Corte di giustizia, Sentenza C-154/21

Diritto di accesso ai destinatari dei dati personali

La pronuncia, resa in sede di rinvio pregiudiziale dall’Oberster Gerichtshof austriaco, riguarda l’interpretazione dell’articolo 15, paragrafo 1, lettera c), del RGPD in materia di accesso dell’interessato ai dati personali e, in particolare, alle informazioni sui destinatari dei dati comunicati o da comunicare.

Fatti e procedimento principale

RW aveva chiesto a Österreichische Post AG di accedere ai dati personali che lo riguardavano, chiedendo anche di conoscere l’identità dei destinatari ai quali tali dati erano stati comunicati. La società aveva risposto in termini generali, indicando l’uso dei dati per attività di marketing e rinviando a informazioni sul proprio sito, senza fornire i nominativi dei destinatari. Nei giudizi di merito la domanda era stata respinta sul presupposto che il GDPR consentisse al titolare del trattamento di limitarsi a indicare le categorie di destinatari.

Questione pregiudiziale

Il giudice del rinvio ha chiesto se l’articolo 15, paragrafo 1, lettera c), del RGPD debba essere interpretato nel senso che il diritto di accesso:

• si limita alle categorie di destinatari quando i destinatari concreti non siano ancora stati individuati nel quadro di comunicazioni previste;
• oppure si estende necessariamente ai destinatari concreti quando i dati siano già stati comunicati.

Normativa rilevante

La Corte richiama, in particolare:

• il regolamento (UE) 2016/679, soprattutto gli articoli 1, 5, 12, 13, 14, 15, 16, 17, 18, 19, 21, 79 e 82;
• la direttiva 95/46/CE, richiamata nel RGPD come precedente quadro normativo;
• la direttiva 2002/58/CE, menzionata all’articolo 21, paragrafo 5, RGPD;
• l’articolo 267 TFUE, quale base del rinvio;
• la Carta dei diritti fondamentali, in particolare l’articolo 8, quale parametro di contesto.

La Corte richiama anche i considerando 4, 9, 10, 39, 63 e 74 del RGPD, soprattutto per il principio di trasparenza, l’equilibrio con altri diritti fondamentali e la responsabilizzazione del titolare.

Ragionamento della Corte

La Corte muove dal testo dell’articolo 15, paragrafo 1, lettera c): l’uso congiunto dei termini «destinatari» e «categorie di destinatari» non consente, da solo, di stabilire un ordine di priorità o una scelta discrezionale del titolare.

Sul piano sistematico, la Corte osserva che:

• il considerando 63 riconosce all’interessato il diritto di conoscere i destinatari dei dati, senza ridurlo alle sole categorie;
• il principio di trasparenza dell’articolo 5, paragrafo 1, lettera a), impone che le informazioni siano comprensibili e accessibili;
• gli articoli 13 e 14, che impongono al titolare di fornire informazioni sui destinatari o sulle categorie di destinatari, sono distinti dall’articolo 15, che attribuisce un vero e proprio diritto di accesso e quindi una facoltà di scelta dell’interessato;
• l’accesso serve a verificare la liceità del trattamento e, in particolare, che i dati siano stati comunicati a destinatari autorizzati.

La Corte collega inoltre il diritto di accesso agli ulteriori diritti previsti dal RGPD: rettifica, cancellazione, limitazione del trattamento, opposizione, reclamo e ricorso giurisdizionale, nonché risarcimento del danno. Per garantire l’effetto utile di tali diritti, l’interessato deve poter conoscere, in linea di principio, l’identità dei destinatari concreti.

La lettura è confermata dall’articolo 19, seconda frase, del RGPD, che prevede espressamente, su richiesta dell’interessato, la comunicazione dei destinatari ai quali i dati sono stati trasmessi.

Quanto alla finalità del regolamento, la Corte sottolinea che il RGPD mira a garantire un livello elevato di protezione dei dati personali. Ciò conferma che l’interessato deve, di regola, poter ottenere le informazioni sui destinatari concreti.

Tuttavia, la Corte riconosce un limite: il diritto di accesso può essere ristretto alle sole categorie di destinatari quando sia impossibile identificare i destinatari concreti, ad esempio perché non ancora noti. Inoltre, ai sensi dell’articolo 12, paragrafo 5, lettera b), il titolare può rifiutare la richiesta se questa è manifestamente infondata o eccessiva, ma deve dimostrarlo.

Decisione e dispositivo

La Corte risponde che l’articolo 15, paragrafo 1, lettera c), del RGPD deve essere interpretato nel senso che:

• il diritto di accesso dell’interessato implica, se i dati sono stati o saranno comunicati a destinatari, l’obbligo per il titolare del trattamento di fornire l’identità concreta di tali destinatari;
• il titolare può limitarsi a indicare le categorie di destinatari solo se è impossibile identificare i destinatari concreti oppure se dimostra che la richiesta è manifestamente infondata o eccessiva ai sensi dell’articolo 12, paragrafo 5, del RGPD.

Principi affermati

La pronuncia afferma che il diritto di accesso del GDPR non è un mero diritto a informazioni generiche, ma uno strumento sostanziale di controllo sulla circolazione dei dati personali. L’interessato deve poter conoscere chi abbia ricevuto i suoi dati, salvo che ciò sia oggettivamente impossibile o che la richiesta abusi del diritto. La Corte rafforza così il nesso tra trasparenza, responsabilità del titolare e tutela effettiva dei diritti dell’interessato.