TUTELA DEI DATI PERSONALI
Corte di Giustizia UE: chiarimenti interpretativi sulla nozione di “richieste eccessive” ai sensi dell’articolo 57, comma 4, del GDPR.
L’articolo 57, comma 4, del Regolamento 679/2016 (“GDPR”) prevede che l'autorità di controllo può addebitare un contributo spese ragionevole basato sui costi amministrativi o rifiutarsi di soddisfare le richieste dei soggetti che a detta autorità si rivolgono (anche in sede di presentazione di reclamo o di istanze di accesso) qualora le richieste siano manifestamente infondate o eccessive, in particolare per il carattere ripetitivo, spettando all’autorità di controllo dimostrare il carattere manifestamente infondato o eccessivo della richiesta.
Max Schrems, noto attività austriaco, aveva presentato alla autorità privacy austriaca (DSB) 77 reclami - in un periodo di circa 20 mesi - in merito al rifiuto di un noto social network di riscontrare le sue istanze di accesso. Reclami respinti dall’autorità privacy austriaca in quanto ritenuti eccessivi per il loro numero.
La Corte di Giustizia dell'Unione Europea (CGUE) si è pronunciata sulla causa C-416/23, affermando che le richieste di accesso "eccessive" ai sensi del GDPR non possono essere considerate tali solo per il loro numero. La CGUE ha chiarito in primo luogo che, ai sensi dell'articolo 57, paragrafo 4, del GDPR, il termine "richiesta" comprende anche i reclami ai sensi dell’art. 77 del GDPR. Inoltre, le richieste non possono essere qualificate «eccessive», ai sensi dell’articolo 57, paragrafo 4 del GDPR unicamente in ragione del loro numero nel corso di un periodo determinato, dato che l’esercizio della facoltà prevista dalla medesima disposizione è subordinato alla dimostrazione, da parte dell’autorità di controllo, dell’esistenza di un intento abusivo della persona che ha presentato dette richieste. Infine, quando viene posta di fronte a richieste eccessive, un’autorità di controllo può scegliere, con decisione motivata, tra addebitare un contributo spese ragionevole basato sui costi amministrativi o rifiutarsi di soddisfare la richiesta, tenendo conto di tutte le circostanze pertinenti e assicurandosi che l’opzione prescelta sia appropriata, necessaria e proporzionata.
Max Schrems, noto attività austriaco, aveva presentato alla autorità privacy austriaca (DSB) 77 reclami - in un periodo di circa 20 mesi - in merito al rifiuto di un noto social network di riscontrare le sue istanze di accesso. Reclami respinti dall’autorità privacy austriaca in quanto ritenuti eccessivi per il loro numero.
La Corte di Giustizia dell'Unione Europea (CGUE) si è pronunciata sulla causa C-416/23, affermando che le richieste di accesso "eccessive" ai sensi del GDPR non possono essere considerate tali solo per il loro numero. La CGUE ha chiarito in primo luogo che, ai sensi dell'articolo 57, paragrafo 4, del GDPR, il termine "richiesta" comprende anche i reclami ai sensi dell’art. 77 del GDPR. Inoltre, le richieste non possono essere qualificate «eccessive», ai sensi dell’articolo 57, paragrafo 4 del GDPR unicamente in ragione del loro numero nel corso di un periodo determinato, dato che l’esercizio della facoltà prevista dalla medesima disposizione è subordinato alla dimostrazione, da parte dell’autorità di controllo, dell’esistenza di un intento abusivo della persona che ha presentato dette richieste. Infine, quando viene posta di fronte a richieste eccessive, un’autorità di controllo può scegliere, con decisione motivata, tra addebitare un contributo spese ragionevole basato sui costi amministrativi o rifiutarsi di soddisfare la richiesta, tenendo conto di tutte le circostanze pertinenti e assicurandosi che l’opzione prescelta sia appropriata, necessaria e proporzionata.
