La Corte di Giustizia ha, con la recente sentenza che trovate di seguito, ribadito il principio secondo il quale il consumatore che cede i propri dati al professionista, ha diritto di sapere come vengono utilizzate le informazioni ricevute e, in particolare, a chi sono state cedute.
Si richiama, a tal proposito, l'art. 15 della Direttiva 679/2016 (GDPR), la quale prevede:
"1. L'interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l'accesso ai dati personali e alle seguenti informazioni:
a) le finalità del trattamento;
b) le categorie di dati personali in questione;
c) i destinatari o le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, in particolare se destinatari di paesi terzi o organizzazioni internazionali;
d) quando possibile, il periodo di conservazione dei dati personali previsto oppure, se non è possibile, i criteri utilizzati per determinare tale periodo;
e) l'esistenza del diritto dell'interessato di chiedere al titolare del trattamento la rettifica o la cancellazione dei dati personali o la limitazione del trattamento dei dati personali che lo riguardano o di opporsi al loro trattamento;
f) il diritto di proporre reclamo a un'autorità di controllo;
g) qualora i dati non siano raccolti presso l'interessato, tutte le informazioni disponibili sulla loro origine;
h) l'esistenza di un processo decisionale automatizzato, compresa la profilazione di cui all'articolo 22, paragrafi 1 e 4, e, almeno in tali casi, informazioni significative sulla logica utilizzata, nonché l'importanza e le conseguenze previste di tale trattamento per l'interessato.".
La medesima norma prevede, inoltre, che se i dati sono stati ceduti in altro paese dell'Unione, è onere del professionista di comunicarlo e garantire il rispetto delle tutele della riservatezza dei dati personali, così come disciplinati dalla normativa comunitaria.
E il diritto ad ottenere le informazioni dei destinatari dei dati personali del consumatori non è sindacabile o limitabile dalla controparte come ribadito dalla Corte, la quale ha enucleato il seguente principio: "il diritto di accesso dell’interessato ai dati personali che lo riguardano, previsto da tale disposizione, implica, qualora tali dati siano stati o saranno comunicati a destinatari, l’obbligo per il titolare del trattamento di fornire a detto interessato l’identità stessa di tali destinatari, a meno che sia impossibile identificare detti destinatari o che il suddetto titolare del trattamento dimostri che le richieste di accesso dell’interessato sono manifestamente infondate o eccessive, ai sensi dell’articolo 12, paragrafo 5, del regolamento 2016/679, nel qual caso il titolare del trattamento può indicare a detto interessato unicamente le categorie di destinatari di cui trattasi.".
Di seguito, il provvedimento C - 124/2021 della Corte di giustizia dell'Unione europea.
SENTENZA DELLA CORTE (Prima Sezione)
12 gennaio 2023 (*)
«Rinvio pregiudiziale – Protezione delle persone fisiche con riguardo al trattamento dei dati
personali – Regolamento (UE) 2016/679 – Articolo 15, paragrafo 1, lettera c) – Diritto di accesso
dell’interessato ai propri dati – Informazioni sui destinatari o sulle categorie di destinatari a cui sono
stati o saranno comunicati i dati personali – Limitazioni»
Nella causa C-154/21,
avente ad oggetto la domanda di pronuncia pregiudiziale proposta alla Corte, ai sensi dell’articolo
267 TFUE, dall’Oberster Gerichtshof (Corte suprema, Austria), con decisione del 18 febbraio 2021,
pervenuta in cancelleria il 9 marzo 2021, nel procedimento
RW
contro
Österreichische Post AG,
LA CORTE (Prima Sezione),
composta da A. Arabadjiev, presidente di sezione, L. Bay Larsen, vicepresidente della Corte, facente
funzione di giudice della Prima Sezione, P.G. Xuereb, A. Kumin e I. Ziemele (relatrice), giudici,
avvocato generale: G. Pitruzzella
cancelliere: A. Calot Escobar
vista la fase scritta del procedimento,
considerate le osservazioni presentate:
– per RW, da R. Haupt, Rechtsanwalt;
– per la Österreichische Post AG, da R. Marko, Rechtsanwalt;
– per il governo austriaco, da G. Kunnert, A. Posch e J. Schmoll, in qualità di agenti;
– per il governo ceco, da M. Smolek e J. Vláčil, in qualità di agenti;
– per il governo italiano, da G. Palmieri, in qualità di agente, assistita da M. Russo, avvocato
dello Stato;
– per il governo lettone, da J. Davidoviča, I. Hūna e K. Pommere, in qualità di agenti;
– per il governo rumeno, da L.-E. Baţagoi, E. Gane e A. Wellman, in qualità di agenti;
– per il governo svedese, da H. Eklinder, J. Lundberg, C. Meyer-Seitz, A.M. Runeskjöld,
M. Salborn Hodgson, R. Shahsavan Eriksson, H. Shev e O. Simonsson, in qualità di agenti;
– per la Commissione europea, da F. Erlbacher e H. Kranenborg, in qualità di agenti,
sentite le conclusioni dell’avvocato generale, presentate all’udienza del 9 giugno 2022,
ha pronunciato la seguente
Sentenza
1 La domanda di pronuncia pregiudiziale verte sull’interpretazione dell’articolo 15, paragrafo
1, lettera c), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile
2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali,
nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale
sulla protezione dei dati) (GU 2016, L 119, pag. 1) (in prosieguo: il «RGPD»).
2 Tale domanda è stata presentata nell’ambito di una controversia tra RW e la Österreichische
Post AG (in prosieguo: la «Österreichische Post») in merito a una richiesta di accesso a dati personali
ai sensi dell’articolo 15, paragrafo 1, lettera c), del RGPD.
Contesto normativo
3 I considerando 4, 9, 10, 39, 63 e 74 del RGPD sono così formulati:
«(4) (...) Il diritto alla protezione dei dati di carattere personale non è una prerogativa assoluta,
ma va considerato alla luce della sua funzione sociale e va contemperato con altri diritti
fondamentali, in ossequio al principio di proporzionalità. (...)
(...)
(9) Sebbene i suoi obiettivi e principi rimangano tuttora validi, la direttiva 95/46/CE [del
Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con
riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU 1995, L 281,
pag. 31),] non ha impedito la frammentazione dell’applicazione della protezione dei dati personali
nel territorio dell’Unione [europea], né ha eliminato l’incertezza giuridica o la percezione,
largamente diffusa nel pubblico, che in particolare le operazioni online comportino rischi per la
protezione delle persone fisiche. La compresenza di diversi livelli di protezione dei diritti e delle
libertà delle persone fisiche, in particolare del diritto alla protezione dei dati personali, con riguardo
al trattamento di tali dati negli Stati membri può ostacolare la libera circolazione dei dati personali
all’interno dell’Unione. Tali differenze possono pertanto costituire un freno all’esercizio delle
attività economiche su scala dell’Unione, falsare la concorrenza e impedire alle autorità nazionali di
adempiere agli obblighi loro derivanti dal diritto dell’Unione. Tale divario creatosi nei livelli di
protezione è dovuto alle divergenze nell’attuare e applicare la direttiva 95/46/CE.
(10) Al fine di assicurare un livello coerente ed elevato di protezione delle persone fisiche e
rimuovere gli ostacoli alla circolazione dei dati personali all’interno dell’Unione, il livello di
protezione dei diritti e delle libertà delle persone fisiche con riguardo al trattamento di tali dati
dovrebbe essere equivalente in tutti gli Stati membri. (...)
(...)
(39) Qualsiasi trattamento di dati personali dovrebbe essere lecito e corretto. Dovrebbero essere
trasparenti per le persone fisiche le modalità con cui sono raccolti, utilizzati, consultati o altrimenti
trattati dati personali che li riguardano nonché la misura in cui i dati personali sono o saranno
trattati. Il principio della trasparenza impone che le informazioni e le comunicazioni relative al
trattamento di tali dati personali siano facilmente accessibili e comprensibili e che sia utilizzato un
linguaggio semplice e chiaro. (...)
(...)
(63) Un interessato dovrebbe avere il diritto di accedere ai dati personali raccolti che l[o]
riguardano e di esercitare tale diritto facilmente e a intervalli ragionevoli, per essere consapevole del
trattamento e verificarne la liceità. (...) Ogni interessato dovrebbe pertanto avere il diritto di
conoscere e ottenere comunicazioni in particolare in relazione alla finalità per cui i dati personali
sono trattati, ove possibile al periodo in cui i dati personali sono trattati, ai destinatari dei dati
personali, alla logica cui risponde qualsiasi trattamento automatizzato dei dati e, almeno quando è
basato sulla profilazione, alle possibili conseguenze di tale trattamento. (...) Tale diritto non
dovrebbe ledere i diritti e le libertà altrui, compreso il segreto industriale e aziendale e la proprietà
intellettuale, segnatamente i diritti d’autore che tutelano il software. Tuttavia, tali considerazioni
non dovrebbero condurre a un diniego a fornire all’interessato tutte le informazioni. (...)
(...)
(74) È opportuno stabilire la responsabilità generale del titolare del trattamento per qualsiasi
trattamento di dati personali che quest’ultimo abbia effettuato direttamente o che altri abbiano
effettuato per suo conto. In particolare, il titolare del trattamento dovrebbe essere tenuto a mettere
in atto misure adeguate ed efficaci ed essere in grado di dimostrare la conformità delle attività di
trattamento con il presente regolamento, compresa l’efficacia delle misure. Tali misure dovrebbero
tener conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento,
nonché del rischio per i diritti e le libertà delle persone fisiche».
4 L’articolo 1 del RGPD, intitolato «Oggetto e finalità», al paragrafo 2 così dispone:
«Il presente regolamento protegge i diritti e le libertà fondamentali delle persone fisiche, in
particolare il diritto alla protezione dei dati personali».
5 L’articolo 5 del RGPD, intitolato «Principi applicabili al trattamento di dati personali», prevede
quanto segue:
«1. I dati personali sono:
a) trattati in modo lecito, corretto e trasparente nei confronti dell’interessato (“liceità, correttezza
e trasparenza”);
(...)
2. Il titolare del trattamento è competente per il rispetto del paragrafo 1 e in grado di comprovarlo
(“responsabilizzazione”)».
6 L’articolo 12 del RGPD, intitolato «Informazioni, comunicazioni e modalità trasparenti per
l’esercizio dei diritti dell’interessato», è così formulato:
«1. Il titolare del trattamento adotta misure appropriate per fornire all’interessato tutte le
informazioni di cui agli articoli 13 e 14 e le comunicazioni di cui agli articoli da 15 a 22 e all’articolo
34 relative al trattamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un
linguaggio semplice e chiaro, in particolare nel caso di informazioni destinate specificamente ai
minori. Le informazioni sono fornite per iscritto o con altri mezzi, anche, se del caso, con mezzi
elettronici. Se richiesto dall’interessato, le informazioni possono essere fornite oralmente, purché sia
comprovata con altri mezzi l’identità dell’interessato.
2. Il titolare del trattamento agevola l’esercizio dei diritti dell’interessato ai sensi degli articoli da
15 a 22. Nei casi di cui all’articolo 11, paragrafo 2, il titolare del trattamento non può rifiutare di
soddisfare la richiesta dell’interessato al fine di esercitare i suoi diritti ai sensi degli articoli da 15 a
22, salvo che il titolare del trattamento dimostri che non è in grado di identificare l’interessato.
(...)
5. Le informazioni fornite ai sensi degli articoli 13 e 14 ed eventuali comunicazioni e azioni
intraprese ai sensi degli articoli da 15 a 22 e dell’articolo 34 sono gratuite. Se le richieste
dell’interessato sono manifestamente infondate o eccessive, in particolare per il loro carattere
ripetitivo, il titolare del trattamento può:
a) addebitare un contributo spese ragionevole tenendo conto dei costi amministrativi sostenuti
per fornire le informazioni o la comunicazione o intraprendere l’azione richiesta; oppure
b) rifiutare di soddisfare la richiesta.
Incombe al titolare del trattamento l’onere di dimostrare il carattere manifestamente infondato o
eccessivo della richiesta.
(...)».
7 L’articolo 13 del RGPD, intitolato «Informazioni da fornire qualora i dati personali siano
raccolti presso l’interessato», al paragrafo 1 prevede quanto segue:
«In caso di raccolta presso l’interessato di dati che lo riguardano, il titolare del trattamento fornisce
all’interessato, nel momento in cui i dati personali sono ottenuti, le seguenti informazioni:
(...)
e) gli eventuali destinatari o le eventuali categorie di destinatari dei dati personali;
(...)».
8 L’articolo 14 del RGPD, intitolato «Informazioni da fornire qualora i dati personali non siano
stati ottenuti presso l’interessato», al paragrafo 1 così dispone:
«Qualora i dati non siano stati ottenuti presso l’interessato, il titolare del trattamento fornisce
all’interessato le seguenti informazioni:
(...)
e) gli eventuali destinatari o le eventuali categorie di destinatari dei dati personali;
(...)».
9 Ai sensi dell’articolo 15 del RGPD, intitolato «Diritto di accesso dell’interessato»:
«1. L’interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in
corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l’accesso ai dati
personali e alle seguenti informazioni:
a) le finalità del trattamento;
b) le categorie di dati personali in questione;
c) i destinatari o le categorie di destinatari a cui i dati personali sono stati o saranno comunicati,
in particolare se destinatari di paesi terzi o organizzazioni internazionali;
d) quando possibile, il periodo di conservazione dei dati personali previsto oppure, se non è
possibile, i criteri utilizzati per determinare tale periodo
e) l’esistenza del diritto dell’interessato di chiedere al titolare del trattamento la rettifica o la
cancellazione dei dati personali o la limitazione del trattamento dei dati personali che lo riguardano
o di opporsi al loro trattamento;
f) il diritto di proporre reclamo a un’autorità di controllo;
g) qualora i dati non siano raccolti presso l’interessato, tutte le informazioni disponibili sulla loro
origine;
h) l’esistenza di un processo decisionale automatizzato, compresa la profilazione di cui
all’articolo 22, paragrafi 1 e 4, e, almeno in tali casi, informazioni significative sulla logica utilizzata,
nonché l’importanza e le conseguenze previste di tale trattamento per l’interessato.
2. Qualora i dati personali siano trasferiti a un paese terzo o a un’organizzazione internazionale,
l’interessato ha il diritto di essere informato dell’esistenza di garanzie adeguate ai sensi dell’articolo
46 relative al trasferimento.
3. Il titolare del trattamento fornisce una copia dei dati personali oggetto di trattamento. In caso
di ulteriori copie richieste dall’interessato, il titolare del trattamento può addebitare un contributo
spese ragionevole basato sui costi amministrativi. Se l’interessato presenta la richiesta mediante
mezzi elettronici, e salvo indicazione diversa dell’interessato, le informazioni sono fornite in un
formato elettronico di uso comune.
4. Il diritto di ottenere una copia di cui al paragrafo 3 non deve ledere i diritti e le libertà altrui».
10 L’articolo 16 del RGPD, intitolato «Diritto di rettifica», stabilisce quanto segue:
«L’interessato ha il diritto di ottenere dal titolare del trattamento la rettifica dei dati personali inesatti
che lo riguardano senza ingiustificato ritardo. Tenuto conto delle finalità del trattamento,
l’interessato ha il diritto di ottenere l’integrazione dei dati personali incompleti, anche fornendo una
dichiarazione integrativa».
11 Ai sensi dell’articolo 17 del RGPD, intitolato «Diritto alla cancellazione (“diritto all’oblio”)»:
«1. L’interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati
personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l’obbligo di
cancellare senza ingiustificato ritardo i dati personali, se sussiste uno dei motivi seguenti:
a) i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o
altrimenti trattati;
b) l’interessato revoca il consenso su cui si basa il trattamento conformemente all’articolo 6,
paragrafo 1, lettera a), o all’articolo 9, paragrafo 2, lettera a), e se non sussiste altro fondamento
giuridico per il trattamento;
c) l’interessato si oppone al trattamento ai sensi dell’articolo 21, paragrafo 1, e non sussiste alcun
motivo legittimo prevalente per procedere al trattamento, oppure si oppone al trattamento ai sensi
dell’articolo 21, paragrafo 2;
d) i dati personali sono stati trattati illecitamente;
e) i dati personali devono essere cancellati per adempiere un obbligo legale previsto dal diritto
dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento;
f) i dati personali sono stati raccolti relativamente all’offerta di servizi della società
dell’informazione di cui all’articolo 8, paragrafo 1.
2. Il titolare del trattamento, se ha reso pubblici dati personali ed è obbligato, ai sensi del
paragrafo 1, a cancellarli, tenendo conto della tecnologia disponibile e dei costi di attuazione adotta
le misure ragionevoli, anche tecniche, per informare i titolari del trattamento che stanno trattando i
dati personali della richiesta dell’interessato di cancellare qualsiasi link, copia o riproduzione dei
suoi dati personali(...)».
12 L’articolo 18 del RGPD, intitolato «Diritto di limitazione di trattamento», al paragrafo 1 così
dispone:
«L’interessato ha il diritto di ottenere dal titolare del trattamento la limitazione del trattamento
quando ricorre una delle seguenti ipotesi:
a) l’interessato contesta l’esattezza dei dati personali, per il periodo necessario al titolare del
trattamento per verificare l’esattezza di tali dati personali;
b) il trattamento è illecito e l’interessato si oppone alla cancellazione dei dati personali e chiede
invece che ne sia limitato l’utilizzo;
c) benché il titolare del trattamento non ne abbia più bisogno ai fini del trattamento, i dati
personali sono necessari all’interessato per l’accertamento, l’esercizio o la difesa di un diritto in sede
giudiziaria;
d) l’interessato si è opposto al trattamento ai sensi dell’articolo 21, paragrafo 1, in attesa della
verifica in merito all’eventuale prevalenza dei motivi legittimi del titolare del trattamento rispetto a
quelli dell’interessato.
(...)».
13 L’articolo 19 del RGPD così recita:
«Il titolare del trattamento comunica a ciascuno dei destinatari cui sono stati trasmessi i dati
personali le eventuali rettifiche o cancellazioni o limitazioni del trattamento effettuate a norma
dell’articolo 16, dell’articolo 17, paragrafo 1, e dell’articolo 18, salvo che ciò si riveli impossibile o
implichi uno sforzo sproporzionato. Il titolare del trattamento comunica all’interessato tali
destinatari qualora l’interessato lo richieda».
14 Ai sensi dell’articolo 21 del RGPD, intitolato «Diritto di opposizione»:
«1. L’interessato ha il diritto di opporsi in qualsiasi momento, per motivi connessi alla sua
situazione particolare, al trattamento dei dati personali che lo riguardano ai sensi dell’articolo 6,
paragrafo 1, lettere e) o f), compresa la profilazione sulla base di tali disposizioni. Il titolare del
trattamento si astiene dal trattare ulteriormente i dati personali salvo che egli dimostri l’esistenza di
motivi legittimi cogenti per procedere al trattamento che prevalgono sugli interessi, sui diritti e sulle
libertà dell’interessato oppure per l’accertamento, l’esercizio o la difesa di un diritto in sede
giudiziaria.
2. Qualora i dati personali siano trattati per finalità di marketing diretto, l’interessato ha il diritto
di opporsi in qualsiasi momento al trattamento dei dati personali che lo riguardano effettuato per
tali finalità, compresa la profilazione nella misura in cui sia connessa a tale marketing diretto.
3. Qualora l’interessato si opponga al trattamento per finalità di marketing diretto, i dati personali
non sono più oggetto di trattamento per tali finalità.
4. Il diritto di cui ai paragrafi 1 e 2 è esplicitamente portato all’attenzione dell’interessato ed è
presentato chiaramente e separatamente da qualsiasi altra informazione al più tardi al momento
della prima comunicazione con l’interessato.
5. Nel contesto dell’utilizzo di servizi della società dell’informazione e fatta salva la direttiva
2002/58/CE [del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei
dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva
relativa alla vita privata e alle comunicazioni elettroniche) (GU 2002, L 201, pag. 37)], l’interessato
può esercitare il proprio diritto di opposizione con mezzi automatizzati che utilizzano specifiche
tecniche
6. Qualora i dati personali siano trattati a fini di ricerca scientifica o storica o a fini statistici a
norma dell’articolo 89, paragrafo 1, l’interessato, per motivi connessi alla sua situazione particolare,
ha il diritto di opporsi al trattamento di dati personali che lo riguarda, salvo se il trattamento è
necessario per l’esecuzione di un compito di interesse pubblico».
15 L’articolo 79 del RGPD, intitolato «Diritto a un ricorso giurisdizionale effettivo nei confronti
del titolare del trattamento o del responsabile del trattamento», al paragrafo 1 enuncia quanto segue:
«Fatto salvo ogni altro ricorso amministrativo o extragiudiziale disponibile, compreso il diritto di
proporre reclamo a un’autorità di controllo ai sensi dell’articolo 77, ogni interessato ha il diritto di
proporre un ricorso giurisdizionale effettivo qualora ritenga che i diritti di cui gode a norma del
presente regolamento siano stati violati a seguito di un trattamento».
16 L’articolo 82 del RGPD, intitolato «Diritto al risarcimento e responsabilità», al paragrafo 1
prevede quanto segue:
«Chiunque subisca un danno materiale o immateriale causato da una violazione del presente
regolamento ha il diritto di ottenere il risarcimento del danno dal titolare del trattamento o dal
responsabile del trattamento».
Procedimento principale e questione pregiudiziale
17 Il 15 gennaio 2019 RW si è rivolto all’Österreichische Post al fine di ottenere, sulla base
dell’articolo 15 del RGPD, l’accesso ai dati personali che lo riguardavano conservati da quest’ultima
o che la stessa aveva conservato in passato e, in caso di comunicazione dei dati a terzi, l’identità di
tali destinatari.
18 In risposta a tale richiesta, l’Österreichische Post si è limitata ad affermare che essa utilizza
dati, nei limiti consentiti dalla legge, nell’ambito della sua attività di editore di elenchi telefonici e
che fornisce tali dati personali a partner commerciali a fini di marketing. Inoltre, essa ha rinviato a
un sito Internet per informazioni più dettagliate e per le altre finalità del trattamento dei dati. Essa
non ha comunicato a RW l’identità in concreto dei destinatari dei dati.
19 RW ha citato l’Österreichische Post dinanzi ai giudici austriaci chiedendo che venisse ingiunto
a quest’ultima di fornirgli, in particolare, l’identità del destinatario o dei destinatari dei suoi dati
personali così comunicati.
20 Nel corso del procedimento giudiziario così avviato, l’Österreichische Post ha informato RW
che i suoi dati personali erano stati trattati a fini di marketing e trasmessi a clienti, tra cui inserzionisti
attivi nel settore della vendita per corrispondenza e del commercio tradizionale, imprese
informatiche, editori di indirizzi e associazioni quali organizzazioni di beneficenza, organizzazioni
non governative (ONG) o partiti politici.
21 I giudici di primo grado e d’appello hanno respinto il ricorso di RW in quanto l’articolo 15,
paragrafo 1, lettera c), del RGPD, nella parte in cui fa riferimento a «destinatari o (...) categorie di
destinatari», accorderebbe al titolare del trattamento la possibilità di indicare all’interessato soltanto
le categorie di destinatari, senza dover indicare nominativamente i destinatari concreti ai quali sono
trasmessi i dati personali.
22 RW ha proposto ricorso per cassazione («Revision») dinanzi all’Oberster Gerichtshof (Corte
suprema, Austria), giudice del rinvio.
23 Tale giudice si interroga sull’interpretazione dell’articolo 15, paragrafo 1, lettera c), del RGPD,
in quanto dalla formulazione di tale disposizione non emerge con chiarezza se essa conceda
all’interessato il diritto di avere accesso alle informazioni relative ai destinatari concreti dei dati
comunicati o se il titolare del trattamento possa scegliere discrezionalmente il modo in cui intende
dare seguito a una richiesta di accesso all’informazione sui destinatari.
24 Detto giudice osserva tuttavia che la ratio legis di detta disposizione deporrebbe piuttosto a
favore dell’interpretazione secondo cui è l’interessato che può scegliere di chiedere informazioni
relative alle categorie di destinatari o ai destinatari concreti dei suoi dati personali. A suo avviso,
qualsiasi interpretazione comprometterebbe gravemente l’effettività dei mezzi di ricorso a
disposizione dell’interessato per proteggere i suoi dati. Infatti, nel caso in cui i titolari potessero
scegliere se indicare agli interessati i destinatari concreti o soltanto le categorie di destinatari,
sussisterebbe il fondato timore che, in pratica, quasi nessuno di essi fornirebbe le informazioni
relative ai destinatari concreti.
25 Inoltre, contrariamente all’articolo 13, paragrafo 1, lettera e), e all’articolo 14, paragrafo 1,
lettera e), del RGPD, che prevedono un obbligo per il titolare del trattamento di fornire le
informazioni ivi specificate, l’articolo 15, paragrafo 1, di tale regolamento porrebbe l’accento sulla
portata del diritto di accesso dell’interessato, il che tenderebbe altresì a indicare, secondo il giudice
del rinvio, che l’interessato ha il diritto di scegliere se chiedere informazioni sui destinatari concreti
o sulle categorie di destinatari.
26 Infine, il giudice del rinvio aggiunge che il diritto di accesso previsto all’articolo 15, paragrafo
1, del RGPD, riguarda non già unicamente i dati personali in corso di trattamento, ma anche tutti i
dati trattati in passato. A tale riguardo, esso precisa che le considerazioni formulate nella sentenza
del 7 maggio 2009, Rijkeboer (C-553/07, EU:C:2009:293), fondate sulla finalità del diritto di accesso
previsto dalla direttiva 95/46, possono essere trasposte al diritto di accesso di cui all’articolo 15 del
RGPD, tanto più che dai considerando 9 e 10 di quest’ultimo si può dedurre che il legislatore
dell’Unione non ha inteso abbassare il livello di protezione rispetto a tale direttiva.
27 Ciò premesso, l’Oberster Gerichtshof (Corte suprema) ha deciso di sospendere il procedimento
e di sottoporre alla Corte la seguente questione pregiudiziale:
«Se l’articolo 15, paragrafo 1, lettera c), del [RGPD] debba essere interpretato nel senso che il diritto
di accesso è limitato a informazioni relative alle categorie di destinatari, qualora non siano ancora
stati specificamente individuati destinatari concreti nel quadro di comunicazioni previste, mentre
tale diritto deve necessariamente estendersi anche ai destinatari di tali comunicazioni, qualora i dati
siano già stati comunicati».
Sulla questione pregiudiziale
28 Con la sua questione pregiudiziale, il giudice del rinvio chiede, in sostanza, se l’articolo 15,
paragrafo 1, lettera c), del RGPD debba essere interpretato nel senso che il diritto di accesso
dell’interessato ai dati personali che lo riguardano, previsto da tale disposizione, implica, qualora
tali dati siano stati o saranno comunicati a destinatari, l’obbligo per il titolare del trattamento di
fornire all’interessato l’identità concreta di tali destinatari.
29 In via preliminare, occorre ricordare che, secondo una costante giurisprudenza,
l’interpretazione di una disposizione del diritto dell’Unione richiede di tener conto non soltanto
della sua formulazione, ma anche del contesto in cui essa si inserisce nonché degli obiettivi e della
finalità che persegue l’atto di cui essa fa parte (sentenza del 15 marzo 2022, Autorité des marchés
financier, C-302/20, EU:C:2022:190, punto 63). Inoltre, quando una disposizione del diritto
dell’Unione è suscettibile di più interpretazioni, occorre privilegiare quella idonea a salvaguardare
il suo effetto utile (sentenza del 7 marzo 2018, Cristal Union, C-31/17, EU:C:2018:168, punto 41 e
giurisprudenza ivi citata).
30 Per quanto riguarda, anzitutto, il tenore letterale dell’articolo 15, paragrafo 1, lettera c), del
RGPD, occorre ricordare che tale disposizione enuncia che l’interessato ha il diritto di ottenere dal
titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e, in tal caso, di ottenere l’accesso ai dati personali e alle informazioni relative ai
destinatari o alle categorie di destinatari a cui tali dati personali sono stati o saranno comunicati.
31 A tal riguardo, occorre rilevare che i termini «destinatari» e «categorie di destinatari» che
figurano in tale disposizione sono utilizzati in successione, senza che sia possibile dedurre un ordine
di priorità tra di essi.
32 Pertanto, è giocoforza constatare che la formulazione dell’articolo 15, paragrafo 1, lettera c),
del RGPD non consente di stabilire, in modo univoco, se l’interessato, qualora i dati personali che lo
riguardano siano stati o saranno comunicati, abbia il diritto di essere informato riguardo all’identità
concreta dei destinatari di questi ultimi.
33 Per quanto riguarda poi il contesto in cui si inserisce l’articolo 15, paragrafo 1, lettera c), del
RGPD, occorre ricordare, in primo luogo, che il considerando 63 di tale regolamento prevede che
l’interessato debba avere il diritto di conoscere e ottenere comunicazioni, in particolare, in relazione
ai destinatari di tali dati personali e non precisa che tale diritto possa essere limitato alle mere
categorie di destinatari, come rilevato dall’avvocato generale al paragrafo 23 delle sue conclusioni.
34 In secondo luogo, occorre altresì ricordare che, per rispettare il diritto di accesso, qualsiasi
trattamento di dati personali di persone fisiche deve essere conforme ai principi enunciati all’articolo
5 del RGPD (v., in tal senso, sentenza del 16 gennaio 2019, Deutsche Post, C-496/17, EU:C:2019:26,
punto 57).
35 Orbene, tra tali principi figura il principio di trasparenza di cui all’articolo 5, paragrafo 1,
lettera a), del RGPD, il quale implica, come risulta dal considerando 39 di tale regolamento, che
l’interessato disponga di informazioni sulle modalità con cui i suoi dati personali sono trattati e che
tali informazioni siano facilmente accessibili e comprensibili.
36 In terzo luogo, occorre rilevare, come sottolineato dall’avvocato generale al paragrafo 21 delle
sue conclusioni, che, a differenza degli articoli 13 e 14 del RGPD, i quali stabiliscono l’obbligo per il
titolare del trattamento di fornire all’interessato le informazioni relative alle categorie di destinatari
o ai destinatari concreti dei dati personali che lo riguardano, qualora questi ultimi siano raccolti
presso l’interessato o non siano ottenuti presso l’interessato, l’articolo 15 del RGPD prevede un vero
e proprio diritto di accesso a favore dell’interessato, di modo che quest’ultimo deve poter scegliere
se ottenere le informazioni concernenti, ove possibile, i destinatari specifici cui detti dati sono stati
o saranno comunicati o quelle riguardanti le categorie di destinatari.
37 In quarto luogo, la Corte ha già dichiarato che l’esercizio di tale diritto di accesso deve
consentire all’interessato di verificare non solo che i dati che lo riguardano siano corretti, ma anche
che siano trattati in modo lecito (v., per analogia, sentenze del 17 luglio 2014, YS e a., C-141/12 e
C-372/12, EU:C:2014:2081, punto 44, nonché del 20 dicembre 2017, Nowak, C-434/16, EU:C:2017:994,
punto 57), in particolare che essi siano stati comunicati a destinatari autorizzati (v., per analogia,
sentenza del 7 maggio 2009, Rijkeboer, C-553/07, EU:C:2009:293, punto 49).
38 In particolare, tale diritto di accesso è necessario affinché l’interessato possa esercitare, se del
caso, il suo diritto di rettifica, il suo diritto alla cancellazione («diritto all’oblio»), il suo diritto di
limitazione di trattamento, diritti questi che gli sono riconosciuti, rispettivamente, dagli articoli 16,
17 e 18 del RGDP (v., per analogia, sentenze del 17 luglio 2014, YS e a., C-141/12 e C-372/12,
EU:C:2014:2081, punto 44, nonché del 20 dicembre 2017, Nowak, C-434/16, EU:C:2017:994, punto 57),
nonché il suo diritto di opposizione al trattamento dei suoi dati personali, previsto all’articolo 21 del
RGPD, e il suo diritto di agire in giudizio nel caso in cui subisca un danno, previsto agli articoli 79 e
82 del RGPD (v., per analogia, sentenza del 7 maggio 2009, Rijkeboer, C-553/07, EU:C:2009:293,
punto 52).
39 Pertanto, al fine di garantire l’effetto utile di tutti i diritti menzionati al punto precedente della
presente sentenza, l’interessato deve disporre, in particolare, di un diritto di essere informato
riguardo all’identità dei destinatari concreti nel caso in cui i suoi dati personali siano già stati
comunicati.
40 Una siffatta interpretazione è confermata, in quinto e ultimo luogo, dalla lettura dell’articolo
19 del RGPD, il quale prevede, alla sua prima frase, che il titolare del trattamento comunichi, in linea
di principio, a ciascuno dei destinatari cui sono stati trasmessi i dati personali le eventuali rettifiche,
cancellazioni o limitazioni del trattamento e, alla sua seconda frase, che tale titolare comunichi
all’interessato tali destinatari qualora l’interessato lo richieda.
41 Pertanto, l’articolo 19, seconda frase, del RGPD conferisce espressamente all’interessato il
diritto di essere informato dei destinatari concreti dei dati che lo riguardano da parte del titolare del
trattamento, nell’ambito dell’obbligo di quest’ultimo di informare tutti i destinatari dell’esercizio dei
diritti di cui l’interessato dispone ai sensi dell’articolo 16, dell’articolo 17, paragrafo 1, e dell’articolo
18 del RGPD.
42 Dall’analisi contestuale sopra esposta risulta che l’articolo 15, paragrafo 1, lettera c), del RGPD
costituisce una delle disposizioni destinate a garantire che le modalità attraverso le quali i dati
personali sono trattati siano trasparenti per l’interessato e consente a quest’ultimo, come rilevato
dall’avvocato generale al paragrafo 33 delle sue conclusioni, di esercitare le prerogative previste in
particolare agli articoli da 16 a 19, 21, 79 e 82 del RGPD.
43 Pertanto, si deve ritenere che le informazioni fornite all’interessato a titolo del diritto di accesso
previsto all’articolo 15, paragrafo 1, lettera c), del RGPD debbano essere le più esatte possibili. In
particolare, tale diritto di accesso implica la possibilità per l’interessato di ottenere dal titolare del
trattamento le informazioni sui destinatari specifici ai quali i dati sono stati o saranno comunicati o,
alternativamente, di scegliere di limitarsi a richiedere informazioni riguardanti le categorie di
destinatari.
44 Infine, per quanto riguarda la finalità perseguita dal RGPD, occorre rilevare che tale
regolamento mira, in particolare, come emerge dal suo considerando 10, a garantire un elevato
livello di protezione delle persone fisiche all’interno dell’Unione (sentenza del 6 ottobre 2020, La
Quadrature du Net e a., C-511/18, C-512/18 e C-520/18, EU:C:2020:791, punto 207). A tal riguardo,
come rilevato in sostanza dall’avvocato generale al paragrafo 14 delle sue conclusioni, il contesto
normativo generale creato dal RGPD dà attuazione alle prescrizioni scaturenti dal diritto
fondamentale alla protezione dei dati personali tutelato dall’articolo 8 della Carta dei diritti
fondamentali dell’Unione europea, in particolare alle prescrizioni espressamente previste al
paragrafo 2 di tale articolo (v., in tal senso, sentenza del 9 marzo 2017, Manni, C-398/15,
EU:C:2017:197, punto 40).
45 Orbene, tale obiettivo avvalora l’interpretazione dell’articolo 15, paragrafo 1, del RGPD di cui
al punto 43 della presente sentenza.
46 Pertanto, risulta altresì dall’obiettivo perseguito dal RGPD che l’interessato ha il diritto di
ottenere dal titolare del trattamento informazioni sui destinatari concreti ai quali i dati personali che
lo riguardano sono stati o saranno comunicati.
47 Ciò premesso, occorre infine sottolineare che, come risulta dal considerando 4 del RGPD, il
diritto alla protezione dei dati personali non è una prerogativa assoluta. Tale diritto deve essere
infatti considerato alla luce della sua funzione sociale e va contemperato con altri diritti
fondamentali, in ossequio al principio di proporzionalità, come ribadito dalla Corte, in sostanza, al
punto 172 della sentenza del 16 luglio 2020, Facebook Ireland e Schrems (C-311/18, EU:C:2020:559).
48 Pertanto, si può ammettere che, in circostanze specifiche, non sia possibile fornire informazioni
su destinatari concreti. Il diritto di accesso potrà dunque essere limitato all’informazione sulle
categorie di destinatari qualora sia impossibile comunicare l’identità dei destinatari concreti, in
particolare qualora questi ultimi non siano ancora noti.
49 Inoltre, occorre ricordare che, ai sensi dell’articolo 12, paragrafo 5, lettera b), del RGPD, il
titolare del trattamento, conformemente al principio di responsabilità di cui all’articolo 5, paragrafo
2, di tale regolamento nonché al considerando 74 di quest’ultimo, può rifiutare di soddisfare la
richiesta dell’interessato qualora la stessa sia manifestamente infondata o eccessiva, fermo restando
che incombe al medesimo titolare del trattamento dimostrare il carattere manifestamente infondato
o eccessivo di detta richiesta.
50 Nel caso di specie, dalla domanda di pronuncia pregiudiziale risulta che l’Österreichische Post
ha respinto la richiesta presentata da RW sulla base dell’articolo 15, paragrafo 1, del RGPD, diretta
a che la stessa gli fornisse l’identità dei destinatari ai quali aveva comunicato i dati personali che lo
riguardavano. Spetterà al giudice del rinvio verificare se, tenuto conto delle circostanze di cui al
procedimento principale, l’Österreichische Post abbia dimostrato il carattere manifestamente
infondato o eccessivo di tale richiesta.
51 Alla luce di tutte le considerazioni sin qui svolte, occorre rispondere alla questione
pregiudiziale dichiarando che l’articolo 15, paragrafo 1, lettera c), del RGPD deve essere interpretato
nel senso che il diritto di accesso dell’interessato ai dati personali che lo riguardano, previsto da tale
disposizione, implica, qualora tali dati siano stati o saranno comunicati a destinatari, l’obbligo per il
titolare del trattamento di fornire a detto interessato l’identità stessa di tali destinatari, a meno che
non sia impossibile identificare detti destinatari o che il suddetto titolare del trattamento non
dimostri che le richieste di accesso dell’interessato sono manifestamente infondate o eccessive, ai
sensi dell’articolo 12, paragrafo 5, del RGPD, nel qual caso il titolare del trattamento può indicare a
detto interessato unicamente le categorie di destinatari di cui trattasi.
Sulle spese
52 Nei confronti delle parti nel procedimento principale la presente causa costituisce un incidente
sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da
altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.
Per questi motivi, la Corte (Prima Sezione) dichiara:
L’articolo 15, paragrafo 1, lettera c), del regolamento (UE) 2016/679 del Parlamento europeo e del
Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al
trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva
95/46/CE (regolamento generale sulla protezione dei dati),
deve essere interpretato nel senso che:
il diritto di accesso dell’interessato ai dati personali che lo riguardano, previsto da tale
disposizione, implica, qualora tali dati siano stati o saranno comunicati a destinatari, l’obbligo
per il titolare del trattamento di fornire a detto interessato l’identità stessa di tali destinatari, a
meno che sia impossibile identificare detti destinatari o che il suddetto titolare del trattamento
dimostri che le richieste di accesso dell’interessato sono manifestamente infondate o eccessive, ai
sensi dell’articolo 12, paragrafo 5, del regolamento 2016/679, nel qual caso il titolare del
trattamento può indicare a detto interessato unicamente le categorie di destinatari di cui trattasi.
Nessun commento:
Posta un commento