Regolamento - 27/04/2016 - n. 679 art. 19 - Obbligo di notifica in caso di rettifica o cancellazione dei dati personali o limitazione del trattamento

Contenuto

La disposizione in esame si limita a porre un obbligo in capo al titolare del trattamento ulteriore rispetto a quelli contemplati nelle tre disposizioni citate. In particolare, tale obbligo si declina in un duplice dovere di comunicazione: verso ciascuno dei destinatari ai quali i dati personali sono stati trasmessi, con il solo limite dello sforzo sproporzionato; verso l'interessato del trattamento, al quale il titolare indica, su sua richiesta, chi siano tali destinatari. Per “destinatari” devono intendersi i soggetti descritti dall'art. 4.9).

La struttura della disposizione così descritta richiama, mutatis mutandis, alcuni tratti degli obblighi di notifica e comunicazione di cui agli artt. 33 e 34 GDPR. I presupposti giuridici e il contesto sono naturalmente diversi e non è presente nella disposizione che ci occupa alcun collegamento diretto con l'autorità di controllo, nondimeno sono evidenti il profilo organizzativo e di coordinamento come pure la funzione di pubblicità a garanzia dell'interessato che la norma sottende. L'art. 19 GDPR è inoltre una delle poche disposizioni del Regolamento sulle quali possa essere costruito in maniera netta il diritto dell'interessato di conoscere gli specifici destinatari ai quali i dati personali sono stati trasmessi, anziché le più generiche e astratte categorie di destinatari. A monte, l'osservanza dell'obbligo presuppone la capacità del titolare del trattamento di individuare tempestivamente tali destinatari, capacità che può ben essere facilitata, in chiave di accountability, dal tenere via via traccia di tali soggetti tramite sistemi tecnici, pena l'impossibilità di una ricostruzione futura.

La Corte di Giustizia dell'Unione Europea, in una recente pronuncia ha ritenuto che «dagli obblighi generali previsti all'articolo 5, paragrafo 2, e all'articolo 24 del RGPD, letti in combinato disposto con l'articolo 19 di quest'ultimo, discende che un titolare del trattamento di dati personali, come la Proximus, deve mettere in atto misure tecniche e organizzative adeguate per informare gli altri fornitori di elenchi telefonici ai quali ha fornito tali dati della revoca del consenso dell'interessato che gli è stata comunicata» (CGUE, 27 ottobre 2022, Proximus NV, C-129/21, § 83).

La Corte di Giustizia dell'Unione Europea, nell'affrontare il tema del diritto dell'interessato a conoscere i destinatari dei suoi dati personali ai sensi dell'art. 15 GDPR ha evidenziato che siffatto diritto è confermato «dalla lettura dell'articolo 19 del RGPD, il quale prevede, alla sua prima frase, che il titolare del trattamento comunichi, in linea di principio, a ciascuno dei destinatari cui sono stati trasmessi i dati personali le eventuali rettifiche, cancellazioni o limitazioni del trattamento e, alla sua seconda frase, che tale titolare comunichi all'interessato tali destinatari qualora l'interessato lo richieda.

Pertanto, l'articolo 19, seconda frase, del RGPD conferisce espressamente all'interessato il diritto di essere informato dei destinatari concreti dei dati che lo riguardano da parte del titolare del trattamento, nell'ambito dell'obbligo di quest'ultimo di informare tutti i destinatari dell'esercizio dei diritti di cui l'interessato dispone ai sensi dell'articolo 16, dell'articolo 17, paragrafo 1, e dell'articolo 18 del RGPD» (CGUE, 12 gennaio 2023, Österreichische Post AG, C-154/21, §§ 40 e 41).