Sentenza del 22/11/2022 n. 912 - Corte di Giustizia UE

Esito

La controversia

Controversie relative al rifiuto da parte di LBR di limitare l'accesso pubblico alle informazioni sulla titolarità effettiva di società e altre entità giuridiche, in base alla direttiva (UE) 2015/849 modificata dalla direttiva (UE) 2018/843, che impone l'accesso pubblico in ogni caso a tali dati. WM e Sovim contestavano tale accesso illimitato sostenendo che violasse i diritti fondamentali alla vita privata e alla protezione dei dati personali sanciti dagli articoli 7 e 8 della Carta dei diritti fondamentali dell'Unione europea.

La decisione

La Corte di Giustizia dell'Unione Europea ha dichiarato invalido l'articolo 1, punto 15, lettera c), della direttiva (UE) 2018/843 nella parte in cui modifica l'articolo 30, paragrafo 5, primo comma, lettera c), della direttiva 2015/849, disponendo l'accesso pubblico in ogni caso alle informazioni sulla titolarità effettiva. La Corte ha ritenuto che tale accesso pubblico costituisce una grave ingerenza nei diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali e che l'ingerenza non è limitata allo stretto necessario, mancando parametri chiari e garanzie sufficienti per proteggere efficacemente i titolari effettivi contro rischi di abuso. Pertanto, la disposizione che impone l'accesso pubblico illimitato è contraria alla Carta e deve essere considerata invalida.

Norme richiamate

• Direttiva (UE) 2015/849

  articolo 30, paragrafo 5, primo comma, lettera c)

  Prevede che le informazioni sulla titolarità effettiva siano accessibili al pubblico, ma modificata dalla direttiva 2018/843 per renderle accessibili in ogni caso senza giustificazione, la Corte ha ritenuto tale modifica invalida per violazione dei diritti fondamentali.

• Direttiva (UE) 2018/843

  articolo 1, punto 15, lettera c)

  Ha modificato la direttiva 2015/849 per imporre l'accesso pubblico in ogni caso alle informazioni sulla titolarità effettiva, disposizione dichiarata invalida dalla Corte per incompatibilità con la Carta.

• Carta dei diritti fondamentali dell'Unione europea

  Garantiscono il diritto al rispetto della vita privata e alla protezione dei dati personali; l'accesso pubblico illimitato ai dati sulla titolarità effettiva è considerato una grave ingerenza in tali diritti.

• Regolamento generale sulla protezione dei dati (RGPD)

  Impone principi di liceità, minimizzazione, sicurezza del trattamento e condizioni rigorose per il trasferimento dei dati personali, evidenziando che l'accesso pubblico illimitato non rispetta tali principi.

Massime di principio

• L'accesso pubblico illimitato a dati personali sensibili, come quelli sui titolari effettivi di società, costituisce un'ingerenza significativa nei diritti fondamentali alla privacy e protezione dei dati e deve essere giustificato da esigenze di interesse generale proporzionate e limitate al minimo necessario.
• La semplice finalità di prevenzione del riciclaggio e finanziamento del terrorismo, pur essendo un obiettivo di interesse generale, non giustifica misure di trasparenza che non prevedano garanzie sufficienti per la tutela dei dati personali e della vita privata.
• Le norme che prevedono l'accesso pubblico a dati personali devono essere chiare, precise e prevedere meccanismi efficaci di tutela, inclusa la possibilità di deroghe in circostanze eccezionali per proteggere i titolari effettivi da rischi gravi.
• La rimozione della condizione del 'legittimo interesse' per l'accesso ai dati personali senza una definizione chiara e senza controlli adeguati può portare a limitazioni eccessive dei diritti fondamentali e pertanto non è conforme al diritto dell'Unione.
• In contesti simili, l'accesso ai dati personali deve essere limitato a soggetti con legittimo interesse e deve rispettare i principi del RGPD, inclusa la minimizzazione dei dati e la protezione contro trattamenti non autorizzati o illeciti.