La Corte UE sull’abuso di esercizio dei diritti previsti dal GDPR

Qualche mese fa abbiamo visto insieme come comportarsi in occasione dell’esercizio del diritto di accesso ai dati, nel particolare ambito di un procedimento disciplinare a carico del medesimo interessato istante.

In quell’occasione abbiamo visto i limiti e le condizioni da valutare per un Titolare del trattamento, al fine di accogliere (o negare) l’istanza presentata dall’interessato ai sensi dell’art. 15 GDPR.

(Per un approfondimento dettagliato, si veda: Accesso ai dati vs. procedimento disciplinare: qual è l’interesse prevalente?)

Finora le Linee Guida 1/2022 emanate dall’European Data Protection Board, come interpretate dall’Autorità Garante e dalla Giurisprudenza, hanno costituito il punto di riferimento da conoscere per assistere al meglio i Titolari del Trattamento che subiscono tali istanze; da oggi si aggiunge la Corte di Giustizia UE che, con la sua recente sentenza, ha ulteriormente chiarito quando è possibile limitare, finanche ad escludere, le richieste di esercizio dei diritti da parte degli interessati.

Premesse e riferimento normativo

In riferimento all’esercizio dei diritti, la Corte di giustizia UE nella causa C-526/24 ribadisce innanzitutto che il diritto alla protezione dei dati di carattere personale non è una prerogativa assoluta, ma va considerato alla luce della sua funzione sociale e va contemperato con altri diritti fondamentali, in ossequio al principio di proporzionalità.

Proprio nel precedente articolo abbiamo visto che l’art. 15 GDPR non è un diritto illimitato, siccome lo stesso GDPR è esplicito nel dirci che l’esercizio del diritto non deve essere manifestamente infondato o eccessivo (art. 12 par. 5 GDPR) e che la comunicazione delle informazioni richieste non deve ledere diritti e le libertà altrui (art. 15 par. 4 GDPR).

A differenza del precedente articolo però, all’interno del quale ci siamo concentrati nell’ analizzare e interpretare uno specifico diritto previsto dall’art. 15 GDPR, l’attuale pronuncia della Corte UE è molto più ampia sotto il profilo applicativo, riguardando tutti i diritti riconosciuti dal GDPR.

In particolare, nella sentenza in questa sede analizzata, la Corte si pronuncia proprio sull’eccezione prevista all’art. 12 par. 5 GDPR, ricordando innanzitutto che tale eccezione deve essere comunque interpretata restrittivamente e che l’onere di dimostrare il carattere infondato o eccessivo della richiesta di esercizio dei diritti è interamente in capo al Titolare del Trattamento.

Per tali ragioni, andiamo a vedere quali sono i criteri da prendere in considerazione, e che devono essere dimostrati dal Titolare, per respingere una richiesta di esercizio dei diritti a causa del suo carattere manifestamente infondato o eccessivo.

Il caso affrontato dalla Corte UE

Sinteticamente, una persona fisica residente in Austria si era abbonata ad una newsletter di un’impresa, inserendo i propri dati personali nel modulo di iscrizione disponibile sul sito Internet ed esprimendo il consenso al trattamento di tali dati. Tredici giorni dopo l’iscrizione, il medesimo soggetto ha rivolto una richiesta di accesso ai sensi dell’articolo 15 del RGPD nei confronti dell’impresa titolare del trattamento coinvolta.

Il Titolare, nel respingere la richiesta di accesso, si è appellato all’eccezione prevista dall’art. 12 par. 5 GDPR, sostenendo il carattere abusivo dell’istanza nonostante si tratti quantitativamente di una sola richiesta e non di richieste ripetute (come invece previsto dal tono letterale dell’art. 12 par. 5).

La riconducibilità del carattere abusivo della richiesta si è basata sulla circostanza, sostenuta dal titolare del trattamento, che vede vari servizi giornalistici riportare uno specifico modus operandi del medesimo soggetto istante, il quale sistematicamente e abusivamente è solito ad esercitare richieste di accesso ai propri dati personali a vari titolari del trattamento al solo scopo di ottenere risarcimenti a titolo di una presunta violazione del GDPR.

Arrivati a questo punto, ci si è chiesti non solo se tale modus operandi possa essere ricondotto alla nozione di “richiesta eccessiva” per abusitvità, ma anche quali siano i criteri rivelatori di tale eccessività tenuto conto che il GDPR enuncia solamente il criterio quantitativo del “carattere ripetitivo” della richiesta.

Il ragionamento della Corte e i criteri

La Corte innanzitutto ribadisce un principio generale del diritto dell’Unione in materia di abusività del diritto, chiarendo che i soggetti dell’ordinamento giuridico dell’UE non possono avvalersi fraudolentemente o abusivamente delle norme dell’Unione.
Fatta tale premessa, la Corte per converso sottolinea che la nozione di “richieste eccessive“, a cui collegare altresì il concetto di “abusività“, non è in alcun modo definita dal GDPR.

Tenuto conto quindi del principio generale poc’anzi citato, la Corte ricorre ai seguenti elementi interpetravi per definire tale nozione:

1. in primis è necessario stabilire il significato abituale utilizzato nel linguaggio corrente della nozione di “richieste eccessive“;
2. in secondo luogo è necessario attribuire un determinato significato sulla base del contesto di tale disposizione e degli obiettivi perseguiti dalla normativa di cui essa fa parte.

L’aggettivo «eccessivo» designa quindi qualcosa che eccede la misura ordinaria o ragionevole o, ancora, che oltrepassa la misura auspicabile o consentita. Il solo impiego di tale aggettivo, che si riferisce a caratteristiche sia qualitative che quantitative, consente quindi di ammettere che anche solo una prima richiesta di accesso possa ritenersi eccessiva.

In ultimo allora, andiamo a vedere nello specifico cosa si intende per caratteristica quantitativa e qualitativa.

Il criterio quantitativo

Il criterio quantitativo è quello risultante dal tono letterale della norma di cui all’art. 12 par. 5 GDPR, dove emerge che il carattere ripetitivo (il numero elevato) delle richieste contribuisce a considerarle come eccessive.

Secondo la Corte, tale elemento quantitativo (quante richieste effettua il medesimo interessato in un dato periodo di tempo) non è necessario per definire una richiesta come eccessiva, ma costituisce solo un indizio per l’applicazione dell’eccezione prevista dalla norma e che consiste, è bene ribadirlo, nel:

a) addebitare un contributo spese ragionevole tenendo conto dei costi amministrativi sostenuti per fornire le informazioni o la comunicazione o intraprendere l’azione richiesta; oppure
b) rifiutare di soddisfare la richiesta.

Quindi dal momento che il criterio quantitativo è solo “indiziario“, non è necessario che la richiesta presenti i caratteri della ripetitività per essere giuridica eccessiva, diventando in ultimo fondamentale il criterio qualitativo.

Il criterio qualitativo

Secondo la Corte, per respingere una richiesta di esercizio dei diritti poiché ritenuta una pratica abusiva (e quindi rientrante nella nozione di eccessività) si richiede di provare un insieme di circostanze oggettive e soggettive dalle quali risulti che:

1. dal punto di vista oggettivo, l’obiettivo perseguito da tale normativa nell’attribuire quello specifico diritto non sia stato conseguito e non sia conseguibile attraverso l’istanza presentata;
2. dal punto di vista soggettivo, la volontà del soggetto istante di ottenere un vantaggio derivante dalla normativa dell’Unione per mezzo della creazione artificiosa delle condizioni necessarie per il suo ottenimento.

Occorrerà quindi prendere in considerazione tutte le circostanze del caso di specie, in particolare:

• il fatto che l’interessato abbia fornito dati personali senza esservi costretto,
• la finalità della fornitura di tali dati,
• il tempo trascorso tra quest’ultima e la richiesta di accesso.
• il comportamento di tale persona.

Le conclusioni della Corte

Tenuto conto dei criteri delineati e qui sintetizzati, la Corte ha ritenuto che tutti gli elementi di fatto idonei a configurare una pratica abusiva sono ammissibili all’interno del processo ai fini della loro corretta valutazione da parte del giudice del merito.

Nel caso di specie, sono state ritenute apprezzabili le informazioni pubbliche che segnalerebbero la presentazione sistematica, da parte del soggetto istante, di richieste di accesso ai suoi dati personali e di contestuali domande di risarcimento a diversi titolari del trattamento secondo un preciso modus operandi: detto elemento è stato certamente ritenuto idoneo ad essere preso in considerazione al fine di dimostrare l’intento abusivo dell’interessato.

Nuove prassi operative per i Titolari

In maniera analoga a quanto vi abbiamo proposto all’interno dell’articolo sul diritto di accesso nel contesto dei procedimenti disciplinari, in questa sede vi proponiamo la medesima metrica valutativa adattata alla luce dell’interpretazione della Corte UE, al fine di valutare se accogliere o meno un’istanza di esercizio dei diritti previsti dal GDPR:

1. In primo luogo occorre comprendere se l’istanza di esercizio dei diritti previsti dal GDPR possa essere limitata o esclusa in considerazione dei limiti espressamente previsti dal Regolamento a seconda del diritto esercitato: ad esempio nel caso di una richiesta di cancellazione dei dati bisogna innanzitutto valutare se l’interessato ha i presupposti per esercitare tale diritto (art. 17 par. 1 GDPR) e in secondo luogo capire se sono applicabili le eccezioni previste all’art. 17 par. 3 GDPR.
2. La seconda fase è dimostrativa della necessità di effettuare la valutazione, quando ad esempio la richiesta appare manifestamente eccessiva o infondata; In questo caso, per applicare l’eccezione prevista all’art. 12 par. 5, occorre individuare quali sono gli elementi e le prove he inducono a ritenere manifestamente infondata o eccessiva la richiesta di esercizio dei diritti, sulla base dei criteri delineati dalla Corte UE;
3. Durante la terza e ultima fase, bisogna valutare il contenuto del riscontro da comunicare all’interessato, riscontro che è sempre dovuto (salvo i casi di cui all’art. 2-undecies Codice privacy) anche in occasione del rifiuto di soddisfare l’istanza.

Consigli utili

I medesimi consigli che vi abbiamo comunicato all’interno dell’articolo (Accesso ai dati vs. procedimento disciplinare: qual è l’interesse prevalente?), riteniamo di riproporveli anche in questa sede, per la sovrapponibilità del tema.

In particolare, è indispensabile documentare tutto il processo valutativo che ha portato a considerare una richiesta di esercizio dei diritti come eccessiva, sottoscrivendo il documento con data certa. Difatti, in questi casi così delicati, è fondamentale osservare il principio di accountability e poter dimostrare, a fronte di eventuali contestazioni nel merito, di aver provveduto e argomentato compiutamente tutte le scelte poi adottate.

In ultimo è bene ricordarsi che il Titolare è tenuto a fornire comunque un riscontro all’interessato, specificando i motivi in caso di negato accesso e informando circa la possibilità di presentare reclamo all’autorità di controllo e di proporre ricorso giurisdizionale (art. 12, par. 4, del RGPD).