Privacy: la consegna di una “copia” fedele e intellegibile dei dati personali non viola il diritto di accesso dell’interessato ai sensi del GDPR

La CRIF è un'agenzia di consulenza commerciale che fornisce, su richiesta dei propri clienti, informazioni sulla solvibilità di terzi. A tal fine, essa ha proceduto al trattamento dei dati personali di un privato, ricorrente nel procedimento principale. Quest'ultimo ha chiesto alla CRIF, sulla base del regolamento generale sulla protezione dei dati [1], di avere accesso ai dati personali che lo riguardavano. Inoltre, egli ha chiesto la fornitura di una copia dei documenti, ossia i messaggi di posta elettronica e gli estratti di banche dati contenenti, tra l'altro, i suoi dati, «in un usuale formato tecnico».

In risposta a tale domanda, la CRIF ha trasmesso al ricorrente nel procedimento principale, in forma sintetica, l'elenco dei suoi dati personali oggetto di trattamento. Ritenendo che la CRIF avrebbe dovuto trasmettergli una copia di tutti i documenti contenenti i suoi dati, quali i messaggi di posta elettronica e gli estratti di banche dati, il ricorrente nel procedimento principale ha presentato un reclamo all'Österreichische Datenschutzbehörde (autorità austriaca garante della protezione dei dati). Tale autorità ha respinto detto reclamo, considerando che la CRIF non aveva violato il diritto di accesso ai dati personali del ricorrente nel procedimento principale.

Il Bundesverwaltungsgericht (Corte amministrativa federale, Austria), investito del ricorso del ricorrente nel procedimento principale avverso la decisione di rigetto adottata da detta autorità, si interroga sulla portata dell'obbligo di cui all'articolo 15, paragrafo 3, prima frase, del GDPR di fornire all'interessato una «copia» dei suoi dati personali oggetto di trattamento. Detto giudice si chiede, in particolare, se tale obbligo sia soddisfatto qualora il titolare del trattamento trasmetta i dati personali sotto forma di tabella sintetica oppure se esso implichi anche la trasmissione di estratti di documenti o anche di documenti interi, nonché di estratti di banche dati, nei quali sono riprodotti detti dati. Il giudice del rinvio chiede inoltre di chiarire cosa si intenda esattamente con il termine «informazioni» che figura all'articolo 15, paragrafo 3, terza frase, del GDPR [2].

Con la sua sentenza, la Corte fornisce precisazioni sul contenuto e la portata del diritto di accesso dell'interessato ai suoi dati personali oggetto di trattamento. Al riguardo, essa considera che il diritto di ottenere dal titolare del trattamento una «copia» dei dati personali oggetto di trattamento in forza dell'articolo 15, paragrafo 3, prima frase, del GDPR implica che sia consegnata all'interessato una riproduzione fedele e intelligibile dell'insieme di tali dati. Detto diritto presuppone quello di ottenere copia di estratti di documenti o anche di documenti interi o, ancora, di estratti di banche dati contenenti, tra l'altro, tali dati, se la fornitura di una siffatta copia è indispensabile per consentire all'interessato di esercitare effettivamente i diritti conferitigli dal GDPR, fermo restando che occorre tener conto, in proposito, dei diritti e delle libertà altrui. Inoltre, la Corte precisa che la nozione di «informazioni» di cui all'articolo 15, paragrafo 3, terza frase, del GDPR si riferisce esclusivamente ai dati personali di cui il titolare del trattamento deve fornire una copia in applicazione della prima frase di tale paragrafo.

Giudizio della Corte

In primo luogo, la Corte procede ad un'interpretazione letterale, sistematica e teleologica dell'articolo 15, paragrafo 3, prima frase, del GDPR, il quale prevede il diritto dell'interessato di ottenere una copia dei suoi dati personali oggetto di trattamento.

Per quanto concerne la formulazione dell'articolo 15, paragrafo 3, prima frase, del GDPR, la Corte rileva che, sebbene tale disposizione non contenga alcuna definizione della nozione di «copia», si deve tener conto del significato abituale di questo termine, il quale designa la riproduzione o la trascrizione fedele di un originale, cosicché una descrizione puramente generale dei dati oggetto di trattamento o un rinvio a categorie di dati personali non corrisponderebbe a detta definizione. Inoltre, dai termini di tale disposizione risulta che l'obbligo di comunicazione si ricollega ai dati personali oggetto del trattamento di cui trattasi. Dopo aver effettuato un'analisi testuale di detta disposizione, la Corte considera che quest'ultima conferisce all'interessato il diritto di ottenere una riproduzione fedele dei suoi dati personali, intesi in senso ampio, che siano oggetto di operazioni qualificabili come trattamento effettuato dal titolare di tale trattamento.

Per quanto concerne il contesto in cui si inserisce l'articolo 15, paragrafo 3, prima frase, del GDPR, la Corte osserva che l'articolo 15 del GDPR definisce, al paragrafo 1, l'oggetto e l'ambito di applicazione del diritto di accesso riconosciuto all'interessato. L'articolo 15, paragrafo 3, del GDPR precisa le modalità pratiche di esecuzione dell'obbligo che incombe al titolare del trattamento, specificando in particolare, nella prima frase, la forma in cui tale titolare deve fornire i dati personali oggetto di trattamento, vale a dire sotto forma di una «copia». Di conseguenza, l'articolo 15 del GDPR non può essere interpretato nel senso che sancisce, al paragrafo 3, prima frase, un diritto distinto da quello previsto al paragrafo 1. Inoltre, la Corte precisa che il termine «copia» non si riferisce a un documento in quanto tale, ma ai dati personali che esso contiene e che devono essere completi.

La copia deve quindi contenere tutti i dati personali oggetto di trattamento.

Per quanto riguarda gli obiettivi perseguiti dall'articolo 15 del GDPR, la Corte rileva che il diritto di accesso previsto da tale articolo deve consentire all'interessato di verificare che i dati personali che lo riguardano siano corretti e trattati in modo lecito.

Inoltre, secondo la Corte, dal GDPR [3] risulta che il titolare del trattamento è tenuto ad adottare misure appropriate per fornire all'interessato tutte le informazioni previste, in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro, e che le informazioni devono essere fornite per iscritto o con altri mezzi, anche, se del caso, con mezzi elettronici, a meno che non sia l'interessato a chiedere che esse siano fornite oralmente. Ne consegue che la copia dei dati personali oggetto di trattamento, che il titolare del trattamento è tenuto a fornire, deve presentare tutte le caratteristiche che consentano all'interessato di esercitare effettivamente i suoi diritti a norma del GDPR e, pertanto, deve riprodurre integralmente e fedelmente tali dati.

Di conseguenza, per garantire che le informazioni così fornite siano facilmente comprensibili, la riproduzione di estratti di documenti o anche di documenti interi o, ancora, di estratti di banche dati contenenti, tra l'altro, i dati personali oggetto di trattamento può rivelarsi indispensabile. In particolare, quando si generano dati personali a partire da altri dati o quando dati del genere derivano da campi a testo libero, vale a dire, da una mancanza di indicazioni che rivelino un'informazione sull'interessato, il contesto in cui tali dati sono oggetto di trattamento è un elemento indispensabile per consentire all'interessato di disporre di un accesso trasparente e di una presentazione intelligibile di tali dati.

In caso di conflitto tra, da un lato, l'esercizio del diritto di accesso pieno e completo ai dati personali e, dall'altro, i diritti o le libertà altrui, la Corte ritiene che occorra effettuare un bilanciamento tra i diritti e le libertà in questione. Ove possibile, si devono scegliere modalità di comunicazione di dati personali che non ledano i diritti o le libertà altrui, tenendo conto del fatto che tali considerazioni non devono condurre a un diniego a fornire all'interessato tutte le informazioni.

In secondo luogo, la Corte si sofferma sulla questione di cosa si debba intendere con il termine «informazioni» di cui all'articolo 15, paragrafo 3, terza frase, del GDPR.

Sebbene tale disposizione non precisi cosa debba intendersi con il termine «informazioni», dal suo contesto emerge che le «informazioni» cui essa si riferisce corrispondono necessariamente ai dati personali di cui il titolare del trattamento deve fornire una copia conformemente alla prima frase di tale paragrafo.

_______________________________________________________________________________________________

[1] Articolo 15 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1; in prosieguo: il «RGPD», o «GDPR», General Data Protection Regulation).

[2] In forza dell'articolo 15, paragrafo 3, terza frase, del RGPD, se l'interessato presenta la richiesta mediante mezzi elettronici, e salvo indicazione diversa dell'interessato, le informazioni sono fornite in un formato elettronico di uso comune.

[3] In particolare, i considerando 58 e 60 e l'articolo 12, paragrafo 1, di tale regolamento.