Corte di giustizia, Sentenza C-638/23

Nozione di titolare del trattamento e designazione nazionale di un ente ausiliario

La causa, decisa in sede di rinvio pregiudiziale dal Verwaltungsgerichtshof austriaco, riguarda l’interpretazione dell’articolo 4, punto 7, del RGPD in relazione alla possibilità per il diritto nazionale di designare come titolare del trattamento un ufficio amministrativo ausiliario privo di personalità giuridica propria. Il contesto è quello di un trattamento di dati personali effettuato per l’invio di lettere di promemoria per la vaccinazione contro il COVID-19.

Fatti e procedimento principale

L’Amt der Tiroler Landesregierung aveva incaricato due imprese private di incrociare dati dell’anagrafe centrale vaccini e del registro dei pazienti per identificare i destinatari delle lettere. CW, destinatario della comunicazione, ha presentato reclamo alla Datenschutzbehörde, che ha accertato un trattamento illecito perché l’Ufficio aveva consultato dati a cui non aveva diritto di accesso. L’Ufficio ha impugnato la decisione, sostenendo, tra l’altro, di essere stato validamente designato come titolare del trattamento dal diritto del Land Tirolo.

Questione pregiudiziale

Il giudice del rinvio ha chiesto se l’articolo 4, punto 7, RGPD osti a una normativa nazionale che:

• designa come titolare un ente meramente ausiliario, privo di personalità e capacità giuridica;
• non precisa in concreto le operazioni di trattamento né le finalità;
• non richiede che l’ente designato abbia effettivamente determinato finalità e mezzi del trattamento.

Normativa e principi richiamati dalla Corte

La Corte ha ricordato che il RGPD, alla luce degli articoli 1 e 4, punto 7, e dei considerando 1, 7, 10, 45 e 74, mira a garantire un elevato livello di tutela e, al contempo, certezza giuridica per interessati, operatori economici e autorità pubbliche. Ha richiamato inoltre l’articolo 5, paragrafo 2, sul principio di responsabilizzazione e l’articolo 6, paragrafi 1 e 3, sulle basi di liceità del trattamento.

Ragionamento della Corte

La Corte ha affermato che la nozione di titolare del trattamento è ampia e può comprendere non solo persone fisiche e giuridiche, ma anche autorità pubbliche, servizi e altri organismi, anche se privi di personalità giuridica. Per una designazione nazionale valida non è necessario che la legge elenchi in modo esaustivo tutte le singole operazioni di trattamento: è sufficiente che la portata del trattamento e la designazione del titolare risultino con sufficiente certezza, anche implicitamente, dal ruolo, dalla funzione e dalle attribuzioni dell’ente.

Quanto all’assenza di una decisione autonoma sulle finalità e sui mezzi, la Corte ha distinto tra il criterio della qualità di titolare ai sensi della prima frase dell’articolo 4, punto 7, e la designazione diretta prevista dalla seconda frase. Se il diritto nazionale designa direttamente il titolare, non occorre che l’ente abbia materialmente influenzato la determinazione delle finalità e dei mezzi: ciò che conta è che il diritto nazionale lo individui come responsabile e che sia in grado di assumere gli obblighi previsti dal RGPD.

Verifica rimessa al giudice nazionale

La Corte ha lasciato al giudice del rinvio il compito di verificare, in concreto, se l’Ufficio sia effettivamente in grado, secondo il diritto austriaco, di rispondere degli obblighi del titolare del trattamento verso gli interessati e se il trattamento controverso rientri nella portata delle attività per le quali l’Ufficio è stato designato come titolare.

Dispositivo

La Corte ha quindi dichiarato che l’articolo 4, punto 7, RGPD non osta a una normativa nazionale che designi come titolare del trattamento un’entità amministrativa ausiliaria priva di personalità giuridica e di capacità giuridica propria, senza specificare nel dettaglio le operazioni e le finalità del trattamento, a condizione che la normativa nazionale determini, espressamente o implicitamente ma con sufficiente certezza, la portata del trattamento e che l’ente sia in grado di adempiere gli obblighi del titolare nei confronti degli interessati.