Richiesta di accesso ai dati manifestamente infondata o eccessiva: quando il Titolare può dire “no”
“Da grandi poteri derivano grandi responsabilità”, usava dire lo zio Ben a Peter Parker / Spiderman.
Ed è evidente, se si tiene a mente tutto ciò, che un Titolare del trattamento è spesso chiamato a porsi, e poi attuare, una lunga lista di obblighi e responsabilità.
Tra di esse hanno una posizione di assoluto rilievo le misure necessarie a fornire all’interessato le informazioni relative ai trattamenti gestiti, prendersi carico dei diritti (accesso, rettifica, cancellazione e limitazione del trattamento) tra cui la portabilità dei dati e l’opposizione al trattamento.
In questo quadro, si rimane particolarmente colpiti quando ci si imbatte in uno di quei casi in cui il Titolare ha potuto legittimamente negare l’accesso ai dati di un interessato.
A fronte delle tutele previste per l’accesso ai dati personali dell’interessato, e in particolare, dagli artt. 15-22 GDPR, la Corte di Norimberga ha infatti ritenuto prevalente, ai sensi dell’art. 12(5) GDPR, il diritto del Titolare a non dare seguito a richieste manifestamente infondate o eccessive.
I fatti
Il Titolare del trattamento è una società di assicurazione privata, con cui l’interessato ha stipulato un contratto di copertura assicurativa.
Le parti hanno dato avvio a una controversia legata alla supposta invalidità – invocata dall’assicurato – di diversi aumenti del premio che si erano succeduti nel periodo di vigenza del contratto.
L’interessato ha così adito la Corte Regionale di Ansbach per il rimborso dei premi pagati in eccesso, e ha contestualmente inviato una richiesta di accesso ai dati personali al Titolare del trattamento, avente ad oggetto tutte le informazioni sugli aggiustamenti occorsi ai premi effettuati, con gli aggiornamenti alle polizze assicurative, i supplementi alle stesse e tutte le lettere di notifica inviate, nel tempo, al soggetto interessato.
Il Titolare, a tale richiesta, ha opposto il proprio diniego.
La decisione
La Corte Regionale di Norimberga ha considerato che lo scopo della richiesta dell’assicurato non fosse quella di verificare la legittimità del trattamento dei dati che lo riguardavano, ma piuttosto quella di controllare se gli aggiustamenti fatti ai premi assicurativi fossero adeguati alla legge tedesca.
Pertanto, la Corte ha ritenuto che l’istanza presentata fosse manifestamente eccessiva, e ha stabilito che un Titolare può legittimamente rifiutarsi di ottemperare a una tale richiesta di accesso ai dati, ai sensi dell’art. 12(5)(b) del GDPR.
La decisione può dare spunto per una riflessione su cosa costituisca una richiesta “manifestamente eccessiva” e, più in generale, un “abuso” del diritto di accesso ai dati personali.
Sul punto, la Corte ha fatto riferimento allo scopo dell’art. 15 GDPR, che va letto congiuntamente e in armonia con il Considerando 63.
Dalla lettura delle due disposizioni, infatti, si può constatare che l’accesso ai dati personali concesso all’interessato ha, in generale, come obiettivo quello di permettere che il soggetto sia consapevole del trattamento dei dati, e possa verificarne la legittimità – obiettivi, entrambi, non presenti nell’intenzione dell’interessato nel caso proposto.
_________________________________________
Immagine di Kyle Glenn on Unsplash
