62023CJ0416
SENTENZA DELLA CORTE (Prima Sezione)
9 gennaio 2025 (
*1
)
«Rinvio pregiudiziale – Protezione delle persone fisiche riguardo al trattamento dei dati personali – Regolamento (UE) 2016/679 – Articolo 57, paragrafo 1, lettera f), e paragrafo 4 – Compiti dell’autorità di controllo – Nozioni di “richiesta” e di “richieste eccessive” – Obbligo di pagare un contributo spese ragionevole o rifiuto di soddisfare le richieste in caso di richieste manifestamente infondate o eccessive – Criteri che possono orientare la scelta dell’autorità di controllo – Articolo 77, paragrafo 1 – Nozione di “reclamo”»
Nella causa C‑416/23,
avente ad oggetto la domanda di pronuncia pregiudiziale proposta alla Corte, ai sensi dell’articolo 267 TFUE, dal Verwaltungsgerichtshof (Corte amministrativa, Austria), con decisione del 27 giugno 2023, pervenuta in cancelleria il 6 luglio 2023, nel procedimento
Österreichische Datenschutzbehörde
contro
F R,
con l’intervento di:
Bundesministerin für Justiz,
LA CORTE (Prima Sezione),
composta da T. von Danwitz, vicepresidente della Corte, facente funzione di presidente della Prima Sezione, A. Kumin e I. Ziemele (relatrice), giudici,
avvocato generale: J. Richard de la Tour
cancelliere: A. Calot Escobar
vista la fase scritta del procedimento,
considerate le osservazioni presentate:
–
per l’Österreichische Datenschutzbehörde, da M. Schmidl, in qualità di agente;
–
per F R, da C. Wirthensohn, Rechtsanwalt;
–
per la Bundesministerin für Justiz, da E. Riedl, in qualità di agente;
–
per il governo austriaco, da A. Posch, J. Schmoll e C. Gabauer, in qualità di agenti;
–
per il governo ceco, da M. Smolek, T. Suchá e J. Vláčil, in qualità di agenti;
–
per la Commissione europea, da A. Bouchagiar, F. Erlbacher e H. Kranenborg, in qualità di agenti,
sentite le conclusioni dell’avvocato generale, presentate all’udienza del 5 settembre 2024,
ha pronunciato la seguente
Sentenza
1
La domanda di pronuncia pregiudiziale verte sull’interpretazione dell’articolo 57, paragrafo 4, e dell’articolo 77, paragrafo 1, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1; in prosieguo: il «RGPD»).
2
Tale domanda è stata presentata nell’ambito di una controversia tra F R, persona fisica, e l’Österreichische Datenschutzbehörde (Autorità per la protezione dei dati, Austria) (in prosieguo: la «DSB») in merito al rifiuto da parte di quest’ultima di dar seguito a un reclamo relativo a una presunta violazione del diritto di accesso di F R ai suoi dati personali.
Contesto normativo
Diritto dell’Unione
3
Ai sensi dei considerando 10, 11, 59, 63 e 129 del RGPD:
«(10)
Al fine di assicurare un livello coerente ed elevato di protezione delle persone fisiche e rimuovere gli ostacoli alla circolazione dei dati personali all’interno dell’Unione [europea], il livello di protezione dei diritti e delle libertà delle persone fisiche con riguardo al trattamento di tali dati dovrebbe essere equivalente in tutti gli Stati membri. È opportuno assicurare un’applicazione coerente e omogenea delle norme a protezione dei diritti e delle libertà fondamentali delle persone fisiche con riguardo al trattamento dei dati personali in tutta l’Unione. (...)
(11)
Un’efficace protezione dei dati personali in tutta l’Unione presuppone il rafforzamento e la disciplina dettagliata dei diritti degli interessati e degli obblighi di coloro che effettuano e determinano il trattamento dei dati personali (...)».
(...)
(59)
È opportuno prevedere modalità volte ad agevolare l’esercizio, da parte dell’interessato, dei diritti di cui al presente regolamento, compresi i meccanismi per richiedere e, se del caso, ottenere gratuitamente, in particolare l’accesso ai dati, la loro rettifica e cancellazione e per esercitare il diritto di opposizione. (...)
(...)
(63)
Un interessato dovrebbe avere il diritto di accedere ai dati personali raccolti che [lo] riguardano e di esercitare tale diritto facilmente e a intervalli ragionevoli, per essere consapevole del trattamento e verificarne la liceità. (...) Se il titolare del trattamento tratta una notevole quantità d’informazioni riguardanti l’interessato, il titolare in questione dovrebbe poter richiedere che l’interessato precisi, prima che siano fornite le informazioni, l’informazione o le attività di trattamento cui la richiesta si riferisce.
(...)
(129)
(...) È opportuno che i poteri delle autorità di controllo siano esercitati nel rispetto di garanzie procedurali adeguate previste dal diritto dell’Unione e degli Stati membri, in modo imparziale ed equo ed entro un termine ragionevole. In particolare ogni misura dovrebbe essere appropriata, necessaria e proporzionata al fine di assicurare la conformità al presente regolamento, tenuto conto delle circostanze di ciascun singolo caso, rispettare il diritto di ogni persona di essere ascoltata prima che nei suoi confronti sia adottato un provvedimento individuale che le rechi pregiudizio ed evitare costi superflui ed eccessivi disagi per le persone interessate. (...)».
4
L’articolo 12 del RGPD, intitolato «Informazioni, comunicazioni e modalità trasparenti per l’esercizio dei diritti dell’interessato», ai paragrafi 2 e 5 enuncia quanto segue:
«2.   Il titolare del trattamento agevola l’esercizio dei diritti dell’interessato ai sensi degli articoli da 15 a 22. Nei casi di cui all’articolo 11, paragrafo 2, il titolare del trattamento non può rifiutare di soddisfare la richiesta dell’interessato al fine di esercitare i suoi diritti ai sensi degli articoli da 15 a 22, salvo che il titolare del trattamento dimostri che non è in grado di identificare l’interessato.
(…)
5.   Le informazioni fornite ai sensi degli articoli 13 e 14 ed eventuali comunicazioni e azioni intraprese ai sensi degli articoli da 15 a 22 e dell’articolo 34 sono gratuite. Se le richieste dell’interessato sono manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, il titolare del trattamento può:
a)
addebitare un contributo spese ragionevole tenendo conto dei costi amministrativi sostenuti per fornire le informazioni o la comunicazione o intraprendere l’azione richiesta; oppure
b)
rifiutare di soddisfare la richiesta.
Incombe al titolare del trattamento l’onere di dimostrare il carattere manifestamente infondato o eccessivo della richiesta».
5
L’articolo 15 del RGPD, intitolato «Diritto di accesso dell’interessato», al suo paragrafo 1 così dispone:
«L’interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l’accesso ai dati personali e alle seguenti informazioni:
a)
le finalità del trattamento;
(...)
c)
i destinatari o le categorie di destinatari a cui i dati personali sono stati o saranno comunicati (...);
(...)».
6
L’articolo 52 del RGPD, intitolato «Indipendenza», al paragrafo 4 dispone quanto segue:
«Ogni Stato membro provvede affinché ogni autorità di controllo sia dotata delle risorse umane, tecniche e finanziarie, dei locali e delle infrastrutture necessari per l’effettivo adempimento dei suoi compiti e l’esercizio dei propri poteri, compresi quelli nell’ambito dell’assistenza reciproca, della cooperazione e della partecipazione al comitato».
7
L’articolo 57 del RGPD, intitolato «Compiti», è così redatto:
«1.   Fatti salvi gli altri compiti indicati nel presente regolamento, sul proprio territorio ogni autorità di controllo:
a)
sorveglia e assicura l’applicazione del presente regolamento;
(...)
e)
su richiesta, fornisce informazioni all’interessato in merito all’esercizio dei propri diritti derivanti dal presente regolamento e, se del caso, coopera a tal fine con le autorità di controllo di altri Stati membri;
f)
tratta i reclami proposti da un interessato, o da un organismo, un’organizzazione o un’associazione ai sensi dell’articolo 80, e svolge le indagini opportune sull’oggetto del reclamo e informa il reclamante dello stato e dell’esito delle indagini entro un termine ragionevole, in particolare ove siano necessarie ulteriori indagini o un coordinamento con un’altra autorità di controllo;
(...)
2.   Ogni autorità di controllo agevola la proposizione [dei] reclami di cui al paragrafo 1, lettera f), tramite misure quali un modulo per la proposizione dei reclami compilabile anche elettronicamente, senza escludere altri mezzi di comunicazione.
3.   Ogni autorità di controllo svolge i propri compiti senza spese né per l’interessato né, ove applicabile, per il responsabile della protezione dei dati.
4.   Qualora le richieste siano manifestamente infondate o eccessive, in particolare per il carattere ripetitivo, l’autorità di controllo può addebitare un contributo spese ragionevole basato sui costi amministrativi o rifiutarsi di soddisfare la richiesta. Incombe all’autorità di controllo dimostrare il carattere manifestamente infondato o eccessivo della richiesta».
8
L’articolo 77 del RGPD, intitolato «Diritto di proporre reclamo all’autorità di controllo», al paragrafo 1 prevede quanto segue:
«Fatto salvo ogni altro ricorso amministrativo o giurisdizionale, l’interessato che ritenga che il trattamento che lo riguarda violi il presente regolamento ha il diritto di proporre reclamo a un’autorità di controllo, segnatamente nello Stato membro in cui risiede abitualmente, lavora oppure del luogo ove si è verificata la presunta violazione».
Diritto austriaco
9
L’articolo 24 del Bundesgesetz zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (legge federale in materia di protezione delle persone fisiche riguardo al trattamento dei dati personali), del 17 agosto 1999 (BGBl. I, 165/1999), nella versione applicabile ai fatti di cui al procedimento principale, intitolato «Reclami all’autorità per la protezione dei dati», ai paragrafi 1, 5 e 8 enuncia quanto segue:
«(1)   Ogni interessato ha il diritto di proporre reclamo all’autorità per la protezione dei dati se ritiene che il trattamento dei dati personali che lo riguardano violi il RGPD o l’articolo 1 o l’articolo 2 della prima parte principale.
(...)
(5)   Qualora un reclamo risulti fondato, esso deve essere accolto. Se una violazione è imputabile ad un titolare del trattamento del settore privato, a quest’ultimo deve essere intimato di soddisfare le richieste formulate dal reclamante volte a ottenere l’accesso, la rettifica, la cancellazione, la limitazione o il trasferimento dei dati nella misura necessaria a porre rimedio alla violazione constatata. Qualora il reclamo risulti infondato, esso deve essere respinto.
(...)
(8)   Ogni interessato può adire la Corte amministrativa se l’autorità per la protezione dei dati non tratta il reclamo o non informa l’interessato dello stato o dell’esito del reclamo entro tre mesi».
Procedimento principale e questioni pregiudiziali
10
Il 17 febbraio 2020 F R ha proposto reclamo alla DSB ai sensi dell’articolo 77, paragrafo 1, del RGPD per violazione dell’articolo 15 di tale regolamento con la motivazione che una società, avente la qualità di titolare del trattamento, non aveva risposto alla sua richiesta di accesso ai suoi dati personali entro il termine di un mese.
11
Con decisione del 22 aprile 2020 la DSB, sulla base dell’articolo 57, paragrafo 4, del RGPD, ha rifiutato di dar seguito a tale reclamo a motivo del suo carattere eccessivo. Al riguardo essa ha in particolare rilevato che l’interessato le aveva inviato, nell’arco di circa 20 mesi, 77 reclami analoghi contro diversi responsabili del trattamento. Inoltre, F R avrebbe interpellato regolarmente la DSB per telefono per esporre fatti supplementari e formulare richieste aggiuntive.
12
F R ha proposto ricorso avverso detta decisione dinanzi al Bundesverwaltungsgericht (Tribunale amministrativo federale, Austria).
13
Con sentenza del 22 dicembre 2022, tale giudice ha accolto il ricorso e ha annullato la decisione della DSB. Detto giudice ha dichiarato, in sostanza, che il carattere eccessivo di una richiesta, ai sensi dell’articolo 57, paragrafo 4, del RGPD, presuppone non solo una reiterazione frequente delle richieste, ma anche un carattere manifestamente vessatorio o abusivo delle stesse. Orbene, dalla motivazione addotta dalla DSB per rifiutare di trattare il reclamo proposto da F R non emergerebbe il carattere abusivo della sua iniziativa. Peraltro, secondo lo stesso giudice un’autorità di controllo posta di fronte a richieste eccessive non potrebbe scegliere a proprio piacimento tra le due opzioni previste dalla disposizione citata, vale a dire addebitare un contributo spese ragionevole o rifiutarsi di soddisfare la richiesta. La scelta tra queste opzioni rientrerebbe nella valutazione discrezionale il cui esercizio dovrebbe essere giustificato dall’autorità di controllo. Ebbene, nel caso di specie una siffatta motivazione difetterebbe.
14
Adito dalla DSB con ricorso per cassazione (Revision) avverso tale sentenza, il Verwaltungsgerichtshof (Corte amministrativa, Austria), giudice del rinvio, si chiede, in primo luogo, se la nozione di «richiesta» di cui all’articolo 57, paragrafo 4, del RGPD comprenda i reclami proposti in applicazione dell’articolo 77, paragrafo 1, di tale regolamento.
15
In proposito il giudice del rinvio rileva che la nozione di «richiesta» è certamente utilizzata, nell’elenco dei compiti delle autorità di controllo di cui all’articolo 57, paragrafo 1, del RGPD, esclusivamente alla lettera e) di tale disposizione, per designare le richieste di informazioni rivolte a dette autorità dagli interessati in merito all’esercizio dei diritti loro derivanti dal medesimo regolamento. Tuttavia da tale circostanza non potrebbe dedursi che l’articolo 57, paragrafo 4, del regolamento in questione possa applicarsi solo al trattamento di simili richieste. Al contrario, il contesto di quest’ultima disposizione, che pone un’eccezione al principio di gratuità, consentirebbe piuttosto di concludere che la nozione di «richiesta» da essa contemplata comprenda anche i reclami, poiché il trattamento di questi ultimi costituirebbe il compito principale delle autorità di controllo e sarebbe necessario sollevare tali autorità dal trattamento dei reclami manifestamente infondati o eccessivi.
16
Secondo il giudice del rinvio, tuttavia, un’interpretazione di questo tipo avrebbe l’effetto di limitare l’obbligo delle autorità di controllo di trattare i reclami, in forza dell’articolo 57, paragrafo 1, lettera f), del RGPD, e potrebbe essere in contrasto con gli obiettivi perseguiti da tale regolamento, in particolare con quello di garantire un elevato livello di protezione delle persone fisiche riguardo al trattamento dei dati personali all’interno dell’Unione.
17
Ciò posto, il giudice del rinvio ritiene che, se si accogliesse una simile interpretazione, la limitazione apportata dall’articolo 57, paragrafo 4, del RGPD al diritto di presentare un reclamo sarebbe proporzionata. Infatti, l’applicazione di tale disposizione presupporrebbe che l’autorità di controllo fornisca la prova del carattere manifestamente infondato o eccessivo del reclamo. Inoltre, la decisione di detta autorità di addebitare un contributo spese ragionevole o di rifiutare di dar seguito al reclamo sarebbe soggetta al sindacato giurisdizionale di cui all’articolo 78, paragrafo 1, del summenzionato regolamento.
18
In secondo luogo, nel caso in cui l’articolo 57, paragrafo 4, del RGPD dovesse essere interpretato nel senso che è applicabile ai reclami di cui all’articolo 77, paragrafo 1, di tale regolamento, il giudice del rinvio si interroga sulla portata della nozione di «richiesta eccessiva», ai sensi dell’articolo 57, paragrafo 4, del medesimo regolamento. In particolare detto giudice osserva che, sebbene la disposizione in esame menzioni espressamente, quale esempio di «richieste eccessive», il caso delle richieste aventi «carattere ripetitivo», resta il fatto che, in quanto eccezione all’obbligo di ogni autorità di controllo di trattare i reclami, la facoltà di rifiutare il trattamento di un reclamo dovrebbe essere interpretata restrittivamente, poiché tale facoltà comporterebbe un pregiudizio significativo alla protezione prevista dal RGPD per le persone fisiche nell’ambito del trattamento di dati personali e derogherebbe quindi agli obiettivi perseguiti da detto regolamento.
19
In tale contesto, il giudice del rinvio chiede se il numero di reclami proposti nel corso di un determinato periodo a un’autorità di controllo sia sufficiente per concludere che un reclamo è eccessivo, indipendentemente dalle circostanze di ogni singolo reclamo e senza considerare i responsabili del trattamento interessati da detti reclami, o se occorra tener conto di altre circostanze in base alle quali si possa concludere per l’esistenza di un intento abusivo.
20
In terzo luogo, il giudice del rinvio ritiene che l’applicazione dell’articolo 57, paragrafo 4, del RGPD sollevi questioni anche per quanto concerne le conseguenze giuridiche da trarre in caso di richieste manifestamente infondate o eccessive. Infatti, dalla formulazione della disposizione in esame non emergerebbe chiaramente se le autorità di controllo possano liberamente scegliere una delle due opzioni da essa previste, vale a dire addebitare un contributo spese ragionevole per il trattamento del reclamo o rifiutarsi a priori di trattarlo. Il giudice del rinvio sottolinea che la dottrina sarebbe divisa sul punto.
21
In tali circostanze, il Verwaltungsgerichtshof (Corte amministrativa) ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali:
«1)
Se la nozione di “richieste” o di “richiesta” di cui all’articolo 57, paragrafo 4, del [RGPD] debba essere interpretata nel senso che essa comprende anche i “reclami” di cui all’articolo 77, paragrafo 1, del RGPD.
2)
In caso di risposta in senso affermativo alla prima questione: se l’articolo 57, paragrafo 4, del RGPD debba essere interpretato nel senso che, ai fini della sussistenza di “richieste eccessive”, è già sufficiente che un interessato abbia presentato ad un’autorità di controllo un determinato numero di richieste (reclami ai sensi dell’articolo 77, paragrafo 1, del RGPD) in un determinato periodo di tempo, anche quando le situazioni di fatto siano differenti e/o le richieste (i reclami) riguardino titolari del trattamento differenti, oppure se, oltre al carattere ripetitivo delle richieste (reclami), sia necessario anche un intento abusivo dell’interessato.
3)
Se l’articolo 57, paragrafo 4, del RGPD debba essere interpretato nel senso che l’autorità di controllo può scegliere liberamente, in presenza di una richiesta (reclamo) “manifestamente infondata” o “eccessiva”, se addebitare un contributo spese ragionevole basato sui costi amministrativi o rifiutarsi a priori di esaminarla; in caso di risposta in senso negativo: quali circostanze e quali criteri debbano essere presi in considerazione dall’autorità di controllo, in particolare se l’autorità di controllo sia obbligata prioritariamente ad addebitare un contributo spese ragionevole, quale strumento più blando, e solo nel caso in cui la riscossione del contributo appaia destinata a fallire sia legittimata, al fine di arginare richieste (reclami) manifestamente infondate o eccessive, a rifiutare l’esame».
Sulle questioni pregiudiziali
Sulla prima questione
22
Con la sua prima questione il giudice del rinvio chiede se l’articolo 57, paragrafo 4, del RGPD debba essere interpretato nel senso che la nozione di «richiesta» ivi contenuta comprende i «reclami» di cui all’articolo 77, paragrafo 1, di tale regolamento.
23
In via preliminare occorre rilevare che la nozione di «reclamo» è contenuta anche nell’articolo 57, paragrafo 1, lettera f), del RGPD. Pertanto, per fornire una risposta utile al giudice del rinvio occorre considerare che con la sua prima questione tale giudice chiede, in sostanza, se l’articolo 57, paragrafo 4, di detto regolamento debba essere interpretato nel senso che la nozione di «richiesta» ivi contenuta comprende i «reclami» di cui all’articolo 57, paragrafo 1, lettera f), e all’articolo 77, paragrafo 1, del medesimo regolamento.
24
Ai fini dell’interpretazione di una norma del diritto dell’Unione si deve tener conto non soltanto dei termini della stessa, secondo il loro significato abituale nel linguaggio corrente, ma anche del suo contesto e degli scopi perseguiti dalla normativa di cui essa fa parte [sentenze del 4 maggio 2023, Österreichische Datenschutzbehörde e CRIF, C‑487/21, EU:C:2023:369, punto 19 e giurisprudenza ivi citata; del 7 dicembre 2023, SCHUFA Holding (Esdebitazione), C‑26/22 e C‑64/22, EU:C:2023:958, punto 48 e giurisprudenza ivi citata, nonché del 30 aprile 2024, Trade Express-L e Devnia TSIMENT, C‑395/22 e C‑428/22, EU:C:2024:374, punto 65 e giurisprudenza ivi citata].
25
Per quanto riguarda, in primo luogo, i termini dell’articolo 57, paragrafo 1, lettera f), del RGPD, questo prevede che ciascuna autorità di controllo nel suo territorio «tratta i reclami proposti da un interessato, (…) svolge le indagini opportune sull’oggetto del reclamo e informa il reclamante dello stato e dell’esito delle indagini entro un termine ragionevole, in particolare ove siano necessarie ulteriori indagini o un coordinamento con un’altra autorità di controllo».
26
L’articolo 57, paragrafo 4, del RGPD enuncia a sua volta che, «[q]ualora le richieste siano manifestamente infondate o eccessive, in particolare per il carattere ripetitivo, l’autorità di controllo può addebitare un contributo spese ragionevole basato sui costi amministrativi o rifiutarsi di soddisfare la richiesta» e che «[i]ncombe all’autorità di controllo dimostrare il carattere manifestamente infondato o eccessivo della richiesta».
27
Quanto al dettato dell’articolo 77, paragrafo 1, del RGPD, esso dispone che, «[f]atto salvo ogni altro ricorso amministrativo o giurisdizionale, l’interessato che ritenga che il trattamento che lo riguarda violi [tale] regolamento ha il diritto di proporre reclamo a un’autorità di controllo, segnatamente nello Stato membro in cui risiede abitualmente, lavora oppure del luogo ove si è verificata la presunta violazione».
28
Pertanto, nessuna delle disposizioni menzionate ai punti da 25 a 27 della presente sentenza definisce espressamente la nozione di «richiesta», ai sensi dell’articolo 57, paragrafo 4, del RGPD.
29
A questo proposito va osservato che, come rilevato dall’avvocato generale al paragrafo 23 delle sue conclusioni, la nozione di «richiesta», secondo il suo significato abituale nel linguaggio corrente, è particolarmente ampia, poiché comprende potenzialmente ogni domanda formulata da una persona o da un ente.
30
Si deve pertanto necessariamente constatare che la formulazione delle disposizioni menzionate ai punti da 25 a 27 della presente sentenza consente di ritenere che i reclami proposti ai sensi dell’articolo 77, paragrafo 1, del RGPD rientrino nella nozione di «richiesta», ai sensi dell’articolo 57, paragrafo 4, di tale regolamento.
31
La suesposta analisi testuale è avvalorata, in secondo luogo, dal contesto in cui si inseriscono le disposizioni di cui trattasi. Al riguardo, l’articolo 57 del RGPD descrive i compiti che incombono alle autorità di controllo e fissa le condizioni alle quali tali compiti devono essere adempiuti. In questo senso, in particolare, il citato articolo 57 prevede, in primo luogo, al paragrafo 1, lettera a), che ogni autorità sorvegli e assicuri l’applicazione di detto regolamento, in secondo luogo, al paragrafo 1, lettera e), che essa, su richiesta, fornisca informazioni all’interessato in merito all’esercizio dei propri diritti derivanti dal medesimo regolamento e, se del caso, cooperi a tal fine con le autorità di controllo di altri Stati membri e, in terzo luogo, al paragrafo 2, che essa agevoli l’introduzione dei reclami di cui al paragrafo 1, lettera f), tramite misure quali un modulo per l’introduzione dei reclami compilabile anche elettronicamente, senza escludere altri mezzi di comunicazione.
32
Inoltre, l’articolo 57, paragrafo 3, del RGPD sancisce il principio secondo cui ogni autorità di controllo svolge i propri compiti senza spese né per l’interessato né, ove applicabile, per il responsabile della protezione dei dati.
33
Pertanto, prevedendo per le autorità di controllo la facoltà, qualora siano poste di fronte a richieste manifestamente infondate o eccessive, di addebitare un contributo spese ragionevole basato sui costi amministrativi o di rifiutarsi di soddisfare una richiesta, l’articolo 57, paragrafo 4, di tale regolamento introduce un’eccezione al principio di gratuità sancito dall’articolo 57, paragrafo 3, di detto regolamento, la quale deve essere interpretata restrittivamente.
34
In tal modo, come sostanzialmente rilevato dall’avvocato generale ai paragrafi da 28 a 30 delle sue conclusioni, poiché il trattamento da parte delle autorità di controllo delle richieste che vengono loro sottoposte è la regola, tali autorità dovrebbero essere autorizzate ad esercitare la facoltà prevista dall’articolo 57, paragrafo 4, del RGPD solo in casi eccezionali.
35
Ebbene, dalle disposizioni citate non può dedursi che l’articolo 57, paragrafo 4, del RGPD, quando utilizza la nozione di «richiesta», debba applicarsi unicamente alle richieste di cui all’articolo 57, paragrafo 1, lettera e), di tale regolamento. Infatti, l’articolo 57, paragrafo 3, di detto regolamento si applica a tutti i compiti delle autorità di controllo, incluso il trattamento dei reclami di cui all’articolo 57, paragrafo 1, lettera f), del medesimo regolamento.
36
In tale contesto, prevedendo un’eccezione al principio di gratuità dei compiti svolti dalle autorità di controllo, senza limitarla a determinati compiti specifici di dette autorità, l’articolo 57, paragrafo 4, del RGPD deve applicarsi anche al trattamento dei reclami di cui all’articolo 57, paragrafo 1, lettera f), di tale regolamento, soprattutto in quanto quest’ultimo compito costituisce una missione essenziale delle autorità di controllo. Inoltre, l’autorità di controllo interessata deve trattare simili reclami con tutta la dovuta diligenza [sentenza del 7 dicembre 2023, SCHUFA Holding (Esdebitazione), C‑26/22 e C‑64/22, EU:C:2023:958, punto 56 e giurisprudenza ivi citata].
37
Al contrario, l’interpretazione secondo cui la nozione di «richiesta» di cui all’articolo 57, paragrafo 4, del RGPD comprenderebbe solo le richieste riconducibili all’articolo 57, paragrafo 1, lettera e), del regolamento di cui trattasi e non i reclami di cui all’articolo 57, paragrafo 1, lettera f), e all’articolo 77, paragrafo 1, di detto regolamento priverebbe la prima di tali disposizioni di gran parte della sua efficacia pratica e contrasterebbe con la tutela effettiva dei diritti garantiti dal medesimo regolamento (v., in tal senso, sentenza del 12 gennaio 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, punto 47).
38
In terzo luogo, questa interpretazione contestuale è coerente con gli obiettivi del RGPD. In proposito occorre rilevare che, come precisato ai suoi considerando 10 e 11, tale regolamento ha la finalità di assicurare un livello coerente ed elevato di protezione delle persone fisiche all’interno dell’Unione nonché il rafforzamento e la disciplina dettagliata dei diritti degli interessati [sentenza del 26 ottobre 2023, FT (Copie della cartella medica), C‑307/22, EU:C:2023:811, punto 47].
39
Pertanto, la procedura di reclamo è concepita come un meccanismo idoneo a salvaguardare efficacemente i diritti e gli interessi delle persone coinvolte [sentenza del 7 dicembre 2023, SCHUFA Holding (Esdebitazione), C‑26/22 e C‑64/22, EU:C:2023:958, punto 58 nonché giurisprudenza ivi citata]. Al riguardo, l’obbligo gravante sulle autorità di controllo di agevolare l’introduzione dei reclami e il principio di gratuità dei compiti che esse devono svolgere, di cui all’articolo 57, paragrafi 2 e 3, del RGPD, sono preordinati a consentire a tutti gli interessati di reclamare, dinanzi a un’autorità di controllo, il rispetto dei diritti che detto regolamento conferisce loro.
40
In tale contesto, come rilevato dall’avvocato generale al paragrafo 41 delle sue conclusioni, il perseguimento dell’obiettivo di assicurare un livello coerente ed elevato di protezione delle persone fisiche all’interno dell’Unione impone di garantire il corretto funzionamento delle autorità di controllo, evitando che esso sia ostacolato dall’introduzione di reclami manifestamente infondati o eccessivi, ai sensi dell’articolo 57, paragrafo 4, del RGPD. La disposizione in parola offre quindi alle autorità di controllo la facoltà di gestire nel modo migliore tali reclami, alleviando il carico che questi ultimi possono far gravare sulle stesse. A questo proposito, quando un’autorità di controllo viene posta di fronte a reclami manifestamente infondati o eccessivi, la facoltà di addebitare un contributo spese ragionevole o di rifiutarsi di soddisfare simili reclami è tale da garantire un elevato livello di protezione dei dati personali.
41
Alla luce delle considerazioni che precedono, occorre rispondere alla prima questione dichiarando che l’articolo 57, paragrafo 4, del RGPD deve essere interpretato nel senso che la nozione di «richiesta» ivi contenuta comprende i reclami di cui all’articolo 57, paragrafo 1, lettera f), e all’articolo 77, paragrafo 1, di tale regolamento.
Sulla seconda questione
42
Con la sua seconda questione il giudice del rinvio chiede, in sostanza, se l’articolo 57, paragrafo 4, del RGPD debba essere interpretato nel senso che la mera circostanza che siano state presentate numerose richieste possa essere sufficiente affinché queste siano qualificate «eccessive», ai sensi della disposizione considerata, o se una qualificazione di questo tipo presupponga altresì un intento abusivo da parte della persona che ha presentato tali richieste.
43
Al riguardo, in primo luogo, dal momento che la nozione di «richieste eccessive» non è definita nel RGPD, alla luce della giurisprudenza richiamata al punto 24 della presente sentenza occorre fare riferimento al significato abituale di tale nozione nel linguaggio corrente. Orbene, l’aggettivo «eccessivo» designa qualcosa che eccede la misura ordinaria o ragionevole o, ancora, che oltrepassa la misura auspicabile o consentita.
44
In secondo luogo, dalla formulazione dell’articolo 57, paragrafo 4, del RGPD emerge che le richieste possono essere «eccessive», in particolare, quando hanno carattere ripetitivo. Tuttavia, l’interpretazione letterale della disposizione in esame non consente di stabilire se il carattere ripetitivo e, di conseguenza, il solo numero delle richieste presentate siano sufficienti a giustificare una siffatta qualificazione. In base a tale giurisprudenza, pertanto, occorre esaminare la portata della disposizione citata in funzione del contesto nel quale essa si inserisce e degli obiettivi perseguiti dalla normativa di cui la stessa fa parte.
45
Per quanto riguarda il contesto occorre ricordare, sotto un primo profilo, che l’articolo 12 del RGPD enuncia obblighi generali a carico del titolare del trattamento per quanto riguarda le informazioni e le comunicazioni e stabilisce modalità trasparenti per l’esercizio dei diritti dell’interessato. In forza del secondo paragrafo, prima frase, di tale articolo, il titolare del trattamento deve agevolare l’esercizio dei diritti dell’interessato ai sensi degli articoli da 15 a 22 di detto regolamento.
46
Sotto un secondo profilo, l’articolo 15 del RGPD, contenuto nella sezione 2 del capo III di questo, riguardante l’informazione e l’accesso ai dati personali, completa il quadro di trasparenza istituito da tale regolamento concedendo all’interessato un diritto di accesso ai suoi dati personali e un diritto di informazione sul trattamento di detti dati.
47
Il citato articolo 15 del RGPD deve essere letto alla luce del considerando 63, prima frase, del medesimo regolamento, secondo il quale l’interessato dovrebbe avere il diritto di accedere ai dati personali raccolti che lo riguardano e di esercitare tale diritto facilmente e a intervalli ragionevoli, per essere consapevole del trattamento e verificarne la liceità. In proposito, se l’interessato ha rivolto diverse richieste di accesso a uno o più responsabili del trattamento senza ottenere soddisfazione, il numero dei reclami proposti a un’autorità di controllo potrebbe essere identico al numero dei rifiuti opposti a tale interessato dai responsabili del trattamento. In simili circostanze, la definizione di una soglia numerica assoluta, al di sopra della quale i reclami possano essere automaticamente qualificati eccessivi, potrebbe minare i diritti garantiti da detto regolamento.
48
Al riguardo, come rilevato ai punti 33, 34 e 36 della presente sentenza, l’esercizio della facoltà prevista dall’articolo 57, paragrafo 4, del RGPD, costituendo un’eccezione al principio di gratuità dei compiti svolti dalle autorità di controllo, di cui all’articolo 57, paragrafo 3, di tale regolamento, deve quindi rimanere eccezionale [v., per analogia, sentenze del 5 aprile 2022, Commissioner of An Garda Síochána e a., C‑140/20, EU:C:2022:258 punto 40, nonché dell’8 novembre 2022, Deutsche Umwelthilfe (Omologazione dei veicoli a motore), C‑873/19, EU:C:2022:857, punto 87 e giurisprudenza ivi citata]. Esso può avvenire solo in caso di abuso di diritto [v., per analogia, sentenza del 26 ottobre 2023, FT (Copie della cartella medica), C‑307/22, EU:C:2023:811, punto 31], senza che il numero di reclami proposti possa costituire, di per sé, un criterio sufficiente ai fini dell’accertamento dell’esistenza di un simile abuso.
49
Infatti, l’articolo 57, paragrafo 4, del RGPD riflette la giurisprudenza costante della Corte secondo la quale esiste, nel diritto dell’Unione, un principio generale di diritto secondo cui i soggetti dell’ordinamento non possono avvalersi fraudolentemente o abusivamente delle norme dell’Unione (sentenza del 21 dicembre 2023, BMW Bank e a., C‑38/21, C‑47/21 e C‑232/21, EU:C:2023:1014, punto 281 e giurisprudenza ivi citata).
50
In tale contesto, quando intende avvalersi della facoltà offerta dall’articolo 57, paragrafo 4, del RGPD, l’autorità di controllo interessata deve dimostrare, alla luce di tutte le circostanze pertinenti di ciascun caso, l’esistenza di un intento abusivo da parte dell’interessato, fermo restando che il numero di reclami proposti da quest’ultimo non è, di per sé, sufficiente. Orbene, l’esistenza di un intento abusivo può essere accertata quando una persona propone reclami senza che ciò sia oggettivamente necessario alla protezione dei diritti che gli derivano da tale regolamento.
51
In proposito va altresì ricordato che, in forza dell’articolo 52, paragrafo 4, del RGPD, gli Stati membri devono provvedere affinché ogni autorità di controllo sia dotata delle risorse umane, tecniche e finanziarie, dei locali e delle infrastrutture necessari per l’effettivo adempimento dei suoi compiti e l’esercizio dei propri poteri. Ne consegue che tali risorse devono essere adeguate all’utilizzo che gli interessati fanno del proprio diritto di proporre reclami alle autorità di controllo.
52
Gli Stati membri sono pertanto tenuti a fornire alle autorità di controllo i mezzi appropriati per il trattamento di tutti i reclami di cui sono investite, ove necessario aumentando tali mezzi per adeguarli all’utilizzo che gli interessati fanno del loro diritto di proporre reclami ai sensi dell’articolo 77, paragrafo 1, del RGPD. Un’autorità di controllo non può quindi argomentare il proprio rifiuto di dar seguito a un reclamo in applicazione dell’articolo 57, paragrafo 4, di detto regolamento sulla base del fatto che una persona, che propone un numero di reclami sensibilmente superiore al numero medio di reclami proposti da ogni interessato, mobilizzi in modo significativo le risorse di tale autorità a scapito del trattamento dei reclami presentati da altri.
53
Inoltre, come rilevato dall’avvocato generale al paragrafo 76 delle sue conclusioni, i reclami proposti ai sensi dell’articolo 77, paragrafo 1, del RGPD svolgono un ruolo importante nella conoscenza che le autorità di controllo possono acquisire delle violazioni dei diritti tutelati dal medesimo regolamento. Simili reclami contribuiscono pertanto in modo importante a garantire un livello coerente ed elevato di protezione delle persone all’interno dell’Unione nonché al rafforzamento e alla disciplina dettagliata dei diritti di tali persone, ai sensi dei considerando 10 e 11 di detto regolamento.
54
Di conseguenza, consentire alle autorità di controllo di accertare il carattere eccessivo dei reclami unicamente in base al solo motivo del loro numero elevato potrebbe compromettere la realizzazione del suddetto obiettivo. Infatti, un numero ingente di reclami può essere la conseguenza diretta di un numero elevato di mancate risposte o di rifiuti di soddisfare, da parte di uno o più responsabili del trattamento, richieste di accesso formulate da una persona per tutelare i propri diritti.
55
Al riguardo, prendere unicamente in considerazione il numero di reclami potrebbe comportare una lesione arbitraria dei diritti che all’interessato derivano dal RGPD, per cui la constatazione dell’esistenza di richieste eccessive, ai sensi dell’articolo 57, paragrafo 4, di tale regolamento, deve essere subordinata alla condizione che sia dimostrato un intento abusivo della persona che propone detti reclami.
56
Sulla base delle circostanze specifiche di ciascun caso, incombe quindi all’autorità di controllo investita di un numero elevato di reclami dimostrare che tale numero si spiega non già con la volontà dell’interessato di ottenere una protezione dei diritti che gli derivano dal RGPD, ma per una finalità di altra natura, scollegata da tale protezione. Ciò accade, in particolare, quando dette circostanze rivelano che il numero di reclami mira a ostacolare il corretto funzionamento dell’autorità di cui trattasi, mobilizzandone in modo abusivo le risorse.
57
In proposito, il moltiplicarsi dei reclami presentati da una persona può costituire un indizio dell’esistenza di richieste eccessive, qualora risulti che tali reclami non sono oggettivamente giustificati da considerazioni relative alla protezione dei diritti che il RGPD conferisce a detta persona. Ciò può verificarsi, ad esempio, quando una persona presenta un numero talmente elevato di reclami presso un’autorità di controllo, rivolgendosi a una pluralità di responsabili del trattamento con i quali non ha necessariamente un legame, che tale uso sproporzionato del suo diritto di proporre reclami mette in evidenza, unitamente ad altri fattori quali il contenuto dei reclami, il suo intento di paralizzare il funzionamento di detta autorità saturandola di richieste.
58
Nel caso di specie, spetta al giudice del rinvio verificare se la DSB abbia dimostrato l’esistenza di un intento abusivo dell’interessato senza che il numero dei suoi reclami possa, di per sé, giustificare l’esercizio della facoltà prevista dall’articolo 57, paragrafo 4, del RGPD.
59
Alla luce delle considerazioni che precedono, occorre rispondere alla seconda questione dichiarando che l’articolo 57, paragrafo 4, del RGPD deve essere interpretato nel senso che le richieste non possono essere qualificate «eccessive», ai sensi di tale disposizione, unicamente in ragione del loro numero nel corso di un periodo determinato, dato che l’esercizio della facoltà prevista dalla medesima disposizione è subordinato alla dimostrazione, da parte dell’autorità di controllo, dell’esistenza di un intento abusivo della persona che ha presentato dette richieste.
Sulla terza questione
60
Con la sua terza questione il giudice del rinvio chiede, in sostanza, se l’articolo 57, paragrafo 4, del RGPD debba essere interpretato nel senso che, quando viene posta di fronte a richieste eccessive, un’autorità di controllo può liberamente scegliere tra addebitare un contributo spese ragionevole basato sui costi amministrativi o rifiutarsi di soddisfare la richiesta.
61
Per quanto riguarda, in primo luogo, la formulazione dell’articolo 57, paragrafo 4, del RGPD, occorre rilevare che le due opzioni da esso previste in caso di richieste eccessive, vale a dire addebitare un contributo spese ragionevole basato sui costi amministrativi o rifiutarsi di soddisfare la richiesta, sono elencate in successione e sono separate dalla congiunzione coordinativa «o», senza che sia possibile dedurre dalla formulazione adottata un ordine di priorità tra l’una o l’altra di tali opzioni [v., per analogia, sentenza del 12 gennaio 2023, Österreichische Post (Informazioni relative ai destinatari di dati personali), C‑154/21, EU:C:2023:3, punto 31].
62
Pertanto, i termini della disposizione in esame sembrano deporre a favore dell’interpretazione secondo cui detta autorità, una volta accertato il carattere eccessivo delle richieste che le sono sottoposte, dispone della libertà di scegliere l’una o l’altra di tali opzioni.
63
Per quanto riguarda, in secondo luogo, il contesto in cui si inserisce l’articolo 57, paragrafo 4, del RGPD, va ricordato che il considerando 59 di tale regolamento enuncia che «[è] opportuno prevedere modalità volte ad agevolare l’esercizio, da parte dell’interessato, dei diritti di cui al presente regolamento, compresi i meccanismi per richiedere e, se del caso, ottenere gratuitamente, in particolare l’accesso ai dati, la loro rettifica e cancellazione e per esercitare il diritto di opposizione». Pertanto, ne consegue che la scelta a favore di una delle due opzioni può essere fatta se è in ogni caso garantito l’esercizio effettivo del diritto di proporre reclami.
64
In terzo luogo, l’interpretazione esposta al punto 62 della presente sentenza è conforme agli obiettivi perseguiti dal RGPD.
65
A questo proposito occorre ricordare che tale regolamento ha la finalità, come precisato ai suoi considerando 10 e 11, di assicurare un livello coerente ed elevato di protezione delle persone fisiche all’interno dell’Unione nonché il rafforzamento e la disciplina dettagliata dei diritti degli interessati [sentenza del 26 ottobre 2023, FT (Copie della cartella medica), C‑307/22, EU:C:2023:811, punto 47].
66
Inoltre, dal considerando 129 di detto regolamento emerge che l’autorità di controllo è tenuta a valutare il carattere manifestamente infondato o eccessivo di una simile richiesta in modo imparziale ed equo e a vigilare sul carattere appropriato, necessario e proporzionato della sua scelta, tenendo conto delle circostanze di ciascun singolo caso ed evitando costi superflui ed eccessivi disagi per gli interessati.
67
Di conseguenza, tenuto conto dell’importanza che riveste il diritto di proporre reclami rispetto all’obiettivo di garantire un livello elevato di protezione dei dati personali, del ruolo essenziale che il trattamento di tali reclami ha tra i compiti affidati alle autorità di controllo e dell’obbligo che grava su dette autorità di procedere al trattamento di simili reclami con tutta la dovuta diligenza, spetta a tali autorità prendere in considerazione tutte le circostanze pertinenti e assicurarsi che l’opzione prescelta sia appropriata, necessaria e proporzionata.
68
Al riguardo, un’autorità di controllo potrebbe reputare appropriato, in funzione delle circostanze pertinenti e al fine di far cessare una pratica abusiva che può nuocere al suo corretto funzionamento, addebitare un contributo spese ragionevole basato sui costi amministrativi derivanti dal maggior carico di lavoro generato da reclami eccessivi. Infatti, la funzione dissuasiva di tale opzione potrebbe indurre l’autorità a privilegiare quest’ultima anziché rifiutarsi a priori di dare seguito a detti reclami.
69
Pertanto, alla luce del considerando 129 del RGPD, le autorità di controllo potrebbero considerare di addebitare, in un primo momento, un contributo spese ragionevole basato sui costi amministrativi prima di rifiutare, in un secondo momento, di dar seguito ai reclami, dal momento che la prima di tali misure risulta meno lesiva dei diritti che agli interessati derivano da detto regolamento rispetto alla seconda. Ciò posto, l’articolo 57, paragrafo 4, del regolamento in esame non contiene alcun obbligo per l’autorità di controllo di ricorrere subito, in tutti i casi, all’opzione consistente nell’addebitare un contributo spese ragionevole.
70
Alla luce delle considerazioni che precedono, occorre rispondere alla terza questione dichiarando che l’articolo 57, paragrafo 4, del RGPD deve essere interpretato nel senso che, quando viene posta di fronte a richieste eccessive, un’autorità di controllo può scegliere, con decisione motivata, tra addebitare un contributo spese ragionevole basato sui costi amministrativi o rifiutarsi di soddisfare la richiesta, tenendo conto di tutte le circostanze pertinenti e assicurandosi che l’opzione prescelta sia appropriata, necessaria e proporzionata.
Sulle spese
71
Nei confronti delle parti nel procedimento principale la presente causa costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.
Per questi motivi, la Corte (Prima Sezione) dichiara:
1)
L’articolo 57, paragrafo 4, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati),
deve essere interpretato nel senso che:
la nozione di «richiesta» ivi contenuta comprende i reclami di cui all’articolo 57, paragrafo 1, lettera f), e all’articolo 77, paragrafo 1, di tale regolamento.
2)
L’articolo 57, paragrafo 4, del regolamento 2016/679
deve essere interpretato nel senso che:
le richieste non possono essere qualificate «eccessive», ai sensi dell’articolo 57, paragrafo 4, di tale regolamento, unicamente in ragione del loro numero nel corso di un periodo determinato, dato che l’esercizio della facoltà prevista dalla medesima disposizione è subordinato alla dimostrazione, da parte dell’autorità di controllo, dell’esistenza di un intento abusivo della persona che ha presentato dette richieste.
3)
L’articolo 57, paragrafo 4, del regolamento 2016/679
deve essere interpretato nel senso che:
quando viene posta di fronte a richieste eccessive, un’autorità di controllo può scegliere, con decisione motivata, tra addebitare un contributo spese ragionevole basato sui costi amministrativi o rifiutarsi di soddisfare la richiesta, tenendo conto di tutte le circostanze pertinenti e assicurandosi che l’opzione prescelta sia appropriata, necessaria e proporzionata.
Firme
(
*1
)	Lingua processuale: il tedesco.