Corte di giustizia, Sentenza C-439/19

Accesso e riutilizzo pubblico dei punti di penalità per infrazioni stradali

La pronuncia riguarda un rinvio pregiudiziale proposto dalla Corte costituzionale lettone nell’ambito di un giudizio promosso da una persona fisica contro la normativa nazionale che rendeva accessibili al pubblico i punti di penalità inflitti per infrazioni stradali e ne consentiva il riutilizzo da parte di operatori economici. La Corte ha esaminato la questione alla luce del RGPD, della direttiva 2003/98 e dei principi del primato del diritto dell’Unione e della certezza del diritto.

Fatti e procedimento principale

La normativa lettone prevede che le infrazioni stradali commesse dai conducenti siano registrate e che i punti di penalità siano iscritti nel registro nazionale dei veicoli e dei conducenti. L’articolo 141, paragrafo 2, della legge sulla circolazione stradale qualificava come informazioni accessibili al pubblico i dati relativi ai punti di penalità, con possibilità di accesso su semplice richiesta e senza necessità di dimostrare un interesse specifico.

Nel procedimento principale, il ricorrente ha contestato tale disciplina davanti alla Corte costituzionale lettone, sostenendo che la divulgazione dei dati ledesse il diritto alla vita privata garantito dall’articolo 96 della Costituzione lettone, letto alla luce del RGPD e della Carta. Il giudice del rinvio ha anche osservato che tali dati erano, in pratica, forniti a chiunque indicasse il numero di identificazione nazionale del conducente interessato e che erano inoltre trasmessi a operatori economici per il riutilizzo.

Normativa dell’Unione rilevante

La Corte ha richiamato, in particolare:

• l’articolo 5 RGPD, sui principi applicabili al trattamento, in specie minimizzazione dei dati e integrità/riservatezza;
• l’articolo 6, paragrafo 1, lettera e), RGPD, sulla liceità del trattamento necessario per l’esecuzione di un compito di interesse pubblico;
• l’articolo 10 RGPD, sul trattamento dei dati relativi a condanne penali e reati;
• l’articolo 86 RGPD, sul rapporto tra protezione dei dati e accesso ai documenti ufficiali;
• l’articolo 85 RGPD, sulla conciliazione con la libertà di espressione e di informazione;
• l’articolo 87 RGPD, sui mezzi di identificazione nazionale;
• l’articolo 94 RGPD, che collega il RGPD alla direttiva 95/46 abrogata;
• la direttiva 2016/680, per delimitare il concetto di autorità competente in materia penale;
• la direttiva 2003/98, in particolare l’articolo 1, paragrafo 2, lettera c quater), e il considerando 154 del RGPD.

Prima questione: applicabilità dell’articolo 10 RGPD

La Corte ha stabilito che i dati relativi ai punti di penalità sono dati personali, poiché si riferiscono a una persona fisica identificata, e che la loro comunicazione a terzi costituisce un trattamento di dati personali. Ha poi escluso che la disciplina in esame fosse sottratta al RGPD per effetto delle eccezioni dell’articolo 2, paragrafo 2: le attività inerenti alla sicurezza stradale non riguardano la sicurezza nazionale, né rientrano nelle attività delle autorità competenti a fini penali ai sensi della direttiva 2016/680.

Quanto all’articolo 10 RGPD, la Corte ha ritenuto che la nozione di "reati" deve essere interpretata autonomamente in tutto il territorio dell’Unione e comprende anche infrazioni stradali aventi natura sostanzialmente penale secondo i criteri elaborati dalla giurisprudenza: qualificazione giuridica, natura dell’illecito e severità della sanzione. Nel caso di specie, le infrazioni stradali che danno luogo all’attribuzione di punti di penalità perseguono finalità anche repressive, possono comportare sanzioni rilevanti e, al cumulo dei punti, conseguenze incisive come l’obbligo di esami o il divieto di guida. Di conseguenza, esse rientrano nella nozione di "reati" e i relativi dati ricadono nell’articolo 10 RGPD.

Seconda questione: divulgazione generalizzata al pubblico

La Corte ha affermato che il trattamento dei dati deve essere conforme sia ai principi dell’articolo 5 RGPD sia alle condizioni di liceità dell’articolo 6 RGPD. Nel caso concreto, la base potenzialmente rilevante era l’articolo 6, paragrafo 1, lettera e), ossia la necessità del trattamento per un compito di interesse pubblico. La sicurezza stradale è certamente un obiettivo di interesse generale riconosciuto dall’Unione, ma la misura nazionale deve essere necessaria e proporzionata.

La Corte ha ritenuto che la divulgazione dei punti di penalità a chiunque lo richieda, senza dimostrazione di un interesse specifico, ecceda quanto necessario per perseguire l’obiettivo di migliorare la sicurezza stradale. Esistono infatti misure meno invasive, come il rafforzamento delle sanzioni o misure preventive individuali e collettive, che possono raggiungere lo stesso scopo. Inoltre, la divulgazione può portare a stigmatizzazione sociale della persona interessata, incidendo gravemente sui diritti alla vita privata e alla protezione dei dati.

La Corte ha quindi escluso che il richiamo all’accesso ai documenti ufficiali, di cui all’articolo 86 RGPD, o alla libertà d’informazione, di cui all’articolo 85 RGPD, possa giustificare una divulgazione generalizzata di tali dati. L’interesse pubblico all’accesso ai documenti deve comunque conciliarsi con la tutela dei dati personali.

Terza questione: riutilizzo dei dati da parte di operatori economici

La Corte ha esteso la medesima logica alla comunicazione dei dati a operatori economici per il loro riutilizzo. Se la divulgazione al pubblico è incompatibile con il RGPD, a maggior ragione lo è la trasmissione dei dati a soggetti privati che li riutilizzino e li redistribuiscano.

Quanto alla direttiva 2003/98, la Corte ha chiarito che essa non è decisiva per valutare la liceità del trattamento dei dati personali, perché il livello di tutela è determinato dal RGPD e la stessa direttiva, per espressa previsione, non pregiudica i diritti e gli obblighi derivanti da tale regolamento. Ne segue che l’articolo 1, paragrafo 2, lettera c quater), della direttiva 2003/98 non modifica la conclusione di incompatibilità con il RGPD.

Quarta questione: effetti nel tempo e primato del diritto dell’Unione

Il giudice del rinvio chiedeva se, in caso di incompatibilità della norma nazionale con il diritto dell’Unione, fosse possibile mantenerne gli effetti fino alla propria sentenza definitiva per ragioni di certezza del diritto. La Corte ha ricordato che l’interpretazione pregiudiziale chiarisce il significato della norma UE sin dalla sua entrata in vigore e che una limitazione temporale degli effetti è eccezionale e può essere disposta solo dalla stessa Corte di giustizia, nella sentenza che decide la questione interpretativa.

La Corte ha quindi affermato che il principio del primato del diritto dell’Unione osta a che un giudice costituzionale nazionale mantenga gli effetti giuridici di una normativa incompatibile con il diritto UE fino alla propria decisione definitiva. Le eventuali esigenze di certezza del diritto non possono prevalere su unità ed efficacia del diritto dell’Unione.

Dispositivo

La Corte ha concluso che:

• l’articolo 10 RGPD si applica ai punti di penalità per infrazioni stradali;
• il RGPD osta alla divulgazione generalizzata al pubblico di tali dati senza interesse specifico;
• il RGPD osta anche alla loro comunicazione a operatori economici a fini di riutilizzo;
• il principio del primato del diritto dell’Unione impedisce al giudice costituzionale nazionale di mantenere gli effetti della normativa incompatibile con il diritto UE.

Principi affermati

La sentenza ribadisce che la nozione di "reati" nel RGPD è autonoma e uniforme in tutta l’Unione e non dipende dalla qualificazione nazionale dell’illecito. Ribadisce inoltre che la protezione dei dati personali può essere limitata solo nei limiti dello stretto necessario e con garanzie adeguate, anche quando siano invocati accesso ai documenti, libertà d’informazione o interesse pubblico alla sicurezza stradale.