Corte di giustizia dell'Unione Europea
Terza Sezione
Sentenza 5 novembre 2026

Presidente: Lycourgos - Relatore: Fenger

«Rinvio pregiudiziale - Ravvicinamento delle legislazioni - Protezione delle persone fisiche con riguardo al trattamento dei dati personali e alla libera circolazione di tali dati - Regolamento (UE) 2016/679 - Dati contenuti nel fascicolo di un'autorità di controllo che interviene nell'ambito di una procedura di reclamo - Articolo 4, punti 7 e 21 - Nozioni di "titolare del trattamento" e di "autorità di controllo" - Articolo 15 - Diritto di accesso dell'interessato - Articolo 23 - Limitazioni - Articolo 77 - Diritto di proporre reclamo all'autorità di controllo - Normativa nazionale che esclude qualsiasi accesso ai fascicoli e agli archivi dell'autorità di controllo».

Nella causa C‑205/25, avente ad oggetto la domanda di pronuncia pregiudiziale proposta alla Corte, ai sensi dell'articolo 267 TFUE, dal Bayerisches Verwaltungsgericht Ansbach (Tribunale amministrativo del Land Baviera, Ansbach, Germania), con decisione del 19 febbraio 2025, pervenuta in cancelleria il 17 marzo 2025, nel procedimento Joachim Lindenberg contro Bayerisches Landesamt für Datenschutzaufsicht.

[...]

1. La domanda di pronuncia pregiudiziale verte sull'interpretazione dell'articolo 4, punti 7 e 21, nonché degli articoli 15, 23 e 77 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1; in prosieguo: il «RGPD»).

2. Tale domanda è stata presentata nell'ambito di una controversia tra il sig. Joachim Lindenberg e il Bayerisches Landesamt für Datenschutzaufsicht (Ufficio bavarese di controllo della protezione dei dati, Germania; in prosieguo: l'«Ufficio») in merito al rifiuto di tale ufficio di concedergli, sulla base dell'articolo 15 del RGPD, l'accesso al suo fascicolo nell'ambito di un procedimento avviato a seguito di un reclamo da lui presentato dinanzi a detto ufficio nei confronti di un terzo.

Contesto normativo

Diritto dell'Unione

3. I considerando 1, 10 e 63 del RGPD sono così formulati:

«(1) La protezione delle persone fisiche con riguardo al trattamento dei dati di carattere personale è un diritto fondamentale. L'articolo 8, paragrafo 1, della Carta dei diritti fondamentali dell'Unione europea (in prosieguo: la «Carta») e l'articolo 16, paragrafo 1, [TFUE] stabiliscono che ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano.

(...)

(10) Al fine di assicurare un livello coerente ed elevato di protezione delle persone fisiche e rimuovere gli ostacoli alla circolazione dei dati personali all'interno dell'Unione [europea], il livello di protezione dei diritti e delle libertà delle persone fisiche con riguardo al trattamento di tali dati dovrebbe essere equivalente in tutti gli Stati membri. È opportuno assicurare un'applicazione coerente e omogenea delle norme a protezione dei diritti e delle libertà fondamentali delle persone fisiche con riguardo al trattamento dei dati personali in tutta l'Unione. (...)

(...)

(63) Un interessato dovrebbe avere il diritto di accedere ai dati personali raccolti che la riguardano e di esercitare tale diritto facilmente e a intervalli ragionevoli, per essere consapevole del trattamento e verificarne la liceità. (...) Tale diritto non dovrebbe ledere i diritti e le libertà altrui, compreso il segreto industriale e aziendale e la proprietà intellettuale, segnatamente i diritti d'autore che tutelano il software. Tuttavia, tali considerazioni non dovrebbero condurre a un diniego a fornire all'interessato tutte le informazioni. Se il titolare del trattamento tratta una notevole quantità d'informazioni riguardanti l'interessato, il titolare in questione dovrebbe poter richiedere che l'interessato precisi, prima che siano fornite le informazioni, l'informazione o le attività di trattamento cui la richiesta si riferisce».

4. L'articolo 1 di tale regolamento prevede quanto segue:

«1. Il presente regolamento stabilisce norme relative alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché norme relative alla libera circolazione di tali dati.

2. Il presente regolamento protegge i diritti e le libertà fondamentali delle persone fisiche, in particolare il diritto alla protezione dei dati personali.

3. La libera circolazione dei dati personali nell'Unione non può essere limitata né vietata per motivi attinenti alla protezione delle persone fisiche con riguardo al trattamento dei dati personali».

5. L'articolo 4, di detto regolamento, intitolato «Definizioni», ai punti 1, 2, 7 e 21, così recita:

«Ai fini del presente regolamento s'intende per:

1) "dato personale" qualsiasi informazione riguardante una persona fisica identificata o identificabile ("interessato"); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all'ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale;

2) "trattamento" qualsiasi operazione o insieme di operazioni, compiute con o senza l'ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l'organizzazione, la strutturazione, la conservazione, l'adattamento o la modifica, l'estrazione, la consultazione, l'uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l'interconnessione, la limitazione, la cancellazione o la distruzione;

(...)

7) "titolare del trattamento" la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali; quando le finalità e i mezzi di tale trattamento sono determinati dal diritto dell'Unione o degli Stati membri, il titolare del trattamento o i criteri specifici applicabili alla sua designazione possono essere stabiliti dal diritto dell'Unione o degli Stati membri;

(...)

21) "autorità di controllo": l'autorità pubblica indipendente istituita da uno Stato membro ai sensi dell'articolo 51;

(...)».

6. L'articolo 5 del medesimo regolamento, intitolato «Principi applicabili al trattamento di dati personali», prevede quanto segue:

«1. I dati personali sono:

a) trattati in modo lecito, corretto e trasparente nei confronti dell'interessato ("liceità, correttezza e trasparenza");

b) raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità; un ulteriore trattamento dei dati personali a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici non è, conformemente all'articolo 89, paragrafo 1, considerato incompatibile con le finalità iniziali ("limitazione della finalità");

c) adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati ("minimizzazione dei dati");

d) esatti e, se necessario, aggiornati; devono essere adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità per le quali sono trattati ("esattezza");

e) conservati in una forma che consenta l'identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati; i dati personali possono essere conservati per periodi più lunghi a condizione che siano trattati esclusivamente a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, conformemente all'articolo 89, paragrafo 1, fatta salva l'attuazione di misure tecniche e organizzative adeguate richieste dal presente regolamento a tutela dei diritti e delle libertà dell'interessato ("limitazione della conservazione");

f) trattati in maniera da garantire un'adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali ("integrità e riservatezza").

2. Il titolare del trattamento è competente per il rispetto del paragrafo 1 e in grado di comprovarlo ("responsabilizzazione")».

7. L'articolo 12 del RGPD, intitolato «Informazioni, comunicazioni e modalità trasparenti per l'esercizio dei diritti dell'interessato», al paragrafo 5 enuncia quanto segue:

«Le informazioni fornite ai sensi degli articoli 13 e 14 ed eventuali comunicazioni e azioni intraprese ai sensi degli articoli da 15 a 22 e dell'articolo 34 sono gratuite. Se le richieste dell'interessato sono manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, il titolare del trattamento può:

a) addebitare un contributo spese ragionevole tenendo conto dei costi amministrativi sostenuti per fornire le informazioni o la comunicazione o intraprendere l'azione richiesta; oppure

b) rifiutare di soddisfare la richiesta.

Incombe al titolare del trattamento l'onere di dimostrare il carattere manifestamente infondato o eccessivo della richiesta».

8. L'articolo 15 del regolamento in parola, intitolato «Diritto di accesso dell'interessato», così dispone:

«1. L'interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l'accesso ai dati personali e alle seguenti informazioni:

a) le finalità del trattamento,

b) le categorie di dati personali in questione;

c) i destinatari o le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, in particolare se destinatari di paesi terzi o organizzazioni internazionali;

d) quando possibile, il periodo di conservazione dei dati personali previsto oppure, se non è possibile, i criteri utilizzati per determinare tale periodo;

e) l'esistenza del diritto dell'interessato di chiedere al titolare del trattamento la rettifica o la cancellazione dei dati personali o la limitazione del trattamento dei dati personali che lo riguardano o di opporsi al loro trattamento;

f) il diritto di proporre reclamo a un'autorità di controllo;

g) qualora i dati non siano raccolti presso l'interessato, tutte le informazioni disponibili sulla loro origine;

h) l'esistenza di un processo decisionale automatizzato, compresa la profilazione di cui all'articolo 22, paragrafi 1 e 4, e, almeno in tali casi, informazioni significative sulla logica utilizzata, nonché l'importanza e le conseguenze previste di tale trattamento per l'interessato.

(...)

3. Il titolare del trattamento fornisce una copia dei dati personali oggetto di trattamento. In caso di ulteriori copie richieste dall'interessato, il titolare del trattamento può addebitare un contributo spese ragionevole basato sui costi amministrativi. Se l'interessato presenta la richiesta mediante mezzi elettronici, e salvo indicazione diversa dell'interessato, le informazioni sono fornite in un formato elettronico di uso comune.

4. Il diritto di ottenere una copia di cui al paragrafo 3 non deve ledere i diritti e le libertà altrui».

9. L'articolo 23 di detto regolamento, intitolato «Limitazioni», prevede quanto segue:

«1. Il diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento o il responsabile del trattamento può limitare, mediante misure legislative, la portata degli obblighi e dei diritti di cui agli articoli da 12 a 22 e 34, nonché all'articolo 5, nella misura in cui le disposizioni ivi contenute corrispondano ai diritti e agli obblighi di cui agli articoli da 12 a 22, qualora tale limitazione rispetti l'essenza dei diritti e delle libertà fondamentali e sia una misura necessaria e proporzionata in una società democratica per salvaguardare:

a) la sicurezza nazionale;

b) la difesa;

c) la sicurezza pubblica;

d) la prevenzione, l'indagine, l'accertamento e il perseguimento di reati o l'esecuzione di sanzioni penali, incluse la salvaguardia contro e la prevenzione di minacce alla sicurezza pubblica;

e) altri importanti obiettivi di interesse pubblico generale dell'Unione o di uno Stato membro, in particolare un rilevante interesse economico o finanziario dell'Unione o di uno Stato membro, anche in materia monetaria, di bilancio e tributaria, di sanità pubblica e sicurezza sociale;

f) la salvaguardia dell'indipendenza della magistratura e dei procedimenti giudiziari;

g) le attività volte a prevenire, indagare, accertare e perseguire violazioni della deontologia delle professioni regolamentate;

h) una funzione di controllo, d'ispezione o di regolamentazione connessa, anche occasionalmente, all'esercizio di pubblici poteri nei casi di cui alle lettere da a), a e) e g);

i) la tutela dell'interessato o dei diritti e delle libertà altrui;

j) l'esecuzione delle azioni civili.

2. In particolare qualsiasi misura legislativa di cui al paragrafo 1 contiene disposizioni specifiche riguardanti almeno, se del caso:

a) le finalità del trattamento o le categorie di trattamento;

b) le categorie di dati personali;

c) la portata delle limitazioni introdotte;

d) le garanzie per prevenire abusi o l'accesso o il trasferimento illeciti;

e) l'indicazione precisa del titolare del trattamento o delle categorie di titolari;

f) i periodi di conservazione e le garanzie applicabili tenuto conto della natura, dell'ambito di applicazione e delle finalità del trattamento o delle categorie di trattamento;

g) i rischi per i diritti e le libertà degli interessati; e

h) il diritto degli interessati di essere informati della limitazione, a meno che ciò possa compromettere la finalità della stessa».

10. L'articolo 51 del RGPD, intitolato «Autorità di controllo», è del seguente tenore:

«1. Ogni Stato membro dispone che una o più autorità pubbliche indipendenti siano incaricate di controllare l'applicazione del presente regolamento al fine di tutelare i diritti e le libertà fondamentali delle persone fisiche con riguardo al trattamento e di agevolare la libera circolazione dei dati personali all'interno dell'Unione ("autorità di controllo").

2. Ogni autorità di controllo contribuisce alla coerente applicazione del presente regolamento in tutta l'Unione. (...)

(...)».

11. L'articolo 52 del regolamento in parola, intitolato «Indipendenza» così dispone:

«1. Ogni autorità di controllo agisce in piena indipendenza nell'adempimento dei propri compiti e nell'esercizio dei propri poteri conformemente al presente regolamento.

2. Nell'adempimento dei rispettivi compiti e nell'esercizio dei rispettivi poteri previsti dal presente regolamento, il membro o i membri di ogni autorità di controllo non subiscono pressioni esterne, né dirette, né indirette, e non sollecitano né accettano istruzioni da alcuno.

3. Il membro o i membri dell'autorità di controllo si astengono da qualunque azione incompatibile con le loro funzioni e per tutta la durata del mandato non possono esercitare alcuna altra attività incompatibile, remunerata o meno.

4. Ogni Stato membro provvede affinché ogni autorità di controllo sia dotata delle risorse umane, tecniche e finanziarie, dei locali e delle infrastrutture necessari per l'effettivo adempimento dei suoi compiti e l'esercizio dei propri poteri, compresi quelli nell'ambito dell'assistenza reciproca, della cooperazione e della partecipazione al comitato.

5. Ogni Stato membro provvede affinché ogni autorità di controllo selezioni e disponga di proprio personale, soggetto alla direzione esclusiva del membro o dei membri dell'autorità di controllo interessata.

6. Ogni Stato membro provvede affinché ogni autorità di controllo sia soggetta a un controllo finanziario che non ne pregiudichi l'indipendenza e disponga di bilanci annuali, separati e pubblici, che possono far parte del bilancio generale statale o nazionale».

12. L'articolo 57 del menzionato regolamento, intitolato «Compiti», così recita:

«1. Fatti salvi gli altri compiti indicati nel presente regolamento, sul proprio territorio ogni autorità di controllo:

a) sorveglia e assicura l'applicazione del presente regolamento;

(...)

f) tratta i reclami proposti da un interessato, o da un organismo, un'organizzazione o un'associazione ai sensi dell'articolo 80, e svolge le indagini opportune sull'oggetto del reclamo e informa il reclamante dello stato e dell'esito delle indagini entro un termine ragionevole, in particolare ove siano necessarie ulteriori indagini o un coordinamento con un'altra autorità di controllo;

(...)

h) svolge indagini sull'applicazione del presente regolamento, anche sulla base di informazioni ricevute da un'altra autorità di controllo o da un'altra autorità pubblica;

(...)

u) tiene registri interni delle violazioni del presente regolamento e delle misure adottate in conformità dell'articolo 58, paragrafo 2; e

v) svolge qualsiasi altro compito legato alla protezione dei dati personali.

2. Ogni autorità di controllo agevola la proposizione di reclami di cui al paragrafo 1, lettera f), tramite misure quali un modulo per la proposizione dei reclami compilabile anche elettronicamente, senza escludere altri mezzi di comunicazione.

(...)».

13. L'articolo 58 dello stesso regolamento, intitolato «Poteri», ai suoi paragrafi 1 e 2, prevede quanto segue:

«1. Ogni autorità di controllo ha tutti i poteri di indagine seguenti:

a) ingiungere al titolare del trattamento e al responsabile del trattamento e, ove applicabile, al rappresentante del titolare del trattamento o del responsabile del trattamento, di fornirle ogni informazione di cui necessiti per l'esecuzione dei suoi compiti;

b) condurre indagini sotto forma di attività di revisione sulla protezione dei dati;

c) effettuare un riesame delle certificazioni rilasciate in conformità dell'articolo 42, paragrafo 7;

d) notificare al titolare del trattamento o al responsabile del trattamento le presunte violazioni del presente regolamento;

e) ottenere, dal titolare del trattamento o dal responsabile del trattamento, l'accesso a tutti i dati personali e a tutte le informazioni necessarie per l'esecuzione dei suoi compiti; e

f) ottenere accesso a tutti i locali del titolare del trattamento e del responsabile del trattamento, compresi tutti gli strumenti e mezzi di trattamento dei dati, in conformità con il diritto dell'Unione o il diritto processuale degli Stati membri.

2. Ogni autorità di controllo ha tutti i poteri correttivi seguenti:

a) rivolgere avvertimenti al titolare del trattamento o al responsabile del trattamento sul fatto che i trattamenti previsti possono verosimilmente violare le disposizioni del presente regolamento;

b) rivolgere ammonimenti al titolare e del trattamento o al responsabile del trattamento ove i trattamenti abbiano violato le disposizioni del presente regolamento;

c) ingiungere al titolare del trattamento o al responsabile del trattamento di soddisfare le richieste dell'interessato di esercitare i diritti loro derivanti dal presente regolamento;

d) ingiungere al titolare del trattamento o al responsabile del trattamento di conformare i trattamenti alle disposizioni del presente regolamento, se del caso, in una determinata maniera ed entro un determinato termine;

e) ingiungere al titolare del trattamento di comunicare all'interessato una violazione dei dati personali;

f) imporre una limitazione provvisoria o definitiva al trattamento, incluso il divieto di trattamento;

g) ordinare la rettifica, la cancellazione di dati personali o la limitazione del trattamento a norma degli articoli 16, 17 e 18 e la notificazione di tali misure ai destinatari cui sono stati comunicati i dati personali ai sensi dell'articolo 17, paragrafo 2, e dell'articolo 19;

h) revocare la certificazione o ingiungere all'organismo di certificazione di ritirare la certificazione rilasciata a norma degli articoli 42 e 43, oppure ingiungere all'organismo di certificazione di non rilasciare la certificazione se i requisiti per la certificazione non sono o non sono più soddisfatti;

i) infliggere una sanzione amministrativa pecuniaria ai sensi dell'articolo 83, in aggiunta alle misure di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso; e

j) ordinare la sospensione dei flussi di dati verso un destinatario in un paese terzo o un'organizzazione internazionale».

14. Ai sensi dell'articolo 77 del RGPD, intitolato «Diritto di proporre reclamo all'autorità di controllo»:

«1. Fatto salvo ogni altro ricorso amministrativo o giurisdizionale, l'interessato che ritenga che il trattamento che lo riguarda violi il presente regolamento ha il diritto di proporre reclamo a un'autorità di controllo, segnatamente nello Stato membro in cui risiede abitualmente, lavora oppure del luogo ove si è verificata la presunta violazione.

2. L'autorità di controllo a cui è stato proposto il reclamo informa il reclamante dello stato o dell'esito del reclamo, compresa la possibilità di un ricorso giurisdizionale ai sensi dell'articolo 78».

15. L'articolo 78 del regolamento in esame, intitolato «Diritto a un ricorso giurisdizionale effettivo nei confronti dell'autorità di controllo», così dispone:

«1. Fatto salvo ogni altro ricorso amministrativo o extragiudiziale, ogni persona fisica o giuridica ha il diritto di proporre un ricorso giurisdizionale effettivo avverso una decisione giuridicamente vincolante dell'autorità di controllo che la riguarda.

(...)

3. Le azioni nei confronti dell'autorità di controllo sono promosse dinanzi alle autorità giurisdizionali dello Stato membro in cui l'autorità di controllo è stabilita.

(...)».

Diritto tedesco

16. Ai sensi dell'articolo 18 del Bayerisches Datenschutzgesetz (legge bavarese in materia di protezione dei dati), del 15 maggio 2018 (in prosieguo: il «BayDSG»), l'Ufficio è un'autorità di controllo per gli enti non pubblici.

17. L'articolo 20 del BayDSG prevede quanto segue:

«(1) Chiunque può rivolgersi alle autorità di controllo adducendo che i suoi diritti sono stati violati in occasione del trattamento dei suoi dati personali. Il ricorso alle autorità di controllo non deve arrecare pregiudizio alla persona interessata.

(2) Non sussistono diritti di accesso o di consultazione in relazione ai fascicoli ed archivi delle autorità di controllo».

18. Nella relazione introduttiva del BayDSG riguardante l'articolo 20, paragrafo 2, della suddetta legge si precisa che tale disposizione trova applicazione ed esclude del tutto qualsiasi diritto di accesso ai sensi dell'articolo 15 del RGPD qualora tale diritto sia invocato nei confronti dell'Ufficio per quanto riguarda i fascicoli ed archivi di quest'ultimo.

Procedimento principale e questioni pregiudiziali

19. Il sig. Lindenberg è un giornalista e gestisce un blog dedicato, in particolare, alla protezione dei dati. Dal 2021 egli ha presentato diversi reclami all'Ufficio.

20. A seguito di un reclamo in materia di protezione dei dati, proposto il 13 maggio 2022 dal sig. Lindenberg dinanzi all'Ufficio, quest'ultimo ha avviato un procedimento di controllo nei confronti di terzi. Con messaggio di posta elettronica dell'11 ottobre 2022, l'Ufficio ha informato il sig. Lindenberg di aver constatato che tale terzo aveva violato le norme applicabili alla protezione dei dati e che, dopo la scadenza del termine impartito per porre rimedio alle predette violazioni, il terzo di cui trattasi sarebbe stato verbalizzato se avesse commesso nuove violazioni. Con messaggio di posta elettronica dello stesso giorno, il sig. Lindenberg ha chiesto che gli venissero forniti ulteriori dettagli concernenti le misure adottate dall'Ufficio. Poiché quest'ultimo non ha dato seguito a tale richiesta, il sig. Lindenberg, con messaggio di posta elettronica dell'11 ottobre 2022, ha chiesto informazioni complete ai sensi dell'articolo 15, paragrafi 1 e 3, del RGDP.

21. Con decisione del 20 ottobre 2022, l'Ufficio ha respinto tale richiesta di accesso a norma dell'articolo 15, paragrafi 1 e 3, del RGPD. Esso ha motivato tale rigetto affermando che l'articolo 20, paragrafo 2, del BayDSG escludeva espressamente un diritto di accesso e di consultazione dei fascicoli e degli archivi delle autorità di controllo.

22. Il 6 dicembre 2022, il sig. Lindenberg ha proposto ricorso avverso tale decisione dinanzi al Bayerisches Verwaltungsgericht Ansbach (Tribunale amministrativo del Land Baviera, Ansbach, Germania), giudice del rinvio, chiedendo che fosse ordinato all'Ufficio di fornirgli una copia di tutti i dati contenuti nel fascicolo del procedimento avviato in seguito al reclamo presentato il 13 maggio 2022.

23. Il 23 febbraio 2024, l'Ufficio gli ha concesso un accesso elettronico a tale fascicolo, senza tuttavia riconoscere un obbligo giuridico in tal senso.

24. Il sig. Lindenberg chiede tuttavia che venga ancora accertata l'illegittimità della decisione dell'Ufficio del 20 ottobre 2022 menzionata al punto 21 della presente sentenza.

25. Il giudice del rinvio rileva che, quando una persona presenta un reclamo all'Ufficio, ai sensi dell'articolo 77 del RGPD, quest'ultimo agisce nei confronti di tale persona in qualità di autorità di controllo, ai sensi dell'articolo 4, punto 21, del regolamento in parola. L'Ufficio fa valere che tale autorità di controllo non può essere considerata un «titolare del trattamento», ai sensi dell'articolo 15 di detto regolamento, letto in combinato disposto con l'articolo 4, punto 7, di quest'ultimo, nei confronti della suddetta persona, il che esclude necessariamente che quest'ultima disponga di un diritto di ottenere da detta autorità l'accesso ai dati personali che la riguardano e che sono stati trattati nell'ambito di tale reclamo.

26. Per contro, tale giudice è propenso a ritenere che un'autorità di controllo possa essere al tempo stesso un'autorità di controllo, ai sensi dell'articolo 4, punto 21, del RGPD, e un titolare del trattamento, ai sensi dell'articolo 15 di tale regolamento, letto in combinato disposto con l'articolo 4, punto 7, dello stesso.

27. Detto giudice ritiene che, se così fosse, si porrebbe la questione se un'esclusione pura e semplice del diritto di accesso ai fascicoli e agli archivi dell'autorità di controllo, come quella prevista dall'articolo 20, paragrafo 2, del BayDSG, soddisfi le condizioni stabilite dall'articolo 23 del RGPD.

28. Date tali circostanze, il Bayerisches Verwaltungsgericht Ansbach (Tribunale amministrativo del Land Baviera, Ansbach), ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali:

«1) Se l'articolo 15 [del RGPD], in combinato disposto con l'articolo 4, punto 7 [del medesimo regolamento], debba essere interpretato nel senso che un'autorità di controllo di cui all'articolo 4, punto 21, di tale regolamento, che agisca nell'ambito di un procedimento di reclamo avviato da un interessato ai sensi dell'articolo 77 di detto regolamento, è al contempo "titolare del trattamento" ai sensi dell'articolo 15, in combinato disposto con l'articolo 4, punto 7, del medesimo regolamento ed è quindi tenuta a concedere all'interessato l'accesso alle informazioni che lo riguardano conformemente all'articolo 15 [del suddetto regolamento].

2) In caso di risposta affermativa alla prima questione: se il diritto dell'Unione, in particolare l'articolo 23 del [RGPD], debba essere interpretato nel senso che esso osta a una normativa nazionale - come l'articolo 20, paragrafo 2, del [BayDSG] - che esclude in modo generale i diritti di accesso o consultazione in relazione ai fascicoli ed archivi delle autorità di controllo di cui all'articolo 4, punto 21, [del suddetto regolamento]».

Sulle questioni pregiudiziali

Sulla prima questione

29. Con la sua prima questione, il giudice del rinvio chiede, in sostanza, se l'articolo 4, punto 7, del RGPD, letto in combinato disposto con l'articolo 15 di quest'ultimo, debba essere interpretato nel senso che, nell'ambito di un procedimento avente ad oggetto un reclamo proposto da una persona interessata in forza dell'articolo 77 di tale regolamento, un'autorità di controllo, ai sensi dell'articolo 4, punto 21, del predetto regolamento, debba essere qualificata come «titolare del trattamento» e, pertanto, essere tenuta, in linea di principio, a concedere a tale persona l'accesso ai dati personali che la riguardano e alle informazioni elencate in tale articolo 15.

30. In via preliminare, occorre anzitutto sottolineare che, ai sensi dell'articolo 4, punto 1, del RGPD, per «dati personali» si intende «qualsiasi informazione riguardante una persona fisica identificata o identificabile (...), in particolare mediante riferimento a un identificativo, quale un nome, un numero di identificazione, dati relativi all'ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale», e tale persona viene designata come «interessato».

31. L'articolo 4, punto 2, di detto regolamento definisce poi il «trattamento» come qualsiasi operazione o insieme di operazioni, compiute con o senza l'ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l'organizzazione, la strutturazione, la conservazione, l'adattamento o la modifica, l'estrazione, la consultazione, l'uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l'interconnessione, la limitazione, la cancellazione o la distruzione.

32. Infine, secondo l'articolo 4, punto 7, del RGPD, la nozione di «titolare del trattamento» comprende le persone fisiche o giuridiche, le autorità pubbliche, i servizi o altri organismi che, da soli o insieme ad altri, determinano le finalità e i mezzi del trattamento. Tale disposizione enuncia altresì che, quando le finalità e i mezzi di tale trattamento sono determinati dal diritto dell'Unione o dal diritto di uno Stato membro, il titolare del trattamento può essere designato, o i criteri specifici applicabili alla sua designazione possono essere stabiliti dal diritto dell'Unione o dal diritto di uno Stato membro.

33. Tenuto conto dell'ampia definizione della nozione di «titolare del trattamento», contenuta in tale disposizione, la determinazione delle finalità e dei mezzi del trattamento e, se del caso, la designazione di tale titolare da parte del diritto dell'Unione possono essere non solo esplicite, ma anche implicite. In quest'ultima ipotesi, è tuttavia richiesto che tale determinazione derivi in maniera sufficientemente certa dal ruolo, dalla funzione e dalle attribuzioni devoluti alla persona o all'entità interessata. Ciò si verifica quando tali finalità e mezzi risultano, in sostanza, dalle disposizioni del diritto dell'Unione che disciplinano l'attività di detta persona o detta entità (v., per analogia, sentenza del 27 febbraio 2025, Amt der Tiroler Landesregierung, C‑638/23, EU:C:2025:127, punti 28 e 37).

34. Inoltre, al fine di stabilire la qualità di titolare del trattamento di un'entità, ai sensi dell'articolo 4, punto 7, seconda parte, del RGPD, non è necessario che tale entità eserciti un'influenza sulla determinazione delle finalità e dei mezzi di tale trattamento. Una siffatta entità, designata dal diritto dell'Unione o dal diritto nazionale quale titolare del trattamento, non deve quindi decidere essa stessa in merito alle finalità e ai mezzi del trattamento dei dati personali per dover rispondere, in quanto titolare del trattamento, alle richieste che gli interessati le rivolgono sulla base dei diritti loro conferiti dal RGPD (v., in tal senso, sentenza del 27 febbraio 2025, Amt der Tiroler Landesregierung, C‑638/23, EU:C:2025:127, punti 44 e 45).

35. Fatte salve tali osservazioni preliminari, occorre ricordare, in primo luogo, che, conformemente all'articolo 8, paragrafo 3, della Carta, nonché all'articolo 4, punto 21, all'articolo 51, paragrafo 1, e all'articolo 57, paragrafo 1, lettera a), del RGPD, le autorità di controllo sono incaricate di controllare il rispetto delle norme dell'Unione relative alla protezione delle persone fisiche con riguardo al trattamento dei dati personali che le riguardano [v., in tal senso, sentenza del 7 dicembre 2023, SCHUFA Holding (Esdebitazione), C‑26/22 e C‑64/22, EU:C:2023:958, punto 55 e giurisprudenza citata].

36. In particolare, a norma dell'articolo 57, paragrafo 1, lettera f), del RGDP, ogni autorità di controllo è tenuta, nel suo territorio, a trattare i reclami che qualsiasi persona, ai sensi dell'articolo 77, paragrafo 1, di tale regolamento, ha il diritto di proporre quando considera che un trattamento di dati personali che la riguardano costituisca una violazione di tale regolamento, e ad esaminarne l'oggetto nella misura necessaria. L'autorità di controllo che, in forza dell'articolo 58, paragrafi 1 e 2, del medesimo regolamento, è investita di poteri di indagine e di poteri correttivi, deve procedere al trattamento di un siffatto reclamo con la dovuta diligenza [v., in tal senso, sentenza del 7 dicembre 2023, SCHUFA Holding (Esdebitazione), C‑26/22 e C‑64/22, EU:C:2023:958, punti 56 e 57 e giurisprudenza citata].

37. Dalle competenze che le sono in tal modo riconosciute dal diritto dell'Unione discende che un'autorità di controllo investita di un reclamo è essa stessa chiamata a trattare, ai sensi dell'articolo 4, punto 2, del RGPD, dati personali del reclamante in quanto persona interessata. Infatti, in tale contesto, tali dati sono registrati, consultati, conservati e utilizzati da tale autorità.

38. Inoltre, le finalità e i mezzi del trattamento dei dati personali che può essere realizzato da un'autorità di controllo investita di un siffatto reclamo risultano, in sostanza, dalle disposizioni del diritto dell'Unione che disciplinano l'attività di tale autorità.

39. Ne consegue che un'autorità di controllo deve essere considerata «titolare del trattamento» dei dati personali del reclamante ai sensi dell'articolo 4, punto 7, del RGPD.

40. Un'interpretazione del genere è confermata dall'obiettivo stesso di tale disposizione, che è quello di garantire, mediante una definizione ampia della nozione di «titolare del trattamento», una protezione efficace e completa degli interessati con riguardo al trattamento dei dati personali che li riguardano [v., in tal senso, sentenza dell'11 gennaio 2024, État belge (Dati trattati da una Gazzetta ufficiale), C‑231/22, EU:C:2024:7, punto 28 e giurisprudenza citata].

41. Orbene, se un'autorità di controllo, che statuisce su un reclamo, non fosse qualificata come «titolare del trattamento», il reclamante sarebbe privato, per quanto riguarda il trattamento dei suoi dati personali da parte di tale autorità, di tutti i diritti elencati al capo III del RGPD, quali, in particolare, il diritto degli interessati alla trasparenza delle informazioni e delle comunicazioni, il diritto di essere informati quando i dati personali sono raccolti o meno presso di loro, il diritto di accesso ai dati personali che li riguardano, il diritto di rettifica di tali dati, il diritto alla loro cancellazione o, ancora, il diritto alla limitazione del trattamento, previsti, rispettivamente, agli articoli da 12 a 18 del regolamento in parola. Inoltre, le autorità di controllo non sarebbero soggette né ai principi relativi al trattamento dei dati personali, stabiliti all'articolo 5 di detto regolamento, quali, segnatamente, i principi di liceità, correttezza, trasparenza, limitazione delle finalità, minimizzazione o, ancora, esattezza, né alle norme relative, in particolare, alla sicurezza dei dati personali previste alla sezione 2 del capo IV del medesimo regolamento.

42. In tale contesto, non può essere accolto neppure l'argomento dell'Ufficio secondo cui talune disposizioni del RGPD presupporrebbero necessariamente una rigorosa distinzione tra l'autorità di controllo, da un lato, e il «titolare del trattamento», dall'altro. Come rilevato dall'avvocato generale al paragrafo 52 delle sue conclusioni, tali disposizioni si riferiscono unicamente alla situazione di principio considerata dal legislatore dell'Unione, nella quale questi due ruoli non si confondono. Esse non escludono tuttavia che un'autorità di controllo possa, in determinate circostanze, soddisfare contemporaneamente le condizioni richieste per essere qualificata come «titolare del trattamento».

43. Occorre aggiungere, a tal riguardo, che non risulta impossibile che l'autorità di controllo adegui la propria organizzazione interna affinché le azioni che essa intraprende, in qualità di titolare del trattamento dei dati personali del reclamante, possano, esse stesse, essere oggetto di un controllo indipendente da parte di un'altra entità in seno a tale autorità, conformemente alle disposizioni pertinenti del RGPD.

44. In secondo luogo, poiché un'autorità di controllo investita di un reclamo deve essere considerata «titolare del trattamento» in relazione ai dati personali del reclamante, a quest'ultimo deve essere riconosciuto, in forza dell'articolo 15, paragrafo 1, del RGPD, un diritto di accesso a tali dati.

45. A questo proposito, occorre rilevare che tale articolo 15, paragrafo 1, costituisce una delle disposizioni destinate a garantire la trasparenza delle modalità di trattamento dei dati personali nei confronti dell'interessato, trasparenza senza la quale quest'ultimo non sarebbe in grado di assicurarsi che i suoi dati personali siano esatti e trattati in modo lecito, né di esercitare le prerogative previste in particolare agli articoli da 16 a 18, 21, 79 e 82 di detto regolamento (sentenze del 22 giugno 2023, Pankki S, C‑579/21, EU:C:2023:501, punto 59, nonché del 27 febbraio 2025, Dun & Bradstreet Austria e a., C‑203/22, EU:C:2025:117, punto 53).

46. Tuttavia, occorre rilevare che l'articolo 15, paragrafo 1, del RGPD istituisce esclusivamente un diritto di accesso dell'interessato ai dati personali che lo riguardano e un diritto di informazione sul trattamento di tali dati. Detto articolo non sancisce invece né un diritto generale di accesso al fascicolo amministrativo né un diritto di consultazione di tutti i documenti detenuti dall'autorità pubblica in qualità di titolare del trattamento.

47. Tenuto conto di tutte le considerazioni che precedono, occorre rispondere alla prima questione dichiarando che l'articolo 4, punto 7, del RGPD, letto in combinato disposto con l'articolo 15 di quest'ultimo, deve essere interpretato nel senso che, nell'ambito di un procedimento avente ad oggetto un reclamo proposto da una persona interessata ai sensi dell'articolo 77 di tale regolamento, un'autorità di controllo, ai sensi dell'articolo 4, punto 21, di detto regolamento, deve essere qualificata come «titolare del trattamento» e, pertanto, essere tenuta, in linea di principio, a concedere a tale persona l'accesso ai dati personali che la riguardano e alle informazioni elencate nel predetto articolo 15.

Sulla seconda questione

48. Con la sua seconda questione, il giudice del rinvio chiede, in sostanza, se l'articolo 23 del RGPD debba essere interpretato nel senso che esso osta a una disposizione nazionale in forza della quale il reclamante non dispone di alcun diritto di accesso ai dati personali che lo riguardano, come previsto all'articolo 15 di tale regolamento, e che sono detenuti da un'autorità di controllo ai sensi dell'articolo 4, punto 21, di detto regolamento, quale l'Ufficio.

49. A questo proposito, va ricordato che il RGPD è fondato sull'esistenza di un diritto riconosciuto a qualsiasi persona fisica di beneficiare di una protezione con riguardo al trattamento dei dati personali che la riguardano. Tale protezione costituisce un diritto fondamentale, sancito dall'articolo 8, paragrafo 1, della Carta, cui fa rinvio il considerando 1 di detto regolamento. L'obiettivo di garantire l'effettività di tale diritto fondamentale, assicurando una tutela ad un livello elevato ed equivalente in tutti gli Stati membri, presiede all'applicazione di detto regolamento, come risulta dall'articolo 1 e dal considerando 10 di quest'ultimo (sentenza del 4 settembre 2025, Quirin Privatbank, C‑655/23, EU:C:2025:655, punto 38 e giurisprudenza citata).

50. È proprio ai fini della realizzazione di tale obiettivo che l'articolo 15, paragrafo 1, del RGPD garantisce all'interessato un diritto di accesso ai suoi dati personali [sentenza del 26 ottobre 2023, FT (Copie della cartella medica), C‑307/22, EU:C:2023:811, punto 48].

51. Ciò posto, il diritto alla protezione dei dati personali non è un diritto assoluto. Infatti, tale diritto deve essere considerato in relazione alla sua funzione sociale ed essere contemperato con altri diritti fondamentali, conformemente al principio di proporzionalità [v., in tal senso, sentenza del 12 gennaio 2023, Österreichische Post (Informazioni relative ai destinatari di dati personali), C‑154/21, EU:C:2023:3, punto 47].

52. In forza dell'articolo 23, paragrafo 1, del RGPD, possono quindi essere fissate limitazioni, mediante misure legislative, agli obblighi e ai diritti previsti, in particolare, all'articolo 15 di tale regolamento al fine di garantire taluni obiettivi di interesse generale elencati da tale disposizione, a condizione che tali limitazioni rispettino l'essenza dei diritti e delle libertà fondamentali e siano necessarie e proporzionate in una società democratica per garantire siffatti obiettivi.

53. Dalla decisione di rinvio risulta che, sebbene la relazione introduttiva al BayDSG menzioni espressamente l'articolo 23 del RGPD come base giuridica dell'articolo 20, paragrafo 2, del BayDSG, essa non fa riferimento ad alcuno degli obiettivi elencati da tale disposizione. Il giudice del rinvio rileva tuttavia che, secondo le osservazioni presentate dall'Ufficio nell'ambito del procedimento principale, tale disposizione del BayDSG perseguirebbe in realtà due obiettivi principali, ossia, da un lato, preservare la riservatezza dei dati personali relativi a terzi e, dall'altro, garantire il buon funzionamento nonché l'indipendenza dell'autorità di controllo. Inoltre, essa avrebbe anche l'obiettivo di garantire la tutela della pubblica sicurezza. Tali obiettivi rientrerebbero nell'ambito di applicazione dell'articolo 23, paragrafo 1, lettere c), e), h), e i), del RGPD.

54. Per quanto riguarda, in primo luogo, l'obiettivo di preservare la riservatezza dei dati personali relativi a terzi, occorre rilevare che, conformemente all'articolo 23, paragrafo 1, lettera i), del RGPD, possono essere stabilite limitazioni ai diritti e agli obblighi previsti all'articolo 15 di tale regolamento al fine di proteggere i diritti e le libertà altrui.

55. Del resto, il considerando 63 di detto regolamento enuncia che il diritto di ogni interessato di accedere ai dati personali raccolti che lo riguardano non dovrebbe ledere i diritti o le libertà altrui (sentenza del 27 febbraio 2025, Dun & Bradstreet Austria, C‑203/22, EU:C:2025:117, punto 69).

56. Tuttavia, tali considerazioni non dovrebbero portare a rifiutare qualsiasi comunicazione di informazioni all'interessato, come previsto dall'articolo 20 del BayDSG.

57. Infatti, come ricordato al punto 52 della presente sentenza, dall'articolo 23, paragrafo 1, del RGPD risulta che una limitazione della portata degli obblighi e dei diritti previsti segnatamente all'articolo 15 di quest'ultimo è possibile solo qualora tale limitazione rispetti l'essenza dei diritti e delle libertà fondamentali e costituisca una misura necessaria e proporzionata in una società democratica per garantire la protezione dei diritti e delle libertà altrui (sentenza del 27 febbraio 2025, Dun & Bradstreet Austria, C‑203/22, EU:C:2025:117, punto 70). Tale disposizione deve essere letta alla luce dell'articolo 8, paragrafo 2, seconda frase, della Carta, che sancisce il principio secondo cui «[o]gni persona ha il diritto di accedere ai dati raccolti che la riguardano e di ottenerne la rettifica».

58. Come rilevato dalla Corte, in caso di conflitto tra, da un lato, l'esercizio del diritto di accesso pieno e completo ai dati personali e, dall'altro, i diritti o le libertà altrui, occorre procedere a un contemperamento dei diritti e delle libertà in questione. Ove possibile, si devono scegliere modalità di comunicazione di dati personali che non ledano i diritti o le libertà altrui, tenendo conto del fatto che tali considerazioni non devono condurre a un diniego a fornire all'interessato tali dati, come risulta dal considerando 63 del RGPD (v., in tal senso, sentenza del 27 febbraio 2025, Dun & Bradstreet Austria, C‑203/22, EU:C:2025:117, punto 72 e giurisprudenza citata).

59. Pertanto, modalità adattate, quali, in particolare, l'occultamento o l'anonimizzazione dei dati personali riguardanti terzi, sono idonee a conciliare gli interessi in gioco senza sopprimere interamente il diritto di accesso dell'interessato ai dati personali che lo riguardano.

60. Ne consegue che l'articolo 23, paragrafo 1, lettera i), del RGPD osta a una disposizione legislativa nazionale in forza della quale il titolare del trattamento è tenuto a rifiutare all'interessato qualsiasi accesso ai dati personali che lo riguardano, senza poter procedere a un bilanciamento degli interessi in gioco.

61. In secondo luogo, per quanto riguarda l'obiettivo di preservare il buon funzionamento e l'indipendenza delle autorità di controllo, occorre rilevare che l'articolo 52 del RGPD garantisce la piena indipendenza di una siffatta autorità e impone a ciascuno Stato membro di garantire che ciascuna autorità di controllo disponga delle risorse umane, tecniche e finanziarie necessarie per l'esercizio effettivo dei suoi compiti e dei suoi poteri. Inoltre, la Corte ha sottolineato che l'obiettivo di assicurare un livello coerente ed elevato di protezione delle persone fisiche all'interno dell'Unione richiede di garantire il buon funzionamento delle autorità di controllo [sentenza del 9 gennaio 2025, Österreichische Datenschutzbehörde (Domande eccessive), C‑416/23, EU:C:2025:3, punto 40].

62. Pertanto, l'obiettivo di preservare il buon funzionamento e l'indipendenza delle autorità di controllo costituisce un obiettivo legittimo alla luce dell'articolo 23, paragrafo 1, lettera h), di tale regolamento, che consente, in linea di principio, di adottare limitazioni segnatamente al diritto di accesso garantito dall'articolo 15 del regolamento in parola.

63. Tuttavia, come rilevato, in sostanza, dall'avvocato generale al paragrafo 86 delle sue conclusioni, l'esercizio di tale diritto di accesso non è tale da compromettere la garanzia dell'esercizio indipendente dei compiti delle autorità di controllo.

64. Lo stesso vale per la garanzia dell'esercizio efficace di tali compiti. Infatti, una disposizione legislativa che vieti, in modo generale e astratto, qualsiasi accesso dell'interessato ai dati personali che lo riguardano, detenuti da un'autorità di controllo, non persegue, in modo proporzionato, un siffatto obiettivo.

65. A tal riguardo, occorre peraltro sottolineare che, anche supponendo che l'onere amministrativo connesso al trattamento delle richieste di accesso presentate ai sensi dell'articolo 15 del RGPD possa, se del caso, non essere trascurabile, si deve necessariamente sottolineare che, come ricordato al punto 61 della presente sentenza, ciascuno Stato membro provvede affinché ogni autorità di controllo disponga delle risorse umane, tecniche e finanziarie necessarie per l'esercizio effettivo dei suoi compiti e dei suoi poteri.

66. Inoltre, l'articolo 12, paragrafo 5, del RGPD consente al titolare del trattamento, di fronte a una richiesta di accesso manifestamente infondata o eccessiva, di addebitare un contributo spese ragionevole che tenga conto dei costi amministrativi sostenuti per fornire le informazioni, oppure di rifiutare di dare seguito a tali richieste.

67. Pertanto, il diritto di ogni interessato di accedere ai dati personali che lo riguardano non può essere escluso in via generale al fine di preservare il buon funzionamento e l'indipendenza delle autorità di controllo ai sensi dell'articolo 23, paragrafo 1, lettera h), di detto regolamento.

68. Per quanto riguarda, in terzo luogo, l'obiettivo di tutela della sicurezza pubblica, occorre osservare che, conformemente all'articolo 23, paragrafo 1, lettera c), del RGPD, tale obiettivo può giustificare una limitazione del diritto di accesso dell'interessato ai dati personali che lo riguardano, previsto all'articolo 15, paragrafo 1, di tale regolamento. Tuttavia, una simile limitazione potrebbe essere invocata da uno Stato membro solo in caso di minaccia effettiva e sufficientemente grave ad uno degli interessi fondamentali della collettività [v., per analogia, sentenza del 13 novembre 2025, Commissione/Ungheria (Materiali da costruzione per infrastrutture critiche), C‑499/23, EU:C:2025:875, punto 41]. Orbene, nulla di questo risulta dal fascicolo di cui dispone la Corte.

69. Tenuto conto di tutte le considerazioni che precedono, occorre rispondere alla seconda questione dichiarando che l'articolo 23, paragrafo 1, lettere c), h), e i), del RGPD deve essere interpretato nel senso che esso osta a una disposizione nazionale in forza della quale il reclamante non dispone di alcun diritto di accesso ai dati personali che lo riguardano, come previsto all'articolo 15 del suddetto regolamento, e che sono detenuti da un'autorità di controllo, ai sensi dell'articolo 4, punto 21, del medesimo regolamento.

Sulle spese

70. Nei confronti delle parti nel procedimento principale la presente causa costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.

P.Q.M.
la Corte (Terza Sezione) dichiara:

1) L'articolo 4, punto 7, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), letto in combinato disposto con l'articolo 15 di quest'ultimo, dev'essere interpretato nel senso che, nell'ambito di un procedimento avente ad oggetto un reclamo proposto da una persona interessata ai sensi dell'articolo 77 di tale regolamento, un'autorità di controllo, ai sensi dell'articolo 4, punto 21, di detto regolamento, deve essere qualificata come «titolare del trattamento» e, pertanto, essere tenuta, in linea di principio, a concedere a tale persona l'accesso ai dati personali che la riguardano e alle informazioni elencate nel predetto articolo 15.

2) L'articolo 23, paragrafo 1, lettere c), h) e i), del regolamento 2016/679 dev'essere interpretato nel senso che esso osta a una disposizione nazionale in forza della quale il reclamante non dispone di alcun diritto di accesso ai dati personali che lo riguardano, come previsto all'articolo 15 del suddetto regolamento, e che sono detenuti da un'autorità di controllo, ai sensi dell'articolo 4, punto 21, del predetto regolamento.