Corte di giustizia, Sentenza C-313/23

Indipendenza dell’organo ispettivo dei magistrati e accesso a dati bancari sotto il RGPD

La pronuncia, resa in rinvio pregiudiziale dal Sofiyski rayonen sad (Tribunale distrettuale di Sofia), riguarda tre procedimenti promossi dall’Ispettorato presso il Consiglio superiore della magistratura bulgaro per ottenere l’autorizzazione alla revoca del segreto bancario sui conti di magistrati e dei loro familiari. La Corte affronta insieme un profilo di stato di diritto e diversi profili di protezione dei dati personali.

Fatti e quadro normativo nazionale

L’Ispettorato bulgaro controlla l’attività dei magistrati, la loro integrità, l’assenza di conflitti di interessi e può proporre l’avvio di procedimenti disciplinari. I suoi membri sono eletti dal Parlamento bulgaro per mandati determinati; al momento dei fatti tutti i mandati risultavano scaduti senza rinnovo, ma essi continuavano ad esercitare le funzioni in base all’interpretazione data dalla Corte costituzionale bulgara.

Per verificare le dichiarazioni patrimoniali dei magistrati e dei loro familiari, l’Ispettorato può chiedere al giudice distrettuale l’autorizzazione alla divulgazione di dati coperti da segreto bancario, in forza dello ZKI. Il giudice del rinvio ha dubitato della compatibilità di tale assetto con il diritto dell’Unione, anche alla luce di un precedente incidente di violazione della sicurezza dei dati detenuti dall’Ispettorato.

Questioni pregiudiziali sottoposte alla Corte

Il giudice nazionale ha chiesto, in sostanza:

• se la proroga indefinita delle funzioni dei membri dell’Ispettorato violi l’articolo 19, paragrafo 1, secondo comma, TUE e l’articolo 47 della Carta;
• se la divulgazione dei dati bancari per controlli patrimoniali rientri nell’ambito di applicazione del RGPD;
• se il giudice che autorizza la divulgazione sia "titolare del trattamento" ai sensi dell’articolo 4, punto 7, RGPD;
• se possa essere qualificato come "autorità di controllo" ai sensi dell’articolo 51 RGPD;
• se, in presenza di precedenti violazioni della sicurezza dei dati da parte dell’organo richiedente, il giudice debba verificare d’ufficio le misure di sicurezza e la loro adeguatezza.

Ammissibilità e competenza

La Corte ha respinto i dubbi del governo bulgaro sulla natura giurisdizionale del giudice del rinvio: la domanda di revoca del segreto bancario comporta una decisione motivata, incide su diritti fondamentali e non è una mera attività amministrativa. La Corte ha quindi dichiarato ricevibili i rinvii e competente il proprio sindacato, poiché le norme nazionali sulla responsabilità disciplinare dei giudici rientrano nell’ambito dell’articolo 19 TUE.

Prima questione: indipendenza giudiziaria e proroga dei mandati scaduti

La Corte ha ribadito che l’articolo 19, paragrafo 1, secondo comma, TUE impone agli Stati membri di garantire che gli organi chiamati a contribuire alla tutela giurisdizionale effettiva offrano garanzie di indipendenza. Ciò vale in particolare per gli organi che controllano i magistrati, ne verificano l’integrità e possono promuovere l’azione disciplinare.

Nel caso dell’Ispettorato bulgaro, la Corte ha rilevato che la prosecuzione delle funzioni oltre il mandato legale non era fondata su una base normativa esplicita, chiara e precisa, né era temporalmente limitata in modo effettivo. In tali condizioni, la proroga sine die può creare un legittimo dubbio sull’impermeabilità dell’organo a influenze esterne, soprattutto se i membri restano in carica perché il Parlamento non provvede alla sostituzione.

La Corte ha quindi affermato che una simile prassi è incompatibile con il principio di indipendenza dei giudici, salvo che la proroga sia disciplinata in modo espresso dal diritto interno, con norme sufficientemente determinate e con limiti che ne impediscano la durata illimitata.

Seconda questione: applicabilità del RGPD all’accesso ai dati bancari

La Corte ha ricordato che il RGPD ha un ambito di applicazione materiale ampio e che le eccezioni dell’articolo 2, paragrafo 2, devono essere interpretate restrittivamente. La deroga relativa alle attività che non rientrano nell’ambito del diritto dell’Unione mira essenzialmente alle attività di sicurezza nazionale o ad attività assimilabili.

Il fatto che il trattamento riguardi magistrati, o che i dati servano a controllare la loro integrità e i conflitti di interessi, non basta a escludere il RGPD. La divulgazione a un organo giudiziario di dati protetti dal segreto bancario, ai fini della verifica delle dichiarazioni patrimoniali pubbliche dei magistrati e dei loro familiari, costituisce un trattamento di dati personali ai sensi dell’articolo 4, punto 2, RGPD e rientra nell’ambito di applicazione del regolamento.

Terza questione: il giudice autorizzante non è titolare del trattamento

La Corte ha chiarito che il "titolare del trattamento" è chi determina finalità e mezzi del trattamento, anche quando tali elementi siano fissati dal diritto nazionale. La nozione deve essere interpretata in modo funzionale e ampio, ma occorre comunque verificare chi definisca concretamente il trattamento.

Nel caso di specie, il diritto bulgaro individua l’Ispettorato come organo competente a perseguire le finalità del trattamento e a richiedere l’accesso ai dati bancari. Il giudice che autorizza l’accesso interviene solo su richiesta, controlla la sussistenza delle condizioni di legittimità previste dalla legge e non determina né le finalità né i dati interessati. Di conseguenza, esso non è titolare del trattamento.

Quarta questione: il giudice autorizzante non è autorità di controllo

La Corte ha ricordato che le autorità di controllo ai sensi del RGPD sono enti pubblici indipendenti designati dagli Stati membri per vigilare sull’applicazione del regolamento e dotati dei poteri previsti dagli articoli 57 e 58. Non risulta che il giudice del rinvio sia stato incaricato dal diritto bulgaro di svolgere tale funzione generale di controllo della protezione dei dati.

Pertanto, un giudice che si limiti ad autorizzare la divulgazione non può essere qualificato come autorità di controllo, se non è specificamente investito dallo Stato membro del compito di vigilare sull’applicazione del RGPD.

Sesta questione: nessun obbligo di controllo d’ufficio ex articolo 79 RGPD

La Corte ha osservato che la tutela contro trattamenti illeciti è affidata, nel sistema del RGPD, a un insieme di rimedi concorrenti: reclamo all’autorità di controllo, ricorso contro quest’ultima e azione contro il titolare del trattamento. Il rispetto delle misure di sicurezza compete innanzitutto al titolare e il controllo spetta alle autorità di controllo o ai giudici investiti di ricorsi ai sensi degli articoli 78 e 79 RGPD.

Un giudice che non sia adito con un ricorso ex articolo 79 RGPD non ha, in assenza di una specifica base normativa, l’obbligo di verificare d’ufficio la sicurezza del trattamento né di imporre all’organo richiedente di dimostrare le misure adottate ai sensi dell’articolo 33, paragrafo 3, lettera d), RGPD. Resta però fermo che gli Stati membri devono assicurare rimedi effettivi ai sensi dell’articolo 47 della Carta e che il titolare del trattamento deve fornire agli interessati le informazioni previste dagli articoli 12 e 14 RGPD, affinché possano esercitare i loro diritti, compresa l’opposizione e l’azione giudiziaria.

Decisione e dispositivo

La Corte ha concluso che:

• la proroga indefinita dei mandati dei membri dell’Ispettorato, senza base legale chiara e senza limite temporale effettivo, è contraria all’articolo 19 TUE letto con l’articolo 47 della Carta;
• la divulgazione dei dati bancari dei magistrati e dei loro familiari per controlli patrimoniali rientra nel RGPD;
• il giudice autorizzante non è titolare del trattamento;
• il giudice autorizzante non è autorità di controllo;
• il giudice non deve verificare d’ufficio la sicurezza dei dati in assenza di un ricorso ai sensi dell’articolo 79 RGPD.

Principi utili per la pratica

Per gli operatori, la sentenza conferma che gli organi chiamati a esercitare poteri incisivi sui magistrati devono poggiare su una base normativa solida e non possono operare in regime di proroga indeterminata dei mandati. Sul versante privacy, la Corte ribadisce che il RGPD si applica anche quando i dati personali siano trattati nel contesto di controlli patrimoniali dei magistrati e che il giudice che autorizza l’accesso non assume automaticamente il ruolo di titolare o di autorità di controllo.