A chi sono stati comunicati i miei dati?

Corte di Giustizia UE, Sentenza 12/01/2023 (causa C-154/21)

Corte di Giustizia dell'Unione Europea

Sezione Prima

«Rinvio pregiudiziale – Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento (UE) 2016/679 – Articolo 15, paragrafo 1, lettera c) – Diritto di accesso dell’interessato ai propri dati – Informazioni sui destinatari o sulle categorie di destinatari a cui sono stati o saranno comunicati i dati personali – Limitazioni»

Nella causa C-154/21,

avente ad oggetto la domanda di pronuncia pregiudiziale proposta alla Corte, ai sensi dell’articolo 267 TFUE, dall’Oberster Gerichtshof (Corte suprema, Austria), con decisione del 18 febbraio 2021, pervenuta in cancelleria il 9 marzo 2021, nel procedimento

RW

contro

Osterreichische Post AG,

Sentenza

1 La domanda di pronuncia pregiudiziale verte sull'interpretazione dell'articolo 15, paragrafo 1, lettera c), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1) (in prosieguo: il «RGPD»).

2 Tale domanda è stata presentata nell'ambito di una controversia tra RW e la Österreichische Post AG (in prosieguo: la «Österreichische Post») in merito a una richiesta di accesso a dati personali ai sensi dell'articolo 15, paragrafo 1, lettera c), del RGPD.

Contesto normativo

3 I considerando 4, 9, 10, 39, 63 e 74 del RGPD sono così formulati:

«(4) (...) Il diritto alla protezione dei dati di carattere personale non è una prerogativa assoluta, ma va considerato alla luce della sua funzione sociale e va contemperato con altri diritti fondamentali, in ossequio al principio di proporzionalità. (...)

(...)

(9) Sebbene i suoi obiettivi e principi rimangano tuttora validi, la direttiva 95/46/CE [del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU 1995, L 281, pag. 31),] non ha impedito la frammentazione dell'applicazione della protezione dei dati personali nel territorio dell'Unione [europea], né ha eliminato l'incertezza giuridica o la percezione, largamente diffusa nel pubblico, che in particolare le operazioni online comportino rischi per la protezione delle persone fisiche. La compresenza di diversi livelli di protezione dei diritti e delle libertà delle persone fisiche, in particolare del diritto alla protezione dei dati personali, con riguardo al trattamento di tali dati negli Stati membri può ostacolare la libera circolazione dei dati personali all'interno dell'Unione. Tali differenze possono pertanto costituire un freno all'esercizio delle attività economiche su scala dell'Unione, falsare la concorrenza e impedire alle autorità nazionali di adempiere agli obblighi loro derivanti dal diritto dell'Unione. Tale divario creatosi nei livelli di protezione è dovuto alle divergenze nell'attuare e applicare la direttiva 95/46/CE.

(10) Al fine di assicurare un livello coerente ed elevato di protezione delle persone fisiche e rimuovere gli ostacoli alla circolazione dei dati personali all'interno dell'Unione, il livello di protezione dei diritti e delle libertà delle persone fisiche con riguardo al trattamento di tali dati dovrebbe essere equivalente in tutti gli Stati membri. (...)

(...)

(39) Qualsiasi trattamento di dati personali dovrebbe essere lecito e corretto. Dovrebbero essere trasparenti per le persone fisiche le modalità con cui sono raccolti, utilizzati, consultati o altrimenti trattati dati personali che li riguardano nonché la misura in cui i dati personali sono o saranno trattati. Il principio della trasparenza impone che le informazioni e le comunicazioni relative al trattamento di tali dati personali siano facilmente accessibili e comprensibili e che sia utilizzato un linguaggio semplice e chiaro. (...)

(...)

(63) Un interessato dovrebbe avere il diritto di accedere ai dati personali raccolti che l[o] riguardano e di esercitare tale diritto facilmente e a intervalli ragionevoli, per essere consapevole del trattamento e verificarne la liceità. (...) Ogni interessato dovrebbe pertanto avere il diritto di conoscere e ottenere comunicazioni in particolare in relazione alla finalità per cui i dati personali sono trattati, ove possibile al periodo in cui i dati personali sono trattati, ai destinatari dei dati personali, alla logica cui risponde qualsiasi trattamento automatizzato dei dati e, almeno quando è basato sulla profilazione, alle possibili conseguenze di tale trattamento. (...) Tale diritto non dovrebbe ledere i diritti e le libertà altrui, compreso il segreto industriale e aziendale e la proprietà intellettuale, segnatamente i diritti d'autore che tutelano il software. Tuttavia, tali considerazioni non dovrebbero condurre a un diniego a fornire all'interessato tutte le informazioni. (...)

(...)

(74) È opportuno stabilire la responsabilità generale del titolare del trattamento per qualsiasi trattamento di dati personali che quest'ultimo abbia effettuato direttamente o che altri abbiano effettuato per suo conto. In particolare, il titolare del trattamento dovrebbe essere tenuto a mettere in atto misure adeguate ed efficaci ed essere in grado di dimostrare la conformità delle attività di trattamento con il presente regolamento, compresa l'efficacia delle misure. Tali misure dovrebbero tener conto della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, nonché del rischio per i diritti e le libertà delle persone fisiche».

4 L'articolo 1 del RGPD, intitolato «Oggetto e finalità», al paragrafo 2 così dispone:

«Il presente regolamento protegge i diritti e le libertà fondamentali delle persone fisiche, in particolare il diritto alla protezione dei dati personali».

5 L'articolo 5 del RGPD, intitolato «Principi applicabili al trattamento di dati personali», prevede quanto segue:

«1. I dati personali sono:

a) trattati in modo lecito, corretto e trasparente nei confronti dell'interessato ("liceità, correttezza e trasparenza");

(...)

2. Il titolare del trattamento è competente per il rispetto del paragrafo 1 e in grado di comprovarlo ("responsabilizzazione")».

6 L'articolo 12 del RGPD, intitolato «Informazioni, comunicazioni e modalità trasparenti per l'esercizio dei diritti dell'interessato», è così formulato:

«1. Il titolare del trattamento adotta misure appropriate per fornire all'interessato tutte le informazioni di cui agli articoli 13 e 14 e le comunicazioni di cui agli articoli da 15 a 22 e all'articolo 34 relative al trattamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro, in particolare nel caso di informazioni destinate specificamente ai minori. Le informazioni sono fornite per iscritto o con altri mezzi, anche, se del caso, con mezzi elettronici. Se richiesto dall'interessato, le informazioni possono essere fornite oralmente, purché sia comprovata con altri mezzi l'identità dell'interessato.

2. Il titolare del trattamento agevola l'esercizio dei diritti dell'interessato ai sensi degli articoli da 15 a 22. Nei casi di cui all'articolo 11, paragrafo 2, il titolare del trattamento non può rifiutare di soddisfare la richiesta dell'interessato al fine di esercitare i suoi diritti ai sensi degli articoli da 15 a 22, salvo che il titolare del trattamento dimostri che non è in grado di identificare l'interessato.

(...)

5. Le informazioni fornite ai sensi degli articoli 13 e 14 ed eventuali comunicazioni e azioni intraprese ai sensi degli articoli da 15 a 22 e dell'articolo 34 sono gratuite. Se le richieste dell'interessato sono manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, il titolare del trattamento può:

a) addebitare un contributo spese ragionevole tenendo conto dei costi amministrativi sostenuti per fornire le informazioni o la comunicazione o intraprendere l'azione richiesta; oppure

b) rifiutare di soddisfare la richiesta.

Incombe al titolare del trattamento l'onere di dimostrare il carattere manifestamente infondato o eccessivo della richiesta.

(...)».

7 L'articolo 13 del RGPD, intitolato «Informazioni da fornire qualora i dati personali siano raccolti presso l'interessato», al paragrafo 1 prevede quanto segue:

«In caso di raccolta presso l'interessato di dati che lo riguardano, il titolare del trattamento fornisce all'interessato, nel momento in cui i dati personali sono ottenuti, le seguenti informazioni:

(...)

e) gli eventuali destinatari o le eventuali categorie di destinatari dei dati personali;

(...)».

8 L'articolo 14 del RGPD, intitolato «Informazioni da fornire qualora i dati personali non siano stati ottenuti presso l'interessato», al paragrafo 1 così dispone:

«Qualora i dati non siano stati ottenuti presso l'interessato, il titolare del trattamento fornisce all'interessato le seguenti informazioni:

(...)

e) gli eventuali destinatari o le eventuali categorie di destinatari dei dati personali;

(...)».

9 Ai sensi dell'articolo 15 del RGPD, intitolato «Diritto di accesso dell'interessato»:

«1. L'interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l'accesso ai dati personali e alle seguenti informazioni:

a) le finalità del trattamento;

b) le categorie di dati personali in questione;

c) i destinatari o le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, in particolare se destinatari di paesi terzi o organizzazioni internazionali;

d) quando possibile, il periodo di conservazione dei dati personali previsto oppure, se non è possibile, i criteri utilizzati per determinare tale periodo;

e) l'esistenza del diritto dell'interessato di chiedere al titolare del trattamento la rettifica o la cancellazione dei dati personali o la limitazione del trattamento dei dati personali che lo riguardano o di opporsi al loro trattamento;

f) il diritto di proporre reclamo a un'autorità di controllo;

g) qualora i dati non siano raccolti presso l'interessato, tutte le informazioni disponibili sulla loro origine;

h) l'esistenza di un processo decisionale automatizzato, compresa la profilazione di cui all'articolo 22, paragrafi 1 e 4, e, almeno in tali casi, informazioni significative sulla logica utilizzata, nonché l'importanza e le conseguenze previste di tale trattamento per l'interessato.

2. Qualora i dati personali siano trasferiti a un paese terzo o a un'organizzazione internazionale, l'interessato ha il diritto di essere informato dell'esistenza di garanzie adeguate ai sensi dell'articolo 46 relative al trasferimento.

3. Il titolare del trattamento fornisce una copia dei dati personali oggetto di trattamento. In caso di ulteriori copie richieste dall'interessato, il titolare del trattamento può addebitare un contributo spese ragionevole basato sui costi amministrativi. Se l'interessato presenta la richiesta mediante mezzi elettronici, e salvo indicazione diversa dell'interessato, le informazioni sono fornite in un formato elettronico di uso comune.

4. Il diritto di ottenere una copia di cui al paragrafo 3 non deve ledere i diritti e le libertà altrui».

10 L'articolo 16 del RGPD, intitolato «Diritto di rettifica», stabilisce quanto segue:

«L'interessato ha il diritto di ottenere dal titolare del trattamento la rettifica dei dati personali inesatti che lo riguardano senza ingiustificato ritardo. Tenuto conto delle finalità del trattamento, l'interessato ha il diritto di ottenere l'integrazione dei dati personali incompleti, anche fornendo una dichiarazione integrativa».

11 Ai sensi dell'articolo 17 del RGPD, intitolato «Diritto alla cancellazione ("diritto all'oblio")»:

«1. L'interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l'obbligo di cancellare senza ingiustificato ritardo i dati personali, se sussiste uno dei motivi seguenti:

a) i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati;

b) l'interessato revoca il consenso su cui si basa il trattamento conformemente all'articolo 6, paragrafo 1, lettera a), o all'articolo 9, paragrafo 2, lettera a), e se non sussiste altro fondamento giuridico per il trattamento;

c) l'interessato si oppone al trattamento ai sensi dell'articolo 21, paragrafo 1, e non sussiste alcun motivo legittimo prevalente per procedere al trattamento, oppure si oppone al trattamento ai sensi dell'articolo 21, paragrafo 2;

d) i dati personali sono stati trattati illecitamente;

e) i dati personali devono essere cancellati per adempiere un obbligo legale previsto dal diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento;

f) i dati personali sono stati raccolti relativamente all'offerta di servizi della società dell'informazione di cui all'articolo 8, paragrafo 1.

2. Il titolare del trattamento, se ha reso pubblici dati personali ed è obbligato, ai sensi del paragrafo 1, a cancellarli, tenendo conto della tecnologia disponibile e dei costi di attuazione adotta le misure ragionevoli, anche tecniche, per informare i titolari del trattamento che stanno trattando i dati personali della richiesta dell'interessato di cancellare qualsiasi link, copia o riproduzione dei suoi dati personali.

(...)».

12 L'articolo 18 del RGPD, intitolato «Diritto di limitazione di trattamento», al paragrafo 1 così dispone:

«L'interessato ha il diritto di ottenere dal titolare del trattamento la limitazione del trattamento quando ricorre una delle seguenti ipotesi:

a) l'interessato contesta l'esattezza dei dati personali, per il periodo necessario al titolare del trattamento per verificare l'esattezza di tali dati personali;

b) il trattamento è illecito e l'interessato si oppone alla cancellazione dei dati personali e chiede invece che ne sia limitato l'utilizzo;

c) benché il titolare del trattamento non ne abbia più bisogno ai fini del trattamento, i dati personali sono necessari all'interessato per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria;

d) l'interessato si è opposto al trattamento ai sensi dell'articolo 21, paragrafo 1, in attesa della verifica in merito all'eventuale prevalenza dei motivi legittimi del titolare del trattamento rispetto a quelli dell'interessato.

(...)».

13 L'articolo 19 del RGPD così recita:

«Il titolare del trattamento comunica a ciascuno dei destinatari cui sono stati trasmessi i dati personali le eventuali rettifiche o cancellazioni o limitazioni del trattamento effettuate a norma dell'articolo 16, dell'articolo 17, paragrafo 1, e dell'articolo 18, salvo che ciò si riveli impossibile o implichi uno sforzo sproporzionato. Il titolare del trattamento comunica all'interessato tali destinatari qualora l'interessato lo richieda».

14 Ai sensi dell'articolo 21 del RGPD, intitolato «Diritto di opposizione»:

«1. L'interessato ha il diritto di opporsi in qualsiasi momento, per motivi connessi alla sua situazione particolare, al trattamento dei dati personali che lo riguardano ai sensi dell'articolo 6, paragrafo 1, lettere e) o f), compresa la profilazione sulla base di tali disposizioni. Il titolare del trattamento si astiene dal trattare ulteriormente i dati personali salvo che egli dimostri l'esistenza di motivi legittimi cogenti per procedere al trattamento che prevalgono sugli interessi, sui diritti e sulle libertà dell'interessato oppure per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria.

2. Qualora i dati personali siano trattati per finalità di marketing diretto, l'interessato ha il diritto di opporsi in qualsiasi momento al trattamento dei dati personali che lo riguardano effettuato per tali finalità, compresa la profilazione nella misura in cui sia connessa a tale marketing diretto.

3. Qualora l'interessato si opponga al trattamento per finalità di marketing diretto, i dati personali non sono più oggetto di trattamento per tali finalità.

4. Il diritto di cui ai paragrafi 1 e 2 è esplicitamente portato all'attenzione dell'interessato ed è presentato chiaramente e separatamente da qualsiasi altra informazione al più tardi al momento della prima comunicazione con l'interessato.

5. Nel contesto dell'utilizzo di servizi della società dell'informazione e fatta salva la direttiva 2002/58/CE [del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche) (GU 2002, L 201, pag. 37)], l'interessato può esercitare il proprio diritto di opposizione con mezzi automatizzati che utilizzano specifiche tecniche.

6. Qualora i dati personali siano trattati a fini di ricerca scientifica o storica o a fini statistici a norma dell'articolo 89, paragrafo 1, l'interessato, per motivi connessi alla sua situazione particolare, ha il diritto di opporsi al trattamento di dati personali che lo riguarda, salvo se il trattamento è necessario per l'esecuzione di un compito di interesse pubblico».

15 L'articolo 79 del RGPD, intitolato «Diritto a un ricorso giurisdizionale effettivo nei confronti del titolare del trattamento o del responsabile del trattamento», al paragrafo 1 enuncia quanto segue:

«Fatto salvo ogni altro ricorso amministrativo o extragiudiziale disponibile, compreso il diritto di proporre reclamo a un'autorità di controllo ai sensi dell'articolo 77, ogni interessato ha il diritto di proporre un ricorso giurisdizionale effettivo qualora ritenga che i diritti di cui gode a norma del presente regolamento siano stati violati a seguito di un trattamento».

16 L'articolo 82 del RGPD, intitolato «Diritto al risarcimento e responsabilità», al paragrafo 1 prevede quanto segue:

«Chiunque subisca un danno materiale o immateriale causato da una violazione del presente regolamento ha il diritto di ottenere il risarcimento del danno dal titolare del trattamento o dal responsabile del trattamento».

Procedimento principale e questione pregiudiziale

17 Il 15 gennaio 2019 RW si è rivolto all'Österreichische Post al fine di ottenere, sulla base dell'articolo 15 del RGPD, l'accesso ai dati personali che lo riguardavano conservati da quest'ultima o che la stessa aveva conservato in passato e, in caso di comunicazione dei dati a terzi, l'identità di tali destinatari.

18 In risposta a tale richiesta, l'Österreichische Post si è limitata ad affermare che essa utilizza dati, nei limiti consentiti dalla legge, nell'ambito della sua attività di editore di elenchi telefonici e che fornisce tali dati personali a partner commerciali a fini di marketing. Inoltre, essa ha rinviato a un sito Internet per informazioni più dettagliate e per le altre finalità del trattamento dei dati. Essa non ha comunicato a RW l'identità in concreto dei destinatari dei dati.

19 RW ha citato l'Österreichische Post dinanzi ai giudici austriaci chiedendo che venisse ingiunto a quest'ultima di fornirgli, in particolare, l'identità del destinatario o dei destinatari dei suoi dati personali così comunicati.

20 Nel corso del procedimento giudiziario così avviato, l'Österreichische Post ha informato RW che i suoi dati personali erano stati trattati a fini di marketing e trasmessi a clienti, tra cui inserzionisti attivi nel settore della vendita per corrispondenza e del commercio tradizionale, imprese informatiche, editori di indirizzi e associazioni quali organizzazioni di beneficenza, organizzazioni non governative (ONG) o partiti politici.

21 I giudici di primo grado e d'appello hanno respinto il ricorso di RW in quanto l'articolo 15, paragrafo 1, lettera c), del RGPD, nella parte in cui fa riferimento a «destinatari o (...) categorie di destinatari», accorderebbe al titolare del trattamento la possibilità di indicare all'interessato soltanto le categorie di destinatari, senza dover indicare nominativamente i destinatari concreti ai quali sono trasmessi i dati personali.

22 RW ha proposto ricorso per cassazione («Revision») dinanzi all'Oberster Gerichtshof (Corte suprema, Austria), giudice del rinvio.

23 Tale giudice si interroga sull'interpretazione dell'articolo 15, paragrafo 1, lettera c), del RGPD, in quanto dalla formulazione di tale disposizione non emerge con chiarezza se essa conceda all'interessato il diritto di avere accesso alle informazioni relative ai destinatari concreti dei dati comunicati o se il titolare del trattamento possa scegliere discrezionalmente il modo in cui intende dare seguito a una richiesta di accesso all'informazione sui destinatari.

24 Detto giudice osserva tuttavia che la ratio legis di detta disposizione deporrebbe piuttosto a favore dell'interpretazione secondo cui è l'interessato che può scegliere di chiedere informazioni relative alle categorie di destinatari o ai destinatari concreti dei suoi dati personali. A suo avviso, qualsiasi interpretazione comprometterebbe gravemente l'effettività dei mezzi di ricorso a disposizione dell'interessato per proteggere i suoi dati. Infatti, nel caso in cui i titolari potessero scegliere se indicare agli interessati i destinatari concreti o soltanto le categorie di destinatari, sussisterebbe il fondato timore che, in pratica, quasi nessuno di essi fornirebbe le informazioni relative ai destinatari concreti.

25 Inoltre, contrariamente all'articolo 13, paragrafo 1, lettera e), e all'articolo 14, paragrafo 1, lettera e), del RGPD, che prevedono un obbligo per il titolare del trattamento di fornire le informazioni ivi specificate, l'articolo 15, paragrafo 1, di tale regolamento porrebbe l'accento sulla portata del diritto di accesso dell'interessato, il che tenderebbe altresì a indicare, secondo il giudice del rinvio, che l'interessato ha il diritto di scegliere se chiedere informazioni sui destinatari concreti o sulle categorie di destinatari.

26 Infine, il giudice del rinvio aggiunge che il diritto di accesso previsto all'articolo 15, paragrafo 1, del RGPD, riguarda non già unicamente i dati personali in corso di trattamento, ma anche tutti i dati trattati in passato. A tale riguardo, esso precisa che le considerazioni formulate nella sentenza del 7 maggio 2009, Rijkeboer (C-553/07, EU:C:2009:293), fondate sulla finalità del diritto di accesso previsto dalla direttiva 95/46, possono essere trasposte al diritto di accesso di cui all'articolo 15 del RGPD, tanto più che dai considerando 9 e 10 di quest'ultimo si può dedurre che il legislatore dell'Unione non ha inteso abbassare il livello di protezione rispetto a tale direttiva.

27 Ciò premesso, l'Oberster Gerichtshof (Corte suprema) ha deciso di sospendere il procedimento e di sottoporre alla Corte la seguente questione pregiudiziale:

«Se l'articolo 15, paragrafo 1, lettera c), del [RGPD] debba essere interpretato nel senso che il diritto di accesso è limitato a informazioni relative alle categorie di destinatari, qualora non siano ancora stati specificamente individuati destinatari concreti nel quadro di comunicazioni previste, mentre tale diritto deve necessariamente estendersi anche ai destinatari di tali comunicazioni, qualora i dati siano già stati comunicati».

Sulla questione pregiudiziale

28 Con la sua questione pregiudiziale, il giudice del rinvio chiede, in sostanza, se l'articolo 15, paragrafo 1, lettera c), del RGPD debba essere interpretato nel senso che il diritto di accesso dell'interessato ai dati personali che lo riguardano, previsto da tale disposizione, implica, qualora tali dati siano stati o saranno comunicati a destinatari, l'obbligo per il titolare del trattamento di fornire all'interessato l'identità concreta di tali destinatari.

29 In via preliminare, occorre ricordare che, secondo una costante giurisprudenza, l'interpretazione di una disposizione del diritto dell'Unione richiede di tener conto non soltanto della sua formulazione, ma anche del contesto in cui essa si inserisce nonché degli obiettivi e della finalità che persegue l'atto di cui essa fa parte (sentenza del 15 marzo 2022, Autorité des marchés financier, C-302/20, EU:C:2022:190, punto 63). Inoltre, quando una disposizione del diritto dell'Unione è suscettibile di più interpretazioni, occorre privilegiare quella idonea a salvaguardare il suo effetto utile (sentenza del 7 marzo 2018, Cristal Union, C-31/17, EU:C:2018:168, punto 41 e giurisprudenza ivi citata).

30 Per quanto riguarda, anzitutto, il tenore letterale dell'articolo 15, paragrafo 1, lettera c), del RGPD, occorre ricordare che tale disposizione enuncia che l'interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e, in tal caso, di ottenere l'accesso ai dati personali e alle informazioni relative ai destinatari o alle categorie di destinatari a cui tali dati personali sono stati o saranno comunicati.

31 A tal riguardo, occorre rilevare che i termini «destinatari» e «categorie di destinatari» che figurano in tale disposizione sono utilizzati in successione, senza che sia possibile dedurre un ordine di priorità tra di essi.

32 Pertanto, è giocoforza constatare che la formulazione dell'articolo 15, paragrafo 1, lettera c), del RGPD non consente di stabilire, in modo univoco, se l'interessato, qualora i dati personali che lo riguardano siano stati o saranno comunicati, abbia il diritto di essere informato riguardo all'identità concreta dei destinatari di questi ultimi.

33 Per quanto riguarda poi il contesto in cui si inserisce l'articolo 15, paragrafo 1, lettera c), del RGPD, occorre ricordare, in primo luogo, che il considerando 63 di tale regolamento prevede che l'interessato debba avere il diritto di conoscere e ottenere comunicazioni, in particolare, in relazione ai destinatari di tali dati personali e non precisa che tale diritto possa essere limitato alle mere categorie di destinatari, come rilevato dall'avvocato generale al paragrafo 23 delle sue conclusioni.

34 In secondo luogo, occorre altresì ricordare che, per rispettare il diritto di accesso, qualsiasi trattamento di dati personali di persone fisiche deve essere conforme ai principi enunciati all'articolo 5 del RGPD (v., in tal senso, sentenza del 16 gennaio 2019, Deutsche Post, C-496/17, EU:C:2019:26, punto 57).

35 Orbene, tra tali principi figura il principio di trasparenza di cui all'articolo 5, paragrafo 1, lettera a), del RGPD, il quale implica, come risulta dal considerando 39 di tale regolamento, che l'interessato disponga di informazioni sulle modalità con cui i suoi dati personali sono trattati e che tali informazioni siano facilmente accessibili e comprensibili.

36 In terzo luogo, occorre rilevare, come sottolineato dall'avvocato generale al paragrafo 21 delle sue conclusioni, che, a differenza degli articoli 13 e 14 del RGPD, i quali stabiliscono l'obbligo per il titolare del trattamento di fornire all'interessato le informazioni relative alle categorie di destinatari o ai destinatari concreti dei dati personali che lo riguardano, qualora questi ultimi siano raccolti presso l'interessato o non siano ottenuti presso l'interessato, l'articolo 15 del RGPD prevede un vero e proprio diritto di accesso a favore dell'interessato, di modo che quest'ultimo deve poter scegliere se ottenere le informazioni concernenti, ove possibile, i destinatari specifici cui detti dati sono stati o saranno comunicati o quelle riguardanti le categorie di destinatari.

37 In quarto luogo, la Corte ha già dichiarato che l'esercizio di tale diritto di accesso deve consentire all'interessato di verificare non solo che i dati che lo riguardano siano corretti, ma anche che siano trattati in modo lecito (v., per analogia, sentenze del 17 luglio 2014, YS e a., C-141/12 e C-372/12, EU:C:2014:2081, punto 44, nonché del 20 dicembre 2017, Nowak, C-434/16, EU:C:2017:994, punto 57), in particolare che essi siano stati comunicati a destinatari autorizzati (v., per analogia, sentenza del 7 maggio 2009, Rijkeboer, C-553/07, EU:C:2009:293, punto 49).

38 In particolare, tale diritto di accesso è necessario affinché l'interessato possa esercitare, se del caso, il suo diritto di rettifica, il suo diritto alla cancellazione («diritto all'oblio»), il suo diritto di limitazione di trattamento, diritti questi che gli sono riconosciuti, rispettivamente, dagli articoli 16, 17 e 18 del RGDP (v., per analogia, sentenze del 17 luglio 2014, YS e a., C-141/12 e C-372/12, EU:C:2014:2081, punto 44, nonché del 20 dicembre 2017, Nowak, C-434/16, EU:C:2017:994, punto 57), nonché il suo diritto di opposizione al trattamento dei suoi dati personali, previsto all'articolo 21 del RGPD, e il suo diritto di agire in giudizio nel caso in cui subisca un danno, previsto agli articoli 79 e 82 del RGPD (v., per analogia, sentenza del 7 maggio 2009, Rijkeboer, C-553/07, EU:C:2009:293, punto 52).

39 Pertanto, al fine di garantire l'effetto utile di tutti i diritti menzionati al punto precedente della presente sentenza, l'interessato deve disporre, in particolare, di un diritto di essere informato riguardo all'identità dei destinatari concreti nel caso in cui i suoi dati personali siano già stati comunicati.

40 Una siffatta interpretazione è confermata, in quinto e ultimo luogo, dalla lettura dell'articolo 19 del RGPD, il quale prevede, alla sua prima frase, che il titolare del trattamento comunichi, in linea di principio, a ciascuno dei destinatari cui sono stati trasmessi i dati personali le eventuali rettifiche, cancellazioni o limitazioni del trattamento e, alla sua seconda frase, che tale titolare comunichi all'interessato tali destinatari qualora l'interessato lo richieda.

41 Pertanto, l'articolo 19, seconda frase, del RGPD conferisce espressamente all'interessato il diritto di essere informato dei destinatari concreti dei dati che lo riguardano da parte del titolare del trattamento, nell'ambito dell'obbligo di quest'ultimo di informare tutti i destinatari dell'esercizio dei diritti di cui l'interessato dispone ai sensi dell'articolo 16, dell'articolo 17, paragrafo 1, e dell'articolo 18 del RGPD.

42 Dall'analisi contestuale sopra esposta risulta che l'articolo 15, paragrafo 1, lettera c), del RGPD costituisce una delle disposizioni destinate a garantire che le modalità attraverso le quali i dati personali sono trattati siano trasparenti per l'interessato e consente a quest'ultimo, come rilevato dall'avvocato generale al paragrafo 33 delle sue conclusioni, di esercitare le prerogative previste in particolare agli articoli da 16 a 19, 21, 79 e 82 del RGPD.

43 Pertanto, si deve ritenere che le informazioni fornite all'interessato a titolo del diritto di accesso previsto all'articolo 15, paragrafo 1, lettera c), del RGPD debbano essere le più esatte possibili. In particolare, tale diritto di accesso implica la possibilità per l'interessato di ottenere dal titolare del trattamento le informazioni sui destinatari specifici ai quali i dati sono stati o saranno comunicati o, alternativamente, di scegliere di limitarsi a richiedere informazioni riguardanti le categorie di destinatari.

44 Infine, per quanto riguarda la finalità perseguita dal RGPD, occorre rilevare che tale regolamento mira, in particolare, come emerge dal suo considerando 10, a garantire un elevato livello di protezione delle persone fisiche all'interno dell'Unione (sentenza del 6 ottobre 2020, La Quadrature du Net e a., C-511/18, C-512/18 e C-520/18, EU:C:2020:791, punto 207). A tal riguardo, come rilevato in sostanza dall'avvocato generale al paragrafo 14 delle sue conclusioni, il contesto normativo generale creato dal RGPD dà attuazione alle prescrizioni scaturenti dal diritto fondamentale alla protezione dei dati personali tutelato dall'articolo 8 della Carta dei diritti fondamentali dell'Unione europea, in particolare alle prescrizioni espressamente previste al paragrafo 2 di tale articolo (v., in tal senso, sentenza del 9 marzo 2017, Manni, C-398/15, EU:C:2017:197, punto 40).

45 Orbene, tale obiettivo avvalora l'interpretazione dell'articolo 15, paragrafo 1, del RGPD di cui al punto 43 della presente sentenza.

46 Pertanto, risulta altresì dall'obiettivo perseguito dal RGPD che l'interessato ha il diritto di ottenere dal titolare del trattamento informazioni sui destinatari concreti ai quali i dati personali che lo riguardano sono stati o saranno comunicati.

47 Ciò premesso, occorre infine sottolineare che, come risulta dal considerando 4 del RGPD, il diritto alla protezione dei dati personali non è una prerogativa assoluta. Tale diritto deve essere infatti considerato alla luce della sua funzione sociale e va contemperato con altri diritti fondamentali, in ossequio al principio di proporzionalità, come ribadito dalla Corte, in sostanza, al punto 172 della sentenza del 16 luglio 2020, Facebook Ireland e Schrems (C-311/18, EU:C:2020:559).

48 Pertanto, si può ammettere che, in circostanze specifiche, non sia possibile fornire informazioni su destinatari concreti. Il diritto di accesso potrà dunque essere limitato all'informazione sulle categorie di destinatari qualora sia impossibile comunicare l'identità dei destinatari concreti, in particolare qualora questi ultimi non siano ancora noti.

49 Inoltre, occorre ricordare che, ai sensi dell'articolo 12, paragrafo 5, lettera b), del RGPD, il titolare del trattamento, conformemente al principio di responsabilità di cui all'articolo 5, paragrafo 2, di tale regolamento nonché al considerando 74 di quest'ultimo, può rifiutare di soddisfare la richiesta dell'interessato qualora la stessa sia manifestamente infondata o eccessiva, fermo restando che incombe al medesimo titolare del trattamento dimostrare il carattere manifestamente infondato o eccessivo di detta richiesta.

50 Nel caso di specie, dalla domanda di pronuncia pregiudiziale risulta che l'Österreichische Post ha respinto la richiesta presentata da RW sulla base dell'articolo 15, paragrafo 1, del RGPD, diretta a che la stessa gli fornisse l'identità dei destinatari ai quali aveva comunicato i dati personali che lo riguardavano. Spetterà al giudice del rinvio verificare se, tenuto conto delle circostanze di cui al procedimento principale, l'Österreichische Post abbia dimostrato il carattere manifestamente infondato o eccessivo di tale richiesta.

51 Alla luce di tutte le considerazioni sin qui svolte, occorre rispondere alla questione pregiudiziale dichiarando che l'articolo 15, paragrafo 1, lettera c), del RGPD deve essere interpretato nel senso che il diritto di accesso dell'interessato ai dati personali che lo riguardano, previsto da tale disposizione, implica, qualora tali dati siano stati o saranno comunicati a destinatari, l'obbligo per il titolare del trattamento di fornire a detto interessato l'identità stessa di tali destinatari, a meno che non sia impossibile identificare detti destinatari o che il suddetto titolare del trattamento non dimostri che le richieste di accesso dell'interessato sono manifestamente infondate o eccessive, ai sensi dell'articolo 12, paragrafo 5, del RGPD, nel qual caso il titolare del trattamento può indicare a detto interessato unicamente le categorie di destinatari di cui trattasi.

Sulle spese

52 Nei confronti delle parti nel procedimento principale la presente causa costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.

Per questi motivi, la Corte (Prima Sezione) dichiara:

L'articolo 15, paragrafo 1, lettera c), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati),

deve essere interpretato nel senso che:

il diritto di accesso dell'interessato ai dati personali che lo riguardano, previsto da tale disposizione, implica, qualora tali dati siano stati o saranno comunicati a destinatari, l'obbligo per il titolare del trattamento di fornire a detto interessato l'identità stessa di tali destinatari, a meno che sia impossibile identificare detti destinatari o che il suddetto titolare del trattamento dimostri che le richieste di accesso dell'interessato sono manifestamente infondate o eccessive, ai sensi dell'articolo 12, paragrafo 5, del regolamento 2016/679, nel qual caso il titolare del trattamento può indicare a detto interessato unicamente le categorie di destinatari di cui trattasi.