I limiti del diritto di accesso è uno dei temi più frequenti che vengono sottoposti all’attenzione del nostro Studio in ambito privacy, sia da parte di interessati che da parte di titolari e/o responsabili del trattamento.
Venendo al caso specifico, questo, dissipando alcuni dubbi orami radicati nell’interpretazione della disciplina, ha riguardato un cittadino europeo che ha esercitato il diritto di accesso ai propri dati personali verso il principale operatore di servizi postali e logistici in Austria. La società si è limitata ad informare il cliente della comunicazione dei suoi dati a categorie generali di destinatari (inserzionisti attivi nel settore della vendita per corrispondenza, imprese informatiche, associazioni di beneficenza, organizzazioni non governative o partiti politici). Tali informazioni, però, non sono state ritenute sufficienti dal cittadino il quale è voluto andare a fondo citando in giudizio la società.
I giudici di primo grado e d’appello hanno inizialmente respinto il ricorso in quanto la norma di riferimento (art. 15, par. 1, lett. c) “nella parte in cui fa riferimento a «destinatari o categorie di destinatari», accorderebbe al titolare del trattamento la possibilità di indicare all’interessato soltanto le categorie di destinatari, senza dover indicare nominativamente i destinatari concreti ai quali sono trasmessi i dati personali”. Il cittadino, però, proponendo ricorso alla Suprema Corte austriaca ha spinto quest’ultima ad interrogarsi sull’interpretazione corretta dell’articolo 15, paragrafo 1, lettera c), del Reg. 2016/679, in quanto dalla formulazione di tale disposizione “non emerge con chiarezza se essa conceda all’interessato il diritto di avere accesso alle informazioni relative ai destinatari concreti dei dati comunicati o se il titolare del trattamento possa scegliere discrezionalmente il modo in cui intende dare seguito a una richiesta di accesso all’informazione sui destinatari”. La Corte ha, dunque, operato un rinvio pregiudiziale alla Corte di Giustizia Europea al fine di ottenere delucidazioni in merito alla corretta interpretazione della norma. Con sentenza pronunciata in data 12.01.2023, la Corte di Giustizia ha pertanto sancito che “l’articolo 15 del GDPR prevede un vero e proprio diritto di accesso a favore dell’interessato, di modo che quest’ultimo deve poter scegliere se ottenere le informazioni concernenti, ove possibile, i destinatari specifici cui detti dati sono stati o saranno comunicati o quelle riguardanti le categorie di destinatari”. Le informazioni fornite, dunque, all’interessato a titolo di diritto di accesso devono essere le più esatte possibili, lasciando la possibilità all’interessato di ottenere notizie sui destinatari specifici o, alternativamente, di scegliere di limitarsi a richiedere informazioni riguardo le categorie generali dei destinatari (a meno che non sia impossibile identificare i destinatari o che il titolare non dimostri che le richieste di accesso dell’interessato sono manifestamente infondate o eccessive).
