Con la sentenza sulla causa C-526/24 la Corte di giustizia dell’Unione europea ha affermato che una richiesta di accesso ai propri dati personali può essere qualificata come abusiva e respinta se presentata al solo scopo di chiedere successivamente un risarcimento per una presunta violazione del Regolamento Generale sulla Protezione dei Dati (Gdpr, adottato col regolamento Ue n. 2016/679).
Il caso a quo
Una persona residente in Austria si è iscritta alla newsletter di un’impresa di ottica a conduzione familiare, con sede ad Arnsberg, in Germania, inserendo i propri dati personali nel modulo di iscrizione disponibile sul sito Internet dell’impresa.
Tredici giorni dopo, essa ha presentato all’impresa una richiesta di accesso ai sensi del Rgpd. Infatti, in base al regolamento un interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e, quando vi sia in corso un trattamento, il diritto di accedere a tali dati e alle relative informazioni.
L’impresa ha però respinto la richiesta, ritenendola abusiva, perché secondo vari servizi giornalistici, contenuti di blog e newsletter di avvocati risultava che tale persona si iscrivesse sistematicamente alle newsletter di varie imprese, prima di presentare una richiesta di accesso e poi una domanda di risarcimento. In effetti, la persona ha invece ritenuto che la sua richiesta di accesso fosse legittima e ha chiesto all’impresa che aveva negato l’accesso un risarcimento di almeno mille euro a titolo di risarcimento del danno immateriale che essa sostiene di aver subito a causa del rigetto di tale richiesta di accesso.
Il rinvio pregiudiziale
Il tribunale circoscrizionale di Arnsberg, investito della controversia tra il privato e l’impresa in merito alla legittimità della richiesta di accesso e della domanda di risarcimento, ha chiesto alla Corte di giustizia se una prima richiesta di accesso ai dati personali presentata dall’interessato possa essere considerata “eccessiva” e se detto interessato abbia diritto al risarcimento del danno derivante da una violazione del diritto di accesso a tali dati.
La risposta della Cgue
La Corte risponde che una prima richiesta di accesso può, in determinate circostanze, essere già considerata “eccessiva” ai sensi del Rgpd e quindi abusiva. Se le richieste di accesso ai dati personali sono eccessive, il responsabile del trattamento può, conformemente all’articolo 12, paragrafo 5, del Rgpd, addebitare un contributo spese ragionevole tenendo conto dei costi amministrativi sostenuti per ottemperare a tali richieste, oppure rifiutarsi di soddisfarle.
Il carattere eccessivo della richiesta è sussistente nel caso in cui il titolare del trattamento dimostri che, nonostante il rispetto formale delle condizioni previste dal Regolamento per la presentazione di una richiesta di accesso, tale richiesta è stata presentata non per prendere conoscenza del trattamento dei dati e verificarne la liceità, ma con l’intento, qualificabile come «abusivo», di creare artificiosamente le condizioni necessarie per ottenere un risarcimento.
Il fatto che, secondo informazioni accessibili al pubblico, l’interessato abbia presentato diverse richieste di accesso ai propri dati personali, seguite da domande di risarcimento, nei confronti di diversi titolari del trattamento può essere preso in considerazione al fine di stabilire l’esistenza di tale intento abusivo.
Inoltre, una persona che subisca un danno materiale o immateriale causato da una violazione del Rgpd, ivi compresa una violazione del diritto di accesso ai propri dati personali, ha il diritto di ottenere dal titolare del trattamento il risarcimento di tale danno. La Corte precisa tuttavia che, per ottenere detto risarcimento, l’interessato deve dimostrare, in particolare, di aver effettivamente subito tale danno. Inoltre, detto interessato non può ottenere il risarcimento del danno ai sensi del Rgpd nel caso in cui la causa determinante di detto danno sia il suo proprio comportamento. Spetta al tribunale circoscrizionale di Arnsberg decidere sulla controversia tenendo conto delle risposte fornite dalla Corte.