Corte di giustizia, Sentenza C-333/22

Ricorso giurisdizionale avverso la verifica svolta dall’autorità di controllo ai sensi della direttiva 2016/680

La pronuncia, resa in sede di rinvio pregiudiziale dalla cour d’appel de Bruxelles, riguarda la protezione dei dati personali trattati dalle autorità competenti a fini di prevenzione e repressione dei reati. La controversia oppone la Ligue des droits humains ASBL e BA all’OCIP belga ed è centrata sull’esercizio indiretto dei diritti dell’interessato tramite l’autorità di controllo.

Fatti e procedimento principale

BA aveva chiesto un nulla osta di sicurezza, poi negato dall’Autorité nationale de sécurité sulla base di dati personali risultanti dai servizi di polizia. Successivamente, il suo legale ha chiesto all’OCIP di individuare i titolari del trattamento e di consentire l’accesso completo ai dati, ma l’OCIP ha risposto solo di aver eseguito le verifiche necessarie e, se del caso, di aver modificato o cancellato i dati, senza fornire ulteriori informazioni.

I ricorrenti hanno chiesto al giudice nazionale, in sostanza, di riconoscere un rimedio giurisdizionale effettivo contro l’OCIP e di ottenere l’accesso ai dati o, in subordine, di sollevare dubbi sulla compatibilità della normativa belga con la direttiva 2016/680 e con la Carta.

Normativa UE rilevante

La Corte esamina la direttiva (UE) 2016/680, in particolare:

• l’articolo 17, che disciplina l’esercizio dei diritti tramite l’autorità di controllo e l’obbligo di informazione minima;
• l’articolo 46, paragrafo 1, lettera g), che attribuisce all’autorità di controllo il compito di verificare la liceità del trattamento;
• l’articolo 47, paragrafi 1 e 2, sui poteri d’indagine e correttivi;
• l’articolo 53, paragrafo 1, sul ricorso giurisdizionale effettivo avverso decisioni giuridicamente vincolanti dell’autorità di controllo. Vengono inoltre richiamati gli articoli 8, paragrafo 3, 47 e 52, paragrafo 1, della Carta.

Prima questione: esistenza del ricorso giurisdizionale contro l’autorità di controllo

La Corte rileva che l’esercizio dei diritti tramite l’autorità di controllo è una garanzia supplementare quando il legislatore nazionale limita l’esercizio diretto dei diritti di informazione, accesso, rettifica, cancellazione o limitazione del trattamento per ragioni di ordine pubblico, sicurezza o tutela dei diritti altrui.

L’autorità di controllo, quando verifica la liceità del trattamento ai sensi dell’articolo 17, svolge un compito che rientra nella funzione di controllo indipendente richiesta dall’articolo 8, paragrafo 3, della Carta. La decisione con cui l’autorità informa l’interessato di aver concluso le verifiche incide sulla sua posizione giuridica e deve quindi essere qualificata come "decisione giuridicamente vincolante" ai sensi dell’articolo 53, paragrafo 1, della direttiva.

Di conseguenza, l’interessato deve poter proporre un ricorso giurisdizionale effettivo contro tale decisione e, in particolare, contro il modo in cui l’autorità ha eseguito la verifica della liceità del trattamento e, se del caso, esercitato i poteri correttivi.

Seconda questione: validità dell’articolo 17, paragrafo 3, della direttiva 2016/680

La Corte afferma che l’articolo 17, paragrafo 3, consente agli Stati membri di limitare l’informazione fornita all’interessato alle indicazioni minime sulla conclusione delle verifiche e sul diritto di ricorso, ma ciò non significa che tale limitazione sia sempre massima o automatica.

Interpretata alla luce dell’articolo 47 della Carta, la disposizione richiede che il diritto nazionale:

• rispetti il contenuto essenziale della tutela giurisdizionale effettiva;
• sia giustificato da obiettivi di interesse pubblico riconosciuti dalla direttiva;
• sia necessario e proporzionato.

La Corte precisa che, ove possibile, l’autorità di controllo deve poter comunicare più informazioni di quelle minime, in modo da consentire all’interessato di decidere consapevolmente se agire in giudizio, senza compromettere gli obiettivi di protezione perseguiti dalla direttiva. Inoltre, il giudice adito deve poter esaminare tutte le questioni di fatto e di diritto pertinenti e avere accesso agli elementi necessari per valutare la correttezza della verifica svolta dall’autorità di controllo.

Rapporto con la normativa belga

La Corte osserva che il sistema nazionale deve consentire un controllo giurisdizionale effettivo della limitazione informativa e dell’attività dell’autorità di controllo. In particolare, il giudice nazionale deve disporre delle tecniche processuali idonee a conciliare riservatezza e diritti di difesa, in linea con la giurisprudenza richiamata, compresa la sentenza ZZ.

Decisione e principio affermato

La Corte risponde che, quando l’autorità di controllo conclude la verifica svolta ai sensi dell’articolo 17, l’interessato deve avere un ricorso giurisdizionale effettivo contro tale decisione. Ha poi dichiarato che dall’esame della seconda questione non emerge alcun elemento idoneo a inficiare la validità dell’articolo 17, paragrafo 3, della direttiva 2016/680.

Implicazioni pratiche

Per gli operatori, la sentenza conferma che l’accesso indiretto ai dati in materia di polizia non esclude il controllo giurisdizionale, ma lo trasferisce sulla decisione dell’autorità di controllo. Ne deriva che gli ordinamenti nazionali devono predisporre rimedi e strumenti processuali effettivi, anche ove l’interessato non riceva tutti i dettagli sul trattamento per ragioni di sicurezza o di tutela di interessi pubblici.