Corte di giustizia, Sentenza C-46/23

Cancellazione d’ufficio dei dati personali trattati illecitamente: poteri dell’autorità di controllo ex RGPD

La sentenza, resa in sede di rinvio pregiudiziale dalla Fővárosi Törvényszék (Corte di Budapest-Capitale), riguarda l’ampiezza dei poteri correttivi dell’autorità nazionale di controllo ai sensi del regolamento (UE) 2016/679 (RGPD), con specifico riferimento alla cancellazione di dati personali trattati illecitamente.

Fatti e procedimento principale

L’amministrazione municipale di Újpest aveva istituito un programma di aiuti finanziari per categorie fragili colpite dalla pandemia di COVID-19, raccogliendo e aggregando dati personali provenienti dall’erario ungherese e da un ufficio governativo locale per verificare i requisiti di ammissibilità. L’autorità ungherese di controllo, a seguito di indagine d’ufficio, ha accertato varie violazioni del RGPD e ha ordinato all’amministrazione di cancellare i dati personali di soggetti che avrebbero avuto diritto all’aiuto ma non lo avevano richiesto. L’amministrazione ha impugnato la decisione sostenendo che la cancellazione ex articolo 17 RGPD presupponga una richiesta dell’interessato.

Questioni pregiudiziali

Il giudice del rinvio ha chiesto alla Corte:

• se l’articolo 58, paragrafo 2, lettere c), d) e g), RGPD consenta all’autorità di controllo di ordinare la cancellazione di dati trattati illecitamente anche senza richiesta dell’interessato;
• in caso affermativo, se tale potere valga solo per dati raccolti presso l’interessato o anche per dati ottenuti da altre fonti.

Normativa rilevante

La Corte richiama in particolare:

• il considerando 1, che qualifica la protezione dei dati personali come diritto fondamentale;
• il considerando 10, sul livello elevato e uniforme di protezione;
• il considerando 129, che attribuisce alle autorità di controllo poteri effettivi e coerenti;
• l’articolo 5, paragrafi 1 e 2, sul principio di liceità e sulla responsabilizzazione del titolare;
• l’articolo 17, paragrafo 1, lettera d), che prevede la cancellazione dei dati trattati illecitamente;
• gli articoli 51, 57 e 58, che disciplinano compiti e poteri delle autorità di controllo.

Ragionamento della Corte sulla prima questione

La Corte osserva che l’articolo 58, paragrafo 2, distingue tra misure correttive che presuppongono una richiesta dell’interessato, come quella di cui alla lettera c), e misure che non contengono tale presupposto, come quelle di cui alle lettere d) e g). In particolare, la lettera c) si riferisce espressamente alle richieste dell’interessato di esercitare i diritti previsti dal RGPD, mentre le lettere d) e g) non subordinano il potere dell’autorità a una previa iniziativa dell’interessato.

La Corte rileva inoltre che l’articolo 17, paragrafo 1, distingue, con la congiunzione "e", tra il diritto dell’interessato a ottenere la cancellazione e l’obbligo autonomo del titolare di cancellare i dati senza ingiustificato ritardo quando ricorre uno dei motivi indicati, compreso il trattamento illecito. Ne deriva che la cancellazione può essere dovuta anche indipendentemente da una richiesta dell’interessato.

Tale lettura è rafforzata dal principio di responsabilizzazione di cui all’articolo 5, paragrafo 2, e dalla funzione delle autorità di controllo, chiamate a garantire l’effettiva applicazione del RGPD e a porre rimedio alle violazioni constatate. Una interpretazione che subordinasse l’intervento all’iniziativa dell’interessato rischierebbe di lasciare senza protezione i soggetti inattivi o inconsapevoli, consentendo la prosecuzione di trattamenti illeciti.

Ragionamento della Corte sulla seconda questione

Quanto all’origine dei dati, la Corte constata che né il testo dell’articolo 58, paragrafo 2, né quello dell’articolo 17, paragrafo 1, introducono un requisito secondo cui i dati debbano essere stati raccolti presso l’interessato. Anche sotto il profilo sistematico e teleologico, la necessità di un’applicazione effettiva e coerente del RGPD impone che il potere correttivo dell’autorità non dipenda dalla fonte dei dati.

Decisione e dispositivo

La Corte ha dichiarato che:

• l’articolo 58, paragrafo 2, lettere d) e g), RGPD deve essere interpretato nel senso che l’autorità di controllo di uno Stato membro può ordinare al titolare o al responsabile del trattamento di cancellare dati personali trattati illecitamente anche senza richiesta dell’interessato ai sensi dell’articolo 17, paragrafo 1;
• l’articolo 58, paragrafo 2, RGPD deve essere interpretato nel senso che tale potere può riguardare sia dati raccolti presso l’interessato sia dati provenienti da un’altra fonte.

Principi affermati

La pronuncia conferma che i poteri correttivi dell’autorità di controllo non sono meramente reattivi rispetto alle iniziative dell’interessato, ma possono essere esercitati d’ufficio per garantire il rispetto effettivo del RGPD. La cancellazione dei dati trattati illecitamente è quindi un rimedio che l’autorità può imporre autonomamente, senza che rilevi l’origine dei dati o l’assenza di una specifica domanda della persona interessata.