Corte di giustizia, Sentenza C-175/20

Richiesta fiscale di dati personali a un portale di annunci online

La pronuncia riguarda un rinvio pregiudiziale della Administratīvā apgabaltiesa (Corte amministrativa regionale, Lettonia) in una controversia tra la società «SS» SIA, gestore di un sito di annunci online, e l’amministrazione tributaria lettone. Il caso concerne una richiesta dell’autorità fiscale di ottenere informazioni sugli annunci di vendita di veicoli e sui relativi inserzionisti, con particolare rilievo per l’applicazione del regolamento (UE) 2016/679 (GDPR).

Fatti e procedimento principale

L’amministrazione tributaria lettone, sulla base della normativa nazionale, ha chiesto a SS di comunicare dati relativi agli annunci pubblicati nella sezione "Autoveicoli", tra cui link all’annuncio, testo, marca, modello, numero di telaio, prezzo e numero di telefono del venditore. La richiesta prevedeva anche, in mancanza di ripristino dell’accesso ai dati, una trasmissione mensile di informazioni sugli annunci pubblicati nel mese precedente, senza un limite temporale finale.

SS ha contestato la richiesta sostenendo che fosse contraria ai principi di proporzionalità e minimizzazione dei dati di cui al GDPR. Dopo il rigetto del reclamo amministrativo e del ricorso in primo grado, la questione è giunta in appello davanti al giudice del rinvio, che ha sollevato nove questioni pregiudiziali.

Questioni sottoposte alla Corte

Il giudice nazionale chiedeva, in sostanza:

• se una richiesta di tale ampiezza rientri nell’ambito di applicazione del GDPR, in particolare dell’articolo 5, paragrafo 1;
• se l’amministrazione tributaria possa derogare a tali principi in assenza di una specifica autorizzazione nel diritto nazionale;
• quali criteri vadano applicati per valutare la legittimità di una richiesta di dati priva di un termine finale e non sufficientemente circostanziata quanto alla finalità;
• se sia conforme al GDPR una richiesta che riguardi in modo indifferenziato tutti gli utenti di una determinata sezione del portale.

Normativa rilevante

La Corte richiama in particolare:

• il regolamento (UE) 2016/679, specie gli articoli 2, 4, 5, 6, 13, 14, 23 e 25;
• la direttiva (UE) 2016/680, per delimitare l’eccezione relativa ai trattamenti per finalità penali;
• l’articolo 16 TFUE e l’articolo 52, paragrafo 1, della Carta dei diritti fondamentali dell’Unione europea.

Ragionamento della Corte: ambito di applicazione del GDPR

La Corte osserva anzitutto che la richiesta dell’amministrazione tributaria integra un "trattamento" di dati personali, poiché comporta raccolta, comunicazione e messa a disposizione di dati ai sensi dell’articolo 4, punto 2, del GDPR. I dati richiesti sono dati personali ai sensi dell’articolo 4, punto 1.

Esclude poi l’applicabilità dell’eccezione dell’articolo 2, paragrafo 2, lettera d), perché l’amministrazione tributaria non rientra, per tale attività di riscossione e lotta all’evasione, nella nozione di "autorità competente" della direttiva 2016/680. La mera possibilità di un successivo impiego in un procedimento penale tributario non basta a sottrarre il trattamento al GDPR, se la raccolta non avviene per quella specifica finalità.

Ne consegue che la raccolta di dati personali da parte dell’amministrazione fiscale presso un operatore online rientra nel campo di applicazione materiale del regolamento 2016/679 e deve rispettarne i principi applicabili, in particolare quelli dell’articolo 5.

Ragionamento della Corte: deroghe ai principi del trattamento

Quanto alla seconda questione, la Corte precisa che le limitazioni ai diritti e agli obblighi previsti dal GDPR possono essere introdotte solo mediante "misure legislative" ai sensi dell’articolo 23 del regolamento, purché siano necessarie e proporzionate e rispettino l’essenza dei diritti fondamentali.

La Corte richiede che la base giuridica sia chiara, precisa e prevedibile per i destinatari, conformemente anche all’articolo 52, paragrafo 1, della Carta. In assenza di una simile base normativa, l’amministrazione tributaria non può derogare ai principi dell’articolo 5 del regolamento.

Ragionamento della Corte: finalità, minimizzazione e durata della raccolta

Esaminando congiuntamente le questioni dalla terza alla nona, la Corte richiama l’articolo 5, paragrafo 1, lettera b), secondo cui i dati devono essere raccolti per finalità determinate, esplicite e legittime, e la lettera c), che impone che i dati siano adeguati, pertinenti e limitati a quanto necessario.

La Corte afferma che:

• la finalità della richiesta deve essere chiaramente indicata nella domanda inviata al fornitore;
• la riscossione delle imposte e la lotta all’evasione costituiscono compiti di interesse pubblico ai sensi dell’articolo 6, paragrafo 1, lettera e);
• tuttavia, il titolare del trattamento non può procedere a una raccolta generalizzata e indiscriminata di dati;
• spetta al giudice nazionale verificare se l’obiettivo possa essere raggiunto mediante criteri più mirati, ad esempio individuando annunci specifici.

La Corte sottolinea inoltre che il principio di minimizzazione vale anche sul piano temporale: il periodo di raccolta non può eccedere la durata strettamente necessaria per raggiungere l’obiettivo perseguito. Il fatto che la richiesta non indichi, di per sé, un termine finale non consente automaticamente di dichiararla illecita, ma l’amministrazione deve poter dimostrare che la durata scelta è effettivamente necessaria.

In questo contesto viene richiamato anche l’articolo 5, paragrafo 2, sul principio di responsabilizzazione e l’articolo 25, paragrafo 2, relativo alla protezione dei dati fin dalla progettazione e per impostazione predefinita.

Dispositivo

La Corte risponde che:

• la richiesta dell’amministrazione tributaria è soggetta al GDPR, compreso l’articolo 5, paragrafo 1;
• l’amministrazione non può derogare a tali disposizioni senza una misura legislativa ai sensi dell’articolo 23;
• una richiesta di comunicazione di dati a un fornitore di annunci online non è, in sé, incompatibile con il GDPR, purché i dati siano necessari rispetto alle finalità specifiche e la raccolta non superi la durata strettamente necessaria all’obiettivo di interesse generale perseguito.

Principi affermati

La pronuncia consolida due punti di rilievo pratico per operatori e consulenti:

• l’attività di acquisizione di dati personali da privati da parte di un’amministrazione fiscale costituisce trattamento soggetto al GDPR, salvo eccezioni interpretate restrittivamente;
• le richieste pubbliche di dati devono essere sufficientemente determinate quanto a finalità, perimetro soggettivo, contenuto e durata, con prova della necessità e proporzionalità in capo all’autorità richiedente.