DATI PERSONALI. LA CORTE DI GIUSTIZIA SI PRONUNCIA SULLE INFORMAZIONI CONTENUTE NEGLI ARCHIVI GENERATI DA UN SISTEMA DI TRATTAMENTO

In data 22 giugno 2023, la Corte di Giustizia dell’Unione Europea si è pronunciata nella Causa C-579/21, J.M., sull’interpretazione dell’articolo 15, paragrafo 1, del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (General Data Protection Regulation, GDPR)^[1]. Tale domanda era stata presentata nell’ambito di un procedimento promosso da J.M. e volto all’annullamento della decisione con cui l’Apulaistietosuojavaltuutettu (Sostituto Garante per la protezione dei dati personali, Finlandia) aveva rigettato la sua domanda di ingiungere alla Pankki S (“Pankki”), istituto bancario con sede in Finlandia presso cui J.M. era dipendente e cliente, di comunicargli talune informazioni riguardanti operazioni di consultazione dei suoi dati personali.

Questi i fatti.

Nel 2014, J.M. era venuto a conoscenza del fatto che i suoi dati di cliente erano stati consultati da membri del personale della Pankki, in più occasioni, nel periodo compreso tra il 1° novembre e il 31 dicembre 2013. Nutrendo dubbi circa la liceità di tali consultazioni, in data 29 maggio 2018 J.M. aveva chiesto alla Pankki di comunicargli l’identità delle persone che avevano consultato i suoi dati di cliente, le date esatte delle consultazioni nonché le finalità del trattamento di tali dati. La Pankki, tuttavia, aveva rifiutato di comunicare l’identità dei dipendenti che avevano svolto le operazioni di consultazione, con la motivazione che tali informazioni costituivano dati personali, limitandosi a fornire precisazioni in merito alle operazioni di consultazione svolte, conformemente alle sue istruzioni, dal suo servizio di audit interno.

J.M. aveva pertanto adito il Tietosuojavaltuutetun toimisto (ufficio del Garante per la protezione dei dati personali) affinché fosse ingiunto alla Pankki di comunicargli le informazioni richieste. Poiché, tuttavia, il Sostituto Garante per la protezione dei dati personali aveva respinto la sua domanda, J.M. si era rivolto all’Itä-Suomen hallinto-oikeus (Tribunale amministrativo della Finlandia orientale; il “giudice del rinvio”) che, alla luce della necessità di interpretare la normativa europea rilevante in materia, aveva deciso di sospendere il procedimento e di sottoporre alla Corte di Giustizia quattro questioni pregiudiziali.

Con la quarta questione, il giudice del rinvio chiedeva se l’articolo 15^[2] del GDPR, letto alla luce dell’articolo 99, paragrafo 2^[3], di tale regolamento, sia applicabile ad una domanda di accesso alle informazioni menzionate alla prima di dette disposizioni allorché i relativi trattamenti sono stati effettuati prima della data in cui è divenuto applicabile detto regolamento, ma la domanda è stata presentata successivamente ad essa.

La Corte ha preliminarmente ricordato che le norme procedurali si considerano generalmente applicabili alla data in cui esse entrano in vigore, a differenza di quelle sostanziali che riguardano situazioni sorte e definitivamente acquisite anteriormente alla loro entrata in vigore solo se dalla loro formulazione, dalla loro finalità o dal loro impianto sistematico risulti chiaramente che va loro attribuito tale effetto^[4]. Di conseguenza, conferendo agli interessati un diritto di natura procedurale consistente nell’ottenere informazioni sul trattamento dei loro dati personali, l’articolo 15, paragrafo 1, del GDPR è una norma procedurale che, in quanto tale, si applica alle domande di accesso presentate a partire dal momento in cui è divenuto applicabile tale regolamento, come la domanda di J.M.

Con le questioni prima e seconda, invece, il giudice del rinvio chiedeva se l’articolo 15, paragrafo 1, del GDPR debba essere interpretato nel senso che le informazioni relative ad operazioni di consultazione dei dati personali di una persona, riguardanti le loro date e le loro finalità, nonché l’identità delle persone fisiche che hanno effettuato tali operazioni, costituiscono informazioni che detta persona ha il diritto di ottenere dal titolare del trattamento in forza di tale disposizione.

L’interpretazione di una disposizione del diritto dell’Unione richiede di tener conto non soltanto della sua formulazione, e bensì anche del contesto in cui essa si inserisce nonché degli obiettivi e della finalità che persegue l’atto di cui essa fa parte^[5].

Per quanto riguarda la formulazione dell’articolo 15, paragrafo 1, del GDPR, le cui nozioni sono definite all’articolo 4^[6] di tale regolamento, la Corte ha preliminarmente rilevato che un’informazione riguarda una persona fisica identificata o identificabile qualora, in ragione del suo contenuto, della sua finalità o del suo effetto, essa sia connessa ad una persona identificabile^[7]. Nello specifico, per stabilire l’identificabilità di una persona occorre prendere in considerazione tutti i mezzi, come l’individuazione, di cui il titolare del trattamento o un terzo può ragionevolmente avvalersi per identificare tale persona fisica direttamente o indirettamente^[8]. La nozione di “dati personali”, pertanto, non comprende soltanto quelli raccolti e conservati dal titolare del trattamento, e bensì include anche tutte le informazioni risultanti da un trattamento di dati personali che riguardano una persona identificata o identificabile^[9]. Mediante la formulazione “qualsiasi operazione”, inoltre, il legislatore dell’Unione ha inteso dare alla nozione di “trattamento”^[10] una portata ampia, ricorrendo ad un elenco di operazioni non esaustivo applicate a dati personali o insiemi di dati personali, che includono, tra l’altro, la raccolta, la registrazione, la conservazione o, ancora, la consultazione^[11]. Di conseguenza, il diritto di accesso che l’articolo 15, paragrafo 1, del GDPR riconosce all’interessato è caratterizzato dall’ampia portata delle informazioni che il titolare del trattamento dei dati deve fornirgli.

Per quanto riguarda il contesto in cui l’articolo 15, paragrafo 1, del GDPR si inserisce, quest’ultimo prevede che l’interessato dovrebbe avere il diritto di conoscere e ottenere comunicazioni in particolare in relazione alla finalità per cui i dati personali sono trattati, ove possibile al relativo periodo di trattamento nonché ai destinatari dei dati stessi^[12]. A tale riguardo, le informazioni devono essere fornite dal titolare del trattamento per iscritto o con altri mezzi (anche, se del caso, elettronici), a meno che l’interessato chieda che siano fornite oralmente, di modo che egli sia messo in grado di comprenderle pienamente^[13]. Di conseguenza, l’articolo 15, paragrafo 1, del GDPR costituisce una delle disposizioni volte a garantire la trasparenza delle modalità di trattamento dei dati personali nei confronti dell’interessato.

Ciò trova conferma negli obiettivi perseguiti dal GDPR, che ha lo scopo di assicurare un livello coerente ed elevato di protezione delle persone fisiche all’interno dell’Unione nonché di rafforzare e di disciplinare in modo dettagliato i diritti degli interessati. Nello specifico, il diritto di accesso previsto all’articolo 15 del GDPR deve consentire all’interessato di verificare che i dati personali che lo riguardano siano corretti e trattati in modo lecito^[14], di modo che egli possa esercitare, se del caso, il suo diritto di rettifica, quello alla cancellazione, quello di opposizione al trattamento dei suoi dati personali nonché quello di agire in giudizio nel caso in cui subisca un danno^[15]. L’articolo 15, paragrafo 1, del GDPR, pertanto, costituisce una delle disposizioni volte a garantire che le modalità attraverso le quali i dati personali sono trattati siano trasparenti per l’interessato^[16], non essendo egli in grado di verificare, in caso contrario, che questi ultimi siano trattati in modo lecito né di esercitare le prerogative previste dal GDPR.

Tutto ciò premesso, nel caso concreto le operazioni di consultazione aventi ad oggetto i dati personali di J.M. costituiscono un “trattamento”, conferendogli pertanto, in forza dell’articolo 15, paragrafo 1, del GDPR, non solo un diritto di accesso ai dati in questione, e bensì anche un diritto a che gli siano comunicate le informazioni ad esse relative. Nello specifico, la comunicazione delle date delle operazioni di consultazione è tale da consentire all’interessato di ottenere la conferma che i suoi dati personali sono stati effettivamente trattati in un dato momento. L’informazione relativa alle finalità dei trattamenti, inoltre, è espressamente prevista all’articolo 15, paragrafo 1, lettera a), del GDPR.

Sebbene dall’articolo 15, paragrafo 1, lettera c), del GDPR risulta che l’interessato ha il diritto di ottenere dal titolare del trattamento le informazioni relative ai destinatari o alle categorie di destinatari a cui i dati personali sono stati o saranno comunicati, tuttavia, i dipendenti del titolare del trattamento non possono essere considerati come destinatari quando trattano dati personali sotto l’autorità di quest’ultimo e conformemente alle sue istruzioni. Chiunque agisca sotto l’autorità del titolare del trattamento, che abbia accesso a dati personali, infatti, non può trattare questi ultimi se non è istruito in tal senso dal titolare^[17]. A tale riguardo, le informazioni contenute negli archivi relative alle persone che hanno consultato i dati personali di J.M. potrebbero costituire informazioni rientranti tra quelle menzionate all’articolo 4, punto 1, del GDPR come idonee a consentirgli di verificare la liceità del trattamento di cui sono stati oggetto i suoi dati. Tali informazioni, tuttavia, consentono di identificare i dipendenti che hanno svolto le operazioni di trattamento e contengono i loro dati personali, di talché, anche supponendo che la loro comunicazione sia necessaria a J.M. per verificare la liceità del trattamento dei suoi dati personali, essa è tale da ledere i diritti e le libertà dei dipendenti. Di conseguenza, in caso di conflitto tra, da un lato, l’esercizio di un diritto di accesso che assicura l’effetto utile dei diritti riconosciuti dal GDPR all’interessato e, dall’altro, i diritti o le libertà altrui, occorrerà effettuare un bilanciamento tra i diritti e le libertà in questione, scegliendo, ove possibile, modalità di comunicazione che non ledano i diritti o le libertà altrui, tenendo conto del fatto che tali considerazioni non devono condurre ad un diniego a fornire all’interessato tutte le informazioni^[18].

Con la terza questione, infine, il giudice del rinvio chiedeva se la circostanza, da un lato, che il titolare del trattamento eserciti un’attività bancaria nell’ambito di un’attività regolamentata e, dall’altro, che la persona i cui dati personali sono stati trattati nella sua qualità di cliente del titolare del trattamento sia stata anche dipendente di tale titolare, rilevi ai fini della definizione della portata del diritto di accesso riconosciutale dall’articolo 15, paragrafo 1, del GDPR.

La Corte ha preliminarmente ricordato che nessuna disposizione del GDPR opera una distinzione in funzione della natura delle attività del titolare del trattamento o della qualità della persona i cui dati personali sono oggetto di trattamento. A tale riguardo, sebbene l’articolo 23^[19] del GDPR consenta agli Stati Membri di limitare, mediante misure legislative, la portata degli obblighi e dei diritti previsti in particolare all’articolo 15 di tale regolamento, non risulta che l’attività della Pankki sia oggetto di una normativa del genere. Tenuto conto non solo degli obiettivi del GDPR, e bensì anche della portata del diritto di accesso di cui gode l’interessato, inoltre, il contesto in cui tale persona chiede l’accesso alle informazioni menzionate all’articolo 15, paragrafo 1, del GDPR non può avere alcuna influenza sulla portata di tale diritto.

Di conseguenza, la Corte ha statuito che:

“L’articolo 15 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), letto alla luce dell’articolo 99, paragrafo 2, di tale regolamento, dev’essere interpretato nel senso che si applica a una domanda di accesso alle informazioni menzionate da detta disposizione allorché i trattamenti di cui a tale domanda sono stati svolti prima della data in cui è divenuto applicabile detto regolamento, ma la domanda è stata presentata successivamente a tale data.

L’articolo 15, paragrafo 1, del regolamento 2016/679 dev’essere interpretato nel senso che le informazioni relative a operazioni di consultazione dei dati personali di una persona, riguardanti le date e le finalità di tali operazioni, costituiscono informazioni che detta persona ha il diritto di ottenere dal titolare del trattamento in forza di tale disposizione. Per contro, la suddetta disposizione non riconosce un siffatto diritto con riferimento alle informazioni relative all’identità dei dipendenti di detto titolare che hanno svolto tali operazioni sotto la sua autorità e conformemente alle sue istruzioni, a meno che tali informazioni siano indispensabili per consentire all’interessato di esercitare effettivamente i diritti che gli sono conferiti da tale regolamento e a condizione che si tenga conto dei diritti e delle libertà di tali dipendenti.

L’articolo 15, paragrafo 1, del regolamento 2016/679 dev’essere interpretato nel senso che la circostanza che il titolare del trattamento eserciti un’attività bancaria nell’ambito di un’attività regolamentata e che la persona i cui dati personali sono stati trattati nella sua qualità di cliente del titolare del trattamento sia stata anche dipendente di tale titolare non incide, in linea di principio, sulla portata del diritto di cui beneficia tale persona in forza di detta disposizione”.

Scarica l’articolo