La Cassazione solleva l’interessato dagli oneri probatori per l’accesso ai dati personali

Stefano Gazzella : 15 Aprile 2023 09:17

La Cassazione con l’ordinanza n. 9313/2019 conferma che in caso di esercizio di diritto d’accesso la risposta all’interessato è d’obbligo entro i termini indicati dal GDPR. Viene inoltre indicato questo principio di diritto:

“In materia di trattamento dei dati personali, il soggetto onerato dell’obbligo di fornire risposta in ordine al possesso (o meno) dei dati sensibili è il destinatario dell’istanza di accesso e non invece l’istante, dovendo il primo sempre riscontrare l’istanza dell’interessato, anche in termini negativi, dichiarando espressamente di essere, o meno, in possesso dei dati di cui si richiede l’ostensione”.

Nulla di nuovo sotto il sole, insomma, rispetto a quanto già indicato dal Garante ad esempio per il provvedimento sanzionatorio nei confronti di Deutsche Bank. Il termine indicato dall’art. 12 GDPR (e dunque: un mese dalla richiesta) per fornire un risconto è perentorio e non suscettibile di eccezione. Anche in caso di rifiuto della richiesta o altrimenti di comunicazione dell’esigenza di un termine ulteriore (mai superiore ad altri 2 mesi).

Quanto viene messo in rilievo dall’ordinanza che cassa con rinvio la sentenza impugnata, riguarda l’aspetto del riparto degli oneri probatori fra titolare e interessato. Dalla corretta interpretazione fornita dalla Cassazione riguardante la norma, infatti, emerge chiaramente che non è l’interessato a dover provare che il titolare è in possesso dei propri dati personali altrimenti sarebbe sottoposto ad una vera e propria probatio diabolica. Anche perchè sarebbe in contraddizione con il carattere stesso del contenuto della richiesta di accesso ex art. 15 GDPR che può riguardare anche “la conferma che sia o meno in corso un trattamento di dati personali“.

Un’inversione dell’onere probatorio circa il dover dimostrare una sussistenza del diritto di accesso andrebbe infatti a svilire la portata dello stesso. E di conseguenza, dal momento che è il presupposto per poter esercitare correttamente anche gli ulteriori diritti garantiti dal GDPR agli interessati, le garanzie poste a tutela degli interessati nei confronti delle attività di trattamento svolte sui propri dati prsonali. Senza conferma di attività di trattamento dei propri dati personali (fra cui, è bene ricordare, è inclusa la conservazione e l’archiviazione) e le ulteriori informazioni a riguardo, l’interessato non può infatti avere idea della possibilità di esercizio in concreto di alcuno dei diritti garantiti dagli artt. 16 a 22 GDPR.

Parimenti l’onere di comprovare un carattere manifestamente infondato o eccessivo della richiesta di accesso non può che gravare sul titolare del trattamento e mai, all’inverso, sull’interessato. Altrimenti si assisterebbe o ad una medesima compressione del diritto o altrimenti a formule meramente di stile ed autodichiarative.

Se però gli Ermellini confermano tale diritto nelle modalità di esercizio, con riferimento a termini e riparti probatori, sarà bene invece ragionare su talune forme di abuso. Una fra tutte, la cosiddetta DSAR weaponization ovverosia la pratica di formulare richieste di accesso pretestuose e finalisticamente orientate a scopi “estranei” rispetto a quelli astrattamente previsti dalla norma come destinatari delle tutele. Ma questa è un’altra storia.

Stefano Gazzella
Privacy Officer e Data Protection Officer, specializzato in advisoring legale per la compliance dei processi in ambito ICT Law. Formatore e trainer per la data protection e la gestione della sicurezza delle informazioni nelle organizzazioni, pone attenzione alle tematiche relative all’ingegneria sociale. Giornalista pubblicista, fa divulgazione su temi collegati a diritti di quarta generazione, nuove tecnologie e sicurezza delle informazioni.