lpd - Le nostre pubblicazioni saranno gratuite per sempre.: CGUE 2023- La prima copia di una cartella clinica richiesta dal paziente deve essere concessa gratuitamente. «Rinvio pregiudiziale – Tutela dei dati personali – Regolamento (UE) 2016/679 – Articoli 12, 15 e 23 – Diritto di accesso dell’interessato ai dati personali oggetto di trattamento – Diritto di ricevere gratuitamente una copia dei dati personali – Rimborso delle spese – Cartella medica del paziente – Medico che effettua il trattamento dei dati»

venerdì 24 novembre 2023

CGUE 2023- La prima copia di una cartella clinica richiesta dal paziente deve essere concessa gratuitamente. «Rinvio pregiudiziale – Tutela dei dati personali – Regolamento (UE) 2016/679 – Articoli 12, 15 e 23 – Diritto di accesso dell’interessato ai dati personali oggetto di trattamento – Diritto di ricevere gratuitamente una copia dei dati personali – Rimborso delle spese – Cartella medica del paziente – Medico che effettua il trattamento dei dati»

CGUE 2023- La prima copia di una cartella clinica richiesta dal paziente deve essere concessa gratuitamente. «Rinvio pregiudiziale – Tutela dei dati personali – Regolamento (UE) 2016/679 – Articoli 12, 15 e 23 – Diritto di accesso dell’interessato ai dati personali oggetto di trattamento – Diritto di ricevere gratuitamente una copia dei dati personali – Rimborso delle spese – Cartella medica del paziente – Medico che effettua il trattamento dei dati»

CONCLUSIONI DELL’AVVOCATO GENERALE

NICHOLAS EMILIOU

presentate il 20 aprile 2023 (1)

Causa C‑307/22

contro

[Domanda di pronuncia pregiudiziale proposta dal Bundesgerichtshof (Corte federale di giustizia, Germania)]

«Rinvio pregiudiziale – Tutela dei dati personali – Regolamento (UE) 2016/679 – Articoli 12, 15 e 23 – Diritto di accesso dell’interessato ai dati personali oggetto di trattamento – Diritto di ricevere gratuitamente una copia dei dati personali – Rimborso delle spese – Cartella medica del paziente – Medico che effettua il trattamento dei dati»

I. Introduzione

1. Gli articoli 12 e 15 del regolamento (UE) 2016/679 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (in prosieguo: il «RGPD») (2) conferiscono agli interessati ampi diritti di accesso in relazione ai dati personali oggetto di trattamento. Tra l’altro, tali disposizioni impongono ai titolari del trattamento di fornire gratuitamente agli interessati una copia dei dati di cui trattasi.

2. Gli interessati possono richiedere l’accesso ai loro dati personali, sulla base delle disposizioni del RGPD, per finalità diverse da quelle legate alla protezione dei dati? Gli Stati membri possono limitare il diritto di ottenere una copia dei dati chiedendo agli interessati di pagare, in alcuni casi specifici, le spese sostenute dal titolare del trattamento per la produzione delle copie? I titolari del trattamento sono tenuti a mettere a disposizione copie di tutti i documenti contenenti dati personali o possono compilare i dati richiesti dagli interessati?

3. Tali sono, in sostanza, le principali questioni sollevate dalla domanda di pronuncia pregiudiziale proposta dal Bundesgerichtshof (Corte federale di giustizia, Germania) in una causa riguardante la possibilità per un paziente di ottenere gratuitamente copie di documenti contenuti nella sua cartella medica.

II. Contesto normativo

A. Diritto dell’Unione

4. I considerando 4, 13 e 63 del RGPD così recitano:

«(4) (…) Il diritto alla protezione dei dati di carattere personale non è una prerogativa assoluta, ma va (…) contemperato con altri diritti fondamentali, in ossequio al principio di proporzionalità. Il presente regolamento rispetta tutti i diritti fondamentali e osserva le libertà e i principi riconosciuti dalla Carta, sanciti dai trattati, in particolare (…) la libertà d’impresa (…).

(13) (…) [L]e istituzioni e gli organi dell’Unione e gli Stati membri (…) sono invitati a considerare le esigenze specifiche delle micro, piccole e medie imprese nell’applicare il presente regolamento. (…)

(63) Un interessato dovrebbe avere il diritto di accedere ai dati personali raccolti che l[o] riguardano e di esercitare tale diritto facilmente e a intervalli ragionevoli, per essere consapevole del trattamento e verificarne la liceità. Ciò include il diritto di accedere ai dati relativi alla salute, ad esempio le cartelle mediche contenenti informazioni quali diagnosi, risultati di esami, pareri di medici curanti o eventuali terapie o interventi praticati. Ogni interessato dovrebbe pertanto avere il diritto di conoscere e ottenere comunicazioni in particolare in relazione alla finalità per cui i dati personali sono trattati, ove possibile al periodo in cui i dati personali sono trattati, ai destinatari dei dati personali, alla logica cui risponde qualsiasi trattamento automatizzato dei dati (…) Tale diritto non dovrebbe ledere i diritti e le libertà altrui (…)».

5. L’articolo 12 del RGPD, intitolato «Informazioni, comunicazioni e modalità trasparenti per l’esercizio dei diritti dell’interessato», così dispone:

2. Il titolare del trattamento agevola l’esercizio dei diritti dell’interessato ai sensi degli articoli da 15 a 22. (…)

3. Il titolare del trattamento fornisce all’interessato le informazioni relative all’azione intrapresa riguardo a una richiesta ai sensi degli articoli da 15 a 22 senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa. (…)

(…)

5. Le informazioni fornite ai sensi degli articoli 13 e 14 ed eventuali comunicazioni e azioni intraprese ai sensi degli articoli da 15 a 22 e dell’articolo 34 sono gratuite. Se le richieste dell’interessato sono manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, il titolare del trattamento può:

a) addebitare un contributo spese ragionevole tenendo conto dei costi amministrativi sostenuti per fornire le informazioni o la comunicazione o intraprendere l’azione richiesta; oppure

b) rifiutare di soddisfare la richiesta.

Incombe al titolare del trattamento l’onere di dimostrare il carattere manifestamente infondato o eccessivo della richiesta.

(…)».

6. Ai sensi dell’articolo 15 del RGPD, intitolato «Diritto di accesso dell’interessato»:

«1. L’interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l’accesso ai dati personali e alle seguenti informazioni:

(…)

4. Il diritto di ottenere una copia di cui al paragrafo 3 non deve ledere i diritti e le libertà altrui».

7. L’articolo 23, paragrafo 1, del RGPD, relativo alle «Limitazioni», così prevede:

«1. Il diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento o il responsabile del trattamento può limitare, mediante misure legislative, la portata degli obblighi e dei diritti di cui agli articoli da 12 a 22 (…) qualora tale limitazione rispetti l’essenza dei diritti e delle libertà fondamentali e sia una misura necessaria e proporzionata in una società democratica per salvaguardare:

(…)

e) altri importanti obiettivi di interesse pubblico generale dell’Unione o di uno Stato membro, in particolare (…) [in materia di] sanità pubblica (…);

(…)

i) la tutela dell’interessato o dei diritti e delle libertà altrui;

(…)».

B. Diritto nazionale

8. L’articolo 630f del Bürgerliches Gesetzbuch (codice civile tedesco; in prosieguo: il «BGB»), intitolato «Documentazione relativa al trattamento sanitario», dispone quanto segue:

«(1) Il professionista sanitario è obbligato a tenere, a fini di documentazione, una cartella medica in forma cartacea o elettronica, in diretta relazione temporale con il trattamento. (…)

(2) Il professionista sanitario è tenuto a registrare nella cartella medica del paziente tutte le misure essenziali dal punto di vista professionale per il trattamento attuale e futuro, nonché i relativi risultati, segnatamente, l’anamnesi, le diagnosi, gli esami, gli esiti di esami, le risultanze, le terapie e i loro effetti, gli interventi e i loro effetti, i consensi e i ragguagli. La corrispondenza tra medici deve figurare nella cartella medica del paziente.

(…)».

9. Il paragrafo 630g del BGB, intitolato «Accesso alla cartella medica », così recita:

«(1) Su richiesta, al paziente deve essere concesso immediato accesso all’integralità della cartella medica che lo riguarda, a meno che non vi ostino rilevanti ragioni terapeutiche o altri diritti significativi di terzi. (…)

(2) Il paziente può altresì richiedere copie elettroniche della propria cartella medica. Egli è tenuto a rimborsare al professionista sanitario le spese sostenute.

(…)».

III. Fatti, procedimento e questioni pregiudiziali

10. DW (il ricorrente nel procedimento principale) ha ricevuto cure dentistiche da FT (la convenuta nel procedimento principale). Sospettando che la prestazione fosse resa in modo non corretto, DW ha chiesto a FT la consegna gratuita di una copia di tutta la documentazione clinica che lo riguardava esistente presso quest’ultima. FT ha ritenuto di essere tenuta a fornire una copia della documentazione relativa al paziente solo a fronte di un rimborso delle spese.

11. DW ha proposto ricorso contro FT dinanzi all’Amtsgericht (Tribunale circoscrizionale, Germania), che l’ha accolto. L’impugnazione presentata da FT dinanzi al Landgericht (Tribunale del Land, Germania) è stata respinta per il motivo che i diritti di DW, risultanti dall’articolo 15 del RGPD, non erano esclusi per il fatto che DW aveva richiesto le informazioni al fine di verificare la sussistenza di diritti al risarcimento per responsabilità del medico.

12. Con il suo ricorso per cassazione («Revision») presentato dinanzi al Bundesgerichtshof (Corte federale di giustizia), FT ha chiesto l’annullamento della sentenza del Landgericht (Tribunale del Land) e il rigetto del ricorso di DW. Secondo il Bundesgerichtshof (Corte federale di giustizia), l’accoglimento del ricorso per cassazione dipende dalla questione se il giudice che si è pronunciato nel merito in appello non abbia commesso errori di diritto nel considerare il ricorso fondato ai sensi delle disposizioni del RGPD, come sostiene DW.

13. Il Bundesgerichtshof (Corte federale di giustizia) afferma che, in base alle disposizioni del diritto nazionale, FT non è tenuta a mettere gratuitamente a disposizione di DW copie della documentazione clinica che lo riguarda. Tuttavia, un diritto di DW alla consegna gratuita di tali copie potrebbe derivare, come affermato dal Landgericht (Tribunale del Land), direttamente dall’articolo 15, paragrafo 3, del RGPD, in combinato disposto con l’articolo 12, paragrafo 5, dello stesso. Pertanto, nutrendo dubbi sulla corretta interpretazione di tali disposizioni, il Bundesgerichtshof (Corte federale di giustizia) ha deciso di sospendere il procedimento e di sottoporre alla Corte di giustizia le seguenti questioni pregiudiziali:

«1. Se l’articolo 15, paragrafo 3, prima frase, in combinato disposto con l’articolo 12, paragrafo 5, del [RGPD], debba essere interpretato nel senso che il titolare del trattamento (nella fattispecie il medico curante) non è tenuto a fornire gratuitamente all’interessato (nella fattispecie il paziente) una prima copia dei dati personali riguardanti quest’ultimo, trattati dal titolare del trattamento, qualora l’interessato non richieda la copia per perseguire le finalità di cui al considerando 63, prima frase, del RGPD, vale a dire allo scopo di essere consapevole del trattamento dei propri dati personali e verificarne la liceità, bensì per perseguire una finalità diversa, non legata alla protezione dei dati ma lecita (nella fattispecie, la verifica della sussistenza di diritti in materia di responsabilità del medico).

2. In caso di risposta negativa alla prima questione:

a) Se anche una disposizione nazionale di uno Stato membro adottata prima dell’entrata in vigore del RGPD possa essere considerata come una limitazione del diritto derivante dall’articolo 15, paragrafo 3, prima frase in combinato disposto con l’articolo 12, paragrafo 5, del RGPD, alla messa a disposizione gratuita di una copia dei dati personali trattati dal titolare del trattamento ai sensi dell’articolo 23, paragrafo 1, lettera i), del RGPD.

b) In caso di risposta affermativa alla questione sub 2a, se l’articolo 23, paragrafo 1, lettera i), del RGPD debba essere interpretato nel senso che i diritti e le libertà altrui ivi menzionati comprendono anche l’interesse degli stessi allo sgravio dei costi connessi alla fornitura di una copia dei dati ai sensi dell’articolo 15, paragrafo 3, prima frase, del medesimo regolamento e delle altre spese derivanti dalla messa a disposizione della copia.

c) In caso di risposta affermativa alla questione sub 2b, se una normativa nazionale che nel rapporto medico-paziente preveda sempre, e indipendentemente dalle circostanze concrete del caso di specie, un diritto al rimborso delle spese da parte del medico nei confronti del paziente in caso di consegna a quest’ultimo di una copia dei dati personali che figurano nella sua cartella clinica possa essere considerata una limitazione, ai sensi dell’articolo 23, paragrafo 1, lettera i), del RGPD, degli obblighi e dei diritti derivanti dall’articolo 15, paragrafo 3, prima frase, in combinato disposto con l’articolo 12, paragrafo 5, del RGPD.

3. In caso di risposta negativa alla prima questione e alle questioni sub 2a, sub 2b, o sub 2c, se nell’ambito del rapporto medico-paziente il diritto di cui all’articolo 15, paragrafo 3, prima frase, del RGPD comprenda il diritto alla consegna di copie di tutte le parti della cartella clinica contenenti i dati personali del paziente, o se riguardi unicamente la consegna di una copia dei dati personali del paziente in quanto tale, lasciando al medico che tratta i dati la decisione circa le modalità di compilazione di tali dati per il paziente interessato».

14. Il governo lettone e la Commissione hanno presentato osservazioni scritte nel presente procedimento.

IV. Analisi

A. Prima questione: accesso ai dati per finalità non legate alla protezione dei dati.

15. Con la prima questione, il giudice del rinvio chiede alla Corte se gli articoli 12, paragrafo 5, e 15, paragrafo 3, del RGPD debbano essere interpretati nel senso che il titolare del trattamento è tenuto a fornire gratuitamente all’interessato una copia dei dati personali riguardanti quest’ultimo, qualora l’interessato non richieda la copia per le finalità di cui al considerando 63, prima frase, del RGPD (vale a dire per essere consapevole del trattamento dei propri dati personali e verificarne la liceità), bensì per una finalità diversa, come la verifica della sussistenza di diritti in materia di responsabilità del medico.

16. In sostanza, con la questione di cui trattasi si chiede di stabilire se l’interessato abbia il diritto di ricevere da parte del titolare del trattamento, ai sensi delle disposizioni del GDPR, una copia dei propri dati personali, quando la sua richiesta viene effettuata per perseguire finalità lecite, ma non legate alla protezione dei dati.

17. A mio avviso, il diritto di accesso che il RGPD riconosce agli interessati non è subordinato all’intenzione degli stessi di utilizzare i dati in questione per finalità connesse alla protezione dei dati, come quelle indicate nel considerando 63 del medesimo regolamento. Una lettura testuale, contestuale e sistematica delle disposizioni pertinenti del RGPD corrobora tale tesi.

18. Anzitutto, nessuna limitazione del genere può essere desunta dalla formulazione dell’articolo 12 o dell’articolo 15 del RGPD. Le due disposizioni in esame stabiliscono, in una sorta di «gioco di specchi», l’obbligo del titolare del trattamento di fornire, e il diritto dell’interessato di richiedere, l’accesso ai dati personali che sono oggetto di trattamento (3). Né l’una né l’altra disposizione prevedono che l’interessato indichi i motivi della sua richiesta di accesso né attribuiscono al titolare del trattamento la discrezionalità di chiedere e valutare tali motivi.

19. L’articolo 12 del RGPD impone al titolare del trattamento di «adotta[re] misure appropriate per fornire (…) tutte le informazioni (…) e le comunicazioni» in questione e di «agevola[re] l’esercizio dei diritti dell’interessato» (4). Le disposizioni dell’articolo 12 riguardano infatti principalmente le modalità e la tempistica con cui il titolare del trattamento deve, in particolare, concedere l’accesso (5). Le uniche eccezioni all’obbligo del titolare del trattamento di agire tempestivamente sono: (i) la richiesta di ulteriori informazioni o il rifiuto di procedere qualora nutra ragionevoli dubbi circa l’identità dell’interessato (6) e (ii) l’addebito di un contributo spese ragionevole o il rifiuto di procedere in caso di richieste manifestamente infondate o eccessive (7).

20. Anche l’articolo 15 del RGPD è formulato in termini molto ampi, riconoscendo agli interessati forme estese di accesso: ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che li riguardano e in tal caso, ricevere informazioni dettagliate al riguardo (8), e ottenere una copia dei dati personali trattati (9). Non sono previsti condizioni o limiti espressi per l’esercizio, da parte dell’interessato, del suo diritto di accesso ai sensi dell’articolo 15 del RGPD.

21. Ciò è diverso da quanto stabilito in altre disposizioni del regolamento, che riguardano altri diritti degli interessati. Ad esempio, l’articolo 17, paragrafo 3, del RGPD prevede le ipotesi in cui il diritto all’oblio, enunciato nei paragrafi 1 e 2 della stessa disposizione, «non si applic[a]». L’articolo 20 del RGPD, che riguarda il diritto alla portabilità dei dati, è strutturato in modo analogo, con le eccezioni previste dal paragrafo 3 di tale disposizione. L’articolo 21, paragrafo 6, del RGPD stabilisce a sua volta le condizioni alle quali, in alcune circostanze specifiche, gli interessati possono esercitare il diritto di opposizione, come previsto dal paragrafo 1 dello stesso articolo.

22. In tale contesto, il considerando 63 non può essere letto, a mio avviso, nel senso che esso introduce una condizione o una limitazione all’esercizio del diritto di accesso sancito dall’articolo 15 del RGPD, di cui non c’è traccia nel testo di tale disposizione (e neppure nella «disposizione gemella», l’articolo 12 del RGPD).

23. A mio avviso, il considerando 63 è piuttosto diretto a sottolineare l’importanza, nel sistema del RGPD, del diritto di accesso. Tale diritto è infatti strumentale e indispensabile per l’esercizio effettivo di molti altri diritti che il RGPD riconosce agli interessati (10). È difficile che gli individui abbiano «il controllo dei dati personali che l[e] riguardano», come evidenzia il considerando 7 del RGPD, se non sono al corrente di «esistenza, oggetto e motivi» del trattamento dei dati. Ciò potrebbe spiegare perché il considerando 63 afferma che l’interessato dovrebbe avere il diritto di accesso «per essere consapevole del trattamento e verificarne la liceità» (11). La formulazione del considerando 63 può forse essere poco chiara ma, a mio avviso, non ne consegue che il diritto di accesso sia concesso esclusivamente per le finalità ivi indicate.

24. Osservo incidentalmente che una condizione del genere sarebbe spesso impossibile da verificare per il titolare del trattamento, e quindi facile da aggirare per l’interessato, in quanto si baserebbe sull’intenzione soggettiva del singolo interessato (12).

25. Inoltre, concordo con il giudice del rinvio sul fatto che una diversa interpretazione dell’articolo 15 del RGPD non può essere dedotta dal punto 44 della sentenza YS e altri (13). In tale passaggio, la Corte, facendo riferimento alle disposizioni della direttiva 95/46/CE (14), l’antecedente del RGPD, ha affermato che, «[c]ome emerge dal [preambolo] di detta direttiva, è al fine di effettuare le necessarie verifiche che la persona interessata gode (…) di un diritto di accesso ai dati che la riguardano e che sono oggetto di trattamento» (15).

26. In tal modo, la Corte si è limitata, in sostanza, a citare il testo del considerando 41 della direttiva 95/46, la cui formulazione era simile a quella del considerando 63 del RGPD. Inoltre, come correttamente rilevato dal giudice del rinvio, nella causa YS e altri la Corte è stata invitata a chiarire la nozione di «dati personali» al fine di determinare la portata dell’accesso. La questione di cui trattasi solleva un tema giuridico diverso (ossia se lo scopo dell’accesso richiesto possa incidere sulla possibilità di ottenere l’accesso stesso) rispetto al quale non ritengo si possano trovare indicazioni utili in tale sentenza.

27. L’interpretazione dell’articolo 15 del RGPD avanzata nelle presenti conclusioni è confermata altresì dall’articolo 8, paragrafo 2, della Carta dei diritti fondamentali dell’Unione europea (in prosieguo: la «Carta»), relativo alla «Protezione dei dati di carattere personale», in base a cui: «Ogni persona ha il diritto di accedere ai dati raccolti che la riguardano e di ottenerne la rettifica» (16). Il diritto di accesso sembra essere, nella Carta, individuato come diritto autonomo, connesso sul piano logico alla possibilità o all’intenzione del suo titolare di esercitare altri diritti (come il diritto di rettifica (17)), ma non necessariamente dipendente da ciò.

28. Vorrei aggiungere, infine, che tale interpretazione dell’articolo 15 del RGPD è stata altresì suggerita dal Comitato europeo per la protezione dei dati nelle sue «Guidelines 01/2022 on data subject rights – Right of access» (Linee guida 01/2022 sui diritti degli interessati – Diritto di accesso) (18). Il punto 13 di tali linee guida così recita: «[I] titolari del trattamento non devono valutare “perché” l’interessato chiede l’accesso, ma solo “cosa” chiede l’interessato (…) e se essi sono in possesso di dati personali relativi a tale persona. (…) [A]d esempio, il titolare del trattamento non dovrebbe negare l’accesso per il motivo o per il sospetto che i dati richiesti possano essere utilizzati dall’interessato per difendersi in sede giurisdizionale in caso di licenziamento o di controversia commerciale con il titolare del trattamento».

29. È interessante osservare che l’esempio fornito in tali linee guida corrisponde in larga misura ai fatti della causa pendente dinanzi al giudice del rinvio. La circostanza che il ricorrente nel procedimento principale abbia chiesto l’accesso ai dati personali che lo riguardano e che sono contenuti nella cartella medica, situazione specificamente prevista dal considerando 63 del RGPD (19), al fine di valutare se avviare un’azione legale per danni derivanti da responsabilità medica – fine che il giudice del rinvio correttamente individua come «lecito» (20) – non autorizza pertanto il titolare del trattamento a respingere la richiesta dell’interessato.

30. Alla luce di quanto precede, suggerisco alla Corte di rispondere alla prima questione sollevata nel senso che l’articolo 12, paragrafo 5, e l’articolo 15, paragrafo 3, del RGPD devono essere interpretati nel senso che il titolare del trattamento è tenuto a fornire all’interessato una copia dei dati personali riguardanti quest’ultimo, anche se l’interessato non richiede la copia per le finalità di cui al considerando 63 del RGPD, bensì per una finalità diversa, non legata alla protezione dei dati.

B. Seconda questione: accesso gratuito alle copie

31. Con la seconda questione, il giudice del rinvio chiede alla Corte, in sostanza, se l’articolo 23, paragrafo 1, del RGPD consenta a una normativa nazionale adottata prima dell’entrata in vigore del RGPD di limitare il diritto degli interessati alla consegna gratuita di una copia dei dati personali trattati dal titolare del trattamento, imponendo agli interessati di farsi carico delle spese sostenute a tale riguardo dal titolare del trattamento.

1. Principio ed eccezione

32. In via preliminare, occorre sottolineare che senza dubbio, in base alla normativa del RGPD, gli interessati hanno il diritto, in linea di principio, alla consegna, da parte del titolare del trattamento, di una prima copia dei loro dati trattati senza sostenere alcun costo. Ciò deriva espressamente dall’articolo 12, paragrafo 5, del RGPD, in base al quale le informazioni fornite ai sensi, tra l’altro, dell’articolo 15 «sono gratuite» e che solo per le richieste «manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo», il titolare del trattamento può «addebitare un contributo spese ragionevole tenendo conto dei costi amministrativi sostenuti per fornire le informazioni o la comunicazione o intraprendere l’azione richiesta».

33. Ciò discende altresì, sebbene implicitamente, dall’articolo 15, paragrafo 3, del RGPD, secondo cui «[i]n caso di ulteriori copie richieste dall’interessato, il titolare del trattamento può addebitare un contributo spese ragionevole basato sui costi amministrativi» (21). Ciò significa, ovviamente, che non può essere addebitato un contributo spese per la prima copia richiesta dall’interessato.

34. Tuttavia, ai sensi dell’articolo 23, paragrafo 1, del RGPD, le leggi dell’Unione o le leggi nazionali «[possono] limitare, mediante misure legislative, la portata degli obblighi e dei diritti di cui agli articoli da 12 a 22 (…), qualora tale limitazione rispetti l’essenza dei diritti e delle libertà fondamentali e sia una misura necessaria e proporzionata in una società democratica per salvaguardare» uno degli obiettivi ivi elencati. Uno di essi è costituito, alla lettera e), dalla sanità pubblica, e un altro consiste, alla lettera i), nei diritti e nelle libertà altrui.

35. Dopo aver sottolineato tale punto, passo ora al tema centrale posto dalla questione di cui trattasi alla quale, a mio avviso, occorre dare una risposta affermativa.

2. Requisiti dell’articolo 23, paragrafo 1, del RGPD

36. In primo luogo, è pacifico che il diritto di accesso degli interessati ai loro dati personali, sancito dall’articolo 15 del RGPD, fa parte dei diritti che rientrano nell’ambito di applicazione dell’articolo 23, paragrafo 1, del RGPD e, di conseguenza, la sua portata può essere limitata da una misura legislativa dell’Unione o di uno Stato membro (22).

37. In secondo luogo, se gli Stati membri possono in generale limitare la portata del diritto di accesso, ad esempio escludendolo in alcune situazioni o in relazione a determinati dati, dovrebbe altresì esser loro consentito, conformemente alla massima a maiore ad minus (23), introdurre una restrizione piuttosto limitata al suo esercizio. Infatti, solo una forma di accesso è limitata (il diritto di ricevere una copia dei dati) e solo subordinandola al pagamento, da parte degli interessati, delle spese sostenute dai titolari del trattamento.

38. In terzo luogo, una limitazione come quella in esame, espressamente stabilita da un codice civile o da uno strumento giuridico equivalente, è prevista «in una misura legislativa», come richiesto dall’articolo 23, paragrafo 1, del RGPD. Tale condizione riecheggia quella stabilita dall’articolo 52, paragrafo 1, della Carta, secondo cui le limitazioni ai diritti fondamentali devono essere «previste dalla legge».

39. In un siffatto contesto, vorrei aggiungere che il fatto che la normativa nazionale di cui trattasi sia precedente all’entrata in vigore del RGPD è, a mio avviso, semplicemente irrilevante per determinare se tale normativa soddisfi le condizioni di cui all’articolo 23, paragrafo 1, del RGPD. Come osservato dalla Commissione, né tale disposizione, né, del resto, altre disposizioni del RGPD esigono che le misure restrittive dell’Unione o degli Stati membri siano incluse in strumenti legislativi ad hoc, a fortiori in strumenti adottati dopo l’entrata in vigore del RGPD. Agli Stati membri è quindi consentito sia mantenere che introdurre limitazioni conformi ai requisiti dell’articolo 23, paragrafo 1, del RGPD. Un confronto tra le diverse versioni linguistiche della disposizione in esame conferma tale tesi (24).

40. In quarto luogo, data la natura relativamente innocua della limitazione in questione, menzionata al paragrafo 37 delle presenti conclusioni, ritengo che una normativa nazionale come quella in esame chiaramente non pregiudichi l’«essenza» di tale diritto (un altro requisito previsto sia dall’articolo 23, paragrafo 1, del RGPD che dall’articolo 52, paragrafo 1, della Carta). Tale normativa non priva gli individui del nucleus durus del loro diritto alla protezione dei dati. Tra l’altro, è persino difficile immaginare situazioni, tra quelle disciplinate dalla normativa nazionale di cui trattasi, in cui l’importo di tali costi sarebbe talmente rilevante che obbligare gli interessati a farsene carico equivarrebbe, in pratica, a negare loro l’accesso.

41. In quinto luogo, mi sembra che una normativa nazionale come quella in questione persegua obiettivi consentiti dall’articolo 23, paragrafo 1, del RGPD e, più in generale, leciti a norma del diritto dell’Unione.

42. Fatta salva una verifica da parte del giudice del rinvio, mi risulta che la normativa nazionale pertinente miri a scoraggiare le richieste superflue o futili di copie, al fine di (i) tutelare gli interessi economici dei medici, che spesso costituiscono imprese individuali o lavorano in piccole équipe, e, in tal modo, (ii) garantire che, nell’esercizio della loro attività professionale, i medici dedichino (la maggior parte del) tempo alle loro mansioni fondamentali di carattere sanitario, anziché occuparsi di evitabili mansioni amministrative.

43. Il secondo obiettivo è collegato alla tutela della sanità pubblica. Alla lettera e), l’articolo 23, paragrafo 1, prevede espressamente le limitazioni necessarie per salvaguardare «importanti obiettivi di interesse pubblico generale dell’Unione o di uno Stato membro», come la «sanità pubblica». Ciò è in linea con l’articolo 35 della Carta, intitolato «Protezione della salute», in base a cui «[o]gni persona ha il diritto di accedere alla prevenzione sanitaria e di ottenere cure mediche alle condizioni stabilite dalle legislazioni e prassi nazionali. Nella definizione e nell’attuazione di tutte le politiche ed attività dell’Unione è garantito un livello elevato di protezione della salute umana» (25).

44. Il primo obiettivo è certamente volto a tutelare un interesse (privato) di talune persone (i medici che, nella situazione di cui trattasi nel caso di specie, agiscono in qualità di titolari del trattamento) ed è di natura economica. Tuttavia, nessuno degli elementi in esame indica che una limitazione del diritto di accesso non possa essere accettata in linea di principio.

45. Infatti, alla lettera i), l’articolo 23, paragrafo 1, del RGPD ammette le limitazioni necessarie per salvaguardare i «diritti e [le] libertà altrui». È interessante rilevare che gli stessi termini figurano anche nell’articolo 15, paragrafo 4, e nel considerando 63 del RGPD che, proprio riguardo al diritto di ricevere una copia dei dati trattati, affermano che tale diritto non deve «ledere i diritti e le libertà altrui».

46. In via preliminare, vorrei sottolineare che l’articolo 15, paragrafo 4, l’articolo 23, paragrafo 1, lettera i), e il considerando 63 del RGPD menzionano «i diritti e le libertà altrui» (26) e non, come altre disposizioni del regolamento, i diritti «di terzi» (27). Ciò significa altresì, logicamente, che limitazioni necessarie alla tutela di taluni diritti del titolare del trattamento possono essere accettabili a norma di tale disposizione (28).

47. Inoltre, il fatto che uno degli interessi tutelati dalla normativa nazionale in questione sia di natura economica non significa di per sé che esso non possa essere idoneo a giustificare limitazioni previste dall’articolo 23, paragrafo 1, del RGPD. Il considerando 4 del RGDP è alquanto chiaro: «Il diritto alla protezione dei dati di carattere personale non è una prerogativa assoluta, [e va] contemperato con altri diritti fondamentali, in ossequio al principio di proporzionalità. Il presente regolamento rispetta tutti i diritti fondamentali e osserva le libertà e i principi riconosciuti dalla Carta, sanciti dai trattati, in particolare (…) la libertà d’impresa (…)» (29).

48. A tale proposito, vorrei ricordare che il capo II della Carta («Libertà») comprende vari diritti di natura economica: oltre alla già citata libertà d’impresa (articolo 16), vi figurano anche la «libertà professionale e [il] diritto di lavorare» (articolo 15) e il diritto di proprietà (articolo 17). I diritti fondamentali di natura economica non possono essere considerati «figli di un dio minore» rispetto ad altri diritti (civili, sociali o politici). Non occorre conoscere gli scritti di Ludwig von Mises (30) per riconoscere che tutti questi diritti sono inestricabilmente connessi: essi non possono che essere esercitati di pari passo, in quanto la privazione dei diritti economici inciderebbe inevitabilmente sulla possibilità degli individui di godere pienamente dei propri diritti civili, sociali e politici, e viceversa.

49. Inoltre, come sottolineato dal giudice del rinvio, il considerando 13 del RGPD invita gli Stati membri a «considerare le esigenze specifiche delle micro, piccole e medie imprese nell’applicare [il regolamento]». Gli Stati membri possono pertanto considerare le caratteristiche specifiche delle imprese di dimensioni limitate e dei liberi professionisti, in cui spesso rientrano i medici.

50. Di conseguenza, non ho difficoltà a concludere che l’articolo 23, paragrafo 1, del RGPD non solo ammette limitazioni volte a tutelare la sanità pubblica, ma anche quelle volte a tutelare alcuni diritti economici fondamentali degli individui (31), compresi quelli dei titolari del trattamento.

51. Infine, tuttavia, la normativa nazionale che limita il diritto di accesso ai dati personali è ammissibile ai sensi dell’articolo 23, paragrafo 1, del RGPD solo se può essere considerata «una misura necessaria e proporzionata» per salvaguardare un interesse pubblico tra quelli ivi elencati. La disposizione in esame impone quindi, conformemente a un principio consolidato, che sia effettuata una «verifica della proporzionalità» della limitazione per la quale è necessaria una giustificazione.

3. Proporzionalità della normativa nazionale

52. Per verificare la proporzionalità della limitazione, occorre esaminare tre requisiti cumulativi. La misura deve essere idonea a garantire la realizzazione dell’obiettivo perseguito («idoneità») e non deve eccedere quanto necessario per conseguirlo («necessità»). Inoltre, la misura nazionale deve essere «stricto sensu proporzionata», il che significa che deve operare un giusto bilanciamento degli interessi in gioco (gli interessi perseguiti dallo Stato mediante la misura in questione e quelli delle persone sulle quali essa incide negativamente) (32).

53. A mio avviso, la conformità al principio di proporzionalità di specifiche misure nazionali che derogano alle norme generali del diritto dell’Unione è spesso una valutazione che i giudici nazionali sono nella posizione migliore per effettuare. Tuttavia, per contribuire alla risoluzione della controversia pendente dinanzi al giudice del rinvio, propongo le seguenti considerazioni.

54. Anzitutto, una normativa nazionale come quella di cui trattasi mi sembra, in linea di principio, idonea a realizzare gli obiettivi perseguiti dal legislatore nazionale, nel senso che appare in grado di dare un contributo significativo al loro raggiungimento. Infatti, l’obbligo per gli interessati di sostenere i costi amministrativi connessi alla produzione delle copie richieste può effettivamente dissuaderli dall’avanzare richieste di accesso superflue o futili. Ciò significa che è meno probabile che i medici debbano impiegare il loro tempo e le loro risorse per occuparsi di evitabili mansioni di carattere amministrativo.

55. Inoltre, stabilire se una normativa nazionale come quella in esame ecceda quanto necessario per conseguire i suoi obiettivi e/o non operi un giusto bilanciamento degli interessi in gioco non è, a mio avviso, così semplice e richiederà, pertanto, una valutazione più approfondita da parte del giudice del rinvio.

56. A tale proposito, vorrei sottolineare ancora una volta (33) la natura relativamente innocua della limitazione in questione. Mentre l’articolo 15 del RGPD concede varie forme di accesso agli interessati, la normativa nazionale di cui trattasi limita solo una di tali forme (il diritto di ricevere una copia dei dati) e solamente subordinandola al pagamento, da parte degli interessati, delle spese sostenute a tale riguardo dai titolari del trattamento.

57. Tuttavia, la Commissione ha espresso alcuni dubbi sulla necessità della normativa nazionale in esame, sottolineando che essa si applica in relazione a tutte le richieste di accesso alle cartelle mediche, indipendentemente dallo status professionale e dal tipo di attività del medico in questione: può trattarsi di un lavoratore autonomo che esercita la propria attività da solo o in uno studio con più medici o di un lavoratore dipendente, ad esempio, in un ospedale pubblico o in una grande clinica privata.

58. Devo riconoscere che taluni argomenti avanzati dalla Commissione hanno una certa efficacia. Può essere effettivamente vero che non tutte le situazioni contemplate dalla normativa nazionale di cui trattasi sono completamente equivalenti ai fini dell’articolo 23, paragrafo 1, lettere e) e i), del RGPD. Ad esempio, i grandi studi medici, gli ospedali e le cliniche private dispongono normalmente di personale e attrezzature dedicati per svolgere tutte le mansioni di carattere amministrativo connesse all’erogazione di prestazioni sanitarie. Non risulta quindi ovvio che, anche in tali casi, una normativa nazionale come quella di cui trattasi abbia l’effetto di sollevare i medici dall’obbligo di farsi carico di spese superflue o di utilizzare il loro tempo prezioso per espletare mansioni di ufficio evitabili.

59. Inoltre, a differenza dei medici tenuti ad applicare tariffe stabilite a livello pubblico, i medici che sono liberi di fissare le loro tariffe al livello che ritengono appropriato possono, se lo ritengono opportuno, recuperare i costi aggiuntivi aumentando le tariffe, «spalmando» così tali costi tra tutti i loro pazienti. Di conseguenza, alcuni medici possono presumibilmente esigere un livello di «protezione normativa» più elevato rispetto ad altri.

60. D’altra parte, tuttavia, non sono sicuro che una norma che preveda un trattamento diverso per i medici e, di conseguenza, per i pazienti a seconda che i medici, ad esempio, (a) siano lavoratori autonomi o dipendenti, (b) lavorino – per usare i termini utilizzati dal considerando 13 del RGPD – in «micro, piccole e medie imprese», o per grandi ospedali e cliniche, e/o (c) siano vincolati da tariffe pubbliche o possano fissare liberamente le proprie tariffe, sia pratica o ragionevole ed equa.

61. Trovare i criteri giusti per distinguere le situazioni in cui sono i pazienti a dover sostenere i costi e quelle in cui sono i medici a doverli sostenere, al fine di raggiungere al meglio gli obiettivi fissati dal legislatore nazionale, non è un compito facile. Soprattutto, una differenziazione del genere introdurrebbe una certa complessità (e, forse, una fonte di confusione) in relazione a situazioni che, per via dell’importo di denaro in questione, di solito piuttosto limitato, è probabilmente più facile disciplinare con una norma chiara di automatica applicazione.

62. Come ha affermato la Corte, non si può negare agli Stati membri la possibilità di conseguire obiettivi di interesse pubblico mediante l’introduzione di regole generali e semplici che gli utenti comprenderanno e applicheranno facilmente e che le autorità competenti gestiranno e controlleranno facilmente (34). Più in generale, come ho affermato in recenti conclusioni, non si può imporre agli Stati membri l’adozione, a fini di proporzionalità, di misure alternative di incerta fattibilità o efficacia, o che comportino un onere intollerabile (in termini organizzativi o finanziari) per i medesimi (35).

63. Infine, non si può escludere l’effetto perverso di una norma avente una portata più limitata rispetto a quella di cui trattasi: essa potrebbe incoraggiare i pazienti a rivolgersi a cliniche più grandi (che forniscono gratuitamente copie delle cartelle mediche) piuttosto che a studi medici più piccoli (che chiedono il pagamento di un importo supplementare per tali copie).

64. In effetti, potrebbe essere altresì messa in discussione l’equità complessiva o, in altri termini, la ragionevolezza di norme alternative. Se valutata dal punto di vista dei medici, una norma ad hoc che sollevi da siffatti costi solo i medici indipendenti e i piccoli studi può apparire ragionevole: essa protegge i professionisti «più deboli». Tuttavia, se la si valuta dal punto di vista dei pazienti, la stessa misura può assumere un aspetto diverso. Infatti, i pazienti che per ricevere prestazioni sanitarie si rivolgono a ospedali e cliniche di grandi dimensioni, soprattutto quelli in cui i medici sono liberi di fissare le loro tariffe al livello che ritengono appropriato, sarebbero coloro che traggono vantaggio dalla norma. Ciò avverrebbe nonostante il fatto che (i) tali pazienti possano essere spesso più abbienti di quelli che si rivolgono a medici locali che esercitano come liberi professionisti e (ii) le spese sostenute per le copie delle cartelle mediche costituiscano probabilmente una parte minima (magari trascurabile) dei costi complessivamente sostenuti dagli stessi per le prestazioni sanitarie, a differenza di quanto si verifica per i pazienti che ricevono prestazioni sanitarie attraverso il sistema sanitario nazionale (tipicamente a titolo gratuito o pagando tariffe minime). Si potrebbe così sostenere che la protezione dei «professionisti più deboli» avverrebbe a spese dei «consumatori più deboli».

65. Alla luce di quanto precede, a differenza della Commissione, non sono convinto che l’approccio unico scelto dal legislatore tedesco ecceda quanto necessario per conseguire gli obiettivi perseguiti dalla normativa nazionale in questione. Non sono riuscito a individuare alcuna misura alternativa che sia meno restrittiva nei confronti del diritto alla protezione dei dati degli individui, pur essendo ugualmente efficace per salvaguardare gli interessi che la normativa nazionale di cui trattasi mira a tutelare.

66. Non vedo neppure elementi che suggeriscano che il legislatore tedesco non sia riuscito a operare il giusto bilanciamento tra i vari interessi in gioco.

67. È vero che si potrebbe sostenere che il bilanciamento tra i diversi interessi in gioco per quanto riguarda la fornitura di copie di dati personali è stato effettuato dal legislatore dell’Unione: il titolare del trattamento deve consegnare gratuitamente la prima copia e può chiedere il pagamento di un contributo spese soltanto per copie eccessive e/o ulteriori. Tuttavia, l’ampia formulazione dell’articolo 23, paragrafo 1, e del considerando 13 del RGPD non si presta a una lettura così restrittiva. Neppure il considerando 63, che si riferisce specificamente al diritto degli interessati di accedere ai dati relativi alla loro «salute», contiene riferimenti specifici al riguardo.

68. Soprattutto, non si può trascurare il fatto che, nel settore della tutela e del miglioramento della salute umana, l’Unione europea ha solo una competenza di sostegno (36). La Corte ha costantemente affermato che spetta agli Stati membri stabilire il livello al quale intendono garantire la tutela della sanità pubblica nonché il modo in cui tale livello deve essere raggiunto. Poiché detto livello può variare da uno Stato membro all’altro, si deve riconoscere agli Stati membri un margine di discrezionalità (37).

69. Dopo aver ponderato i vari interessi in gioco, il legislatore tedesco ha deciso che, per quanto riguarda le richieste di copie delle cartelle mediche presentate ai medici da parte dei pazienti, vi erano motivi per ritenere che le spese sostenute dovessero essere a carico degli interessati e non dei titolari del trattamento. Ritengo che si tratti di una decisione politica la quale, non essendo manifestamente irrazionale o implausibile, rientra nel margine di discrezionalità dello Stato membro in questione. In ogni caso, sindacare tale scelta è un compito che spetta al giudice del rinvio e non alla Corte di giustizia.

70. Ciò premesso, esiste certamente un elemento che, a mio avviso, il giudice del rinvio è tenuto a verificare. In situazioni come quelle disciplinate dalla normativa nazionale in esame, ritengo essenziale che le spese per le quali i medici possono chiedere il rimborso ai pazienti siano strettamente limitate alle spese effettive per produrre e mettere a disposizione le copie richieste. Ciò significa che le spese ripetibili sono solo quelle relative al materiale (come la carta, la cartuccia delle stampanti o delle fotocopiatrici e/o le chiavette USB, ecc.) e alla manodopera necessaria a tal fine. Tali costi non possono, a mio avviso, includere alcun tipo di profitto da parte dei professionisti (38). Considerato l’attuale stato di digitalizzazione di documenti e archivi, sarei sorpreso (e quindi sospettoso) se l’importo normalmente richiesto dai medici a tale scopo fosse superiore a pochi euro.

71. Alla luce di quanto precede, suggerisco alla Corte di rispondere alla seconda questione sollevata nel senso che l’articolo 23, paragrafo 1, del RGPD ammette una normativa nazionale che impone ai pazienti che richiedono copie dei loro dati personali contenuti nella cartella medica di rimborsare ai medici le spese sostenute, a condizione che la limitazione al diritto di accesso, alla luce di tutte le circostanze pertinenti, sia necessaria e proporzionata agli obiettivi di tutela della sanità pubblica e della libertà d’impresa dei medici. In particolare, spetta al giudice nazionale verificare che i costi per i quali i medici possono chiedere il rimborso ai pazienti siano strettamente limitati alle spese effettivamente sostenute a tale riguardo.

C. Terza questione: nozione di «copia dei dati»

72. Infine, con la terza questione, il giudice del rinvio chiede alla Corte se, nell’ambito di un rapporto medico-paziente, la locuzione «copia dei dati personali oggetto di trattamento» di cui all’articolo 15, paragrafo 3, prima frase, del RGPD, debba essere interpretata nel senso che conferisce all’interessato un diritto generale di ottenere una copia integrale dei documenti inclusi nella sua cartella medica.

73. Il principale aspetto sollevato dalla questione di cui trattasi è stato trattato – a mio avviso in modo convincente – dall’avvocato generale Pitruzzella nelle sue recenti conclusioni nella causa F.F. (39)

74. In tale causa, il giudice del rinvio ha chiesto alla Corte di chiarire la portata del diritto di accesso riconosciuto agli interessati dall’articolo 15 del RGPD. Per affrontare tale tema, l’avvocato generale Pitruzzella ha discusso, tra l’altro, la nozione di «copia» ai sensi dell’articolo 15, paragrafi 3 e 4, del RGPD. Seguendo un’interpretazione letterale, contestuale e teleologica della disposizione, lo stesso è giunto alle seguenti conclusioni, rilevanti ai fini della presente causa.

75. In primo luogo, la nozione di «copia», di cui all’articolo 15, paragrafi 3 e 4, del RGPD, deve essere intesa come «una riproduzione fedele in forma intelligibile dei dati personali richiesti dall’interessato, in un formato materializzato e permanente, che consenta all’interessato di esercitare in maniera effettiva il diritto di accesso ai suoi dati personali, avendo piena conoscenza di tutti i suoi dati personali oggetto di trattamento». Lo stesso ha aggiunto che «la forma esatta della copia è determinata in base alle specificità di ciascun caso ed, in particolare, alla tipologia dei dati personali di cui è richiesto l’accesso e alle esigenze dell’interessato» (40).

76. In secondo luogo, l’articolo 15, paragrafo 3, del RGPD «non attribuisce all’interessato un diritto generale ad ottenere copia parziale o integrale del documento che contiene i dati personali dell’interessato o, qualora i dati personali siano trattati in una banca dati, un estratto di tale banca dati». Ciò premesso, egli ha altresì precisato che «tale disposizione non esclude (...) che parti di documenti, o documenti interi o estratti di banche dati, possano dover essere forniti all’interessato qualora ciò sia necessario per garantire la piena intelligibilità dei dati personali oggetto di trattamento di cui è richiesto l’accesso» (41).

77. Per motivi di economia giudiziaria, non riporto qui le ragioni che lo hanno indotto a prendere tale posizione. È sufficiente precisare che condivido pienamente le sue tesi al riguardo. In definitiva, il RGPD è una normativa riguardante non l’accesso ai documenti, bensì la protezione dei dati. Di conseguenza, il suo obiettivo principale è garantire l’accesso ai dati, non ai documenti che li contengono. Se in alcuni casi il secondo può implicare necessariamente il primo, non è sempre così.

78. Ciò detto, mi sembra possibile, conformemente al principio della trasparenza (42) e all’obbligo di fornire le informazioni in «forma concisa, trasparente, intelligibile e facilmente accessibile» (43), che, per quanto riguarda i documenti contenuti in una cartella medica, il diritto di ricevere una copia dei dati oggetto di trattamento possa spesso comportare il diritto di ricevere una copia (parziale o integrale) dei documenti originali. Soprattutto quando si tratta di risultati di analisi o esami (che tipicamente comprendono numerosi dati e/o immagini di carattere tecnico), ritengo che consentire ai medici (o al loro personale) di sintetizzare o compilare tali dati, per fornirli in forma aggregata, possa cagionare il rischio che taluni dati rilevanti vengano omessi (44) o riportati in modo errato (45) o, in ogni caso, che sia reso più difficile per gli interessati (vale a dire i pazienti) verificarne l’esattezza e la completezza.

79. È probabilmente per tale motivo che, come già menzionato, il considerando 63 del RGPD afferma espressamente che il diritto di accesso ai dati personali «include il diritto di accedere ai dati relativi alla salute, ad esempio le cartelle mediche contenenti informazioni quali diagnosi, risultati di esami, pareri di medici curanti o eventuali terapie o interventi praticati».

80. Risulta dunque che lo stesso legislatore dell’Unione abbia sottolineato l’importanza che l’accesso degli individui ai dati personali riguardanti la loro salute sia non solo facilmente comprensibile, ma anche il più completo ed esatto possibile. Allo stesso tempo, è evidente che le cartelle mediche possono contenere una varietà di documenti che non comprendono dati personali dei pazienti (ad esempio, articoli scientifici riguardanti patologie o cure mediche). Ovviamente, i pazienti non hanno alcun diritto di accedere alle informazioni contenute in tali articoli e di conseguenza non hanno alcun diritto di averne una copia sulla base del RGPD.

81. A tale riguardo, osservo che la normativa nazionale di cui trattasi, la cui riforma, a quanto mi risulta, è oggetto di discussione da parte delle autorità nazionali competenti (46), potrebbe conferire ai pazienti un diritto di accedere alle cartelle mediche e, in particolare, di ottenere copie dei documenti in esse contenuti, che va oltre quello riconosciuto dal RGPD.

82. Non vedo alcun motivo per cui ciò non dovrebbe essere possibile in forza del diritto dell’Unione, dal momento che rientrerebbe in un settore giuridico non disciplinato a livello dell’Unione. Inoltre, a quanto mi risulta, non vi sono evidenti problemi di conflitto con le norme del RGPD. Tuttavia, è appena il caso di sottolineare che un diritto di accesso alle cartelle mediche che ecceda quello riconosciuto dal RGPD sarebbe, in tale misura, disciplinato esclusivamente dal diritto nazionale. Ciò significa che la portata di tale diritto (ad esempio, il tipo di documenti interessati) e le modalità di accesso (ad esempio, a titolo gratuito o dietro rimborso delle spese sostenute) devono essere stabilite dal legislatore nazionale.

83. Di conseguenza, suggerisco alla Corte di rispondere alla terza questione nel senso che, nell’ambito di un rapporto medico-paziente, la locuzione «copia dei dati personali oggetto di trattamento» di cui all’articolo 15, paragrafo 3, del RGPD non può essere interpretata nel senso che conferisce all’interessato un diritto generale di ottenere una copia integrale di tutti i documenti contenuti nella sua cartella medica. Ciò non esclude la possibilità che il titolare del trattamento debba fornire agli interessati una copia parziale o integrale di determinati documenti. Ciò si verifica quando una copia del documento è necessaria per garantire che i dati forniti siano intelligibili e che l’interessato possa verificarne la completezza e l’esattezza.

V. Conclusione

84. In conclusione, propongo alla Corte di rispondere alle questioni pregiudiziali sollevate dal Bundesgerichtshof (Corte federale di giustizia, Germania) come segue:

L’articolo 12, paragrafo 5, e l’articolo 15, paragrafo 3, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati)

– devono essere interpretati nel senso che il titolare del trattamento è tenuto a fornire all’interessato una copia dei dati personali riguardanti quest’ultimo, anche se l’interessato non richiede la copia per le finalità di cui al considerando 63 del RGPD, bensì per una finalità diversa, non legata alla protezione dei dati.

– L’articolo 23, paragrafo 1, del RGPD ammette una normativa nazionale che impone ai pazienti che richiedono copie dei loro dati personali contenuti nella cartella medica di rimborsare ai medici le spese sostenute, a condizione che la limitazione al diritto di accesso, alla luce di tutte le circostanze pertinenti, sia necessaria e proporzionata agli obiettivi di tutela della sanità pubblica e della libertà d’impresa dei medici. In particolare, spetta al giudice nazionale verificare che i costi per i quali i medici possono chiedere il rimborso ai pazienti siano strettamente limitati alle spese effettivamente sostenute a tale riguardo.

Nell’ambito di un rapporto medico-paziente, la locuzione «copia dei dati personali oggetto di trattamento» di cui all’articolo 15, paragrafo 3, del RGPD non può essere interpretata nel senso che conferisce all’interessato un diritto generale di ottenere una copia integrale di tutti i documenti contenuti nella sua cartella medica. Tuttavia, il titolare del trattamento deve fornire all’interessato una copia parziale o integrale dei documenti, quando ciò è necessario per garantire che i dati forniti siano intelligibili e che l’interessato possa verificarne la completezza e l’esattezza.

1 Lingua originale: l’inglese.

2 Regolamento del Parlamento europeo e del Consiglio del 27 aprile 2016 (GU 2016, L 119, pag. 1).

3 L’ambito di applicazione dell’articolo 12 del RGPD è tuttavia più ampio di quello dell’articolo 15 del RGPD, poiché esso riguarda gli obblighi del titolare del trattamento che derivano non solo dall’articolo 15 ma anche da altre disposizioni dello stesso regolamento.

4 Paragrafi 1 e 2 dell’articolo in esame (il corsivo è mio).

5 V., in particolare, paragrafi 3 e 4 dello stesso.

6 Paragrafo 6 dello stesso.

7 Paragrafo 5 dello stesso.

8 Paragrafo 1 dell’articolo in esame.

9 Paragrafo 3 dello stesso.

10 V., in tal senso, per analogia, sentenza del 20 dicembre 2017, Nowak (C‑434/16, EU:C:2017:994, punto 57).

11 Il corsivo è mio.

12 Allo stesso modo, sarebbe impossibile impedire agli interessati, una volta ottenuti i dati personali in base al RGPD per finalità di protezione dei dati, di citare successivamente in giudizio il titolare del trattamento per altri scopi.

13 Sentenza del 17 luglio 2014 (C‑141/12 e C‑372/12, EU:C:2014:2081).

14 Direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU 1995, L 281, pag. 31). Tale direttiva è stata abrogata a decorrere dal 25 maggio 2018 dall’articolo 94 del RGPD.

15 Il corsivo è mio.

16 Il corsivo è mio.

17 Nel RGPD esso è previsto dall’articolo 16.

18 Linee guida adottate il 28 gennaio 2022 e pubblicate sul suo sito Internet.

19 Come menzionato al paragrafo 4 delle presenti conclusioni, tale considerando stabilisce che «il diritto di accedere ai dati personali (…) include il diritto di accedere ai dati relativi alla salute, ad esempio le cartelle mediche contenenti informazioni quali diagnosi, risultati di esami, pareri di medici curanti o eventuali terapie o interventi praticati». V. altresì articolo 4, paragrafi 4, 13 e 15, del RGPD.

20 Come sottolineato dal giudice del rinvio, la finalità per la quale il ricorrente nel procedimento principale ha chiesto l’accesso ai dati personali che lo riguardano non può essere considerata come fonte di un «abuso di diritto» che, secondo la costante giurisprudenza della Corte, impedirebbe allo stesso di avvalersi dei diritti conferitigli dal diritto dell’Unione. V. in particolare, sentenza del 27 ottobre 2022, Climate Corporation Emissions Trading (C‑641/21, EU:C:2022:842, punto 39 e giurisprudenza citata).

21 Il corsivo è mio. V. altresì considerando 59 del RGPD.

22 V. supra, paragrafo 7 delle presenti conclusioni.

23 La massima significa, letteralmente, «dal maggiore al minore»: se è permesso fare di più, a maggior ragione è possibile fare di meno.

24 V., ad esempio, le versioni in lingua inglese [«Union or Member State law (…) may restrict by way of a legislative measure»), in lingua tedesca [«Durch Rechtsvorschriften der Union oder der Mitgliedstaaten (…) können (…) im Wege von Gesetzgebungsmaßnahmen beschränkt werden»], in lingua francese [«Le droit de l’Union ou le droit de l’État membre (…) peuvent, par la voie de mesures législatives»], in lingua italiana [«Il diritto dell’Unione o dello Stato membro (…) può limitare, mediante misure legislative»], in lingua spagnola («El Derecho de la Unión o de los Estados miembros (…) podrá limitar, a través de medidas legislativas»], e in lingua greca [«Το δίκαιο της ένωσης ή του κράτους-μέλους (…) μπορεί να περιορίζει μέσω νομοθετικού μέτρου»].

25 Analogamente, l’articolo 8, paragrafo 2, della Convenzione europea dei diritti dell’uomo stabilisce che ingerenze di una autorità pubblica nell’esercizio del diritto al rispetto della vita privata e familiare – che, a norma della convenzione, contempla aspetti di protezione dei dati – possono essere consentite quando sono previste dalla legge e necessarie, tra l’altro, alla «protezione della salute».

26 Il corsivo è mio. Ciò è vero per la maggior parte delle versioni linguistiche del regolamento.

27 Ossia l’articolo 6, paragrafo 1, lettera f), l’articolo 13, paragrafo 1, lettera d), e l’articolo 14, paragrafo 2, lettera b), del RGPD. V. altresì la definizione di «terzo» di cui all’articolo 4, punto 10, del RGPD.

28 V., analogamente, Gawronski, M. (ed.), Guide to the GDPR, Wolters Kluwer, 2019, p. 138.

29 Il corsivo è mio.

30 V., in particolare, von Mises, L., Human Action: A Treatise on Economics, Yale University Press, pubblicato per la prima volta nel 1949.

31 V., per analogia, sentenza del 12 gennaio 2023, TP (addetto al montaggio audiovisivo per la televisione pubblica) (C‑356/21, EU:C:2023:9, punti 73 e 74).

32 V., in tal senso, sentenza del 6 ottobre 2020, Commissione/Ungheria (Insegnamento superiore) (C‑66/18, EU:C:2020:792, punti 178 e 179 e giurisprudenza citata).

33 V. supra, paragrafi 37 e 40 delle presenti conclusioni.

34 V. sentenza del 29 giugno 2017, Commissione/Portogallo (C‑126/15, EU:C:2017:504, punto 84 e giurisprudenza citata).

35 Conclusioni nella causa Commissione/Polonia (C‑601/21, EU:C:2023:151, paragrafo 65).

36 Articolo 6, lettera a), TFUE.

37 V., ad esempio, sentenza del 19 ottobre 2016, Deutsche Parkinson Vereinigung (C‑148/15, EU:C:2016:776, punto 30 e giurisprudenza citata).

38 Al riguardo, è deplorevole che il governo tedesco non abbia presentato osservazioni nell’ambito del presente procedimento.

39 C‑487/21, EU:C:2022:1000.

40 Ibidem, paragrafo 70.

41 Ibidem.

42 V., in particolare, considerando 39 e 58 nonché articolo 5, paragrafo 1, lettera a), del RGPD.

43 Articolo 12, paragrafo 1, del RGPD.

44 Ad esempio, l’identità del laboratorio e/o del medico che ha effettuato l’analisi, il tipo di macchinario o di tecnica utilizzato per l’analisi e così via possono a volte sembrare (e forse sono) poco rilevanti al momento della richiesta di accesso, mentre in seguito, in alcune circostanze, possono rivelarsi importanti per una corretta valutazione dei dati.

45 Ciò può facilmente accadere quando, ad esempio, vengono copiate grandi quantità di dati numerici.

46 V., ad esempio, «Lauterbachs “Turbo”-Plan für digitale Patientenakten», Frankfurter Allgemeine, 9 marzo 2023.

Edizione provvisoria

SENTENZA DELLA CORTE (Prima Sezione)

26 ottobre 2023 (*)

«Rinvio pregiudiziale – Trattamento dei dati personali – Regolamento (UE) 2016/679 – Articoli 12, 15 e 23 – Diritto di accesso dell’interessato ai suoi dati oggetto di trattamento – Diritto di ottenere gratuitamente una prima copia di tali dati – Trattamento di dati di un paziente da parte del suo medico – Cartella medica – Motivi della richiesta di accesso – Utilizzo dei dati al fine di far valere la responsabilità del professionista sanitario – Nozione di “copia”»

Nella causa C‑307/22,

avente ad oggetto la domanda di pronuncia pregiudiziale proposta alla Corte, ai sensi dell’articolo 267 TFUE, dal Bundesgerichtshof (Corte federale di giustizia, Germania), con decisione del 29 marzo 2022, pervenuta in cancelleria il 10 maggio 2022, nel procedimento

contro

DW,

LA CORTE (Prima Sezione),

composta da A. Arabadjiev, presidente di sezione, T. von Danwitz, P.G. Xuereb, A. Kumin e I. Ziemele (relatrice), giudici,

avvocato generale: N. Emiliou

cancelliere: A. Calot Escobar

vista la fase scritta del procedimento,

considerate le osservazioni presentate:

– per il governo lettone, da K. Pommere, in qualità di agente;

– per la Commissione europea, da A. Bouchagiar, F. Erlbacher e H. Kranenborg, in qualità di agenti,

sentite le conclusioni dell’avvocato generale, presentate all’udienza del 20 aprile 2023,

ha pronunciato la seguente

Sentenza

1 La presente domanda di pronuncia pregiudiziale verte sull’interpretazione dell’articolo 12, paragrafo 5, dell’articolo 15, paragrafo 3, e dell’articolo 23, paragrafo 1, lettera i), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1, in prosieguo: il «RGPD»).

2 Tale domanda è stata presentata nell’ambito di una controversia tra FT e DW, in merito al rifiuto di FT, medico dentista, di trasmettere al suo paziente una prima copia della sua cartella medica a titolo gratuito.

Contesto normativo

Diritto dell’Unione

3 Ai sensi del considerando 4 del RGPD:

«(...) Il diritto alla protezione dei dati di carattere personale non è una prerogativa assoluta, ma va considerato alla luce della sua funzione sociale e va contemperato con altri diritti fondamentali, in ossequio al principio di proporzionalità. Il presente regolamento rispetta tutti i diritti fondamentali e osserva le libertà e i principi riconosciuti dalla [Carta dei diritti fondamentali dell’Unione europea], sanciti dai trattati, in particolare (…) la libertà d’impresa (…)».

4 I considerando 10 e 11 del RGPD così recitano:

«(10) Al fine di assicurare un livello coerente ed elevato di protezione delle persone fisiche e rimuovere gli ostacoli alla circolazione dei dati personali all’interno dell’Unione [europea], il livello di protezione dei diritti e delle libertà delle persone fisiche con riguardo al trattamento di tali dati dovrebbe essere equivalente in tutti al trattamento di tali dati dovrebbe essere equivalente in tutti gli Stati membri. (...)

(11) Un’efficace protezione dei dati personali in tutta l’Unione presuppone il rafforzamento e la disciplina dettagliata dei diritti degli interessati e degli obblighi di coloro che effettuano e determinano il trattamento dei dati personali, (...)».

5 In forza del considerando 13 del RGPD:

«(...) [L]e istituzioni e gli organi dell’Unione e gli Stati membri e le loro autorità di controllo sono invitati a considerare le esigenze specifiche delle micro, piccole e medie imprese nell’applicare il presente regolamento. (...)».

6 Il considerando 58 del RGPD precisa quanto segue:

«Il principio della trasparenza impone che le informazioni destinate al pubblico o all’interessato siano concise, facilmente accessibili e di facile comprensione e che sia usato un linguaggio semplice e chiaro, oltre che, se del caso, una visualizzazione. Tali informazioni potrebbero essere fornite in formato elettronico, ad esempio, se destinate al pubblico, attraverso un sito web. Ciò è particolarmente utile in situazioni in cui la molteplicità degli operatori coinvolti e la complessità tecnologica dell’operazione fanno sì che sia difficile per l’interessato comprendere se, da chi e per quali finalità sono raccolti dati personali che lo riguardano, quali la pubblicità online. Dato che i minori meritano una protezione specifica, quando il trattamento dati li riguarda, qualsiasi informazione e comunicazione dovrebbe utilizzare un linguaggio semplice e chiaro che un minore possa capire facilmente».

7 Come prevede il considerando 59 del RGPD:

«È opportuno prevedere modalità volte ad agevolare l’esercizio, da parte dell’interessato, dei diritti di cui al presente regolamento, compresi i meccanismi per richiedere e, se del caso, ottenere gratuitamente, in particolare l’accesso ai dati, la loro rettifica e cancellazione e per esercitare il diritto di opposizione (...)».

8 Il considerando 63 del RGPD è così formulato:

«Un interessato dovrebbe avere il diritto di accedere ai dati personali raccolti che l[o] riguardano e di esercitare tale diritto facilmente e a intervalli ragionevoli, per essere consapevole del trattamento e verificarne la liceità. Ciò include il diritto di accedere ai dati relativi alla salute, ad esempio le cartelle mediche contenenti informazioni quali diagnosi, risultati di esami, pareri di medici curanti o eventuali terapie o interventi praticati (...)».

9 L’articolo 4 del RGPD prevede quanto segue:

«Ai fini del presente regolamento s’intende per:

1) “dato personale”: qualsiasi informazione riguardante una persona fisica identificata o identificabile (“interessato”); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale;

2) “trattamento”: qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione;

(...)».

10 L’articolo 12 del RGPD così dispone:

«1. Il titolare del trattamento adotta misure appropriate per fornire all’interessato tutte le informazioni di cui agli articoli 13 e 14 e le comunicazioni di cui agli articoli da 15 a 22 e all’articolo 34 relative al trattamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro, in particolare nel caso di informazioni destinate specificamente ai minori. Le informazioni sono fornite per iscritto o con altri mezzi, anche, se del caso, con mezzi elettronici. Se richiesto dall’interessato, le informazioni possono essere fornite oralmente, purché sia comprovata con altri mezzi l’identità dell’interessato.

2. Il titolare del trattamento agevola l’esercizio dei diritti dell’interessato ai sensi degli articoli da 15 a 22. (...)

(...)

a) addebitare un contributo spese ragionevole tenendo conto dei costi amministrativi sostenuti per fornire le informazioni o la comunicazione o intraprendere l’azione richiesta; oppure

b) rifiutare di soddisfare la richiesta.

Incombe al titolare del trattamento l’onere di dimostrare il carattere manifestamente infondato o eccessivo della richiesta.

(...)».

11 L’articolo 15 del RGPD così dispone:

a) le finalità del trattamento,

b) le categorie di dati personali in questione;

c) i destinatari o le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, in particolare se destinatari di paesi terzi o organizzazioni internazionali;

d) quando possibile, il periodo di conservazione dei dati personali previsto oppure, se non è possibile, i criteri utilizzati per determinare tale periodo;

e) l’esistenza del diritto dell’interessato di chiedere al titolare del trattamento la rettifica o la cancellazione dei dati personali o la limitazione del trattamento dei dati personali che lo riguardano o di opporsi al loro trattamento;

f) il diritto di proporre reclamo a un’autorità di controllo;

g) qualora i dati non siano raccolti presso l’interessato, tutte le informazioni disponibili sulla loro origine;

h) l’esistenza di un processo decisionale automatizzato, compresa la profilazione di cui all’articolo 22, paragrafi 1 e 4, e, almeno in tali casi, informazioni significative sulla logica utilizzata, nonché l’importanza e le conseguenze previste di tale trattamento per l’interessato.

2. Qualora i dati personali siano trasferiti a un paese terzo o a un’organizzazione internazionale, l’interessato ha il diritto di essere informato dell’esistenza di garanzie adeguate ai sensi dell’articolo 46 relative al trasferimento.

3. Il titolare del trattamento fornisce una copia dei dati personali oggetto di trattamento. In caso di ulteriori copie richieste dall’interessato, il titolare del trattamento può addebitare un contributo spese ragionevole basato sui costi amministrativi. Se l’interessato presenta la richiesta mediante mezzi elettronici, e salvo indicazione diversa dell’interessato, le informazioni sono fornite in un formato elettronico di uso comune.

4. Il diritto di ottenere una copia di cui al paragrafo 3 non deve ledere i diritti e le libertà altrui».

12 Gli articoli 16 e 17 di detto regolamento sanciscono, rispettivamente, il diritto dell’interessato di ottenere la rettifica dei dati personali inesatti (diritto di rettifica), nonché il diritto, in determinate circostanze, alla cancellazione di tali dati (diritto alla cancellazione o «diritto all’oblio»).

13 L’articolo 18 del medesimo regolamento, intitolato «Diritto di limitazione di trattamento», al paragrafo 1 così dispone:

«L’interessato ha il diritto di ottenere dal titolare del trattamento la limitazione del trattamento quando ricorre una delle seguenti ipotesi:

a) l’interessato contesta l’esattezza dei dati personali, per il periodo necessario al titolare del trattamento per verificare l’esattezza di tali dati personali;

b) il trattamento è illecito e l’interessato si oppone alla cancellazione dei dati personali e chiede invece che ne sia limitato l’utilizzo;

c) benché il titolare del trattamento non ne abbia più bisogno ai fini del trattamento, i dati personali sono necessari all’interessato per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria;

d) l’interessato si è opposto al trattamento ai sensi dell’articolo 21, paragrafo 1, in attesa della verifica in merito all’eventuale prevalenza dei motivi legittimi del titolare del trattamento rispetto a quelli dell’interessato».

14 L’articolo 21 del RGPD, intitolato «Diritto di opposizione», al paragrafo 1 prevede quanto segue:

«L’interessato ha il diritto di opporsi in qualsiasi momento, per motivi connessi alla sua situazione particolare, al trattamento dei dati personali che lo riguardano ai sensi dell’articolo 6, paragrafo 1, lettere e) o f), compresa la profilazione sulla base di tali disposizioni. Il titolare del trattamento si astiene dal trattare ulteriormente i dati personali salvo che egli dimostri l’esistenza di motivi legittimi cogenti per procedere al trattamento che prevalgono sugli interessi, sui diritti e sulle libertà dell’interessato oppure per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria».

15 Ai sensi dell’articolo 23, paragrafo 1, del RGPD:

«Il diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento o il responsabile del trattamento può limitare, mediante misure legislative, la portata degli obblighi e dei diritti di cui agli articoli da 12 a 22 e 34, nonché all’articolo 5, nella misura in cui le disposizioni ivi contenute corrispondano ai diritti e agli obblighi di cui agli articoli da 12 a 22, qualora tale limitazione rispetti l’essenza dei diritti e delle libertà fondamentali e sia una misura necessaria e proporzionata in una società democratica per salvaguardare:

(...)

i) la tutela dell’interessato o dei diritti e delle libertà altrui;

(...)».

Diritto tedesco

16 Ai sensi dell’articolo 630f del Bürgerliches Gesetzbuch (codice civile; in prosieguo: il «BGB»), il professionista sanitario è obbligato a tenere, a fini di documentazione, una cartella medica in forma cartacea o elettronica, in diretta relazione temporale con il trattamento. Il professionista sanitario è tenuto a registrare nella cartella medica del paziente tutte le misure essenziali dal punto di vista medico per il trattamento in corso e futuro, nonché i relativi risultati, segnatamente, l’anamnesi, le diagnosi, gli esami, i risultati di esami, le conclusioni, le terapie e i loro effetti, gli interventi e i loro effetti, i consensi e le informazioni. Il professionista sanitario deve conservare la documentazione del paziente per dieci anni dopo la conclusione del trattamento, sempre che altre disposizioni non impongano periodi di conservazione diversi.

17 Ai sensi dell’articolo 630g, paragrafo 1, prima frase, del BGB, al paziente deve essere concesso, su richiesta, l’accesso immediato all’intera cartella medica che lo riguarda, purché motivi terapeutici importanti o altri diritti rilevanti di terzi non ostino alla consultazione. Ai sensi dell’articolo 630g, paragrafo 2, prima frase, del BGB, il paziente può anche richiedere copie elettroniche della cartella medica. Tenuto conto della motivazione della legge, ciò deve essere inteso nel senso che il paziente può pretendere a scelta la produzione di copie fisiche o elettroniche. L’articolo 630g, paragrafo 2, seconda frase, del BGB prevede che il paziente debba rimborsare al professionista sanitario i costi sostenuti.

Procedimento principale e questioni pregiudiziali

18 DW ha ricevuto cure dentistiche da FT. Sospettando che fossero stati commessi errori durante il trattamento che gli è stato somministrato, DW ha chiesto a FT la consegna, a titolo gratuito, di una prima copia della sua cartella medica. FT ha comunicato a DW che avrebbe risposto favorevolmente alla sua richiesta solo a condizione che si facesse carico delle spese connesse alla fornitura della copia della cartella medica, come previsto dal diritto nazionale.

19 DW ha proposto un ricorso contro FT. In primo grado e in appello è stata accolta la domanda di DW diretta ad ottenere, a titolo gratuito, una prima copia della sua cartella medica. Tali decisioni si basavano su un’interpretazione della normativa nazionale applicabile alla luce dell’articolo 12, paragrafo 5, nonché dell’articolo 15, paragrafi 1 e 3, del RGPD.

20 Il Bundesgerichtshof (Corte federale di giustizia, Germania), investito di un ricorso per cassazione («Revision») da FT, ritiene che la soluzione della controversia dipenda dall’interpretazione che occorre dare alle disposizioni del RGPD.

21 Il giudice del rinvio rileva che, in forza del diritto nazionale, il paziente può ottenere una copia della sua cartella medica, a condizione di rimborsare al professionista sanitario le spese che ne risultano.

22 Tuttavia, dall’articolo 15, paragrafo 3, prima frase, in combinato disposto con l’articolo 12, paragrafo 5, prima frase, del RGPD, potrebbe discendere che il titolare del trattamento, nel caso di specie il professionista sanitario, sia tenuto a trasmettere al paziente una prima copia della sua cartella medica a titolo gratuito.

23 In primo luogo, il giudice del rinvio rileva che DW chiede una prima copia della sua cartella medica al fine di far valere la responsabilità di FT. Una siffatta finalità sarebbe estranea a quella di cui al considerando 63 del RGPD, che prevede il diritto di accedere ai dati personali per essere consapevole del trattamento di tali dati e verificarne la liceità. Tuttavia, la formulazione dell’articolo 15 del RGPD non subordinerebbe a siffatti motivi l’esercizio del diritto alla comunicazione. Inoltre, tale disposizione non imporrebbe all’interessato di motivare la sua richiesta di comunicazione.

24 In secondo luogo, il giudice del rinvio sottolinea che l’articolo 23, paragrafo 1, del RGPD consente l’adozione di misure legislative nazionali che limitino la portata degli obblighi e dei diritti di cui agli articoli da 12 a 22 di tale regolamento al fine di garantire uno degli obiettivi previsti da detta disposizione. Nel caso di specie, FT invocherebbe l’obiettivo della tutela dei diritti e delle libertà altrui di cui all’articolo 23, paragrafo 1, lettera i), del RGPD e farebbe valere che il regime tariffario di cui all’articolo 630g, paragrafo 2, seconda frase, del BGB sia una misura necessaria e proporzionata al fine di tutelare i legittimi interessi dei professionisti sanitari, che consentirebbe, di norma, di prevenire richieste di copia immotivate da parte dei pazienti interessati.

25 Tuttavia, da un lato, l’articolo 630g, paragrafo 2, seconda frase, del BGB è stato adottato prima dell’entrata in vigore del RGPD.

26 Dall’altro lato, il regime tariffario di cui all’articolo 630g, paragrafo 2, seconda frase, del BGB mira, principalmente, a tutelare gli interessi economici dei professionisti sanitari. Occorrerebbe quindi stabilire se l’interesse di questi ultimi ad essere liberati dai costi e dagli oneri connessi alla consegna delle copie di dati rientri tra i diritti e le libertà altrui ai sensi dell’articolo 23, paragrafo 1, lettera i), del RGPD. Peraltro, il trasferimento sistematico ai pazienti delle spese connesse alle copie delle loro cartelle mediche potrebbe apparire eccessivo, in quanto non terrebbe conto dell’importo dei costi effettivamente sostenuti né delle circostanze specifiche di ciascuna richiesta.

27 In terzo luogo, nei limiti in cui DW chiede la consegna di una copia di tutta la documentazione medica che lo riguarda, e quindi della sua cartella medica, il giudice del rinvio si interroga sulla portata del diritto di ottenere una copia dei dati personali oggetto di trattamento, quale sancito all’articolo 15, paragrafo 3, del RGPD. A tale riguardo, detto diritto potrebbe essere soddisfatto mediante la comunicazione di una sintesi dei dati trattati dal medico. Tuttavia, emerge che gli obiettivi di trasparenza e di controllo di liceità previsti dal RGPD depongono a favore della comunicazione di una copia di tutti i dati di cui il titolare del trattamento dispone in forma grezza, vale a dire di tutta la documentazione medica riguardante il paziente nei limiti in cui contiene siffatti dati.

28 In tali circostanze, il Bundesgerichtshof (Corte federale di giustizia) ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali:

«1) Se l’articolo 15, paragrafo 3, prima frase, in combinato disposto con l’articolo 12, paragrafo 5, del [RGPD], debba essere interpretato nel senso che il titolare del trattamento (nella fattispecie il medico curante) non è tenuto a fornire gratuitamente all’interessato (nella fattispecie il paziente) una prima copia dei dati personali riguardanti quest’ultimo, trattati dal titolare del trattamento, qualora l’interessato non richieda la copia per perseguire le finalità di cui al considerando 63, prima frase, del RGPD, vale a dire per essere consapevole del trattamento e verificarne la liceità, bensì per perseguire una finalità diversa, non legata alla protezione dei dati ma lecita (nella fattispecie, la verifica della sussistenza di diritti in materia di responsabilità del medico).

2) In caso di risposta negativa alla prima questione:

b) In caso di risposta affermativa alla seconda questione, sub a), se l’articolo 23, paragrafo 1, lettera i), del RGPD debba essere interpretato nel senso che i diritti e le libertà altrui ivi menzionati comprendono anche l’interesse degli stessi allo sgravio dai costi connessi alla fornitura di una copia dei dati ai sensi dell’articolo 15, paragrafo 3, prima frase del medesimo regolamento e delle altre spese derivanti dalla messa a disposizione della copia.

c) In caso di risposta affermativa alla seconda questione, sub b), se una normativa nazionale che nel rapporto medico-paziente preveda sempre, e indipendentemente dalle circostanze concrete del caso di specie, un diritto al rimborso delle spese da parte del medico nei confronti del paziente in caso di consegna a quest’ultimo di una copia dei dati personali che figurano nella sua cartella medica possa essere considerata una limitazione, ai sensi dell’articolo 23, paragrafo 1, lettera i) del RGPD, degli obblighi e dei diritti derivanti dall’articolo 15, paragrafo 3, prima frase, in combinato disposto con l’articolo 12, paragrafo 5, del RGPD.

3. In caso di risposta negativa alla prima questione e [di risposta negativa anche alla seconda questione, da a) a c)], se nell’ambito del rapporto medico-paziente il diritto di cui all’articolo 15, paragrafo 3, prima frase, del RGPD comprenda il diritto alla consegna di copie di tutte le parti della cartella medica contenenti i dati personali del paziente, o se riguardi unicamente la consegna di una copia dei dati personali del paziente in quanto tale, lasciando al medico che tratta i dati la decisione circa le modalità di compilazione di tali dati per il paziente interessato».

Sulle questioni pregiudiziali

Sulla prima questione

29 Con la sua prima questione, il giudice del rinvio chiede, in sostanza, se l’articolo 12, paragrafo 5, e l’articolo 15, paragrafi 1 e 3, del RGPD debbano essere interpretati nel senso che l’obbligo di fornire all’interessato, a titolo gratuito, una prima copia dei suoi dati personali oggetto di trattamento grava sul titolare del trattamento, anche qualora tale richiesta sia motivata da uno scopo estraneo a quelli di cui al considerando 63, prima frase, di tale regolamento.

30 In via preliminare, occorre ricordare che, secondo una costante giurisprudenza, al fine di interpretare una disposizione del diritto dell’Unione occorre tener conto non soltanto della sua formulazione, ma anche del contesto e degli obiettivi perseguiti dalla normativa di cui essa fa parte [sentenza del 12 gennaio 2023, Österreichische Post (Informazioni relative ai destinatari di dati personali), C‑154/21, EU:C:2023:3, punto 29].

31 Per quanto riguarda, in primo luogo, la formulazione delle disposizioni pertinenti, occorre rilevare, da un lato, che l’articolo 12, paragrafo 5, del RGPD stabilisce il principio secondo cui l’esercizio del diritto di accesso dell’interessato ai suoi dati oggetto di trattamento e alle relative informazioni non comporta spese per l’interessato. Inoltre, tale disposizione prevede due motivi per i quali un titolare del trattamento può o addebitare un contributo spese ragionevole tenendo conto dei costi amministrativi o rifiutare di soddisfare una richiesta. Tali motivi riguardano casi di abuso di diritto, in cui le richieste dell’interessato sono «manifestamente infondate» o «eccessive», in particolare a causa del loro carattere ripetitivo.

32 A tale riguardo, il giudice del rinvio ha espressamente rilevato che la richiesta dell’interessato non era abusiva.

33 Dall’altro lato, il diritto di accesso dell’interessato ai suoi dati oggetto di trattamento e alle relative informazioni, che costituisce parte integrante del diritto alla protezione dei dati personali, è garantito all’articolo 15, paragrafo 1, del RGPD. In forza della formulazione di tale disposizione, gli interessati hanno il diritto di accedere ai loro dati personali oggetto di trattamento.

34 Inoltre, dall’articolo 15, paragrafo 3, del RGPD risulta che il titolare del trattamento fornisce una copia dei dati personali oggetto di trattamento e che può addebitare un contributo spese ragionevole in caso di ulteriori copie richieste dall’interessato. A tale riguardo, il paragrafo 4 di tale articolo precisa che il paragrafo 3 del medesimo conferisce un «diritto» a tale interessato. Un siffatto pagamento può quindi essere richiesto dal titolare del trattamento unicamente qualora l’interessato abbia già ricevuto, a titolo gratuito, una prima copia dei suoi dati e ne faccia nuovamente richiesta.

35 Come già dichiarato dalla Corte, dall’analisi testuale dell’articolo 15, paragrafo 3, prima frase, del RGPD risulta che tale disposizione conferisce all’interessato il diritto di ottenere una riproduzione fedele dei suoi dati personali, intesi in senso ampio, che siano oggetto di operazioni qualificabili come «trattamento effettuato dal titolare di tale trattamento» (sentenza del 4 maggio 2023, Österreichische Datenschutzbehörde e CRIF, C‑487/21, EU:C:2023:369, punto 28).

36 Pertanto, da una lettura combinata dell’articolo 12, paragrafo 5, e dell’articolo 15, paragrafi 1 e 3, del RGPD risulta, da un lato, il diritto, per l’interessato, di ottenere una prima copia a titolo gratuito dei suoi dati personali oggetto di trattamento e, dall’altro, la facoltà offerta al titolare del trattamento, a determinate condizioni, di addebitare spese ragionevoli che tengano conto dei costi amministrativi, o di rifiutare di soddisfare una richiesta se quest’ultima è manifestamente infondata o eccessiva.

37 Nel caso di specie, occorre rilevare che un medico che procede alle operazioni di trattamento di cui all’articolo 4, punto 2, del RGPD riguardanti i dati dei suoi pazienti deve essere considerato un «titolare del trattamento», ai sensi dell’articolo 4, punto 7, di tale regolamento, soggetto agli obblighi che detta qualità comporta, in particolare garantendo un accesso ai dati personali su richiesta degli interessati.

38 Si deve necessariamente constatare che né la formulazione dell’articolo 12, paragrafo 5, del RGPD né quella dell’articolo 15, paragrafi 1 e 3, di tale regolamento subordinano la fornitura, a titolo gratuito, di una prima copia dei dati personali al fatto che i suddetti interessati invochino un motivo diretto a giustificare le loro richieste. Tali disposizioni non offrono pertanto al titolare del trattamento la possibilità di chiedere i motivi della richiesta di accesso presentata dall’interessato.

39 Per quanto riguarda, in secondo luogo, il contesto in cui si inseriscono le disposizioni sopra menzionate, occorre sottolineare che l’articolo 12 del RGPD rientra nella sezione 1 del capo III di tale regolamento, vertente segnatamente sul principio di trasparenza, enunciato all’articolo 5, paragrafo 1, lettera a), del medesimo regolamento.

40 L’articolo 12 del RGPD enuncia quindi obblighi generali incombenti al titolare del trattamento per quanto riguarda la trasparenza delle informazioni e delle comunicazioni, nonché le modalità di esercizio dei diritti dell’interessato.

41 L’articolo 15 del RGPD, che rientra nella sezione 2 del capo III, riguardante l’informazione e l’accesso ai dati personali, completa il quadro di trasparenza del RGPD concedendo all’interessato un diritto di accesso ai suoi dati personali e un diritto di informazione sul trattamento di tali dati.

42 Occorre, inoltre, rilevare che, conformemente al considerando 59 del RGPD «[è] opportuno prevedere modalità volte ad agevolare l’esercizio, da parte dell’interessato, dei diritti di cui al presente regolamento, compresi i meccanismi per richiedere e, se del caso, ottenere gratuitamente, in particolare l’accesso ai dati, la loro rettifica e cancellazione e per esercitare il diritto di opposizione».

43 Dal momento che, come risulta dal punto 38 della presente sentenza, l’interessato non è tenuto a motivare la richiesta di accesso ai dati, la prima frase del considerando 63 non può essere interpretata nel senso che tale richiesta deve essere respinta se con essa si persegue un obiettivo diverso da quello di essere consapevole del trattamento dei dati e di verificarne la liceità. Tale considerando non può infatti restringere la portata dell’articolo 15, paragrafo 3, del RGPD, come ricordato al punto 35 della presente sentenza.

44 A tale riguardo, occorre ricordare che da una giurisprudenza costante risulta che il preambolo di un atto di diritto dell’Unione non ha valore giuridico vincolante e non può essere fatto valere né per derogare alle disposizioni stesse dell’atto interessato né al fine di interpretare tali disposizioni in un senso manifestamente in contrasto con la loro formulazione (sentenza del 13 settembre 2018, Česká pojišťovna, C‑287/17, EU:C:2018:707, punto 33).

45 Del resto, il considerando 63 enuncia, ai sensi della sua seconda frase, che il diritto di accedere ai dati personali riconosciuto agli interessati include, per quanto riguarda i dati relativi alla loro salute, «[i] dati relativi [alle loro] cartelle mediche contenenti informazioni quali diagnosi, risultati di esami, pareri di medici curanti o eventuali terapie o interventi praticati».

46 In tali circostanze, il diritto di accedere ai dati relativi alla salute garantito dall’articolo 15, paragrafo 1, del RGPD non può essere limitato, mediante un diniego di accesso o l’imposizione del pagamento di un corrispettivo, a uno dei motivi menzionati nella prima frase del considerando 63. Lo stesso vale per il diritto di ottenere una prima copia a titolo gratuito, come previsto all’articolo 12, paragrafo 5, e all’articolo 15, paragrafo 3, di tale regolamento.

47 In terzo luogo, per quanto riguarda gli obiettivi perseguiti dal RGPD, occorre rilevare che tale regolamento ha per finalità, come indicato ai suoi considerando 10 e 11, di assicurare un livello coerente ed elevato di protezione delle persone fisiche all’interno dell’Unione nonché il rafforzamento e la disciplina dettagliata dei diritti degli interessati.

48 È proprio ai fini della realizzazione di tale obiettivo che l’articolo 15, paragrafo 1, garantisce all’interessato un diritto di accedere ai propri dati personali (v., in tal senso, sentenza del 22 giugno 2023, Pankki S, C‑579/21, EU:C:2023:501, punto 57 e giurisprudenza ivi citata).

49 Pertanto, l’articolo 12, paragrafo 5, e l’articolo 15, paragrafi 1 e 3, del RGPD fanno parte delle disposizioni destinate a garantire tale diritto di accesso nonché la trasparenza delle modalità di trattamento dei dati personali nei confronti dell’interessato [v., in tal senso, sentenza del 12 gennaio 2023, Österreichische Post (Informazioni relative ai destinatari di dati personali), C‑154/21, EU:C:2023:3, punto 42].

50 Orbene, il principio della gratuità della prima copia dei dati nonché l’assenza di necessità di invocare un motivo specifico che giustifichi la richiesta di accesso contribuiscono necessariamente ad agevolare l’esercizio, da parte dell’interessato, dei diritti conferitigli dal RGPD.

51 Di conseguenza, data l’importanza che il RGPD attribuisce al diritto di accedere ai dati personali oggetto di trattamento, quale garantito all’articolo 15, paragrafo 1, del RGPD per conseguire siffatti obiettivi, l’esercizio di tale diritto non può essere subordinato a condizioni che non siano state espressamente previste dal legislatore dell’Unione, come l’obbligo di invocare uno dei motivi menzionati al considerando 63, prima frase, del RGPD.

52 Alla luce di tutte le considerazioni che precedono, occorre rispondere alla prima questione dichiarando che l’articolo 12, paragrafo 5, e l’articolo 15, paragrafi 1 e 3, del RGPD devono essere interpretati nel senso che l’obbligo di fornire all’interessato, a titolo gratuito, una prima copia dei suoi dati personali oggetto di trattamento grava sul titolare del trattamento anche qualora tale richiesta sia motivata da uno scopo estraneo a quelli di cui al considerando 63, prima frase, di detto regolamento.

Sulla seconda questione

53 Con la sua seconda questione, il giudice del rinvio chiede, in sostanza, se l’articolo 23, paragrafo 1, lettera i), del RGPD debba essere interpretato nel senso che esso autorizza una normativa nazionale, adottata prima dell’entrata in vigore di tale regolamento, che, al fine di tutelare gli interessi economici del titolare del trattamento, pone a carico dell’interessato le spese di una prima copia dei suoi dati personali oggetto di tale trattamento.

54 In primo luogo, per quanto riguarda la questione se solo le misure nazionali adottate successivamente all’entrata in vigore del RGPD possano rientrare nell’ambito di applicazione dell’articolo 23, paragrafo 1, del RGPD, occorre sottolineare che la formulazione di tale disposizione non contiene alcuna indicazione al riguardo.

55 Infatti, l’articolo 23, paragrafo 1, del RGPD si limita ad indicare che una misura legislativa di uno Stato membro può limitare la portata degli obblighi e dei diritti di cui agli articoli da 12 a 22 di tale regolamento purché tali misure corrispondano ai diritti e agli obblighi previsti da detti articoli e qualora tale limitazione rispetti l’essenza dei diritti e delle libertà fondamentali e sia una misura necessaria e proporzionata per salvaguardare, in particolare, la tutela dei diritti e delle libertà altrui.

56 Di conseguenza, l’articolo 23, paragrafo 1, del RGPD non esclude dal suo ambito di applicazione le misure legislative nazionali adottate prima dell’entrata in vigore del RGPD, purché queste soddisfino le condizioni da esso prescritte.

57 In secondo luogo, per quanto riguarda la questione se una normativa nazionale che, al fine di tutelare l’interesse economico dei professionisti sanitari, ponga a carico del paziente i costi connessi alla fornitura di una prima copia della cartella medica richiesta da quest’ultimo, rientri nell’ambito di applicazione dell’articolo 23, paragrafo 1, lettera i), del RGPD, occorre ricordare, innanzitutto, che, come risulta dai punti 31 e da 33 a 36 della presente sentenza, in forza dell’articolo 12, paragrafo 5, e dell’articolo 15, paragrafi 1 e 3, di tale regolamento, all’interessato è riconosciuto il diritto di ottenere una prima copia a titolo gratuito dei suoi dati personali oggetto di trattamento.

58 La seconda frase dell’articolo 15, paragrafo 3, del RGPD autorizza, tuttavia, il titolare del trattamento ad addebitare un contributo spese ragionevole basato sui costi amministrativi in caso di ulteriori copie. Peraltro, l’articolo 12, paragrafo 5, del RGPD, letto alla luce dell’articolo 15, paragrafi 1 e 3, di tale regolamento, consente al titolare del trattamento di tutelarsi dall’abuso del diritto di accesso, richiedendo il pagamento di un contributo spese ragionevole, in caso di richiesta manifestamente infondata o eccessiva.

59 Inoltre, in forza del considerando 4 di tale regolamento, il diritto alla protezione dei dati personali non è una prerogativa assoluta e va contemperato con altri diritti fondamentali, in ossequio al principio di proporzionalità. Pertanto, il RGPD rispetta tutti i diritti fondamentali e osserva le libertà e i principi riconosciuti dalla Carta dei diritti fondamentali, sanciti dai trattati (sentenza del 24 febbraio 2022, Valsts ieņēmumu dienests (Trattamento di dati personali a fini fiscali), C‑175/20, EU:C:2022:124, punto 53).

60 Infatti, l’articolo 15, paragrafo 4, del RGPD prevede che «[i]l diritto di ottenere una copia (…) non deve ledere i diritti e le libertà altrui».

61 Analogamente, l’articolo 23, paragrafo 1, lettera i), del RGPD ricorda che una limitazione della portata degli obblighi e dei diritti previsti, in particolare, all’articolo 15 del RGPD è possibile «qualora tale limitazione rispetti l’essenza dei diritti e delle libertà fondamentali e sia una misura necessaria e proporzionata in una società democratica per salvaguardare (…) la tutela (…) dei diritti e delle libertà altrui».

62 Di conseguenza, dai punti da 59 a 61 della presente sentenza risulta che il diritto riconosciuto all’interessato di ottenere una prima copia a titolo gratuito dei suoi dati personali oggetto di trattamento non è assoluto.

63 Infine, solo considerazioni relative, in particolare, alla tutela dei diritti e delle libertà altrui sarebbero idonee a giustificare una limitazione di tale diritto, purché una siffatta limitazione ne rispetti l’essenza e costituisca una misura necessaria e proporzionata al fine di salvaguardare tale tutela, come previsto dall’articolo 23, paragrafo 1, lettera i), del RGPD.

64 Orbene, come risulta dalla decisione di rinvio, il regime tariffario previsto all’articolo 630g, paragrafo 2, seconda frase, del BGB consente al professionista sanitario di porre a carico del paziente i costi connessi alla fornitura di una prima copia della sua cartella medica. Il giudice del rinvio sottolinea che tale regime mira, in primo luogo, a tutelare gli interessi economici dei professionisti sanitari, il che dissuaderebbe i pazienti dal formulare inutilmente richieste di copia della loro cartella medica. Pertanto, nei limiti in cui la normativa nazionale di cui trattasi nel procedimento principale abbia effettivamente l’obiettivo di tutelare gli interessi economici dei professionisti sanitari, circostanza che spetta al giudice del rinvio verificare, siffatte considerazioni non possono rientrare tra i «diritti e [le] libertà altrui» di cui all’articolo 23, paragrafo 1, lettera i), del RGPD.

65 Infatti, in primo luogo, una siffatta normativa porta a scoraggiare non soltanto le richieste inutili, ma anche le richieste dirette ad ottenere per un motivo legittimo una prima copia, a titolo gratuito, dei dati personali trattati. Di conseguenza, essa viola necessariamente il principio della gratuità della prima copia e rimette quindi in discussione l’effetto utile del diritto di accesso previsto all’articolo 15, paragrafo 1, del RGPD nonché, di conseguenza, la protezione garantita da tale regolamento.

66 In secondo luogo, dalla decisione di rinvio non risulta che gli interessi tutelati dalla normativa nazionale vadano al di là di considerazioni di ordine puramente amministrativo o economico.

67 A tale riguardo, occorre sottolineare che gli interessi economici dei titolari del trattamento sono stati presi in considerazione dal legislatore dell’Unione, ai sensi dell’articolo 12, paragrafo 5, e dell’articolo 15, paragrafo 3, seconda frase, del RGPD, i quali, come ricordato al punto 58 della presente sentenza, definiscono le circostanze in cui il titolare del trattamento può chiedere il pagamento delle spese connesse alla fornitura di una copia dei dati personali oggetto di trattamento.

68 In tali circostanze, il perseguimento dell’obiettivo connesso alla tutela degli interessi economici dei professionisti sanitari non può giustificare una misura che porti a rimettere in discussione il diritto di ottenere, a titolo gratuito, una prima copia e, in tal modo, l’effetto utile del diritto di accesso dell’interessato ai suoi dati personali oggetto di trattamento.

69 Alla luce di tutte le considerazioni che precedono, occorre rispondere alla seconda questione dichiarando che l’articolo 23, paragrafo 1, lettera i), del RGPD deve essere interpretato nel senso che una normativa nazionale adottata prima dell’entrata in vigore di tale regolamento può rientrare nell’ambito di applicazione di detta disposizione. Tuttavia, una siffatta facoltà non consente di adottare una normativa nazionale che, al fine di tutelare gli interessi economici del titolare del trattamento, ponga a carico dell’interessato le spese di una prima copia dei suoi dati personali oggetto di tale trattamento.

Sulla terza questione

70 Con la sua terza questione, il giudice del rinvio chiede, in sostanza, se l’articolo 15, paragrafo 3, prima frase, del RGPD debba essere interpretato nel senso che, nell’ambito di un rapporto medico/paziente, il diritto di ottenere una copia dei dati personali oggetto di trattamento implica che sia consegnata all’interessato una copia integrale dei documenti contenuti nella sua cartella medica e che contengono i suoi dati personali o soltanto una copia di detti dati in quanto tali.

71 Anzitutto, la Corte ha dichiarato che, in forza della sua formulazione, l’articolo 15, paragrafo 3, prima frase, del RGPD conferisce all’interessato il diritto di ottenere una riproduzione fedele dei suoi dati personali, intesi in senso ampio, che siano oggetto di operazioni qualificabili come «trattamento» effettuato dal titolare di tale trattamento (sentenza del 4 maggio 2023, Österreichische Datenschutzbehörde e CRIF, C‑487/21, EU:C:2023:369, punto 28).

72 Poi, l’articolo 15 del RGPD non può essere interpretato nel senso che sancisce, al paragrafo 3, prima frase, un diritto distinto da quello previsto al paragrafo 1. Peraltro, il termine «copia» si riferisce non già a un documento in quanto tale, bensì ai dati personali che esso contiene e che devono essere completi. La copia deve quindi contenere tutti i dati personali oggetto di trattamento (sentenza del 4 maggio 2023, Österreichische Datenschutzbehörde e CRIF, C‑487/21, EU:C:2023:369, punto 32).

73 Infine, per quanto riguarda gli obiettivi perseguiti all’articolo 15 del RGPD, quest’ultimo ha ad oggetto il rafforzamento e la disciplina dettagliata dei diritti degli interessati. Pertanto, il diritto di accesso previsto a tale disposizione deve consentire all’interessato di verificare che i dati personali che lo riguardano siano corretti e trattati in modo lecito. Peraltro, la copia dei dati personali oggetto di trattamento, che il titolare del trattamento è tenuto a fornire ai sensi dell’articolo 15, paragrafo 3, prima frase, del RGPD, deve presentare tutte le caratteristiche che consentano all’interessato di esercitare effettivamente i suoi diritti a norma di tale regolamento e, pertanto, deve riprodurre integralmente e fedelmente tali dati (sentenza del 4 maggio 2023, Österreichische Datenschutzbehörde e CRIF, C‑487/21, EU:C:2023:369, punti 33, 34 e 39).

74 In particolare, per garantire che le informazioni fornite dal titolare del trattamento siano facilmente comprensibili, come richiesto all’articolo 12, paragrafo 1, del RGPD, in combinato disposto con il considerando 58 di tale regolamento, la riproduzione di estratti di documenti o addirittura di documenti interi contenenti, tra l’altro, i dati personali oggetto di trattamento può rivelarsi indispensabile nel caso in cui la contestualizzazione dei dati trattati sia necessaria per garantirne l’intelligibilità (sentenza del 4 maggio 2023, Österreichische Datenschutzbehörde e CRIF, C‑487/21, EU:C:2023:369, punto 41).

75 Di conseguenza, il diritto di ottenere dal titolare del trattamento una copia dei dati personali oggetto di trattamento implica che sia consegnata all’interessato una riproduzione fedele e intelligibile dell’insieme di tali dati. Detto diritto presuppone quello di ottenere copia di estratti di documenti o addirittura di documenti interi o, ancora, di estratti di banche dati contenenti, tra l’altro, tali dati, se la fornitura di una siffatta copia è indispensabile per consentire all’interessato di esercitare effettivamente i diritti conferitigli da tale regolamento (sentenza del 4 maggio 2023, Österreichische Datenschutzbehörde e CRIF, C‑487/21, EU:C:2023:369, punto 45).

76 Per quanto riguarda le informazioni di cui trattasi nel procedimento principale, occorre rilevare che il RGPD individua elementi di cui il ricorrente nel procedimento principale dovrebbe poter chiedere una copia. Così, per quanto riguarda i dati personali relativi alla salute, il considerando 63 di tale regolamento specifica che il diritto di accesso degli interessati include «[i] dati relativi [alle loro] cartelle mediche contenenti informazioni quali diagnosi, risultati di esami, pareri di medici curanti o eventuali terapie o interventi praticati».

77 A tale riguardo, come rilevato, in sostanza, dall’avvocato generale ai paragrafi da 78 a 80 delle sue conclusioni, è a causa della sensibilità dei dati personali relativi alla salute delle persone fisiche che il legislatore dell’Unione ha così sottolineato l’importanza che l’accesso di queste ultime ai loro dati contenuti nel loro cartella medica avvenga nel modo più completo e preciso possibile, ma anche intelligibile.

78 Orbene, per quanto riguarda risultati di esami, pareri di medici curanti e terapie o interventi praticati ad un paziente, che comprendono, in generale, numerosi dati tecnici, o addirittura immagini, la fornitura di una semplice sintesi o di una compilazione di tali dati da parte del medico, al fine di presentarli in forma sintetica, potrebbe creare il rischio che taluni dati pertinenti siano omessi o riprodotti in modo inesatto o, in ogni caso, che la verifica della loro esattezza e della loro completezza nonché la loro comprensione da parte del paziente ne siano rese più difficili.

79 Alla luce di tutte le considerazioni che precedono, occorre rispondere alla terza questione dichiarando che l’articolo 15, paragrafo 3, prima frase, del RGPD deve essere interpretato nel senso che, nell’ambito di un rapporto medico/paziente, il diritto di ottenere una copia dei dati personali oggetto di trattamento implica che sia consegnata all’interessato una riproduzione fedele e intelligibile dell’insieme di tali dati. Tale diritto presuppone quello di ottenere la copia integrale dei documenti contenuti nella sua cartella medica che contengano, tra l’altro, detti dati, qualora la fornitura di una siffatta copia sia necessaria per consentire all’interessato di verificarne l’esattezza e la completezza nonché per garantirne l’intelligibilità. Per quanto riguarda i dati relativi alla salute dell’interessato, tale diritto include in ogni caso quello di ottenere una copia dei dati della sua cartella medica contenente informazioni quali diagnosi, risultati di esami, pareri di medici curanti o eventuali terapie o interventi praticati al medesimo.

Sulle spese

80 Nei confronti delle parti nel procedimento principale la presente causa costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.

Per questi motivi, la Corte (Prima Sezione) dichiara:

1) L’articolo 12, paragrafo 5, e l’articolo 15, paragrafi 1 e 3, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati),

devono essere interpretati nel senso che

l’obbligo di fornire all’interessato, a titolo gratuito, una prima copia dei suoi dati personali oggetto di trattamento grava sul titolare del trattamento anche qualora tale richiesta sia motivata da uno scopo estraneo a quelli di cui al considerando 63, prima frase, di detto regolamento.

2) L’articolo 23, paragrafo 1, lettera i), del regolamento 2016/679

deve essere interpretato nel senso che:

una normativa nazionale adottata prima dell’entrata in vigore di tale regolamento può rientrare nell’ambito di applicazione di detta disposizione. Tuttavia, una siffatta facoltà non consente di adottare una normativa nazionale che, al fine di tutelare gli interessi economici del titolare del trattamento, ponga a carico dell’interessato le spese di una prima copia dei suoi dati personali oggetto di tale trattamento.

3) L’articolo 15, paragrafo 3, prima frase, del regolamento 2016/679

deve essere interpretato nel senso che:

nell’ambito di un rapporto medico/paziente, il diritto di ottenere una copia dei dati personali oggetto di trattamento implica che sia consegnata all’interessato una riproduzione fedele e intelligibile dell’insieme di tali dati. Tale diritto presuppone quello di ottenere la copia integrale dei documenti contenuti nella sua cartella medica che contengano, tra l’altro, detti dati, qualora la fornitura di una siffatta copia sia necessaria per consentire all’interessato di verificarne l’esattezza e la completezza nonché per garantirne l’intelligibilità. Per quanto riguarda i dati relativi alla salute dell’interessato, tale diritto include in ogni caso quello di ottenere una copia dei dati della sua cartella medica contenente informazioni quali diagnosi, risultati di esami, pareri di medici curanti o eventuali terapie o interventi praticati al medesimo.

Firme

* Lingua processuale: il tedesco.