Corte di giustizia, Sentenza C-416/23

Interpretazione dell'articolo 57, paragrafo 4, RGPD sui reclami all'autorità di controllo

La sentenza riguarda un rinvio pregiudiziale del Verwaltungsgerichtshof austriaco in una controversia tra l'Österreichische Datenschutzbehörde e F R, relativa al rifiuto dell'autorità di controllo di dare seguito a un reclamo presentato dall'interessato. Il tema centrale è il rapporto tra il diritto di reclamo previsto dal RGPD e la facoltà dell'autorità di non trattare richieste manifestamente infondate o eccessive.

Fatti e procedimento principale

F R aveva presentato un reclamo ex articolo 77, paragrafo 1, RGPD, lamentando la mancata risposta di una società a una richiesta di accesso ai suoi dati personali entro il termine di un mese. La DSB aveva rifiutato di trattare il reclamo richiamando l'articolo 57, paragrafo 4, RGPD, valorizzando il fatto che l'interessato aveva presentato, in circa 20 mesi, 77 reclami analoghi contro diversi titolari del trattamento e aveva contattato spesso l'autorità per telefono.

Il Bundesverwaltungsgericht aveva annullato tale decisione, ritenendo necessario, per parlare di richieste eccessive, non solo un'elevata frequenza, ma anche un carattere manifestamente vessatorio o abusivo. La DSB ha quindi proposto ricorso in cassazione dinanzi al Verwaltungsgerichtshof, che ha sollevato tre questioni pregiudiziali.

Normativa rilevante

La Corte richiama in particolare:

• i considerando 10, 11, 59, 63 e 129 del RGPD;
• l'articolo 12, paragrafi 2 e 5, sul dovere del titolare di agevolare l'esercizio dei diritti e sulla gratuità delle richieste, salvo quelle manifestamente infondate o eccessive;
• l'articolo 15, paragrafo 1, sul diritto di accesso;
• l'articolo 52, paragrafo 4, sulle risorse adeguate delle autorità di controllo;
• l'articolo 57, paragrafi 1, lettere e) e f), 2, 3 e 4;
• l'articolo 77, paragrafo 1, sul diritto di proporre reclamo;
• l'articolo 78, paragrafo 1, sul sindacato giurisdizionale.

Prima questione: la nozione di "richiesta" comprende i reclami?

La Corte risponde affermativamente. Osserva che il termine "richiesta" non è definito dal RGPD, ha un significato ampio nel linguaggio corrente e, in via testuale e sistematica, può ricomprendere anche i reclami ex articolo 77.

La Corte sottolinea che l'articolo 57 disciplina tutti i compiti delle autorità di controllo e che il paragrafo 4 costituisce un'eccezione al principio di gratuità del paragrafo 3. Poiché il trattamento dei reclami è una missione essenziale dell'autorità di controllo, limitare l'articolo 57, paragrafo 4, alle sole richieste di informazioni di cui alla lettera e) svuoterebbe in parte la disposizione di efficacia pratica. La conclusione è che anche i reclami rientrano nella nozione di "richiesta" ai fini dell'articolo 57, paragrafo 4.

Seconda questione: quando una richiesta è "eccessiva"?

La Corte esclude che il solo numero dei reclami, anche se elevato, basti a qualificare le richieste come eccessive. Richiama il principio per cui le eccezioni al principio di gratuità e alla tutela effettiva dei diritti devono essere interpretate restrittivamente.

Secondo la Corte, l'autorità di controllo deve dimostrare, alla luce di tutte le circostanze del caso, l'esistenza di un intento abusivo. Il fatto che un interessato presenti molti reclami può essere solo un indizio, non un criterio autonomo e sufficiente. La Corte osserva inoltre che un elevato numero di reclami può derivare da reiterati rifiuti o omissioni dei titolari del trattamento rispetto alle richieste di accesso dell'interessato; perciò una soglia numerica automatica comprometterebbe il diritto alla protezione dei dati.

La Corte richiama anche l'articolo 52, paragrafo 4, RGPD, ricordando che gli Stati membri devono dotare le autorità di controllo di mezzi adeguati e che l'autorità non può giustificare il rifiuto di trattare reclami invocando il solo fatto che un singolo soggetto presenta più reclami della media. Il parametro decisivo è l'abuso di diritto, cioè l'uso del reclamo per una finalità estranea alla tutela dei diritti garantiti dal RGPD, ad esempio per paralizzare il corretto funzionamento dell'autorità saturandola di richieste.

Terza questione: libertà di scelta tra contributo spese e rifiuto

La Corte afferma che l'articolo 57, paragrafo 4, non impone una sequenza obbligata tra le due opzioni, né attribuisce un potere arbitrario. Dal tenore letterale, le opzioni sono alternative e la norma non stabilisce un ordine di priorità.

Tuttavia, la scelta deve essere effettuata con decisione motivata e alla luce di tutte le circostanze pertinenti, assicurando che la misura sia appropriata, necessaria e proporzionata. La Corte precisa che, in base al considerando 129, un'autorità può ritenere opportuno, in funzione del caso, addebitare prima un contributo spese ragionevole, misura meno incisiva del rifiuto, ma non esiste un obbligo assoluto di ricorrere sempre prima a tale strumento. La valutazione resta quindi discrezionale ma vincolata ai criteri di proporzionalità e adeguatezza.

Dispositivo

La Corte dichiara che:

• l'articolo 57, paragrafo 4, RGPD si applica ai reclami di cui all'articolo 57, paragrafo 1, lettera f), e all'articolo 77, paragrafo 1;
• le richieste non possono essere considerate eccessive solo per il loro numero in un dato periodo, occorrendo la prova di un intento abusivo;
• l'autorità di controllo può scegliere, con decisione motivata, tra contributo spese ragionevole e rifiuto di trattare la richiesta, ma la scelta deve essere appropriata, necessaria e proporzionata.

Rilievo pratico

La pronuncia rafforza la tutela del diritto di reclamo in materia di dati personali, impedendo alle autorità di controllo di respingere in modo automatico o meramente statistico reclami numerosi. Al tempo stesso, riconosce alle autorità uno strumento di difesa contro pratiche abusive, ma solo in presenza di elementi concreti e con un uso proporzionato della facoltà prevista dal RGPD.