Corte di Giustizia UE, I Sezione, sentenza 12 gennaio 2023 (causa C-154/21)
PRINCIPIO DI DIRITTO
L’articolo 15, paragrafo 1, lettera c), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), deve essere interpretato nel senso che: il diritto di accesso dell’interessato ai dati personali che lo riguardano, previsto da tale disposizione, implica, qualora tali dati siano stati o saranno comunicati a destinatari, l’obbligo per il titolare del trattamento di fornire a detto interessato l’identità stessa di tali destinatari, a meno che sia impossibile identificare detti destinatari o che il suddetto titolare del trattamento dimostri che le richieste di accesso dell’interessato sono manifestamente infondate o eccessive, ai sensi dell’articolo 12, paragrafo 5, del regolamento 2016/679, nel qual caso il titolare del trattamento può indicare a detto interessato unicamente le categorie di destinatari di cui trattasi.
TESTO RILEVANTE DELLA DECISIONE (sintesi massimata)
Sulla questione pregiudiziale
28 Con la sua questione pregiudiziale, il giudice del rinvio chiede, in sostanza, se l’articolo 15, paragrafo 1, lettera c), del RGPD debba essere interpretato nel senso che il diritto di accesso dell’interessato ai dati personali che lo riguardano, previsto da tale disposizione, implica, qualora tali dati siano stati o saranno comunicati a destinatari, l’obbligo per il titolare del trattamento di fornire all’interessato l’identità concreta di tali destinatari.
29 In via preliminare, occorre ricordare che, secondo una costante giurisprudenza, l’interpretazione di una disposizione del diritto dell’Unione richiede di tener conto non soltanto della sua formulazione, ma anche del contesto in cui essa si inserisce nonché degli obiettivi e della finalità che persegue l’atto di cui essa fa parte (sentenza del 15 marzo 2022, Autorité des marchés financier, C‑302/20, EU:C:2022:190, punto 63). Inoltre, quando una disposizione del diritto dell’Unione è suscettibile di più interpretazioni, occorre privilegiare quella idonea a salvaguardare il suo effetto utile (sentenza del 7 marzo 2018, Cristal Union, C‑31/17, EU:C:2018:168, punto 41 e giurisprudenza ivi citata).
30 Per quanto riguarda, anzitutto, il tenore letterale dell’articolo 15, paragrafo 1, lettera c), del RGPD, occorre ricordare che tale disposizione enuncia che l’interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e, in tal caso, di ottenere l’accesso ai dati personali e alle informazioni relative ai destinatari o alle categorie di destinatari a cui tali dati personali sono stati o saranno comunicati.
31 A tal riguardo, occorre rilevare che i termini «destinatari» e «categorie di destinatari» che figurano in tale disposizione sono utilizzati in successione, senza che sia possibile dedurre un ordine di priorità tra di essi.
32 Pertanto, è giocoforza constatare che la formulazione dell’articolo 15, paragrafo 1, lettera c), del RGPD non consente di stabilire, in modo univoco, se l’interessato, qualora i dati personali che lo riguardano siano stati o saranno comunicati, abbia il diritto di essere informato riguardo all’identità concreta dei destinatari di questi ultimi.
33 Per quanto riguarda poi il contesto in cui si inserisce l’articolo 15, paragrafo 1, lettera c), del RGPD, occorre ricordare, in primo luogo, che il considerando 63 di tale regolamento prevede che l’interessato debba avere il diritto di conoscere e ottenere comunicazioni, in particolare, in relazione ai destinatari di tali dati personali e non precisa che tale diritto possa essere limitato alle mere categorie di destinatari, come rilevato dall’avvocato generale al paragrafo 23 delle sue conclusioni.
34 In secondo luogo, occorre altresì ricordare che, per rispettare il diritto di accesso, qualsiasi trattamento di dati personali di persone fisiche deve essere conforme ai principi enunciati all’articolo 5 del RGPD (v., in tal senso, sentenza del 16 gennaio 2019, Deutsche Post, C‑496/17, EU:C:2019:26, punto 57).
35 Orbene, tra tali principi figura il principio di trasparenza di cui all’articolo 5, paragrafo 1, lettera a), del RGPD, il quale implica, come risulta dal considerando 39 di tale regolamento, che l’interessato disponga di informazioni sulle modalità con cui i suoi dati personali sono trattati e che tali informazioni siano facilmente accessibili e comprensibili.
36 In terzo luogo, occorre rilevare, come sottolineato dall’avvocato generale al paragrafo 21 delle sue conclusioni, che, a differenza degli articoli 13 e 14 del RGPD, i quali stabiliscono l’obbligo per il titolare del trattamento di fornire all’interessato le informazioni relative alle categorie di destinatari o ai destinatari concreti dei dati personali che lo riguardano, qualora questi ultimi siano raccolti presso l’interessato o non siano ottenuti presso l’interessato, l’articolo 15 del RGPD prevede un vero e proprio diritto di accesso a favore dell’interessato, di modo che quest’ultimo deve poter scegliere se ottenere le informazioni concernenti, ove possibile, i destinatari specifici cui detti dati sono stati o saranno comunicati o quelle riguardanti le categorie di destinatari.
37 In quarto luogo, la Corte ha già dichiarato che l’esercizio di tale diritto di accesso deve consentire all’interessato di verificare non solo che i dati che lo riguardano siano corretti, ma anche che siano trattati in modo lecito (v., per analogia, sentenze del 17 luglio 2014, YS e a., C‑141/12 e C‑372/12, EU:C:2014:2081, punto 44, nonché del 20 dicembre 2017, Nowak, C‑434/16, EU:C:2017:994, punto 57), in particolare che essi siano stati comunicati a destinatari autorizzati (v., per analogia, sentenza del 7 maggio 2009, Rijkeboer, C‑553/07, EU:C:2009:293, punto 49).
38 In particolare, tale diritto di accesso è necessario affinché l’interessato possa esercitare, se del caso, il suo diritto di rettifica, il suo diritto alla cancellazione («diritto all’oblio»), il suo diritto di limitazione di trattamento, diritti questi che gli sono riconosciuti, rispettivamente, dagli articoli 16, 17 e 18 del RGDP (v., per analogia, sentenze del 17 luglio 2014, YS e a., C‑141/12 e C‑372/12, EU:C:2014:2081, punto 44, nonché del 20 dicembre 2017, Nowak, C‑434/16, EU:C:2017:994, punto 57), nonché il suo diritto di opposizione al trattamento dei suoi dati personali, previsto all’articolo 21 del RGPD, e il suo diritto di agire in giudizio nel caso in cui subisca un danno, previsto agli articoli 79 e 82 del RGPD (v., per analogia, sentenza del 7 maggio 2009, Rijkeboer, C‑553/07, EU:C:2009:293, punto 52).
39 Pertanto, al fine di garantire l’effetto utile di tutti i diritti menzionati al punto precedente della presente sentenza, l’interessato deve disporre, in particolare, di un diritto di essere informato riguardo all’identità dei destinatari concreti nel caso in cui i suoi dati personali siano già stati comunicati.
40 Una siffatta interpretazione è confermata, in quinto e ultimo luogo, dalla lettura dell’articolo 19 del RGPD, il quale prevede, alla sua prima frase, che il titolare del trattamento comunichi, in linea di principio, a ciascuno dei destinatari cui sono stati trasmessi i dati personali le eventuali rettifiche, cancellazioni o limitazioni del trattamento e, alla sua seconda frase, che tale titolare comunichi all’interessato tali destinatari qualora l’interessato lo richieda.
41 Pertanto, l’articolo 19, seconda frase, del RGPD conferisce espressamente all’interessato il diritto di essere informato dei destinatari concreti dei dati che lo riguardano da parte del titolare del trattamento, nell’ambito dell’obbligo di quest’ultimo di informare tutti i destinatari dell’esercizio dei diritti di cui l’interessato dispone ai sensi dell’articolo 16, dell’articolo 17, paragrafo 1, e dell’articolo 18 del RGPD.
42 Dall’analisi contestuale sopra esposta risulta che l’articolo 15, paragrafo 1, lettera c), del RGPD costituisce una delle disposizioni destinate a garantire che le modalità attraverso le quali i dati personali sono trattati siano trasparenti per l’interessato e consente a quest’ultimo, come rilevato dall’avvocato generale al paragrafo 33 delle sue conclusioni, di esercitare le prerogative previste in particolare agli articoli da 16 a 19, 21, 79 e 82 del RGPD.
43 Pertanto, si deve ritenere che le informazioni fornite all’interessato a titolo del diritto di accesso previsto all’articolo 15, paragrafo 1, lettera c), del RGPD debbano essere le più esatte possibili. In particolare, tale diritto di accesso implica la possibilità per l’interessato di ottenere dal titolare del trattamento le informazioni sui destinatari specifici ai quali i dati sono stati o saranno comunicati o, alternativamente, di scegliere di limitarsi a richiedere informazioni riguardanti le categorie di destinatari.
44 Infine, per quanto riguarda la finalità perseguita dal RGPD, occorre rilevare che tale regolamento mira, in particolare, come emerge dal suo considerando 10, a garantire un elevato livello di protezione delle persone fisiche all’interno dell’Unione (sentenza del 6 ottobre 2020, La Quadrature du Net e a., C‑511/18, C‑512/18 e C‑520/18, EU:C:2020:791, punto 207). A tal riguardo, come rilevato in sostanza dall’avvocato generale al paragrafo 14 delle sue conclusioni, il contesto normativo generale creato dal RGPD dà attuazione alle prescrizioni scaturenti dal diritto fondamentale alla protezione dei dati personali tutelato dall’articolo 8 della Carta dei diritti fondamentali dell’Unione europea, in particolare alle prescrizioni espressamente previste al paragrafo 2 di tale articolo (v., in tal senso, sentenza del 9 marzo 2017, Manni, C‑398/15, EU:C:2017:197, punto 40).
45 Orbene, tale obiettivo avvalora l’interpretazione dell’articolo 15, paragrafo 1, del RGPD di cui al punto 43 della presente sentenza.
46 Pertanto, risulta altresì dall’obiettivo perseguito dal RGPD che l’interessato ha il diritto di ottenere dal titolare del trattamento informazioni sui destinatari concreti ai quali i dati personali che lo riguardano sono stati o saranno comunicati.
47 Ciò premesso, occorre infine sottolineare che, come risulta dal considerando 4 del RGPD, il diritto alla protezione dei dati personali non è una prerogativa assoluta. Tale diritto deve essere infatti considerato alla luce della sua funzione sociale e va contemperato con altri diritti fondamentali, in ossequio al principio di proporzionalità, come ribadito dalla Corte, in sostanza, al punto 172 della sentenza del 16 luglio 2020, Facebook Ireland e Schrems (C‑311/18, EU:C:2020:559).
48 Pertanto, si può ammettere che, in circostanze specifiche, non sia possibile fornire informazioni su destinatari concreti. Il diritto di accesso potrà dunque essere limitato all’informazione sulle categorie di destinatari qualora sia impossibile comunicare l’identità dei destinatari concreti, in particolare qualora questi ultimi non siano ancora noti.
49 Inoltre, occorre ricordare che, ai sensi dell’articolo 12, paragrafo 5, lettera b), del RGPD, il titolare del trattamento, conformemente al principio di responsabilità di cui all’articolo 5, paragrafo 2, di tale regolamento nonché al considerando 74 di quest’ultimo, può rifiutare di soddisfare la richiesta dell’interessato qualora la stessa sia manifestamente infondata o eccessiva, fermo restando che incombe al medesimo titolare del trattamento dimostrare il carattere manifestamente infondato o eccessivo di detta richiesta.
50 Nel caso di specie, dalla domanda di pronuncia pregiudiziale risulta che l’Österreichische Post ha respinto la richiesta presentata da RW sulla base dell’articolo 15, paragrafo 1, del RGPD, diretta a che la stessa gli fornisse l’identità dei destinatari ai quali aveva comunicato i dati personali che lo riguardavano. Spetterà al giudice del rinvio verificare se, tenuto conto delle circostanze di cui al procedimento principale, l’Österreichische Post abbia dimostrato il carattere manifestamente infondato o eccessivo di tale richiesta.
51 Alla luce di tutte le considerazioni sin qui svolte, occorre rispondere alla questione pregiudiziale dichiarando che l’articolo 15, paragrafo 1, lettera c), del RGPD deve essere interpretato nel senso che il diritto di accesso dell’interessato ai dati personali che lo riguardano, previsto da tale disposizione, implica, qualora tali dati siano stati o saranno comunicati a destinatari, l’obbligo per il titolare del trattamento di fornire a detto interessato l’identità stessa di tali destinatari, a meno che non sia impossibile identificare detti destinatari o che il suddetto titolare del trattamento non dimostri che le richieste di accesso dell’interessato sono manifestamente infondate o eccessive, ai sensi dell’articolo 12, paragrafo 5, del RGPD, nel qual caso il titolare del trattamento può indicare a detto interessato unicamente le categorie di destinatari di cui trattasi.
Sulle spese
52 Nei confronti delle parti nel procedimento principale la presente causa costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.
Per questi motivi, la Corte (Prima Sezione) dichiara:
L’articolo 15, paragrafo 1, lettera c), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), deve essere interpretato nel senso che: il diritto di accesso dell’interessato ai dati personali che lo riguardano, previsto da tale disposizione, implica, qualora tali dati siano stati o saranno comunicati a destinatari, l’obbligo per il titolare del trattamento di fornire a detto interessato l’identità stessa di tali destinatari, a meno che sia impossibile identificare detti destinatari o che il suddetto titolare del trattamento dimostri che le richieste di accesso dell’interessato sono manifestamente infondate o eccessive, ai sensi dell’articolo 12, paragrafo 5, del regolamento 2016/679, nel qual caso il titolare del trattamento può indicare a detto interessato unicamente le categorie di destinatari di cui trattasi.
