Accesso ai dati e abusi del GDPR: la Corte UE frena le richieste strumentali

Il diritto di accesso ai dati personali, pilastro del GDPR, non può trasformarsi in uno strumento per generare contenziosi opportunistici. Con la sentenza del 19 marzo 2026 (causa C-526/24), la Corte di Giustizia dell’Unione europea interviene con chiarezza su un fenomeno sempre più diffuso: l’uso distorto delle richieste di accesso ai dati finalizzato esclusivamente a ottenere risarcimenti.

La vicenda nasce dal comportamento reiterato di un cittadino che, dopo essersi iscritto a newsletter aziendali, presentava richieste di accesso ai dati personali per poi avanzare pretese risarcitorie in caso di mancata o tardiva risposta. In uno di questi casi, un’impresa ha rifiutato di rispondere ritenendo la richiesta abusiva, sulla base della condotta sistematica dell’interessato. La questione è approdata davanti ai giudici europei per chiarire i limiti applicativi degli articoli 15 e 82 del GDPR.

La Corte ha stabilito un principio rilevante: anche una prima richiesta di accesso può essere considerata eccessiva o abusiva, qualora emergano elementi concreti che ne dimostrino la finalità strumentale. Non è quindi necessario che le richieste siano ripetute nel tempo: ciò che conta è la loro natura. Tra i fattori da valutare rientrano, ad esempio, il breve intervallo tra la comunicazione dei dati e la richiesta di accesso, il comportamento complessivo dell’interessato e la sua eventuale prassi di attivare contenziosi analoghi.

Questo orientamento rafforza la posizione di imprese e pubbliche amministrazioni, che possono legittimamente respingere istanze manifestamente abusive, purché siano in grado di dimostrarne la natura.

Sul fronte del risarcimento, la Corte introduce un ulteriore chiarimento: la violazione del GDPR non comporta automaticamente il diritto a un indennizzo. È necessario che l’interessato dimostri un danno effettivo, anche di natura non patrimoniale, e il nesso causale tra la violazione e il pregiudizio subito. Inoltre, non può essere riconosciuto alcun risarcimento quando il danno è stato determinato dal comportamento stesso del richiedente.

I principi affermati non riguardano solo il diritto di accesso, ma si estendono all’intero sistema dei diritti previsti dal GDPR, inclusi rettifica, cancellazione, limitazione del trattamento, portabilità e opposizione.

---

LEGGI ANCHE