Corte di giustizia, Sentenza C-200/23

Pubblicazione nel registro del commercio di un contratto di società contenente dati personali non richiesti

La causa concerne un rinvio pregiudiziale del Varhoven administrativen sad (Corte suprema amministrativa, Bulgaria) in una controversia tra l’agenzia bulgara incaricata delle iscrizioni nei registri e una socia di una società a responsabilità limitata, OL. La Corte è chiamata a bilanciare gli obblighi di pubblicità societaria previsti dalla direttiva 2017/1132 con il regime di protezione dei dati personali del RGPD.

Fatti e procedimento principale

OL aveva chiesto la cancellazione dei propri dati personali contenuti nel contratto di società pubblicato nel registro del commercio, dopo che l’agenzia aveva reso accessibile il contratto così come depositato. L’agenzia aveva poi richiesto, per accogliere la domanda di cancellazione, una copia certificata del contratto con i dati personali non richiesti dalla legge omessi. Il giudice di primo grado aveva annullato il rifiuto implicito dell’agenzia e riconosciuto anche un risarcimento per danno immateriale; l’agenzia ha proposto ricorso per cassazione.

Quadro normativo dell’Unione richiamato

La Corte richiama la direttiva 2017/1132, in particolare gli articoli 4, 14, 15, 16, 21 e 161, nonché la direttiva 2019/1151 che ha modificato talune disposizioni in materia di pubblicità nel registro. Sul versante della protezione dei dati, sono centrali gli articoli 4, 5, 6, 17, 21, 58, 82 e 94 del RGPD, oltre ai considerando 26, 32, 40, 42, 43, 50, 85, 143 e 146.

Prima questione: portata della pubblicità volontaria

La Corte interpreta l’articolo 21, paragrafo 2, della direttiva 2017/1132 nel senso che esso riguarda la pubblicità volontaria delle traduzioni degli atti e delle indicazioni soggetti a pubblicità, non già il contenuto degli atti stessi. Di conseguenza, la norma non impone agli Stati membri di consentire la pubblicità, nel registro del commercio, di dati personali ulteriori rispetto a quelli minimi richiesti dalla direttiva o dal diritto nazionale.

Quinta questione: qualifica dell’agenzia come destinatario e titolare del trattamento

La Corte afferma che l’autorità responsabile del registro del commercio è "destinatario" dei dati personali ai sensi dell’articolo 4, punto 9, RGPD, poiché riceve i documenti contenenti tali dati nell’ambito della domanda di iscrizione. È inoltre "titolare del trattamento" ai sensi dell’articolo 4, punto 7, in quanto determina, sulla base del diritto dell’Unione e del diritto nazionale, le finalità e i mezzi della conservazione, pubblicazione e messa a disposizione del pubblico dei dati. Ciò vale anche quando il contratto contenga dati non richiesti dalla normativa applicabile.

Quarta questione: diritto alla cancellazione e limiti delle formalità nazionali

La Corte interpreta la direttiva 2017/1132, in particolare l’articolo 16, e l’articolo 17 RGPD nel senso che ostano a una prassi nazionale che respinga automaticamente la domanda di cancellazione di dati personali non richiesti, solo perché l’interessato non ha depositato una copia del contratto con i dati occultati. Il giudice dell’Unione sottolinea che il consenso presunto previsto dalla legge bulgara non soddisfa i requisiti del consenso libero, specifico, informato e inequivocabile. Se il trattamento non è lecito, il titolare deve cancellare i dati; se invece il trattamento si fonda su un compito di interesse pubblico, deve comunque rispettare il principio di proporzionalità e minimizzazione, cosa che nel caso di dati non richiesti non sembra avvenire.

Sesta questione: firma autografa come dato personale

La firma autografa di una persona fisica rientra nella nozione di "dato personale" ai sensi dell’articolo 4, punto 1, RGPD. La Corte valorizza il fatto che la firma serve normalmente a identificare la persona, a conferire valore probatorio al documento e ad assumerne la responsabilità.

Settima questione: danno immateriale ex articolo 82 RGPD

La Corte ribadisce che il danno immateriale è una nozione autonoma del diritto dell’Unione e che, ai fini del risarcimento, occorrono tre condizioni cumulative: violazione del RGPD, danno e nesso causale. Tuttavia, la perdita, anche temporanea, del controllo sui propri dati può di per sé integrare un danno immateriale, senza necessità di provare ulteriori conseguenze tangibili o una soglia minima di gravità, purché il pregiudizio sia effettivamente dimostrato.

Ottava questione: valore di un parere dell’autorità di controllo

Un parere reso dall’autorità di controllo ai sensi dell’articolo 58, paragrafo 3, lettera b), RGPD non è giuridicamente vincolante e non basta, da solo, a esonerare il titolare del trattamento dalla responsabilità ex articolo 82, paragrafo 3. Per l’esonero, il titolare deve dimostrare che l’evento dannoso non gli è in alcun modo imputabile; un semplice parere consultivo non soddisfa tale onere.

Dispositivo

La Corte risponde che: la direttiva 2017/1132 non impone la pubblicazione di dati personali ulteriori; l’autorità del registro è destinataria e titolare del trattamento; la normativa/prassi che impedisce la cancellazione in assenza di copia depurata è incompatibile con il diritto UE; la firma autografa è dato personale; la perdita del controllo sui dati può costituire danno immateriale risarcibile; e un parere dell’autorità di controllo non esonera automaticamente il titolare dalla responsabilità.