TUTELA DEI DATI PERSONALI
CGUE: interpretazione della base di legittimità del trattamento rappresentata dall’adempimento di un contratto, o di un obbligo legale e dal perseguimento del legittimo interesse e divulgazione dei dati personali dei soci di fondi di investimento.
La Corte di Giustizia UE ha emesso una importante sentenza pregiudiziale (2024/738) sulla corretta applicazione degli articoli 6, comma 1, lettera (b), 6, comma 1, lettera (c) e 6, comma 1, lettera (f) del Regolamento UE 679/2016 sulla tutela dei dati personali. Come è noto, si tratta delle basi di liceità del trattamento rappresentate dall’adempimento di obbligazioni contrattuali, di un obbligo legale e dal perseguimento del legittimo interesse, proprio o di un terzo.
Il caso: su richiesta di un socio di un fondo di investimento, costituito sotto forma di società di persone ad azionariato diffuso, era stato richiesto al fondo di divulgare informazioni su tutti i soci che detenevano partecipazioni indirette in tale fondo, tramite società fiduciarie, indipendentemente dall’entità della loro partecipazione al capitale di detto fondo, al fine di entrare in contatto e negoziare con loro il riacquisto delle loro quote sociali, o - ancora - di coordinarsi con questi ultimi al fine di formare una volontà comune nell’ambito di decisioni dei soci.
La Corte UE ha ritenuto che il trattamento rappresentato dalla divulgazione dei dati personali dei soci può essere considerato necessario alla esecuzione del contratto in forza del quale tali soci hanno acquistato tali partecipazioni, ai sensi dell’articolo 6, comma 1, lettera (b) del GDPR, soltanto a condizione che tale trattamento sia oggettivamente indispensabile per realizzare una finalità che è parte integrante della prestazione contrattuale destinata a questi stessi soci, di modo che l’oggetto principale del contratto non potrebbe essere conseguito in assenza di tale trattamento. Ciò non si verifica se tale contratto esclude espressamente la divulgazione di tali dati personali ad altri detentori di partecipazioni.
Quanto al perseguimento del legittimo interesse ai sensi dell’articolo 6, comma 1, lettera (f) del GDPR, la CGUE ha ritenuto che il trattamento rappresentato dalla divulgazione dei dati personali dei soci può essere considerato necessario per il perseguimento del legittimo interesse di terzi, ai sensi di tale disposizione, solo a condizione che detto trattamento sia strettamente necessario per la realizzazione di un simile legittimo interesse e, alla luce di tutte le circostanze pertinenti, gli interessi o le libertà e i diritti fondamentali di detti soci non prevalgano su tale interesse legittimo.
Quanto all’adempimento di un obbligo legale ai sensi dell’articolo 6, comma 1, lettera (c) del GDPR, la CGUE ha ritenuto che il trattamento rappresentato dalla divulgazione dei dati personali dei soci può essere considerato giustificato, ai sensi di tale disposizione, quando è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento, in virtù del diritto dello Stato membro interessato, come precisato dalla giurisprudenza di tale Stato membro, a condizione che tale giurisprudenza sia chiara e precisa, che la sua applicazione sia prevedibile per le persone che vi sono sottoposte e che risponda a un obiettivo di interesse pubblico e sia proporzionata a quest’ultimo.
Il caso: su richiesta di un socio di un fondo di investimento, costituito sotto forma di società di persone ad azionariato diffuso, era stato richiesto al fondo di divulgare informazioni su tutti i soci che detenevano partecipazioni indirette in tale fondo, tramite società fiduciarie, indipendentemente dall’entità della loro partecipazione al capitale di detto fondo, al fine di entrare in contatto e negoziare con loro il riacquisto delle loro quote sociali, o - ancora - di coordinarsi con questi ultimi al fine di formare una volontà comune nell’ambito di decisioni dei soci.
La Corte UE ha ritenuto che il trattamento rappresentato dalla divulgazione dei dati personali dei soci può essere considerato necessario alla esecuzione del contratto in forza del quale tali soci hanno acquistato tali partecipazioni, ai sensi dell’articolo 6, comma 1, lettera (b) del GDPR, soltanto a condizione che tale trattamento sia oggettivamente indispensabile per realizzare una finalità che è parte integrante della prestazione contrattuale destinata a questi stessi soci, di modo che l’oggetto principale del contratto non potrebbe essere conseguito in assenza di tale trattamento. Ciò non si verifica se tale contratto esclude espressamente la divulgazione di tali dati personali ad altri detentori di partecipazioni.
Quanto al perseguimento del legittimo interesse ai sensi dell’articolo 6, comma 1, lettera (f) del GDPR, la CGUE ha ritenuto che il trattamento rappresentato dalla divulgazione dei dati personali dei soci può essere considerato necessario per il perseguimento del legittimo interesse di terzi, ai sensi di tale disposizione, solo a condizione che detto trattamento sia strettamente necessario per la realizzazione di un simile legittimo interesse e, alla luce di tutte le circostanze pertinenti, gli interessi o le libertà e i diritti fondamentali di detti soci non prevalgano su tale interesse legittimo.
Quanto all’adempimento di un obbligo legale ai sensi dell’articolo 6, comma 1, lettera (c) del GDPR, la CGUE ha ritenuto che il trattamento rappresentato dalla divulgazione dei dati personali dei soci può essere considerato giustificato, ai sensi di tale disposizione, quando è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento, in virtù del diritto dello Stato membro interessato, come precisato dalla giurisprudenza di tale Stato membro, a condizione che tale giurisprudenza sia chiara e precisa, che la sua applicazione sia prevedibile per le persone che vi sono sottoposte e che risponda a un obiettivo di interesse pubblico e sia proporzionata a quest’ultimo.
