Corte di giustizia, Sentenza C-26/22

Conservazione di dati su esdebitazioni da parte di società di informazioni commerciali e controllo giurisdizionale delle decisioni dell’autorità di controllo

La Corte di giustizia, con sentenza della Prima Sezione del 7 dicembre 2023, si pronuncia in due cause riunite promosse in rinvio pregiudiziale dal Verwaltungsgericht Wiesbaden nell’ambito di controversie tra due interessati e il Land Hessen, con intervento della SCHUFA Holding AG. La questione riguarda, da un lato, la portata del ricorso giurisdizionale avverso la decisione dell’autorità di controllo su un reclamo ex RGPD e, dall’altro, la liceità della conservazione da parte di una società di informazioni commerciali di dati relativi a esdebitazioni provenienti da un registro pubblico.

Fatti e procedimento principale

UF e AB avevano ottenuto una esdebitazione anticipata nel contesto di procedure di insolvenza. Le decisioni erano state pubblicate su Internet nel registro pubblico e cancellate dopo sei mesi, in conformità al diritto tedesco. La SCHUFA, società di credit information, aveva tuttavia conservato nelle proprie banche dati le informazioni relative a tali esdebitazioni e le cancellava solo dopo tre anni, sulla base di un codice di condotta approvato dall’autorità di controllo competente.

Gli interessati avevano chiesto alla SCHUFA la cancellazione dei dati, ma la società aveva rifiutato. Essi avevano quindi presentato reclamo all’HBDI, che aveva ritenuto lecito il trattamento. I ricorsi contro tali decisioni erano stati proposti dinanzi al giudice del rinvio, il quale ha sollevato cinque questioni pregiudiziali.

Normativa rilevante

La Corte richiama, in particolare:

• la Carta dei diritti fondamentali, articoli 7, 8 e 47;
• il RGPD, in particolare gli articoli 5, 6, 17, 21, 40, 51, 52, 57, 58, 77, 78 e 79;
• la direttiva 2008/48/CE, articolo 8, e la direttiva 2014/17/UE, articoli 18 e 21, per illustrare l’interesse legittimo del settore creditizio alla valutazione del merito creditizio;
• il regolamento (UE) 2015/848, articolo 79, relativo ai registri fallimentari nazionali e al periodo di accessibilità dei dati.

Portata del ricorso ex articolo 78 RGPD

Sulla prima questione, la Corte afferma che l’articolo 78, paragrafo 1, RGPD non può essere letto in senso riduttivo. La decisione dell’autorità di controllo su un reclamo non è assimilabile a una mera petizione: se produce effetti giuridici nei confronti del reclamante, deve poter essere sottoposta a un sindacato giurisdizionale completo.

La Corte precisa che il giudice adito deve poter esaminare tutte le questioni di fatto e di diritto rilevanti, verificando se l’autorità abbia rispettato i limiti del proprio margine di discrezionalità nella scelta della misura correttiva appropriata. Resta però fermo che il giudice non sostituisce integralmente la propria valutazione a quella dell’autorità di controllo nella selezione della misura più opportuna.

Liceità della conservazione dei dati da parte di un credit bureau

Sulle questioni dalla seconda alla quinta, la Corte parte dall’articolo 5, paragrafo 1, lettera a), e dall’articolo 6, paragrafo 1, lettera f), RGPD. Il trattamento è lecito solo se il titolare o un terzo perseguono un legittimo interesse, il trattamento è necessario per quel fine e gli interessi o i diritti fondamentali dell’interessato non prevalgono.

La Corte riconosce che la valutazione del merito creditizio e la prevenzione del rischio di credito possono costituire interessi legittimi, anche alla luce delle direttive 2008/48 e 2014/17, che impongono ai creditori di valutare la solvibilità del consumatore. Tuttavia, la necessità e la proporzionalità devono essere valutate in concreto.

Nel caso di specie, la Corte evidenzia tre elementi decisivi:

• i dati erano già disponibili nel registro pubblico per sei mesi;
• la SCHUFA li conservava nelle proprie banche dati in forma parallela e generalizzata, non in occasione di una richiesta concreta;
• la conservazione si prolungava per tre anni, oltre il termine fissato dal diritto tedesco per la permanenza nel registro pubblico.

La Corte sottolinea che la conservazione e diffusione di dati relativi all’esdebitazione costituisce una grave ingerenza negli articoli 7 e 8 della Carta, poiché tali dati incidono negativamente sul merito creditizio dell’interessato. Dopo la cancellazione dal registro pubblico, l’interesse del settore creditizio non giustifica più la conservazione presso i credit bureau. Anche durante i sei mesi di accessibilità nel registro, la conservazione parallela resta un’ingerenza che il giudice nazionale deve valutare alla luce della stretta necessità.

Irrilevanza del codice di condotta per derogare al RGPD

La Corte osserva che i codici di condotta ex articolo 40 RGPD servono a precisare l’applicazione del regolamento, ma non possono alterare le condizioni di liceità stabilite dall’articolo 6, paragrafo 1. Di conseguenza, un codice di condotta approvato dall’autorità di controllo e che preveda un termine di conservazione di tre anni non può, da solo, legittimare un trattamento che ecceda quanto consentito dal RGPD. Se la valutazione ex articolo 6 porta a esito diverso, il codice non può essere invocato per ribaltarla.

Diritto alla cancellazione ex articolo 17 RGPD

Quanto all’articolo 17, la Corte distingue due ipotesi.

Se il trattamento è illecito, l’articolo 17, paragrafo 1, lettera d), impone la cancellazione senza ingiustificato ritardo dei dati personali trattati in violazione del RGPD. Ciò vale, nel caso concreto, almeno per la conservazione oltre il termine di sei mesi di accessibilità nel registro pubblico.

Se invece il trattamento fosse astrattamente lecito ai sensi dell’articolo 6, paragrafo 1, lettera f), l’interessato può opporsi ex articolo 21, paragrafo 1, e ottenere la cancellazione ai sensi dell’articolo 17, paragrafo 1, lettera c), salvo che il titolare dimostri motivi legittimi cogenti prevalenti. La prova di tali motivi grava sul titolare del trattamento.

Decisione e dispositivi

La Corte conclude che:

• la decisione dell’autorità di controllo su un reclamo è soggetta a sindacato giurisdizionale completo ex articolo 78, paragrafo 1, RGPD;
• l’articolo 5, paragrafo 1, lettera a), in combinato disposto con l’articolo 6, paragrafo 1, lettera f), osta alla conservazione, da parte di società di informazioni commerciali, di dati su esdebitazioni per un periodo eccedente quello di conservazione nel registro pubblico;
• l’articolo 17, paragrafo 1, lettera c), riconosce all’interessato il diritto alla cancellazione in caso di opposizione non superata da motivi legittimi prevalenti;
• l’articolo 17, paragrafo 1, lettera d), impone la cancellazione senza ingiustificato ritardo dei dati trattati illecitamente.

Implicazioni pratiche

La sentenza è rilevante per banche, intermediari, società di credit scoring e informazione commerciale: i dati desunti da registri pubblici non possono essere conservati in banche dati private oltre il periodo di accessibilità previsto per il registro di origine, salvo una base giuridica autonoma conforme al RGPD e una ponderazione che superi il test di necessità e bilanciamento. La decisione rafforza inoltre il ruolo del giudice nazionale nel controllo delle autorità di protezione dati, che non può essere meramente formale ma deve essere sostanziale e pieno.