Corte di giustizia, Sentenza C-312/24

Protezione dei dati nel fascicolo personale di un agente di polizia

La pronuncia riguarda un rinvio pregiudiziale del Sofiyski rayonen sad (Tribunale distrettuale di Sofia) in una controversia tra un agente di polizia bulgaro e la Procura della Repubblica di Bulgaria. Il giudice nazionale chiedeva, in sostanza, quale disciplina UE si applichi alla conservazione nel fascicolo personale del dipendente di dati raccolti nell’ambito di un’indagine penale che lo aveva visto come indagato, e se il datore di lavoro pubblico potesse fondare su tali dati anche un diniego di promozione.

Fatti e procedimento principale

Il ricorrente aveva prestato servizio per anni presso strutture del Ministero dell’Interno bulgaro. Nel corso di un’indagine per rapina, avviata dalla direzione "Sicurezza interna" del Ministero, egli era stato sottoposto a fermo e ad atti di indagine, ma non era mai stato né imputato né accusato; l’indagine era poi stata sospesa perché non era stato possibile identificare l’autore del reato.

Nel suo fascicolo personale erano conservate informazioni relative al fermo e alle attività investigative. Il ricorrente sosteneva che tale conservazione avesse inciso negativamente sulla sua carriera, anche perché gli era stato negato un avanzamento. Per questo chiedeva il risarcimento del danno morale e, in sostanza, la cancellazione dei suoi dati dalle banche dati del Ministero.

Questioni pregiudiziali

Il giudice del rinvio ha posto alla Corte quesiti, poi riformulati per gruppi tematici, concernenti:

• l’ambito di applicazione del RGPD e della direttiva 2016/680;
• la qualificazione del trattamento e del fascicolo personale come "trattamento" e "archivio";
• la liceità della conservazione dei dati relativi allo status di indagato;
• il diritto alla cancellazione ex articolo 17 RGPD e l’eventuale rilevanza della direttiva 2016/680;
• la possibile applicazione della direttiva 2000/78 al rifiuto di promozione.

Ricevibilità

La Corte ha respinto le eccezioni di irricevibilità formulate dal governo bulgaro. Ha ricordato che le questioni pregiudiziali beneficiano di una presunzione di rilevanza e che non le spetta verificare la correttezza dell’interpretazione del diritto nazionale fornita dal giudice del rinvio.

Ha invece ritenuto irricevibile la questione relativa all’articolo 9, paragrafo 2, lettera b), RGPD, perché i dati di causa non rientravano nelle categorie particolari di dati personali contemplate da quella disposizione. Ha inoltre escluso di rispondere, per la parte teorica, ai quesiti formulati anche con riferimento allo status di persona accusata o imputata, poiché il caso concreto riguardava solo un indagato in un’indagine poi sospesa.

Applicabilità del RGPD e non della direttiva 2016/680

La Corte ha chiarito che la raccolta iniziale dei dati da parte della direzione "Sicurezza interna" del Ministero dell’Interno, finalizzata all’indagine penale, rientra nella direttiva 2016/680. Tuttavia, il trattamento successivo consistente nella conservazione di quegli stessi dati nel fascicolo personale dell’agente, per finalità di gestione delle risorse umane, rientra nel RGPD.

È stato ritenuto irrilevante il fatto che i dati fossero stati ottenuti da un’altra direzione della stessa autorità pubblica incaricata delle indagini. In linea con la sentenza Inspektor v Inspektorata kam Visshia sadeben savet (C‑180/21), la Corte ha ribadito che quando i dati raccolti a fini di giustizia penale sono trattati per finalità diverse, si applica il RGPD.

Liceità della conservazione e base giuridica nazionale

Quanto alla liceità del trattamento, la Corte ha richiamato l’articolo 6, paragrafo 1, lettera c), RGPD, secondo cui il trattamento è lecito se necessario per adempiere un obbligo legale, e l’articolo 6, paragrafo 3, che richiede una base nel diritto dell’Unione o nazionale, con finalità determinate e proporzionate.

Ha precisato che una base giuridica può anche risultare da un atto regolamentare adottato da un’autorità pubblica, purché essa sia autorizzata dalla legge, sia chiara e precisa e sia prevedibile per gli interessati. Nel caso specifico, le circolari ministeriali sembravano costituire la base normativa del trattamento, ma il giudice del rinvio deve verificare se esse descrivano in modo sufficientemente chiaro la conservazione di dati relativi a un’indagine penale riguardante un agente, anche quando non vi siano accuse o imputazioni e non sia stato avviato alcun procedimento disciplinare.

La Corte ha inoltre osservato che l’obiettivo di garantire la probità e il rispetto di standard etici elevati da parte degli agenti di polizia può costituire un obiettivo di interesse pubblico. Tuttavia, per un’indagine sospesa, senza accuse né imputazioni e senza conseguenze disciplinari, non emerge automaticamente che la conservazione dei dati sia idonea e proporzionata a tale obiettivo. Spetta dunque al giudice nazionale valutare la proporzionalità, compresa la durata della conservazione.

Diritto alla cancellazione

La Corte ha letto l’articolo 17 RGPD in combinato disposto con l’articolo 6, paragrafo 1, lettera c), e con l’articolo 6, paragrafo 3, nonché alla luce dell’articolo 52 della Carta. Ne ha tratto la conclusione che la conservazione dei dati nel fascicolo personale può essere giustificata solo se la base giuridica nazionale soddisfa i requisiti di chiarezza, precisione, prevedibilità, interesse pubblico e proporzionalità.

Se tali condizioni non sono soddisfatte, oppure se il periodo di conservazione eccede quanto necessario, l’interessato può riacquistare il diritto alla cancellazione, in particolare ai sensi dell’articolo 17, paragrafo 1, lettera a), o, se il trattamento è illecito, ai sensi della lettera d). La Corte ha anche ricordato che, se il trattamento è illecito, il titolare del trattamento deve cancellare i dati senza ingiustificato ritardo, salvo eccezioni dell’articolo 17, paragrafo 3.

Inapplicabilità della direttiva 2000/78

Quanto al rifiuto di promuovere l’agente per il solo fatto che era stato indagato, la Corte ha escluso l’applicazione della direttiva 2000/78. Essa tutela infatti contro discriminazioni fondate solo su religione o convinzioni personali, handicap, età e tendenze sessuali. Lo status di indagato in un procedimento penale sospeso non rientra in tali motivi tassativi.

Dispositivo e principi affermati

La Corte ha quindi dichiarato che:

• il RGPD si applica alla conservazione nel fascicolo personale di dati relativi allo status di indagato, anche se i dati provengono da un’altra direzione della stessa autorità pubblica;
• la conservazione può essere lecita solo se prevista da una base giuridica nazionale chiara, precisa, prevedibile e proporzionata, in attuazione di un obiettivo di interesse pubblico;
• la direttiva 2000/78 non si applica al diniego di promozione fondato esclusivamente sullo status di indagato in un’indagine penale poi sospesa.

La sentenza è di rilievo pratico per le amministrazioni pubbliche e, in particolare, per i datori di lavoro pubblici che gestiscono fascicoli del personale contenenti informazioni acquisite in contesti penali: la finalità di gestione del personale può attrarre il RGPD, ma la mera utilità interna non basta a legittimare la conservazione dei dati senza una base normativa adeguata e proporzionata.