Causa C-307/22

FT

contro

DW

(domanda di pronuncia pregiudiziale proposta dal Bundesgerichtshof)

Sentenza della Corte (Prima Sezione) del 26 ottobre 2023

«Rinvio pregiudiziale – Trattamento dei dati personali – Regolamento (UE) 2016/679 – Articoli 12, 15 e 23 – Diritto di accesso dell’interessato ai suoi dati oggetto di trattamento – Diritto di ottenere gratuitamente una prima copia di tali dati – Trattamento di dati di un paziente da parte del suo medico – Cartella medica – Motivi della richiesta di accesso – Utilizzo dei dati al fine di far valere la responsabilità del professionista sanitario – Nozione di “copia”»

1. Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento 2016/679 – Diritto di accesso dell’interessato ai suoi dati oggetto di trattamento – Diritto di ottenere gratuitamente una prima copia dei propri dati – Obbligo del titolare del trattamento di fornire una tale copia – Obbligo dell’interessato di motivare la sua richiesta di accesso ai dati derivante dal preambolo del regolamento – Assenza

   (Regolamento del Parlamento europeo e del Consiglio 2016/679, considerando 63 e artt. 12, § 5, e 15, §§ 1 e 3)

   (v. punti 35-38, 43, 46, 50-52, dispositivo 1)

2. Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento 2016/679 – Facoltà per gli Stati membri di adottare una normativa che limiti la portata di determinati diritti e obblighi previsti dal regolamento – Normativa nazionale adottata anteriormente o posteriormente all’entrata in vigore del regolamento – Irrilevanza

   (Regolamento del Parlamento europeo e del Consiglio 2016/679, art. 23, § 1)

   (v. punti 54-56, 69, dispositivo 2)

3. Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento 2016/679 – Diritto di accesso dell’interessato ai suoi dati oggetto di trattamento – Diritto di ottenere gratuitamente una prima copia dei propri dati – Limitazioni – Presupposti – Tutela dei diritti e delle libertà altrui – Facoltà per uno Stato membro di adottare una normativa nazionale che mira a tutelare gli interessi economici del titolare del trattamento e che pone a carico dell’interessato le spese per una prima copia dei suoi dati – Assenza

   [Regolamento del Parlamento europeo e del Consiglio 2016/679, art. 23, § 1, i)]

   (v. punti 62, 64, 65, 67-69, dispositivo 2)

4. Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento 2016/679 – Diritto di accesso dell’interessato ai suoi dati oggetto di trattamento – Fornitura di una copia dei dati – Nozione di copia – Consegna all’interessato di una riproduzione fedele e intelligibile di tali dati – Copia di estratti di documenti o anche di documenti interi o, ancora, di estratti di banche dati contenenti, tra l’altro, detti dati – Inclusione – Presupposto

   (Regolamento del Parlamento europeo e del Consiglio 2016/679, considerando 58 e artt. 12, § 1, e 15, §§ 1 e 3, 1a frase)

   (v. punti 71-75)

5. Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento 2016/679 – Diritto di accesso dell’interessato ai suoi dati oggetto di trattamento – Fornitura di una copia dei dati – Nozione di copia – Consegna all’interessato di una riproduzione fedele e intelligibile dell’insieme dei dati della sua cartella medica – Copia integrale dei documenti contenuti nella cartella medica – Inclusione – Presupposto

   (Regolamento del Parlamento europeo e del Consiglio 2016/679, considerando 63 e art. 15, § 3, 1a frase)

   (v. punti 76-79, dispositivo 3)

Sintesi

DW ha chiesto a FT, suo medico dentista, di consegnargli, a titolo gratuito, una prima copia della sua cartella medica. Egli ha formulato tale richiesta al fine di far valere la responsabilità di FT per errori asseritamente commessi da quest’ultima in occasione della prestazione, nei suoi confronti, di cure dentistiche.

FT, fondandosi sul diritto tedesco in forza del quale il paziente può ottenere una copia della sua cartella clinica a condizione di rimborsare al professionista sanitario le spese che ne derivano ( 1 ), si è rifiutata di fornire una siffatta copia a DW e di conseguenza quest’ultimo ha proposto un ricorso. Sia il giudice di primo grado sia quello d’appello hanno accolto la domanda di DW diretta ad ottenere, a titolo gratuito, una prima copia della sua cartella medica.

Il Bundesgerichtshof (Corte federale di giustizia, Germania), investito di un ricorso per cassazione («Revision») da FT, ha interpellato la Corte sull’interpretazione delle disposizioni del RGPD che riguardano le modalità di esercizio del diritto di accesso dell’interessato ai propri dati nonché le limitazioni della portata di tale diritto ( 2 ).

Con la sua sentenza, la Corte conclude, anzitutto, per la sussistenza dell’obbligo del titolare del trattamento di fornire, su richiesta dell’interessato, a titolo gratuito, una prima copia dei suoi dati personali per finalità diverse da quelle volte ad essere consapevole del trattamento di tali dati e a verificarne la liceità, espressamente menzionate nel preambolo del RGPD. Essa si pronuncia, poi, sui contorni della facoltà degli Stati membri di limitare, in nome degli interessi economici del titolare del trattamento, il diritto di ottenere una copia dei dati imponendo all’interessato il pagamento delle spese sostenute da detto titolare a tal fine. Essa esamina, infine, la necessità di fornire all’interessato, in taluni casi, una copia integrale dei dati della sua cartella medica.

Giudizio della Corte

In primo luogo, per quanto riguarda la questione se la fornitura a titolo gratuito all’interessato di una prima copia dei suoi dati gravi sul titolare del trattamento anche ai fini del perseguimento di finalità diverse da quelle espressamente indicate nel preambolo del RGPD, la Corte ricorda che l’articolo 15, paragrafo 3, prima frase, di tale regolamento conferisce all’interessato il diritto di ottenere una riproduzione fedele dei suoi dati personali, intesi in senso ampio, che siano oggetto di operazioni qualificabili come «trattamento effettuato dal titolare di tale trattamento» ( 3 ). Inoltre, dal combinato disposto delle disposizioni pertinenti del RGPD ( 4 ) risulta, da un lato, che l’interessato ha il diritto di ottenere una prima copia a titolo gratuito dei suoi dati personali oggetto di trattamento e, dall’altro, che il titolare del trattamento ha la facoltà, a determinate condizioni, di addebitare spese ragionevoli che tengano conto dei costi amministrativi, o di rifiutare di dar seguito a una richiesta se quest’ultima è manifestamente infondata o eccessiva.

Tuttavia, nessuna di tali disposizioni subordina la fornitura, a titolo gratuito, di una prima copia dei dati personali all’invocazione, da parte dell’interessato, di un motivo diretto a giustificare la sua richiesta. Pertanto, i motivi di richieste che figurano espressamente nel preambolo del RGPD ( 5 ) non possono limitare la portata di dette disposizioni. Quindi, il diritto di accedere ai dati relativi alla salute ( 6 ) non può essere limitato, mediante un diniego di accesso o l’imposizione del pagamento di un corrispettivo, a uno di tali motivi, il che vale anche per il diritto di ottenere una prima copia a titolo gratuito.

Inoltre, il principio della gratuità della prima copia dei dati nonché l’assenza di necessità di invocare un motivo specifico che giustifichi la richiesta di accesso contribuiscono necessariamente a facilitare l’esercizio, da parte dell’interessato, dei diritti conferitigli dal RGPD. Di conseguenza, data l’importanza che tale regolamento attribuisce al diritto di accedere ai dati personali per conseguire gli obiettivi da esso perseguiti, l’esercizio di tale diritto non può essere subordinato a condizioni che non siano state espressamente previste dal legislatore dell’Unione.

In secondo luogo, la Corte dichiara che uno Stato membro non è legittimato ad adottare una normativa nazionale che, al fine di tutelare gli interessi economici del titolare del trattamento, ponga a carico dell’interessato le spese di una prima copia dei suoi dati personali.

È vero che, in forza del RGPD, il diritto dell’interessato di ottenere una prima copia a titolo gratuito dei suoi dati personali non è assoluto e, a determinate condizioni, la tutela dei diritti e delle libertà altrui potrebbe giustificare una limitazione di tale diritto ( 7 ). Tuttavia, nel caso di specie, nei limiti in cui la normativa nazionale abbia l’obiettivo di tutelare gli interessi economici dei professionisti sanitari prevenendo le richieste di copia inutili, siffatte considerazioni non possono rientrare in tali diritti e libertà altrui.

Infatti, tale normativa porta a scoraggiare non soltanto le richieste inutili, ma anche le richieste dirette ad ottenere per un motivo legittimo una prima copia, a titolo gratuito, dei dati personali trattati. Di conseguenza, essa viola necessariamente il principio della gratuità della prima copia e rimette in discussione, per tale motivo, l’effetto utile del diritto di accesso dell’interessato ai suoi dati, previsto dal RGPD, nonché, di conseguenza, la protezione ivi garantita.

Inoltre, la Corte sottolinea che gli interessi economici dei titolari del trattamento sono stati presi in considerazione in forza del RGPD che definisce le circostanze in cui il titolare del trattamento può chiedere il pagamento delle spese connesse alla fornitura di una copia dei dati personali.

In terzo e ultimo luogo, la Corte considera che, nei rapporti medico/paziente, il diritto di ottenere una copia dei dati personali implica la consegna, all’interessato, di una riproduzione fedele e intelligibile dell’insieme di tali dati. Tale diritto presuppone quello di ottenere la copia integrale dei documenti contenuti nella sua cartella medica qualora ciò sia necessario per consentire a tale interessato di verificare l’esattezza e la completezza dei suoi dati nonché per garantirne l’intelligibilità.

A tale riguardo, essa rileva che, per quanto riguarda i dati personali relativi alla salute, il RGPD specifica che il diritto di accesso degli interessati include «[i] dati relativi [alle loro] cartelle mediche contenenti informazioni quali diagnosi, risultati di esami, pareri di medici curanti o eventuali terapie o interventi praticati» ( 8 ). È a causa della sensibilità di tali dati che il legislatore dell’Unione ha così sottolineato l’importanza che l’accesso delle persone fisiche ai loro dati contenuti nel loro cartella medica avvenga nel modo più completo e preciso possibile, ma anche intelligibile.

Orbene, per quanto riguarda risultati di esami, pareri di medici curanti e terapie o interventi praticati ad un paziente, che comprendono, in generale, numerosi dati tecnici, o addirittura immagini, la fornitura di una semplice sintesi o di una compilazione di tali dati da parte del medico, al fine di presentarli in forma sintetica, potrebbe creare il rischio che taluni dati pertinenti siano omessi o riprodotti in modo inesatto o, in ogni caso, che la verifica della loro esattezza e della loro completezza nonché la loro comprensione da parte del paziente ne siano rese più difficili.

( 1 ) Articolo 630 g, paragrafo 2, seconda frase, del Bürgerliches Gesetzbuch (codice civile tedesco).

( 2 ) Più concretamente, sull’articolo 12, paragrafo 5, sull’articolo 15, paragrafi 1 e 3, e sull’articolo 23, paragrafo 1, lettera i), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1, e rettifica in GU 2018, L 127, pag. 2; in prosieguo: il «RGPD»).

( 3 ) Sentenza del 4 maggio 2023, Österreichische Datenschutzbehörde e CRIF (C-487/21, EU:C:2023:369, punto 28).

( 4 ) Articolo 12, paragrafo 5, e articolo 15, paragrafi 1 e 3, del RGPD.

( 5 ) La prima frase del considerando 63 del RGPD prevede che «[u]n interessato dovrebbe avere il diritto di accedere ai dati personali raccolti che l[o] riguardano e di esercitare tale diritto facilmente e a intervalli ragionevoli, per essere consapevole del trattamento e verificarne la liceità».

( 6 ) Garantito all’articolo 15, paragrafo 1, del RGPD.

( 7 ) Ai sensi dell’articolo 23, paragrafo 1, lettera i), del RGPD.

( 8 ) Considerando 63 del RGPD.