“Il cittadino ha diritto di conoscere «i destinatari o le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, in particolare se destinatari di paesi terzi o organizzazioni internazionali»”
– Articolo 15 del GDPR
Analizziamo il caso di un cliente austriaco delle Poste locali che aveva chiesto l’accesso ai suoi dati personali e l’identità dei destinatari a cui erano stati trasmessi.
Il cittadino-utente-consumatore europeo ha diritto di sapere a chi sono stati comunicati i suoi dati personali raccolti da un soggetto/operatore terzo.
L’esattezza di questa comunicazione deve arrivare fino all’identificazione dei destinatari: in sostanza il titolare dei dati personali deve poter conoscere chi li sta trattando e per quale finalità. Solo in casi residuali – e specifici – il titolare del trattamento può fornire al cittadino una risposta “generica” (cioè per generi di destinatari), ma solamente se sia impossibile identificare i destinatari o se la richiesta di accesso sia «manifestamente infondata o eccessiva» – con onere della prova spettante al titolare del trattamento e non al richiedente.
La Corte di Giustizia europea con la sentenza nella causa C-154/21, ha deciso la questione pregiudiziale attivata dalla Corte suprema austriaca e relativa al caso di un cliente delle Poste locali che aveva chiesto l’accesso ai suoi dati personali e, soprattutto, l’identità dei destinatari a cui erano stati trasmessi. L’operatore postale si era limitato a rispondere che la gestione dei dati personali viene svolta nell’ambito della sua attività di editore di elenchi telefonici e che fornisce tali dati personali a partner commerciali a fini di marketing. Risposta insoddisfacente per il cittadino che si era quindi rivolto alla magistratura nazionale per vedere applicato l’articolo 15 del GDPR (in particolare il diritto di conoscere «i destinatari o le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, in particolare se destinatari di paesi terzi o organizzazioni internazionali»). I giudici di merito austriaci avevano interpretato la norma facendo prevalere «le categorie di destinatari» rispetto ai «destinatari», quindi respingendo la domanda dell’utente postale, mentre il giudice supremo si è posto lo scrupolo di devolvere l’interpretazione alla CGUE.
La Corte, come d’abitudine, ha ripercorso la normativa unionale allargando però l’accento sia alle questioni di fondo (la tutela dei diritti personali, soprattutto nell’ambiente digitale) sia ai diritti correlati all’accesso, dal diritto di rettifica, al diritto all’oblio (che non attiene solo alle vicende giornalistiche, anzi) fino al diritto di limitazione al trattamento e infine al diritto di opposizione: tutte attività, queste, che presuppongono l’identificazione dei soggetti a cui il “primo recettore” (in questo caso le Poste austriache) ha trasmesso i dati personali del proprio cliente.
Cliente/cittadino/utente che, a giudizio della CGUE, ha un diritto generale di sapere con esattezza chi ha ricevuto e sta trattando i suoi dati personali, a meno che «sia impossibile identificare detti destinatari o che il suddetto titolare del trattamento dimostri che le richieste di accesso dell’interessato sono manifestamente infondate o eccessive», nel qual caso basterà indicare le «categorie» di destinatari.
Vuoi saperne di più sulla raccolta di dati? I professionisti di Spaziottantotto sono a tua disposizione per una consulenza o una richiesta di informazioni.
Contattaci adesso attraverso il form qui sotto!
