Corte di giustizia, Sentenza C-60/22

Violazione degli obblighi di contitolarità e registro nel RGPD: effetti sulla utilizzabilità dei dati nel giudizio amministrativo

La sentenza riguarda un rinvio pregiudiziale del Verwaltungsgericht Wiesbaden in una controversia tra un richiedente protezione internazionale e la Repubblica federale di Germania, nell’ambito dell’esame di una domanda di asilo. Il giudice tedesco chiedeva alla Corte come qualificare, ai fini del RGPD, l’omessa o incompleta tenuta del registro delle attività di trattamento e la mancata determinazione formale della contitolarità del trattamento, nonché quali effetti tali irregolarità producessero sulla possibilità di utilizzare i dati in sede giudiziaria.

Fatti e procedimento principale

L’Ufficio federale per la migrazione e i rifugiati aveva respinto la domanda di protezione internazionale di UZ basandosi sul fascicolo elettronico "MARIS", contenente dati personali del ricorrente. Nel successivo giudizio dinanzi al Verwaltungsgericht Wiesbaden, il fascicolo era stato trasmesso al giudice tramite la casella di posta elettronica degli uffici giudiziari e delle pubbliche amministrazioni. Il giudice del rinvio dubitava della conformità al RGPD sia della tenuta del fascicolo elettronico sia delle modalità di trasmissione, osservando in particolare che non risultavano prodotti né un accordo di contitolarità ai sensi dell’articolo 26 RGPD né un registro completo ex articolo 30 RGPD.

Questioni pregiudiziali sottoposte alla Corte

Il giudice nazionale ha chiesto, in sostanza:

• se la violazione degli obblighi previsti dagli articoli 26 e 30 RGPD integri un trattamento illecito ai sensi degli articoli 17, paragrafo 1, lettera d), e 18, paragrafo 1, lettera b), con conseguente diritto alla cancellazione o alla limitazione;
• se, in caso di risposta affermativa, i dati non possano essere presi in considerazione in un procedimento giudiziario, specie in caso di opposizione dell’interessato;
• se, in caso di risposta negativa, il giudice nazionale possa prendere in considerazione i dati solo se l’interessato vi consenta espressamente.

Normativa rilevante

La Corte richiama il RGPD, in particolare:

• articolo 5, paragrafo 1, lettere a) e paragrafo 2, sul principio di liceità e responsabilizzazione;
• articolo 6, paragrafo 1, sulle condizioni di liceità del trattamento;
• articolo 17, paragrafo 1, lettera d), sul diritto alla cancellazione per trattamento illecito;
• articolo 18, paragrafo 1, lettera b), sul diritto alla limitazione;
• articolo 26, sulla contitolarità del trattamento;
• articolo 30, sul registro delle attività di trattamento;
• articolo 58, sui poteri correttivi dell’autorità di controllo;
• articoli 77 e 82, su reclamo e risarcimento;
• articolo 83, sulle sanzioni amministrative. La pronuncia menziona inoltre l’articolo 267 TFUE, la direttiva 2013/32/UE e i riferimenti dell’articolo 8 della Carta e dell’articolo 16 TFUE alla protezione dei dati personali.

Ragionamento della Corte: ricevibilità

La Corte respinge i dubbi di irricevibilità del governo tedesco. Ricorda che le questioni pregiudiziali godono di una presunzione di rilevanza e che spetta al giudice nazionale valutare i fatti e decidere in quale fase del giudizio rivolgersi alla Corte. Nel caso concreto, il giudice del rinvio aveva comunque accertato che né l’accordo di contitolarità né il registro erano stati prodotti, e riteneva che la decisione impugnata fosse stata adottata sulla base del fascicolo elettronico controverso.

Ragionamento della Corte: prima questione

La Corte afferma che il diritto alla cancellazione o alla limitazione sussiste solo se il trattamento è "illecito" ai sensi degli articoli 17 e 18 RGPD. Tale illiceità va letta alla luce dell’articolo 5, paragrafo 1, lettera a), e dell’articolo 6 RGPD, che disciplinano la liceità del trattamento. Secondo la Corte:

• gli obblighi di cui agli articoli 26 e 30 RGPD appartengono agli "obblighi generali" del titolare del trattamento, non alle condizioni di liceità del trattamento;
• tali disposizioni non precisano il contenuto dell’articolo 5, paragrafo 1, lettera a), né dell’articolo 6, paragrafo 1;
• la loro violazione non dimostra, di per sé, che il trattamento sia privo di una base di liceità. La Corte sottolinea inoltre che il RGPD distingue sistematicamente tra i principi del capo II e gli obblighi generali del capo IV, e che questa distinzione emerge anche dal regime sanzionatorio dell’articolo 83, che prevede sanzioni diverse per le violazioni degli articoli 26 e 30 rispetto a quelle degli articoli 5 e 6. L’assenza dell’accordo di contitolarità o del registro non basta, da sola, a provare una lesione del diritto fondamentale alla protezione dei dati personali.

Rimedi alternativi previsti dal RGPD

Pur escludendo il diritto automatico alla cancellazione o alla limitazione, la Corte precisa che tali violazioni possono essere fatte valere con altri strumenti del regolamento, in particolare:

• i poteri correttivi dell’autorità di controllo ex articolo 58, paragrafo 2;
• il reclamo all’autorità di controllo ex articolo 77;
• il risarcimento del danno ex articolo 82. La Corte aggiunge che l’eventuale impossibilità, nel diritto nazionale, di infliggere sanzioni pecuniarie a un’autorità pubblica non compromette l’effettività del RGPD, poiché l’articolo 83, paragrafo 7, lascia agli Stati membri la facoltà di disciplinare tale profilo.

Ragionamento della Corte: terza questione

Quanto alla necessità del consenso dell’interessato per la presa in considerazione dei dati da parte del giudice nazionale, la Corte osserva che il consenso è solo una delle basi di liceità previste dall’articolo 6, paragrafo 1, RGPD. Nel caso di un trattamento effettuato da un giudice nell’esercizio delle proprie competenze, la base pertinente è quella dell’articolo 6, paragrafo 1, lettera e), relativa all’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri. Poiché la violazione degli articoli 26 e 30 non rende il trattamento "illecito" e poiché non è richiesto il consenso per tutte le ipotesi di liceità, la Corte conclude che la presa in considerazione dei dati da parte del giudice non è subordinata al consenso dell’interessato.

Decisione e dispositivo

La Corte ha stabilito che:

• la violazione degli articoli 26 e 30 RGPD non costituisce un trattamento illecito ai sensi degli articoli 17, paragrafo 1, lettera d), e 18, paragrafo 1, lettera b);
• di conseguenza, tale violazione non attribuisce automaticamente all’interessato un diritto alla cancellazione o alla limitazione;
• il giudice nazionale può prendere in considerazione i dati personali anche senza il consenso dell’interessato.

Principio pratico per gli operatori

Per i professionisti, la pronuncia distingue nettamente tra violazioni "strutturali" o organizzative del RGPD e illiceità sostanziale del trattamento. Le carenze documentali o organizzative del titolare non bastano, da sole, a paralizzare l’uso processuale dei dati o a imporne la cancellazione: occorre verificare se il trattamento sia realmente privo di base giuridica o contrario ai principi fondamentali di liceità. In presenza di violazioni degli articoli 26 e 30, la tutela passa quindi attraverso i rimedi tipici del sistema RGPD, non attraverso l’automatica espulsione del dato dal processo.