CGE: trattamento Dati Personali, ognuno deve sapere a chi sono comunicati

Con sentenza n.4/2023 del 12 gennaio 2023 la Corte di Giustizia europea torna sul trattamento dei dati riconoscendo il diritto ad ogni persona di sapere a chi sono stati comunicati i propri dati personali e al tempo stesso che il titolare del trattamento può limitarsi a indicare le categorie di destinatari qualora sia impossibile identificare questi ultimi o qualora la richiesta sia manifestamente infondata o eccessiva.

Vediamo i dettagli della causa e della decisione della Corte.

Causa C-154/21

Österreichische Post (Informations relatives aux destinataires de données personnelles) – trattamento dati personali

Il ricorso parte da un Cittadino austriaco che ha chiesto al principale operatore di servizi postali e logistici di comunicargli l’identità dei destinatari a cui essa aveva comunicato i suoi dati personali sulla base di quanto previsto dal regolamento generale sulla protezione dei dati UE (il GDPR).

L’Österreichische Post si è limitata ad affermare che essa utilizza dati personali, nei limiti consentiti dalla legge, nell’ambito della sua attività di editore di elenchi telefonici e che fornisce tali dati ai partner commerciali a fini di marketing.

Il cittadino ha quindi adito l’Österreichische Post dinanzi ai giudici austriaci e l’ente si è difeso comunicando di aver trasmesso i suoi dati a taluni clienti, inserzionisti attivi nel settore della vendita per corrispondenza e del commercio tradizionale, imprese informatiche, editori di indirizzi e associazioni quali organizzazioni di beneficienza, organizzazioni non governative (ONG) o partiti politici.

Il ricorso alla Corte di Giustizia UE: quali dati personali si possono comunicare?

La Corte suprema d’Austria, investita della controversia in ultima istanza, chiede dunque alla Corte di Giustizia se il Regolamento europeo per la privacy (RGPD) lasci al titolare del trattamento dei dati la libera scelta di comunicare o l’identità concreta dei destinatari o unicamente le categorie dei destinatari, oppure se offra all’interessato il diritto di conoscere la loro identità concreta.

Sentenza 4/2023 del 12 gennaio 2023: CGE cosa deve comunicare il titolare del trattamento dei dati personali?

Con la sentenza 4/2022, la Corte di giustizia conferma che qualora i dati personali siano stati o saranno comunicati a destinatari, il titolare del trattamento è obbligato a fornire all’interessato, su sua richiesta, l’identità stessa di tali destinatari.

Solo qualora non sia (ancora) possibile identificare detti destinatari o qualora il titolare dimostri che la richiesta è manifestamente infondata o eccessiva, il titolare del trattamento può limitarsi a indicare unicamente le categorie di destinatari dei dati.

Inoltre, il diritto di accesso dell’interessato è necessario per consentirgli di esercitare altri diritti che gli sono riconosciutigli dal RGDP, vale a dire il diritto di rettifica, il diritto alla cancellazione («diritto all’oblio»), il diritto di limitazione di trattamento, il diritto di opposizione al trattamento o, ancora, il diritto di agire in giudizio nel caso in cui subisca un danno.

Per approfondire sul trattamento dati e sul titolare del trattamento dati