Accesso ai propri dati (art. 15 GDPR): come ottenere la copia e usarla come prova

Contenuto della copia, termini, limiti dopo la sentenza Brillen Rottler del 2026 e tutela davanti a Garante e giudice: casi su banche, assicurazioni, lavoro

§1 — SOMMARIO

Chi si trova in una controversia con una banca, una compagnia di assicurazione o un datore di lavoro incontra presto lo stesso ostacolo: i dati e i documenti che servono a ricostruire i fatti sono nelle mani della controparte. Il diritto di accesso dell’art. 15 Reg. UE 2016/679 (GDPR) permette di sapere che cosa il titolare del trattamento (così il GDPR chiama chi decide come e perché si trattano i dati) conosce di noi, di ottenerne una copia e di capire come viene usata.

Il diritto è gratuito la prima volta, non richiede moduli né motivazioni e va soddisfatto, di regola, entro un mese. Nel 2026 la Corte di giustizia ha però fissato un limite nuovo con la CGUE, Sez. IV, 19 marzo 2026, C-526/24, Brillen Rottler, Pres. Jarukaitis, Rel. Frendo[§1]: anche una prima richiesta può essere respinta, ma solo se il titolare dimostra che l’interessato la presentava per creare artificiosamente le condizioni di un risarcimento.

Il contributo spiega che cosa si può chiedere, che cosa il titolare può legittimamente negare e come reagire a un silenzio o a un rifiuto. Distingue poi l’accesso ai dati personali dagli strumenti concorrenti: l’accesso alla documentazione bancaria (art. 119, comma 4, D.Lgs. 1° settembre 1993, n. 385 (TUB)), l’accesso agli atti dell’assicuratore (art. 146 D.Lgs. 7 settembre 2005, n. 209 (Codice delle assicurazioni private)) e l’ordine di esibizione in giudizio (art. 210 c.p.c.).

Seguono casi concreti decisi dal Garante nel 2025 e nel 2026 (una banca, una mutua assicurativa, un gestore di energia) e un percorso di tutela che va dalla richiesta scritta al reclamo o al ricorso. Restano fuori l’accesso civico generalizzato e le decisioni automatizzate dell’art. 22 GDPR, richiamate solo in quanto collegate all’art. 15 GDPR.

---

§2 — PRINCIPIO DI DIRITTO

Nella lettura della Corte di giustizia i principi che orientano oggi la materia sono tre. Li riportiamo in sintesi nostra, non come massima ufficiale di un unico provvedimento.

Il perimetro applicativo della massima

Il primo principio riguarda la forma della risposta: un elenco sintetico dei dati non basta[§2]. Il secondo riguarda lo scopo: chi chiede la copia per usarla in una causa non commette, per ciò solo, alcun abuso[§3]. Il terzo riguarda l’onere della prova: spetta al titolare dimostrare il carattere eccessivo della richiesta, e l’abuso non si presume dalla litigiosità dell’interessato[§1].

Che cosa il principio non dice

Dalle pronunce non si ricava un diritto a ottenere ogni documento in cui compare il proprio nome: la copia riguarda i dati personali e il documento intero spetta solo se serve a renderli comprensibili. Né si ricava un diritto illimitato: restano l’art. 15, par. 4, GDPR e le limitazioni dell’art. 2-undecies Codice privacy.

---

§3 — INQUADRAMENTO SISTEMATICO: ACCESSO AI DATI E ACCESSO AI DOCUMENTI

Il contenuto del diritto di accesso

L’art. 15, par. 1, GDPR riconosce tre cose: la conferma che un trattamento sia in corso, l’accesso ai dati e un corredo di informazioni (finalità, categorie di dati, destinatari, periodo di conservazione, origine dei dati, diritti esercitabili, decisioni automatizzate; per i trasferimenti all’estero, le garanzie ex art. 15, par. 2, GDPR). Quanto ai destinatari, il titolare deve indicare di regola l’identità concreta di chi ha ricevuto i dati e non soltanto le categorie (CGUE, Sez. I, 12 gennaio 2023, C-154/21, RW c. Österreichische Post[§4]).

Che cosa non è l’accesso ai dati

Non va confuso con la portabilità (art. 20 GDPR), che serve a ricevere i dati in formato strutturato per trasferirli, né con la cancellazione (art. 17 GDPR), che serve a farli eliminare. Nei rapporti con banche e assicurazioni esistono poi strumenti propri, che coesistono con l’art. 15 GDPR e rispondono a logiche diverse: lo schema che segue li mette a confronto.

§4 — QUADRO NORMATIVO DI RIFERIMENTO

Tempi, forma e gratuità

L’art. 12, par. 3, GDPR impone di rispondere senza ingiustificato ritardo e al più tardi entro un mese dal ricevimento; il termine è prorogabile di due mesi per complessità o numero delle richieste, ma la proroga e i motivi vanno comunicati entro il primo mese. Se non intende dar seguito alla richiesta, il titolare informa l’interessato, sempre entro un mese, dei motivi e della possibilità di reclamo e di ricorso (art. 12, par. 4, GDPR). Le informazioni e le azioni sono gratuite (art. 12, par. 5, GDPR); in caso di ragionevoli dubbi sull’identità, il titolare può chiedere solo le informazioni necessarie a confermarla (art. 12, par. 6, GDPR).

Non esiste un modulo obbligatorio: le linee guida del Comitato europeo per la protezione dei dati (EDPB, Linee guida 01/2022 sul diritto di accesso, versione 2.1 del 28 marzo 2023[§5]) e il rapporto sull’azione coordinata del 2024 (EDPB, report adottato il 16 gennaio 2025[§6]) segnalano come ostacolo imporre canali o moduli specifici.

Copia, limiti e rifiuto

Per la copia vale l’art. 15, par. 3, GDPR: la prima è gratuita, per le ulteriori il titolare può chiedere un contributo spese ragionevole fondato sui costi amministrativi. L’art. 15, par. 4, GDPR prevede che il diritto di ottenere copia non debba ledere i diritti e le libertà altrui; il considerando 63 GDPR vi comprende segreto aziendale e proprietà intellettuale. Il titolare può rifiutare o chiedere un contributo solo per richieste manifestamente infondate o eccessive, e ne ha l’onere della prova (art. 12, par. 5, GDPR).

Le limitazioni del Codice privacy

L’art. 2-undecies, comma 1, D.Lgs. 30 giugno 2003, n. 196 (Codice privacy) consente di ritardare, limitare o escludere l’accesso quando ne derivi un pregiudizio effettivo e concreto a interessi specifici: l’antiriciclaggio (lett. a)), le investigazioni difensive e l’esercizio di un diritto in sede giudiziaria (lett. e)), la riservatezza del segnalante (lett. f)). In questi casi l’interessato può esercitare i diritti tramite il Garante (art. 2-undecies, comma 3, Codice privacy). La banca che ha inviato una segnalazione di operazione sospetta non può comunicarlo al cliente (art. 39 D.Lgs. 21 novembre 2007, n. 231).

Sanzioni e risarcimento

La violazione dei diritti degli interessati è sanzionata fino a 20 milioni di euro o al 4% del fatturato mondiale (art. 83, par. 5, lett. b), GDPR); il Garante può ordinare al titolare di soddisfare le richieste (art. 58, par. 2, lett. c), GDPR). Chi subisce un danno materiale o immateriale da una violazione del regolamento può chiederne il risarcimento al titolare (art. 82, par. 1, GDPR).

Il Digital Omnibus

Il 19 novembre 2025 la Commissione ha proposto, con il pacchetto Digital Omnibus, di riscrivere l’art. 12, par. 5, GDPR per consentire di rifiutare o far pagare le richieste di accesso abusive, cioè presentate per scopi diversi dalla tutela dei dati. Il 21 ottobre 2026 il Consiglio ha approvato un compromesso che mantiene la possibilità ma rende centrale la prova dell’intento abusivo a carico del titolare; il negoziato con il Parlamento europeo non è concluso[§7]. Fino all’adozione resta in vigore il testo attuale.

---

§5 — ANALISI DELLA FATTISPECIE: COSA SI PUÒ CHIEDERE E COSA PUÒ NEGARE IL TITOLARE

Che cosa si può chiedere

• la conferma del trattamento e la copia dei dati: anagrafici, contrattuali, di pagamento, registrazioni audio, messaggi di posta elettronica;
• finalità, categorie di dati, identità dei destinatari, periodo di conservazione o criteri per determinarlo, origine dei dati non raccolti presso l’interessato;
• l’esistenza di decisioni automatizzate e, in tal caso, informazioni significative sulla logica utilizzata (art. 15, par. 1, lett. h), GDPR): per lo scoring creditizio la CGUE, Sez. I, 27 febbraio 2025, C-203/22, CK c. Magistrat der Stadt Wien (Dun & Bradstreet Austria)[§8], richiede una spiegazione sufficiente a comprendere e contestare la decisione, ponderando segreti commerciali e dati di terzi (tema approfondito in altro contributo del piano);
• le garanzie applicate ai trasferimenti verso Paesi terzi.

Che cosa il titolare può negare

• le richieste manifestamente infondate o eccessive, ma deve provarlo e deve motivare il diniego;
• i dati di terzi, ma solo se dimostra un pregiudizio effettivo: la generica preoccupazione per i diritti altrui non basta (EDPB, Linee guida 01/2022, richiamate da Garante, provv. 12 marzo 2026, n. 165 (doc. web n. 10233328), Pres. Stanzione, Rel. Cerrina Feroni);
• l’accesso nei casi dell’art. 2-undecies, per il tempo in cui il pregiudizio effettivo e concreto sussiste: la sola esistenza o il timore di una lite non lo giustificano;
• i documenti interi, quando bastano i dati: l’interessato li ottiene se sono indispensabili per comprenderli (CGUE, Sez. I, 4 maggio 2023, C-487/21).

Dopo Brillen Rottler: quando la richiesta è abusiva

La Corte ha chiarito che l’abuso richiede un elemento oggettivo (il rispetto formale delle condizioni non realizza lo scopo del regolamento) e uno soggettivo (la volontà di ottenere un vantaggio creando artificiosamente le condizioni per ottenerlo). Il titolare deve provarlo in modo inequivocabile, considerando tutte le circostanze: se l’interessato ha fornito i dati senza esservi costretto, per quale scopo, quanto tempo è trascorso dalla fornitura alla richiesta e come si è comportato. Le informazioni pubbliche su richieste seriali seguite da domande di danni possono rilevare solo se corroborate da altri elementi. Richiamando CGUE, Sez. I, 9 gennaio 2025, C-416/23, Österreichische Datenschutzbehörde (Richieste eccessive), la Corte ribadisce che il solo numero delle richieste non basta.

Il caso riguardava chi, dopo essersi iscritto a una newsletter, aveva chiesto l’accesso e poi un risarcimento, in un contesto ritenuto strumentale dal titolare. È una situazione lontana da quella del correntista o del lavoratore che chiede i propri dati per capire che cosa è accaduto o per difendersi: verificare il trattamento e tutelare i propri diritti è proprio lo scopo che il regolamento protegge. È una lettura nostra, coerente con la CGUE, Sez. I, 26 ottobre 2023, C-307/22, ma suggerisce di formulare la richiesta senza intenti strumentali.

---

§6 — DIRITTO VIVENTE: LA GIURISPRUDENZA CHE CONTA

La Corte di giustizia dell’Unione europea

Con la CGUE, Sez. I, 4 maggio 2023, C-487/21, F.F. (Österreichische Datenschutzbehörde e CRIF), Pres. Arabadjiev, Rel. Ziemele, la Corte ha stabilito che la copia dell’art. 15, par. 3, GDPR è una riproduzione fedele e intelligibile dell’insieme dei dati: una descrizione generale o un rinvio a categorie non basta, e la copia di estratti o di documenti interi spetta solo se indispensabile per esercitare effettivamente i diritti.

La CGUE, Sez. I, 26 ottobre 2023, C-307/22, FT (Copia della cartella medica), Pres. Arabadjiev, Rel. Ziemele, ha precisato che la prima copia è gratuita anche quando chi la chiede intende usarla per far valere la responsabilità del professionista che ha trattato i dati. La CGUE, Sez. I, 12 gennaio 2023, C-154/21, RW c. Österreichische Post, impone di indicare su richiesta l’identità dei destinatari e non soltanto le categorie, salvo impossibilità di identificarli o richiesta manifestamente infondata o eccessiva.

La CGUE, Sez. IV, 19 marzo 2026, C-526/24, Brillen Rottler, Pres. Jarukaitis, Rel. Frendo, enuncia tre principi: una prima richiesta può essere eccessiva solo se il titolare dimostra un intento abusivo; la violazione dell’art. 15, par. 1, GDPR dà diritto al risarcimento ai sensi dell’art. 82, par. 1, GDPR, anche senza un trattamento in senso stretto; il danno immateriale comprende la perdita di controllo dei dati o l’incertezza sul trattamento, purché sia dimostrato e il comportamento dell’interessato non ne sia la causa determinante. Il danno, quindi, non si presume.

La Corte di cassazione

Nelle verifiche condotte la Cassazione non risulta essersi pronunciata in modo specifico sull’art. 15 GDPR; è intervenuta sull’accesso della clientela bancaria. La Cass. civ., Sez. I, ord. 28 marzo 2025, n. 8173, Pres. Di Marzio, Rel. Rolfi[§9], ha qualificato il diritto alla copia ex art. 119, comma 4, TUB come diritto sostanziale autonomo, azionabile con decreto ingiuntivo, e ha escluso che la consegna sia subordinata al pagamento anticipato dei costi di produzione, che la banca può addebitare sul conto in pendenza di rapporto; ha cassato con rinvio alla Corte d’appello di Roma. La Cass. civ., Sez. I, ord. 5 gennaio 2026, n. 251, Pres. Scoditti, Rel. Falabella (ud. 28 novembre 2025)[§10], pur dichiarando inammissibile il ricorso della banca per carenza di specificità, ha chiarito che la norma riguarda la documentazione delle singole operazioni degli ultimi dieci anni e non il contratto: la copia del contratto discende dall’art. 117, comma 1, TUB e, se già consegnata, non può essere pretesa di nuovo, salvo l’esibizione ex art. 210 c.p.c. in corso di causa.

Il Garante per la protezione dei dati personali

Il Garante ha applicato l’art. 15 GDPR in decisioni che toccano il rapporto con banche, assicuratori e datori di lavoro: sono illustrate al capitolo successivo.

Tabella sinottica delle pronunce citate

Organo	Data	n.	Principio affermato	Esito
CGUE, Sez. I	4 maggio 2023	C-487/21	Copia fedele e intelligibile; documenti solo se indispensabili	Risposta ai quesiti pregiudiziali
CGUE, Sez. I	26 ottobre 2023	C-307/22	Prima copia gratuita anche per finalità di responsabilità	Risposta ai quesiti pregiudiziali
CGUE, Sez. I	12 gennaio 2023	C-154/21	Identità dei destinatari, non solo categorie	Risposta ai quesiti pregiudiziali
CGUE, Sez. I	27 febbraio 2025	C-203/22	Spiegazione della logica nelle decisioni automatizzate; ponderazione dei segreti	Risposta ai quesiti pregiudiziali
CGUE, Sez. IV	19 marzo 2026	C-526/24	Rifiuto solo per abuso provato; risarcimento per violazione dell’accesso	Risposta ai quesiti pregiudiziali
Cass. civ., Sez. I	28 marzo 2025	8173	Art. 119, comma 4, TUB: diritto sostanziale, decreto ingiuntivo, costi non condizione	Ricorso accolto; cassazione con rinvio alla Corte d’appello di Roma
Cass. civ., Sez. I	5 gennaio 2026	251	Art. 119 TUB non copre il contratto; copia già consegnata non si ripete	Ricorso della banca inammissibile; spese a suo carico
Garante	10 luglio 2025	413	Risposta tardiva e non motivata alla richiesta delle registrazioni: violazione artt. 12, parr. 3 e 4, e 15	Illiceità; sanzione 100.000 euro
Garante	12 marzo 2026	165	Accesso integrale alla casella aziendale dell’ex dipendente	Illiceità; sanzione 50.000 euro; ordine di accesso
Garante	28 maggio 2026	391	Registrazione di telefonata con servizio clienti: oscuramento mirato, non rifiuto	Illiceità; ingiunzione di consegna in 30 giorni

---

§7 — FATTISPECIE CONCRETE: BANCHE, ASSICURAZIONI, DATORI DI LAVORO E FORNITORI

La banca: registrazioni telefoniche dopo una frode

Un cliente vittima di una truffa, con un bonifico di 9.999 euro disposto durante una telefonata, chiede le registrazioni delle chiamate con il servizio clienti per contestare l’operazione. La banca le consegna solo dopo l’avvio dell’istruttoria del Garante, oltre il termine. Con il Garante, provv. 10 luglio 2025, n. 413 (doc. web n. 10168555), Pres. Stanzione, Rel. Ghiglia[§11], il Garante ha accertato la violazione degli artt. 12, parr. 3 e 4, e 15 GDPR (risposta tardiva, senza motivazione né indicazione dei rimedi) e inflitto 100.000 euro di sanzione, tenendo conto della collaborazione e delle misure correttive.

Nel rapporto bancario gli strumenti si sommano: il contratto si chiede ai sensi dell’art. 117, comma 1, TUB, le operazioni degli ultimi dieci anni ai sensi dell’art. 119, comma 4, TUB (a spese del cliente), i propri dati e le informazioni sul trattamento ai sensi dell’art. 15 GDPR, gratuitamente.

L’assicurazione: sinistro stradale e fascicolo

Il danneggiato di un sinistro stradale può chiedere gli atti di valutazione e liquidazione ai sensi dell’art. 146 D.Lgs. n. 209/2005[§12], fermo l’accesso ai singoli dati personali: i due strumenti coesistono. Per i dati personali contenuti nel fascicolo e per le informazioni sul trattamento si usa l’art. 15 GDPR; per perizia e atti della liquidazione, l’art. 146 D.Lgs. n. 209/2005 e il D.M. n. 191/2008. L’accesso agli atti è però escluso quando essi documentano indizi o prove di comportamenti fraudolenti ed è sospeso in pendenza di controversia giudiziaria con l’impresa (art. 146, comma 2, D.Lgs. n. 209/2005): in quel caso restano l’art. 15 GDPR e, davanti al giudice, l’art. 210 c.p.c. Se entro sessanta giorni dalla richiesta scritta il danneggiato non può visionare gli atti ed estrarne copia a proprie spese, può reclamare all’IVASS (art. 146, comma 3, D.Lgs. n. 209/2005). L’impresa può invocare l’art. 2-undecies, comma 1, lett. e), Codice privacy solo se dimostra un pregiudizio effettivo e concreto per un diritto da far valere in giudizio.

Il datore di lavoro: la posta aziendale dell’ex dipendente

Un lavoratore cessato chiede copia dei messaggi della casella aziendale individualizzata. La società consegna solo quelli ritenuti personali e gli altri dopo averli esaminati e oscurati, invocando segreti aziendali e dati di terzi. Con il Garante, provv. 12 marzo 2026, n. 165 (doc. web n. 10233328), Pres. Stanzione, Rel. Cerrina Feroni[§13] il Garante ha dichiarato illecite sia la selezione preventiva sia l’oscuramento: le comunicazioni su un account individualizzato sono dati personali dell’assegnatario, i limiti sono quelli degli artt. 12, par. 5, e 15, par. 4, GDPR e il timore generico per i terzi o per i segreti aziendali non basta. Ha ordinato l’accesso integrale, con sanzione di 50.000 euro e adeguamento delle policy entro novanta giorni; la società aveva dichiarato di conservare nei backup i dati delle caselle per cinque anni.

Il fornitore di servizi: la telefonata con il servizio clienti

Un cliente chiede la registrazione di una telefonata con il servizio clienti di un gestore di energia; il gestore rifiuta per proteggere la riservatezza dell’operatore. Con il Garante, provv. 28 maggio 2026, n. 391 (doc. web n. 10269277), Pres. Stanzione, Rel. Stanzione[§14] il Garante ha ritenuto illecito il diniego: la richiesta poteva essere soddisfatta mascherando nome, matricola e voce dell’operatore con tecniche di morphing, o consegnando una trascrizione priva dei dati identificativi. Ha ingiunto la consegna entro trenta giorni.

---

§8 — PERCORSO DI TUTELA E USO DELLA COPIA COME PROVA

Dalla richiesta al rimedio

La richiesta può essere libera nella forma, ma conviene inviarla per PEC o raccomandata al titolare (o al suo responsabile della protezione dei dati), indicando con precisione ciò che si chiede. Il mese decorre dal ricevimento.

Reclamo o ricorso

Il reclamo al Garante porta, se fondato, a un ordine di consegna e a una possibile sanzione, ma non al risarcimento, che si chiede al giudice ordinario. I due rimedi sono alternativi: il reclamo non si può proporre se per lo stesso oggetto e tra le stesse parti è già stata adita l’autorità giudiziaria (art. 140-bis Codice privacy). Le controversie dell’art. 152 Codice privacy seguono il rito del lavoro (art. 10, comma 1, D.Lgs. 1° settembre 2011, n. 150)[§15]. Sono competenti in via alternativa il tribunale del luogo in cui il titolare risiede o ha sede e quello di residenza dell’interessato (art. 10, comma 2, D.Lgs. n. 150/2011). Se il Garante non decide entro il termine previsto dall’art. 143, comma 3, Codice privacy, l’interessato può ricorrere al tribunale entro trenta giorni dalla scadenza (art. 10, comma 4, D.Lgs. n. 150/2011); contro la decisione del Garante il ricorso va proposto, a pena di inammissibilità, entro trenta giorni dalla comunicazione, sessanta se il ricorrente risiede all’estero (art. 10, comma 3, D.Lgs. n. 150/2011). La sentenza non è appellabile e può prescrivere le misure necessarie e liquidare il risarcimento del danno (art. 10, comma 10, D.Lgs. n. 150/2011).

Usare la copia come prova

I dati ottenuti possono essere prodotti in giudizio: la finalità probatoria non rende abusiva la richiesta (CGUE, Sez. I, 26 ottobre 2023, C-307/22) e il Garante ha ordinato la consegna anche in contesti di contrasto con il titolare, come nel caso dell’ex dipendente e del cliente di un gestore. La copia può però contenere dati di terzi: nella produzione in causa conviene valutare la necessità di oscuramenti. Se la copia non basta, restano l’art. 119 TUB, l’art. 146 D.Lgs. n. 209/2005 e, in corso di causa, l’art. 210 c.p.c.

---

§9 — CONSIGLI OPERATIVI

• Inviate la richiesta per iscritto (PEC o raccomandata) e conservate la prova della ricezione: il termine di un mese decorre da lì.
• Non occorre indicare lo scopo; se lo indicate, dev’essere quello reale. Evitate formulazioni che facciano apparire la richiesta uno strumento per creare un risarcimento.
• Elencate con precisione ciò che chiedete: dati, finalità, identità dei destinatari, conservazione, origine, decisioni automatizzate, registrazioni audio ed e-mail.
• Chiedete la copia dei dati e, solo se indispensabile per comprenderli, dei documenti; per contratti e operazioni bancarie usate in parallelo gli artt. 117 e 119 TUB.
• Non accettate come condizione un modulo o un canale prestabilito: il titolare deve agevolare l’esercizio del diritto.
• Se il titolare invoca diritti di terzi o segreto aziendale, chiedete di motivare il pregiudizio concreto e di limitarsi a oscuramenti mirati.
• Alla scadenza del mese, o della proroga motivata, inviate un sollecito; poi scegliete tra reclamo al Garante e ricorso al tribunale, ricordando che sono alternativi.
• Se lamentate un danno, documentatelo: perdita di controllo o incertezza vanno provate e il risarcimento non è automatico.
• Prima di produrre la copia in giudizio, verificate la presenza di dati di terzi non necessari.

---

§10 — CONSIDERAZIONI CONCLUSIVE

Il diritto di accesso è la porta d’ingresso a ogni altra tutela privacy e, nei rapporti con banche, assicurazioni e datori di lavoro, anche un modo concreto per ricostruire i fatti prima di una lite. La giurisprudenza europea lo ha reso più effettivo: copia fedele, prima copia gratuita, finalità irrilevante, identità dei destinatari, spiegazione della logica nelle decisioni automatizzate.

La sentenza Brillen Rottler non cambia questo equilibrio. Introduce un limite che opera in via eccezionale, con prova rigorosa a carico del titolare, contro chi costruisce artificiosamente un contenzioso. Allo stesso tempo, riconosce che l’inadempimento del titolare può generare un risarcimento, purché il danno sia dimostrato.

Sul piano pratico, il cittadino dispone di più strumenti: l’art. 15 GDPR per i dati e le informazioni, l’art. 119 TUB per le operazioni bancarie, l’art. 146 D.Lgs. n. 209/2005 per gli atti del sinistro, l’art. 210 c.p.c. nel processo. Scegliere quello giusto, o combinarli, evita rifiuti e perdite di tempo.

Resta da seguire l’evoluzione del Digital Omnibus: se l’art. 12, par. 5, GDPR sarà riscritto, il confine tra accesso legittimo e strumentale potrebbe spostarsi. Fino ad allora vale il testo attuale, letto alla luce della Corte di giustizia.

§11 — Note e riferimenti

[§1] CGUE, Sez. IV, 19 marzo 2026, C-526/24, testo in https://www.eius.it/giurisprudenza/2026/1318925; comunicato stampa CURIA n. 38/26 del 19 marzo 2026.

[§2] CGUE, Sez. I, 4 maggio 2023, C-487/21, testo in https://www.dirittobancario.it/art/gdpr-la-corte-ue-sul-diritto-di-ottenere-copia-dei-dati-personali.

[§3] CGUE, Sez. I, 26 ottobre 2023, C-307/22, comunicato stampa CURIA n. 161/23: https://curia.europa.eu/jcms/upload/docs/application/pdf/2023-10/cp230161it.pdf.

[§4] CGUE, Sez. I, 12 gennaio 2023, C-154/21, testo in https://www.eius.it/giurisprudenza/2023/003; comunicato stampa CURIA n. 4/23.

[§5] EDPB, Linee guida 01/2022 sui diritti degli interessati – Diritto di accesso, versione 2.1 adottata il 28 marzo 2023.

[§6] EDPB, rapporto sull’azione coordinata 2024 sull’attuazione del diritto di accesso da parte dei titolari, adottato il 16 gennaio 2025 (30 autorità di controllo, 1.185 titolari).

[§7] Proposta di regolamento Digital Omnibus della Commissione europea, 19 novembre 2025; sul compromesso del Consiglio del 21 ottobre 2026: M. Cappa e G. Uras, «Digital Omnibus: cambiare tutto per non cambiare niente. O quasi», ADVANT Nctm, 26 ottobre 2026: https://www.advant-nctm.com/news-e-approfondimenti/digital-omnibus-cambiare-tutto-per-non-cambiare-niente-o-quasi.

[§8] CGUE, Sez. I, 27 febbraio 2025, C-203/22, testo in https://eius.it/giurisprudenza/2025/0934326; comunicato stampa CURIA n. 22/25.

[§9] Cass. civ., Sez. I, ord. 28 marzo 2025, n. 8173, ud. 13 marzo 2025 (R.G. 4043/2021), testo in copia fornita dallo Studio. Commento: https://www.monopolistudiolegale.it/la-cassazione-sul-diritto-di-accesso-alla-documentazione-bancaria-e-legittimo-il-decreto-ingiuntivo-ex-art-119-tub/.

[§10] Cass. civ., Sez. I, ord. 5 gennaio 2026, n. 251, ud. 28 novembre 2025 (R.G. 19007/2021), testo in copia fornita dallo Studio; v. anche https://www.misterlex.it/cassazione-civile/2026/251/.

[§11] Garante, provv. 10 luglio 2025, n. 413, doc. web n. 10168555: https://www.dirittobancario.it/wp-content/uploads/2025/10/Provvedimento-Garante-Privacy-10-luglio-2025-n.-413.pdf; newsletter del Garante del 25 settembre 2025, n. 539.

[§12] art. 146 D.Lgs. 7 settembre 2005, n. 209 e D.M. n. 191/2008 (regolamento sull’accesso agli atti delle imprese di assicurazione): https://www.normattiva.it/eli/id/2008/12/09/008G0212/ORIGINAL.

[§13] Garante, provv. 12 marzo 2026, n. 165, doc. web n. 10233328: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10233328.

[§14] Garante, provv. 28 maggio 2026, n. 391, doc. web n. 10269277: https://www.dirittobancario.it/wp-content/uploads/2026/07/Provvedimento-Garante-Privacy-28-maggio-2026-n.-391.pdf.

[§15] art. 10 D.Lgs. 1° settembre 2011, n. 150 (Delle controversie in materia di applicazione delle disposizioni in materia di protezione dei dati personali), testo vigente in https://www.normattiva.it; per l’art. 152 D.Lgs. n. 196/2003: https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2003-06-30;196~art152.