Corte di giustizia, Sentenza C-180/21

Protezione dei dati nella gestione di fascicoli penali e nella difesa della procura in un giudizio di responsabilità dello Stato

La pronuncia riguarda un rinvio pregiudiziale del Tribunale amministrativo di Blagoevgrad (Bulgaria) in materia di protezione dei dati personali. La Corte è chiamata a chiarire il coordinamento tra direttiva 2016/680 e regolamento (UE) 2016/679 nel contesto dell’attività della procura bulgara.

Fatti e procedimento principale

VS aveva partecipato nel 2013 a un procedimento d’indagine come vittima di un reato. Nel 2016 la procura distrettuale di Petrich aveva poi aperto fascicoli su di lui a seguito di diverse denunce, senza avviare un’indagine per mancanza di indizi di reato. Nel 2018, nell’ambito del procedimento iniziale, il procuratore aveva incriminato anche VS.

Successivamente VS aveva promosso un’azione civile di responsabilità dello Stato per la durata eccessiva del procedimento d’indagine. Nel corso di tale giudizio, un procuratore aveva chiesto la produzione dei fascicoli aperti nel 2016 per dimostrare che alcuni problemi di salute lamentati da VS derivavano non dal procedimento penale, ma dai controlli della polizia e della procura. VS aveva quindi adito l’IVSS sostenendo che la procura avesse violato le norme sulla protezione dei dati, sia per il riutilizzo dei dati raccolti quando era considerato vittima, sia per l’uso dei dati contenuti nei fascicoli del 2016 nell’azione di responsabilità.

Questioni sottoposte alla Corte

Il giudice nazionale chiedeva, in sostanza:

• se l’articolo 1, paragrafo 1, della direttiva 2016/680 debba essere letto come indicante finalità distinte o una finalità generale unica;
• se il trattamento successivo di dati raccolti per indagine e accertamento di un reato, ma poi usati per perseguire la stessa persona, sia un trattamento per una finalità diversa ai sensi dell’articolo 4, paragrafo 2, della direttiva 2016/680;
• se l’RGPD si applichi alla procura quando, in un giudizio civile di responsabilità dello Stato, informa il giudice dell’esistenza di fascicoli penali e ne trasmette il contenuto;
• se, in tal caso, tale trattamento possa fondarsi sul "legittimo interesse" ex articolo 6, paragrafo 1, lettera f), RGPD.

Normativa rilevante

La Corte richiama, in particolare:

• l’articolo 267 TFUE;
• gli articoli 2, 4, 5, 6, 21 e 23 RGPD;
• gli articoli 1, 3, 4, 6 e 9 della direttiva 2016/680;
• l’articolo 16 TFUE, richiamato nei considerando della direttiva 2016/680.

Ragionamento della Corte sulla prima questione

La Corte osserva che l’articolo 1, paragrafo 1, della direttiva 2016/680 elenca varie finalità distinte: prevenzione, indagine, accertamento, perseguimento e esecuzione di sanzioni penali, oltre alla salvaguardia e prevenzione di minacce alla sicurezza pubblica. L’articolo 4, paragrafo 2, conferma che il trattamento per una qualsiasi di tali finalità, diversa da quella originaria, è possibile solo se autorizzato dal diritto dell’Unione o nazionale e se necessario e proporzionato.

Ne deriva che il trattamento di dati raccolti per indagine e accertamento e poi usati per perseguire la persona interessata costituisce un trattamento per una finalità diversa. Questo vale anche se, al momento della raccolta, la persona era considerata vittima. La Corte precisa inoltre che l’articolo 6 della direttiva, che impone una distinzione tra categorie di interessati, non serve a determinare se vi sia una finalità diversa ai sensi dell’articolo 4, paragrafo 2, ma incide sull’obbligo di classificazione dei dati in fase operativa.

La verifica finale spetta al giudice nazionale: dovrà accertare se il diritto bulgaro autorizzasse quel trattamento e se esso fosse necessario e proporzionato.

Ragionamento della Corte sulla seconda questione: applicabilità del RGPD

La Corte ritiene che l’uso, da parte della procura, delle informazioni contenute nei fascicoli per difendersi in un giudizio civile costituisca un "trattamento" di "dati personali" ai sensi dell’articolo 4 RGPD: informare il giudice dell’esistenza di fascicoli e produrli implica consultazione, uso e comunicazione di dati personali.

L’eccezione dell’articolo 2, paragrafo 2, lettera d), RGPD non si applica, perché l’attività difensiva in un giudizio di responsabilità dello Stato non è un’attività di prevenzione, indagine, accertamento o perseguimento di reati. Né si tratta di un’attività sottratta all’ambito del diritto dell’Unione ai sensi dell’articolo 2, paragrafo 2, lettera a).

La Corte afferma quindi che il RGPD si applica a tali trattamenti, anche se la procura, in quella sede, resta un’autorità competente ai sensi della direttiva 2016/680 e un titolare del trattamento ai sensi di entrambe le discipline.

Ragionamento della Corte sulla base di liceità

La Corte esclude che l’articolo 6, paragrafo 1, lettera f), RGPD possa essere invocato da un’autorità pubblica nell’esecuzione dei propri compiti, perché tale disposizione non si applica ai trattamenti effettuati dalle autorità pubbliche nell’esercizio delle loro funzioni. Il riferimento al considerando 47 conferma che la base del trattamento da parte di autorità pubbliche deve essere prevista dalla legge.

La Corte osserva invece che, nel contesto di un ricorso per responsabilità dello Stato fondato su asserite violazioni commesse dalla procura nell’esercizio di compiti penali, la difesa degli interessi giuridici e patrimoniali dello Stato può costituire un compito di interesse pubblico. In tale ipotesi il trattamento può rientrare nell’articolo 6, paragrafo 1, lettera e), RGPD, purché il diritto nazionale lo preveda e siano rispettati anche gli altri requisiti del regolamento, compresi il principio di minimizzazione dei dati, il diritto di opposizione e le eventuali limitazioni previste dall’articolo 23.

Dispositivo

La Corte conclude che:

• il riutilizzo di dati raccolti in fase di indagine penale per perseguire la persona interessata integra un trattamento per finalità diversa, lecito solo alle condizioni dell’articolo 4, paragrafo 2, della direttiva 2016/680;
• il RGPD si applica alla procura che, in un giudizio di responsabilità dello Stato, comunica al giudice l’esistenza di fascicoli penali e ne trasmette il contenuto;
• tale trattamento non può essere giustificato dall’interesse legittimo ex articolo 6, paragrafo 1, lettera f), RGPD, ma può, in principio, trovare base nell’articolo 6, paragrafo 1, lettera e), se previsto dal diritto nazionale e conforme al regolamento.

Principi operativi per il professionista

La pronuncia distingue nettamente tra:

• uso di dati per finalità penali diverse nell’ambito della direttiva 2016/680;
• uso di dati in sede contenziosa civile da parte di un’autorità pubblica, soggetto al RGPD.

Per gli operatori italiani, la decisione evidenzia che la procura o altra autorità pubblica non può fondare il trattamento difensivo sul "legittimo interesse"; occorre invece individuare una base normativa pubblicistica e verificare proporzionalità, necessità e minimizzazione dei dati.