Richiesta di accesso ai dati negata: quando si può chiedere il risarcimento

Sì, il rifiuto di rispondere a una richiesta di accesso ai propri dati può fondare una domanda di risarcimento. Lo ha chiarito la Corte di giustizia UE con la sentenza del 19 marzo 2026 (causa C-526/24): l'art. 82 GDPR copre anche la violazione del diritto di accesso, ma il danno va dimostrato e non nasce in automatico dal rifiuto.

Il caso deciso dalla Corte

Il caso nasce in Germania. Un utente si era iscritto alla newsletter di un'ottica e, tredici giorni dopo, aveva chiesto l'accesso ai propri dati ai sensi dell'art. 15 GDPR. L'impresa aveva respinto la richiesta come abusiva, sostenendo che quella persona presentava richieste in serie per ottenere risarcimenti; l'utente aveva chiesto a sua volta il ristoro del danno immateriale per il mancato accesso.

1. Anche una prima richiesta può essere respinta, ma solo se è abusiva

Il GDPR consente al titolare di rifiutare le richieste «manifestamente infondate o eccessive» (art. 12, par. 5). La Corte ammette che anche una prima richiesta possa rientrare in questa ipotesi, ma pone l'onere della prova sul titolare: deve dimostrare, alla luce di tutte le circostanze, che la richiesta non mirava a conoscere il trattamento e a verificarne la liceità, ma a creare artificiosamente le condizioni per ottenere un vantaggio.

Per chi esercita il diritto in buona fede il messaggio è rassicurante: voler sapere che cosa una piattaforma fa dei propri dati, anche in vista di una possibile tutela, è proprio lo scopo dell'accesso. Il titolare può però tenere conto di informazioni pubbliche su numerose richieste seguite da domande di risarcimento verso titolari diversi.

2. Il risarcimento copre anche la violazione del diritto di accesso

Il titolare sosteneva che l'art. 82 GDPR riguardasse solo i danni causati da un trattamento di dati, e che un rifiuto di accesso non lo fosse. La Corte ha respinto questa lettura: limitare il risarcimento ai trattamenti indebolirebbe in modo significativo i diritti degli interessati, che spesso vengono violati proprio con il rifiuto di dare seguito a una richiesta.

3. Perdita di controllo e incertezza sono danni, se provati

È il punto più delicato. Il danno immateriale comprende la perdita di controllo sui propri dati e l'incertezza su come siano stati trattati, ma con limiti precisi.

• La violazione da sola non basta: servono violazione, danno effettivamente subito e nesso causale, tre condizioni cumulative (già affermate in CGUE C-300/21, Österreichische Post).
• Non c'è una soglia minima di gravità, ma il danno, per quanto lieve, va dimostrato e deve essere qualcosa di diverso dalla semplice violazione del regolamento.
• Il semplice timore allegato non è sufficiente: il giudice deve verificare che sia fondato nelle circostanze concrete.
• Il nesso causale si interrompe se è stato l'interessato a provocare il danno, per esempio fornendo i dati al solo scopo di costruire le condizioni per chiedere un risarcimento.

È la stessa linea della Cassazione, che esclude il danno «in re ipsa» in materia di dati personali e chiede di allegare e provare il pregiudizio (Cass. ord. 16402/2021). La sentenza non indica importi: la liquidazione resta affidata al giudice nazionale, caso per caso.

Che cosa cambia per gli utenti di Facebook e Instagram

La richiesta di accesso è spesso il primo passo per capire la propria posizione: quali dati Meta conserva, per quali finalità li tratta, a chi li ha comunicati, da dove li ha ottenuti. È diversa dalla funzione «Scarica le tue informazioni», perché l'art. 15 dà diritto anche a queste informazioni sul trattamento, non solo a una copia dei contenuti.

Dopo la sentenza C-526/24, una risposta mancante, incompleta o un rifiuto immotivato possono diventare un elemento di una domanda risarcitoria, a condizione di documentare le conseguenze concrete subite.

Come esercitare bene il diritto di accesso

• Rivolgi la richiesta al titolare del trattamento, che per gli utenti europei di Facebook e Instagram è Meta Platforms Ireland Limited, attraverso i canali indicati nella sua informativa privacy.
• Chiedi in modo esplicito, oltre alla copia dei dati, le informazioni previste dall'art. 15: finalità, categorie di dati, destinatari, periodo di conservazione, origine dei dati.
• Conserva prova della data di invio: il titolare deve rispondere senza ingiustificato ritardo e comunque entro un mese, prorogabile di due mesi nei casi complessi, dandone notizia (art. 12, par. 3). La risposta è gratuita (art. 12, par. 5).
• Annota che cosa ti ha causato la mancata risposta: tempo perso, impossibilità di verificare un sospetto uso dei tuoi dati, decisioni che non hai potuto prendere. È il materiale con cui si prova il danno.
• Se la risposta non arriva o è insufficiente, puoi presentare reclamo al Garante (art. 77) e valutare con un legale l'azione davanti al giudice (artt. 79 e 82).

Accesso, scraping e monetizzazione: tre piani diversi

La richiesta di accesso è uno strumento trasversale e non sostituisce le azioni sul merito. Per lo scraping 2018-2019 c'è l'azione di classe del Centro Tutela Consumatori Utenti di Bolzano, iniziativa seria, gratuita per chi si iscrive e distinta dalla nostra, ammessa dal Tribunale di Milano il 10 aprile 2026. Per la monetizzazione dei dati, invece, in Italia non esistono ancora precedenti che abbiano liquidato un importo agli utenti.

Il passo successivo

Se hai chiesto a Meta l'accesso ai tuoi dati senza ottenere una risposta completa, o vuoi capire quale dei filoni ti riguarda, puoi descrivere la tua situazione nella sezione «Il tuo caso»: valutiamo se ci sono i presupposti per agire, senza promesse di importi e senza impegno.