Telefono:
1. Premessa
La possibilità per gli eredi e per i chiamati all’eredità di conoscere i dati personali dei beneficiari di una polizza assicurativa sulla vita stipulata dal de cuius costituisce una delle questioni più controverse nell’intersezione tra diritto successorio e disciplina della protezione dei dati personali.
Il problema nasce dal conflitto tra due contrapposti interessi: da un lato, quello dell’erede o del chiamato all’eredità a ricostruire la consistenza patrimoniale del de cuius e, ove necessario, a individuare i soggetti nei cui confronti esercitare eventuali pretese successorie; dall’altro, il diritto alla riservatezza del terzo beneficiario, titolare di un diritto proprio derivante dalla designazione effettuata dal contraente.
La questione ha dato luogo, negli anni, a orientamenti giurisprudenziali non univoci. Un primo indirizzo, oggi recessivo, ha escluso la possibilità di comunicare ai successori i dati identificativi del beneficiario, ritenendoli estranei ai dati personali del defunto cui si riferisce il diritto di accesso previsto dalla disciplina in materia di protezione dei dati personali. Un secondo orientamento, successivamente consolidatosi nella giurisprudenza di merito e valorizzato dalla Corte di cassazione, ha invece riconosciuto la possibilità di ostensione dei dati del beneficiario quando la conoscenza degli stessi sia concretamente necessaria per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria.
Un contributo decisivo alla ricostruzione del quadro interpretativo è stato offerto dal provvedimento del Garante per la protezione dei dati personali n. 520 del 26 ottobre 2023, espressamente dedicato all’accesso da parte di eredi e chiamati all’eredità ai dati dei beneficiari di polizze vita.
2. L’originario orientamento restrittivo
L’orientamento tradizionalmente più rigoroso muoveva dalla distinzione tra i dati personali del defunto e quelli appartenenti a soggetti terzi.
Particolare rilievo assume, in tale prospettiva, la pronuncia della Corte di cassazione 8 settembre 2015, n. 17790, secondo cui il diritto di accesso esercitabile dagli eredi ai sensi della disciplina allora vigente riguardava i dati personali riferibili alla persona deceduta e non poteva essere esteso, in via generale, ai dati identificativi di soggetti terzi, quali i beneficiari di una polizza sulla vita.
La ratio della decisione risiedeva nella funzione propria del diritto di accesso ai dati personali, concepito come strumento destinato a consentire all’interessato, o ai soggetti legittimati dalla legge, di conoscere le informazioni riferibili al soggetto deceduto, senza trasformarsi in un generale strumento di acquisizione di informazioni concernenti soggetti estranei.
Tale impostazione aveva trovato riscontro anche nell’orientamento del Garante, che, sotto il vigore della disciplina previgente, aveva ritenuto che l’accesso ai dati del de cuius non legittimasse automaticamente la comunicazione delle generalità dei terzi beneficiari.
In questa prospettiva, l’erede avrebbe potuto ottenere informazioni relative all’esistenza della polizza, ai premi versati e agli altri elementi riconducibili alla posizione patrimoniale del defunto, ma non necessariamente l’identità del beneficiario, il quale acquista il diritto derivante dalla designazione iure proprio.
L’orientamento è stato recepito anche da alcune pronunce di merito, tra cui, in tempi più recenti, la Corte d’appello di Milano, sentenza n. 3130/2020.
Il presupposto teorico di tale indirizzo era dunque costituito dalla netta separazione tra il diritto dell’erede alla conoscenza dei dati del de cuius e il diritto del beneficiario alla protezione dei propri dati personali.
3. Il mutamento di prospettiva: il diritto di difesa quale parametro di bilanciamento
Il quadro interpretativo ha progressivamente subito un’evoluzione.
La questione non riguarda infatti esclusivamente l’esercizio del diritto di accesso ai dati del defunto, bensì, in determinate circostanze, la necessità di conoscere dati appartenenti a un terzo per poter esercitare un autonomo diritto in sede giudiziaria.
La distinzione è stata valorizzata dalla Corte di cassazione con l’ordinanza 13 dicembre 2021, n. 39531. La controversia riguardava, in quel caso, una posizione di previdenza complementare e i dati dei relativi beneficiari, ma il principio enunciato assume particolare rilevanza anche rispetto alle polizze vita.
La Corte ha distinto l’ipotesi dell’accesso ai dati del defunto da quella in cui il richiedente domandi invece i dati di un terzo allo scopo di promuovere o difendere un giudizio.
Secondo la Suprema Corte, in quest’ultima ipotesi il riferimento alla disciplina relativa ai dati delle persone decedute non esaurisce il quadro normativo applicabile. Assume invece rilievo la disciplina concernente la liceità del trattamento quando questo sia necessario per il perseguimento di un legittimo interesse e, soprattutto, per l’esercizio del diritto di difesa.
La Corte ha così affermato il principio secondo cui è legittima l’ostensione dei dati del beneficiario quando il richiedente alleghi un interesse concreto e non pretestuoso a intraprendere un giudizio nei confronti del soggetto designato.
Il principio non comporta, tuttavia, un generale diritto dell’erede a conoscere indiscriminatamente i dati dei beneficiari.
La conoscenza del dato deve essere infatti collegata a una posizione giuridica suscettibile di tutela e deve risultare funzionale all’esercizio di un diritto in sede giudiziaria.
Il criterio, pertanto, non è quello della prevalenza assoluta del diritto di difesa sulla riservatezza, bensì quello del necessario bilanciamento tra interessi contrapposti.
4. L’accesso ai dati del beneficiario nel provvedimento del Garante n. 520/2023
Il contrasto interpretativo è stato affrontato in maniera organica dal Garante per la protezione dei dati personali con il provvedimento n. 520 del 26 ottobre 2023, recante specifiche indicazioni sull’esercizio del diritto di accesso da parte di eredi e chiamati all’eredità ai dati dei beneficiari di polizze vita.
L’Autorità ha anzitutto chiarito che l’art. 2-terdecies del d.lgs. n. 196/2003 consente ai soggetti legittimati di esercitare, anche dopo la morte dell’interessato, i diritti previsti dagli artt. 15-22 GDPR con riferimento ai dati personali della persona deceduta.
Tale disposizione, tuttavia, non amplia automaticamente l’oggetto del diritto di accesso sino a comprendere qualsiasi dato riferibile a terzi.
L’art. 15, par. 4, GDPR stabilisce infatti che il diritto di ottenere una copia dei dati non deve ledere i diritti e le libertà altrui. Da ciò discende la necessità di procedere, nel caso concreto, a una valutazione comparativa degli interessi coinvolti.
Proprio in tale prospettiva il Garante ha ritenuto che tra i dati accessibili possano rientrare anche quelli personali dei beneficiari delle polizze assicurative stipulate dal de cuius, purché ricorrano determinati presupposti e sia effettuata dall’impresa assicuratrice un’attenta valutazione comparativa.
L’Autorità ha quindi recepito, sul piano interpretativo, l’impostazione già valorizzata dalla Corte di cassazione nel 2021.
5. Il “controllo in negativo” della compagnia assicurativa
Particolarmente significativo è il criterio individuato dal Garante in ordine all’attività che deve essere svolta dal titolare del trattamento.
A fronte di una richiesta di conoscenza dei nominativi dei beneficiari, la compagnia non sarebbe chiamata ad accertare in maniera piena la fondatezza dell’eventuale futura azione giudiziaria, ma dovrebbe effettuare un controllo volto a escludere il carattere manifestamente pretestuoso della richiesta.
Il Garante parla espressamente di un “controllo in negativo”, attraverso il quale verificare che l’istanza non sia del tutto arbitraria o esplorativa. Garante Privacy
In particolare, il titolare del trattamento dovrebbe verificare almeno due elementi:
- che il richiedente sia portatore di una posizione di diritto soggettivo sostanziale in ambito successorio, riconducibile alla qualità di chiamato all’eredità o di erede;
- che l’interesse perseguito sia concreto e attuale e risulti strumentale o prodromico alla difesa di un proprio diritto successorio in sede giudiziaria.
Ne deriva che non sarebbe sufficiente una generica curiosità circa l’identità dei beneficiari o l’intenzione meramente esplorativa di ricostruire l’assetto patrimoniale predisposto dal de cuius.
Al contrario, la richiesta dovrebbe essere accompagnata dall’allegazione di una posizione giuridica suscettibile di tutela e dal collegamento tra la conoscenza del dato e l’eventuale esercizio di tale posizione.
6. La necessità di un interesse concreto e attuale
La nozione di interesse concreto e attuale costituisce probabilmente il profilo più delicato dell’intera disciplina.
Il richiedente deve infatti dimostrare che l’accesso ai dati non è finalizzato a una mera indagine esplorativa, ma è funzionale alla verifica o all’esercizio di una posizione giuridica determinata.
Si pensi, ad esempio, all’ipotesi in cui il successore intenda verificare la possibilità di contestare un atto dispositivo compiuto dal de cuius in condizioni tali da prospettare un’azione di annullamento per incapacità naturale ai sensi dell’art. 428 c.c.
In una simile situazione, l’identità del beneficiario potrebbe assumere una concreta rilevanza ai fini dell’individuazione del soggetto nei cui confronti indirizzare la domanda giudiziale.
Analogamente, la conoscenza dei beneficiari può assumere rilievo nelle controversie concernenti la lesione della quota di riserva, quando l’operazione assicurativa sia suscettibile di incidere sulla ricostruzione della massa patrimoniale rilevante ai fini successori.
Il punto decisivo consiste, dunque, nel rapporto di necessaria strumentalità tra il dato richiesto e il diritto che il richiedente intende esercitare.
7. Il ruolo della compagnia assicurativa e i limiti della sua valutazione
Il modello delineato dal Garante pone tuttavia un problema di particolare interesse: l’impresa assicuratrice viene chiamata a svolgere una valutazione che presenta inevitabilmente profili di carattere giuridico.
La compagnia deve infatti stabilire se il richiedente rivesta una posizione successoria qualificata, se l’interesse dedotto sia concreto e attuale e se la richiesta presenti o meno carattere esplorativo.
Non le compete, evidentemente, anticipare il giudizio che spetterebbe al giudice sull’effettiva fondatezza dell’azione prospettata.
Il controllo deve quindi mantenersi entro i limiti indicati dal Garante: non una verifica della fondatezza nel merito della futura domanda giudiziale, ma un accertamento volto a escludere che la richiesta sia manifestamente arbitraria o priva di qualsiasi collegamento con una posizione giuridica tutelabile.
Tale distinzione appare essenziale per evitare che il titolare del trattamento finisca per sostituirsi al giudice nella valutazione della controversia successoria.
8. La documentazione della richiesta e il procedimento interno
Alla luce del quadro delineato, appare opportuno che le imprese assicuratrici adottino una procedura interna specificamente dedicata alle richieste di accesso formulate dagli eredi e dai chiamati all’eredità.
In via preliminare dovrebbe essere verificata la completezza dell’istanza e la qualità del richiedente, attraverso la documentazione idonea a dimostrare il decesso del contraente e il rapporto successorio dedotto.
Successivamente dovrebbe essere esaminata la motivazione della richiesta, verificando che essa individui una posizione giuridica concretamente tutelabile e che chiarisca la funzione assolta dalla conoscenza dell’identità del beneficiario.
La procedura dovrebbe infine consentire di documentare il bilanciamento effettuato tra il diritto alla protezione dei dati personali del beneficiario e l’interesse del richiedente all’esercizio del diritto di difesa.
In questa prospettiva, particolare attenzione dovrebbe essere prestata ai principi di necessità, proporzionalità e minimizzazione dei dati.
Il provvedimento del Garante richiama, del resto, anche le indicazioni dell’European Data Protection Board in materia di accesso ai dati di terzi, secondo cui il titolare deve cercare, ove possibile, una soluzione capace di conciliare i diritti contrapposti, ricorrendo anche a misure idonee a ridurre il pregiudizio per il terzo.
9. La posizione del beneficiario e la tutela della sua riservatezza
L’affermazione della possibilità di comunicare il nominativo del beneficiario non determina, dunque, il venir meno della tutela della sua riservatezza.
Il beneficiario rimane titolare dei diritti riconosciuti dalla normativa in materia di protezione dei dati personali e la comunicazione del dato deve essere limitata a quanto effettivamente necessario per la finalità dichiarata.
Il Garante ha espressamente precisato che il soggetto che riceve i dati deve, a sua volta, rispettare rigorosamente la finalità di tutela dei propri diritti successori in sede giudiziaria sottesa alla comunicazione.
Ne consegue che l’accesso non può trasformarsi in uno strumento per acquisire e successivamente utilizzare liberamente informazioni relative al beneficiario per finalità estranee alla controversia prospettata.
10. Il rapporto tra l’art. 6 GDPR e il diritto di difesa
Particolare attenzione merita il richiamo all’art. 6, par. 1, lett. f), GDPR, valorizzato dalla Corte di cassazione e ripreso dal Garante.
La disposizione ammette il trattamento quando esso sia necessario per il perseguimento del legittimo interesse del titolare o di terzi, purché non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato.
La norma non istituisce, pertanto, una automatica prevalenza del diritto di difesa sulla riservatezza.
Essa impone piuttosto una verifica della necessità del trattamento e un bilanciamento tra l’interesse perseguito mediante l’accesso e i diritti della persona cui i dati si riferiscono.
È proprio questo il significato che deve essere attribuito al principio secondo cui l’interesse alla riservatezza può recedere dinanzi a un interesse giuridicamente qualificato all’esercizio del diritto di difesa, quando quest’ultimo sia autentico e non meramente pretestuoso.
11. La natura del provvedimento del Garante
Occorre, infine, interrogarsi sulla portata giuridica del provvedimento n. 520/2023.
L’atto non ha natura legislativa e non può evidentemente essere equiparato a una disposizione normativa primaria. Esso costituisce, tuttavia, un provvedimento interpretativo di carattere generale adottato dall’Autorità nazionale di controllo nell’esercizio delle proprie attribuzioni.
Il Garante, dopo avere ricostruito gli orientamenti giurisprudenziali e il quadro normativo europeo e nazionale, ha espressamente invitato i titolari del trattamento ad attenersi alle indicazioni fornite nell’interpretazione e nell’applicazione dell’art. 15 GDPR e dell’art. 2-terdecies del Codice privacy.
La sua rilevanza sistematica appare pertanto significativa: il provvedimento non elimina il margine di valutazione richiesto dal caso concreto, ma fornisce un criterio interpretativo destinato a orientare l’attività delle imprese assicuratrici e, indirettamente, il contenzioso successivo.
12. Le conseguenze di un’ostensione illegittima
Un ulteriore profilo problematico concerne la responsabilità del titolare del trattamento nell’ipotesi in cui la comunicazione dei dati venga successivamente ritenuta illegittima.
La valutazione della liceità del trattamento deve essere necessariamente compiuta con riferimento alle circostanze esistenti nel momento in cui la richiesta viene esaminata.
La compagnia dovrà pertanto essere in grado di dimostrare le ragioni che hanno condotto alla decisione, documentando la qualità del richiedente, la motivazione dell’istanza, la posizione giuridica dedotta, la necessità della conoscenza del dato e il bilanciamento effettuato con gli interessi del beneficiario.
La corretta documentazione del procedimento decisionale costituisce, in tale prospettiva, uno strumento essenziale di accountability.
Non sarà sufficiente, infatti, richiamare genericamente il diritto di difesa: occorrerà dimostrare il concreto collegamento tra il dato richiesto e la posizione giuridica che il richiedente intende tutelare.
13. Considerazioni conclusive
Il percorso interpretativo sviluppatosi negli ultimi anni sembra aver progressivamente superato la rigida contrapposizione tra diritto di accesso dell’erede e diritto alla riservatezza del beneficiario.
Il problema non appare più risolvibile mediante una regola astratta di assoluta prevalenza dell’uno o dell’altro diritto.
La soluzione delineata dalla giurisprudenza più recente e dal provvedimento del Garante n. 520/2023 è invece fondata sulla necessità di un bilanciamento concreto.
Da un lato, l’erede o il chiamato all’eredità non può pretendere di conoscere indiscriminatamente qualsiasi informazione concernente i beneficiari delle polizze stipulate dal de cuius. Dall’altro, la tutela della riservatezza del beneficiario non può essere utilizzata per impedire l’esercizio di un diritto di difesa effettivo e concretamente collegato a una posizione successoria tutelabile.
Il punto di equilibrio è rappresentato dalla necessità, concretezza e attualità dell’interesse perseguito.
In questa prospettiva, la richiesta di accesso dovrebbe essere valutata attraverso una sequenza logicamente ordinata: verifica della qualità del richiedente; individuazione della posizione giuridica sostanziale dedotta; verifica della concretezza e attualità dell’interesse; accertamento del nesso di strumentalità tra il dato richiesto e l’eventuale tutela giudiziaria; infine, bilanciamento con i diritti e le libertà del beneficiario.
La compagnia assicuratrice è dunque chiamata a svolgere una funzione delicata: non quella di anticipare il giudizio sulla fondatezza della pretesa successoria, bensì quella di verificare che l’accesso richiesto non sia meramente esplorativo e che la comunicazione del dato sia effettivamente funzionale all’esercizio di una posizione giuridica tutelabile.
È in tale prospettiva che il provvedimento del Garante n. 520/2023 assume particolare rilievo sistematico. Esso offre infatti un criterio operativo capace di ricomporre, almeno in parte, la precedente oscillazione interpretativa, individuando nel bilanciamento tra riservatezza e diritto di difesa il criterio fondamentale per stabilire, caso per caso, la conoscibilità dei dati del beneficiario.
La tutela della privacy, in definitiva, non viene meno, ma viene ricondotta alla sua corretta dimensione di diritto fondamentale non assoluto, da coordinare con gli altri diritti e interessi giuridicamente rilevanti dell’ordinamento.