Corte di giustizia dell'Unione Europea
Prima Sezione
Sentenza 26 ottobre 2023

«Rinvio pregiudiziale - Trattamento dei dati personali - Regolamento (UE) 2016/679 - Articoli 12, 15 e 23 - Diritto di accesso dell'interessato ai suoi dati oggetto di trattamento - Diritto di ottenere gratuitamente una prima copia di tali dati - Trattamento di dati di un paziente da parte del suo medico - Cartella medica - Motivi della richiesta di accesso - Utilizzo dei dati al fine di far valere la responsabilità del professionista sanitario - Nozione di "copia"».

Nella causa C-307/22, avente ad oggetto la domanda di pronuncia pregiudiziale proposta alla Corte, ai sensi dell'articolo 267 TFUE, dal Bundesgerichtshof (Corte federale di giustizia, Germania), con decisione del 29 marzo 2022, pervenuta in cancelleria il 10 maggio 2022, nel procedimento FT contro DW.

[...]

1. La presente domanda di pronuncia pregiudiziale verte sull'interpretazione dell'articolo 12, paragrafo 5, dell'articolo 15, paragrafo 3, e dell'articolo 23, paragrafo 1, lettera i), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1, in prosieguo: il «RGPD»).

2. Tale domanda è stata presentata nell'ambito di una controversia tra FT e DW, in merito al rifiuto di FT, medico dentista, di trasmettere al suo paziente una prima copia della sua cartella medica a titolo gratuito.

Contesto normativo

Diritto dell'Unione

3. Ai sensi del considerando 4 del RGPD:

«(...) Il diritto alla protezione dei dati di carattere personale non è una prerogativa assoluta, ma va considerato alla luce della sua funzione sociale e va contemperato con altri diritti fondamentali, in ossequio al principio di proporzionalità. Il presente regolamento rispetta tutti i diritti fondamentali e osserva le libertà e i principi riconosciuti dalla [Carta dei diritti fondamentali dell'Unione europea], sanciti dai trattati, in particolare (...) la libertà d'impresa (...)».

4. I considerando 10 e 11 del RGPD così recitano:

«(10) Al fine di assicurare un livello coerente ed elevato di protezione delle persone fisiche e rimuovere gli ostacoli alla circolazione dei dati personali all'interno dell'Unione [europea], il livello di protezione dei diritti e delle libertà delle persone fisiche con riguardo al trattamento di tali dati dovrebbe essere equivalente in tutti al trattamento di tali dati dovrebbe essere equivalente in tutti gli Stati membri. (...)

(11) Un'efficace protezione dei dati personali in tutta l'Unione presuppone il rafforzamento e la disciplina dettagliata dei diritti degli interessati e degli obblighi di coloro che effettuano e determinano il trattamento dei dati personali, (...)».

5. In forza del considerando 13 del RGPD:

«(...) [L]e istituzioni e gli organi dell'Unione e gli Stati membri e le loro autorità di controllo sono invitati a considerare le esigenze specifiche delle micro, piccole e medie imprese nell'applicare il presente regolamento. (...)».

6. Il considerando 58 del RGPD precisa quanto segue:

«Il principio della trasparenza impone che le informazioni destinate al pubblico o all'interessato siano concise, facilmente accessibili e di facile comprensione e che sia usato un linguaggio semplice e chiaro, oltre che, se del caso, una visualizzazione. Tali informazioni potrebbero essere fornite in formato elettronico, ad esempio, se destinate al pubblico, attraverso un sito web. Ciò è particolarmente utile in situazioni in cui la molteplicità degli operatori coinvolti e la complessità tecnologica dell'operazione fanno sì che sia difficile per l'interessato comprendere se, da chi e per quali finalità sono raccolti dati personali che lo riguardano, quali la pubblicità online. Dato che i minori meritano una protezione specifica, quando il trattamento dati li riguarda, qualsiasi informazione e comunicazione dovrebbe utilizzare un linguaggio semplice e chiaro che un minore possa capire facilmente».

7. Come prevede il considerando 59 del RGPD:

«È opportuno prevedere modalità volte ad agevolare l'esercizio, da parte dell'interessato, dei diritti di cui al presente regolamento, compresi i meccanismi per richiedere e, se del caso, ottenere gratuitamente, in particolare l'accesso ai dati, la loro rettifica e cancellazione e per esercitare il diritto di opposizione (...)».

8. Il considerando 63 del RGPD è così formulato:

«Un interessato dovrebbe avere il diritto di accedere ai dati personali raccolti che l[o] riguardano e di esercitare tale diritto facilmente e a intervalli ragionevoli, per essere consapevole del trattamento e verificarne la liceità. Ciò include il diritto di accedere ai dati relativi alla salute, ad esempio le cartelle mediche contenenti informazioni quali diagnosi, risultati di esami, pareri di medici curanti o eventuali terapie o interventi praticati (...)».

9. L'articolo 4 del RGPD prevede quanto segue:

«Ai fini del presente regolamento s'intende per:

1) "dato personale": qualsiasi informazione riguardante una persona fisica identificata o identificabile ("interessato"); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all'ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale;

2) "trattamento": qualsiasi operazione o insieme di operazioni, compiute con o senza l'ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l'organizzazione, la strutturazione, la conservazione, l'adattamento o la modifica, l'estrazione, la consultazione, l'uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l'interconnessione, la limitazione, la cancellazione o la distruzione;

(...)».

10. L'articolo 12 del RGPD così dispone:

«1. Il titolare del trattamento adotta misure appropriate per fornire all'interessato tutte le informazioni di cui agli articoli 13 e 14 e le comunicazioni di cui agli articoli da 15 a 22 e all'articolo 34 relative al trattamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro, in particolare nel caso di informazioni destinate specificamente ai minori. Le informazioni sono fornite per iscritto o con altri mezzi, anche, se del caso, con mezzi elettronici. Se richiesto dall'interessato, le informazioni possono essere fornite oralmente, purché sia comprovata con altri mezzi l'identità dell'interessato.

2. Il titolare del trattamento agevola l'esercizio dei diritti dell'interessato ai sensi degli articoli da 15 a 22. (...)

(...)

5. Le informazioni fornite ai sensi degli articoli 13 e 14 ed eventuali comunicazioni e azioni intraprese ai sensi degli articoli da 15 a 22 e dell'articolo 34 sono gratuite. Se le richieste dell'interessato sono manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, il titolare del trattamento può:

a) addebitare un contributo spese ragionevole tenendo conto dei costi amministrativi sostenuti per fornire le informazioni o la comunicazione o intraprendere l'azione richiesta; oppure

b) rifiutare di soddisfare la richiesta.

Incombe al titolare del trattamento l'onere di dimostrare il carattere manifestamente infondato o eccessivo della richiesta.

(...)».

11. L'articolo 15 del RGPD così dispone:

«1. L'interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l'accesso ai dati personali e alle seguenti informazioni:

a) le finalità del trattamento,

b) le categorie di dati personali in questione;

c) i destinatari o le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, in particolare se destinatari di paesi terzi o organizzazioni internazionali;

d) quando possibile, il periodo di conservazione dei dati personali previsto oppure, se non è possibile, i criteri utilizzati per determinare tale periodo;

e) l'esistenza del diritto dell'interessato di chiedere al titolare del trattamento la rettifica o la cancellazione dei dati personali o la limitazione del trattamento dei dati personali che lo riguardano o di opporsi al loro trattamento;

f) il diritto di proporre reclamo a un'autorità di controllo;

g) qualora i dati non siano raccolti presso l'interessato, tutte le informazioni disponibili sulla loro origine;

h) l'esistenza di un processo decisionale automatizzato, compresa la profilazione di cui all'articolo 22, paragrafi 1 e 4, e, almeno in tali casi, informazioni significative sulla logica utilizzata, nonché l'importanza e le conseguenze previste di tale trattamento per l'interessato.

2. Qualora i dati personali siano trasferiti a un paese terzo o a un'organizzazione internazionale, l'interessato ha il diritto di essere informato dell'esistenza di garanzie adeguate ai sensi dell'articolo 46 relative al trasferimento.

3. Il titolare del trattamento fornisce una copia dei dati personali oggetto di trattamento. In caso di ulteriori copie richieste dall'interessato, il titolare del trattamento può addebitare un contributo spese ragionevole basato sui costi amministrativi. Se l'interessato presenta la richiesta mediante mezzi elettronici, e salvo indicazione diversa dell'interessato, le informazioni sono fornite in un formato elettronico di uso comune.

4. Il diritto di ottenere una copia di cui al paragrafo 3 non deve ledere i diritti e le libertà altrui».

12. Gli articoli 16 e 17 di detto regolamento sanciscono, rispettivamente, il diritto dell'interessato di ottenere la rettifica dei dati personali inesatti (diritto di rettifica), nonché il diritto, in determinate circostanze, alla cancellazione di tali dati (diritto alla cancellazione o «diritto all'oblio»).

13. L'articolo 18 del medesimo regolamento, intitolato «Diritto di limitazione di trattamento», al paragrafo 1 così dispone:

«L'interessato ha il diritto di ottenere dal titolare del trattamento la limitazione del trattamento quando ricorre una delle seguenti ipotesi:

a) l'interessato contesta l'esattezza dei dati personali, per il periodo necessario al titolare del trattamento per verificare l'esattezza di tali dati personali;

b) il trattamento è illecito e l'interessato si oppone alla cancellazione dei dati personali e chiede invece che ne sia limitato l'utilizzo;

c) benché il titolare del trattamento non ne abbia più bisogno ai fini del trattamento, i dati personali sono necessari all'interessato per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria;

d) l'interessato si è opposto al trattamento ai sensi dell'articolo 21, paragrafo 1, in attesa della verifica in merito all'eventuale prevalenza dei motivi legittimi del titolare del trattamento rispetto a quelli dell'interessato».

14. L'articolo 21 del RGPD, intitolato «Diritto di opposizione», al paragrafo 1 prevede quanto segue:

«L'interessato ha il diritto di opporsi in qualsiasi momento, per motivi connessi alla sua situazione particolare, al trattamento dei dati personali che lo riguardano ai sensi dell'articolo 6, paragrafo 1, lettere e) o f), compresa la profilazione sulla base di tali disposizioni. Il titolare del trattamento si astiene dal trattare ulteriormente i dati personali salvo che egli dimostri l'esistenza di motivi legittimi cogenti per procedere al trattamento che prevalgono sugli interessi, sui diritti e sulle libertà dell'interessato oppure per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria».

15. Ai sensi dell'articolo 23, paragrafo 1, del RGPD:

«Il diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento o il responsabile del trattamento può limitare, mediante misure legislative, la portata degli obblighi e dei diritti di cui agli articoli da 12 a 22 e 34, nonché all'articolo 5, nella misura in cui le disposizioni ivi contenute corrispondano ai diritti e agli obblighi di cui agli articoli da 12 a 22, qualora tale limitazione rispetti l'essenza dei diritti e delle libertà fondamentali e sia una misura necessaria e proporzionata in una società democratica per salvaguardare:

(...)

i) la tutela dell'interessato o dei diritti e delle libertà altrui;

(...)».

Diritto tedesco

16. Ai sensi dell'articolo 630f del Bürgerliches Gesetzbuch (codice civile; in prosieguo: il «BGB»), il professionista sanitario è obbligato a tenere, a fini di documentazione, una cartella medica in forma cartacea o elettronica, in diretta relazione temporale con il trattamento. Il professionista sanitario è tenuto a registrare nella cartella medica del paziente tutte le misure essenziali dal punto di vista medico per il trattamento in corso e futuro, nonché i relativi risultati, segnatamente, l'anamnesi, le diagnosi, gli esami, i risultati di esami, le conclusioni, le terapie e i loro effetti, gli interventi e i loro effetti, i consensi e le informazioni. Il professionista sanitario deve conservare la documentazione del paziente per dieci anni dopo la conclusione del trattamento, sempre che altre disposizioni non impongano periodi di conservazione diversi.

17. Ai sensi dell'articolo 630g, paragrafo 1, prima frase, del BGB, al paziente deve essere concesso, su richiesta, l'accesso immediato all'intera cartella medica che lo riguarda, purché motivi terapeutici importanti o altri diritti rilevanti di terzi non ostino alla consultazione. Ai sensi dell'articolo 630g, paragrafo 2, prima frase, del BGB, il paziente può anche richiedere copie elettroniche della cartella medica. Tenuto conto della motivazione della legge, ciò deve essere inteso nel senso che il paziente può pretendere a scelta la produzione di copie fisiche o elettroniche. L'articolo 630g, paragrafo 2, seconda frase, del BGB prevede che il paziente debba rimborsare al professionista sanitario i costi sostenuti.

Procedimento principale e questioni pregiudiziali

18. DW ha ricevuto cure dentistiche da FT. Sospettando che fossero stati commessi errori durante il trattamento che gli è stato somministrato, DW ha chiesto a FT la consegna, a titolo gratuito, di una prima copia della sua cartella medica. FT ha comunicato a DW che avrebbe risposto favorevolmente alla sua richiesta solo a condizione che si facesse carico delle spese connesse alla fornitura della copia della cartella medica, come previsto dal diritto nazionale.

19. DW ha proposto un ricorso contro FT. In primo grado e in appello è stata accolta la domanda di DW diretta ad ottenere, a titolo gratuito, una prima copia della sua cartella medica. Tali decisioni si basavano su un'interpretazione della normativa nazionale applicabile alla luce dell'articolo 12, paragrafo 5, nonché dell'articolo 15, paragrafi 1 e 3, del RGPD.

20. Il Bundesgerichtshof (Corte federale di giustizia, Germania), investito di un ricorso per cassazione («Revision») da FT, ritiene che la soluzione della controversia dipenda dall'interpretazione che occorre dare alle disposizioni del RGPD.

21. Il giudice del rinvio rileva che, in forza del diritto nazionale, il paziente può ottenere una copia della sua cartella medica, a condizione di rimborsare al professionista sanitario le spese che ne risultano.

22. Tuttavia, dall'articolo 15, paragrafo 3, prima frase, in combinato disposto con l'articolo 12, paragrafo 5, prima frase, del RGPD, potrebbe discendere che il titolare del trattamento, nel caso di specie il professionista sanitario, sia tenuto a trasmettere al paziente una prima copia della sua cartella medica a titolo gratuito.

23. In primo luogo, il giudice del rinvio rileva che DW chiede una prima copia della sua cartella medica al fine di far valere la responsabilità di FT. Una siffatta finalità sarebbe estranea a quella di cui al considerando 63 del RGPD, che prevede il diritto di accedere ai dati personali per essere consapevole del trattamento di tali dati e verificarne la liceità. Tuttavia, la formulazione dell'articolo 15 del RGPD non subordinerebbe a siffatti motivi l'esercizio del diritto alla comunicazione. Inoltre, tale disposizione non imporrebbe all'interessato di motivare la sua richiesta di comunicazione.

24. In secondo luogo, il giudice del rinvio sottolinea che l'articolo 23, paragrafo 1, del RGPD consente l'adozione di misure legislative nazionali che limitino la portata degli obblighi e dei diritti di cui agli articoli da 12 a 22 di tale regolamento al fine di garantire uno degli obiettivi previsti da detta disposizione. Nel caso di specie, FT invocherebbe l'obiettivo della tutela dei diritti e delle libertà altrui di cui all'articolo 23, paragrafo 1, lettera i), del RGPD e farebbe valere che il regime tariffario di cui all'articolo 630g, paragrafo 2, seconda frase, del BGB sia una misura necessaria e proporzionata al fine di tutelare i legittimi interessi dei professionisti sanitari, che consentirebbe, di norma, di prevenire richieste di copia immotivate da parte dei pazienti interessati.

25. Tuttavia, da un lato, l'articolo 630g, paragrafo 2, seconda frase, del BGB è stato adottato prima dell'entrata in vigore del RGPD.

26. Dall'altro lato, il regime tariffario di cui all'articolo 630g, paragrafo 2, seconda frase, del BGB mira, principalmente, a tutelare gli interessi economici dei professionisti sanitari. Occorrerebbe quindi stabilire se l'interesse di questi ultimi ad essere liberati dai costi e dagli oneri connessi alla consegna delle copie di dati rientri tra i diritti e le libertà altrui ai sensi dell'articolo 23, paragrafo 1, lettera i), del RGPD. Peraltro, il trasferimento sistematico ai pazienti delle spese connesse alle copie delle loro cartelle mediche potrebbe apparire eccessivo, in quanto non terrebbe conto dell'importo dei costi effettivamente sostenuti né delle circostanze specifiche di ciascuna richiesta.

27. In terzo luogo, nei limiti in cui DW chiede la consegna di una copia di tutta la documentazione medica che lo riguarda, e quindi della sua cartella medica, il giudice del rinvio si interroga sulla portata del diritto di ottenere una copia dei dati personali oggetto di trattamento, quale sancito all'articolo 15, paragrafo 3, del RGPD. A tale riguardo, detto diritto potrebbe essere soddisfatto mediante la comunicazione di una sintesi dei dati trattati dal medico. Tuttavia, emerge che gli obiettivi di trasparenza e di controllo di liceità previsti dal RGPD depongono a favore della comunicazione di una copia di tutti i dati di cui il titolare del trattamento dispone in forma grezza, vale a dire di tutta la documentazione medica riguardante il paziente nei limiti in cui contiene siffatti dati.

28. In tali circostanze, il Bundesgerichtshof (Corte federale di giustizia) ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali:

«1) Se l'articolo 15, paragrafo 3, prima frase, in combinato disposto con l'articolo 12, paragrafo 5, del [RGPD], debba essere interpretato nel senso che il titolare del trattamento (nella fattispecie il medico curante) non è tenuto a fornire gratuitamente all'interessato (nella fattispecie il paziente) una prima copia dei dati personali riguardanti quest'ultimo, trattati dal titolare del trattamento, qualora l'interessato non richieda la copia per perseguire le finalità di cui al considerando 63, prima frase, del RGPD, vale a dire per essere consapevole del trattamento e verificarne la liceità, bensì per perseguire una finalità diversa, non legata alla protezione dei dati ma lecita (nella fattispecie, la verifica della sussistenza di diritti in materia di responsabilità del medico).

2) In caso di risposta negativa alla prima questione:

a) Se anche una disposizione nazionale di uno Stato membro adottata prima dell'entrata in vigore del RGPD possa essere considerata come una limitazione del diritto derivante dall'articolo 15, paragrafo 3, prima frase in combinato disposto con l'articolo 12, paragrafo 5, del RGPD, alla messa a disposizione gratuita di una copia dei dati personali trattati dal titolare del trattamento ai sensi dell'articolo 23, paragrafo 1, lettera i), del RGPD.

b) In caso di risposta affermativa alla seconda questione, sub a), se l'articolo 23, paragrafo 1, lettera i), del RGPD debba essere interpretato nel senso che i diritti e le libertà altrui ivi menzionati comprendono anche l'interesse degli stessi allo sgravio dai costi connessi alla fornitura di una copia dei dati ai sensi dell'articolo 15, paragrafo 3, prima frase del medesimo regolamento e delle altre spese derivanti dalla messa a disposizione della copia.

c) In caso di risposta affermativa alla seconda questione, sub b), se una normativa nazionale che nel rapporto medico-paziente preveda sempre, e indipendentemente dalle circostanze concrete del caso di specie, un diritto al rimborso delle spese da parte del medico nei confronti del paziente in caso di consegna a quest'ultimo di una copia dei dati personali che figurano nella sua cartella medica possa essere considerata una limitazione, ai sensi dell'articolo 23, paragrafo 1, lettera i) del RGPD, degli obblighi e dei diritti derivanti dall'articolo 15, paragrafo 3, prima frase, in combinato disposto con l'articolo 12, paragrafo 5, del RGPD.

3. In caso di risposta negativa alla prima questione e [di risposta negativa anche alla seconda questione, da a) a c)], se nell'ambito del rapporto medico-paziente il diritto di cui all'articolo 15, paragrafo 3, prima frase, del RGPD comprenda il diritto alla consegna di copie di tutte le parti della cartella medica contenenti i dati personali del paziente, o se riguardi unicamente la consegna di una copia dei dati personali del paziente in quanto tale, lasciando al medico che tratta i dati la decisione circa le modalità di compilazione di tali dati per il paziente interessato».

Sulle questioni pregiudiziali

Sulla prima questione

29. Con la sua prima questione, il giudice del rinvio chiede, in sostanza, se l'articolo 12, paragrafo 5, e l'articolo 15, paragrafi 1 e 3, del RGPD debbano essere interpretati nel senso che l'obbligo di fornire all'interessato, a titolo gratuito, una prima copia dei suoi dati personali oggetto di trattamento grava sul titolare del trattamento, anche qualora tale richiesta sia motivata da uno scopo estraneo a quelli di cui al considerando 63, prima frase, di tale regolamento.

30. In via preliminare, occorre ricordare che, secondo una costante giurisprudenza, al fine di interpretare una disposizione del diritto dell'Unione occorre tener conto non soltanto della sua formulazione, ma anche del contesto e degli obiettivi perseguiti dalla normativa di cui essa fa parte [sentenza del 12 gennaio 2023, Österreichische Post (Informazioni relative ai destinatari di dati personali), C-154/21, EU:C:2023:3, punto 29].

31. Per quanto riguarda, in primo luogo, la formulazione delle disposizioni pertinenti, occorre rilevare, da un lato, che l'articolo 12, paragrafo 5, del RGPD stabilisce il principio secondo cui l'esercizio del diritto di accesso dell'interessato ai suoi dati oggetto di trattamento e alle relative informazioni non comporta spese per l'interessato. Inoltre, tale disposizione prevede due motivi per i quali un titolare del trattamento può o addebitare un contributo spese ragionevole tenendo conto dei costi amministrativi o rifiutare di soddisfare una richiesta. Tali motivi riguardano casi di abuso di diritto, in cui le richieste dell'interessato sono «manifestamente infondate» o «eccessive», in particolare a causa del loro carattere ripetitivo.

32. A tale riguardo, il giudice del rinvio ha espressamente rilevato che la richiesta dell'interessato non era abusiva.

33. Dall'altro lato, il diritto di accesso dell'interessato ai suoi dati oggetto di trattamento e alle relative informazioni, che costituisce parte integrante del diritto alla protezione dei dati personali, è garantito all'articolo 15, paragrafo 1, del RGPD. In forza della formulazione di tale disposizione, gli interessati hanno il diritto di accedere ai loro dati personali oggetto di trattamento.

34. Inoltre, dall'articolo 15, paragrafo 3, del RGPD risulta che il titolare del trattamento fornisce una copia dei dati personali oggetto di trattamento e che può addebitare un contributo spese ragionevole in caso di ulteriori copie richieste dall'interessato. A tale riguardo, il paragrafo 4 di tale articolo precisa che il paragrafo 3 del medesimo conferisce un «diritto» a tale interessato. Un siffatto pagamento può quindi essere richiesto dal titolare del trattamento unicamente qualora l'interessato abbia già ricevuto, a titolo gratuito, una prima copia dei suoi dati e ne faccia nuovamente richiesta.

35. Come già dichiarato dalla Corte, dall'analisi testuale dell'articolo 15, paragrafo 3, prima frase, del RGPD risulta che tale disposizione conferisce all'interessato il diritto di ottenere una riproduzione fedele dei suoi dati personali, intesi in senso ampio, che siano oggetto di operazioni qualificabili come «trattamento effettuato dal titolare di tale trattamento» (sentenza del 4 maggio 2023, Österreichische Datenschutzbehörde e CRIF, C-487/21, EU:C:2023:369, punto 28).

36. Pertanto, da una lettura combinata dell'articolo 12, paragrafo 5, e dell'articolo 15, paragrafi 1 e 3, del RGPD risulta, da un lato, il diritto, per l'interessato, di ottenere una prima copia a titolo gratuito dei suoi dati personali oggetto di trattamento e, dall'altro, la facoltà offerta al titolare del trattamento, a determinate condizioni, di addebitare spese ragionevoli che tengano conto dei costi amministrativi, o di rifiutare di soddisfare una richiesta se quest'ultima è manifestamente infondata o eccessiva.

37. Nel caso di specie, occorre rilevare che un medico che procede alle operazioni di trattamento di cui all'articolo 4, punto 2, del RGPD riguardanti i dati dei suoi pazienti deve essere considerato un «titolare del trattamento», ai sensi dell'articolo 4, punto 7, di tale regolamento, soggetto agli obblighi che detta qualità comporta, in particolare garantendo un accesso ai dati personali su richiesta degli interessati.

38. Si deve necessariamente constatare che né la formulazione dell'articolo 12, paragrafo 5, del RGPD né quella dell'articolo 15, paragrafi 1 e 3, di tale regolamento subordinano la fornitura, a titolo gratuito, di una prima copia dei dati personali al fatto che i suddetti interessati invochino un motivo diretto a giustificare le loro richieste. Tali disposizioni non offrono pertanto al titolare del trattamento la possibilità di chiedere i motivi della richiesta di accesso presentata dall'interessato.

39. Per quanto riguarda, in secondo luogo, il contesto in cui si inseriscono le disposizioni sopra menzionate, occorre sottolineare che l'articolo 12 del RGPD rientra nella sezione 1 del capo III di tale regolamento, vertente segnatamente sul principio di trasparenza, enunciato all'articolo 5, paragrafo 1, lettera a), del medesimo regolamento.

40. L'articolo 12 del RGPD enuncia quindi obblighi generali incombenti al titolare del trattamento per quanto riguarda la trasparenza delle informazioni e delle comunicazioni, nonché le modalità di esercizio dei diritti dell'interessato.

41. L'articolo 15 del RGPD, che rientra nella sezione 2 del capo III, riguardante l'informazione e l'accesso ai dati personali, completa il quadro di trasparenza del RGPD concedendo all'interessato un diritto di accesso ai suoi dati personali e un diritto di informazione sul trattamento di tali dati.

42. Occorre, inoltre, rilevare che, conformemente al considerando 59 del RGPD «[è] opportuno prevedere modalità volte ad agevolare l'esercizio, da parte dell'interessato, dei diritti di cui al presente regolamento, compresi i meccanismi per richiedere e, se del caso, ottenere gratuitamente, in particolare l'accesso ai dati, la loro rettifica e cancellazione e per esercitare il diritto di opposizione».

43. Dal momento che, come risulta dal punto 38 della presente sentenza, l'interessato non è tenuto a motivare la richiesta di accesso ai dati, la prima frase del considerando 63 non può essere interpretata nel senso che tale richiesta deve essere respinta se con essa si persegue un obiettivo diverso da quello di essere consapevole del trattamento dei dati e di verificarne la liceità. Tale considerando non può infatti restringere la portata dell'articolo 15, paragrafo 3, del RGPD, come ricordato al punto 35 della presente sentenza.

44. A tale riguardo, occorre ricordare che da una giurisprudenza costante risulta che il preambolo di un atto di diritto dell'Unione non ha valore giuridico vincolante e non può essere fatto valere né per derogare alle disposizioni stesse dell'atto interessato né al fine di interpretare tali disposizioni in un senso manifestamente in contrasto con la loro formulazione (sentenza del 13 settembre 2018, Česká pojišťovna, C-287/17, EU:C:2018:707, punto 33).

45. Del resto, il considerando 63 enuncia, ai sensi della sua seconda frase, che il diritto di accedere ai dati personali riconosciuto agli interessati include, per quanto riguarda i dati relativi alla loro salute, «[i] dati relativi [alle loro] cartelle mediche contenenti informazioni quali diagnosi, risultati di esami, pareri di medici curanti o eventuali terapie o interventi praticati».

46. In tali circostanze, il diritto di accedere ai dati relativi alla salute garantito dall'articolo 15, paragrafo 1, del RGPD non può essere limitato, mediante un diniego di accesso o l'imposizione del pagamento di un corrispettivo, a uno dei motivi menzionati nella prima frase del considerando 63. Lo stesso vale per il diritto di ottenere una prima copia a titolo gratuito, come previsto all'articolo 12, paragrafo 5, e all'articolo 15, paragrafo 3, di tale regolamento.

47. In terzo luogo, per quanto riguarda gli obiettivi perseguiti dal RGPD, occorre rilevare che tale regolamento ha per finalità, come indicato ai suoi considerando 10 e 11, di assicurare un livello coerente ed elevato di protezione delle persone fisiche all'interno dell'Unione nonché il rafforzamento e la disciplina dettagliata dei diritti degli interessati.

48. È proprio ai fini della realizzazione di tale obiettivo che l'articolo 15, paragrafo 1, garantisce all'interessato un diritto di accedere ai propri dati personali (v., in tal senso, sentenza del 22 giugno 2023, Pankki S, C-579/21, EU:C:2023:501, punto 57 e giurisprudenza ivi citata).

49. Pertanto, l'articolo 12, paragrafo 5, e l'articolo 15, paragrafi 1 e 3, del RGPD fanno parte delle disposizioni destinate a garantire tale diritto di accesso nonché la trasparenza delle modalità di trattamento dei dati personali nei confronti dell'interessato [v., in tal senso, sentenza del 12 gennaio 2023, Österreichische Post (Informazioni relative ai destinatari di dati personali), C-154/21, EU:C:2023:3, punto 42].

50. Orbene, il principio della gratuità della prima copia dei dati nonché l'assenza di necessità di invocare un motivo specifico che giustifichi la richiesta di accesso contribuiscono necessariamente ad agevolare l'esercizio, da parte dell'interessato, dei diritti conferitigli dal RGPD.

51. Di conseguenza, data l'importanza che il RGPD attribuisce al diritto di accedere ai dati personali oggetto di trattamento, quale garantito all'articolo 15, paragrafo 1, del RGPD per conseguire siffatti obiettivi, l'esercizio di tale diritto non può essere subordinato a condizioni che non siano state espressamente previste dal legislatore dell'Unione, come l'obbligo di invocare uno dei motivi menzionati al considerando 63, prima frase, del RGPD.

52. Alla luce di tutte le considerazioni che precedono, occorre rispondere alla prima questione dichiarando che l'articolo 12, paragrafo 5, e l'articolo 15, paragrafi 1 e 3, del RGPD devono essere interpretati nel senso che l'obbligo di fornire all'interessato, a titolo gratuito, una prima copia dei suoi dati personali oggetto di trattamento grava sul titolare del trattamento anche qualora tale richiesta sia motivata da uno scopo estraneo a quelli di cui al considerando 63, prima frase, di detto regolamento.

Sulla seconda questione

53. Con la sua seconda questione, il giudice del rinvio chiede, in sostanza, se l'articolo 23, paragrafo 1, lettera i), del RGPD debba essere interpretato nel senso che esso autorizza una normativa nazionale, adottata prima dell'entrata in vigore di tale regolamento, che, al fine di tutelare gli interessi economici del titolare del trattamento, pone a carico dell'interessato le spese di una prima copia dei suoi dati personali oggetto di tale trattamento.

54. In primo luogo, per quanto riguarda la questione se solo le misure nazionali adottate successivamente all'entrata in vigore del RGPD possano rientrare nell'ambito di applicazione dell'articolo 23, paragrafo 1, del RGPD, occorre sottolineare che la formulazione di tale disposizione non contiene alcuna indicazione al riguardo.

55. Infatti, l'articolo 23, paragrafo 1, del RGPD si limita ad indicare che una misura legislativa di uno Stato membro può limitare la portata degli obblighi e dei diritti di cui agli articoli da 12 a 22 di tale regolamento purché tali misure corrispondano ai diritti e agli obblighi previsti da detti articoli e qualora tale limitazione rispetti l'essenza dei diritti e delle libertà fondamentali e sia una misura necessaria e proporzionata per salvaguardare, in particolare, la tutela dei diritti e delle libertà altrui.

56. Di conseguenza, l'articolo 23, paragrafo 1, del RGPD non esclude dal suo ambito di applicazione le misure legislative nazionali adottate prima dell'entrata in vigore del RGPD, purché queste soddisfino le condizioni da esso prescritte.

57. In secondo luogo, per quanto riguarda la questione se una normativa nazionale che, al fine di tutelare l'interesse economico dei professionisti sanitari, ponga a carico del paziente i costi connessi alla fornitura di una prima copia della cartella medica richiesta da quest'ultimo, rientri nell'ambito di applicazione dell'articolo 23, paragrafo 1, lettera i), del RGPD, occorre ricordare, innanzitutto, che, come risulta dai punti 31 e da 33 a 36 della presente sentenza, in forza dell'articolo 12, paragrafo 5, e dell'articolo 15, paragrafi 1 e 3, di tale regolamento, all'interessato è riconosciuto il diritto di ottenere una prima copia a titolo gratuito dei suoi dati personali oggetto di trattamento.

58. La seconda frase dell'articolo 15, paragrafo 3, del RGPD autorizza, tuttavia, il titolare del trattamento ad addebitare un contributo spese ragionevole basato sui costi amministrativi in caso di ulteriori copie. Peraltro, l'articolo 12, paragrafo 5, del RGPD, letto alla luce dell'articolo 15, paragrafi 1 e 3, di tale regolamento, consente al titolare del trattamento di tutelarsi dall'abuso del diritto di accesso, richiedendo il pagamento di un contributo spese ragionevole, in caso di richiesta manifestamente infondata o eccessiva.

59. Inoltre, in forza del considerando 4 di tale regolamento, il diritto alla protezione dei dati personali non è una prerogativa assoluta e va contemperato con altri diritti fondamentali, in ossequio al principio di proporzionalità. Pertanto, il RGPD rispetta tutti i diritti fondamentali e osserva le libertà e i principi riconosciuti dalla Carta dei diritti fondamentali, sanciti dai trattati (sentenza del 24 febbraio 2022, Valsts ieņēmumu dienests (Trattamento di dati personali a fini fiscali), C-175/20, EU:C:2022:124, punto 53).

60. Infatti, l'articolo 15, paragrafo 4, del RGPD prevede che «[i]l diritto di ottenere una copia (...) non deve ledere i diritti e le libertà altrui».

61. Analogamente, l'articolo 23, paragrafo 1, lettera i), del RGPD ricorda che una limitazione della portata degli obblighi e dei diritti previsti, in particolare, all'articolo 15 del RGPD è possibile «qualora tale limitazione rispetti l'essenza dei diritti e delle libertà fondamentali e sia una misura necessaria e proporzionata in una società democratica per salvaguardare (...) la tutela (...) dei diritti e delle libertà altrui».

62. Di conseguenza, dai punti da 59 a 61 della presente sentenza risulta che il diritto riconosciuto all'interessato di ottenere una prima copia a titolo gratuito dei suoi dati personali oggetto di trattamento non è assoluto.

63. Infine, solo considerazioni relative, in particolare, alla tutela dei diritti e delle libertà altrui sarebbero idonee a giustificare una limitazione di tale diritto, purché una siffatta limitazione ne rispetti l'essenza e costituisca una misura necessaria e proporzionata al fine di salvaguardare tale tutela, come previsto dall'articolo 23, paragrafo 1, lettera i), del RGPD.

64. Orbene, come risulta dalla decisione di rinvio, il regime tariffario previsto all'articolo 630g, paragrafo 2, seconda frase, del BGB consente al professionista sanitario di porre a carico del paziente i costi connessi alla fornitura di una prima copia della sua cartella medica. Il giudice del rinvio sottolinea che tale regime mira, in primo luogo, a tutelare gli interessi economici dei professionisti sanitari, il che dissuaderebbe i pazienti dal formulare inutilmente richieste di copia della loro cartella medica. Pertanto, nei limiti in cui la normativa nazionale di cui trattasi nel procedimento principale abbia effettivamente l'obiettivo di tutelare gli interessi economici dei professionisti sanitari, circostanza che spetta al giudice del rinvio verificare, siffatte considerazioni non possono rientrare tra i «diritti e [le] libertà altrui» di cui all'articolo 23, paragrafo 1, lettera i), del RGPD.

65. Infatti, in primo luogo, una siffatta normativa porta a scoraggiare non soltanto le richieste inutili, ma anche le richieste dirette ad ottenere per un motivo legittimo una prima copia, a titolo gratuito, dei dati personali trattati. Di conseguenza, essa viola necessariamente il principio della gratuità della prima copia e rimette quindi in discussione l'effetto utile del diritto di accesso previsto all'articolo 15, paragrafo 1, del RGPD nonché, di conseguenza, la protezione garantita da tale regolamento.

66. In secondo luogo, dalla decisione di rinvio non risulta che gli interessi tutelati dalla normativa nazionale vadano al di là di considerazioni di ordine puramente amministrativo o economico.

67. A tale riguardo, occorre sottolineare che gli interessi economici dei titolari del trattamento sono stati presi in considerazione dal legislatore dell'Unione, ai sensi dell'articolo 12, paragrafo 5, e dell'articolo 15, paragrafo 3, seconda frase, del RGPD, i quali, come ricordato al punto 58 della presente sentenza, definiscono le circostanze in cui il titolare del trattamento può chiedere il pagamento delle spese connesse alla fornitura di una copia dei dati personali oggetto di trattamento.

68. In tali circostanze, il perseguimento dell'obiettivo connesso alla tutela degli interessi economici dei professionisti sanitari non può giustificare una misura che porti a rimettere in discussione il diritto di ottenere, a titolo gratuito, una prima copia e, in tal modo, l'effetto utile del diritto di accesso dell'interessato ai suoi dati personali oggetto di trattamento.

69. Alla luce di tutte le considerazioni che precedono, occorre rispondere alla seconda questione dichiarando che l'articolo 23, paragrafo 1, lettera i), del RGPD deve essere interpretato nel senso che una normativa nazionale adottata prima dell'entrata in vigore di tale regolamento può rientrare nell'ambito di applicazione di detta disposizione. Tuttavia, una siffatta facoltà non consente di adottare una normativa nazionale che, al fine di tutelare gli interessi economici del titolare del trattamento, ponga a carico dell'interessato le spese di una prima copia dei suoi dati personali oggetto di tale trattamento.

Sulla terza questione

70. Con la sua terza questione, il giudice del rinvio chiede, in sostanza, se l'articolo 15, paragrafo 3, prima frase, del RGPD debba essere interpretato nel senso che, nell'ambito di un rapporto medico/paziente, il diritto di ottenere una copia dei dati personali oggetto di trattamento implica che sia consegnata all'interessato una copia integrale dei documenti contenuti nella sua cartella medica e che contengono i suoi dati personali o soltanto una copia di detti dati in quanto tali.

71. Anzitutto, la Corte ha dichiarato che, in forza della sua formulazione, l'articolo 15, paragrafo 3, prima frase, del RGPD conferisce all'interessato il diritto di ottenere una riproduzione fedele dei suoi dati personali, intesi in senso ampio, che siano oggetto di operazioni qualificabili come «trattamento» effettuato dal titolare di tale trattamento (sentenza del 4 maggio 2023, Österreichische Datenschutzbehörde e CRIF, C-487/21, EU:C:2023:369, punto 28).

72. Poi, l'articolo 15 del RGPD non può essere interpretato nel senso che sancisce, al paragrafo 3, prima frase, un diritto distinto da quello previsto al paragrafo 1. Peraltro, il termine «copia» si riferisce non già a un documento in quanto tale, bensì ai dati personali che esso contiene e che devono essere completi. La copia deve quindi contenere tutti i dati personali oggetto di trattamento (sentenza del 4 maggio 2023, Österreichische Datenschutzbehörde e CRIF, C-487/21, EU:C:2023:369, punto 32).

73. Infine, per quanto riguarda gli obiettivi perseguiti all'articolo 15 del RGPD, quest'ultimo ha ad oggetto il rafforzamento e la disciplina dettagliata dei diritti degli interessati. Pertanto, il diritto di accesso previsto a tale disposizione deve consentire all'interessato di verificare che i dati personali che lo riguardano siano corretti e trattati in modo lecito. Peraltro, la copia dei dati personali oggetto di trattamento, che il titolare del trattamento è tenuto a fornire ai sensi dell'articolo 15, paragrafo 3, prima frase, del RGPD, deve presentare tutte le caratteristiche che consentano all'interessato di esercitare effettivamente i suoi diritti a norma di tale regolamento e, pertanto, deve riprodurre integralmente e fedelmente tali dati (sentenza del 4 maggio 2023, Österreichische Datenschutzbehörde e CRIF, C-487/21, EU:C:2023:369, punti 33, 34 e 39).

74. In particolare, per garantire che le informazioni fornite dal titolare del trattamento siano facilmente comprensibili, come richiesto all'articolo 12, paragrafo 1, del RGPD, in combinato disposto con il considerando 58 di tale regolamento, la riproduzione di estratti di documenti o addirittura di documenti interi contenenti, tra l'altro, i dati personali oggetto di trattamento può rivelarsi indispensabile nel caso in cui la contestualizzazione dei dati trattati sia necessaria per garantirne l'intelligibilità (sentenza del 4 maggio 2023, Österreichische Datenschutzbehörde e CRIF, C-487/21, EU:C:2023:369, punto 41).

75. Di conseguenza, il diritto di ottenere dal titolare del trattamento una copia dei dati personali oggetto di trattamento implica che sia consegnata all'interessato una riproduzione fedele e intelligibile dell'insieme di tali dati. Detto diritto presuppone quello di ottenere copia di estratti di documenti o addirittura di documenti interi o, ancora, di estratti di banche dati contenenti, tra l'altro, tali dati, se la fornitura di una siffatta copia è indispensabile per consentire all'interessato di esercitare effettivamente i diritti conferitigli da tale regolamento (sentenza del 4 maggio 2023, Österreichische Datenschutzbehörde e CRIF, C-487/21, EU:C:2023:369, punto 45).

76. Per quanto riguarda le informazioni di cui trattasi nel procedimento principale, occorre rilevare che il RGPD individua elementi di cui il ricorrente nel procedimento principale dovrebbe poter chiedere una copia. Così, per quanto riguarda i dati personali relativi alla salute, il considerando 63 di tale regolamento specifica che il diritto di accesso degli interessati include «[i] dati relativi [alle loro] cartelle mediche contenenti informazioni quali diagnosi, risultati di esami, pareri di medici curanti o eventuali terapie o interventi praticati».

77. A tale riguardo, come rilevato, in sostanza, dall'avvocato generale ai paragrafi da 78 a 80 delle sue conclusioni, è a causa della sensibilità dei dati personali relativi alla salute delle persone fisiche che il legislatore dell'Unione ha così sottolineato l'importanza che l'accesso di queste ultime ai loro dati contenuti nel loro cartella medica avvenga nel modo più completo e preciso possibile, ma anche intelligibile.

78. Orbene, per quanto riguarda risultati di esami, pareri di medici curanti e terapie o interventi praticati ad un paziente, che comprendono, in generale, numerosi dati tecnici, o addirittura immagini, la fornitura di una semplice sintesi o di una compilazione di tali dati da parte del medico, al fine di presentarli in forma sintetica, potrebbe creare il rischio che taluni dati pertinenti siano omessi o riprodotti in modo inesatto o, in ogni caso, che la verifica della loro esattezza e della loro completezza nonché la loro comprensione da parte del paziente ne siano rese più difficili.

79. Alla luce di tutte le considerazioni che precedono, occorre rispondere alla terza questione dichiarando che l'articolo 15, paragrafo 3, prima frase, del RGPD deve essere interpretato nel senso che, nell'ambito di un rapporto medico/paziente, il diritto di ottenere una copia dei dati personali oggetto di trattamento implica che sia consegnata all'interessato una riproduzione fedele e intelligibile dell'insieme di tali dati. Tale diritto presuppone quello di ottenere la copia integrale dei documenti contenuti nella sua cartella medica che contengano, tra l'altro, detti dati, qualora la fornitura di una siffatta copia sia necessaria per consentire all'interessato di verificarne l'esattezza e la completezza nonché per garantirne l'intelligibilità. Per quanto riguarda i dati relativi alla salute dell'interessato, tale diritto include in ogni caso quello di ottenere una copia dei dati della sua cartella medica contenente informazioni quali diagnosi, risultati di esami, pareri di medici curanti o eventuali terapie o interventi praticati al medesimo.

Sulle spese

80. Nei confronti delle parti nel procedimento principale la presente causa costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.

P.Q.M.
la Corte (Prima Sezione) dichiara:

1) L'articolo 12, paragrafo 5, e l'articolo 15, paragrafi 1 e 3, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), devono essere interpretati nel senso che l'obbligo di fornire all'interessato, a titolo gratuito, una prima copia dei suoi dati personali oggetto di trattamento grava sul titolare del trattamento anche qualora tale richiesta sia motivata da uno scopo estraneo a quelli di cui al considerando 63, prima frase, di detto regolamento.

2) L'articolo 23, paragrafo 1, lettera i), del regolamento 2016/679 deve essere interpretato nel senso che una normativa nazionale adottata prima dell'entrata in vigore di tale regolamento può rientrare nell'ambito di applicazione di detta disposizione. Tuttavia, una siffatta facoltà non consente di adottare una normativa nazionale che, al fine di tutelare gli interessi economici del titolare del trattamento, ponga a carico dell'interessato le spese di una prima copia dei suoi dati personali oggetto di tale trattamento.

3) L'articolo 15, paragrafo 3, prima frase, del regolamento 2016/679 deve essere interpretato nel senso che, nell'ambito di un rapporto medico/paziente, il diritto di ottenere una copia dei dati personali oggetto di trattamento implica che sia consegnata all'interessato una riproduzione fedele e intelligibile dell'insieme di tali dati. Tale diritto presuppone quello di ottenere la copia integrale dei documenti contenuti nella sua cartella medica che contengano, tra l'altro, detti dati, qualora la fornitura di una siffatta copia sia necessaria per consentire all'interessato di verificarne l'esattezza e la completezza nonché per garantirne l'intelligibilità. Per quanto riguarda i dati relativi alla salute dell'interessato, tale diritto include in ogni caso quello di ottenere una copia dei dati della sua cartella medica contenente informazioni quali diagnosi, risultati di esami, pareri di medici curanti o eventuali terapie o interventi praticati al medesimo.