Accesso ai dati personali: l’azienda deve sempre rispondere
Il diritto di accesso ai dati personali è uno strumento fondamentale per la tutela della privacy di ogni cittadino. Permette di sapere quali informazioni le aziende raccolgono su di noi e come le utilizzano. Una recente ordinanza della Corte di Cassazione ha rafforzato questo principio, chiarendo un punto cruciale: chi riceve una richiesta di accesso ha sempre l’obbligo di rispondere, anche se la risposta è negativa. Questo sposta l’onere della prova dall’individuo all’azienda, semplificando la vita a chi vuole esercitare i propri diritti.
La vicenda: una richiesta ignorata
I fatti sono semplici. Un cittadino invia una richiesta formale, tramite Posta Elettronica Certificata (PEC), a un istituto bancario. L’obiettivo è esercitare il proprio diritto di accesso per sapere quali dati personali la banca stesse trattando. La banca, però, non fornisce alcun riscontro.
Il cittadino decide quindi di rivolgersi al Tribunale per far accertare l’inadempimento della banca. Durante il processo, l’istituto di credito si difende sostenendo di non aver mai trattato alcun dato personale del richiedente. Il Tribunale, in prima battuta, dà ragione alla banca. Secondo il giudice, era il cittadino a dover dimostrare che la banca fosse effettivamente in possesso dei suoi dati. Un compito quasi impossibile, una vera e propria ‘probatio diabolica’.
L’inversione dell’onere della prova nell’accesso ai dati personali
Insoddisfatto della decisione, il cittadino ricorre in Cassazione. E qui la situazione si ribalta completamente. La Suprema Corte accoglie il ricorso, affermando un principio di diritto chiaro e fondamentale. Non è il cittadino a dover provare che l’azienda possiede i suoi dati. Al contrario, è l’azienda che, una volta ricevuta la richiesta di accesso ai dati personali, ha l’obbligo giuridico di rispondere.
La normativa europea (GDPR) è molto chiara. L’articolo 12 stabilisce che il titolare del trattamento deve fornire una risposta all’interessato ‘senza ingiustificato ritardo’ e, al più tardi, entro un mese dal ricevimento della richiesta. Questa risposta è dovuta sempre, anche se l’azienda non possiede alcun dato relativo al richiedente. In tal caso, la risposta sarà semplicemente negativa, ma non può essere omessa.
Le motivazioni: la tutela del cittadino prima di tutto
La Corte di Cassazione ha sottolineato che caricare il cittadino dell’onere di provare l’esistenza dei dati vanificherebbe lo scopo stesso del diritto di accesso. Se una persona dovesse già sapere quali dati sono trattati e da chi, il diritto di chiederlo perderebbe di significato. La richiesta di accesso serve proprio a scoprire informazioni che non si conoscono. Pertanto, è il destinatario della richiesta, in questo caso la banca, a dover effettuare le verifiche interne e a comunicarne l’esito. Il silenzio non è una risposta ammessa dalla legge.
Le conclusioni: un principio a favore della trasparenza
La decisione finale è stata la cassazione della sentenza precedente e il rinvio della causa al Tribunale. Quest’ultimo dovrà decidere nuovamente, ma questa volta seguendo il principio di diritto stabilito dalla Cassazione. L’azienda che riceve una richiesta di accesso ai dati personali deve sempre rispondere. In caso contrario, è inadempiente. Questa sentenza rappresenta una vittoria importante per la trasparenza e la protezione dei dati, rendendo più semplice per chiunque verificare come le proprie informazioni vengono gestite.
Se invio una richiesta di accesso ai dati a un’azienda, è obbligata a rispondermi?
Sì, la Cassazione ha stabilito che l’azienda destinataria della richiesta ha sempre l’obbligo di rispondere entro un mese, anche solo per comunicare di non possedere alcun dato.
Devo dimostrare che un’azienda ha i miei dati per poter fare richiesta di accesso?
No, non è necessario. La semplice richiesta è sufficiente per far scattare l’obbligo di risposta in capo all’azienda. L’onere della prova non è a carico del cittadino.
Cosa succede se un’azienda ignora la mia richiesta di accesso ai dati?
L’azienda commette un illecito. È possibile rivolgersi all’autorità giudiziaria o al Garante per la Protezione dei Dati Personali per far valere i propri diritti e ottenere un riscontro.