Corte di giustizia, Sentenza C-231/22

Titolare del trattamento e responsabilità della Gazzetta ufficiale nella pubblicazione di atti ufficiali

La pronuncia riguarda un rinvio pregiudiziale della cour d'appel de Bruxelles in una controversia tra lo Stato belga e l'autorità belga di protezione dei dati, con intervento dell'interessato, relativa al rifiuto di cancellare da un atto pubblicato nel Moniteur belge alcuni dati personali inseriti per errore in un estratto notarile.

Fatti e procedimento principale

Una società belga aveva deliberato una riduzione di capitale; il notaio incaricato redasse un estratto della decisione contenente, per errore, anche un passaggio con nomi, importi rimborsati e numeri di conto bancario di soci, tra cui il ricorrente principale. L'estratto fu trasmesso al tribunal de l'entreprise e poi al Moniteur belge, che lo pubblicò tal quale, senza verifica del contenuto.

Dopo la richiesta di cancellazione avanzata dall'interessato e respinta dal SPF Justice, l'APD belga ordinò allo Stato di dare seguito alla domanda. Lo Stato impugnò tale decisione dinanzi al giudice del rinvio, che dubitava se il Moniteur belge fosse titolare del trattamento e, in caso affermativo, se la responsabilità ai sensi dell'articolo 5, paragrafo 2, RGPD fosse solo sua o anche degli altri soggetti della catena di trattamento.

Normativa rilevante

La Corte richiama in particolare:

• l'articolo 4, punti 2 e 7, RGPD, sulla nozione di trattamento e di titolare del trattamento;
• l'articolo 5, paragrafi 1 e 2, RGPD, sui principi applicabili al trattamento e sulla responsabilizzazione;
• l'articolo 17 RGPD, sul diritto alla cancellazione e relative eccezioni;
• l'articolo 26 RGPD, sulla contitolarità;
• l'articolo 51 RGPD, sugli organismi di controllo nazionali.

Ragionamento della Corte sulla nozione di titolare del trattamento

La Corte ricorda che la nozione di titolare del trattamento è ampia e serve a garantire una tutela efficace e completa degli interessati. Per qualificare un soggetto come titolare occorre verificare se esso determini, singolarmente o insieme ad altri, finalità e mezzi del trattamento oppure se tali elementi siano determinati dal diritto nazionale.

Tale determinazione può essere anche implicita, purché derivi con sufficiente certezza dal ruolo, dalla funzione e dalle attribuzioni del soggetto interessato. Nel caso del Moniteur belge, il diritto belga impone la pubblicazione degli atti tal quali, senza potere di controllo o modifica, e disciplina i mezzi materiali e digitali della pubblicazione e della diffusione. La Corte osserva che tali elementi bastano a far ritenere che il diritto nazionale abbia determinato, almeno implicitamente, finalità e mezzi del trattamento.

La mancanza di personalità giuridica del Moniteur belge non è ostativa, poiché l'articolo 4, punto 7, RGPD menziona espressamente anche autorità pubbliche, servizi e altri organismi. Neppure il fatto che il Moniteur belge non controlli il contenuto degli atti prima della pubblicazione esclude la qualifica di titolare, essendo la pubblicazione integrale parte integrante delle finalità e dei mezzi stabiliti dalla legge.

Ragionamento sulla responsabilità ex articolo 5, paragrafo 2, RGPD

La Corte afferma che il titolare del trattamento è responsabile del rispetto dei principi dell'articolo 5, paragrafo 1, per i trattamenti che è tenuto a effettuare. Nel caso di specie, il trattamento del Moniteur belge è successivo e distinto rispetto a quello del notaio e del tribunale, e comprende trasformazione digitale, pubblicazione, messa a disposizione del pubblico e conservazione.

Di conseguenza, il Moniteur belge è competente, in base all'articolo 5, paragrafo 2, RGPD, per il rispetto dei principi relativi ai trattamenti che compie. Tuttavia, la Corte precisa che il diritto nazionale può anche configurare una contitolarità nella catena di trattamenti, purché finalità e mezzi comuni e rispettive responsabilità siano desumibili dal diritto nazionale, anche implicitamente ma in modo sufficientemente esplicito.

La Corte richiama inoltre l'articolo 26 RGPD e la giurisprudenza sulla contitolarità, osservando che la ripartizione delle responsabilità può derivare dalla legge nazionale e non richiede necessariamente un accordo tra le parti. Resta comunque impregiudicata la questione, nel merito, dell'eventuale applicabilità delle eccezioni al diritto alla cancellazione di cui all'articolo 17, paragrafo 3, lettere b) e d), RGPD.

Dispositivo

La Corte risponde che:

• il servizio o organismo responsabile della Gazzetta ufficiale di uno Stato membro può essere qualificato come titolare del trattamento se il diritto nazionale determina le finalità e i mezzi del trattamento da esso effettuato, anche senza personalità giuridica e anche se pubblica gli atti senza poterli modificare;
• per i trattamenti che è tenuto a effettuare in forza del diritto nazionale, tale soggetto è, in linea di principio, il solo responsabile del rispetto dei principi di cui all'articolo 5, paragrafo 1, RGPD, salvo che il diritto nazionale preveda una competenza congiunta con altre entità.

Portata pratica

La sentenza è importante per le amministrazioni e per i professionisti che gestiscono pubblicazioni obbligatorie di atti societari o giudiziari. La Corte conferma che anche organismi pubblici privi di personalità giuridica possono essere titolari del trattamento e che l'obbligo di responsabilizzazione del RGPD si applica anche a catene di trattamento imposte dalla legge, con possibile contitolarità solo se riconoscibile dal diritto nazionale.