Corte di giustizia, Sentenza C-659/22

Verifica dei certificati COVID digitali dell’UE tramite app mobile nazionale e nozione di trattamento

La pronuncia riguarda un rinvio pregiudiziale del Nejvyšší správní soud (Corte suprema amministrativa della Repubblica ceca) nell’ambito di un ricorso proposto da RK contro il Ministerstvo zdravotnictví. Il giudice nazionale chiedeva se la verifica, tramite l’applicazione mobile "čTečka", della validità dei certificati COVID digitali dell’UE utilizzati a fini nazionali integri un trattamento automatizzato di dati personali ai sensi del RGPD.

Fatti e procedimento principale

Il Ministero della Salute ceco aveva adottato una misura eccezionale che subordinava l’accesso a determinati luoghi ed eventi alla prova di condizioni di "assenza di infezione" da COVID-19. La verifica avveniva tramite l’app "čTečka", che scansionava il codice QR del certificato, mostrava dati identificativi di base e lo stato del certificato, e poteva aprire ulteriori informazioni contenute nel certificato, quali vaccinazione, tipo di vaccino, produttore, numero di dosi, data della vaccinazione o del primo risultato positivo e soggetto rilasciante.

Normativa rilevante

La Corte richiama anzitutto il RGPD, in particolare:

• articolo 2, paragrafo 1, sull’ambito di applicazione materiale;
• articolo 4, punto 1, sulla nozione di dato personale;
• articolo 4, punto 2, sulla nozione di trattamento;
• articoli 5 e 6, relativi rispettivamente ai principi applicabili e alla liceità del trattamento. Richiama inoltre il regolamento (UE) 2021/953, in particolare:
• articolo 1, che definisce il quadro dei certificati COVID digitali dell’UE e la base giuridica per il trattamento dei dati necessario al rilascio e alla verifica;
• articolo 3, che disciplina rilascio, verifica e accettazione dei certificati;
• articoli 5, 6 e 7, che indicano i contenuti dei certificati di vaccinazione, test e guarigione;
• articolo 10, paragrafi 1-4, sulla protezione dei dati personali;
• considerando 48, che afferma l’applicabilità del RGPD e la base giuridica del trattamento ai sensi degli articoli 6, paragrafo 1, lettera c), e 9, paragrafo 2, lettera g), del RGPD.

Ragionamento della Corte

La Corte osserva che le informazioni contenute nei certificati, comprese quelle accessibili mediante il controllo del codice QR, costituiscono dati personali, poiché riferite a una persona fisica identificata o identificabile. Richiama poi la definizione ampia di "trattamento" contenuta nell’articolo 4, punto 2, del RGPD, che comprende "qualsiasi operazione" applicata a dati personali, anche mediante processi automatizzati.

Nel caso di specie, l’applicazione nazionale:

• scansiona il codice QR;
• converte automaticamente i dati in formato leggibile dall’uomo;
• consente la consultazione e l’uso dei dati da parte del verificatore;
• confronta i dati sanitari con le regole di validazione vigenti;
• restituisce automaticamente un esito visivo della verifica.

Per la Corte, queste operazioni costituiscono nel loro insieme un trattamento di dati personali. La circostanza che i dati non siano conservati o trasferiti non esclude la qualificazione, poiché il RGPD attribuisce alla nozione di trattamento una portata ampia, coerente con l’obiettivo di tutela effettiva del diritto fondamentale alla protezione dei dati personali.

Collegamento con il regolamento (UE) 2021/953

La Corte sottolinea che lo stesso regolamento 2021/953 conferma l’applicabilità del RGPD al trattamento dei dati effettuato nel quadro del certificato COVID digitale dell’UE. In particolare, l’articolo 1, paragrafo 2, e l’articolo 10, paragrafo 1, ribadiscono che il trattamento necessario al rilascio e alla verifica dei certificati si svolge nel rispetto del RGPD.

Decisione

La Corte risponde che la nozione di "trattamento" di dati personali, di cui all’articolo 4, punto 2, del RGPD, include la verifica, mediante un’applicazione mobile nazionale, della validità dei certificati COVID-19 interoperabili rilasciati ai sensi del regolamento (UE) 2021/953 e utilizzati da uno Stato membro a fini nazionali. La conseguenza pratica è che tale attività rientra nell’ambito di applicazione materiale del RGPD.

Effetti per il giudice nazionale

La Corte precisa che spetterà al giudice del rinvio verificare se il trattamento introdotto dalla misura eccezionale rispetti i principi di cui all’articolo 5 del RGPD e sia fondato su una base di liceità conforme all’articolo 6 del medesimo regolamento.

Principio affermato

La verifica automatizzata, tramite app mobile nazionale, della validità dei certificati COVID digitali dell’UE costituisce trattamento di dati personali anche quando i dati sono solo visualizzati temporaneamente e non conservati o trasferiti, perché la scansione del codice QR e il confronto con le regole di validazione integrano comunque un uso di dati personali ai sensi del RGPD.