Come cancellare i propri dati personali da internet: guida completa

Cancellare i propri dati da internet non è un'operazione unica. I dati stanno in posti diversi: sul sito che li ha pubblicati, nei risultati dei motori di ricerca, nelle liste di chi fa marketing, nei file dei cookie e nei sistemi che tracciano l'apertura delle e-mail. Per ciascuno il percorso cambia. Questa guida segue le pagine del Garante per la protezione dei dati personali: i diritti previsti dal GDPR, il modo di esercitarli, cosa fare se nessuno risponde e alcuni temi collegati, dai cookie ai tracking pixel.

Ci limitiamo a quanto le pagine dicono. Dove non danno indicazioni, per esempio su modelli di lettera, scadenze particolari o costi, lo segnaliamo invece di inventare. Le pagine del Garante che abbiamo letto sono in parte schede divulgative: per un caso concreto contano la legge e i provvedimenti dell'Autorità.

Da dove cominciare

Il Garante risponde alla domanda di partenza con una frase: ogni persona può tutelare i propri dati personali, in primo luogo, esercitando i diritti previsti dagli articoli da 15 a 22 del Regolamento (UE) 2016/679. In concreto, i passaggi sono questi.

1. Individua chi tratta il dato. La richiesta va rivolta al titolare del trattamento, cioè a chi decide perché e come i dati sono usati: il sito, l'azienda, l'ente.
2. Scrivi un'istanza. Non servono formalità particolari. Il Garante cita come esempi la lettera raccomandata, il fax e la posta elettronica.
3. Indica cosa chiedi. L'istanza può riguardare dati specifici, categorie di dati, un particolare trattamento, oppure tutti i dati che ti riguardano.
4. Aspetta il riscontro. Il titolare deve rispondere senza ingiustificato ritardo e al più tardi entro 1 mese.
5. Se la risposta non arriva o non ti soddisfa, puoi rivolgerti all'autorità giudiziaria o presentare reclamo al Garante.

Le sezioni seguenti entrano nel dettaglio di ogni passaggio e di tutto ciò che sta intorno.

Cancellazione alla fonte o deindicizzazione: due cose diverse

Prima di scrivere a qualcuno conviene sapere cosa si vuole ottenere, perché le pagine del Garante descrivono due strade distinte.

Cancellazione alla fonte

È la rimozione del dato da parte di chi lo tratta: il sito che lo ha pubblicato, l'azienda che lo conserva. Si fonda sul diritto di cancellazione dell'art. 17 del GDPR, detto anche diritto all'oblio, e si esercita nei confronti del titolare del trattamento.

Deindicizzazione

Riguarda il motore di ricerca. La pagina del Garante sul diritto all'oblio riporta, tra i documenti, la sentenza Google Spain della Corte di giustizia del 13 maggio 2014. Ne ricava questo principio: il gestore di un motore di ricerca è responsabile del trattamento che compie sui dati personali che appaiono su pagine web pubblicate da terzi. Se una ricerca a partire dal tuo nome mostra un link verso una pagina con informazioni su di te, puoi rivolgerti direttamente al gestore. Se non dà seguito alla richiesta, puoi adire le autorità competenti.

In altre parole, togliere un link dai risultati e togliere il contenuto dalla pagina d'origine sono operazioni distinte, con interlocutori distinti. Le fonti non dicono che una comporti automaticamente l'altra.

Il diritto alla cancellazione (art. 17)

Cosa prevede

Secondo il Garante, il cosiddetto diritto all'oblio si configura come un diritto alla cancellazione dei propri dati personali in forma rafforzata. Si può chiedere la cancellazione dei propri dati, per esempio, anche dopo la revoca del consenso al trattamento (art. 17, par. 1). La pagina sui diritti degli interessati precisa che questo campo di applicazione è più esteso di quello previsto dal vecchio Codice privacy.

La forma rafforzata: avvisare gli altri titolari

La parte "rafforzata" riguarda chi ha reso pubblici i dati, per esempio pubblicandoli su un sito web. Questi titolari hanno l'obbligo di informare della richiesta di cancellazione gli altri titolari che trattano i dati cancellati, compresi "qualsiasi link, copia o riproduzione" (art. 17, par. 2).

Le eccezioni

La cancellazione non è assoluta. Il Garante ricorda che sono ammesse deroghe ai diritti riconosciuti dal Regolamento, ma solo sul fondamento di disposizioni normative nazionali, ai sensi dell'art. 23 e di altri articoli relativi ad ambiti specifici. Per il diritto alla cancellazione cita in particolare l'art. 17, par. 3. Fa anche l'esempio dei trattamenti di natura giornalistica (art. 83) e di quelli per finalità di ricerca scientifica o storica o di statistica (art. 89). La pagina non elenca tutti i casi in cui una richiesta può essere respinta.

Come presentare la richiesta

Nessuna formalità obbligatoria

L'istanza si presenta al titolare senza particolari formalità. Il Garante mette a disposizione sul proprio sito un modulo che si può usare per esercitare i diritti. Non è obbligatorio, ma può servire come traccia.

Che cosa può contenere

Le pagine non forniscono un modello di lettera. Dicono però che l'istanza può essere riferita, a seconda delle esigenze, a specifici dati personali, a categorie di dati, a un particolare trattamento o a tutti i dati che ti riguardano, comunque trattati. Puoi quindi scegliere quanto essere ampio o preciso.

Identificarti

Il titolare ha il diritto di chiedere le informazioni necessarie a identificarti, e tu hai il dovere di fornirle secondo modalità idonee (artt. 11, par. 2, e 12, par. 6). La pagina non precisa quali documenti possano essere richiesti.

Come deve rispondere il titolare

La pagina sui diritti degli interessati descrive gli obblighi di chi riceve la richiesta:

• deve agevolare l'esercizio dei diritti, adottando ogni misura tecnica e organizzativa idonea;
• il riscontro avviene di regola in forma scritta, anche con strumenti elettronici; può essere orale solo se lo chiedi tu;
• la risposta deve essere non solo intelligibile ma concisa, trasparente e facilmente accessibile, in linguaggio semplice e chiaro;
• il responsabile del trattamento è tenuto a collaborare con il titolare, anche se solo il titolare deve dare il riscontro.

Costi

L'esercizio dei diritti è in linea di principio gratuito. Spetta al titolare stabilire l'importo di un eventuale contributo, ma soltanto per richieste manifestamente infondate o eccessive (anche ripetitive), oppure se chiedi più copie dei dati nel diritto di accesso (art. 12.5; art. 15, par. 3). Nelle pagine non compaiono cifre.

Quanto tempo ha il titolare per rispondere

La pagina "Come agire per tutelare i tuoi dati personali" è la più precisa. Il titolare deve fornire un idoneo riscontro:

• senza ingiustificato ritardo e, al più tardi, entro 1 mese dal ricevimento;
• il termine può essere prorogato di 2 mesi, quando serve per la complessità e il numero delle richieste. In questo caso il titolare deve comunque avvisarti entro 1 mese dal ricevimento.

La pagina sui diritti degli interessati lo dice in altri termini: il termine è di 1 mese per tutti i diritti, estendibile fino a 3 mesi nei casi di particolare complessità, e il titolare deve in ogni caso dare un riscontro entro 1 mese, anche se nega la richiesta. Le due descrizioni coincidono: 1 mese, più 2 mesi di proroga motivata.

Se non risponde o la risposta non basta

Il Garante prevede due situazioni: ritieni che il trattamento dei tuoi dati non sia corretto, oppure la risposta all'istanza non arriva nei tempi o non è soddisfacente. In entrambi i casi puoi rivolgerti all'autorità giudiziaria o al Garante.

Il reclamo

Il reclamo al Garante è un atto circostanziato con cui si rappresenta una violazione della disciplina sulla protezione dei dati (art. 77 del Regolamento e artt. da 140-bis a 143 del Codice). Al reclamo segue un'istruttoria preliminare e un eventuale procedimento amministrativo formale, che può portare all'adozione dei provvedimenti dell'art. 58 del Regolamento. Contro la decisione del Garante è ammesso il ricorso giurisdizionale. La presentazione è gratuita, e la pagina rimanda a una scheda informativa con un modello di reclamo.

La segnalazione

Chiunque può inoltre rivolgere una segnalazione ai sensi dell'art. 144 del Codice. Il Garante può valutarla anche ai fini dei provvedimenti dell'art. 58. Non ci sono vincoli di forma: l'importante è fornire tutti gli elementi utili a valutare l'illegittimità o illiceità del trattamento. Anche la segnalazione è gratuita. Si può inviare per posta ordinaria, per posta elettronica ordinaria (protocollo@gpdp.it) o per posta elettronica certificata (protocollo@pec.gpdp.it, configurato per ricevere solo comunicazioni provenienti da PEC).

Per alcune materie il Garante ha previsto moduli o procedure telematiche specifiche, tra cui revenge porn, telemarketing e cyberbullismo.

Una precisazione sul ricorso

La pagina avverte che il Regolamento europeo non prevede più il ricorso per far valere il diritto di accesso ai dati, e che quindi non è più esperibile davanti al Garante dal 25 maggio 2018.

Deindicizzazione: cosa dicono i documenti del Garante

La pagina sul diritto all'oblio raccoglie, oltre al testo dell'art. 17, le linee guida e alcune sentenze. Sono i riferimenti per chi vuole togliere un risultato dai motori di ricerca.

Le linee guida 5/2019

Il Garante rimanda alle Linee guida 5/2019 sui criteri per l'esercizio del diritto all'oblio nel caso dei motori di ricerca, nella versione adottata dopo consultazione pubblica il 7 luglio 2020, con una sintesi in italiano. La pagina non ne riassume il contenuto: va letto nel documento.

Le sentenze citate

La pagina elenca quattro pronunce della Corte di giustizia dell'Unione europea, con la loro massima:

• 13 maggio 2014, causa C-131/12 (Google Spain): il gestore di un motore di ricerca è responsabile del trattamento dei dati che appaiono su pagine web di terzi; la persona può rivolgersi a lui e, se non risponde, alle autorità competenti.
• 24 settembre 2019, causa C-136/17: il divieto di trattare determinate categorie di dati sensibili si applica anche ai gestori di motori di ricerca; in una domanda di deindicizzazione va fatto un bilanciamento tra i diritti fondamentali di chi chiede la deindicizzazione e quelli degli utenti di internet interessati a quelle informazioni.
• 24 settembre 2019, causa C-507/17: il gestore non è tenuto a deindicizzare in tutte le versioni del suo motore di ricerca, ma deve farlo nelle versioni corrispondenti a tutti gli Stati membri e adottare misure che scoraggino l'accesso, da uno Stato membro, ai link nelle versioni extra UE.
• 8 dicembre 2022, causa C-460/20: il gestore deve deindicizzare le informazioni quando chi chiede dimostra che sono manifestamente inesatte.

Le pagine non spiegano come inoltrare la richiesta ai singoli motori di ricerca, né con quali moduli.

Web scraping: un tema per chi pubblica, non per chi chiede la cancellazione

Il Garante ha pubblicato il 30 maggio 2024 un comunicato sul web scraping, che definisce come la raccolta indiscriminata di dati personali su internet, effettuata da terzi allo scopo di addestrare modelli di intelligenza artificiale generativa. Il documento è rivolto ai soggetti pubblici e privati che pubblicano dati online come titolari del trattamento, non alle persone i cui dati sono pubblicati.

Le misure suggerite ai titolari sono: aree riservate accessibili solo previa registrazione, in modo da sottrarre i dati alla pubblica disponibilità; clausole anti-scraping nei termini di servizio; monitoraggio del traffico verso le pagine per individuare flussi anomali; interventi sui bot, come quello sul file robots.txt. Si tratta di misure non obbligatorie, che i titolari valutano in base al principio di accountability, tenendo conto dello stato dell'arte tecnologico e dei costi, in particolare per le PMI.

Cosa ne ricavi tu? Il comunicato dice che il Garante, in attesa di pronunciarsi sulla liceità dello scraping basato sul legittimo interesse, ha ritenuto necessario dare indicazioni a chi pubblica. Non descrive un modo per chiedere a chi ha già raccolto i dati di cancellarli.

Tracking pixel nelle e-mail

I tracking pixel sono un modo meno visibile di raccogliere dati su di te. Il Garante ha pubblicato il Provvedimento del 17 aprile 2026, con Linee guida sull'utilizzo di tracking pixel nelle comunicazioni di posta elettronica, uscito sulla Gazzetta Ufficiale n. 98 del 29 aprile 2026.

Come funzionano

Sono immagini molto piccole, spesso dello stesso colore dello sfondo e quindi invisibili, inserite nell'e-mail come link ipertestuale e ospitate su un server remoto. Quando apri il messaggio, un codice può far scaricare l'immagine, e questo permette al mittente o a un suo partner di sapere che l'e-mail è stata aperta. A seconda dei casi si raccolgono altre informazioni: indirizzo IP, dispositivo usato, tempo di consultazione, numero di aperture. Non rivelano il contenuto delle e-mail, ma possono monitorare apertura, cancellazione, inoltro o archiviazione.

Il tracciamento può avvenire solo se è abilitato il download delle immagini. Se leggi l'e-mail solo in formato testo, il pixel non viene scaricato e non può tracciare.

Che regole si applicano

Si applica l'art. 122 del Codice privacy, che disciplina l'archiviazione di informazioni nel terminale dell'utente e l'accesso a quelle già archiviate, insieme ai principi del GDPR su trasparenza, consenso, responsabilizzazione e protezione dei dati fin dalla progettazione. Le Linee guida chiedono che chi usa i pixel informi preventivamente il destinatario con un'informazione chiara, completa e facilmente accessibile.

Il consenso, e quando non serve

L'uso dei tracking pixel è in linea generale vietato, salvo che ricorra una delle condizioni previste dall'art. 122. Una di queste è il consenso preventivo, informato, libero, specifico e inequivocabile. Il Garante indica che serve, per esempio, quando il pixel misura il comportamento del singolo destinatario per valutare e migliorare una campagna: adattare le comunicazioni alle e-mail aperte, regolare la frequenza o creare profili commerciali.

Il consenso può invece non essere necessario per le statistiche aggregate, la deliverability e il contrasto allo spam, se sono adottate tecniche che impediscono di misurare il comportamento del singolo; per motivi di sicurezza strettamente necessari; per alcune comunicazioni istituzionali o di servizio.

Revocare il consenso

Il consenso può essere revocato in qualsiasi momento e con facilità. La revoca può anche essere granulare: puoi scegliere di non ricevere più le comunicazioni oppure di continuare a riceverle senza tracking pixel. Il rifiuto del tracciamento non deve comportare limitazioni nella fruizione del servizio.

Cookie e altri strumenti di tracciamento

Le Linee guida del Garante sui cookie sono del 10 giugno 2021 e sono state pubblicate sulla Gazzetta Ufficiale n. 163 del 9 luglio 2021. Qui richiamiamo i punti che riguardano direttamente chi naviga.

Due categorie

Il Garante distingue due macro categorie. I cookie tecnici servono a trasmettere una comunicazione su una rete o sono strettamente necessari a fornire un servizio esplicitamente richiesto: per questi basta un'informativa. I cookie di profilazione e gli altri strumenti di tracciamento per finalità diverse da quelle tecniche possono essere usati solo previa acquisizione del consenso informato dell'utente.

Cosa non vale come consenso

Il semplice scorrere la pagina, lo "scrolling", non è idoneo da solo a esprimere il consenso, secondo il parere dell'EDPB che il Garante condivide. Il Garante ritiene illecito il cosiddetto cookie wall, il meccanismo "take it or leave it" in cui l'utente deve acconsentire ai cookie per accedere al sito, salvo il caso, da verificare caso per caso, in cui il titolare offra un contenuto o un servizio equivalente senza il consenso ai cookie.

Il banner

Il banner deve contenere, tra l'altro, una X in alto a destra: chiuderlo con quel comando comporta il permanere delle impostazioni di default, cioè la navigazione senza cookie diversi da quelli tecnici. Deve poi esserci un link all'informativa estesa e un comando per accettare tutti i cookie, oltre a un'area dove scegliere in modo analitico funzioni, terze parti e cookie.

Se non acconsenti, la scelta va registrata e la richiesta non deve essere riproposta a ogni visita. Può tornare in alcuni casi: se cambiano significativamente le condizioni del trattamento, se il sito non può sapere che un cookie è già stato memorizzato, oppure quando sono trascorsi almeno 6 mesi dalla precedente presentazione del banner.

Liste di marketing: il caso Ediscom

Il Garante ha sanzionato Ediscom S.p.A. con provvedimento del 23 febbraio 2023. Il caso è utile perché mostra come i dati di una persona possano finire in una lista di marketing e circolare tra più soggetti.

I fatti

Dopo alcuni reclami, il Garante ha svolto accertamenti ispettivi il 22 e 23 novembre 2021. La società faceva campagne promozionali per SMS e e-mail, e solo di recente tramite chiamate automatizzate, usando un database con i dati di 21 milioni di interessati. Il database raccoglieva dati ottenuti attraverso propri portali, dati comprati da fornitori di database e dati forniti da terzi che volevano monetizzare le proprie liste. In quasi tutti i casi esaminati, i dati dei reclamanti erano stati forniti da un intermediario (data broker) con sede in Germania, che a sua volta aveva veicolato liste di soggetti con sede extra UE.

Cosa è stato contestato

Tra le violazioni accertate, il provvedimento indica:

• interfacce grafiche assimilabili ai cosiddetti "modelli oscuri" (dark patterns), usate per aggirare la volontà degli utenti;
• raccolta di dati eccedenti con questionari su reddito, abitudini di acquisto, composizione del nucleo familiare, età, presenza di animali domestici o bambini;
• verifiche inadeguate sulle liste acquisite da terzi;
• invio di comunicazioni promozionali senza un valido consenso: in alcuni casi i dati erano stati trattati dopo l'opposizione, in uno un fornitore aveva considerato consenso la semplice registrazione al sito, in un altro non era documentato alcun consenso.

Sul double opt-in il Garante precisa che non costituisce un obbligo di legge, ma una misura adeguata per documentare la volontà dell'interessato.

Cosa emerge sulle richieste di cancellazione

Ediscom ha dichiarato di registrare le richieste di cancellazione o di revoca del consenso nel database e di inserire i dati in blacklist, per evitare di reimportarli quando acquisisce nuove liste. Quando agiva come responsabile del trattamento, comunicava le richieste anche ai titolari delle liste. Il provvedimento, tuttavia, ha rilevato che un contatto cancellato nel 2017 e riacquisito nel 2020 era comparso in cinque campagne nel 2019 perché presente anche in un altro database.

Il caso mostra che lo stesso contatto può essere presente nei database di più soggetti.

La sanzione

Il Garante ha ordinato il pagamento di 300.000 euro. Ha ricordato che il massimo previsto dall'art. 83, par. 5, è di 20 milioni di euro o, per le imprese, il 4% del fatturato mondiale annuo dell'esercizio precedente, se superiore. Ha anche vietato il trattamento dei dati raccolti in alcune modalità senza una base giuridica o un consenso documentato.

Gli altri diritti che ti servono accanto alla cancellazione

Le pagine sui diritti degli interessati descrivono altri strumenti utili per chi vuole ripulire la propria presenza online.

• Accesso (art. 15): dà in ogni caso il diritto di ricevere una copia dei dati trattati. Tra le informazioni da fornire rientrano il periodo di conservazione previsto o i criteri per definirlo e le garanzie applicate in caso di trasferimento verso Paesi terzi. Serve per capire chi ha cosa prima di chiedere la cancellazione.
• Limitazione (art. 18): si può esercitare anche se chiedi la rettifica dei dati, in attesa che il titolare la faccia, o se ti opponi al trattamento ai sensi dell'art. 21, in attesa della valutazione. Esclusa la conservazione, ogni altro trattamento è vietato salvo circostanze particolari come il tuo consenso.
• Portabilità (art. 20): non si applica ai trattamenti non automatizzati e riguarda solo i dati trattati con il tuo consenso o in base a un contratto, e solo quelli che hai fornito tu.

Cosa le pagine non precisano

Per evitare false aspettative, ecco i punti su cui le fonti consultate non dicono nulla.

• Esiti: non si dice in quanti casi una richiesta ha successo né quanto un titolare debba impegnarsi per rintracciare le copie.
• Siti e motori specifici: non c'è una procedura per singoli siti, social o motori di ricerca.
• Tempi del reclamo: le pagine descrivono l'istruttoria, ma non indicano una scadenza entro cui il Garante decide.

Un'analisi gratuita per capire cosa è visibile

Remove Me offre un'analisi gratuita, senza bisogno di creare un account: inserisci i tuoi dati e il servizio cerca nei risultati web visibili pubblicamente, nelle violazioni di dati pubbliche note (Have I Been Pwned) e in un registro di data broker, poi mostra un report. Il report si sblocca con un codice a 6 cifre inviato per e-mail. Remove Me non invia ancora richieste di cancellazione per conto della persona.