Corte di giustizia, Sentenza C-807/21

Sanzioni RGPD nei confronti di una persona giuridica titolare del trattamento

La pronuncia riguarda un rinvio pregiudiziale del Kammergericht Berlin in una controversia tra Deutsche Wohnen SE e la procura di Berlino, relativo a una sanzione amministrativa pecuniaria inflitta per violazioni del RGPD in materia di conservazione e cancellazione di dati personali dei locatari.

Fatti e procedimento principale

L’autorità di controllo di Berlino aveva contestato alla società, operante nel settore immobiliare, la conservazione in un sistema elettronico di documenti contenenti dati personali non più necessari. Dopo un’ispezione e vari scambi con l’autorità, era stata adottata una decisione che infliggeva alla Deutsche Wohnen SE una sanzione di euro 14.385.000 per violazione degli articoli 5, paragrafo 1, lettere a), c) ed e), 6 e 25, paragrafo 1, del RGPD, oltre ad altre 15 sanzioni minori per violazioni dell’articolo 6, paragrafo 1.

Questioni pregiudiziali

Il giudice del rinvio ha chiesto se:

• l’articolo 83, paragrafi 4-6, RGPD consenta di sanzionare direttamente una persona giuridica senza previa imputazione della violazione a una persona fisica identificata;
• in caso affermativo, sia necessario accertare che la persona giuridica abbia agito con dolo o colpa, oppure se sia sufficiente una responsabilità oggettiva.

Normativa rilevante

La Corte richiama in particolare:

• il considerando 74 RGPD, sulla responsabilità generale del titolare del trattamento;
• i considerando 10, 11, 13, 129 e 150 RGPD, relativi a applicazione uniforme, poteri delle autorità di controllo e armonizzazione delle sanzioni;
• l’articolo 4, punto 7, RGPD, che definisce il titolare del trattamento;
• l’articolo 58, paragrafo 2, lettera i), RGPD, che attribuisce alle autorità di controllo il potere di infliggere sanzioni pecuniarie;
• l’articolo 83, paragrafi 1-8, RGPD, che disciplina condizioni, criteri e massimali delle sanzioni;
• l’articolo 288, secondo comma, TFUE, sulla diretta applicabilità dei regolamenti;
• gli articoli 101 e 102 TFUE, richiamati dal considerando 150 ai fini del concetto di "impresa".

Ragionamento della Corte sulla prima questione

La Corte osserva che il RGPD non distingue, ai fini della responsabilità, tra persone fisiche e giuridiche: ciò che conta è che il soggetto determini da solo o insieme ad altri le finalità e i mezzi del trattamento. Una persona giuridica che sia titolare del trattamento può quindi essere direttamente destinataria di una sanzione amministrativa pecuniaria ai sensi dell’articolo 83 RGPD, senza che sia necessario individuare previamente una persona fisica responsabile.

La Corte precisa che gli Stati membri non possono introdurre condizioni sostanziali aggiuntive rispetto a quelle fissate dall’articolo 83, paragrafi 1-6, potendo prevedere soltanto garanzie procedurali conformi all’articolo 58, paragrafo 4, e all’articolo 83, paragrafo 8. Una regola nazionale che imponga la previa imputazione a una persona fisica svuoterebbe l’efficacia e l’effetto dissuasivo del sistema sanzionatorio del RGPD.

Ragionamento della Corte sulla seconda questione

La Corte afferma che l’articolo 83 RGPD non consente sanzioni amministrative pecuniarie in assenza di colpa. Il paragrafo 2 dell’articolo 83 impone di considerare il carattere doloso o colposo della violazione, e l’intero sistema sanzionatorio del regolamento presuppone una violazione illecita, cioè commessa con dolo o colpa.

La Corte esclude quindi una responsabilità oggettiva (strict liability). Inoltre, nel caso di una persona giuridica, non è necessario che l’azione o la consapevolezza provengano dall’organo di gestione: è sufficiente che la violazione sia imputabile alla persona giuridica secondo i criteri dell’illecito doloso o colposo.

Ruolo della nozione di "impresa"

Il rinvio agli articoli 101 e 102 TFUE contenuto nel considerando 150 serve solo per il calcolo dell’importo massimo della sanzione, sulla base del fatturato mondiale totale annuo dell’impresa. Non incide invece sulle condizioni per irrogare la sanzione, che restano disciplinate esclusivamente dal RGPD.

Dispositivo

La Corte ha dichiarato che:

• l’articolo 58, paragrafo 2, lettera i), e l’articolo 83, paragrafi 1-6, RGPD ostano a una normativa nazionale che richieda, per sanzionare una persona giuridica titolare del trattamento, la previa imputazione della violazione a una persona fisica identificata;
• l’articolo 83 RGPD consente la sanzione amministrativa pecuniaria solo se la violazione è stata commessa con dolo o colpa dal titolare del trattamento, anche se persona giuridica e impresa.

Implicazioni pratiche

Per operatori e consulenti, la decisione conferma che le autorità di controllo possono colpire direttamente la società titolare del trattamento, senza dover individuare il singolo autore materiale. Al tempo stesso, resta necessario dimostrare un elemento soggettivo della violazione, sicché l’impostazione difensiva può concentrarsi sull’assenza di dolo o colpa e sulla corretta organizzazione interna della compliance RGPD.