Corte di giustizia, Sentenza C-77/21

Trattamento ulteriore di dati personali in banca dati di test e durata della conservazione

La sentenza riguarda un rinvio pregiudiziale della Fővárosi Törvényszék (Corte di Budapest-Capitale) in una controversia tra Digi Távközlési és Szolgáltató Kft. e l'Autorità ungherese per la protezione dei dati. La Corte è chiamata a interpretare l'articolo 5, paragrafo 1, lettere b) ed e), del regolamento (UE) 2016/679 in relazione alla creazione di una banca dati di test contenente dati personali copiati da un'altra banca dati già lecita.

Fatti e procedimento principale

Digi, fornitore di servizi Internet e di telediffusione, aveva creato nell'aprile 2018 una banca dati di test dopo un guasto tecnico del server, copiandovi i dati personali di circa un terzo dei propri clienti privati provenienti dalla banca dati "digihu". Nel settembre 2019 un hacker etico segnalò alla società l'accesso ai dati contenuti nella banca dati di test, e successivamente Digi eliminò tale banca dati e notificò la violazione all'Autorità. Quest'ultima concluse che la società aveva violato l'articolo 5, paragrafo 1, lettere b) ed e), del GDPR, perché aveva conservato per quasi 18 mesi, senza finalità, una banca dati idonea a identificare gli interessati, e le impose un'ammenda di 100000000 HUF oltre all'obbligo di riesaminare tutte le banche dati.

Questioni pregiudiziali

Il giudice del rinvio chiede, in sostanza:

• se il principio di limitazione della finalità consenta la conservazione parallela, in una banca dati distinta, di dati personali già raccolti lecitamente per una finalità determinata;
• se, nell'ipotesi in cui tale conservazione parallela non sia compatibile con la finalità originaria, il principio di limitazione della conservazione consenta comunque di trattenere i dati nella banca dati di test oltre il tempo necessario ai test e alla correzione degli errori.

Normativa rilevante

La Corte richiama il regolamento (UE) 2016/679, in particolare:

• l'articolo 4, punto 2, sulla nozione ampia di trattamento;
• l'articolo 5, paragrafo 1, lettere b) ed e), sui principi di limitazione della finalità e della conservazione, nonché il paragrafo 2 sulla responsabilizzazione;
• l'articolo 6, paragrafo 1, sulle basi di liceità del trattamento;
• l'articolo 6, paragrafo 4, e il considerando 50, per la valutazione della compatibilità del trattamento ulteriore;
• il considerando 10, relativo all'obiettivo di elevato e coerente livello di protezione.

Ragionamento della Corte sulla limitazione della finalità

La Corte osserva che la registrazione e conservazione di dati personali in una banca dati di nuova creazione costituisce un trattamento ulteriore ai sensi dell'articolo 4, punto 2, GDPR. Tale trattamento è compatibile con l'articolo 5, paragrafo 1, lettera b), solo se non è incompatibile con le finalità originarie della raccolta.

Per stabilire tale compatibilità, occorre applicare i criteri dell'articolo 6, paragrafo 4, letti alla luce del considerando 50:

• nesso tra finalità originarie e finalità del trattamento ulteriore;
• contesto della raccolta, in particolare il rapporto tra interessato e titolare;
• natura dei dati personali;
• possibili conseguenze per gli interessati;
• esistenza di garanzie adeguate.

Secondo la Corte, questi criteri esprimono la necessità di un nesso concreto, logico e sufficientemente stretto tra la raccolta iniziale e il riutilizzo dei dati. Nel caso concreto, la creazione della banca dati di test per effettuare test e correggere errori presenta un collegamento con l'esecuzione dei contratti di abbonamento, perché gli errori possono incidere sulla corretta prestazione del servizio. Spetta però al giudice nazionale verificare in concreto le finalità e la compatibilità, alla luce di tutte le circostanze.

Ragionamento della Corte sulla limitazione della conservazione

La Corte afferma che il principio di cui all'articolo 5, paragrafo 1, lettera e), impone che i dati siano conservati in forma identificabile non oltre il tempo necessario al conseguimento delle finalità per cui sono trattati. Ne deriva che anche un trattamento inizialmente lecito può diventare illecito col passare del tempo se i dati non sono più necessari.

Questo vale anche per i dati conservati nella banca dati di test: essi possono restare identificabili soltanto per il periodo necessario ai test e alla correzione degli errori. La Corte respinge l'argomento secondo cui la mancata cancellazione sarebbe stata solo involontaria, ritenendo irrilevante tale circostanza rispetto alla verifica del superamento del termine necessario.

Decisione e dispositivo

La Corte risponde che:

• l'articolo 5, paragrafo 1, lettera b), GDPR non osta alla registrazione e conservazione, in una banca dati di test, di dati personali precedentemente raccolti in un'altra banca dati, se il trattamento ulteriore è compatibile con le finalità originarie, da valutarsi secondo l'articolo 6, paragrafo 4;
• l'articolo 5, paragrafo 1, lettera e), GDPR osta invece alla conservazione di tali dati per un periodo superiore a quello necessario alla realizzazione dei test e alla correzione degli errori.

Principi affermati per la pratica professionale

Per i titolari del trattamento, la sentenza conferma che l'utilizzo di dati reali in ambienti di test non è vietato in assoluto, ma richiede una verifica rigorosa di compatibilità della finalità e, soprattutto, una politica di retention strettamente limitata al tempo necessario. In assenza di cancellazione tempestiva, il rischio di violazione del GDPR permane anche se il trattamento originario era lecito e il trasferimento in ambiente di test aveva finalità tecniche legittime.