Corte di giustizia, Sentenza C-579/21

Portata del diritto di accesso ex RGPD su log data e identità dei dipendenti

La sentenza riguarda un rinvio pregiudiziale del Tribunale amministrativo della Finlandia orientale in una controversia tra J.M. e l’autorità finlandese per la protezione dei dati, con intervento della banca Pankki S. La Corte è chiamata a precisare la portata dell’articolo 15 RGPD in relazione ai registri delle consultazioni dei dati personali e alla loro applicabilità temporale.

Fatti e procedimento principale

J.M., ex dipendente e cliente della banca, ha scoperto che i suoi dati erano stati consultati da membri del personale nel 2013. Nel 2018 ha chiesto alla banca di comunicargli:

• l’identità delle persone che avevano consultato i dati,
• le date esatte delle consultazioni,
• le finalità del trattamento. La banca ha rifiutato di indicare i nomi dei dipendenti, ritenendo che tali informazioni fossero dati personali di questi ultimi. L’autorità di controllo ha respinto il reclamo di J.M., che ha quindi adito il giudice nazionale.

Questioni pregiudiziali

Il giudice del rinvio ha chiesto alla Corte, in sostanza:

• se le informazioni contenute nei log data, da cui risulta chi ha trattato i dati, quando e per quali finalità, rientrino nel diritto di accesso dell’interessato;
• se i dipendenti del titolare possano essere considerati "destinatari" ai sensi dell’articolo 15, paragrafo 1, lettera c);
• se rilevi il fatto che il titolare sia una banca e che l’interessato fosse anche dipendente;
• se il RGPD si applichi a una richiesta presentata dopo il 25 maggio 2018 ma riferita a trattamenti anteriori.

Normativa rilevante

La Corte richiama in particolare:

• l’articolo 4 RGPD, con le definizioni di "dato personale", "trattamento" e "destinatario";
• l’articolo 12 RGPD, sul principio di trasparenza;
• l’articolo 15 RGPD, sul diritto di accesso;
• gli articoli 24, 29 e 30 RGPD, relativi a responsabilizzazione, trattamento sotto l’autorità del titolare e registri delle attività;
• gli articoli 58, 77, 79 e 82 RGPD, relativi ai poteri dell’autorità di controllo e ai rimedi dell’interessato;
• l’articolo 99, paragrafo 2, RGPD, sull’applicabilità dal 25 maggio 2018.

Applicazione nel tempo dell’articolo 15 RGPD

La Corte qualifica l’articolo 15, paragrafo 1, RGPD come norma di natura procedurale: esso non disciplina la liceità del trattamento passato, ma il diritto dell’interessato di ottenere informazioni sul trattamento dei propri dati. Di conseguenza, si applica alle domande di accesso presentate dal momento in cui il RGPD è divenuto applicabile, anche se i trattamenti oggetto della richiesta sono avvenuti prima del 25 maggio 2018.

Portata del diritto di accesso: date, finalità e log data

La Corte afferma che il diritto di accesso ha una portata ampia e serve a garantire trasparenza e verificabilità della liceità del trattamento. Le informazioni sulle date delle consultazioni consentono di accertare se i dati siano stati trattati e in quale momento; quelle sulle finalità sono espressamente previste dall’articolo 15, paragrafo 1, lettera a); quelle sui destinatari sono previste dall’articolo 15, paragrafo 1, lettera c). La trasmissione dei log data può quindi essere necessaria per rendere effettivo l’accesso, purché contenga una copia fedele e intelligibile dei dati oggetto di trattamento, eventualmente contestualizzata tramite estratti di documenti o database.

Identità dei dipendenti del titolare e bilanciamento con i loro diritti

La Corte distingue tra il diritto di conoscere i destinatari dei dati e quello di conoscere l’identità dei dipendenti del titolare che hanno operato sotto la sua autorità. I dipendenti che trattano dati secondo le istruzioni del titolare non sono "destinatari" ai sensi dell’articolo 15, paragrafo 1, lettera c). Tuttavia, le informazioni sui loro nomi possono, in concreto, costituire dati personali di questi dipendenti e la loro comunicazione deve essere bilanciata con i diritti e le libertà altrui, come richiesto dal considerando 63 e dal principio generale di proporzionalità del RGPD. Solo se tali informazioni sono indispensabili per consentire all’interessato di esercitare effettivamente i diritti conferiti dal regolamento, esse possono essere comunicate, previa ponderazione degli interessi in gioco.

Rilevanza del contesto bancario e della qualità di ex dipendente

La Corte esclude che la natura regolamentata dell’attività bancaria o il fatto che l’interessato fosse contemporaneamente cliente e dipendente del titolare incidano sulla portata del diritto di accesso. Nessuna disposizione del RGPD differenzia il contenuto del diritto in base al settore di attività del titolare o allo status personale dell’interessato, salvo eventuali limitazioni legislative specifiche ai sensi dell’articolo 23 RGPD, non risultanti nel caso di specie.

Dispositivo

La Corte decide che:

• l’articolo 15 RGPD si applica alle richieste di accesso presentate dopo il 25 maggio 2018 anche se i trattamenti oggetto della richiesta sono anteriori;
• l’interessato ha diritto alle informazioni sulle operazioni di consultazione dei propri dati relative a date e finalità;
• l’identità dei dipendenti che hanno agito sotto l’autorità del titolare non è, in linea di principio, oggetto del diritto di accesso, salvo necessità per l’effettivo esercizio dei diritti dell’interessato e nel rispetto dei diritti dei dipendenti;
• il contesto bancario e la qualità di dipendente/cliente non modificano la portata del diritto di accesso.

Principio affermato

La decisione consolida la funzione del diritto di accesso come strumento di trasparenza e controllo della liceità del trattamento, ma ne delimita il contenuto rispetto ai dati personali di terzi coinvolti nell’operazione di trattamento. In pratica, per gli operatori del settore bancario e per i titolari del trattamento, i log di accesso possono dover essere esibiti all’interessato, mentre l’anonimato o la riservatezza dei dipendenti restano tutelati salvo necessità dimostrata.