Corte di giustizia, Sentenza C-184/20

Pubblicazione online delle dichiarazioni di interessi privati e protezione dei dati

La pronuncia riguarda un rinvio pregiudiziale del Vilniaus apygardos administracinis teismas (Tribunale amministrativo regionale di Vilnius) in una controversia tra OT e la commissione superiore lituana incaricata del controllo delle dichiarazioni di interessi privati. Il caso concerne la compatibilità con il diritto dell’Unione di una normativa nazionale che impone la pubblicazione su Internet di parte dei dati contenuti nelle dichiarazioni di interessi privati di determinati soggetti del settore pubblico o di enti percettori di fondi pubblici.

Fatti e procedimento principale

OT era direttore di un ente lituano che percepiva fondi pubblici e operava nel settore della tutela ambientale. La commissione superiore ha accertato che egli non aveva presentato la dichiarazione di interessi privati richiesta dalla legge nazionale e ha adottato una decisione in tal senso il 7 febbraio 2018. OT ha impugnato tale decisione sostenendo, da un lato, di non rientrare tra i soggetti obbligati alla dichiarazione e, dall’altro, che la pubblicazione della dichiarazione avrebbe leso la sua vita privata e quella di altre persone menzionate nel modulo.

Normativa rilevante

La Corte ha esaminato la disciplina alla luce della direttiva 95/46/CE e del RGPD, nonché degli articoli 7, 8 e 52, paragrafo 1, della Carta. Ha richiamato in particolare:

• l’articolo 7, lettera c), della direttiva 95/46 e l’articolo 6, paragrafo 1, primo comma, lettera c), e paragrafo 3, RGPD, relativi al trattamento necessario per adempiere un obbligo legale;
• l’articolo 7, lettera e), della direttiva 95/46 e l’articolo 6, paragrafo 1, primo comma, lettera e), RGPD, relativi al trattamento necessario per compiti di interesse pubblico;
• l’articolo 8, paragrafo 1, della direttiva 95/46 e l’articolo 9, paragrafo 1, RGPD, sul divieto di trattamento di categorie particolari di dati personali;
• i principi di liceità, minimizzazione e proporzionalità del trattamento.

Questioni pregiudiziali

Il giudice del rinvio ha chiesto, in sostanza:

• se il diritto UE osti a una norma nazionale che impone la pubblicazione sul sito dell’autorità competente dei dati contenuti nelle dichiarazioni di interessi privati, rendendoli accessibili a chiunque tramite Internet;
• se la stessa disciplina sia compatibile con il divieto di trattare categorie particolari di dati personali, quando dalla dichiarazione possano desumersi, anche indirettamente, opinioni politiche, appartenenza sindacale, orientamento sessuale o altre informazioni sensibili.

Ricevibilità e diritto applicabile nel tempo

La Corte ha ritenuto ricevibile il rinvio, nonostante la modifica successiva della legge lituana e il fatto che la decisione impugnata fosse stata adottata prima dell’applicabilità del RGPD. Ha osservato che la controversia principale era comunque collegata alle conseguenze della normativa vigente e che non era escluso che il RGPD si applicasse ratione temporis. Ha inoltre precisato che, ai fini della risposta, le disposizioni della direttiva 95/46 e quelle del RGPD considerate avevano portata sostanzialmente analoga.

Ragionamento della Corte sulla prima questione

La Corte ha anzitutto qualificato i dati destinati alla pubblicazione come dati personali e la loro messa online come trattamento di dati personali. Ha poi ricordato che i casi di liceità del trattamento previsti dall’articolo 7 della direttiva 95/46 e dall’articolo 6 RGPD sono tassativi.

Ha quindi riconosciuto che la pubblicazione prevista dalla legge nazionale poteva rientrare nell’ipotesi del trattamento necessario per adempiere un obbligo legale, ma ha sottolineato che tale base giuridica deve comunque rispettare l’articolo 52, paragrafo 1, della Carta, cioè essere prevista dalla legge, perseguire un obiettivo di interesse generale e rispettare il principio di proporzionalità.

La Corte ha ritenuto che gli obiettivi di prevenzione dei conflitti di interessi, rafforzamento dell’imparzialità dei decisori pubblici e lotta alla corruzione siano obiettivi di interesse pubblico e di interesse generale riconosciuti anche a livello internazionale e dell’Unione. Tuttavia, ha verificato se la pubblicazione generalizzata sul sito Internet della commissione superiore fosse davvero necessaria.

Proporzionalità e minimizzazione dei dati

La Corte ha ritenuto che la pubblicazione online di una parte ampia dei dati contenuti nelle dichiarazioni superi quanto strettamente necessario. In particolare ha evidenziato che:

• la pubblicazione dei dati nominativi relativi al coniuge, convivente o partner, ai parenti o conoscenti del dichiarante può rivelare aspetti molto delicati della vita privata;
• la pubblicazione sistematica delle operazioni concluse negli ultimi dodici mesi di valore superiore a EUR 3000 non è stata dimostrata come strettamente necessaria;
• l’accessibilità dei dati a un numero potenzialmente illimitato di persone accresce in modo significativo il rischio di abusi, pubblicità mirata o usi commerciali e persino criminali;
• eventuali carenze di risorse dell’autorità pubblica non possono giustificare la lesione di diritti fondamentali.

La Corte ha invece ritenuto che alcuni dati, come quelli sull’appartenenza del dichiarante a imprese, enti, associazioni o fondi, nonché quelli relativi ai doni di valore significativo, possano essere pubblicati se la misura resta entro il limite del necessario e del principio di minimizzazione.

Decisione sulla prima questione

La Corte ha concluso che l’articolo 7, lettera c), della direttiva 95/46 e l’articolo 6, paragrafo 1, primo comma, lettera c), e paragrafo 3, RGPD, letti con gli articoli 7, 8 e 52, paragrafo 1, della Carta, ostano a una normativa nazionale che prevede la pubblicazione online della dichiarazione di interessi privati di qualsiasi direttore di un ente percettore di fondi pubblici, nella misura in cui essa riguardi dati nominativi di coniuge, convivente o partner, parenti o conoscenti idonei a generare conflitti di interessi e le operazioni concluse negli ultimi dodici mesi di valore superiore a EUR 3000.

Ragionamento sulla seconda questione

Quanto ai dati sensibili, la Corte ha affermato che il divieto di cui all’articolo 8, paragrafo 1, della direttiva 95/46 e all’articolo 9, paragrafo 1, RGPD si applica anche ai dati che consentono di rivelare indirettamente informazioni sensibili, attraverso deduzione o collegamento con altri dati. Non è necessario che la natura sensibile emerga in modo diretto e immediato dal singolo dato: è sufficiente che il trattamento, considerato complessivamente, sia idoneo a svelare categorie particolari di dati personali.

Per questo motivo, la pubblicazione di dati personali che consentano di desumere indirettamente l’orientamento sessuale di una persona fisica costituisce trattamento di categorie particolari di dati personali.

Dispositivo e principi affermati

La Corte ha quindi risposto che:

• la disciplina nazionale in esame è incompatibile con il diritto UE nella parte in cui comporta una pubblicazione online eccessivamente ampia di dati personali contenuti nelle dichiarazioni di interessi privati;
• la pubblicazione di dati idonei a rivelare indirettamente l’orientamento sessuale rientra nel regime rafforzato di protezione previsto per le categorie particolari di dati personali.

In sostanza, la sentenza bilancia trasparenza e anticorruzione con la tutela della riservatezza: gli obiettivi di integrità del settore pubblico sono legittimi, ma non autorizzano una divulgazione indiscriminata al grande pubblico senza una selezione rigorosa dei dati effettivamente necessari.