Fons Iuris
Torna alla ricerca
Corte di giustizia UEsentenzaSezione I

Corte di giustizia UE/2025

ECLI:EU:C:2025:117
Testo integrale del provvedimento

Testo integrale del provvedimento

62022CJ0203_RES

[OSCURATO:PERSONA]203/22

CK contro [OSCURATO:PERSONA] der [OSCURATO:PERSONA] (domanda di pronuncia pregiudiziale proposta dal [OSCURATO:PERSONA]) Sentenza della Corte (Prima Sezione) del 27 febbraio 2025 «Rinvio pregiudiziale – Protezione dei dati personali – Regolamento (UE) 2016/679 – Articolo 15, paragrafo 1, lettera h) – Processo decisionale automatizzato, compresa la profilazione – “Scoring” – Valutazione della solvibilità di una persona fisica – Accesso alle informazioni significative sulla logica utilizzata nella profilazione – Verifica della correttezza delle informazioni fornite – Direttiva (UE) 2016/943 – Articolo 2, punto 1 – Segreto commerciale – Dati personali di terzi» Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento 2016/679 – Diritto di accesso dell’interessato ai suoi dati oggetto di trattamento – Processo decisionale automatizzato, compresa la profilazione – Accesso alle informazioni significative sulla logica utilizzata nella profilazione – Portata [Regolamento del Parlamento europeo e del Consiglio 2016/679, artt. 12, § 1, 15, §§ 1, h), e 3, e 22, §§ 1 e 3] (v. punti 40-43, 47, 48, 50, 58, 59, 61, 62, 66, dispositivo 1) Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento 2016/679 – Diritto di accesso dell’interessato ai suoi dati oggetto di trattamento – Processo decisionale automatizzato, compresa la profilazione – Accesso alle informazioni significative sulla logica utilizzata nella profilazione – Rispetto dei diritti e delle libertà altrui – Diritto alla protezione dei dati personali di terzi e del segreto commerciale – Ponderazione dei diritti e degli interessi in gioco da parte dell’autorità di controllo o del giudice competenti [Regolamento del Parlamento europeo e del Consiglio 2016/679, considerando 63 e art. 15, § 1, h); direttiva del Parlamento europeo e del Consiglio 2016/943, art. 2, punto 1] (v. punti 72- 73, dispositivo 2) [OSCURATO:PERSONA] in via pregiudiziale dal [OSCURATO:PERSONA] (Tribunale amministrativo di Vienna, Austria), la Corte sviluppa la sua giurisprudenza recente relativa ai diritti degli interessati da una profilazione ai fini della valutazione della loro solvibilità ( 1 ).

Da un lato, essa precisa i contorni del diritto di accesso dell'interessato alle informazioni relative al trattamento dei suoi dati.

Dall'altro, si pronuncia sul bilanciamento di tale diritto con il diritto alla protezione dei dati dei terzi o dei segreti commerciali.

A CK è stata negata, da parte di un operatore di telefonia mobile, la stipulazione o la proroga di un contratto di telefonia mobile.

Tale rifiuto era fondato su una valutazione del suo merito creditizio con mezzi automatizzati, effettuata dalla D & B, un'azienda specializzata nella fornitura di valutazioni di tale tipo.

Con la sua decisione, l'autorità austriaca per la protezione dei dati ha ingiunto alla D & B di fornire a CK informazioni significative sulla logica utilizzata nel processo decisionale automatizzato basato sui suoi dati personali.

Il ricorso, proposto dalla D & B avverso tale decisione, è stato respinto con decisione del 23 ottobre 2019 del Bundesverwaltungsgericht (Corte amministrativa federale, Austria). [OSCURATO:PERSONA] der [OSCURATO:PERSONA] (amministrazione comunale della città di Vienna, Austria) ha respinto la domanda di esecuzione forzata di tale decisione giurisdizionale presentata da CK.

Investito da CK di un ricorso avverso la decisione di tale amministrazione comunale, il giudice del rinvio chiede alla Corte di chiarire la portata delle informazioni che devono essere fornite all'interessato affinché il suo diritto di accesso previsto dal regolamento generale sulla protezione dei dati ( 2 ) sia pienamente garantito.

Esso le chiede altresì di precisare se e in quale misura l'eccezione relativa all'esistenza di un segreto commerciale sia tale da limitare tale diritto.

Giudizio della Corte In primo luogo, nel chiarire il diritto dell’interessato leso da una decisione automatizzata, compresa la profilazione, di accedere alle «informazioni significative sulla logica utilizzata» ai sensi dell'articolo 15, paragrafo 1, lettera h), del RGPD, la Corte, sulla base delle diverse versioni linguistiche di tale disposizione, dichiara che la sua formulazione riguarda qualsiasi informazione pertinente relativa alla procedura e ai principi di utilizzo, con mezzi automatizzati, di dati personali al fine di ottenerne un risultato specifico.

La Corte rileva poi che l'interpretazione contestuale di questa stessa disposizione del RGPD ne corrobora l’interpretazione letterale e che, inoltre, l'obbligo di trasparenza che si applica a tutti i dati e le informazioni, comprese quelle connesse al processo decisionale automatizzato ( 3 ), richiede che tali informazioni siano fornite in forma concisa, trasparente, comprensibile e facilmente accessibile.

Inoltre, la Corte sottolinea che dall'esame delle finalità del RGPD e, in particolare, di quelle del suo articolo 15, paragrafo 1, lettera h), risulta che il diritto di ottenere «informazioni significative sulla logica utilizzata» in un processo decisionale automatizzato, ai sensi di tale disposizione, deve essere inteso come un diritto alla spiegazione della procedura e dei principi concretamente applicati per utilizzare, con mezzi automatizzati, i dati personali dell'interessato al fine di ottenerne un risultato specifico, come un profilo di solvibilità.

Per consentire all'interessato di esercitare in modo efficace i diritti riconosciutigli dal RGPD ( 4 ), tale spiegazione deve essere fornita mediante informazioni pertinenti e in forma concisa, trasparente, intelligibile e facilmente accessibile.

Non può soddisfare tali requisiti né la semplice comunicazione di una formula matematica complessa, come un algoritmo, né la descrizione dettagliata di tutte le fasi di un processo decisionale automatizzato, in quanto nessuno di questi metodi costituirebbe una spiegazione sufficientemente concisa e comprensibile.

La Corte conclude che le «informazioni significative sulla logica utilizzata» in un processo decisionale automatizzato, ai sensi dell'articolo 15, paragrafo 1, lettera h), del RGPD, devono descrivere la procedura e i principi concretamente applicati in modo tale che l'interessato possa comprendere quali dei suoi dati personali sono stati utilizzati in che modo nel processo decisionale automatizzato, senza che la complessità delle operazioni da eseguire nel contesto del processo decisionale automatizzato possa esonerare il titolare del trattamento dal suo dovere di spiegazione.

Essa precisa, con specifico riguardo a una profilazione come quella del caso di specie, che il giudice del rinvio potrebbe, in particolare, considerare sufficientemente trasparente e comprensibile il fatto di informare l’interessato di come una variazione a livello dei dati personali presi in considerazione avrebbe portato a un risultato diverso.

In secondo luogo, per quanto riguarda il bilanciamento tra il diritto di accesso garantito dal RGPD e il diritto alla protezione dei dati dei terzi o dei segreti commerciali ( 5 ), la Corte ricorda anzitutto la propria giurisprudenza secondo cui un giudice nazionale può ritenere che i dati personali delle parti o di terzi debbano essergli comunicati al fine di poter ponderare, con piena cognizione di causa e nel rispetto del principio di proporzionalità, gli interessi in gioco.

Tale valutazione può, se del caso, indurlo ad autorizzare la divulgazione completa o parziale alla controparte dei dati personali che gli sono stati così comunicati, qualora ritenga che una siffatta divulgazione non ecceda quanto necessario al fine di garantire l’effettivo godimento dei diritti che i soggetti dell’ordinamento traggono dall’articolo 47 della Carta dei diritti fondamentali dell’Unione europea ( 6 ).

Essa dichiara poi che tale giurisprudenza può pienamente applicarsi alla situazione in cui le informazioni da fornire all’interessato ai sensi del diritto di accesso garantito dall’articolo 15, paragrafo 1, lettera h), del RGPD possano comportare una violazione dei diritti e delle libertà altrui, in particolare in quanto contengono dati personali di terzi protetti da tale regolamento o un segreto commerciale.

Anche in tale ipotesi, dette informazioni devono essere comunicate all’autorità di controllo o al giudice competenti, ai quali spetta ponderare i diritti e gli interessi in gioco per determinare la portata del diritto di accesso dell’interessato ai dati personali che lo riguardano.

Essa rileva che, in considerazione della necessità di una siffatta determinazione caso per caso, l'articolo 15, paragrafo 1, lettera h), del RGPD osta, in particolare, all'applicazione di una disposizione nazionale che esclude, di regola, il diritto di accesso dell’interessato qualora tale accesso comprometta un segreto commerciale o un segreto aziendale del titolare del trattamento o di un terzo.

A tal riguardo, la Corte ricorda che uno Stato membro non può stabilire in modo definitivo l’esito della ponderazione caso per caso dei diritti e degli interessi in gioco imposta dal diritto dell’Unione ( 7 ).

In conclusione, la Corte ha stautito che l'articolo 15, paragrafo 1, lettera h), del RGPD deve essere interpretato nel senso che, nell’ipotesi in cui il titolare del trattamento ritenga che le informazioni da fornire all’interessato conformemente a tale disposizione contengano dati di terzi protetti da tale regolamento o segreti commerciali, detto titolare è tenuto a comunicare tali informazioni assertitamente protette all’autorità di controllo o al giudice competenti, cui spetta ponderare i diritti e gli interessi in gioco al fine di determinare la portata del diritto di accesso dell’interessato previsto all’articolo 15 del RGPD. ( 1 ) Sentenza del 7 dicembre 2023, SCHUFA Holding e a. (Scoring) ( C-634/21 , EU:C:2023:957 ). ( 2 ) Articolo 15, paragrafo 1, lettera h), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) ( GU 2016, L 119, pag. 1 , in prosieguo: il «RGPD»). ( 3 ) Previsto all’articolo 12, paragrafo 1, del RGPD. ( 4 ) In particolare, l'articolo 22, paragrafo 3, del RGPD. ( 5 ) Ai sensi dell’articolo 2, punto 1, della direttiva (UE) 2016/943 del Parlamento europeo e del Consiglio, dell’8 giugno 2016, sulla protezione del know-how riservato e delle informazioni commerciali riservate (segreti commerciali) contro l’acquisizione, l’utilizzo e la divulgazione illeciti ( GU 2016, L 157, pag. 1 ). ( 6 ) Sentenza del 2 marzo 2023, [OSCURATO:PERSONA] ( C-268/21 , EU:C:2023:145 , punto 58 ). ( 7 ) V., in tal senso, sentenza del 7 dicembre 2023, SCHUFA Holding e a. (Scoring) ( C-634/21 , EU:C:2023:957 , punto 70 e giurisprudenza citata).

Anonimizzato ex art. 52 D.Lgs. 196/2003
62022CJ0203_RES [OSCURATO:PERSONA]203/22 CK contro [OSCURATO:PERSONA] der [OSCURATO:PERSONA] (domanda di pronuncia pregiudiziale proposta dal [OSCURATO:PERSONA]) Sentenza della Corte (Prima Sezione) del 27 febbraio 2025 «Rinvio pregiudiziale – Protezione dei dati personali – Regolamento (UE) 2016/679 – Articolo 15, paragrafo 1, lettera h) – Processo decisionale automatizzato, compresa la profilazione – “Scoring” – Valutazione della solvibilità di una persona fisica – Accesso alle informazioni significative sulla logica utilizzata nella profilazione – Verifica della correttezza delle informazioni fornite – Direttiva (UE) 2016/943 – Articolo 2, punto 1 – Segreto commerciale – Dati personali di terzi» Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento 2016/679 – Diritto di accesso dell’interessato ai suoi dati oggetto di trattamento – Processo decisionale automatizzato, compresa la profilazione – Accesso alle informazioni significative sulla logica utilizzata nella profilazione – Portata [Regolamento del Parlamento europeo e del Consiglio 2016/679, artt. 12, § 1, 15, §§ 1, h), e 3, e 22, §§ 1 e 3] (v. punti 40-43, 47, 48, 50, 58, 59, 61, 62, 66, dispositivo 1) Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento 2016/679 – Diritto di accesso dell’interessato ai suoi dati oggetto di trattamento – Processo decisionale automatizzato, compresa la profilazione – Accesso alle informazioni significative sulla logica utilizzata nella profilazione – Rispetto dei diritti e delle libertà altrui – Diritto alla protezione dei dati personali di terzi e del segreto commerciale – Ponderazione dei diritti e degli interessi in gioco da parte dell’autorità di controllo o del giudice competenti [Regolamento del Parlamento europeo e del Consiglio 2016/679, considerando 63 e art. 15, § 1, h); direttiva del Parlamento europeo e del Consiglio 2016/943, art. 2, punto 1] (v. punti 72- 73, dispositivo 2) [OSCURATO:PERSONA] in via pregiudiziale dal [OSCURATO:PERSONA] (Tribunale amministrativo di Vienna, Austria), la Corte sviluppa la sua giurisprudenza recente relativa ai diritti degli interessati da una profilazione ai fini della valutazione della loro solvibilità ( 1 ). Da un lato, essa precisa i contorni del diritto di accesso dell'interessato alle informazioni relative al trattamento dei suoi dati. Dall'altro, si pronuncia sul bilanciamento di tale diritto con il diritto alla protezione dei dati dei terzi o dei segreti commerciali. A CK è stata negata, da parte di un operatore di telefonia mobile, la stipulazione o la proroga di un contratto di telefonia mobile. Tale rifiuto era fondato su una valutazione del suo merito creditizio con mezzi automatizzati, effettuata dalla D & B, un'azienda specializzata nella fornitura di valutazioni di tale tipo. Con la sua decisione, l'autorità austriaca per la protezione dei dati ha ingiunto alla D & B di fornire a CK informazioni significative sulla logica utilizzata nel processo decisionale automatizzato basato sui suoi dati personali. Il ricorso, proposto dalla D & B avverso tale decisione, è stato respinto con decisione del 23 ottobre 2019 del Bundesverwaltungsgericht (Corte amministrativa federale, Austria). [OSCURATO:PERSONA] der [OSCURATO:PERSONA] (amministrazione comunale della città di Vienna, Austria) ha respinto la domanda di esecuzione forzata di tale decisione giurisdizionale presentata da CK. Investito da CK di un ricorso avverso la decisione di tale amministrazione comunale, il giudice del rinvio chiede alla Corte di chiarire la portata delle informazioni che devono essere fornite all'interessato affinché il suo diritto di accesso previsto dal regolamento generale sulla protezione dei dati ( 2 ) sia pienamente garantito. Esso le chiede altresì di precisare se e in quale misura l'eccezione relativa all'esistenza di un segreto commerciale sia tale da limitare tale diritto. Giudizio della Corte In primo luogo, nel chiarire il diritto dell’interessato leso da una decisione automatizzata, compresa la profilazione, di accedere alle «informazioni significative sulla logica utilizzata» ai sensi dell'articolo 15, paragrafo 1, lettera h), del RGPD, la Corte, sulla base delle diverse versioni linguistiche di tale disposizione, dichiara che la sua formulazione riguarda qualsiasi informazione pertinente relativa alla procedura e ai principi di utilizzo, con mezzi automatizzati, di dati personali al fine di ottenerne un risultato specifico. La Corte rileva poi che l'interpretazione contestuale di questa stessa disposizione del RGPD ne corrobora l’interpretazione letterale e che, inoltre, l'obbligo di trasparenza che si applica a tutti i dati e le informazioni, comprese quelle connesse al processo decisionale automatizzato ( 3 ), richiede che tali informazioni siano fornite in forma concisa, trasparente, comprensibile e facilmente accessibile. Inoltre, la Corte sottolinea che dall'esame delle finalità del RGPD e, in particolare, di quelle del suo articolo 15, paragrafo 1, lettera h), risulta che il diritto di ottenere «informazioni significative sulla logica utilizzata» in un processo decisionale automatizzato, ai sensi di tale disposizione, deve essere inteso come un diritto alla spiegazione della procedura e dei principi concretamente applicati per utilizzare, con mezzi automatizzati, i dati personali dell'interessato al fine di ottenerne un risultato specifico, come un profilo di solvibilità. Per consentire all'interessato di esercitare in modo efficace i diritti riconosciutigli dal RGPD ( 4 ), tale spiegazione deve essere fornita mediante informazioni pertinenti e in forma concisa, trasparente, intelligibile e facilmente accessibile. Non può soddisfare tali requisiti né la semplice comunicazione di una formula matematica complessa, come un algoritmo, né la descrizione dettagliata di tutte le fasi di un processo decisionale automatizzato, in quanto nessuno di questi metodi costituirebbe una spiegazione sufficientemente concisa e comprensibile. La Corte conclude che le «informazioni significative sulla logica utilizzata» in un processo decisionale automatizzato, ai sensi dell'articolo 15, paragrafo 1, lettera h), del RGPD, devono descrivere la procedura e i principi concretamente applicati in modo tale che l'interessato possa comprendere quali dei suoi dati personali sono stati utilizzati in che modo nel processo decisionale automatizzato, senza che la complessità delle operazioni da eseguire nel contesto del processo decisionale automatizzato possa esonerare il titolare del trattamento dal suo dovere di spiegazione. Essa precisa, con specifico riguardo a una profilazione come quella del caso di specie, che il giudice del rinvio potrebbe, in particolare, considerare sufficientemente trasparente e comprensibile il fatto di informare l’interessato di come una variazione a livello dei dati personali presi in considerazione avrebbe portato a un risultato diverso. In secondo luogo, per quanto riguarda il bilanciamento tra il diritto di accesso garantito dal RGPD e il diritto alla protezione dei dati dei terzi o dei segreti commerciali ( 5 ), la Corte ricorda anzitutto la propria giurisprudenza secondo cui un giudice nazionale può ritenere che i dati personali delle parti o di terzi debbano essergli comunicati al fine di poter ponderare, con piena cognizione di causa e nel rispetto del principio di proporzionalità, gli interessi in gioco. Tale valutazione può, se del caso, indurlo ad autorizzare la divulgazione completa o parziale alla controparte dei dati personali che gli sono stati così comunicati, qualora ritenga che una siffatta divulgazione non ecceda quanto necessario al fine di garantire l’effettivo godimento dei diritti che i soggetti dell’ordinamento traggono dall’articolo 47 della Carta dei diritti fondamentali dell’Unione europea ( 6 ). Essa dichiara poi che tale giurisprudenza può pienamente applicarsi alla situazione in cui le informazioni da fornire all’interessato ai sensi del diritto di accesso garantito dall’articolo 15, paragrafo 1, lettera h), del RGPD possano comportare una violazione dei diritti e delle libertà altrui, in particolare in quanto contengono dati personali di terzi protetti da tale regolamento o un segreto commerciale. Anche in tale ipotesi, dette informazioni devono essere comunicate all’autorità di controllo o al giudice competenti, ai quali spetta ponderare i diritti e gli interessi in gioco per determinare la portata del diritto di accesso dell’interessato ai dati personali che lo riguardano. Essa rileva che, in considerazione della necessità di una siffatta determinazione caso per caso, l'articolo 15, paragrafo 1, lettera h), del RGPD osta, in particolare, all'applicazione di una disposizione nazionale che esclude, di regola, il diritto di accesso dell’interessato qualora tale accesso comprometta un segreto commerciale o un segreto aziendale del titolare del trattamento o di un terzo. A tal riguardo, la Corte ricorda che uno Stato membro non può stabilire in modo definitivo l’esito della ponderazione caso per caso dei diritti e degli interessi in gioco imposta dal diritto dell’Unione ( 7 ). In conclusione, la Corte ha stautito che l'articolo 15, paragrafo 1, lettera h), del RGPD deve essere interpretato nel senso che, nell’ipotesi in cui il titolare del trattamento ritenga che le informazioni da fornire all’interessato conformemente a tale disposizione contengano dati di terzi protetti da tale regolamento o segreti commerciali, detto titolare è tenuto a comunicare tali informazioni assertitamente protette all’autorità di controllo o al giudice competenti, cui spetta ponderare i diritti e gli interessi in gioco al fine di determinare la portata del diritto di accesso dell’interessato previsto all’articolo 15 del RGPD. ( 1 ) Sentenza del 7 dicembre 2023, SCHUFA Holding e a. (Scoring) ( C-634/21 , EU:C:2023:957 ). ( 2 ) Articolo 15, paragrafo 1, lettera h), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) ( GU 2016, L 119, pag. 1 , in prosieguo: il «RGPD»). ( 3 ) Previsto all’articolo 12, paragrafo 1, del RGPD. ( 4 ) In particolare, l'articolo 22, paragrafo 3, del RGPD. ( 5 ) Ai sensi dell’articolo 2, punto 1, della direttiva (UE) 2016/943 del Parlamento europeo e del Consiglio, dell’8 giugno 2016, sulla protezione del know-how riservato e delle informazioni commerciali riservate (segreti commerciali) contro l’acquisizione, l’utilizzo e la divulgazione illeciti ( GU 2016, L 157, pag. 1 ). ( 6 ) Sentenza del 2 marzo 2023, [OSCURATO:PERSONA] ( C-268/21 , EU:C:2023:145 , punto 58 ). ( 7 ) V., in tal senso, sentenza del 7 dicembre 2023, SCHUFA Holding e a. (Scoring) ( C-634/21 , EU:C:2023:957 , punto 70 e giurisprudenza citata).