Nel panorama in costante evoluzione del diritto alla privacy, la sentenza della Corte di giustizia dell’Unione europea del 27 febbraio 2025 chiarisce il bilanciamento tra diritto di accesso ai dati personali e tutela dei segreti aziendali.
I giudici di Lussemburgo hanno affrontato un tema delicato e sempre più attuale: fino a che punto il titolare del trattamento può opporre il segreto industriale per negare l’accesso ai dati personali richiesto da un interessato?
Il diritto di accesso ai propri dati personali, sancito dall’articolo 15 del GDPR, è uno dei pilastri della normativa europea sulla protezione dei dati. Non si tratta solo di conoscere quali informazioni siano trattate, ma anche di comprendere in che modo vengono elaborate e con quali effetti. Tuttavia, l’articolo 15 e i considerando 4, 63 e 71 del GDPR stabiliscono che tale diritto non è assoluto: deve essere bilanciato con altri diritti fondamentali, tra cui – ed è questo il nodo centrale della sentenza – quello relativo al segreto industriale e alla proprietà intellettuale.
La pronuncia è destinata ad avere un impatto rilevante non solo per i cittadini europei, ma anche per le imprese, chiamate a ripensare il proprio approccio alla gestione dei dati e alla protezione del know-how.
Il caso: credit scoring e algoritmi opachi
La causa C‑203/22 trae origine da una controversia in cui un cittadino ha richiesto a una società austriaca, specializzata in valutazioni creditizie, l’accesso ai propri dati personali e una spiegazione sul meccanismo automatizzato utilizzato per la sua “profilazione”, attribuendogli un punteggio di affidabilità creditizia. La società ha negato l’accesso a parte delle informazioni, sostenendo che rivelare il funzionamento del sistema algoritmico avrebbe compromesso i propri segreti industriali e coinvolto dati riferibili a terzi.
Il caso è stato portato all’attenzione dei giudici nazionali, che hanno chiesto alla Corte di giustizia se fosse lecito, alla luce del GDPR, negare l’accesso fondandosi su una norma nazionale che esclude, di regola, l’accesso dell’interessato ai suoi dati personali, qualora tale accesso esponga a rischio un segreto commerciale o aziendale del titolare del trattamento o di terzi.
La pronuncia della Corte: no ai dinieghi automatici
La Corte ha ricostruito i principi applicabili e fornito risposte puntuali: in primis, non è ammissibile una normativa nazionale che consenta di respingere in via automatica le richieste di accesso ai dati personali, solo perché potrebbero comportare la divulgazione di segreti industriali. Qualsiasi limitazione al diritto di accesso deve essere valutata caso per caso, tenendo conto dei diritti fondamentali di tutte le parti coinvolte.
Il titolare del trattamento, infatti, qualora ritenga che le informazioni da fornire all’interessato contengano dati di terzi protetti da segreti commerciali, è tenuto a sottoporre la questione all’autorità di controllo o al giudice competente, cui solo spetta ponderare i diritti e gli interessi in gioco al fine di determinare la portata del diritto di accesso dell’interessato. La Corte richiama il principio di proporzionalità, sottolineando che occorre sempre cercare un punto di equilibrio tra trasparenza e riservatezza, evitando approcci eccessivamente rigidi da una parte o dall’altra.
Un passaggio particolarmente rilevante della sentenza riguarda le decisioni automatizzate, come quelle adottate tramite sistemi di credit scoring. L’articolo 15 del GDPR prevede che l’interessato abbia diritto a ottenere «informazioni significative sulla logica utilizzata» nei processi decisionali automatizzati.
Questo non significa che le imprese debbano rivelare il codice sorgente dei propri algoritmi, ma devono comunque fornire spiegazioni comprensibili sul funzionamento del sistema e spiegare «in che modo» l’interessato o una variazione dei suoi dati inciderebbe sul risultato ottenuto, come un profilo di solvibilità. Il diritto alla “spiegazione” non è dunque un’astrazione teorica, ma una concreta esigenza di comprensione, funzionale all’esercizio di altri diritti, come quello di contestare una decisione o di richiederne la revisione umana.
Un nuovo equilibrio tra trasparenza e innovazione
Questa pronuncia contribuisce a ridefinire i rapporti tra cittadini, imprese e tecnologia. Se da un lato rafforza il diritto all’autodeterminazione informativa, dall’altro obbliga le aziende a ripensare le proprie strategie di compliance. Non sarà più sufficiente invocare genericamente il segreto industriale per opporsi alle richieste di accesso: sarà necessario dimostrare, con motivazioni concrete, che la divulgazione delle informazioni arrecherebbe un danno effettivo alla competitività o alla protezione del know-how.
Ma non basta: sarà compito delle autorità garanti – e, all’occorrenza, dei giudici – effettuare un’attenta valutazione degli interessi coinvolti, decidendo se, come e in che misura l’accesso debba essere concesso, magari anche solo in parte o in forma anonimizzata. In ogni caso, il punto di equilibrio non potrà mai essere trovato in astratto, ma solo attraverso un’analisi concreta e ragionata del singolo caso.
D’altro canto, un possibile effetto collaterale della sentenza è il rischio di una progressiva «giurisdizionalizzazione del diritto di accesso». Se ogni richiesta che coinvolge un potenziale segreto commerciale deve essere esaminata da un’autorità indipendente, vi è il pericolo che si creino colli di bottiglia burocratici e tempi lunghi, con effetti dissuasivi sull’esercizio del diritto da parte dei cittadini.
Servirà, dunque, uno sforzo organizzativo da parte delle autorità di controllo, ma anche una maturazione culturale da parte delle imprese, che dovranno dotarsi di strumenti tecnici e legali per gestire le richieste in modo efficiente, trasparente e conforme alla legge.
In definitiva, la Corte costruisce una giurisprudenza che non si schiera ideologicamente da una parte sola, ma che tenta di tenere insieme i diritti della persona con le esigenze dell’impresa, la trasparenza con la competitività. Un equilibrio sottile, ma necessario, per garantire una società digitale giuridicamente solida.
Teresa Franza