Con la sentenza del 19 marzo 2026 (causa C-526/24), la Corte di giustizia dell’Unione europea ha chiarito che il principio del divieto di abuso del diritto trova applicazione anche nell’ambito della protezione dei dati personali.
La vicenda trae origine dall’iscrizione alla newsletter di una società di ottica con sede in Germania da parte di una persona fisica, che aveva inserito i propri dati personali nell’apposito modulo online, prestando contestualmente il consenso al loro trattamento. Dopo tredici giorni, l’interessato ha esercitato il diritto di accesso previsto dall’articolo 15 del GDPR.
La società ha però respinto la richiesta, ritenendola abusiva. A suo avviso, infatti, l’interessato era noto per presentare richieste di accesso con la sola finalità di ottenere un risarcimento economico in caso di mancata o incompleta risposta. Nel caso concreto, l’interessato aveva richiesto 1.000 euro a titolo di danno immateriale.
La controversia ha portato il giudice nazionale a chiedere chiarimenti alla Corte di Giustizia Europea su vari aspetti del GDPR.
In particolare, il giudice del rinvio ha domandato se una prima richiesta di accesso possa essere considerata “eccessiva” ai sensi dell’articolo 12, paragrafo 5, del GDPR e, quindi, configurare un abuso del diritto.
Sul punto, la Corte di Giustizia Europea ha risposto affermativamente, precisando che il titolare del trattamento può rifiutare l’accesso solo se prova, con onere probatorio a suo carico, l’esistenza di un intento abusivo da parte dell’interessato, che può ravvisarsi nei casi in cui quest’ultimo presenti la richiesta “per una finalità diversa da quella di essere consapevole del trattamento di tali dati e di verificarne la liceità”.
In altri termini, l’intento abusivo sussiste ogni qual volta che l’interessato intenda “creare artificiosamente le condizioni richieste per ottenere un risarcimento” da parte del titolare del trattamento.
Infine, la Corte di Giustizia Europea ha precisato che la violazione del diritto di accesso ai propri dati personali può far sorgere il diritto al risarcimento dal danno da parte del soggetto interessato. Questo, però, dovrà essere sottoposto alla verifica del giudice. Difatti, la Corte di Giustizia Europea ha precisato che “pertanto, la mera allegazione da parte dell’interessato di un timore causato da una perdita del controllo dei suoi dati personali non può dar luogo a risarcimento ai sensi dell’articolo 82, paragrafo 1, del RGPD”.