Corte di giustizia, Sentenza C-487/21

Diritto di accesso ai dati personali: portata della copia ex articolo 15 RGPD

La sentenza, resa in un rinvio pregiudiziale proposto dal Bundesverwaltungsgericht austriaco, riguarda l’interpretazione dell’articolo 15 del regolamento (UE) 2016/679 in materia di accesso ai dati personali. Il caso nasce dal rifiuto dell’autorità austriaca di imporre a CRIF GmbH la trasmissione di documenti e estratti di banche dati contenenti dati personali dell’interessato.

Fatti e procedimento principale

F.F. aveva chiesto a CRIF, ai sensi dell’articolo 15 RGPD, l’accesso ai propri dati personali e la trasmissione di una copia dei documenti, in particolare messaggi di posta elettronica ed estratti di banche dati contenenti tali dati, in formato tecnico usuale. CRIF aveva risposto fornendo solo un elenco sintetico dei dati personali trattati. Dopo il rigetto del reclamo da parte della DSB, il giudice del rinvio ha chiesto alla Corte di chiarire la portata del diritto alla "copia" e il significato della nozione di "informazioni" usata nell’articolo 15, paragrafo 3.

Questioni pregiudiziali

Il giudice del rinvio ha domandato, in sostanza:

• se la nozione di "copia" ex articolo 15, paragrafo 3, prima frase, si riferisca soltanto a una riproduzione dei dati personali oppure anche a documenti, estratti di documenti e banche dati;
• se, in base al principio di trasparenza dell’articolo 12, paragrafo 1, possa essere necessario fornire parti di testo o documenti interi per rendere i dati intelligibili;
• se la nozione di "informazioni" della terza frase del paragrafo 3 comprenda solo i dati personali oggetto di trattamento o anche le informazioni di cui al paragrafo 1 e altri elementi come i metadati.

Normativa rilevante

La Corte richiama in particolare:

• il RGPD, considerando 10, 11, 26, 58, 60 e 63;
• l’articolo 4, punti 1 e 2, sulla nozione di dato personale e di trattamento;
• l’articolo 12, paragrafi 1 e 3, sulle modalità trasparenti di esercizio dei diritti;
• l’articolo 15, paragrafi 1-4, sul diritto di accesso;
• gli articoli 16, 17, 18, 21, 79 e 82 RGPD, come diritti connessi all’accesso;
• la direttiva 95/46/CE, richiamata in chiave comparativa.

Ragionamento della Corte sulla nozione di "copia"

La Corte interpreta anzitutto il testo dell’articolo 15, paragrafo 3, prima frase. Il termine "copia" indica una riproduzione o trascrizione fedele dell’originale; una semplice descrizione generale o il rinvio a categorie di dati non basta. La Corte osserva che il paragrafo 3 disciplina le modalità pratiche del diritto di accesso già definito al paragrafo 1 e non introduce un diritto autonomo distinto.

La nozione di dato personale è letta in senso ampio, coerentemente con l’articolo 4, punto 1, e con la giurisprudenza richiamata, includendo anche informazioni risultanti da un trattamento, come valutazioni sulla solvibilità. In questa prospettiva, la copia deve contenere tutti i dati personali oggetto di trattamento e deve consentire un accesso effettivo.

Copia di documenti o estratti di banche dati

La Corte precisa che il diritto alla copia può, in concreto, richiedere la riproduzione di estratti di documenti, documenti interi o estratti di banche dati quando ciò sia indispensabile per garantire la comprensibilità dei dati e permettere all’interessato di esercitare i propri diritti. Ciò vale soprattutto quando il contesto del trattamento è necessario per comprendere il significato dei dati, ad esempio se essi derivano da altri dati o da campi a testo libero.

Tale estensione non è però automatica: occorre sempre un bilanciamento con i diritti e le libertà altrui, ai sensi dell’articolo 15, paragrafo 4, e del considerando 63, che menzionano in particolare segreto industriale, segreto aziendale e proprietà intellettuale.

Funzione del principio di trasparenza

La Corte valorizza l’articolo 12, paragrafo 1, e il considerando 58: le informazioni devono essere concise, intelligibili, facilmente accessibili e formulate in linguaggio semplice e chiaro. Questo conferma che la copia dei dati deve essere non solo fedele, ma anche comprensibile, così da consentire all’interessato di verificare la liceità del trattamento e di esercitare eventualmente rettifica, cancellazione, limitazione, opposizione e azioni risarcitorie.

Nozione di "informazioni" nell’articolo 15, paragrafo 3, terza frase

Quanto alla terza frase del paragrafo 3, la Corte esclude che la nozione di "informazioni" si riferisca all’insieme delle informazioni elencate al paragrafo 1 o ad altri elementi come i metadati. In base al contesto della disposizione, essa riguarda soltanto i dati personali di cui deve essere fornita copia secondo la prima frase.

La Corte aggiunge che la portata del diritto non può variare in funzione del mezzo con cui la richiesta è presentata. L’articolo 12, paragrafo 3, conferma che, se la richiesta è elettronica, le informazioni sono fornite con mezzi elettronici salvo diversa indicazione dell’interessato.

Dispositivo

La Corte risponde che:

• l’articolo 15, paragrafo 3, prima frase, del RGPD va interpretato nel senso che il diritto alla copia implica una riproduzione fedele e intelligibile dell’insieme dei dati personali trattati e può richiedere, se indispensabile, anche copie di documenti o estratti di banche dati contenenti tali dati, nel rispetto dei diritti altrui;
• l’articolo 15, paragrafo 3, terza frase, va interpretato nel senso che la nozione di "informazioni" si riferisce esclusivamente ai dati personali di cui deve essere fornita copia ai sensi della prima frase.

Principi utili per la pratica professionale

Per operatori e consulenti, la decisione impone di distinguere tra:

• il contenuto minimo del diritto di accesso, che riguarda la copia dei dati personali;
• il contesto documentale necessario, che può dover essere fornito quando serve a rendere i dati comprensibili;
• i limiti derivanti dai diritti di terzi, che possono giustificare omissis o modalità alternative di ostensione.

In concreto, il titolare del trattamento non può limitarsi a un elenco astratto quando ciò non consente all’interessato di comprendere effettivamente i dati trattati e il loro contesto.