Svizzera - Diritto di accesso: elemento chiave della protezione dati

La nuova legge sulla protezione dei dati (nLPD) oltre ad avere introdotto tutta una serie di obblighi nei confronti del titolare del trattamento volti a migliorare la trasparenza dei trattamenti e ad aumentare il senso di responsabilizzazione ha, allo stesso tempo, rinforzato l’autodeterminazione delle persone interessate e più precisamente l’autodeterminazione informativa permettendo al singolo di controllare maggiormente i dati che lo riguardano e se necessario chiedere l’adozione di provvedimenti in caso di violazione. In altre parole, le persone interessate hanno il diritto di essere informate su ogni attività di raccolta dei loro dati personali ma soprattutto il diritto di accedere a questi dati. Il diritto di accesso ai dati personali che le riguardano è l’elemento chiave per la protezione dei dati in quanto permette di esercitare efficacemente gli altri diritti sanciti dalla legge sulla protezione dei dati, sia nella versione attuale che in quella rivista, ed in particolare:

• Il diritto di sapere a chi rivolgersi (art. 10 cpv3 lett. d) nLPD relativo al Consulente per la protezione dei dati e art. 14 cpv.3 nLPD in merito al Rappresentante in Svizzera), il diritto di sapere se una decisione presa si è basata esclusivamente su un trattamento automatizzato (art. 21 cpv. 1);
• Il diritto di opporsi al trattamento (opt out). Anche se non è un diritto previsto espressamente dalle normative (aLPD e nLPD), quest’ultimo deriva dell’autodeterminazione informativa;
• Il diritto di rettificare i dati inesatti (art. 5 cpv. 2 aLPD, art. 32 cpv. 1 nLPD);
• Il diritto di cancellazione (art. 12 cpv. 2 aLPD, art. 32 cpv. 2 lett. c) nLPD);
• Il diritto di non essere sottoposto ad un processo decisionale automatizzato, diritto introdotto dalla nLPD. (art. 21 cpv. 2 nLPD);
• Il diritto di farsi consegnare dati o di esigerne la trasmissione a terzi, il cosiddetto diritto di portabilità, introdotto dalla nLPD (art. 28 nLPD).

Tutti questi diritti non sono assoluti, il legislatore per ogni diritto concesso ha previsto, sia nell’attuale versione della legge sulla protezione dei dati che in quella nuova, casi di restrizioni.

Il diritto di accesso è in primis un diritto che legittima la persona interessata a sapere se i suoi dati sono oggetto di trattamento (art. 8 cpv. 1 aLPD - art. 25 cpv. 1 nLPD), come viene eseguito il trattamento, e in un secondo tempo, farsi consegnare una copia delle informazioni che il titolare ha su di lei.

Questo diritto è un diritto strettamente personale al quale non si può rinunciare in anticipo (art. 8 cpv. 6 aLPD - art. 25 cpv. 5 nLPD). Pertanto, qualsiasi persona capace di discernimento può e deve esercitare lei stessa questo diritto senza necessità di richiedere il consenso del rappresentante legale (ad esempio i minori).

In entrambe le versioni, aLPD e nLPD, le informazioni dovranno essere fornite per iscritto ed in linea di principio gratuitamente. È previsto un termine di 30 giorni per la trasmissione delle informazioni, che può essere prorogato se la raccolta delle informazioni e i relativi dati richiedono più tempo o possono eventualmente essere forniti in modo scaglionato.

L’elenco delle informazioni da fornire in caso di richiesta di accesso delle persone interessate è previsto dalle due normative, sia quella attuale (art. 8 cpv. 2 lett. a) e b) aLPD) che quella rivista (art. 25 cpv 2 lett. a) a g) nLPD). Con il nuovo il testo, l’elenco delle informazioni minime da comunicare è stato esteso in modo considerevole e corrisponde in grandi linee a quello previsto dal diritto europeo (art. 15 cpv. del GDPR).

Il diritto di accesso, pur rappresentando l’elemento chiave per la protezione dei dati, così come per gli altri diritti, non è assoluto. Delle restrizioni sono state previste dal legislatore sia nell’aLPD che nella nLPD (rispettivamente art. 9 aLPD e art. 26 nLPD), e sono state estese in particolar modo nel testo della nLPD per limitarne l’utilizzo abusivo riscontrato negli anni¹.

In effetti, nella sua giurisprudenza, il Tribunale federale (TF) ha sottolineato che una richiesta di accesso (art. 8 aLPD) dovrebbe essere considerata abusiva quando è intesa esclusivamente a raccogliere prove in vista di un’azione civile (cf. due decisioni del TF: ATF 138 III 425 e ATF 141 III 119)². In queste due sentenze il TF aveva negato il carattere abusivo della richiesta di accesso. È solo con la sentenza 4A_277/2020 del 18.11.2020³ che per la prima volta il TF ha ritenuto il carattere abusivo di una particolare richiesta legata ad un contenzioso commerciale facendo riferimento anche al testo della nLPD, ed in particolare al fatto che alla persona interessata debbano essere fornite le informazioni necessarie affinché possa far valere i suoi diritti secondo la LPD e sia garantito un trattamento trasparente dei dati (art. 25 cpv. 2 nLPD).

Anche a livello europeo l’esercizio del diritto di accesso è stato oggetto di discussione. A tale riguardo viene citata la recente sentenza della Corte di giustizia dell’Unione Europea (CGUE) del 12 gennaio 2023⁴, la quale ha ritenuto che il diritto di accesso permette alle persone interessate di richiedere al titolare del trattamento le informazioni riguardanti l’identità dei destinatari ai quali i dati sono o sono stati comunicati. Con questa sentenza la CGUE ricorda che il diritto di accesso è un diritto necessario per permettere alle persone interessate di far valere gli altri suoi diritti di cui alla LPD in quanto permette di verificare non solo che i dati personali che la riguardano sono corretti ma anche che sono trattati in modo lecito.

Anche se questa sentenza non è vincolante per la Svizzera, ad eccezione dell’applicazione extraterritoriale del GDPR (teoria degli effetti), l’Incaricato federale della protezione dei dati e della trasparenza potrebbe adottare la stessa interpretazione in quanto l’obiettivo della nLPD è volto a migliorare la trasparenza del trattamento dei dati personali e l’autodeterminazione delle persone interessate. A tale riguardo sarà interessante capire se la sanzione penale prevista all’art. 60 cpv. 1 lett. a) nLPD verrà applicata al titolare del trattamento che non fornisce, su richiesta della persona interessata, l’identità dei destinatari dei dati in quanto potrà essere considerata come fornitura intenzionale d’informazione incompleta.