L’incidenza di internet sul diritto alla privacy del singolo: diritto all’aggiornamento della notizia, alla deindicizzazione e all’eliminazione del dato

Sommario: 1. Il diritto all’oblio nella realtà virtuale: l’interesse alla contestualizzazione della notizia – 2. Deindicizzazione ed eliminazione della notizia dal Web: il Caso Costeja – 3. Il diritto all’oblio “scolpito” nel GDPR ed il principio dell’ Accountability

1. Il diritto all’oblio nella realtà virtuale: l’interesse alla contestualizzazione della notizia

La diffusione di internet e dei social media ha completamente modificato lo scenario giuridico-sociale, arricchendolo di nuovi diritti e maggiori tutele per l’individuo; difatti, in un contesto in cui il flusso delle informazioni non solo è in continuo addivenire ma rimane cristallizzato in un mondo virtuale, accresce l’esigenza di salvaguardare la propria identità personale dalla rievocazione di una vicenda passata e altresì proteggere l’identità digitale dal carattere perpetuo di cui le notizie si colorano sul web. A ciò si aggiunge che, con l’avvento della rete, a diffondere notizie non intervengono più solo ed esclusivamente professionisti esperti del settore, bensì anche soggetti avulsi da tale ambito che –anche incoscientemente, senza ponderare o valutare la propria attività- diffondono informazioni in tempo reale, in maniera del tutto incontrollata e generalizzata.

In questa continua tensione tra “dati” e “privacy” sono stati elaborati mezzi di tutela capaci di proteggere la posizione di coloro che vedono le proprie informazioni personali destinate a rimanere sine die su piattaforme virtuali, in maniera permanente e con uno standard di divulgazione incontrollato e senza confini geografici; tali strumenti possono essere schematizzati in tre diverse forme di tutela: richiesta di aggiornamento della notizia (cd. contestualizzazione), diritto alla deindicizzazione dell’informazione (cd. congelamento), ed in ultimo, interesse alla eliminazione del dato.

A lumeggiare sulla questione è intervenuto, in primo luogo, il legislatore nel 2003, con l’introduzione del cd. Codice della privacy che all’art. 11 c 1 lett. e) prevedeva che i dati personali oggetto di trattamento devono essere “conservati in una forma che consenta l’identificazione dell’interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati” e all’art. 7 c. 3 lett. a) consentiva all’interessato di partecipare attivamente alla gestione dei dati, prevedendo il diritto all’aggiornamento, alla rettificazione o all’integrazione dei dati e, altresì, il diritto all’anonimato; in secondo luogo però, sono state le pronunce giurisprudenziali ed amministrative sul tema a meglio delimitare i confini virtuali del “Droit all’oublì”.

Riguardo la pretesa di contestualizzazione delle informazioni, un primo caso è stato posto all’attenzione della Corte di Cassazione nel 2012, occasione in cui i giudici hanno accolto la domanda del ricorrente inquadrando le sue richieste non nel “diritto ad essere dimenticati”, bensì “nell’ interesse ad apparire come si è”, espressione del generale diritto all’identità personale.

Procedendo per gradi, è importante ricostruire la vicenda.

La questione è scaturita dalla presenza nell’archivio on line del giornale “Il Corriere della Sera” di una notizia di cronaca giudiziaria risalente al 1993 che vedeva coinvolto un noto personaggio della politica italiana implicato in un caso di corruzione; l’interessato lamentava la lesione della propria privacy e dell’identità personale poiché la rivista aveva omesso di aggiornare l’articolo con la notizia della sua assoluzione, essendo questo consultabile solo nella sua forma originaria.

Il politico, con tali contestazioni, ha inizialmente adito l’Autorità Garante della Privacy per ottenere la cancellazione e la deindicizzazione dell’articolo, richieste che però rimasero disattese sulla base di differenti argomentazioni.

Per l’Autority, infatti, non solo non sussisteva in capo alla testata giornalistica on line un obbligo di aggiornamento della notizia, ma ciò non era neanche possibile sulla base dell’interesse pubblico ancora attuale per i fatti narrati, interesse giustificato -a ben vedere- dalla notorietà e dalla carica politica rivestita dal soggetto al momento della proposizione della domanda; ed inoltre, in sede di impugnazione del ricorso, il Tribunale di Milano rigettava la domanda dell’interessato affermando che non solo un eventuale aggiornamento della notizia avrebbe snaturato la funzione storiografica dell’elaborato, ma evidenziava anche l’impossibilità di operare un richiamo al diritto all’oblio, non essendo emersa alcuna contestazione in merito alla rievocazione di fatti passati.

Di diverso avviso si è posta la Corte di Cassazione che, sulla scorta delle disposizioni contenute nel d.lgs. del 2003, ha riconosciuto all’interessato del trattamento il potere di divenire «compartecipe nell’utilizzazione dei suoi dati personali» , e dunque, non solo lo scrittore deve rispettare i criteri sanciti dal Decalogo del giornalista, ma il titolare dei dati ha il diritto all’aggiornamento ed alla contestualizzazione della notizia che lo vede protagonista; invero, solo con il collegamento «ad altre informazioni successivamente pubblicate concernenti l’evoluzione della vicenda, che possano completare o finanche radicalmente mutare il quadro evincentesi dalla notizia originaria, a fortiori se trattasi di fatti oggetto di vicenda giudiziaria» può garantirsi efficace tutela all’identità attuale dell’interessato.

Tale garanzia non è assicurata qualora si conservi in archivio una notizia non debitamente integrata o aggiornata – anche se di interesse pubblico poiché inerente a personaggi noti – in quanto così si diffonderebbero informazioni sostanzialmente false e di conseguenza l’attività giornalistica sarebbe illegittima per mancanza di uno degli elementi essenziali del Decalogo.

Alla stregua di ciò, i Giudici nella delicata opera di bilanciamento di due interessi primari quali la libertà di informazione ed il diritto all’oblio, individuano una soluzione temperata che risiede proprio nell’aggiornamento del dato, operazione che compete al titolare del supporto sul quale la notizia è stata pubblicata e diffusa, il quale deve predisporre un sistema capace di mostrare gli eventuali sviluppi del fatto riferito (garantendo una corretta informazione), “non essendo al riguardo sufficiente la mera generica possibilità di rinvenire all’interno del <<mare di internet>> ulteriori notizie concernenti il caso di specie”.

Con la pronuncia richiamata viene ulteriormente riempito di contenuto il “Droit all’oubli”, il quale non trova più spunti applicativi esclusivamente nella stampa tradizionale, ma anche nelle nuove piattaforme on line, in cui, per il grado di obsolescenza del supporto su cui è pubblicata la notizia, è richiesta maggiore delicatezza nella diffusione delle informazioni, riconoscendo ad un soggetto il diritto di ottenere la tutela della propria immagine sociale, dell’aggiornamento e dell’integrazione dei propri dati.

2. Deindicizzazione ed eliminazione della notizia dal Web: il Caso Costeja

Procedendo all’esamina del secondo dei tre criteri di tutela di cui gli individui sono titolari per difendere la propria identità dal mondo di internet – ossia la deindicizzazione di una notizia dalle pagine del web -, fondamentale appare la pronuncia del 2014 della Corte di Giustizia dell’Unione Europea in merito al caso Costeja contro Google Spain.

Nella fattispecie, un cittadino spagnolo di nome Mario Costeja Gonzalez, ricorse inizialmente all’Agencia Espanola de Protecciòn de Datos ̵ Garante della privacy spagnola – per lamentare il fatto che una volta immesso il proprio nome nei motori di ricerca di internet, tra i primi risultati emergevano due articoli di una testata giornalistica on line risalenti a circa dodici anni prima, in cui venivano pubblicati i suoi dati personali in relazione ad una vicenda tributaria che lo vedeva coinvolto: ritenendo le notizie non più attuali, Costeja ne chiedeva la soppressione o la modifica del contenuto da parte del sito e, al contempo, invocava la rimozione da parte di Google dei link alle pagine web del giornale.

Nonostante l’accoglimento parziale delle richieste da parte del Garante, il quale imponeva ai gestori di Google Inc. di rimuovere i dati indicizzati ed i collegamenti all’articolo, il colosso di internet rimase del tutto inottemperante; difatti Google, avendo una propria sede legale in California, non ritenne applicabile alla propria attività la normativa spagnola ed europea in materia di dati personali e di privacy.

In seguito a ciò la querelle si spostò in sede giudiziaria, innanzi all’ Audencia Nacional di Madrid, che vide contrapposti da un lato l’AEPD, che invocava la tutela della privacy ed il diritto all’oblio del sig. Costeja, dall’altro Google, che invece reclamava la propria libertà di informazione.

Il Tribunale spagnolo, esaminata la questione, sollevò un rinvio pregiudiziale innanzi alla CGUE vertente su tre punti essenziali: se l’attività svolta da Google, consistente nel localizzare, memorizzare ed indicizzare in automatico le informazioni presenti sul web, potesse essere considerata una tipica attività di trattamento dei dati personali e se di conseguenza ad essa fosse applicabile la normativa europea; se Google potesse essere considerato responsabile del trattamento dei dati personali; ed infine, se l’affermazione del diritto all’oblio coinvolgesse soltanto gli indirizzi URL che rimandano alle informazioni lesive o se invece anche i risultati proposti dai motori di ricerca, con un conseguente onere di deindicizzazione da parte dei provider che offrono tali servizi.

Procedendo velocemente sui primi due interrogativi posti dal Tribunale spagnolo, la Corte affermò in prima battuta che, essendo l’attività svolta dal motore di ricerca finalizzata alla raccolta, all’estrazione, alla registrazione ed all’organizzazione dei dati nei programmi di indicizzazione, che successivamente conserva, eventualmente comunica e mette a disposizione dei propri utenti, tale attività non può che essere inquadrata come “trattamento” dei dati personali, essendo, le operazioni enumerate, contemplate esplicitamente dall’art 2, lett. b) della direttiva 95/46; rispondendo anche alla seconda questione, invece, i giudici europei affermano che essendo il gestore del motore di ricerca a determinare le finalità e gli strumenti per il trattamento dei dati personali, è lo stesso Google a dover essere considerato “responsabile” del trattamento ex art 2, lett. d).

Dunque, stante l’incidenza dell’attività da lui posta in essere sui diritti fondamentali degli utenti – autonomamente o in aggiunta all’attività di editori di siti web – ed essendo lo stesso motore di ricerca il responsabile del trattamento dei dati, esso ha il dovere di garantire il rispetto della direttiva europea 95/46, in cui sono contenute le disposizioni per assicurare una tutela effettiva della privacy di tutti i soggetti interessati.

Occorre ora esaminare più approfonditamente la terza ed ultima questione posta all’attenzione della Corte di Giustizia Europea, rilevante ai fini della analisi qui svolta in materia di diritto all’oblio, afferente al cd. diritto al congelamento dei dati.

Il quesito su cui si è pronunciata la Corte europea ha rappresentato il “cuore” della cd. sentenza Google Spain, poiché ha determinato una pioneristica rideterminazione del volto del diritto all’oblio.

Le difese avanzate dal motore di ricerca si basarono sostanzialmente su un difetto di legittimazione passiva: a parere di Google la domanda di soppressione dati proposta dal sig. Costeja doveva essere rivolta all’editore del sito in quanto esclusivo responsabile della pubblicazione delle notizie ivi presenti e unico dotato di strumenti tali da farne cessare la diffusione.

Diversamente, invece, i legali del Sig. Costeja affermarono il potere dell’AEPD di obbligare in via diretta – al gestore del motore di ricerca – di rimuovere dagli indici e dalla memoria intermedia quelle informazioni concernenti i dati personali, pubblicati da terzi senza dover previamente rivolgersi all’editore del sito dove sono pubblicate tali notizie; inoltre – si aggiunse – a nulla rileva la legittimità della pubblicazione operata dal sito e la presenza delle informazioni sulla pagina web d’origine in quanto ciò non esula Google dall’operare un pronto intervento.

La Corte, in sintesi, fu chiamata a risolvere una questione concernente il bilanciamento dei diritti essenziali sanciti dalla Carta di Nizza agli artt. 7 e 8 e proiettati nella direttiva 95/46 agli artt. 6,7,12,14 e 28, vedendo contrapposti da un lato il diritto alla privacy e la sua affermazione come diritto all’autodeterminazione informativa e dall’altro ulteriori fondamentali interessi come la libertà di espressione, di pubblica informazione e di impresa: bilanciamento da cui deriva il riconoscimento del diritto alla de-indicizzazione delle informazioni e come immediata conseguenza l’individuazione in capo a Google di obblighi di rimozione della propria memoria dei dati che il cittadino spagnolo vuole siano “dimenticati”.

All’esito di tale delicata opera di ponderazione, la Corte ha sancito la prevalenza nel caso in esame dei diritti della persona, con una conseguente soccombenza della libertà di informazione e degli interessi economici di Google che, ritenuto responsabile del trattamento dei dati, può legittimamente ricevere dall’interessato domande ai sensi degli artt. 12 (diritto di accesso) e 14 (diritto di opposizione della persona interessata), con un conseguente obbligo di analisi in merito alla fondatezza delle richieste a lui avanzate.

Tuttavia, i giudici di Lussemburgo hanno precisato che “Se indubbiamente i diritti della persona interessata … prevalgono, di norma, anche sul citato interesse degli utenti di Internet, tale equilibrio può nondimeno dipendere, in casi particolari, dalla natura dell’informazione di cui trattasi e dal suo carattere sensibile per la vita privata della persona suddetta, nonché dall’interesse del pubblico a disporre di tale informazione, il quale può variare, in particolare, a seconda del ruolo che tale persona riveste nella vita pubblica”.

In altre parole dal bilanciamento degli interessi in gioco non deriva automaticamente – come un’equazione matematica- la prevalenza del diritto di privacy, ma è necessario effettuare caso per caso un accertamento comparativo in ordine alla presenza di alcuni fattori: la natura dei dati trattati (in particolare se fanno parte della categoria dei cd. dati sensibili), il ruolo ricoperto dal protagonista della vicenda nella società, l’interesse pubblico attuale alla notizia e la rilevanza dell’informazione.

In tale “competizione” partecipa come “arbitro”, secondo i giudici, il motore di ricerca stesso, il quale deve attentamente analizzare la presenza e la preponderanza dei fattori suddetti.

Ancora, prosegue la sentenza, il riconoscimento del diritto all’oblio nella forma della deindicizzazione è poi giustificata dal combinato disposto degli artt. 7, 12 e 14 della direttiva, alla stregua dei quali il soggetto interessato gode di poteri di accesso e di opposizione al trattamento (art 12 lett. b)) e del diritto di opporsi all’utilizzo dei dati (art. 14 lett. a)), e sussiste come condizione di legittimità del trattamento che l’interesse perseguito dal suo responsabile non prevarichi sui diritti e le libertà fondamentali riconosciute ai soggetti (art. 7 lett. f)); ne consegue che il sig. Costeja ha il potere di richiedere al motore di ricerca la diretta rimozione dalla loro SERP dei contenuti lesivi, a cui corrisponde l’obbligo in capo al service provider di eliminare, dall’elenco dei risultati che derivano da una ricerca effettuata col nome del soggetto, gli URL che rinviano a pagine contenenti notizie a lui relative (anche se la pubblicazione è di per sé lecita).

Ed in ultimo, l’art. 6 della direttiva prevede, altresì, il diritto al congelamento dei dati o alla cancellazione quando il loro trattamento risulti in contrasto con la direttiva stessa, e ciò avviene nel momento in cui le informazioni risultino essere inesatte, inadeguate, non pertinenti o eccessive rispetto alla finalità della raccolta.

In conclusione, con la sentenza in esame, i Giudici di Lussemburgo non hanno creato una nuova definizione di diritto all’oblio, ma hanno affermato il diritto di un soggetto a non essere trovato on line, eliminando il collegamento che conduce ai suoi dati personali.

Prorompenti gli effetti generati dalla sentenza Costeja.

Un primo aspetto, fortemente criticato da parte della dottrina è quello concernente il potere di Google di decidere sulle richieste di deindicizzazione avanzate dagli utenti della rete: nonostante i giudici di Lussemburgo abbiano specificato la possibilità degli interessati di ricorrere in via amministrativa o al controllo giudiziario in caso di ottemperanza dei provider, è stato riconosciuto a Google un ruolo di natura giurisdizionale “para-costituzionale” quale risulta essere l’analisi e la verifica della fondatezza delle domande sulla base di un giudizio di bilanciamento tra i diversi valori coinvolti.

Questa forma di “tecnocrazia” non può concedere a Google di sostituirsi all’operato degli uomini in un giudizio di ponderazione in cui coesistono interessi primari come quelli precedentemente citati (diritto alla privacy, all’informazione ecc..), non garantendo così alcun giudizio di tipo equitativo, neutrale e trasparente, come al contrario viene svolto dagli apparati pubblici aventi funzioni giurisdizionali e para-giurisdizionali.

A ciò, infine, si aggiunge l’inevitabile “effetto Streisand” che può derivare da una richiesta di rimozione, a causa del quale un soggetto, contrariamente all’obiettivo da lui perseguito, ottiene il “rimbalzo” su tutti i Mass media della notizia da dimenticare.

3. Il diritto all’oblio “scolpito” nel GDPR ed il principio dell’ Accountability

Sebbene la sentenza C-131/12 della CGUE risalga al 2014, i suoi effetti ben si conciliano con il regolamento n. 679 del 2016, anche detto “General Data Protection Regulation” (GDPR), nato con lo scopo di armonizzare e semplificare le disposizioni in materia di privacy; invero, se da un lato i destinatari del regolamento sono gli utenti che – perennemente connessi col mondo virtuale – richiedono disposizioni ad hoc per meglio controllare l’utilizzo dei propri dati sul web, dall’altro esso si applica alle persone fisiche e giuridiche che trattano i dati personali dei cittadini dell’Unione Europea, anche se non residenti in Europa (cd. extraterritorialità).

Il GDPR, inteso quale “strumento abilitante il mercato digitale”, sostituisce la direttiva 95/46 sulla Protezione dei dati: sebbene i principi ispiratori coesistano in entrambe le disposizioni, la normativa del 2016 – nel suo contenuto – prende in considerazione tutti i fondamentali cambiamenti avvenuti negli ultimi anni in tema di evoluzione digitale, in particolare quelli che inevitabilmente sono entrati in rotta di collisione con i diritti personali dei vari utenti del Web.

In tema di diritto all’oblio, dirompente è stata la disposizione di cui all’art. 17 del GDPR, che sancisce il “Right to be forgotten”, prevedendo per l’interessato il diritto di ottenere dal titolare del trattamento la cancellazione dei propri dati personali se ne ricorrono i presupposti, alcuni dei quali già sanciti dalla vecchia direttiva 95/46/CE.

Tuttavia la normativa presenta un’aporia di non poco conto, difatti, benché ad essa possa essere attribuito il merito di aver cristallizzato il diritto all’oblio nell’art. 17, quest’ultimo prevede esclusivamente la possibilità di cancellazione del dato e non anche quella di deindicizzazione; è evidente il grande vulnus, stante la maggiore complessità procedurale per l’utente di chiedere la cancellazione dei dati su tutte le pagine web, piuttosto che chiederne la deindicizzazione al motore di ricerca (come avvenuto nel caso Costeja).

Per colmare tale mancanza, può essere interpretato l’art. 17 alla luce del considerando n. 66, che ricomprende nell’ambito del diritto all’oblio anche la possibilità di richiedere la deindicizzazione del dato; in particolare esso prescrive che “per rafforzare il «diritto all’oblio» nell’ambiente online, è opportuno che il diritto di cancellazione sia esteso in modo tale da obbligare il titolare del trattamento – che ha pubblicato i dati – a informare i titolari del trattamento che trattano questi dati personali, di cancellare qualsiasi link verso tali dati personali o copia o riproduzione di detti dati personali. Nel fare ciò, è opportuno che il titolare del trattamento adotti misure ragionevoli tenendo conto della tecnologia disponibile e dei mezzi a disposizione del titolare del trattamento, comprese misure tecniche, per informare della richiesta dell’interessato i titolari del trattamento che trattano i dati personali.” Anche se, la CGUE, non ha avuto occasione di operare un’interpretazione adeguatrice, poichè tra gli unici casi che gli sono stati presentati, uno era accaduto sotto il regime della precedente normativa, l’altro riguardava la territorialità.

Nell’art. 17, alla mancanza di un esplicito riferimento al congelamento dei dati corrisponde, però, la presenza di una disciplina in materia di cancellazione delle informazioni dalla piattaforma virtuale (terza ed ultima facoltà concessa all’utente per far valere il proprio diritto all’oblio), previsto e consentito alla presenza di determinate condizioni e con alcuni limiti: è concesso qualora il trattamento dei dati risulti illecito, quando sia giunta la revoca del consenso al trattamento dei dati (laddove previsto) ed al venir meno della la finalità a cui la raccolta dell’informazione era preordinata; i limiti invece risiedono nella generale libertà di espressione ed informazione, in particolare con riferimento a quegli interessi di carattere pubblico, scientifico o storico.

Oltre al diritto all’oblio previsto dal già citato art. 17, il GDPR prevede una vasta gamma di diritti esercitabili dai consumatori.

Viene rafforzato il diritto alla trasparenza, per cui l’informativa sulla privacy deve essere di agevole consultazione, scritta con un linguaggio semplice e trasparente, indicando i motivi del trattamento, il periodo di gestione dei dati, le generalità del responsabile del trattamento e le modalità per richiedere cancellazione e modifica (principio consensualistico); sono garantiti i diritti di accesso e di opposizione, per cui l’utente può richiedere di accedere ai propri dati ed eventualmente opporsi al loto trattamento. Infine, all’utente è assicurata la portabilità delle informazioni, per cui queste sono trasferibili ad altro gestore in qualsiasi momento.

Dunque, è possibile sintetizzare il contenuto del GDPR in cinque punti cardine: (1) correttezza e trasparenza nella gestione dei dati; (2) minimizzazione dei dati, per cui devono essere raccolte solo le informazioni necessarie per gli obiettivi previsti; (3) gli elementi raccolti devono essere esatti e contestualizzati, altrimenti bisogna provvedere alla loro modifica o cancellazione dal web; (4) l’archiviazione delle informazioni è limitata ai tempi necessari per le finalità prescritte; (5) in ultimo, deve essere assicurata la sicurezza e la riservatezza dei dati raccolti, adottando tutte le misure adeguate a tal scopo, in modo da proteggere i dati da furti o altri eventi dannosi, che potrebbero far sorgere una responsabilità del titolare del trattamento.

Proprio con riferimento a tale ultima accezione si è diffuso il concetto di Accountability (letteralmente: responsabilità), per indicare il generale dovere degli Accountable – ossia coloro che gestiscono, conservano o elaborano dati altrui – di garantire la piena conformità dell’attività da loro svolta alla normativa italiana ed europea in materia di privacy.

Per rispettare tale compito, il responsabile del trattamento gode di ampia scelta in merito ai criteri da seguire ed agli strumenti da adottare, purché ciò avvenga nel rispetto delle disposizioni del GDPR, in particolare seguendo pedissequamente due criteri essenziali: il primo è il metodo di protezione dei dati “by design e by default”, che impone una valutazione anticipata dei problemi già nella fase di progettazione, col fine di prevenire il verificarsi dei rischi connessi al trattamenti dei dati, il secondo è invece individuato dall’art. 25 GDPR, per cui, ai fini della tutela delle informazioni degli utenti, il titolare prima di iniziare il trattamento deve “tener conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento; […]”.

In virtù del principio di Accountability dunque, il responsabile del trattamento deve analizzare ogni processo, ogni atteggiamento, azione o disposizione in materia di protezione dei dati personali, così da precostituirsi prova della conformità della propria attività al GDPR.

Quest’ultimo, in particolare, all’art. 82 prescrive che, in caso di violazione degli obblighi imposti è previsto un risarcimento del danno materiale e immateriale (tradotto per la normativa italiana: danno patrimoniale e non patrimoniale), danni specificati dal considerando n. 75, il quale fa riferimento a casi di discriminazione, furto di identità e perdite finanziarie.

Dubbi in merito sono sorti riguardo la natura della responsabilità ex art. 82 che prevede una sanzione di tipo amministrativa.

Nell’ispecie, posto che è il giudice nazionale a dover valutare l’effettiva sussistenza di una responsabilità in capo all’Accountable, si discute se il suo accertamento debba vertere anche sull’elemento psicologico del dolo o della colpa, dato il silenzio della norma sul punto; prevedendo l’articolo de quo come prova liberatoria l’imputabilità dell’evento per caso fortuito, forza maggiore o fatto del terzo, pare che la natura della responsabilità in tal caso oscilli fra una responsabilità da contatto sociale qualificato (che segue la disciplina della responsabilità contrattuale) e una responsabilità meramente oggettiva (che invece è sottoposta alle medesime disposizioni della responsabilità extracontrattuale).

Riguardo, in ultimo, al profilo processuale, il GDPR all’art 140 bis sancisce il principio di alternatività, per cui l’utente in caso di lesione dei propri diritti fondamentali, può adire sia l’autorità Garante della privacy che l’autorità giurisdizionale, però la proposizione della domanda al Garante rende improponibile il reclamo al GO e viceversa; avverso le decisioni del Garante, invece, l’art. 143 c. 4 prevede che è possibile ricorrere in sede giudiziale e l’art. 152 che, qualora sia richiesto il risarcimento del danno, unico legittimato a conoscere tale domanda è il giudice e non l’autorità amministrativa.