Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
Il diritto di accesso ai dati personali abuso GDPR è diventato, negli ultimi anni, uno dei terreni più scivolosi del diritto della protezione dei dati. Da un lato, l'art. 15 del Regolamento UE 2016/679 tutela un diritto fondamentale: sapere quali dati un'organizzazione possiede su di noi, come li tratta, a chi li cede. Dall'altro, la prassi applicativa ha mostrato una zona d'ombra sempre più frequentata: la richiesta di accesso presentata non per esercitare una prerogativa informativa, ma come esca giuridica per innescare poi una domanda di risarcimento del danno immateriale ex art. 82 GDPR.
La sentenza CGUE C-526/24 del 19 marzo 2026, resa nella causa Brillen Rottler GmbH & Co. KG contro TC, affronta per la prima volta in modo diretto questa distorsione, ponendo un freno misurato ma significativo. Il caso è paradigmatico nella sua semplicità: un cittadino austriaco si iscrive alla newsletter di un'azienda di ottica tedesca e, trascorsi appena tredici giorni, presenta una richiesta di accesso ai propri dati personali. La Brillen Rottler respinge la richiesta ritenendola abusiva: secondo blog di settore, newsletter di avvocati e servizi giornalistici, l'interessato si iscriveva sistematicamente alle newsletter di varie imprese prima di presentare una richiesta di accesso e poi una domanda di risarcimento. La persona, dal canto suo, riteneva la propria richiesta legittima e chiedeva alla Brillen Rottler un risarcimento di almeno mille euro a titolo di danno immateriale derivante dal rifiuto di concedere l'accesso.
Il rinvio pregiudiziale al giudice europeo è stato proposto dall'Amtsgericht Arnsberg, il tribunale circoscrizionale di Arnsberg in Germania, che doveva decidere sulla legittimità sia della richiesta di accesso sia della domanda di risarcimento, e chiedeva alla Corte se una prima richiesta di accesso presentata dall'interessato potesse essere considerata "eccessiva" ai sensi dell'art. 12, par. 5 GDPR.
Prima vs. dopo: cosa cambia per titolari e interessati dopo la sentenza CGUE Brillen Rottler sul diritto di accesso GDPR
Prima di questa pronuncia, la prassi consolidata assumeva che il carattere "eccessivo" di una richiesta di accesso presupponesse necessariamente la reiterazione: una prima istanza, anche se di dubbia motivazione, si considerava tendenzialmente intoccabile. Il titolare che avesse rifiutato avrebbe rischiato una sanzione amministrativa da parte dell'autorità di controllo e l'esposizione a un'azione risarcitoria.
La sentenza del 19 marzo 2026 (causa C-526/24, Brillen Rottler) affronta per la prima volta in modo diretto questo tema, chiarendo che il carattere «eccessivo» dell'istanza ai sensi dell'art. 12, par. 5 GDPR può ricorrere anche in presenza di una prima richiesta, ogniqualvolta l'analisi delle circostanze concrete riveli un intento fraudolento. La Corte afferma che tale valutazione può basarsi anche sul ricorso a fonti pubblicamente accessibili, come blog di avvocati o reportage giornalistici, purché dall'analisi complessiva emerga un intento che eccede la misura ragionevole dell'esercizio del diritto.
Il cambiamento è dunque strutturale. Prima della sentenza, l'eccessività richiedeva la prova della ripetitività quantitativa (numerose richieste sullo stesso titolare o schema sistematico documentato). Dopo, il criterio si sposta sulla qualità dell'intento: basta dimostrare che la richiesta è strumentale a un obiettivo diverso da quello di trasparenza e controllo che il diritto di accesso è chiamato a soddisfare.
Occorre tuttavia non fraintendere la portata del principio. La CGUE alza la soglia per rifiutare e introduce un onere probatorio stringente a carico del titolare: l'abuso va dimostrato con criteri rigorosi, senza che la sentenza costituisca una legittimazione preventiva al rigetto delle richieste. In altri termini, la Corte non ha consegnato alle imprese un'arma per eludere l'esercizio dei diritti degli interessati: ha riconosciuto che esistono casi limite — eccezionali e verificabili — in cui il meccanismo viene piegato a uso distorto.
Un'azienda può rifiutare una richiesta di accesso se è fatta solo per fare causa? Come si distingue una richiesta GDPR legittima da una abusiva?
La risposta della CGUE è sì, ma a condizioni precise. Il titolare del trattamento può rifiutare l'accesso ritenendo la richiesta "eccessiva" quando l'interessato — pur essendo quella la prima istanza inviata — risulta notoriamente dedito a iscrizioni seriali a servizi finalizzate esclusivamente all'esercizio strumentale dei propri diritti per il radicamento di cause risarcitorie, e ciò sulla base di informazioni reperite online come blog di avvocati e reportage che descrivono il soggetto come un "litigante seriale".
Il criterio discretivo tra richiesta legittima e richiesta abusiva non si ricava quindi dalla forma dell'istanza — che sarà sempre uguale — ma dal contesto circostanziale in cui si inserisce. Il titolare deve raccogliere e documentare elementi concreti e verificabili che rivelino l'intento deflettivo, prima di opporre un rifiuto. Qualora non disponga di prove sufficienti, è tenuto a evadere la richiesta nei termini di legge: un mese, prorogabile a tre in caso di complessità, come prevede l'art. 12, par. 3 GDPR.
Sul piano pratico, le circostanze rilevanti possono essere: l'iscrizione a un servizio in un arco di tempo anomalmente breve rispetto alla richiesta di accesso; la reperibilità in fonti pubbliche di comportamenti analoghi riconducibili al medesimo soggetto; l'assenza di qualsiasi utilizzo effettivo del servizio a cui ci si è iscritti; e, soprattutto, il fatto che la richiesta di accesso sia immediatamente seguita da una richiesta di risarcimento prima ancora di aver ricevuto risposta.
La sentenza si inserisce in un filone giurisprudenziale più ampio che riguarda la prova del danno da violazione del GDPR. La Corte d'Appello di Catanzaro, sezione I civile, sentenza 3 giugno 2026 n. 805, ha chiarito che la violazione del GDPR o del Codice Privacy non comporta automaticamente il risarcimento del danno: è necessaria la prova concreta delle conseguenze pregiudizievoli derivanti dalla violazione, perché la violazione formale della privacy non può trasformarsi in una pretesa economica automatica. La Corte catanzarese precisa che l'esclusione del principio del danno in re ipsa presuppone la prova della serietà della lesione: può non determinare il danno la mera violazione delle prescrizioni formali sul trattamento del dato, mentre induce sempre al risarcimento quella violazione che concretamente offenda la portata effettiva del diritto alla riservatezza.
Con la sentenza CGUE del 4 settembre 2025, causa C-655/23 (IP c. Quirin Privatbank AG), la stessa Corte aveva già chiarito sul versante risarcitorio che la violazione del GDPR non è sufficiente per conferire un diritto al risarcimento ai sensi dell'art. 82 del Regolamento: le condizioni cumulative per il risarcimento sono tre — l'esistenza di un danno materiale o immateriale effettivamente subito, la violazione del GDPR e il nesso causale tra le due. Ai fini della risarcibilità del danno immateriale, anche sotto forma di sentimenti negativi come timori e preoccupazioni, l'interessato deve comunque dimostrare di provarli con le loro conseguenze negative a causa della violazione specifica.
Il raccordo tra queste tre pronunce — C-526/24, C-655/23 e Corte d'Appello di Catanzaro n. 805/2026 — disegna un quadro coerente che merita una lettura d'insieme. Sul versante dell'accesso (art. 15 GDPR): la richiesta può essere abusiva e respingibile quando lo scopo esclusivo è pretestuoso. Sul versante del risarcimento (art. 82 GDPR): anche ammessa una violazione, il danno deve essere provato, concreto e causalmente connesso. Il sistema, visto nel suo insieme, chiude la tenaglia del contenzioso opportunistico su due fronti: nega la premessa (il diritto di accesso come leva procedurale) e la conseguenza (il danno automatico dalla violazione).
Vi è qui un profilo di analisi che la maggior parte del dibattito ha trascurato. Il principio vigilantibus iura subveniunt — il diritto soccorre chi vigila i propri interessi — viene in questo contesto ribaltato: chi usa il diritto non per tutelarsi ma per generare una violazione strumentale su cui lucrare non è un soggetto vigilante, è un soggetto che abusa della struttura normativa. La CGUE, nel riconoscere la categoria dell'abuso del diritto anche nell'ambito del GDPR, compie un passo che non era scontato in un sistema fondato sulla primazia dei diritti degli interessati.
Si apre, tuttavia, una tensione non risolta tra il principio appena affermato e la necessità che il diritto di accesso rimanga un presidio effettivo. Come osservava Norberto Bobbio, "un diritto è tale solo se esiste un obbligo corrispondente e un meccanismo che lo garantisca": il rischio che l'eccezione dell'abuso diventi uno scudo generale contro richieste scomode è reale, e spetta ai titolari del trattamento — e alle autorità di controllo — vigilare che il perimetro dell'abuso rimanga stretto e rigorosamente documentato.
Per le imprese, la sentenza Brillen Rottler non è un'autorizzazione a deflettere richieste di accesso, ma un incentivo a strutturare un processo di gestione delle data subject access request (DSAR) che sia, insieme, efficiente e capace di intercettare i casi patologici. Questo significa: registrazione sistematica di tutte le richieste con data, canale, contesto e risposta; monitoraggio delle informazioni accessibili pubblicamente sul richiedente nei soli casi di sospetto fondato; comunicazione scritta e motivata in caso di rifiuto, con indicazione del diritto di proporre reclamo al Garante; conservazione della documentazione a supporto per il tempo necessario a difendersi in giudizio.
Il Garante per la protezione dei dati personali non ha ancora emanato linee guida nazionali specifiche sull'abuso del diritto di accesso: in attesa di un intervento dell'EDPB in materia, la sentenza Brillen Rottler costituisce l'unico riferimento normativo certo. Ogni rifiuto non adeguatamente documentato rimane un rischio sanzionatorio concreto.
Il tema, in definitiva, interroga un nodo profondo del GDPR: la tensione tra l'effettività dei diritti degli interessati e la prevenzione del loro uso distorto. La risposta della Corte è equilibrata, ma non definitiva. L'abuso del diritto in ambito privacy è oggi riconosciuto; la sua misurazione rimane affidata alla giurisprudenza nazionale, caso per caso, con tutto il margine di incertezza che questo comporta per chi deve gestire le richieste sul campo.
Redazione - Staff Studio Legale MP
