CELEX: 62022CJ0060
Rinvio pregiudiziale
Protezione delle persone fisiche con riguardo al trattamento dei dati personali
Regolamento (UE) 2016/679
Articolo 5
Principi applicabili al trattamento
Responsabilizzazione del trattamento
Articolo 6
Liceità del trattamento
Fascicolo elettronico relativo a una domanda di asilo compilato da un’autorità amministrativa
Trasmissione al giudice nazionale competente mediante una casella di posta elettronica
Violazione degli articoli 26 e 30
Assenza di un accordo che determina la contitolarità del trattamento e mancata tenuta del registro delle attività di trattamento
Conseguenze
Articolo 17, paragrafo 1
Diritto alla cancellazione (“diritto all’oblio”)
Articolo 18, paragrafo 1
Diritto di limitazione di trattamento
Nozione di “trattamento illecito”
Presa in considerazione del fascicolo elettronico da parte di un giudice nazionale
Mancato consenso dell’interessato

La domanda di pronuncia pregiudiziale verte sull’interpretazione dell’articolo 5, dell’articolo 17,  paragrafo 1, lettera d), dell’articolo 18, paragrafo 1, lettera b), nonché degli articoli 26 e 30 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati)  (GU 2016, L 119, pag. 1, e rettifiche in GU 2016, L 314, pag. 72, GU 2018, L 127, pag. 3 e GU 2021, L 74, pag. 35; in prosieguo: il «RGPD»).
Tale domanda è stata presentata nell’ambito di una controversia tra UZ, cittadino di un paese terzo, e la Bundesrepublik Deutschland (Repubblica federale di Germania), rappresentata dal Bundesamt für Migration und Flüchtlinge (Ufficio federale per la migrazione e i rifugiati, Germania) (in prosieguo: l’«Ufficio federale»), in merito all’esame della domanda di protezione internazionale presentata da tale persona.

Contesto normativo

Diritto dell
’
Unione

Direttiva 2013/32/UE
Il considerando 52 della direttiva 2013/32/UE del Parlamento europeo e del Consiglio, del 26 giugno 2013, recante procedure comuni ai fini del riconoscimento e della revoca dello status di protezione internazionale (rifusione) (GU 2013, L 180, pag. 60), così recita:
«La direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati [(GU 1995, L 281, pag. 31)], disciplina il trattamento dei dati personali effettuato negli Stati membri a norma della presente direttiva».

RGPD
I considerando 1, 10, 40, 74, 79 e 82 del  RGPD recitano nel modo seguente:
«(1)      La protezione delle persone fisiche con riguardo al trattamento dei dati di carattere personale è un diritto fondamentale. L’articolo 8, paragrafo 1, della Carta dei diritti fondamentali dell’Unione europea (…) e l’articolo 16, paragrafo 1, [TFUE] stabiliscono che ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano.
(...)
(10)      Al fine di assicurare un livello coerente ed elevato di protezione delle persone fisiche e rimuovere gli ostacoli alla circolazione dei dati personali all’interno dell’Unione [europea], il livello di protezione dei diritti e delle libertà delle persone fisiche con riguardo al trattamento di tali dati dovrebbe essere equivalente in tutti gli Stati membri. È opportuno assicurare un’applicazione coerente e omogenea delle norme a protezione dei diritti e delle libertà fondamentali delle persone fisiche con riguardo al trattamento dei dati personali in tutta l’Unione. (...)
(...)
(40)      Perché sia lecito, il trattamento di dati personali dovrebbe fondarsi sul consenso dell’interessato o su altra base legittima prevista per legge dal presente regolamento o dal diritto dell’Unione o degli Stati membri, come indicato nel presente regolamento, tenuto conto della necessità di ottemperare all’obbligo legale al quale il titolare del trattamento è soggetto o della necessità di esecuzione di un contratto di cui l’interessato è parte o di esecuzione di misure precontrattuali adottate su richiesta dello stesso.
(...)
(74)      È opportuno stabilire la responsabilità generale del titolare del trattamento per qualsiasi trattamento di dati personali che quest’ultimo abbia effettuato direttamente o che altri abbiano effettuato per suo conto. In particolare, il titolare del trattamento dovrebbe essere tenuto a mettere in atto misure adeguate ed efficaci ed essere in grado di dimostrare la conformità delle attività di trattamento con il presente regolamento, compresa l’efficacia delle misure. Tali misure dovrebbero tener conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, nonché del rischio per i diritti e le libertà delle persone fisiche.
(...)
(79)      La protezione dei diritti e delle libertà degli interessati così come la responsabilità generale dei titolari del trattamento e dei responsabili del trattamento, anche in relazione al monitoraggio e alle misure delle autorità di controllo, esigono una chiara ripartizione delle responsabilità ai sensi del presente regolamento, compresi i casi in cui un titolare del trattamento stabilisca le finalità e i mezzi del trattamento congiuntamente con altri titolari del trattamento o quando l’operazione di trattamento viene eseguita per conto del titolare del trattamento.
(...)
(82)      Per dimostrare che si conforma al presente regolamento, il titolare del trattamento o il responsabile del trattamento dovrebbe tenere un registro delle attività di trattamento effettuate sotto la sua responsabilità. Sarebbe necessario obbligare tutti i titolari del trattamento e i responsabili del trattamento a cooperare con l’autorità di controllo e a mettere, su richiesta, detti registri a sua disposizione affinché possano servire per monitorare detti trattamenti».
Il capo I del RGPD, rubricato «Disposizioni generali», comprende gli articoli  da 1 a 4.
Ai sensi dell’articolo 1 di tale regolamento, rubricato «Oggetto e finalità»:
«1.      Il presente regolamento stabilisce norme relative alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché norme relative alla libera circolazione di tali dati.
2.      Il presente regolamento protegge i diritti e le libertà fondamentali delle persone fisiche, in particolare il diritto alla protezione dei dati personali.
(...)».
L’articolo 4 di detto regolamento, rubricato «Definizioni», prevede, ai punti 2, 7 e 21, quanto segue:
«2)      “trattamento”: qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione;
(...)
7)      “titolare del trattamento”: la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali; quando le finalità e i mezzi di tale trattamento sono determinati dal diritto dell’Unione o degli Stati membri, il titolare del trattamento o i criteri specifici applicabili alla sua designazione possono essere stabiliti dal diritto dell’Unione o degli Stati membri;
(...)
21)      “autorità di controllo”: l’autorità pubblica indipendente istituita da uno Stato membro ai sensi dell’articolo 51;
(...)».
Il capo II del RGPD, rubricato «Principi», comprende gli articoli da 5 a 11.
L’articolo 5 di tale regolamento, rubricato «Principi applicabili al trattamento di dati personali», dispone quanto segue:
«1.      I dati personali sono:
a)      trattati in modo lecito, corretto e trasparente nei confronti dell’interessato (“liceità, correttezza e trasparenza”);
b)      raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità; un ulteriore trattamento dei dati personali a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici non è, conformemente all’articolo 89, paragrafo 1, considerato incompatibile con le finalità iniziali (“limitazione della finalità”);
c)      adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati (“minimizzazione dei dati”);
d)      esatti e, se necessario, aggiornati; devono essere adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità per le quali sono trattati (“esattezza”);
e)      conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati; i dati personali possono essere conservati per periodi più lunghi a condizione che siano trattati esclusivamente a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, conformemente all’articolo 89, paragrafo 1, fatta salva l’attuazione di misure tecniche e organizzative adeguate richieste dal presente regolamento a tutela dei diritti e delle libertà dell’interessato (“limitazione della conservazione”);
f)      trattati in maniera da garantire un’adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali (“integrità e riservatezza”).
2.      Il titolare del trattamento è competente per il rispetto del paragrafo 1 e in grado di comprovarlo (“responsabilizzazione”)».
L’articolo 6 di detto regolamento, rubricato «Liceità del trattamento», al paragrafo 1 così prevede:
«Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni:
a)      l’interessato ha espresso il consenso al trattamento dei propri dati personali per una o più specifiche finalità;
b)      il trattamento è necessario all’esecuzione di un contratto di cui l’interessato è parte o all’esecuzione di misure precontrattuali adottate su richiesta dello stesso;
c)      il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento;
d)      il trattamento è necessario per la salvaguardia degli interessi vitali dell’interessato o di un’altra persona fisica;
e)      il trattamento è necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento;
f)      il trattamento è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali, in particolare se l’interessato è un minore.
La lettera f) del primo comma non si applica al trattamento di dati effettuato dalle autorità pubbliche nell’esecuzione dei loro compiti».
L’articolo 7 del RGPD riguarda le  condizioni per il consenso, mentre l’articolo 8 di detto regolamento prevede le  condizioni applicabili al consenso dei minori in relazione ai servizi della società dell’informazione.
L’articolo 9 di tale regolamento, rubricato «Trattamento di categorie particolari di dati personali», vieta  di trattare dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché di trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona.
L’articolo 10 di detto regolamento, rubricato «Trattamento dei dati personali relativi a condanne penali e reati», riguarda  il trattamento dei dati personali relativi alle condanne penali e ai reati o a connesse misure di sicurezza sulla base dell’articolo 6, paragrafo 1, dello stesso regolamento.
Il capo III del RGPD, rubricato «Diritti dell’interessato», comprende gli articoli da 12 a 23.
L’articolo 17 di tale regolamento, rubricato «Diritto alla cancellazione (“diritto all’oblio”)», così recita:
«1.      L’interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l’obbligo di cancellare senza ingiustificato ritardo i dati personali, se sussiste uno dei motivi seguenti:
a)      i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati;
(...)
d)      i dati personali sono stati trattati illecitamente;
(...)
3.      I paragrafi 1 e 2 non si applicano nella misura in cui il trattamento sia necessario:
(...)
b)      per l’adempimento di un obbligo giuridico che richieda il trattamento previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento o per l’esecuzione di un compito svolto nel pubblico interesse oppure nell’esercizio di pubblici poteri di cui è investito il titolare del trattamento;
(...)
e)      per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria».
Ai sensi dell’articolo 18 del regolamento in parola, rubricato «Diritto di limitazione di trattamento»:
«1.      L’interessato ha il diritto di ottenere dal titolare del trattamento la limitazione del trattamento quando ricorre una delle seguenti ipotesi:
(...)
b)      il trattamento è illecito e l’interessato si oppone alla cancellazione dei dati personali e chiede invece che ne sia limitato l’utilizzo;
(...)
2.      Se il trattamento è limitato a norma del paragrafo 1, tali dati personali sono trattati, salvo che per la conservazione, soltanto con il consenso dell’interessato o per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria oppure per tutelare i diritti di un’altra persona fisica o giuridica o per motivi di interesse pubblico rilevante dell’Unione o di uno Stato membro.
(...)».
Il capo IV del RGPD, rubricato «Titolare del trattamento e responsabile del trattamento» comprende gli articoli da 24 a 43.
Nella sezione 1 di tale capo, intitolata «Obblighi generali», figura l’articolo 26 di detto regolamento, rubricato «Contitolari del trattamento», che recita nel modo seguente:
«1.      Allorché due o più titolari del trattamento determinano congiuntamente le finalità e i mezzi del trattamento, essi sono contitolari del trattamento. Essi determinano in modo trasparente, mediante un accordo interno, le rispettive responsabilità in merito all’osservanza degli obblighi derivanti dal presente regolamento, con particolare riguardo all’esercizio dei diritti dell’interessato, e le rispettive funzioni di comunicazione delle informazioni di cui agli articoli 13 e 14, a meno che e nella misura in cui le rispettive responsabilità siano determinate dal diritto dell’Unione o dello Stato membro cui i titolari del trattamento sono soggetti. Tale accordo può designare un punto di contatto per gli interessati.
2.      L’accordo di cui al paragrafo 1 riflette adeguatamente i rispettivi ruoli e i rapporti dei contitolari con gli interessati. Il contenuto essenziale dell’accordo è messo a disposizione dell’interessato.
3.      Indipendentemente dalle disposizioni dell’accordo di cui al paragrafo 1, l’interessato può esercitare i propri diritti ai sensi del presente regolamento nei confronti di e contro ciascun titolare del trattamento».
L’articolo 30 di detto regolamento, rubricato «Registri delle attività di trattamento», prevede quanto segue:
«1.      Ogni titolare del trattamento e, ove applicabile, il suo rappresentante tengono un registro delle attività di trattamento svolte sotto la propria responsabilità. Tale registro contiene tutte le seguenti informazioni:
a)      il nome e i dati di contatto del titolare del trattamento e, ove applicabile, del contitolare del trattamento, del rappresentante del titolare del trattamento e del responsabile della protezione dei dati;
b)      le finalità del trattamento;
c)      una descrizione delle categorie di interessati e delle categorie di dati personali;
d)      le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, compresi i destinatari di paesi terzi od organizzazioni internazionali;
(...)
4.      Su richiesta, il titolare del trattamento o il responsabile del trattamento e, ove applicabile, il rappresentante del titolare del trattamento o del responsabile del trattamento mettono il registro a disposizione dell’autorità di controllo.
(...)».
Nel capo VI del RGPD, intitolato «Autorità di controllo indipendenti», figura l’articolo 58, rubricato «Poteri», il quale, al paragrafo 2, dispone quanto segue:
«Ogni autorità di controllo ha tutti i poteri correttivi seguenti:
a)      rivolgere avvertimenti al titolare del trattamento o al responsabile del trattamento sul fatto che i trattamenti previsti possono verosimilmente violare le disposizioni del presente regolamento;
b)      rivolgere ammonimenti al titolare del trattamento o al responsabile del trattamento ove i trattamenti abbiano violato le disposizioni del presente regolamento;
c)      ingiungere al titolare del trattamento o al responsabile del trattamento di soddisfare le richieste dell’interessato di esercitare i diritti loro derivanti dal presente regolamento;
d)      ingiungere al titolare del trattamento o al responsabile del trattamento di conformare i trattamenti alle disposizioni del presente regolamento, se del caso, in una determinata maniera ed entro un determinato termine;
e)      ingiungere al titolare del trattamento di comunicare all’interessato una violazione dei dati personali;
f)      imporre una limitazione provvisoria o definitiva al trattamento, incluso il divieto di trattamento;
g)      ordinare la rettifica, la cancellazione di dati personali o la limitazione del trattamento a norma degli articoli 16, 17 e 18 e la notificazione di tali misure ai destinatari cui sono stati comunicati i dati personali ai sensi dell’articolo 17, paragrafo 2, e dell’articolo 19;
h)      revocare la certificazione o ingiungere all’organismo di certificazione di ritirare la certificazione rilasciata a norma degli articoli 42 e 43, oppure ingiungere all’organismo di certificazione di non rilasciare la certificazione se i requisiti per la certificazione non sono o non sono più soddisfatti;
i)      infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle misure di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso; e
j)      ordinare la sospensione dei flussi di dati verso un destinatario in un paese terzo o un’organizzazione internazionale».
Il capo VIII di tale regolamento, rubricato «Mezzi di ricorso, responsabilità e sanzioni», comprende gli articoli da 77 a 84.
L’articolo 77 di detto regolamento, rubricato «Diritto di proporre reclamo all’autorità di controllo», dispone, al paragrafo 1, quanto segue:
«Fatto salvo ogni altro ricorso amministrativo o giurisdizionale, l’interessato che ritenga che il trattamento che lo riguarda violi il presente regolamento ha il diritto di proporre reclamo a un’autorità di controllo, segnatamente nello Stato membro in cui risiede abitualmente, lavora oppure del luogo ove si è verificata la presunta violazione».
L’articolo 82 del RGPD, rubricato «Diritto al risarcimento e responsabilità», prevede, ai paragrafi 1 e 2, quanto segue:
«1.      Chiunque subisca un danno materiale o immateriale causato da una violazione del presente regolamento ha il diritto di ottenere il risarcimento del danno dal titolare del trattamento o dal responsabile del trattamento.
2.      Un titolare del trattamento coinvolto nel trattamento risponde per il danno cagionato dal suo trattamento che violi il presente regolamento. Un responsabile del trattamento risponde per il danno causato dal trattamento solo se non ha adempiuto gli obblighi del presente regolamento specificatamente diretti ai responsabili del trattamento o ha agito in modo difforme o contrario rispetto alle legittime istruzioni del titolare del trattamento».
L’articolo 83 di tale regolamento, rubricato «Condizioni generali per infliggere sanzioni amministrative pecuniarie», ai paragrafi 4, 5 e 7, così recita:
«4.      In conformità del paragrafo 2, la violazione delle disposizioni seguenti è soggetta a sanzioni amministrative pecuniarie fino a 10 000 000 EUR, o per le imprese, fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore:
a)      gli obblighi del titolare del trattamento e del responsabile del trattamento a norma degli articoli 8, 11, da 25 a 39, 42 e 43;
(...)
5.      In conformità del paragrafo 2, la violazione delle disposizioni seguenti è soggetta a sanzioni amministrative pecuniarie fino a 20 000 000 EUR, o per le imprese, fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore:
a)      i principi di base del trattamento, comprese le condizioni relative al consenso, a norma degli articoli 5, 6, 7 e 9;
(...)
7.      Fatti salvi i poteri correttivi delle autorità di controllo a norma dell’articolo 58, paragrafo 2, ogni Stato membro può prevedere norme che dispongano se e in quale misura possono essere inflitte sanzioni amministrative pecuniarie ad autorità pubbliche e organismi pubblici istituiti in tale Stato membro».
Nel capo XI di detto regolamento, intitolato «Disposizioni finali», figura l’articolo 94, rubricato «Abrogazione della direttiva 95/46/CE», che dispone quanto segue:
«1.      La direttiva 95/46/CE è abrogata a decorrere dal 25 maggio 2018.
2.      I riferimenti alla direttiva abrogata si intendono fatti al presente regolamento. I riferimenti al gruppo per la tutela delle persone con riguardo al trattamento dei dati personali istituito dall’articolo 29 della direttiva 95/46/CE si intendono fatti al comitato europeo per la protezione dei dati istituito dal presente regolamento».

Diritto tedesco
L’articolo 43 del Bundesdatenschutzgesetz (legge federale sulla protezione dei dati), del 20 dicembre 1990 (BGBl. 1990 I, pag. 2954), nella versione applicabile alla controversia nel procedimento principale (in prosieguo: il «BDSG»), rubricato «Disposizioni relative alle sanzioni amministrative pecuniarie»,  al paragrafo 3  prevede quanto segue:
«Nessuna  sanzione amministrativa pecuniaria può essere inflitta  alle autorità pubbliche e agli altri organismi pubblici ai sensi dell’articolo 2, paragrafo 1[, del BDSG]».

Procedimento principale e questioni pregiudiziali
Il 7 maggio 2019 il ricorrente nel procedimento principale ha presentato una domanda di protezione internazionale all’Ufficio federale, il quale l’ha respinta.
Per adottare la sua decisione di rigetto (in prosieguo: la «decisione controversa»), l’Ufficio federale si è basato sul fascicolo elettronico «MARIS» da esso compilato, che contiene i dati personali relativi al ricorrente nel procedimento principale.
Quest’ultimo ha proposto ricorso avverso la decisione controversa dinanzi al Verwaltungsgericht Wiesbaden (Tribunale amministrativo di Wiesbaden, Germania), giudice del rinvio nella presente causa. Il fascicolo elettronico «MARIS» è stato allora trasmesso a tale giudice, nell’ambito di una procedura congiunta ai sensi dell’articolo 26 del RGPD, tramite la casella di posta elettronica degli uffici giudiziari e delle pubbliche amministrazioni («Elektronisches Gerichts-  und Verwaltungspostfach»), gestita da un organismo pubblico appartenente al potere esecutivo.
Il giudice del rinvio rileva che dal considerando 52 della direttiva 2013/32 risulta che il trattamento dei dati personali effettuato dagli Stati membri nell’ambito delle procedure di riconoscimento della protezione internazionale è disciplinato dal RGPD.
Detto giudice dubita tuttavia che la tenuta del fascicolo elettronico compilato dall’Ufficio federale e la trasmissione, allo stesso giudice, di tale fascicolo tramite la casella di posta elettronica degli uffici giudiziari e delle pubbliche amministrazioni siano conformi a tale regolamento.
Da un lato, per quanto riguarda la tenuta del fascicolo elettronico, non sarebbe stato dimostrato che l’Ufficio federale si conformi al combinato disposto dell’articolo 5, paragrafo 1, e dell’articolo 30 del RGPD.  Infatti, nonostante una richiesta rivolta a tal fine dal giudice del rinvio, l’Ufficio federale non avrebbe prodotto un registro delle attività di trattamento completo in relazione  a tale fascicolo. Orbene, un siffatto registro avrebbe dovuto essere compilato al momento del trattamento dei dati personali relativi al ricorrente nel procedimento principale, ossia alla data di presentazione della sua domanda di protezione internazionale. L’Ufficio federale dovrebbe essere sentito sulla questione della sua responsabilizzazione, ai sensi dell’articolo 5, paragrafo 2, del RGPD, dopo che la Corte avrà statuito sulla presente domanda di pronuncia pregiudiziale.
Dall’altro lato, per quanto riguarda la trasmissione del fascicolo elettronico tramite la casella di posta elettronica degli uffici giudiziari e delle pubbliche amministrazioni, una siffatta trasmissione costituirebbe un «trattamento» dei dati, ai sensi dell’articolo 4, punto 2, del RGPD, che deve essere conforme ai principi stabiliti  dall’articolo 5 di tale regolamento. Orbene, in violazione dell’articolo 26 di detto regolamento, nessuna normativa nazionale disciplinerebbe tale procedura di trasmissione tra le autorità amministrative  e i giudici determinando le rispettive responsabilità dei contitolari del trattamento e nessun accordo in tal senso sarebbe stato prodotto dall’Ufficio federale, e ciò malgrado una richiesta rivolta a tal fine dal giudice del rinvio. Quest’ultimo si pone quindi la questione di stabilire se sia lecito tale trasferimento dei dati tramite la casella di posta elettronica degli uffici giudiziari e delle pubbliche amministrazioni.
In particolare, secondo il giudice del rinvio, occorrerebbe stabilire se la violazione degli obblighi previsti agli articoli 5, 26 e 30 del RGPD, da cui deriverebbe l’illiceità del trattamento dei dati personali, debba essere sanzionata con la cancellazione di tali dati, conformemente all’articolo 17, paragrafo 1, lettera d), di tale regolamento, oppure con una limitazione del trattamento, conformemente all’articolo 18, paragrafo 1, lettera b), di detto regolamento. Siffatte sanzioni dovrebbero, quanto meno, essere previste nel caso di una richiesta della persona interessata. In mancanza, tale giudice si vedrebbe suo malgrado coinvolto in un trattamento illecito di detti dati nell’ambito del procedimento giurisdizionale. In un caso del genere, soltanto l’autorità di controllo potrebbe intervenire, ai sensi dell’articolo 58 del RGPD, infliggendo alle autorità pubbliche interessate una sanzione amministrativa pecuniaria, in forza dell’articolo 83, paragrafo 5, lettera a), di tale regolamento. Tuttavia, conformemente all’articolo 43, paragrafo 3, del BDSG, che recepisce l’articolo 83, paragrafo 7, di detto regolamento, nessuna sanzione amministrativa pecuniaria potrebbe essere inflitta, a livello nazionale, alle autorità pubbliche e agli altri organismi pubblici. Ne conseguirebbe che né la direttiva 2013/32 né il RGPD sarebbero rispettati.
Inoltre, il giudice del rinvio ritiene che il trattamento in questione nel procedimento principale non rientri nell’ambito di applicazione dell’articolo 17, paragrafo 3, lettera e), del RGPD, il quale consente l’utilizzo di dati personali ai fini dell’accertamento, dell’esercizio o della difesa di un diritto in sede giudiziaria da parte della resistente. È pur vero che, nel caso di specie, i dati sarebbero utilizzati dall’Ufficio federale per adempiere, conformemente all’articolo 17, paragrafo 3, lettera b), di tale regolamento, un obbligo legale che richiede il trattamento, previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento, o per l’esecuzione di un compito svolto nel pubblico interesse oppure nell’esercizio di pubblici poteri di cui è investito il titolare del trattamento. Tuttavia, se si applicasse tale disposizione, ciò equivarrebbe a rendere lecita stabilmente una prassi contraria alla normativa in materia di protezione dei dati.
Tale giudice si chiede, pertanto, in quale misura esso possa, nell’esercizio della sua attività giurisdizionale, prendere in considerazione i dati personali forniti nell’ambito di una siffatta procedura rientrante nelle attribuzioni del potere esecutivo. Infatti, se la tenuta del fascicolo elettronico o la sua trasmissione tramite la casella di posta elettronica degli uffici giudiziari e delle pubbliche amministrazioni dovesse essere qualificata come trattamento illecito alla luce del RGPD, detto giudice sarebbe coinvolto, per via di una siffatta presa in considerazione, nel trattamento illecito in questione, il che contrasterebbe con l’obiettivo perseguito da tale regolamento, il quale consiste nella tutela  dei diritti e delle libertà fondamentali delle persone fisiche, e in particolare del loro diritto alla protezione dei dati personali.
A tal riguardo, il giudice del rinvio si chiede inoltre se la circostanza che l’interessato abbia prestato il proprio consenso esplicito oppure si opponga all’utilizzo dei suoi dati personali in sede giudiziale possa influire sulla possibilità di prendere in considerazione tali dati. Nel caso in cui tale giudice non potesse prendere in considerazione i dati contenuti nel fascicolo elettronico «MARIS» a causa delle illegittimità che inficiano la tenuta e la trasmissione di detto fascicolo, non sussisterebbe alcuna base giuridica, nelle more di un’eventuale regolarizzazione di tali illegittimità, per adottare una decisione sulla domanda del ricorrente nel procedimento principale diretta al riconoscimento  dello status di rifugiato. Di conseguenza, detto giudice dovrebbe annullare la decisione controversa.
Ciò premesso, il Verwaltungsgericht Wiesbaden (Tribunale amministrativo di Wiesbaden) ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali:
«1)      Se l’omissione o l’assente o incompleta applicazione, da parte del titolare del trattamento, del principio di responsabilizzazione ai sensi dell’articolo 5 del [RGPD], per esempio per l’omessa o incompleta tenuta di un registro delle attività di trattamento ai sensi dell’articolo 30 [di tale regolamento], o per la mancata determinazione di una procedura per la contitolarità ai sensi dell’articolo 26 [di detto regolamento], comportino un trattamento illecito dei dati personali ai sensi degli articoli 17, paragrafo 1, lettera d), e 18, paragrafo 1, lettera b), del RGPD, cosicché sussiste per l’interessato un diritto alla cancellazione o un diritto di limitazione di trattamento.
2)      In caso di risposta affermativa alla prima questione: se la sussistenza di un diritto alla cancellazione o di un diritto di limitazione di trattamento comporti che i dati trattati non possano essere presi in considerazione nell’ambito di un procedimento giudiziario. Se ciò si applichi in ogni caso qualora l’interessato si opponga all’utilizzo in sede giudiziale.
3)      In caso di risposta negativa alla prima questione: se una violazione da parte di un titolare del trattamento degli articoli 5, 30 o 26 del RGPD comporti, in merito alla questione dell’utilizzo in sede giudiziale del trattamento dei dati personali, che un giudice nazionale possa tener conto dei dati solo se l’interessato presta espressamente il suo consenso».

Sulle questioni pregiudiziali

Sulla ricevibilità
Senza sollevare formalmente un’eccezione di irricevibilità, il governo tedesco esprime dubbi sulla rilevanza delle questioni pregiudiziali ai fini dell’esito del procedimento principale. Anzitutto, dalla decisione di rinvio risulterebbe che la violazione, da parte dell’Ufficio federale, dell’articolo 5, paragrafo 2, del RGPD non è definitivamente accertata, in quanto il giudice del rinvio si limita a presumerla. Inoltre, tale giudice non avrebbe riferito che i fascicoli dell’Ufficio federale, anche supponendo che a tale giudice non fosse consentito a utilizzarli, fossero gli unici decisivi per la soluzione di tale controversia. Infatti, detto giudice disporrebbe anche di altre fonti di informazione, le quali, in forza del principio dell’istruttoria d’ufficio, dovrebbero essere pienamente utilizzate qualora un’autorità non presenti alcun fascicolo o i fascicoli siano incompleti. Infine, la terza questione sarebbe manifestamente ipotetica, poiché dalla decisione di rinvio non risulterebbe che il ricorrente nel procedimento principale abbia acconsentito o acconsenta all’utilizzo del trattamento dei suoi dati personali da parte del giudice del rinvio.
Occorre ricordare che, secondo una giurisprudenza costante della Corte, le questioni relative al diritto dell’Unione godono di una presunzione di rilevanza. Il diniego della Corte di statuire su una questione pregiudiziale proposta da un giudice nazionale è possibile solo quando appaia in modo manifesto che l’interpretazione del diritto dell’Unione richiesta non ha alcuna relazione con la realtà o con l’oggetto del procedimento principale, che la Corte non dispone degli elementi di fatto o di diritto necessari a fornire una risposta utile alle questioni che le vengono sottoposte o che il problema è di natura ipotetica. Per di più, nell’ambito del procedimento di cui all’articolo 267 TFUE, basato sulla netta separazione di funzioni tra i giudici nazionali e la Corte, il giudice nazionale è l’unico competente ad esaminare e valutare i fatti del procedimento principale  (v., in particolare, sentenza del 24 marzo 2022, Autoriteit Persoonsgegevens, C‑245/20, EU:C:2022:216, punti 20 e 21 nonché giurisprudenza ivi citata).
Come risulta chiaramente dal secondo comma dell’articolo 267 TFUE, nell’ambito della stretta collaborazione, basata sulla ripartizione dei compiti, tra i giudici nazionali e la Corte, spetta al giudice del rinvio decidere in quale fase del procedimento sia necessario sottoporre alla Corte una questione pregiudiziale (sentenza del 17 luglio 2008, Coleman, C‑303/06, EU:C:2008:415, punto 29 e giurisprudenza ivi citata).
In particolare, la Corte  ha già dichiarato, al riguardo, che  la circostanza che talune questioni di fatto non siano ancora state oggetto di una procedura in contraddittorio di assunzione della prova non è idonea, in quanto tale, a rendere irricevibile una questione pregiudiziale (v., in tal senso, sentenza dell’11 settembre 2014, Österreichischer Gewerkschaftsbund,  C‑328/13, EU:C:2014:2197, punto 19 e giurisprudenza ivi citata).
Orbene, nel caso di specie, ancorché dalla domanda di pronuncia pregiudiziale risulti che il giudice del rinvio non ha statuito in via definitiva sull’esistenza di una violazione, da parte dell’Ufficio federale, degli obblighi a suo carico derivanti dall’articolo 5, paragrafo 2, del RGPD in combinato disposto con gli articoli 26 e 30 di quest’ultimo, poiché tale aspetto della controversia nel procedimento principale deve ancora, secondo le indicazioni fornite in detta domanda, essere discusso in contraddittorio, resta il fatto che tale giudice ha accertato che né l’accordo relativo al trattamento congiunto dei dati né il registro delle attività di trattamento, previsti da queste ultime due disposizioni, sono stati prodotti dall’Ufficio federale in qualità di titolare del trattamento, e ciò malgrado la richiesta che lo stesso giudice gli aveva rivolto a tal fine.
Peraltro, dalla decisione di rinvio risulta che, ad avviso di detto giudice, il quale è l’unico a cui spetta il compito di accertare e valutare i fatti, la decisione controversa è stata adottata sulla sola base del fascicolo elettronico compilato dall’Ufficio federale, la cui tenuta e trasmissione potrebbero violare le norme stabilite da detto regolamento, cosicché la decisione in parola potrebbe dover essere annullata per tale ragione.
Infine, quanto al consenso del ricorrente nel procedimento principale all’utilizzo dei suoi dati personali nell’ambito del procedimento giurisdizionale, è sufficiente rilevare che la terza questione pregiudiziale mira proprio a stabilire se sia necessario, nel caso di specie, che un siffatto consenso sia espresso affinché sia consentito  al giudice del rinvio prendere in considerazione tali dati.
Ciò premesso, dal momento che la Corte si trova pertanto investita di una domanda d’interpretazione del diritto dell’Unione non manifestamente priva di qualsiasi rapporto con la realtà o con l’oggetto del procedimento principale e che essa dispone degli elementi necessari per rispondere in maniera utile alle questioni sottopostele, relative alla rilevanza del RGPD per la controversia nel procedimento principale, essa deve pronunciarsi in proposito senza essere tenuta ad accertare essa stessa la validità della presunzione sulla quale si è basato il giudice del rinvio, che, se necessario, quest’ultimo dovrà successivamente verificare  (v., per analogia, sentenza del 17 luglio 2008, Coleman, C‑303/06, EU:C:2008:415, punto 31 e giurisprudenza ivi citata).
Di conseguenza, si deve statuire che la presente domanda di pronuncia pregiudiziale è ricevibile e rispondere alle questioni sollevate dal giudice del rinvio, fermo restando che a quest’ultimo tuttavia spetta verificare se l’Ufficio federale abbia violato gli obblighi previsti agli articoli 26 e 30 del RGPD.

Nel merito

Sulla prima questione
Con la prima questione il giudice del rinvio chiede, in sostanza, se l’articolo 17, paragrafo 1, lettera d), e l’articolo 18, paragrafo 1, lettera b), del RGPD debbano essere interpretati nel senso che la violazione, da parte del titolare del trattamento, degli obblighi previsti agli articoli 26 e 30 di tale regolamento, relativi, rispettivamente, alla conclusione di un accordo che determina la contitolarità del trattamento e alla tenuta di un registro delle attività di trattamento, costituisce un trattamento illecito che conferisce all’interessato il diritto alla cancellazione o alla limitazione del trattamento, poiché una siffatta violazione implica una violazione da parte del titolare del trattamento del principio di «responsabilizzazione» quale sancito  dall’articolo 5, paragrafo 2, di detto regolamento.
Secondo la giurisprudenza costante della Corte, ai fini dell’interpretazione di una norma di diritto dell’Unione si deve tener conto non soltanto della lettera della stessa, ma anche del contesto in cui essa si inserisce e degli scopi della normativa di cui essa fa parte (v., in tal senso, in particolare, sentenza del 12 gennaio 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, punto 32 e giurisprudenza ivi citata).
Per quanto riguarda, in primo luogo, il tenore letterale delle disposizioni del diritto dell’Unione pertinenti, occorre ricordare che, conformemente all’articolo 17, paragrafo 1, lettera d), del RGPD, l’interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l’obbligo di cancellare senza ingiustificato ritardo tali dati, se questi ultimi sono stati «trattati illecitamente».
Analogamente, ai sensi dell’articolo 18, paragrafo 1, lettera b), del RGPD, l’interessato, qualora si opponga alla cancellazione di siffatti dati e chieda invece che ne sia limitato l’utilizzo, ha il diritto di ottenere dal titolare del trattamento la limitazione del trattamento quando  il «trattamento è illecito».
Le disposizioni menzionate ai due punti precedenti devono essere lette in combinato disposto con l’articolo 5, paragrafo 1, di tale regolamento, secondo il quale il trattamento dei dati personali deve rispettare una determinata serie di principi enunciati in tale disposizione, tra cui quello sancito  dall’articolo 5, paragrafo 1, lettera a), di detto regolamento, il quale precisa che i dati personali sono trattati «in modo lecito, corretto e trasparente nei confronti dell’interessato».
Ai sensi del paragrafo 2 dell’articolo 5, del RGPD, il titolare del trattamento, conformemente al principio di «responsabilizzazione» previsto da tale disposizione, è competente per il rispetto del paragrafo 1 di tale articolo e  in grado di comprovare  di aver rispettato tutti i principi sanciti da detto paragrafo 1, circostanza la cui prova è quindi a carico dello stesso [v., in tal senso, sentenza del 24 febbraio 2022, Valsts ieņēmumu dienests (Trattamento di dati personali a fini fiscali),  C‑175/20, EU:C:2022:124, punti 77, 78 e 81].
Ne consegue che, ai sensi del combinato disposto del paragrafo 2 e del paragrafo 1, lettera a), dell’articolo 5 di detto regolamento, il titolare del trattamento deve garantire il carattere «lecito» del trattamento dei dati da esso effettuato.
Orbene, occorre constatare che la liceità del trattamento è giustappunto disciplinata, come risulta dalla sua stessa rubrica, dall’articolo 6 del RGPD, il quale prevede che il trattamento è lecito solo se ricorre almeno una delle condizioni di cui al paragrafo 1, primo comma, lettere da a) a f), di tale articolo, vale a dire, come si evince altresì dal considerando 40 di detto regolamento, o che l’interessato abbia espresso il consenso al trattamento dei propri dati personali per una o più specifiche finalità, o che il trattamento sia necessario per una delle finalità contemplate in tale articolo, le quali riguardano, rispettivamente, l’esecuzione di un contratto di cui l’interessato è parte o l’esecuzione di misure precontrattuali adottate su richiesta dello stesso, l’adempimento di un obbligo legale al quale è soggetto il titolare del trattamento, la salvaguardia degli interessi vitali dell’interessato o di un’altra persona fisica, l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento, nonché il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato.
Tale elenco dei casi  nei quali un trattamento dei dati personali può essere considerato lecito è  esaustivo e tassativo, cosicché, per poter essere considerato lecito, un trattamento deve rientrare in uno dei casi previsti dall’articolo 6, paragrafo  1, primo comma, del RGPD [v., in tal senso, sentenze del 22 giugno 2021, Latvijas Republikas Saeima (Punti di penalità), C‑439/19, EU:C:2021:504, punto 99 e giurisprudenza ivi citata, nonché dell’8 dicembre 2022, Inspektor v Inspektorata kam Visshia sadeben savet (Finalità del trattamento di dati personali – Indagine penale), C‑180/21, EU:C:2022:967, punto 83].
In tal senso, secondo la giurisprudenza della Corte, ogni trattamento di dati personali deve essere conforme ai principi relativi al trattamento dei dati elencati all’articolo 5, paragrafo 1, di tale regolamento, e soddisfare le condizioni di liceità del trattamento dati elencate all’articolo 6 di detto regolamento [v., in particolare, sentenze del 6 ottobre 2020, La Quadrature du Net e a., C‑511/18, C‑512/18 e C‑520/18, EU:C:2020:791, punto 208; del 22 giugno 2021, Latvijas Republikas Saeima (Punti di penalità), C‑439/19, EU:C:2021:504, punto 96, nonché del 20 ottobre 2022, Digi, C‑77/21, EU:C:2022:805, punti 49 e 56].
Inoltre, dal momento che gli articoli da 7 a 11 del RGPD, contenuti, al pari degli articoli 5 e 6 di quest’ultimo, nel capo II di tale regolamento, concernente i principi, hanno lo scopo di precisare la portata degli obblighi a carico del titolare del trattamento derivanti dall’articolo 5, paragrafo 1, lettera a), e dall’articolo 6, paragrafo 1, di detto regolamento, il trattamento di dati personali, per essere lecito, deve altresì rispettare, come risulta dalla giurisprudenza della Corte, le altre disposizioni di detto capo che riguardano, in sostanza, il consenso, il trattamento di categorie particolari di dati personali sensibili e il trattamento di dati personali relativi a condanne penali e a reati  [v., in tal senso, sentenze del 24 settembre 2019, GC e a. (Deindicizzazione di dati sensibili), C‑136/17, EU:C:2019:773, punti da 72 a 75, nonché del 22 giugno 2021, Latvijas Republikas Saeima (Punti di penalità), C‑439/19, EU:C:2021:504, punti 100, 102 e 106].
Orbene, al pari di tutti i governi che hanno presentato osservazioni scritte e della Commissione europea, si deve rilevare  che il rispetto, da parte del titolare del trattamento, dell’obbligo di concludere un accordo che determini la contitolarità del trattamento, prevista  dall’articolo 26 del RGPD, e dell’obbligo di tenere un registro delle attività di trattamento, sancito all’articolo 30 di tale regolamento, non rientra tra le condizioni di liceità del trattamento contemplate  dall’articolo 6, paragrafo 1, primo comma, di detto regolamento.
Inoltre, a differenza degli articoli da 7 a 11 del RGPD, gli articoli 26 e 30 di tale regolamento non hanno lo scopo di precisare la portata degli obblighi stabiliti  dall’articolo 5, paragrafo 1, lettera a), e dall’articolo 6, paragrafo 1, di detto regolamento.
Dallo stesso tenore letterale dell’articolo 5, paragrafo 1, lettera a), e dell’articolo 6, paragrafo 1, primo comma, del RGPD si deduce, pertanto, che la violazione da parte del titolare del trattamento degli obblighi previsti agli articoli 26 e 30 di tale regolamento non costituisce un «trattamento illecito», ai sensi dell’articolo 17, paragrafo 1, lettera d), e dell’articolo 18, paragrafo 1, lettera b), di detto regolamento, che deriverebbe dalla violazione da parte dello stesso del principio di «responsabilizzazione» quale previsto  dall’articolo 5, paragrafo 2, del medesimo regolamento.
Tale interpretazione è avvalorata, in secondo luogo, dal contesto in cui si inseriscono tali diverse disposizioni. Infatti, dalla struttura stessa del RGPD e, pertanto, dal suo impianto sistematico risulta chiaramente che quest’ultimo distingue tra, da un lato, i «principi», oggetto del suo capo II, il quale contiene, in particolare, gli articoli 5 e 6 di tale regolamento, e, dall’altro, gli «obblighi generali», contenuti nella sezione 1 del capo IV di detto regolamento, relativo ai titolari del trattamento, tra i quali rientrano gli obblighi di cui agli articoli 26 e 30 del medesimo regolamento.
Tale distinzione si manifesta peraltro nel capo VIII del RGPD relativo alle sanzioni, in quanto, da un lato,  per le violazioni degli articoli 26 e 30 di tale regolamento e, dall’altro,  per quelle degli articoli 5 e 6 dello stesso, sono previste, rispettivamente, ai paragrafi 4 e 5 dell’articolo 83 di detto regolamento, sanzioni amministrative pecuniarie fino a un determinato importo, il quale si differenzia a seconda del paragrafo in questione in base al livello di gravità riconosciuto dal legislatore dell’Unione alle corrispondenti violazioni.
In terzo e ultimo luogo, l’interpretazione letterale del RGPD enunciata al punto  61 della presente sentenza è suffragata dall’obiettivo perseguito da tale regolamento, risultante dall’articolo 1 nonché dai considerando 1 e 10 dello stesso, il quale consiste, segnatamente, nel garantire un elevato grado di tutela dei diritti e delle libertà fondamentali delle persone fisiche, in particolare del loro diritto alla vita privata, con riguardo al trattamento dei dati personali, sancito dall’articolo 8, paragrafo 1, della Carta dei diritti fondamentali dell’Unione europea e dall’articolo 16, paragrafo 1, TFUE (v., in tal senso, sentenza del 1° agosto 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punto 125 e giurisprudenza ivi citata).
Infatti, l’assenza di un accordo che determini la contitolarità, ai sensi dell’articolo 26 del RGPD, o di un registro delle attività di trattamento, ai sensi dell’articolo 30 di tale regolamento, non è sufficiente a dimostrare, di per sé, l’esistenza di una lesione del diritto fondamentale alla protezione dei dati personali. In particolare, se è vero che, come risulta dai considerando 79 e 82 di detto regolamento, la chiara ripartizione delle responsabilità tra i contitolari del trattamento e il registro delle attività di trattamento costituiscono mezzi per garantire il rispetto, da parte di tali contitolari, delle garanzie previste da detto regolamento per la tutela dei diritti e delle libertà degli interessati, resta nondimeno il fatto che l’assenza di un siffatto registro o di un siffatto accordo non dimostra, di per sé, che tali diritti e tali libertà siano stati violati.
Ne consegue che una violazione degli articoli 26 e 30 del RGPD da parte del titolare del trattamento non costituisce un «trattamento illecito», ai sensi dell’articolo 17, paragrafo 1, lettera d), o dell’articolo 18, paragrafo 1, lettera b), di tale regolamento, letti in combinato disposto con l’articolo 5, paragrafo 1, lettera a), e con l’articolo 6, paragrafo 1, primo comma, dello stesso, i quali conferiscono all’interessato il diritto alla cancellazione o alla limitazione del trattamento.
Come sostenuto da tutti i governi che hanno presentato osservazioni scritte e dalla Commissione, si deve quindi porre rimedio a una siffatta violazione mediante l’applicazione di altre misure previste dal RGPD, quali l’esercizio, da parte dell’autorità di controllo, di «poteri correttivi», ai sensi dell’articolo 58, paragrafo 2, di tale regolamento, in particolare, a norma della lettera d) di tale disposizione, la riconduzione a conformità  dei trattamenti, la proposizione di un reclamo all’autorità di controllo, conformemente all’articolo 77, paragrafo 1, di tale regolamento, o il risarcimento del danno eventualmente cagionato dal titolare del trattamento, ai sensi  dell’articolo 82 dello stesso.
Infine, tenuto conto delle preoccupazioni espresse dal giudice del rinvio, occorre ancora precisare che la circostanza secondo la quale, nel caso di specie, l’inflizione di una sanzione amministrativa pecuniaria, ai sensi dell’articolo 58, paragrafo 2, lettera i), e dell’articolo 83 del RGPD, sarebbe esclusa in quanto il diritto nazionale vieta una siffatta sanzione nei confronti dell’Ufficio federale, non è tale da impedire un’applicazione effettiva di tale regolamento. Infatti, è sufficiente rilevare, al riguardo, che l’articolo 83, paragrafo 7, di detto regolamento conferisce espressamente agli Stati membri la facoltà di prevedere se e in quale misura siffatte sanzioni possano essere inflitte ad autorità pubbliche o ad organismi pubblici. Del resto, le diverse misure alternative previste dal RGPD, ricordate al punto precedente, consentono di garantire una siffatta applicazione effettiva.
Di conseguenza, occorre rispondere alla prima questione dichiarando che l’articolo 17, paragrafo 1, lettera d), e l’articolo 18, paragrafo 1, lettera b), del RGPD devono essere interpretati nel senso che la violazione, da parte del titolare del trattamento, degli obblighi previsti agli articoli 26 e 30 di tale regolamento, relativi, rispettivamente, alla conclusione di un accordo che determina la contitolarità del trattamento e alla tenuta di un registro delle attività di trattamento, non costituisce un trattamento illecito che conferisce all’interessato il diritto alla cancellazione o alla limitazione del trattamento, poiché una siffatta violazione non implica, in quanto tale, una violazione da parte del titolare del trattamento del principio di «responsabilizzazione» quale sancito dall’articolo 5, paragrafo 2, di detto regolamento, in combinato disposto con l’articolo 5, paragrafo 1, lettera a), e con l’articolo 6, paragrafo 1, primo comma, dello stesso.

Sulla seconda questione
Alla luce della risposta fornita alla prima questione, non occorre rispondere alla seconda questione.

Sulla terza questione
Con la terza questione, il giudice del rinvio chiede, in sostanza, se il diritto dell’Unione debba essere interpretato nel senso che, qualora il titolare del trattamento di dati personali abbia violato gli obblighi che gli derivano dagli articoli 26 o 30 del RGPD, la liceità della presa in considerazione di siffatti dati da parte di un giudice nazionale è subordinata al consenso dell’interessato.
A tal proposito, si deve rilevare che, come risulta chiaramente dalla formulazione stessa del primo comma del paragrafo 1 dell’articolo 6 di tale regolamento, il consenso dell’interessato, contemplato alla lettera a) di tale comma, costituisce soltanto una delle condizioni di liceità del trattamento, mentre, per contro, un siffatto consenso  non è richiesto dalle altre condizioni di liceità previste alle lettere da b) a f) di detto comma, riguardanti, in sostanza, la necessità del trattamento per il conseguimento di determinate finalità (v., per analogia, sentenza dell’11 dicembre 2019, Asociaţia de Proprietari bloc M5A-ScaraA,  C‑708/18, EU:C:2019:1064, punto 41).
Orbene, nel caso in cui un giudice eserciti le competenze giurisdizionali conferitegli dal diritto nazionale, il trattamento di dati personali che  tale giudice è chiamato ad effettuare deve essere considerato necessario alla finalità prevista all’articolo 6, paragrafo 1, primo comma, lettera e), di detto regolamento, relativa all’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento.
Poiché, da un lato, è sufficiente che una delle condizioni stabilite all’articolo 6, paragrafo 1, del RGPD sia soddisfatta affinché un trattamento di dati personali possa essere considerato lecito, e poiché, dall’altro, come dichiarato al punto 61 della presente sentenza, la violazione degli articoli 26 e 30 di tale regolamento non costituisce un trattamento illecito, la presa in considerazione, da parte del giudice del rinvio, di dati personali che sarebbero stati trattati dall’Ufficio federale in violazione degli obblighi previsti da questi ultimi articoli non è subordinata al consenso dell’interessato.
Di conseguenza, occorre rispondere alla terza questione dichiarando che il diritto dell’Unione deve essere interpretato nel senso che, qualora il titolare del trattamento di dati personali abbia violato gli obblighi che gli derivano dagli articoli 26 o 30 del RGPD, la liceità della presa in considerazione di siffatti dati da parte di un giudice nazionale non è subordinata al consenso dell’interessato.

Sulle spese
Nei confronti delle parti nel procedimento principale la presente causa costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.
Per questi motivi, la Corte (Quinta Sezione) dichiara:
1)
L’articolo 17, paragrafo 1, lettera d), e l’articolo 18, paragrafo 1, lettera b), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati),
devono essere interpretati nel senso che:
la violazione, da parte del titolare del trattamento, degli obblighi previsti agli articoli 26 e 30 di tale regolamento, relativi, rispettivamente, alla conclusione di un accordo che determina la contitolarità del trattamento e alla tenuta di un registro delle attività di trattamento, non costituisce un trattamento illecito che conferisce all’interessato il diritto alla cancellazione o alla limitazione del trattamento, poiché una siffatta violazione non implica, in quanto tale, una violazione da parte del titolare del trattamento del principio di «responsabilizzazione» quale sancito dall’articolo 5, paragrafo 2, di detto regolamento, in combinato disposto con l’articolo 5, paragrafo 1, lettera a), e con l’articolo 6, paragrafo 1, primo comma, dello stesso.
2)
Il diritto dell’Unione deve essere interpretato nel senso che, qualora il titolare del trattamento di dati personali abbia violato gli obblighi che gli derivano dagli articoli 26 o 30 del regolamento 2016/679, la liceità della presa in considerazione di siffatti dati da parte di un giudice nazionale non è subordinata al consenso dell’interessato.
Firme
*
Lingua processuale: il tedesco.