PERIODICO DI INFORMAZIONE DELL'IMPRENDITORIA FUNERARIA E CIMITERIALE
La privacy non muore
Cosa dice la legge in merito alla disciplina e agli eventuali conflitti che possono sorgere dopo il decesso.
Quando muore una persona, non muore ciò che la riguarda. 
Muore il soggetto, restano le tracce: account, mail, fotografie, cronologie, referti, contratti, cloud, cartelle cliniche, conversazioni. E resta soprattutto una domanda che, in studio come in famiglia, torna sempre uguale ma cambia pelle ogni volta: chi può mettere le mani su quei dati, per farci cosa, e fino a dove può spingersi senza calpestare altri diritti?
Qui conviene partire da un punto fermo, perché altrimenti si ragiona “di pancia” e ci si perde.
Il GDPR, cioè il Regolamento (UE) 2016/679, non si applica ai dati personali delle persone decedute: lo dice il Considerando 27, e lo dice con una formula che non lascia molto spazio a interpretazioni creative. Questo però non significa affatto che, con la morte, la protezione dei dati diventi irrilevante o che si apra un far west informativo. Significa, più tecnicamente, che l’Unione rimette agli Stati membri la scelta se e come disciplinare la materia.
L’Italia la scelta l’ha fatta e l’ha fatta in modo abbastanza netto: ha creato una disciplina post mortem che non trasforma gli eredi in titolari del dato, ma consente a determinati soggetti di esercitare, nei confronti del titolare del trattamento, i diritti che normalmente spettano all’interessato vivo.
Orbene, la norma chiave è l’art. 2-terdecies del d.lgs. 196/2003 (Codice Privacy), introdotto nella stagione di adeguamento nazionale al GDPR. Lì troviamo l’architettura. I diritti previsti dagli artt. 15-22 del GDPR (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione, decisioni automatizzate) possono essere esercitati anche se la persona cui i dati si riferiscono è deceduta.
Non da “chiunque”, segnatamente da tre categorie: chi ha un interesse proprio, chi agisce a tutela dell’interessato in qualità di mandatario, chi agisce per ragioni familiari meritevoli di protezione. Queste tre formule sembrano semplici, ma sono volutamente elastiche e, proprio per questo, fanno litigare.
L’“interesse proprio” non è una curiosità travestita: deve essere un interesse concreto, personale, non meramente esplorativo. La tutela “familiare” non equivale a “sono parente, quindi voglio vedere tutto”: deve essere una ragione familiare meritevole, cioè capace di reggere un vaglio di serietà e proporzionalità. Il mandato, infine, è la fattispecie più lineare sul piano teorico (il defunto aveva incaricato qualcuno di occuparsi anche dei profili digitali o documentali), ma spesso è la più rara nella vita vera, perché pochi pianificano davvero la gestione dei dati in previsione del decesso.
Fin qui, sembrerebbe che l’ordinamento abbia “aperto” la porta. Invero, la porta non è spalancata: è una porta con serrature.
L’art. 2-terdecies prevede che l’esercizio dei diritti non è ammesso nei casi previsti dalla legge e, limitatamente all’offerta diretta di servizi della società dell’informazione, non è ammesso se l’interessato lo ha espressamente vietato con dichiarazione scritta, presentata o comunicata al titolare. Anche qui, niente formule generiche: la dichiarazione deve essere inequivoca, specifica, libera, informata; può riguardare solo alcuni diritti; è revocabile o modificabile in ogni momento. Detto altrimenti, il legislatore ammette un “no” post mortem, ma pretende che sia un “no” serio, consapevole, circoscritto, non un capriccio buttato lì. E c’è un passaggio che, per chi fa contenzioso o comunque vive di cose concrete, è il vero ago della bussola: il comma 5.
Il divieto non può produrre effetti pregiudizievoli per l’esercizio, da parte dei terzi, dei diritti patrimoniali che derivano dalla morte dell’interessato né del diritto di difendere in giudizio i propri interessi. Questa clausola è il punto in cui la privacy smette di essere un discorso solo identitario e torna a essere diritto “di sistema”: non puoi usare il muro dei dati per impedire una successione, paralizzare un accertamento patrimoniale, o rendere impossibile una difesa in giudizio. Per converso, non puoi invocare la successione come pretesto per pescare nel mare dei dati senza una ragione definita e senza limiti.
Ora, la difficoltà vera – quella che non si risolve citando l’articolo – è che i dati del defunto, nella stragrande maggioranza dei casi, contengono dati di vivi. Le chat sono dialoghi, le email sono corrispondenza, le foto sono relazioni, i referti coinvolgono medici e strutture, le pratiche assicurative e bancarie coinvolgono beneficiari, coobbligati, aventi causa. Qui la “privacy dopo la morte” si gioca sul terreno del bilanciamento tra diritti: non solo tra famiglia e memoria, ma anche tra accesso e riservatezza di terzi.
Non a caso, anche a livello europeo si ribadisce che l’accesso ai dati di un defunto è materia rimessa ai diritti nazionali e che, nel concedere informazioni, il titolare deve comunque proteggere i diritti e le libertà altrui (si pensi banalmente alla corrispondenza del defunto, dove i terzi viventi sono spesso il contenuto stesso del dato). Questo bilanciamento non è teoria. Ha due scenari tipici, quasi archetipici, che si ripetono: il digitale “affettivo” (smartphone, cloud, social) e il digitale “patrimoniale” (banca, assicurazione, posizioni contrattuali).
Sul primo versante, il caso che molti richiamano è quello deciso dal Tribunale di Milano il 10 febbraio 2021 in sede d’urgenza: i genitori di un ragazzo deceduto chiedevano l’accesso ai dati conservati in cloud (iCloud) per recuperare fotografie e contenuti, cioè pezzi di memoria, con l’ansia – per nulla irrazionale – che l’inattività o le policy di servizio rendessero irreversibile la perdita. Il giudice ha valorizzato proprio la legittimazione post mortem del Codice Privacy e, soprattutto, la meritevolezza della ragione familiare, disponendo che la società prestasse assistenza tecnica nella procedura idonea a consentire il recupero. È una pronuncia interessante non perché “dà le password ai genitori” (questa semplificazione piace ai titoli), ma perché fa capire la direzione: non è detto che la tutela passi sempre dall’accesso pieno all’account; può passare da un obbligo di cooperazione del titolare, da un export selettivo, da una procedura che minimizzi rischi e interferenze con dati di terzi, purché sia effettiva e non meramente dilatoria.
Sul secondo versante, quello patrimoniale, la questione diventa più spigolosa perché spesso il dato richiesto non è “del defunto” in senso stretto, ma riguarda terzi che entrano nella sua sfera per effetto di contratti o designazioni. Il caso scuola è quello delle polizze vita e dei beneficiari. Il Garante per la protezione dei dati personali è intervenuto con un provvedimento interpretativo (n. 520 del 26 ottobre 2023, pubblicato in Gazzetta Ufficiale il 1° dicembre 2023) proprio per chiarire come gestire le richieste di accesso degli eredi o dei chiamati all’eredità rispetto ai dati connessi a polizze stipulate dal de cuius, segnatamente quando la conoscenza del beneficiario è strumentale a far valere diritti successori (si pensi, senza girarci intorno, alle azioni di riduzione o alle contestazioni sulla lesione di legittima). Qui la compagnia assicurativa si trova tra due fuochi: da un lato la riservatezza del beneficiario (terzo vivente), dall’altro la necessità per l’erede di avere informazioni per impostare una tutela effettiva. La linea che emerge è, a mio avviso, la più ragionevole possibile: niente automatismi.
Il titolare non può rispondere sempre “no” per riflesso condizionato, ma neppure può consegnare dati sensibili di terzi come se fossero un allegato standard. Deve verificare la posizione del richiedente (erede o chiamato), deve verificare che l’interesse sia concreto e attuale, deve valutare se l’accesso è davvero funzionale alla tutela di un diritto (patrimoniale o di difesa), e deve applicare la regola di salvaguardia dei diritti altrui, anche attraverso soluzioni tecniche di minimizzazione (estratti, oscuramenti, comunicazioni limitate a ciò che serve). In questo senso, il Garante parla – e la prassi ormai lo replica – di un controllo che non è un giudizio di merito sull’azione successoria, ma un controllo “in negativo”: l’istanza non deve essere manifestamente pretestuosa. La fondatezza del diritto successorio si decide in giudizio; l’accesso serve a non rendere quel giudizio un salto nel buio.
Su questo punto, anche la giurisprudenza ha iniziato a ragionare con maggiore finezza: quando l’accesso è richiesto per preparare una difesa o per agire in giudizio, il sindacato non deve diventare una pre-sentenza. Il rischio, altrimenti, è perverso: se per ottenere il dato devo già dimostrare nel merito ciò che quel dato mi serve a dimostrare, la tutela diventa circolare e, in concreto, impossibile. Di guisa che la soglia corretta resta quella della plausibilità e della non pretestuosità, non quella della prova piena della lesione.
Tutto questo discorso, però, resta astratto se non si entra nella meccanica della richiesta. Ed è qui che, spesso, le istanze falliscono.
Molte richieste post mortem sono scritte come se il titolare fosse obbligato a “consegnare la vita digitale” in blocco: “datemi l’account”, “datemi tutto”, “datemi le chat”. È il modo più rapido per sentirsi rispondere che non si può, che ci sono terzi, che servono ulteriori documenti, che la policy non lo consente. Una richiesta tecnicamente sensata, invece, deve fare tre cose in modo limpido: qualificare la legittimazione (chi sei rispetto al defunto e in base a quale titolo), descrivere l’interesse (che cosa devi fare con quei dati e perché non puoi farlo senza), delimitare l’oggetto (quali dati, quale periodo, quale account o rapporto contrattuale). Se chiedi “tutto”, stai chiedendo anche ciò che non ti serve; e ciò che non ti serve è spesso ciò che mette a rischio i diritti di altri, offrendo al titolare l’alibi perfetto per un rifiuto totale.
Sotto altro profilo, va detto che il titolare del trattamento non è un mero “esecutore” della richiesta: è responsabile, deve rispettare accountability, sicurezza, minimizzazione, e deve poter dimostrare perché ha consegnato o negato. Questo significa che, soprattutto nei casi dove i dati intrecciano terzi, la risposta può legittimamente non coincidere con ciò che il richiedente immagina. Il diritto di accesso, anche nel GDPR, non è un diritto a ottenere la chiave universale dell’account; è un diritto a ottenere informazioni e copia dei dati personali, nei limiti in cui ciò non leda diritti altrui. Nel post mortem, la stessa grammatica si ripropone: accesso sì, ma calibrato. Talvolta sarà un export; talvolta sarà un set di documenti; talvolta sarà un supporto tecnico; talvolta, infine, sarà un diniego parziale motivato, con oscuramento delle parti che riguardano terzi viventi.
Rimane l’ultima questione, forse la più “civile” più che giuridica: si può decidere in vita cosa accadrà ai propri dati dopo? Sì, ma bisogna uscire dalla retorica delle password.
La disciplina italiana consente una dichiarazione di divieto (nei limiti che ho detto), consente di nominare un mandatario, consente di lasciare istruzioni. La scelta intelligente non è “chiudo tutto” o “apro tutto”. La scelta intelligente è distinguere: ciò che è memoria e può essere consegnato a chi resta, ciò che è strettamente personale e può essere limitato, ciò che è patrimoniale e deve restare accessibile perché altrimenti si creano contenziosi e danni.
Nondimeno, anche quando si vuole vietare, bisogna ricordare che i diritti patrimoniali e di difesa dei terzi non possono essere sterilizzati. Quindi una pianificazione seria non è un veto assoluto, ma un assetto coerente che riduca conflitti, chiarisca chi può chiedere cosa, e soprattutto eviti che la famiglia si trovi, nel mezzo del lutto, a combattere contro procedure, call center e tempi tecnici.
In definitiva, dire che “la privacy sopravvive alla morte” è vero solo se si capisce cosa si intende per sopravvivenza. Non è la sopravvivenza di un diritto personale identico a quello del vivente; è la sopravvivenza di una disciplina di equilibrio, che riconosce legittimazioni mirate, che esige interessi seri, e che impone al titolare una gestione proporzionata e motivata dell’accesso, senza trasformare la riservatezza in uno strumento di opacità patrimoniale o di ingiustizia processuale. Infine, se c’è una lezione che il digitale ci sta imponendo - con una certa brutalità - è che la morte non è più solo un fatto biologico o anagrafico: è anche un evento informazionale. E come tutti gli eventi informazionali, o lo governi con regole chiare e richieste ben scritte, oppure lo subisci, lasciando che la tecnica (policy, automazioni, retention, cancellazioni) decida al posto del diritto e, alla fine, al posto delle persone.
