Corte di giustizia, Sentenza C-422/24

Obbligo informativo nel caso di bodycam dei controllori nei trasporti pubblici

La pronuncia, resa in sede di rinvio pregiudiziale dallo Högsta förvaltningsdomstolen svedese, riguarda l’interpretazione degli articoli 13 e 14 del regolamento (UE) 2016/679 (RGPD) in relazione alla raccolta di dati personali mediante telecamere indossate da controllori dei trasporti pubblici. La Corte è chiamata a stabilire quale disposizione governi l’obbligo di informazione nei confronti degli interessati.

Fatti e procedimento principale

La AB Storstockholms Lokaltrafik (SL), società svedese di trasporto pubblico, aveva dotato i propri controllori di telecamere portatili per filmare i viaggiatori privi di biglietto valido, anche al fine di prevenire minacce e violenze e di identificare i soggetti sanzionati. L’Integritetsskyddsmyndigheten, autorità svedese di controllo, ha ritenuto che la società avesse violato il RGPD, in particolare l’articolo 13, per avere fornito informazioni inadeguate agli interessati, e le ha inflitto una sanzione amministrativa pecuniaria, di cui una parte riferita proprio alla carenza informativa.

Il tribunale amministrativo di primo grado ha respinto il ricorso della SL; la corte d’appello amministrativa ha invece annullato la sanzione relativa all’informazione, ritenendo inapplicabile l’articolo 13 e facendo leva sulla sentenza Ryneš (C‑212/13). L’autorità ha quindi proposto ricorso dinanzi al giudice del rinvio.

Questione pregiudiziale

Il giudice svedese ha chiesto alla Corte quale tra gli articoli 13 e 14 RGPD si applichi quando i dati personali sono raccolti tramite una bodycam. La questione era rilevante non solo per individuare il contenuto e il momento dell’obbligo informativo, ma anche per verificare la legittimità della sanzione amministrativa irrogata sulla base dell’articolo 13.

Normativa rilevante

La Corte richiama, in particolare:

• il considerando 60 RGPD, sulla trasparenza e sulle informazioni da fornire all’interessato;
• il considerando 61 RGPD, che distingue il momento della raccolta presso l’interessato da quello dell’ottenimento da altra fonte;
• l’articolo 5, paragrafo 1, lettere a) e c) RGPD, sui principi di liceità, correttezza, trasparenza e minimizzazione;
• l’articolo 12 RGPD, sulle modalità trasparenti di comunicazione;
• l’articolo 13 RGPD, relativo ai dati raccolti presso l’interessato;
• l’articolo 14 RGPD, relativo ai dati non ottenuti presso l’interessato;
• l’articolo 16 TFUE e l’articolo 8 della Carta, a fondamento del diritto alla protezione dei dati personali.

Ragionamento della Corte: criterio distintivo tra articolo 13 e articolo 14

La Corte interpreta le disposizioni secondo il testo, il contesto e le finalità del RGPD.

1. Interpretazione letterale

L’articolo 13 si applica quando i dati sono raccolti "presso l’interessato", mentre l’articolo 14 riguarda i dati "non ottenuti presso l’interessato". Per la Corte, il criterio decisivo è la fonte dei dati: se i dati provengono direttamente dalla persona interessata, opera l’articolo 13; se provengono da una fonte diversa, opera l’articolo 14.

La nozione di raccolta presso l’interessato non dipende dal grado di attività di quest’ultimo, ma dal fatto che il titolare compia un’azione di acquisizione direttamente nei suoi confronti. La Corte osserva anche che le linee guida sulla trasparenza del 2017/2018 indicano espressamente che l’articolo 13 si applica anche quando i dati sono raccolti mediante osservazione, inclusa la videosorveglianza.

2. Contesto sistematico

L’articolo 13 dà attuazione immediata all’esigenza di trasparenza, imponendo la comunicazione delle informazioni nel momento in cui i dati sono ottenuti. L’articolo 14, invece, è pensato per le situazioni in cui manca il contatto diretto con l’interessato e la raccolta avviene presso terzi o altre fonti, rendendo in pratica difficile o impossibile informare subito la persona interessata. Proprio per questo, l’articolo 14 consente di differire l’adempimento.

La Corte sottolinea che l’articolo 14, paragrafo 2, lettera f), che impone di indicare la fonte dei dati, conferma che tale disposizione si applica ai dati acquisiti da una fonte diversa dall’interessato.

3. Finalità del RGPD

L’interpretazione deve essere coerente con l’obiettivo del regolamento, cioè garantire un elevato livello di tutela dei diritti fondamentali, in particolare del diritto alla protezione dei dati personali.

Se si applicasse l’articolo 14 alla bodycam indossata da un controllore, l’interessato non riceverebbe alcuna informazione nella fase della raccolta, pur essendo egli la fonte dei dati. Ciò favorirebbe pratiche di sorveglianza occulte e renderebbe la raccolta poco percepibile, in contrasto con il principio di trasparenza.

Precisazioni su linee guida e giurisprudenza precedente

La Corte chiarisce che le linee guida sulla trasparenza del Gruppo di lavoro ex articolo 29 non sono vincolanti, ma confermano l’interpretazione adottata. Inoltre, precisa che il passaggio della sentenza Ryneš richiamato dal giudice nazionale non decideva la questione della delimitazione tra gli articoli 13 e 14 RGPD; quella pronuncia non può quindi essere letta come precedente contrario.

Dispositivo

La Corte dichiara che, in una situazione in cui sono raccolti dati personali mediante telecamere indossate da controllori nei trasporti pubblici, l’informazione degli interessati è disciplinata dall’articolo 13 RGPD e non dall’articolo 14.

Implicazioni pratiche

Per i titolari del trattamento che utilizzano bodycam o strumenti analoghi, la pronuncia impone di strutturare l’informativa come informativa diretta e immediata, non come informativa differita tipica dei dati ottenuti da terzi. In concreto, i soggetti interessati devono essere informati al momento della raccolta, anche attraverso modalità multilivello, purché le informazioni essenziali siano rese subito disponibili e le ulteriori informazioni siano facilmente accessibili.