Tribunale, Sentenza T-557/20

Tutela dei dati personali nella procedura di audizione del CRU

La pronuncia riguarda un ricorso diretto ex articolo 263 TFUE proposto dal Comitato di risoluzione unico (CRU) avverso la decisione rivista del Garante europeo della protezione dei dati (GEPD). La controversia nasce nell’ambito della procedura di indennizzo degli azionisti e creditori del Banco Popular seguita alla risoluzione dell’ente creditizio.

Fatti e procedimento amministrativo

Dopo la risoluzione del Banco Popular, il CRU ha avviato una procedura per consentire agli azionisti e creditori interessati di essere ascoltati sulla possibile concessione di un indennizzo ai sensi del regolamento n. 806/2014. La procedura si è svolta in due fasi: una fase di iscrizione, in cui i partecipanti dovevano dimostrare la propria qualità di azionista o creditore e fornire dati identificativi; e una fase di consultazione, in cui presentavano osservazioni tramite un modulo online.

Le osservazioni della fase di consultazione sono state filtrate, classificate e aggregate dal CRU. Solo quelle pertinenti alla valutazione 3 sono state trasmesse a Deloitte, in forma accompagnata da un codice alfanumerico, senza che Deloitte avesse accesso ai dati raccolti nella fase di iscrizione o alla banca dati che consentiva la reidentificazione. Alcuni partecipanti hanno quindi presentato reclami al GEPD, sostenendo che il CRU non li avesse informati della possibile comunicazione dei loro dati a Deloitte.

Decisioni del GEPD

Con decisione del 24 giugno 2020 il GEPD aveva ritenuto che il CRU avesse violato l’articolo 15 del regolamento 2018/1725 per mancata informazione circa l’eventuale destinatario dei dati personali e gli aveva rivolto un ammonimento. A seguito della richiesta di riesame del CRU, il GEPD ha adottato il 24 novembre 2020 una decisione rivista, che ha sostituito la prima.

Nella decisione rivista il GEPD ha affermato che:

• le osservazioni trasmesse a Deloitte erano dati pseudonimizzati, dunque dati personali;
• Deloitte era un destinatario di dati personali ai sensi dell’articolo 3, punto 13, del regolamento 2018/1725;
• l’omessa indicazione di Deloitte nell’informativa sulla protezione dei dati integrava una violazione dell’articolo 15, paragrafo 1, lettera d);
• non era però necessario esercitare poteri correttivi, alla luce delle misure organizzative adottate dal CRU.

Ricevibilità delle conclusioni

Il Tribunale ha anzitutto respinto il secondo capo delle conclusioni del CRU, con cui si chiedeva di dichiarare illegittima la decisione iniziale, rilevando che nel giudizio ex articolo 263 TFUE non è possibile ottenere una sentenza meramente dichiarativa. Ha invece dichiarato ricevibile il primo capo, diretto all’annullamento della decisione rivista, perché tale decisione costituisce un atto impugnabile: essa definisce in via definitiva la posizione del GEPD, abroga e sostituisce la decisione iniziale e produce effetti giuridici vincolanti, anche se il GEPD non ha applicato misure correttive.

Motivi di ricorso del CRU

Il CRU aveva dedotto due motivi:

• violazione dell’articolo 3, punto 1, del regolamento 2018/1725, per aver qualificato come dati personali le informazioni trasmesse a Deloitte;
• violazione dell’articolo 41 della Carta, relativo al diritto a una buona amministrazione.

Il Tribunale ha esaminato in primo luogo il motivo relativo alla nozione di dato personale e, avendolo accolto, ha ritenuto superfluo esaminare il secondo motivo.

Ragionamento del Tribunale sulla nozione di dato personale

Il Tribunale ricorda che, ai sensi dell’articolo 3, punto 1, del regolamento 2018/1725, un dato personale è qualsiasi informazione concernente una persona fisica identificata o identificabile. Tale nozione è ampia e comprende anche opinioni e valutazioni, ma solo se esse sono effettivamente connesse a una persona determinata, secondo i criteri del contenuto, della finalità o dell’effetto, come affermato nella sentenza Nowak.

Nel caso concreto, il GEPD aveva ritenuto che tutte le risposte dei partecipanti fossero dati personali perché esprimevano il loro punto di vista. Il Tribunale censura questo approccio: non è sufficiente presumere che ogni opinione sia di per sé un dato personale; occorre un esame concreto del contenuto, dello scopo o dell’effetto delle informazioni trasmesse. Poiché il GEPD non ha svolto tale analisi, la sua conclusione è stata giudicata errata.

Identificabilità e pseudonimizzazione

Il punto centrale della sentenza riguarda la seconda parte della definizione di dato personale: l’identificazione o identificabilità della persona fisica. Il Tribunale osserva che Deloitte riceveva solo osservazioni corredate da un codice alfanumerico, senza accesso ai dati di iscrizione e senza possibilità autonoma di risalire all’identità dei partecipanti.

Richiamando la sentenza Breyer, il Tribunale afferma che la verifica dell’identificabilità deve essere compiuta dal punto di vista del destinatario del dato, e non solo dal punto di vista del titolare originario del trattamento. Occorre quindi valutare se, per Deloitte, la combinazione delle informazioni ricevute con eventuali informazioni aggiuntive fosse realisticamente possibile, giuridicamente lecita e praticabile. Il GEPD si era invece limitato a constatare che il CRU possedeva le informazioni aggiuntive, senza esaminare se Deloitte potesse ragionevolmente accedervi o utilizzarle.

Il Tribunale sottolinea che il fatto che il CRU conservasse separatamente i dati identificativi non bastava, da solo, a qualificare come personali le informazioni trasmesse a Deloitte. Era necessario verificare se, per Deloitte, l’identificazione degli autori fosse concretamente possibile mediante mezzi ragionevoli. Non avendo svolto tale verifica, il GEPD non poteva concludere che le informazioni trasmesse costituissero dati personali ai sensi dell’articolo 3, punto 1, del regolamento 2018/1725.

Esito del giudizio

Accolto il primo motivo, il Tribunale ha annullato la decisione rivista del GEPD. Ha quindi respinto il ricorso nella parte residua e ha condannato il GEPD alle spese.

Principio affermato

La sentenza chiarisce che, per qualificare come dati personali informazioni trasmesse a un terzo in forma pseudonimizzata, non basta che il titolare originario conservi altrove i dati identificativi: occorre accertare, dal punto di vista del destinatario, se esista una possibilità ragionevole, lecita e concreta di reidentificare le persone. Inoltre, quando si tratta di opinioni o osservazioni, l’autorità di controllo deve verificare in concreto se, per contenuto, finalità o effetto, esse "concernano" una persona fisica determinata.