noyb vince alla CGUE: Il diritto all'informazione deve includere il contesto - in alcuni casi anche documenti ed estratti di database
Ieri la Corte di giustizia dell'Unione europea (CGUE) ha stabilito che gli utenti devono ricevere non solo una copia dei loro dati grezzi, ma anche il contesto dei dati in modo comprensibile. Questo può includere anche i documenti che contengono dati personali. Il termine "copia" significa riproduzione fedele e accurata dei dati reali.
Mero elenco di dati grezzi o copia fedele? La controversia legale iniziale riguardava una richiesta di informazioni ai sensi dell'articolo 15 del GDPR all'agenzia di informazioni creditizie CRIF - che noyb ha perseguito con successo anche per altre violazioni della protezione dei dati. CRIF ha risposto all'interessato con un semplice elenco dei dati trattati su di lui. L'interessato, che ha richiesto una copia di tutti i dati che lo riguardano, compresi gli estratti del database, ha presentato un reclamo all'Autorità austriaca per la protezione dei dati. Il caso è finito davanti al Tribunale amministrativo federale austriaco, che ha sottoposto alla CGUE diverse questioni pregiudiziali sulla portata del diritto di ricevere una "copia dei dati" ai sensi dell'articolo 15, paragrafo 3, del GDPR.
Il GDPR richiede che l'utente comprenda il trattamento. Nella sua sentenza, la CGUE sottolinea che lo scopo del GDPR è quello di rafforzare e definire con precisione i diritti degli interessati. Il diritto di accesso è di particolare importanza in questo contesto, in quanto consente agli interessati di esercitare ulteriori diritti, come la cancellazione, la rettifica o l'opposizione, che sarebbero possibili solo in misura limitata senza conoscere i dati specifici trattati.
Max Schrems:"Siamo lieti che la CGUE sottolinei l'importanza del diritto di accesso. Senza il contesto del trattamento, è spesso impossibile per gli interessati capire cosa viene memorizzato su di loro"
Possono essere necessari estratti di database e documenti. È inoltre importante che la CGUE sottolinei la necessità di contestualizzare le informazioni fornite. Non è sufficiente che le aziende inviino un semplice elenco di dati grezzi. I dati devono essere forniti all'interessato in modo completo, contestuale e fedele all'originale. Ciò è particolarmente importante per i dati generati da altri dati, come nel caso in questione, in cui i punteggi di credito sono stati calcolati sulla base dei dati dell'interessato. In questo caso, sarà regolarmente essenziale fornire estratti di documenti, interi documenti o persino estratti di database, come sottolinea la CGUE. Altrimenti è difficile per l'interessato capire il vero significato dei dati, ma anche se i dati sono manipolati, incoerenti o forniti solo parzialmente.
Max Schrems:"La sentenza pone fine alla pratica illegale di fornire semplicemente un dump di dati senza ulteriori spiegazioni. Soprattutto nel caso di trattamenti più complessi, le aziende devono garantire la piena comprensibilità dei dati elaborati - se necessario anche fornendo un estratto del database o una copia dei documenti."
