Articolo dell’Avv. Lia Ruozi Berretta, Partner
***
Con il provvedimento n. 560 del 26 ottobre 2023, il Garante Privacy si è espresso in tema di diritto alla riservatezza e diritto di accesso. Il caso esaminato con il provvedimento interpretativo in questione, in particolare, riguardava il diritto degli eredi di accedere alla polizza assicurativa del defunto, al fine di identificare il nominativo del terzo beneficiario.
Le norme di riferimento, in questo caso, sono l’art. 15 del GDPR, che sancisce il diritto dell’interessato a chiedere informazioni sui trattamenti di dati personali che lo riguardano, a condizione che non siano lesi i diritti e le libertà altrui, e l’art. 2-terdecies del D.Lgs n. 196 del 2003, in base al quale il diritto medesimo si estende, limitatamente ai dati personali delle persone decedute, agli eredi di queste ultime, quando agiscano per ragioni proprie, di tutela dell’interessato, o per ragioni familiari meritevoli di tutela.
Dato il quadro normativo esposto, si era presentato, tra gli interpreti, un dubbio in relazione alla disciplina applicabile nel caso in cui i dati di cui si chiede l’ostensione non fossero quelli riferibili direttamente al defunto, ma a terzi, come nel caso in cui l’erede intenda conoscere l’identità del beneficiario della polizza assicurativa stipulata dal soggetto deceduto.
Un primo orientamento (abbracciato, tra l’altro, dalla Cassazione nella Sentenza n. 17790 dell’8 settembre 2015), in relazione a queste ipotesi, aveva ritenuto che gli unici dati che la compagnia assicurativa dovesse fornire sono quelli riferibili al defunto, mentre il nominativo del beneficiario potrebbe essere comunicato solo con il consenso di quest’ultimo. L’art. 2-terdecies del Codice Privacy, infatti, non legittimerebbe l’accesso a dati personali identificativi di soggetti terzi che non abbiano preso parte direttamente al rapporto contrattuale assicurativo, ma che ne siano esclusivamente beneficiari.
Una diversa interpretazione, sostenuta dalla giurisprudenza più recente (Cass. n. 39531 del 13 dicembre 2021), aveva invece ritenuto che la necessità di esercitare il diritto di difesa giudiziale, garantito a livello costituzionale, dovesse essere prevalente rispetto alle esigenze di riservatezza del terzo destinatario della polizza. Di conseguenza, in presenza di un interesse “autentico e non surrettizio” alla difesa giudiziale, la tutela alla privacy del terzo deve cedere.
Nel definire la propria posizione, il Garante Privacy, nel provvedimento citato, ribadisce l’assunto per cui il diritto alla riservatezza non ha un valore assoluto, ma deve sempre essere bilanciato con altre situazioni giuridicamente rilevanti, e, in particolare, con il diritto ad agire e difendersi in giudizio.
Per verificare la prevalenza del diritto di accesso ai dati personali di terzi sul diritto di questi ultimi a mantenere riservata la propria identità, dunque, il destinatario dell’istanza di accesso (ossia, nel caso esaminato, la compagnia assicuratrice), dovrà eseguire una duplice operazione di controllo, verificando:
- che il richiedente sia effettivamente titolare di una posizione di diritto soggettivo riconosciuta e tutelata dall’ordinamento;
- che l’interesse fatto valere sia concreto ed attuale, ossia strettamente strumentale all’esercizio di un’azione giudiziaria volta a difendere la propria posizione.
Quando entrambe le circostanze ricorrono, in definitiva, il diritto dell’erede a conoscere i dati identificativi del terzo beneficiario della polizza assicurativa stipulata dal defunto non può essere precluso per ragioni di tutela della riservatezza.
