Provvedimenti a carattere generale n. 520 del 26/10/2023

Diritto di accesso degli eredi e dei chiamati all’eredità ai dati dei beneficiari di polizze vita

Il provvedimento fornisce un chiarimento interpretativo sull’esercizio del diritto di accesso ai dati personali di persone decedute, con specifico riguardo alle polizze vita stipulate dal de cuius e ai dati dei beneficiari designati. L’Autorità si rivolge in particolare a imprese assicurative, eredi, chiamati all’eredità e, più in generale, ai titolari del trattamento che gestiscono richieste di accesso in ambito successorio.

Quadro normativo di riferimento

Il Garante richiama innanzitutto la nozione ampia di dato personale di cui all’art. 4 GDPR e la funzione del diritto di accesso previsto dall’art. 15 GDPR, che mira a garantire trasparenza sul trattamento dei dati che riguardano l’interessato. Viene sottolineato che il diritto di accesso, a differenza di altre forme di accesso previste dall’ordinamento, non consente normalmente di ottenere informazioni riferite a terzi. In tal senso assume rilievo l’art. 15, par. 4, GDPR, secondo cui il diritto di ottenere copia dei dati non deve ledere i diritti e le libertà altrui.

Sul piano nazionale, l’art. 2-terdecies del d.lgs. n. 196/2003 consente l’esercizio dei diritti di cui agli artt. 15-22 GDPR sui dati personali concernenti persone decedute da parte di chi abbia un interesse proprio, agisca a tutela dell’interessato come mandatario, oppure per ragioni familiari meritevoli di protezione. Il provvedimento chiarisce che tale disciplina non riduce l’ampiezza dei diritti esercitabili: se legittimato ai sensi dell’art. 2-terdecies, il richiedente può accedere alle stesse informazioni che avrebbe potuto conoscere l’interessato in vita, sempre nei limiti dell’art. 15, par. 4, GDPR e dei diritti di terzi.

Il problema interpretativo sulle polizze vita

L’atto nasce dall’esigenza di fornire un orientamento uniforme in relazione a numerose istanze di accesso rivolte alle imprese assicurative da parte di eredi e chiamati all’eredità per conoscere i dati dei beneficiari di polizze vita stipulate in vita da persone decedute. Il Garante osserva che la giurisprudenza di merito ha espresso soluzioni contrastanti: in alcuni casi ha ritenuto conoscibili i nominativi dei beneficiari quando tali dati siano funzionali alla difesa dei diritti ereditari; in altri ha negato l’accesso ai dati di terzi, limitandolo ai soli dati del de cuius.

Giurisprudenza richiamata

Il provvedimento riassume due principali filoni interpretativi. Il primo valorizza il diritto di difesa in giudizio ex art. 24 Cost., ritenendo che l’istanza non sia pretestuosa quando il richiedente abbia una posizione di diritto soggettivo sostanziale che giustifichi la conoscenza dei dati. In tale prospettiva, anche i dati dei beneficiari potrebbero essere accessibili perché necessari per agire o difendersi in giudizio.

Il secondo orientamento, richiamando anche Cass. civ. n. 17790 dell’8 settembre 2015, afferma invece che l’accesso degli eredi o chiamati all’eredità riguarda i soli dati personali del defunto e non quelli identificativi di terzi beneficiari, che restano tutelati nella loro riservatezza. Secondo tale impostazione, la mera finalità esplorativa non giustifica un accesso indifferenziato ai dati di terzi; la conoscibilità dei beneficiari può semmai rilevare solo se il richiedente dimostri l’esistenza di una lesione della quota di legittima e la necessità di identificare i terzi per azioni giudiziali specifiche.

La pronuncia della Cassazione dell’8 settembre 2015 viene riportata come affermazione del principio per cui il diritto di accesso ai dati delle persone decedute non autorizza l’accesso ai dati personali non riferiti al de cuius, come quelli dei beneficiari di contratti stipulati dal primo. Il provvedimento menziona anche l’ordinanza del 13 dicembre 2021, nella quale la Corte ha affrontato un’istanza diretta esplicitamente alla conoscenza di dati di terzi per intraprendere una controversia ereditaria o per contestare atti dispositivi del de cuius, richiamando il bilanciamento di cui all’art. 6, par. 1, lett. f), GDPR.

Indicazioni tratte dalle Linee guida EDPB

Il Garante richiama le Linee guida EDPB sul diritto di accesso, in particolare i paragrafi dedicati ai dati che riguardano più persone. Le Linee guida affermano che l’interessato ha diritto soltanto ai dati che lo riguardano e che il fatto che un dato si riferisca anche a un terzo non comporta automaticamente l’esclusione dell’accesso: il titolare deve comunque applicare l’art. 15, par. 4, GDPR.

Viene evidenziato il metodo di bilanciamento indicato dall’EDPB: prima si valuta se l’accoglimento della richiesta produca effetti negativi sui diritti e sulle libertà di altri soggetti; poi si ponderano gli interessi coinvolti tenendo conto delle circostanze concrete e della probabilità e gravità dei rischi; infine, se possibile, si adottano misure di mitigazione, come l’oscuramento delle informazioni relative ai terzi, prima di arrivare a un eventuale rifiuto totale.

Orientamento del Garante

Alla luce del quadro normativo, giurisprudenziale ed eurounitario, il Garante adotta un orientamento volto a ridurre l’incertezza applicativa: i dati personali dei beneficiari di polizze vita stipulate da una persona deceduta possono essere compresi nell’accesso riconosciuto dagli artt. 15 GDPR e 2-terdecies del Codice, ma solo in presenza di presupposti rigorosi e a seguito di una valutazione comparativa da parte dell’impresa assicuratrice titolare del trattamento.

L’Autorità sottolinea che la riservatezza dei dati personali non ha valore assoluto e può cedere di fronte alla necessità, autentica e non surrettizia, di esercitare il diritto di difesa in giudizio. Tuttavia, il titolare deve svolgere un controllo in negativo, verificando che la domanda non sia meramente pretestuosa. In concreto, devono sussistere almeno due condizioni:

• il richiedente deve essere portatore di una posizione di diritto soggettivo sostanziale in ambito successorio, come chiamato all’eredità o erede;
• l’interesse deve essere concreto e attuale, realmente esistente al momento della richiesta e strumentale alla difesa di un proprio diritto successorio in sede giudiziaria.

Obblighi operativi per i titolari del trattamento

Il provvedimento invita i titolari a riesaminare l’adeguatezza delle informative rese al contraente e ai beneficiari delle polizze, richiamando l’art. 13 GDPR e l’art. 14, par. 1, lett. e), GDPR. Inoltre, il soggetto che ottiene i dati del de cuius o dei beneficiari deve utilizzarli solo per la finalità dichiarata di tutela dei propri diritti successori in sede giudiziaria.

In sintesi, il titolare del trattamento deve:

• verificare la legittimazione successoria del richiedente;
• accertare la concretezza e attualità dell’interesse difensivo;
• effettuare un bilanciamento tra accesso e diritti dei terzi;
• valutare, ove possibile, soluzioni intermedie come l’oscuramento selettivo dei dati dei beneficiari;
• limitare la successiva circolazione e l’uso dei dati alla sola finalità difensiva dichiarata.

Esito del provvedimento

Il Garante, ai sensi dell’art. 57, par. 1, lett. b), d) e v) GDPR e dell’art. 154, comma 1, del Codice, invita i titolari del trattamento, per la fattispecie considerata, ad attenersi alle indicazioni fornite nell’interpretazione e applicazione dell’art. 15 GDPR e dell’art. 2-terdecies del Codice. Il provvedimento è stato adottato il 26 ottobre 2023 ed è stato pubblicato in Gazzetta Ufficiale il 1° dicembre 2023.