62022CJ0231_RES
Causa C‑231/22
État belge
contro
Autorité de protection des données
(domanda di pronuncia pregiudiziale proposta dalla Cour d’appel de Bruxelles)
Sentenza della Corte (Terza Sezione) dell’11 gennaio 2024
«Rinvio pregiudiziale – Ravvicinamento delle legislazioni – Protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (regolamento generale sulla protezione dei dati) – Regolamento (UE) 2016/679 – Articolo 4, punto 7 – Nozione di “titolare del trattamento” – Gazzetta ufficiale di uno Stato membro – Obbligo di pubblicare tal quali atti di società redatti da queste ultime o dai loro rappresentanti legali – Articolo 5, paragrafo 2 – Trattamento in successione, da parte di diverse persone o entità distinte, dei dati personali che figurano in tali atti – Determinazione delle responsabilità»
Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento 2016/679 – Nozione di titolare del trattamento – Gazzetta ufficiale di uno Stato membro che provvede alla pubblicazione degli atti e dei documenti ufficiali redatti da terzi e che non ha potere di controllo sul loro contenuto – Inclusione – Presupposto – Determinazione delle finalità e dei mezzi del trattamento dei dati personali da parte di tale Gazzetta ufficiale nel diritto nazionale – Modalità – Irrilevanza della mancanza di personalità giuridica
(Regolamento del Parlamento europeo e del Consiglio 2016/679, considerando 74 e art. 4, punto 7)
(v. punti 28, 30, 34‑39, dispositivo 1)
Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento 2016/679 – Principi applicabili al trattamento – Determinazione di coloro che sono competenti per il rispetto di tali principi in caso di trattamento in successione degli stessi dati – Competenza della Gazzetta ufficiale di uno Stato membro che provvede alla pubblicazione degli atti e dei documenti ufficiali redatti da terzi e che ha la qualità di titolare del trattamento – Portata – Competenza individuale della Gazzetta ufficiale – Competenza congiunta con altre entità – Presupposto – Determinazione delle finalità e dei mezzi che accomunano le varie operazioni di trattamento nonché delle rispettive responsabilità dei contitolari del trattamento nel diritto nazionale – Modalità
(Regolamento del Parlamento europeo e del Consiglio 2016/679, artt. 4, punto 7, 5, §§ 1 e 2, e 26, § 1)
(v. punti 42‑45, 49, 50, 52, dispositivo 2)
Sintesi
Adita in via pregiudiziale dalla cour d’appel de Bruxelles (Corte d’appello di Bruxelles, Belgio), la Corte precisa, da un lato, i contorni della nozione di «titolare del trattamento» e, dall’altro, i limiti delle responsabilità di un titolare del trattamento, quando trattamenti riguardanti gli stessi dati personali vengono effettuati da entità in successione.
Il 12 febbraio 2019 il Moniteur belge, che provvede in Belgio alla produzione e alla diffusione di un ampio ventaglio di pubblicazioni ufficiali, destinate al pubblico, in formato cartaceo ed elettronico, ha pubblicato un estratto di una decisione di una società avente ad oggetto una riduzione del capitale di quest’ultima. Tale estratto, redatto dal notaio di un socio della società e trasmesso al tribunale competente, il quale, a sua volta, l’ha trasmesso, ai fini di pubblicazione, alla direzione di tale Gazzetta ufficiale, conteneva dati personali di tale socio.
Dopo aver constatato che il passaggio in cui figuravano i suoi dati era stato incluso nell’estratto in seguito a un errore commesso dal notaio, la persona interessata ha chiesto la cancellazione dello stesso sul fondamento del suo diritto alla cancellazione (
1
).Tuttavia, la sua richiesta è stata respinta dal service public fédéral Justice (Servizio pubblico federale di giustizia; in prosieguo: il «SPF Justice»), al quale è collegata la direzione del Moniteur belge. In seguito a tale rigetto, detta persona ha presentato un reclamo contro il SPF Justice presso l’Autorité de protection des données [Autorità garante della protezione dei dati (Belgio); in prosieguo: l’«APD»]. Con decisione del 23 marzo 2021, l’APD ha ingiunto al SPF Justice di dare seguito alla richiesta di cancellazione quanto prima. L’État belge (Stato belga) ha allora adito la cour d’appel de Bruxelles (Corte d’appello di Bruxelles) al fine di ottenere l’annullamento della decisione dell’APD.
In tale contesto, la cour d’appel de Bruxelles (Corte d’appello di Bruxelles) ha chiesto alla Corte se il Moniteur belge possa essere qualificato come «titolare del trattamento» (
2
) e se debba essere considerato l’unico competente per il rispetto dei principi applicabili al trattamento dei dati (
3
) oppure se tale competenza incomba anche cumulativamente alle entità che hanno trattato a monte i dati contenuti nel passaggio interessato.
Giudizio della Corte
In primo luogo, quanto alla questione se il servizio o l’organismo incaricato della Gazzetta ufficiale di uno Stato membro come il Moniteur belge possa essere qualificato come «titolare del trattamento» ai sensi del RGPD, la Corte precisa che, alla luce dell’ampia definizione di tale nozione, la determinazione delle finalità e dei mezzi del trattamento e, se del caso, la designazione del titolare del trattamento da parte del diritto nazionale possano essere non solo esplicite, ma anche implicite. In quest’ultima ipotesi, è tuttavia richiesto che tale determinazione derivi in maniera sufficientemente certa dal ruolo, dalla funzione e dalle attribuzioni devoluti al servizio o all’organismo interessato.
La Corte constata che, nel caso di specie, il diritto belga ha determinato, almeno implicitamente, le finalità e i mezzi del trattamento dei dati personali effettuato dal Moniteur belge. Ne consegue che quest’ultimo può essere considerato il «titolare del trattamento».
La Corte sottolinea che tale conclusione non è messa in discussione né dalla circostanza che il Moniteur belge non sia dotato di personalità giuridica né dal fatto che, in forza del diritto nazionale, esso non controlli, prima della loro pubblicazione, i dati personali contenuti negli atti e nei documenti che riceve.
Se è vero che tale organismo deve pubblicare il documento in questione tal quale, esso è l’unico ad assumere tale compito e a diffondere poi l’atto o il documento di cui trattasi. Da un lato, la pubblicazione di tali atti e documenti senza possibilità di controllo o di modifica del loro contenuto è intrinsecamente legata alle finalità e ai mezzi del trattamento determinati dal diritto nazionale. Infatti, il ruolo di tale Gazzetta ufficiale si limita ad informare il pubblico circa l’esistenza di tali atti e documenti, così come sono trasmessi sotto forma di copia conformemente al diritto nazionale applicabile, in modo da renderli opponibili a terzi. Dall’altro lato, sarebbe contrario all’obiettivo dell’articolo 4, punto 7, del RGPD escludere dalla nozione di «titolare del trattamento» la Gazzetta ufficiale di uno Stato membro per il motivo che quest’ultimo non esercita un controllo sui dati personali che figurano nelle sue pubblicazioni.
In secondo luogo, per quanto riguarda la questione se un organismo come il Moniteur belge debba essere considerato l’unico competente per il rispetto dei principi applicabili al trattamento dei dati personali di cui al RGPD (
4
), la Corte osserva che il trattamento affidato al Moniteur belge è sia posteriore al trattamento effettuato dal notaio e dalla cancelleria del tribunale competente sia tecnicamente diverso dal trattamento effettuato da queste due entità in quanto si aggiunge ad esso. Infatti, le operazioni effettuate dal Moniteur belge gli sono affidate dalla legislazione nazionale e implicano, in particolare, la trasformazione digitale dei dati contenuti negli atti o negli estratti di atti che gli vengono sottoposti, la pubblicazione di questi ultimi, la loro messa a disposizione di un vasto pubblico e la loro conservazione. Di conseguenza, esso deve essere considerato competente per il rispetto dell’insieme degli obblighi imposti al titolare del trattamento dal RGPD.
Inoltre, la Corte ricorda che l’articolo 4, punto 7, del RGPD prevede non solo che le finalità e i mezzi di un trattamento di dati personali possano essere determinati congiuntamente da diverse persone in quanto titolari del trattamento, ma anche che il diritto nazionale possa determinare tali finalità e tali mezzi e designare il titolare del trattamento o prevedere i criteri specifici applicabili alla sua designazione. Pertanto, nell’ambito di una catena di trattamenti effettuati da diverse persone o entità e vertenti sugli stessi dati personali, il diritto nazionale può determinare le finalità e i mezzi dell’insieme dei trattamenti effettuati in successione da tali diverse persone o entità in modo che queste ultime siano considerate congiuntamente titolari del trattamento.
La Corte sottolinea che, in forza del RGPD (
5
), la contitolarità di diversi soggetti in una catena di trattamenti vertenti sui medesimi dati personali può essere stabilita dal diritto nazionale, purché le varie operazioni di trattamento siano accomunate da finalità e da mezzi determinati da tale diritto e che quest’ultimo definisca le rispettive responsabilità di ciascuno dei contitolari del trattamento. Una siffatta determinazione delle finalità e dei mezzi che accomunano i diversi trattamenti operati da vari soggetti di una catena nonché delle rispettive responsabilità di questi ultimi può essere effettuata non solo in modo diretto, ma anche indirettamente dal diritto nazionale, a condizione, in quest’ultima ipotesi, che essa possa essere desunta in modo sufficientemente esplicito dalle disposizioni di legge che disciplinano le persone o entità interessate nonché il trattamento dei dati personali che esse operano nell’ambito della catena di trattamenti imposta da tale diritto.
Pertanto, la Corte conclude che il servizio o l’organismo responsabile della Gazzetta ufficiale di uno Stato membro, qualificato come «titolare del trattamento», è l’unico competente per il rispetto dei principi di cui al RGPD per quanto riguarda le operazioni di trattamento dei dati personali che è tenuto ad effettuare in forza del diritto nazionale, a meno che da tale diritto derivi, in relazione a tali operazioni, una competenza congiunta con altre entità.
(
1
)	Previsto all’articolo 17 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1, in prosieguo: il «RGPD»).
(
2
)	Ai sensi dell’articolo 4, punto 7, del RGPD.
(
3
)	In forza dell’articolo 5, paragrafo 2, del RGPD.
(
4
)	Principi previsti sotto forma di obblighi all’articolo 5, paragrafo 1, del RGPD.
(
5
)	Secondo il combinato disposto dell’articolo 26, paragrafo 1, e dell’articolo 4, punto 7, del RGPD.