Richieste di accesso ai dati GDPR: cosa cambia con la sentenza CGUE del 19 marzo 2026

Immagina questa scena. Un tuo ex dipendente ti ha lasciato tre settimane fa, il rapporto si è chiuso male e sai già che potrebbe aprire una causa. Poi arriva un’email del suo legale: vuole una copia di tutte le email archiviate, i log di accesso ai sistemi, i documenti che lo riguardano. Il tuo primo istinto è ignorare la richiesta o respingerla come “strumentale”, cioè bollarla come una mossa fatta non per conoscere davvero i propri dati, ma solo per preparare la causa. Il tuo avvocato ti suggerisce di prendere tempo e rispondere il più tardi possibile, sperando che la richiesta cada nel vuoto o serva a poco una volta in tribunale.
Con la sentenza del 19 marzo 2026, la Corte di Giustizia dell’Unione Europea ha chiarito che entrambe le strade, ignorare o trascinare, se le segui senza preparazione, ti possono costare una sanzione del Garante e una causa di risarcimento in parallelo. Ed è una novità importante: fino a ieri molte aziende sottovalutavano il rischio civile della cattiva gestione di queste richieste. Adesso non si può più.

Quella richiesta del legale dell’ex dipendente ha un nome preciso: si chiama DSAR. Capire cos’è, e perché la sentenza Brillen Rottler ne ridefinisce la gestione, è il primo passo per essere pronto se dovesse arrivare anche nella tua azienda.

Cos’è una DSAR e perché riguarda la tua azienda

Una DSAR (Data Subject Access Request) è la richiesta con cui una persona fisica chiede a un’azienda di sapere quali suoi dati personali conserva, per quale motivo li tratta, con chi li condivide e per quanto tempo li tiene. Il diritto di accesso è previsto dall’articolo 15 del Regolamento GDPR (Regolamento UE 2016/679).

Chi può presentarla? Chiunque tu abbia come “interessato” cioè una persona fisica i cui dati personali sono trattati dalla tua azienda: clienti, ex clienti, dipendenti, ex dipendenti, candidati che hai incontrato in un colloquio, fornitori persone fisiche, iscritti alla tua newsletter.
Non serve che usino formule giuridiche o citino il Regolamento. Un’email che dice “voglio sapere cosa avete su di me” è una DSAR a tutti gli effetti, anche se arriva via PEC, via Instagram o tramite il modulo contatti del sito.

L’articolo 12 del GDPR stabilisce che devi rispondere senza ingiustificato ritardo e comunque entro un mese dalla ricezione. Se la richiesta è particolarmente complessa puoi prorogare di altri due mesi, ma devi comunicarlo all’interessato entro il primo mese, motivando la proroga. Se non rispondi, se rispondi tardi o se la risposta è incompleta, la persona può fare reclamo al Garante per la protezione dei dati personali. Con la sentenza Brillen Rottler può chiederti anche il risarcimento del danno davanti al giudice civile.

Il caso che ha generato la sentenza: cosa è successo a Brillen Rottler

Il caso non è isolato e questo è il primo motivo per cui ti riguarda: potrebbe accadere a qualsiasi azienda con un sito web e un form di iscrizione.
Nel marzo 2023 un cittadino austriaco residente in Austria si è iscritto alla newsletter di Brillen Rottler, un’azienda ottica a conduzione familiare con sede ad Arnsberg, in Germania. Ha compilato il modulo di iscrizione sul sito, ha inserito i propri dati personali e ha dato il consenso al trattamento. Tredici giorni dopo, ha inviato all’azienda una richiesta di accesso ai sensi dell’articolo 15 GDPR. Brillen Rottler ha risposto entro il termine di un mese, ma rifiutando la richiesta in quanto considerata abusiva. Il rifiuto si basava su un argomento specifico: l’azienda aveva trovato online (articoli di stampa, blog di avvocati, newsletter di studi legali) informazioni che descrivevano l’interessato come un “litigante seriale”, abituato a iscriversi a varie newsletter per poi presentare richieste di accesso e domande di risarcimento.

L’interessato non ha ritirato la richiesta. Ha aggiunto una domanda di risarcimento di 1.000 euro a titolo di danno immateriale per il rifiuto dell’accesso. La causa è arrivata al Tribunale circoscrizionale di Arnsberg, che ha sospeso il procedimento e ha rinviato tre questioni alla Corte di Giustizia. Le domande, semplificate, erano queste: una prima richiesta di accesso può essere considerata “eccessiva”? Un’azienda può basare il rifiuto su informazioni pubbliche relative al comportamento seriale dell’interessato? La violazione del solo diritto di accesso può generare risarcimento del danno?
La Corte ha risposto con tre principi che hanno cambiato il modo in cui le aziende devono gestire le DSAR.

Primo principio: rifiutare una DSAR è possibile, ma servono prove vere

L’articolo 12, paragrafo 5, del GDPR prevede che il titolare possa non dare seguito a una richiesta “manifestamente infondata o eccessiva”. Molte aziende, fino a ieri, hanno trattato questa norma come una via d’uscita: se la richiesta arriva in un momento di tensione, se l’interessato sembra in malafede, se c’è odore di causa, classifichiamola come eccessiva e archiviamo.

La Corte di Giustizia ha chiuso questa scorciatoia, ma in modo più sottile di quanto sembri.

Da una parte, ha confermato che anche una prima richiesta di accesso può tecnicamente essere qualificata come eccessiva. Questo è il punto formalmente più favorevole alle aziende: prima della sentenza si discuteva se l’eccessività potesse esistere solo per richieste ripetute, e adesso sappiamo che no, può esistere anche al primo invio. Dall’altra parte, però, ha messo paletti molto stretti. Tre, in particolare:

1. L’eccezione si applica in modo restrittivo.
Non è la regola, è l’eccezione. Significa che il titolare deve partire dal presupposto che la richiesta sia legittima. Solo in casi davvero anomali può tentare la strada del rifiuto.

2. L’onere della prova è interamente sul titolare.
Tradotto: se decidi di rifiutare, sei tu che devi dimostrare l’abuso, e non l’interessato che deve giustificare la sua richiesta. È un punto da fissare: chi presenta una DSAR non deve spiegare nulla; chi la rifiuta, sì.

3. Serve la prova di un’intenzione abusiva concreta.
La Corte distingue chiaramente tra due casi. Il primo: l’interessato vuole conoscere i propri dati e poi, eventualmente, far valere i propri diritti, anche chiedendo un risarcimento. Questo è perfettamente legittimo, è proprio la funzione del diritto di accesso. Il secondo: l’interessato ha costruito artificialmente la situazione (iscrizione alla newsletter, rapida richiesta, denuncia) con il solo scopo di ottenere un vantaggio economico. Solo in questo secondo caso si può parlare di abuso. E qui sta il nodo: la Corte richiede che il titolare lo dimostri “in modo univoco”, non per supposizione.

Le informazioni pubbliche sul comportamento seriale dell’interessato (articoli, blog, newsletter di avvocati) possono essere considerate, ma da sole non bastano. Servono altri elementi oggettivi che dimostrino l’intento strumentale nel caso specifico. Nel caso Brillen Rottler, secondo la Corte, rispondere alla richiesta non avrebbe comportato per l’azienda costi o sforzi sproporzionati, e il rifiuto appariva quindi più una scelta deliberata che una necessità operativa.
Questa osservazione è importante per le PMI: la dimensione dell’azienda e l’effort richiesto per rispondere entrano nella valutazione, ma non in senso favorevole automatico.

Caso pratico: il dipendente licenziato che presenta una DSAR tre giorni dopo

Marco lavora come commerciale in una PMI metalmeccanica da sei anni. Viene licenziato per giustificato motivo soggettivo a fine settembre. Tre giorni dopo la lettera di licenziamento, il suo legale invia all’azienda una richiesta di accesso a tutti i dati personali del suo assistito: copia delle email archiviate, log di accesso ai sistemi gestionali, file con il suo nome sui server condivisi, registrazioni di videosorveglianza degli ultimi sei mesi.

L’ufficio HR, convinto che si tratti di una mossa preparatoria per la causa di impugnazione del licenziamento, archivia internamente la richiesta come “strumentale” e non risponde. Quaranta giorni dopo, il legale di Marco deposita un reclamo al Garante per mancato riscontro. Il Garante avvia un’istruttoria, chiede all’azienda di documentare le ragioni del mancato riscontro e accerta che non c’è alcuna prova concreta di un’intenzione abusiva: l’azienda ha solo supposto un motivo processuale. L’esito è doppio: sanzione amministrativa per mancato riscontro alla DSAR e, in parallelo, domanda di risarcimento per danno immateriale davanti al Tribunale del Lavoro nell’ambito della causa già pendente.

Cosa si poteva fare diversamente?
Gestire la DSAR secondo procedura, fornire i dati personali di Marco oscurando i dati di terzi presenti nelle email (clienti, colleghi, fornitori), documentare ogni passaggio. Se davvero l’azienda riteneva che la richiesta fosse strumentale, doveva costruire una prova solida: per esempio dimostrare che Marco aveva già ottenuto gli stessi dati durante il rapporto di lavoro tramite altre richieste, oppure che lo scopo della richiesta era manifestamente sproporzionato rispetto a un legittimo interesse a conoscere il trattamento. Senza queste prove, archiviare la richiesta come strumentale è una scelta che il Garante non può accettare.

Secondo principio: gestire male una DSAR può costare un risarcimento

Questo è il passaggio più importante della sentenza dal punto di vista del rischio economico per le aziende, e segna il punto di vera innovazione rispetto al passato.

L’articolo 82 del GDPR prevede il diritto al risarcimento per chiunque subisca un danno materiale o immateriale a causa di una violazione del Regolamento. Fino ad oggi, molte aziende e studi legali associavano questo articolo soprattutto ai data breach, cioè ai casi in cui i dati venivano persi, rubati o resi pubblici per errore. Il risarcimento, secondo questa lettura, scattava solo davanti a una violazione di sicurezza vera e propria.

La Corte di Giustizia, nel caso Brillen Rottler, ha esteso esplicitamente l’ambito di applicazione dell’articolo 82. Ha affermato che il risarcimento può scattare anche per la violazione del solo diritto di accesso, cioè per la cattiva gestione di una DSAR.
Un riscontro tardivo, incompleto, opaco o rifiutato senza motivazione valida non espone solo al reclamo davanti al Garante: apre anche la strada a una causa civile per danni.

Le due strade, regolatoria e civile, sono parallele e non si escludono. Una stessa DSAR mal gestita può generare:

• una sanzione amministrativa del Garante (fino a 20 milioni di euro o al 4% del fatturato globale, a seconda di quale sia maggiore, ai sensi dell’articolo 83 GDPR)
• una condanna al risarcimento nel giudizio civile
• l’obbligo di rispondere comunque alla richiesta originale, eventualmente sotto pena di nuove sanzioni.

Sul piano operativo questo significa che la gestione delle DSAR smette di essere un adempimento di customer care delegabile alla segreteria. Diventa un presidio di rischio legale a tutti gli effetti, con conseguenze concrete sul bilancio dell’azienda.

Caso pratico: la risposta incompleta che apre il procedimento

Una PMI che vende integratori online raccoglie indirizzi email tramite un popup di iscrizione alla newsletter sul sito. Un utente si iscrive, riceve qualche email promozionale, poi invia una DSAR molto dettagliata. Chiede copia di tutti i dati raccolti, inclusi log di navigazione, profili costruiti per finalità di marketing tramite cookie analitici, eventuali condivisioni con piattaforme pubblicitarie esterne.

L’azienda risponde entro i termini, fornisce nome, indirizzo email, data di iscrizione e contenuto delle email inviate. Dimentica però i dati di profilazione derivanti dai cookie analitici, integrati con il CRM tramite uno strumento di marketing automation. Dimentica anche di indicare che parte di questi dati erano stati condivisi con una piattaforma esterna per remarketing.

L’utente, ricevuta la risposta, segnala l’incompletezza al Garante. L’Autorità accerta l’omissione e avvia il procedimento. La sanzione arriva non perché l’azienda abbia agito in malafede, ma perché la sua procedura DSAR aveva un buco: aveva risposto, ma non aveva mappato tutti i sistemi che contenevano dati dell’interessato.

Cosa si poteva fare diversamente? La risposta sta nel lavoro di mappatura preliminare. Quando un’azienda usa marketing automation, advertising esterno, analytics e CRM connessi tra loro, i dati di una stessa persona si distribuiscono su cinque o sei sistemi diversi. Una procedura DSAR utile è quella che parte da una checklist aggiornata di dove vivono questi dati, con i referenti interni per ciascun sistema. Senza questa mappa, anche un’azienda in buona fede rischia di rispondere in modo incompleto.

Terzo principio: per ottenere il risarcimento servono prove concrete del danno

Il terzo principio bilancia i primi due. La sentenza non apre la strada ai risarcimenti automatici per chi presenta una DSAR: una persona non può chiedere e ottenere soldi solo perché l’azienda ha sbagliato qualcosa nella risposta. Per ottenere il risarcimento ai sensi dell’articolo 82 GDPR servono tre elementi, tutti presenti insieme:

• una violazione effettiva del Regolamento, per esempio la mancata risposta alla DSAR entro un mese
• un danno reale subito dall’interessato, che può essere economico (per esempio una spesa sostenuta per tutelarsi, come l’incarico a un legale) oppure non economico (per esempio l’ansia documentata di non sapere che fine hanno fatto i propri dati)
• un collegamento diretto tra la violazione e il danno, cioè la prova che il danno è conseguenza di quel comportamento dell’azienda e non di altro.

Dire genericamente di essere infastidito o preoccupato non basta. La Corte conferma che il danno non economico può consistere anche nella perdita di controllo sui propri dati o nell’incertezza su come siano stati trattati, ma chi chiede il risarcimento deve portare prove concrete: non basta dichiarare di aver sofferto, occorre dimostrarlo.

C’è poi un punto che torna utile alle aziende: se il danno è stato provocato dalla stessa condotta dell’interessato, il collegamento causale si spezza e il risarcimento non è dovuto.
Chi crea artificialmente la situazione, come accadeva nel caso Brillen Rottler con l’iscrizione strumentale alla newsletter seguita da richiesta veloce e poi da denuncia, non può poi pretendere il risarcimento del danno che si è procurato da solo. Se riesci a dimostrare l’abuso, blocchi anche la pretesa risarcitoria; il limite resta sempre lo stesso, ovvero il livello di prova richiesto.

I tre principi della sentenza si traducono in indicazioni operative molto concrete per chi gestisce un’azienda. Vediamole.

Costruire una procedura DSAR: le basi da impostare e la gestione operativa della richiesta

La sentenza Brillen Rottler ha due implicazioni operative diverse, anche se collegate. La prima riguarda quello che la tua azienda deve avere già in ordine adesso, indipendentemente dal fatto che una richiesta di accesso arrivi o meno. La seconda riguarda i passaggi corretti per gestire una DSAR ricevuta. Sono due piani distinti e vanno preparati entrambi.

Le cinque best practice da adottare subito

Costruire le basi della conformità prima di averne bisogno costa una frazione di quello che costerebbe metterle in piedi sotto pressione, con una richiesta già aperta e un termine di trenta giorni che corre. Ecco i cinque elementi che ogni PMI dovrebbe avere già in ordine adesso, indipendentemente dall’arrivo di una DSAR.

1. Mappatura aggiornata dei trattamenti e dei sistemi.
Devi sapere già adesso quali dati personali tratta la tua azienda, per quali finalità, dove sono archiviati (CRM, gestionale, email aziendali, archivi cartacei, backup, piattaforme cloud, marketing automation, fornitori esterni) e chi internamente è responsabile di ciascun sistema. Senza questa mappa, qualsiasi richiesta arriverà ti troverà impreparato.

2. Documentazione interna: registro dei trattamenti e procedura scritta per la gestione dei diritti.
Il registro dei trattamenti, previsto dall’articolo 30 GDPR, è formalmente obbligatorio per le aziende con più di 250 dipendenti e per quelle che, pur essendo più piccole, trattano dati in modo sistematico o gestiscono categorie particolari di dati (anche con un solo dipendente). Nella pratica, il Garante lo cita regolarmente come strumento di accountability anche al di fuori dei casi di obbligo formale, e in caso di controllo è una delle prime cose che chiede. Il registro deve elencare trattamenti, basi giuridiche, destinatari dei dati, tempi di conservazione. La procedura interna stabilisce invece chi riceve le richieste, come vengono protocollate, chi le valuta e chi le firma, in che tempi. Sono due documenti distinti ma complementari: il registro è la fotografia dei trattamenti, la procedura è il flusso operativo per rispondere. Insieme costituiscono la base documentale di qualunque risposta a una DSAR.

3. Informativa privacy aggiornata e accessibile.
Sul sito, nei moduli di contatto, nei contratti, nei form di iscrizione alla newsletter. Deve spiegare in modo chiaro come l’interessato può esercitare i propri diritti, incluso quello di accesso, e a chi rivolgersi. Un’informativa aggiornata riduce le contestazioni in caso di reclamo.

4. Formazione del personale che tratta dati.
Il GDPR non dedica un articolo specifico alla formazione, ma la richiede indirettamente attraverso due disposizioni chiave. L’articolo 5, paragrafo 2, impone al titolare del trattamento il principio di accountability, cioè la responsabilità di dimostrare la conformità al Regolamento: senza personale formato non si dimostra nulla. L’articolo 32 elenca tra le misure di sicurezza che il titolare deve adottare anche quelle di natura organizzativa, e la formazione del personale rientra a tutti gli effetti tra queste. Le persone in azienda che gestiscono dati di clienti, dipendenti o fornitori devono sapere riconoscere una richiesta di accesso quando arriva (anche via email o sui social) e a chi inoltrarla. La formazione periodica è insieme una best practice e un requisito.

5. DPO o consulente privacy di riferimento già attivo.
Non un nome da cercare quando serve, ma un professionista con cui hai già un rapporto strutturato, che conosce la tua azienda, i tuoi trattamenti e i tuoi sistemi. Quando arriverà una richiesta delicata, sarà operativo dal primo giorno. Trovare un consulente sotto pressione, con i trenta giorni che corrono, è la situazione peggiore in cui puoi trovarti.

Queste cinque condizioni non eliminano la possibilità di ricevere una richiesta, ma riducono il rischio di gestirla male. Le aziende che le hanno in ordine affrontano la prima DSAR come un’attività ordinaria, le altre la affrontano come una crisi.

I sei passaggi operativi quando ricevi una DSAR

Se le basi sono in ordine, la gestione di una richiesta segue una sequenza precisa. Ecco i sei passaggi da seguire dal momento in cui la DSAR entra in azienda.

1. Protocollazione immediata della richiesta.
Ogni DSAR va registrata nel momento stesso in cui arriva, con data, canale di ricezione (email, PEC, modulo del sito, social) e tipologia di richiesta. La data di ricezione fa partire il termine di trenta giorni: sbagliarla, anche di un solo giorno, espone al rischio di tardività.

2. Verifica proporzionata dell’identità.
Prima di inviare qualsiasi dato devi accertare che chi firma la richiesta sia davvero l’interessato. La verifica deve essere proporzionata: non puoi chiedere copia del documento d’identità a chi vuole solo cancellarsi da una newsletter, perché violeresti il principio di minimizzazione dei dati. Per richieste che riguardano dati sensibili, invece, una verifica più rigorosa è doverosa.

3. Recupero dei dati dai sistemi mappati.
Per ogni sistema che contiene dati dell’interessato (CRM, gestionale, email, backup, marketing automation, fornitori esterni) va fatta un’estrazione mirata. Una risposta che dimentica anche un solo sistema viene considerata incompleta dal Garante, e qui torna utile la mappatura preparata in anticipo: senza, l’estrazione si fa a memoria e quasi sempre si dimentica qualcosa.

4. Coinvolgimento tempestivo del DPO o del consulente privacy.
Specialmente quando la richiesta arriva in un contesto di contenzioso o pre-contenzioso. Il DPO valuta l’eventuale presenza di profili di rischio e propone la strategia di risposta corretta. Coinvolgerlo dopo aver già risposto è quasi sempre tardi.

5. Oscuramento selettivo dei dati di terzi.
Se nelle email o nei documenti recuperati compaiono dati personali di altre persone (clienti, colleghi, fornitori, familiari), quei dati vanno oscurati prima di inviare la risposta. La presenza di dati di terzi nei documenti non ti autorizza a rifiutare la richiesta: la risposta va data oscurando le parti che non riguardano l’interessato.

6. Risposta motivata, sia per accoglimento che per diniego.
Se accogli, la risposta deve includere tutte le informazioni richieste dall’articolo 15 GDPR: finalità del trattamento, categorie di dati, destinatari, tempi di conservazione, diritti dell’interessato, origine dei dati se non raccolti direttamente. Se rifiuti o limiti la risposta, devi farlo per iscritto, entro un mese, spiegando i motivi e indicando la possibilità di reclamo al Garante o di ricorso al giudice. Un rifiuto senza motivazione equivale, per il Garante, a un mancato riscontro.

Un’ultima precisazione utile dalla sentenza Brillen Rottler, da incorporare nelle linee guida interne: il diritto di accesso riguarda i dati personali dell’interessato, non tutta la documentazione aziendale in cui compare il suo nome. Contratti commerciali, fatture, report interni e corrispondenza che non contengono informazioni qualificabili come dati personali riferiti a lui possono restare fuori dal perimetro della risposta. È una distinzione che protegge le aziende da richieste di accesso usate come strumento di indagine allargata sull’attività aziendale. Va però gestita con attenzione, motivando caso per caso quali documenti rientrano nel perimetro e quali no.

La posizione del Garante italiano: una linea già consolidata

Sul tema il Garante italiano si era già mosso negli anni precedenti con un’interpretazione rigorosa del diritto di accesso. Tre provvedimenti recenti aiutano a inquadrare la linea italiana.

In un’ordinanza del 12 dicembre 2024, il Garante ha sanzionato una banca con 20.000 euro per un riscontro inidoneo e tardivo a una richiesta di accesso. L’Autorità ha tenuto conto, in attenuazione, delle attività di formazione e dei correttivi avviati internamente dopo i fatti, ma la sanzione è stata comunque applicata. Una formazione avviata dopo i fatti attenua ma non cancella la violazione

In un provvedimento del 9 ottobre 2025, il Garante ha affermato che il contenzioso in corso non è di per sé sufficiente a paralizzare il diritto di accesso. Per limitare una DSAR in presenza di una causa serve la prova di un pregiudizio effettivo e concreto all’esercizio del diritto in sede giudiziaria, ai sensi dell’articolo 2-undecies del Codice Privacy (D.Lgs. 196/2003). Questo articolo consente al titolare di limitare i diritti dell’interessato in casi specifici, tra cui le indagini difensive e l’esercizio del diritto in giudizio. Ma serve una valutazione concreta del pregiudizio, non un richiamo generico.

In un provvedimento del 18 dicembre 2025, il Garante ha precisato due punti molto pratici. Primo: il fatto che l’interessato abbia già avuto accesso ai propri dati in passato non esclude automaticamente una nuova richiesta di accesso, salvo i casi di vera eccessività. Secondo: una casella email aziendale individualizzata (per esempio nome.cognome@azienda.it) contiene dati personali del dipendente. Non la si può sottrarre al diritto di accesso con l’argomento che “è dell’azienda”. Il bilanciamento si fa oscurando i dati di clienti e di terzi presenti nelle comunicazioni, non negando l’accesso in blocco.

Da questi tre provvedimenti emerge una linea coerente: in via ordinaria l’interessato non deve giustificare la propria richiesta. Solo in casi davvero anomali, con prove robuste e circostanziate, il titolare può tentare di dimostrare l’abuso ai sensi dell’articolo 12, paragrafo 5, GDPR. La regola resta sempre la stessa: la richiesta di accesso va concessa. Puoi rifiutarla solo in casi eccezionali e dimostrare l’abuso non è semplice.

Hai ricevuto una DSAR e non sai come gestirla? Parliamone

Se nella tua azienda non esiste ancora una procedura DSAR strutturata, o se hai ricevuto una richiesta complessa e non sai come muoverti, non improvvisare. Una gestione sbagliata della DSAR oggi può tradursi domani in una sanzione del Garante e in una causa di risarcimento.
Prenota una consulenza gratuita con il nostro team di consulenti privacy. Analizziamo la tua situazione, verifichiamo la procedura esistente (o costruiamo quella che manca) e ti diciamo esattamente cosa fare per proteggere la tua azienda dal rischio regolatorio e da quello civile. Senza impegno e con un linguaggio comprensibile, anche se non sei un giurista.