Con l’ordinanza n. 9313 del 4 aprile 2023, la Corte di Cassazione è intervenuta in merito all’istanza di accesso ai dati personali, ex artt. 15 e seg. del Reg. UE 679/2016 – GDPR proposta da un privato alla Ing Bank e al successivo diniego – illegittimo – di quest’ultima di fornire le informazioni richieste. 

Il titolare del trattamento non aveva infatti dato seguito all’istanza di accesso agli atti dell’interessato, non consentendo al richiedente di  conoscere i dati in suo possesso e la legittimità della raccolta degli stessimi, in aperta violazione della normativa vigente.

È infatti onere del destinatario dell’istanza dare riscontro in ordine al possesso o meno dei dati personali dell’istante anche qualora la risposta sia negativa, comunque entro i termini indicati dall’art. 12 del Regolamento.

Il contenuto della norma

Detto obbligo è chiaramente espresso all’interno del Reg. UE 679/2016 il quale all’art. 12, comma 3 dispone che “Il titolare del trattamento fornisce all’interessato le informazioni relative all’azione intrapresa riguardo a una richiesta ai sensi degli articoli da 15 a 22 senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa. Tale termine può essere prorogato di due mesi, se necessario, tenuto conto della complessità e del numero delle richieste. Il titolare del trattamento informa l’interessato di tale proroga, e dei motivi del ritardo, entro un mese dal ricevimento della richiesta. Se l’interessato presenta la richiesta mediante mezzi elettronici, le informazioni sono fornite, ove possibile, con mezzi elettronici, salvo diversa indicazione dell’ interessato“.

Ai sensi del comma 4 del medesimo articolo è stabilito che “Se non ottempera alla richiesta dell’interessato, il titolare del trattamento informa l’interessato senza ritardo, e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell’ inottemperanza e della possibilità di proporre reclamo a un’autorità di controllo e di proporre ricorso giurisdizionale“.

Infine, è il comma 5 dello stesso articolo a precisare espressamente che “Incombe al titolare del trattamento l’onere di dimostrare il carattere manifestamente infondato o eccessivo della richiesta“.

In conclusione la Corte, accogliendo il ricorso del privato, ha enunciato il seguente principio di diritto:

“In materia di trattamento dei dati personali, il soggetto onerato dell’obbligo di fornire risposta in ordine al possesso (o meno) dei dati sensibili è il destinatario dell’ istanza di accesso e non invece l’ istante, dovendo il primo sempre riscontrare l’ istanza dell’ interessato, anche in termini negativi, dichiarando espressamente di essere, o meno, in possesso dei dati di cui si richiede l’ostensione.”