62022CJ0017
SENTENZA DELLA CORTE (Quarta Sezione)
12 settembre 2024 (
*1
)
«Rinvio pregiudiziale – Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento (UE) 2016/679 – Articolo 6, paragrafo 1, primo comma, lettere b), c) e f) – Liceità del trattamento – Necessità del trattamento ai fini dell’esecuzione di un contratto di cui l’interessato è parte – Necessità del trattamento per adempiere un obbligo legale imposto al titolare del trattamento – Necessità del trattamento per il perseguimento del legittimo interesse del titolare del trattamento o di terzi – Fondo di investimento costituito sotto forma di società in accomandita ad azionariato diffuso – Richiesta di un socio volta ad ottenere i recapiti degli altri soci che detengono partecipazioni indirette in un fondo di investimento tramite una società fiduciaria»
Nelle cause riunite C‑17/22 e C‑18/22,
aventi ad oggetto le domande di pronuncia pregiudiziale proposte alla Corte, ai sensi dell’articolo 267 TFUE, dall’Amtsgericht München (Tribunale circoscrizionale, Monaco di Baviera, Germania), con decisioni del 21 dicembre 2021, pervenute in cancelleria il 7 gennaio 2022, nei procedimenti
HTB Neunte Immobilien Portfolio geschlossene Investment UG & Co. KG
contro
Müller Rechtsanwaltsgesellschaft mbH (C‑17/22),
e
Ökorenta Neue Energien Ökostabil IV geschlossene Investment GmbH & Co. KG
contro
WealthCap Photovoltaik 1 GmbH Co. KG,
WealthCap PEIA Komplementär GmbH,
WealthCap Investorenbetreuung GmbH (C‑18/22),
LA CORTE (Quarta Sezione),
composta da C. Lycourgos, presidente di sezione, O. Spineanu-Matei, J.-C. Bonichot, S. Rodin e L.S. Rossi (relatrice), giudici,
avvocato generale: J. Richard de la Tour
cancelliere: I. Illéssy, amministratore
vista la fase scritta del procedimento e in seguito all’udienza del 29 febbraio 2024,
considerate le osservazioni presentate:
–
per HTB Neunte Immobilien Portfolio geschlossene Investment UG & Co. KG, da M. Handlos e R. Veil, Rechtsanwälte;
–
per Ökorenta Neue Energien Ökostabil IV geschlossene Investment GmbH & Co. KG, da U. Brinkmöller, Rechtsanwalt;
–
per WealthCap Photovoltaik 1 GmbH Co.KG, WealthCap PEIA Komplementär GmbH e WealthCap Investorenbetreuung GmbH, da N. Bartmann, U. Baumgartner e A. Höder, Rechtsanwälte;
–
per la Commissione europea, da A. Bouchagiar, M. Heller e H. Kranenborg, in qualità di agenti,
vista la decisione, adottata dopo aver sentito l’avvocato generale, di giudicare la causa senza conclusioni,
ha pronunciato la seguente
Sentenza
1
Le domande di pronuncia pregiudiziale vertono sull’interpretazione dell’articolo 6, paragrafo 1, primo comma, lettere b) e f), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1; in prosieguo: il «RGPD»).
2
Tali domande sono state presentate nell’ambito di controversie che contrappongono, da un lato, la HTB Neunte Immobilien Portfolio geschlossene Investment UG & Co. KG (in prosieguo: la «HTB») alla Müller Rechtsanwaltsgesellschaft mbH (causa C‑17/22), e, dall’altro, la Ökorenta Neue Energien Ökostabil IV geschlossene Investment GmbH & Co. KG (in prosieguo: la «Ökorenta») alla WealthCap Photovoltaik 1 GmbH Co. KG, alla WealthCap PEIA Komplementär GmbH e alla WealthCap Investorenbetreuung GmbH (causa C‑18/22).
Contesto normativo
Diritto dell’Unione
3
I considerando 1, 10, 39, 41, 47 e 48 del RGPD sono formulati come segue:
«(1)
La protezione delle persone fisiche con riguardo al trattamento dei dati di carattere personale è un diritto fondamentale. L’articolo 8, paragrafo 1, della [c]arta dei diritti fondamentali dell’Unione europea (“Carta”) e l’articolo 16, paragrafo 1, [TFUE] stabiliscono che ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano.
(…)
(10)
Al fine di assicurare un livello coerente ed elevato di protezione delle persone fisiche e rimuovere gli ostacoli alla circolazione dei dati personali all’interno dell’Unione [europea], il livello di protezione dei diritti e delle libertà delle persone fisiche con riguardo al trattamento di tali dati dovrebbe essere equivalente in tutti gli Stati membri. È opportuno assicurare un’applicazione coerente e omogenea delle norme a protezione dei diritti e delle libertà fondamentali delle persone fisiche con riguardo al trattamento dei dati personali in tutta l’Unione [europea]. (…)
(…)
(39)
Qualsiasi trattamento di dati personali dovrebbe essere lecito e corretto. Dovrebbero essere trasparenti per le persone fisiche le modalità con cui sono raccolti, utilizzati, consultati o altrimenti trattati dati personali che l[e] riguardano nonché la misura in cui i dati personali sono o saranno trattati. (…)
(…)
(41)
Qualora il presente regolamento faccia riferimento a una base giuridica o a una misura legislativa, ciò non richiede necessariamente l’adozione di un atto legislativo da parte di un parlamento, fatte salve le prescrizioni dell’ordinamento costituzionale dello Stato membro interessato. Tuttavia, tale base giuridica o misura legislativa dovrebbe essere chiara e precisa, e la sua applicazione prevedibile, per le persone che vi sono sottoposte, in conformità della giurisprudenza della Corte di giustizia dell’Unione europea (…) e della Corte europea dei diritti dell’uomo.
(…)
(47)
I legittimi interessi di un titolare del trattamento, compresi quelli di un titolare del trattamento a cui i dati personali possono essere comunicati, o di terzi possono costituire una base giuridica del trattamento, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato, tenuto conto delle ragionevoli aspettative nutrite dall’interessato in base alla sua relazione con il titolare del trattamento. Ad esempio, potrebbero sussistere tali legittimi interessi quando esista una relazione pertinente e appropriata tra l’interessato e il titolare del trattamento, ad esempio quando l’interessato è un cliente o è alle dipendenze del titolare del trattamento. In ogni caso, l’esistenza di legittimi interessi richiede un’attenta valutazione anche in merito all’eventualità che l’interessato, al momento e nell’ambito della raccolta dei dati personali, possa ragionevolmente attendersi che abbia luogo un trattamento a tal fine. Gli interessi e i diritti fondamentali dell’interessato potrebbero in particolare prevalere sugli interessi del titolare del trattamento qualora i dati personali siano trattati in circostanze in cui gli interessati non possano ragionevolmente attendersi un ulteriore trattamento dei dati personali. (…) Può essere considerato legittimo interesse trattare dati personali per finalità di marketing diretto.
(48)
I titolari del trattamento facenti parte di un gruppo imprenditoriale o di enti collegati a un organismo centrale possono avere un interesse legittimo a trasmettere dati personali all’interno del gruppo imprenditoriale a fini amministrativi interni, compreso il trattamento di dati personali dei clienti o dei dipendenti. Sono fatti salvi i principi generali per il trasferimento di dati personali, all’interno di un gruppo imprenditoriale, verso un’impresa situata in un paese terzo».
4
L’articolo 1o di tale regolamento, intitolato «Oggetto e finalità», al paragrafo 2, così dispone:
«Il presente regolamento protegge i diritti e le libertà fondamentali delle persone fisiche, in particolare il diritto alla protezione dei dati personali».
5
L’articolo 4 di detto regolamento prevede quanto segue:
«Ai fini del presente regolamento s’intende per:
1)
“dato personale”: qualsiasi informazione riguardante una persona fisica identificata o identificabile (“interessato”); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale;
2)
“trattamento”: qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione;
(…)
7)
“titolare del trattamento”: la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali; quando le finalità e i mezzi di tale trattamento sono determinati dal diritto dell’Unione o degli Stati membri, il titolare del trattamento o i criteri specifici applicabili alla sua designazione possono essere stabiliti dal diritto dell’Unione o degli Stati membri;
(…)
11)
“consenso dell’interessato”: qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile dell’interessato, con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento;
(…)».
6
L’articolo 5 del medesimo regolamento, rubricato «Principi applicabili al trattamento di dati personali», così dispone:
«1.   I dati personali sono:
a)
trattati in modo lecito, corretto e trasparente nei confronti dell’interessato (“liceità, correttezza e trasparenza”);
b)
raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità; (...)
c)
adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati (“minimizzazione dei dati”);
(…)
2.   Il titolare del trattamento è competente per il rispetto del paragrafo 1 e in grado di comprovarlo (“responsabilizzazione”)».
7
L’articolo 6 del RGPD, intitolato «Liceità del trattamento», è formulato come segue:
«1.   Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni:
a)
l’interessato ha espresso il consenso al trattamento dei propri dati personali per una o più specifiche finalità;
b)
il trattamento è necessario all’esecuzione di un contratto di cui l’interessato è parte o all’esecuzione di misure precontrattuali adottate su richiesta dello stesso;
c)
il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento;
(…)
f)
il trattamento è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali, in particolare se l’interessato è un minore.
La lettera f) del primo comma non si applica al trattamento di dati effettuato dalle autorità pubbliche nell’esecuzione dei loro compiti.
2.   Gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del presente regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto anche per le altre specifiche situazioni di trattamento di cui al capo IX.
3.   La base su cui si fonda il trattamento dei dati di cui al paragrafo 1, lettere c) ed e), deve essere stabilita:
a)
dal diritto dell’Unione; o
b)
dal diritto dello Stato membro cui è soggetto il titolare del trattamento.
(…) Il diritto dell’Unione o degli Stati membri persegue un obiettivo di interesse pubblico ed è proporzionato all’obiettivo legittimo perseguito».
8
L’articolo 13, paragrafo 1, di tale regolamento così dispone:
«In caso di raccolta presso l’interessato di dati che lo riguardano, il titolare del trattamento fornisce all’interessato, nel momento in cui i dati personali sono ottenuti, le seguenti informazioni:
(...)
c)
le finalità del trattamento cui sono destinati i dati personali nonché la base giuridica del trattamento;
d)
qualora il trattamento si basi sull’articolo 6, paragrafo 1, lettera f), i legittimi interessi perseguiti dal titolare del trattamento o da terzi;
(…)».
Diritto tedesco
9
L’articolo 161 dell’Handelsgesetzbuch (codice di commercio), nella versione applicabile alle controversie di cui ai procedimenti principali, prevede quanto segue:
«1.   La società il cui oggetto consiste nell’esercizio di un’attività commerciale sotto una denominazione comune è una società in accomandita se la responsabilità di uno o alcuni dei soci nei confronti dei creditori della società è limitata all’importo di un determinato conferimento di capitale (soci accomandanti), mentre la responsabilità dell’altra parte dei soci non è limitata (soci accomandatari).
2.   Ove non diversamente stabilito nella presente sezione, le disposizioni applicabili alle società in nome collettivo si applicano alle società in accomandita semplice».
10
L’articolo 162, paragrafo 1, di tale codice è formulato come segue:
«L’iscrizione della società deve contenere, oltre alle indicazioni di cui all’articolo 106, paragrafo 2, [(in particolare, il cognome, il nome, la data di nascita e il luogo di residenza di ciascun socio)], la denominazione dei soci accomandanti e l’importo del conferimento di capitale di ciascuno di essi. (…)».
11
L’articolo 127a, paragrafi 1 e 3, dell’Aktiengesetz (legge sulle società per azioni), nella versione applicabile alle controversie di cui ai procedimenti principali, così dispone:
«1.   Nel forum degli azionisti pubblicato sul Bundesanzeiger [(Gazzetta ufficiale federale tedesca)], gli azionisti o le associazioni di azionisti possono invitare altri azionisti a presentare, congiuntamente o per delega, una mozione o una richiesta ai sensi della presente legge o a esercitare il diritto di voto in un’assemblea generale.
(...)
3.   L’invito può contenere informazioni riguardanti il sito internet dell’azionista che invita e il suo indirizzo elettronico. (…)».
12
L’articolo 33, paragrafo 1, prima frase, del Wertpapierhandelsgesetz (legge relativa alla negoziazione dei titoli), nella versione applicabile alle controversie di cui ai procedimenti principali, così prevede:
«Chiunque, in conseguenza dell’acquisto, della cessione o in altro modo, raggiunga, superi o scenda al di sotto del 3%, 5%, 10%, 15%, 20%, 25%, 30%, 50% o 75% dei diritti di voto derivanti dalle proprie azioni in un emittente per il quale la Repubblica federale di Germania è lo Stato d’origine (dichiarante) deve notificarlo immediatamente all’emittente e contemporaneamente all’ente federale di vigilanza finanziaria, al più tardi entro quattro giorni lavorativi, tenendo conto dell’articolo 34, paragrafi 1 e 2. (…)».
Procedimenti principali e questioni pregiudiziali
13
Dalle decisioni di rinvio risulta che la HTB e la Ökorenta sono società di investimento, ciascuna delle quali detiene una partecipazione indiretta, tramite una società fiduciaria, in fondi di investimento. Tali fondi di investimento sono organizzati sotto forma di società in accomandita, vale a dire una società di persone ad azionariato diffuso. La partecipazione al capitale di tali società in accomandita è concepita in termini di investimento finanziario. Qualora tale partecipazione sia indiretta, i soci esercitano i loro diritti tramite società fiduciarie di partecipazione.
14
Le ricorrenti nei procedimenti principali chiedono alle resistenti nei procedimenti principali, che sono società fiduciarie di partecipazione, la divulgazione dei nomi e degli indirizzi di tutti i loro soci che detengono partecipazioni indirette nei fondi di investimento di cui trattasi, tramite società fiduciarie.
15
Le resistenti nei procedimenti principali si oppongono ad una tale divulgazione poiché esse ritengono che i dati richiesti siano destinati a favorire gli interessi economici propri delle ricorrenti nei procedimenti principali, consistenti nel pubblicizzare i loro propri prodotti di investimento, nel preoccupare gli investitori, o nell’acquistare le loro quote ad un prezzo inferiore rispetto al loro valore ed a realizzare un profitto rivendendole. Orbene, i contratti di partecipazione e fiduciari, in virtù dei quali i soci delle resistenti nei procedimenti principali hanno acquistato partecipazioni indirette nei fondi di investimento in questione, conterrebbero clausole che vietano la comunicazione di detti dati ad altri detentori di partecipazioni.
16
Le ricorrenti nei procedimenti principali negano di avere siffatte intenzioni e sostengono il loro diritto di mettersi in contatto con gli altri soci accomandanti che detengono partecipazioni nei fondi di investimento in questione, in particolare al fine di negoziare il riacquisto delle loro quote.
17
Il giudice del rinvio sottolinea, in sostanza, che, conformemente alla giurisprudenza del Bundesgerichtshof (Corte federale di giustizia, Germania) e dell’Oberlandesgericht München (Tribunale superiore del Land, Monaco di Baviera, Germania), la divulgazione dei dati personali richiesti dalle ricorrenti nei procedimenti principali potrebbe risultare obbligatoria. Tuttavia, esso rileva che tale giurisprudenza, essendo in parte antecedente all’entrata in vigore del RGPD, potrebbe dover essere valutata diversamente nel caso di specie, tenuto conto dell’articolo 6, paragrafo 1, primo comma, lettera b) e lettera f), di tale regolamento, la cui interpretazione sarebbe determinante per la soluzione delle controversie di cui ai procedimenti principali.
18
In particolare, il giudice del rinvio indica che dall’ordinanza del Bundesgerichtshof (Corte federale di giustizia) del 19 novembre 2019 (II ZR 263/18), risulta che, in una società di persone, quale una società in accomandita, il diritto di un socio di conoscere il nome e l’indirizzo degli altri soci fa parte dell’«irrinunciabile elemento fondamentale dei diritti dei soci». Tale diritto varrebbe anche nei confronti dei soci accomandanti che detengono unicamente partecipazioni indirette. Infatti, la conoscenza di tutti gli altri soci, ivi compresi quelli che detengono indirettamente partecipazioni, sarebbe necessaria al godimento effettivo dei diritti detenuti da ciascun socio di una società di persone ad azionariato diffuso. La divulgazione di tali dati personali agli altri soci sarebbe così conforme agli obblighi imposti alla società in virtù dell’atto costitutivo. La sola eccezione al diritto di ottenere simili dati, nel diritto tedesco, consiste nel divieto di abuso di diritto, che proibisce che tale diritto all’informazione sia esercitato in modo illecito o con l’intenzione di procurare un danno.
19
In virtù della giurisprudenza del Bundesgerichtshof (Corte federale di giustizia), l’abuso di diritto sarebbe sempre escluso nel caso in cui un investitore cerchi di entrare in contatto con altri investitori per discutere con loro delle questioni che riguardano la società e, eventualmente, per organizzare una comunione di interessi tra gli investitori. Inoltre, non potrebbero essere negate informazioni relative ad un socio per il motivo che esisterebbe un mero pericolo astratto di un uso abusivo di tali dati personali. Peraltro, un socio dovrebbe poter accedere direttamente ai dati degli altri soci della società, senza dipendere dagli organi direttivi di quest’ultima.
20
Da tale giurisprudenza risulterebbe altresì che un tale diritto all’informazione non può essere escluso da disposizioni contrattuali, a pena di sopprimere, di fatto, un diritto essenziale dei soci, vale a dire quello di convocare un’assemblea straordinaria dei soci, dato che i quorum necessari a tal fine potrebbero essere raggiunti da un socio che detiene una piccola partecipazione solo se si unisce ad altri soci, il che presupporrebbe necessariamente che egli conosca i loro nomi e indirizzi [ordinanza del Bundesgerichtshof (Corte federale di giustizia) del 21 settembre 2009 (II ZR 264/08)]. Secondo detta giurisprudenza, il considerando 48 del RGPD giustificherebbe altresì che, all’interno di un gruppo di imprese, i dati personali di tutti i soci possano essere trasmessi ad uno di essi, per fini amministrativi interni.
21
Secondo il giudice del rinvio, la giurisprudenza del Bundesgerichtshof (Corte federale di giustizia) sancisce così l’esistenza, in linea di principio, di un diritto all’informazione dei soci che è limitato solo dall’abuso di diritto.
22
Il giudice del rinvio fa altresì riferimento alla sentenza del 16 gennaio 2019 dell’Oberlandesgericht München (Tribunale superiore del Land, Monaco di Baviera) (7 U 342/18), secondo la quale l’oggetto principale del contratto di società è l’esercizio dei diritti dei soci, ivi compreso quello di rafforzare la loro posizione all’interno della società. L’acquisto di quote sociali costituisce così un esercizio lecito di tali diritti e la divulgazione, a tal fine, delle informazioni relative agli altri soci corrisponde ad un interesse ragionevole. Orbene, una simile divulgazione dovrebbe essere rifiutata solo se non è intesa a soddisfare alcun interesse ragionevole.
23
Il giudice del rinvio dubita della compatibilità con il diritto dell’Unione della giurisprudenza del Bundesgerichtshof (Corte federale di giustizia) e dell’Oberlandesgericht München (Tribunale superiore del Land, Monaco di Baviera) nella misura in cui quest’ultima consente una divulgazione ampia dei dati personali dei soci che detengono partecipazioni indirette in un fondo di investimento, sulla base dell’allegazione puramente formale di un interesse degli altri soci ad ottenere tali dati, ad esempio per l’acquisto di partecipazioni.
24
Esso ritiene, infatti, che, in virtù del diritto dell’Unione, la protezione dei dati personali costituisca la regola, di modo che la deroga a tale principio, prevista in particolare all’articolo 6, paragrafo 1, primo comma, lettera b) e lettera f), del RGPD, che consente di autorizzare la divulgazione di tali dati, deve essere «adeguatamente giustificata». Tale giudice afferma, inoltre, che nel diritto tedesco non esiste alcun obbligo legale di pubblicare dati relativi alle persone che detengono partecipazioni in una società fiduciaria. Così, il giudice del rinvio si chiede se un diritto di accesso ai dati dei soci non debba essere subordinato, da un lato, all’esistenza di una certa soglia di partecipazione, analogamente a quanto previsto nel diritto tedesco per quanto riguarda le società per azioni quotate in Borsa, e, dall’altro, ad una ragione concreta e precisa, legata alla società, a proposito dei soci della quale simili informazioni sono richieste.
25
In tali condizioni, l’Amtsgericht München (Tribunale circoscrizionale, Monaco di Baviera, Germania) ha deciso di sospendere i due procedimenti e di sottoporre alla Corte le seguenti identiche questioni pregiudiziali:
«1)
a)
Se dall’interpretazione dell’articolo 6, paragrafo 1, [primo comma,] lettere b) e f), del RGPD risulti che, nel caso di società ad azionariato diffuso, la partecipazione alla società in qualità di socio con una responsabilità poco significativa e senza ruoli amministrativi[,] sia sufficiente ai fini del riconoscimento di un “legittimo interesse” all’accesso alle informazioni riguardanti tutti i soci che partecipano indirettamente tramite fiduciari, sui loro dati di contatto, e sulla loro partecipazione a detta società, nonché ai fini dell’individuazione nell’atto costitutivo di un corrispondente obbligo contrattuale,
b)
oppure se, in presenza di dette condizioni, l’interesse legittimo si limiti all’ottenimento da parte della società di informazioni riguardanti i partecipanti indiretti che non hanno una responsabilità poco significativa, bensì detengono una quota minima che rende almeno ipotizzabile un’influenza sugli affari della società.
2)
a)
Se, al fine di non superare il limite intrinseco dell’abuso di diritto nel caso di un siffatto diritto senza restrizioni [prima questione, lettera a)], oppure di derogare alla restrizione di un diritto limitato di accesso [prima questione, lettera b)], sia sufficiente l’intenzione di mettersi in contatto allo scopo di conoscersi, scambiare opinioni oppure negoziare l’acquisto di azioni della società,
b)
oppure se l’interesse all’accesso venga considerato rilevante soltanto qualora alla base della pertinente richiesta sussista l’intenzione espressa di conoscere altri soci al fine di sollecitarne un coordinamento per motivi specificamente menzionati, i quali richiedono la formazione di una volontà inerente alle decisioni spettanti ai soci».
Sul procedimento dinanzi alla Corte
26
Con decisione del 23 settembre 2022, il presidente della Corte ha sospeso il presente procedimento in attesa della decisione conclusiva del procedimento nella causa C‑252/21.
27
Conformemente alla decisione del presidente della Corte del 7 luglio 2023, la cancelleria ha notificato al giudice del rinvio la sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network) (C‑252/21, EU:C:2023:537), invitandolo ad indicargli se, tenuto conto di tale sentenza, intendesse mantenere le sue domande di pronuncia pregiudiziale, in tutto o in parte.
28
Con lettera del 4 agosto 2023, depositata presso la cancelleria della Corte lo stesso giorno, tale giudice ha indicato di mantenere le sue domande di pronuncia pregiudiziale.
Sulle questioni pregiudiziali
29
Con le sue questioni pregiudiziali, che occorre esaminare congiuntamente, il giudice del rinvio chiede, in sostanza, se l’articolo 6, paragrafo 1, primo comma, lettere b) e f), del RGPD debba essere interpretato nel senso che un trattamento di dati personali consistente nel divulgare, su richiesta di un socio di un fondo di investimento, costituito sotto forma di società di persone ad azionariato diffuso, informazioni su tutti i soci che detengono partecipazioni indirette in tale fondo, tramite società fiduciarie, indipendentemente dall’entità della loro partecipazione al capitale di detto fondo, al fine di entrare in contatto e negoziare con loro il riacquisto delle loro quote sociali, o ancora di coordinarsi con questi ultimi al fine di formare una volontà comune nell’ambito di decisioni dei soci, può essere considerato necessario all’esecuzione di un contratto di cui gli interessati sono parti, ai sensi della lettera b), o per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, ai sensi della lettera f).
30
Poiché dalle domande di pronuncia pregiudiziale emerge che il giudice del rinvio si interroga sulla conformità al RGPD dell’obbligo di divulgazione di tali dati risultante, nel diritto tedesco, dalla giurisprudenza dei giudici nazionali, occorre riformulare le questioni sollevate nel senso che esse si estendono all’interpretazione dell’articolo 6, paragrafo 1, primo comma, lettera c), di tale regolamento, e considerare che, con le sue questioni, il giudice del rinvio si chiede altresì se una tale divulgazione può essere considerata come derivante da un obbligo legale al quale è soggetto il titolare del trattamento.
31
Per rispondere a tali questioni, in via preliminare, occorre ricordare che l’obiettivo perseguito dal RGPD, quale risulta dal suo articolo 1 nonché dai suoi considerando 1 e 10, consiste, segnatamente, nel garantire un elevato livello di grado di tutela dei diritti e delle libertà fondamentali delle persone fisiche, in particolare del loro diritto alla vita privata, con riguardo al trattamento dei dati personali, sancito dall’articolo 8, paragrafo 1, della Carta e dall’articolo 16, paragrafo 1, TFUE (sentenza del 7 marzo 2024, IAB Europe, C‑604/22, EU:C:2024:214, punto 53 e giurisprudenza citata).
32
In conformità a tale obiettivo, qualsiasi trattamento di dati personali deve, in particolare, essere conforme ai principi relativi al trattamento di tali dati enunciati all’articolo 5 di tale regolamento e soddisfare le condizioni di liceità elencate all’articolo 6 del medesimo regolamento [v., in tal senso, sentenze del 6 ottobre 2020, La Quadrature du Net e a., C‑511/18, C‑512/18 e C‑520/18, EU:C:2020:791, punto 208, nonché dell’11 luglio 2024, Meta Platforms Ireland (Azione rappresentativa), C‑757/22, EU:C:2024:598, punto 49].
33
A tal riguardo, occorre sottolineare che, in virtù dell’articolo 5, paragrafo 1, lettera a), del RGPD, i dati personali sono trattati in modo lecito, corretto e trasparente nei confronti dell’interessato.
34
In particolare, per quanto riguarda le condizioni di liceità del trattamento, come dichiarato dalla Corte, l’articolo 6, paragrafo 1, primo comma, del RGPD prevede un elenco esaustivo e tassativo dei casi nei quali un trattamento di dati personali può essere considerato lecito. Pertanto, per poter essere considerato lecito, un trattamento deve rientrare in uno dei casi previsti da tale disposizione [sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C‑252/21, EU:C:2023:537, punto 90].
35
Tenuto conto delle specificità delle controversie di cui ai procedimenti principali, occorre, inoltre, rilevare che tale articolo 6, paragrafo 1, primo comma, non prescrive di per sé un obbligo, ma si limita a prevedere la possibilità di effettuare un trattamento di dati personali nei casi che esso elenca (v., per analogia, sentenza del 4 maggio 2017, Rīgas satiksme, C‑13/16, EU:C:2017:336, punto 26).
36
Ai sensi dell’articolo 6, paragrafo 1, primo comma, lettera a), del RGPD, il trattamento di dati personali è lecito se e nella misura in cui l’interessato vi ha espresso il consenso per una o più specifiche finalità. In mancanza di un siffatto consenso, o qualora tale consenso non sia stato espresso in modo libero, specifico, informato e inequivocabile, ai sensi dell’articolo 4, punto 11, del regolamento suddetto, un tale trattamento è nondimeno giustificato qualora soddisfi uno dei requisiti di necessità menzionati all’articolo 6, paragrafo 1, primo comma, lettere da b) a f), di detto regolamento.
37
In tale contesto, nella misura in cui consentono di rendere lecito un trattamento di dati personali effettuato in assenza del consenso dell’interessato, le giustificazioni previste da quest’ultima disposizione devono essere interpretate restrittivamente [sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C‑252/21, EU:C:2023:537, punto 93 e giurisprudenza citata].
38
Inoltre, la Corte ha considerato che, qualora si possa constatare che un trattamento di dati personali è necessario alla luce di una delle giustificazioni previste all’articolo 6, paragrafo 1, primo comma, lettere da b) a f), del RGPD, non occorre stabilire se tale trattamento rientri anche in un’altra di tali giustificazioni [sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C‑252/21, EU:C:2023:537, punto 94 e giurisprudenza citata].
39
La Corte ha altresì dichiarato che, conformemente all’articolo 5 del RGPD, è al titolare del trattamento che incombe l’onere di dimostrare che tali dati sono segnatamente raccolti per finalità determinate, esplicite e legittime e che essi sono trattati in modo lecito, corretto e trasparente nei confronti dell’interessato. Inoltre, in forza dell’articolo 13, paragrafo 1, lettera c), di tale regolamento, in caso di raccolta presso l’interessato di dati che lo riguardano, il titolare del trattamento è tenuto ad informare quest’ultimo delle finalità del trattamento al quale sono destinati tali dati nonché della base giuridica di questo trattamento [sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C‑252/21, EU:C:2023:537, punto 95].
40
Nel caso di specie, risulta dal fascicolo di cui dispone la Corte che i soci che detengono partecipazioni indirette, tramite società fiduciarie, nei fondi di investimento di cui trattasi, non hanno dato il proprio consenso, ai sensi dell’articolo 6, paragrafo 1, primo comma, lettera a), del RGPD, a che le resistenti nei procedimenti principali divulgassero a terzi i dati personali che li riguardano, in particolare alla HTB e alla Ökorenta.
41
In tali circostanze, per rispondere alle questioni sollevate, occorre verificare se le disposizioni dell’articolo 6, paragrafo 1, primo comma, lettera b) e lettera f), di tale regolamento, specificamente richiamate dalle domande di pronuncia pregiudiziale, possano essere invocate per giustificare l’eventuale divulgazione di tali dati a detti terzi.
42
Per quanto riguarda, anzitutto, l’articolo 6, paragrafo 1, primo comma, lettera b), del RGPD, quest’ultimo prevede che un trattamento di dati personali è lecito se è «necessario all’esecuzione di un contratto di cui l’interessato è parte o all’esecuzione di misure precontrattuali adottate su richiesta dello stesso».
43
A tal riguardo, la Corte ha già dichiarato che, affinché un trattamento di dati personali sia considerato necessario all’esecuzione di un contratto, ai sensi di tale disposizione, esso deve essere oggettivamente indispensabile per realizzare una finalità che è parte integrante della prestazione contrattuale destinata all’interessato. Il titolare del trattamento deve, quindi, essere in grado di dimostrare in che modo l’oggetto principale del contratto non potrebbe essere conseguito in assenza del trattamento di cui è causa [sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C‑252/21, EU:C:2023:537, punto 98].
44
Infatti, come la Corte ha del pari dichiarato, l’elemento determinante ai fini dell’applicazione della giustificazione di cui all’articolo 6, paragrafo 1, primo comma, lettera b), del RGPD è che il trattamento di dati personali effettuato dal titolare del trattamento sia essenziale per consentire la corretta esecuzione del contratto stipulato tra quest’ultimo e l’interessato e, pertanto, che non esistano altre soluzioni percorribili e meno invasive [sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C‑252/21, EU:C:2023:537, punto 99].
45
Nel caso di specie, dalle decisioni di rinvio risulta che i contratti di partecipazione e fiduciari di cui trattasi nei procedimenti principali, in forza dei quali sono state acquistate partecipazioni indirette nei fondi di investimento in questione, prevedono espressamente il divieto di comunicare i dati relativi agli investitori indiretti ad altri detentori di partecipazioni.
46
A tal riguardo, occorre rilevare che la caratteristica essenziale dell’acquisto di una partecipazione indiretta, tramite una società fiduciaria, in un fondo di investimento ad azionariato diffuso è precisamente l’anonimato dei soci, ivi incluso nei rapporti tra i soci stessi. In altri termini, è tenendo conto del trattamento riservato dei loro dati da parte del fondo di investimento che le persone optano per un investimento finanziario in un siffatto fondo sotto forma di partecipazione detenuta tramite una società fiduciaria.
47
Pertanto, e fatta salva una verifica da parte del giudice del rinvio, un trattamento di dati personali, consistente nella divulgazione di informazioni relative ai soci che detengono, tramite una società fiduciaria, partecipazioni indirette in un fondo di investimento ad azionariato diffuso, non può essere considerato «necessario all’esecuzione di un contratto», ai sensi dell’articolo 6, paragrafo 1, primo comma, lettera b), del RGPD, qualora il contratto alla base dell’acquisto di una tale partecipazione escluda espressamente la divulgazione di tali dati ad altri detentori di partecipazioni.
48
Per quanto riguarda, poi, l’articolo 6, paragrafo 1, primo comma, lettera f), del RGPD, quest’ultimo prevede che un trattamento di dati personali è lecito se è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali.
49
Come già dichiarato dalla Corte, detta disposizione prevede tre condizioni cumulative affinché un trattamento di dati personali sia lecito, vale a dire, in primo luogo, il perseguimento di un legittimo interesse del titolare del trattamento o di terzi, in secondo luogo, la necessità del trattamento dei dati personali per la realizzazione del legittimo interesse perseguito e, in terzo luogo, la condizione che gli interessi o i diritti e le libertà fondamentali dell’interessato dalla tutela dei dati non prevalgano [sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C‑252/21, EU:C:2023:537, punto 106 e giurisprudenza citata].
50
Per quanto concerne, in primo luogo, la condizione relativa al perseguimento di un «interesse legittimo», occorre sottolineare che, in assenza di definizione di tale nozione da parte del RGPD, come la Corte ha già dichiarato, un’ampia gamma di interessi può, in linea di principio, essere considerata legittima [sentenza del 7 dicembre 2023, SCHUFA Holding (Esdebitazione), C‑26/22 e C‑64/22, EU:C:2023:958, punto 76].
51
Per quanto riguarda, in secondo luogo, la condizione relativa alla necessità del trattamento dei dati personali per la realizzazione del legittimo interesse perseguito, essa impone al giudice del rinvio di verificare che il legittimo interesse al trattamento dei dati perseguito non possa ragionevolmente essere raggiunto in modo altrettanto efficace mediante altri mezzi meno pregiudizievoli per le libertà e i diritti fondamentali degli interessati, in particolare per i diritti al rispetto della vita privata e alla protezione dei dati personali garantiti agli articoli 7 e 8 della Carta [sentenza del 7 dicembre 2023, SCHUFA Holding (Esdebitazione), C‑26/22 e C‑64/22, EU:C:2023:958, punto 77 e giurisprudenza citata].
52
In tale contesto, occorre altresì ricordare che la condizione attinente alla necessità del trattamento deve essere esaminata unitamente al principio cosiddetto della «minimizzazione dei dati» sancito all’articolo 5, paragrafo 1, lettera c), del RGPD, secondo il quale i dati personali devono essere «adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati» [sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C‑252/21, EU:C:2023:537, punto 109 nonché giurisprudenza citata].
53
Per quanto riguarda, in terzo luogo, la condizione secondo cui gli interessi o i diritti e le libertà fondamentali dell’interessato dalla tutela dei dati non devono prevalere sul legittimo interesse del titolare del trattamento o di terzi, la Corte ha già stabilito che ciò implica una ponderazione dei diritti e degli interessi contrapposti che dipende, in linea di principio, dalle circostanze del caso concreto e che, di conseguenza, spetta al giudice del rinvio effettuare tenendo conto di tali circostanze specifiche [sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C‑252/21, EU:C:2023:537, punto 110 nonché giurisprudenza citata].
54
Inoltre, il considerando 47 del RGPD indica che gli interessi e i diritti fondamentali dell’interessato possono in particolare prevalere sugli interessi del titolare del trattamento qualora i dati personali siano trattati in circostanze in cui gli interessati non possano ragionevolmente attendersi un siffatto trattamento [sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C‑252/21, EU:C:2023:537, punto 112].
55
Sebbene spetti in ultima istanza al giudice nazionale verificare se, in relazione al trattamento dei dati personali oggetto del procedimento principale, siano soddisfatte le tre condizioni di cui al punto 49 della presente sentenza, la Corte, statuendo su un rinvio pregiudiziale, può fornire delle precisazioni intese a guidare il giudice nazionale in tale determinazione [sentenze del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C‑252/21, EU:C:2023:537, punto 96, e del 7 dicembre 2023, SCHUFA Holding (Esdebitazione), C‑26/22 e C‑64/22, EU:C:2023:958, punto 81 nonché giurisprudenza citata].
56
Nel caso di specie, per quanto riguarda, in primo luogo, la condizione relativa al perseguimento di un legittimo interesse del titolare del trattamento o di terzi, ai sensi dell’articolo 6, paragrafo 1, primo comma, lettera f), del RGPD, il giudice del rinvio fa riferimento all’interesse di un terzo, vale a dire l’interesse di un socio che detiene una partecipazione indiretta in un fondo di investimento costituito sotto forma di società in accomandita ad azionariato diffuso, all’ottenimento dei dati personali relativi agli altri soci indiretti di tale società, al fine di entrare in contatto con questi ultimi o di negoziare con loro il riacquisto di quote sociali, o ancora di coordinarsi con questi ultimi ai fini della formazione di una volontà comune nell’ambito di decisioni di tutti i soci.
57
Occorre constatare che un siffatto interesse può, in linea di principio, costituire, ai fini della divulgazione di dati personali, un legittimo interesse, ai sensi dell’articolo 6, paragrafo 1, primo comma, lettera f), del RGPD, tenuto conto, in particolare, dello status di una tale società, quale risulta dal diritto nazionale dello Stato membro interessato, e indipendentemente dall’entità dell’importo della partecipazione e dei poteri detenuti nella società dal socio che ha chiesto la divulgazione. Spetta tuttavia al giudice del rinvio valutare, caso per caso, l’esistenza di un tale interesse tenendo conto del contesto normativo applicabile e di tutte le circostanze della causa.
58
Nell’ipotesi in cui un tale legittimo interesse fosse caratterizzato, occorrerebbe inoltre, affinché il perseguimento di detto interesse possa consentire un trattamento di dati personali, ai sensi dell’articolo 6, paragrafo 1, primo comma, lettera f), del RGPD, che il titolare del trattamento rispetti tutti gli altri obblighi ad esso incombenti in forza di tale regolamento.
59
In secondo luogo, per quanto riguarda la condizione relativa alla necessità di tale trattamento per la realizzazione di detto interesse e, in particolare, l’esistenza di mezzi meno pregiudizievoli per le libertà e i diritti fondamentali degli interessati e altrettanto appropriati, occorre constatare che sarebbe, in particolare, possibile per il socio di un fondo di investimento che intenda ottenere informazioni relative ad un altro socio che ha una partecipazione indiretta in tale fondo tramite una società fiduciaria chiedere direttamente a detto fondo o a tale società di trasmettere la sua richiesta al socio interessato, allo scopo di fare conoscenza o discutere con quest’ultimo. Quest’ultimo potrebbe poi decidere liberamente se desidera mettersi in contatto con il socio richiedente o se preferisce non dare seguito a tale richiesta e mantenere il proprio anonimato. Tale soluzione potrebbe essere applicata anche nel caso in cui il socio richiedente desideri avviare con un altro socio negoziazioni volte all’acquisto delle quote di quest’ultimo o a coordinarsi con quest’ultimo ai fini della formazione di una volontà comune nell’ambito di decisioni di tutti i soci.
60
Tale soluzione consentirebbe, peraltro, al socio interessato dalla richiesta di informazioni, conformemente al principio della minimizzazione dei dati, menzionato al punto 52 della presente sentenza, di conservare il controllo sul trattamento dei suoi dati personali e di limitare così la loro divulgazione ad un altro socio a quanto è effettivamente necessario e pertinente rispetto alle finalità per le quali detti dati sono richiesti e trattati.
61
Non si può, quindi, escludere che una procedura quale quella descritta al punto precedente della presente sentenza possa essere considerata una misura che comporta una minore ingerenza nel diritto alla tutela della riservatezza dei dati personali dell’interessato, consentendo nel contempo al titolare del trattamento di perseguire, in modo altrettanto efficace, il legittimo interesse del terzo interessato, circostanza che spetta tuttavia al giudice del rinvio verificare.
62
In terzo luogo, per quanto riguarda la ponderazione degli interessi che spetta al giudice del rinvio effettuare alla luce delle circostanze specifiche del caso di specie, detto giudice deve tener conto in particolare delle ragionevoli aspettative dell’interessato, nonché della portata del trattamento in questione e dell’impatto di quest’ultimo su tale interessato [sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C‑252/21, EU:C:2023:537, punto 116].
63
Ne consegue che, nell’ambito di una siffatta ponderazione, da un lato, non si può, in linea di principio, escludere che la divulgazione di dati personali dei soci, anche indiretti, di una società di persone ad altri soci, possa favorire, eventualmente, gli interessi economici di ciascuno di essi e quindi, anche, gli interessi dei soci indiretti ai dati personali dei quali tali altri soci desiderano avere accesso.
64
Dall’altro lato, non si può neppure escludere che l’interesse dei soci che detengono una partecipazione indiretta in un fondo di investimento a che i loro dati personali restino riservati, possa prevalere su quello degli altri soci desiderosi di ottenere i loro recapiti. In tale prospettiva, occorre attribuire particolare importanza al fatto che è probabile, tenuto conto in particolare delle disposizioni contrattuali menzionate al punto 45 della presente sentenza, che i soci indiretti di un siffatto fondo di investimento non potessero ragionevolmente attendersi, al momento della raccolta dei loro dati personali, che questi ultimi fossero divulgati a terzi, nel caso di specie ad altri soci indiretti di tale fondo di investimento.
65
Dall’insieme delle considerazioni che precedono, e fatta salva la valutazione del giudice del rinvio, risulta dubbio che un trattamento di dati personali, quale la divulgazione delle informazioni richieste dalle ricorrenti nei procedimenti principali, possa essere giustificato in base ad un legittimo interesse, ai sensi dell’articolo 6, paragrafo 1, primo comma, lettera f), del RGPD.
66
Per quanto riguarda, infine, l’articolo 6, paragrafo 1, primo comma, lettera c), del RGPD, quest’ultimo prevede che un trattamento di dati personali è lecito se è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento.
67
L’articolo 6, paragrafo 3, del RGPD precisa in particolare, a tal riguardo, che il trattamento deve essere basato sul diritto dell’Unione o sul diritto dello Stato membro cui è soggetto il titolare del trattamento, e che tale base giuridica deve rispondere a un obiettivo di interesse pubblico ed essere proporzionata al legittimo obiettivo perseguito [sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C‑252/21, EU:C:2023:537, punto 128].
68
Inoltre, come enunciato dal considerando 41 di tale regolamento, qualora quest’ultimo faccia riferimento a una base giuridica o a una misura legislativa, ciò non richiede necessariamente l’adozione di un atto legislativo da parte di un parlamento, fatte salve le prescrizioni dell’ordinamento costituzionale dello Stato membro interessato. Tuttavia, tale base giuridica o misura legislativa dovrebbe essere chiara e precisa, e la sua applicazione prevedibile, per le persone che vi sono sottoposte, in conformità della giurisprudenza della Corte e della Corte europea dei diritti dell’uomo.
69
Nel caso di specie, da un lato, il diritto dell’Unione non prevede alcun obbligo per dei fondi di investimento o delle società fiduciarie di partecipazione, quali quelle di cui ai procedimenti principali, di procedere alla divulgazione dei dati personali dei soci che detengono partecipazioni indirette in tali fondi.
70
Dall’altro lato, dalle domande di pronuncia pregiudiziale emerge che un siffatto obbligo potrebbe tuttavia essere dedotto, fatte salve le verifiche che spetta al giudice del rinvio effettuare al riguardo, dalla giurisprudenza del Bundesgerichtshof (Corte federale di giustizia) e dell’Oberlandesgericht München (Tribunale superiore del Land, Monaco di Baviera) in forza della quale le clausole contrattuali che garantiscono la riservatezza dei recapiti dei soci indiretti di una società di persone ad azionariato diffuso, come quelle di cui trattasi nei procedimenti principali, dovrebbero essere considerate nulle, cosicché occorrerebbe divulgare i dati personali dei soci che detengono partecipazioni indirette in un fondo di investimento costituito sotto forma di società in accomandita ad azionariato diffuso.
71
A tal riguardo, occorre rilevare che, conformemente a quanto menzionato al punto 68 della presente sentenza, non si può escludere che «il diritto dello Stato membro cui è soggetto il titolare del trattamento», ai sensi dell’articolo 6, paragrafo 3, lettera b), del RGPD, comprenda anche la giurisprudenza nazionale.
72
Tuttavia, come risulta dal considerando 41 di tale regolamento, è richiesto che una tale giurisprudenza sia chiara e precisa e che la sua applicazione sia prevedibile per le persone che vi sono sottoposte, in conformità alla giurisprudenza della Corte.
73
Inoltre, conformemente alla giurisprudenza ricordata al punto 67 della presente sentenza, occorre altresì che detta giurisprudenza costituisca una base giuridica che risponda ad un obiettivo di interesse pubblico, che essa sia proporzionata a quest’ultimo e che il trattamento di cui trattasi sia effettuato nei limiti dello stretto necessario, circostanza che spetta al giudice del rinvio verificare [v., in tal senso, sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C‑252/21, EU:C:2023:537, punti 134 e 138].
74
Spetterà così a tale giudice stabilire, in particolare, se non esistano misure che, pur consentendo di garantire la trasparenza tra i soci di società di persone, come sembra derivare dal diritto tedesco, quale esposto ai punti da 18 a 22 della presente sentenza, siano meno pregiudizievoli per la tutela dei dati personali riservati dei soci indiretti di società in accomandita ad azionariato diffuso, rispetto all’obbligo di divulgare tali dati a qualsiasi altro socio che ne faccia richiesta.
75
Alla luce di tutto quanto precede, occorre rispondere alle questioni sollevate dichiarando che l’articolo 6, paragrafo 1, primo comma, lettera b), del RGPD deve essere interpretato nel senso che un trattamento di dati personali consistente nel divulgare, su richiesta di un socio di un fondo di investimento, costituito sotto forma di società di persone ad azionariato diffuso, informazioni su tutti i soci che detengono partecipazioni indirette in tale fondo, tramite società fiduciarie, indipendentemente dall’entità della loro partecipazione al capitale di detto fondo, al fine di entrare in contatto e negoziare con loro il riacquisto delle loro quote sociali, o ancora di coordinarsi con questi ultimi al fine di formare una volontà comune nell’ambito di decisioni dei soci, può essere considerato necessario, ai sensi di tale disposizione, all’esecuzione del contratto in forza del quale tali soci hanno acquistato tali partecipazioni, soltanto a condizione che tale trattamento sia oggettivamente indispensabile per realizzare una finalità che è parte integrante della prestazione contrattuale destinata a questi stessi soci, di modo che l’oggetto principale del contratto non potrebbe essere conseguito in assenza di tale trattamento. Ciò non si verifica se tale contratto esclude espressamente la divulgazione di tali dati personali ad altri detentori di partecipazioni.
76
L’articolo 6, paragrafo 1, primo comma, lettera f), del RGPD deve essere interpretato nel senso che un tale trattamento può essere considerato necessario per il perseguimento del legittimo interesse di terzi, ai sensi di tale disposizione, solo a condizione che detto trattamento sia strettamente necessario per la realizzazione di un simile legittimo interesse e, alla luce di tutte le circostanze pertinenti, gli interessi o le libertà e i diritti fondamentali di detti soci non prevalgano su tale interesse legittimo.
77
L’articolo 6, paragrafo 1, primo comma, lettera c), del RGPD deve essere interpretato nel senso che detto trattamento di dati personali è giustificato, ai sensi di tale disposizione, quando è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento, in virtù del diritto dello Stato membro interessato, come precisato dalla giurisprudenza di tale Stato membro, alla condizione che tale giurisprudenza sia chiara e precisa, che la sua applicazione sia prevedibile per le persone che vi sono sottoposte e che risponda a un obiettivo di interesse pubblico e sia proporzionata a quest’ultimo.
Sulle spese
78
Nei confronti delle parti nei procedimenti principali la presente causa costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.
Per questi motivi, la Corte (Quarta Sezione) dichiara:
1)
L’articolo 6, paragrafo 1, primo comma, lettera b), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati),
deve essere interpretato nel senso che:
un trattamento di dati personali consistente nel divulgare, su richiesta di un socio di un fondo di investimento, costituito sotto forma di società di persone ad azionariato diffuso, informazioni su tutti i soci che detengono partecipazioni indirette in tale fondo, tramite società fiduciarie, indipendentemente dall’entità della loro partecipazione al capitale di detto fondo, al fine di entrare in contatto e negoziare con loro il riacquisto delle loro quote sociali, o ancora di coordinarsi con questi ultimi al fine di formare una volontà comune nell’ambito di decisioni dei soci, può essere considerato necessario, ai sensi di tale disposizione, all’esecuzione del contratto in forza del quale tali soci hanno acquistato tali partecipazioni soltanto a condizione che tale trattamento sia oggettivamente indispensabile per realizzare una finalità che è parte integrante della prestazione contrattuale destinata a questi stessi soci, di modo che l’oggetto principale del contratto non potrebbe essere conseguito in assenza di tale trattamento. Ciò non si verifica se tale contratto esclude espressamente la divulgazione di tali dati personali ad altri detentori di partecipazioni.
2)
L’articolo 6, paragrafo 1, primo comma, lettera f), del regolamento 2016/679
deve essere interpretato nel senso che:
un tale trattamento può essere considerato necessario per il perseguimento del legittimo interesse di terzi, ai sensi di tale disposizione, solo a condizione che detto trattamento sia strettamente necessario per la realizzazione di un simile legittimo interesse e, alla luce di tutte le circostanze pertinenti, gli interessi o le libertà e i diritti fondamentali di detti soci non prevalgano su tale interesse legittimo.
3)
L’articolo 6, paragrafo 1, primo comma, lettera c), del regolamento 2016/679
deve essere interpretato nel senso che:
detto trattamento di dati personali è giustificato, ai sensi di tale disposizione, quando è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento, in virtù del diritto dello Stato membro interessato, come precisato dalla giurisprudenza di tale Stato membro, a condizione che tale giurisprudenza sia chiara e precisa, che la sua applicazione sia prevedibile per le persone che vi sono sottoposte e che risponda a un obiettivo di interesse pubblico e sia proporzionata a quest’ultimo.
Firme
(
*1
)	Lingua processuale: il tedesco.