Ogni ricerca con il tuo nome e cognome può restituire molto più di quanto immagini: vecchi profili social dimenticati, un numero di telefono pubblicato per errore anni fa, un indirizzo email finito in una fuga di dati, o articoli che ti riguardano e che vorresti non fossero più la prima cosa che chiunque trova digitando su Google. Cancellare le proprie tracce dal web non è un'operazione impossibile, ma richiede un metodo preciso, la conoscenza degli strumenti giusti e, soprattutto, la consapevolezza di un diritto che il GDPR riconosce a ogni cittadino europeo: il diritto all'oblio.
In questa guida vedremo, passo per passo, come individuare i dati personali già esposti online, come richiederne la cancellazione ai siti che li ospitano, come agire sui motori di ricerca e sui social network, e quali sono i limiti legali oltre i quali nemmeno il diritto all'oblio può spingersi.
Indice dei Contenuti
- Perché è Importante Cancellare le Proprie Tracce dal Web
- Cos'è il Diritto all'Oblio Digitale e Cosa Prevede il GDPR
- Come Verificare Quali Dati Sono Già Esposti Online
- Guida Pratica: Come Eliminare i Tuoi Dati dal Web Passo per Passo
- Esperienza, Competenza e Affidabilità nella Gestione della Privacy Digitale
- Cosa Fare se un Sito Rifiuta di Cancellare i Tuoi Dati
- Diritto all'Oblio e Limiti: Quando Non È Possibile Cancellare Tutto
- Domande Frequenti
- Conclusione
- Fonti e Riferimenti
Perché è Importante Cancellare le Proprie Tracce dal Web
Ogni interazione online lascia una traccia: un'iscrizione a un forum del 2012, un vecchio profilo su un social network ormai abbandonato, un commento pubblicato con nome e cognome su un sito di e-commerce, una foto geolocalizzata. Nel loro insieme, questi frammenti compongono quella che gli esperti di sicurezza informatica chiamano impronta digitale (digital footprint), spesso molto più ampia e dettagliata di quanto una persona pensi.
Il problema non è solo di immagine. Un'impronta digitale eccessivamente esposta aumenta concretamente il rischio di furto di identità, phishing mirato, stalking, truffe finanziarie e discriminazione in fase di selezione del personale. Numeri di telefono, indirizzi di casa ed email personali, se combinati tra loro, forniscono a un malintenzionato tutti gli elementi necessari per costruire un attacco di ingegneria sociale credibile.
C'è poi un aspetto meno discusso ma altrettanto rilevante: molti di questi dati non finiscono online per scelta diretta dell'utente, bensì attraverso violazioni di sicurezza (data breach) subite da aziende terze che custodivano le nostre informazioni. In questi casi, prima ancora di pensare alla cancellazione, è fondamentale capire se i propri dati risultano già compromessi: un passaggio che abbiamo approfondito nella nostra guida su come verificare se i propri dati sono stati compromessi da un attacco hacker, utile per capire da dove partire prima di avviare qualsiasi richiesta di cancellazione.
Cos'è il Diritto all'Oblio Digitale e Cosa Prevede il GDPR
Il diritto all'oblio è, nella sua accezione più diffusa, il diritto di ottenere la rimozione o la deindicizzazione di informazioni personali che non sono più necessarie, pertinenti o attuali. Nell'Unione Europea questo diritto trova la sua base giuridica principale nell'articolo 17 del GDPR (Regolamento UE 2016/679), rubricato ufficialmente "Diritto alla cancellazione (diritto all'oblio)".
Secondo l'articolo 17, l'interessato ha diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano, senza ingiustificato ritardo, quando ricorre almeno una di queste condizioni:
- i dati non sono più necessari rispetto alle finalità per cui erano stati raccolti;
- l'interessato revoca il consenso su cui si basava il trattamento e non esiste altro fondamento giuridico;
- l'interessato si oppone al trattamento e non vi è un motivo legittimo prevalente per continuarlo;
- i dati sono stati trattati illecitamente;
- la cancellazione è necessaria per adempiere a un obbligo legale previsto dal diritto dell'Unione o di uno Stato membro.
Un aspetto spesso sottovalutato riguarda il paragrafo 2 dello stesso articolo: se il titolare del trattamento ha reso pubblici i dati personali (ad esempio pubblicandoli su un sito web), è obbligato a informare della richiesta di cancellazione anche gli altri titolari che trattano gli stessi dati, chiedendo loro la rimozione di qualsiasi link, copia o riproduzione. È una previsione pensata proprio per evitare che un dato cancellato in un punto continui a circolare altrove.
Il titolare del trattamento ha un mese di tempo per rispondere alla richiesta dell'interessato, termine prorogabile di ulteriori due mesi in casi di particolare complessità, dandone comunque comunicazione motivata.
In Italia, l'autorità di riferimento per far valere questo diritto è il Garante per la protezione dei dati personali, che nel corso degli anni è intervenuto più volte per chiarire i confini applicativi della norma, distinguendo tra cancellazione integrale dei dati e deindicizzazione dai motori di ricerca, due strumenti diversi che rispondono a esigenze differenti. Anche a livello europeo il tema resta centrale: nel 2025 il Comitato Europeo per la Protezione dei Dati (EDPB), insieme a oltre trenta autorità nazionali, ha avviato un'azione coordinata dedicata proprio all'attuazione pratica del diritto alla cancellazione da parte dei titolari del trattamento.
È importante chiarire fin da subito un equivoco molto diffuso: il diritto all'oblio non è un diritto assoluto. Cede il passo, ad esempio, davanti alla libertà di informazione e di cronaca, agli obblighi legali di conservazione dei dati (come quelli fiscali o contabili) e all'esercizio di un diritto in sede giudiziaria. Ne parleremo più nel dettaglio nella sezione dedicata ai limiti.
Come Verificare Quali Dati Sono Già Esposti Online
Prima di avviare qualunque richiesta di cancellazione, serve una mappatura onesta e completa della propria presenza online. Saltare questo passaggio significa rischiare di dimenticare proprio le fonti più pericolose, spesso le meno visibili.
| Strumento | A cosa serve | Quando usarlo |
|---|---|---|
| Ricerca del proprio nome su Google, Bing, DuckDuckGo | Individuare pagine, profili e contenuti pubblici indicizzati | Come primo passo, ripetendolo periodicamente |
| Have I Been Pwned e servizi simili | Verificare se email o password sono comparse in un data breach noto | Subito dopo la ricerca del nome, e ogni volta che si sospetta una violazione |
| Google "Risultati su di te" | Monitorare e richiedere la rimozione di dati personali sensibili dai risultati di ricerca | Quando emergono numeri di telefono, indirizzi o documenti personali nei risultati |
| Registro delle applicazioni collegate agli account social | Capire quali app terze hanno accesso ai propri dati | Almeno una volta all'anno |
Le password compromesse meritano un'attenzione particolare. Se una vecchia password è stata coinvolta in una violazione, e la si utilizza ancora, anche solo in una variante simile, il rischio di accesso non autorizzato a più account cresce sensibilmente. Il nostro approfondimento su come verificare se i propri dati sono stati compromessi da un attacco hacker spiega nel dettaglio come interpretare questi controlli e quali contromisure adottare subito dopo una scoperta di questo tipo.
Un altro elemento da monitorare, distinto dalla cancellazione dei dati ma spesso confuso con essa, riguarda la visibilità dei propri contenuti sui social network. Capita che un profilo non venga rimosso da nessuno, ma che i suoi contenuti smettano improvvisamente di raggiungere il pubblico abituale: è il fenomeno dello shadowban, di cui abbiamo parlato in dettaglio nel nostro articolo dedicato alla censura algoritmica e allo shadowban sui social nel 2026. Vale la pena tenerlo distinto dal tema della cancellazione dei dati: nel primo caso il dato resta online ma diventa meno visibile per scelta dell'algoritmo, nel secondo caso è il dato stesso a dover sparire.
Esperienza, Competenza e Affidabilità nella Gestione della Privacy Digitale
Chi si occupa quotidianamente di consulenza privacy e sicurezza informatica osserva un pattern ricorrente: la maggior parte delle persone scopre l'entità della propria esposizione online solo dopo un episodio spiacevole, come una chiamata sospetta, un tentativo di phishing molto mirato o la scoperta casuale di un vecchio profilo mai chiuso.
Alcune situazioni ricorrenti, riportate in forma anonima e rappresentativa, aiutano a comprendere meglio il tema:
- Una persona ha ricevuto per anni telefonate commerciali indesiderate riconducibili a un modulo compilato online oltre un decennio prima, di cui non ricordava nemmeno l'esistenza.
- Un professionista ha scoperto, cercando il proprio nome prima di un colloquio di lavoro, che un vecchio profilo su un forum di settore, abbandonato da anni, comparivano ancora tra i primi risultati di ricerca.
- Una famiglia ha richiesto la rimozione di un indirizzo di casa pubblicato per errore su un sito di annunci, riuscendo a ottenerla in circa tre settimane grazie a una richiesta formale ben documentata.
- Un utente ha individuato, tramite un controllo sulle violazioni note, che la propria password era stata esposta in almeno tre data breach differenti, decidendo di sostituirla ovunque fosse ancora in uso.
Domande e risposte rapide sul tema:
È sempre possibile cancellare completamente ogni traccia di sé dal web? No, non sempre: alcuni contenuti, come articoli giornalistici di interesse pubblico o dati soggetti a obblighi di conservazione legale, possono restare online anche a fronte di una richiesta di cancellazione.
Serve un avvocato per esercitare il diritto all'oblio? Non è obbligatorio: la richiesta può essere presentata direttamente dall'interessato al titolare del trattamento; un legale o il Garante privacy diventano utili solo in caso di rifiuto o mancata risposta.
La cancellazione di un dato da Google elimina anche il contenuto originale? No: la deindicizzazione dai motori di ricerca non cancella il contenuto dal sito che lo ospita, ne riduce solo la reperibilità tramite ricerca.
Il parere delle autorità competenti è chiaro e coerente nel tempo. Il Garante per la protezione dei dati personali distingue costantemente, nei propri provvedimenti, tra cancellazione dei dati e loro deindicizzazione o anonimizzazione, ricordando che la scelta dipende dal caso concreto. A livello europeo, la Corte di Giustizia dell'Unione (a partire dalla storica sentenza Google Spain del 2014) ha stabilito che i motori di ricerca possono essere tenuti a rimuovere dai risultati collegati al nome di una persona i link a pagine web pubblicate da terzi, quando le informazioni risultano inadeguate, non pertinenti o non più pertinenti. Questo impianto giuridico, nato prima del GDPR, è stato poi consolidato proprio dall'articolo 17 del Regolamento.
Cosa Fare se un Sito Rifiuta di Cancellare i Tuoi Dati
Non sempre la richiesta diretta al titolare del sito produce l'effetto sperato. Se il termine di un mese previsto dal GDPR scade senza risposta, oppure se la risposta è un rifiuto privo di motivazione legittima, esistono passaggi successivi ben definiti:
- Verifica la motivazione del rifiuto. Il titolare deve sempre spiegare perché non può procedere alla cancellazione, citando una delle eccezioni previste dall'articolo 17, paragrafo 3, del GDPR.
- Presenta un reclamo al Garante per la protezione dei dati personali. È una procedura gratuita, attivabile online attraverso il sito ufficiale dell'Autorità, e rappresenta lo strumento principale a disposizione dei cittadini italiani.
- Valuta un ricorso all'autorità giudiziaria ordinaria, alternativo o successivo al reclamo al Garante, soprattutto quando sono coinvolti anche altri profili di danno, come quello reputazionale.
- Documenta ogni comunicazione. Conservare screenshot, email e ricevute di invio delle richieste è essenziale per dimostrare, in caso di controversia, che la procedura corretta è stata seguita.
Diritto all'Oblio e Limiti: Quando Non È Possibile Cancellare Tutto
Il diritto all'oblio non equivale al diritto di riscrivere la propria storia digitale a piacimento. L'articolo 17, paragrafo 3, del GDPR elenca in modo puntuale i casi in cui il diritto alla cancellazione non si applica, anche a fronte di una richiesta legittima dell'interessato:
- esercizio del diritto alla libertà di espressione e di informazione, che comprende gli articoli giornalistici di interesse pubblico;
- adempimento di un obbligo legale che impone la conservazione dei dati, ad esempio in ambito fiscale, contabile o sanitario;
- motivi di interesse pubblico nel settore della sanità pubblica;
- finalità di archiviazione nel pubblico interesse, di ricerca scientifica o storica, o a fini statistici, nella misura in cui la cancellazione rischierebbe di rendere impossibile o di pregiudicare gravemente tali finalità;
- accertamento, esercizio o difesa di un diritto in sede giudiziaria.
Questo significa, in pratica, che una notizia di cronaca genuinamente rilevante per l'interesse pubblico difficilmente potrà essere cancellata del tutto, anche se in alcuni casi potrà essere deindicizzata dai motori di ricerca quando il tempo trascorso ne ha ridotto la pertinenza attuale, come confermato da diversi provvedimenti del Garante privacy in materia di vicende giudiziarie risalenti nel tempo, specie quando l'interessato risulta poi estraneo ai fatti. La giurisprudenza più recente, inclusa quella della Corte di Cassazione, ribadisce che questo bilanciamento tra diritto all'oblio e interesse pubblico all'informazione va sempre valutato caso per caso, e non può essere considerato un automatismo.
Un altro limite pratico riguarda i contenuti condivisi da terzi: se un'altra persona pubblica una foto o un post che ti riguarda, la richiesta di cancellazione va indirizzata a quella persona o alla piattaforma che ospita il contenuto, non semplicemente al motore di ricerca che lo indicizza.
Guida Pratica: Come Eliminare i Tuoi Dati dal Web Passo per Passo
Una volta compresa la cornice normativa, è il momento di passare all'azione concreta. Ecco un percorso operativo suddiviso per ambito.
Eliminare o Aggiornare i Vecchi Account
Molte tracce digitali derivano da account creati anni fa e mai più utilizzati. Prima di richiedere la cancellazione a terzi, conviene:
- recuperare l'accesso agli account dimenticati tramite la funzione di recupero password;
- eliminare direttamente l'account dalle impostazioni della piattaforma, quando disponibile;
- se l'opzione di cancellazione non è presente, contattare l'assistenza citando esplicitamente l'articolo 17 del GDPR, allegando un documento d'identità solo se richiesto espressamente per verificare l'identità del richiedente.
Agire sui Motori di Ricerca
Google mette a disposizione lo strumento "Risultati su di te", che consente di monitorare la comparsa di dati personali sensibili (numeri di telefono, indirizzi email, indirizzi di casa, documenti e informazioni finanziarie) nei risultati di ricerca e di richiederne la rimozione direttamente dal pannello dei tre puntini accanto a ciascun risultato. È importante ricordare che la rimozione da Google non cancella il contenuto dalla fonte originale: se l'obiettivo è la sparizione totale del dato, la richiesta va comunque indirizzata anche al sito che lo ospita.
Gestire la Presenza sui Social Media
Per ogni social network attivo:
- rivedi le impostazioni sulla visibilità del profilo, impostandolo come privato dove possibile;
- elimina foto, post e commenti datati che contengono informazioni personali non più attuali;
- revoca l'accesso alle app di terze parti collegate all'account, spesso dimenticate ma ancora attive;
- se il profilo non serve più, procedi con l'eliminazione definitiva, distinguendola dalla semplice disattivazione temporanea, che in molti casi lascia i dati comunque conservati sui server della piattaforma.
Rivolgersi ai Data Broker
Esistono aziende specializzate nella raccolta e rivendita di dati personali a fini di marketing, i cosiddetti data broker. Anche in questo caso il GDPR consente di esercitare il diritto alla cancellazione, individuando il titolare del trattamento e inviando una richiesta formale via email o attraverso l'apposito modulo, quando disponibile sul sito dell'azienda.
Monitorare nel Tempo
Cancellare le tracce dal web non è un'operazione una tantum, ma un processo da ripetere periodicamente: nuovi contenuti vengono indicizzati, nuovi servizi raccolgono dati, nuove violazioni possono coinvolgere account già esistenti. Impostare un promemoria per un controllo semestrale, che comprenda sia una ricerca del proprio nome sia una verifica su eventuali nuove violazioni note, è la strategia più efficace per mantenere sotto controllo la propria esposizione digitale nel tempo.
Domande Frequenti
Quanto tempo ha un sito per rispondere a una richiesta di cancellazione dei dati?
Il GDPR stabilisce che il titolare del trattamento deve rispondere entro un mese dalla richiesta, termine prorogabile fino a tre mesi complessivi in casi di particolare complessità, con obbligo di motivare per iscritto l'eventuale proroga o il rifiuto.
La cancellazione di un account elimina davvero tutti i miei dati?
Non sempre in modo immediato. Molte piattaforme mantengono i dati per un periodo residuo per finalità tecniche, di sicurezza o per obblighi legali, anche dopo la richiesta di cancellazione dell'account: è buona norma verificare l'informativa privacy specifica del servizio per conoscere questi tempi.
Posso chiedere la cancellazione di dati pubblicati da altre persone?
Sì, se i dati ti riguardano e ricorrono le condizioni dell'articolo 17 del GDPR, puoi rivolgerti direttamente a chi li ha pubblicati o alla piattaforma che li ospita, chiedendone la rimozione.
Il diritto all'oblio vale anche per articoli di giornale che parlano di me?
Dipende dal caso. Il diritto di cronaca prevale generalmente sul diritto all'oblio quando l'informazione è di interesse pubblico attuale; con il passare del tempo, tuttavia, è possibile chiedere la deindicizzazione dell'articolo dai motori di ricerca, pur senza ottenerne la cancellazione dal sito originario.
A chi posso rivolgermi se un'azienda ignora la mia richiesta di cancellazione?
Puoi presentare un reclamo gratuito al Garante per la protezione dei dati personali, allegando le prove della richiesta inviata e dell'eventuale mancata risposta entro i termini previsti dalla legge.
Conclusione
Ridurre la propria esposizione online è un percorso fatto di passi concreti: capire cosa è già visibile, distinguere tra ciò che si può cancellare e ciò che si può solo deindicizzare, conoscere i propri diritti e sapere a chi rivolgersi quando la richiesta non viene accolta. Il diritto all'oblio, sancito dall'articolo 17 del GDPR, resta lo strumento normativo più solido a disposizione dei cittadini europei, ma non è illimitato: va esercitato con consapevolezza dei propri confini e, quando serve, con il supporto del Garante privacy o di un legale.
Mantenere sotto controllo la propria impronta digitale, oggi, non è più un'attività riservata a esperti di sicurezza informatica: è un'abitudine che chiunque può e dovrebbe adottare, con la stessa regolarità con cui si aggiorna una password.
Fonti e Riferimenti
- Regolamento UE 2016/679 (GDPR), Articolo 17, Diritto alla cancellazione (diritto all'oblio), eur-lex.europa.eu
- Garante per la Protezione dei Dati Personali, Diritto all'oblio, provvedimenti e linee guida, garanteprivacy.it
- Corte di Giustizia dell'Unione Europea, Sentenza Google Spain, causa C-131/12, 2014, curia.europa.eu
- Comitato Europeo per la Protezione dei Dati (EDPB), Coordinated Enforcement Framework 2025 sul diritto all'oblio, edpb.europa.eu
- Google, Strumento "Risultati su di te" e rimozione di informazioni personali dalla Ricerca, support.google.com