Corte di giustizia, Sentenza C-710/23

Comunicazione di dati di un rappresentante di persona giuridica e accesso ai documenti ufficiali

La Corte di giustizia, Prima Sezione, si pronuncia su un rinvio pregiudiziale del Nejvyšší správní soud (Corte amministrativa suprema ceca) nell’ambito di una controversia tra un richiedente l’accesso agli atti e il Ministero della salute ceco. La questione riguarda la divulgazione di informazioni contenute in contratti e certificati relativi all’acquisto di test per il depistaggio della Covid-19, con particolare riferimento ai dati di persone fisiche che avevano sottoscritto documenti per conto di persone giuridiche.

Fatti e procedimento principale

L.H. aveva chiesto al Ministero della salute l’identificazione dei soggetti che avevano firmato i contratti e i certificati relativi ai test Covid-19. Il Ministero aveva trasmesso i documenti ma oscurato nome, cognome, firma, mansioni e, in alcuni casi, recapiti delle persone fisiche che avevano agito per le persone giuridiche interessate, ritenendo tali elementi protetti dal RGPD.

Il Městský soud v Praze aveva accolto il ricorso di L.H. e aveva affermato, in sostanza, che l’amministrazione non poteva rifiutare la comunicazione di dati personali senza aver prima informato e consultato gli interessati, secondo la giurisprudenza nazionale. Il Ministero aveva proposto ricorso per cassazione sostenendo che tale obbligo preventivo fosse, nel caso concreto, impossibile da attuare e non richiesto dal RGPD.

Questioni pregiudiziali

Il giudice del rinvio ha chiesto alla Corte:

• se la divulgazione di nome, cognome, firma e dati di contatto di un rappresentante di persona giuridica costituisca trattamento di dati personali ai sensi dell’articolo 4, punti 1 e 2, RGPD;
• se il diritto nazionale, anche tramite giurisprudenza consolidata, possa subordinare l’applicazione dell’articolo 6, paragrafo 1, lettere c) ed e), RGPD all’adempimento di ulteriori condizioni, in particolare all’obbligo di informare e consultare preventivamente l’interessato prima della comunicazione dei dati.

Normativa rilevante

La Corte richiama i considerando 1, 4, 10, 14 e 154 del RGPD, l’articolo 1, paragrafo 2, l’articolo 4, punti 1 e 2, l’articolo 5, paragrafo 1, lettera a), l’articolo 6, paragrafi 1, 2 e 3, e l’articolo 86 del regolamento. Vengono inoltre richiamati l’articolo 8, paragrafo 1, della Carta, l’articolo 16, paragrafo 1, TFUE e il principio di trasparenza desumibile dagli articoli 1 e 10 TUE nonché dall’articolo 15 TFUE.

Sulla qualificazione dei dati come dati personali

La Corte afferma che la nozione di dato personale va interpretata in senso ampio: qualunque informazione che riguardi una persona fisica identificata o identificabile rientra nell’articolo 4, punto 1, RGPD. Sono quindi dati personali le informazioni sull’identità delle persone fisiche che, come organi o membri di organi, hanno il potere di vincolare una società verso i terzi.

La circostanza che tali informazioni si inseriscano in un contesto professionale non ne elimina la natura personale. La Corte precisa inoltre che il considerando 14 RGPD non depone in senso contrario, perché si riferisce ai dati delle persone giuridiche, non alle persone fisiche che agiscono per loro conto.

In applicazione di tali principi, nome, cognome e firma di una persona fisica costituiscono certamente dati personali; quanto agli ulteriori dati di contatto, spetta al giudice nazionale verificare se siano connessi a una persona fisica identificata o identificabile.

Quanto alla nozione di trattamento, la Corte ribadisce che essa comprende qualsiasi operazione sui dati personali, incluse la comunicazione, la diffusione o la messa a disposizione, indipendentemente dalla finalità concreta dell’operazione. Perciò, la comunicazione dei dati del rappresentante di una persona giuridica costituisce trattamento di dati personali anche se serve soltanto a identificarne il legale rappresentante.

Sulla liceità del trattamento e sull’obbligo di informare e consultare l’interessato

La Corte ricorda che ogni trattamento deve rispettare l’articolo 5 RGPD ed essere fondato su una delle basi di liceità dell’articolo 6. Nel caso di specie, il trattamento può rientrare nelle ipotesi di cui alle lettere c) ed e), perché imposto dalla legge nazionale nell’ambito di un compito di interesse pubblico consistente nell’accesso del pubblico ai documenti ufficiali.

L’articolo 6, paragrafi 2 e 3, consente agli Stati membri di adottare disposizioni più specifiche e di definire la base giuridica del trattamento, purché ciò avvenga nel rispetto del RGPD, dell’obiettivo di interesse pubblico e del principio di proporzionalità. In tale quadro si inserisce l’articolo 86 RGPD, che autorizza la comunicazione di dati personali contenuti in documenti ufficiali per conciliare accesso pubblico e protezione dei dati.

La Corte osserva che un obbligo nazionale di informazione e consultazione preventiva dell’interessato può contribuire alla trasparenza del trattamento e rendere più corretto il bilanciamento tra interessi contrapposti. Pertanto, in linea di principio, l’articolo 6, paragrafo 1, lettere c) ed e), RGPD non osta a una simile giurisprudenza nazionale.

Tuttavia, tale obbligo non può essere applicato in modo assoluto. Se informare o consultare l’interessato è impossibile o richiede sforzi sproporzionati, l’obbligo non può tradursi in una restrizione eccessiva del diritto di accesso del pubblico ai documenti ufficiali. La conciliazione fra trasparenza e protezione dei dati, espressamente prevista dall’articolo 86 RGPD, non può essere sostituita da un rifiuto sistematico di comunicazione fondato solo su difficoltà pratiche.

Dispositivo

La Corte risponde che:

• la comunicazione del nome, cognome, firma e dati di contatto di una persona fisica che rappresenta una persona giuridica costituisce trattamento di dati personali, senza che rilevi la finalità di mera identificazione del rappresentante;
• l’articolo 6, paragrafo 1, lettere c) ed e), RGPD, letto con l’articolo 86, non osta a una giurisprudenza nazionale che imponga informazione e consultazione preventiva dell’interessato, purché tale obbligo non sia impossibile o sproporzionato e non comporti restrizioni eccessive all’accesso del pubblico ai documenti ufficiali.

Principi pratici per gli operatori

Per le amministrazioni pubbliche, la pronuncia conferma che la divulgazione di dati di rappresentanti o firmatari di documenti societari va trattata come trattamento di dati personali e richiede una base giuridica adeguata. Al tempo stesso, il bilanciamento con la trasparenza amministrativa può giustificare obblighi procedurali nazionali, come l’informazione preventiva dell’interessato, ma solo entro limiti di ragionevolezza e proporzionalità.