TUTELA DEI DATI PERSONALI
Corte di Giustizia UE: condizioni per l'accesso del pubblico ai dati personali idonei a rivelare reati e condanne.
Un interessato ha partecipato a un concorso organizzato da Endemol Shine Finland. Quest'ultimo ha chiesto oralmente all'Etelä-Savon käräjäoikeus (Tribunale distrettuale del Savo meridionale, Finlandia) informazioni su eventuali procedimenti penali in corso o conclusi nei confronti della persona interessata, al fine di chiarire il suo casellario giudiziale. Il tribunale distrettuale ha respinto la richiesta.
A seguito di ciò, l'Endemol Shine Finland ha interposto appello avverso tale sentenza dinanzi all'Itä-Suomen hovioikeus (Corte d'appello della Finlandia orientale, Finlandia). Quest'ultima ha sospeso il procedimento e ha sottoposto alla Corte tre questioni pregiudiziali:
L'articolo 4, paragrafo 2, del GDPR definisce il "trattamento" come: qualsiasi operazione o insieme di operazioni, compiute con o senza l'ausilio di processi automatizzati sui dati personali o su insiemi di dati personali.
La Corte ha stabilito che l'uso di "qualsiasi operazione" in questa definizione è inteso a conferire alla nozione di "trattamento" un'ampia portata, che è corroborata dal carattere non esaustivo, espresso dall'espressione "quali". La Corte ha aggiunto che l'articolo 4, paragrafo 2, del RGPD non prevede alcuna condizione per quanto riguarda la forma del trattamento, il che significa che la nozione di trattamento comprende la comunicazione orale di dati personali.
Si poneva ancora la questione se la comunicazione orale di dati personali rientrasse nell'ambito di applicazione ratione materiae del RGPD. L'articolo 2, paragrafo 1, del RGPD prevede che il RGPD si applichi al trattamento interamente o parzialmente automatizzato e al trattamento non automatizzato di dati personali che fanno parte di un archivio o sono destinati a farlo o sono destinati a farlo in un archivio. L'articolo 4, paragrafo 6, del GDPR definisce un "archivio" come: qualsiasi insieme strutturato di dati personali accessibili in base a criteri specifici, centralizzato, decentralizzato o disperso su base funzionale o geografica.
La comunicazione orale dei dati personali costituisce un trattamento non automatizzato. Pertanto, la Corte ha indicato che i dati di tale trattamento devono far parte o essere destinati a far parte di un archivio affinché tale trattamento rientri nell'ambito di applicazione ratione materiae del RGPD. Nel caso di specie, la Corte ha dichiarato che era evidente che i dati richiesti dall'Endemol Shine Finland Oy erano contenuti in un "registro delle persone del giudice" che costituiva un archivio ai sensi dell'articolo 4, paragrafo 6, del RGPD.
Sulla seconda e sulla terza questione.
La Corte ha sottolineato che qualsiasi trattamento di dati personali deve (i) rispettare i principi relativi al trattamento dei dati personali e (ii) al fine di rispettare il principio di liceità di cui all'articolo 5, paragrafo 1, lettera a), del RGPD, soddisfare una delle condizioni elencate all'articolo 6 del RGPD (v. C-439/19 e C-634/21). La Corte ha stabilito che la divulgazione orale dei dati pubblici relativi a condanne penali può rientrare nell'ambito di applicazione dell'articolo 6, paragrafo 1, lettera e), del GDPR, ai sensi del quale il trattamento è lecito se e nella misura in cui è "necessario per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri di cui è investito il titolare del trattamento".
L'articolo 10 del RGPD subordina il trattamento dei dati relativi a condanne penali e reati a ulteriori limitazioni: ai sensi di tale disposizione, il trattamento di tali dati è effettuato solo sotto il controllo di un'autorità pubblica, a meno che non sia autorizzata dal diritto dell'Unione o degli Stati membri che fornisca garanzie adeguate per i diritti e le libertà degli interessati».
La Corte ha ritenuto che il RGPD non osti alla comunicazione al pubblico di dati personali se la comunicazione è necessaria per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri, ai sensi dell'articolo 6, paragrafo 1, lettera e), del RGPD, anche quando i dati si riferiscono a condanne penali e reati.
Al fine di determinare i) se la comunicazione al pubblico di dati personali relativi a condanne penali sia necessaria per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri, ai sensi dell'articolo 6, paragrafo 1, lettera e), del RGPD e ii) se la normativa che autorizza tale divulgazione preveda garanzie adeguate per i diritti e le libertà degli interessati, la Corte ha indicato che il giudice deve tener conto della gravità dell'ingerenza nel diritto fondamentale al rispetto della vita privata e alla protezione dei dati personali causata da tale divulgazione.
Per quanto riguarda la gravità dell'ingerenza in tali diritti, a causa della sensibilità dei dati relativi a condanne penali e reati, il trattamento di tali dati può costituire un'ingerenza particolarmente grave nei diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali. La Corte aggiunge che tali dati si riferiscono a comportamenti che suscitano disapprovazione sociale e sono idonei a stigmatizzare l'interessato (v. causa C-439/19).
La Corte ha constatato che, tenuto conto della sensibilità dei dati relativi alle condanne penali e della gravità dell'ingerenza nei diritti fondamentali delle persone interessate al rispetto della vita privata e alla protezione dei dati personali, causata dalla divulgazione di tali dati, tali diritti prevalgono sull'interesse del pubblico ad avere accesso ai documenti ufficiali. Per lo stesso motivo, il diritto alla libertà di informazione ai sensi dell'articolo 85 del GDPR non può giustificare la divulgazione a chiunque richieda dati personali relativi a condanne penali.
Pertanto, la Corte ha dichiarato che l'articolo 6, paragrafo 1, lettera e), e l'articolo 10 del RGPD ostano a che i dati relativi a condanne penali contenuti nel deposito di un organo giurisdizionale siano comunicati oralmente a chiunque al fine di garantire l'accesso del pubblico a documenti ufficiali se la persona che richiede la divulgazione non dimostra di avere un interesse specifico a ottenere tali dati. La Corte ha aggiunto che è irrilevante che si tratti di una società commerciale o di un privato.
A seguito di ciò, l'Endemol Shine Finland ha interposto appello avverso tale sentenza dinanzi all'Itä-Suomen hovioikeus (Corte d'appello della Finlandia orientale, Finlandia). Quest'ultima ha sospeso il procedimento e ha sottoposto alla Corte tre questioni pregiudiziali:
- Se un trasferimento orale di dati personali costituisca un trattamento di dati personali ai sensi dell'articolo 2, paragrafo 1, e dell'articolo 4, paragrafo 2, del GDPR
- L'accesso del pubblico ai documenti ufficiali può consentire di ottenere senza restrizioni informazioni sulle condanne penali o sui reati dal registro di un organo giurisdizionale quando la richiesta è presentata oralmente?
- È rilevante se la persona che richiede le informazioni è un'azienda o un privato?
L'articolo 4, paragrafo 2, del GDPR definisce il "trattamento" come: qualsiasi operazione o insieme di operazioni, compiute con o senza l'ausilio di processi automatizzati sui dati personali o su insiemi di dati personali.
La Corte ha stabilito che l'uso di "qualsiasi operazione" in questa definizione è inteso a conferire alla nozione di "trattamento" un'ampia portata, che è corroborata dal carattere non esaustivo, espresso dall'espressione "quali". La Corte ha aggiunto che l'articolo 4, paragrafo 2, del RGPD non prevede alcuna condizione per quanto riguarda la forma del trattamento, il che significa che la nozione di trattamento comprende la comunicazione orale di dati personali.
Si poneva ancora la questione se la comunicazione orale di dati personali rientrasse nell'ambito di applicazione ratione materiae del RGPD. L'articolo 2, paragrafo 1, del RGPD prevede che il RGPD si applichi al trattamento interamente o parzialmente automatizzato e al trattamento non automatizzato di dati personali che fanno parte di un archivio o sono destinati a farlo o sono destinati a farlo in un archivio. L'articolo 4, paragrafo 6, del GDPR definisce un "archivio" come: qualsiasi insieme strutturato di dati personali accessibili in base a criteri specifici, centralizzato, decentralizzato o disperso su base funzionale o geografica.
La comunicazione orale dei dati personali costituisce un trattamento non automatizzato. Pertanto, la Corte ha indicato che i dati di tale trattamento devono far parte o essere destinati a far parte di un archivio affinché tale trattamento rientri nell'ambito di applicazione ratione materiae del RGPD. Nel caso di specie, la Corte ha dichiarato che era evidente che i dati richiesti dall'Endemol Shine Finland Oy erano contenuti in un "registro delle persone del giudice" che costituiva un archivio ai sensi dell'articolo 4, paragrafo 6, del RGPD.
Sulla seconda e sulla terza questione.
La Corte ha sottolineato che qualsiasi trattamento di dati personali deve (i) rispettare i principi relativi al trattamento dei dati personali e (ii) al fine di rispettare il principio di liceità di cui all'articolo 5, paragrafo 1, lettera a), del RGPD, soddisfare una delle condizioni elencate all'articolo 6 del RGPD (v. C-439/19 e C-634/21). La Corte ha stabilito che la divulgazione orale dei dati pubblici relativi a condanne penali può rientrare nell'ambito di applicazione dell'articolo 6, paragrafo 1, lettera e), del GDPR, ai sensi del quale il trattamento è lecito se e nella misura in cui è "necessario per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri di cui è investito il titolare del trattamento".
L'articolo 10 del RGPD subordina il trattamento dei dati relativi a condanne penali e reati a ulteriori limitazioni: ai sensi di tale disposizione, il trattamento di tali dati è effettuato solo sotto il controllo di un'autorità pubblica, a meno che non sia autorizzata dal diritto dell'Unione o degli Stati membri che fornisca garanzie adeguate per i diritti e le libertà degli interessati».
La Corte ha ritenuto che il RGPD non osti alla comunicazione al pubblico di dati personali se la comunicazione è necessaria per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri, ai sensi dell'articolo 6, paragrafo 1, lettera e), del RGPD, anche quando i dati si riferiscono a condanne penali e reati.
Al fine di determinare i) se la comunicazione al pubblico di dati personali relativi a condanne penali sia necessaria per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri, ai sensi dell'articolo 6, paragrafo 1, lettera e), del RGPD e ii) se la normativa che autorizza tale divulgazione preveda garanzie adeguate per i diritti e le libertà degli interessati, la Corte ha indicato che il giudice deve tener conto della gravità dell'ingerenza nel diritto fondamentale al rispetto della vita privata e alla protezione dei dati personali causata da tale divulgazione.
Per quanto riguarda la gravità dell'ingerenza in tali diritti, a causa della sensibilità dei dati relativi a condanne penali e reati, il trattamento di tali dati può costituire un'ingerenza particolarmente grave nei diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali. La Corte aggiunge che tali dati si riferiscono a comportamenti che suscitano disapprovazione sociale e sono idonei a stigmatizzare l'interessato (v. causa C-439/19).
La Corte ha constatato che, tenuto conto della sensibilità dei dati relativi alle condanne penali e della gravità dell'ingerenza nei diritti fondamentali delle persone interessate al rispetto della vita privata e alla protezione dei dati personali, causata dalla divulgazione di tali dati, tali diritti prevalgono sull'interesse del pubblico ad avere accesso ai documenti ufficiali. Per lo stesso motivo, il diritto alla libertà di informazione ai sensi dell'articolo 85 del GDPR non può giustificare la divulgazione a chiunque richieda dati personali relativi a condanne penali.
Pertanto, la Corte ha dichiarato che l'articolo 6, paragrafo 1, lettera e), e l'articolo 10 del RGPD ostano a che i dati relativi a condanne penali contenuti nel deposito di un organo giurisdizionale siano comunicati oralmente a chiunque al fine di garantire l'accesso del pubblico a documenti ufficiali se la persona che richiede la divulgazione non dimostra di avere un interesse specifico a ottenere tali dati. La Corte ha aggiunto che è irrilevante che si tratti di una società commerciale o di un privato.
