In data 1 agosto 2022, la Grande Sezione della Corte di Giustizia dell’UE ha emanato una sentenza di assoluto rilievo con la quale ha stabilito che il trattamento di dati personali idonei a divulgare indirettamente delle informazioni sensibili relative a una o più persone (come, ad esempio, l’orientamento sessuale) costituisce un trattamento di categorie particolari di dati e, in quanto tale, deve essere disciplinato ai sensi dell’art. 9 GDPR.
Da ciò discende che anche i dati personali da cui sia possibile dedurre informazioni sensibili devono essere qualificati come rientranti nelle categorie particolari di dati.
Indice degli argomenti
Breve analisi del caso
Il caso prende le mosse da una controversia sorta tra il direttore di un ente di diritto lituano percettore di fondi pubblici (attivo nel settore della tutela ambientale) e la commissione superiore per la prevenzione dei conflitti di interessi nel servizio pubblico in Lituania (Vyriausioji tarnybinės etikos komisija), in merito a una decisione di quest’ultima con la quale si contestava l’inadempimento da parte del direttore del suo obbligo di presentare una dichiarazione di interessi privati.
Difatti, la legge n. VIII‑371 della Repubblica di Lituania sulla conciliazione degli interessi pubblici e privati nel servizio pubblico del 2 luglio 1997 prevede la necessità di conciliare gli interessi privati delle persone che lavorano nel servizio pubblico e gli interessi pubblici della società, di assicurare la prevalenza dell’interesse pubblico al momento dell’adozione di decisioni, di garantire l’imparzialità delle decisioni adottate e di prevenire il verificarsi e il diffondersi della corruzione nel servizio pubblico.
L’articolo 4 della suddetta legge dispone che “chiunque lavori nel servizio pubblico, e chiunque si candidi a ricoprire incarichi nel servizio pubblico, è tenuto a dichiarare i propri interessi privati presentando una dichiarazione di interessi privati secondo le modalità previste dalla presente legge e da altri atti”.
Tuttavia, il direttore dell’ente pubblico in questione si rifiutava di effettuare tale dichiarazione di interessi privati, affermando che le informazioni in essa contenute avrebbero violato non solo il proprio diritto al rispetto della vita privata, ma anche quello delle persone menzionate all’interno della dichiarazione.[1]
Pertanto, con decisione del 7 febbraio 2018, la commissione superiore contestava il fatto che il direttore, avendo omesso di presentare una dichiarazione di interessi privati, aveva agito in violazione dell’articolo 3, par. 2 e dell’articolo 4, par. 1 della sopracitata legge lituana sulla conciliazione degli interessi.
Così, il 6 marzo 2018, il direttore proponeva dinanzi al giudice del rinvio un ricorso di annullamento contro tale decisione.
Nutrendo dei dubbi sulla compatibilità tra la normativa lituana e gli artt. 6 e 9 del GDPR, il Tribunale amministrativo regionale di Vilnius (Vilniaus apygardos administracinis teismas) sospendeva il procedimento e presentava un rinvio pregiudiziale[2] alla Corte di Giustizia dell’Ue, sottoponendole le seguenti questioni pregiudiziali:
- “Se la condizione stabilita all’articolo 6, par. 1, lettera e) GDPR, secondo cui il trattamento dei dati personali deve essere necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento, tenuto conto dei requisiti stabiliti all’articolo 6, par. 3 GDPR, compreso il requisito secondo cui il diritto dello Stato membro deve perseguire un obiettivo di interesse pubblico ed essere proporzionato all’obiettivo legittimo perseguito, e tenuto conto anche degli articoli 7 e 8 della Carta, debba essere interpretata nel senso che il diritto nazionale non può richiedere la divulgazione di dati contenuti in dichiarazioni di interessi privati e la loro pubblicazione sul sito web del titolare del trattamento, fornendo in tal modo a chiunque abbia accesso a Internet l’accesso a tali dati”.
- “Se il divieto di trattamento di categorie particolari di dati personali di cui all’articolo 9, par. 1 GDPR, tenuto conto delle condizioni stabilite all’articolo 9, par. 2 GDPR, compresa la condizione stabilita alla lettera g), secondo cui il trattamento deve essere necessario per motivi di interesse pubblico rilevante, sulla base del diritto dell’Unione o degli Stati membri, che deve essere proporzionato alla finalità perseguita, rispettare l’essenza del diritto alla protezione dei dati e prevedere misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato, debba essere interpretato […] nel senso che il diritto nazionale non può richiedere la divulgazione di dati relativi a dichiarazioni di interessi privati che possono rivelare dati personali, compresi i dati che consentono di determinare le opinioni politiche di una persona, l’appartenenza sindacale, l’orientamento sessuale e altre informazioni personali, e la loro pubblicazione sul sito web del titolare del trattamento, fornendo a chiunque abbia accesso a Internet l’accesso a tali dati”[3].
Le argomentazioni della Corte di Giustizia UE
Sulla prima questione pregiudiziale, la Corte ricorda che i diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali[4] (la cui violazione è stata contestata nel caso in esame) non sono diritti assoluti, ma vanno considerati alla luce della loro funzione sociale e contemperati con altri diritti fondamentali, nel rispetto del principio di proporzionalità (art. 52 Carta di Nizza).
È necessario, quindi, comprendere se la pubblicazione sul sito Internet della commissione superiore di dati personali contenuti nelle dichiarazioni di interessi privati sia idonea a raggiungere gli obiettivi di interesse generale definiti all’articolo 1 della legge lituana, ossia prevenire i conflitti di interessi e la corruzione, accrescere la responsabilità degli attori del settore pubblico, rafforzare la fiducia dei cittadini nell’azione pubblica.
I giudici lussemburghesi constatano, però, che “dal fascicolo di cui dispone la Corte non risulta che il legislatore lituano abbia verificato, al momento dell’adozione di tale disposizione, se la pubblicazione su Internet, senza alcuna limitazione di accesso, di tali dati sia strettamente necessaria o se invece gli obiettivi perseguiti dalla legge sulla conciliazione degli interessi non potrebbero essere raggiunti in modo altrettanto efficace pur limitando il numero di persone che possono consultare tali dati”[5].
Infatti, è necessario conformarsi al principio di minimizzazione dei dati sancito all’articolo 5, par. 1, lettera c) GDPR, secondo cui i dati personali devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati.
La Corte aggiunge, poi, che anche presupponendo che la pubblicazione su Internet dei dati di carattere privato di cui al procedimento principale sia necessaria per raggiungere gli obiettivi perseguiti dalla legge sulla conciliazione degli interessi, comunque tali dati potrebbero essere consultati da un numero potenzialmente illimitato di persone.
Non solo: i dati inseriti nella dichiarazione di interessi privati (dati nominativi relativi al coniuge, partner o convivente del dichiarante o ai parenti o conoscenti del dichiarante che possono dar luogo a un conflitto di interessi, nonché l’indicazione dell’oggetto delle operazioni il cui valore sia superiore a 3.000 euro) possono rivelare informazioni su taluni aspetti sensibili della vita privata delle persone interessate, compreso, ad esempio, il loro orientamento sessuale[6].
La Corte aggiunge che la gravità di una simile ingerenza è incrementata dall’effetto cumulativo dei dati personali oggetto di una pubblicazione, dal momento che la loro combinazione consente di tracciare un ritratto particolarmente dettagliato della vita privata delle persone interessate.
Date queste premesse, la Corte ritiene che la pubblicazione in rete della maggior parte dei dati personali contenuti nella dichiarazione di interessi privati di qualsiasi direttore di un ente percettore di fondi pubblici, come quella di cui al procedimento principale, non soddisfi i requisiti di un bilanciamento equilibrato.
Simile trattamento genera, secondo i giudici, un’ingerenza grave nei diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali degli interessati.
Con la seconda questione pregiudiziale, il tribunale del rinvio chiede alla Corte di Giustizia di appurare se la pubblicazione dei dati contenuti nella dichiarazione di interessi privati – elencati al punto 100 della presente sentenza – dia luogo o meno a un trattamento di categorie particolari di dati ex art. 9 GDPR.
La Corte dichiara di ritenere necessaria un’interpretazione ampia delle nozioni di «categorie particolari di dati personali» e di «dati sensibili», dal momento che “l’interpretazione contraria contrasterebbe con la finalità dell’articolo 9, par. 1 GDPR, consistente nel garantire una protezione maggiore contro i trattamenti che, a causa della natura particolarmente sensibile dei dati che ne sono oggetto, possono costituire […] un’ingerenza particolarmente grave nei diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali”[7].
Da tale interpretazione, la Corte constata che l’atto di pubblicazione sul sito internet dell’autorità incaricata a raccogliere le dichiarazioni di interessi privati e di controllarne il contenuto di dati personali idonei a divulgare indirettamente informazioni di carattere sensibile di una persona fisica costituisca un trattamento di categorie particolari di dati personali.
Più oneri e responsabilità nell’ambito delle attività di trattamento
È indubbio che questa sentenza abbia avuto un impatto senza precedenti sulle operazioni di trattamento dei dati personali. Tuttavia, tale pronunciamento porta con sé anche numerosi dubbi e perplessità, dal momento che esso “solleva molte complessità pratiche e molte difficoltà nel capire se i dati che le organizzazioni possiedono sono sensibili o meno“, ha dichiarato Gabriela Zanfir-Fortuna, vicepresidente per la privacy globale del Future of Privacy Forum, un think tank con sede a Washington[8].
Secondo gli esperti di privacy, molte aziende che dispongono di grandi insiemi di dati potrebbero non sapere di possedere dettagli che si riferiscono indirettamente a informazioni sensibili. Tobias Judin, responsabile della sezione internazionale dell’autorità norvegese per la protezione dei dati ha dichiarato che è necessario “identificare dove si trovino questi dati e decidere se possano rivelare dettagli personali di un individuo sarebbe un’impresa enorme”[9].
Ciò si traduce in maggiori oneri e responsabilità per le aziende che effettuano attività di trattamento dati, dal momento che potenzialmente ogni dato potrebbe essere idoneo a rivelare informazioni considerate sensibili. Infatti, anche una comune operazione di trattamento potrebbe nascondere categorie particolari di dati e ricadere, quindi, nell’ambito di applicazione dell’articolo 9 GDPR.
Gli esperti privacy suggeriscono, inoltre, che saranno probabili nuovi ricorsi legali, in quanto gli operatori cercherebbero di risolvere quelle che potrebbero essere le complesse difficoltà pratiche derivanti dalla sentenza[10].
Conclusioni
La sentenza della Grande Sezione della Corte di Giustizia dell’Ue ha creato un “precedente” tanto innovativo quanto pericoloso per i soggetti coinvolti nelle attività di trattamento, i quali dovranno affrettarsi a rivedere le loro operazioni per determinare se i dati da essi trattati siano idonei o meno a rivelare indirettamente informazioni di carattere sensibile.
Tuttavia, i giudici lussemburghesi non hanno stabilito criteri specifici da seguire per attuare detti controlli.
Non resta quindi che attendere ulteriori sviluppi nella vicenda e, nel frattempo, prendere atto delle novità e degli inevitabili cambiamenti che tale sentenza della Corte di Giustizia è destinata a portare.
NOTE
Sentenza del 1° agosto 2022, OT contro Vyriausioji tarnybinės etikos komisija, C‑184/20, ECLI:EU:C:2022:601. ↑
Il rinvio pregiudiziale è disciplinato dall’art. 267 TFUE. In questo caso, si tratta di un rinvio pregiudiziale di interpretazione dell’articolo 6, paragrafo 1, primo comma, lettera e), e dell’articolo 9, paragrafo 1 del GDPR. ↑
Sentenza del 1° agosto 2022, OT contro Vyriausioji tarnybinės etikos komisija, C‑184/20, ECLI:EU:C:2022:601, punto 44. ↑
Tali diritti sono garantiti agli articoli 7 e 8 della Carta di Nizza. ↑
Sentenza del 1° agosto 2022, OT contro Vyriausioji tarnybinės etikos komisija, C‑184/20, ECLI:EU:C:2022:601, punto 92. ↑
Sentenza del 1° agosto 2022, OT contro Vyriausioji tarnybinės etikos komisija, C‑184/20, ECLI:EU:C:2022:601, punto 100 ↑
Sentenza del 1° agosto 2022, OT contro Vyriausioji tarnybinės etikos komisija, C‑184/20, ECLI:EU:C:2022:601, punto 126 ↑
Catherine Stupp, EU Court Expands Definition of Sensitive Data, Prompting Legal Concerns for Companies, in The Wall Street Journal, 10 agosto 2022, disponibile al seguente link. ↑
Ibidem ↑
Natasha Lomas, Sensitive data ruling by Europe’s top court could force broad privacy reboot, in Tech Crunch, 2 agosto 2022, disponibile al seguente link. ↑
