Social Media & Decreto 101. Cosa succede ai dati personali in caso di decesso?

di Giuseppe FIORDALISI

“I diritti di cui agli articoli da 15 a 22 del Regolamento UE 2016/679 (di accesso, rettifica, oblio, portabilità) riferiti ai dati personali concernenti persone decedute possono essere esercitati da chi ha un interesse proprio, o agisce a tutela dell’interessato, in qualità di suo mandatario, o per ragioni familiari meritevoli di protezione“.

È quanto prevede l’ articolo 2-terdecies comma 1 del decreto legislativo n.101 del 10 agosto 2018 – pubblicato in G.U. il 4 settembre 2018 – recante disposizioni di adeguamento della normativa italiana al regolamento 2016/679 (GDPR) del Parlamento europeo e del Consiglio che abroga la direttiva 95/46/CE in materia di trattamento dei dati personali.
Il legislatore italiano non ha inteso riformulare ex novo la normativa in aderenza al dettato del regolamento europeo, ma ha modificato ed abrogato alcune norme del “vecchio” Codice privacy (d.lgs 196/2003) che resta ancora “in vita” così come oggi novellato.
È doveroso premettere che la disposizione di cui all’articolo 2 terdecies comma 1 del D.L.gs 101/2018 non è una novità, già il Codice privacy all’articolo 9 comma 3 prevedeva tale possibilità che di fatto è rimasta invariata,tuttavia la norma è stata adeguata e “modernizzata” in particolare per i servizi della società di informazione.

Chi può esercitare diritti relativi ai dati personali in caso di decesso?
In linea di massima:

• i prossimi congiunti che abbiano ragioni familiari “meritevoli” di protezione (coniuge e figli, in mancanza ascendenti ovvero fratelli e sorelle e in loro mancanza altri ascendenti o discendenti diretti fino al quarto grado), individuati anche per analogia in materia di corrispondenza epistolare ex art. 93 della legge sul diritto d’autore (l. 22 aprile 1941, n. 633);
• gli esecutori testamentari, nominati ai sensi degli art. 700 c.c e seg.,incaricati ad esercitare i relativi diritti nell’interesse del de cuius, ovvero mandatari all’uopo investiti in forza di contratto di mandato post mortem exequendum, ossia un negozio giuridico concluso in vita tra le parti, con il quale il mandatario si impegna a compiere per conto del mandante, a seguito del decesso di quest’ultimo, un incarico avente ad oggetto disposizioni di natura generalmente non patrimoniale;
• chiunque dimostri di avere un interesse proprio a difesa di diritti patrimoniali che derivano dalla morte dell’interessato stesso nonché del diritto di difendere in giudizio propri interessi (ad esempio eredi legittimari pretermessi).

Quali sono le novità rispetto alle norme già in vigore?
Il legislatore, con la nuova normativa, ha specificatamente previsto che l’esercizio dei diritti di accesso, rettifica, oblio, portabilità (artt. da 15 a 22 del GDPR) relativi ai dati personali delle persone decedute, possa essere escluso e/o limitato dall’interessato relativamente all’offerta diretta di servizi della società dell’informazione. L’interessato deve espressamente vietare l’esercizio di tali diritti con dichiarazione scritta presentata al titolare del trattamento o a quest’ultimo comunicata. Tale divieto, che può essere revocato in ogni momento dall’interessato, quando ancora in vita, non può comunque ledere l’esercizio, da parte dei terzi, dei diritti patrimoniali che derivano dalla morte dell’interessato stesso nonché del diritto di difendere in giudizio i propri interessi (cfr. comma 2,3,4,5 art.2terdecies D.L.gs 101/2018).

Quali le implicazioni?
La norma opera un bilanciamento di interessi tutelando da un lato il diritto dell’interessato a non vedere divulgati, dopo il suo decesso, dati digitali che ritiene personali ed intimi, dall’altro i diritti di terzi che senza l’accesso a quei determinati dati vedrebbero lesi i loro diritti patrimoniali derivanti dalla morte dell’interessato o diritti di difesa in giudizio.
Indubbio quindi è l’ausilio che la norma offre per risolvere eventuali questioni su controversie relative ad accesso di account web personali dei defunti. Nel caso, ad esempio, di un profilo Facebook, la piattaforma prevede diverse opzioni tra cui: la cancellazione dell’account; la trasformazione del profilo in una “pagina” commemorativa con la possibilità di indicare un “contatto erede” per la sua gestione. Ma attenzione: se nessun “contatto erede” viene nominato in vita dal titolare dell’account, Facebook non consente l’accesso all’account in caso di decesso anche laddove richiesto da un erede o prossimo congiunto. Il tutto a garanzia del diritto dell’interessato, il quale di fatto non nominando alcun “contatto erede” ha posto il divieto di accesso al proprio account personale. Se Facebook si è attivata sulla questione, il social network Twitter sezione “privacy” prevede solamente istruzioni per la cancellazione dell’account da parte del titolare dell’account stesso. Pertanto eventuali eredi o comunque legittimati in genere non potrebbero, secondo quanto previsto dal contratto messo a punto dal social network, accedere all’account del defunto. Similmente anche Linkedin non permette accesso all’account del defunto consentendo semplicemente di segnalare il decesso con conseguente rimozione del relativo account.
In tali ipotesi di diniego dell’interessato ovvero di impossibilità prevista dal titolare-proprietario del social, i terzi che vantino i diritti sopra menzionati potrebbero ottenere le chiavi d’accesso dell’account del defunto in forza dell’art.2 terdecies D.L.gs 101/2018. Ma il condizionale è d’obbligo, sarà la prassi a fornire la prova sul campo. E non è da escludersi che siano le stesse piattaforme ad adeguarsi alla nuova norma e quindi prevedendo specifiche opzioni nel contratto, come nel caso di Facebook.
La questione dell’accesso ai dati del defunto si allarga poi ad altre fattispecie: blog, siti/portali personali, account di posta elettronica. Anche in questo caso passare dal dire al fare non sarà una passeggiata, potrebbero palesarsi altri diritti, come ad esempio il diritto d’autore, con cui fare i conti.

Intervento di Giuseppe FIORDALISI, Avvocato, esperto in materia di Privacy e GDPR