Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
Trova il suo nome su Google cercando un possibile nuovo cliente, un datore di lavoro in procinto di assumerla, un partner commerciale. Nei risultati appare ancora la pagina del sito dell'università: verbale di un procedimento disciplinare del 2016, voto di un esame risostenuto tre volte prima di superarlo, delibera di commissione con il suo nome in chiaro. Lei si è laureata nel 2018. Da allora ha costruito una carriera. Quei dati non appartengono più al presente, ma Google li restituisce puntualmente.
Il diritto all'oblio dati universitari online è il tema al centro del provvedimento n. 752 del 7 ottobre 2026 del Garante per la protezione dei dati personali. Un'ordinanza-ingiunzione — cioè un ordine vincolante con conseguenze sanzionatorie in caso di inadempimento — che affronta esplicitamente la permanenza in rete di informazioni accademiche datate prive di attuale giustificazione normativa. Gli ex studenti hanno ora un precedente diretto da invocare.
Posso chiedere la cancellazione dei miei voti universitari indicizzati su Google?
Sì, ma la richiesta va rivolta prima all'ateneo e solo dopo al motore di ricerca. L'università è titolare autonomo del trattamento ai sensi del GDPR: se non cancella il dato dalla fonte, Google nega sistematicamente la deindicizzazione richiamando la "fonte ufficiale". L'ordine corretto è ateneo → Google, mai il contrario.
Perché il provvedimento Garante n. 752/2026 cambia le regole
Fino ad oggi, chi trovava i propri dati accademici indicizzati tendeva a rivolgersi direttamente ai motori di ricerca. Il motivo è semplice: la procedura di richiesta a Google è rapida, gratuita e non richiede assistenza legale. Ma quasi sempre si concludeva con un rifiuto, motivato con il fatto che la fonte — il sito dell'ateneo — è un'istituzione pubblica e i dati hanno una qualche base pubblica di pubblicazione.
Il Garante per la protezione dei dati personali ha adottato il provvedimento del 7 ottobre 2026, registro n. 752 , un'ordinanza-ingiunzione i cui argomenti dichiarati sono "Diritto all'oblio, Studenti, Università". Il perimetro è preciso: dati accademici — voti, verbali, procedimenti disciplinari — che un ateneo continua a pubblicare o a lasciare indicizzati quando la finalità originaria di quella pubblicazione è da tempo esaurita.
Il punto chiave è la finalità del trattamento, cioè lo scopo per cui quei dati erano stati originariamente raccolti e pubblicati. L'art. 5 del Regolamento UE 2016/679 (GDPR) impone il principio di limitazione della finalità: i dati non possono essere conservati in forma identificabile oltre il tempo necessario agli scopi della raccolta. Un voto del 2014, un procedimento disciplinare archiviato del 2017, una delibera di sospensione poi revocata: nessuno di questi ha più una base legale attuale per restare online con il nome dello studente in chiaro.
L'università è il primo responsabile: questo è l'errore che blocca tutto
Qui sta il passaggio che quasi nessun blog giuridico spiega, perché riguarda la meccanica concreta del procedimento. L'ateneo è titolare autonomo del trattamento ai sensi dell'art. 4 GDPR: raccoglie i dati, stabilisce le finalità, decide quando pubblicarli e quando rimuoverli. Google è soltanto il veicolo attraverso cui quella pagina diventa raggiungibile da chiunque. Quando si chiede a Google di deindicizzare una pagina universitaria, Google valuta se esiste un interesse legittimo del titolare della fonte a mantenere online quella pagina. Se l'ateneo la lascia lì, Google risponde — legittimamente — che la fonte è un sito istituzionale e il dato vi è pubblicato per ragioni ufficiali.
Tempus regit actum: la legittimità di un atto si valuta nel momento in cui avviene, ma la permanenza di quel dato online deve avere una giustificazione attuale, non solo storica. Questa distinzione — tra la liceità originaria della pubblicazione e l'attuale mancanza di base giuridica per la conservazione — è il cuore del ragionamento del Garante.
Nelle pratiche che seguiamo, l'errore più frequente è presentare la richiesta a Google prima ancora di aver diffidato l'università. Il modulo di Google viene compilato, inviato e respinto in 15 giorni con la motivazione standard che la fonte è un ente pubblico. A quel punto, la persona si ritiene senza strumenti. In realtà non ha ancora iniziato.
La sequenza corretta: dalla diffida all'ateneo al reclamo al Garante
La procedura che produce risultati ha tre stadi.
Il primo è l'istanza formale all'ateneo ai sensi degli artt. 17 e 21 del GDPR — rispettivamente il diritto alla cancellazione e il diritto di opposizione al trattamento. L'istanza va inviata per iscritto, raccomandata o PEC, al Rettore e al Responsabile della protezione dei dati (RPD, il cosiddetto Data Protection Officer) dell'università. Va specificato: quali URL esatti si chiede di rimuovere o oscurare, perché la finalità originaria della pubblicazione è esaurita, e perché non sussiste una norma attuale che imponga quella conservazione in forma identificabile. L'ateneo ha 30 giorni per rispondere, prorogabili a 90 in casi complessi.
Se l'ateneo tace o rigetta, si apre il secondo stadio: il reclamo al Garante per la protezione dei dati personali oppure il ricorso giudiziario. Il provvedimento n. 752/2026 dimostra che il Garante è disposto ad adottare ordinanze-ingiunzioni contro gli atenei, non solo ammonimenti generici. Il precedente è direttamente spendibile.
Solo al terzo stadio — una volta che l'ateneo abbia rimosso o oscurato il dato — la richiesta a Google diventa efficace: il motore di ricerca aggiorna il suo indice entro pochi giorni dall'eliminazione della fonte, o in alternativa si può presentare una seconda richiesta di deindicizzazione allegando la documentazione del provvedimento ottenuto.
L'università può pubblicare online i risultati degli esami con il mio nome?
Dipende dalla norma e dalla durata. L'affissione temporanea dell'esito degli esami, nei modi previsti dai regolamenti accademici, ha una base giuridica nel momento della pubblicazione. Ma quella stessa base non giustifica la permanenza indicizzata a distanza di anni. Il Garante ha già sanzionato più atenei per trattamenti non conformi al principio di minimizzazione dei dati, cioè alla regola per cui si raccolgono e si conservano solo i dati strettamente necessari. Con il provvedimento del 3 luglio 2026, n. 479 , il Garante ha adottato un provvedimento nei confronti dell'Università di Pisa avente ad oggetto misure di sicurezza e protezione dei dati degli studenti. Il 28 maggio 2026, con il provvedimento n. 381 , il Garante ha ammonito un altro ateneo per violazioni del principio di minimizzazione nel trattamento di dati universitari.
A questi precedenti si aggiunge la sanzione a eCampus: il Garante ha sanzionato per 50.000 euro l'Università eCampus per aver trattato in modo illecito i dati biometrici di numerosi partecipanti ai corsi online di abilitazione all'insegnamento. Il profilo è diverso — dati biometrici, non dati accademici — ma il principio è identico: il Garante ha rilevato la mancanza di una base giuridica idonea a giustificare l'uso di sistemi di trattamento per i quali sono previste garanzie rafforzate dalla disciplina di protezione dei dati.
Come si fa a rimuovere i dati accademici vecchi dai motori di ricerca?
La rimozione dai motori di ricerca funziona solo dopo che la fonte è stata eliminata o oscurata. I passi concreti sono: (1) identificare tutti gli URL che contengono il proprio nome abbinato ai dati accademici; (2) inviare diffida formale all'ateneo con elenco degli URL, richiamo all'art. 17 GDPR e al provvedimento Garante n. 752/2026 come precedente direttamente pertinente; (3) attendere la risposta entro 30 giorni; (4) in caso di silenzio o rifiuto, presentare reclamo al Garante o avviare procedimento giudiziario; (5) a oscuramento avvenuto, richiedere la deindicizzazione a Google allegando la conferma dell'ateneo.
Il termine procedurale da tenere presente: la risposta dell'ateneo all'istanza deve arrivare entro 30 giorni, salvo proroga motivata di ulteriori 60 giorni (art. 12 GDPR). La proroga deve essere comunicata entro il primo mese; se non lo è, il silenzio vale come rifiuto e si può procedere con il reclamo al Garante.
Il risarcimento del danno: quando è possibile chiederlo
Se la permanenza dei dati online ha causato un danno concreto — una proposta di lavoro ritirata, un contratto non concluso, un pregiudizio reputazionale documentabile — si pone il tema del risarcimento. La Cassazione civile, con l'ordinanza n. 6433 del 18 marzo 2026, ha affrontato il tema della deindicizzazione tardiva, chiarendo che, una volta accertata la violazione del diritto all'oblio, il rigetto della domanda risarcitoria non può fondarsi su una motivazione meramente assertiva. La Corte ha censurato la decisione del Tribunale di Roma per motivazione apparente, rilevando che il giudice di merito non aveva adeguatamente valutato le allegazioni del ricorrente in ordine alla protratta reperibilità online delle notizie e alla conseguente lesione della sua reputazione e riservatezza.
Questo significa che chi ha già ottenuto il riconoscimento della violazione — per esempio tramite un provvedimento del Garante — può tornare in giudizio per ottenere il risarcimento con argomenti più solidi. Il danno non va provato nel dettaglio come fosse una perdita economica quantificata al centesimo: l'ordinanza n. 6433 del 18 marzo 2026 compie un ulteriore passo, affermando che non solo il rifiuto ingiustificato di deindicizzare è illecito, ma lo è anche il ritardo nella rimozione.
Sul piano pratico, nelle controversie che seguiamo in materia di diritto all'oblio, vediamo spesso che la persona documenta il danno solo in modo sommario — un'email informale di un recruiter, un colloquio andato a vuoto senza riscontro scritto. Quella documentazione, raccolta sistematicamente sin dall'inizio, può fare la differenza tra una domanda risarcitoria accolta e una respinta per mancanza di prova.
Come ha scritto Stefano Rodotà — il giurista che più di chiunque altro in Italia ha contribuito a costruire il diritto alla protezione dei dati — la privacy non è solo un limite alla diffusione di informazioni, ma uno spazio di autonomia che consente alle persone di costruire la propria identità nel tempo, correggendola, aggiornandola, emancipandosi dal passato. Un voto universitario del 2014 non racconta chi siete oggi. Il diritto lo riconosce, finalmente con strumenti concreti.
Domande frequenti
Ho trovato il verbale del mio procedimento disciplinare universitario su Google: cosa faccio?
Prima di tutto, annotate l'URL esatto della pagina e la data in cui l'avete trovata. Poi inviate una diffida formale all'ateneo — Rettore e RPD — con PEC o raccomandata A/R, richiamando l'art. 17 GDPR e il provvedimento Garante n. 752 del 7 ottobre 2026. L'ateneo ha 30 giorni per rispondere. Solo dopo l'oscuramento della pagina-sorgente la richiesta a Google sarà efficace.
L'università può rifiutare di cancellare i miei dati accademici?
Può farlo se dimostra che esiste un obbligo di legge attuale che impone la conservazione di quei dati in forma identificabile. In molti casi questo obbligo non c'è, o riguarda la conservazione negli archivi interni ma non la pubblicazione su web indicizzabile. Se il rifiuto è generico o non motivato, si può presentare reclamo al Garante. Il provvedimento del Garante può ordinare la cancellazione e infliggere una sanzione all'ateneo fino al 2% del fatturato annuo mondiale o 10 milioni di euro (art. 83 GDPR), applicando i criteri previsti dalla norma.
Quanto tempo ci vuole per far sparire quei dati da Google?
Una volta che l'ateneo ha rimosso o oscurato la pagina, Google aggiorna il proprio indice in tempi variabili: di norma tra 30 e 90 giorni, ma si può accelerare richiedendo la rimozione tramite il modulo dedicato di Google Search Console, allegando la conferma scritta dell'ateneo. Se la pagina è ancora attiva ma l'ateneo ha oscurato i dati personali (per esempio sostituendo il nome con asterischi), il motore di ricerca può richiedere verifiche aggiuntive prima di deindicizzare il risultato.
Redazione - Staff Studio Legale MP
