29 Lug 2025 - Approfondimenti

Il diritto di accesso ai dati personali e la tutela dei segreti aziendali: la sentenza della CGUE del 27 febbraio 2025

Con la sentenza del 27 febbraio 2025 (causa C-307/22), la Corte di Giustizia dell’Unione Europea è tornata a pronunciarsi su una questione centrale nel diritto della protezione dei dati: il bilanciamento tra il diritto di accesso dell’interessato ai propri dati personali (ex art. 15 GDPR) e la necessità di tutelare informazioni riservate, in particolare i segreti aziendali.

Il caso e la decisione

La controversia trae origine da una richiesta, avanzata da un dipendente nei confronti della propria ex datrice di lavoro, volta a ottenere l’accesso a tutti i dati personali che lo riguardavano, inclusi quelli contenuti in valutazioni interne e comunicazioni interaziendali. L’azienda aveva parzialmente rifiutato la richiesta, invocando la necessità di tutelare i propri segreti commerciali e le valutazioni confidenziali dei superiori.

La Corte ha stabilito che il diritto di accesso garantito dal GDPR non può essere esercitato in modo assoluto e deve essere oggetto di un giusto bilanciamento con altri diritti fondamentali, quali la tutela dei segreti commerciali e la libertà d’impresa, previsti dalla Carta dei diritti fondamentali dell’Unione europea.

Tuttavia, la Corte ha anche sottolineato che tale limitazione non può diventare un pretesto per eludere il diritto di accesso. Le imprese devono fornire motivazioni concrete e dettagliate per giustificare eventuali restrizioni, dimostrando che la divulgazione dei dati metterebbe effettivamente a rischio informazioni sensibili o know-how protetto.

Perché la sentenza è importante

La decisione della Corte ha un’importanza cruciale per il mondo delle imprese e per gli operatori del diritto, poiché chiarisce i limiti entro cui può essere opposta la riservatezza aziendale in presenza di una richiesta ex art. 15 GDPR. La giurisprudenza fino ad ora oscillava tra interpretazioni molto ampie del diritto di accesso e una certa resistenza da parte delle aziende nel rivelare documenti interni, soprattutto in contesti di contenzioso con ex dipendenti o partner commerciali.

Questa sentenza fornisce una cornice più equilibrata, riconoscendo che il diritto alla protezione dei dati personali non può prevalere in modo incondizionato su altri interessi di rango costituzionale, ma deve essere esercitato in modo compatibile con la tutela dell’iniziativa economica e della riservatezza delle informazioni strategiche.

Per quanto riguarda brevetti e segreti tecnici?

Il rilievo della pronuncia si estende in modo significativo anche al settore della proprietà industriale, e in particolare alla protezione dei brevetti e dei segreti tecnici. Le aziende che operano in ambiti ad alto tasso di innovazione – farmaceutico, biotech, meccanico, software – trattano quotidianamente dati personali di ricercatori, inventori e collaboratori, spesso integrati in documenti che contengono informazioni brevettabili o già oggetto di domanda di brevetto.

In tali casi, una richiesta di accesso ai dati ex art. 15 GDPR potrebbe intercettare materiali strategici: report di R&S, bozze di invenzioni, note interne sulle strategie brevettuali. La Corte ha chiarito che tali contenuti possono essere sottratti all’accesso, se effettivamente coperti da riservatezza e se la loro diffusione comprometterebbe l’interesse dell’impresa a mantenere il controllo sull’invenzione, soprattutto prima della pubblicazione del brevetto o in presenza di tecnologie non brevettate ma coperte come trade secret (ai sensi della Direttiva UE 2016/943).

In altre parole, il diritto all’accesso non deve trasformarsi in un canale indiretto per ottenere conoscenze tecniche riservate, a danno della competitività aziendale o della protezione dell’innovazione.

Conseguenze pratiche per le aziende

Le aziende dovranno adottare un approccio più strutturato e documentato nella gestione delle richieste di accesso. In particolare:

• Sarà necessario predisporre policy interne che identifichino in modo chiaro quali dati possono essere comunicati e quali rientrano nei segreti aziendali o brevettuali;
• Ogni diniego parziale dovrà essere motivato puntualmente, indicando le specifiche ragioni di tutela;
• Nei documenti che combinano dati personali e informazioni tecniche, sarà utile operare una segmentazione che consenta l’accesso ai primi, proteggendo al contempo i secondi.

Inoltre, le imprese dovranno rafforzare le misure organizzative e tecniche per evitare che dati riservati vengano divulgati in modo involontario nel rispondere alle richieste di accesso.

Effetti positivi e negativi

Tra gli effetti positivi della sentenza, vi è sicuramente una maggiore chiarezza per le aziende, che possono ora contare su una base giuridica più solida per tutelare i propri segreti, evitando abusi o richieste strumentali. La decisione incentiva un bilanciamento responsabile e trasparente tra diritti potenzialmente confliggenti, e valorizza il principio di proporzionalità nel trattamento dei dati personali.

D’altro canto, un rischio da non sottovalutare è quello di un uso eccessivamente restrittivo dell’eccezione legata ai segreti aziendali. Alcune imprese potrebbero essere tentate di invocare in modo generico la riservatezza per eludere l’obbligo di trasparenza. Sarà quindi compito delle autorità garanti e dei giudici vigilare affinché le limitazioni siano realmente giustificate e proporzionate.

La sentenza del 27 febbraio 2025 segna un passo significativo verso una più matura interpretazione del GDPR, capace di armonizzare il diritto alla protezione dei dati con le esigenze del mondo imprenditoriale. Per le aziende europee si apre una fase che richiede maggiore consapevolezza giuridica e organizzativa: il rispetto dei diritti degli interessati, infatti, non è più solo una questione di conformità normativa, ma parte integrante di una gestione responsabile e sostenibile dell’informazione — soprattutto quando sono in gioco innovazioni brevettabili e asset intangibili ad alto valore strategico.