La Corte di Cassazione con un’ordinanza, la numero 9313 depositata il 4 aprile 2023, afferma un principio di diritto, il quale chiarisce che “In materia di trattamento dei dati personali, il soggetto onerato dell’obbligo di fornire risposta in ordine al possesso (o meno) dei dati sensibili è il destinatario dell’istanza di accesso e non invece l’stante, dovendo il primo sempre riscontrare l’istanza dell’interessato, anche in termini negativi, dichiarando espressamente di essere, o meno, in possesso dei dati di cui si richiede l’ostensione”.
La vicenda nasce da un uomo che ai sensi degli articoli 15 e ss. del GDPR, effettuava un’istanza di accesso agli atti presso una banca chiedendo conto di quali suoi dati personali questa stesse trattando. L’istituto di credito si rifiutava di rispondere, sostenendo che l’uomo non aveva dimostrato che la banca fosse titolare del trattamento, ossia che fosse in possesso dei suoi dati personali.
Il mancato riscontro all’istanza da parte della banca ha reso impossibile al richiedente di conoscere l’eventuale possesso dei suoi dati personali, di verificare la legittimità della procedura raccolta e di esercitare eventualmente altri diritti.
Secondo i Giudici della Suprema Corte di Cassazione, l’istituto avrebbe dovuto fornire una risposta all’interessato anche qualora il riscontro fosse stato negativo. Difatti, è il destinatario dell’istanza di accesso agli atti su cui grava l’onere di provare o meno il possesso dei dati personali ai sensi dell’art. 12 del GDPR, terzo comma, il quale prevede chiaramente per il Titolare del Trattamento di fornire all’interessato le informazioni richieste ai sensi degli artt. 15-22 del Regolamento Europeo 2016/679.
In conclusione, il Titolare del Trattamento ha sempre l’obbligo di rispondere anche quando non possiede dati personali del richiedente.
