La Corte di Giustizia dell’Unione Europea con la sentenza del 12 gennaio 2023, emessa a conclusione della causa C-154/21, ha stabilito che:
“l’art. 15 §.1, lett. c) GDPR deve essere interpretato nel senso che: il diritto di accesso dell’interessato ai dati personali che lo riguardano, previsto da tale disposizione, implica l’obbligo per il titolare del trattamento di fornire a detto interessato l’identità stessa di tali destinatari cui sono o saranno comunicati i suoi dati personali, a meno che sia impossibile identificare detti destinatari o che il suddetto titolare del trattamento dimostri che le richieste di accesso dell’interessato sono manifestamente infondate o eccessive, ai sensi dell’art. 12 §.5 GDPR, nel qual caso il titolare del trattamento può indicare a detto interessato unicamente le categorie di destinatari di cui trattasi”.
IL CASO
La decisione della Corte di Giustizia è originata da una lite tra un consumatore e le Poste austriache perché utilizzavano i suoi dati per cederli a terzi per fini di marketing e per la pubblicazione di elenchi telefonici.
Il consumatore, ai sensi del GDPR, pretendeva di avere accesso all’identità concreta dei soggetti cui erano stati ceduti i suoi dati personali, mentre le Poste gli avevano comunicato solo le categorie di tali terzi, ossia, inserzionisti attivi nel settore della vendita per corrispondenza e del commercio tradizionale, imprese informatiche, editori di indirizzi e associazioni quali organizzazioni di beneficienza, organizzazioni non governative (ONG) o partiti politici.
LE OSSERVAZIONI E LA DECISIONE DELLA CGUE
Ai sensi dell’art. 15 del GDPR “la persona interessata ha il diritto di ottenere dal responsabile del trattamento la conferma che sia o meno in corso un trattamento di dati personali che la riguardano e, in caso affermativo, l’accesso a tali dati personali e alle informazioni relative ai destinatari o alle categorie di destinatari cui tali dati sono stati o saranno comunicati”.
In estrema sintesi la CGUE ha osservato che l’art.15 sancisce un vero e proprio diritto di accesso al trattamento dei propri dati da parte dell’interessato che ha diritto di verificarne la correttezza e che siano usati lecitamente. A tal fine, l’interessato ha diritto di conoscere a chi sono ceduti i propri dati dal titolare del trattamento.
Dal tenore letterale della norma non sembra che tale onere si limiti all’indicazione delle mere categorie (così come era stato fatto dalle Poste austriache nel caso di specie), poiché l’art. 15 prevede testualmente per l’utente il “diritto di essere informato riguardo all’identità concreta dei destinatari nel caso in cui i suoi dati personali siano già stati comunicati”.
Pertanto,le informazioni fornite all’interessato a titolo del diritto di accesso previsto all’art. 15, paragrafo 1, lettera c), del GDPR devono essere le più esatte possibili. In particolare, tale diritto di accesso implica la possibilità per l’interessato di ottenere dal titolare del trattamento le informazioni sui destinatari specifici ai quali i dati sono stati o saranno comunicati o, alternativamente, di scegliere di limitarsi a richiedere informazioni riguardanti le categorie di destinatari.
La CGUE evidenzia, tuttavia, come il diritto di accesso previsto dall’art. 15, quale tutela della privacy dell’interessato, non è un diritto assoluto: “deve essere infatti considerato alla luce della sua funzione sociale e va contemperato con altri diritti fondamentali, in ossequio al principio di proporzionalità”.
In ragione di ciò, seppur la regola generale prevede che debbano essere comunicate informazioni sull’identità concreta dei destinatari della comunicazioni dei dati personali dell’interessato, il titolare può rifiutare la richiesta e limitarsi a comunicare le categorie delle stesse laddove i destinatari non siano ancora noti, perché non è avvenuta la comunicazione o se la richiesta è manifestamente infondata o eccessiva ex art. 12 §.5 GDPR (ossia, a titolo esemplificativo, quando la richiesta ha carattere ripetitivo), circostanza la cui dimostrazione è onere del titolare del trattamento.