Il diritto di accesso è il diritto degli interessati di prendere visione e di estrarre copia di documenti amministrativi[1]. Nel presente articolo si cercherà di fornire informazioni utili al fine di comprendere un diritto di accesso particolare: quello riguardante le persone decedute. Detto diritto è disciplinato dal Codice in materia di protezione dei dati personali (“Codice della privacy”) e non deve essere motivato poiché trattasi di un diritto rispondente all’interesse dell’ordinamento, finalizzato ad assicurare ai cittadini l’accesso a dati, documenti e informazioni detenuti dalla Pubblica Amministrazione.
Quale norma prevede questo tipo di accesso?
Il Regolamento UE 679/2016 (d’ora in avanti, GDPR) precisa al Considerando 27 l’esclusione dell’applicazione della normativa ai dati delle persone decedute. Tuttavia, lo stesso considerando, statuisce una clausola di salvaguardia con la quale viene concessa ai singoli Stati membri dell’Unione la possibilità di prevedere norme a tutela del trattamento dei dati delle persone decedute. Per questo motivo, l’Italia si è avvalsa di questa facoltà con il Codice Privacy, estendendo le norme di cui al GDPR anche ai trattamenti dei dati di persone decedute. In tal senso, il legislatore italiano ha deciso di agire sulla base dei precedenti provvedimenti da parte del Garante. Si ricordi, ad esempio, il provvedimento del 19 dicembre 2002 nel quale il Garante, intervenendo in occasione del crollo di una scuola (evento nel quale persero la vita dei bambini), precisò che le tutele ai dati personali riguardano anche il trattamento dei dati di un soggetto deceduto.
Il diritto di cui in esame è stato, difatti, statuito all’articolo 2-terdecies del D.Lgs. n. 196/2003 e s.m.i., Codice in materia di protezione dei dati personali, il quale afferma:
- “I diritti di cui agli articoli da 15 a 22 del Regolamento riferiti ai dati personali concernenti persone decedute possono essere esercitati da chi ha un interesse proprio, o agisce a tutela dell’interessato, in qualità di suo mandatario, o per ragioni familiari meritevoli di protezione.
- L’esercizio dei diritti di cui al comma 1 non è ammesso nei casi previsti dalla legge o quando, limitatamente all’offerta diretta di servizi della società dell’informazione, l’interessato lo ha espressamente vietato con dichiarazione scritta presentata al titolare del trattamento o a quest’ultimo comunicata.
- La volontà dell’interessato di vietare l’esercizio dei diritti di cui al comma 1 deve risultare in modo non equivoco e deve essere specifica, libera e informata; il divieto può riguardare l’esercizio soltanto di alcuni dei diritti di cui al predetto comma.
- L’interessato ha in ogni momento il diritto di revocare o modificare il divieto di cui ai commi 2 e 3.
- In ogni caso, il divieto non può produrre effetti pregiudizievoli per l’esercizio da parte dei terzi dei diritti patrimoniali che derivano dalla morte dell’interessato nonché del diritto di difendere in giudizio i propri interessi”.
Chi può chiedere l’accesso?
Sulla base di quanto esplicitato dal primo comma dell’articolo sopra enunciato, tale diritto di accesso spetta all’individuo che ha un interesse proprio o a chi agisce a tutela dell’interessato, come suo mandatario o per ragioni familiari meritevoli di protezione.
Eredi e dati anagrafici del delegato dal de cuius
Sebbene la disciplina in materia di tutela dei dati personali riconosca a chiunque vi abbia interesse, e dunque anche gli eredi, il diritto di accedere ai dati di una persona deceduta, tuttavia non rientrano in tale categoria i dati anagrafici relativi ad un soggetto delegato dal de cuius ad operare sui suoi rapporti bancari. Tali dati non sono infatti dati personali del defunto, ma sono dati personali di un soggetto terzo. Ne consegue che il ricorso al Garante, proposto dagli eredi del titolare di una polizza titoli nei confronti di un istituto di credito, volto a conoscere gli estremi identificativi della persona delegata dal defunto ad operare sui titoli stessi, va dichiarato inammissibile (nella specie la banca, dopo un iniziale rifiuto, si era dichiarata disponibile ad aderire alle richieste formulate senza, però, dar seguito a tale proposito almeno fino alla decisione del ricorso).
A chi può essere avanzata la richiesta di accesso?
Al Titolare del trattamento (vale a dire alla Società, alla Pubblica Amministrazione, al libero professionista, etc. che determina le finalità e tratta i dati dell’interessato), anche per il tramite del Responsabile per la protezione dei dati personali, laddove nominato.
Che cosa si può esigere?
Si possono chiedere:
- i dati personali della persona deceduta;
- le finalità del trattamento;
- le categorie di dati;
- i destinatari o le categorie di destinatari a cui i dati sono o saranno comunicati;
- il periodo di conservazione dei dati o i criteri utilizzati per determinarlo;
- l’origine dei dati;
- l’esistenza di un processo decisionale automatizzato, compresa la profilazione o trasferimenti dei propri dati fuori dall’Unione Europea.
Sono previsti dei costi per l’accesso a tale diritto?
No, le informazioni fornite in merito sono gratuite. Tuttavia, l’articolo 12 paragrafo 5[2] del GDPR stabilisce che qualora le richieste dell’interessato siano manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, il Titolare del trattamento può:
- addebitare un contributo spese ragionevole, tenendo conto dei costi amministrativi sostenuti per fornire le informazioni;
- oppure rifiutare di soddisfare la richiesta.
Incombe al Titolare del trattamento l’onere di dimostrare il carattere manifestamente infondato o eccessivo della richiesta.
Esistono eccezioni o limiti?
Sì, poiché, ai sensi del secondo comma dell’articolo 2-terdecies del D.Lgs. n. 196/2003, il diritto di accesso ai dati di persone decedute è escluso:
- nei casi previsti dalla legge;
- o quando, limitatamente all’offerta diretta di servizi della società dell’informazione, la persona deceduta lo abbia espressamente vietato con dichiarazione scritta presentata al Titolare del trattamento o a quest’ultimo comunicata.
Il quinto comma dell’articolo sopra citato precisa, però, che in ogni caso, il divieto non potrà produrre effetti pregiudizievoli per l’esercizio da parte dei terzi dei diritti patrimoniali che derivano dalla morte dell’interessato, nonché del diritto di difendere in giudizio i propri interessi.
In quanto tempo deve essere fornita una risposta?
Quando viene presentata la richiesta per accedere ai dati del deceduto è importante fornire risposta prestando la massima attenzione al rispetto della privacy. La normativa prevede che a fronte della domanda si debba fornire riscontro entro un mese dalla richiesta, salvo eventuali proroghe nei casi previsti dall’articolo 12 del GDPR.
Quali sono gli strumenti di tutela in caso di mancato riscontro o riscontro negato?
Il richiedente può rivolgere un reclamo al Garante o ricorrere all’Autorità giudiziaria.
di Alessandra Totaro
[1] Per “documento amministrativo” si intende ogni rappresentazione grafica, fotocinematografica, elettromagnetica o di qualunque altra specie del contenuto di atti, anche interni o non relativi ad uno specifico procedimento, detenuti da una Pubblica Amministrazione e concernenti attività di pubblico interesse, indipendentemente dalla natura pubblicistica o privatistica della loro disciplina sostanziale. Non è necessario che il documento sia stato formato dall’amministrazione in questione ma è sufficiente che sia detenuto da questa.
[2] L’articolo 12 del Regolamento UE 679/2016 relativo a “Informazioni, comunicazioni e modalità trasparenti per l’esercizio dei diritti dell’interessato”, disciplina quanto segue: “1. Il titolare del trattamento adotta misure appropriate per fornire all’interessato tutte le informazioni di cui agli articoli 13 e 14 e le comunicazioni di cui agli articoli da 15 a 22 e all’articolo 34 relative al trattamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro, in particolare nel caso di informazioni destinate specificamente ai minori. Le informazioni sono fornite per iscritto o con altri mezzi, anche, se del caso, con mezzi elettronici. Se richiesto dall’interessato, le informazioni possono essere fornite oralmente, purché sia comprovata con altri mezzi l’identità dell’interessato. 2. Il titolare del trattamento agevola l’esercizio dei diritti dell’interessato ai sensi degli articoli da 15 a 22. Nei casi di cui all’articolo 11, paragrafo 2, il titolare del trattamento non può rifiutare di soddisfare la richiesta dell’interessato al fine di esercitare i suoi diritti ai sensi degli articoli da 15 a 22, salvo che il titolare del trattamento dimostri che non è in grado di identificare l’interessato. 3. Il titolare del trattamento fornisce all’interessato le informazioni relative all’azione intrapresa riguardo a una richiesta ai sensi degli articoli da 15 a 22 senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa. Tale termine può essere prorogato di due mesi, se necessario, tenuto conto della complessità e del numero delle richieste. Il titolare del trattamento informa l’interessato di tale proroga, e dei motivi del ritardo, entro un mese dal ricevimento della richiesta. Se l’interessato presenta la richiesta mediante mezzi elettronici, le informazioni sono fornite, ove possibile, con mezzi elettronici, salvo diversa indicazione dell’interessato. 4. Se non ottempera alla richiesta dell’interessato, il titolare del trattamento informa l’interessato senza ritardo, e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell’inottemperanza e della possibilità di proporre reclamo a un’autorità di controllo e di proporre ricorso giurisdizionale. 5. Le informazioni fornite ai sensi degli articoli 13 e 14 ed eventuali comunicazioni e azioni intraprese ai sensi degli articoli da 15 a 22 e dell’articolo 34 sono gratuite. Se le richieste dell’interessato sono manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, il titolare del trattamento può: a) addebitare un contributo spese ragionevole tenendo conto dei costi amministrativi sostenuti per fornire le informazioni o la comunicazione o intraprendere l’azione richiesta; oppure b) rifiutare di soddisfare la richiesta. Incombe al titolare del trattamento l’onere di dimostrare il carattere manifestamente infondato o eccessivo della richiesta. 6. Fatto salvo l’articolo 11, qualora il titolare del trattamento nutra ragionevoli dubbi circa l’identità della persona fisica che presenta la richiesta di cui agli articoli da 15 a 21, può richiedere ulteriori informazioni necessarie per confermare l’identità dell’interessato. 7. Le informazioni da fornire agli interessati a norma degli articoli 13 e 14 possono essere fornite in combinazione con icone standardizzate per dare, in modo facilmente visibile, intelligibile e chiaramente leggibile, un quadro d’insieme del trattamento previsto. Se presentate elettronicamente, le icone sono leggibili da dispositivo automatico. 8. Alla Commissione è conferito il potere di adottare atti delegati conformemente all’articolo 92 al fine di stabilire le informazioni da presentare sotto forma di icona e le procedure per fornire icone standardizzate”.
