Un cittadino ha chiesto all’Österreichische Post, il principale operatore di servizi postali e logistici in Austria, di comunicargli l’identità dei destinatari a cui essa aveva comunicato i suoi dati personali. Il richiedente si fondava sul regolamento generale sulla protezione dei dati UE (il RGPD). Tale regolamento prevede che la persona interessata abbia il diritto di ottenere dal titolare del trattamento le informazioni relative ai destinatari o alle categorie di destinatari a cui i suoi dati personali sono stati o saranno comunicati.
Poste austriache a giudizio
In risposta alla richiesta del cittadino, l’Österreichische Post si è limitata ad affermare che essa utilizza dati personali, nei limiti consentiti dalla legge, nell’ambito della sua attività di editore di elenchi telefonici e che fornisce tali dati ai partner commerciali a fini di marketing.
Il cittadino ha allora citato l’Österreichische Post dinanzi ai giudici austriaci. Nel corso del procedimento giudiziario, l’Österreichische Post ha inoltre informato il cittadino che i suoi dati erano stati trasmessi a taluni clienti, tra cui inserzionisti attivi nel settore della vendita per corrispondenza e del commercio tradizionale, imprese informatiche, editori di indirizzi e associazioni quali organizzazioni di beneficienza, organizzazioni non governative (ONG) o partiti politici.
L’Oberster Gerichtshof (Corte suprema, Austria), investito della controversia in ultima istanza, intende sapere se il RGPD lasci al titolare del trattamento dei dati la libera scelta di comunicare o l’identità concreta dei destinatari o unicamente le categorie dei destinatari, oppure se offra all’interessato il diritto di conoscere la loro identità concreta.
Titolare del trattamento obbligato a fornire su richiesta l’identità dei destinatari
Con la sua sentenza pronunciata in data odierna, la Corte di giustizia risponde che qualora i dati personali siano stati o saranno comunicati a destinatari, il titolare del trattamento è obbligato a fornire all’interessato, su sua richiesta, l’identità stessa di tali destinatari. Solo qualora non sia (ancora) possibile identificare detti destinatari, il titolare del trattamento può limitarsi a indicare unicamente le categorie di destinatari di cui trattasi.
Ciò vale anche qualora il titolare dimostri che la richiesta è manifestamente infondata o eccessiva. La Corte sottolinea che tale diritto di accesso dell’interessato è necessario per consentirgli di esercitare altri diritti che gli sono riconosciutigli dal RGDP, vale a dire il diritto di rettifica, il diritto alla cancellazione («diritto all’oblio»), il diritto di limitazione di trattamento, il diritto di opposizione al trattamento o, ancora, il diritto di agire in giudizio nel caso in cui subisca un danno.