CELEX: 62009CJ0092
Tutela delle persone fisiche con riguardo al trattamento dei dati personali
Pubblicazione delle informazioni relative ai beneficiari di aiuti agricoli
Validità delle disposizioni del diritto dell’Unione che prevedono tale pubblicazione e ne fissano le modalità
Carta dei diritti fondamentali dell’Unione europea
Artt. 7 e 8
Direttiva 95/46/CE
Interpretazione degli artt. 18 e 20

Le domande di pronuncia pregiudiziale vertono sulla validità, da un lato, degli artt. 42, punto 8 ter, e 44 bis del regolamento
(CE) del Consiglio 21 giugno 2005, n. 1290, relativo al finanziamento della politica agricola comune (GU L 209, pag. 1), come
modificato dal regolamento (CE) del Consiglio 26 novembre 2007, n. 1437 (GU L 322, pag. 1; in prosieguo: il «regolamento n. 1290/2005»),
nonché, dall’altro, del regolamento (CE) della Commissione 18 marzo 2008, n. 259, recante modalità di applicazione del regolamento
(CE) n. 1290/2005 per quanto riguarda la pubblicazione di informazioni sui beneficiari dei finanziamenti provenienti dal Fondo
europeo agricolo di garanzia (FEAGA) e dal Fondo europeo agricolo per lo sviluppo rurale (FEASR) (GU L 76, pag. 28), e della
direttiva del Parlamento europeo e del Consiglio 15 marzo 2006, 2006/24/CE, riguardante la conservazione di dati generati
o trattati nell’ambito della fornitura di servizi di comunicazione elettronica accessibili al pubblico o di reti pubbliche
di comunicazione e che modifica la direttiva 2002/58/CE (GU L 105, pag. 54). Nell’ipotesi in cui la Corte dovesse ritenere
che la normativa dell’Unione sopra menzionata non sia invalida, le domande di pronuncia pregiudiziale vertono altresì sull’interpretazione
degli artt. 7, 18, n. 2, secondo trattino, e 20 della direttiva del Parlamento europeo e del Consiglio 24 ottobre 1995, 95/46/CE,
relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione
di tali dati (GU L 281, pag. 31).
Tali domande sono state presentate nell’ambito di controversie tra, da un lato, la Volker und Markus Schecke GbR ed il sig. Eifert
(in prosieguo: i «ricorrenti nelle cause principali») e, dall’altro, il Land Hessen in merito alla pubblicazione sul sito
Internet della Bundesanstalt für Landwirtschaft und Ernährung (Ufficio federale per l’agricoltura e l’alimentazione; in prosieguo:
la «Bundesanstalt») dei dati personali che li riguardano in quanto beneficiari di finanziamenti provenienti dal FEAGA o dal
FEASR.
I –
Contesto normativo
A –
La Convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali
Sotto la rubrica «Diritto al rispetto della vita privata e familiare», l’art. 8 della Convenzione europea per la salvaguardia
dei diritti dell’uomo e delle libertà fondamentali, firmata a Roma il 4 novembre 1950 (in prosieguo: la «CEDU»), prevede quanto
segue:
«1.      Ogni persona ha diritto al rispetto della propria vita privata e familiare, del proprio domicilio e della propria corrispondenza.
2.      Non può esservi ingerenza di una autorità pubblica nell’esercizio di tale diritto a meno che tale ingerenza sia prevista dalla
legge e costituisca una misura che, in una società democratica, è necessaria alla sicurezza nazionale, alla pubblica sicurezza,
al benessere economico del paese, alla difesa dell’ordine e alla prevenzione dei reati, alla protezione della salute o della
morale, o alla protezione dei diritti e delle libertà altrui».
B –
Il diritto dell’Unione
1.     La direttiva 95/46
Dall’art. 1, n. 1, della direttiva 95/46 emerge che quest’ultima è volta a garantire la tutela dei diritti e delle libertà
fondamentali delle persone fisiche, particolarmente del diritto alla vita privata, con riguardo al trattamento dei dati personali.
Conformemente all’art. 2, lett. a), di detta direttiva, si considera dato personale «qualsiasi informazione concernente una
persona fisica identificata o identificabile».
Ai sensi dell’art. 7 della suddetta direttiva, «[g]li Stati membri dispongono che il trattamento di dati personali può essere
effettuato soltanto quando:
a)      la persona interessata ha manifestato il proprio consenso in maniera inequivocabile, oppure
(…)
c)      è necessario per adempiere un obbligo legale al quale è soggetto il responsabile del trattamento, oppure
(…)
e)      è necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito
il responsabile del trattamento o il terzo a cui vengono comunicati i dati (...)
(…)».
Ai sensi dell’art. 18, n. 1, della direttiva 95/46, «[g]li Stati membri prevedono un obbligo di notificazione a carico del
responsabile del trattamento, od eventualmente del suo rappresentante, presso l’autorità di controllo di cui all’articolo
[28], prima di procedere alla realizzazione di un trattamento (...) interamente o parzialmente automatizzato».
L’art. 18, n. 2, secondo trattino, della direttiva 95/46 dispone che gli Stati membri possono prevedere una semplificazione
o l’esonero dall’obbligo di notificazione, fra l’altro, nella seguente ipotesi:
«qualora il responsabile del trattamento designi, conformemente alla legislazione nazionale applicabile, un incaricato della
protezione dei dati, a cui è demandato in particolare:
–        di assicurare in maniera indipendente l’applicazione interna delle disposizioni nazionali di attuazione della presente direttiva,
–        di tenere un registro dei trattamenti effettuati dal responsabile del trattamento in cui figurino le informazioni di cui all’articolo
21, paragrafo 2,
garantendo in tal modo che il trattamento non sia tale da recare pregiudizio ai diritti e alle libertà della persona interessata».
L’art. 19, n. 1, della direttiva 95/46 dispone quanto segue:
«Gli Stati membri definiscono le informazioni che devono essere contenute nella notificazione. Esse comprendono almeno:
a)      il nome e l’indirizzo del responsabile del trattamento e, eventualmente, del suo rappresentante;
b)      la o le finalità del trattamento;
c)      una descrizione della o delle categorie di persone interessate e dei dati o delle categorie di dati relativi alle medesime;
d)      i destinatari o le categorie di destinatari a cui i dati possono essere comunicati;
e)      i trasferimenti di dati previsti verso paesi terzi;
(…)».
L’art. 20, nn. 1 e 2, della direttiva 95/46, rubricato «Controllo preliminare», prevede quanto segue:
«1.      Gli Stati membri precisano i trattamenti che potenzialmente presentano rischi specifici per i diritti e le libertà delle persone
e provvedono a che tali trattamenti siano esaminati prima della loro messa in opera.
2.      Tali esami preliminari sono effettuati dall’autorità di controllo una volta ricevuta la notificazione del responsabile del
trattamento, oppure dalla persona incaricata della protezione dei dati che, nei casi dubbi, deve consultare l’autorità di
controllo medesima».
In base all’art. 21, n. 2, primo e secondo comma, della direttiva 95/46, «[g]li Stati membri devono prevedere che l’autorità
di controllo tenga un registro dei trattamenti notificati in virtù dell’articolo 18 (…) [che] riprende almeno le informazioni
enumerate all’articolo 19, paragrafo 1, lettere da a) a e)».
Ai sensi dell’art. 28 della direttiva 95/46, ogni Stato membro è tenuto a designare una o più autorità pubbliche (in prosieguo:
l’«autorità di controllo») incaricate di sorvegliare, in piena indipendenza, l’applicazione nel territorio di tale Stato delle
disposizioni nazionali di attuazione della suddetta direttiva.
2.     Il regolamento (CE) n. 45/2001
Il regolamento (CE) del Parlamento europeo e del Consiglio 18 dicembre 2000, n. 45/2001, concernente la tutela delle persone
fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonché la
libera circolazione di tali dati (GU 2001, L 8, pag. 1), all’art. 27, nn. 1 e 2, enuncia quanto segue:
«1.      I trattamenti che possono presentare rischi specifici per i diritti e le libertà degli interessati, per la loro natura, oggetto
o finalità sono soggetti a controllo preventivo da parte del garante europeo della protezione dei dati.
2.      Possono presentare tali rischi i seguenti trattamenti:
a)      i trattamenti di dati relativi alla salute e quelli relativi a sospetti, infrazioni, condanne penali o misure di sicurezza;
b)      i trattamenti destinati a valutare aspetti della personalità degli interessati, inclusi aspetti quali capacità, efficienza
e comportamento;
c)      i trattamenti che consentono delle interconnessioni tra i dati trattati per finalità diverse e non previste dalla normativa
nazionale o comunitaria;
d)      i trattamenti volti ad escludere taluno dal beneficio di un diritto, di una prestazione o della conclusione di un contratto».
3.     La direttiva 2006/24
La direttiva 2006/24 obbliga gli Stati membri a conservare, per un certo tempo, i dati generati o trattati nell’ambito della
fornitura di servizi di comunicazione elettronica accessibili al pubblico o di reti pubbliche di comunicazione.
4.     Il regolamento n. 1290/2005
Il regolamento n. 1290/2005 determina le condizioni e le regole specifiche applicabili al finanziamento delle spese connesse
alla politica agricola comune (in prosieguo: la «PAC»).
L’art. 42 del regolamento n. 1290/2005 dispone che la Commissione adotti le modalità di applicazione di detto regolamento.
Ai sensi dell’art. 42, punto 8 ter, del medesimo regolamento, la Commissione determina fra l’altro:
«le modalità relative alla pubblicazione delle informazioni sui beneficiari di cui all’articolo 44 bis, compresi gli aspetti
pratici relativi alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, secondo i principi stabiliti
dalla normativa comunitaria in materia di protezione dei dati. In particolare tali modalità stabiliscono che i beneficiari
dei Fondi siano informati che i dati in questione possono essere resi pubblici e trattati da organismi di revisione contabile
e indagini ai fini della tutela degli interessi finanziari delle Comunità e quando tali informazioni debbano essere fornite».
L’art. 44 bis del regolamento n. 1290/2005, sotto la rubrica «Pubblicazione dei beneficiari», enuncia quanto segue:
«(…) gli Stati membri provvedono alla pubblicazione annuale a posteriori dei beneficiari di stanziamenti del FEAGA e del FEASR
e degli importi percepiti da ogni beneficiario per ciascuno di tali Fondi.
La pubblicazione contiene almeno le seguenti informazioni:
a)      per il FEAGA, l’importo suddiviso tra pagamenti diretti ai sensi dell’articolo 2, lettera d), del regolamento (CE) n. 1782/2003
e altre spese;
b)      per il FEASR, l’importo totale del finanziamento pubblico per beneficiario».
A tale riguardo, i ‘considerando’ tredicesimo e quattordicesimo del regolamento n. 1437/2007, recante modifica del regolamento
n. 1290/2005, sono così formulati:
«(13) Nell’ambito della revisione del regolamento (CE, Euratom) n. 1605/2002 del Consiglio, del 25 giugno 2002, che stabilisce il
regolamento finanziario applicabile al bilancio generale delle Comunità europee [GU L 248, pag. 1], in applicazione dell’iniziativa
europea per la trasparenza sono state inserite nel medesimo le disposizioni sulla pubblicazione annuale a posteriori dei beneficiari
di finanziamenti provenienti dal bilancio comunitario. Le modalità di tale pubblicazione devono essere stabilite nelle normative
settoriali specifiche. Il FEAGA e il FEASR fanno entrambi parte del bilancio generale delle Comunità europee e finanziano
la spesa in regime di gestione concorrente tra Stati membri e Comunità. Occorre pertanto stabilire norme per la pubblicazione
delle informazioni relative ai beneficiari di tali Fondi. A tal fine è opportuno che gli Stati membri provvedano alla pubblicazione
annuale a posteriori dei beneficiari e degli importi percepiti da ogni beneficiario per ciascuno di tali Fondi.
(14)      Rendendo tali informazioni accessibili al pubblico si rafforza la trasparenza sull’uso dei Fondi comunitari nell’ambito della
[PAC] e se ne migliora la corretta gestione finanziaria, grazie in particolare ad un maggior controllo pubblico sull’utilizzazione
di tali somme. Data l’estrema importanza degli obiettivi perseguiti appare giustificato, alla luce del principio di proporzionalità
e dell’obbligo della protezione dei dati personali, prevedere la pubblicazione generale delle informazioni pertinenti, dato
che questa disposizione non va al di là di quanto è necessario fare, in una società democratica, per prevenire le irregolarità.
Tenuto conto del parere del garante europeo della protezione dei dati del 10 aprile 2007 [GU C 134, pag. 1], è opportuno provvedere
affinché i beneficiari dei Fondi siano avvertiti che i dati in questione possono essere resi pubblici e possono essere trattati
da organismi di revisione contabile e indagini».
5.     Il regolamento n. 259/2008
Sulla base dell’art. 42, punto 8 ter, del regolamento n. 1290/2005, la Commissione ha adottato il regolamento n. 259/2008.
Il sesto ‘considerando’ di tale regolamento recita quanto segue:
«Rendendo [le] informazioni [relative ai beneficiari di finanziamenti provenienti dal FEAGA o dal FEASR] accessibili al pubblico
si rafforza la trasparenza sull’uso dei Fondi comunitari nell’ambito della [PAC] e se ne migliora la corretta gestione finanziaria,
grazie in particolare ad un maggior controllo pubblico sull’utilizzazione di tali somme. Data l’estrema importanza degli obiettivi
perseguiti appare giustificato, alla luce del principio di proporzionalità e dell’obbligo della protezione dei dati personali,
prevedere la pubblicazione generale delle informazioni pertinenti, dato che questa disposizione non va al di là di quanto
è necessario fare, in una società democratica, per prevenire le irregolarità».
Al settimo ‘considerando’ del medesimo regolamento si precisa che «[p]er rispettare gli obblighi in materia di protezione
dei dati appare opportuno che i beneficiari dei Fondi siano informati in anticipo della pubblicazione dei dati che li riguardano».
L’art. 1, n. 1, del regolamento n. 259/2008 precisa il contenuto della pubblicazione prevista dall’art. 44 bis del regolamento
n. 1290/2005 e dispone che quest’ultima contenga le seguenti informazioni:
«a)      nome e cognome, se si tratta di persone fisiche;
b)      ragione sociale, quale registrata, se si tratta di persone giuridiche;
c)      nome completo dell’associazione, quale registrata o altrimenti riconosciuta ufficialmente, se si tratta di associazioni di
persone fisiche o giuridiche senza personalità giuridica propria;
d)      il comune di residenza o di registrazione del beneficiario e, se disponibile, il codice postale o la parte del medesimo che
identifica il comune;
e)      per il [FEAGA], l’importo dei pagamenti diretti, ai sensi dell’articolo 2, lettera d), del regolamento (CE) n. 1782/2003,
percepiti da ciascun beneficiario nel corso dell’esercizio finanziario considerato;
f)      per il FEAGA, l’importo dei pagamenti diversi da quelli di cui alla lettera e), percepiti da ogni beneficiario nel corso dell’esercizio
finanziario considerato;
g)      per il [FEASR], l’importo totale dei finanziamenti pubblici percepiti da ciascun beneficiario nel corso dell’esercizio finanziario
considerato, comprensivo sia del contributo comunitario che del contributo nazionale;
h)      la somma degli importi di cui alle lettere e), f) e g), percepiti da ciascun beneficiario nel corso dell’esercizio finanziario
considerato;
i)      la valuta di tali importi».
Ai sensi dell’art. 2 del regolamento n. 259/2008, «[l]e informazioni di cui all’articolo 1 sono pubblicate su un sito Internet
unico per ogni Stato membro, che gli utenti possono consultare attraverso uno strumento di ricerca che permette di cercare
i beneficiari per nome, per comune, per importi percepiti, quali descritti all’articolo 1, lettere e), f), g) e h), o una
combinazione di tali dati e di estrarre le informazioni corrispondenti sotto forma di un insieme unico di dati».
L’art. 3, n. 3, di tale regolamento precisa che «[l]e informazioni restano disponibili sul sito Internet per due anni a decorrere
dalla data della pubblicazione iniziale».
L’art. 4 del regolamento n. 259/2008 così dispone:
«1.      Gli Stati membri informano i beneficiari del fatto che i dati che li riguardano saranno resi pubblici a norma del regolamento
(...) n. 1290/2005 e del presente regolamento e che possono essere trattati da organismi di audit e di investigazione delle
Comunità e degli Stati membri ai fini della tutela degli interessi finanziari delle Comunità.
2.      Se si tratta di dati personali, le informazioni di cui al paragrafo 1 sono fornite nel rispetto dei requisiti della [direttiva
95/46] e i beneficiari sono informati dei diritti loro conferiti da tale direttiva e delle procedure applicabili per esercitarli.
3.      Le informazioni di cui [ai] paragrafi 1 e 2 sono fornite al beneficiario nei moduli di domanda di finanziamento del FEAGA
e del FEASR o in altro modo al momento della raccolta dei dati.
(…)».
II –
Cause principali e questioni pregiudiziali
I ricorrenti nelle cause principali, gli uni con sede e l’altro con residenza nel Land Hessen, sono rispettivamente un’impresa
agricola avente la forma di società semplice (procedimento C‑92/09) e un agricoltore a tempo pieno (procedimento C‑93/09).
Per l’esercizio 2008 essi hanno presentato presso l’autorità locale competente domande di finanziamenti provenienti dal FEAGA
o dal FEASR, accolte con decisioni del 5 (procedimento C‑93/09) e del 31 dicembre 2008 (procedimento C‑92/09).
In entrambi i casi, il modulo della domanda recava la seguente dichiarazione:
«Sono a conoscenza del fatto che ai sensi dell’art. 44 bis del regolamento (...) n. 1290/2005 è disposta la pubblicazione
di informazioni sui beneficiari di stanziamenti del FEAGA e del FEASR nonché degli importi percepiti da ogni beneficiario.
La pubblicazione riguarda tutte le misure che sono richieste in relazione alla richiesta congiunta intesa come domanda unica
ai sensi dell’art. 11 del regolamento (CE) n. 796/2004, e avviene con cadenza annuale, al più tardi entro il 31 marzo dell’anno
successivo».
Il giudice del rinvio spiega che il sito Internet della Bundesanstalt tiene a disposizione del pubblico i nomi dei beneficiari
di aiuti del FEAGA e del FEASR, con indicazione della località in cui essi hanno sede o risiedono e del codice postale della
medesima, nonché degli importi annuali erogati. Il sito è dotato di un motore di ricerca.
Il 26 settembre 2008 (procedimento C‑92/09) ed il 18 dicembre 2008 (procedimento C‑93/09), i ricorrenti nelle cause principali
hanno proposto ricorsi diretti ad inibire la pubblicazione dei loro dati. A loro avviso, la pubblicazione degli importi ricevuti
dal FEAGA o dal FEASR non sarebbe giustificata da interessi pubblici prevalenti. Peraltro, le disposizioni relative al Fondo
sociale europeo non prevedrebbero l’indicazione nominativa dei beneficiari. Nei loro ricorsi, essi chiedono che venga ordinato
al Land Hessen di astenersi dal o di rifiutare di trasmettere ovvero pubblicare tali dati ai fini della pubblicazione generale
di informazioni relative agli stanziamenti finanziari provenienti dal FEAGA e dal FEASR che sono stati loro concessi.
Il Land Hessen, che ritiene che l’obbligo di pubblicazione dei dati riguardanti i ricorrenti nelle cause principali derivi
dai regolamenti nn. 1290/2005 e 259/2008, si è nondimeno impegnato a non pubblicare gli importi percepiti da detti ricorrenti
in quanto beneficiari di aiuti del FEAGA o del FEASR prima che venga adottata una decisione definitiva nelle cause principali.
Il giudice del rinvio ritiene che l’obbligo di pubblicazione derivante dall’art. 44 bis del regolamento n. 1290/2005 costituisca
una lesione ingiustificata del diritto fondamentale alla protezione dei dati personali. Esso ritiene che tale disposizione,
che persegue l’obiettivo di rafforzare la trasparenza sull’uso dei Fondi europei, non migliori la prevenzione delle irregolarità,
poiché esistono ampi meccanismi di controllo per l’attuazione di quest’ultima. Il giudice del rinvio, facendo riferimento
alla sentenza 20 maggio 2003, cause riunite C‑465/00, C‑138/01 e C‑139/01, Österreichischer Rundfunk e a. (Racc. pag. I‑4989),
reputa che, comunque, il suddetto obbligo di pubblicazione non sia proporzionato all’obiettivo perseguito. Peraltro, secondo
lo stesso giudice, l’art. 42, punto 8 ter, del regolamento n. 1290/2005 lascerebbe alla Commissione un margine discrezionale
troppo ampio per quanto riguarda sia la determinazione dei dati da pubblicare, sia il mezzo di pubblicazione e sarebbe, quindi,
incompatibile con gli artt. 202, terzo trattino, CE e 211, quarto trattino, CE.
Indipendentemente dalla questione della validità degli artt. 42, punto 8 ter, e 44 bis del regolamento n. 1290/2005, il giudice
del rinvio ritiene che il regolamento n. 259/2008, che prevede la pubblicazione delle informazioni relative ai beneficiari
di aiuti del FEAGA e del FEASR esclusivamente su Internet, violi il diritto fondamentale alla protezione dei dati personali.
Esso rimarca il fatto che quest’ultimo regolamento non limita l’accesso al sito Internet di cui trattasi agli indirizzi dell’«Internet
Protocol» (in prosieguo: gli «indirizzi IP») localizzati sul territorio dell’Unione europea. Peraltro, sarebbe impossibile
rimuovere i dati da Internet dopo la scadenza del periodo di due anni previsto dall’art. 3, n. 3, del regolamento n. 259/2008.
Secondo il suddetto giudice, il fatto di pubblicare i dati esclusivamente su Internet avrebbe, inoltre, un effetto deterrente.
Da un lato, i cittadini che intendono informarsi dovrebbero avere accesso ad Internet. Dall’altro, tali cittadini si esporrebbero
al rischio di immagazzinamento dei loro dati ai sensi della direttiva 2006/24. Sarebbe paradossale, da una parte, rafforzare
il controllo sulle telecomunicazioni e, dall’altra, prevedere che le informazioni che dovrebbero consentire la partecipazione
dei cittadini alle questioni di pubblica rilevanza siano accessibili solamente per via elettronica.
Per l’ipotesi in cui la Corte dovesse ritenere che le disposizioni menzionate ai punti 30 e 31 della presente sentenza non
siano invalide, il giudice del rinvio chiede altresì di ottenere l’interpretazione di varie disposizioni della direttiva 95/46.
Esso reputa che la pubblicazione di dati personali possa avvenire solamente qualora siano state adottate le misure previste
dall’art. 18, n. 2, secondo trattino, di detta direttiva. Secondo le informazioni fornite dal giudice nazionale, il legislatore
tedesco, in particolare quello del Land Hessen, si è avvalso della possibilità offerta dalla suddetta disposizione. Tuttavia,
secondo lo stesso giudice, la notifica del Ministero dell’Ambiente, dello Spazio rurale e della Tutela dei consumatori dello
Hessen all’incaricato alla protezione dei dati personali è stata effettuata in modo incompleto. Infatti, alcune informazioni
non gli sarebbero state comunicate, quali il fatto che il trattamento dei dati è effettuato dalla Bundesanstalt per conto
del suddetto Land e, eventualmente, con l’aiuto di un terzo privato, le informazioni concrete sui termini di cancellazione
e sul fornitore di accesso ed i dati sulla registrazione degli indirizzi IP.
Peraltro, la pubblicazione delle informazioni relative ai beneficiari di aiuti agricoli avrebbe dovuto essere preceduta da
un controllo preliminare, come previsto dall’art. 20 della direttiva 95/46. Orbene, secondo il giudice del rinvio, un controllo
preliminare è stato realizzato, nel caso di specie, non da un’autorità di controllo centrale, ma dall’incaricato alla protezione
dei dati dell’impresa o dell’amministrazione responsabile e sulla base di notifiche incomplete.
Infine, il giudice del rinvio si interroga sulla legittimità, alla luce dell’art. 7, lett. e), della direttiva 95/46, della
registrazione degli indirizzi IP degli utenti che consultano le informazioni relative ai beneficiari di aiuti del FEAGA e
del FEASR sul sito Internet della Bundesanstalt.
Ciò premesso, il Verwaltungsgericht Wiesbaden ha deciso di sospendere il giudizio e di sottoporre alla Corte le seguenti questioni
pregiudiziali, formulate in termini identici nei due procedimenti C‑92/09 e C‑93/09:
«1)      Se siano invalide le disposizioni di cui agli artt. [42], punto 8 ter, e 44 bis del [regolamento n. 1290/2005], introdotte
dal [regolamento n. 1437/2007].
2)      Se il [regolamento n. 259/2008] sia:
a)      invalido, o
b)      valido, solo perché è invalida la [direttiva 2006/24].
Nel caso in cui le disposizioni citate nella prima e nella seconda questione siano valide:
3)      Se l’art. 18, n. 2, secondo trattino, della [direttiva 95/46] debba essere interpretato nel senso che la pubblicazione ai
sensi del [regolamento n. 259/2008] può avere luogo (…) soltanto se è stata applicata la procedura prevista in tale articolo,
la quale sostituisce la notificazione all’autorità di controllo.
4)      Se l’art. 20 della [direttiva 95/46] debba essere interpretato nel senso che la pubblicazione ai sensi del [regolamento n. 259/2008]
può avere luogo (…) soltanto se è stato effettuato il controllo preliminare disposto al riguardo dal diritto nazionale.
5)      In caso di soluzione affermativa della quarta questione, se l’art. 20 della [direttiva 95/46] debba essere interpretato nel
senso che non si ha alcun controllo preventivo efficace, se questo è stato effettuato sulla base di un registro ai sensi dell’art. 18,
n. 2, secondo trattino, di tale direttiva, in cui non figura un’informazione obbligatoria.
6)      Se l’art. 7 – e più precisamente la sua lett. e) – della [direttiva 95/46] debba essere interpretato nel senso che esso osta
alla prassi di registrare gli indirizzi IP degli utilizzatori di [un sito Internet] senza il loro esplicito consenso».
Con ordinanza della Corte 4 maggio 2009, i procedimenti C‑92/09 e C‑93/09 sono stati riuniti ai fini delle fasi scritta ed
orale nonché della sentenza.
III –
Sulle questioni pregiudiziali
Le decisioni di rinvio contengono, da un lato, questioni relative alla validità dei regolamenti nn. 1290/2005 e 259/2008,
vale a dire la prima e la seconda questione e, dall’altro, questioni vertenti sull’interpretazione della direttiva 95/46,
ovverosia le questioni dalla terza alla sesta. Prima di esaminare il merito, occorre interrogarsi sulla ricevibilità della
seconda parte della seconda questione e su quella della sesta questione.
A –
Sulla ricevibilità
Con la seconda parte della seconda questione e con la sesta questione, il giudice del rinvio interroga la Corte, rispettivamente,
sulla validità della direttiva 2006/24 e sull’interpretazione dell’art. 7, lett. e), della direttiva 95/46, al fine di poter
valutare se sia legittimo conservare taluni dati riguardanti gli utenti dei siti Internet come previsto dalla normativa dell’Unione
e da quella tedesca.
A questo proposito si deve anzitutto ricordare che, sebbene, tenuto conto della ripartizione delle competenze nell’ambito
del procedimento pregiudiziale, sia compito del solo giudice nazionale definire l’oggetto delle questioni che esso intende
sottoporre alla Corte, quest’ultima ha affermato che, in ipotesi eccezionali, spetta ad essa esaminare le condizioni in cui
è adita dal giudice nazionale al fine di verificare la propria competenza (sentenza 1° ottobre 2009, causa C‑567/07, Woningstichting
Sint Servatius, Racc. pag. I‑09021, punto 42).
Ciò vale, in particolare, quando il problema presentato alla Corte sia di natura meramente ipotetica o quando l’interpretazione
di una norma dell’Unione o l’esame della sua validità, chiesta dal giudice nazionale, non abbia alcuna relazione con la realtà
o l’oggetto della causa principale (v., in tal senso, sentenze 15 dicembre 1995, causa C‑415/93, Bosman, Racc. pag. I‑4921,
punto 61; 15 giugno 2006, causa C‑466/04, Acereda Herrera, Racc. pag. I‑5341, punto 48; 31 gennaio 2008, causa C‑380/05, Centro
Europa 7, Racc. pag. I‑349, punto 53, e Woningstichting Sint Servatius, cit., punto 43).
Dalle decisioni di rinvio emerge che ciascuno dei ricorrenti nelle cause principali ha proposto ricorso dinanzi al giudice
del rinvio contro la pubblicazione, ai sensi dei regolamenti nn. 1290/2005 e 259/2008, dei dati che li riguardano. I loro
ricorsi sono diretti a che il Land Hessen si astenga dal o rifiuti di trasmettere o pubblicare le informazioni relative agli
aiuti ad essi erogati dal FEAGA e dal FEASR.
La seconda parte della seconda questione e la sesta questione non hanno attinenza con l’oggetto delle controversie principali.
Infatti, esse non riguardano la pubblicazione dei dati relativi ai beneficiari di aiuti dei suddetti Fondi, quali i ricorrenti
nelle cause principali, bensì la conservazione dei dati relativi alle persone che consultano siti Internet. Poiché quindi
l’esame della seconda parte della seconda questione e della sesta questione non presenta alcuna utilità ai fini della soluzione
delle controversie principali, dette questioni non vanno risolte.
B –
Nel merito
1.     Sulla prima questione e sulla prima parte della seconda questione
a)     Osservazioni preliminari
Con la prima questione e con la prima parte della seconda questione, il giudice del rinvio chiede alla Corte di esaminare
la validità, da un lato, dell’art. 44 bis del regolamento n. 1290/2005 nonché del regolamento n. 259/2008, recante le modalità
di applicazione dell’obbligo di pubblicazione stabilito da detto art. 44 bis, e, dall’altro, dell’art. 42, punto 8 ter, del
regolamento n. 1290/2005, disposizione che costituisce la base giuridica del regolamento n. 259/2008.
Il giudice del rinvio ritiene che l’obbligo di pubblicazione di dati relativi ai beneficiari di aiuti del FEAGA e del FEASR,
risultante dalle disposizioni menzionate al punto precedente, costituisca una lesione ingiustificata del diritto fondamentale
alla protezione dei dati personali. Esso si riferisce a tale riguardo, in sostanza, all’art. 8 della CEDU.
Si deve ricordare che, conformemente all’art. 6, n. 1, TUE, l’Unione riconosce i diritti, le libertà e i principi sanciti
nella Carta dei diritti fondamentali dell’Unione europea (in prosieguo: la «Carta»), «che ha lo stesso valore giuridico dei
trattati».
Ciò premesso, la validità degli artt. 42, punto 8 ter, e 44 bis del regolamento n. 1290/2005 nonché del regolamento n. 259/2008
deve essere valutata alla luce delle disposizioni della Carta.
A tale riguardo occorre rilevare che l’art. 8, n. 1, della Carta enuncia che «[o]gni persona ha diritto alla protezione dei
dati di carattere personale che la riguardano». Tale diritto fondamentale è strettamente connesso al diritto al rispetto della
vita privata sancito dall’art. 7 della medesima Carta.
Il diritto alla protezione dei dati personali non appare tuttavia come una prerogativa assoluta, ma va considerato alla luce
della sua funzione sociale (v., in tal senso, sentenza 12 giugno 2003, causa C‑112/00, Schmidberger, Racc. pag. I‑5659, punto 80
e giurisprudenza ivi citata).
L’art. 8, n. 2, della Carta autorizza quindi, a determinate condizioni, il trattamento dei dati personali. A tale riguardo
la suddetta disposizione prevede che i dati personali «devono essere trattati secondo il principio di lealtà, per finalità
determinate e in base al consenso della persona interessata o a un altro fondamento legittimo previsto dalla legge».
Peraltro, l’art. 52, n. 1, della Carta riconosce che possano essere apportate limitazioni all’esercizio di diritti come quelli
sanciti dagli artt. 7 e 8 della medesima, purché tali limitazioni siano previste dalla legge, rispettino il contenuto essenziale
di detti diritti e libertà e, nel rispetto del principio di proporzionalità, siano necessarie e rispondano effettivamente
a finalità di interesse generale riconosciute dall’Unione o all’esigenza di proteggere i diritti e le libertà altrui.
Infine, dall’art. 52, n. 3, della Carta emerge che, laddove essa contenga diritti corrispondenti a quelli garantiti dalla CEDU,
il significato e la portata degli stessi sono uguali a quelli conferiti dalla suddetta Convenzione. L’art. 53 della Carta
aggiunge a tale proposito che nessuna disposizione di quest’ultima deve essere interpretata come limitativa o lesiva dei diritti
riconosciuti, fra l’altro, dalla CEDU.
Conseguentemente si deve ritenere, da un lato, che il rispetto del diritto alla vita privata con riguardo al trattamento dei
dati personali, riconosciuto dagli artt. 7 e 8 della Carta, sia riferito ad ogni informazione relativa ad una persona fisica
identificata o identificabile (v., in particolare, Corte eur. D.U., sentenze Amann c. Svizzera del 16 febbraio 2000,
Recueil des arrêts et décisions
2000-II, § 65, e Rotaru c. Romania del 4 maggio 2000,
Recueil des arrêts et décisions
2000-V, § 43) e, dall’altro, che le limitazioni che possono essere legittimamente apportate al diritto alla protezione dei
dati personali corrispondano a quelle tollerate nell’ambito dell’art. 8 della CEDU.
b)     Sulla validità dell’art. 44 bis del regolamento n. 1290/2005 e del regolamento n. 259/2008
Si deve, in primo luogo, ricordare che la pubblicazione imposta dall’art. 44 bis del regolamento n. 1290/2005 e dal regolamento
n. 259/2008, che attua detto articolo, identifica nominativamente tutti i beneficiari di aiuti del FEAGA e del FEASR, fra
i quali figurano sia persone fisiche che persone giuridiche. Orbene, alla luce di quanto affermato al punto 52 della presente
sentenza, le persone giuridiche possono invocare la tutela degli artt. 7 e 8 della Carta nei confronti di una simile identificazione
solamente qualora la ragione sociale della persona giuridica identifichi una o più persone fisiche.
Così è, in particolare, nel caso della ricorrente nella causa principale del procedimento C‑92/09. Infatti, la ragione sociale
della società interessata identifica direttamente persone fisiche socie della medesima.
In secondo luogo, occorre verificare se l’art. 44 bis del regolamento n. 1290/2005 ed il regolamento n. 259/2008 determinino,
nei confronti dei beneficiari del FEAGA e del FEASR che siano persone fisiche identificate o identificabili (in prosieguo:
i «beneficiari interessati»), una lesione dei diritti che vengono loro riconosciuti dagli artt. 7 e 8 della Carta e, eventualmente,
se una simile lesione sia giustificata alla luce dell’art. 52 della medesima.
i)     Sull’esistenza di una lesione ai diritti riconosciuti dagli artt. 7 e 8 della Carta
L’art. 44 bis del regolamento n. 1290/2005 obbliga gli Stati membri a provvedere alla pubblicazione annuale a posteriori dei
beneficiari di stanziamenti del FEAGA e del FEASR e degli importi percepiti da ogni beneficiario per ciascuno di tali Fondi.
Dal quattordicesimo ‘considerando’ del regolamento n. 1437/2007, che modifica il regolamento n. 1290/2005, emerge che le suddette
informazioni devono essere oggetto di una «pubblicazione generale».
L’art. 1, n. 1, lett. d), del regolamento n. 259/2008 precisa il contenuto della pubblicazione e prevede che siano pubblicati,
oltre agli elementi menzionati al punto precedente e ad altre informazioni relative agli aiuti percepiti, «il comune di residenza
o di registrazione del beneficiario e, se disponibile, il codice postale o la parte del medesimo che identifica il comune».
L’art 2 del medesimo regolamento prevede che le informazioni siano pubblicate su un sito Internet unico per ogni Stato membro
e possano essere consultate attraverso uno strumento di ricerca.
Non vi è dubbio che gli importi che i beneficiari interessati percepiscono dal FEAGA e dal FEASR rappresentano una parte,
spesso considerevole, dei loro ricavi. La pubblicazione su un sito Internet dei dati nominativi relativi a detti beneficiari
e agli importi precisi da questi percepiti costituisce quindi, in ragione del fatto che tali dati divengono accessibili ai
terzi, un’ingerenza nella loro vita privata ai sensi dell’art. 7 della Carta (v., in tal senso, sentenza Österreichischer
Rundfunk e a., cit., punti 73 e 74).
A tale riguardo è irrilevante la circostanza che i dati pubblicati attengano ad attività professionali (v. sentenza Österreichischer
Rundfunk e a., cit., punti 73 e 74). La Corte europea dei diritti dell’uomo ha dichiarato, a tale proposito, con riguardo
all’interpretazione dell’art. 8 della CEDU, che l’espressione «vita privata» non deve essere interpretata in modo restrittivo
e che «nessun motivo di principio consente di escludere le attività professionali (...) dalla nozione di “vita privata”» (v.,
in particolare, Corte eur. D.U., citate sentenze Amann/Svizzera e Rotaru/Romania).
Peraltro, la pubblicazione imposta dall’art. 44 bis del regolamento n. 1290/2005 e dal regolamento n. 259/2008 costituisce
un trattamento di dati personali ai sensi dell’art. 8, n. 2, della Carta.
Il Land Hessen mette tuttavia in discussione l’esistenza stessa di un’ingerenza nella vita privata dei ricorrenti nelle cause
principali, dato che questi ultimi erano stati informati, nel loro modulo di domanda di aiuti, della pubblicazione obbligatoria
dei dati che li riguardano e, conformemente all’art. 8, n. 2, della Carta, avevano prestato il loro consenso a tale pubblicazione
con il deposito della loro domanda.
Si deve in proposito osservare che l’art. 42, punto 8 ter, del regolamento n. 1290/2005 dispone unicamente che «i beneficiari
dei Fondi siano informati che i dati [che li riguardano, vale a dire il loro nomi e gli importi ricevuti da ciascuno dei Fondi,]
possono essere resi pubblici». L’art. 4, n. 1, del regolamento n. 259/2008 contiene una disposizione simile, stabilendo che
«gli Stati membri informano i beneficiari del fatto che i dati che li riguardano saranno resi pubblici».
La normativa dell’Unione in questione, che si limita a disporre che i beneficiari di aiuti saranno preventivamente informati
della pubblicazione dei dati che li riguardano, non mira dunque a fondare il trattamento dei dati personali da essa previsto
sul consenso dei beneficiari interessati. Si deve peraltro rilevare che nelle cause principali i ricorrenti, nei moduli di
domanda di aiuti, hanno solamente dichiarato di essere «a conoscenza del fatto che ai sensi dell’art. 44 bis del regolamento
(...) n. 1290/2005 è disposta la pubblicazione di informazioni sui beneficiari di stanziamenti del FEAGA e del FEASR».
Dal momento che, da un lato, la pubblicazione dei dati nominativi relativi ai beneficiari interessati e agli importi precisi
provenienti dal FEAGA e dal FEASR da essi percepiti costituisce una lesione, in capo a detti beneficiari, dei diritti riconosciuti
dagli artt. 7 e 8 della Carta e che, dall’altro, un simile trattamento di dati personali non si basa sul consenso dei suddetti
beneficiari, si deve esaminare se tale lesione sia giustificata alla luce dell’art. 52, n. 1, della Carta.
ii)  Sulla giustificazione della lesione dei diritti riconosciuti dagli artt. 7 e 8 della Carta
Occorre rammentare che l’art. 52, n. 1, della Carta ammette che possano essere apportate limitazioni all’esercizio di diritti
come quelli sanciti dagli artt. 7 e 8 della medesima, purché tali limitazioni siano previste dalla legge, rispettino il contenuto
essenziale di detti diritti e libertà e, nel rispetto del principio di proporzionalità, siano necessarie e rispondano effettivamente
a finalità di interesse generale riconosciute dall’Unione o all’esigenza di proteggere i diritti e le libertà altrui.
In primo luogo, è pacifico che l’ingerenza derivante dalla pubblicazione su un sito Internet di dati nominativi relativi ai
beneficiari interessati deve essere considerata «prevista dalla legge» ai sensi dell’art. 52, n. 1, della Carta. Infatti,
gli artt. 1, n. 1, e 2 del regolamento n. 259/2008 prevedono espressamente una simile pubblicazione.
In secondo luogo, quanto alla verifica della rispondenza della suddetta ingerenza ad un obiettivo di interesse generale dell’Unione
ai sensi dell’art. 52, n. 1, della Carta, dal quattordicesimo ‘considerando’ del regolamento n. 1437/2007, che modifica il
regolamento n. 1290/2005, e dal sesto ‘considerando’ del regolamento n. 259/2008 emerge che la pubblicazione dei nomi dei
beneficiari degli aiuti del FEAGA e del FEASR e degli importi che essi percepiscono da tali Fondi è diretta a «rafforza[re]
la trasparenza sull’uso dei Fondi comunitari nell’ambito della [PAC] e [a] migliora[rne] la corretta gestione finanziaria,
grazie in particolare ad un maggior controllo pubblico sull’utilizzazione di tali somme».
Occorre ricordare che il principio di trasparenza è sancito dagli artt. 1 TUE e 10 TUE nonché dall’art. 15 TFUE. Esso consente
una migliore partecipazione dei cittadini al processo decisionale e garantisce una maggiore legittimità, efficienza e responsabilità
dell’amministrazione nei confronti dei cittadini in un sistema democratico (v. sentenze 6 marzo 2003, causa C‑41/00 P, Interporc/Commissione,
Racc. pag. I‑2125, punto 39, e 29 giugno 2010, causa C‑28/08 P, Commissione/Bavarian Lager, Racc. pag. I‑6055, punto 54).
Orbene, rafforzando il controllo pubblico sull’utilizzazione delle somme erogate dal FEAGA e dal FEASR, la pubblicazione imposta
dalle disposizioni di cui si contesta la validità contribuisce all’impiego appropriato delle finanze pubbliche da parte dell’amministrazione
(v., in tal senso, sentenza Österreichischer Rundfunk e a., cit., punto 81).
Peraltro, la suddetta pubblicazione relativa all’utilizzazione delle somme erogate dai Fondi agricoli di cui trattasi consentirà
ai cittadini una migliore partecipazione al dibattito pubblico sulle decisioni relative agli orientamenti della PAC.
Pertanto, l’art. 44 bis del regolamento n. 1290/2005 ed il regolamento n. 259/2008 perseguono un obiettivo di interesse generale
riconosciuto dall’Unione, poiché mirano a rafforzare la trasparenza sull’impiego dei finanziamenti nell’ambito della PAC.
In terzo luogo, è altresì necessario verificare se la limitazione apportata ai diritti sanciti dagli artt. 7 e 8 della Carta
sia proporzionata alla finalità legittima perseguita (v., in particolare, Corte eur. D.U., sentenza Gillow c. Regno Unito
del 24 novembre 1986, série A n. 109, § 55, nonché sentenza Österreichischer Rundfunk e a., cit., punto 83).
A tale proposito, i ricorrenti nelle cause principali rilevano che i dati di cui l’art. 44 bis del regolamento n. 1290/2005
ed il regolamento n. 259/2008 prevedono la pubblicazione consentono ai terzi di ricavare informazioni sui loro redditi. Essi
affermano che tali aiuti rappresentano dal 30% al 70% dei ricavi totali dei beneficiari interessati. Gli interessi legittimi
del pubblico risulterebbero soddisfatti dalla pubblicazione di dati statistici anonimi.
Secondo costante giurisprudenza, il principio di proporzionalità, che è parte integrante dei principi generali del diritto
dell’Unione, esige che gli strumenti istituiti da un atto dell’Unione siano idonei a realizzare l’obiettivo perseguito e non
vadano oltre quanto è necessario per raggiungerlo (sentenza 8 giugno 2010, causa C‑58/08, Vodafone e a., Racc. pag. I‑4999,
punto 51 e la giurisprudenza citata).
È pacifico che la pubblicazione tramite Internet dei dati nominativi relativi ai beneficiari interessati e agli importi precisi
provenienti dal FEAGA e dal FEASR percepiti da questi ultimi siano idonei ad aumentare la trasparenza sull’impiego degli aiuti
agricoli di cui trattasi. Simili informazioni, messe a disposizione dei cittadini, rafforzano il controllo pubblico sull’utilizzazione
delle somme in questione e contribuiscono ad un uso ottimale delle finanze pubbliche.
Quanto alla necessità della misura, si deve rammentare che l’obiettivo della pubblicazione in questione non può essere perseguito
senza tener conto del fatto che esso deve essere conciliato con i diritti fondamentali sanciti dagli artt. 7 e 8 della Carta
(v., in tal senso, sentenza 16 dicembre 2008, causa C‑73/07, Satakunnan Markkinapörssi e Satamedia, Racc. pag. I‑9831, punto 53).
Occorre dunque verificare se il Consiglio dell’Unione europea e la Commissione abbiano effettuato un contemperamento equilibrato
tra, da un lato, l’interesse dell’Unione a garantire la trasparenza delle proprie azioni e un utilizzo equilibrato delle finanze
pubbliche e, dall’altro, la lesione del diritto dei beneficiari interessati al rispetto della loro vita privata, in generale,
e alla protezione dei loro dati personali, in particolare. A tale riguardo la Corte ha già dichiarato che le deroghe e le
limitazioni alla protezione dei dati personali devono operare entro i limiti dello stretto necessario (sentenza Satakunnan
Markkinapörssi e Satamedia, cit., punto 56).
Gli Stati membri che hanno depositato osservazioni scritte dinanzi alla Corte, il Consiglio e la Commissione osservano che
l’obiettivo perseguito dalla pubblicazione disposta dall’art. 44 bis del regolamento n. 1290/2005 e dal regolamento n. 259/2008
non poteva essere conseguito con misure meno lesive del diritto dei beneficiari al rispetto della loro vita privata, in generale,
e alla protezione dei loro dati personali, in particolare. Informazioni limitate ai beneficiari interessati i cui finanziamenti
percepiti superano una determinata soglia non offrirebbero al contribuente un’immagine fedele della PAC. Infatti, quest’ultimo
avrebbe l’impressione che esistano solamente «grandi» beneficiari di aiuti dei Fondi agricoli di cui trattasi, mentre i «piccoli»
beneficiari sarebbero assai numerosi. Neppure sarebbe soddisfacente limitare la pubblicazione alle persone giuridiche. La
Commissione fa valere in proposito che tra i più grandi beneficiari dei finanziamenti agricoli figurano persone fisiche.
Sebbene, certamente, in una società democratica i contribuenti abbiano diritto ad essere informati sull’impiego delle finanze
pubbliche (sentenza Österreichischer Rundfunk e a., cit., punto 85), nondimeno un contemperamento equilibrato dei differenti
interessi in causa avrebbe richiesto che le istituzioni interessate, prima dell’adozione delle disposizioni di cui si contesta
la validità, verificassero se la pubblicazione attraverso un sito Internet unico per ogni Stato membro e liberamente consultabile
dei dati nominativi relativi a tutti i beneficiari interessati e agli importi precisi provenienti dal FEAGA e dal FEASR percepiti
da ciascuno di essi – e senza distinguere in base alla durata, alla frequenza, o al tipo e all’entità dei finanziamenti percepiti
– non andasse oltre quanto era necessario per la realizzazione degli obiettivi legittimi perseguiti, alla luce in particolare
della lesione dei diritti riconosciuti dagli artt. 7 e 8 della Carta conseguente ad una simile pubblicazione.
Orbene, per quanto riguarda le persone fisiche beneficiarie di finanziamenti del FEAGA e del FEASR, non risulta che il Consiglio
e la Commissione abbiano tentato di effettuare un tale contemperamento equilibrato tra, da un lato, l’interesse dell’Unione
a garantire la trasparenza delle proprie azioni ed un impiego ottimale delle finanze pubbliche e, dall’altro, i diritti fondamentali
sanciti dagli artt. 7 e 8 della Carta.
Infatti, nulla indica che il Consiglio e la Commissione abbiano preso in considerazione, in sede di adozione dell’art. 44
bis del regolamento n. 1290/2005 e del regolamento n. 259/2008, modalità di pubblicazione relative ai beneficiari interessati
che fossero conformi all’obiettivo di una simile pubblicazione pur essendo meno lesive del diritto di detti beneficiari al
rispetto della loro vita privata, in generale, e alla protezione dei loro dati personali, in particolare, come la limitazione
della pubblicazione di dati nominativi relativi ai suddetti beneficiari in base ai periodi durante i quali essi hanno percepito
aiuti, alla frequenza o ancora al tipo e all’entità di questi ultimi.
Una pubblicazione nominativa limitata in tal modo potrebbe, eventualmente, essere accompagnata da spiegazioni pertinenti relative
alle altre persone fisiche beneficiarie di aiuti dei suddetti Fondi e agli importi percepiti da queste ultime.
Le istituzioni avrebbero dunque dovuto esaminare, nell’ambito di un contemperamento equilibrato dei differenti interessi in
causa, se una pubblicazione nominativa limitata nel modo indicato al punto 81 della presente sentenza non sarebbe stata sufficiente
per conseguire gli obiettivi della normativa dell’Unione discussa nella causa principale. In particolare, non sembra che una
simile limitazione, che tutelerebbe alcuni fra i beneficiari interessati da un’ingerenza nella loro vita privata, non offra
al cittadino un’immagine sufficientemente fedele degli aiuti versati dal FEAGA e dal FEASR, idonea a conseguire gli obiettivi
della suddetta normativa.
Gli Stati membri che hanno presentato osservazioni scritte dinanzi alla Corte, il Consiglio e la Commissione fanno inoltre
riferimento alla quota importante della PAC nel bilancio dell’Unione per giustificare la necessità della pubblicazione disposta
dall’art. 44 bis del regolamento n. 1290/2005 e dal regolamento n. 259/2008.
Questo argomento deve essere respinto. Si deve ricordare che le istituzioni, prima di divulgare informazioni riguardanti una
persona fisica, devono soppesare l’interesse dell’Unione a garantire la trasparenza delle proprie azioni con la lesione dei
diritti riconosciuti dagli artt. 7 e 8 della Carta. Orbene, non può riconoscersi alcuna automatica prevalenza dell’obiettivo
di trasparenza sul diritto alla protezione dei dati personali (v., in tal senso, sentenza Commissione/Bavarian Lager, cit.,
punti 75‑79), anche qualora siano coinvolti rilevanti interessi economici.
Da quanto sopra esposto emerge che non sembra che le istituzioni abbiano effettuato un contemperamento equilibrato tra, da
un lato, gli obiettivi dell’art. 44 bis del regolamento n. 1290/2005 e del regolamento n. 259/2008 e, dall’altro, i diritti
riconosciuti alle persone fisiche dagli artt. 7 e 8 della Carta. Considerato il fatto che le deroghe e le limitazioni alla
protezione dei dati personali devono operare nei limiti dello stretto necessario (sentenza Satakunnan Markkinapörssi e Satamedia,
cit., punto 56) e che sono concepibili misure che determinano lesioni meno gravi del suddetto diritto fondamentale per le
persone fisiche ma nel contempo contribuiscono in maniera efficace agli obiettivi della normativa dell’Unione in questione,
si deve constatare che il Consiglio e la Commissione, imponendo la pubblicazione dei nomi di tutte le persone fisiche beneficiarie
di aiuti del FEAGA e del FEASR nonché degli importi precisi percepiti da queste ultime, hanno superato i limiti imposti dal
rispetto del principio di proporzionalità.
Infine, quanto alle persone giuridiche beneficiarie di aiuti del FEAGA e del FEASR, e nei limiti in cui esse possono invocare
i diritti riconosciuti dagli artt. 7 e 8 della Carta (v. punto 53 della presente sentenza), si deve considerare che l’obbligo
di pubblicazione derivante dalle disposizioni della normativa dell’Unione della cui validità si discute non supera i limiti
imposti dal rispetto del principio di proporzionalità. Infatti, la gravità della lesione del diritto alla protezione dei dati
personali si presenta in maniera differente per le persone giuridiche e per le persone fisiche. Si deve rilevare, a tale riguardo,
che le persone giuridiche sono già soggette a un obbligo più gravoso di pubblicazione dei dati che le riguardano. Peraltro,
l’obbligo per le autorità nazionali competenti di esaminare, prima della pubblicazione in questione, per ogni persona giuridica
beneficiaria di aiuti del FEAGA e del FEASR, se la denominazione di quest’ultima identifichi persone fisiche graverebbe tali
autorità di un onere amministrativo eccessivo (v., in tal senso, Corte eur. D.U., sentenza K.U. c. Finlandia del 2 marzo 2009,
ricorso n. 2872/02, non ancora pubblicata, § 48).
Pertanto, si deve ritenere che le disposizioni del diritto dell’Unione la cui validità è messa in discussione dal giudice
del rinvio, laddove hanno ad oggetto la pubblicazione di dati relativi alle persone giuridiche, rispettano un giusto equilibrio
quanto alla considerazione dei rispettivi interessi coinvolti.
Alla luce di quanto precede, l’art. 44 bis del regolamento n. 1290/2005 ed il regolamento n. 259/2008 devono essere dichiarati
invalidi nella parte in cui, con riguardo a persone fisiche beneficiarie di aiuti del FEAGA e del FEASR, tali disposizioni
impongono la pubblicazione di dati personali relativi ad ogni beneficiario, senza operare distinzioni sulla base di criteri
pertinenti come i periodi durante i quali esse hanno percepito simili aiuti, la frequenza o ancora il tipo e l’entità di questi
ultimi.
c)     Sulla validità dell’art. 42, punto 8 ter, del regolamento n. 1290/2005
Occorre ricordare che l’art. 42, punto 8 ter, del regolamento n. 1290/2005 delega la Commissione a fissare le modalità di
esecuzione del solo art. 44 bis del suddetto regolamento.
Orbene, poiché l’art. 44 bis del regolamento n. 1290/2005 deve essere dichiarato invalido per i motivi sopra indicati, l’art. 42,
punto 8 ter, del suddetto regolamento deve essere parimenti dichiarato invalido.
Si devono dunque risolvere la prima questione e la prima parte della seconda questione nel senso che gli artt. 42, punto 8
ter, e 44 bis del regolamento n. 1290/2005 ed il regolamento n. 259/2008 sono invalidi nella parte in cui, con riguardo a
persone fisiche beneficiarie di aiuti del FEAGA e del FEASR, tali disposizioni impongono la pubblicazione di dati personali
relativi ad ogni beneficiario, senza operare distinzioni sulla base di criteri pertinenti come i periodi durante i quali esse
hanno percepito simili aiuti, la frequenza o ancora il tipo e l’entità di questi ultimi.
d)     Sugli effetti nel tempo della dichiarata invalidità
Occorre ricordare che qualora lo giustifichino esigenze imperative connesse alla certezza del diritto, la Corte può valersi,
in forza dell’art. 264, secondo comma, TFUE – applicabile per analogia anche nell’ambito di un procedimento pregiudiziale
vertente sulla validità degli atti adottati dalle istituzioni della Comunità, ai sensi dell’art. 267 TFUE –, di un potere
discrezionale per stabilire, in ciascun caso concreto, quali effetti di tale atto debbano considerarsi definitivi (v., in
tal senso, sentenza 22 dicembre 2008, causa C‑333/07, Regie Networks, Racc. pag. I‑10807, punto 121 e giurisprudenza ivi citata).
Alla luce dell’elevato numero di pubblicazioni effettuate negli Stati membri sulla base di una normativa considerata valida,
si deve riconoscere che la dichiarata invalidità delle disposizioni menzionate al punto 92 della presente sentenza non consente
di rimettere in discussione gli effetti della pubblicazione degli elenchi dei beneficiari di aiuti del FEAGA e del FEASR effettuata
dalle autorità nazionali, sulla base delle suddette disposizioni, nel periodo anteriore alla data di pronuncia della presente
sentenza.
2.     Sulla terza questione
Con la terza questione, il giudice del rinvio chiede, in sostanza, se l’art. 18, n. 2, secondo trattino, della direttiva 95/46
debba essere interpretato nel senso che la pubblicazione delle informazioni risultante dall’art. 42, punto 8 ter, e 44 bis
del regolamento n. 1290/2005 e dal regolamento n. 259/2008 possa avere luogo solamente se l’incaricato alla protezione dei
dati personali abbia provveduto, prima di una simile pubblicazione, a tenere un registro completo ai sensi del suddetto art. 18,
n. 2, secondo trattino.
A tale riguardo si deve ricordare che l’art. 18, n. 1, della direttiva 95/46 stabilisce il principio della notificazione all’autorità
di controllo prima di procedere alla realizzazione di un trattamento, o di un insieme di trattamenti, di dati personali, interamente
o parzialmente automatizzato, destinato al conseguimento di una o più finalità correlate. Come spiega il quarantottesimo ‘considerando’
della stessa direttiva, «la notificazione all’autorità di controllo ha lo scopo di dare pubblicità alle finalità del trattamento
ed alle su[e] principali caratteristiche, per consentirne il controllo secondo le norme nazionali di attuazione della [suddetta]
direttiva».
L’art. 18, n. 2, secondo trattino, della direttiva 95/46 dispone tuttavia che gli Stati membri possono prevedere la semplificazione
o l’esonero dall’obbligo di notificazione, in particolare, qualora il responsabile del trattamento designi un incaricato alla
protezione dei dati personali. Dalle decisioni di rinvio emerge che, per quanto riguarda la pubblicazione dei dati risultante
dagli artt. 42, punto 8 ter, e 44 bis del regolamento n. 1290/2005 e dal regolamento n. 259/2008, una simile designazione
è stata effettuata nel Land Hessen.
Secondo l’art. 18, n. 2, secondo trattino, della direttiva 95/46, ad un incaricato alla protezione dei dati personali sono
demandati diversi compiti, idonei a garantire che i trattamenti non siano tali da arrecare pregiudizio ai diritti ed alle
libertà delle persone interessate. All’incaricato è così demandato, fra l’altro, di tenere un «registro dei trattamenti effettuati
dal responsabile del trattamento in cui figurino le informazioni di cui all’articolo 21, paragrafo 2, [della direttiva 95/46]».
Quest’ultima disposizione rinvia all’art. 19, n. 1, lett. a)‑e), della medesima direttiva.
Tuttavia, al contrario di quanto ritiene il giudice del rinvio, l’art. 18, n. 2, secondo trattino, della direttiva 95/46 non
impone alcuna disposizione che obblighi l’incaricato alla protezione dei dati personali a tenere un registro in cui figurano
le informazioni di cui al combinato disposto degli artt. 21, n. 2, e 19, n. 1, lett. a)‑e), della medesima direttiva prima
ancora che venga realizzato il trattamento di dati di cui trattasi. Infatti, il registro al quale si riferisce l’art. 18,
n. 2, secondo trattino, della suddetta direttiva deve contenere solo i «trattamenti effettuati».
Ciò premesso, l’assenza, attestata dal giudice del rinvio, di un registro completo precedentemente al trattamento dei dati
non può incidere sulla legittimità di una pubblicazione come quella risultante dagli artt. 42, punto 8 ter, e 44 bis del regolamento
n. 1290/2005 e dal regolamento n. 259/2008.
La terza questione va dunque risolta dichiarando che l’art. 18, n. 2, secondo trattino, della direttiva 95/46 deve essere
interpretato nel senso che esso non impone all’incaricato della protezione dei dati personali un obbligo di procedere alla
tenuta del registro prevista da tale disposizione prima che venga realizzato un trattamento di dati personali, come quello
risultante dagli artt. 42, punto 8 ter, e 44 bis del regolamento n. 1290/2005, nonché dal regolamento n. 259/2008.
3.     Sulla quarta questione
Con la quarta questione, il giudice del rinvio chiede, in sostanza, se l’art. 20 della direttiva 95/46 debba essere interpretato
nel senso che esso subordina la pubblicazione delle informazioni risultante dagli artt. 42, punto 8 ter, e 44 bis del regolamento
n. 259/2008 e dal regolamento n. 259/2008 al controllo preliminare previsto dal suddetto art. 20.
Si deve anzitutto rilevare che l’art. 20, n. 1, della direttiva 95/46 dispone che «[g]li Stati membri precisano i trattamenti
che potenzialmente presentano rischi specifici per i diritti e le libertà delle persone e provvedono a che tali trattamenti
siano esaminati prima della loro messa in opera».
Ne consegue che la direttiva 95/46 non subordina il trattamento di dati personali ad un controllo preliminare generalizzato.
Infatti, come emerge dal cinquantaduesimo ‘considerando’ di detta direttiva, il legislatore dell’Unione ha considerato che
«il controllo a posteriori da parte delle autorità competenti deve essere ritenuto di norma sufficiente».
Quanto ai trattamenti soggetti a controllo preliminare, vale a dire quelli che possono presentare rischi particolari per i
diritti e le libertà delle persone interessate, il cinquantatreesimo ‘considerando’ della direttiva 95/46 enuncia che taluni
trattamenti possono presentare simili rischi «per natura, portata o finalità». Anche se gli Stati membri hanno facoltà di
precisare ulteriormente nella loro legislazione i trattamenti che possono presentare rischi particolari per i diritti e le
libertà delle persone interessate, la suddetta direttiva prevede, come emerge dal suo cinquantaquattresimo ‘considerando’,
che il loro numero «dovrebbe essere molto esiguo».
Occorre inoltre rilevare che, ai sensi dell’art. 27, n. 1, del regolamento n. 45/2001, i trattamenti di dati personali che
possono presentare rischi particolari per i diritti e le libertà delle persone interessate sono altresì soggetti ad un controllo
preliminare quando vengono effettuati da istituzioni ed organismi dell’Unione. Il n. 2 di tale articolo precisa quali siano
i trattamenti che possono presentare simili rischi. Orbene, alla luce del parallelismo tra le disposizioni della direttiva
95/46 e quelle del regolamento n. 45/2001 relative al controllo preliminare, l’elencazione di cui all’art. 27, n. 2, di detto
regolamento dei trattamenti che possono presentare rischi particolari per i diritti e le libertà delle persone interessate
deve essere considerata pertinente ai fini dell’interpretazione dell’art. 20 della direttiva 95/46.
Orbene, non sembra che la pubblicazione dei dati disposta dagli artt. 42, punto 8 ter, e 44 bis del regolamento n. 1290/2005
e dal regolamento n. 259/2008 rientri in una delle categorie di trattamenti previste dall’art. 27, n. 2, del regolamento n. 45/2001.
Conseguentemente, occorre risolvere la quarta questione dichiarando che l’art. 20 della direttiva 95/46 deve essere interpretato
nel senso che esso non obbliga gli Stati membri a subordinare al controllo preliminare previsto da tale disposizione la pubblicazione
delle informazioni risultante dagli artt. 42, punto 8 ter, e 44 bis del regolamento n. 1290/2005, nonché dal regolamento n. 259/2008.
Alla luce della soluzione fornita alla quarta questione, non è necessario risolvere la quinta questione.
IV –
Sulle spese
Nei confronti delle parti nella causa principale il presente procedimento costituisce un incidente sollevato dinanzi al giudice
nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte
non possono dar luogo a rifusione.
Per questi motivi, la Corte (Grande Sezione) dichiara:
1)
Gli artt. 42, punto 8 ter, e 44 bis del regolamento (CE) del Consiglio 21 giugno 2005, n. 1290, relativo al finanziamento
della politica agricola comune, come modificato dal regolamento (CE) del Consiglio 26 novembre 2007, n. 1437, ed il regolamento
(CE) della Commissione 18 marzo 2008, n. 259, recante modalità di applicazione del regolamento (CE) n. 1290/2005 per quanto
riguarda la pubblicazione di informazioni sui beneficiari dei finanziamenti provenienti dal Fondo europeo agricolo di garanzia
(FEAGA) e dal Fondo europeo agricolo per lo sviluppo rurale (FEASR), sono invalidi nella parte in cui, con riguardo a persone
fisiche beneficiarie di aiuti del FEAGA e del FEASR, tali disposizioni impongono la pubblicazione di dati personali relativi
ad ogni beneficiario, senza operare distinzioni sulla base di criteri pertinenti come i periodi durante i quali esse hanno
percepito simili aiuti, la frequenza o ancora il tipo e l’entità di questi ultimi.
2)
L’invalidità delle disposizioni del diritto dell’Unione menzionate al punto 1 del presente dispositivo non consente di rimettere
in discussione gli effetti della pubblicazione degli elenchi dei beneficiari di aiuti del FEAGA e del FEASR effettuata dalle
autorità nazionali, sulla base delle suddette disposizioni, nel periodo anteriore alla data di pronuncia della presente sentenza.
3)
L’art. 18, n. 2, secondo trattino, della direttiva del Parlamento europeo e del Consiglio 24 ottobre 1995, 95/46/CE, relativa
alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali
dati, deve essere interpretato nel senso che esso non impone all’incaricato della protezione dei dati personali un obbligo
di procedere alla tenuta del registro prevista da tale disposizione prima che venga realizzato un trattamento di dati personali,
come quello risultante dagli artt. 42, punto 8 ter, e 44 bis del regolamento n. 1290/2005, come modificato dal regolamento
n. 1437/2007, nonché dal regolamento n. 259/2008.
4)
L’art. 20 della direttiva 95/46 deve essere interpretato nel senso che esso non obbliga gli Stati membri a subordinare al
controllo preliminare previsto da tale disposizione la pubblicazione delle informazioni risultante dagli artt. 42, punto 8 ter,
e 44 bis del regolamento n. 1290/2005, come modificato dal regolamento n. 1437/2007, nonché dal regolamento n. 259/2008.
Firme
*
Lingua processuale: il tedesco.