassazione, i quali, pur seguendo un iter logico-giuridico, parzialmente diverso rispetto a quello indicato dai giudici di seconde cure, confermarono la precedente decisione, stabilendo tuttavia che: “nonostante non sia ammissibile il diritto tipico alla riservatezza, viola il diritto assoluto di personalità, da ritenersi come diritto erga omnes alla libertà di autoderteminazione dell’individuo, nello svolgimento della personalità dell’uomo come singolo, la diffusione di notizie attinenti alla sua sfera privata, in difetto di un consenso almeno implicito, e laddove non sussista, tanto per la natura dell’attività svolta dal soggetto e del fatto diffuso, un preminente interesse pubblico di conoscenza”^[7].

La definitiva cristallizzazione del diritto alla riservatezza, quale diritto autonomo e distinto, si ebbe solo qualche anno dopo nel 1975, allorquando i giudici della Corte di Cassazione stabilirono che “il nostro ordinamento riconosce il diritto alla riservatezza, che consiste nella tutela di quelle situazioni e vicende strettamente personali e familiari le quali, anche se verificatesi fuori del domicilio domestico, non hanno per i terzi un interesse socialmente apprezzabile, contro le ingerenze che, sia pure compiute con mezzi leciti, per scopi non esclusivamente speculativi e senza offesa per l'onore, la reputazione o il decoro, non sono giustificati da interessi pubblici preminenti”^[8].

Dalle considerazioni appena svolte, è possibile dedurre che l’ingerenza esterna di soggetti terzi nella sfera intima del soggetto, in assenza di un consenso del soggetto interessato, possa essere considerata legittima solo laddove sussista un interesse pubblico attuale che lo giustifichi^[9].

Ciò posto, volendo declinare le considerazioni appena svolte ai giorni d’oggi, i quali risultano essere contrassegnate dalla rapida diffusione dei Social Network e della realtà virtuale (internet), possiamo agevolmente constatare come in concreto siano esponenzialmente aumentate le condotte potenzialmente lesive del diritto alla riservatezza^[10].

Difatti, il mondo virtuale se da un canto ha apportato molteplici benefici, agevolando relazioni e aspetti della vita quotidiana^[11], dall’altro si alimenta e vive delle diverse informazioni personali o dati, che l’utente regolarmente inserisce all’interno del web al fine di poter usufruire dei diversi servizi offerti dai provider.

Non vi è alcun dubbio, quindi, che all’interno di siffatto contesto, il diritto alla riservatezza, così come sopra individuato, non può più essere solo inteso quale diritto proprio dell’individuo ad essere lasciato solo, ma bensì deve necessariamente venire in rilievo come diritto al controllo di tutte le proprie informazioni immesse nella rete.

A conferma di ciò, recentemente su tale diritto è intervenuta anche la Corte Costituzionale, la quale, con la sentenza n. 20 del 23 gennaio 2019 ha affermato che il diritto alla riservatezza, così come lo abbiamo inteso fino ad oggi, deve venire in rilievo “quale diritto dell’individuo al controllo sulla circolazione delle informazioni riferite alla propria persona”^[12].

Vieppiù, oltre ad essere inteso quale diritto sui propri dati personali, quest’ultimo, proprio nel secolo scorso, si è arricchito di un ulteriore connotato, attinente al diritto dell’individuo all’autodeterminazione informativa, la quale dev’essere intesa in senso ampio come la libertà di compiere autonomamente le proprie scelte di vita, senza subire intromissioni da parte dei terzi, “controllando e scegliendo le informazioni che si consentono di fare entrare nella propria sfera soggettiva”^[13].

Da ciò, è possibile, quindi, rinvenire la duplice funzione del diritto in questione, che assicura al soggetto interessato la vigilanza del traffico dei propri dati, sia in entrata che in uscita dalla propria sfera personale^[14], consentendo, così, di oltrepassare definitivamente l’iniziale concezione di diritto alla riservatezza, quale semplice facoltà negativa^[15].

Va da sé che, anche siffatta declinazione del diritto alla riservatezza, con l’avvento dell’era digitale, trova la sua massima manifestazione. Si pensi, infatti, a titolo esemplificativo, al condizionamento che i diversi strumenti pubblicitari hanno sui consumatori, che il più delle volte vengono indotti all’acquisto, grazie alle campagne di marketing o all’influenza che tali piattaforme possono avere in periodo elettorale^[16]. Orbene, al fine di poter garantire in concreto la libera autodeterminazione in entrata delle informazioni, si dovrebbe quindi ricercare uno strumento tecnico che consenta all’utente di decidere quali informazioni possono entrare o meno nella sua sfera privata.

Ebbene, concluso il nostro preliminare excursus storico circa il mutamento della concezione del diritto alla riservatezza, letto nella sua nuova dimensione di diritto alla privacy, possiamo ora passare alla declinazione di tale diritto nell’ipotesi in cui il soggetto da tutelare sia nello specifico un minore, in relazione al fatto che sempre più giovani trascorrono la maggior parte del loro tempo sui diversi Social Network e sulla rete.

2. L’autodeterminazione informativa e doveri di protezione degli esercenti la responsabilità genitoriale

Ne consegue che, le considerazioni poc’anzi svolte, con riferimento al trattamento dei dati personali, assumano una rilevanza maggiore laddove il soggetto titolare di quei dati risulta essere per l’appunto un minore, e ciò, in ragione del fatto che si tratti di un individuo la cui personalità risulta essere in fase di formazione, e che, difficilmente, possa essere davvero in grado di comprendere l’importanza degli atti autorizzativi al trattamento che pone in essere^[17].

Per meglio comprendere le implicazioni, tanto di natura pratica, quanto di natura giuridica, che il consenso potrebbe riverberare su tali soggetti, diviene necessario iniziare la nostra trattazione con l’art. 8 del Regolamento Europeo sulla privacy.

Quest’ultimo stabilisce espressamente che “qualora si applichi l'articolo 6, paragrafo 1, lettera a), per quanto riguarda l'offerta diretta di servizi della società dell'informazione ai minori, il trattamento di dati personali del minore è lecito ove il minore abbia almeno 16 anni. Ove il minore abbia un'età inferiore ai 16 anni, tale trattamento è lecito soltanto se e nella misura in cui tale consenso è prestato o autorizzato dal titolare della responsabilità genitoriale. Gli Stati membri possono stabilire per legge un'età inferiore a tali fini purché non inferiore ai 13 anni”^[18].

Non vi è alcun dubbio che, la disposizione, appena riportata, trae le sue più remote origini dall’introduzione della legge federale americana del 1998 istitutiva del Children’s Online Privacy Protection Act, la quale individua, per l’appunto, la soglia minima di anni tredici per esprimere il consenso al trattamento dei propri dati personali^[19]. Soluzione quest’ultima accolta, oltretutto, anche dal nostro ordinamento che, in virtù della possibilità per gli stati membri di introdurre un’età inferiore ai sedici anni, con l’entrata in vigore del Decreto 101 del 10 agosto 2018, nell’allineare la disciplina nazionale a quella del Regolamento, cristallizza quale limite di età per la liceità del trattamento gli anni quattordici^[20].

Una volta ammesso che il soggetto, che abbia compiuto gli anni sedici, possa legittimamente prestare il proprio consenso al trattamento dei suoi dati personali, diviene dirimente comprendere la natura giuridica ascrivibile a tale manifestazione di volontà, visto e considerato che la disposizione europea testé analizzata deve coniugarsi con l’art. 2 c.1 c.c..

Proprio in riferimento a quest’ultimo aspetto, l'assenza di una precipua normativa, che fosse in grado di aiutare l’interprete nel comprendere l’intima essenza di tale consenso, ha dato avvio ad un acceso dibattito in dottrina che ha visto la contrapposizione di due opposte teorie^[21].

Per i fautori della prima, il consenso a tale trattamento doveva essere ricondotto agli atti personalissimi a cui la lex attribuiva, quale effetto principale, quello di eliminare il carattere antigiuridico proprio dell’attività ascrivibile al trattamento dei dati personali^[22], e pertanto, essendo espressione di diritti fondamentali della persona, gli stessi dovevano essere posti in essere direttamente dal minore sempre tenendo in debito conto la sua capacità d’intendere e di volere^[23].

Diversamente, i sostenitori della seconda teoria ritenevano che il consenso dov’esse essere inteso quale atto avente natura negoziale con finalità dispositiva^[24], ammettendo sia l’applicabilità dell’art. 2 c1 c.c., sia la sua delegabilità ad un soggetto diverso dal titolare^[25].

Va da sé che, in relazione alle concezioni dottrinali appena delineate, la disciplina prevista dall’art. 8, sembrerebbe accogliere pertanto quest’ultima ipotesi, con la specificazione però che tale regola debba essere intesa come eccezione a quanto previsto dall’art. 2 c1 c.c. in quanto da un lato fissa un’età diversa a quella prevista dal legislatore nazionale e dall’altro, risulta applicabile solo all’offerta diretta di servizi della società dell’informazione^[26].

Viene così a fissarsi una capacità capacità di agire che è possibile definire come “speciale”^[27], considerata da più parti in dottrina come una “sorta di maggiore età digitale per il consenso al trattamento dei dati”^[28].

Se da un lato, vero è che, ai fini del rilascio dell’autorizzazione al trattamento dei dati personali, il legislatore tanto europeo, quanto nazionale abbiano previsto un’età inferiore a quella stabilita ai sensi dell’art. 2 c.1 c.c., dall’altro è altresì vero che tale limite di età di non può operare nell’ipotesi in cui il trattamento dei dati personali sia previsto all’interno di un contratto^[29], come accade in tutte quelle ipotesi in cui, per poter usufruire di un determinato servizio online, venga imposto dal provider il rilascio del consenso al trattamento dei propri dati personali per finalità pubblicitarie, con la conseguenza che laddove l’utente abbia raggiunto la maggiore età digitale, ma non gli anni 18, il relativo contratto potrebbe essere colpito da invalidità laddove lo stesso esperisca, nei termini, l’azione di annullamento^[30].

Ciò posto, riconosciuta la possibilità per il minore -  che abbia compito i sedici anni - di poter validamente prestare il proprio consenso al trattamento dei suoi dati personali e cristallizzata l’opinione secondo cui tale consenso non può in alcun caso essere sovrapposto a quello richiesto per la conclusione di un contratto, all’uopo diviene necessario interrogarsi circa la capacità dello stesso di porre in essere legittimamente una manifestazione di volontà, necessaria e propedeutica alla conclusione di un contratto.

Interrogativo questo, resosi necessario per il fatto che da un lato il paragrafo terzo dell’art. 8 del Regolamento Europeo espressamente prevede che “il paragrafo 1 non pregiudica le disposizioni generali del diritto dei contratti degli Stati membri, quali le norme sulla validità, la formazione o l'efficacia di un contratto rispetto a un minore”^[31] e dall’altro, dalla circostanza che la maggior parte dei servizi online, nonostante vengano proposti all’utente come gratuiti^[32], in realtà richiedono, al fine della fruizione del servizio da parte dell’utente, il consenso al trattamento dei suoi dati per scopi estranei a quelli meramente attinenti alla fornitura del servizio^[33].

Dalle considerazione testé fatte, si può constare con estrema facilità che: in virtù del principio secondo il quale il soggetto possa esercitare taluni diritti che l’ordinamento gli riconosce, solo laddove abbia in concreto una maturità sufficiente per fargli comprendere l’importanza degli atti che pone in essere^[34], è da ritenere che fino a quando quest’ultimo non abbia raggiunto tale maturità, gli esercenti la responsabilità genitoriale sono tenuti ad adottare tutti quei comportamenti volti alla tutela dei diritti dei propri figli^[35].

Non vi è alcun dubbio che, gli obblighi di protezione, posti in primis in capo ai genitori, nascenti proprio dalla responsabilità genitoriale, oggi a causa del rapido progresso tecnologico, si siano arricchiti di nuovi e inediti doveri, volti a proteggere i diritti fondamentali dei minori^[36], in virtù del fatto che, con i nuovi strumenti digitali, è più facile assistere in concreto ad una lesione di tali diritti.

In tale prospettiva infatti, i genitori non hanno più solo il dovere di difendere i diritti eventualmente lesi dei minori, ma hanno anche un’effettivo dovere di controllo sull’utilizzo che il minore fa di tali strumenti, al fine di evitare il più possibile che il loro uso non corretto possa influire negativamente sulla loro fragile personalità^[37], rispettando pur sempre la sua privacy.

Tuttavia, occorre tenere presente che, in un contesto come quello di cui stiamo discorrendo, la fruizione dei diversi strumenti digitali, anche da parte dei minori, costituisce senza ombra di dubbio una forma di manifestazione dell’identità personale^[38] e, pertanto, non consentire al minore l’impiego dei servizi digitali potrebbe in concreto tradursi in una lesione dei suoi diritti^[39].

Ebbene, dalle considerazioni appena svolte, appare evidente che, il problema della tutela dei dati personali del minore risulta essere un terreno al quanto frastagliato, che vede il continuo intrecciarsi di due diverse esigenze: da un lato, quella di porre al riparo il soggetto la cui personalità risulta essere in fieri da possibili pericoli che possano incidere negativamente sulla formazione della propria personalità, e dall’altro, dalla necessità per lo stesso minore di poter liberamente esprime il consenso al trattamento dei propri dati personali al fine di poter usufruire dei diversi servizi digitali, quale mezzo per poter manifestare il proprio potere di autodeterminazione.

Sicché, proprio in riferimento alle contrapposte necessità appena delineate, occorre passare all’analisi, sia del sistema di tutela predisposto dal legislatore per i dati personali del minore, sia al regime di circolazione al quale gli stessi risultano essere sottoposti.

3. I dati personali del minore tra tutela e circolazione

In un contesto particolare e delicato, come può essere il tema di cui stiamo discorrendo, interrogarsi sull’effettiva e concreta protezione della privacy del minore, o dei suoi dati personali, non comporta solo accertare quale sia il soggetto deputato a rilasciare il consenso necessario al trattamento stesso, ma significa anche interrogarsi sull’adeguatezza della disciplina prevista al fine di poter risolvere il conflitto, alla stessa sotteso, tra protezione e circolazione dei dati personali^[40].

Ciò posto, il regolamento Europeo si inserisce sicuramente in un particolare quadro normativo che, con riferimento alla protezione dei dati personali del minore, a differenza della precedente legge 675/96, e del codice della privacy del 2003, introduce una specifica e dettagliata disciplina al fine di tracciare una tutela concreta per il diritto alla protezione dei dati personali del minore, capace di mettere al centro della stessa guarentigia le specifiche necessità ed esigenze dello stesso minore.

Difatti, oltre all’art. 8, che abbiamo avuto modo di analizzare in precedenza, il GDPR espressamente prevede al considerando 58 che: laddove il trattamento dei dati riguarda soggetti minorenni, qualsiasi informazione o comunicazione deve utilizzare un linguaggio chiaro e semplice in modo tale che lo stesso minore possa essere effettivamente in grado di comprenderlo.

Sicché, in virtù di tale previsione, si potrebbe ritenere che, in capo al titolare del trattamento sorga un obbligo di chiarezza e trasparenza per così dire “rafforzata”, rispetto alla posizione prevista per gli adulti, che garantisca al soggetto titolare dei dati personali, di comprendere se non tutte, la maggior parte delle implicazioni delle comunicazioni che lo riguardano^[41].

Circostanza questa, confermata sia indirettamente dal considerando 38 del medesimo Regolamento, il quale sottolinea che i minori meritano una specifica protezione attinente ai loro dati sensibili, poiché questi ultimi sono meno consapevoli delle conseguenze e dei rischi  derivanti dal trattamento dei dati personali, sia dall’art. 2 quinques c. 2  del codice della privacy, il quale espressamente prevede che: “in relazione all'offerta diretta ai minori dei servizi di cui al comma 1, il titolare del trattamento redige con linguaggio particolarmente chiaro e semplice, conciso ed esaustivo, facilmente accessibile e comprensibile dal minore, al fine di rendere significativo il consenso prestato da quest'ultimo, le informazioni e le comunicazioni relative al trattamento che lo riguardi”.

Tuttavia, nonostante tale obbligo, nella prassi si assiste sempre di più alla predisposizione, da parte dei provider, di un’informativa che, seppur resa chiara e semplice nel linguaggio, il più delle volte risulta essere eccessivamente generica rispetto alle concrete finalità del trattamento stesso^[42].

Viene così in rilievo, l’esigenza di consentire, soggettivamente e oggettivamente, al minore di essere effettivamente messo nella condizione di prendere consapevolmente le proprie decisioni in ordine alla concessione o meno del consenso necessario al trattamento dei dati personali ^[43].

Proprio al fine di consentire ciò, l’obbligo di specifica chiarezza, posto in capo al titolare del trattamento, non risulta essere l’unico vincolo al quale quest’ultimo necessariamente si deve attenere al fine di garantire un’effettiva tutela per il minore.

Difatti, ai sensi del par. 2 del su menzionato art. 8 del GDPR, si prevede espressamente che il titolare del trattamento deve necessariamente attivarsi in “modo ragionevole per accertare che il consenso sia prestato o autorizzato dal titolare della responsabilità genitoriale sul minore, in relazione alle tecnologie disponibili”, senza però delineare le modalità tecnico-operative per ottenere tale consenso o accertare l’effettiva identità di questi ultimi^[44].

Gli operatori informatici, a causa dell’assenza di una precisa disposizione normativa, o di precipue linee guida che possano fungere da faro, hanno prospettato diverse soluzioni tecniche che potessero garantire il rispetto di cui al par. 2, le quali però il più delle volte si sono rivelati del tutto inefficaci.

Ed invero, come emerso in diversi dibattiti in alcune dottrine straniere, i mezzi di accertamento, tanto dell’identità degli esercenti la responsabilità genitoriale, tanto quelli per ottenere il relativo consenso per il trattamento, fondati su un sistema di verifica tramite l’invio da parte dei provider di un’email all’indirizzo di posta elettronica dei genitori, non risultano essere sufficienti a garantire l’esigenza di certezza richiesta dalla disposizione in esame, in quanto, proprio questo sistema di verifica risulterebbe essere facilmente eludibile da parte degli stessi minori^[45].

Si potrebbe per tanto optare, a ragion dello scrivente, per un sistema di verifica che si articoli mediante l’invio al fornitore dei servizi digitali, di un modulo che esprima il consenso al trattamento dei dati personali con la firma autografa dei genitori, accompagnato dalla copia fotostatica del documento d’identità del firmatario, in modo tale da evitare così, possibili “manomissioni” da parte dei minori.

Una tale soluzione assolverebbe pertanto ad un duplice funzione, da un lato quella di rendere più difficile possibili manipolazioni da parte di soggetti terzi o del minore stesso, e dall’altro, nel caso in cui il minore riesca a raggirare tale meccanismo, renderebbe operativo il disposto di cui all’art. 1426 c.c., avendo il provider impiegato la normale soglia di prudenza e perizia, al fine di ottenere l’effettivo rilascio del consenso da parte di chi esercita la responsabilità genitoriale^[46].

Va da sé che, la soluzione testé prospettata non risulta comunque di per sé sufficiente a rendere lecito il trattamento, ma deve necessariamente essere accompagnata anche dal rispetto delle peculiari disposizioni previste materia.

Le specifiche esigenze di protezione del minore trovano poi ulteriori garanzie anche nella disciplina generale prevista per il trattamento dei dati personali, essendo applicabile anche per i soggetti vulnerabili il cosiddetto “principio di minimizzazione” previsto ex art. 5 par. 1 lettera c) del Regolamento, il quale impone al titolare del trattamento di raccogliere una quantità circoscritta di dati personali, tenendo conto dei possibili rischi propri di tale attività e delle tecnologie attualmente a disposizione^[47].

Dall’analisi dell’art. 8, possiamo agevolmente comprendere come il legislatore europeo abbia voluto attribuire un ruolo centrale al consenso, il quale, come abbiamo più volte ribadito, in relazione ai soggetti vulnerabili, tra cui anche il minore, deve essere rilasciato da chi esercita la responsabilità genitoriale.

All’uopo, diviene necessario, al fine di una completezza della trattazione, procedere ad una doppia considerazione: la prima attinente alla duplice possibilità per il minore di rilasciare autonomamente il consenso e di revocare quello inizialmente prestato dai genitori, mentre la seconda riguardante la possibilità che solo una dei genitori possa rilasciare tale necessaria autorizzazione al trattamento dei dati personali.

Con riferimento al primo profilo, è pacifico che il minore non appena raggiunga l’età di sedici anni^[48] possa procedere al rilascio dell’autorizzazione necessaria al trattamento dei dati personali o, diversamente, possa in ogni momento chiedere sulla base dell’art. 17 la cancellazione senza ritardo dei proprio dati personali^[49].

A conferma di ciò, la rilevanza del diritto all’oblio, con riguardo ai dati personali del minore, viene espressamente ammessa in virtù del considerando 65, in forza del quale, il diritto in questione trova un’autonoma rilevanza, laddove il titolare ha prestato il proprio consenso quando era minorenne e voglia in un momento successivo eliminare le diverse informazioni attinenti a se stesso da internet^[50].

Ed infatti, le linee guida, predisposte dal Garante Europeo, hanno specificato che il consenso del genitore al trattamento dei dati personali del figlio minore cessa di avere efficacia nel momento in cui lo stesso abbia raggiunto la cosiddetta età del consenso digitale, e pertanto il titolare del trattamento deve richiedere una nuova autorizzazione direttamente al soggetto titolare dei dati personali^[51].

Con riferimento al secondo profilo, qualora la responsabilità genitoriale sia esercitata da entrambi i genitori, si pone il problema di stabilire se e in che misura il consenso al trattamento dei dati personali possa essere legittimamente posto in essere anche da un solo dei genitori^[52].

Tale profilo implica sicuramente una breve analisi della disciplina prevista dal codice civile, con riferimento alla legittimazione congiuntiva o disgiuntiva degli atti di ordinaria e straordinaria amministrazione, posti dagli esercenti la responsabilità genitoriale nell’interesse del minore, verificando al contempo se anche per tale consenso risulta essere applicabile la disciplina codicistica.

Ebbene, ai sensi dell’art. 320 c.c., espressamente si stabilisce che “i genitori congiuntamente, o quello di essi che esercita in via esclusiva la responsabilità genitoriale, rappresentano i figli nati e nascituri in tutti gli atti civili e ne amministrano i beni. Gli atti di ordinaria amministrazione, esclusi i contratti con i quali si concedono o si acquistano diritti personali di godimento, possono essere compiuti disgiuntamente da ciascun genitore”.

Dalla disposizione normativa, testé riportata, è possibile ricavare la regola generale secondo la quale per gli atti di ordinaria amministrazione risulta essere sufficiente il consenso di uno solo dei genitori, mentre invece, per gli atti di straordinaria amministrazione viene richiesto il consenso di entrambi^[53], in virtù delle conseguenze maggiori che un atto di straordinaria amministrazione comporta per il minore.

Pertanto, il primo problema che si pone è quello di stabilire se l’atto, con il quale il genitore autorizza il trattamento dei dati personali, possa in concreto essere inteso quale atto di ordinaria amministrazione o straordinaria, al fine di individuare correttamente la regola ad esso applicabile.

Ordunque, con riferimento a quest’ultimo aspetto, la Suprema Corte di Cassazione ha specificato che per atti di ordinaria amministrazione devono intendersi “tutti quegli atti che siano oggettivamente utili alla conservazione del valore e dei caratteri oggettivi essenziali del patrimonio in questione; 2) abbiano un valore economico non particolarmente elevato in senso assoluto e soprattutto in relazione al valore totale del patrimonio medesimo; 3) comportino un margine di rischio modesto in relazione alle caratteristiche del patrimonio predetto, vanno invece considerati di straordinaria amministrazione gli atti che non presentino tutte e tre queste caratteristiche”^[54].

Sicché, non avendo il consenso al trattamento dei dati personali, tutti e tre i requisiti specificati dai Supremi Giudici, ed essendo considerato lo stesso come esercizio di un diritto fondamentale del minore, quest’ultimo deve necessariamente essere inteso quale atto di straordinaria amministrazione, e in quanto tale, necessitante dell’autorizzazione congiunta di entrambi i genitori^[55].

4. La contraddizione di un consenso al trattamento libero e consapevole

Dalla breve analisi che abbiamo compiuto, con riferimento alla disciplina prevista per il trattamento dei dati personali del minore, appare evidente, che all’interno di quest’ultima, il consenso svolga un ruolo di indiscusso protagonista, essendo considerato uno dei requisiti necessari per la liceità del trattamento stesso.

Ed invero, ai sensi del considerando 40 dell’art. 6 c1 lett. a) si prevede espressamente che ai fini della sua liceità, il trattamento dei dati personali degli utenti deve fondarsi necessariamente sul consenso dell’interessato.

Vieppiù, secondo quanto stabilito ex art. 4 par. 11, il consenso dev’essere libero e cioè rilasciato senza condizionamenti esterni, specifico, attinente pertanto a quella tipologia di trattamento ed infine informato. Tuttavia, nonostante tali peculiarità, come abbiamo avuto modo più volte di ribadire, quest’ultimo risulta essere rilasciato tanto a fronte di un’informativa le cui finalità vengono espresse genericamente, quanto anche con una veloce e superficiale lettura della stessa^[56].

Un problema questo che sicuramente non può essere superato nemmeno con l’aumento degli obblighi d’informazione posti in capo ai provider, in quanto maggiori sono le informazioni che l’utente deve specificamente leggere e approvare, maggiore è il rischio che quest’ultimo presti il proprio consenso senza nemmeno prendere visione dell’informativa, incentivando così quel comportamento di approvazione superficiale dell’informativa al trattamento dei dati sensibili.

Per evitare ciò, diviene necessario accettare che tale informativa venga pur sempre prevista dagli operatori informatici genericamente, al fine di potersi concretamente soffermare sugli usi specifici e successivi dei dati personali, in modo tale da poter effettivamente compiere una valutazione ex ante dei rischi al trattamento connessi.

Va da sé, che tale valutazione non possa in alcun modo essere unicamente rimessa in capo all’interessato, ma che richieda piuttosto l’intervento di soggetti altamente professionali, che siano in grado di analizzare le conseguenze che tale trattamento non solo ha verso il singolo, ma anche verso l’intera collettività^[57].

A ciò si aggiunga che, nella realtà fattuale, un consenso informato non implica di per sé un consenso libero, in quanto la relativa autorizzazione al trattamento dei dati personali, viene richiesta dai provider quale conditio sine qua non al fine di poter usufruire del relativo bene o servizio digitale^[58].

Tali considerazioni sicuramente risultano essere veritiere anche nei confronti della posizione dei minori, i quali, in virtù della loro tenera età e l’assenza di disponibilità economica, potrebbero di fatto essere indotti a rilasciare incondizionatamente l’autorizzazione necessaria al trattamento dei dati personali, laddove gli stessi fossero richiesti nel rapporto sinallagmatico, quale controprestazione per ottenere “gratuitamente” il servizio di cui hanno bisogno^[59].

A tal riguardo, diviene legittimo chiedersi se, al fine di meglio tutelare le prerogative del minore, non fosse stato meglio che il legislatore avesse mantenuto quale limite di età la soglia di anni 16^[60].

Tuttavia, anche volendo ritenere veritiera tale asserzione, non è mancato in dottrina chi ha ritenuto che una siffatta previsione, in concreto, non risulterebbe essere pienamente in linea con ulteriori disposizioni dell’ordinamento che individuano parimenti il limite degli anni 14, al fine di poter esperire determinate e specifiche azioni a guarentigia dei propri diritti^[61].

Si pensi, a titolo esemplificativo, a quanto previsto ex art. 2 c. 1 della legge n. 71/2017 che, in tema di cyberbullismo, legittima il soggetto che abbia compiuto gli anni 14 a presentare specifica istanza al fine di ottenere l’oscuramento, la rimozione o il blocco di qualsivoglia informazione sensibile diffusi nella rete, laddove lo stesso sia stato vittima degli atti previsti ex art. 1 c.1 della medesima legge^[62].

O ancora si consideri l’art. 7 c. 2 della legge 184/1983, che in materia di adozione, prevede che il minore che abbia già compiuto gli anni quattordici non può essere adottato se non presta personalmente il proprio consenso.

Proprio in virtù di quest’ultime due considerazioni, quanti ritengono che la fissazione del limite degli anni 16, al fine di manifestare il consenso al trattamento dei dati personali, possa ingenerare un certo disallineamento con altre previsioni di legge, rivelano la sussistenza di un paradosso e cioè: il minore potrebbe manifestare il consenso per essere adottato, o per fare espressa istanza al titolare del trattamento, ma non potrebbe in concreto iscriversi ai canali social network senza l’intervento degli esercenti la responsabilità genitoriale, essendo necessario a tal fine il consenso al trattamento dei dati sensibili^[63].

Tuttavia, a ragione di scrive, una siffatta impostazione non può essere del tutto condivisa, in quanto, le ipotesi che abbiamo testé analizzato non risultano essere completamente sovrapponibili a quella prevista per il rilascio del consenso al trattamento direttamente dal minore.

Infatti, anche se il trattamento dei dati personali del minore, come abbiamo più volte constato, influisce fortemente sullo stesso minore, è altrettanto vero che le summenzionate ipotesi hanno un’incidenza maggiore sull’esistenza stessa del minore, rispetto a quella che si potrebbe in concreto avere nel caso di illecito trattamento dei dati personali.

Pertanto, il discrimine tra le tre fattispecie analizzate potrebbe essere legittimato dalla necessità dell’ordinamento di attuare delle scelte per così dire di principio, che vengono poste a fondamento delle stesse disposizioni normative e che, in virtù dei supremi interessi, devono essere necessariamente considerate preminenti rispetto ad altre^[64].

In conclusione, poiché sussiste un’effettiva impossibilità di accertare se il consenso inizialmente prestato possa essere considerato davvero libero, specifico e informato, non ci rimane ora che verificare se e in quale misura anche il soggetto minore possa revocare il consenso precedentemente dato, e di conseguenza, esercitare, proprio come gli adulti, il diritto all’oblio.

5. Il diritto all’oblio

Diversamente per quanto previsto per il trattamento dei dati personali, il Regolamento 679/2016 non prevede alcuna specifica normativa che statuisca un trattamento diversificato tra la posizione del minore e quella degli adulti per l’esercizio del diritto all’oblio.

Pertanto, punto di partenza della nostra analisi non può non essere l’art. 17 del medesimo Regolamento, il quale, in virtù delle peculiari esigenze del minore, deve necessariamente essere letto in combinato disposto con i Considerando 65 e 66, i quali, pur non costituendo precetti di per sé vincolanti, risultano essere idonei a fornire delle indicazioni circa il corretto inquadramento di tale diritto con riferimento alla posizione giuridica del minore.

Ciò posto, prima di procedere all’analisi meramente esegetica di tale lettura combinata, diviene necessario procedere ad un, seppur breve, excursus storico del diritto all’oblio, al fine di individuarne peculiarità ed eventuali criticità che possono sussistere in relazione ai soggetti minorenni.

Se da un canto non vi è alcun dubbio che, con l’avvento dei personal computer, della rete internet e dei diversi motori di ricerca, l’umanità sia stata lanciata verso il progresso, con la conseguente facilitazione sia nell’acquisire e scambiare alla velocità della luce dati personali o informazioni, nonché nello svolgimento delle più basilari operazioni della vita quotidiana, dall’altro con esso sono irrefutabilmente aumentati, per quantità e natura, anche i pericoli ed i comportamenti potenzialmente offensivi, idonei ad aggredire il supremo bene giuridico dell’identità personale e della privacy.

In particolare, tali rischi paiono causati proprio da quella rapida fruizione da parte di un’universalizzazione di utenti indistinti e difficilmente riconoscibili, ai dati personali altrui i quali vengono il più delle volte decontestualizzati e dispersi all’interno delle maglie del network, in quello che viene comunemente definito “inconscio virtuale”^[65].

Giacché, in un simile contesto moderno, si avverte sempre più la necessità di procedere ad una piena ed effettiva tutela dei propri dati sensibili e informazioni riservate, anche nel loro recente habitus digitale e a maggior ragione; essa si fa più ardua e pregnante laddove quest’ultima si concreta nel rispetto chiesto direttamente dal titolare a che determinati fatti che lo riguardino, vengano cancellati, e smettano quindi di circolare nella società fisica, così come in quella virtuale, realizzando quel "diritto all’oblio” che in un mondo, dove si è, forse, smarrito il confine tra la dimensione della vita pubblica e quella privata, rappresenta proprio quel desiderio anacronistico, autentica espressione della volontà di essere semplicemente dimenticati.

Essenziale in quest’ottica, diviene quindi la qualificazione e la rilevanza riconosciuta a tale diritto da parte dell’ordinamento giuridico, la cui odierna concezione è frutto dell’elaborazione minuziosa di dottrina e giurisprudenza, che lo pone talvolta come diritto connesso al rispetto della dignità e dell’identità personale, altre volte invece come semplice manifestazione del diritto alla riservatezza^[66].

Sebbene in generale l’oblio, può essere formalmente qualificato come il desiderio da parte del soggetto di non esser ricordato^[67], nel corso del tempo, tale diritto ha assunto i più diversi e variopinti significati^[68].

Tant’è che la prima nozione giuridica, posta in essere, giungeva a considerarlo come l’interesse riconosciuto a qualsiasi soggetto di non vedere più ripubblicati fatti o vicende che in precedenza erano stati sì legittimamente divulgati, ma che, a causa del trascorrere di un significativo intervallo di tempo, si erano poi rivelati privi d’interesse per la collettività^[69], facendo così prevalere il diritto del singolo ad essere obliato, rispetto a quello altrui alla conoscibilità di tali eventi o informazioni che lo riguardano, “grazie alla forza propulsiva del diritto all'oblio progressivamente maturatosi”^[70].

A questa originaria impostazione, ha fatto seguito una nuova e differente concezione dello stesso diritto all’oblio, il quale con l’entrata nella vita di tutti noi delle nuove tecnologie, è stato così riqualificato, al fine di poterlo concretamente innovare e contestualizzare alle forme d’informazione^[71] che si sono recentemente sviluppate.

È infatti indubitabile come, anche il ricordo virtuale possa condizionare il punto di equilibrio del conflitto tra il diritto alla memoria di quel soggetto, vantato ad esempio dai sui prossimi congiunti, ed il confliggente diritto all’oblio, posto in capo alla persona direttamente interessata, riqualificando così più in generale il bilanciamento tra l’interesse della società all’informazione^[72] e quello del soggetto titolare che in concreto non vuole essere ricordato.

Anche sulla scorta di tali considerazioni si assiste, in un’ottica sociologica, ad un mutamento di scenario, tale da poter distinguere una terza fase, o per meglio dire classificazione del diritto all’oblio^[73] che, a causa della “immortalità"^[74] delle informazioni contenute nel web, può essere ora considerato come il diritto riconosciuto ad ogni soggetto alla “corretta e aggiornata contestualizzazione”^[75] del dato digitale contenuto nelle banche dati.

Ordunque, proprio al fine di poter regolamentare in maniera maggiormente efficace siffatto diritto, si è avvertita sempre più la necessità d’intervenire con una specifica disciplina, anche e soprattutto a livello sovranazionale, in modo da uniformare al tempo stesso le diverse normative interne, visto e considerato che il campo applicativo di tale posizione giuridica sostanziale, concretizzandosi nel mondo virtuale, non conosce alcun confine fisico.

Proprio in ragione di ciò, nel 2016 è stato emesso il Regolamento europeo n. 679 il quale garantisce, attraverso il disposto dell’art. 17, il diritto ad ottenere senza alcun ritardo, la cancellazione dei propri dati personali, chiedendo al titolare del trattamento di procedere alla suddetta rimozione, operazione resa obbligatoria laddove vi sia la presenza di specifiche motivazioni antistanti la richiesta del soggetto interessato^[76].

Una precisazione s’impone, nonostante i nobili intenti del legislatore europeo e l’importanza chiarificatrice e armonizzante svolta dal suddetto regolamento, residuano talune asperità interpretative.
Sebbene la rubrica legis faccia espresso riferimento al diritto in esame, è da rilevare come in realtà la norma non manchi di poi identificarne i tratti caratterizzanti, limitandosi solo ed esclusivamente a disciplinare il diritto alla cancellazione^[77], in particolare prevedendo i presupposti sia cumulativi che alternativi^[78] indispensabili al fine di ottenere tanto il riconoscimento, quanto l’azionabilità dello stesso.

Difatti ai sensi dell’art. 17 è specificato che: “a) i dati personali non siano più necessari rispetto alle finalità per le quali sono stati raccolti/trattati; b) l’interessato revochi il consenso (e non esista altro fondamento giuridico per il trattamento); c) l’interessato si opponga al trattamento per la sua particolare situazione; d) i dati personali siano stati trattati illecitamente; e) i dati personali debbano essere cancellati per adempiere un obbligo legale previsto dal diritto dell’Unione o dal diritto dello Stato membro cui è soggetto il titolare del trattamento”^[79].

“Diversamente il trattamento dei dati personali è ammissibile e necessario: a) per l’esercizio del diritto alla libertà di espressione e di informazione; b) per l’adempimento di un obbligo legale l’esecuzione di un compito svolto nel pubblico interesse o nell’esercizio di pubblici poteri; c) per motivi di interesse pubblico sanitario; d) a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici ^[...]; e) per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria”^[80].

Le molteplici criticità qualificatorie e non solo, riscontrate dalla dottrina, come a titolo esemplificativo l’assenza di una definizione giuridica^[81] o l’eccessiva discrezionalità nell’operare il bilanciamento affidato agli organi giudiziari nazionali ^[82], hanno indotto a ritenere che il diritto alla cancellazione, in realtà, nient’altro fosse che un ulteriore rimedio volto a tutelare il diritto all’oblio^[83], quest’ultimo da intendersi come una sintesi dei variegati interessi giuridicamente ritenuti rilevanti.

È possibile, infatti, intendere l’oblio anche come il diritto alla deindicizzazione da qualsiasi motore di ricerca dei contenuti considerati lesivi, ovvero il diritto alla cosiddetta armonizzazione del dato, poiché oltre alla mera eliminazione di tali contenuti dalle piattaforme web, diviene necessaria la totale rimozione degli stessi anche dall’elenco dei risultati indicizzati^[84].

Proprio in riferimento a quest’ultima interpretazione, da intendersi quale diritto alla “deindicizzazione”, così come previsto dal Regolamento Europeo, è intervenuta la Corte di Giustizia nel 2019 con la sentenza c. 507/17 nota come il caso Google 2^[85], con la quale si stabilirono i criteri di ammissibilità per svolgere tale operazione, con riferimento ai casi in cui prevalga il diritto all’oblio digitale sul diritto degli utenti a conoscere determinate informazioni e le coordinate topografiche del suo esercizio, ossia su quanti e quali domini tale procedura debba essere espletata.

Ebbene, conclusa la nostra disamina con riferimento all’excursus del diritto di cui stiamo discorrendo, e riprendendo quanto all’incipit del presente paragrafo abbiamo anticipato, è pacifico, in virtù del fatto che l’oblio venga annoverato tra i diritti fondamentali dell’uomo, che anche al minore venga riconosciuto l’esercizio di tale diritto.

Ciò posto, con riferimento alla posizione dei minori, per l’esercizio di tale diritto, rilevante è quanto previsto dal considerando 65 il quale espressamente prevede che, è in particolare rilevante se l'interessato ha prestato il proprio consenso quando era minore, e quindi non pienamente consapevole dei rischi derivanti dal trattamento, e vuole successivamente eliminare tale tipo di dati personali, in particolare da internet. L'interessato dovrebbe poter esercitare tale diritto indipendentemente dal fatto che non sia più un minore.

Ordunque, dalla lettura simultanea dell’art. 17 e di tale considerando, si può agevolmente rilevare che nell’ipotesi in cui il consenso al trattamento dei dati personali sia stato precedentemente rilasciato da coloro che esercitano la responsabilità genitoriale, in nome e per conto del minore infrasedicenne, questi, una volta compiuti i sedici anni, possa sia acconsentire personalmente il trattamento, sia richiedere al titolare del trattamento la cancellazione senza ritardo dei suoi dati personali^[86].

Vieppiù, in tema di esercizio del diritto all’oblio da parte del minore, occorre infine precisare che, in virtù del riconoscimento di una capacità digitale speciale, coincidente nel nostro ordinamento con il compimento degli anni quattordici, si deve ritenere ammissibile che questi possa in qualsiasi momento e senza l’intervento di quanti esercitino la responsabilità genitoriale, esercitare il diritto all’oblio.

6. Conclusioni

In conclusione, dalle diverse considerazioni che fin qui abbiamo avuto modo di sviluppare, non si può non ammettere che il mondo virtuale necessiti oggigiorno di nuovi e puntuali strumenti che possano offrire, ma soprattutto garantire meccanismi di tutela più incisivi.

Ed invero, da più parti in dottrina si avverte sempre di più la necessità di una specifica disciplina con riferimento al trattamento dei dati personali del minore, che tenga in debita considerazione sia le peculiarità e le fragilità riconducibili ai soggetti minorenni, sia la nascita di questo nuovo mercato dedicato ai minori^[87], le cui prerogative paiono all’occhio dell’attento osservatore comunque meritevoli di protezione^[88].

A fronte di una specifica rilevanza anche degli interessi patrimoniali dei provider, strettamente connessi ad un mercato di consumo, nel quale la controparte è rappresentata da soggetti vulnerabili, ancorché aventi la capacità di discernimento^[89], si rende essenziale una disciplina idonea a superare la plasticità dei tradizionali istituti^[90].

Tale esigenza risulta essere invero avvalorata dalla circostanza che nel mondo virtuale il pericolo per i soggetti vulnerabili non risulta essere unicamente quello di perdere l’effettivo dominio sui propri dati personali^[91], ma anche quello di essere maggiormente esposto a possibili lesioni della propria personalità^[92].

In un siffatto contesto, nonostante la presenza di molteplici criticità, non si può comunque non ammettere che, soprattutto per i minori, l’accessibilità ai molteplici servizi digitali costituisca oggi uno dei diversi modi per sviluppare e manifestare la loro identità^[93].

Pertanto, visto e considerato che l’esclusione all’accesso da parte del minore a tali piattaforme digitali, possa in concreto tradursi in una lesione dei suoi diritti fondamentali^[94], diviene necessario effettuare un bilanciamento fra la necessità di protezione della persona e la sua riconosciuta capacità di autodeterminarsi, diritti questi aventi entrambi ad oggetto la possibilità di disporre dei cosiddetti beni digitali^[95].

In virtù delle riflessioni testé fatte, in letteratura ci si domanda se, al fine di meglio tutelare le specifiche fragilità del minore, non fosse stato più opportuno individuare un sistema di protezione più incisivo applicabile a tutta la durata del trattamento stesso^[96], anziché solo nella fase iniziale o finale.

In tal senso, una possibile soluzione pratica potrebbe essere quella di stabilire un duplice controllo: il primo ex ante, volto a monitorare gli algoritmi informatici, in considerazione del loro utilizzo e uno ex post, volto parimenti ad analizzare la successiva fase di analisi e raccolta dei dati stessi, conferendo così ad un soggetto terzo e imparziale il compito di controllo sull’intero processo e legittimando soggetti rappresentativi degli interessi dei singoli individui il diritto e l’obbligo di intervento anche in sede di giudizio, laddove in concreto sussista una loro lesione^[97].

Nonostante i più nobili intenti insiti in tale meccanismo, non si può non constare che in concreto quest’ultimo non risulti essere totalmente esente da criticità; ma nonostante ciò, il suo impiego si dovrebbe parimenti considerare indispensabile a causa, di quell’assenza di effettività insita nel consenso, il quale come abbiamo avuto più volte modo di constare, si è rivelato inadatto a garantire una concreta guarentigia di tutti quei diritti sottesi al trattamento dei dati personali^[98].

Ed invero, la sensazione che maggiormente si diffonde in dottrina risulta essere quella secondo la quale il consenso venga impiegato di fatto per celare un’eterodeterminazione occulta, difficilmente controllabile^[99].

Considerazione questa che si appalesa ancora di più se si ammette che il mercato dei dati sensibili risulta essere sottoposto alla completa egemonia delle società multinazionali titolari di un dominio, equiparabile, se non superiore, a quella di diversi Stati^[100].

In conclusione, se da un lato non sussiste alcun ragionevole dubbio nel ritenere che i dati personali abbiano un contenuto personale quanto patrimoniale e pertanto possano anch’essi essere soggetti alle dinamiche del mercato, dall’altro le molteplici problematiche sottese al trattamento impongono di adottare efficienti strumenti volti a tutelare dai poteri dei privati^[101] diritti e libertà dei singoli individui, specialmente dei soggetti maggiormente vulnerabili e dei minori, obbiettivo questo che necessariamente dev’essere applicato anche per il trattamento dei dati sensibili degli adulti^[102].