Una recente sentenza delle Corte di Giustizia Europea ha decretato che, per permettere agli interessati di esercitare correttamente i propri diritti, i destinatari dei dati personali devono essere specificati.
Ecco qualche dettaglio in merito.
Ripasso GDPR: chi sono i destinatari dei dati personali
Un destinatario dei dati personali, indicato dal Regolamento Europeo per la Protezione dei Dati personali (GDPR) anche come “soggetto di comunicazione”, è qualcuno (azienda, ente o professionista) esterno all’organizzazione a cui il Titolare deve comunicare i dati personali in proprio possesso per necessità operative o per obblighi normativi.
Esempi classici di soggetti di comunicazione sono:
- Agenzia delle Entrate
- Ente assicurativo (INAIL, assicurazioni…)
- Istituti bancari
- Organizzazioni sindacali
La vicenda della comunicazione dei destinatari e Österreichische Post
La sentenza riguarda Österreichische Post, il principale operatore postale in Austria. Nel 2019 un utente aveva contattato l’azienda per esercitare il diritto di accesso ai dati.
Nello specifico l’utente chiedeva:
- I dati personali che lo riguardavano conservati da Österreichische Post
- Se tali dati personali erano o erano stati comunicati a terzi
- Nel caso fossero stati comunicati a terzi, l’identità dei destinatari di tali comunicazioni.
Österreichische Post rispose alla richiesta ma, secondo l’utente, non in modo soddisfacente. In particolare modo, nelle sul risposte l’azienda non aveva mai rivelato all’utente i destinatari specifici delle comunicazioni dei suoi dati.
Tralasciando le successive vicende giudiziarie, un punto di svolta si ebbe quando un giudice decise di interpellare direttamente la Corte di Giustizia Europea in merito a tale quesito: se un interessato chiedere espressamente quali sono i soggetti esterni a cui vengono comunicati i dati personali dell’interessato, per il Titolare è sufficiente indicare la categoria di questi (es. istituto bancario) o è necessario specificare il loro nome? (es. Banca Popolare di…)
Il responso della Corte di Giustizia sulla necessità di specificare i destinatari
Come indicato nella sentenza pubblicata a gennaio 2023, la risposta della Corte di Giustizia Europea fu la seguente: in risposta all’esercizio del diritto di accesso ex art.15 da parte di un interessato, il Titolare non si può limitare a indicare la categoria dei destinatari ma è tenuto a comunicare l’identità degli stessi.
È possibile indicare la sola categoria dei destinatari esclusivamente nel caso in cui non sia possibile essere più precisi perché, ad esempio, il soggetto di destinazione non è stato ancora determinato.
Tutto ciò per permettere la corretta applicazione dei principi di correttezza e trasparenza, nonché di liceità, propria di un trattamento dati in linea con la normativa.
Conseguenze per le aziende e suggerimenti
A seguito di tale sentenza, si consiglia a tutte le organizzazioni di aggiornare i propri registri dei trattamenti specificando in modo puntuale i soggetti di comunicazione.
Invece di Istituto bancario, mettere il nome proprio della banca es. Banca Popolare di…
Al posto di Studio paghe, specificare qual è lo Studio incaricato ecc.
Questo perché, in caso di analoghe richieste di accesso ai dati da parte di interessati al trattamento, tali annotazioni permetteranno di rispondere più agevolmente alla richiesta.
Non sai quali sono i tuoi destinatari di trattamento o non hai nemmeno un registro dei trattamenti? Per evitare le ingenti sanzioni GDPR (nel 2022 L’Italia è il secondo Paese in Europa per numero di multe e quarta per ammontare delle sanzioni), contattaci per richiedere la tua consulenza GDPR su misura!
