Conclusiones del Abogado General Sr. G. Pitruzzella, presentadas el 15 de diciembre de 2022.

• Jurisdiction: European Union
• ECLI: ECLI:EU:C:2022:1000
• Date: 15 December 2022
• Celex Number: 62021CC0487
• Court: Court of Justice (European Union)

Edizione provvisoria

CONCLUSIONI DELL’AVVOCATO GENERALE

GIOVANNI PITRUZZELLA

presentate il 15 dicembre 2022(1)

Causa C‑487/21

F.F.

con l’intervento di:

Österreichische Datenschutzbehörde,

CRIF GmbH

[domanda di pronuncia pregiudiziale proposta dal Bundesverwaltungsgericht (Corte amministrativa federale, Austria)]

«Rinvio pregiudiziale – Protezione dei dati personali – Regolamento (UE) 2016/679 – Articolo 15, paragrafo 3 – Diritto di accesso dell’interessato ai dati personali oggetto di trattamento – Diritto di ricevere una copia dei dati personali – Nozione di “copia” – Nozione di “informazioni”»

1. Quali sono il contenuto e la portata del diritto riconosciuto all’interessato che ottiene l’accesso ai suoi dati personali oggetto di trattamento di ricevere una copia di tali dati, come previsto dall’articolo 15, paragrafo 3, del regolamento (UE) 2016/679, del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (2) (in prosieguo: il «RGPD»). Quale è il significato del termine «copia» e come si articola tale diritto a ricevere una copia dei dati personali oggetto di trattamento con il diritto di accesso quale previsto al paragrafo 1, dello stesso articolo?

2. Sono queste in sostanza le questioni principali che si pongono nella causa oggetto delle presenti conclusioni la quale concerne un rinvio pregiudiziale proposto dal Bunsdesverwaltungsgericht (Corte amministrativa federale, Austria) avente ad oggetto l’interpretazione dell’articolo 15, paragrafo 3, del RGPD.

3. Tale rinvio si inserisce nel quadro di una controversia sorta tra il sig. F.F. e l’Österreichische Datenschutzbehörde (autorità austriaca garante della protezione dei dati) avente ad oggetto la legittimità del rigetto da parte di quest’ultima della domanda del sig. F.F. diretta a fare imporre ad un’agenzia di consulenza commerciale, la quale aveva trattato i suoi dati personali, di fornire documenti e estratti di una banca dati contenenti i suddetti dati personali.

4. La presente causa fornirà alla Corte l’occasione di interpretare per la prima volta la disposizione di cui all’articolo 15, paragrafo 3, del RGPD e di fornire chiarimenti riguardo alle modalità di esercizio del diritto di accesso ai propri dati personali oggetto di trattamento quale previsto dall’articolo 15 del RGPD.

I. Contesto normativo

5. Il considerando 63 del RGPD enuncia:

«Un interessato dovrebbe avere il diritto di accedere ai dati personali raccolti che l[o] riguardano e di esercitare tale diritto facilmente e a intervalli ragionevoli, per essere consapevole del trattamento e verificarne la liceità. Ciò include il diritto di accedere ai dati relativi alla salute, ad esempio le cartelle mediche contenenti informazioni quali diagnosi, risultati di esami, pareri di medici curanti o eventuali terapie o interventi praticati. Ogni interessato dovrebbe pertanto avere il diritto di conoscere e ottenere comunicazioni in particolare in relazione alla finalità per cui i dati personali sono trattati, ove possibile al periodo in cui i dati personali sono trattati, ai destinatari dei dati personali, alla logica cui risponde qualsiasi trattamento automatizzato dei dati e, almeno quando è basato sulla profilazione, alle possibili conseguenze di tale trattamento. Ove possibile, il titolare del trattamento dovrebbe poter fornire l’accesso remoto a un sistema sicuro che consenta all’interessato di consultare direttamente i propri dati personali. Tale diritto non dovrebbe ledere i diritti e le libertà altrui, compreso il segreto industriale e aziendale e la proprietà intellettuale, segnatamente i diritti d’autore che tutelano il software. Tuttavia, tali considerazioni non dovrebbero condurre a un diniego a fornire all’interessato tutte le informazioni (…)».

6. L’articolo 4, punti 1 e 2, del RGPD dispone:

«Ai fini del presente regolamento s’intende per:

1) “dato personale”: qualsiasi informazione riguardante una persona fisica identificata o identificabile (“interessato”); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale;

2) “trattamento”: qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione».

7. L’articolo 12, paragrafo 1, del RGPD, rubricato «[i]nformazioni, comunicazioni e modalità trasparenti per l’esercizio dei diritti dell’interessato», prevede:

«Il titolare del trattamento adotta misure appropriate per fornire all’interessato tutte le informazioni di cui agli articoli 13 e 14 e le comunicazioni di cui agli articoli da 15 a 22 e all’articolo 34 relative al trattamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro, in particolare nel caso di informazioni destinate specificamente ai minori. Le informazioni sono fornite per iscritto o con altri mezzi, anche, se del caso, con mezzi elettronici. Se richiesto dall’interessato, le informazioni possono essere fornite oralmente, purché sia comprovata con altri mezzi l’identità dell’interessato».

8. L’articolo 15 del RGPD, rubricato «[d]iritto di accesso dell’interessato», dispone:

«1. L’interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l’accesso ai dati personali e alle seguenti informazioni:

a) le finalità del trattamento;

b) le categorie di dati personali in questione;

c) i destinatari o le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, in particolare se destinatari di paesi terzi o organizzazioni internazionali;

d) quando possibile, il periodo di conservazione dei dati personali previsto oppure, se non è possibile, i criteri utilizzati per determinare tale periodo;

e) l’esistenza del diritto dell’interessato di chiedere al titolare del trattamento la rettifica o la cancellazione dei dati personali o la limitazione del trattamento dei dati personali che lo riguardano o di opporsi al loro trattamento;

f) il diritto di proporre reclamo a un’autorità di controllo;

g) qualora i dati non siano raccolti presso l’interessato, tutte le informazioni disponibili sulla loro origine;

h) l’esistenza di un processo decisionale automatizzato, compresa la profilazione di cui all’articolo 22, paragrafi 1 e 4, e, almeno in tali casi, informazioni significative sulla logica utilizzata, nonché l’importanza e le conseguenze previste di tale trattamento per l’interessato.

(…)

3. Il titolare del trattamento fornisce una copia dei dati personali oggetto di trattamento. In caso di ulteriori copie richieste dall’interessato, il titolare del trattamento può addebitare un contributo spese ragionevole basato sui costi amministrativi. Se l’interessato presenta la richiesta mediante mezzi elettronici, e salvo indicazione diversa dell’interessato, le informazioni sono fornite in un formato elettronico di uso comune.

4. Il diritto di ottenere una copia di cui al paragrafo 3 non deve ledere i diritti e le libertà altrui».

II. Fatti, procedimento principale e questioni pregiudiziali

9. La CRIF GmbH è un’agenzia di consulenza commerciale che fornisce, su richiesta dei suoi clienti, informazioni sulla solvibilità di terzi. A tal fine, essa ha proceduto al trattamento dei dati personali del ricorrente nel procedimento principale dinanzi al giudice di rinvio.

10. Il 20 dicembre 2018 quest’ultimo si è rivolto a tale agenzia per ottenere, inter alia, informazioni sui suoi dati personali oggetto di trattamento, in virtù dell’articolo 15 del RGPD, chiedendo, in particolare, di ottenere una copia di tali dati in un usuale formato tecnico.

11. A seguito di tale richiesta, l’agenzia ha fornito una parte delle informazioni richieste in forma aggregata, che riproduceva i dati personali memorizzati del ricorrente dinanzi al giudice di rinvio, da un lato, in una tabella ripartita per nome, data di nascita, via, codice di avviamento postale e luogo e, dall’altro, in un prospetto riepilogativo riguardante funzioni aziendali e poteri di rappresentanza. Non sono stati invece trasmessi altri documenti quali e-mail o estratti di banche dati.

12. Il 16 gennaio 2019 il ricorrente dinanzi al giudice del rinvio ha presentato all’Österreichische Datenschutzbehörde (autorità austriaca garante della protezione dei dati) un reclamo, in cui faceva valere che la risposta alla sua richiesta era incompleta e, in particolare, che il titolare del trattamento avrebbe dovuto trasmettergli una copia di tutti i documenti, inclusi le e-mail e gli estratti delle banche dati contenenti i suoi dati personali.

13. Con decisione dell’11 settembre 2019, la suddetta autorità ha respinto il reclamo ritenendo che il titolare del trattamento non avesse commesso alcuna violazione del diritto di accesso ai dati personali di quest’ultimo.

14. Il giudice del rinvio, investito del ricorso avverso tale decisione, nutre dubbi quanto alla portata del diritto dell’interessato di ricevere copia dei dati personali oggetto del trattamento garantito dall’articolo 15, paragrafo 3...