Corte di giustizia, Sentenza C-33/22

Protezione dei dati e commissioni d’inchiesta parlamentari

La pronuncia riguarda un rinvio pregiudiziale del Verwaltungsgerichtshof (Austria) in una controversia tra la Datenschutzbehörde e WK, relativa al rigetto di un reclamo contro la pubblicazione, sul sito del Parlamento austriaco, del resoconto di un’audizione in commissione d’inchiesta con indicazione del nome dell’interessato. La Corte affronta il rapporto tra RGPD, sicurezza nazionale, autonomia costituzionale degli Stati membri e competenza dell’autorità di controllo.

Fatti e procedimento nazionale

Il Consiglio nazionale austriaco aveva istituito una commissione d’inchiesta per fare luce su una possibile influenza politica sul Bundesamt für Verfassungsschutz und Terrorismusbekämpfung (BVT), poi sostituito da altra struttura di intelligence. WK era stato ascoltato come testimone in audizione pubblica; nonostante la richiesta di anonimizzazione, il resoconto con il suo nome fu pubblicato online. La Datenschutzbehörde respinse il reclamo ritenendosi incompetente, poiché la commissione d’inchiesta rientrerebbe nel potere legislativo e non potrebbe essere controllata da un’autorità dell’esecutivo per effetto del principio di separazione dei poteri. Il giudice amministrativo federale annullò tale decisione, ritenendo applicabile il RGPD e competente l’autorità di controllo.

Questioni pregiudiziali

Il giudice del rinvio ha chiesto:

• se l’attività di una commissione d’inchiesta parlamentare sia, per definizione, fuori dall’ambito di applicazione del diritto dell’Unione e dunque del RGPD;
• se, quando l’inchiesta riguarda attività connesse alla sicurezza nazionale, operi l’esclusione dell’articolo 2, paragrafo 2, lettera a), RGPD;
• se, in presenza di un’unica autorità nazionale di controllo, gli articoli 55 e 77 RGPD le attribuiscano direttamente la competenza sul reclamo anche in assenza di una specifica base nel diritto nazionale.

Normativa rilevante

La Corte richiama in particolare l’articolo 16 TFUE, base giuridica del RGPD, e l’articolo 2, paragrafo 2, lettera a), del regolamento, che esclude i trattamenti effettuati per attività che non rientrano nel diritto dell’Unione. Sono inoltre centrali gli articoli 23, 51, 55 e 77 RGPD, nonché i considerando 16, 20 e 117. Sul piano nazionale sono richiamati l’articolo 53 B-VG e varie disposizioni del DSG austriaco.

Ragionamento della Corte sulla prima questione

La Corte ricorda che il RGPD ha un ambito di applicazione molto ampio e che le eccezioni dell’articolo 2, paragrafo 2, vanno interpretate restrittivamente. L’eccezione della lettera a) riguarda solo categorie di attività che, per loro natura, non rientrano nel diritto dell’Unione, in particolare quelle relative alla sicurezza nazionale, e non può dipendere soltanto dalla natura pubblica dell’autore del trattamento. Ne consegue che il solo fatto che il trattamento sia effettuato da una commissione d’inchiesta parlamentare non basta a escludere l’applicazione del RGPD.

Ragionamento della Corte sulla seconda questione

La Corte precisa che le attività escluse dall’articolo 2, paragrafo 2, lettera a), sono quelle volte a salvaguardare la sicurezza nazionale, concetto che comprende la tutela delle funzioni essenziali dello Stato e degli interessi fondamentali della società. Tuttavia, la commissione d’inchiesta BVT svolgeva un controllo politico su un’autorità di polizia di protezione dello Stato a causa di un sospetto di influenza politica, non un’attività di sicurezza nazionale in senso proprio. La possibile sensibilità delle informazioni per ragioni di sicurezza nazionale non comporta di per sé l’esclusione dal RGPD; possono invece operare limitazioni specifiche ai sensi dell’articolo 23, purché previste dalla legge e proporzionate.

Ragionamento della Corte sulla terza questione

La Corte afferma che gli articoli 55, paragrafo 1, e 77, paragrafo 1, RGPD sono sufficientemente chiari, precisi e incondizionati da produrre effetto diretto. Se uno Stato membro decide di istituire una sola autorità di controllo ai sensi dell’articolo 51, tale autorità deve essere dotata di tutte le competenze previste dal regolamento. Il diritto nazionale, anche se di rango costituzionale e fondato sulla separazione dei poteri, non può privare l’autorità di controllo della competenza che il RGPD le attribuisce direttamente.

Decisione e dispositivo

La Corte dichiara che:

• una commissione d’inchiesta parlamentare non rende automaticamente inapplicabile il RGPD;
• le attività di una commissione che indaga su una polizia di protezione dello Stato per sospetta influenza politica non sono, in quanto tali, attività di sicurezza nazionale escluse dal diritto dell’Unione;
• se uno Stato membro ha istituito un’unica autorità di controllo, essa è direttamente competente a conoscere dei reclami relativi ai trattamenti di dati effettuati da tale commissione.

Principi affermati

La sentenza ribadisce tre principi utili in pratica:

• l’ambito di applicazione del RGPD dipende dalla natura dell’attività di trattamento, non dall’identità dell’organo che la svolge;
• l’eccezione per la sicurezza nazionale va interpretata in modo restrittivo e non copre ogni attività parlamentare connessa a organi di sicurezza;
• le competenze minime delle autorità di controllo discendono direttamente dal RGPD e non possono essere ridotte dal diritto interno quando lo Stato abbia scelto di istituire un’unica autorità.

Implicazioni pratiche

Per gli operatori, la pronuncia conferma che anche trattamenti di dati in contesti istituzionali altamente sensibili possono ricadere nel RGPD, salvo specifica esclusione o limitazione legislativa conforme all’articolo 23. Sul piano organizzativo, gli Stati membri non possono invocare la propria architettura costituzionale per sottrarre tali trattamenti al controllo dell’autorità nazionale quando il regolamento richiede un rimedio effettivo per l’interessato.