Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
Chiedere la cancellazione dei propri dati personali al provider cloud sembra semplice, ma spesso si scopre — troppo tardi — che quei dati sono distribuiti su server in più continenti, gestiti da soggetti diversi, soggetti a leggi extraeuropee. Il diritto all'oblio esiste sulla carta: renderlo effettivo nell'architettura del cloud computing è un'altra storia. Questo articolo analizza il problema dalla prospettiva pratica e giuridica, alla luce degli orientamenti più recenti della Corte di Cassazione e del Garante Privacy.
Immaginate di aver subito un procedimento penale conclusosi favorevolmente. Dopo anni, cercate il vostro nome su Google e trovate ancora quegli articoli, quegli URL, quella storia. Chiedete la deindicizzazione. Ma i vostri dati, nel frattempo, dove sono finiti esattamente? Su quale server? In quale Paese? Sotto quale legge? Questa domanda — apparentemente tecnica — è in realtà il cuore di uno dei problemi giuridici più irrisolti del diritto digitale contemporaneo: il rapporto tra diritto all'oblio e cloud computing.
La questione non riguarda solo chi è stato coinvolto in vicende giudiziarie. Riguarda chiunque abbia dati personali archiviati da un'azienda, da un datore di lavoro, da una piattaforma digitale. Riguarda, in altri termini, tutti.
Il diritto all'oblio: un quadro normativo chiaro, un'esecuzione complessa
L'art. 17 del Regolamento UE 2016/679 (GDPR) riconosce all'interessato il diritto di ottenere la cancellazione dei propri dati personali «senza ingiustificato ritardo», quando questi non siano più necessari rispetto alle finalità per le quali erano stati raccolti, quando venga revocato il consenso o quando il trattamento sia illecito. Il legislatore italiano ha poi rafforzato questa tutela in ambito penale con l'art. 64-ter delle disposizioni attuative del codice di procedura penale, introdotto dalla riforma Cartabia, che consente alla persona prosciolta o destinataria di archiviazione di richiedere la deindicizzazione dei propri dati dalla rete.
Questo impianto normativo, tuttavia, presuppone che sia identificabile con certezza chi detiene i dati, dove si trovano e quali regole si applicano al loro trattamento. Nell'ambiente cloud, tutte e tre queste certezze vengono meno con frequenza preoccupante.
Il problema tecnico-giuridico è noto agli addetti ai lavori: i grandi fornitori di servizi cloud gestiscono i dati in modo dinamico, spostandoli da un server all'altro in regioni geografiche differenti, frammentandoli per ragioni di ridondanza e sicurezza. Un documento caricato oggi su una piattaforma americana può trovarsi contemporaneamente su server in Irlanda, in Virginia e a Singapore. Quando l'interessato chiede la cancellazione, il titolare del trattamento — spesso la società cliente che ha acquistato il servizio cloud — deve a sua volta istruire il responsabile del trattamento, cioè il provider, il quale può avere a sua volta sub-responsabili sparsi per il mondo. E per far valere i propri diritti bisogna prima sapere dove guardare.
Il GDPR prova a governare questa complessità: l'art. 28 impone al titolare del trattamento di stipulare con il responsabile un contratto che garantisca il rispetto del Regolamento, compreso l'obbligo di cancellazione su istruzione. Ma nella pratica commerciale, i contratti standard dei grandi cloud provider contengono spesso clausole limitative, esenzioni di responsabilità e termini vaghi sulla localizzazione dei dati. La piccola impresa o il professionista che si affitta uno spazio cloud si trova oggettivamente in una posizione di debolezza contrattuale rispetto a strutture enormemente più grandi.
Il nodo si aggrava quando i server si trovano fuori dall'Unione Europea. Il Capo V del GDPR permette il trasferimento di dati verso Paesi terzi solo in presenza di garanzie adeguate — decisioni di adeguatezza della Commissione UE, clausole contrattuali tipo, norme vincolanti di impresa — ma il rispetto effettivo di queste condizioni è difficile da verificare per l'utente finale. Il conflitto strutturale con il diritto statunitense è emblematico: il Clarifying Lawful Overseas Use of Data Act (Cloud Act, 2018) consente alle autorità americane di richiedere ai provider statunitensi l'accesso ai dati dei loro clienti indipendentemente dalla localizzazione fisica dei server, anche se questi si trovano in Europa. L'art. 48 del GDPR stabilisce che un tale mandato straniero non costituisce di per sé una base giuridica sufficiente per il trasferimento di dati personali verso un Paese terzo, ma il conflitto normativo rimane aperto e, per ora, strutturalmente irrisolto.
La giurisprudenza più recente: dalla carta alla tutela effettiva
La Corte di Cassazione, con la fondamentale ordinanza della Sez. I civile del 18 marzo 2026, n. 6433 (Rel. Dott. R.E.A. Russo), ha affrontato un caso paradigmatico: un soggetto, il cui procedimento penale era stato estinto per prescrizione nel marzo 2022, aveva presentato a Google LLC due istanze di deindicizzazione di articoli online relativi alla vicenda giudiziaria. Il provider aveva accolto solo una delle due richieste, asserendo di non aver rilevato il collegamento con la seconda; la rimozione completa era avvenuta solo dopo la notifica del ricorso giudiziario. Il Tribunale di Roma aveva riconosciuto la violazione del diritto all'oblio ma aveva negato il risarcimento del danno con una motivazione ritenuta apodittica dalla Suprema Corte.
La Cassazione ha cassato la sentenza con rinvio, stabilendo un principio di grande portata pratica: accertata l'illiceità della condotta del gestore del motore di ricerca per omessa o tardiva deindicizzazione, il giudice di merito non può respingere la domanda risarcitoria con una formula di stile che ignori le allegazioni di parte. Il danno non patrimoniale può essere provato anche attraverso presunzioni semplici, valorizzando la diffusione della notizia, la permanenza online dei contenuti, la posizione sociale del soggetto leso e l'assenza di qualsiasi interesse pubblico attuale alla loro reperibilità. Una motivazione che si limiti a constatare la mancanza di prova specifica, senza esaminare concretamente questi parametri, non raggiunge il minimo costituzionale richiesto dall'art. 111 Cost. e integra nullità per motivazione apparente.
Questa pronuncia si inserisce in un orientamento consolidato che la stessa Prima Sezione aveva sviluppato pochi mesi prima con l'ordinanza del 26 dicembre 2025, n. 34217, relativa all'interpretazione dell'art. 64-ter delle disposizioni attuative del codice di procedura penale. La Corte ha precisato che questa norma, introdotta dalla riforma Cartabia, non attribuisce un diritto automatico alla deindicizzazione, ma richiede comunque un bilanciamento con l'interesse pubblico attuale all'informazione: la mera intervenuta assoluzione non è condizione sufficiente se il soggetto riveste ancora un ruolo pubblico rilevante che giustifichi la permanenza della notizia nel circuito informativo. Il diritto all'oblio, in altri termini, non è assoluto ma relazionale e contestuale.
Sul versante amministrativo, il Garante per la protezione dei dati personali, con il provvedimento n. 121 del 26 febbraio 2026, ha sanzionato una società che per circa sei mesi non aveva dato riscontro alle richieste di un'ex collaboratrice: copia del contratto e rimozione dal sito aziendale di fotografia, numero di cellulare ed e-mail aziendale, rimasti online dopo la fine del rapporto. Il Garante ha ribadito che il titolare deve rispondere in modo formale e tempestivo, anche in presenza di difficoltà organizzative, e che il diritto di accesso non viene meno perché l'interessata possiede già i documenti richiesti. La sanzione è stata di 3.000 euro.
Il filo che unisce questi tre provvedimenti è chiaro: il diritto alla cancellazione viene sempre più interpretato dai giudici e dalle autorità di controllo come un diritto effettivo, non meramente formale, la cui violazione produce conseguenze concrete, risarcitorie e sanzionatorie. Ma questa evoluzione giurisprudenziale si scontra ogni giorno con la realtà del cloud, in cui la cancellazione materiale di un dato è un'operazione tutt'altro che semplice.
Nell'era del cloud la tutela dei dati personali è geograficamente mobile e giuridicamente incerta: i dati viaggiano, le giurisdizioni si sovrappongono, i provider restano spesso irraggiungibili.
Cosa fare, in concreto, quando si vuole esercitare il diritto alla cancellazione nei confronti di un soggetto che archivia dati nel cloud? Prima di tutto, occorre identificare correttamente il titolare del trattamento: non necessariamente il provider cloud, ma il soggetto — azienda, professionista, ente — che ha raccolto i dati e ne ha determinato le finalità e i mezzi. È a questo soggetto che va indirizzata la richiesta ex art. 17 GDPR, che deve ricevere riscontro entro un mese (prorogabile di altri due in casi complessi). In secondo luogo, conviene leggere con attenzione l'informativa privacy, in particolare la sezione relativa ai trasferimenti internazionali di dati: la localizzazione dei server e le garanzie adottate devono essere indicate. Se la cancellazione non avviene o avviene in ritardo, si può presentare reclamo al Garante oppure, in alternativa, ricorrere al giudice ordinario (art. 140-bis del Codice privacy). Il risarcimento del danno, anche non patrimoniale (art. 82 GDPR), si chiede solo al giudice. Il reclamo non ha un termine specifico di presentazione; l'azione risarcitoria segue le regole ordinarie della prescrizione.
Un profilo spesso trascurato riguarda le copie di backup: molti provider cloud eseguono automaticamente copie periodiche dei dati. Quando il dato principale viene cancellato su istruzione, i backup possono continuare a contenerne traccia per settimane o mesi, su server in giurisdizioni diverse. Questo aspetto deve essere espressamente regolato nel contratto con il provider, con l'indicazione di tempi massimi entro cui anche le copie di sicurezza devono essere eliminate. In mancanza di una clausola esplicita, il rischio è che la cancellazione sia solo apparente.
Il panorama si è ulteriormente complicato dal 18 agosto 2026, data da cui si applica il Regolamento (UE) 2023/1543 sulle prove elettroniche (e-Evidence), che introduce l'ordine europeo di produzione (EPOC): un'autorità giudiziaria di uno Stato membro può emettere un ordine vincolante direttamente a un provider di servizi stabilito in un altro Stato membro, senza passare per i canali tradizionali di assistenza giudiziaria. Questo meccanismo, se da un lato facilita le indagini penali, dall'altro pone nuove questioni in ordine alla tutela dei dati degli interessati e alla effettività del diritto all'oblio anche in contesti investigativi.
Il nodo del cloud e del diritto all'oblio rispecchia una tensione più profonda, che investe le fondamenta stesse del diritto nell'era digitale: la norma è pensata per un mondo in cui lo spazio è definito, i confini sono certi, le responsabilità sono attribuibili. Il cloud è l'esatto contrario — un ambiente in cui la dissoluzione dello spazio fisico produce una dissolvenza anche delle categorie giuridiche tradizionali. Costruire tutele effettive in questo ambiente richiede non solo aggiornamento normativo, ma una cultura della protezione del dato che parta — prima ancora che dal legislatore — da ogni singola impresa e da ogni singolo professionista che sceglie dove e come affidare le informazioni altrui.
Redazione - Staff Studio Legale MP
