Corte di giustizia, Sentenza C-768/21

RGPD: poteri dell’autorità di controllo e obbligo di adottare misure correttive

La pronuncia riguarda un rinvio pregiudiziale del Verwaltungsgericht Wiesbaden in materia di protezione dei dati personali e, in particolare, i limiti del potere dell’autorità di controllo di adottare misure correttive ai sensi del RGPD dopo la constatazione di una violazione.

Fatti e procedimento principale

TR ha presentato reclamo allo HBDI dopo aver appreso che una dipendente della Cassa di risparmio aveva consultato senza autorizzazione dati personali che lo riguardavano. La Cassa di risparmio aveva notificato la violazione all’autorità di controllo ai sensi dell’articolo 33 RGPD, ma non aveva comunicato la violazione a TR ai sensi dell’articolo 34 RGPD.

Lo HBDI ha ritenuto che non vi fosse stata violazione dell’articolo 34, ha invitato la Cassa di risparmio a conservare più a lungo il registro degli accessi e ha respinto il reclamo quanto ai diritti di accesso del personale. Ha inoltre deciso di non intervenire con ulteriori misure correttive, inclusa una sanzione amministrativa pecuniaria. TR ha impugnato tale decisione chiedendo al giudice nazionale di ordinare allo HBDI di intervenire.

Questione pregiudiziale

Il giudice del rinvio ha chiesto, in sostanza, se, una volta accertata una violazione dei dati personali, l’autorità di controllo sia sempre obbligata ad adottare una misura correttiva ai sensi dell’articolo 58, paragrafo 2, RGPD, oppure se disponga di un margine di discrezionalità che le consenta, secondo le circostanze, di astenersi dall’intervenire.

Normativa rilevante richiamata dalla Corte

La Corte ha richiamato, tra le altre, le seguenti disposizioni del RGPD:

• articolo 5, paragrafo 2, responsabilizzazione del titolare del trattamento;
• articolo 24, paragrafo 1, misure tecniche e organizzative adeguate;
• articoli 33 e 34, notifica della violazione e comunicazione all’interessato;
• articolo 51, paragrafo 1, indipendenza e funzioni delle autorità di controllo;
• articolo 57, paragrafo 1, lettere a) e f), sorveglianza dell’applicazione del regolamento e trattamento dei reclami;
• articolo 58, paragrafo 2, poteri correttivi;
• articolo 77, paragrafo 1, diritto di reclamo;
• articolo 83, paragrafi 1 e 2, sanzioni amministrative pecuniarie.

Sono stati inoltre richiamati i considerando 7, 10, 129 e 148 RGPD e l’articolo 8, paragrafo 3, della Carta dei diritti fondamentali.

Ragionamento della Corte

La Corte ha ricordato anzitutto che le autorità di controllo sono incaricate di vigilare sul rispetto del RGPD e di trattare i reclami con la dovuta diligenza. Il procedimento di reclamo costituisce uno strumento per salvaguardare efficacemente i diritti degli interessati.

Tuttavia, dall’articolo 58, paragrafo 2, RGPD non deriva un obbligo assoluto di adottare sempre una misura correttiva in presenza di una violazione. La disposizione attribuisce all’autorità di controllo diversi poteri correttivi e le lascia un margine di scelta sulla misura più appropriata, in funzione delle circostanze concrete del caso.

Secondo la Corte, tale discrezionalità non è illimitata: l’autorità deve reagire in modo appropriato per porre rimedio all’inadeguatezza constatata e garantire un livello coerente ed elevato di protezione dei dati. Per le sanzioni pecuniarie, l’articolo 83 RGPD conferma che l’imposizione e l’ammontare dipendono da una valutazione caso per caso, sulla base degli elementi elencati nel paragrafo 2.

La Corte ha quindi precisato che può accadere, in via eccezionale, che non sia necessario adottare alcuna misura correttiva se la violazione è già cessata, il titolare ha adottato tempestivamente misure adeguate e la conformità al RGPD è già assicurata. In tal caso, la mancata adozione di una misura non deve però compromettere l’applicazione rigorosa delle norme.

La Corte ha anche sottolineato che il reclamante non dispone di un diritto soggettivo all’irrogazione di una sanzione amministrativa pecuniaria nei confronti del titolare del trattamento.

Decisione/dispositivo

La Corte ha dichiarato che gli articoli 57, paragrafo 1, lettere a) e f), 58, paragrafo 2, e 77, paragrafo 1, RGPD devono essere interpretati nel senso che, in caso di constatazione di una violazione di dati personali, l’autorità di controllo non è tenuta ad adottare una misura correttiva, in particolare una sanzione amministrativa pecuniaria, qualora tale intervento non sia appropriato, necessario o proporzionato per porre rimedio all’inadeguatezza constatata e garantire il pieno rispetto del regolamento.

Portata pratica per il contenzioso e la compliance

La sentenza conferma che il reclamo ex articolo 77 RGPD non trasforma l’autorità di controllo in un organo obbligato a sanzionare ogni violazione accertata. Per imprese, enti pubblici e professionisti, ciò significa che la risposta dell’autorità dipende dalla gravità concreta dell’illecito, dalla sua persistenza, dalle misure correttive già adottate e dalla necessità effettiva di ripristinare la conformità.

Al tempo stesso, la decisione conferma che il controllo del giudice nazionale resta pieno sulla correttezza del trattamento del reclamo da parte dell’autorità di controllo e sul rispetto dei limiti del suo potere discrezionale.