Corte di giustizia, Sentenza C-526/24

Rinvio pregiudiziale su diritto di accesso, abuso e risarcimento nel RGPD

La pronuncia riguarda un rinvio pregiudiziale dell’Amtsgericht Arnsberg in una controversia tra una società di ottica e un privato che aveva chiesto l’accesso ai propri dati personali ai sensi dell’articolo 15 del RGPD. La Corte esamina tre nuclei principali: l’eventuale carattere eccessivo di una prima richiesta di accesso, la risarcibilità del danno derivante dalla violazione del diritto di accesso e l’inquadramento del danno immateriale ex articolo 82.

Fatti e procedimento principale

Nel marzo 2023 TC si era iscritto alla newsletter della Brillen Rottler, inserendo i propri dati personali e prestando il consenso al trattamento. Tredici giorni dopo aveva presentato una richiesta di accesso ex articolo 15 RGPD, respinta dalla società entro il termine di un mese perché ritenuta abusiva ai sensi dell’articolo 12, paragrafo 5. La Brillen Rottler sosteneva che TC utilizzasse sistematicamente richieste di accesso e domande di risarcimento per creare le condizioni necessarie a ottenere un vantaggio economico; TC, al contrario, rivendicava la legittimità della richiesta e proponeva domanda riconvenzionale di risarcimento di almeno 1000 euro per il danno immateriale subito.

Normativa rilevante

La Corte richiama in particolare:

• l’articolo 4, punto 2, RGPD, che definisce il trattamento;
• l’articolo 12, paragrafo 5, RGPD, che consente di rifiutare richieste manifestamente infondate o eccessive;
• l’articolo 15, paragrafo 1, RGPD, sul diritto di accesso;
• gli articoli 26 e 30 RGPD, richiamati dal giudice nazionale ma non decisivi per la soluzione finale;
• l’articolo 57 RGPD e l’articolo 79 RGPD;
• l’articolo 82, paragrafi 1, 2 e 4, RGPD, sulla responsabilità risarcitoria;
• i considerando 4, 10, 11, 63, 85, 141 e 146 del regolamento.

Questioni sottoposte alla Corte

Il giudice del rinvio chiedeva, in sostanza:

• se una prima richiesta di accesso possa essere considerata eccessiva;
• se il fatto che l’interessato voglia poi far valere un risarcimento renda la richiesta abusiva;
• se informazioni pubbliche su analoghi comportamenti dell’interessato possano essere utilizzate per desumere l’abuso;
• se la richiesta di accesso o la risposta costituiscano "trattamento";
• se il risarcimento ex articolo 82 presupponga necessariamente un trattamento illecito;
• se la sola violazione del diritto di accesso sia sufficiente a fondare il risarcimento;
• se la perdita del controllo dei dati e l’incertezza sul loro trattamento integrino danno immateriale.

Primo blocco: la prima richiesta può essere "eccessiva"?

La Corte risponde in senso affermativo, ma con una lettura restrittiva dell’articolo 12, paragrafo 5. La nozione di richiesta eccessiva non è limitata alle richieste ripetitive: il dato testuale non esclude che anche una prima richiesta possa essere eccessiva. Tuttavia, ciò può avvenire solo eccezionalmente e il titolare deve dimostrare, in modo rigoroso, un intento abusivo dell’interessato.

La Corte individua i criteri dell’abuso facendo riferimento alla propria giurisprudenza generale: occorre un elemento oggettivo, cioè il mancato conseguimento della finalità della norma nonostante il rispetto formale delle condizioni, e un elemento soggettivo, cioè la volontà di ottenere un vantaggio artificiosamente. In concreto, il titolare deve provare che la richiesta non era finalizzata a conoscere il trattamento e verificarne la liceità, bensì a creare artificiosamente le condizioni per ottenere un vantaggio derivante dal RGPD.

La circostanza che l’interessato abbia presentato numerose richieste di accesso e richieste risarcitorie contro diversi titolari del trattamento può essere considerata come indizio dell’intento abusivo, ma non è sufficiente da sola: deve essere corroborata da altri elementi pertinenti.

Secondo blocco: diritto al risarcimento per violazione del diritto di accesso

La Corte afferma che l’articolo 82, paragrafo 1, RGPD non è limitato ai danni derivanti da un trattamento di dati personali in senso tecnico. La disposizione attribuisce un diritto al risarcimento a chiunque subisca un danno materiale o immateriale causato da una violazione del regolamento, senza subordinare espressamente tale diritto all’esistenza di un trattamento.

Questa interpretazione è confermata dal contesto sistematico: il capo VIII del RGPD tutela tutti i diritti garantiti dal regolamento, inclusi il diritto di informazione e il diritto di accesso. Se si limitasse l’articolo 82 ai soli danni causati da un trattamento, resterebbero privi di tutela risarcitoria casi di violazione dei diritti del capo III, come il rifiuto illegittimo di accesso. La Corte sottolinea quindi che anche una violazione dell’articolo 15 può generare responsabilità risarcitoria ai sensi dell’articolo 82.

Terzo blocco: nozione di danno immateriale e perdita del controllo dei dati

Quanto al danno immateriale, la Corte ribadisce che le nozioni di "danno" e "risarcimento" nel RGPD sono autonome e uniformi. Il risarcimento presuppone tre condizioni cumulative:

• una violazione del RGPD;
• un danno effettivamente subito;
• un nesso causale tra violazione e danno.

Il danno non può essere presunto automaticamente. Tuttavia, la perdita del controllo dei dati personali è inclusa, in linea di principio, nella nozione di danno richiamata dal considerando 85, anche se non vi è stato un uso abusivo concreto dei dati. Analogamente, l’incertezza sulla sorte dei dati può integrare un danno immateriale, ma solo se il pregiudizio è reale e distinto dalla mera violazione normativa.

La Corte precisa inoltre che il semplice timore astratto non basta: il giudice nazionale deve verificare che il timore o l’incertezza siano fondati nelle circostanze concrete. Infine, il nesso causale può essere interrotto dal comportamento dell’interessato se quest’ultimo è la causa determinante del danno; ciò accade, ad esempio, quando la persona abbia volontariamente fornito i dati per creare artificiosamente i presupposti del risarcimento.

Dispositivo

La Corte dichiara che:

• una prima richiesta di accesso può essere "eccessiva" ex articolo 12, paragrafo 5, se presentata con intento abusivo, anche sulla base di un modus operandi sistematico desumibile da informazioni pubbliche;
• l’articolo 82, paragrafo 1, consente il risarcimento del danno derivante dalla violazione del diritto di accesso ex articolo 15;
• il danno immateriale può comprendere la perdita del controllo dei dati o l’incertezza sul loro trattamento, purché il danno sia provato e non sia causalmente imputabile in via determinante al comportamento dell’interessato.

Principi utili per la pratica

Per gli operatori, la sentenza conferma che il titolare del trattamento può opporre l’articolo 12, paragrafo 5, anche alla prima richiesta di accesso, ma solo con prova rigorosa dell’abuso. In materia risarcitoria, la violazione del diritto di accesso non è priva di conseguenze economiche: il danno immateriale è risarcibile anche senza un trattamento illecito in senso stretto, purché sia effettivo, causalmente collegato e non autoindotto dall’interessato."}