La Corte di Giustizia dell’Unione Europea lo scorso 12 gennaio, pronunciandosi su una questione pregiudiziale proposta dalla Suprema Corte austriaca, ha chiarito che l’interessato, ai sensi dell’art. 15 GDPR, ha il diritto di conoscere gli specifici destinatari dei propri dati personali e che il diritto di accesso può essere ristretto all’informazione sulle categorie solo nei casi in cui risulti impossibile indicare nel dettaglio tali soggetti

Il procedimento principale
La questione pregiudiziale sulla quale si è pronunciata la Corte di Giustizia è stata presentata dalla Suprema Corte austriaca nell’ambito di una controversia sorta a seguito di una richiesta di accesso ai sensi dell’art. 15 GDPR. Nello specifico, l’interessato si era rivolto al titolare al fine di ottenere da quest’ultimo l’accesso ai propri dati personali e, in caso di comunicazione di tali dati a terzi, l’identità dei destinatari. In risposta a tale richiesta, il titolare si era limitato ad affermare di utilizzare i dati dell’interessato nei limiti consentiti dalla legge e di fornire tali dati a partner commerciali a fini di marketing. Insoddisfatto della genericità del riscontro, l’interessato ha citato il titolare dinanzi ai giudici austriaci chiedendo che venisse ingiunto a quest’ultimo di fornirgli l’identità precisa del destinatario o dei destinatari dei suoi dati personali. Ciò nonostante, anche nel corso del procedimento giudiziario così avviato, il titolare si è limitato a comunicare all’interessato che i suoi dati personali erano stati trasmessi a clienti, tra cui inserzionisti attivi nel settore della vendita per corrispondenza e del commercio tradizionale, imprese informatiche, editori di indirizzi e associazioni quali organizzazioni di beneficenza, organizzazioni non governative (ONG) o partiti politici.

Sia i giudici di primo grado, sia i giudici d’appello hanno respinto il ricorso dell’interessato ritenendo che, l’art. 15, paragrafo 1, lettera c), del GDPR, facendo riferimento a “destinatari o (…) categorie di destinatari”, accordi al titolare del trattamento la possibilità di indicare all’interessato soltanto le categorie di destinatari, senza doverli indicare nominativamente.

La domanda di pronuncia pregiudiziale
L’interessato ha quindi presentato ricorso dinanzi alla Suprema Corte austriaca, i cui giudici, non convinti dell’interpretazione letterale dell’art. 15 GDPR fornita nei giudizi di primo e secondo grado, hanno sospeso il procedimento e demandato alla Corte di Giustizia attraverso questione pregiudiziale, se l’articolo 15, paragrafo 1, lettera c), del RGPD debba essere interpretato nel senso che “il diritto di accesso dell’interessato ai dati personali che lo riguardano, previsto da tale disposizione, implica, qualora tali dati siano stati o saranno comunicati a destinatari, l’obbligo per il titolare del trattamento di fornire all’interessato l’identità concreta di tali destinatari”. 

Sulla questione pregiudiziale
Sebbene la formulazione dell’art 15 paragrafo 1, lettera c), del GDPR – in particolare l’utilizzo dell’espressione “destinatari o (…) categorie di destinatari” – non consenta di stabilire in modo univoco se l’interessato abbia il diritto di essere informato riguardo l’identità concreta dei destinatari dei propri dati, l’analisi del contesto all’interno del quale questa disposizione si inserisce consente di comprendere meglio la portata del diritto di accesso. 

Come rilevato dai giudici della Corte di Giustizia, il Regolamento 2016/679 impone anzitutto al titolare il rispetto dei principi di cui all’art. 5 GDPR, tra i quali il principio di trasparenza. In ottemperanza a tale principio, il titolare deve consentire all’interessato di disporre delle informazioni sulle modalità con cui i suoi dati vengono trattati, compresi i destinatari dei dati stessi. A tal proposito, il Considerando 63 del Regolamento prevede che l’interessato abbia il diritto di conoscere e ottenere comunicazioni in relazione ai destinatari dei propri dati personali, senza però precisare che tale diritto debba essere limitato alle mere categorie. Inoltre, mentre gli artt. 13 e 14 del GDPR accordano al titolare la possibilità di scegliere se indicare nell’informativa le categorie o gli specifici destinatari dei dati personali, l’art. 15 prevede un vero e proprio diritto di accesso a favore dell’interessato che gli consente di poter scegliere se ottenere le informazioni concernenti, ove possibile, i destinatari specifici cui detti dati sono stati o saranno comunicati o quelle riguardanti le categorie di destinatari.

I giudici della Corte di Giustizia hanno inoltre evidenziato l’importanza del diritto di accesso – inteso come diritto di conoscere l’identità precisa dei destinatari dei dati personali – quale strumento che consente all’interessato di esercitare, se del caso, gli altri diritti definiti dal Regolamento, nonché di controllare che il trattamento avvenga in modo lecito e che quindi i dati siano comunicati solo a soggetti autorizzati. 

Siffatta interpretazione del diritto di accesso risulta altresì compatibile con la necessità del titolare di garantire il rispetto dell’art. 19 GDPR, il quale prevede, in primo luogo, che il titolare del trattamento notifichi a ciascuno dei destinatari cui sono stati trasmessi i dati personali le eventuali rettifiche, cancellazioni o limitazioni del trattamento e, in secondo luogo, che comunichi all’interessato tali destinatari qualora quest’ultimo lo richieda. 

Tuttavia, la Corte di Giustizia ha ammesso che il diritto di accesso potrà essere limitato all’informazione sulle categorie dei destinatari nel caso in cui risulti impossibile comunicare l’identità dei destinatari concreti, in particolare qualora questi ultimi non siano ancora noti e il titolare del trattamento potrà comunque rifiutarsi di soddisfare la richiesta dell’interessato qualora la stessa sia manifestamente infondata o eccessiva.

Conclusioni
Alla luce di tutte le considerazioni svolte, i giudici della Corte di Giustizia hanno ritenuto che l’articolo 15, paragrafo 1, lettera c), del GDPR, debba essere interpretato nel senso che il diritto di accesso dell’interessato implica, qualora tali dati siano stati o saranno comunicati a destinatari, “l’obbligo per il titolare del trattamento di fornire a detto interessato l’identità stessa di tali destinatari, a meno che non sia impossibile identificare detti destinatari o che il suddetto titolare del trattamento non dimostri che le richieste di accesso dell’interessato sono manifestamente infondate o eccessive, ai sensi dell’articolo 12, paragrafo 5, del RGPD, nel qual caso il titolare del trattamento può indicare a detto interessato unicamente le categorie di destinatari di cui trattasi”. 

Pertanto, affinché possa essere in grado di riscontrare puntualmente alle richieste degli interessati, il titolare del trattamento sarà tenuto ad implementare misure organizzative che gli consentano, fin dal momento della raccolta dei dati personali di tenere traccia dei singoli destinatari degli stessi in modo da poter evadere efficacemente le richieste di accesso. Si tratta di una sfida particolarmente onerosa per tutti i titolari dotati di organizzazioni aziendali complesse.

Marta Negrati

Author Marta Negrati

More posts by Marta Negrati