Corte di giustizia, Sentenza C-683/21

Protezione dei dati personali: titolare del trattamento, contitolarità e sanzioni nel caso di un’applicazione mobile

La pronuncia riguarda un rinvio pregiudiziale del Tribunale amministrativo regionale di Vilnius in una controversia tra il Centro nazionale per la sanità pubblica lituano e l’Autorità nazionale per la protezione dei dati. Il caso concerne la creazione e messa a disposizione di un’applicazione mobile per il monitoraggio epidemiologico durante la pandemia di COVID-19 e l’irrogazione di una sanzione amministrativa pecuniaria ai sensi del RGPD.

Fatti e procedimento principale

Il Ministero della Sanità lituano aveva incaricato il CNSP di organizzare l’acquisizione di un sistema informatico per la registrazione e il monitoraggio dei dati delle persone esposte al virus. La società ITSS sviluppò l’applicazione mobile, nella cui realizzazione il CNSP intervenne indicando esigenze e contenuti delle domande, con scambi di email tra i soggetti coinvolti.

L’applicazione fu resa disponibile su Google Play Store e Apple App Store e raccolse dati personali di 3.802 utenti, tra cui dati identificativi, di localizzazione e altri dati personali; in fase di test furono usati anche dati fittizi, salvo alcuni numeri di telefono di dipendenti di una società che gestiva il sistema informatico di controllo delle malattie trasmissibili. L’autorità di controllo irrogò al CNSP una sanzione di 12.000 euro per violazione degli articoli 5, 13, 24, 32 e 35 RGPD, qualificando anche ITSS come contitolare.

Questioni pregiudiziali

Il giudice del rinvio chiedeva, in sostanza:

• se un ente che intende acquistare o commissiona lo sviluppo di una app possa essere titolare del trattamento anche senza aver compiuto direttamente operazioni di trattamento o acquistato l’applicazione;
• se il fatto che l’app indichi tale ente come titolare o contenga link verso di esso rilevi anche in assenza di approvazione formale;
• se sia sufficiente, per la titolarità, aver incaricato la realizzazione di uno strumento creato su istruzioni dell’amministrazione;
• se l’uso di copie di dati personali per test informatici integri trattamento;
• se la contitolarità richieda un accordo formale e un coordinamento esplicito;
• se le sanzioni amministrative pecuniarie presuppongano dolo o colpa e possano riguardare trattamenti effettuati dal responsabile del trattamento.

Normativa rilevante

La Corte richiama in particolare gli articoli 4, 26, 28, 58, 83 e 84 del RGPD, oltre ai considerando 9, 10, 11, 13, 26, 74, 79, 129 e 148. Centrale è la definizione ampia di:

• “trattamento” all’articolo 4, punto 2;
• “titolare del trattamento” all’articolo 4, punto 7;
• “responsabile del trattamento” all’articolo 4, punto 8;
• “contitolari del trattamento” all’articolo 26, paragrafo 1;
• condizioni per le sanzioni amministrative pecuniarie all’articolo 83.

Ragionamento della Corte sulla nozione di titolare del trattamento

La Corte ribadisce che la nozione di titolare del trattamento è ampia e sostanziale: è titolare chi, singolarmente o con altri, determina le finalità e i mezzi del trattamento. Non è necessario che il soggetto esegua materialmente il trattamento, né che vi sia una designazione formale, né che le istruzioni siano scritte.

Nel caso concreto, il CNSP aveva commissionato lo sviluppo dell’applicazione per realizzare un obiettivo proprio, ossia la gestione della pandemia mediante uno strumento informatico di registrazione e monitoraggio dei dati. Inoltre, aveva contribuito alla definizione delle domande e dei parametri dell’applicazione. Per questo, la Corte ritiene che, in linea di principio, il CNSP abbia partecipato alla determinazione delle finalità e dei mezzi del trattamento.

La Corte precisa però che il CNSP non potrebbe essere considerato titolare dei trattamenti derivanti dalla messa a disposizione al pubblico dell’app se, prima di tale messa a disposizione, si fosse espressamente opposto ad essa e al conseguente trattamento dei dati. Invece, il fatto che non abbia acquistato l’app, non abbia stipulato un contratto di appalto o non abbia autorizzato in modo formale la distribuzione non impedisce, di per sé, la qualificazione come titolare.

Ragionamento sulla contitolarità del trattamento

Quanto alla contitolarità, la Corte chiarisce che non è necessario un accordo formale tra i soggetti sulla determinazione delle finalità e dei mezzi del trattamento, né un accordo specifico che disciplini le condizioni della contitolarità. È sufficiente che due o più soggetti partecipino alla determinazione delle finalità e dei mezzi, anche tramite decisioni convergenti che abbiano un effetto concreto sul trattamento.

L’accordo previsto dall’articolo 26, paragrafo 1, serve a ripartire in modo trasparente le rispettive responsabilità tra contitolari, ma non è una condizione per qualificare i soggetti come contitolari. La qualificazione dipende dunque dalla sostanza del loro coinvolgimento, non dalla forma dell’intesa.

Ragionamento sulla nozione di trattamento e sui test informatici

La Corte interpreta la nozione di “trattamento” in senso molto ampio: qualsiasi operazione su dati personali rientra nell’articolo 4, punto 2, e la finalità dell’operazione non è decisiva per escludere la qualifica di trattamento. Pertanto, l’uso di dati personali per test informatici di un’applicazione mobile costituisce trattamento.

Tuttavia, ciò vale solo se i dati restano “personali” ai sensi dell’articolo 4, punto 1. Non sono tali i dati fittizi riferiti a persone inesistenti, né i dati resi anonimi in modo irreversibile. Restano invece soggetti al RGPD i dati soltanto pseudonimizzati, poiché possono ancora essere ricondotti all’interessato mediante informazioni aggiuntive.

Ragionamento sulle sanzioni amministrative pecuniarie

In relazione all’articolo 83 RGPD, la Corte afferma che una sanzione amministrativa pecuniaria può essere irrogata solo se la violazione è stata commessa con dolo o colpa. Il regolamento non lascia agli Stati membri la facoltà di introdurre una responsabilità oggettiva per tali sanzioni; le condizioni sostanziali per l’irrogazione sono disciplinate dal diritto dell’Unione.

La Corte fonda tale conclusione sulla lettera dell’articolo 83, paragrafo 2, che include espressamente il carattere doloso o colposo tra i criteri rilevanti, e sulla lettura sistematica con l’articolo 83, paragrafo 3, nonché con gli articoli 84 e 58. La finalità del RGPD è assicurare applicazione omogenea e sanzioni equivalenti in tutta l’Unione.

La Corte aggiunge che, se il titolare è una persona giuridica, non è necessario individuare una condotta o una conoscenza specifica dell’organo di gestione, purché la violazione sia imputabile alla persona giuridica secondo i criteri del regolamento.

Quanto alla responsabilità per i comportamenti del responsabile del trattamento, il titolare può essere sanzionato se il responsabile ha trattato dati per suo conto entro il perimetro del mandato. Se invece il responsabile agisce per finalità proprie o in modo incompatibile con il quadro o le modalità stabilite dal titolare, allora opera l’articolo 28, paragrafo 10, e il responsabile è considerato titolare per quel trattamento.

Dispositivo

La Corte conclude che:

• il CNSP può essere considerato titolare del trattamento se ha partecipato alla determinazione delle finalità e dei mezzi del trattamento tramite l’app, salvo opposizione espressa prima della messa a disposizione al pubblico;
• la contitolarità non richiede un accordo formale;
• l’uso di dati personali per test informatici è trattamento, salvo anonimizzazione o uso di dati fittizi;
• la sanzione amministrativa pecuniaria richiede una violazione colpevole;
• il titolare può essere sanzionato anche per trattamenti compiuti dal responsabile per suo conto, entro i limiti del mandato.

Principi di rilievo pratico

La sentenza è particolarmente rilevante per i professionisti che assistono pubbliche amministrazioni, sviluppatori software e operatori digitali. Il criterio decisivo non è la formale intestazione del progetto o dell’applicazione, ma la partecipazione concreta alla determinazione delle finalità e dei mezzi del trattamento. Sul piano sanzionatorio, la pronuncia esclude la responsabilità oggettiva e rafforza la necessità di verificare colpa, perimetro del mandato e ruolo effettivo di titolare, contitolare o responsabile.