Dati personali, Corte Ue: ognuno ha diritto di conoscere data e ragioni di accesso ai suoi dati

Ognuno ha diritto di conoscere la data e le ragioni per cui i suoi dati personali sono stati consultati. E il fatto che il titolare del trattamento dei dati eserciti un’attività bancaria non incide sulla portata di questo diritto. È la sentenza della Corte di giustizia dell’Unione europea, chiamata a pronunciarsi sull’interpretazione del regolamento generale sulla protezione dei dati (RGPD, Regolamento (UE) 2016/679).

Accesso ai dati personali, il caso finlandese

Il caso scaturisce dalla consultazione dei dati fatta da una banca e da parte del suo personale nei confronti di un dipendente e al tempo stesso cliente dell’istituto. Siamo in Finlandia. Nel 2014, spiega la Corte Ue in una nota, un dipendente e, nel contempo, cliente della banca Pankki S è venuto a conoscenza del fatto che i suoi dati personali erano stati consultati da altri membri del personale della banca, in più occasioni, tra il 1° novembre e il 31 dicembre 2013. Nutrendo dubbi circa la liceità di tali consultazioni, il dipendente che, nel frattempo, era stato licenziato, ha chiesto alla banca, il 29 maggio 2018, di comunicargli l’identità delle persone che avevano consultato i suoi dati, le date esatte delle consultazioni nonché le finalità del trattamento di detti dati.

Alla base della consultazione c’era un sospetto di conflitto di interessi fra persone che avevano lo stesso cognome. La banca nell’agosto del 2018 ha rifiutato di comunicare l’identità degli impiegati che avevano svolto le operazioni di consultazione con la motivazione che queste informazioni costituivano dati personali. La consultazione, ha poi spiegato, erano state fatte perché un cliente della banca era creditore di una persona che aveva lo stesso cognome del richiedente, a sua volta consulente alla clientela. La banca aveva insomma voluto chiarire se ci fosse un eventuale conflitto di interessi. La stessa banca ha dichiarato che le consultazioni avevano consentito di fugare qualsiasi sospetto di conflitto di interessi per quanto riguarda il richiedente.

La persona si era rivolta al Garante Privacy della Finlandia affinché fosse ingiunto alla Pankki S di comunicargli le informazioni richieste e, al respingimento della domanda, ha proposto ricorso dinanzi al Tribunale amministrativo della Finlandia orientale. Questo ha dunque chiesto alla Corte di giustizia di interpretare l’articolo 15 del regolamento generale sulla protezione dei dati.

Corte di giustizia: diritto di conoscere data e finalità di accesso ai dati

Per la Corte, il regolamento sulla protezione dei dati “dev’essere interpretato nel senso che le informazioni relative a operazioni di consultazione dei dati personali di una persona, riguardanti le date e le finalità di tali operazioni, costituiscono informazioni che detta persona ha il diritto di ottenere dal titolare del trattamento”.

Per contro il regolamento non riconosce tale diritto con riferimento alle informazioni relative all’identità dei dipendenti che hanno svolto le operazioni conformemente alle istruzioni del titolare del trattamento, a meno che tali informazioni siano indispensabili per consentire all’interessato di esercitare effettivamente i suoi diritti e a condizione che si tenga debito conto dei diritti e delle libertà dei dipendenti.

Infine, la Corte dichiara che “la circostanza che il titolare del trattamento eserciti un’attività bancaria nell’ambito un’attività regolamentata e che la persona i cui dati personali sono stati trattati in qualità di cliente del titolare del trattamento sia stata anche dipendente di detto titolare non incide, in linea di principio, sulla portata del diritto di cui beneficia tale persona”.