Basta digitare il proprio nome su Google. In prima pagina, ancora oggi, compare quell’articolo di cronaca di dieci anni fa: un’indagine poi archiviata, un fallimento poi chiuso con tutti i creditori soddisfatti, una lite societaria ricomposta da tempo. Il giornale non lo leggerebbe più nessuno, ma il motore di ricerca lo ripropone a chiunque — un cliente, una banca, un datore di lavoro — come se fosse notizia di ieri. È esattamente il problema che il diritto all’oblio affronta: non riscrivere il passato, ma impedire che un fatto ormai privo di attualità continui a definire una persona o un’impresa agli occhi di chi la cerca in rete. Lo strumento esiste, è azionabile senza andare in tribunale, e ha regole precise: conoscerle fa la differenza tra un’istanza accolta e una respinta.
Cancellazione e deindicizzazione: due rimedi diversi
Il punto di partenza è l’art. 17 del GDPR (Regolamento UE 2016/679), rubricato «Diritto alla cancellazione (“diritto all’oblio”)»: l’interessato ha diritto di ottenere dal titolare la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo quando ricorre uno dei motivi elencati al par. 1 — tra i principali: i dati non sono più necessari rispetto alle finalità, il consenso è stato revocato e manca un’altra base giuridica, l’interessato si è opposto al trattamento e non vi sono motivi legittimi prevalenti, il trattamento è illecito. È uno dei diritti del «pacchetto» degli artt. 15-22, che abbiamo mappato nell’approfondimento sui diritti dell’interessato.
Sulla rete, però, il diritto si sdoppia in due rimedi che conviene tenere distinti. La cancellazione si chiede alla fonte: l’editore, il blog, il sito che ospita il contenuto. La deindicizzazione (delisting) si chiede invece al motore di ricerca: il contenuto resta online, ma scompare dai risultati associati al nome della persona. A stabilire che il gestore del motore è un autonomo titolare del trattamento, obbligato a valutare le richieste di rimozione, fu la storica sentenza della Corte di giustizia UE, Grande Sezione, 13 maggio 2014, causa C-131/12 (Google Spain). Nella pratica la deindicizzazione è spesso il rimedio più realistico: l’archivio del giornale può legittimamente conservare l’articolo — la libertà di espressione e di informazione e, a determinate condizioni, l’archiviazione nel pubblico interesse sono eccezioni espresse dell’art. 17, par. 3 — ma il collegamento automatico tra quel nome e quel fatto, riproposto a ogni ricerca, può non essere più giustificato.
Quando la cancellazione è dovuta (e quando no)
L’art. 17 non è un diritto assoluto. Il par. 3 elenca le ipotesi in cui cancellazione e oblio cedono: l’esercizio della libertà di espressione e di informazione; l’adempimento di un obbligo legale o l’esecuzione di un compito di interesse pubblico; i motivi di sanità pubblica; l’archiviazione nel pubblico interesse e la ricerca storica, scientifica o statistica; l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria. Tradotto: il vecchio articolo di cronaca, in sé, difficilmente si fa cancellare dall’archivio; la pretesa fondata si concentra sulla reperibilità tramite motore di ricerca e, verso la fonte, su correzioni e aggiornamenti (l’esito dell’assoluzione, l’archiviazione sopravvenuta).
Su questo equilibrio si è pronunciata anche la Cassazione a Sezioni Unite, sentenza 22 luglio 2019, n. 19681: chi ripubblica a distanza di anni una vecchia notizia non esercita più il diritto di cronaca ma la rievocazione storica, e il giudice deve verificare se esista un interesse pubblico concreto e attuale a menzionare ancora gli elementi identificativi delle persone coinvolte. Il fatto può restare raccontabile; il nome, quando non aggiunge nulla all’interesse storico, può essere anonimizzato.
Come si presenta l’istanza al motore di ricerca
La richiesta di deindicizzazione non richiede formule sacramentali, ma precisione documentale. I principali motori mettono a disposizione un modulo dedicato alla rimozione ai sensi della normativa europea; in alternativa l’istanza può essere inviata come esercizio dei diritti ex artt. 17 e 21 GDPR. Gli elementi che contano:
- gli URL esatti di cui si chiede la rimozione, uno per uno (non «tutto ciò che mi riguarda»);
- la query interessata: la deindicizzazione opera sulle ricerche condotte a partire dal nome della persona;
- i motivi: perché il dato è inesatto, non aggiornato, eccedente o non più rilevante — con i documenti a sostegno (provvedimento di archiviazione, sentenza di assoluzione, certificati, rettifiche pubblicate); chi è stato prosciolto o ha ottenuto l’archiviazione può anche chiedere alla cancelleria del giudice l’annotazione prevista dall’art. 64-ter disp. att. c.p.p., in forza della quale il provvedimento «costituisce titolo» per ottenere, ai sensi e nei limiti dell’art. 17 GDPR, la deindicizzazione dei contenuti relativi al procedimento penale dalle ricerche condotte a partire dal nome: un titolo, non un automatismo, perché resta il bilanciamento con l’interesse all’informazione;
- i dati identificativi del richiedente — se nutre ragionevoli dubbi sull’identità, il gestore può chiedere ulteriori informazioni per confermarla (art. 12, par. 6, GDPR) — e l’eventuale procura, se l’istanza è presentata tramite un consulente.
Il titolare deve rispondere senza ingiustificato ritardo e comunque entro un mese (art. 12, par. 3, GDPR), prorogabile di due mesi nei casi complessi; se non ottempera, deve indicare i motivi e la possibilità di reclamo all’autorità di controllo (art. 12, par. 4). Un’avvertenza sulla portata: dopo la sentenza della Corte di giustizia UE, Grande Sezione, 24 settembre 2019, causa C-507/17 (Google/CNIL), la deindicizzazione accolta opera di regola sulle versioni europee del motore, accompagnata da misure che scoraggino l’aggiramento dall’interno dell’Unione: la rimozione globale non è un obbligo generale, anche se le autorità nazionali possono, in casi particolari, ordinarla all’esito del bilanciamento.
Il bilanciamento con l’interesse pubblico
Nessuna deindicizzazione è automatica: ogni istanza apre un bilanciamento tra il diritto alla riservatezza e alla protezione dei dati, da un lato, e la libertà di informazione del pubblico, dall’altro. I criteri elaborati dalla giurisprudenza europea e ripresi dalle Linee guida EDPB 5/2019 sono ricorrenti: il ruolo pubblico dell’interessato (l’amministratore di società che opera sul mercato ha uno spazio di oblio più stretto del privato cittadino); il tempo trascorso e l’attualità della vicenda; la natura del dato (le vicende giudiziarie richiedono aggiornamento sull’esito: un’istanza che documenta l’assoluzione pesa molto di più); l’esattezza dell’informazione; le conseguenze concrete sulla vita della persona. Per le imprese il tema si declina come reputazione: i dati «personali» in senso proprio riguardano le persone fisiche, ma la deindicizzazione richiesta dall’amministratore o dal socio il cui nome è associato a vicende superate produce effetti diretti sull’azienda che quei nomi rappresentano.
Se il motore non risponde: il reclamo al Garante
Contro il rifiuto — o il silenzio — del motore di ricerca non serve una causa: l’interessato può proporre reclamo al Garante per la protezione dei dati personali ai sensi dell’art. 77 GDPR e degli artt. 141 ss. del Codice privacy (D.Lgs. 196/2003), che per legge decide entro nove mesi, dodici in presenza di motivate esigenze istruttorie (art. 143, comma 3, del Codice), anche se nella prassi i tempi possono allungarsi. È un rimedio effettivo e usato: nel provvedimento 4 giugno 2025, n. 333, il Garante ha ordinato a Google di deindicizzare 6 dei 14 URL contestati da un imprenditore — quattro perché rinviavano ad articoli di almeno dieci anni fa ormai superati da cronache più recenti, due perché lo accostavano a temi di corruzione e crimine organizzato senza riscontri probatori — respingendo la richiesta per altri sette, per l’attualità delle notizie e il suo ruolo pubblico internazionale; nel provvedimento 13 febbraio 2025, n. 72, ha invece respinto la richiesta di rimozione globale di articoli su una vicenda giudiziaria ancora in parte aperta, ritenendo prevalente, all’esito del bilanciamento, il diritto della collettività all’informazione e ribadendo che la deindicizzazione si valuta sulle ricerche condotte a partire dal nome. Due facce dello stesso metodo: l’esito si decide sui documenti e sulla misura della richiesta, non sulle istanze generiche. Ricordiamo che gli stessi obblighi di riscontro valgono per qualunque titolare: chi gestisce un sito deve prevedere canali e tempi di risposta alle istanze degli interessati già nell’informativa privacy e nella privacy policy del sito web.
L’oblio oncologico: un cenno di attualità
Dal 2024 l’ordinamento conosce anche un oblio «di settore»: la legge 7 dicembre 2023, n. 193 sul cosiddetto oblio oncologico vieta di richiedere informazioni sulla pregressa malattia oncologica quando il trattamento attivo è concluso da più di dieci anni senza recidive — termine ridotto a cinque se la malattia è insorta prima dei ventuno anni, salvi i termini più brevi che la legge rimette a un decreto del Ministro della salute per specifiche patologie — nell’accesso a banca, assicurazioni, adozioni, lavoro e concorsi. Il D.Lgs. 31 dicembre 2025, n. 212 non ha toccato questi termini: è intervenuto sulle disposizioni di attuazione per banche, intermediari e assicurazioni, affidate a Banca d’Italia, Consob e IVASS, che ne vigilano l’applicazione, ferma la vigilanza generale del Garante privacy. È un istituto diverso dalla deindicizzazione (opera sui questionari e sulle istruttorie, non sui motori di ricerca), ma esprime lo stesso principio: il passato non più attuale non può decidere il presente.
Cosa dice la giurisprudenza
Il nodo pratico più frequente — chi deve provare cosa — è stato sciolto dalla Corte di giustizia UE, Grande Sezione, sentenza 8 dicembre 2022, causa C-460/20 (TU e RE c. Google LLC). Il caso: un amministratore e azionista di società di investimento e la sua compagna, fino al maggio 2015 procuratrice di una delle società del suo gruppo, chiedevano a Google la deindicizzazione di tre articoli che criticavano il modello di investimento di quelle società, sostenendo che contenessero informazioni inesatte, e la rimozione delle relative foto in anteprima; Google rifiutava, non potendo stabilire se le informazioni fossero vere o false. La Corte ha fissato il punto di equilibrio: chi chiede la deindicizzazione per inesattezza deve fornire gli elementi di prova pertinenti e ragionevolmente esigibili, senza però essere onerato di procurarsi prima una decisione giudiziaria contro l’editore; quando l’inesattezza di una parte non marginale delle informazioni è resa manifesta, il gestore deve deindicizzare, e per le foto in anteprima serve una valutazione autonoma del loro valore informativo. Esempio applicativo: un professionista trova 10 risultati associati al proprio nome; per 3 di essi documenta con la sentenza l’assoluzione mai riportata dagli articoli. Con quell’allegato l’istanza sui 3 URL ha basi solide: se gli articoli presentano come attuale un’accusa smentita dalla sentenza, l’inesattezza è documentata e, quando risulta manifesta, il gestore è tenuto ad accogliere la richiesta; in ogni caso — lo ha chiarito la Corte di giustizia UE, Grande Sezione, 24 settembre 2019, causa C-136/17 (GC e altri) — deve quantomeno ordinare i risultati in modo che il quadro complessivo rifletta la situazione giudiziaria attuale. Per gli altri 7, esatti e ancora attuali, il bilanciamento può legittimamente far prevalere l’informazione.
Costruire l’istanza così — URL, query, motivi, prove, e la scelta realistica tra fonte, motore e Garante — è il lavoro che svolgiamo nella consulenza GDPR e privacy, per privati che vogliono chiudere con un passato non più attuale e per imprese che curano la propria reputazione. Per una prima valutazione del caso concreto si può scrivere dalla pagina contatti.
Domande frequenti
Posso far cancellare un articolo di giornale che parla di me? Di regola no, se l’articolo era legittimo quando fu pubblicato: l’archivio giornalistico è protetto dalla libertà di espressione e di informazione e, a determinate condizioni, dall’eccezione di archiviazione nel pubblico interesse (art. 17, par. 3, GDPR). Le strade realistiche sono altre: chiedere all’editore l’aggiornamento (l’esito assolutorio, l’archiviazione) o l’anonimizzazione del nome quando la vicenda ha solo valore storico, e chiedere al motore di ricerca la deindicizzazione dai risultati associati al proprio nome.
Quanto tempo ha Google per rispondere e cosa faccio se rifiuta? Il gestore deve rispondere entro un mese dall’istanza, prorogabile di due nei casi complessi (art. 12 GDPR). In caso di rifiuto o silenzio si può proporre reclamo al Garante: l’interessato può sottoscriverlo personalmente (art. 142 del Codice privacy) e senza spese (art. 57, par. 3, GDPR). Il Garante decide per legge entro nove mesi — dodici se servono approfondimenti istruttori — e può ordinare la rimozione, come accaduto nel provvedimento n. 333/2025. Resta ferma, in alternativa, la via giudiziaria.
La deindicizzazione vale anche su google.com fuori dall’Europa? Di regola no: dopo la sentenza CGUE C-507/17, l’obbligo copre le versioni europee del motore, con misure che impediscano l’aggiramento dall’interno dell’UE. La rimozione globale non è esclusa in assoluto — le autorità nazionali possono valutarla in casi particolari — ma non è scontata: nel 2025 il Garante l’ha negata quando gli interessi del richiedente risultavano concentrati in ambito europeo (provvedimento 13 marzo 2025, n. 159) o comunque non estesi a livello internazionale (provvedimento 13 febbraio 2025, n. 72).
Il presente approfondimento ha finalità informative e fotografa la disciplina vigente alla data di pubblicazione; non sostituisce una valutazione del caso concreto.
Questo approfondimento ha finalità informative e divulgative e non costituisce un parere legale sul caso concreto. Contenuto verificato dal Dott. Giuseppe Foti, consulente legale — ultima verifica: 19 ottobre 2026.