Corte di giustizia, Sentenza C-272/19

Diritto di accesso al GDPR nei confronti di una commissione parlamentare di petizioni

La causa riguarda un rinvio pregiudiziale del Verwaltungsgericht Wiesbaden (Tribunale amministrativo di Wiesbaden) in una controversia tra VQ e il Land Hessen sul diniego di accesso ai dati personali trattati dalla commissione per le petizioni del Parlamento del Land Assia. Il nodo centrale è se una simile commissione rientri nel regolamento (UE) 2016/679 e, in particolare, se debba essere considerata titolare del trattamento con conseguente applicazione del diritto di accesso ex articolo 15.

Fatti e procedimento principale

VQ, dopo aver presentato una petizione alla commissione parlamentare per le petizioni del Land Assia, ha chiesto l’accesso ai dati personali che lo riguardavano e che erano stati registrati nell’ambito del trattamento della petizione. Il presidente del Parlamento del Land Assia ha respinto la domanda, sostenendo che la procedura di petizione è un compito parlamentare e che il parlamento non ricade nell’ambito di applicazione del regolamento 2016/679.

Il giudice del rinvio ha osservato che il diritto tedesco non riconosceva, nel contesto considerato, un diritto di accesso e ha dubitato sia della qualifica della commissione come autorità pubblica/titolare del trattamento, sia della propria qualità di "giurisdizione" ai sensi dell’articolo 267 TFUE, in combinato disposto con l’articolo 47 della Carta.

Normativa rilevante

La Corte richiama anzitutto il regolamento (UE) 2016/679, in particolare:

• articolo 2, paragrafo 1, sull’ambito di applicazione materiale;
• articolo 2, paragrafo 2, lettera a), sull’esclusione per attività che non rientrano nell’ambito del diritto dell’Unione;
• articolo 4, punto 7, sulla nozione di titolare del trattamento;
• articolo 15, sul diritto di accesso dell’interessato;
• articolo 23, sulle possibili limitazioni legislative.

Sono richiamati anche i considerando 16 e 20 del regolamento. Sullo sfondo vi è la direttiva 95/46/CE, in particolare l’articolo 3, paragrafo 2, oltre all’articolo 16 TFUE, base giuridica del GDPR. Per il profilo processuale, rilevano l’articolo 267 TFUE e l’articolo 47 della Carta.

Ricevibilità del rinvio e qualifica del giudice nazionale

La Corte affronta innanzitutto i dubbi del giudice del rinvio sulla propria indipendenza. Ricorda che, per essere una "giurisdizione" ai sensi dell’articolo 267 TFUE, un organo deve rispettare criteri quali origine legale, permanenza, obbligatorietà della giurisdizione, natura contraddittoria del procedimento, applicazione di norme giuridiche e indipendenza.

La Corte osserva che alcuni elementi sollevati dal giudice tedesco sono irrilevanti per la valutazione della ricevibilità, come la disciplina dei giudici ad interim o taluni aspetti organizzativi e informatici, poiché non incidono in modo dimostrato sull’indipendenza del giudice nel procedimento principale. Quanto alle modalità di nomina, promozione e valutazione dei giudici, la Corte rileva che il semplice intervento dei poteri legislativo o esecutivo nel processo di nomina non basta, di per sé, a escludere l’indipendenza, se il giudice, una volta nominato, non subisce pressioni né riceve istruzioni.

Pur richiamando la giurisprudenza sulla necessità che disposizioni in materia di composizione, nomina, durata delle funzioni, astensione, ricusazione e rimozione siano idonee a fugare dubbi legittimi sull’impermeabilità dell’organo rispetto a fattori esterni, la Corte conclude che gli elementi allegati non bastano a escludere la qualità di "giurisdizione" del Verwaltungsgericht Wiesbaden. La domanda pregiudiziale è quindi ricevibile. La Corte aggiunge però che la seconda questione, formulata in termini generali sulla propria indipendenza, è irricevibile perché non necessaria ai fini della decisione della controversia principale.

Nozione di titolare del trattamento

Nel merito, la Corte chiarisce che la nozione di titolare del trattamento di cui all’articolo 4, punto 7, è molto ampia e comprende qualsiasi persona, autorità, servizio o organismo che determini, singolarmente o insieme ad altri, finalità e mezzi del trattamento. Non si limita quindi alle sole autorità pubbliche.

La Corte respinge l’argomento secondo cui le attività della commissione parlamentare sarebbero escluse perché non rientrano nell’ambito di applicazione del diritto dell’Unione. Ricorda che l’eccezione dell’articolo 2, paragrafo 2, lettera a), deve essere interpretata restrittivamente e non può essere estesa a qualsiasi attività pubblica o statale. Il fatto che un’attività sia propria dello Stato non basta: essa deve rientrare tra quelle espressamente menzionate o essere assimilabile alla medesima categoria. Le attività della commissione per le petizioni, pur pubbliche e connesse alla funzione parlamentare, non corrispondono alle attività escluse dal regolamento, né all’esercizio di funzioni di cui alle lettere b) e d) dell’articolo 2, paragrafo 2.

La Corte sottolinea inoltre che il regolamento 2016/679 non prevede alcuna eccezione generale per le attività parlamentari, né nel considerando 20 né nell’articolo 23. Ne deriva che, se la commissione determina finalità e mezzi del trattamento, essa è titolare del trattamento ai sensi dell’articolo 4, punto 7.

Decisione della Corte

La Corte conclude che l’articolo 4, punto 7, del regolamento 2016/679 deve essere interpretato nel senso che, nella misura in cui una commissione per le petizioni del parlamento di uno Stato federato di uno Stato membro determini, singolarmente o insieme ad altri, le finalità e i mezzi del trattamento, essa deve essere qualificata come titolare del trattamento. Di conseguenza, il trattamento di dati personali effettuato da tale commissione rientra nell’ambito di applicazione del regolamento, segnatamente del suo articolo 15.

Portata pratica della pronuncia

Per gli operatori, la sentenza è rilevante perché conferma che gli organi parlamentari non sono automaticamente sottratti al GDPR solo per la loro natura politica o istituzionale. Ogni volta che un organo pubblico determina finalità e mezzi del trattamento, può essere assoggettato agli obblighi del regolamento, inclusi i diritti di trasparenza e accesso dell’interessato, salvo limiti espressamente previsti dal diritto UE o nazionale nei termini dell’articolo 23.