Corte di giustizia UE/2026

Edizione provvisoria CONCLUSIONI DELL’[OSCURATO:PERSONA] presentate il 18 giugno 2026 ( 1 ) Causa C ‑ 185/25 [Waldfelber] ( i ) RS contro [OSCURATO:PERSONA] [domanda di pregiudiziale proposta dall’[OSCURATO:PERSONA] (Corte suprema, Austria)] « Rinvio pregiudiziale – Protezione dei dati personali – Regolamento (UE) 2016/679 – Articolo 4, punto 7 – Nozione di “titolare del trattamento” – Persona fisica che agisce in veste di dirigente di un ente pubblico – Dirigente scolastico – Determinazione delle finalità e dei mezzi del trattamento di dati personali – Dati personali contenuti in un’e-mail inviata dal dirigente scolastico da un indirizzo e-mail professionale – Articolo 15, paragrafo 1, lettera g) – Diritto di accesso dell’interessato a “tutte le informazioni disponibili” sull’origine dei dati personali – Dati personali consistenti in un’opinione relativa all’interessato – Opinione basata su una conversazione con un terzo – Diritto dell’interessato di accedere a informazioni sull’identità del terzo – Articolo 82 – Diritto al risarcimento e responsabilità – Danno asseritamente causato da una violazione del diritto di accesso – Esclusione della responsabilità del dirigente scolastico – Validità dell’esclusione » I. Introduzione 1. La presente causa riguarda una situazione non rara nei luoghi di lavoro. Una persona fisica, che agisce in veste di dipendente o di rappresentante di un’entità giuridica di diritto privato o pubblico, chiede a un terzo, nel corso di una conversazione di persona, di esprimere la propria opinione su una persona selezionata per ricoprire una posizione nell’ambito di detta entità. A seguito di tale conversazione, il dipendente o il rappresentante invia un’e-mail dal suo indirizzo e-mail professionale alla persona incaricata di proporre il candidato, chiedendo che un’altra persona venga proposta al suo posto. 2. La persona designata per ricoprire la posizione viene a conoscenza dell’e-mail e cerca di scoprire l’identità del terzo. Può tale persona ottenere dette informazioni sulla base del regolamento (UE) 2016/679 ( 2 ) e, in particolare, del suo articolo 15, paragrafo 1, lettera g)? 3. Ai sensi di quest’ultima disposizione, l’interessato (ossia la persona fisica identificata o identificabile i cui dati personali ( 3 ) sono stati trattati) ( 4 ) ha il diritto di ottenere dal «titolare del trattamento» «tutte le informazioni disponibili [sull’]origine» dei suoi dati personali, qualora questi ultimi non siano raccolti presso lo stesso interessato. Nel caso di specie, l’asserito «titolare del trattamento» (TS, convenuto nel procedimento principale) è il dirigente scolastico di una scuola primaria in Austria. In tale veste, egli organizza programmi di formazione continua per gli insegnanti della sua scuola. Siffatti programmi sono gestiti dalla [OSCURATO:PERSONA] (Università pedagogica; in prosieguo: l’«Università pedagogica») con il supporto di «coordinatori di programma» («Prozessbegleiter»). 4. L’interessato (RS, il ricorrente nella causa principale) è uno di tali coordinatori di programma. TS, avendo appreso che un futuro programma di formazione per gli insegnanti della sua scuola sarebbe stato coordinato da RS, si è informato presso un terzo sulla reputazione dello stesso. Sulla base delle informazioni che gli sono state fornite, TS ha inviato un’e-mail all’Università pedagogica dal suo indirizzo e-mail professionale, in cui chiedeva che al suo posto fosse nominato un diverso coordinatore di programma. RS, invocando l’articolo 15, paragrafo 1, lettera g), del [OSCURATO:PERSONA], desidera conoscere l’identità del terzo che si è espresso negativamente sul suo conto. 5. In tale contesto, l’[OSCURATO:PERSONA] (Corte suprema, Austria) chiede chiarimenti in merito alla portata della disposizione di cui trattasi. Esso chiede altresì, in via preliminare, se una persona come TS possa essere considerata un «titolare del trattamento» ai sensi dell’articolo 4, punto 7, del [OSCURATO:PERSONA]. Infine, esso chiede se le conseguenze negative derivanti da una violazione dell’obbligo di informazione previsto all’articolo 15, paragrafo 1, del [OSCURATO:PERSONA] possano configurare un «danno cagionato dal (…) trattamento che violi [tale] regolamento» ai sensi dell’articolo 82, paragrafo 2, del [OSCURATO:PERSONA] e comportare l’obbligo per il titolare del trattamento di risarcire il danno. Esso chiede inoltre se, in una situazione del genere, l’articolo 82 del [OSCURATO:PERSONA] osti a una normativa nazionale che esclude la responsabilità delle persone che agiscono in veste di «organi» di talune entità giuridiche pubbliche (come, nel caso di specie, TS) per un simile danno. II. Contesto normativo A. Diritto dell’Unione 6. Il considerando 63 del [OSCURATO:PERSONA] dispone quanto segue: «Un interessato dovrebbe avere il diritto di accedere ai dati personali raccolti che la riguardano e di esercitare tale diritto facilmente e a intervalli ragionevoli, per essere consapevole del trattamento e verificarne la liceità. (…) Ogni interessato dovrebbe pertanto avere il diritto di conoscere e ottenere comunicazioni in particolare in relazione alla finalità per cui i dati personali sono trattati, ove possibile al periodo in cui i dati personali sono trattati, ai destinatari dei dati personali, alla logica cui risponde qualsiasi trattamento automatizzato dei dati e, almeno quando è basato sulla profilazione, alle possibili conseguenze di tale trattamento. (…) Tale diritto non dovrebbe ledere i diritti e le libertà altrui, compreso il segreto industriale e aziendale e la proprietà intellettuale, segnatamente i diritti d’autore che tutelano il software. Tuttavia, tali considerazioni non dovrebbero condurre a un diniego a fornire all’interessato tutte le informazioni (…)». 7. L’articolo 4, punto 7, del medesimo regolamento definisce il «titolare del trattamento» come «la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali; quando le finalità e i mezzi di tale trattamento sono determinati dal diritto dell’Unione o degli Stati membri, il titolare del trattamento o i criteri specifici applicabili alla sua designazione possono essere stabiliti dal diritto dell’Unione o degli Stati membri». 8. L’articolo 15, paragrafo 1, lettera g), del [OSCURATO:PERSONA] conferisce all’interessato «il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e, in tal caso, di ottenere l’accesso ai dati personali e (…) qualora i dati personali non siano raccolti presso l’interessato, tutte le informazioni disponibili sulla loro origine». 9. L’articolo 82, paragrafo 1, del [OSCURATO:PERSONA] conferisce a «[c]hiunque subisca un danno materiale o immateriale causato da una violazione del presente regolamento (…) il diritto di ottenere il risarcimento del danno dal titolare del trattamento o dal responsabile del trattamento». Ai sensi del paragrafo 2 di tale articolo, «[u]n titolare del trattamento coinvolto nel trattamento risponde per il danno cagionato dal suo trattamento che violi il presente regolamento». Esso precisa, inoltre, che «[u]n responsabile del trattamento risponde per il danno causato dal trattamento solo se non ha adempiuto gli obblighi del presente regolamento specificatamente diretti ai responsabili del trattamento o ha agito in modo difforme o contrario rispetto alle legittime istruzioni del titolare del trattamento». B. Diritto austriaco 10. Il capo I (intitolato «Responsabilità civile») del Bundesgesetz über die Haftung der Gebietskörperschaften und der sonstigen Körperschaften und Anstalten des öffentlichen Rechts für in Vollziehung der Gesetze zugefügte Schäden (Amtshaftungsgesetz) (legge federale sulla responsabilità delle autorità locali e di altre entità di diritto pubblico per i danni causati nell’applicazione della legge; in prosieguo: la «legge sulla responsabilità della pubblica amministrazione»), del 18 dicembre 1948 (BGBl. 20/1949), nella versione applicabile al procedimento principale, contiene l’articolo 1, paragrafo 1, che è così formulato: «Lo Stato federale, i Länder, i comuni, gli altri enti di diritto pubblico e gli enti previdenziali – di seguito denominati “entità giuridiche” – sono responsabili, conformemente alle disposizioni del diritto civile, per i danni ai beni o alla persona che coloro che agiscono in veste di loro organi abbiano arrecato colpevolmente a chiunque nell’esecuzione della legge con un comportamento illecito. L’organo non risponde nei confronti della persona lesa. Il danno può essere risarcito esclusivamente in denaro». 11. Ai sensi dell’articolo 9, paragrafo 5 (contenuto nel capo II, intitolato «Procedura») della medesima legge, «[l]a persona lesa non può richiedere nell’ambito del procedimento giudiziario ordinario, nei confronti di un organo di un entità giuridica di cui all’articolo 1 (…), il risarcimento del danno arrecatole da tale organo nell’esecuzione della legge». III. Fatti, procedimento nazionale e questioni pregiudiziali 12. TS, convenuto nel procedimento principale, è il dirigente scolastico di una scuola primaria in Austria. In tale funzione, egli organizza programmi di formazione continua per gli insegnanti della scuola, i quali sono soggetti all’obbligo, previsto dalla legge, di parteciparvi. 13. L’Università pedagogica eroga i programmi di formazione in questione. In particolare, essa mette a disposizione delle scuole personale organizzativo (coordinatori di programma) specificamente selezionato per agevolare lo svolgimento di detti programmi. 14. Dopo essere stato informato del fatto che RS, ricorrente nel procedimento principale, era stato proposto dall’Università pedagogica come coordinatore di un futuro programma di formazione per gli insegnanti della sua scuola, TS ha chiesto informazioni sulla reputazione di RS durante una conversazione tenutasi di persona con un insegnante (in prosieguo: il «terzo»). 15. Alcuni giorni dopo la conversazione con il terzo, TS ha inviato a un impiegato dell’Università pedagogica, tramite il suo account e-mail professionale, che utilizza esclusivamente per fini ufficiali, impiegando un computer della scuola e un server dedicato, un’e-mail in cui chiedeva l’assegnazione di un altro coordinatore di programma (in prosieguo: l’«e-mail di cui trattasi»). Egli ha fondato la sua richiesta sulle informazioni che aveva ottenuto dal terzo riguardo a RS, secondo le quali quest’ultimo mette in discussione il sistema scolastico pubblico ed è in costante conflitto con l’autorità scolastica competente. 16. TS non ha creato alcuna annotazione ufficiale né registrato altro documento in relazione alla conversazione con il terzo, né ha divulgato in alcun altro modo le informazioni ricevute durante tale conversazione. A parte la stessa e-mail di cui trattasi, non esistono appunti scritti dei dati personali di RS in essa contenuti. 17. Quando RS è venuto a conoscenza del contenuto dell’e-mail di cui trattasi, si è lamentato presso TS. Ha chiesto che gli fosse fornito l’accesso a determinate informazioni riguardanti, tra l’altro, l’identità del terzo, ai sensi dell’articolo 15, paragrafo 1, del [OSCURATO:PERSONA], e che gli fosse inviata una copia dei dati personali a lui relativi che TS aveva trattato in detta e-mail. 18. Lo stesso giorno, TS ha comunicato a RS per e-mail di non aver mai posseduto né trasmesso a chicchessia tali dati. TS ha dichiarato di essersi limitato ad esprimere le proprie perplessità sulla selezione di RS quale coordinatore per il programma di formazione al quale gli insegnanti della sua scuola avrebbero dovuto prendere parte. 19. RS ha quindi avviato un procedimento giudiziario in cui ha chiesto che a TS fosse ingiunto l’obbligo di fornirgli l’accesso a talune informazioni riguardanti, tra l’altro, l’identità del terzo, ai sensi dell’articolo 15, paragrafo 1, lettera g), del [OSCURATO:PERSONA], nonché una copia dei suoi dati personali. Egli ha altresì chiesto che TS fosse condannato a versargli la somma di EUR 800 a titolo di risarcimento del danno non patrimoniale cagionato dall’asserita violazione del suo diritto di ricevere informazioni previsto all’articolo 15 del [OSCURATO:PERSONA]. TS si è opposto a detto ricorso sostenendo che la responsabilità poteva ricadere esclusivamente sull’entità giuridica che gestisce la scuola per conto della quale aveva agito e che egli non aveva né trattato né registrato i dati personali di RS. 20. Il giudice adito in primo grado ha respinto la domanda di RS. Tale decisione è stata successivamente confermata dal giudice d’appello competente. Entrambi i giudici hanno ritenuto, in sostanza, che TS avesse agito come soggetto incaricato di agire per conto dell’entità giuridica che gestisce la scuola, e che i mezzi per il trattamento dei dati personali (server dedicato, indirizzo e-mail professionale) gli erano stati preordinati. Alla luce degli elementi in parola, essi hanno dichiarato che sarebbe stato contrario alla legge sulla responsabilità della pubblica amministrazione considerare TS quale «titolare del trattamento» ai sensi del [OSCURATO:PERSONA]. Il giudice adito in appello ha altresì indicato che, in ogni caso, non sussisteva alcun obbligo di annotare per iscritto il nome del terzo e, pertanto, nessun obbligo di rivelare informazioni sull’identità di detto terzo. 21. Avverso la decisione emessa dal giudice d’appello RS ha proposto ricorso per cassazione (« Revision ») dinanzi all’[OSCURATO:PERSONA] (Corte suprema, Austria), giudice del rinvio. 22. Nutrendo dubbi sulla corretta interpretazione dell’articolo 4, punto 7, dell’articolo 15, paragrafo 1, lettera g), e dell’articolo 82 del [OSCURATO:PERSONA], il giudice del rinvio ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali: «1)      Se l’articolo 4, punto 7, del [[OSCURATO:PERSONA]] debba essere interpretato nel senso che una persona fisica che nell’esercizio della sua attività agisce, nell’ambito del trattamento di dati personali, impiegando mezzi messi a sua disposizione e predeterminati, non nel proprio interesse personale, bensì in veste di direttore di un’organizzazione (servizio o altro organismo privo di personalità giuridica), dietro la quale però si trova un’entità giuridica, è un “titolare del trattamento” che può essere chiamato in giudizio. 2) a)      Se l’articolo 15, paragrafo 1, lettera g), del [OSCURATO:PERSONA] debba essere interpretato nel senso che, qualora i dati trattati consistano in un’affermazione di fatto o in un giudizio di valore riguardanti l’interessato contenuti in un’e-mail, “tutte le informazioni disponibili [sull’origine dei dati]” includano solo l’autore dell’e-mail o se comprendano anche la cerchia di persone con le quali tale autore ha parlato dell’interessato. 2) b)      Nel caso in cui i nomi non registrati degli interlocutori rientrino tra le “informazioni disponibili [sull’origine dei dati]” ai sensi dell’articolo 15, paragrafo 1, lettera g), del [OSCURATO:PERSONA]: se, nella ponderazione degli interessi della persona interessata dal trattamento dei dati con quelli di un simile interlocutore, assuma rilevanza il fatto che quest’ultimo non potesse prevedere che le sue dichiarazioni sarebbero state oggetto di un trattamento di dati. 3)      Se l’articolo 82, paragrafo 2, del [OSCURATO:PERSONA] debba essere interpretato nel senso che le conseguenze negative per l’interessato, derivanti da una violazione di tale regolamento verificatasi successivamente al trattamento dei dati personali e consistente esclusivamente nella violazione dell’obbligo di fornire l’accesso ai sensi dell’articolo 15, paragrafo 1, del [OSCURATO:PERSONA], configurano un danno causato da un “trattamento che violi il presente regolamento” e comportante l’obbligo per il titolare del trattamento di risarcire il danno. 4.      In caso di risposta affermativa alla prima o alla terza questione: se l’articolo 82 del [OSCURATO:PERSONA] osti a disposizioni nazionali in forza delle quali il risarcimento del danno arrecato ad un soggetto leso da un organo di un’entità giuridica nell’esecuzione sovrana della legge non può essere fatto valere direttamente nei confronti di tale organo». 23. La domanda di pronuncia pregiudiziale, datata 18 febbraio 2025, è stata depositata presso la cancelleria della Corte il 7 marzo 2025. Hanno presentato osservazioni scritte il ricorrente nel procedimento principale, i governi austriaco e italiano nonché la Commissione. Non si è tenuta alcuna udienza. IV. Valutazione 24. Il [OSCURATO:PERSONA] è stato adottato con l’obiettivo di istituire «un quadro (…) solido (…) in materia di protezione dei dati nell’Unione» ( 5 ), mediante «il rafforzamento e la disciplina dettagliata dei diritti degli interessati e degli obblighi di coloro che effettuano (…) il trattamento dei dati personali» ( 6 ) e assicurando, in particolare, alle persone fisiche un «livello (…) elevato di protezione» ( 7 ) e un «controllo dei dati personali che l[e] riguardano» ( 8 ). A tal fine, gli articoli da 12 a 15 del [OSCURATO:PERSONA] conferiscono agli interessati il diritto di ricevere determinate informazioni riguardanti, in particolare, il trattamento ( 9 ) dei loro dati personali, nonché le categorie di dati personali e i destinatari interessati. Come ho spiegato nell’introduzione, ai sensi dell’articolo 15, paragrafo 1, lettera g), del regolamento di cui trattasi, qualora i dati personali non siano raccolti presso l’interessato, quest’ultimo ha anche il diritto di ricevere «tutte le informazioni disponibili [sull’]origine» di tali dati. L’obbligo di fornire l’accesso a dette informazioni incombe direttamente sul «titolare del trattamento» ( 10 ). 25. Allo stesso tempo, il considerando 4 del [OSCURATO:PERSONA] stabilisce che il diritto alla protezione dei dati di carattere personale, sancito dall’articolo 8 della Carta dei diritti fondamentali dell’Unione europea (in prosieguo: la «Carta»), «non è una prerogativa assoluta» e «va considerato alla luce della sua funzione sociale e va contemperato con altri diritti fondamentali», ivi compreso il diritto alla libertà di pensiero e di espressione. 26. Ne consegue che esistono limiti ai vari diritti che gli interessati traggono dal [OSCURATO:PERSONA] e che mirano a dare un effetto utile al diritto alla protezione dei dati personali, tra cui il diritto di accesso alle informazioni previsto all’articolo 15, paragrafo 1, del medesimo regolamento. 27. La presente causa verte proprio sui limiti di quest’ultimo diritto e, più precisamente, sulla misura in cui un interessato (nel caso di specie, RS, ricorrente nel procedimento principale) ha il diritto di ottenere, da parte del titolare del trattamento, l’accesso alle informazioni sull’«origine» dei dati personali che lo riguardano, ai sensi dell’articolo 15, paragrafo 1, lettera g), del [OSCURATO:PERSONA]. Nel caso in cui i dati di cui trattasi siano stati prodotti dal titolare del trattamento a seguito di una conversazione con un terzo (com’è avvenuto nel caso di specie), l’interessato ha diritto a che gli venga comunicata l’identità del terzo? 28. Affronterò detta problematica, che corrisponde, in sostanza, alla seconda questione pregiudiziale sollevata dall’[OSCURATO:PERSONA] (Corte suprema), nella sezione B. Prima di procedere in tal senso, preciserò anzitutto, in risposta alla prima questione, se una persona fisica che (come TS) tratta dati personali non nel proprio interesse personale, ma, nell’esercizio della sua attività, in veste di direttore di un’organizzazione (nel caso di specie, una scuola) e impiegando mezzi messi a sua disposizione e per lui predeterminati da una siffatta organizzazione, sia qualificabile come «titolare del trattamento» ai sensi dell’articolo 4, punto 7, del [OSCURATO:PERSONA] (sezione A). 29. Infine, affronterò la terza e la quarta questione, che vertono sul diritto al risarcimento degli interessati, quale previsto all’articolo 82 del [OSCURATO:PERSONA]. Più precisamente, con la terza questione si chiede se le conseguenze negative derivanti da una violazione dell’obbligo di fornire informazioni ai sensi dell’articolo 15, paragrafo 1, del [OSCURATO:PERSONA] possano configurare un «danno cagionato [da un] trattamento che violi [tale] regolamento» ai sensi dell’articolo 82, paragrafo 2, dello stesso (sezione C). Con la quarta questione la Corte è chiamata a esaminare se detto articolo osti a disposizioni nazionali in forza delle quali le persone che agiscono in qualità di «organi» – vale a dire per conto – di determinate entità giuridiche di diritto pubblico, non possono essere ritenute responsabili dei danni causati agli interessati in qualità di titolari o responsabili del trattamento (sezione D). A. Nozione di «titolare del trattamento» (articolo 4, punto 7, del [OSCURATO:PERSONA]) (prima questione) 30. L’articolo 4, punto 7, del [OSCURATO:PERSONA] descrive due ipotesi in cui una «persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo» possono essere considerati «titolari del trattamento». Infatti, ai sensi della seconda frase di tale disposizione, «il titolare del trattamento o i criteri specifici applicabili alla sua designazione possono essere stabiliti dal diritto dell’Unione o degli Stati membri» (prima ipotesi) ( 11 ). La seconda ipotesi è quella in cui, a seguito di una valutazione dei fatti rilevanti, si ritiene che la persona in questione, «singolarmente o insieme ad altri, determin[i] le finalità e i mezzi del trattamento». La Corte ha dichiarato che, per soddisfare tale criterio, una persona fisica o giuridica deve effettivamente «influi[re] sul trattamento di dati personali» ( 12 ). Ne consegue che una persona fisica o giuridica, un’autorità pubblica, un servizio o altro organismo che sia effettivamente in grado di determinare le finalità e i mezzi del trattamento sarà considerato «titolare del trattamento», indipendentemente dal fatto che sia stato formalmente nominato come tale (per legge, in un contratto o con altre modalità) ( 13 ). 31. La prima questione sollevata dal giudice del rinvio verte su tale seconda ipotesi. Infatti, detto giudice indica che il diritto austriaco designa espressamente i dirigenti delle scuole primarie come «titolari del trattamento» unicamente in relazione ai dati personali degli alunni. Il procedimento principale non si riferisce al trattamento di dati del genere. Come ho già spiegato, esso riguarda il trattamento, da parte del dirigente di una scuola primaria (TS), dei dati personali di una persona (RS) che era stata selezionata per coordinare un programma di formazione degli insegnanti della scuola in questione. 32. L’[OSCURATO:PERSONA] (Corte Suprema) individua le seguenti circostanze quali elementi rilevanti al fine di stabilire se TS possa essere qualificato come «titolare del trattamento» ai sensi dell’articolo 4, punto 7, del [OSCURATO:PERSONA]: TS ha agito nell’esercizio delle sue funzioni; egli ha trattato i dati personali non nel proprio interesse personale, bensì nell’interesse della scuola, e ha agito in tal senso impiegando mezzi messi a sua disposizione e per lui predeterminati (mediante il suo indirizzo e-mail professionale, un computer scolastico e un server dedicato). 33. RS contesta l’esattezza dei fatti presentati dal giudice del rinvio. Egli sostiene che i mezzi impiegati da TS per raccogliere i dati personali di cui trattasi (la conversazione con il terzo) non erano per lui predeterminati, che TS può aver agito per finalità proprie nel raccogliere tali dati presso il terzo e nell’inviare l’e-mail di cui trattasi (che conteneva i dati personali) e che siffatte operazioni di trattamento non erano, in ogni caso, né «normali» né necessarie per l’adempimento della funzione di dirigente scolastico da parte di TS. Secondo RS, TS ha quindi ecceduto il margine di discrezionalità attribuitogli e ha agito al di fuori della sua funzione in forza del diritto austriaco. 34. Ricordo che, nell’ambito di un procedimento pregiudiziale, alla Corte spetta non già stabilire se dei fatti allegati siano dimostrati, ma unicamente procedere all’interpretazione delle pertinenti disposizioni del diritto dell’Unione. Secondo la giurisprudenza della Corte, le questioni relative all’interpretazione del diritto dell’Unione sono poste dal giudice nazionale nel quadro normativo e fattuale che questi definisce sotto la propria responsabilità, e di cui non spetta alla Corte verificare l’esattezza ( 14 ). 35. Ne consegue che, nonostante gli argomenti addotti da RS, che ho sintetizzato al paragrafo 33 delle presenti conclusioni, mi limiterò, per rispondere alla prima questione, agli elementi fattuali presentati dal giudice del rinvio, come descritti al paragrafo 32 delle presenti conclusioni. 36. In tale contesto, ritengo che una persona fisica che (come TS) agisce, nell’ambito del trattamento di dati personali, non nel proprio interesse personale, bensì nell’esercizio delle sue funzioni in veste di direttore di un’organizzazione (nel caso di specie, una scuola), e impiegando i mezzi messi a sua disposizione e per lui predeterminati da una siffatta organizzazione, non possa essere qualificata come «titolare del trattamento» ai sensi dell’articolo 4, punto 7, del [OSCURATO:PERSONA]. Anche i governi austriaco e italiano, nonché la Commissione, sostengono la medesima posizione. 37. A tal riguardo, ricordo che la Corte ha dichiarato che l’articolo 4, punto 7, del [OSCURATO:PERSONA] definisce in modo ampio la nozione di «titolare del trattamento». L’obiettivo di detta ampia definizione è, conformemente a quello di tale regolamento, quello di assicurare un’efficace protezione dei diritti e delle libertà fondamentali delle persone fisiche, nonché, segnatamente, garantire un elevato livello di protezione del diritto di qualsiasi persona alla tutela dei dati personali che la riguardano ( 15 ). 38. Allo stesso tempo, la Corte ha sottolineato che il titolare del trattamento deve «influi[re], per fini che [gli] sono propri , sul trattamento di tali dati» ( 16 ). Pertanto, è evidente che una persona fisica o giuridica, un’autorità pubblica, un servizio o altro organismo che tratti dati personali per conto di terzi, piuttosto che per fini propri, non può essere qualificato come «titolare del trattamento» ai sensi dell’articolo 4, punto 7, del [OSCURATO:PERSONA]. 39. Ciò è confermato dal considerando 74 del medesimo regolamento, il quale prevede che la responsabilità generale del titolare del trattamento sia la stessa per «qualsiasi trattamento di dati personali che quest’ultimo abbia effettuato direttamente o che altri abbiano effettuato per suo conto » ( 17 ), nonché dalla giurisprudenza della Corte relativa all’articolo 29 di detto regolamento, secondo cui «chiunque agisca sotto [l’]autorità (…) del titolare del trattamento, che abbia accesso a dati personali non può trattare tali dati se non è istruito in tal senso dal titolare del trattamento». La Corte ha tratto da tale disposizione che un titolare del trattamento non può essere esonerato dalla sua responsabilità per il solo motivo che tale danno è stato causato dal comportamento colposo di una persona che agisce sotto la sua autorità ( 18 ). 40. Inoltre, e come rilevato dal giudice del rinvio nella sua domanda di pronuncia pregiudiziale, la giurisprudenza della Corte contiene diversi esempi in cui i dati personali in questione sono stati trattati da una persona fisica per conto di un’entità giuridica e in cui tale entità (e non la persona fisica) era tuttavia considerata il «titolare del trattamento» ( 19 ). In particolare, la Corte ha dichiarato che le persone giuridiche (come le società) sono responsabili non solo delle violazioni del [OSCURATO:PERSONA] commesse dai loro rappresentanti, dirigenti o amministratori, ma anche di quelle commesse da qualsiasi altra persona che agisca nell’ambito dell’attività commerciale di tali persone giuridiche e per loro conto ( 20 ). A mio avviso, lo stesso vale naturalmente per qualsiasi «autorità pubblica, servizio o altro organismo», per utilizzare i termini impiegati all’articolo 4, punto 7, del [OSCURATO:PERSONA]. 41. Dette constatazioni sono coerenti con le linee guida 07/2020 dell’EDPB, secondo cui, in sostanza, anche se un soggetto giuridico (società o organismo pubblico) designa una persona fisica specifica quale responsabile dell’esecuzione dell’attività di trattamento, il soggetto giuridico continua a rispondere in ultima istanza, in caso di violazione delle norme, in qualità di titolare del trattamento ( 21 ). 42. A mio avviso, da dette considerazioni discende che si deve ritenere che il dirigente scolastico di una scuola che (come TS) agisce, nell’ambito del trattamento di dati personali, non nel proprio interesse personale (ossia non per finalità proprie), bensì in veste di direttore di un siffatto ente pubblico, agisca per conto di quest’ultimo. In una situazione del genere, il dirigente scolastico non può essere qualificato come «titolare del trattamento» ai sensi dell’articolo 4, punto 7, del [OSCURATO:PERSONA]. Piuttosto, la scuola è il «titolare del trattamento» ( 22 ). 43. Su detta conclusione non incide la circostanza che la scuola di per sé non abbia personalità giuridica. Infatti, la Corte ha già dichiarato che un’entità può essere qualificata come «titolare del trattamento», ai sensi di tale disposizione, quand’anche essa sia priva di personalità giuridica ( 23 ). 44. Un risultato diverso sarebbe giustificato, a mio avviso, solo se il giudice del rinvio dovesse concludere, nell’ambito della sua valutazione dei fatti che gli sono presentati, che, nel trattamento dei dati personali di RS, TS ha agito o al di fuori dell’ambito delle sue funzioni, vale a dire esclusivamente per finalità proprie (nel qual caso sarebbe l’unico «titolare del trattamento»), o per finalità proprie e per quelle della scuola (in qualità di contitolare del trattamento) ( 24 ). Se l’una o l’altra ipotesi fossero accertate nel procedimento principale, ritengo che TS dovrebbe essere considerato il soggetto che determina non solo le finalità, ma anche i mezzi del trattamento. Infatti, nella misura in cui egli abbia impiegato il suo indirizzo e-mail professionale, nonché il computer scolastico e il server dedicato messi a sua disposizione per finalità proprie, l’utilizzo di tali mezzi sarebbe «non autorizzato», e, quindi, non potrebbe essere considerato per lui predeterminato. Tuttavia, spetta al giudice del rinvio procedere a una siffatta valutazione. 45. Sulla base delle considerazioni che precedono, propongo alla Corte di rispondere in senso negativo alla prima questione. Alla luce di detta risposta, ritengo che non sia necessario per la Corte rispondere alle questioni dalla seconda alla quarta, che riguardano gli obblighi derivanti dall’articolo 15, paragrafo 1, lettera g), e dall’articolo 82 del [OSCURATO:PERSONA] ai quali una persona fisica come TS sarebbe soggetta se fosse un «titolare del trattamento» ai sensi dell’articolo 4, punto 7, dello stesso regolamento ( 25 ). Ritengo che tale conclusione prescinda dal fatto che le questioni in parola non siano esplicitamente formulate in modo da essere subordinate alla risposta alla prima questione ( 26 ). 46. Tuttavia, nell’ipotesi in cui la Corte dovesse accogliere una diversa posizione e per completezza, esaminerò ora le questioni sostanziali sollevate dalle questioni dalla seconda alla quarta. B. Portata del diritto di ricevere informazioni sull’origine dei dati personali [articolo 15, paragrafo 1, lettera g), del [OSCURATO:PERSONA]] (seconda questione) 47. La seconda questione si compone di due parti. Con la prima parte, il giudice del rinvio chiede se, qualora i dati personali trattati consistano in un’affermazione di fatto o in un giudizio di valore riguardanti l’interessato contenuti in un’email, l’articolo 15, paragrafo 1, lettera g), del [OSCURATO:PERSONA] debba essere interpretato nel senso che «tutte le informazioni disponibili [sull’]origine» dei dati includono solo l’identità dell’autore dell’e-mail o se comprendano anche le persone con le quali tale autore ha (oralmente) discusso dell’interessato e sulla cui opinione si fonda tale affermazione di fatto o tale giudizio di valore. 48. Per contestualizzare detta questione, ricordo che, nel procedimento principale, RS sostiene di avere il diritto, sulla base dell’articolo 15, paragrafo 1, lettera g), del [OSCURATO:PERSONA], di apprendere da TS (che considera un «titolare del trattamento» ai sensi dell’articolo 4, punto 7, dello stesso regolamento) l’identità del terzo (con il quale TS ha discusso della reputazione di RS), dovendo il medesimo terzo essere considerato l’«origine» dei dati personali – l’opinione riguardante RS – contenuti nell’e-mail di cui trattasi. 49. La seconda parte mira a stabilire se, nell’ipotesi in cui la Corte dichiarasse che l’identità di un siffatto terzo rientra nelle «informazioni disponibili [sull’]origine» ai sensi dell’articolo 15, paragrafo 1, lettera g), del [OSCURATO:PERSONA], assuma rilevanza, nella ponderazione degli interessi dell’interessato con quelli di una simile persona, il fatto che quest’ultima non potesse prevedere che le sue dichiarazioni sarebbero state oggetto di un trattamento di dati. 1. Prima parte della seconda questione 50. Ricordo, anzitutto, che la Corte ha stabilito che l’uso dell’espressione «qualsiasi informazione» nella definizione della nozione di «dati personali» di cui all’articolo 4, punto 1, del [OSCURATO:PERSONA] riflette l’obiettivo del legislatore dell’Unione di attribuire un’accezione estesa a tale nozione, che comprenda potenzialmente ogni tipo di informazioni, tanto oggettive quanto soggettive, sotto forma di pareri o di valutazioni, a condizione che esse siano «concernenti» la persona interessata ( 27 ). 51. Come correttamente suppone il giudice del rinvio, da ciò consegue che un’opinione («giudizio di valore») riguardante un interessato (nel caso di specie, RS) contenuto in un’e-mail (nel caso di specie, l’e-mail inviata da TS all’Università pedagogica) costituisce un «dato personale» ai sensi dell’articolo 4, punto 1, del [OSCURATO:PERSONA]. 52. Per quanto riguarda l’«origine», ai sensi dell’articolo 15, paragrafo 1, lettera g), del [OSCURATO:PERSONA], di tale opinione o di un’affermazione di fatto riguardante l’interessato contenute in un’e-mail, rilevo che né quella né altre disposizioni del regolamento di cui trattasi definiscono tale nozione. In mancanza di una siffatta definizione, conformemente a una giurisprudenza costante, occorre tener conto non solo del significato abituale del termine «origine» nel linguaggio corrente, ma anche del contesto di tale disposizione e degli obiettivi perseguiti dalla normativa di cui essa fa parte ( 28 ). 53. L’«origine» di qualcosa è definita, nel suo significato comune, come «la persona, il luogo o la cosa da cui quel qualcosa deriva»( 29 ). Di conseguenza, per le informazioni che devono essere comunicate conformemente all’articolo 15, paragrafo 1, lettera g), del [OSCURATO:PERSONA], si deve esaminare la fonte di tali dati personali. Inoltre, poiché l’articolo 15, paragrafo 1, lettera g), del [OSCURATO:PERSONA] si applica solo «qualora i dati non siano raccolti presso l’interessato», risulta in modo chiaro che l’«origine» non può, in forza di tale disposizione, essere l’interessato stesso. 54. Per quanto riguarda il contesto dell’articolo 15, paragrafo 1, lettera g), del [OSCURATO:PERSONA], rilevo che il termine «origine» compare anche nell’articolo 14, paragrafo 2, lettera f), del medesimo regolamento, che prevede il diritto di ottenere dal titolare del trattamento informazioni relative alla « fonte da cui hanno origine i dati personali» ( 30 ), qualora essi non siano stati ottenuti presso l’interessato stesso. Ciò conferma, a mio avviso, che il termine «origine» di cui all’articolo 15, paragrafo 1, lettera g), del [OSCURATO:PERSONA] designa la fonte dei dati personali ( 31 ). 55. Infine, per quanto riguarda gli obiettivi del [OSCURATO:PERSONA], è importante ricordare che l’articolo 15 del [OSCURATO:PERSONA] «completa il quadro di trasparenza istituito da tale regolamento concedendo all’interessato un diritto di accesso ai suoi dati personali e un diritto di informazione sul trattamento di detti dati» ( 32 ). 56. Il paragrafo 1, lettere da a) a h), dell’articolo di cui trattasi mira a dare attuazione a quest’ultimo diritto. Prevedendo che l’interessato abbia diritto a ricevere informazioni relative al trattamento dei suoi dati personali, la disposizione in parola gli consente di valutare l’esattezza dei dati personali e la liceità del trattamento, nonché di esercitare effettivamente le prerogative connesse previste da tale regolamento, in particolare il diritto di rettifica, il diritto alla cancellazione («diritto all’oblio»), il diritto di limitazione di trattamento e il diritto di opposizione ( 33 ), tutti volti a rafforzare il «controllo» dell’interessato sui suoi dati personali ( 34 ). 57. Ritengo che sia alla luce di tale funzione particolare che occorre determinare la portata del diritto a essere informati sull’«origine» dei dati personali di cui all’articolo 15, paragrafo 1, lettera g), del [OSCURATO:PERSONA] ( 35 ). Pertanto, occorre esaminare se le informazioni richieste ai sensi di tale disposizione siano necessarie affinché l’interessato verifichi l’esattezza dei suoi dati personali o la liceità del trattamento dei dati in parola, o affinché l’interessato eserciti in modo effettivo i diritti riconosciutigli da tale regolamento ( 36 ). 58. A mio avviso, ciò avviene quando, ad esempio, l’interessato si basa sull’articolo 15, paragrafo 1, lettera g), del [OSCURATO:PERSONA] per individuare la «fonte» dei dati inesatti che lo riguardano in modo da impedire che essi circolino ulteriormente tra diversi titolari di un trattamento ( 37 ) (vale a dire per impedire un ulteriore «trattamento») o quando la comunicazione delle informazioni disponibili relative alla «fonte» dei dati personali pertinenti consente all’interessato di identificare che un’operazione o un insieme di operazioni di trattamento svolte in precedenza e rientranti nell’ambito di applicazione materiale del [OSCURATO:PERSONA] sono state effettuate per gli stessi dati, nei confronti dei quali lo stesso è legittimato a esercitare i diritti conferitigli dal regolamento di cui trattasi. 59. Alla luce di tali precisazioni, rilevo che la Commissione e il governo italiano ritengono che, qualora i dati personali pertinenti consistano in un’opinione («giudizio di valore») o in un’affermazione di fatto riguardanti l’interessato contenuti in un’e-mail, l’«origine» di una siffatta opinione è l’autore dell’e-mail (nel caso di specie, TS). Essi sostengono che, in una situazione del genere, l’articolo 15, paragrafo 1, lettera g), del [OSCURATO:PERSONA] deve essere interpretato nel senso che «tutte le informazioni disponibili [sull’]origine» dei dati non includono l’identità delle persone con le quali l’autore ha (oralmente) discusso dell’interessato prima di formare la sua opinione o di scrivere l’affermazione di fatto a tale riguardo. 60. Sono d’accordo. Tuttavia, a mio avviso, si può trarre una siffatta conclusione solo a condizione che l’opinione («giudizio di valore») o l’affermazione di fatto riguardanti l’interessato contenuti nell’e-mail di cui trattasi possano effettivamente essere attribuiti all’autore di detta e-mail. A tal riguardo, concordo con la Commissione sul fatto che il riferimento dell’autore, nell’email, ai punti di vista di altre persone sull’interessato è irrilevante nella misura in cui i dati personali in questione (vale a dire l’opinione o l’affermazione di fatto) possano comunque essere attribuiti all’autore stesso e non costituiscano una mera citazione di detti punti di vista. Infatti, in quest’ultimo caso, ritengo che l’«origine» dei dati personali (l’opinione) sarebbe il terzo o i terzi di cui si cita il punto di vista, e non l’autore dell’e-mail. 61. Nel caso di specie, spetta al giudice del rinvio stabilire, alla luce dei fatti a sua disposizione, se l’opinione (il «giudizio di valore») riguardante RS contenuto nell’e-mail di cui trattasi sia effettivamente attribuibile a TS o se, al contrario, esso sia semplicemente costituito dal punto di vista precedentemente espresso a TS da un terzo (ossia l’altro insegnante con il quale TS ha parlato di RS), che TS si è limitato a riportare o a citare nell’e-mail, come sembra sostenere RS ( 38 ). Qualora detto giudice dovesse constatare che l’opinione su RS contenuta nell’e‑mail di cui trattasi è attribuibile a TS, ritengo, d’accordo con la Commissione e il governo italiano, che il diritto di RS di essere informato sull’«origine» di tale opinione, ai sensi dell’articolo 15, paragrafo 1, lettera g), del [OSCURATO:PERSONA], non possa estendersi all’ottenimento di informazioni relative a un siffatto terzo, poiché solo TS potrebbe essere considerato l’«origine» dell’opinione in questione. 62. Ciononostante, il giudice del rinvio si chiede se dal fatto che l’articolo 15, paragrafo 1, lettera g), del [OSCURATO:PERSONA] faccia riferimento non solo all’«origine» dei dati personali in questione, ma anche a «tutte le informazioni disponibili [su tale] origine», derivi che, anche quando l’«origine» di un parere o di un’affermazione di fatto riguardanti l’interessato contenuti in un’e-mail sia l’autore dell’e-mail, l’interessato abbia il diritto di ricevere informazioni sugli elementi o sulle persone che hanno contribuito alla formazione di tale opinione o alla formulazione di tale affermazione di fatto da parte dell’autore (come l’identità di un terzo con il quale l’autore ha avuto una conversazione). 63. A tal riguardo, in primo luogo, condivido il punto di vista del governo italiano e della Commissione secondo cui una siffatta interpretazione dell’articolo 15, paragrafo 1, lettera g), del [OSCURATO:PERSONA] sarebbe troppo ampia, tenuto conto del gran numero di elementi che possono entrare in gioco, in particolare al momento della formazione di un’opinione. A titolo di esempio, analizziamo i fatti di causa che hanno dato luogo alla sentenza Nowak ( 39 ). Una parte dei dati personali in questione era costituita dai commenti soggettivi dell’esaminatore su una prova d’esame. In una situazione del genere, «tutte le informazioni disponibili [sull’]origine» dei dati personali, ai sensi dell’articolo 15, paragrafo 1, lettera g), del [OSCURATO:PERSONA], potrebbero comprendere qualsiasi informazione relativa a persone con le quali l’esaminatore può aver interagito mentre valutava le prove d’esame, spaziando, ad esempio, da un collega che ha dato consigli sulla valutazione delle risposte dei candidati a un vicino di casa che provoca un rumore particolarmente irritante, esasperando così l’esaminatore a un punto tale che quest’ultimo ha attribuito giudizi più severi di quelli che avrebbe attribuito altrimenti? A mio avviso, si deve rispondere negativamente. 64. In secondo luogo, e con riferimento alla funzione specifica del diritto di accesso alle informazioni sull’origine dei dati personali di cui all’articolo 15, paragrafo 1, lettera g), del [OSCURATO:PERSONA], che ho illustrato al paragrafo 57 delle presenti conclusioni, non vedo come ottenere informazioni sull’identità di un terzo che non sia l’«origine» dei dati personali in questione (nella fattispecie, un’opinione o un’affermazione di fatto riguardanti l’interessato contenuti in un’e-mail), ma che abbia semplicemente contribuito alla formazione di tale opinione o alla formulazione, da parte dell’autore dell’e-mail, di tale affermazione a seguito di una conversazione con lo stesso, consentirebbe all’interessato di verificare l’esattezza dei propri dati personali o la liceità del trattamento di tali dati, oppure di esercitare i propri diritti ai sensi del [OSCURATO:PERSONA]. 65. In terzo luogo, come già indicato ai paragrafi 25 e 26 delle presenti conclusioni, il considerando 4 del [OSCURATO:PERSONA] precisa che il diritto alla protezione dei dati personali non è, in ogni caso, «una prerogativa assoluta» e «va considerato alla luce della sua funzione sociale e va contemperato con altri diritti fondamentali», tra cui il diritto alla libertà di pensiero e di espressione. Lo stesso vale per i diversi diritti che gli interessati traggono dal [OSCURATO:PERSONA] e che mirano a dare un effetto utile al diritto alla protezione dei dati personali, come il diritto di accesso ai dati personali previsto all’articolo 15 del [OSCURATO:PERSONA] ( 40 ), che, secondo quanto ha dichiarato la Corte, non dovrebbe ledere i diritti e le libertà altrui ( 41 ). Va da sé che un analogo esercizio di bilanciamento deve essere effettuato anche per quanto riguarda il diritto di essere informati sull’origine dei dati personali ai sensi dell’articolo 15, paragrafo 1, lettera g), del [OSCURATO:PERSONA]. 66. In tale contesto, mi sembra evidente che rivelare l’identità di un terzo che non è esso stesso l’«origine» dei dati personali in questione (nel caso di specie, un’opinione o un’affermazione di fatto riguardanti l’interessato contenuti in un’e-mail), ma che ha semplicemente contribuito alla formazione di tale opinione o alla formulazione, da parte dell’autore dell’e-mail, di tale dichiarazione a seguito di una conversazione con lo stesso, farebbe indebitamente pendere l’ago della bilancia a favore dell’interessato, pregiudicando numerosi diritti o libertà del terzo, in particolare il suo diritto alla libertà di pensiero e di espressione ( 42 ) o alla vita privata e al rispetto delle comunicazioni ( 43 ). 67. Dalle considerazioni in parola discende che, qualora l’«origine» di un’opinione («giudizio di valore») o di un’affermazione di fatto riguardanti l’interessato contenuti in un’email sia lo stesso autore dell’email, l’interessato non ha il diritto di ricevere, a norma dell’articolo 15, paragrafo 1, lettera g), del [OSCURATO:PERSONA], informazioni su elementi o persone (ad esempio, l’identità di un terzo con il quale l’autore ha avuto una conversazione) che hanno contribuito alla formazione di tale opinione o alla formulazione, da parte dell’autore, di tale affermazione di fatto. 68. A titolo di osservazione finale, ricordo che l’articolo 15, paragrafo 1, lettera g), del [OSCURATO:PERSONA] conferisce agli interessati il diritto di ricevere «tutte le informazioni disponibili [sull’]origine» dei dati personali che li riguardano, e non il diritto di disporre di tutte le informazioni sull’origine dei dati personali e sulle fonti di tale origine . Se, contrariamente a quanto da me suggerito, la Corte dovesse adottare l’interpretazione della disposizione di cui trattasi che è stata esposta al paragrafo 62 delle presenti conclusioni, ciò avrebbe come conseguenza che, quando l’origine dei dati personali è, ad esempio, un documento o una registrazione, l’interessato avrebbe il diritto, ai sensi dell’articolo 15, paragrafo 1, lettera g), del [OSCURATO:PERSONA], non solo a «tutte le informazioni disponibili» sul documento o sulla registrazione in parola, ma anche a tutti i documenti o le registrazioni precedenti che ne sono il fondamento. In altri termini, l’ambito di applicazione della disposizione di cui trattasi diverrebbe illimitato. 2. Seconda parte della seconda questione 69. La seconda parte della seconda questione riguarda l’ipotesi in cui un terzo, e non l’autore dell’e-mail, debba essere considerato l’«origine» dei dati personali di cui trattasi, nel caso di specie un’opinione o un’affermazione di fatto riguardanti l’interessato contenuti in un’e-mail. Come ho spiegato al paragrafo 60 delle presenti conclusioni, tale situazione si verificherebbe solo se l’opinione o l’affermazione contenute nell’e-mail non siano attribuibili all’autore della stessa, giacché esse consistono semplicemente nella riproduzione o nella citazione di punti di vista precedentemente espressi dal terzo. 70. A mio avviso, risulta evidente che in una situazione del genere si applicherebbe parimenti l’esercizio di bilanciamento menzionato al paragrafo 65 delle presenti conclusioni. In altre parole, la comunicazione dell’identità dell’«origine» dei dati personali rilevanti ai sensi dell’articolo 15, paragrafo 1, lettera g), del [OSCURATO:PERSONA] non sarebbe automatica. Anche i diritti e le libertà della persona considerata l’«origine» devono essere presi in considerazione e contemperati con il diritto dell’interessato di ottenere informazioni sull’origine dei dati personali conformemente a tale disposizione. 71. A tale riguardo, il fatto che il terzo in questione non potesse prevedere che le sue dichiarazioni sarebbero state oggetto di un trattamento di dati costituisce un elemento rilevante. Infatti, ciò suggerisce che il terzo abbia preso parte a quella che supponeva essere una conversazione riservata o privata, il cui contenuto (e la stessa sua partecipazione ad essa) non prevedeva venisse condiviso con l’interessato in virtù delle disposizioni del [OSCURATO:PERSONA]. A mio avviso, in una situazione del genere, occorrerebbe porre particolare accento sull’importanza del rispetto del diritto del terzo alla libertà di pensiero e di espressione ( 44 ) nonché alla vita privata e al rispetto delle comunicazioni ( 45 ). 72. Inoltre, non vedo come, anche nel caso in cui l’opinione o l’affermazione riguardanti l’interessato contenute in un’e-mail consistano semplicemente nella riproduzione o nella citazione di punti di vista oralmente espressi in precedenza dal terzo, ottenere informazioni relative all’identità di tale terzo (l’«origine»), in applicazione dell’articolo 15, paragrafo 1, lettera g), del [OSCURATO:PERSONA], possa contribuire al raggiungimento dell’obiettivo perseguito dalla disposizione in esame, che è, come ho ricordato al paragrafo 57 delle presenti conclusioni, quello di consentire all’interessato di accertare, tra l’altro, la correttezza dei suoi dati personali. Infatti, le opinioni sono, per loro natura, intrinsecamente soggettive. Ciò significa che, contrariamente alle affermazioni di fatto, la loro esattezza o correttezza è difficile da verificare ( 46 ). C. Diritto al risarcimento ai sensi dell’articolo 82 del [OSCURATO:PERSONA] per violazione dell’articolo 15, paragrafo 1, del [OSCURATO:PERSONA] (terza questione) 73. Con la terza questione, il giudice del rinvio chiede se le conseguenze negative subite da un interessato, derivanti da una violazione, da parte del titolare del trattamento, dell’obbligo di informazione previsto all’articolo 15, paragrafo 1, del [OSCURATO:PERSONA] [nel caso di specie, l’obbligo, di cui alla lettera g) di quest’ultima disposizione, di fornire informazioni sull’«origine» dei dati personali raccolti] configurino un «danno cagionato dal (…) trattamento che violi [detto] regolamento» ai sensi dell’articolo 82, paragrafo 2, del [OSCURATO:PERSONA], comportando così la responsabilità del titolare del trattamento e un corrispondente obbligo per quest’ultimo di risarcire l’interessato. 74. Come spiega detto giudice, si chiede, in sostanza, alla Corte di precisare se una violazione di tale obbligo possa dar luogo a una domanda di risarcimento dell’interessato ai sensi dell’articolo 82 del [OSCURATO:PERSONA], considerato nel suo complesso. Più concretamente, se TS dovesse essere considerato un «titolare del trattamento» ai sensi dell’articolo 4, punto 7, del medesimo regolamento e dovesse ritenersi che lo stesso abbia agito in violazione dell’articolo 15, paragrafo 1, lettera g), di tale regolamento, RS avrebbe diritto al risarcimento a norma dell’articolo 82 del [OSCURATO:PERSONA]? Propongo pertanto alla Corte di riformulare la terza questione in modo da includervi l’interpretazione della disposizione in parola nel suo complesso, anziché limitarsi a fare riferimento al paragrafo 2 di quest’ultima ( 47 ). 75. Passando ora all’interpretazione dell’articolo 82 del [OSCURATO:PERSONA], comprendo che i dubbi del giudice del rinvio riguardo all’interpretazione di tale disposizione nascano dal fatto che l’obbligo di informazione previsto all’articolo 15, paragrafo 1, del regolamento di cui trattasi sorge solo dopo che il trattamento dei dati personali in questione ha avuto luogo ( 48 ), nonché quando non è stato di fatto effettuato alcun trattamento ( 49 ), mentre l’articolo 82, paragrafo 2, del [OSCURATO:PERSONA] riguarda il «danno cagionato dal (...) trattamento » ( 50 ). Alla luce di tale formulazione, si potrebbe presumere, come sembra fare detto giudice, che il diritto al risarcimento previsto all’articolo 82 di tale regolamento sorga solo per il danno cagionato da un trattamento contrario al [OSCURATO:PERSONA], e non per il danno derivante dalla violazione di un obbligo previsto dal regolamento in parola che, al pari dell’obbligo di informazione di cui all’articolo 15, paragrafo 1, di quest’ultimo, si verifica dopo o indipendentemente da un siffatto trattamento. 76. Tuttavia, a mio avviso, risulta in modo chiaro che il diritto al risarcimento previsto dalla prima disposizione si estende ai danni causati da una violazione di detto obbligo. 77. In primo luogo, per quanto riguarda la genesi dell’articolo 82 del [OSCURATO:PERSONA], ricordo che la disposizione corrispondente del suo predecessore, ossia l’articolo 23 della direttiva 95/46, faceva riferimento a un «danno cagionato da un trattamento illecito o da qualsiasi altro atto incompatibile con le disposizioni nazionali di attuazione della [direttiva 95/46]». È evidente che, nell’adottare il [OSCURATO:PERSONA], il legislatore dell’Unione non intendeva ridurre il livello di protezione accordato agli interessati rispetto a quello loro concesso in forza della direttiva 95/46, al contrario ( 51 ). 78. A tal riguardo, rilevo inoltre che, nel corso dell’iter legislativo che ha condotto all’adozione del [OSCURATO:PERSONA], il Consiglio ha suggerito di limitare il diritto al risarcimento degli interessati ai danni che sono «il risultato di un’operazione di trattamento non conforme [al [OSCURATO:PERSONA]]» ( 52 ). Tale limitazione non figura tuttavia nella versione finale dell’articolo 82 del regolamento in parola. 79. In secondo luogo, l’articolo 82 del [OSCURATO:PERSONA] svolge una duplice funzione. Da un lato, esso conferisce all’interessato un diritto al risarcimento e stabilisce, in linea di principio, la responsabilità in tal senso del titolare del trattamento o del responsabile del trattamento per il danno subito (articolo 82, paragrafo 1). Dall’altro, esso definisce le condizioni specifiche in presenza delle quali il titolare del trattamento o il responsabile del trattamento oppure entrambi possono essere ritenuti responsabili (o esonerati da responsabilità) per tale danno, nonché il modo in cui la responsabilità dovrebbe essere ripartita tra loro qualora più parti siano coinvolte nel trattamento dei dati in questione (articolo 82, paragrafi da 2 a 5). 80. Ne consegue che l’articolo 82, paragrafo 2, del [OSCURATO:PERSONA] non ha lo scopo di determinare la portata del diritto al risarcimento degli interessati in quanto tale. Esso mira, piuttosto, a precisare le norme in materia di responsabilità, il cui principio è stabilito al paragrafo 1 di tale articolo ( 53 ). 81. La portata del diritto al risarcimento deve, a sua volta, essere determinata alla luce della formulazione dell’articolo 82, paragrafo 1, del [OSCURATO:PERSONA], che non contiene la stessa limitazione del paragrafo 2 dell’articolo di cui trattasi, poiché esso enuncia in modo più generale che «[c]hiunque subisca un danno materiale o immateriale causato da una violazione [di tale] regolamento ha il diritto di ottenere il risarcimento del danno dal titolare del trattamento o dal responsabile del trattamento» ( 54 ). Non si fa menzione del «trattamento». 82. Alla luce di detti elementi, ritengo che il riferimento al «danno causato dal trattamento» di cui all’articolo 82, paragrafo 2, del [OSCURATO:PERSONA] non possa essere interpretato nel senso che limita la portata del diritto al risarcimento previsto all’articolo 82, paragrafo 1, dello stesso esclusivamente a un siffatto danno. A una conclusione analoga è giunto l’avvocato generale Szpunar nelle conclusioni nella causa [OSCURATO:PERSONA] ( 55 ), in cui ha descritto l’articolo 82, paragrafo 2, del [OSCURATO:PERSONA] come «norma complementare» e non come limitazione del paragrafo 1 di tale articolo. 83. Inoltre, nella sentenza recentemente emessa in detta causa ( 56 ), la Corte ha espressamente statuito che, poiché l’articolo 82, paragrafo 1, del [OSCURATO:PERSONA] non contiene alcun riferimento al «trattamento», «tale diritto al risarcimento non può essere limitato ai danni derivanti da un trattamento di dati personali» ( 57 ). 84. In tale sentenza, la Corte ha altresì ricordato che l’articolo 82, paragrafo 1, del [OSCURATO:PERSONA] figura al capo VIII di detto regolamento, che disciplina i mezzi di ricorso, le norme in materia di responsabilità e le sanzioni che consentono di tutelare detti diritti, e che esso deve essere letto alla luce del considerando 141 del [OSCURATO:PERSONA], il quale prevede che ogni interessato dovrebbe avere diritto a un ricorso giurisdizionale effettivo conformemente all’articolo 47 della Carta «qualora ritenga che siano stati violati i diritti di cui gode a norma [di detto] regolamento» ( 58 ). La Corte ha aggiunto che ciò include il diritto di accesso di un interessato ai suoi dati personali ai sensi dell’articolo 15, paragrafo 1, del [OSCURATO:PERSONA]. Tale diritto, nonché gli altri diritti riconosciuti agli interessati dall’articolo 15 del medesimo regolamento, tra cui il diritto di ottenere le informazioni elencate al paragrafo 1, lettere da a) a h), della disposizione in esame, devono quindi essere tutelati dall’articolo 82 del [OSCURATO:PERSONA], che occorre dunque interpretare nel senso che si applica ai danni derivanti da violazioni di tali diritti. 85. In terzo luogo, mi sembra evidente che limitare il diritto dell’interessato a ottenere un risarcimento ai sensi della disposizione di cui trattasi al danno causato da un trattamento illecito di dati sarebbe altresì incompatibile con gli obiettivi perseguiti da detto regolamento nel suo complesso, che consistono, come ho indicato al paragrafo 24 delle presenti conclusioni, nel garantire un «livello elevato di protezione» e nel «rafforzamento (…) dei diritti degli interessati e degli obblighi di coloro che effettuano e determinano il trattamento dei dati personali». Nella sentenza [OSCURATO:PERSONA] ( 59 ), la Corte ha dichiarato, in sostanza, che l’articolo 82 del GDPR mira a garantire l’attuazione di tali obiettivi. 86. Come ha correttamente rilevato la Commissione, se il diritto dell’interessato di ottenere il risarcimento ai sensi di tale disposizione fosse limitato al danno causato da un trattamento illecito di dati, ciò inciderebbe non solo sulla tutela dei diritti previsti all’articolo 15 del medesimo regolamento, ma anche sulla quasi totalità dei diritti degli interessati previsti al capo III del [OSCURATO:PERSONA] ( 60 ), che diverrebbero ampiamente simbolici ( 61 ). Infatti, ciascuno dei diritti in parola è accompagnato da un obbligo corrispondente per i titolari del trattamento, a cui questi ultimi sono soggetti solo dopo ( 62 ) l’(asserito) trattamento dei dati in questione ( 63 ). 87. Per dette ragioni, ritengo che le conseguenze negative subite da un interessato a causa di una violazione dell’obbligo di informazione previsto all’articolo 15, paragrafo 1, del [OSCURATO:PERSONA] possano essere considerate un «danno» ai sensi dell’articolo 82 del medesimo regolamento, comportando così un obbligo per il titolare del trattamento di risarcire l’interessato in forza di tale disposizione. D. Se l’articolo 82 del [OSCURATO:PERSONA] osti a disposizioni nazionali che prevedono l’esclusione della responsabilità del titolare del trattamento (quarta questione) 88. Esaminerò ora la quarta questione, con cui il giudice del rinvio chiede, in caso di risposta affermativa alla prima o alla terza questione, se l’articolo 82 del [OSCURATO:PERSONA] osti a disposizioni nazionali in forza delle quali i soggetti che agiscono in veste di «organi» (vale a dire per conto) di determinate entità giuridiche pubbliche non possono essere considerati responsabili del danno che essi causano agli interessati, in qualità di titolari del trattamento o di responsabili del trattamento. 89. La questione di cui trattasi è sollevata in relazione a talune specificità del diritto austriaco, vale a dire quelle enunciate all’articolo 1 della legge sulla responsabilità della pubblica amministrazione, il quale prevede che coloro che agiscono in veste di «organi» dello Stato federale, dei Länder, dei comuni, degli altri enti di diritto pubblico e degli enti previdenziali non siano responsabili, nell’esecuzione della legge, del danno che arrecano a chiunque con il loro comportamento illecito. Di conseguenza, non è possibile proporre un’azione di risarcimento nei confronti di tali persone ai sensi dell’articolo 82 del [OSCURATO:PERSONA] ( 64 ). 90. Nel caso di specie, ritengo che TS, in veste di dirigente di una scuola primaria in Austria, debba essere considerato un «organo» del Land interessato (dato che, nel diritto austriaco, le scuole non sono dotate di personalità giuridica e, pertanto, non possono essere convenute in giudizio). Dall’articolo 1 della legge sulla responsabilità della pubblica amministrazione risulta che, anche se TS soddisfacesse tutte le condizioni necessarie per essere qualificato come «titolare del trattamento» ai sensi dell’articolo 4, punto 7, del [OSCURATO:PERSONA], in relazione al trattamento dei dati personali di cui trattasi nel procedimento principale (il che, come ho spiegato, non mi sembra avvenire nel caso di specie), RS non potrebbe proporre nei suoi confronti una domanda di risarcimento ai sensi dell’articolo 82 di tale regolamento per il danno asseritamente causato dalla violazione, da parte di TS, dell’articolo 15, paragrafo 1, lettera g), del medesimo regolamento. Il giudice del rinvio si chiede se una siffatta disposizione nazionale sia contraria all’articolo 82 del [OSCURATO:PERSONA]. 91. Non penso. Infatti, una disposizione nazionale come l’articolo 1 della legge sulla responsabilità della pubblica amministrazione non osta, di per sé, a che un interessato proponga una domanda di risarcimento qualora la pertinente violazione del [OSCURATO:PERSONA] sia stata commessa da un soggetto che agisca per conto di un’entità giuridica pubblica. Piuttosto, essa si limita a trasferire la responsabilità del risarcimento in capo all’entità in questione. 92. Risulta che l’obiettivo principale di un siffatto trasferimento di responsabilità sia quello di garantire la tutela della vittima fornendole un debitore solvibile ( 65 ). Pertanto, contrariamente a quanto sostiene il ricorrente, la ratio di una disposizione nazionale come l’articolo 1 della legge sulla responsabilità della pubblica amministrazione non è limitare la tutela giuridica degli interessati, ma piuttosto rafforzarla. 93. Alla luce di tali considerazioni, non vedo come una siffatta disposizione nazionale possa essere considerata incompatibile con l’articolo 82 del [OSCURATO:PERSONA]. 94. Riconosco che l’articolo 82, paragrafo 2, del regolamento di cui trattasi, ai sensi del quale «[u]n titolare del trattamento coinvolto nel trattamento risponde per il danno cagionato dal suo trattamento che violi il [[OSCURATO:PERSONA]]», potrebbe, prima facie , essere inteso nel senso che impone la responsabilità diretta del titolare del trattamento. 95. Tuttavia, secondo una giurisprudenza costante della Corte ( 66 ), la ratio sottesa all’articolo 82 del [OSCURATO:PERSONA] consiste nel riconoscere all’interessato un risarcimento pieno ed effettivo del danno subito a causa di una violazione del [OSCURATO:PERSONA] ( 67 ). Come ho già rilevato al paragrafo 84 delle presenti conclusioni, la disposizione di cui trattasi figura al capo VIII di tale regolamento, che disciplina i mezzi di ricorso, le norme in materia di responsabilità e le sanzioni che consentono di tutelare detti diritti. Essa deve quindi essere letta alla luce del considerando 141 del [OSCURATO:PERSONA], che fa espresso riferimento al diritto degli interessati a un ricorso giurisdizionale effettivo conformemente all’articolo 47 della Carta, in caso di violazione dei diritti loro conferiti dal regolamento di cui trattasi. 96. Non è quindi importante, a mio avviso, se il risarcimento sia versato direttamente dal titolare del trattamento o dal responsabile del trattamento oppure dall’entità giuridica pubblica di cui tale persona è dipendente o che è responsabile di quest’ultima. Ciò che conta è che il danno effettivamente subito dall’interessato a seguito di una violazione del GDPR sia risarcito integralmente. 97. Detta conclusione non è messa in discussione da un confronto tra l’articolo 82 del [OSCURATO:PERSONA] e l’articolo 83, paragrafo 7, dello stesso, che lascia espressamente alla discrezionalità degli Stati membri la determinazione della misura in cui possono essere inflitte sanzioni amministrative pecuniarie ad autorità e organismi pubblici. Secondo RS, l’assenza di un analogo margine di discrezionalità all’articolo 82 del [OSCURATO:PERSONA] può essere interpretata solo nel senso che gli Stati membri non sono autorizzati a esentare le autorità e gli enti pubblici, e quindi i relativi dirigenti, da domande di risarcimento del danno in base al diritto privato. 98. Tuttavia, l’argomento in parola non tiene conto del fatto che l’articolo 82 e l’articolo 83 del [OSCURATO:PERSONA] perseguono obiettivi diversi ( 68 ). La prima disposizione riveste una funzione esclusivamente compensativa (in altri termini, riguarda il risarcimento dell’interessato per il danno subito), mentre la seconda persegue una finalità punitiva ( 69 ). Ritengo che, a causa di tale finalità punitiva, le sanzioni amministrative pecuniarie debbano, in linea di principio, essere direttamente «legate» al titolare del trattamento o al responsabile del trattamento in questione. 99. Inoltre, come spiegato al paragrafo 91 delle presenti conclusioni, una disposizione nazionale come l’articolo 1 della legge sulla responsabilità della pubblica amministrazione si limita a trasferire la responsabilità per il risarcimento da una persona che agisce per conto di un’entità giuridica all’entità in questione ( 70 ). Per contro, quando uno Stato membro stabilisce norme sulla base dell’articolo 83, paragrafo 7, del medesimo regolamento, può escludere del tutto l’imposizione di sanzioni amministrative pecuniarie alle sue autorità e ai suoi organismi pubblici. 100. In tali circostanze, ritengo che l’articolo 82 del [OSCURATO:PERSONA] non osti a disposizioni nazionali in forza delle quali le persone che agiscono per conto di determinate entità giuridiche pubbliche non possono essere considerate responsabili del danno che arrecano agli interessati, in qualità di titolari del trattamento o di responsabili del trattamento, purché le disposizioni in parola identifichino anche l’entità contro la quale tali interessati possano proporre una domanda di risarcimento. V. Conclusione 101. Sulla base delle considerazioni che precedono, propongo alla Corte di rispondere alle questioni pregiudiziali sollevate dall’[OSCURATO:PERSONA] (Corte suprema, Austria) come segue: L’articolo 4, punto 7, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) dev’essere interpretato nel senso che una persona fisica che nell’esercizio delle sue funzioni agisce, nell’ambito del trattamento di dati personali, non nel proprio interesse personale, bensì in veste di direttore di un’organizzazione, impiegando mezzi messi a sua disposizione e per lui predeterminati da una siffatta organizzazione, non può essere qualificata come «titolare del trattamento» ai sensi di tale disposizione. 1 Lingua originale: l’inglese. i Il nome della presente causa è un nome fittizio. Non corrisponde al nome reale di nessuna delle parti del procedimento. 2 Regolamento del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1; in prosieguo: il «[OSCURATO:PERSONA]»). 3 V. articolo 4, punto 1, del [OSCURATO:PERSONA]. 4 Ibidem . 5 V. considerando 7 del [OSCURATO:PERSONA]. 6 V. considerando 11 del [OSCURATO:PERSONA]. 7 V. articolo 1, paragrafo 2, del [OSCURATO:PERSONA] e considerando 10 dello stesso. 8 V. considerando 7 del [OSCURATO:PERSONA]. Il regolamento in parola si basa su una concezione dell’interessato quale soggetto attivo, in grado di adottare decisioni riguardo ai dati personali che lo riguardano (v. Spieckergen. Döhmann, I., Papakonstantinou, V., Hornung, G., e [OSCURATO:PERSONA], P., [OSCURATO:PERSONA]: [OSCURATO:PERSONA]-by-[OSCURATO:PERSONA] , [OSCURATO:PERSONA][OSCURATO:PERSONA], 2023, pag. 86). 9 Ai sensi dell’articolo 4, punto 2, del [OSCURATO:PERSONA] è definito «trattamento» «qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione». 10 V. articolo 15, paragrafo 1, del [OSCURATO:PERSONA]: «[l’]interessato ha il diritto di ottenere dal titolare del trattamento (…)» (il corsivo è mio). 11 In un’ipotesi del genere, «le finalità e i mezzi del trattamento di dati personali» sono essi stessi stabiliti dal diritto dell’Unione europea o degli Stati membri. 12 V. sentenza del 10 luglio 2018, Jehovan todistajat (C‑25/17, EU:C:2018:551, punto 68). Tale sentenza aveva ad oggetto l’interpretazione della nozione di «responsabile del trattamento» quale definita all’articolo 2, lettera d), della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU 1995, L 281, pag. 31). Benché la suddetta direttiva non sia più in vigore e sia stata sostituita dal [OSCURATO:PERSONA], l’interpretazione fornita dalla Corte per quanto riguarda tale disposizione mantiene la propria rilevanza nell’ambito dell’applicazione del [OSCURATO:PERSONA], dato che la definizione di detta nozione permane identica in entrambi gli strumenti, fatta eccezione per talune lievi modifiche formali. Pertanto, farò riferimento indistintamente alle sentenze relative all’uno o all’altro strumento. 13 V. altresì, a tal riguardo, «Linee guida 07/2020 sui concetti di titolare del trattamento e di responsabile del trattamento ai sensi del GDPR» del Comitato europeo per la protezione dei dati (EDPB), versione 2.1, adottate il 7 luglio 2021 (in prosieguo: le «linee guida 07/2020 dell’EDPB», disponibili all’indirizzo: https://edpb.europa.eu/system/files/2021-07/eppb_guidelines_202007_controllerprocessor_final_en.pdf), pag. 3 e paragrafi 21 e da 25 a 27. 14 V. sentenza del 4 ottobre 2024, [OSCURATO:PERSONA] (Tentativo di accesso ai dati personali memorizzati in un telefono cellulare) (C‑548/21, EU:C:2024:830, punto 41 e giurisprudenza citata). 15 V. sentenza del 5 dicembre 2023, Nacionalinis visuomenės sveikatos centras (C‑683/21, EU:C:2023:949, punto 29). 16 Ibidem , punto 30. 17 Il corsivo è mio. 18 V. sentenza dell’11 aprile 2024, juris (C‑741/21, EU:C:2024:288, punti da 47 a 49). 19 Ibidem . V. altresì, a tale riguardo, sentenze del 22 giugno 2023, Pankki S (C‑579/21, EU:C:2023:501); del 5 dicembre 2023, [OSCURATO:PERSONA] (C‑807/21, EU:C:2023:950), e del 25 gennaio 2024, MediaMarktSaturn (C‑687/21, EU:C:2024:72), in cui era stato constatato che i «titolari del trattamento» erano società, sebbene l’asserito «trattamento» fosse stato effettuato dai dipendenti delle stesse. 20 V. sentenza del 5 dicembre 2023, [OSCURATO:PERSONA] (C‑807/21, EU:C:2023:950, punto 44). 21 V. paragrafi 18 e 19 di dette linee guida. 22 Concordo con la Commissione sul fatto che, con la prima questione, il giudice del rinvio si limita a chiedere se una persona come TS possa essere considerata «titolare del trattamento» ai sensi dell’articolo 4, punto 7, del [OSCURATO:PERSONA]. Pertanto, nell’ipotesi in cui la Corte condividesse la mia posizione, secondo cui occorre rispondere in senso negativo a tale questione, non ritengo che dovrebbe stabilire se la scuola o il Land interessato, e non TS, debbano essere considerati il «titolare del trattamento». 23 V., in tal senso, sentenza del 27 febbraio 2025, Amt der [OSCURATO:PERSONA] (C‑638/23, EU:C:2025:127, punti da 30 a 34). V., inoltre, sentenza dell’11 gennaio 2024, État belge (Dati trattati da una gazzetta ufficiale) (C‑231/22, EU:C:2024:7, punto 36). 24 V., in tal senso, sentenza del 7 marzo 2024, IAB Europe (C‑604/22, EU:C:2024:214, punti da 56 a 59). Per un esempio in cui un’entità (comunità religiosa) e i membri della stessa sono stati effettivamente ritenuti contitolari del trattamento, v. sentenza del 10 luglio 2018, Jehovan todistajat (C‑25/17, EU:C:2018:551). 25 V., a tal riguardo, le mie conclusioni nella causa Lindenberg (C‑205/25, EU:C:2026:312; in prosieguo: le «mie conclusioni nella causa Lindenberg»), al cui paragrafo 49 dichiaro che l’articolo 15 del [OSCURATO:PERSONA] può essere fatto valere solo nei confronti del titolare del trattamento. 26 Ciò vale anche per la quarta questione, che viene posta solo «in caso di risposta affermativa alla prima o alla terza questione» (il corsivo è mio). 27 V., a tal riguardo, sentenze del 20 dicembre 2017, Nowak (C‑434/16, EU:C:2017:994, punto 34), sulla nozione di «dati personali» come definita all’articolo 2, lettera a), della direttiva 95/46, e del 2 dicembre 2025, [OSCURATO:PERSONA] e [OSCURATO:PERSONA] (C‑492/23, EU:C:2025:935, punto 49). V., altresì, a tale riguardo, «Linee guida 1/2022 sui diritti degli interessati – Diritto di accesso» dell’EDPB, versione 2.1, adottate il 28 marzo 2023 (in prosieguo: le «linee guida 01/2022 dell’EDPB», consultabili all’indirizzo: https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-012022-data-subject-rights-right-access_en), paragrafo 96. 28 V. sentenza del 19 marzo 2026, [OSCURATO:PERSONA] (C‑526/24, EU:C:2026:216, punto 24 e giurisprudenza citata). 29 V. la definizione del termine «source» fornita nella versione online del [OSCURATO:PERSONA] , consultabile all’indirizzo: https://www.collinsdictionary.com/dictionary/english/source. Secondo il [OSCURATO:PERSONA] , la nozione di «source» è generalmente intesa come il luogo da cui proviene qualcosa oppure qualcuno o qualcosa che fornisce informazioni (https://dictionary.cambridge.org/dictionary/english/source). 30 Il corsivo è mio. 31 N.d.T.: Poiché la versione italiana del regolamento non riproduce integralmente il parallelismo terminologico presente nelle versioni inglese e francese, l’argomentazione dell’avvocato generale è stata lievemente adattata per preservarne il significato. 32 V. sentenza del 9 gennaio 2025, [OSCURATO:PERSONA] (Richieste eccessive) (C‑416/23, EU:C:2025:3, punto 46). 33 V., in tal senso, sentenza del 22 giugno 2023, Pankki S (C‑579/21, EU:C:2023:501, punti da 56 a 59 e giurisprudenza citata). V. altresì, a tal riguardo, considerando 63 del [OSCURATO:PERSONA] (paragrafo 6 delle presenti conclusioni). 34 V. paragrafo 24 delle presenti conclusioni. 35 V., per analogia, paragrafo 58 delle mie conclusioni nella causa Lindenberg, in cui considero che la portata del diritto di ottenere una copia ai sensi dell’articolo 15, paragrafo 3, del [OSCURATO:PERSONA] resta rigorosamente delimitata dalla sua funzione. 36 V., nuovamente, in tal senso, sentenza del 22 giugno 2023, Pankki S (C‑579/21, EU:C:2023:501, punti da 69 a 75), in cui la Corte analizza se la comunicazione delle informazioni pertinenti possa essere necessaria per assicurare un trattamento corretto e trasparente, consentendo così all’interessato di esercitare in modo pieno i diritti riconosciutigli da detto regolamento. 37 V. linee guida 01/2022 dell’EDPB, paragrafo 36. 38 Infatti, RS afferma che, quando le informazioni ricevute nel corso di una conversazione con un terzo sono riportate in un’e-mail esattamente come sono state ricevute (come, a suo avviso, è avvenuto nel procedimento principale), il terzo stesso deve essere considerato l’«origine» dei dati personali contenuti nell’e-mail. 39 Sentenza del 20 dicembre 2017 (C‑434/16, EU:C:2017:994). 40 V. considerando 63 del [OSCURATO:PERSONA]. 41 V. anche, a tal riguardo, sentenza del 22 giugno 2023, Pankki S (C‑579/21, EU:C:2023:501, punto 77). 42 V. articolo 11 della Carta e articolo 10 della Convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali (in prosieguo: la «CEDU»). 43 Come tutelato dall’articolo 7 della Carta e dall’articolo 8 della CEDU. 44 V. articolo 11 della Carta e articolo 10 della CEDU. 45 Come tutelato dall’articolo 7 della Carta e dall’articolo 8 della CEDU. 46 Ciò premesso, riconosco che, in una situazione del genere, ottenere informazioni sull’identità dell’origine può consentire all’interessato di impedire che i suoi dati personali possano successivamente circolare tra diversi titolari del trattamento (vale a dire, evitare un ulteriore «trattamento») (v. paragrafo 58 delle presenti conclusioni). Tuttavia, detta considerazione non è, a mio avviso, di per sé sufficiente a giustificare la comunicazione dell’identità dell’origine (il terzo) all’interessato. 47 A tale riguardo, ricordo che, nell’ambito della procedura di cooperazione tra i giudici nazionali e la Corte istituita all’articolo 267 TFUE, spetta a quest’ultima fornire al giudice nazionale una risposta utile che gli consenta di dirimere la controversia di cui è investito. In tale prospettiva spetta alla Corte, se del caso, riformulare le questioni che le sono sottoposte e prendere in considerazione, se necessario, norme del diritto dell’Unione alle quali il giudice nazionale non abbia fatto riferimento nella formulazione della sua questione [v. sentenza del 30 aprile 2026, Lidl Italia (Pratiche commerciali sleali in materia di alimenti) (C‑301/25, EU:C:2026:357, punto 25)]. 48 L’interessato ha il diritto di ricevere dal titolare del trattamento le informazioni di cui all’articolo 15, paragrafo 1, lettere da a) a h), del [OSCURATO:PERSONA] solo quando i dati personali che lo riguardano sono oggetto di trattamento . 49 Ai sensi dell’articolo 15, paragrafo 1, del [OSCURATO:PERSONA], l’interessato ha altresì «il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano» (il corsivo è mio). 50 Il corsivo è mio. V., altresì, articolo 82, paragrafo 4, del [OSCURATO:PERSONA] e considerando 146 di quest’ultimo, che menziona «i danni cagionati a una persona da un trattamento». 51 V., a tal proposito, anche le conclusioni dell’avvocato generale Szpunar nella causa [OSCURATO:PERSONA] (C‑526/24, EU:C:2025:723, paragrafi da 69 a 71; in prosieguo: le «conclusioni nella causa [OSCURATO:PERSONA]»). 52 V., a tale riguardo, nota della presidenza del Consiglio, n. 9565/15, dell’11 giugno 2015, Proposal for a [OSCURATO:PERSONA] of the [OSCURATO:PERSONA] and of the Council on the protection of individuals with regard to the processing of personal data and on the free movement of such data ([OSCURATO:PERSONA]) – Preparation of a [OSCURATO:PERSONA] , consultabile all’indirizzo: https://data.consilium.europa.eu/doc/document/ST-9565-2015-INIT/en/pdf (pag. 185). 53 V. sentenza del 4 ottobre 2024, Agentsia po vpisvaniyata (C‑200/23, EU:C:2024:827, punto 159). V. altresì, a tale riguardo, conclusioni nella causa [OSCURATO:PERSONA], in cui l’avvocato generale spiega, al paragrafo 70, che l’articolo 82, paragrafo 2, del [OSCURATO:PERSONA] ha introdotto la responsabilità in capo al responsabile del trattamento, che non figurava all’articolo 23 della direttiva 95/46. 54 Il corsivo è mio. 55 Paragrafo 73. 56 V. sentenza del 19 marzo 2026, [OSCURATO:PERSONA] (C‑526/24, EU:C:2026:216; in prosieguo: la «sentenza [OSCURATO:PERSONA]»). 57 V. punto 48. Al punto 59 di tale sentenza, la Corte ha altresì ricordato la sua giurisprudenza consolidata secondo la quale, affinché un diritto al risarcimento possa sorgere, deve essere accertata l’esistenza di un nesso di causalità tra il danno subito e una violazione del [OSCURATO:PERSONA], intesa in senso ampio. A quanto mi consta, il più restrittivo requisito di un nesso di causalità tra tale danno e un «trattamento illecito» (piuttosto che una «violazione del [OSCURATO:PERSONA]») appare solo nella sentenza del 4 ottobre 2024, Agentsia po vpisvaniyata (C‑200/23, EU:C:2024:827, punto 159). Esso figura altresì al punto 36 della sentenza del 4 maggio 2023, [OSCURATO:PERSONA] (Danno immateriale connesso al trattamento di dati personali) (C‑300/21, EU:C:2023:370); tuttavia, il punto 32 fa riferimento, più in generale, a una «violazione del [OSCURATO:PERSONA]». 58 Punto 49. 59 Punto 53. 60 Il capo in parola comprende, oltre ai diversi diritti di informazione di cui agli articoli da 12 a 15, il diritto di rettifica dei dati personali (articolo 16), il diritto alla cancellazione di tali dati (articolo 17), il diritto di limitazione del trattamento di dati personali (articolo 18) e il diritto alla portabilità dei dati (articolo 20). 61 V., in tal senso, sentenza [OSCURATO:PERSONA], punto 53. 62 Il capo III del [OSCURATO:PERSONA] comprende anche il diritto di opporsi «in qualsiasi momento» al trattamento dei dati personali (articolo 21 del [OSCURATO:PERSONA]). Contrariamente agli altri diritti elencati in detto capo, mi sembra che il diritto di cui trattasi debba essere esercitato durante il trattamento dei dati in parola, poiché comporta, in linea di principio, l’obbligo per il titolare del trattamento di non trattare più i dati personali in questione. 63 Lo stesso vale per altri obblighi imposti ai titolari del trattamento dal capo III del [OSCURATO:PERSONA], come quelli previsti agli articoli 26 e 30 dello stesso, la cui violazione non costituisce un «trattamento illecito» (v., a tal riguardo, sentenza [OSCURATO:PERSONA], punto 52 e giurisprudenza citata). 64 V., a tale riguardo, articolo 9, paragrafo 5, della legge sulla responsabilità della pubblica amministrazione, di cui ho ricordato il contenuto al paragrafo 11 delle presenti conclusioni. 65 V., a tale riguardo, Kucsko‑Stadlmayer, G., «Art. 23 BV-G», in Korinek, K., Holoubek, M., e altri (a cura di), Bundesverfassungsrecht, Rz 5 , 2013. La base costituzionale dell’articolo 1 della legge sulla responsabilità della pubblica amministrazione è l’articolo 23 del Bundes-Verfassungsgesetz (in prosieguo: il «B‑VG», la «Costituzione federale»). 66 V., a tal riguardo, sentenze del 4 ottobre 2024, Patērētāju tiesību aizsardzības centrs (C‑507/23, EU:C:2024:854, punto 34 e giurisprudenza citata), e del 4 settembre 2025, [OSCURATO:PERSONA] (C‑655/23, EU:C:2025:655, punto 78 e giurisprudenza citata). 67 V. altresì, a tal riguardo, considerando 146 del [OSCURATO:PERSONA], il quale enuncia che «[g]li interessati dovrebbero ottenere pieno ed effettivo risarcimento per il danno subito». 68 V., in tal senso, sentenze dell’11 aprile 2024, juris (C‑741/21, EU:C:2024:288, punto 56), e del 20 giugno 2024, PS (Indirizzo errato) (C‑590/22, EU:C:2024:536, punto 38). 69 V., in tal senso, sentenze del 20 giugno 2024, [OSCURATO:PERSONA] (C‑182/22 e C‑189/22, EU:C:2024:531, punti 22 e 23 e giurisprudenza citata); del 20 giugno 2024, PS (Indirizzo errato) (C‑590/22, EU:C:2024:536, punto 41), e del 4 settembre 2025, [OSCURATO:PERSONA] (C‑655/23, EU:C:2025:655, punto 70 e giurisprudenza citata). 70 A tal riguardo, rilevo che il trasferimento di responsabilità operato dall’articolo 1 della legge sulla responsabilità della pubblica amministrazione non conduce necessariamente a un’esenzione totale dalla responsabilità dell’«organo» in questione. Infatti, in forza dell’articolo 23, paragrafo 2, della Costituzione federale e dell’articolo 3 della legge sulla responsabilità della pubblica amministrazione, un’entità giuridica di diritto pubblico che abbia risarcito un interessato per un danno causato da uno dei suoi «organi» può esercitare il diritto di rivalsa nei confronti di tale «organo» qualora quest’ultimo abbia agito intenzionalmente o per negligenza grave.