Corte di giustizia, Sentenza C-169/23

Obbligo di informazione nel trattamento dei dati per i certificati COVID-19

La sentenza riguarda un rinvio pregiudiziale della Kúria (Corte suprema ungherese) in una controversia tra l’autorità nazionale ungherese di protezione dei dati e un interessato, UC, in relazione al trattamento dei dati effettuato per il rilascio dei certificati di immunità COVID-19. Il nodo interpretativo concerne il campo di applicazione dell’articolo 14 RGPD e, in particolare, della deroga prevista dal paragrafo 5, lettera c), nonché la portata dei poteri dell’autorità di controllo nell’ambito di un reclamo ai sensi dell’articolo 77 RGPD.

Fatti e procedimento principale

UC aveva ottenuto un certificato di immunità attestante la vaccinazione contro il COVID-19. Ritenendo che l’amministrazione preposta al rilascio non avesse adempiuto agli obblighi informativi previsti dal RGPD, presentava reclamo all’autorità nazionale ungherese chiedendo di ordinare la conformità del trattamento. L’amministrazione sosteneva che i dati erano stati ottenuti da altri organismi e che, in forza dell’articolo 14, paragrafo 5, lettera c), non sussisteva alcun obbligo di informazione; aveva comunque pubblicato un’informativa sul proprio sito Internet.

L’autorità nazionale respingeva il reclamo, ritenendo applicabile la deroga. Il giudice di primo grado annullava però la decisione, osservando che alcuni dati relativi al certificato non erano stati semplicemente ottenuti da terzi, ma erano stati generati dal titolare del trattamento stesso. L’autorità nazionale ricorreva quindi in cassazione dinanzi alla Kúria.

Normativa rilevante

La Corte richiama in particolare:

• gli articoli 13 e 14 RGPD, che distinguono tra dati raccolti presso l’interessato e dati non ottenuti presso di lui;
• l’articolo 14, paragrafo 5, lettera c), che esclude l’obbligo di informazione quando l’ottenimento o la comunicazione dei dati sono espressamente previsti dal diritto dell’Unione o nazionale e quest’ultimo prevede misure appropriate di tutela;
• l’articolo 32 RGPD sulla sicurezza del trattamento;
• l’articolo 77 RGPD sul reclamo all’autorità di controllo;
• gli articoli 55, 57 e 58 RGPD sulla competenza e sui poteri delle autorità di controllo;
• l’articolo 10 del regolamento (UE) 2021/953, che rinvia al RGPD per il trattamento dei dati personali nei certificati COVID digitali UE.

Prima questione pregiudiziale: ambito della deroga dell’articolo 14, paragrafo 5, lettera c)

La Corte chiarisce che il testo dell’articolo 14, paragrafo 5, lettera c), letto alla luce del contesto e delle finalità del RGPD, riguarda l’"ottenimento o la comunicazione" dei dati personali, non delle sole informazioni in senso formale. La disposizione non limita la deroga ai soli dati acquisiti presso un soggetto diverso dall’interessato, ma comprende anche i dati che il titolare del trattamento genera internamente nell’esercizio delle proprie funzioni, quando tali dati derivano da dati precedentemente ottenuti presso terzi.

La Corte valorizza la dicotomia tra articolo 13 e articolo 14 RGPD: il secondo si applica a tutti i casi in cui i dati non sono stati raccolti presso l’interessato. Da ciò deriva che la deroga dell’articolo 14, paragrafo 5, lettera c), copre entrambe le categorie: dati ottenuti da terzi e dati generati dal titolare a partire da tali dati. Rimane però ferma la necessità che il diritto applicabile preveda espressamente l’ottenimento o la comunicazione e misure idonee a proteggere gli interessi dell’interessato.

Seconda e terza questione pregiudiziale: poteri dell’autorità di controllo nel reclamo

La Corte afferma che un reclamo ex articolo 77 RGPD può fondarsi sulla contestazione dell’erronea applicazione della deroga dell’articolo 14, paragrafo 5, lettera c). Nell’esercizio dei propri compiti, l’autorità di controllo è competente a verificare se il diritto dell’Unione o il diritto nazionale del titolare preveda effettivamente l’ottenimento o la comunicazione dei dati e se tale diritto contenga misure appropriate per tutelare gli interessi legittimi dell’interessato.

La Corte precisa che tale verifica riguarda la conformità della deroga ai presupposti dell’articolo 14 e non implica un sindacato di validità della normativa nazionale. L’autorità deve limitarsi a stabilire se, nel caso concreto, il titolare possa invocare la deroga nei confronti dell’interessato.

Rapporto con l’articolo 32 RGPD

La Corte esclude che, nell’ambito di un reclamo relativo all’obbligo informativo, la verifica debba estendersi all’adeguatezza delle misure di sicurezza previste dall’articolo 32 RGPD. Quest’ultima disposizione impone obblighi autonomi e generali sul livello di sicurezza del trattamento, indipendenti dall’esistenza o meno di un obbligo di informazione ex articolo 14. Pertanto, il controllo dell’autorità di protezione dei dati, in questo specifico contesto, resta circoscritto al perimetro dell’articolo 14 RGPD.

Dispositivo

La Corte conclude che:

• la deroga dell’articolo 14, paragrafo 5, lettera c), RGPD si applica a tutti i dati personali non raccolti direttamente presso l’interessato, inclusi quelli generati dal titolare del trattamento nell’esercizio dei propri compiti;
• nell’ambito del reclamo ex articolo 77, l’autorità di controllo può verificare se il diritto applicabile preveda misure appropriate di tutela ai fini della deroga;
• tale verifica non comprende l’adeguatezza delle misure di sicurezza di cui all’articolo 32 RGPD.

Rilievo pratico

La pronuncia è rilevante per le pubbliche amministrazioni e, più in generale, per i titolari del trattamento che operano sulla base di una disciplina legale specifica. Conferma che la deroga informativa può essere invocata in modo più ampio di quanto ritenuto dal giudice di primo grado nazionale, ma solo se la base legale interna è sufficientemente chiara e contiene garanzie adeguate. Per gli operatori italiani, la sentenza è utile anche per distinguere nettamente tra obblighi di trasparenza verso l’interessato e obblighi di sicurezza del trattamento, che restano autonomi.