Privacy - Corte di Giustizia UE: illecito il trattamento di dati condivisi tra differenti organi della pubblica amministrazione di uno Stato Membro in assenza di informativa e consenso dell’interessato

Con sentenza del primo ottobre scorso, la Corte UE ha arricchito il proprio repertorio giurisprudenziale in materia di data protection rispondendo ad una serie di questioni interpretative sugli articoli 10, 11 e 13 della Direttiva 45/96, affermando che i dati personali di un individuo non possono essere oggetto di trattamento da parte di autorità pubbliche ad insaputa dell’interessato, specialmente in mancanza di valida espressione di consenso.

La presente causa vede protagonisti, in qualità di ricorrenti, un gruppo di lavoratori autonomi chiamati a versare i propri contributi previdenziali ad un fondo unico nazionale, in misura proporzionale al reddito da loro prodotto. Detti ricorrenti adivano alla Corte di appello di Cluj contestando la legittimità del trattamento dei propri dati fiscali ai sensi della Direttiva 95/46. Tali dati infatti, trasmessi dall’amministrazione tributaria a quella previdenziale in base ad un semplice protocollo interno e non in virtù di norme imperative di legge, venivano utilizzati per finalità completamente diverse da quelle previste (i.e. calcolo degli arretrati previdenziali da pagare in proporzione al reddito dichiarato alla data di trasmissione dei dati), senza alcuna espressione di consenso da parte degli interessati e senza che questi ne fossero stati previamente informati. Il giudice adito, interpellato in merito alla conformità del sopracitato protocollo con la Direttiva 95/46, sospendeva il procedimento e sottoponeva alla Corte di Giustizia la seguente questione pregiudiziale: in quale misura e in che modo le istituzioni pubbliche di uno Stato Membro sono autorizzate a condividere tra loro i dati personali dei cittadini, raccolti al fine di espletare funzioni di interesse generale, senza che questi ne siano a conoscenza o abbiano acconsentito a tale tipo di trattamento?

La questione sollevata ha offerto innanzitutto alla Corte l’occasione di esaminare le condizioni in base alle quali la Direttiva 95/46 subordina la trasmissione di dati personali da parte di un amministrazione all’altra, precisando non solo gli obblighi a carico dei soggetti pubblici coinvolti, ma anche quelli del legislatore nazionale chiamato a disciplinare nel dettaglio tali pratiche. In particolare, i giudici di Lussemburgo si sono concentrati sulla questione se il trattamento dei dati da parte dell’istituto previdenziale necessitasse l’informazione preventiva delle persone interessate, in relazione all’identità del responsabile del trattamento secondario (i.e. l’amministrazione tributaria) e all’obiettivo per il quale avveniva la trasmissione dei dati ed il loro susseguente trattamento. Dopo avere dunque constatato che ‘i dati fiscali trasmessi [...] costituiscono dati personali ai sensi dell’articolo 2, lettera a), della Direttiva 95/46, poiché si tratta[va] di informazion[i] concernent[i] una persona fisica identificata o identificabile’, la Corte ha rilevato come la loro trasmissione e trattamento presentavano carattere di trattamento ai sensi dell’articolo 2, lettera b), della stessa direttiva, con la conseguenza necessaria di rendere tali dati soggetti ai principi di qualità e legittimità nel trattamento stesso.

Visto e considerato dunque che le due autorità coinvolte non avevano adempiuto ai propri obblighi di informazione e trattamento, condizionando gravemente l’esercizio dei propri diritti da parte degli interessati ‘da un lato, [quelli] di accesso ai dati trattati e della rispettiva rettifica, sancito all’articolo 12 della Direttiva 95/46, e, dall’altro, di opposizione al trattamento dei medesimi, sancito all’articolo 14 della stessa direttiva’, la Corte ha stabilito che ‘la trasmissione di cui trattasi non [poteva] essere considerata avvenuta in conformità delle disposizioni [...] della Direttiva 95/46’. Sempre secondo i giudici, nonostante ai sensi dell’articolo 13 della normativa ‘sia concesso agli  Stati Membri [di] limitare la portata degli obblighi e dei diritti previsti dalle disposizioni dell’articolo 10 della stessa direttiva qualora tale restrizione costituisca una misura necessaria alla salvaguardia di un interesse pubblico rilevante’,in virtù della mancata informazione delle persone interessate a mezzo legge ‘non si [poteva] ritenere che le condizioni [derogatorie] stabilite dall’articolo 13 [...] [fossero state] soddisfatte’.

Pertanto, ha concluso la Corte, ‘gli articoli 10, 11 e 13 della direttiva 95/46/CE devono essere interpretati nel senso che essi ostano a misure nazionali [...] che consentono all’amministrazione pubblica di uno Stato membro di trasmettere dati personali ad un’altra amministrazione pubblica, a fini di trattamento, senza che le persone interessate siano state [adeguatamente] informate né di tale trasmissione né del successivo trattamento’, al fine di poter efficacemente esercitare i propri diritti.

(Corte di Giustizia dell’Unione Europea, Sentenza 1 ottobre 2015, Causa C-201/14)

Con sentenza del primo ottobre scorso, la Corte UE ha arricchito il proprio repertorio giurisprudenziale in materia di data protection rispondendo ad una serie di questioni interpretative sugli articoli 10, 11 e 13 della Direttiva 45/96, affermando che i dati personali di un individuo non possono essere oggetto di trattamento da parte di autorità pubbliche ad insaputa dell’interessato, specialmente in mancanza di valida espressione di consenso.

La presente causa vede protagonisti, in qualità di ricorrenti, un gruppo di lavoratori autonomi chiamati a versare i propri contributi previdenziali ad un fondo unico nazionale, in misura proporzionale al reddito da loro prodotto. Detti ricorrenti adivano alla Corte di appello di Cluj contestando la legittimità del trattamento dei propri dati fiscali ai sensi della Direttiva 95/46. Tali dati infatti, trasmessi dall’amministrazione tributaria a quella previdenziale in base ad un semplice protocollo interno e non in virtù di norme imperative di legge, venivano utilizzati per finalità completamente diverse da quelle previste (i.e. calcolo degli arretrati previdenziali da pagare in proporzione al reddito dichiarato alla data di trasmissione dei dati), senza alcuna espressione di consenso da parte degli interessati e senza che questi ne fossero stati previamente informati. Il giudice adito, interpellato in merito alla conformità del sopracitato protocollo con la Direttiva 95/46, sospendeva il procedimento e sottoponeva alla Corte di Giustizia la seguente questione pregiudiziale: in quale misura e in che modo le istituzioni pubbliche di uno Stato Membro sono autorizzate a condividere tra loro i dati personali dei cittadini, raccolti al fine di espletare funzioni di interesse generale, senza che questi ne siano a conoscenza o abbiano acconsentito a tale tipo di trattamento?

La questione sollevata ha offerto innanzitutto alla Corte l’occasione di esaminare le condizioni in base alle quali la Direttiva 95/46 subordina la trasmissione di dati personali da parte di un amministrazione all’altra, precisando non solo gli obblighi a carico dei soggetti pubblici coinvolti, ma anche quelli del legislatore nazionale chiamato a disciplinare nel dettaglio tali pratiche. In particolare, i giudici di Lussemburgo si sono concentrati sulla questione se il trattamento dei dati da parte dell’istituto previdenziale necessitasse l’informazione preventiva delle persone interessate, in relazione all’identità del responsabile del trattamento secondario (i.e. l’amministrazione tributaria) e all’obiettivo per il quale avveniva la trasmissione dei dati ed il loro susseguente trattamento. Dopo avere dunque constatato che ‘i dati fiscali trasmessi [...] costituiscono dati personali ai sensi dell’articolo 2, lettera a), della Direttiva 95/46, poiché si tratta[va] di informazion[i] concernent[i] una persona fisica identificata o identificabile’, la Corte ha rilevato come la loro trasmissione e trattamento presentavano carattere di trattamento ai sensi dell’articolo 2, lettera b), della stessa direttiva, con la conseguenza necessaria di rendere tali dati soggetti ai principi di qualità e legittimità nel trattamento stesso.

Visto e considerato dunque che le due autorità coinvolte non avevano adempiuto ai propri obblighi di informazione e trattamento, condizionando gravemente l’esercizio dei propri diritti da parte degli interessati ‘da un lato, [quelli] di accesso ai dati trattati e della rispettiva rettifica, sancito all’articolo 12 della Direttiva 95/46, e, dall’altro, di opposizione al trattamento dei medesimi, sancito all’articolo 14 della stessa direttiva’, la Corte ha stabilito che ‘la trasmissione di cui trattasi non [poteva] essere considerata avvenuta in conformità delle disposizioni [...] della Direttiva 95/46’. Sempre secondo i giudici, nonostante ai sensi dell’articolo 13 della normativa ‘sia concesso agli  Stati Membri [di] limitare la portata degli obblighi e dei diritti previsti dalle disposizioni dell’articolo 10 della stessa direttiva qualora tale restrizione costituisca una misura necessaria alla salvaguardia di un interesse pubblico rilevante’,in virtù della mancata informazione delle persone interessate a mezzo legge ‘non si [poteva] ritenere che le condizioni [derogatorie] stabilite dall’articolo 13 [...] [fossero state] soddisfatte’.

Pertanto, ha concluso la Corte, ‘gli articoli 10, 11 e 13 della direttiva 95/46/CE devono essere interpretati nel senso che essi ostano a misure nazionali [...] che consentono all’amministrazione pubblica di uno Stato membro di trasmettere dati personali ad un’altra amministrazione pubblica, a fini di trattamento, senza che le persone interessate siano state [adeguatamente] informate né di tale trasmissione né del successivo trattamento’, al fine di poter efficacemente esercitare i propri diritti.

(Corte di Giustizia dell’Unione Europea, Sentenza 1 ottobre 2015, Causa C-201/14)