Cassazione Civile, Ordinanza n. 09313/2023 del 04/04/2023

Esito

La controversia

La controversia nasce da un'istanza di accesso ai dati personali inviata via PEC da una persona fisica a un istituto di credito. Il Tribunale aveva respinto la domanda con cui si chiedeva di accertare l'inadempimento della banca all'obbligo di rispondere alla richiesta, ritenendo che l'attore non avesse provato che la banca fosse titolare o responsabile del trattamento dei suoi dati personali, soprattutto perché la banca aveva contestato di trattare quei dati. Il ricorrente ha proposto ricorso per cassazione affidandolo a tre motivi: con il primo ha denunciato violazione degli artt. 12 e 15 del Regolamento UE 2016/679 e dell'art. 1175 c.c., sostenendo che il destinatario della richiesta di accesso è tenuto a fornire comunque un riscontro, anche negativo, entro i termini di legge e che non può essere imposto all'istante di provare in giudizio il possesso dei dati da parte del destinatario; con il secondo ha denunciato un vizio di motivazione; con il terzo ha dedotto omesso esame di fatti decisivi e di prove documentali e testimoniali idonee a dimostrare il possesso dei dati da parte della banca.

La decisione

La Corte di cassazione ha accolto il primo motivo di ricorso, ritenendo che la normativa europea imponga al titolare del trattamento di rispondere all'istanza dell'interessato entro il termine previsto, anche se il riscontro sia negativo, e che incomba sul destinatario della richiesta l'onere di dimostrare il carattere manifestamente infondato o eccessivo della domanda. Ha quindi cassato la sentenza impugnata e ha rinviato al Tribunale di Milano, in diversa composizione, per il riesame della controversia anche sulle spese. I restanti motivi sono stati dichiarati assorbiti.

Norme richiamate

• art. 12 Regolamento (UE) 2016/679

  Il titolare del trattamento deve fornire all'interessato un riscontro senza ingiustificato ritardo e comunque entro un mese, può prorogare il termine nei casi previsti, deve informare l'interessato anche in caso di mancato accoglimento della richiesta e sopporta l'onere di dimostrare che la richiesta sia manifestamente infondata o eccessiva.

• art. 15 Regolamento (UE) 2016/679

  L'istanza di accesso ai dati personali attiva l'obbligo del destinatario di fornire informazioni sull'esistenza dei dati trattati.

• art. 7 d.lgs. 196/2003

  Richiamato dal ricorrente come base normativa del diritto di accesso ai dati personali.

• art. 1175 c.c.

  Richiamato a sostegno del dovere di correttezza nel riscontro alla richiesta dell'interessato.

• art. 360 c.p.c.

  Indicati come norme di riferimento per i motivi di ricorso per violazione di legge, nullità della sentenza e omesso esame di fatto decisivo.

Massime di principio

• In materia di accesso ai dati personali, il destinatario dell'istanza deve sempre rispondere all'interessato entro il termine di legge, anche quando la risposta sia negativa o quando non ritenga sussistenti dati trattati riferibili al richiedente.
• L'onere di provare che la richiesta di accesso sia manifestamente infondata o eccessiva grava sul titolare del trattamento, non sull'interessato che abbia esercitato il diritto di accesso.
• Non è corretto addossare all'istante la prova preventiva del possesso dei dati personali da parte del destinatario della richiesta, poiché ciò imporrebbe una prova eccessivamente gravosa e invertirebbe il riparto dell'onere probatorio previsto dalla normativa privacy.

Come è indicizzato