Successione digitale: privacy del defunto e diritti degli eredi

Il tema dell’accesso ai dati digitali di una persona deceduta (eredità digitale) impone di coordinare con rigore i principi del diritto successorio con la disciplina sulla protezione dei dati personali. Il punto di partenza resta il Considerando 27 del Regolamento (UE) n. 2016/679 (GDPR), il quale esclude l’applicazione diretta della normativa europea ai dati dei defunti, ma rimette agli Stati membri la facoltà di introdurre regole specifiche. Nell’ordinamento italiano tale clausola di salvaguardia ha trovato attuazione nell’art. 2-terdecies D.Lgs. 196/2003 (introdotto dal D.Lgs. 101/2018), che sancisce la persistenza dei diritti di cui agli artt. 15-22 GDPR (accesso, rettifica, cancellazione e portabilità) anche dopo la morte dell’interessato. Da qui deriva la necessità di distinguere la posizione dell’erede in senso tecnico da quella dell’ampia platea dei soggetti legittimati iure proprio. L’accesso agli asset digitali del de cuius (caselle di posta elettronica, profili social, spazi di archiviazione in cloud, documentazione bancaria o polizze assicurative digitalizzate) non presuppone infatti la formale accettazione dell’eredità, ma può fondarsi su un interesse proprio, su un mandato post mortem exequendum o su ragioni familiari meritevoli di protezione. Ne consegue che anche il semplice chiamato all’eredità, nell’esercizio dei poteri conservativi e di vigilanza riconosciutigli dall’art. 460 c.c., è pienamente legittimato ad acquisire le informazioni necessarie per ricostruire la consistenza dell’asse ereditario e valutare consapevolmente se accettare o rinunciare alla delazione. Sul piano dei servizi della società dell’informazione, tuttavia, la pretesa ostensiva dei superstiti si confronta con il potere di autodeterminazione del defunto, il quale può aver vietato in vita l’accesso ai propri dati (opt-out) mediante una dichiarazione scritta, non equivoca, specifica, libera e informata resa al provider. Anche a fronte di tale volontà proibitiva, il legislatore ha però fissato un limite inderogabile: il divieto espresso dal de cuius non può mai produrre effetti pregiudizievoli per l’esercizio dei diritti patrimoniali che derivano dalla morte dell’interessato né per il diritto di difendere in giudizio i propri interessi. Analogo criterio di prevalenza guida il bilanciamento con la riservatezza di eventuali terzi controinteressati (come i beneficiari di polizze vita), che cede dinanzi alle esigenze difensive dell’erede legittimario. Sul versante operativo, diventa quindi essenziale qualificare e motivare puntualmente l’istanza di accesso, così da superare i dinieghi opposti da provider e intermediari.

Riferimenti normativi: Artt. 15-22 Regolamento (UE) n. 2016/679 (GDPR) – Art. 2-terdecies D.Lgs. 196/2003

Schema di sintesi

Norme di riferimento
Artt. 15-22 Regolamento (UE) n. 2016/679 (GDPR).
Art. 2-terdecies D.Lgs. 30.06.2003, n. 196 [introdotto dall’art. 2, c. 1, lett. f) D.Lgs. 10.08.2018, n. 101].
Artt. 456 e 460 c.c.

Focus principale
La morte dell’interessato non estingue la tutela sui suoi dati personali né impedisce l’accesso al suo patrimonio digitale: occorre bilanciare l’autodeterminazione informativa del defunto con i diritti successori, patrimoniali e difensivi dei superstiti.

Soggetti legittimati
La legittimazione prescinde dalla qualifica formale di erede accettante, estendendosi anche al chiamato all’eredità ex art. 460 c.c.
Possono esercitare i diritti (accesso, rettifica, cancellazione, portabilità) coloro che vantano un interesse proprio, agiscono a tutela del defunto quali mandatari, o fanno valere ragioni familiari meritevoli di protezione.

Divieto del de cuius e i suoi limiti
Limitatamente all’offerta diretta di servizi della società dell’informazione, il defunto può aver vietato in vita l’accesso ai propri dati con dichiarazione scritta, non equivoca, specifica, libera e informata.
Tale divieto è tuttavia inefficace se pregiudica l’esercizio dei diritti patrimoniali derivanti dalla morte o il diritto di difesa in giudizio.

Oggetto dell’accesso
Possono formare oggetto di richiesta credenziali, corrispondenza digitale, file in cloud, profili social, nonché documentazione bancaria e polizze vita digitalizzate, previo eventuale bilanciamento con la riservatezza dei terzi controinteressati.

Successione digitale: privacy del defunto e diritti degli eredi

Aspetti generali
L’accesso dei superstiti ai dati personali e agli account online del de cuius assume un rilievo sempre maggiore nella prassi e nel contenzioso civile.
La dematerializzazione dei rapporti personali e patrimoniali fa sì che una parte consistente della sfera giuridica dell’individuo risieda ormai su server remoti, piattaforme cloud e caselle di posta elettronica.
Sul piano normativo, il Considerando 27 del GDPR esclude l’applicazione diretta della disciplina europea ai dati delle persone decedute, lasciando però agli Stati membri la facoltà di introdurre regole specifiche (“clausola di salvaguardia”).
Il legislatore italiano ha esercitato tale opzione con il D.Lgs. 101/2018, inserendo nel D.Lgs. 196/2003 (Codice Privacy) l’art. 2-terdecies (“Diritti riguardanti le persone decedute”).
In continuità con il previgente art. 9, c. 3 del Codice Privacy, la norma stabilisce che i diritti di cui agli artt. 15-22 GDPR (accesso, rettifica, cancellazione e portabilità) riferiti a persone decedute possono essere esercitati da chi ha un interesse proprio, o agisce a tutela dell’interessato, in qualità di suo mandatario, o per ragioni familiari meritevoli di protezione.
Come chiarito dal Garante per la protezione dei dati personali, la facoltà di esercitare tali diritti post mortem presuppone che ai dati dei defunti continuino ad applicarsi le tutele e i principi generali della disciplina sulla protezione dei dati personali.

Soggetti legittimati
La legittimazione all’accesso prevista dal Codice Privacy è più ampia rispetto alle categorie formali del diritto successorio.
L’art. 2-terdecies, c. 1, individua infatti 3 figure di soggetti legittimati:

• chi agisce per un interesse proprio: vi rientrano gli eredi e i legatari che necessitano dei dati digitali e documentali del de cuius per ricostruire l’asse ereditario, gestire i contratti pendenti o tutelare le proprie ragioni successorie;
• chi agisce a tutela dell’interessato quale mandatario: la norma recepisce il mandato post mortem exequendum, permettendo al defunto di incaricare un soggetto di fiducia per la gestione della propria identità digitale (es. chiusura, “memorializzazione” di profili social o cancellazione di contenuti);
• chi agisce per ragioni familiari meritevoli di protezione: il criterio abilita i prossimi congiunti all’accesso anche per finalità non patrimoniali, legate a interessi morali, affettivi o alla tutela della memoria familiare.

La giurisprudenza e il Garante hanno precisato che il diritto d’accesso prescinde dalla qualità formale di erede accettante.
Anche il semplice chiamato all’eredità è infatti legittimato ad acquisire i dati del de cuius.
Ed infatti, se è vero che il chiamato non ha ancora assunto la qualità di erede, l’art. 460 c.c. gli attribuisce comunque il potere di compiere atti conservativi, di vigilanza e di amministrazione temporanea; facoltà che risulterebbero svuotate se gli fosse precluso l’accesso preliminare alle informazioni necessarie per valutare la consistenza del patrimonio ereditario e decidere consapevolmente se accettare o rinunciare all’eredità.

Servizi della società dell’informazione e il potere di divieto (opt-out)
Una disciplina specifica riguarda gli asset ospitati su piattaforme digitali.
I cc. 2, 3 e 4, art. 2-terdecies del Codice Privacy regolano infatti l’offerta diretta di servizi della società dell’informazione (posta elettronica, cloud, social network e account online).
Per tutelare l’autodeterminazione digitale dell’individuo, l’esercizio dei diritti da parte dei superstiti è escluso nei casi previsti dalla legge o quando l’interessato lo abbia espressamente vietato con dichiarazione scritta comunicata al titolare del trattamento (provider).
Affinché il divieto sia valido, la norma richiede requisiti rigorosi:

• la volontà proibitiva dell’interessato deve risultare in modo non equivoco;
• la scelta deve essere specifica, libera e informata, restando escluse le clausole standardizzate inserite nelle condizioni generali di contratto dei provider e sottoscritte per mera adesione;
• il divieto può essere anche solo parziale, riguardando singoli diritti tra quelli previsti dagli artt. 15-22 GDPR;
• l’interessato conserva sempre il potere di revocare o modificare il divieto espresso.

Limiti di opponibilità del divieto e tutela dei diritti patrimoniali e di difesa
Il potere del de cuius di secretare la propria sfera digitale non è tuttavia assoluto, incontrando un limite nella tutela dei diritti successori e delle garanzie processuali.
Ai sensi dell’art. 2-terdecies, c. 5 del Codice Privacy, il divieto espresso in vita dall’interessato non può produrre effetti pregiudizievoli per l’esercizio da parte dei terzi dei diritti patrimoniali che derivano dalla morte dell’interessato nonché del diritto di difendere in giudizio i propri interessi.
La clausola di opt-out è dunque inefficace quando l’accesso all’account o ai dati sia strumentale a esigenze patrimoniali o difensive.
Giustificano la prevalenza del diritto di accesso sul divieto del de cuius (o sul rifiuto del titolare del trattamento):

• la necessità di ricostruire l’asse ereditario e individuare beni digitali patrimoniali (criptoattività, portafogli elettronici, opere dell’ingegno) o crediti del defunto;
• l’acquisizione di corrispondenza o contratti telematici necessari per gestire rapporti obbligatori in cui l’erede è subentrato;
• l’accertamento di disposizioni lesive della legittima (donazioni indirette online, polizze vita gestite digitalmente) ai fini dell’azione di riduzione;
• il reperimento di prove documentali indispensabili per agire o resistere in giudizio.

Per converso, il divieto del de cuius resta pienamente efficace se la richiesta riguarda:

• contenuti strettamente personali o intimi, privi di riflessi patrimoniali o probatori;
• dati richiesti per finalità meramente esplorative, non sorrette da un interesse giuridicamente rilevante né da ragioni familiari meritevoli di tutela;
• la gestione commemorativa di profili social di cui il defunto abbia disposto la cancellazione o l’inaccessibilità.

Bilanciamento con diritti dei terzi e obblighi del titolare del trattamento
Un ulteriore profilo critico riguarda la tutela dei terzi i cui dati siano connessi a quelli del defunto (es. interlocutori via e-mail o beneficiari di contratti bancari e assicurativi).
Per regola generale (art. 15, par. 4 GDPR), il rilascio di copia dei dati non deve ledere i diritti e le libertà altrui.
Il titolare del trattamento deve quindi estrapolare i soli dati del de cuius, oscurando quelli di terzi, salvo che l’estrazione risulti particolarmente gravosa o che i dati siano inscindibilmente connessi.
L’orientamento più recente del Garante (Provvedimento del 26.10.2023) e della giurisprudenza di merito ha tuttavia affinato il bilanciamento degli interessi.
In tema di polizze vita stipulate dal de cuius, è stato riconosciuto il diritto dell’erede (specie se legittimario) di conoscere l’identità del terzo beneficiario per verificare eventuali lesioni della quota di riserva e agire in giudizio.
In tali ipotesi, il diritto di difesa dell’erede prevale sulla riservatezza del terzo.
Sul piano procedimentale, infine, il titolare del trattamento non può subordinare l’accesso a condizioni non previste dalla legge, come la firma di liberatorie o il consenso di tutti i coeredi: ciascun legittimato può infatti esercitare il diritto ex art. 2-terdecies in via autonoma e disgiunta.

Conclusioni
L’analisi dell’art. 2-terdecies D.Lgs. 196/2003, alla luce della giurisprudenza e della prassi del Garante, consente di fissare alcuni punti fermi:

• ai dati personali e digitali dei defunti continuano ad applicarsi le garanzie del GDPR, i cui diritti (artt. 1522) sono azionabili dai superstiti verso titolari del trattamento e provider;
• la legittimazione attiva non richiede la formale accettazione dell’eredità, ma spetta a chiunque vanti un interesse proprio (incluso il chiamato ex art. 460 c.c.), al mandatario post mortem e a chi agisca per ragioni familiari meritevoli di protezione;
• ciascun coerede o avente diritto può esercitare l’accesso disgiuntamente, senza necessità di consenso degli altri coeredi;
• nei servizi della società dell’informazione, il de cuius può vietare l’accesso postumo ai propri dati, purché con dichiarazione scritta, specifica, libera, informata e inequivoca;
• il divieto del defunto è inopponibile quando pregiudica l’esercizio dei diritti patrimoniali nascenti dalla successione o il diritto di difesa in giudizio;
• la riservatezza di eventuali terzi cede a fronte di comprovate esigenze di difesa in giudizio dell’erede e di tutela della quota di legittima.

Scarica l’articolo in PDF