Edizione provvisoria

CONCLUSIONI DELL’AVVOCATO GENERALE

RIMVYDAS NORKUS

presentate il 16 aprile 2026 (1)

Causa C‑205/25

Joachim Lindenberg

contro

Bayerisches Landesamt für Datenschutzaufsicht

[domanda di pronuncia pregiudiziale, proposta dal Bayerisches Verwaltungsgericht Ansbach (Tribunale amministrativo del Land Baviera, Ansbach, Germania)]

« Rinvio pregiudiziale – Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento (UE) 2016/679 – Articolo 15 – Domanda di accesso dell’interessato ai suoi dati personali – Articolo 77 – Dati contenuti nel fascicolo di un’autorità di controllo che interviene nell’ambito di un procedimento di reclamo – Articolo 4, punto 7 – Nozione di “titolare del trattamento” – Articolo 23 – Limitazioni al diritto di accesso – Normativa nazionale che esclude qualsiasi accesso al fascicolo »

I.      Introduzione

1.        La presente domanda di pronuncia pregiudiziale, proposta dal Bayerisches Verwaltungsgericht Ansbach (Tribunale amministrativo del Land Baviera, Ansbach, Germania) ai sensi dell’articolo 267 TFUE, verte sull’interpretazione dell’articolo 4, punti 7 e 21, e degli articoli 15, 23 e 77 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (2) (in prosieguo: il «RGPD»).

2.        Tale domanda di pronuncia pregiudiziale si inserisce nell’ambito di una controversia tra il sig. Joachim Lindenberg, giornalista specializzato nella protezione dei dati, e il Bayerisches Landesamt für Datenschutzaufsicht (Autorità bavarese di controllo della protezione dei dati, Germania) (in prosieguo: il «Landesamt»), riguardante il rifiuto di tale autorità di concedergli, sulla base dell’articolo 15 del RGPD, un accesso completo al suo fascicolo nell’ambito di un procedimento avviato a seguito di un reclamo da lui presentato contro terzi. Il Landesamt ha motivato tale rifiuto con una disposizione bavarese che esclude l’accesso del pubblico ai fascicoli delle autorità di controllo. A seguito del ricorso proposto dal sig. Lindenberg, tale autorità ha infine consentito un accesso al fascicolo con messi elettronici, senza tuttavia riconoscere alcun errore giuridico, mentre il ricorrente insiste nel chiedere l’accertamento dell’illegittimità del rifiuto iniziale. Ritenendo che la soluzione della controversia presupponga un’interpretazione delle disposizioni pertinenti del RGPD nonché un esame della conformità della normativa bavarese al diritto dell’Unione, il giudice del rinvio ha deciso di sospendere il procedimento e di sottoporre alla Corte due questioni pregiudiziali.

3.        La Corte è chiamata a pronunciarsi sulla questione se un’autorità di controllo in materia di protezione dei dati, nell’ambito di un procedimento di reclamo avviato ai sensi dell’articolo 77 del RGPD, possa essere qualificata come «titolare del trattamento» ai sensi dell’articolo 4, punto 7, del RGPD, e in che misura sia tenuta a rispettare gli obblighi di accesso di cui all’articolo 15 del RGPD. Essa è invitata, in particolare, a esaminare se il diritto dell’Unione osti a una normativa nazionale che esclude, per le persone interessate, qualsiasi diritto di accesso al fascicolo. Tale valutazione dovrà essere effettuata alla luce dell’articolo 23 del RGPD, che autorizza, per taluni motivi di interesse generale, la limitazione degli obblighi di accesso previsti da tale regolamento, nonché dell’articolo 8, paragrafo 2, della Carta dei diritti fondamentali dell’Unione europea (in prosieguo: la «Carta»), il quale garantisce a ogni persona il diritto di accedere ai dati raccolti che la riguardano. A tal proposito, la Corte dovrà ponderare, da un lato, il requisito di trasparenza dell’azione amministrativa e, dall’altro, la necessità di garantire l’efficacia delle indagini in materia di protezione dei dati.

II.    Contesto normativo

A.      Diritto dell’Unione

4.        Sono pertinenti, nell’ambito della presente causa, gli articoli 8 e 52 della Carta, l’articolo 16 TFUE, nonché l’articolo 4, punti 1, 2, 7 e 9, nonché gli articoli 5, 15, 23, 51, 57, 58 e 77 del RGPD.

B.      Diritto tedesco

5.        Ai sensi dell’articolo 18 del Bayerisches Datenschutzgesetz (legge bavarese in materia di protezione dei dati; in prosieguo: il «BayDSG», il Landesamt è un’autorità di controllo per gli enti non pubblici.

6.        L’articolo 20 del BayDSG così prevede:

«1)      Chiunque può rivolgersi alle autorità di controllo adducendo che i suoi diritti sono stati violati in occasione del trattamento dei suoi dati personali. Il ricorso alle autorità di controllo non deve arrecare pregiudizio alla persona interessata.

2)      Non sussistono diritti di accesso o di consultazione in relazione ai documenti cartacei e digitali delle autorità di controllo».

7.        Nella relazione introduttiva della legge riguardante l’articolo 20, paragrafo 2, del BayDSG si precisa che tale disposizione trova applicazione ed esclude qualsiasi diritto di accesso ai sensi dell’articolo 15 del RGPD ogniqualvolta tale diritto sia invocato nei confronti del Landesamt per quanto riguarda i suoi documenti cartacei e digitali.

III. Fatti all’origine della controversia oggetto del procedimento principale, procedimento principale e questioni pregiudiziali

8.        Il sig. Lindenberg è un giornalista e gestisce un blog che si occupa, in particolare, di protezione dei dati. Dal 2021 ha avviato vari procedimenti di reclamo dinanzi al Landesamt.

9.        A seguito di un reclamo in materia di protezione dei dati, proposto dal sig. Lindenberg il 13 maggio 2022 dinanzi al Landesamt, quest’ultimo ha avviato un procedimento di controllo nei confronti di terzi. Con messaggio di posta elettronica dell’11 ottobre 2022, il Landesamt ha informato il sig. Lindenberg del fatto che in tale contesto aveva constatato che il destinatario del reclamo aveva commesso violazioni in materia di protezione dei dati. Esso ha aggiunto che allo scadere del termine per porre rimedio a tali violazioni, sarebbe stato emesso un ammonimento accompagnato dall’obbligo di pagamento in caso di nuove violazioni commesse dal destinatario del reclamo. Con messaggio di posta elettronica dello stesso giorno, il sig. Lindenberg ha chiesto la comunicazione di ulteriori dettagli relativi alle misure adottate dal Landesamt. Poiché quest’ultimo non ha dato seguito a tale richiesta, il sig. Lindenberg, con messaggio di posta elettronica dell’11 ottobre 2022, ha chiesto di ottenere un accesso completo ai sensi dell’articolo 15, paragrafi 1 e 3, del RGDP.

10.      Con messaggio di posta elettronica e decisione del 20 ottobre 2022, il Landesamt ha dichiarato che la richiesta di accesso ai sensi dell’articolo 15, paragrafi 1 e 3, del RGPD era respinta. Esso ha motivato tale rigetto affermando che la disposizione espressa di cui all’articolo 20, paragrafo 2, del BayDSG escludeva un diritto di accesso e di consultazione dei documenti cartacei e digitali delle autorità di controllo.

11.      Il sig. Lindenberg ha proposto, avverso tale decisione, un ricorso dinanzi al Bayerisches Verwaltungsgericht Ansbach (Tribunale amministrativo del Land Baviera, Ansbach) chiedendo che fosse ordinato al Landesamt di fornirgli una copia di tutti i dati contenuti nel fascicolo del procedimento di reclamo avviato il 13 maggio 2022.

12.      Il 23 febbraio 2024 il Landesamt ha consentito l’accesso con mezzi elettronici al fascicolo del procedimento di controllo avviato mediante reclamo dal sig. Lindenberg, senza tuttavia riconoscere un obbligo giuridico in tal senso.

13.      Il sig. Lindenberg chiede ora esclusivamente che sia constatata l’illegittimità della decisione del 20 ottobre 2022, con la quale il Landesamt ha rigettato la sua richiesta di accesso.

14.      Il giudice del rinvio rileva che, qualora un reclamante, come il sig. Lindenberg, avvii un procedimento di reclamo dinanzi a un’autorità di controllo in materia di protezione dei dati, come il Landesamt, ai sensi dell’articolo 77 del RGPD, detta autorità agisce nei confronti del reclamante quale autorità di controllo ai sensi dell’articolo 4, punto 21, del RGPD. Taluni, tra cui il Landesamt, ritengono che ciò escluda il fatto che l’autorità di controllo in materia di protezione dei dati sia, nei confronti del reclamante, un «titolare del trattamento» ai sensi dell’articolo 15, in combinato disposto con l’articolo 4, punto 7, del RGPD, e che, di conseguenza, ciò osti, a priori, a un diritto di accesso del reclamante nei confronti dell’autorità di controllo in materia di protezione dei dati avente ad oggetto dati personali risultanti dal procedimento di reclamo.

15.      Per contro, il giudice del rinvio parte dal principio che un’autorità di controllo in materia di protezione dei dati può essere al contempo un’autorità di controllo ai sensi dell’articolo 4, punto 21, del RGPD e titolare del trattamento nonché soggetto destinatario di un reclamo ai sensi dell’articolo 15 in combinato disposto con l’articolo 4, punto 7, del RGPD.

16.      Il giudice del rinvio considera che, se ciò è proprio quanto avviene nel caso di specie, sorge la questione se un’esclusione così generale del diritto di accesso ai documenti cartacei e digitali dell’autorità di controllo come prevista dall’articolo 20, paragrafo 2, del BayDSG, soddisfi le condizioni cui è subordinato l’esercizio della facoltà di prevedere limitazioni concessa dall’articolo 23, paragrafo 1, del RGPD.

17.      Date tali circostanze, il Bayerisches Verwaltungsgericht Ansbach (Tribunale amministrativo del Land Baviera, Ansbach), ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali:

«1)      Se l’articolo 15, in combinato disposto con l’articolo 4, punto 7, del [RGPD], debba essere interpretato nel senso che un’autorità di controllo di cui all’articolo 4, punto 21, di tale regolamento, che agisca nell’ambito di un procedimento di reclamo avviato da un interessato ai sensi dell’articolo 77 di detto regolamento, è al contempo “titolare del trattamento” ai sensi dell’articolo 15, in combinato disposto con l’articolo 4, punto 7, del medesimo regolamento ed è quindi tenuta a concedere all’interessato l’accesso alle informazioni che lo riguardano conformemente all’articolo 15 [del RGPD].

2)      In caso di risposta affermativa alla prima questione: se il diritto dell’Unione, in particolare l’articolo 23 del [RGPD], debba essere interpretato nel senso che esso osta a una normativa nazionale – come l’articolo 20, paragrafo 2, del [BayDSG] – che esclude in modo generale i diritti di accesso o consultazione in relazione ai documenti cartacei e digitali delle autorità di controllo di cui all’articolo 4, punto 21, del [RGPD]».

IV.    Procedimento dinanzi alla Corte

18.      La decisione di rinvio del 19 febbraio 2025 è pervenuta alla cancelleria della Corte il 17 marzo 2025.

19.      Il Landesamt, i governi bulgaro e lettone nonché la Commissione europea hanno presentato osservazioni scritte nel termine previsto dall’articolo 23 dello Statuto della Corte di giustizia dell’Unione europea.

20.      All’udienza del 22 gennaio 2026, i mandatari ad litem del sig. Lindenberg, del Landesamt, del governo bulgaro, nonché della Commissione, hanno presentato osservazioni.

V.      Analisi giuridica

A.      Osservazioni preliminari

21.      La presente causa solleva una questione di principio relativa allo status giuridico delle autorità di controllo alla luce dei diritti riconosciuti dal RGPD e, in particolare, del diritto di accesso garantito al suo articolo 15. Si tratta di stabilire se, quando istruisce un reclamo proposto ai sensi dell’articolo 77 del RGPD, un’autorità di controllo possa essere qualificata come «titolare del trattamento» per i dati trattati in tale contesto, ai sensi dell’articolo 4, punto 7, di tale regolamento. Tale qualificazione è decisiva, in quanto condiziona l’applicabilità degli obblighi di accesso opponibili al titolare del trattamento, e pone più in generale interrogativi sull’equilibrio tra la tutela dei diritti individuali e le caratteristiche proprie dell’esercizio delle funzioni di controllo, le quali si basano sull’indipendenza decisionale, sulla riservatezza dell’istruzione e sull’efficacia dei poteri di indagine.

22.      Nell’ipotesi in cui la Corte ritenesse che un’autorità di controllo possa essere tenuta, in linea di principio, al rispetto dell’articolo 15 del RGPD, ciò solleverebbe un secondo interrogativo, di ordine normativo, attinente alla compatibilità di un’esclusione generale e assoluta del diritto di accesso ai fascicoli amministrativi con il contesto giuridico dell’Unione. Una siffatta normativa nazionale deve essere esaminata alla luce dei requisiti previsti dall’articolo 23 del RGPD, che circoscrive rigorosamente le limitazioni che possono essere apportate ai diritti da esso garantiti, subordinandole al rispetto di condizioni cumulative in termini di base giuridica, necessità, proporzionalità e salvaguardia delle finalità di interesse generale riconosciute dall’Unione. Tale analisi richiede altresì di integrare le garanzie derivanti dal diritto primario, in particolare quelle relative al rispetto dei diritti fondamentali e all’effettività dei mezzi di ricorso.

23.      L’analisi giuridica si articolerà quindi in due fasi successive. Occorrerà, da un lato, stabilire se e in quale misura un’autorità di controllo possa essere assimilata a un «titolare del trattamento» nell’ambito di un procedimento di reclamo, in modo da essere vincolata agli obblighi di accesso sanciti dal RGPD (3). D’altro lato, e solo in caso di risposta affermativa, occorrerà valutare la questione se un’esclusione generale, indifferenziata e preventiva del diritto di accesso ai fascicoli delle autorità di controllo sia conciliabile con il regime armonizzato del RGPD, alla luce degli imperativi di trasparenza amministrativa, di protezione dei dati, di indipendenza istituzionale e di efficacia dei meccanismi di controllo, i quali devono essere bilanciati senza che nessuno di tali imperativi sia svuotato di contenuto (4).

B.      Sulla prima questione

1.      Sulla qualificazione di un’autorità di controllo come «titolare del trattamento» ai sensi dell’articolo 4, punto 7, del RGPD

24.      Per quanto riguarda l’eventuale qualificazione di un’autorità di controllo come «titolare del trattamento», oggetto della prima questione pregiudiziale, occorre, in via preliminare, ricordare la definizione legale di tale nozione, quale enunciata all’articolo 4, punto 7, del RGPD. Ai sensi di tale disposizione, si intende per «responsabile del trattamento» «la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali». A tal riguardo, occorre ricordare che detta nozione è oggetto, secondo una giurisprudenza costante della Corte, di un’interpretazione estensiva (5).

25.      Occorre, in primo luogo, constatare che tale definizione legale riguarda espressamente le «autorità pubbliche». La formulazione stessa dell’articolo 4, punto 7, del RGPD non esclude quindi in alcun modo la possibilità di qualificare un’autorità di controllo come «titolare del trattamento». Il legislatore dell’Unione ha deliberatamente rinunciato a distinguere tra entità private ed entità pubbliche, come testimoniano diversi considerando che menzionano esplicitamente il trattamento di dati personali da parte di autorità pubbliche. Inoltre, il fatto che un’autorità di controllo sia definita, all’articolo 4, punto 21, del RGPD, come un’autorità pubblica indipendente istituita da uno Stato membro ai sensi dell’articolo 51, non può, alla luce della portata ampia e funzionale conferita da tale regolamento alla nozione di «titolare del trattamento» (6), essere interpretato nel senso che osta alla sua eventuale qualificazione in quanto tale.

26.      In secondo luogo, occorre rilevare che, quando una siffatta autorità di controllo svolge i compiti ad essa affidati in forza dell’articolo 77 del RGPD – in particolare l’istruzione dei reclami vertenti su eventuali violazioni delle norme in materia di protezione dei dati – è chiamata essa stessa a trattare dati personali. L’autorità non si limita a ricevere tali dati; essa li struttura, li analizza, li conserva e li utilizza nell’ambito dell’esercizio autonomo dei poteri di indagine e di contrasto ad essa conferiti da tale regolamento. Siffatte operazioni rientrano, a mio avviso, nell’ambito di applicazione dell’articolo 4, punto 2, del RGPD, il quale intende la nozione di «trattamento» in un’accezione ampia e svincolata da qualsiasi contesto particolare, riguardante tutte le operazioni effettuate su dati.

27.      A sostegno di tale analisi, illustrerò, nelle considerazioni che seguono, da un lato, le caratteristiche essenziali del procedimento di reclamo previsto dall’articolo 77 del RGPD e, dall’altro, le categorie di dati personali che le autorità di controllo sono chiamate a trattare, in modo regolare e concreto, in tale contesto. Tale presentazione consentirà di comprendere meglio la natura e la portata dei compiti svolti dalle autorità di controllo quando queste istruiscono un siffatto procedimento.

a)      Le caratteristiche essenziali del «procedimento di reclamo» previsto dall’articolo 77 del RGPD

28.      Il procedimento di reclamo (7) istituito dall’articolo 77 del RGPD costituisce un meccanismo centrale del sistema dell’Unione destinato ad assicurare la protezione delle persone fisiche con riguardo al trattamento dei loro dati personali. Esso contribuisce all’attuazione operativa del principio sancito dall’articolo 8, paragrafo 3, della Carta, secondo il quale il rispetto delle norme relative alla protezione dei dati deve essere soggetto al controllo di un’autorità indipendente. La Corte ha ripetutamente sottolineato che tale meccanismo di controllo non ha carattere puramente formale, ma mira a garantire la tutela effettiva e reale dei diritti fondamentali (8).

29.      L’articolo 77, paragrafo 1, del RGPD conferisce all’interessato il diritto di proporre reclamo, senza particolari requisiti formali e senza alcun rischio di spese, segnatamente all’autorità di controllo dello Stato membro in cui risiede abitualmente, lavora oppure del luogo in cui si è verificata la presunta violazione. Poiché tale diritto costituisce un elemento essenziale del sistema di tutela istituito da tale regolamento, esso non può essere interpretato né applicato in modo da renderne praticamente impossibile o eccessivamente difficile l’esercizio (9).

30.      Occorre sottolineare che la presentazione di un reclamo non conferisce all’autorità di controllo una mera facoltà generale di esame, ma le impone l’obbligo concreto di istruire il fascicolo in modo completo, diligente e imparziale. Infatti, dalla giurisprudenza della Corte risulta che, conformemente all’articolo 57, paragrafo 1, lettera f), del RGPD, ogni autorità di controllo è tenuta a trattare i reclami presentati nel suo territorio, a esaminarne la natura nella misura necessaria e a trattarli con la dovuta diligenza (10).

31.      Ne consegue che un’autorità di controllo non può astenersi dal trattare un reclamo per motivi attinenti unicamente all’economia amministrativa o a considerazioni di opportunità. Analogamente, le è vietato ridurre il suo intervento a una mediazione informale o a un ruolo di semplice facilitatore. Al contrario, essa è tenuta ad esaminare l’asserita violazione in fatto e in diritto e, se del caso, ad esercitare effettivamente i poteri correttivi ad essa conferiti dal diritto dell’Unione (11).

32.      I poteri elencati all’articolo 58 del RGPD, secondo la giurisprudenza, devono essere interpretati alla luce della loro finalità, vale a dire garantire la piena efficacia di tale regolamento. La Corte ha sottolineato l’obbligo per le autorità di controllo di adottare misure correttive «appropriate e necessarie», nel caso in cui si constati una violazione, e di utilizzare tutti gli strumenti a loro disposizione. Tale requisito comprende l’azione repressiva, in quanto l’inerzia è tale da compromettere l’effetto utile di detto regolamento (12).

33.      L’articolo 77, paragrafo 2, del RGPD impone inoltre di informare il reclamante dello stato e dell’esito del procedimento. Tale obbligo è rispettato solo se la risposta fornita consente di dimostrare che il reclamo è stato effettivamente esaminato in fatto e in diritto e contiene gli elementi necessari all’esercizio di un controllo giurisdizionale effettivo. Il procedimento non può quindi limitarsi a una decisione puramente formale, ma deve sfociare in una valutazione circostanziata, debitamente motivata e che può essere esaminata dal giudice adito ai sensi dell’articolo 78, paragrafo 1, del RGPD. Qualsiasi decisione adottata su reclamo da un’autorità di controllo è soggetta, infatti, ad un sindacato giurisdizionale completo (13).

34.      Valutato nel suo insieme, il procedimento previsto dall’articolo 77 del RGPD non costituisce un mero atto amministrativo, bensì un rimedio giuridico autonomo, istituito dal diritto dell’Unione e che contribuisce, al contempo, alla tutela dei diritti individuali e alla salvaguardia oggettiva dell’ordinamento giuridico in materia di protezione dei dati. La Corte riconosce alle autorità di controllo lo status di garanti istituzionali di un sistema di tutela strutturale dei diritti fondamentali, il cui compito non si limita alla ricezione passiva di reclami, ma implica l’applicazione attiva delle norme in materia di protezione dei dati.

b)      Il «trattamento» dei dati personali da parte di un’autorità di controllo nell’ambito di un procedimento di reclamo

35.      Dopo aver ricordato le caratteristiche essenziali del procedimento di reclamo, occorre analizzare in quale misura l’attività di un’autorità di controllo rientri in un «trattamento» ai sensi dell’articolo 4, punto 2, del RGPD. Tale nozione è definita come «qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione».

36.      A tal riguardo, occorre sottolineare che, nell’ambito di un procedimento fondato sull’articolo 77 del RGPD, un’autorità di controllo non si limita a ricevere dati. Essa compie, al contrario, un insieme di operazioni autonome e strutturate, attuate ai fini dell’esercizio della sua funzione legale di esame, di istruzione e di controllo. Infatti, il trattamento inizia dal deposito del reclamo, che contiene dati relativi al reclamante e, a seconda dei casi, al titolare del trattamento interessato o a terzi identificabili. Tali informazioni – che rientrano nella nozione di «dati personali» ai sensi dell’articolo 4, punto 1, del RGPD – sono registrate, inserite in un fascicolo e conservate nei sistemi interni dell’autorità di controllo, il che implica già operazioni materiali e organizzative costitutive di un «trattamento» (14).

37.      Tali operazioni rientrano nei compiti che l’articolo 57, paragrafo 1, del RGPD affida alle autorità di controllo, quali esposti nelle presenti conclusioni. Tra tali compiti figurano, in particolare, l’esame dei reclami [lettera f)] nonché l’esercizio di poteri di indagine e di decisione [lettera h)]. Nello svolgimento di tali compiti, le autorità agiscono in un quadro di autonomia funzionale e decisionale garantito dal diritto dell’Unione, autonomia che trova concreta espressione nel modo in cui vengono istruiti i reclami e in cui sono esercitati i poteri di controllo che ne derivano.

38.      Nel corso del procedimento l’autorità di controllo procede all’esame di fatto e di diritto degli elementi che le sono sottoposti. Essa raccoglie, organizza, analizza e valuta i dati alla luce del quadro normativo applicabile. Altre operazioni di trattamento intervengono anche quando chiede informazioni supplementari al titolare del trattamento – contro il quale è diretto un reclamo e che costituisce oggetto di indagine – o quando consulta ulteriori documenti, che potrebbero contenere a loro volta dati personali. Tali informazioni sono successivamente ricevute, registrate, analizzate e conservate dall’autorità di controllo. Analogamente, il collegamento di tali elementi con eventuali fascicoli o informazioni preesistenti può essere considerato un’operazione di «trattamento».

39.      I dati così trattati sono utilizzati ai fini dell’esercizio autonomo dei poteri investigativi e decisionali dell’autorità di controllo (15). Essi servono per l’accertamento dei fatti, per la loro qualificazione giuridica, per la valutazione delle misure correttive ipotizzabili e, se del caso, per l’adozione di decisioni vincolanti o di ingiunzioni. Essi sono altresì mobilizzati nell’ambito delle comunicazioni procedurali inviate alle parti, in particolare al momento di informare il reclamante o il titolare del trattamento in merito all’esito del procedimento.

40.      Dall’insieme di tali elementi risulta che l’autorità di controllo non può essere considerata un semplice «destinatario» di dati ai sensi dell’articolo 4, punto 9, del RGPD. Nel decidere autonomamente le modalità di raccolta, analisi, organizzazione e utilizzo di tali dati ai fini dell’adempimento dei compiti che le sono legittimamente affidati, essa agisce come un operatore che attua un «trattamento» nel senso proprio dell’articolo 4, punto 2, del RGPD. Questo aspetto richiede un esame più approfondito nella sezione successiva.

2.      Sulla facoltà dell’autorità di controllo di «determinare le finalità e i mezzi del trattamento»

41.      Affinché un’autorità di controllo possa essere qualificata come «titolare del trattamento» ai sensi dell’articolo 4, punto 7, del RGPD, occorrerebbe inoltre che essa sia investita del potere di determinare le finalità e i mezzi del trattamento dei dati personali.

42.      Come dichiarato in precedenza, il ruolo dell’autorità di controllo nell’ambito di un procedimento di reclamo basato sull’articolo 77 del RGPD non si limita alla mera ricezione passiva di informazioni. Essa determina in realtà la finalità del trattamento, in quanto decide che i dati saranno utilizzati per l’esame di un’eventuale violazione delle norme in materia di protezione dei dati, per l’accertamento dei fatti e, se del caso, per la preparazione e l’adozione di misure di controllo. Tale determinazione della finalità è non solo predefinita dalla legge, ma richiede anche una concretizzazione autonoma da parte dell’autorità caso per caso, in particolare per quanto riguarda la portata del controllo, l’oggetto preciso dell’indagine e la qualificazione giuridica delle censure dedotte (16).

43.      L’autorità di controllo decide inoltre, autonomamente su punti essenziali, in merito ai mezzi del trattamento. Essa determina quali dati personali sono raccolti, in quale forma sono registrati, strutturati e conservati, in base a quali criteri si costituiscono i fascicoli, si organizzano gli archivi digitali o si raccolgono le prove, e si attivano le procedure tecniche o organizzative per l’analisi, il successivo trattamento o la messa a disposizione interna dei dati. Analogamente, essa decide se sia opportuno inviare richieste di informazioni al convenuto, quali informazioni complementari debbano essere richieste, secondo quali metodi esse saranno messe in relazione, e per quale durata saranno conservate. Tale potere di selezione e di organizzazione eccede manifestamente il mero svolgimento di un compito ausiliario o subordinato.

44.      Le operazioni di trattamento effettivamente realizzate confermano tale autonomia decisionale. L’autorità registra il reclamo, apre i propri fascicoli, conserva e organizza i dati ricevuti e quelli che raccoglie, procede alla loro valutazione di fatto e di diritto, chiede documenti supplementari, registra gli atti di indagine e adotta, in base alla propria analisi, decisioni procedurali e sostanziali. Pertanto, il trattamento serve non solo alla gestione tecnica di un fascicolo amministrativo, ma costituisce altresì il fondamento di un’attività autonoma di istruzione, di valutazione e di decisione, che il diritto dell’Unione affida esclusivamente all’autorità di controllo.

45.      La circostanza che tale attività rientri nell’esercizio di un compito previsto dalla legge non fa venir meno la qualità di «titolare del trattamento». La Corte ha più volte ricordato che autorità pubbliche possono essere qualificate come «titolari del trattamento» quando dispongono di un margine di discrezionalità decisionale riguardo alle modalità concrete del trattamento (17). A tal proposito, occorre rilevare che il Landesamt ha a sua volta riconosciuto, in udienza, di disporre di un margine di discrezionalità nella determinazione dei suoi compiti, anche nell’ambito della gestione dei reclami (18), discrezionalità che costituisce espressione della sua autonomia.

46.      La qualifica di «responsabile del trattamento» deve essere parimenti esclusa in assenza di qualsiasi subordinazione quanto alla determinazione delle finalità e dei mezzi, poiché l’autorità non interviene su istruzione di un terzo, ma nell’esercizio di prerogative che le sono proprie. In particolare, l’autorità di controllo non agisce in alcun modo per conto del titolare del trattamento indicato nel reclamo, ma esercita un potere pubblico che gli è conferito al fine di garantire il rispetto del diritto dell’Unione.

47.      Se il trattamento di cui trattasi si basa, di norma, sull’articolo 6, paragrafo 1, lettera e), del RGPD, in combinato disposto con l’articolo 57, paragrafo 1, lettere f) e h), di tale regolamento, l’esistenza di una base giuridica garantisce unicamente la liceità del trattamento, senza escludere la qualità di «titolare» del trattamento. Per contro, il fatto che la legge affidi all’autorità l’esecuzione di compiti di controllo conferma che essa tratta i dati nell’adempimento dei propri obblighi di legge e secondo modalità da essa stessa definite. In quanto «titolare», essa rimane quindi, in linea di principio, soggetta agli obblighi generali del RGPD, in particolare ai principi sanciti all’articolo 5 e ai diritti delle persone elencati al capo III di tale regolamento, a condizione che essi non siano stati validamente limitati da una disposizione di legge sufficientemente chiara e proporzionata, conformemente all’articolo 23 del RGPD.

48.      L’indipendenza delle autorità di controllo, sancita dall’articolo 52 del RGPD e ribadita al considerando 117, richiede che esse siano qualificate come «titolari del trattamento» per le operazioni relative a dati personali che esse effettuano nell’esercizio dei loro compiti previsti per legge. Solo la determinazione autonoma delle finalità e dei mezzi dei trattamenti interessati, accompagnata dalla responsabilità che ne deriva, consente loro di esercitare i poteri di controllo e di messa in conformità in piena indipendenza nei confronti dei soggetti da esse controllati. Considerarle, nell’ambito della gestione dei reclami, meri esecutori di finalità definite da terzi comprometterebbe la loro autonomia istituzionale, le collocherebbe in un rapporto di dipendenza nei confronti dei titolari esaminati e priverebbe di contenuto il requisito della responsabilità previsto dal diritto dell’Unione. L’autorità di controllo deve quindi assumersi, a titolo proprio, la responsabilità del trattamento dei dati personali attuato nel procedimento di reclamo, in quanto i diritti degli interessati previsti dal RGPD si applicano pienamente nei suoi confronti (19).

49.      Infine, se l’autorità di controllo non fosse qualificata come «titolare del trattamento» nell’ambito della gestione dei reclami, l’interessato sarebbe ampiamente privo di protezione nei confronti di un elemento centrale del trattamento dei suoi dati. Infatti, i diritti degli interessati previsti dagli articoli da 12 a 22 del RGPD, in particolare il diritto di accesso di cui all’articolo 15, possono essere esercitati solo nei confronti del titolare del trattamento. Senza tale qualificazione, l’interessato non sarebbe in grado di sapere quali dati sono raccolti e trattati dall’autorità nell’ambito del reclamo, né di chiederne la rettifica, la cancellazione o la limitazione. Il trattamento di dati effettuato dall’autorità sfuggirebbe quindi a qualsiasi obbligo di trasparenza e di responsabilità, sebbene tale autorità sia appunto incaricata di garantire la tutela dei diritti degli interessati. La mancata qualificazione come «titolare del trattamento» creerebbe pertanto una lacuna strutturale di protezione, privando l’interessato, nei suoi rapporti con l’autorità di controllo, delle garanzie fondamentali previste dal RGPD (20).

50.      Ne consegue che un’autorità di controllo, nell’ambito della gestione dei reclami presentati ai sensi dell’articolo 77 del RGPD, decide in merito alle finalità e ai mezzi del trattamento e non si limita a ricevere o a gestire dati determinati da un terzo. Essa agisce in qualità di soggetto autonomo, che raccoglie, organizza, analizza e utilizza i dati personali come fondamento di decisioni rientranti nell’esercizio di pubblici poteri. Essa deve essere, pertanto, qualificata come «titolare del trattamento» ai sensi dell’ampia definizione di cui all’articolo 4, punto 7, del RGPD (21).

51.      Per completezza, occorre rilevare che il fatto che il legislatore dell’Unione non abbia espressamente previsto l’ipotesi secondo cui un’autorità di controllo agisca, nell’ambito di un procedimento di reclamo, simultaneamente in qualità di «titolare del trattamento» ai sensi dell’articolo 4, punto 7, del RGPD, non costituisce un argomento pertinente tale da ostare a una siffatta qualificazione. L’elemento determinante consiste, al contrario, nella questione se tale autorità soddisfi i requisiti sostanziali previsti da tale disposizione. Orbene, come risulta dall’analisi che precede, ciò è quanto si verifica manifestamente nel caso di specie.

52.      In tale contesto, non può essere accolto neppure l’argomento del Landesamt secondo cui talune disposizioni del RGPD presupporrebbero necessariamente una rigorosa distinzione tra l’autorità di controllo, da un lato, e il «titolare del trattamento», dall’altro. Tali disposizioni si riferiscono unicamente alla situazione di principio considerata dal legislatore dell’Unione, nella quale questi due ruoli non si confondono. Esse non escludono tuttavia che un’autorità di controllo possa, in determinate circostanze – come quelle di cui trattasi nel procedimento principale – soddisfare simultaneamente le condizioni richieste per essere qualificata come «titolare del trattamento».

53.      Nei limiti in cui talune disposizioni del RGPD prevedono una «cooperazione» o una «consultazione» tra il «titolare del trattamento» e l’autorità di controllo, in particolare agli articoli 31 e 36, l’eventuale conflitto che può derivare da una sovrapposizione di tali ruoli può essere risolto mediante un’interpretazione teleologica di tale regolamento. Una siffatta interpretazione implica che le procedure interne dell’autorità di controllo siano organizzate e coordinate in modo da garantire la realizzazione effettiva degli obiettivi perseguiti dalle disposizioni di cui trattasi.

3.      Sull’esistenza di un diritto di accesso del reclamante fondato sull’articolo 15 del RGPD

54.      Come dichiarato nelle presenti conclusioni, la qualificazione dell’autorità di controllo come «titolare del trattamento» comporta per quest’ultima l’obbligo di garantire il rispetto dei diritti riconosciuti agli interessati dal capo III del RGPD. Tra tali diritti figura, in particolare, il diritto di accesso sancito dall’articolo 15 di tale regolamento.

55.      Nell’ambito di un procedimento avviato ai sensi dell’articolo 77 del RGPD, il reclamante assume, in linea di principio, anche la qualità di «interessato» ai sensi di tale regolamento. A tale titolo, esso può chiedere all’autorità di controllo di confermargli se i dati personali che lo riguardano sono oggetto di trattamento. In caso di risposta affermativa, il diritto di accesso comprende anche tutte le informazioni elencate tassativamente all’articolo 15, paragrafo 1, lettere da a) a h), del RGPD, tra le quali figurano, in particolare, le finalità del trattamento, le categorie di dati in questione, i destinatari o le categorie di destinatari, il periodo di conservazione nonché le informazioni relative ai diritti di cui dispone l’interessato.

a)      Il diritto di ottenere una «copia» ai sensi dell’articolo 15, paragrafo 3, del RGPD

56.      Il diritto di accesso implica, tra l’altro, il diritto dell’interessato di ottenere una copia dei dati ai sensi dell’articolo 15, paragrafo 3, del RGPD. Tale disposizione impone al titolare del trattamento di comunicare all’interessato una riproduzione dei suoi dati personali in forma intelligibile, che consenta di comprendere in modo preciso la portata e le modalità del loro trattamento. La finalità di tale diritto consiste nel mettere l’interessato in condizione di verificare quali dati che lo riguardano siano trattati, di identificarne la fonte, di comprenderne le finalità e di conoscerne gli eventuali destinatari (22).

57.      La Corte ha statuito che la copia deve essere fornita a condizioni che consentano un controllo effettivo della liceità del trattamento nonché l’esercizio utile degli altri diritti sanciti dal RGPD (23). Il termine «copia» si riferisce non già a un documento in quanto tale, ma ai dati personali che esso contiene; ciò che rileva è il fatto che tali dati siano comunicati in modo completo, chiaro e idoneo a renderne il significato. Al fine di garantire l’effettività di tale diritto, può risultare indispensabile la riproduzione di estratti di documenti – o addirittura di documenti interi – o ancora di estratti di banche dati contenenti, in particolare, dati personali oggetto del trattamento (24).

58.      La portata di tale diritto resta tuttavia rigorosamente delimitata dalla sua funzione. Esso si estende solo ai «dati personali» dell’interessato e comprende qualsiasi informazione ad esso relativa o che consenta di identificarlo, ai sensi dell’articolo 4, punto 1, del RGPD. Se il contesto in cui tali dati appaiono è necessario per la loro piena comprensione, l’obbligo di comunicazione può comportare la trasmissione di un estratto appropriato o di una presentazione contestualizzata, nella misura necessaria a soddisfare i requisiti di trasparenza. Il diritto di ottenere una copia costituisce quindi un elemento centrale del meccanismo di autodeterminazione informativa istituito dal RGPD, in quanto garantisce all’interessato un controllo sostanziale sul trattamento dei suoi dati e gli consente di verificarne la conformità ai requisiti del diritto dell’Unione.

b)      L’articolo 15 del RGPD non prevede un «diritto generale di accesso al fascicolo amministrativo»

59.      Tuttavia, tale diritto di accesso previsto all’articolo 15 del RGPD, proprio del regime di protezione dei dati personali, non può essere assimilato a un diritto generale di accesso al fascicolo amministrativo né a un obbligo di trasparenza amministrativa di portata generale. Tale disposizione mira esclusivamente a garantire la trasparenza dei trattamenti al fine di consentire all’interessato di verificarne la liceità e di esercitare utilmente i diritti che ne derivano, in particolare i diritti di rettifica, di cancellazione («diritto all’oblio»), di limitazione del trattamento o di opposizione (25). Essa non sancisce, per contro, né un diritto generale di accesso all’informazione detenuta dall’amministrazione, né un diritto di consultazione dei documenti interni, né, a fortiori, un diritto alla divulgazione degli elementi rientranti nel processo interno di deliberazione o di decisione dell’autorità pubblica. Ciò diventa evidente se si confronta il diritto di accesso di cui all’articolo 15 del RGPD con gli altri diritti di accesso sanciti dal diritto dell’Unione e dai diritti nazionali.

60.      In primo luogo, l’articolo 15 e l’articolo 77, paragrafo 2, del RGPD rispondono a finalità distinte e devono essere, pertanto, rigorosamente distinti. L’articolo 77, paragrafo 2, istituisce un diritto procedurale ad essere informato dello stato e dell’esito del trattamento del reclamo, ma non conferisce un diritto di accesso ai dati o ai documenti fondato sulla normativa in materia di protezione dei dati. Pertanto, mentre l’articolo 15 tende a garantire il controllo da parte del singolo dei propri dati personali, l’articolo 77, paragrafo 2, si ricollega al requisito di trasparenza procedurale nel trattamento amministrativo dei reclami. Tali disposizioni, autonome nel loro scopo e nella loro portata, non possono essere confuse né sostituirsi l’una all’altra. Si tratta di regimi giuridici indipendenti che rispondono a logiche normative diverse, obbediscono a condizioni di esercizio proprie e non sono destinati a sovrapporsi né a sostituirsi l’uno all’altro.

61.      In secondo luogo, l’articolo 15 del RGPD istituisce esclusivamente un diritto di accesso a dati personali e non sancisce né un diritto di accesso al fascicolo amministrativo né un diritto di consultazione di documenti detenuti dall’autorità (26). Il suo ambito di applicazione ratione materiae si limita alla comunicazione dei dati personali oggetto di un trattamento e non riguarda né la trasparenza amministrativa né l’accesso ai processi decisionali interni. Il diritto di accesso al fascicolo rimane quindi – salvo disposizioni settoriali del diritto dell’Unione – nella sfera di competenza normativa degli Stati membri, in cui esso è generalmente disciplinato dalle normative riguardanti il procedimento amministrativo generale, da regimi procedurali speciali, dalle leggi sulla libertà d’informazione e sulla trasparenza, o ancora da norme professionali o settoriali particolari (27).

62.      Ne deriva che l’articolo 15 del RGPD non costituisce il fondamento di alcun diritto alla comunicazione o alla consultazione del fascicolo amministrativo in quanto tale. In particolare, l’ambito del diritto di accesso non si estende alle analisi giuridiche interne, ai pareri, alle annotazioni, alle note di servizio, ai documenti preparatori, né, più in generale, agli elementi rientranti nel processo interno di elaborazione o di motivazione della decisione amministrativa. Qualora un documento in possesso dell’autorità contenga dati personali relativi al reclamante, l’obbligo di accesso si limita alla comunicazione di questi dati in quanto tali e non alla consegna o alla riproduzione integrale del supporto documentale che li contiene. Infine, le informazioni prive di qualsiasi nesso di identificazione diretta o indiretta con l’interessato esulano, per loro natura, dall’ambito di applicazione ratione materiae dell’articolo 15 del RGPD.

63.      Occorre inoltre ricordare che il diritto di accesso previsto dall’articolo 15 del RGPD può essere soggetto a talune limitazioni in forza dell’articolo 23, paragrafo 1, di tale regolamento, purché siano soddisfatte le condizioni da esso enunciate. Tale aspetto è oggetto della seconda questione pregiudiziale, che esaminerò nella sezione seguente.

4.      Conclusione intermedia

64.      Alla luce delle considerazioni che precedono, ritengo che occorra rispondere alla prima questione dichiarando che l’articolo 15, in combinato disposto con l’articolo 4, punto 7, del RGPD, deve essere interpretato nel senso che un’autorità di controllo ai sensi dell’articolo 4, punto 21, di tale regolamento, quando agisce nell’ambito di un procedimento di reclamo fondato sull’articolo 77 di detto regolamento, riveste anche la qualità di «titolare del trattamento» ai sensi del medesimo regolamento ed è quindi tenuta a garantire all’interessato il diritto di accesso previsto dall’articolo 15 del RGPD.

C.      Sulla seconda questione

1.      Le limitazioni al diritto di accesso ai dati personali elencate all’articolo 23 del RGPD

65.      Con la sua seconda questione, il giudice del rinvio chiede un chiarimento riguardo al rapporto esistente tra l’articolo 23 del RGPD e una disposizione nazionale che, al pari dell’articolo 20, paragrafo 2, del BayDSG, esclude in generale qualsiasi diritto di accesso o di consultazione presso l’autorità di controllo in materia di protezione dei dati. La risposta a tale questione richiede un’analisi approfondita dell’economia del RGPD, quale risulta dal suo testo, dalla sua finalità e dai considerando pertinenti, nonché l’attuazione dei principi elaborati dalla Corte in merito alle limitazioni che possono essere apportate ai diritti degli interessati.

66.      L’articolo 23 del RGPD prevede che le misure legislative dell’Unione o degli Stati membri cui è soggetto il titolare del trattamento possono limitare, in particolare, il diritto di accesso garantito dall’articolo 15 di tale regolamento, a condizione che tale limitazione rispetti l’essenza dei diritti e delle libertà fondamentali e costituisca, in una società democratica, una misura necessaria e proporzionata volta ad assicurare il conseguimento di uno degli obiettivi legittimi elencati ai punti da a) a j) di tale disposizione. L’articolo 23, paragrafo 1, del RGPD non può essere tuttavia interpretato nel senso che autorizza il legislatore nazionale a sostituire liberamente il proprio regime alle disposizioni degli articoli da 12 a 22 di detto regolamento. Tale disposizione stabilisce, al contrario, un catalogo tassativo di clausole di apertura, che autorizza il legislatore nazionale, per i motivi specificamente elencati, a prevedere limitazioni ai diritti degli interessati nonché agli obblighi incombenti al titolare del trattamento in forza di tali articoli (28).

67.      L’articolo 23 del RGPD istituisce quindi un regime derogatorio per i settori da esso contemplati, i quali riguardano essenzialmente l’esercizio di funzioni pubbliche e il perseguimento di imperativi di interesse generale idonei a giustificare un’attenuazione dei diritti degli interessati rispetto ad altri settori di attività. A tal riguardo, occorre tener conto del considerando 4, prima e seconda frase, del RGPD, che impone di effettuare un bilanciamento dei diritti fondamentali in questione e di garantire che le limitazioni previste siano giustificate, necessarie e proporzionate rispetto ai diritti e agli interessi concorrenti.

68.      Dalla decisione di rinvio risulta che, sebbene la relazione introduttiva alla legge bavarese menzioni espressamente l’articolo 23 del RGPD come base giuridica dell’articolo 20, paragrafo 2, del BayDSG, essa non fa riferimento ad alcuno degli obiettivi elencati da tale disposizione. Essa si limita a indicare che tale norma rifletterebbe il requisito specifico di finalità connessa alle informazioni ottenute nell’ambito delle attività di controllo in materia di protezione dei dati. Il giudice del rinvio rileva tuttavia che, secondo le osservazioni del Landesamt nell’ambito del procedimento principale, tale disposizione perseguirebbe in realtà due obiettivi principali: da un lato, la tutela della riservatezza dei dati personali di terzi e, dall’altro, la garanzia del buon funzionamento nonché dell’indipendenza dell’autorità di controllo.

69.      Conformemente ai principi che disciplinano il meccanismo di cooperazione istituito dall’articolo 267 TFUE tra il giudice dell’Unione e i giudici nazionali – in forza dei quali l’interpretazione del diritto interno rientra esclusivamente nella competenza dei giudici del rinvio (29)e la Corte è tenuta a rimettersi alle precisazioni fornite da questi ultimi quanto al contenuto e alla portata di tale diritto (30) – prenderò tali elementi a fondamento della mia analisi.

2.      Compatibilità con l’articolo 23 del RGPD di un’esclusione generale del diritto di accesso di cui all’articolo 15 di tale regolamento

70.      Nel prosieguo delle presenti conclusioni, stabilirò se un’esclusione generale del diritto di accesso previsto dall’articolo 15 del RGPD possa essere giustificata alla luce degli obiettivi legislativi summenzionati. Analizzerò altresì la questione se una siffatta normativa soddisfi i requisiti supplementari che l’articolo 23 del RGPD impone a qualsiasi restrizione di tale diritto.

a)      Esistenza di un obiettivo legittimo

1)      Tutela della riservatezza dei dati personali di terzi

71.      La tutela della riservatezza dei dati personali di terzi costituisce un obiettivo legittimo ai sensi del RGPD, idoneo a giustificare, in linea di principio, limitazioni ai diritti conferiti agli interessati. A tal riguardo, occorre rilevare che, per quanto riguarda il diritto di accesso previsto dall’articolo 15 del RGPD, il considerando 63 di tale regolamento precisa che «[t]ale diritto non dovrebbe ledere i diritti e le libertà altrui». Si tiene pertanto conto del fatto che, come risulta dal considerando 4 di detto regolamento, il diritto alla protezione dei dati personali non è un diritto assoluto, in quanto deve essere valutato alla luce della sua funzione sociale e bilanciato con altri diritti fondamentali (31).

72.      L’articolo 23, paragrafo 1, lettera i), del RGPD fa espresso riferimento alla tutela «dei diritti e delle libertà altrui», come confermato dal considerando 73 di tale regolamento. Di conseguenza, qualora siano in discussione dati personali di funzionari dell’amministrazione o di persone private, il legislatore nazionale può validamente basarsi sul fatto che la loro divulgazione arrecherebbe pregiudizio ai diritti della personalità e che sussiste un’esigenza di tutela che deve essere bilanciata con il diritto di accesso del reclamante.

2)      Tutela del buon funzionamento e dell’indipendenza delle autorità di controllo

73.      La salvaguardia del buon funzionamento e dell’indipendenza decisionale delle autorità di controllo costituisce anch’essa un obiettivo legittimo ai sensi dell’articolo 23, paragrafo 1, del RGPD. Il legislatore dell’Unione conferisce loro, infatti, un ruolo centrale all’interno del sistema europeo di protezione dei dati, come testimoniano, da un lato, l’articolo 52 di tale regolamento, che ne garantisce la piena indipendenza, e, dall’altro, la portata dei poteri di indagine e dei poteri correttivi previsti dagli articoli 57 e 58 di detto regolamento (32). A tal riguardo, la Corte ha sottolineato, nella sua giurisprudenza, che il buon funzionamento di tali autorità deve essere garantito, in particolare assicurando che esso non sia ostacolato da reclami manifestamente infondati o eccessivi, ai sensi dell’articolo 57, paragrafo 4, del RGPD (33).

74.      Pertanto, e alla luce dell’articolo 23, paragrafo 1, lettera h), del RGPD, che consente di adottare limitazioni qualora esse siano necessarie all’esercizio di funzioni di «controllo» e di «ispezione» associate all’esercizio di pubblici poteri, una limitazione del diritto di accesso può, in linea di principio, essere giustificata. Inoltre, tenuto conto delle analogie esistenti, occorre altresì tener conto dell’obiettivo enunciato all’articolo 23, paragrafo 1, lettera f), del RGPD, come precisato al considerando 73 di tale regolamento, di garantire l’indipendenza della magistratura e la tutela dello svolgimento dei procedimenti giudiziari. È vero che le autorità di controllo non rientrano nell’ordinamento giudiziario; tuttavia, al pari degli organismi statali incaricati dell’applicazione della legge, esse svolgono un ruolo essenziale nell’individuazione e nella sanzione delle violazioni del diritto in materia di protezione dei dati personali. Ne consegue che un’applicazione analogica di tale disposizione può, in ogni caso, essere presa in considerazione.

3)      Tutela della sicurezza pubblica

75.      Per ragioni di completezza, occorre rilevare che la decisione di rinvio menziona anche la tutela della sicurezza pubblica, ai sensi dell’articolo 23, paragrafo 1, lettera c), del RGPD, come eventuale motivo di giustificazione, senza fornire tuttavia informazioni più precise. Occorre tuttavia condividere la valutazione del giudice del rinvio e della Commissione, secondo la quale una siffatta deduzione non appare fondata. Infatti, alla luce dei fatti di cui al procedimento principale come presentati dal giudice del rinvio, una siffatta restrizione non sembra manifestamente pertinente. Tale motivo di giustificazione sarà, pertanto, escluso dall’analisi che segue.

b)      I requisiti imposti dal quadro normativo del RGPD

76.      Da un lato, occorre constatare che l’interesse connesso alla riservatezza dei dati personali di terzi è debitamente preso in considerazione da una normativa nazionale come l’articolo 20, paragrafo 2, del BayDSG, in quanto vieta categoricamente la comunicazione di tali dati. Non si può, inoltre, escludere che la mancanza di cooperazione delle autorità di controllo nell’ambito del trattamento di domande di accesso possa condurre a una riassegnazione di risorse umane e materiali verso altri settori di attività, che può, se del caso, comportare in questi ultimi un certo incremento di efficienza.

77.      D’altro lato, siffatte circostanze fanno sorgere dubbi quanto alla loro conformità con il quadro normativo istituito dal legislatore dell’Unione al momento dell’adozione del RGPD, e in particolare con l’economia generale di tale regolamento, che si basa su un equilibrio tra diversi interessi: la trasparenza del trattamento dei dati, la salvaguardia della riservatezza ove necessario e la tutela effettiva di tali interessi da parte delle autorità di controllo. Una normativa nazionale che non rifletta adeguatamente il bilanciamento di tali interessi non può, pertanto, soddisfare i requisiti di cui all’articolo 23, paragrafo 1, del RGPD. Lo stesso vale quando risulta che possono essere prese in considerazione misure meno lesive dei diritti fondamentali, ma altrettanto efficaci per raggiungere gli obiettivi perseguiti (34).

78.      A tal riguardo, occorre ricordare che il RGPD ha concepito il diritto di accesso previsto dal suo articolo 15 come un elemento essenziale del principio di trasparenza. Tale qualificazione risulta chiaramente dal considerando 63 di tale regolamento, secondo il quale l’interessato deve poter essere «consapevole del trattamento» al fine di garantire l’effettività dei diritti conferitigli da detto regolamento. La Corte ha più volte confermato tale tesi rilevando che il diritto di accesso occupa un posto centrale nell’economia generale del regime istituito dal medesimo regolamento. Una disposizione nazionale che priva la persona interessata di tale diritto in modo generale e indifferenziato pregiudica, pertanto, il cuore stesso del sistema di tutela istituito dal legislatore dell’Unione.

79.      Se è vero che il RGPD autorizza, all’articolo 23, limitazioni ai diritti degli interessati, compreso il diritto di accesso, per motivi di interesse pubblico, esso esige al contempo che tali limitazioni si fondino su una base giuridica che presenti un grado sufficiente di precisione. Tale base deve definire chiaramente la natura, la portata e i limiti della restrizione, nonché le garanzie necessarie per prevenire il rischio di abusi. Il considerando 41 di tale regolamento precisa in tal senso che qualsiasi limitazione di un diritto garantito da detto regolamento deve essere «chiara e precisa» e «prevedibile» per l’interessato, il quale deve essere in grado di determinare la portata delle limitazioni che possono essere apportate ai suoi diritti (35). Una disposizione nazionale che prevede un’esclusione assoluta del diritto di accesso senza determinare il suo ambito di applicazione ratione materiae e ratione personae, né prevedere misure di tutela, non può soddisfare i requisiti così stabiliti.

80.      Inoltre, il considerando 60 del RGPD ricorda che la trasparenza è un principio fondamentale del trattamento dei dati personali, applicabile anche all’azione delle autorità pubbliche. Sebbene talune informazioni possano essere temporaneamente sottratte alla comunicazione nell’ambito di un procedimento di reclamo, in particolare al fine di non compromettere la prevenzione, l’individuazione o l’indagine di reati (36), tale riserva deve rimanere strettamente necessaria e proporzionata e non deve portare a una totale neutralizzazione della trasparenza nei confronti dell’interessato. Una disposizione nazionale che escluda qualsiasi forma di accesso, senza distinguere tra dati personali e documenti interni, viola pertanto l’economia del RGPD.

81.      La Corte ha altresì dichiarato, alla luce dell’articolo 52, paragrafo 1, della Carta, che le limitazioni che possono essere apportate a un diritto fondamentale devono essere conformi non solo ai principi di legalità e di proporzionalità, ma anche al principio che impone il rispetto del «contenuto essenziale» del diritto in questione (37). Il considerando 4 del RGPD ribadisce che la protezione dei dati personali costituisce un diritto fondamentale, sancito dall’articolo 8 della Carta, le cui limitazioni possono essere applicate solo nel rispetto del principio di proporzionalità. L’esclusione totale del diritto di accesso porta tuttavia a privare l’interessato dell’essenza stessa di tale diritto, impedendogli di controllare, anche in modo minimo, i trattamenti di cui è oggetto.

82.      Il considerando 75 del RGPD sottolinea, a titolo complementare, che la mancanza o l’insufficienza di trasparenza costituisce, di per sé, un rischio che può pregiudicare gravemente i diritti e le libertà degli interessati. Una normativa che privi interamente la persona interessata della possibilità di conoscere i trattamenti effettuati nei suoi confronti crea proprio la situazione di rischio che il legislatore ha inteso prevenire.

83.      Occorre aggiungere che il considerando 129 del RGPD definisce le autorità di controllo come organismi indipendenti incaricati di garantire l’applicazione di tale regolamento e di tutelare i diritti degli interessati. Tale compito, nonché il ruolo che esse svolgono nel meccanismo di controllo istituito dal RGPD, non implica tuttavia che esse siano dispensate dall’insieme degli obblighi derivanti da quest’ultimo. Il RGPD crea, al contrario, un quadro giuridico coerente nel quale le autorità di controllo, pur esercitando le loro prerogative, restano pienamente soggette alle norme da esso stabilite, in particolare quelle relative ai diritti degli interessati. Una disposizione nazionale che escluda totalmente qualsiasi comunicazione dei dati relativi all’interessato compromette tale equilibrio e pregiudica il requisito della responsabilità incombente alle autorità di controllo.

84.      Un’esclusione assoluta del diritto di accesso risulta, inoltre, incompatibile con l’obiettivo perseguito dal RGPD di garantire un livello elevato di tutela dei dati per le persone fisiche, come ricordato dal considerando 10 di tale regolamento (38). Il livello di tutela così contemplato si basa essenzialmente sulla trasparenza e sulla possibilità per l’interessato di controllare le operazioni di trattamento che lo riguardano. Il diritto di accesso di cui all’articolo 15 di detto regolamento costituisce, a tal riguardo, un elemento indispensabile poiché si basa sull’esercizio effettivo di tutti gli altri diritti degli interessati (39). Escludere tale diritto in generale equivarrebbe a sottrarre taluni trattamenti a qualsiasi controllo individuale e comprometterebbe in tal modo l’effettività del livello elevato di tutela voluto dal legislatore dell’Unione.

85.      Per quanto riguarda l’obiettivo di tutelare i diritti e le libertà di terzi, invocato per giustificare una limitazione del diritto di accesso, occorre ricordare che la Corte ha dichiarato che, in caso di conflitto tra il diritto di accesso e i diritti o le libertà altrui, le autorità devono procedere a un bilanciamento degli interessi in gioco. Dal considerando 63 del RGPD risulta espressamente che tale bilanciamento non può, in alcun caso, giustificare un diniego totale di accesso (40). Modalità adattate, quali la comunicazione parziale, l’occultamento o l’anonimizzazione dei dati, la protezione dell’identità degli autori delle segnalazioni, un trattamento differenziato a seconda delle categorie di documenti, o la comunicazione di informazioni strutturate non individualizzate, consentono di conciliare gli interessi in questione senza sopprimere completamente il diritto di accesso.

86.      Per quanto riguarda la necessità invocata di garantire l’esercizio indipendente ed efficace dei compiti delle autorità di controllo, non risulta in che modo l’esercizio del diritto di accesso previsto dall’articolo 15 del RGPD sia tale da compromettere tale obiettivo. Occorre condividere la valutazione del giudice del rinvio secondo cui l’indipendenza delle autorità di controllo non implica affatto che la liceità dei trattamenti di dati personali da esse effettuati debba essere sottratta al controllo dell’interessato. Il rischio di un’eventuale «influenza» che possa essere favorita da un accesso all’informazione, come sostenuto dal Landesamt, deve essere pertanto escluso.

87.      Inoltre, come illustrato nelle presenti conclusioni, l’articolo 15 del RGPD non sancisce un diritto generale di accesso al fascicolo (41), cosicché l’onere amministrativo che ne deriva dovrebbe rimanere limitato. A prescindere da ciò, occorre rilevare che tale regolamento mette a disposizione delle autorità di controllo, all’articolo 12, paragrafo 5, uno strumento adeguato per far fronte alle richieste abusive o eccessive (42). Esse hanno altresì il potere di adottare varie misure di gestione, quali l’astensione temporanea dal fornire informazioni nel corso del procedimento, l’esclusione di taluni documenti interni dalla divulgazione, la distinzione di diversi tipi di procedure, la comunicazione limitata ad informazioni relative a fasi già concluse o l’istituzione di meccanismi organizzativi atti a garantire che i processi interni non siano perturbati dalle richieste di accesso. Tali misure consentono di garantire il buon funzionamento delle autorità di controllo senza tuttavia escludere del tutto il diritto di accesso previsto dall’articolo 15 del RGPD.

88.      È altresì importante ricordare che l’efficienza delle autorità di controllo dipende in modo determinante dal mettere a loro disposizione i mezzi necessari, vale a dire le risorse umane, tecniche e finanziarie nonché i locali e le infrastrutture indispensabili per l’esercizio effettivo dei loro compiti e dei loro poteri (43). L’articolo 52, paragrafo 4, del RGPD impone espressamente agli Stati membri di garantire una siffatta dotazione. In tale prospettiva, la questione della funzionalità delle autorità di controllo non può essere ridotta unicamente al numero di richieste di accesso basate sull’articolo 15 RGPD. Una dotazione insufficiente da parte delle autorità non deve in alcun caso tradursi in un abbassamento del livello di protezione dei dati personali.

89.      Dalla decisione di rinvio risulta che l’articolo 20, paragrafo 2, del BayDSG costituisce una peculiarità nell’ordinamento giuridico tedesco, poiché nessun altro Land prevede un’esclusione analoga del diritto di accesso. Un siffatto isolamento sul piano normativo costituisce un serio indizio del fatto che una limitazione di tale portata non può essere considerata necessaria o proporzionata ai sensi dell’articolo 23, paragrafo 1, del RGPD. Poiché tutte le altre autorità di controllo svolgono i loro compiti senza ricorrere a una soppressione generale dei diritti degli interessati, risulta difficile sostenere che una siffatta misura sarebbe indispensabile per il buon funzionamento dell’autorità o per la tutela dei diritti di terzi. Una normativa propria di un solo Land, che limita in modo significativamente più intenso i diritti garantiti dal RGPD rispetto a quelle adottate nelle altre parti del territorio nazionale, non sembra soddisfare i requisiti di coerenza, di necessità e di proporzionalità derivanti dal diritto dell’Unione.

90.      Occorre quindi constatare che, per i due obiettivi invocati – la tutela dei diritti di terzi e la salvaguardia della corretta esecuzione dei compiti delle autorità di controllo –, misure meno restrittive, differenziate e conformi al diritto dell’Unione consentono di raggiungere i risultati ricercati senza sopprimere l’essenza del diritto di accesso, senza eliminare la trasparenza richiesta nei confronti dell’interessato e senza ostacolare la possibilità di controllare la liceità dei trattamenti effettuati.

91.      Un altro aspetto critico è costituito dal fatto che l’articolo 20, paragrafo 2, del BayDSG non consente di individuare l’obiettivo perseguito dal legislatore nazionale. Come risulta dalle indicazioni fornite dal giudice del rinvio, i lavori preparatori si limitano a menzionare l’articolo 23 del RGPD come base giuridica, senza fare riferimento, tuttavia, a uno degli obiettivi elencati in tale disposizione. Orbene, detto articolo 23 richiede che la finalità della limitazione risulti chiaramente dalla disposizione stessa, condizione necessaria per un controllo effettivo del rispetto dei principi di necessità e di proporzionalità.

92.      Tale requisito di chiarezza non può essere sanato con giustificazioni addotte ex post da una parte nel procedimento pregiudiziale ai sensi dell’articolo 267 TFUE, in particolare quando tale parte è quella che beneficia della limitazione di cui trattasi. Ammettere una siffatta possibilità equivarrebbe a sostituire alla volontà del legislatore democraticamente responsabile una costruzione argomentativa elaborata in un contesto contenzioso, il che sarebbe incompatibile con i requisiti di prevedibilità, di trasparenza normativa e di certezza del diritto derivanti dall’articolo 23, paragrafi 1 e 2, del RGPD.

93.      In tali circostanze, si deve concludere che un’esclusione generale e indifferenziata del diritto di accesso, come quella prevista all’articolo 20, paragrafo 2, del BayDSG, non è conforme ai requisiti di cui all’articolo 23 del RGPD, in quanto non contiene nessuno degli elementi espressamente richiesti dal suo paragrafo 2 e non rispetta né l’economia né la finalità di tale regolamento quali risultano dai considerando pertinenti. Una disposizione del genere appare sproporzionata, insufficientemente determinata e tale da privare il diritto di accesso del suo contenuto essenziale.

3.      Conclusione intermedia

94.      Per le ragioni sopra esposte, ritengo che l’articolo 23 del RGPD debba essere interpretato nel senso che esso osta a una normativa nazionale come l’articolo 20, paragrafo 2, del BayDSG, nella misura in cui essa esclude, in quanto tale, l’esistenza di un diritto di accesso, fondato sull’articolo 15 di tale regolamento, nei confronti dell’autorità di controllo.

VI.    Conclusione

95.      Alla luce delle considerazioni che precedono, propongo alla Corte di rispondere nei seguenti termini alle questioni pregiudiziali proposte dal Bayerisches Verwaltungsgericht Ansbach (Tribunale amministrativo del Land Baviera, Ansbach, Germania):

1)      L’articolo 15, in combinato disposto con l’articolo 4, punto 7, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati),

deve essere interpretato nel senso che:

un’autorità di controllo, ai sensi dell’articolo 4, punto 21, di tale regolamento, quando agisce nell’ambito di un procedimento di reclamo fondato sull’articolo 77 di detto regolamento, riveste anche la qualità di «titolare del trattamento» ai sensi del medesimo regolamento ed è quindi tenuta a garantire all’interessato il diritto di accesso previsto dall’articolo 15 dello stesso regolamento 2016/679.

2)      L’articolo 23 del regolamento 2016/679

deve essere interpretato nel senso che:

esso osta a una disposizione nazionale, come quella prevista dall’articolo 20, paragrafo 2, della legge bavarese sulla protezione dei dati, che esclude, in quanto tale, l’esistenza di un diritto di accesso, fondato sull’articolo 15 di tale regolamento, nei confronti dell’autorità bavarese per la protezione dei dati.

1      Lingua originale: il francese.

2      GU 2016, L 119, pag. 1.

3      V. paragrafi 24 e segg. delle presenti conclusioni.

4      V. paragrafi 65 e segg. delle presenti conclusioni.

5      V. sentenza del 29 luglio 2019, Fashion ID (C‑40/17, EU:C:2019:629, punti 65 e 66).

6      La Corte ha anche dichiarato che una persona fisica o giuridica che, per finalità che le sono proprie, influisca sul trattamento di dati personali e partecipi quindi alla determinazione delle finalità e dei mezzi di tale trattamento può essere qualificata come «titolare del trattamento» [v. sentenze del 10 luglio 2018, Jehovan todistajat, C‑25/17 (EU:C:2018:551, punto 68), e del 29 luglio 2019, Fashion ID, C‑40/17 (EU:C:2019:629, punto 68)].

7      Il RGPD non definisce esplicitamente cosa si intenda per «reclamo», ma la formulazione dell’articolo 77 ne fornisce una prima indicazione. Secondo gli orientamenti del Comitato europeo per la protezione dei dati (EDPB), un reclamo corrisponde a un’istanza presentata a un’autorità di controllo da parte di una persona fisica identificata – o di un organismo che soddisfa le condizioni di cui all’articolo 80 – che ritiene che il trattamento dei suoi dati costituisca una violazione del RGPD. L’EDPB precisa che tale nozione non si limita alle violazioni dei diritti precisati al capo III, ma comprende più ampiamente qualsiasi violazione del regolamento derivante dal trattamento dei dati personali dell’autore del reclamo (EDPB, «Internal Document 6/2020 on preliminary steps to handle a complaint: admissibility and vetting of complaints», adottato il 15 dicembre 2020, pag. 3).

8      V. sentenze del 7 dicembre 2023, SCHUFA Holding (Esdebitazione) (C‑26/22 e C‑64/22, EU:C:2023:958, punto 58), del 26 settembre 2024, Land Hessen (Obbligo di agire dell’autorità per la protezione dei dati) (C‑768/21, EU:C:2024:785, punto 35), e del 9 gennaio 2025, Österreichische Datenschutzbehörde (Richieste eccessive) (C‑416/23, EU:C:2025:3, punto 39).

9      V. sentenza della Corte EFTA del 10 dicembre 2020, Adpublisher AG/J & K (cause riunite E‑11/19 e E‑12/19, punto 45).

10      V. sentenze del 6 ottobre 2015, Schrems (C‑362/14, EU:C:2015:650, punto 63), del 16 luglio 2020, Facebook Ireland e Schrems (C-‑311/18, EU:C:2020:559, punto 107), del 7 dicembre 2023, SCHUFA Holding (Esdebitazione) (C‑26/22 e C‑64/22, EU:C:2023:958, punto 56), e del 26 settembre 2024, Land Hessen (Obbligo di agire dell’autorità per la protezione dei dati) (C‑768/21, EU:C:2024:785, punto 32).

11      In tale contesto, occorre ricordare le conclusioni dell’avvocato generale Pikamäe nelle cause riunite SCHUFA Holding (Esdebitazione) (C‑26/22 e C‑64/22, EU:C:2023:222, paragrafo 42), nelle quali quest’ultimo ha sottolineato che il legislatore dell’Unione non ha inteso fare della procedura di reclamo un meccanismo assimilabile a una semplice «petizione». Al contrario, l’obiettivo perseguito è stato quello di creare un meccanismo idoneo a salvaguardare in maniera efficace i diritti e gli interessi delle persone che presentano reclami. In particolare, gli obblighi enunciati all’articolo 57, paragrafo 1, lettera f), del RGPD, che incombono all’autorità di controllo nell’ambito della gestione di tali reclami e rientrano nel principio di «buona amministrazione», attestano la volontà del legislatore di conferire a tale procedimento l’essenza di «un vero e proprio ricorso amministrativo».

12      V. sentenza del 26 settembre 2024, Land Hessen (Obbligo di agire dell’autorità per la protezione dei dati) (C‑768/21, EU:C:2024:785, punto 42).

13      V. sentenze del 7 dicembre 2023, SCHUFA Holding (Esdebitazione) (C‑26/22 e C‑64/22, EU:C:2023:958, punto 70) e del 26 settembre 2024, Land Hessen (Obbligo di agire dell’autorità per la protezione dei dati) (C‑768/21, EU:C:2024:785, punto 49).

14      Nel diritto dell’Unione non esistono disposizioni uniformi per quanto riguarda la gestione concreta dei reclami da parte delle autorità di controllo. Di conseguenza, la prassi amministrativa presenta talune divergenze tra gli Stati membri. Tuttavia, l’EDPB si adopera, attraverso linee guida e lo sviluppo di «buone pratiche», per garantire un certo grado di armonizzazione dell’attività di controllo e delle modalità procedurali, in particolare per quanto riguarda l’ammissione o l’archiviazione dei reclami, la constatazione di composizioni amichevoli, ecc. (v., a tal riguardo, EDPB, «Internal document 6/2020 on preliminary steps to handle a complaint: admissibility and vetting of complaints», adottato il 15 dicembre 2020).

15      Come rilevato dalla Corte EFTA nella sentenza del 10 dicembre 2020, Adpublisher AG/J & K (cause riunite E‑11/19 e E‑12/19, punto 60), l’autorità di controllo ha il potere, ai sensi dell’articolo 57, paragrafo 1, lettera h), del RGPD, di avviare indagini d’ufficio. Pertanto, nell’ambito dell’esame di un reclamo, essa può pronunciarsi su pretese o su un oggetto della controversia diversi da quelli fatti valere dal reclamante. L’efficacia del procedimento di reclamo richiede che l’autorità di controllo non sia limitata, nell’esercizio dei suoi poteri di indagine, dal modo in cui il reclamante ha formulato le questioni di diritto pertinenti nel suo reclamo.

16      Le autorità di controllo sembrano trattare i reclami in base alle disposizioni del diritto nazionale o in base al loro potere discrezionale. Sembrano inoltre esistere differenze nella gestione dei reclami secondo criteri pragmatici o nell’ambito di una procedura semplificata (v., a tal proposito, González Fuster, G. e altri, «The right to lodge a data protection complaint: ok, but then what? – An empirical study of current practices under the RGPD», Access Now, Open Universiteit, 2022, pag. 30).

17      V. sentenza dell’11 gennaio 2024, État belge (Dati trattati da una Gazzetta ufficiale) (C-231/22, EU:C:2024:7, punto 39) e del 27 febbraio 2025, Amt der Tiroler Landesregierung (C‑638/23, EU:C:2025:127, punto 49).

18      Su richiesta della Corte, il Landesamt ha esposto la propria prassi amministrativa in materia di gestione dei reclami. Esso ha precisato, al riguardo, che i reclamanti possono inviare richieste, anche per via elettronica, ai funzionari competenti del Landesamt e chiedere l’accesso al fascicolo. Da tale esposizione risulta chiaramente che le modalità con cui il Landesamt gestisce i reclami, in particolare per quanto riguarda i dati raccolti, le misure organizzative adottate e le indagini svolte, rientrano nell’autonomia conferitagli dal RGPD nell’esercizio dei suoi compiti.

19      Möhle, J.‑P., «Verantwortlichkeit als integrierendes Konzept im Datenschutzrecht», Die Öffentliche Verwaltung, 2023, n. 3, pag. 108, spiega che solo la persona effettivamente in grado di esercitare un’influenza può essere tenuta ad adempiere gli obblighi derivanti dal diritto in materia di protezione dei dati (quali gli obblighi di informazione, di responsabilità o di cooperazione), ossia quella idonea a prevenire in futuro violazioni delle norme in materia di protezione dei dati. A mio avviso, non vi è dubbio che, nell’ambito di un procedimento di reclamo, solo l’autorità di controllo può rispondere a tale definizione.

20      Orbene, come dichiarato dalla Corte, l’obiettivo perseguito dall’ampia definizione della nozione di «titolare del trattamento» è proprio quello di garantire una tutela efficace e completa degli interessati [v. sentenze del 13 maggio 2014, Google Spain e Google, C‑131/12 (EU:C:2014:317, punto 34), del 29 luglio 2019, Fashion ID (C‑40/17, EU:C:2019:629, punto 66), e del 5 giugno 2018, Wirtschaftsakademie Schleswig-Holstein (C‑210/16, EU:C:2018:388, punto 28)].

21      V., in tal senso, Kunert, J., «Vorabentscheidungsersuchen an den EuGH zur Aufsichtsbehörde als Verantwortlicher und zur Rechtmäßigkeit des Art. 20 II BayDSG», GRUR‑Prax, 2025, n. 9, pag. 324.

22      V. sentenza del 22 giugno 2023, Pankki S (C‑579/21, EU:C:2023:501, punto 50).

23      V. sentenza del 4 maggio 2023, Österreichische Datenschutzbehörde e CRIF (C‑487/21, EU:C:2023:369, punti 33 e 34.).

24      V. sentenza del 4 maggio 2023, Österreichische Datenschutzbehörde e CRIF (C‑487/21, EU:C:2023:369, punto 41).

25      V. sentenze del 20 dicembre 2017, Nowak (C‑434/16, EU:C:2017:994, punto 57), del 12 gennaio 2023, Österreichische Post (Informazioni relative ai destinatari di dati personali) (C‑154/21, EU:C:2023:3, punto 38) e del 4 maggio 2023, Österreichische Datenschutzbehörde e CRIF (C‑487/21, EU:C:2023:369, punto 35).

26      Zanfir‑Fortuna, G., «Article 15. Right of access by the data subject», in Kuner, C., Bygrave, L. A. & Docksey, C. (ed.), The EU General Data Protection Regulation (GDPR): A Commentary, Oxford 2020, pag. 452, sottolineano che occorre distinguere il diritto di accesso ai propri dati personali, sancito dall’articolo 15 del RGPD, dal diritto di accesso all’informazione pubblica. Questi due diritti si basano su finalità normative diverse: il primo mira a garantire la trasparenza nei confronti della persona i cui dati sono raccolti e trattati da un titolare del trattamento (trasparenza inter partes), mentre il secondo mira a garantire la trasparenza nei confronti del pubblico riguardo a informazioni di valore o interesse pubblico (trasparenza erga omnes).

27      Gumzej, N., «DPA powers toward effective and transparent GDPR enforcement: the case of Croatia», Juridical Tribune Review of Comparative and International Law, vol. 13, n. 2 (2023), pag. 210, rinvia alle leggi in vigore sulla libertà di accesso all’informazione.

28      Schemmer, F., «Der Auskunftsanspruch der DS-GVO – Umfang des datenschutzrechtlichen Auskunftsanspruchs gem. Art. 15 DS-GVO und dessen Grenzen», Zeitschrift für das gesamte Informationsrecht, 2024, n. 5, pag. 210.

29      V. sentenze del 6 marzo 2007, Placanica e a. (C‑338/04, C‑359/04 e C‑360/04, EU:C:2007:133, punto 34) e del 21 giugno 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491, punto 240).

30      V. sentenze del 25 ottobre 2001, Ambulanz Glöckner (C‑475/99, EU:C:2001:577, punto 10) e del 14 novembre 2024, S. (Modifica del collegio giudicante) (C‑197/23, EU:C:2024:956, punto 43).

31      V. sentenze del 16 luglio 2020, Facebook Ireland e Schrems (C‑311/18, EU:C:2020:559, punto 172), del 12 gennaio 2023, Österreichische Post (Informazioni relative ai destinatari dei dati personali) (C‑154/21, EU:C:2023:3, punto 47) e del 21 marzo 2024, Landeshauptstadt Wiesbaden (C‑61/22, EU:C:2024:251, punto 75).

32      Giurgiu, A., e Larsen, T., «Roles and Powers of National Data Protection Authorities – Moving from Directive 95/46/EC to the RGPD: Stronger and More “European” DPAs as Guardians of Consistency?», European Data Protection Law Review, n. 3, 2016, pag. 352, considerano le autorità di controllo come i principali garanti dei diritti dei singoli, per il loro ruolo centrale nella vigilanza e nell’applicazione delle norme in materia di protezione dei dati previste dal RGPD. Essi sottolineano l’importanza di dotare tali autorità di risorse sufficienti, sia in termini di personale che di risorse finanziarie, affinché possano svolgere efficacemente i loro compiti.

33      V. sentenza del 9 gennaio 2025, Österreichische Datenschutzbehörde (Richieste eccessive) (C‑416/23, EU:C:2025:3, punto 40).

34      V. sentenza del 1^o agosto 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, punto 85).

35      V. sentenza del 24 febbraio 2022, Valsts ieņēmumu dienests (Trattamento dei dati personali a fini fiscali) (C‑175/20, EU:C:2022:124, punto 56).

36      V., a tal riguardo, EDPB, Guidelines 10/2020 on restrictions under Article 23 GDPR (version 2.1), adottate il 13 ottobre 2021, punti da 65 a 67 e 82, che raccomandano limitazioni temporanee all’esercizio di taluni diritti delle persone interessate per non compromettere indagini amministrative.

37      V. sentenze dell’8 aprile 2014, Digital Rights Ireland e a. (C‑293/12 e C‑594/12, EU:C:2014:238, punto 38), del 6 ottobre 2015, Schrems (C‑362/14, EU:C:2015:650, punto 94), del 16 luglio 2020, Facebook Ireland e Schrems (C‑311/18, EU:C:2020:559, punto 174), e del 6 ottobre 2020, La Quadrature du Net e a. (C‑511/18, C‑512/18 e C‑520/18, EU:C:2020:791, punto 121).

38      La Corte, nella sua giurisprudenza costante, ha ricordato tale obiettivo e ha sottolineato che la protezione dei dati personali è garantita sia dall’articolo 16 TFUE sia dall’articolo 8 della Carta, sancendo così tale diritto in due disposizioni del diritto primario dell’Unione (v. sentenza del 12 gennaio 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, punto 43).

39      V. sentenza del 22 giugno 2023, Pankki S (C‑579/21, EU:C:2023:501, punti 53 e segg.).

40      V. sentenza del 4 maggio 2023, Österreichische Datenschutzbehörde e CRIF (C‑487/21, EU:C:2023:369, punto 44).

41      V. paragrafi 59 e segg. delle presenti conclusioni.

42      V. sentenza del 12 gennaio 2023, Österreichische Post (Informazioni relative ai destinatari di dati personali) (C‑154/21, EU:C:2023:3, punto 49). Come sottolineato dalla Corte, spetta al titolare del trattamento dimostrare il carattere manifestamente infondato o eccessivo di una richiesta di accesso ai sensi dell’articolo 12, paragrafo 5, del RGPD.

43      V., a tal riguardo, Agenzia dell’Unione europea per i diritti fondamentali (FRA), GDPR in practice – Experiences of Data Protection Authorities, Lussemburgo, 11 giugno 2024, pag. 21, che descrive la disponibilità di risorse delle autorità di controllo nel corso degli anni come «generalmente insufficiente». A seguito della prima valutazione, da parte della Commissione, dell’applicazione del RGPD, il Parlamento europeo ha adottato una risoluzione in cui invita gli Stati membri a rispettare l’obbligo, di cui all’articolo 52, paragrafo 4, del RGPD, di dotare le loro autorità di controllo di risorse sufficienti per consentire loro di svolgere i propri compiti nel modo migliore possibile e di garantire parità di condizioni per l’applicazione del RGPD a livello europeo.