Corte di Cassazione, sentenza del 5 maggio 2023

 L’art. 12 del Reg. Ue 2016/679 è infatti chiaro nello statuire, espressamente nel suo comma 3, che “Il titolare del trattamento fornisce all’interessato le informazioni relative all’azione intrapresa riguardo a una richiesta ai sensi degli articoli da 15 a 22 senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa….”, aggiungendo, inoltre, al comma 4 che “Se non ottempera alla richiesta dell’interessato, il titolare del trattamento informa l’interessato senza ritardo, e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell’inottemperanza e della possibilità di proporre reclamo a un’autorità di controllo e di proporre ricorso giurisdizionale”. Ma è peraltro il comma 5 del sopra menzionato art. 12 a precisare espressamente, e per quanto qui di interesse per la presente controversia, che “Incombe al titolare del trattamento l’onere di dimostrare il carattere manifestamente infondato o eccessivo della richiesta”.

Orbene, dal tenore letterale dalla norma da ultimo citata emerge dunque chiaramente che il destinatario della richiesta di accesso ai dati deve sempre riscontrare l’istanza dell’interessato, anche in termini negativi, non potendosi trincerare dietro ad un non liquet.

La sentenza impugnata ha invece illegittimamente onerato l’istante, nella specie il C., della dimostrazione in giudizio della titolarità e del possesso da parte della X Bank N. V. dei dati personali che lo riguardavano, con ciò, da un lato, onerando la parte di una probatio diabolica (non essendo chiaro come il C. potesse fornire una prova siffatta) e, dall’altro, invertendo l’onere della prova che, chiaramente e per le ragioni predette, deve essere posto invece a carico del destinatario dell’istanza di accesso, il quale ha per lo meno l’obbligo di rispondere all’interessato, anche nei termini negativi sopra chiariti.

Occorre pertanto enunciare il seguente principio di diritto:

“In materia di trattamento dei dati personali, il soggetto onerato dell’obbligo di fornire risposta in ordine al possesso (o meno) dei dati sensibili è il destinatario dell’istanza di accesso e non invece l’istante, dovendo il primo sempre riscontrare l’istanza dell’interessato, anche in termini negativi, dichiarando espressamente di essere, o meno, in possesso dei dati di cui si richiede l’ostensione”.