Il Garante europeo per la protezione dei dati personali (EDPS) ha pubblicato l'attesa versione finale delle linee guida per l'applicazione del diritto all'oblio. Il diritto all'oblio, ricordiamo, è esplicitamente previsto come diritto individuale dall'art. 17 del GDPR, ma fino ad ora erano mancate linee guida che ne garantissero una uniforme applicazione nell'UE. Queste linee guida sono state adottate il 7 Luglio e fanno seguito alle sentenze emesse dalla Corte di Giustizia europea su due casi, ovvero "Google Spain vs Costeja Gonzales" e "Google vs CNIL". In dettaglio, le linee guida contengono utili indicazioni rispetto a quali motivi possa essere ritenuta legittima una richiesta di deindicizzazione dai motori di ricerca o cancellazione di contenuti afferenti ad un preciso interessato, ma anche una panoramica sulle legittime eccezioni al diritto all'oblio. 

Nella prima parte vengono ribaditi sei diversi "ground" per i quali un interessato può richiedere la deindicizzazione, secondo quanto previsto dall'Art. 17 del GDPR:

> Quando i dati personali non sono più necessari in relazione al trattamento del provider proprietario del motore di ricerca: l'interessato può richiedere la cancellazione dei contenuti laddove le informazioni personali siano inesatte o obsolete. Tale diritto però, riguardando il tema dell'accessibilità alle informazioni via Internet, dovrà essere valutato bilanciando la protezione della privacy dell'interessato con l'interesse/diritto degli utenti di Internet di accedere alle informazioni.
> Quando l'interessato revoca il consenso e non vi sono ulteriori basi legali per continuare il trattamento. In questo caso le linee guida sottolineano che è improbabile che un interessato avanzi richiesta di deindicizzazione sulla base del fatto che intende revocare il consenso, perchè in questo caso il data controller che indicizza tali dati è il web editor e non l'operatore del motore di ricerca. Le linee guida quindi specificano che, nel caso in cui un interessato volesse revocare il consenso all'uso dei dati personali su una particolare pagina web, è compito di colui che ha originariamente pubblicato le informazioni avvisare il provider del motore di ricerca che ha indicizzato i dati. Di conseguenza, l'interessato può ottenere la deindicizzazione dei propri dati.
> Quando l'interessato esercita diritto di opposizione al trattamento dei propri dati: qui si sottolinea il fatto che un interessato può opporsi al trattamento per motivi relativi alla propria situazione particolare, se non vi sono altri motivi legittimi prevalenti. Ad esempio l'interessato potrà avanzare richiesta di deindicizzazione dei propri dati nel caso in cui i risultati di ricerca minino la sua reputazione personale.
> Quando il trattamento è illegittimo: sul tema le linee guida specificano che la nozione di "trattamento illecito" deve essere interpretata in modo ampio, ma oggettivo. In generale è ritenere illegittimo un trattamento per il quale non si riesce a dimostrare una valida base giuridica.
> Quando i dati personali devono essere cancellati per ottemperare ad un obbligo legale: tale obbligo può derivare da una ingiunzione, da una richiesta esplicita secondo il diritto dello Stato membro o dell'UE o da una violazione del periodo di conservazione dei dati da parte del provider del motore di ricerca.
> Quando i dati sono stati raccolti in relazione all'offerta di servizi da parte di società di servizi verso minori: l'attività del provider del motore di ricerca è probabile rientri nella fornitura dei servizi, quindi è necessario considerare il contesto della raccolta dei dati personali da parte del responsabile originale del trattamento.

La seconda parte invece definisce le eccezioni, ovvero le valide motivazioni che il provider del motore di ricerca può opporre alla richiesta di diritto all'oblio.

> La prima eccezione riguarda quelle situazioni nella quale il trattamento dei dati è necessario e correlato all'esercizio della libertà di espressione e informazione. In questo caso il motore di ricerca può rifiutare la deindicizzazione se può dimostrare tale correlazione.

> La seconda eccezione riguarda quei casi nei quali il trattamento è necessario per ottemperare ad un obbligo al quale è soggetto il data controller o per l'esecuzione di un compito svolto nel pubblico interesse. Da questo punto di vista le linee guida specificano che la valutazione della richiesta di cancellazione non deve presumere che l'obbligo legale di pubblicazione implichi necessariamente il rigetto della richiesta di deindicizzazione dei dati. La richiesta dell'interessato va comunque presa in considerazione e si deve valutare al fine di raggiungere un equilibrio tra i diritti dell'interessato e l'interesse degli utenti ad accedere alle informazioni.

> La terza e quarta eccezione afferiscono a motivi di interesse pubblico nel campo sanitario o di archiviazione per ricerca storica, scientifica o statistica, nella misura in cui la richiesta di diritto all'oblio possa compromettere gravemente il conseguimento degli obiettivi del trattamento. Qui però le linee guida spiegano che gli effetti della richiesta devono essere intesi come l'eliminazione di alcuni risultati ottenuti inserendo un nome come criterio dio ricerca e non come la cancellazione completa dei dati. Le linee guida ribadiscono anche che le finalità di ricerca storica, scientifica o statistica possono essere comunque perseguite dal motore di ricerca senza che sia necessario un collegamento esplicito tra il nome dell'interessato e i risultati della ricerca.

> La quinta e ultima eccezione riguarda l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria. Le linee guida spiegano che, nell?ambito di un processo di deindicizzazione, le informazioni restano accessibili quando si utilizzano altri termini di ricerca.