La pronuncia della Corte di Giustizia (Prima Sezione, del 04/05/2023 nella causa C‑487/21) si inserisce in un procedimento avviato tra la società CRIF ed un suo dipendente che, ai sensi dell’art 15 GDPR (“diritto di accesso”) ha richiesto alla società una copia dei documenti, messaggi di posta elettronica e degli estratti di banche dati contenenti, tra l’altro, i suoi dati, «in un usuale formato tecnico». In risposta a tale richiesta, la Società inviava al dipendente un elenco sintetico dei dati personali oggetto di trattamento.
Ritenendo che la CRIF avrebbe dovuto trasmettergli una copia di tutti i documenti contenenti i suoi dati, quali i messaggi di posta elettronica e gli estratti di banche dati, il ricorrente nel procedimento principale ha presentato un reclamo all’autorità austriaca garante della protezione dei dati. (“DSB”), respinto in quanto l’autorità non reputava violato il diritto di accesso ai dati personali del ricorrente nel procedimento principale.
Il giudice del rinvio, investito del ricorso del ricorrente nel procedimento principale avverso tale decisione, si interroga sulla portata dell’articolo 15, paragrafo 3, prima frase, GDPR operando un rinvio pregiudiziale dinanzi alla Corte di Giustizia. Quest’ultima, analizzato l’art. 15 del GDPR, il contesto in cui esso si inserisce e l’obiettivo con esso perseguito dal legislatore europeo, finisce col concludere che:
L’articolo 15, paragrafo 3, prima frase, del GDPR deve essere interpretato nel senso che il diritto di ottenere dal titolare del trattamento una copia dei dati personali oggetto di trattamento implica che sia consegnata all’interessato una riproduzione fedele e intelligibile dell’insieme di tali dati. Questo diritto presuppone quello di ottenere copia di estratti di documenti o addirittura di documenti interi o, ancora, di estratti di banche dati contenenti, tra l’altro, tali dati, se la fornitura di una siffatta copia è indispensabile per consentire all’interessato di esercitare effettivamente i diritti conferitigli da tale regolamento, fermo restando che occorre tener conto, al riguardo, dei diritti e delle libertà altrui.
L’articolo 15, paragrafo 3, terza frase, del GDPR deve essere interpretato nel senso che la nozione di «informazioni» ivi menzionata si riferisce esclusivamente ai dati personali di cui il titolare del trattamento deve fornire una copia in applicazione della prima frase di tale paragrafo, esclusi quindi nel caso concreto anche i metadati.