Corte di giustizia, Sentenza C-413/23

Protezione dei dati, pseudonimizzazione e obbligo di informazione nel contesto della risoluzione bancaria

La pronuncia riguarda un’impugnazione proposta dal GEPD avverso la sentenza del Tribunale che aveva annullato una decisione del GEPD relativa ai reclami presentati da azionisti e creditori del Banco Popular. La controversia nasce nell’ambito della procedura del SRB sul diritto di essere ascoltati e sull’eventuale indennizzo conseguente alla risoluzione dell’istituto bancario.

Fatti e procedimento amministrativo

Dopo la risoluzione del Banco Popular e la pubblicazione della decisione preliminare sulla possibile compensazione degli azionisti e creditori, il SRB organizzò una procedura in due fasi: una fase di iscrizione, per verificare lo status dei partecipanti, e una fase di consultazione, per ricevere osservazioni sulla decisione preliminare e sulla valutazione 3 predisposta da Deloitte. Le osservazioni della fase di consultazione furono poi filtrate, classificate, aggregate e, per quelle pertinenti alla valutazione 3, trasmesse a Deloitte tramite un server sicuro, insieme a un codice alfanumerico usato dal SRB per il controllo interno e l’audit.

Gli interessati presentarono reclami al GEPD lamentando la violazione dell’articolo 15, paragrafo 1, lettera d), del regolamento 2018/1725, perché l’informativa privacy del SRB non menzionava Deloitte come destinatario dei dati. Il GEPD accolse i reclami, ritenendo che il SRB avesse violato l’obbligo di informazione; in sede di riesame ribadì che i dati trasmessi a Deloitte erano dati pseudonimizzati e che Deloitte era un destinatario di dati personali non adeguatamente indicato nell’informativa.

Decisione del Tribunale

Il SRB impugnò la decisione del GEPD. Il Tribunale annullò la decisione controversa, ritenendo fondato il primo motivo del SRB: secondo il Tribunale, il GEPD aveva errato nel qualificare come dati personali le informazioni trasmesse a Deloitte senza esaminare adeguatamente, per la nozione di dato personale, contenuto, finalità ed effetto delle osservazioni e senza collocarsi nella prospettiva del destinatario. Il Tribunale non esaminò il secondo motivo sul diritto a una buona amministrazione.

Analisi della Corte sulla nozione di "dato personale"

La Corte ricorda che la nozione di dato personale dell’articolo 3, punto 1, del regolamento 2018/1725, sostanzialmente identica a quella del RGPD e della direttiva 95/46, va interpretata in senso ampio. Può includere qualsiasi informazione, anche un’opinione o una valutazione soggettiva, purché "concerna" una persona fisica identificata o identificabile.

La Corte censura il Tribunale nella parte in cui pretendeva, per le osservazioni trasmesse a Deloitte, un ulteriore esame del contenuto, della finalità e dell’effetto per stabilire se esse "concernevano" gli autori. Poiché le osservazioni esprimevano opinioni o punti di vista personali, esse erano necessariamente connesse ai loro autori; il Tribunale ha quindi commesso un errore di diritto su questo punto.

Pseudonimizzazione e identificabilità

La Corte precisa che la pseudonimizzazione, definita dall’articolo 3, punto 6, non è una categoria autonoma che esclude o include automaticamente i dati nella nozione di dato personale. Essa è una misura tecnica e organizzativa che può ridurre i rischi e, a seconda delle circostanze, può fare sì che taluni dati non siano identificabili per soggetti diversi dal titolare del trattamento. Tuttavia, i dati pseudonimizzati non sono per ciò solo anonimi in ogni caso.

La Corte distingue tra il punto di vista del titolare del trattamento, che normalmente conserva le informazioni aggiuntive e dunque continua a trattare dati personali, e quello del terzo destinatario, per il quale i dati possono non essere identificabili se le misure di pseudonimizzazione impediscono effettivamente la reidentificazione anche mediante altri mezzi ragionevolmente accessibili. Ne consegue che il carattere personale dei dati va valutato concretamente e non in astratto.

Obbligo di informazione sui destinatari: prospettiva del titolare del trattamento

Quanto all’articolo 15, paragrafo 1, lettera d), la Corte afferma che l’obbligo di informare l’interessato sugli eventuali destinatari dei dati opera al momento della raccolta presso l’interessato. La valutazione dell’identificabilità deve quindi essere compiuta dal punto di vista del titolare del trattamento, non del destinatario a valle del trasferimento.

Secondo la Corte, subordinare questo obbligo alla prospettiva del terzo destinatario significherebbe spostare nel tempo il controllo sul rispetto dell’informazione e snaturare la funzione della norma, che è quella di consentire all’interessato di decidere con piena cognizione di causa se fornire i dati e di comprendere sin dall’inizio a chi essi potranno essere comunicati.

Esito dell’impugnazione e rinvio

La Corte accoglie il primo motivo di impugnazione del GEPD nella parte relativa al contenuto/opinione personale e nella parte relativa alla prospettiva del destinatario ai fini dell’articolo 15, paragrafo 1, lettera d). Di conseguenza, annulla la sentenza del Tribunale.

Poiché lo stato degli atti consente di decidere solo sul primo motivo del ricorso del SRB in primo grado, la Corte statuisce definitivamente respingendolo: le osservazioni trasmesse a Deloitte costituiscono dati personali e il SRB disponeva, come titolare del trattamento, delle informazioni necessarie per identificare gli autori. Tuttavia, non essendo stati svolti gli accertamenti di fatto necessari, la causa viene rinviata al Tribunale per l’esame del secondo motivo di ricorso del SRB.