Corte di giustizia dell'Unione Europea
Prima Sezione
Sentenza 4 maggio 2023

«Rinvio pregiudiziale - Protezione dei dati personali - Regolamento (UE) 2016/679 - Diritto di accesso dell'interessato ai suoi dati oggetto di trattamento - Articolo 15, paragrafo 3 - Fornitura di una copia dei dati - Nozione di "copia" - Nozione di "informazioni"».

Nella causa C-487/21, avente ad oggetto la domanda di pronuncia pregiudiziale proposta alla Corte, ai sensi dell'articolo 267 TFUE, dal Bundesverwaltungsgericht (Corte amministrativa federale, Austria), con decisione del 9 agosto 2021, pervenuta in cancelleria il 9 agosto 2021, nel procedimento F.F. contro Österreichische Datenschutzbehörde, con l'intervento di: CRIF GmbH.

[...]

1. La domanda di pronuncia pregiudiziale verte sull'interpretazione dell'articolo 15 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1) (in prosieguo: il «RGPD»).

2. Tale domanda è stata presentata nell'ambito di una controversia tra F.F. e l'Österreichische Datenschutzbehörde (autorità austriaca garante della protezione dei dati) (in prosieguo: la «DSB») in merito al rifiuto da parte di quest'ultima di imporre alla CRIF GmbH di trasmettere a F.F. una copia dei documenti e di estratti di banche dati contenenti, tra l'altro, i suoi dati personali oggetto di trattamento.

Contesto normativo

3. I considerando 10, 11, 26, 58, 60 e 63 del RGPD sono così formulati:

«(10) Al fine di assicurare un livello coerente ed elevato di protezione delle persone fisiche e rimuovere gli ostacoli alla circolazione dei dati personali all'interno dell'Unione, il livello di protezione dei diritti e delle libertà delle persone fisiche con riguardo al trattamento di tali dati dovrebbe essere equivalente in tutti gli Stati membri. È opportuno assicurare un'applicazione coerente e omogenea delle norme a protezione dei diritti e delle libertà fondamentali delle persone fisiche con riguardo al trattamento dei dati personali in tutta l'Unione (...).

(11) Un'efficace protezione dei dati personali in tutta l'Unione presuppone il rafforzamento e la disciplina dettagliata dei diritti degli interessati e degli obblighi di coloro che effettuano e determinano il trattamento dei dati personali (...).

(...)

(26) È auspicabile applicare i principi di protezione dei dati a tutte le informazioni relative a una persona fisica identificata o identificabile (...) Per stabilire l'identificabilità di una persona è opportuno considerare tutti i mezzi, come l'individuazione, di cui il titolare del trattamento o un terzo può ragionevolmente avvalersi per identificare detta persona fisica direttamente o indirettamente (...)

(...)

(58) Il principio della trasparenza impone che le informazioni destinate al pubblico o all'interessato siano concise, facilmente accessibili e di facile comprensione e che sia usato un linguaggio semplice e chiaro (...)

(...)

(60) I principi di trattamento corretto e trasparente implicano che l'interessato sia informato dell'esistenza del trattamento e delle sue finalità. Il titolare del trattamento dovrebbe fornire all'interessato eventuali ulteriori informazioni necessarie ad assicurare un trattamento corretto e trasparente, prendendo in considerazione le circostanze e il contesto specifici in cui i dati personali sono trattati. (...)

(...)

(63) Un interessato dovrebbe avere il diritto di accedere ai dati personali raccolti che lo riguardano e di esercitare tale diritto facilmente e a intervalli ragionevoli, per essere consapevole del trattamento e verificarne la liceità. (...) Ogni interessato dovrebbe pertanto avere il diritto di conoscere e ottenere comunicazioni in particolare in relazione alla finalità per cui i dati personali sono trattati, ove possibile al periodo in cui i dati personali sono trattati, ai destinatari dei dati personali, alla logica cui risponde qualsiasi trattamento automatizzato dei dati e, almeno quando è basato sulla profilazione, alle possibili conseguenze di tale trattamento. Ove possibile, il titolare del trattamento dovrebbe poter fornire l'accesso remoto a un sistema sicuro che consenta all'interessato di consultare direttamente i propri dati personali. Tale diritto non dovrebbe ledere i diritti e le libertà altrui, compreso il segreto industriale e aziendale e la proprietà intellettuale, segnatamente i diritti d'autore che tutelano il software. (...)».

4. L'articolo 4 di tale regolamento stabilisce quanto segue:

«Ai fini del presente regolamento s'intende per:

1) "dato personale": qualsiasi informazione riguardante una persona fisica identificata o identificabile (...); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all'ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale;

2) "trattamento": qualsiasi operazione o insieme di operazioni, compiute con o senza l'ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali (...);

(...)».

5. L'articolo 12 di detto regolamento, intitolato «Informazioni, comunicazioni e modalità trasparenti per l'esercizio dei diritti dell'interessato», prevede quanto segue:

«1. Il titolare del trattamento adotta misure appropriate per fornire all'interessato tutte le informazioni di cui agli articoli 13 e 14 e le comunicazioni di cui agli articoli da 15 a 22 e all'articolo 34 relative al trattamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro, in particolare nel caso di informazioni destinate specificamente ai minori. Le informazioni sono fornite per iscritto o con altri mezzi, anche, se del caso, con mezzi elettronici. Se richiesto dall'interessato, le informazioni possono essere fornite oralmente, purché sia comprovata con altri mezzi l'identità dell'interessato.

(...)

3. Il titolare del trattamento fornisce all'interessato le informazioni relative all'azione intrapresa riguardo a una richiesta ai sensi degli articoli da 15 a 22 senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa. (...) Se l'interessato presenta la richiesta mediante mezzi elettronici, le informazioni sono fornite, ove possibile, con mezzi elettronici, salvo diversa indicazione dell'interessato.

(...)».

6. Ai sensi dell'articolo 15 del RGPD, intitolato «Diritto di accesso dell'interessato»:

«1. L'interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l'accesso ai dati personali e alle seguenti informazioni:

a) le finalità del trattamento;

b) le categorie di dati personali in questione;

c) i destinatari o le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, in particolare se destinatari di paesi terzi o organizzazioni internazionali;

d) quando possibile, il periodo di conservazione dei dati personali previsto oppure, se non è possibile, i criteri utilizzati per determinare tale periodo;

e) l'esistenza del diritto dell'interessato di chiedere al titolare del trattamento la rettifica o la cancellazione dei dati personali o la limitazione del trattamento dei dati personali che lo riguardano o di opporsi al loro trattamento;

f) il diritto di proporre reclamo a un'autorità di controllo;

g) qualora i dati non siano raccolti presso l'interessato, tutte le informazioni disponibili sulla loro origine;

h) l'esistenza di un processo decisionale automatizzato, compresa la profilazione di cui all'articolo 22, paragrafi 1 e 4, e, almeno in tali casi, informazioni significative sulla logica utilizzata, nonché l'importanza e le conseguenze previste di tale trattamento per l'interessato.

2. Qualora i dati personali siano trasferiti a un paese terzo o a un'organizzazione internazionale, l'interessato ha il diritto di essere informato dell'esistenza di garanzie adeguate ai sensi dell'articolo 46 relative al trasferimento.

3. Il titolare del trattamento fornisce una copia dei dati personali oggetto di trattamento. In caso di ulteriori copie richieste dall'interessato, il titolare del trattamento può addebitare un contributo spese ragionevole basato sui costi amministrativi. Se l'interessato presenta la richiesta mediante mezzi elettronici, e salvo indicazione diversa dell'interessato, le informazioni sono fornite in un formato elettronico di uso comune.

4. Il diritto di ottenere una copia di cui al paragrafo 3 non deve ledere i diritti e le libertà altrui».

7. L'articolo 16 di tale regolamento, intitolato «Diritto di rettifica», stabilisce quanto segue:

«L'interessato ha il diritto di ottenere dal titolare del trattamento la rettifica dei dati personali inesatti che lo riguardano senza ingiustificato ritardo. Tenuto conto delle finalità del trattamento, l'interessato ha il diritto di ottenere l'integrazione dei dati personali incompleti, anche fornendo una dichiarazione integrativa».

8. L'articolo 17 di detto regolamento, intitolato «Diritto alla cancellazione ("diritto all'oblio")», al paragrafo 1 enuncia quanto segue:

«L'interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l'obbligo di cancellare senza ingiustificato ritardo i dati personali (...)

(...)».

Procedimento principale e questioni pregiudiziali

9. La CRIF è un'agenzia di consulenza commerciale che fornisce, su richiesta dei propri clienti, informazioni sulla solvibilità di terzi. A tal fine, essa ha proceduto al trattamento dei dati personali del ricorrente nel procedimento principale.

10. Il 20 dicembre 2018 quest'ultimo ha chiesto alla CRIF, sulla base dell'articolo 15 del RGPD, di avere accesso ai dati personali che lo riguardano. Inoltre, egli ha chiesto la fornitura di una copia dei documenti, ossia i messaggi di posta elettronica e gli estratti di banche dati contenenti, tra l'altro, i suoi dati, «in un usuale formato tecnico».

11. In risposta a tale domanda, la CRIF ha trasmesso al ricorrente nel procedimento principale, in forma sintetica, l'elenco dei suoi dati personali oggetto di trattamento.

12. Ritenendo che la CRIF avrebbe dovuto trasmettergli una copia di tutti i documenti contenenti i suoi dati, quali i messaggi di posta elettronica e gli estratti di banche dati, il ricorrente nel procedimento principale ha presentato un reclamo alla DSB.

13. Con decisione dell'11 settembre 2019, la DSB ha respinto tale reclamo, considerando che la CRIF non aveva violato il diritto di accesso ai dati personali del ricorrente nel procedimento principale.

14. Il giudice del rinvio, investito del ricorso del ricorrente nel procedimento principale avverso tale decisione, si interroga sulla portata dell'articolo 15, paragrafo 3, prima frase, del RGPD. Esso si chiede, in particolare, se l'obbligo previsto da tale disposizione di fornire una «copia» dei dati personali sia soddisfatto qualora il responsabile del trattamento trasmetta i dati personali sotto forma di tabella sintetica oppure se tale obbligo implichi anche la trasmissione di estratti di documenti o addirittura di documenti interi, nonché di estratti di banche dati, nei quali sono riprodotti detti dati.

15. Più precisamente, il giudice a quo solleva la questione se l'articolo 15, paragrafo 3, prima frase, del RGPD si limiti a definire la forma in cui deve essere garantito il diritto di accesso alle informazioni previste all'articolo 15, paragrafo 1, dello stesso regolamento, o se questa prima disposizione sancisca un diritto autonomo dell'interessato di accedere alle informazioni relative al contesto in cui i suoi dati sono trattati, sotto forma di copia di estratti di documenti o addirittura di documenti interi o di estratti di banche dati contenenti, tra l'altro, tali dati.

16. Il giudice del rinvio si chiede, inoltre, se la nozione di «informazioni» che figura all'articolo 15, paragrafo 3, terza frase, del RGPD includa altresì le informazioni previste all'articolo 15, paragrafo 1, lettere da a) a h), di tale regolamento, o addirittura informazioni supplementari quali i metadati relativi ai dati, o se essa comprenda unicamente i «dati personali oggetto di trattamento» di cui all'articolo 15, paragrafo 3, prima frase, di detto regolamento.

17. In tali circostanze, il Bundesverwaltungsgericht (Corte amministrativa federale, Austria) ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali:

«1) Se la nozione di "copia" di cui all'articolo 15, paragrafo 3, del [RGPD] debba essere interpretata nel senso che per essa si intenda una fotocopia o un facsimile oppure una copia elettronica di un dato (elettronico) oppure se in detta nozione, conformemente al significato fornito dai vocabolari tedesco, francese e inglese, rientri anche una "Abschrift", un "double" ("duplicata") o un "transcript".

2) Se l'articolo 15, paragrafo 3, prima frase, del RGPD, secondo il quale "[i]l titolare del trattamento fornisce una copia dei dati personali oggetto di trattamento", debba essere interpretato nel senso che vi è contemplato un diritto dell'interessato ad ottenere una copia - anche - di tutti i documenti nei quali i suoi dati personali sono oggetto di trattamento o una copia di un estratto da una banca dati qualora essa sottoponga a trattamento dati personali oppure nel senso che esso prevede - soltanto - un diritto dell'interessato alla riproduzione fedele all'originale dei dati personali cui occorre concedere l'accesso ai sensi dell'articolo 15, paragrafo 1, del RGPD.

3) Qualora alla seconda questione venga risposto nel senso che sussiste soltanto un diritto dell'interessato alla riproduzione fedele all'originale dei dati personali cui occorre concedere l'accesso ai sensi dell'articolo 15, paragrafo 1, del RGPD, se il suo successivo paragrafo 3, prima frase, debba essere interpretato nel senso che, in funzione della tipologia dei dati oggetto di trattamento [ad esempio, con riguardo a diagnosi, risultati di esami, pareri menzionati dal considerando 63 [del RGPD] oppure anche documenti inerenti ad un esame ai sensi della sentenza della Corte del 20 dicembre 2017, [Nowak] C-434/16, EU:C:2017:994),] e del principio di trasparenza sancito dall'articolo 12, paragrafo 1, del RGPD, può essere nondimeno necessario fornire anche parti di testo o interi documenti all'interessato.

4) Se la nozione di "informazioni" che, ai sensi dell'articolo 15, paragrafo 3, terza frase, del RGPD, "sono fornite in un formato elettronico di uso comune" all'interessato, quando quest'ultimo presenta la richiesta mediante mezzi elettronici, "salvo indicazione diversa dell'interessato" debba essere interpretata nel senso che essa include soltanto i "dati personali oggetto di trattamento" menzionati nella prima frase.

a) In caso di risposta negativa alla quarta questione: se la nozione di "informazioni" che, ai sensi dell'articolo 15, paragrafo 3, terza frase, del RGPD, "sono fornite in un formato elettronico di uso comune" all'interessato, quando quest'ultimo presenta la richiesta mediante mezzi elettronici, «salvo indicazione diversa dell'interessato» debba essere interpretata nel senso che essa include anche le informazioni di cui al precedente paragrafo 1, lettere da a) a h) dello stesso articolo.

b) In caso di risposta negativa alla quarta questione, sub a): se la nozione di "informazioni" che, ai sensi dell'articolo 15, paragrafo 3, terza frase, del RGPD, "sono fornite in un formato elettronico di uso comune" all'interessato, quando quest'ultimo presenta la richiesta mediante mezzi elettronici, "salvo indicazione diversa dell'interessato" debba essere interpretata nel senso che essa include, oltre ai "dati personali oggetto di trattamento" e le informazioni di cui al precedente paragrafo 1, lettere da a) a h), dello stesso articolo, ad esempio, i relativi metadati».

Sulle questioni pregiudiziali

Sulla prima, sulla seconda e sulla terza questione pregiudiziale

18. Con le sue questioni prima, seconda e terza, che occorre esaminare congiuntamente, il giudice del rinvio chiede, in sostanza, se l'articolo 15, paragrafo 3, prima frase, del RGPD, letto alla luce del principio di trasparenza previsto all'articolo 12, paragrafo 1, di tale regolamento, debba essere interpretato nel senso che il diritto di ottenere una copia dei dati personali oggetto di trattamento implica che sia consegnata all'interessato non solo una copia di tali dati, ma anche una copia degli estratti di documenti o addirittura di documenti interi o, ancora, di estratti di banche dati contenenti, tra l'altro, tali dati. Detto giudice si interroga, in particolare, sulla portata di tale diritto.

19. Occorre ricordare in via preliminare che, conformemente a una giurisprudenza costante della Corte, ai fini dell'interpretazione di una norma del diritto dell'Unione, si deve tener conto non soltanto dei termini della stessa, secondo il loro significato abituale nel linguaggio corrente, ma anche del suo contesto e degli scopi perseguiti dalla normativa di cui essa fa parte [v., in tal senso, sentenze del 2 dicembre 2021, Vodafone Kabel Deutschland, C-484/20, EU:C:2021:975, punto 19 e giurisprudenza ivi citata, nonché del 7 settembre 2022, Staatssecretaris van Justitie en Veiligheid (Natura del diritto di soggiorno ai sensi dell'articolo 20 TFUE), C-624/20, EU:C:2022:639, punto 28].

20. Per quanto riguarda la formulazione dell'articolo 15, paragrafo 3, prima frase, del RGPD, tale disposizione enuncia che il titolare del trattamento «fornisce una copia dei dati personali oggetto di trattamento».

21. Sebbene il RGPD non contenga alcuna definizione della nozione di «copia» così utilizzata, si deve tener conto del significato abituale di questo termine, il quale designa, come rilevato dall'avvocato generale al paragrafo 30 delle sue conclusioni, la riproduzione o la trascrizione fedele di un originale, cosicché una descrizione puramente generale dei dati oggetto di trattamento o un rinvio a categorie di dati personali non corrisponderebbe a detta definizione. Inoltre, dalla formulazione dell'articolo 15, paragrafo 3, prima frase, di tale regolamento risulta che l'obbligo di comunicazione si ricollega ai dati personali oggetto del trattamento di cui trattasi.

22. L'articolo 4, punto 1, del RGPD definisce la nozione di «dato personale» nel senso che essa designa «qualsiasi informazione riguardante una persona fisica identificata o identificabile» e precisa che «si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all'ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale».

23. L'uso dell'espressione «qualsiasi informazione» nella definizione della nozione di «dato personale», che figura in tale disposizione, riflette l'obiettivo del legislatore dell'Unione di attribuire un'accezione estesa a tale nozione, che comprende potenzialmente ogni tipo di informazioni, tanto oggettive quanto soggettive, sotto forma di pareri o di valutazioni, a condizione che esse «riguardino» la persona interessata (v., per analogia, sentenza del 20 dicembre 2017, Nowak, C-434/16, EU:C:2017:994, punto 34).

24. È stato dichiarato, in proposito, che un'informazione riguarda una persona fisica identificata o identificabile qualora, in ragione del suo contenuto, della sua finalità o del suo effetto, essa sia connessa a una persona identificabile (v., in tal senso, sentenza del 20 dicembre 2017, Nowak, C-434/16, EU:C:2017:994, punto 35).

25. Quanto al carattere «identificabile» di una persona fisica, il considerando 26 del RGPD precisa che occorre prendere in considerazione «tutti i mezzi, come l'individuazione, di cui il titolare del trattamento o un terzo può ragionevolmente avvalersi per identificare detta persona fisica direttamente o indirettamente».

26. Pertanto, come rilevato, in sostanza, dall'avvocato generale ai paragrafi da 36 a 39 delle sue conclusioni, l'ampia definizione della nozione di «dati personali» non comprende soltanto i dati raccolti e conservati dal titolare del trattamento, ma include altresì tutte le informazioni risultanti da un trattamento di dati personali che riguardano una persona identificata o identificabile, quali la valutazione della sua solvibilità o della sua disponibilità a pagare.

27. In tale contesto, si deve aggiungere che il legislatore dell'Unione ha inteso attribuire alla nozione di «trattamento», quale definita all'articolo 4, punto 2, del RGPD, una portata ampia, ricorrendo ad un elenco di operazioni non esaustivo [v., in tal senso, sentenza del 24 febbraio 2022, Valsts ieņēmumu dienests (Trattamento di dati personali a fini fiscali), C-175/20, EU:C:2022:124, punto 35].

28. Pertanto, dall'analisi testuale dell'articolo 15, paragrafo 3, prima frase, del RGPD risulta che tale disposizione conferisce all'interessato il diritto di ottenere una riproduzione fedele dei suoi dati personali, intesi in senso ampio, che siano oggetto di operazioni qualificabili come trattamento effettuato dal titolare di tale trattamento.

29. Ciò premesso, si deve constatare che il testo della medesima disposizione non consente di per sé di rispondere alle prime tre questioni, in quanto non contiene alcuna indicazione in merito ad un eventuale diritto di ottenere non solo una copia dei dati personali oggetto di trattamento, ma anche una copia degli estratti di documenti o addirittura di documenti interi o, ancora, di estratti di banche dati contenenti, tra l'altro, tali dati.

30. Per quanto concerne il contesto in cui si inserisce l'articolo 15, paragrafo 3, prima frase, del RGPD, occorre rilevare che lo stesso articolo, intitolato «diritto di accesso dell'interessato», definisce, al paragrafo 1, l'oggetto e l'ambito di applicazione del diritto di accesso riconosciuto all'interessato e sancisce il diritto di quest'ultimo di ottenere dal titolare del trattamento l'accesso ai suoi dati personali nonché le informazioni di cui alle lettere da a) a h) di tale paragrafo.

31. L'articolo 15, paragrafo 3, del RGPD precisa le modalità pratiche di esecuzione dell'obbligo che incombe al titolare del trattamento, specificando in particolare, nella prima frase, la forma in cui tale titolare deve fornire i «dati personali oggetto di trattamento», vale a dire sotto forma di una «copia». Inoltre, tale paragrafo enuncia, nella terza frase, che le informazioni sono fornite in un formato elettronico di uso comune quando la richiesta è presentata mediante mezzi elettronici, salvo indicazione diversa dell'interessato.

32. Di conseguenza, l'articolo 15 del RGPD non può essere interpretato nel senso che sancisce, al paragrafo 3, prima frase, un diritto distinto da quello previsto al paragrafo 1. Inoltre, come rilevato dalla Commissione europea nelle sue osservazioni scritte, il termine «copia» non si riferisce a un documento in quanto tale, ma ai dati personali che esso contiene e che devono essere completi. La copia deve quindi contenere tutti i dati personali oggetto di trattamento.

33. Per quanto riguarda gli obiettivi perseguiti dall'articolo 15 del RGPD, occorre rilevare che quest'ultimo ha ad oggetto, come precisa il suo considerando 11, il rafforzamento e la disciplina dettagliata dei diritti degli interessati. Il medesimo articolo prevede, al riguardo, un diritto di ottenere una copia, a differenza dell'articolo 12, lettera a), secondo trattino, della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU 1995, L 281, pag. 31), che si limitava a richiedere una «comunicazione in forma intelligibile dei dati che sono oggetto dei trattamenti». Il considerando 63 del RGPD precisa, a sua volta, che «[u]n interessato dovrebbe avere il diritto di accedere ai dati personali raccolti che la riguardano e di esercitare tale diritto facilmente e a intervalli ragionevoli, per essere consapevole del trattamento e verificarne la liceità».

34. Pertanto, il diritto di accesso di cui all'articolo 15 del RGPD deve consentire all'interessato di verificare che i dati personali che lo riguardano siano corretti e trattati in modo lecito [v., in tal senso, sentenza del 12 gennaio 2023, Österreichische Post (Informazioni relative ai destinatari dei dati personali), C-154/21, EU:C:2023:3, punto 37 e giurisprudenza ivi citata].

35. In particolare, tale diritto di accesso è necessario affinché l'interessato possa esercitare, se del caso, il suo diritto di rettifica, il suo diritto alla cancellazione («diritto all'oblio») e il suo diritto di limitazione di trattamento, diritti questi che gli sono riconosciuti, rispettivamente, dagli articoli 16, 17 e 18 del RGPD, il suo diritto di opposizione al trattamento dei suoi dati personali, previsto all'articolo 21 del RGPD, nonché il suo diritto di agire in giudizio nel caso in cui subisca un danno, previsto agli articoli 79 e 82 del RGPD [sentenza del 12 gennaio 2023, Österreichische Post (Informazioni relative ai destinatari dei dati personali), C-154/21, EU:C:2023:3, punto 38 e giurisprudenza ivi citata].

36. Occorre altresì rilevare che il considerando 60 del RGPD stabilisce che i principi di trattamento corretto e trasparente implicano che l'interessato sia informato dell'esistenza del trattamento e delle sue finalità, sottolineando che il titolare del trattamento dovrebbe fornire eventuali ulteriori informazioni necessarie ad assicurare un trattamento corretto e trasparente, prendendo in considerazione le circostanze e il contesto specifici in cui i dati personali sono trattati.

37. Inoltre, conformemente al principio di trasparenza, menzionato dal giudice del rinvio, cui fa riferimento il considerando 58 del RGPD e che sancisce espressamente l'articolo 12, paragrafo 1, del medesimo, le informazioni destinate all'interessato devono essere concise, facilmente accessibili e di facile comprensione, e formulate in un linguaggio semplice e chiaro.

38. Come rilevato dall'avvocato generale ai paragrafi 54 e 55 delle sue conclusioni, da detta disposizione emerge che il titolare del trattamento è tenuto ad adottare misure appropriate per fornire all'interessato tutte le informazioni di cui, in particolare, all'articolo 15 del RGPD, in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro, e che le informazioni devono essere fornite per iscritto o con altri mezzi, anche, se del caso, con mezzi elettronici, a meno che non sia l'interessato a chiedere che esse siano fornite oralmente. Tale disposizione, che è l'espressione del principio di trasparenza, ha lo scopo di garantire che l'interessato sia messo in grado di comprendere pienamente le informazioni che gli vengono inviate.

39. Ne consegue che la copia dei dati personali oggetto di trattamento, che il titolare del trattamento è tenuto a fornire ai sensi dell'articolo 15, paragrafo 3, prima frase, del RGPD, deve presentare tutte le caratteristiche che consentano all'interessato di esercitare effettivamente i suoi diritti a norma di tale regolamento e, pertanto, deve riprodurre integralmente e fedelmente tali dati.

40. Detta interpretazione corrisponde all'obiettivo del regolamento in parola, il quale mira in particolare, come emerge dal suo considerando 10, a garantire un livello elevato di protezione delle persone fisiche all'interno dell'Unione e, a tal fine, ad assicurare un'applicazione coerente e omogenea delle norme a protezione delle libertà e dei diritti fondamentali di tali persone con riguardo al trattamento dei dati personali in tutta l'Unione (v., in tal senso, sentenza del 9 febbraio 2023, X-FAB Dresden, C-453/20, EU:C:2023:79, punto 25 e giurisprudenza ivi citata).

41. Infatti, per garantire che le informazioni così fornite siano facilmente comprensibili, come richiede l'articolo 12, paragrafo 1, del RGPD, in combinato disposto con il considerando 58 di tale regolamento, la riproduzione di estratti di documenti o addirittura di documenti interi o, ancora, di estratti di banche dati contenenti, tra l'altro, i dati personali oggetto di trattamento può rivelarsi indispensabile, come osservato dall'avvocato generale ai paragrafi 57 e 58 delle sue conclusioni, nel caso in cui la contestualizzazione dei dati trattati sia necessaria per garantirne l'intelligibilità.

42. In particolare, quando si generano dati personali a partire da altri dati o quando dati del genere derivano da campi a testo libero, vale a dire, da una mancanza di indicazioni che rivelino un'informazione sull'interessato, il contesto in cui tali dati sono oggetto di trattamento è un elemento indispensabile per consentire all'interessato di disporre di un accesso trasparente e di una presentazione intelligibile di tali dati.

43. Inoltre, ai sensi dell'articolo 15, paragrafo 4, del RGPD, in combinato disposto con il considerando 63 del medesimo, il diritto di ottenere una copia di cui al paragrafo 3 non dovrebbe ledere i diritti e le libertà altrui, compreso il segreto industriale e aziendale e la proprietà intellettuale, segnatamente i diritti d'autore che tutelano il software.

44. Pertanto, come sottolineato dall'avvocato generale al paragrafo 61 delle sue conclusioni, in caso di conflitto tra, da un lato, l'esercizio del diritto di accesso pieno e completo ai dati personali e, dall'altro, i diritti o le libertà altrui, occorre effettuare un bilanciamento tra i diritti e le libertà in questione. Ove possibile, si devono scegliere modalità di comunicazione di dati personali che non ledano i diritti o le libertà altrui, tenendo conto del fatto che tali considerazioni non devono «condurre a un diniego a fornire all'interessato tutte le informazioni», come risulta dal considerando 63 del RGPD.

45. Alla luce delle considerazioni che precedono, si deve rispondere alla prima, alla seconda e alla terza questione pregiudiziale dichiarando che l'articolo 15, paragrafo 3, prima frase, del RGPD

deve essere interpretato nel senso che:

il diritto di ottenere dal titolare del trattamento una copia dei dati personali oggetto di trattamento implica che sia consegnata all'interessato una riproduzione fedele e intelligibile dell'insieme di tali dati. Detto diritto presuppone quello di ottenere copia di estratti di documenti o addirittura di documenti interi o, ancora, di estratti di banche dati contenenti, tra l'altro, tali dati, se la fornitura di una siffatta copia è indispensabile per consentire all'interessato di esercitare effettivamente i diritti conferitigli da tale regolamento, fermo restando che occorre tener conto, al riguardo, dei diritti e delle libertà altrui.

Sulla quarta questione pregiudiziale

46. Con tale questione, il giudice del rinvio chiede, in sostanza, se l'articolo 15, paragrafo 3, terza frase, del RGPD debba essere interpretato nel senso che la nozione di «informazioni» ivi menzionata si riferisce esclusivamente ai dati personali di cui il titolare del trattamento deve fornire una copia in applicazione della prima frase di tale paragrafo, o se essa rinvii anche all'insieme delle informazioni indicate nel paragrafo 1 di tale articolo, o addirittura includa altri elementi, quali i metadati.

47. Come ricordato al punto 19 della presente sentenza, ai fini dell'interpretazione di una norma del diritto dell'Unione, occorre tener conto non soltanto dei termini della stessa, ma anche del suo contesto e degli scopi perseguiti dalla normativa di cui essa fa parte.

48. In proposito, sebbene l'articolo 15, paragrafo 3, terza frase, del RGPD si limiti ad indicare che, «se l'interessato presenta la richiesta mediante mezzi elettronici, (...) le informazioni sono fornite in un formato elettronico di uso comune», senza precisare cosa debba intendersi con il termine «informazioni», la prima frase di tale paragrafo enuncia che «[i]l titolare del trattamento fornisce una copia dei dati personali oggetto di trattamento».

49. Pertanto, dal contesto dell'articolo 15, paragrafo 3, terza frase, del RGPD emerge che le «informazioni» cui esso si riferisce corrispondono necessariamente ai dati personali di cui il titolare del trattamento deve fornire una copia conformemente alla prima frase di tale paragrafo.

50. Un'interpretazione del genere è confermata dagli obiettivi perseguiti dall'articolo 15, paragrafo 3, del RGPD, che, come ricordato al punto 31 della presente sentenza, consistono nel definire le modalità pratiche di esecuzione dell'obbligo per il titolare del trattamento di fornire una copia dei dati personali oggetto di trattamento. Di conseguenza, detta disposizione non crea un diritto distinto da quello di cui beneficia l'interessato di ottenere una riproduzione fedele e intelligibile di tali dati che gli consenta di esercitare effettivamente i diritti conferitigli dal regolamento in parola.

51. Orbene, si deve rilevare che nessuna disposizione di detto regolamento stabilisce una disparità di trattamento di una domanda a seconda della forma in cui questa è presentata, cosicché la portata del diritto di ottenere una copia non può variare in funzione di tale forma.

52. Inoltre, occorre altresì notare che, conformemente all'articolo 12, paragrafo 3, del RGPD, se la richiesta è presentata mediante mezzi elettronici, le informazioni di cui al suddetto articolo 15, anche quelle menzionate ai punti da a) a h) del paragrafo 1 di detto articolo, sono fornite con mezzi elettronici, salvo diversa indicazione dell'interessato.

53. Alla luce delle considerazioni che precedono, si deve rispondere alla quarta questione pregiudiziale dichiarando che l'articolo 15, paragrafo 3, terza frase, del RGPD

deve essere interpretato nel senso che:

la nozione di «informazioni» ivi menzionata si riferisce esclusivamente ai dati personali di cui il titolare del trattamento deve fornire una copia in applicazione della prima frase di tale paragrafo.

Sulle spese

54. Nei confronti delle parti nel procedimento principale la presente causa costituisce un incidente sollevato dinanzi al giudice del rinvio, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.

P.Q.M.
la Corte (Prima Sezione) dichiara:

1) L'articolo 15, paragrafo 3, prima frase, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), deve essere interpretato nel senso che il diritto di ottenere dal titolare del trattamento una copia dei dati personali oggetto di trattamento implica che sia consegnata all'interessato una riproduzione fedele e intelligibile dell'insieme di tali dati. Detto diritto presuppone quello di ottenere copia di estratti di documenti o addirittura di documenti interi o, ancora, di estratti di banche dati contenenti, tra l'altro, tali dati, se la fornitura di una siffatta copia è indispensabile per consentire all'interessato di esercitare effettivamente i diritti conferitigli da tale regolamento, fermo restando che occorre tener conto, al riguardo, dei diritti e delle libertà altrui.

2) L'articolo 15, paragrafo 3, terza frase, del regolamento 2016/679 deve essere interpretato nel senso che la nozione di «informazioni» ivi menzionata si riferisce esclusivamente ai dati personali di cui il titolare del trattamento deve fornire una copia in applicazione della prima frase di tale paragrafo.

A. Bartolini e al. (curr.)

Le riforme amministrative

Il Mulino, 2024

F. Tundo (cur.)

Codice tributario

La Tribuna, 2024

A. Di Majo

Codice civile

Giuffrè, 2024