Corte di giustizia UE/2025

62024CC0526 CONCLUSIONI DELL’[OSCURATO:PERSONA] presentate il 18 settembre 2025 ( 1 ) Causa C‑526/24 [OSCURATO:PERSONA] GmbH & Co. KG contro [OSCURATO:PERSONA] [domanda di pronuncia pregiudiziale, proposta dall’[OSCURATO:PERSONA] (tribunale circoscrizionale di [OSCURATO:PERSONA], [OSCURATO:PERSONA])] «Rinvio pregiudiziale – Regolamento (UE) 2016/679 – Protezione dei dati personali – Richiesta di accesso dell’interessato ai dati personali che lo riguardano – Diritto del titolare del trattamento di rifiutare di soddisfare la richiesta – Carattere eccessivo della richiesta – Abuso del diritto – Diritto al risarcimento – Fatto generatore del danno» I. Introduzione 1. Quando l’ordinamento giuridico conferisce a un singolo un diritto soggettivo, l’esercizio di tale diritto deve, in linea di principio, essere considerato lecito. Tuttavia, se la maniera in cui tale diritto è esercitato non è conciliabile con gli obiettivi della disposizione che lo sancisce, possono essere imposti limiti dall’ordinamento giuridico, in particolare, attraverso il meccanismo dell’abuso di diritto ( 2 ). 2. Nel medesimo ordine di idee, nel diritto dell’Unione esiste un principio generale di diritto secondo il quale i singoli non possono avvalersi fraudolentemente o abusivamente delle norme del diritto dell’Unione, il quale si applica anche ai rapporti di diritto privato ( 3 ). 3. La presente causa verte su un’espressione specifica di tale principio nel diritto derivato e, più in particolare, nell’ambito del private enforcement del regolamento (UE) 2016/679 ( 4 ) (in prosieguo: il «[OSCURATO:PERSONA]»). La Corte è invitata a precisare, in particolare, i limiti all’esercizio del diritto di accesso e del diritto al risarcimento che un interessato fa valere, in modo asseritamente abusivo, nei confronti di un’impresa di diritto privato con la qualità di titolare del trattamento. II. Diritto dell’Unione: il [OSCURATO:PERSONA] 4. I considerando 10, 11, 60, 63, 141 e 146 del [OSCURATO:PERSONA] enunciano quanto segue: «(10) Al fine di assicurare un livello coerente ed elevato di protezione delle persone fisiche e rimuovere gli ostacoli alla circolazione dei dati personali all’interno dell’Unione, il livello di protezione dei diritti e delle libertà delle persone fisiche con riguardo al trattamento di tali dati dovrebbe essere equivalente in tutti gli [OSCURATO:PERSONA] membri. È opportuno assicurare un’applicazione coerente e omogenea delle norme a protezione dei diritti e delle libertà fondamentali delle persone fisiche con riguardo al trattamento dei dati personali in tutta l’Unione. (...) (11) Un’efficace protezione dei dati personali in tutta l’Unione presuppone il rafforzamento e la disciplina dettagliata dei diritti degli interessati e degli obblighi di coloro che effettuano e determinano il trattamento dei dati personali (...) (...) (60) I principi di trattamento corretto e trasparente implicano che l’interessato sia informato dell’esistenza del trattamento e delle sue finalità. Il titolare del trattamento dovrebbe fornire all’interessato eventuali ulteriori informazioni necessarie ad assicurare un trattamento corretto e trasparente, prendendo in considerazione le circostanze e [il] contesto specifici in cui i dati personali sono trattati. (...) (...) (63) Un interessato dovrebbe avere il diritto di accedere ai dati personali raccolti che l[o] riguardano e di esercitare tale diritto facilmente e a intervalli ragionevoli, per essere consapevole del trattamento e verificarne la liceità. (...) Ogni interessato dovrebbe pertanto avere il diritto di conoscere e ottenere comunicazioni in particolare in relazione alla finalità per cui i dati personali sono trattati, ove possibile al periodo in cui i dati personali sono trattati, ai destinatari dei dati personali, alla logica cui risponde qualsiasi trattamento automatizzato dei dati e, almeno quando è basato sulla profilazione, alle possibili conseguenze di tale trattamento. (...) (...) (141) Ciascun interessato dovrebbe avere il diritto di proporre reclamo a un’unica autorità di controllo, in particolare nello Stato membro in cui risiede abitualmente, e il diritto a un ricorso giurisdizionale effettivo a norma dell’articolo 47 della [Carta dei diritti fondamentali dell’Unione europea] qualora ritenga che siano stati violati i diritti di cui gode a norma del presente regolamento (...). (146) Il titolare del trattamento o il responsabile del trattamento dovrebbe risarcire i danni cagionati a una persona da un trattamento non conforme al presente regolamento ma dovrebbe essere esonerato da tale responsabilità se dimostra che l’evento dannoso non gli è in alcun modo imputabile. Il concetto di danno dovrebbe essere interpretato in senso lato alla luce della giurisprudenza della Corte di giustizia in modo tale da rispecchiare pienamente gli obiettivi del presente regolamento. (...) Gli interessati dovrebbero ottenere pieno ed effettivo risarcimento per il danno subito (...)» 5. L’articolo 4, punto 2, di detto regolamento definisce il «trattamento» come «qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione». 6. L’articolo 12 di detto regolamento, intitolato «Informazioni, comunicazioni e modalità trasparenti per l’esercizio dei diritti dell’interessato», ai paragrafi 1 e 5 prevede quanto segue: «1.   Il titolare del trattamento adotta misure appropriate per fornire all’interessato tutte le informazioni di cui agli articoli 13 e 14 e le comunicazioni di cui agli articoli da 15 a 22 e all’articolo 34 relative al trattamento (...). (...) 5.   Le informazioni fornite ai sensi degli articoli 13 e 14 ed eventuali comunicazioni e azioni intraprese ai sensi degli articoli da 15 a 22 e dell’articolo 34 sono gratuite. Se le richieste dell’interessato sono manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, il titolare del trattamento può: a) addebitare un contributo spese ragionevole tenendo conto dei costi amministrativi sostenuti per fornire le informazioni o la comunicazione o intraprendere l’azione richiesta; oppure b) rifiutare di soddisfare la richiesta. Incombe al titolare del trattamento l’onere di dimostrare il carattere manifestamente infondato o eccessivo della richiesta. (...)». 7. L’articolo 15 del medesimo regolamento, intitolato «Diritto di accesso dell’interessato», al paragrafo 1 così dispone: «1. L’interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l’accesso ai dati personali (...)». 8. L’articolo 57 del [OSCURATO:PERSONA], intitolato «Compiti», al paragrafo 4 prevede quanto segue: «Qualora le richieste siano manifestamente infondate o eccessive, in particolare per il carattere ripetitivo, l’autorità di controllo può addebitare un contributo spese ragionevole basato sui costi amministrativi o rifiutarsi di soddisfare la richiesta. Incombe all’autorità di controllo dimostrare il carattere manifestamente infondato o eccessivo della richiesta». 9. L’articolo 79 di detto regolamento, intitolato «Diritto a un ricorso giurisdizionale effettivo nei confronti del titolare del trattamento o del responsabile del trattamento», al paragrafo 1 così recita: «Fatto salvo ogni altro ricorso amministrativo o extragiudiziale disponibile, compreso il diritto di proporre reclamo a un’autorità di controllo ai sensi dell’articolo 77, ogni interessato ha il diritto di proporre un ricorso giurisdizionale effettivo qualora ritenga che i diritti di cui gode a norma del presente regolamento siano stati violati a seguito di un trattamento». 10. L’articolo 80 di detto regolamento, intitolato «Rappresentanza degli interessati», al paragrafo 2 prevede quanto segue: «[OSCURATO:PERSONA] membri possono prevedere che un organismo, organizzazione o associazione di cui al paragrafo 1 del presente articolo, indipendentemente dal mandato conferito dall’interessato, abbia il diritto di proporre, in tale Stato membro, un reclamo all’autorità di controllo competente, e di esercitare i diritti di cui agli articoli 78 e 79, qualora ritenga che i diritti di cui un interessato gode a norma del presente regolamento siano stati violati in seguito al trattamento». 11. L’articolo 82 del medesimo regolamento, intitolato «Diritto al risarcimento e responsabilità», ai paragrafi da 1 a 3 così dispone: «1.   Chiunque subisca un danno materiale o immateriale causato da una violazione del presente regolamento ha il diritto di ottenere il risarcimento del danno dal titolare del trattamento o dal responsabile del trattamento. 2.   Un titolare del trattamento coinvolto nel trattamento risponde per il danno cagionato dal suo trattamento che violi il presente regolamento. Un responsabile del trattamento risponde per il danno causato dal trattamento solo se non ha adempiuto gli obblighi del presente regolamento specificatamente diretti ai responsabili del trattamento o ha agito in modo difforme o contrario rispetto alle legittime istruzioni del titolare del trattamento. 3.   Il titolare del trattamento o il responsabile del trattamento è esonerato dalla responsabilità, a norma del paragrafo 2 se dimostra che l’evento dannoso non gli è in alcun modo imputabile». III. Procedimento principale, questioni pregiudiziali e procedimento dinanzi alla Corte 12. Nel mese di marzo 2023 TC, convenuto nel procedimento principale, un privato residente a Vienna ([OSCURATO:PERSONA]), si è abbonato alla newsletter della [OSCURATO:PERSONA] GmbH & Co. KG (in prosieguo: la «[OSCURATO:PERSONA]»), un’impresa di ottica a conduzione familiare con sede ad [OSCURATO:PERSONA] ([OSCURATO:PERSONA]). Egli ha inserito i propri dati personali nel modulo di iscrizione figurante sul sito Internet dell’impresa e ha espresso il suo consenso al trattamento di tali dati. Tredici giorni dopo, il convenuto nel procedimento principale ha presentato alla [OSCURATO:PERSONA] una richiesta di accesso ai sensi dell’articolo 15 del [OSCURATO:PERSONA]. 13. [OSCURATO:PERSONA] ha respinto tale domanda entro i termini, avendola ritenuta abusiva ai sensi dell’articolo 12, paragrafo 5, seconda frase, del [OSCURATO:PERSONA], e ha intimato al convenuto nel procedimento principale di rinunciarvi definitivamente. TC non ha ritirato la sua richiesta di accesso e vi ha allegato una domanda di risarcimento, ai sensi dell’articolo 82 di tale regolamento, per un importo pari a EUR 1000. 14. [OSCURATO:PERSONA] ha adito il giudice del rinvio chiedendo a quest’ultimo di dichiarare che il convenuto nel procedimento principale non aveva il diritto di chiedere un risarcimento. Essa ha sostenuto che da diversi resoconti online e contenuti di blog di avvocati emergeva che il convenuto nel procedimento principale presentava sistematicamente e abusivamente richieste di accesso al solo scopo di ottenere un risarcimento invocando una violazione del [OSCURATO:PERSONA] che esso causava deliberatamente secondo lo stesso schema: iscriversi a una newsletter, presentare prima una richiesta di accesso e successivamente una domanda di risarcimento. 15. Il 25 settembre 2023 il convenuto ha presentato una domanda riconvenzionale dinanzi al giudice del rinvio diretta a ottenere la condanna della [OSCURATO:PERSONA] a concedergli l’accesso alle informazioni relative al trattamento dei suoi dati e a versargli un risarcimento pecuniario del danno immateriale ai sensi dell’articolo 82 del [OSCURATO:PERSONA]. TC ha sostenuto che il diritto di accesso conferitogli dall’articolo 15 di tale regolamento può essere esercitato in modo incondizionato e che egli soggiornava regolarmente in [OSCURATO:PERSONA], cosicché aveva un interesse legittimo a iscriversi alla newsletter della [OSCURATO:PERSONA]. 16. Il giudice del rinvio ritiene che, alla luce del principio di trasparenza del trattamento dei dati personali, una limitazione del diritto di accesso nell’ambito di una prima richiesta dovrebbe rimanere eccezionale e che il fatto che l’intento del richiedente sia di poter successivamente ottenere il risarcimento del danno non può costituire un motivo sufficiente di diniego. Secondo tale giudice, tenuto conto del rischio che il titolare del trattamento possa abusare di tale possibilità di rifiuto, il ricorso a informazioni pubbliche dimostranti che l’interessato è autore di numerose richieste non può bastare, di per sé, a giustificare il rigetto della richiesta di accesso. 17. Per quanto riguarda il diritto al risarcimento, il giudice del rinvio ritiene che qualsiasi violazione del [OSCURATO:PERSONA] da parte del titolare del trattamento possa dare diritto a un risarcimento, anche in assenza di un trattamento di dati. L’interessato potrebbe quindi avere un diritto al risarcimento, ai sensi dell’articolo 82, paragrafo 1, del [OSCURATO:PERSONA], anche per effetto della violazione del suo diritto di accesso. 18. È in tale contesto che l’[OSCURATO:PERSONA] (Tribunale circoscrizionale di [OSCURATO:PERSONA], [OSCURATO:PERSONA]) ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali: «1) Se l’articolo 12, paragrafo 5, seconda frase, del [[OSCURATO:PERSONA]] debba essere interpretato nel senso che non può sussistere una richiesta eccessiva di accesso da parte dell’interessato quando viene presentata la prima richiesta al titolare del trattamento. 2) Se l’articolo 12, paragrafo 5, seconda frase, del [OSCURATO:PERSONA] debba essere interpretato nel senso che il titolare del trattamento può respingere una richiesta di accesso dell’interessato qualora quest’ultimo intenda dare origine, con detta richiesta, a domande di risarcimento nei confronti del titolare del trattamento. 3) Se l’articolo 12, paragrafo 5, seconda frase, del [OSCURATO:PERSONA] debba essere interpretato nel senso che informazioni sull’interessato accessibili al pubblico, che consentano di concludere che, in un gran numero di casi, nell’ipotesi di violazioni in materia di protezione dei dati, lo stesso interessato invoca diritti al risarcimento nei confronti del titolare del trattamento, possono giustificare il rifiuto di accesso. 4) Se l’articolo 4, punto 2, del [OSCURATO:PERSONA] debba essere interpretato nel senso che la richiesta di accesso di un interessato nei confronti del titolare del trattamento ai sensi dell’articolo 15, paragrafo 1, del [OSCURATO:PERSONA] e/o la risposta ad essa costituiscono un trattamento ai sensi dell’articolo 4, punto 2, del [OSCURATO:PERSONA]. 5) Se l’articolo 82, paragrafo 1, del [OSCURATO:PERSONA], alla luce del considerando 146, prima frase, del [OSCURATO:PERSONA], debba essere interpretato nel senso che possono essere risarciti solo i danni che l’interessato patisce o ha patito a causa di un trattamento. Se ciò implichi che, per avere diritto a un risarcimento ai sensi dell’articolo 82, paragrafo 1, del [OSCURATO:PERSONA] – supponendo l’interessato abbia patito un danno causale –, deve necessariamente essersi verificato un trattamento dei dati personali dell’interessato. 6) In caso di risposta positiva alla quinta questione, se ciò comporti che l’interessato – supponendo che sussista un danno causale – non abbia alcun diritto al risarcimento ai sensi dell’articolo 82, paragrafo 1, del [OSCURATO:PERSONA] per il solo fatto della violazione del suo diritto di accesso ai sensi dell’articolo 15, paragrafo 1, del [OSCURATO:PERSONA]. 7) Se l’articolo 82, paragrafo 1, del [OSCURATO:PERSONA] debba essere interpretato nel senso che l’eccezione di abuso di diritto sollevata dal titolare del trattamento in relazione a una richiesta di accesso dell’interessato, alla luce del diritto dell’Unione, non può consistere nel fatto che l’interessato ha causato il trattamento dei suoi dati personali al solo scopo o anche allo scopo di invocare un diritto al risarcimento. 8) In caso di risposta negativa alle questioni quinta e sesta, se la perdita del controllo e/o l’incertezza riguardo al trattamento dei dati personali dell’interessato risultanti da una violazione dell’articolo 15, paragrafo 1, del [OSCURATO:PERSONA] costituiscano, di per sé, un danno immateriale dell’interessato ai sensi dell’articolo 82, paragrafo 1, del [OSCURATO:PERSONA] o se occorra altresì la sussistenza di un’ulteriore limitazione (oggettiva o soggettiva) e/o di un pregiudizio (tangibile) nei confronti dell’interessato». 19. [OSCURATO:PERSONA], il convenuto nel procedimento principale e la Commissione europea hanno presentato osservazioni scritte e hanno partecipato all’udienza tenutasi il 5 giugno 2025. 20. Conformemente alla richiesta della Corte, le presenti conclusioni si concentreranno sull’analisi delle questioni pregiudiziali dalla prima alla settima. IV. Analisi A. Sulle questioni pregiudiziali prima, seconda, terza e settima 1. Sulla riformulazione delle questioni 21. Con le sue questioni prima, seconda e terza, che possono, a mio avviso, essere trattate congiuntamente, il giudice del rinvio chiede, in sostanza, se una prima richiesta di accesso possa essere qualificata come «eccessiva», ai sensi dell’articolo 12, paragrafo 5, seconda frase, del [OSCURATO:PERSONA], qualora l’interessato l’abbia presentata al fine di poter successivamente ottenere un risarcimento dal titolare del trattamento e ove risulti da informazioni accessibili al pubblico che, in presenza di una violazione del diritto alla protezione dei dati, l’interessato ha esercitato in molti casi il suo diritto al risarcimento nei confronti di un titolare del trattamento. 22. Con la sua settima questione, tale giudice chiede, in sostanza, se l’articolo 82, paragrafo 1, del [OSCURATO:PERSONA] debba essere interpretato nel senso che il fatto che l’interessato abbia causato il trattamento dei suoi dati personali al solo scopo o anche allo scopo di esercitare il suo diritto al risarcimento non può essere invocato dal titolare del trattamento per opporsi alla richiesta di accesso dell’interessato per abuso di diritto. 23. Sebbene tale questione riguardi formalmente l’interpretazione dell’articolo 82, paragrafo 1, del [OSCURATO:PERSONA], ritengo che essa non abbia lo scopo di interpretare le condizioni del diritto al risarcimento, sancito da tale disposizione. Infatti, essa non fa riferimento ad alcuna di tali condizioni, a differenza delle questioni pregiudiziali quarta, quinta, sesta e ottava, che vertono proprio su detta disposizione. Come è stata formulata, la settima questione pregiudiziale è volta, a mio avviso, a chiarire se un titolare del trattamento possa invocare il carattere eccessivo di una richiesta di accesso, ai sensi dell’articolo 12, paragrafo 5, seconda frase, di tale regolamento, qualora l’intento dell’interessato sia di «causare» il trattamento dei suoi dati al fine di avanzare domande di risarcimento. 24. Di conseguenza, si deve ritenere che, con la settima questione, il giudice del rinvio si riferisca allo «schema» addebitato dalla [OSCURATO:PERSONA] al convenuto nel procedimento principale, ossia il fatto di prestare il suo consenso al trattamento dei suoi dati iscrivendosi a una newsletter per poter presentare una richiesta di accesso e avanzare successivamente una domanda di risarcimento. Sotto tale profilo, detta questione riguarda l’interpretazione dell’articolo 12, paragrafo 5, seconda frase, del [OSCURATO:PERSONA], oggetto delle questioni pregiudiziali prima, seconda e terza. 25. Propongo pertanto di trattare congiuntamente le questioni pregiudiziali prima, seconda, terza e settima come dirette a stabilire se l’articolo 12, paragrafo 5, seconda frase, del [OSCURATO:PERSONA] debba essere interpretato nel senso che una prima richiesta di accesso, presentata ai sensi dell’articolo 15 di tale regolamento nei confronti di un titolare del trattamento, possa essere qualificata come «eccessiva» qualora: – l’interessato abbia prestato il proprio consenso al trattamento dei suoi dati per poter presentare tale richiesta di accesso e avanzare successivamente una domanda di risarcimento; – dalle informazioni accessibili al pubblico risulti che, in presenza di una violazione del diritto alla protezione dei dati, l’interessato ha esercitato in molti casi il suo diritto al risarcimento nei confronti di un titolare del trattamento. 2. Analisi a) Sul carattere eccessivo di una prima richiesta di accesso 26. Ai sensi dell’articolo 12, paragrafo 5, prima frase, del [OSCURATO:PERSONA], «[l]e informazioni fornite ai sensi degli articoli 13 e 14 ed eventuali comunicazioni e azioni intraprese ai sensi degli articoli da 15 a 22 e dell’articolo 34 sono gratuite». Come rilevato dalla Corte nella sentenza FT (Copia della cartella medica) ( 5 ), tale disposizione stabilisce il principio secondo cui l’esercizio, in particolare, del diritto di accesso dell’interessato ai suoi dati oggetto di trattamento e alle relative informazioni, ai sensi dell’articolo 15 di tale regolamento, non comporta spese per l’interessato. 27. L’articolo 12, paragrafo 5, seconda e terza frase, del [OSCURATO:PERSONA] prevede poi due motivi sulla base dei quali il titolare del trattamento può addebitare un contributo spese ragionevole tenendo conto dei costi amministrativi oppure rifiutare di soddisfare una richiesta di accesso: quando dimostra che le domande dell’interessato sono «manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo». 28. Dal tenore letterale di tale disposizione risulta quindi che una richiesta di accesso può essere «eccessiva» non solo in caso di presentazione di più richieste, poiché il carattere ripetitivo è indicato solo a titolo indicativo. 29. Sebbene non si possa quindi escludere, a mio avviso, che una prima richiesta di accesso possa essere considerata eccessiva, condivido nondimeno il parere del giudice del rinvio secondo cui un titolare del trattamento può invocare un siffatto carattere eccessivo solo in via eccezionale. 30. In primo luogo, nella misura in cui la seconda frase dell’articolo 12, paragrafo 5, del [OSCURATO:PERSONA] introduce un’eccezione al principio di gratuità dell’esercizio del diritto di accesso, la facoltà per il titolare del trattamento di addebitare un contributo spese ragionevole o di rifiutare di soddisfare una richiesta di accesso deve essere interpretata, secondo un principio generale di interpretazione ( 6 ), in modo restrittivo ( 7 ). 31. In secondo luogo, ricordo l’importanza fondamentale del diritto di accesso previsto all’articolo 15 del [OSCURATO:PERSONA] per garantire la trasparenza delle modalità di trattamento dei dati personali e, pertanto, l’esercizio di numerosi altri diritti riconosciuti agli interessati da tale regolamento ( 8 ). Inoltre, l’articolo 8, paragrafo 2, seconda frase, della Carta dei diritti fondamentali dell’Unione europea sancisce il principio secondo cui «[o]gni persona ha il diritto di accedere ai dati raccolti che la riguardano e di ottenerne la rettifica». Pertanto, l’esercizio del diritto di accesso non può essere soggetto a condizioni troppo rigorose ( 9 ). 32. Infatti, il diritto di accesso è necessario affinché l’interessato possa esercitare, se del caso, il suo diritto di rettifica, il suo diritto alla cancellazione («diritto all’oblio») e il suo diritto di limitazione di trattamento, riconosciuti, rispettivamente, agli articoli da 16 a 18 del [OSCURATO:PERSONA], il suo diritto di opposizione al trattamento dei suoi dati personali, previsto all’articolo 21 di tale regolamento, nonché il suo diritto a un ricorso giurisdizionale e il suo diritto al risarcimento del danno, sanciti, rispettivamente, agli articoli 79 e 82 di detto regolamento ( 10 ). 33. In terzo luogo, il carattere eccezionale della facoltà di addebitare un contributo spese ragionevole o di rifiutare di soddisfare una richiesta di accesso ai sensi dell’articolo 12, paragrafo 5, seconda frase, del [OSCURATO:PERSONA] è, a mio avviso, conforme alla finalità di tale regolamento. Come indicato dai suoi considerando 10 e 11, detto regolamento ha lo scopo di assicurare un livello coerente ed elevato di protezione delle persone fisiche all’interno dell’Unione nonché di rafforzare e disciplinare dettagliatamente non solo i diritti degli interessati ( 11 ), ma anche gli obblighi di coloro che effettuano e determinano il trattamento dei dati personali. 34. Alla luce di quanto precede, ritengo che i criteri per qualificare una prima richiesta di accesso come «eccessiva» debbano essere rigorosi. b) Sulle circostanze che consentono di qualificare una richiesta come «eccessiva» 35. Dalla sentenza FT ( 12 ) risulta che le due ragioni che introducono un’eccezione al principio di gratuità segnatamente dell’esercizio del diritto di accesso si riferiscono a casi di «abuso di diritto». 36. La Corte non ha tuttavia precisato la portata di tale nozione in detta sentenza. Infatti, in tale causa era pacifico che la richiesta di accesso presentata dall’interessato non fosse abusiva ( 13 ). 37. La sentenza FT aveva come contesto la richiesta di un paziente di ottenere gratuitamente, da parte del suo dentista, una prima copia della sua cartella medica al fine di far valere la responsabilità di tale medico a causa di presunti errori commessi durante il trattamento medico ( 14 ). L’intento del tutto legittimo del paziente era quindi di ottenere l’accesso ai suoi dati al fine di essere in grado di esercitare, eventualmente, i diritti previsti dal contratto di trattamento medico in caso di errori medici. È in tale contesto che la Corte ha concluso, sulla base di un’interpretazione letterale, contestuale e teleologica dell’articolo 12, paragrafo 5, e dell’articolo 15 del [OSCURATO:PERSONA], nel senso dell’assenza di necessità di invocare uno dei motivi specifici giustificanti la richiesta di accesso menzionati al considerando 63, prima frase, di tale regolamento, ossia di essere a conoscenza del trattamento dei dati e di verificarne la liceità ( 15 ). 38. Se è vero che l’interessato non può quindi essere tenuto a motivare la sua richiesta di accesso, ciò non significa che la presa in considerazione del suo intento sia sempre esclusa. 39. Infatti, nella sentenza [OSCURATO:PERSONA], la Corte ha dichiarato, basandosi su un’interpretazione letterale, contestuale e teleologica dell’articolo 57, paragrafo 4, del [OSCURATO:PERSONA], che l’accertamento dell’esistenza di reclami eccessivi richiede che sia dimostrata, alla luce di tutte le circostanze pertinenti di ciascun caso, l’esistenza di un intento abusivo da parte della persona che adisce l’autorità di controllo ( 16 ). 40. Osservo che l’articolo 57, paragrafo 4, e l’articolo 12, paragrafo 5, seconda frase, del [OSCURATO:PERSONA] hanno lo stesso tenore letterale e perseguono lo stesso obiettivo, ossia prevedere un’eccezione al principio di gratuità, rispettivamente, dei compiti svolti dalle autorità di controllo e dell’esercizio, in particolare, del diritto di accesso da parte dell’interessato. Di conseguenza, ritengo che l’interpretazione di cui al paragrafo precedente si applichi per analogia a detta ultima disposizione ( 17 ). 41. Ne consegue che, al fine di avvalersi della facoltà, sancita all’articolo 12, paragrafo 5, seconda frase, del [OSCURATO:PERSONA], di rifiutare di soddisfare una richiesta di accesso eccessiva — o, a seconda dei casi, di addebitare un contributo spese ragionevole –, il titolare del trattamento deve dimostrare, conformemente alla terza frase di tale disposizione, alla luce di tutte le circostanze pertinenti di ciascuna richiesta, un intento abusivo da parte dell’interessato. 42. L’abuso di diritto è un meccanismo che opera nelle circostanze del caso di specie. Pertanto, spetterà al giudice del rinvio verificare se, tenuto conto delle circostanze di cui trattasi nel caso di specie, la [OSCURATO:PERSONA] abbia dimostrato il carattere eccessivo della richiesta di accesso presentata dal convenuto nel procedimento principale ( 18 ). 43. Per contro, il compito interpretativo della Corte consiste nel chiarire se talune circostanze rientrino nella nozione giuridica generica di «carattere eccessivo». 44. In concreto, il giudice del rinvio chiede se una prima richiesta di accesso possa essere considerata eccessiva qualora, da un lato, l’interessato segua uno «schema» consistente nell’autorizzare il trattamento dei suoi dati e nel presentare successivamente una richiesta di accesso al solo scopo — o anche allo scopo — di avanzare domande di risarcimento, e qualora, dall’altro, da informazioni accessibili al pubblico risulti che, in presenza di una violazione del diritto alla protezione dei dati, l’interessato ha esercitato in molti casi il suo diritto al risarcimento nei confronti di un titolare del trattamento. 45. A tal riguardo, la Corte ha rilevato, nella sentenza [OSCURATO:PERSONA], che l’articolo 57, paragrafo 4, del [OSCURATO:PERSONA] riflette la giurisprudenza costante della Corte vertente sul principio generale di diritto secondo cui i soggetti dell’ordinamento non possono avvalersi fraudolentemente o abusivamente delle norme dell’Unione ( 19 ). Tale giurisprudenza prevede un esame in due fasi che richiede, per accertare l’esistenza di una pratica abusiva, la sussistenza di un elemento oggettivo e di un elemento soggettivo ( 20 ). Orbene, come ho già avuto occasione di esporre ( 21 ), quando lo scopo perseguito dalla normativa dell’Unione risulta a priori raggiunto, è opportuno iniziare l’analisi non già dall’elemento oggettivo, bensì dall’elemento soggettivo, e, quindi, determinare l’intento dell’interessato. Dato che l’articolo 15 del RGDP mira a garantire l’accesso ai dati oggetto di trattamento e alle informazioni ad essi relative, tale obiettivo sembra, nel caso di specie, essere raggiunto a priori in quanto il convenuto nel procedimento principale ha presentato una richiesta di accesso ai dati trattati a seguito della sua iscrizione alla newsletter della [OSCURATO:PERSONA]. 46. Nella sentenza [OSCURATO:PERSONA], la Corte ha rilevato, al fine di interpretare la nozione di «carattere eccessivo» di un reclamo, che un intento abusivo nell’esercizio del diritto di reclamo può essere accertato «quando una persona propone reclami senza che ciò sia oggettivamente necessario alla protezione dei diritti che gli derivano [dal [OSCURATO:PERSONA]]» ( 22 ). Sulla base delle circostanze specifiche di ciascun caso, incombe quindi all’autorità di controllo investita di un elevato numero di reclami dimostrare che «tale numero si spiega non già con la volontà dell’interessato di ottenere una protezione dei diritti che gli derivano dal [OSCURATO:PERSONA], ma per una finalità di altra natura, scollegata da tale protezione» ( 23 ). 47. Tornando al diritto di accesso e, in primo luogo, all’intento dell’interessato di «causare» un diritto al risarcimento presentando una richiesta di accesso, rilevo, come risulta dal considerando 63 del [OSCURATO:PERSONA], che può essere del tutto legittimo e conforme agli obiettivi perseguiti dall’articolo 15 del [OSCURATO:PERSONA] presentare, ad esempio, una richiesta di accesso al fine di verificare se il titolare del trattamento abbia trattato i dati in modo illecito ( 24 ). Inoltre, come risulta dal paragrafo 32 delle presenti conclusioni, il diritto di accesso è necessario per consentire all’interessato di esercitare, se del caso, anche il suo diritto al risarcimento. 48. In secondo luogo, rilevo che la motivazione della settima questione pregiudiziale, per quanto riguarda l’intento dell’interessato di «causare» un trattamento dei suoi dati personali al solo scopo — o anche allo scopo — di ottenere un risarcimento, è molto succinta. Tale motivazione allude piuttosto all’ipotesi secondo cui il vero intento dell’interessato che ha prestato il suo consenso a un trattamento dei suoi dati sarebbe quello di «individuare» una violazione del [OSCURATO:PERSONA] presentando una richiesta di accesso al fine di avanzare successivamente domande di risarcimento. 49. Per quanto riguarda tale ipotesi, sembra, a mio avviso, che, presentando una richiesta di accesso dopo aver prestato il proprio consenso al trattamento dei suoi dati, l’interessato desideri, in realtà, non già avere accesso a tali dati o alle informazioni di cui all’articolo 15 del [OSCURATO:PERSONA], bensì strumentalizzare la configurazione — a priori favorevole agli interessati — dei diritti e degli obblighi derivanti da tale regolamento a fini diversi dalla protezione dei suoi dati. 50. Ciò può verificarsi, in particolare, qualora l’intento dell’interessato sia proprio quello di indurre il titolare del trattamento a respingere la richiesta di accesso per esigere da parte sua il versamento immediato di un indennizzo, eventualmente con la minaccia di avanzare una domanda giudiziale diretta a un risarcimento. Tenuto conto di tali circostanze, un siffatto intento sarebbe, a mio avviso, abusivo e non dovrebbe essere tutelato dal [OSCURATO:PERSONA]. In tal senso si iscrivono anche gli esempi di ricorsi abusivi citati nelle linee guida del Comitato europeo per la protezione dei dati ( 25 ). 51. In terzo luogo, per quanto riguarda la circostanza secondo cui risulta da informazioni accessibili al pubblico che, in presenza di una violazione del diritto alla protezione dei dati , l’interessato ha esercitato in molti casi il suo diritto al risarcimento nei confronti di un titolare del trattamento, ritengo che essa non sia di per sé sufficiente, in assenza di altri elementi, a dimostrare un intento abusivo. L’articolo 82 del [OSCURATO:PERSONA] conferisce proprio il diritto di chiedere il risarcimento del danno in presenza di violazioni di tale regolamento, cosicché l’esercizio di tale diritto non può essere presunto abusivo. 52. Osservo che neppure il mero fattore quantitativo delle domande è stato ritenuto dalla Corte, nella sentenza [OSCURATO:PERSONA], un criterio sufficiente per dimostrare un carattere «eccessivo». La Corte è giunta a tale conclusione procedendo a un’interpretazione di tale nozione tenendo conto del contesto specifico dei compiti svolti dalle autorità di controllo per garantire un livello elevato di protezione dei dati personali ( 26 ). Le circostanze oggettive da prendere in considerazione non sono dunque, a mio avviso, le stesse per i reclami e le richieste di accesso, dal momento che queste ultime non sono rivolte all’autorità di controllo. 53. A tal riguardo, osservo che il titolare del trattamento deve dimostrare un intento abusivo in caso di controversia dinanzi a un giudice o in caso di reclamo dinanzi all’autorità di controllo, ossia dopo aver rifiutato di soddisfare la richiesta dell’interessato. Tuttavia, è nella fase di presentazione della richiesta di accesso da parte dell’interessato che il titolare deve valutare se l’intento della persona che presenta una richiesta di accesso sia, se del caso, abusivo. 54. Pertanto, al fine di dimostrare, alla luce di tutte le circostanze pertinenti del caso di specie, l’intento abusivo dell’interessato, il titolare del trattamento dovrebbe potersi basare, in particolare, sull’oggetto della richiesta di accesso, sul tempo trascorso tra il consenso al trattamento e tale richiesta, sul numero e sulla natura dei dati personali oggetto di detta richiesta nonché sull’attività nell’ambito della quale esso tratta, se del caso, tali dati ( 27 ). 55. Alla luce delle considerazioni che precedono, propongo di rispondere alle questioni pregiudiziali prima, seconda, terza e settima dichiarando che l’articolo 12, paragrafo 5, seconda frase, del [OSCURATO:PERSONA] deve essere interpretato nel senso che: – una prima richiesta di accesso, presentata ai sensi dell’articolo 15 del [OSCURATO:PERSONA] nei confronti di un titolare del trattamento, può essere qualificata come «eccessiva» qualora quest’ultimo dimostri, tenuto conto di tutte le circostanze pertinenti del caso di specie, un intento abusivo da parte dell’interessato, intento che può essere constatato qualora tale persona abbia prestato il suo consenso al trattamento dei suoi dati personali per poter presentare tale richiesta di accesso e avanzare successivamente una domanda di risarcimento; – non è sufficiente, per qualificare come «eccessiva» una siffatta richiesta, il solo fatto che da informazioni accessibili al pubblico risulti che, nell’ipotesi di violazioni del diritto alla protezione dei dati, l’interessato ha esercitato in molti casi il suo diritto al risarcimento nei confronti di un titolare del trattamento. B. Sulle questioni pregiudiziali quarta, quinta e sesta 1. Sull’ordine di analisi delle questioni e sulla loro riformulazione 56. Anzitutto, sottolineo che, se il giudice del rinvio dovesse concludere che la richiesta di accesso era eccessiva, ai sensi dell’articolo 12, paragrafo 5, seconda frase, del [OSCURATO:PERSONA], la [OSCURATO:PERSONA] avrebbe effettivamente il diritto di non soddisfare tale richiesta. In tal caso, l’argomento del convenuto nel procedimento principale vertente su una violazione dell’articolo 15 del [OSCURATO:PERSONA] al fine di ottenere un diritto al risarcimento ai sensi dell’articolo 82 di tale regolamento non può essere accolto. 57. Ciò premesso, con la sua quarta questione, il giudice del rinvio chiede se l’articolo 4, punto 2, del [OSCURATO:PERSONA] debba essere interpretato nel senso che la richiesta di accesso dell’interessato nei confronti del titolare del trattamento ai sensi dell’articolo 15, paragrafo 1, di tale regolamento e/o la risposta a tale richiesta costituiscano un «trattamento» ai sensi dell’articolo 4, punto 2, di detto regolamento. 58. Con la sua quinta questione, tale giudice chiede, in sostanza, se l’articolo 82, paragrafo 1, del [OSCURATO:PERSONA] debba essere interpretato nel senso che possono dar luogo a risarcimento solo i danni subiti dall’interessato a causa di un trattamento dei suoi dati personali. In caso di risposta affermativa, detto giudice chiede, con la sua sesta questione, se l’articolo 82, paragrafo 1, di tale regolamento non conferisca all’interessato un diritto al risarcimento del danno subito a causa unicamente della violazione del diritto di accesso previsto all’articolo 15, paragrafo 1, di detto regolamento. 59. Per quanto riguarda la quinta questione pregiudiziale, essa costituisce, a mio avviso, la premessa delle questioni pregiudiziali quarta e sesta. Infatti, è solo nell’ipotesi in cui la responsabilità per il danno di cui all’articolo 82, paragrafo 1, del [OSCURATO:PERSONA] sia subordinata alla condizione che tale danno sia stato subito «a causa» di un trattamento, come definito all’articolo 4, punto 2, di tale regolamento, che occorre chiarire se, in caso di violazione del diritto di accesso sancito all’articolo 15, paragrafo 1, di detto regolamento, tale condizione sia soddisfatta. 60. Pertanto, esaminerò anzitutto la quinta questione pregiudiziale e, se del caso, le questioni pregiudiziali quarta e sesta congiuntamente, al fine di stabilire se l’articolo 82, paragrafo 1, del [OSCURATO:PERSONA] debba essere interpretato nel senso che un danno subito a causa di una violazione del diritto di accesso è «causato da un trattamento» dei dati. 2. Analisi a) Sul fatto generatore del danno ai sensi dell’articolo 82 del [OSCURATO:PERSONA] 61. L’articolo 82, paragrafo 1, del [OSCURATO:PERSONA] dispone che: «[c]hiunque subisca un danno materiale o immateriale causato da una violazione del presente regolamento ha il diritto di ottenere il risarcimento del danno dal titolare del trattamento o dal responsabile del trattamento» ( 28 ). 62. La Corte ha ripetutamente interpretato tale disposizione nel senso che la mera violazione del [OSCURATO:PERSONA] non è sufficiente a conferire all’interessato un diritto al risarcimento su tale base, dal momento che tale diritto è subordinato al soddisfacimento di tre condizioni cumulative, ossia l’esistenza di un «danno» materiale o immateriale, una violazione di disposizioni di tale regolamento e un nesso di causalità tra detto danno e tale violazione ( 29 ). 63. Il giudice del rinvio nutre tuttavia dubbi per quanto riguarda il considerando 146 del [OSCURATO:PERSONA], il quale enuncia che il titolare del trattamento o il responsabile del trattamento dovrebbe risarcire i danni cagionati a una persona da un trattamento non conforme a detto regolamento . Occorre constatare che, come spesso avviene ( 30 ), tale considerando trova altresì riscontro nel testo stesso di detto regolamento, ossia all’articolo 82, paragrafo 2, di quest’ultimo, il quale prevede, in particolare, che un titolare del trattamento coinvolto nel trattamento risponde per il danno cagionato dal suo trattamento che violi il medesimo regolamento . 64. Inoltre, il paragrafo 3 di tale disposizione prevede che il titolare del trattamento o, a seconda dei casi, il responsabile del trattamento, è esonerato dalla sua responsabilità ai sensi del paragrafo 2 se dimostra che l’evento dannoso non gli è in alcun modo imputabile. 65. La lettura di tali disposizioni pone effettivamente difficoltà di comprensione in merito al loro rapporto reciproco e alla portata dell’articolo 82 del [OSCURATO:PERSONA]. 66. Tenuto conto del tenore letterale dell’articolo 82 del [OSCURATO:PERSONA], si potrebbe comprendere che, a differenza di quanto previsto dal paragrafo 1 di tale articolo, non tutte le violazioni di tale regolamento diano diritto al risarcimento del danno da esse causato, ma che il danno debba, più precisamente, essere stato causato da un trattamento dei dati non conforme a tale regolamento, come indicato al paragrafo 2 del medesimo articolo. 67. Tale interpretazione mi sembra essere quella fornita dalla Corte in varie sentenze, a cominciare dalla sentenza [OSCURATO:PERSONA] (Danno immateriale inerente al trattamento di dati personali) ( 31 ). Tuttavia, preciso che, nelle cause che hanno dato luogo a tali sentenze, un trattamento dei dati degli interessati aveva effettivamente avuto luogo, cosicché la questione della necessità di un trattamento che avesse causato il danno non era pertinente. 68. Orbene, la genesi, gli obiettivi e il contesto dell’articolo 82 del [OSCURATO:PERSONA] depongono, a mio avviso, a sfavore di una lettura restrittiva della nozione di «fatto generatore» del danno come trattamento dei dati non conforme a tale regolamento, e non come qualsiasi violazione di quest’ultimo. 69. In primo luogo, osservo che la corrispondente disposizione della direttiva 95/46/CE ( 32 ), ossia l’articolo 23 della stessa, imponeva agli [OSCURATO:PERSONA] membri di disporre che chiunque avesse subito un danno cagionato da un trattamento illecito o da qualsiasi altro atto incompatibile con le disposizioni nazionali di attuazione di detta direttiva avesse il diritto di ottenere il risarcimento del pregiudizio subito dal responsabile del trattamento . 70. Il legislatore dell’Unione, all’articolo 82 del [OSCURATO:PERSONA], ha quindi, da un lato, precisato la natura del danno subito (materiale o immateriale) e, dall’altro, ha introdotto la responsabilità in capo al responsabile del trattamento, che non figurava all’articolo 23 della direttiva 95/46. 71. Orbene, se l’articolo 82, paragrafo 1, del [OSCURATO:PERSONA] dovesse essere letto nel senso indicato al paragrafo 66 delle presenti conclusioni, ciò implicherebbe che il legislatore dell’Unione abbia limitato, rispetto a tale direttiva, la portata della responsabilità per danni nel [OSCURATO:PERSONA] al solo atto illecito consistente in un trattamento di dati in violazione di tale regolamento. Orbene, ritengo che se il legislatore avesse inteso ridurre il livello di protezione dei dati nell’ambito del private enforcement ai sensi di detto regolamento, ciò si rifletterebbe in modo più chiaro nel testo stesso di quest’ultimo. 72. In secondo luogo, il fatto di inficiare il livello di protezione sarebbe contrario all’obiettivo del [OSCURATO:PERSONA] di consolidare e precisare i diritti degli interessati, in particolare rafforzando gli strumenti per garantire l’efficacia delle disposizioni di tale regolamento ( 33 ). 73. Pertanto, la genesi e l’obiettivo della normativa in cui si inserisce l’articolo 82 del [OSCURATO:PERSONA] depongono, a mio avviso, a favore di una lettura del paragrafo 2 di tale articolo non come limitazione del paragrafo 1, bensì come norma complementare. Dunque, ritengo che un diritto al risarcimento sussista qualora il danno subito derivi o da un trattamento dei dati che violi tale regolamento, oppure da un’altra violazione di detto regolamento, a condizione che sia dimostrata l’esistenza di un siffatto danno. 74. Tale lettura è altresì compatibile con la conclusione che la Corte ha tratto dal combinato disposto dei paragrafi da 1 a 3 dell’articolo 82 del [OSCURATO:PERSONA], alla luce del contesto in cui si inserisce tale disposizione e degli obiettivi perseguiti da tale regolamento, ossia che tale articolo prevede un regime di responsabilità per colpa ai sensi del quale l’onere della prova grava sul titolare del trattamento ( 34 ). Infatti, poiché, a mio avviso, il paragrafo 2 dell’articolo 82 di detto regolamento completa il paragrafo 1, il rinvio a tale paragrafo 2 da parte del paragrafo 3, ai sensi del quale l’onere della prova grava sul titolare del trattamento, contiene implicitamente un rinvio anche al paragrafo 1. Pertanto, indipendentemente dal fatto che il danno derivi da una violazione del [OSCURATO:PERSONA] o, più specificamente, da un trattamento non conforme a tale regolamento, si applicano le stesse norme. 75. In terzo luogo, tale conclusione è corroborata dal fatto che la Corte ha interpretato in modo piuttosto ampio altre disposizioni del [OSCURATO:PERSONA] che figurano, al pari dell’articolo 82 di tale regolamento, nel capo VIII di quest’ultimo, intitolato «Mezzi di ricorso, responsabilità e sanzioni», e che menzionano una violazione dei diritti conferiti da detto regolamento «in seguito al trattamento». Per quanto riguarda l’articolo 80, paragrafo 2, del medesimo regolamento, che disciplina la legittimazione ad agire mediante un’azione rappresentativa indipendentemente dal mandato conferito dall’interessato, la Corte ha interpretato tale disposizione nel senso che si deve sostenere che la violazione dei diritti conferiti dal [OSCURATO:PERSONA] «interviene in occasione» di un trattamento ( 35 ). 76. Peraltro, l’articolo 79, paragrafo 1, del [OSCURATO:PERSONA] prevede che ogni interessato abbia il diritto di proporre un ricorso giurisdizionale effettivo qualora ritenga che i diritti di cui gode a norma di tale regolamento siano stati violati a seguito di un trattamento . Secondo la giurisprudenza della Corte, le modalità concrete di esperimento di tale mezzo di ricorso devono essere stabilite conformemente al diritto a un ricorso giurisdizionale effettivo ( 36 ), come risulta altresì dal considerando 141 del medesimo regolamento. L’obiettivo della tutela giurisdizionale effettiva dei diritti derivanti dal [OSCURATO:PERSONA] depone, a mio avviso, a sfavore di una lettura restrittiva delle condizioni di esperimento di detto ricorso, tra cui la violazione dei diritti dell’interessato «a seguito di un trattamento» ( 37 ). 77. Alla luce delle considerazioni che precedono, propongo di rispondere alla quinta questione pregiudiziale dichiarando che l’articolo 82, paragrafo 1, del [OSCURATO:PERSONA] deve essere interpretato nel senso che possono dar luogo a risarcimento i danni subiti dall’interessato a causa di una violazione di tale regolamento, anche se tali danni non sono stati causati da un trattamento dei dati personali dell’interessato. b) Sulla nozione di «trattamento» ai fini del diritto al risarcimento 78. Tenuto conto della mia proposta di risposta alla quinta questione pregiudiziale, non occorre rispondere alle questioni pregiudiziali quarta e sesta. Tuttavia, nel caso in cui la Corte non seguisse tale interpretazione e ritenesse che il danno debba necessariamente essere stato causato da un trattamento dei dati costituente una violazione del [OSCURATO:PERSONA], esaminerò in che misura la condizione di cui alla quinta questione pregiudiziale ( 38 ) sarebbe soddisfatta nel caso di una violazione del diritto di accesso in una situazione come quella del caso di specie, al fine di fornire una proposta di risposta a tali due questioni. 79. In primo luogo, ricordo che l’articolo 2, paragrafo 1, del [OSCURATO:PERSONA] prevede che tale regolamento si applichi al «trattamento» di dati personali. È pacifico che tale nozione, definita all’articolo 4, punto 2, di detto regolamento come «qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali», ha una portata ampia ( 39 ). 80. In secondo luogo, tenuto conto dell’ampia portata di detta nozione, nella maggior parte dei casi non si pone neppure, a mio avviso, la questione se una violazione del [OSCURATO:PERSONA] comportante responsabilità, ai sensi dell’articolo 82 di quest’ultimo, derivi da un trattamento di dati personali. Tale conclusione non è tuttavia evidente per quanto riguarda la violazione del diritto di accesso ai sensi dell’articolo 15, paragrafo 1, di tale regolamento. 81. Occorre ricordare che l’articolo 15, paragrafo 1, del [OSCURATO:PERSONA] prevede che l’interessato abbia il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e, in tal caso , di ottenere l’accesso a detti dati e alle informazioni elencate in tale disposizione. Inoltre, il considerando 60 di tale regolamento enuncia che i principi di trattamento corretto e trasparente implicano che l’interessato sia informato dell’esistenza del trattamento e delle sue finalità. 82. Ne consegue che l’articolo 15 del [OSCURATO:PERSONA] mira, come sostiene, in sostanza, la Commissione, a consentire all’interessato di informarsi sul trattamento di cui sono – o non sono – stati oggetto i suoi dati personali da parte del titolare del trattamento . Pertanto, il fatto di presentare una richiesta di accesso a tali dati nei confronti del titolare del trattamento non costituisce un «trattamento» rientrante nell’ambito di applicazione di detto regolamento, ai sensi dell’articolo 4, punto 2, di quest’ultimo. 83. In terzo luogo, sottolineo che la presente causa riguarda il rifiuto, da parte del titolare del trattamento, che gestisce la newsletter al quale il convenuto nel procedimento principale si è iscritto, di soddisfare la richiesta di accesso che il convenuto ha presentato. Orbene, al fine di rispondere (in senso affermativo o negativo) a una siffatta richiesta, il titolare del trattamento utilizza necessariamente taluni dati personali del richiedente, quantomeno un indirizzo fisico o di posta elettronica oppure un numero di telefono (in caso di risposta telefonica/via fax) associati al suo nome. L’utilizzo di tali dati costituisce un’operazione di trattamento distinta alla quale è applicabile il [OSCURATO:PERSONA] ( 40 ). 84. Orbene, ritengo che non sarebbe il trattamento dei dati effettuato al fine di comunicare tale rifiuto a causare un danno, bensì il rifiuto ingiustificato di soddisfare una richiesta di accesso. 85. Come correttamente sostenuto dalla Commissione, la tutela giuridica del diritto di accesso, che riveste un’importanza strutturale nel sistema del [OSCURATO:PERSONA], sarebbe quindi limitata in modo significativo se una siffatta violazione del diritto di accesso non potesse dar luogo a un diritto al risarcimento. 86. Pertanto, al fine di garantire il conseguimento degli obiettivi perseguiti dal RPGD, enunciati ai paragrafi 33 e 72 delle presenti conclusioni, nonché l’effetto utile del diritto di accesso, ritengo che, pur essendo imperativa, la condizione di cui all’articolo 82, paragrafo 2, di tale regolamento, relativa al trattamento che ha causato il danno, debba essere interpretata in modo estensivo. Una soluzione del genere equivarrebbe a concepire una nozione ampia della causalità, ai sensi dell’articolo 82 di detto regolamento. Un argomento a favore di tale interpretazione è dato dal fatto che, nel contesto dei mezzi di ricorso, una lettura restrittiva delle condizioni di esperimento di tali ricorsi contrasterebbe con l’obiettivo della tutela giurisdizionale effettiva dei diritti derivante dal [OSCURATO:PERSONA] ( 41 ). c) Sull’esistenza di un danno immateriale 87. Per quanto riguarda l’interpretazione che propongo di attribuire al termine «fatto generatore», preciso che essa non pregiudica in alcun modo le altre condizioni richieste per far valere, in caso di violazione dell’articolo 15 del [OSCURATO:PERSONA], un diritto al risarcimento ai sensi dell’articolo 82 di tale regolamento. In particolare, una persona colpita da una violazione del [OSCURATO:PERSONA] è tenuta a dimostrare che le conseguenze negative da essa subite costituiscono un danno immateriale, ai sensi dell’articolo 82 di tale regolamento, qualora la mera violazione delle disposizioni di quest’ultimo non sia sufficiente a conferire un diritto al risarcimento ( 42 ). 88. Peraltro, la risposta che propongo di fornire alla quinta questione pregiudiziale richiederà di rispondere anche all’ottava questione pregiudiziale, vertente sul danno immateriale risarcibile a causa della perdita del controllo sui dati personali a seguito della violazione dell’articolo 15, paragrafo 1, del [OSCURATO:PERSONA] o dell’esistenza di un’incertezza quanto all’eventuale trattamento di detti dati. 89. A tal riguardo, desidero osservare, sebbene l’ottava questione non sia oggetto delle presenti conclusioni, che la Corte ha più volte considerato che la perdita di controllo su dati personali, anche per un breve lasso di tempo, può costituire un danno immateriale, ai sensi dell’articolo 82, paragrafo 1, del [OSCURATO:PERSONA], che dà diritto al risarcimento, a condizione che l’interessato dimostri di aver effettivamente subito un siffatto danno ( 43 ), senza che sia richiesta una «soglia de minimis » ( 44 ). 90. Tuttavia, la Corte ha altresì dichiarato che, qualora si configuri un danno, un giudice nazionale può, in caso di non gravità di quest’ultimo, compensarlo accordando all’interessato un risarcimento minimo, a condizione che detto risarcimento sia tale da compensare integralmente il danno subito ( 45 ). 91. Nel caso di specie, il convenuto nel procedimento principale chiede il versamento di un risarcimento di EUR 1000 per il danno immateriale subito che, a suo avviso, deriverebbe dall’asserita perdita di controllo sui dati personali che ha inserito nel modulo di iscrizione alla newsletter della [OSCURATO:PERSONA] tredici giorni prima della presentazione della richiesta di accesso. Spetta al giudice del rinvio valutare se il convenuto nel procedimento principale abbia dimostrato che tale eventuale violazione del diritto di accesso abbia avuto conseguenze negative nei suoi confronti e che tali conseguenze costituiscano un danno immateriale, ai sensi dell’articolo 82 del [OSCURATO:PERSONA]. V. Conclusione 92. In considerazione di tutte le considerazioni che precedono, propongo alla Corte di rispondere come segue alle questioni pregiudiziali dalla prima alla settima sollevate dall’[OSCURATO:PERSONA] (Tribunale circoscrizionale di [OSCURATO:PERSONA], [OSCURATO:PERSONA]): 1) L’articolo 12, paragrafo 5, seconda frase, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE dev’essere interpretato nel senso che: – una prima richiesta di accesso, presentata ai sensi dell’articolo 15 del regolamento 2016/679 nei confronti di un titolare del trattamento, può essere qualificata come «eccessiva» qualora quest’ultimo dimostri, tenuto conto di tutte le circostanze pertinenti del caso di specie, un intento abusivo da parte dell’interessato, il quale può essere constatato qualora tale persona abbia prestato il suo consenso al trattamento dei suoi dati personali per poter presentare detta richiesta di accesso e avanzare in seguito una domanda di risarcimento; – non è sufficiente, per qualificare come «eccessiva» una siffatta richiesta, il solo fatto che da informazioni accessibili al pubblico risulti che, in presenza di una violazione del diritto alla protezione dei dati, l’interessato abbia esercitato in molti casi il suo diritto al risarcimento nei confronti di un titolare del trattamento. 2) L’articolo 82, paragrafo 1, del regolamento 2016/679 dev’essere interpretato nel senso che: possono dar luogo a risarcimento i danni subiti dall’interessato a causa di una violazione di tale regolamento, anche se tali danni non sono stati causati da un trattamento dei dati personali dell’interessato. ( 1 ) Lingua originale: il francese. ( 2 ) V. Basedow, J., EU [OSCURATO:PERSONA] – Anatomy of a [OSCURATO:PERSONA], [OSCURATO:PERSONA], Cambridge, 2021, punti 98 e 99. ( 3 ) V., ad esempio, in materia di contratti di credito ai consumatori, sentenza del 21 dicembre 2023, BMW [OSCURATO:PERSONA] e a. ( C‑38/21, C‑47/21 e C‑232/21 , EU:C:2023:1014 , punti da 280 a 282 e giurisprudenza citata). ( 4 ) Regolamento del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) ( GU 2016, L 119, pag. 1 ). ( 5 ) Sentenza del 26 ottobre 2023 (C‑307/22; in prosieguo: la «sentenza FT, EU:C:2023:811 , punto 31 ). ( 6 ) V., in tal senso, sentenza del 30 aprile 2025, [OSCURATO:PERSONA] am Main (Esportazione di denaro contante in Russia) ( C‑246/24 , EU:C:2025:295 , punto 27 e giurisprudenza citata). ( 7 ) V., per analogia, per quanto riguarda l’articolo 57, paragrafo 4, del [OSCURATO:PERSONA], sentenza del 9 gennaio 2025, [OSCURATO:PERSONA] (Richieste eccessive) (C‑416/23; in prosieguo: la «sentenza [OSCURATO:PERSONA], EU:C:2025:3 , punti 33 e 48 ). ( 8 ) V., in tal senso, sentenza del 22 giugno 2023, Pankki S ( C‑579/21 , EU:C:2023:501 , punto 59 ). ( 9 ) V., in tal senso, conclusioni dell’avvocato generale Richard de la Tour nella causa [OSCURATO:PERSONA] (Richieste eccessive) ( C‑416/23 , EU:C:2024:701 , paragrafo 62 ). ( 10 ) Sentenza del 27 febbraio 2025, Dun & [OSCURATO:PERSONA] e a. ( C‑203/22 , EU:C:2025:117 , punto 54 e giurisprudenza citata). ( 11 ) V., in tal senso, sentenza FT (punto 47), e sentenza [OSCURATO:PERSONA] (punto 38). ( 12 ) Punto 31. ( 13 ) Punti 31 e 32. ( 14 ) Punti 18 e 23. ( 15 ) Sentenza FT (punti da 35 a 51 e, in particolare, punti 38, 43, 50 e 51). La Corte ha confermato tale lettura nell’ordinanza del 27 maggio 2024, [OSCURATO:PERSONA] ( C‑312/23 , EU:C:2024:458 ), vertente sul rifiuto di una banca di comunicare ai suoi clienti, tra cui alcuni che intendevano proporre un reclamo o un’azione giudiziaria contro tale banca, le copie della documentazione creditizia che li riguardava. ( 16 ) V., in tal senso, sentenza [OSCURATO:PERSONA] (punto 50). ( 17 ) La Corte ha già applicato per analogia, al punto 48 della sentenza [OSCURATO:PERSONA], l’interpretazione accolta al punto 31 della sentenza FT. ( 18 ) V., per analogia, sentenza del 12 gennaio 2023, [OSCURATO:PERSONA] (Informazioni relative ai destinatari di dati personali) ( C‑154/21 , EU:C:2023:3 , punto 50 ). ( 19 ) [OSCURATO:PERSONA] (punto 49). ( 20 ) V., ad esempio, in cause di diritto privato, sentenze del 21 dicembre 2023, BMW [OSCURATO:PERSONA] e a. ( C‑38/21, C‑47/21 e C‑232/21 , EU:C:2023:1014 , punti 284 e 285 e giurisprudenza citata), nonché del 19 settembre 2024, Matmut ( C‑236/23 , EU:C:2024:761 , punto 54 ). ( 21 ) V. mie conclusioni nella causa Matmut ( C‑236/23 , EU:C:2024:560 , paragrafo 67 ). ( 22 ) [OSCURATO:PERSONA] (punto 50). ( 23 ) V., in tal senso, sentenza [OSCURATO:PERSONA] (punto 56). ( 24 ) V., in particolare, sentenza del 4 maggio 2023, [OSCURATO:PERSONA] et CRIF ( C‑487/21 , EU:C:2023:369 , punti da 33 a 35 ). ( 25 ) Vale a dire, quando gli interessati fanno uso eccessivo del diritto di accesso al solo scopo di recare pregiudizio al responsabile del trattamento o quando l’interessato presenta una domanda, ma contemporaneamente si offre di ritirarla in cambio di qualche forma di vantaggio concesso dal titolare del trattamento; cfr. linee guida 01/2022 sui diritti degli interessati – Diritto di accesso, versione 2.1, adottate il 28 marzo 2023, https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-012022-data-subject-rights-right-access_it, punti 188 e 190. ( 26 ) V., in tal senso, sentenza [OSCURATO:PERSONA] (punti da 51 a 57). ( 27 ) Cfr. anche gli esempi contenuti nelle linee guida 1/2022 del Comitato europeo per la protezione dei dati sui diritti degli interessati – Diritto di accesso, versione 2.1, adottate il 28 marzo 2023, https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-012022-data-subject-rights-right-access_it, punti 13, 185, 188 e 190. ( 28 ) Il corsivo è mio. ( 29 ) V., in tal senso, sentenza del 4 maggio 2023, [OSCURATO:PERSONA] (Danno materiale inerente al trattamento di dati personali) ( C‑300/21 , EU:C:2023:370 , punti da 32 a 34 ) e, da ultimo, sentenza del 4 ottobre 2024, Patērētāju tiesību aizsardzības centrs ( C‑507/23 , EU:C:2024:854 , punto 24 ). ( 30 ) V., a tal riguardo, le mie conclusioni nelle cause riunite X e Visser ( C‑360/15 e C‑31/16 , EU:C:2017:397 , paragrafo 132 ). ( 31 ) Al punto 36 della sentenza del 4 maggio 2023, [OSCURATO:PERSONA] (Danno immateriale inerente al trattamento di dati personali) ( C‑300/21 , EU:C:2023:370 ), la Corte ha dichiarato che «(...) l’articolo 82, paragrafo 2, del [OSCURATO:PERSONA], che precisa il regime di responsabilità il cui principio è stabilito al paragrafo 1 di tale articolo, riprende le tre condizioni necessarie per far sorgere il diritto al risarcimento, ossia un trattamento di dati personali effettuato in violazione delle disposizioni del [OSCURATO:PERSONA], un danno o un pregiudizio subito dall’interessato, e un nesso di causalità tra tale trattamento illecito e tale danno» (il corsivo è mio). Tale interpretazione è stata ripresa al punto 159 della sentenza del 4 ottobre 2024, Agentsia po vpisvaniyata ( C‑200/23 , EU:C:2024:827 ). V. anche sentenza del 21 dicembre 2023, [OSCURATO:PERSONA] ( C‑667/21 , EU:C:2023:1022 , punti da 92 a 97 ), che non sembra distinguere tra la violazione del [OSCURATO:PERSONA] e il trattamento che costituisce una violazione di tale regolamento. ( 32 ) Direttiva del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati ( GU 1995, L 281, pag. 31 ). ( 33 ) V., in tal senso, conclusioni dell’avvocato generale [OSCURATO:PERSONA]Bordona nella causa [OSCURATO:PERSONA] (Préjudice moral lié au traitement de données personnelles) ( C‑300/21 , EU:C:2022:756 , paragrafo 41 ). ( 34 ) Sentenza del 21 dicembre 2023, [OSCURATO:PERSONA] ( C‑667/21 , EU:C:2023:1022 , punti 94 e 95 ). ( 35 ) V. sentenza dell’11 luglio 2024, [OSCURATO:PERSONA] (Azione rappresentativa) ( C‑757/22 , EU:C:2024:598 , punti 40 e 42 nonché da 59 a 64), in cui la Corte ha interpretato il requisito di una violazione dei diritti dell’interessato «in seguito al trattamento» alla luce della funzione preventiva dell’azione rappresentativa. V. anche sentenza del 4 maggio 2023, [OSCURATO:PERSONA] (Danno immateriale inerente al trattamento di dati personali) ( C‑300/21 , EU:C:2023:370 , punto 39 ), secondo cui «gli articoli 77 e 78 del [OSCURATO:PERSONA], contenuti [nel capo VIII], prevedono mezzi di ricorso presso o nei confronti di un’autorità di controllo, in caso di presunta violazione del regolamento in parola (...)». ( 36 ) V., da ultimo, sentenza del 30 aprile 2025, Inspektorat kam Visshia sadeben savet ( C‑313/23, C‑316/23 e C‑332/23 , EU:C:2025:303 , punto 136 e giurisprudenza citata). ( 37 ) V., in tal senso, [OSCURATO:PERSONA], M., «Article 79», [OSCURATO:PERSONA], in Paal, B.P., e Pauly, D.A. (a cura di), 3a ed., Monaco di Baviera, 2021, punto 22a. ( 38 ) Ossia la condizione che i dati personali dell’interessato siano oggetto di un trattamento. ( 39 ) V., da ultimo, sentenza del 3 aprile 2025, Ministerstvo zdravotnictví (Dati riguardanti il rappresentante di una persona giuridica) ( C‑710/23 , EU:C:2025:231 , punto 27 ). ( 40 ) Come correttamente rilevato dal giudice del rinvio e dalla Commissione, il trattamento dei dati personali dell’interessato al fine di rispondere a una richiesta di accesso presentata ai sensi dell’articolo 15 del [OSCURATO:PERSONA] sarebbe lecito, ai sensi dell’articolo 6, paragrafi 1, lettera c), e 3, di tale regolamento, indipendentemente dal fatto che il titolare del trattamento abbia già trattato o meno i dati di tale persona. Tale trattamento è infatti necessario, ai sensi delle disposizioni sopra citate, per adempiere a un obbligo giuridico al quale il titolare del trattamento è soggetto in forza del diritto dell’Unione. ( 41 ) V., per quanto riguarda l’articolo 79 del [OSCURATO:PERSONA], [OSCURATO:PERSONA], M., «Article 79», [OSCURATO:PERSONA], in Paal, B.P., e Pauly, D.A. (a cura di), 3a ed., Monaco di Baviera, 2021, punto 22a. ( 42 ) Sentenza del 4 ottobre 2024, Agentsia po vpisvaniyata ( C‑200/23 , EU:C:2024:827 , punto 142 e giurisprudenza citata). ( 43 ) V., in particolare, sentenze del 4 maggio 2023, [OSCURATO:PERSONA] (Danno immateriale inerente al trattamento di dati personali) ( C‑300/21 , EU:C:2023:370 , punti da 32 a 36 ); del 20 giugno 2024, PS (Indirizzo errato) ( C‑590/22 , EU:C:2024:536 , punto 33 ), e del 4 settembre 2025, [OSCURATO:PERSONA] ( C 655/23 , EU:C:2025:655 , punti 62 e 64 ). ( 44 ) V., in tal senso, sentenze del 14 dicembre 2023, [OSCURATO:PERSONA] ( C‑456/22 , EU:C:2023:988 , punto 18 ), del 20 giugno 2024, [OSCURATO:PERSONA] ( C‑182/22 e C‑189/22 , EU:C:2024:531 , punto 44 ), e del 4 ottobre 2024, Agentsia po vpisvaniyata ( C‑200/23 , EU:C:2024:827 , punto 149 ). ( 45 ) Sentenza del 20 giugno 2024, [OSCURATO:PERSONA] ( C-182/22 e C-189/22 , EU:C:2024:531 , punto 46 ).