Data protection: le novità del I trimestre 2026

Diritto di accesso ai dati personali e abuso del diritto: la CGUE ammette il rigetto della richiesta se finalizzata al solo ottenimento del risarcimento

Con sentenza del 19 marzo 2026, la CGUE ha stabilito che una richiesta di accesso ai dati personali può essere qualificata come "eccessiva" e dunque legittimamente respinta dal titolare del trattamento anche qualora sia la prima richiesta formulata dall'interessato, ove risulti che essa non persegua la finalità propria del diritto di accesso, ossia la verifica della liceità del trattamento, bensì mira esclusivamente a creare artificiosamente i presupposti per una successiva domanda risarcitoria. La pronuncia origina dal rinvio pregiudiziale del tribunale di Arnsberg (Germania), chiamato a decidere sulla controversia tra un'impresa di ottica e un soggetto residente in Austria che, dopo essersi iscritto alla newsletter online, aveva formulato una richiesta di accesso ai propri dati e, a seguito del diniego, aveva avanzato una pretesa risarcitoria per danno immateriale. Il titolare del trattamento aveva eccepito il carattere abusivo della richiesta, documentando un comportamento sistematico dell'interessato, consistente nell'iscrizione reiterata a newsletter di diverse imprese, seguita dalla presentazione di richieste di accesso e successive domande di risarcimento. La Corte ha chiarito che il carattere eccessivo della richiesta non dipende dalla sua reiterazione, ma può essere desunto dall'intento abusivo dell'interessato, la cui prova incombe sul titolare del trattamento.

⇒ Comunicato stampa n. 38/26

Consenso informato e intelligenza artificiale: le ordinanze della Cassazione rilanciano il dibattito sull'adeguatezza dei modelli informativi

Con le ordinanze nn. 316 e 2968 pubblicate nei primi mesi del 2026, la Corte di Cassazione, in continuità con un precedente orientamento, ha ribadito che il consenso informato non può ridursi alla mera sottoscrizione di un modulo prestampato, dovendo invece costituire l'esito di un dialogo effettivo, interattivo e colloquiale tra medico e paziente. Le pronunce confermano che il consenso informato è espressione diretta del diritto fondamentale all'autodeterminazione della persona e presuppone la comunicazione di informazioni chiare e complete su rischi, benefici e alternative terapeutiche; la sua violazione integra un danno autonomo e risarcibile, anche indipendentemente dalla configurabilità di una malpratica medica. Tali principi assumono una portata ancora più significativa alla luce dell'impiego crescente di sistemi di intelligenza artificiale nei processi diagnostici e terapeutici: l'utilizzo di algoritmi di supporto alle decisioni cliniche e di strumenti di analisi predittiva impone che il paziente sia informato anche dell'eventuale ricorso a tecnologie algoritmiche e dei relativi limiti. In questa prospettiva, il Regolamento europeo sull’intelligenza artificiale (AI Act) classifica i sistemi di IA impiegati in ambito sanitario tra quelli ad alto rischio, prescrivendo specifiche garanzie di trasparenza, affidabilità e supervisione umana. L'intersezione tra gli orientamenti giurisprudenziali e il nuovo quadro regolatorio europeo evidenzia la necessità di intervenire tempestivamente sul piano organizzativo, elaborando modelli di consenso informato adeguati alle nuove tecnologie, prima che sia il contenzioso a definire, caso per caso, nuove forme di responsabilità e ulteriori regole precauzionali.

⇒ Ordinanza n. 361/2026

⇒ Ordinanza n. 2968/2026