CELEX: 62010CJ0468
Language: it
Date: 2011-11-24
Title: Sentenza della Corte (Terza Sezione) del 24 novembre 2011.#Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) (C-468/10) e Federación de Comercio Electrónico y Marketing Directo (FECEMD) (C-469/10) contro Administración del Estado.#Domande di pronuncia pregiudiziale: Tribunal Supremo - Spagna.#Trattamento dei dati personali - Direttiva 95/46/CE - Art. 7, lett. f) - Effetto diretto.#Cause riunite C-468/10 e C-469/10.

Cause riunite C‑468/10 e C‑469/10
      Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF)
      e
      Federación de Comercio Electrónico y Marketing Directo (FECEMD)
      contro
      Administración del Estado
      (domande di pronuncia pregiudiziale proposte dal Tribunal Supremo)
      «Trattamento dei dati personali — Direttiva 95/46/CE — Art. 7, lett. f) — Effetto diretto»
      Massime della sentenza
      1.        Ravvicinamento delle legislazioni — Tutela delle persone fisiche con riguardo al trattamento dei dati personali — Direttiva
            95/46 — Armonizzazione completa — Elenco tassativo dei casi di trattamento lecito dei dati personali
      (Direttiva del Parlamento europeo e del Consiglio 95/46, art. 7)
      2.        Ravvicinamento delle legislazioni — Tutela delle persone fisiche con riguardo al trattamento dei dati personali — Direttiva
            95/46 — Condizioni di liceità del trattamento di dati personali
      [Carta dei diritti fondamentali dell’Unione europea, artt. 7 e 8; direttiva del Parlamento europeo e del Consiglio 95/46,
            artt. 5 e 7, lett. f)]
      3.        Ravvicinamento delle legislazioni — Tutela delle persone fisiche con riguardo al trattamento dei dati personali — Direttiva
            95/46 — Margine di discrezionalità degli Stati membri — Portata
      (Direttiva del Parlamento europeo e del Consiglio 95/46, art. 5)
      4.        Ravvicinamento delle legislazioni — Tutela delle persone fisiche con riguardo al trattamento dei dati personali — Direttiva
            95/46 — Condizioni di liceità del trattamento di dati personali
      [Carta dei diritti fondamentali dell’Unione europea, artt. 7 e 8; direttiva del Parlamento europeo e del Consiglio 95/46,
            art. 7, lett. f)]
      5.        Diritti fondamentali — Rispetto della vita privata — Tutela dei dati personali — Limitazioni tollerate in forza della Carta
            dei diritti fondamentali dell’Unione europea
      (Carta dei diritti fondamentali dell’Unione europea, artt. 7, 8 e 52, n. 1)
      6.        Atti delle istituzioni — Direttive — Effetto diretto — Presupposti
      [Art. 249, terzo comma, CE; direttiva del Parlamento europeo e del Consiglio 95/46, art. 7, lett. f)]
      1.        L’armonizzazione delle legislazioni nazionali cui mira la direttiva 95/46, relativa alla tutela delle persone fisiche con
         riguardo al trattamento dei dati personali nonché alla libera circolazione di tali dati, non si limita ad un’armonizzazione
         minima, ma sfocia in un’armonizzazione che, in linea di principio, è completa. In quest’ottica tale direttiva intende garantire
         la libera circolazione dei dati personali, pur assicurando un alto livello di tutela dei diritti e degli interessi delle persone
         cui si riferiscono tali dati. Pertanto, da tale obiettivo deriva che l’art. 7 della direttiva in esame prevede un elenco esaustivo
         e tassativo dei casi in cui il trattamento dei dati personali può essere considerato lecito. Ne consegue che gli Stati membri
         non possono né aggiungere nuovi principi relativi alla legittimazione del trattamento dei dati personali all’art. 7 di detta
         direttiva, né prevedere requisiti supplementari che vengano a modificare la portata di uno dei principi previsti da detto
         articolo.
      
      Tale interpretazione non è rimessa in discussione dalla facoltà, di cui dispongono gli Stati membri in forza dell’art. 5 della
         direttiva 95/46, di precisare le condizioni alle quali i trattamenti di dati personali sono leciti. Infatti, gli Stati membri
         non possono, avvalendosi del margine di discrezionalità di cui dispongono in forza dell’art. 5 della direttiva, introdurre
         principi relativi alla legittimazione del trattamento dei dati personali diversi da quelli enunciati all’art. 7 di tale direttiva,
         né modificare con requisiti supplementari la portata dei principi previsti dal detto art. 7.
      
      (v. punti 29-30, 32-33, 35-36)
      2.        L’art. 7, lett. f), della direttiva 95/46, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati
         personali, nonché alla libera circolazione di tali dati, deve essere interpretato nel senso che osta ad una normativa nazionale
         che, in assenza del consenso della persona interessata e per autorizzare il trattamento dei suoi dati personali, necessario
         alla realizzazione del legittimo interesse perseguito dal responsabile di tale trattamento oppure dal o dai terzi ai quali
         tali dati vengono comunicati, richiede, oltre al rispetto dei diritti e delle libertà fondamentali di detta persona, che i
         dati in parola figurino in fonti accessibili al pubblico, escludendo quindi in modo categorico e generalizzato qualsiasi trattamento
         di dati che non figurino in tali fonti.
      
      Deriva, infatti, da una parte, dall’obiettivo di tale direttiva, consistente nel garantire la libera circolazione dei dati
         personali, pur assicurando un alto livello di tutela dei diritti e degli interessi delle persone cui tali dati si riferiscono,
         che il suo art. 7 preveda un elenco esaustivo e tassativo dei casi in cui il trattamento dei dati personali può essere considerato
         lecito. Gli Stati membri, di conseguenza, non possono né aggiungere nuovi principi relativi alla legittimazione del trattamento
         dei dati personali, né prevedere requisiti supplementari che vengano a modificare la portata di uno dei principi previsti
         in tale art. 7. Inoltre, gli Stati membri non possono neppure, a norma dell’art. 5 di tale direttiva, introdurre principi
         relativi alla legittimazione del trattamento dei dati personali diversi da quelli enunciati all’art. 7 di tale direttiva,
         né modificare con requisiti supplementari la portata dei principi previsti dal detto art. 7.
      
      D’altra parte, per effettuare la necessaria ponderazione dei contrapposti diritti ed interessi in causa, in forza dell’art. 7,
         lett. f), della stessa direttiva, gli Stati membri possono stabilire principi ordinatori. Essi possono anche prendere in considerazione
         il fatto che la gravità della violazione dei diritti fondamentali della persona interessata da tale trattamento possa variare
         in funzione della circostanza che i dati di cui trattasi figurino già, o no, in fonti accessibili al pubblico. In quest’ultimo
         caso il pregiudizio sarà più grave.
      
      Tuttavia, non può essere definita in termini di precisazione, ma di requisito supplementare, vietato ai sensi dell’art. 7,
         lett.f), di tale direttiva, quella normativa nazionale che escluda per talune categorie di dati personali la possibilità di
         essere trattati, stabilendo per tali categorie, in modo definitivo, il risultato della ponderazione dei diritti e degli interessi
         contrapposti, senza consentire un diverso risultato in ragione delle circostanze specifiche del caso concreto.
      
      (v. punti 29-30, 32, 36, 44-49, dispositivo 1)
      3.        La direttiva 95/46, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla
         libera circolazione di tali dati, contiene norme caratterizzate da una certa elasticità e lascia in numerosi casi agli Stati
         membri il compito di decidere dei dettagli o di scegliere tra più opzioni. Occorre così distinguere tra provvedimenti nazionali
         che prevedono requisiti supplementari che modificano la portata di un principio previsto all’art. 7 di tale direttiva, da
         una parte, e provvedimenti nazionali che prevedono la semplice precisazione di uno di tali principi, dall’altra. Il primo
         tipo di provvedimenti nazionali è vietato. È soltanto nell’ambito del secondo tipo di provvedimenti nazionali che, in forza
         dell’art. 5 di detta direttiva, gli Stati membri dispongono di un margine discrezionale.
      
      (v. punto 35)
      4.        L’art. 7, lett. f), della direttiva 95/46, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati
         personali, nonché alla libera circolazione di tali dati, prevede due condizioni cumulative perché il trattamento dei dati
         personali sia lecito, cioè, da una parte, che il trattamento dei dati personali sia necessario alla realizzazione del legittimo
         interesse perseguito dal responsabile del trattamento oppure dal o dai terzi ai quali tali dati vengono comunicati e, dall’altra,
         che non prevalgano i diritti e le libertà fondamentali della persona interessata. La seconda di tali condizioni richiede una
         ponderazione dei contrapposti diritti e interessi in gioco che dipende, in linea di principio, dalle circostanze concrete
         del caso specifico e nell’ambito della quale la persona o l’istituzione che l’effettua deve tenere conto dell’importanza dei
         diritti della persona interessata derivanti dagli artt. 7 e 8 della Carta dei diritti fondamentali dell’Unione europea.
      
      (v. punti 38, 40)
      5.        Il rispetto del diritto alla vita privata con riguardo al trattamento dei dati personali, riconosciuto dagli artt. 7 e 8 della
         Carta dei diritti fondamentali dell’Unione europea, è riferito ad ogni informazione relativa ad una persona fisica identificata
         o identificabile. Risulta, tuttavia, dagli artt. 8, n. 2, e 52, n. 1, della Carta che, al ricorrere di talune condizioni,
         a tale diritto possono essere apportate alcune limitazioni.
      
      (v. punto 42)
      6.        In tutti i casi in cui le disposizioni di una direttiva appaiano, dal punto di vista sostanziale, incondizionate e sufficientemente
         precise, tali disposizioni possono essere invocate dai singoli dinanzi ai giudici nazionali nei confronti dello Stato, ove
         quest’ultimo non abbia recepito nei termini tale direttiva nel diritto interno o non l’abbia recepita correttamente. Ciò si
         verifica con riferimento all’art. 7, lett. f), della direttiva 95/46, relativa alla tutela delle persone fisiche con riguardo
         al trattamento dei dati personali, nonché alla libera circolazione di tali dati. Se è vero che tale direttiva contempla un
         margine discrezionale degli Stati membri più o meno rilevante per l’attuazione di talune sue disposizioni, detto art. 7, lett. f),
         dal canto suo, stabilisce un obbligo incondizionato.
      
      (v. punti 51-52, 55, dispositivo 2)
SENTENZA DELLA CORTE (Terza Sezione)
      24 novembre 2011 (*)
      
      «Trattamento dei dati personali – Direttiva 95/46/CE – Art. 7, lett. f) – Effetto diretto»
      Nei procedimenti riuniti C‑468/10 e C‑469/10,
      aventi ad oggetto le domande di pronuncia pregiudiziale proposte alla Corte, ai sensi dell’art. 267 TFUE, dal Tribunal Supremo
         (Spagna), con decisioni 15 luglio 2010, pervenute in cancelleria il 28 settembre 2010, nelle cause
      
      Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) (C‑468/10),
      
      Federación de Comercio Electrónico y Marketing Directo (FECEMD) (C‑469/10)
      
      contro
      Administración del Estado,
      con l’intervento di:
      Unión General de Trabajadores (UGT) (C‑468/10 e C‑469/10),
      
      Telefónica de España SAU (C‑468/10),
      
      France Telecom España SA (C‑468/10 e C‑469/10),
      
      Telefónica Móviles de España SAU (C‑469/10),
      
      Vodafone España SA (C‑469/10),
      
      Asociación de Usuarios de la Comunicación (C‑469/10),
      
      LA CORTE (Terza Sezione),
      composta dal sig. K. Lenaerts (relatore), presidente di sezione, dalla sig.ra R. Silva de Lapuerta, dai sigg. E. Juhász, T. von Danwitz
         e D. Šváby, giudici,
      
      avvocato generale: sig. P. Mengozzi
      cancelliere: sig.ra M. Ferreira, amministratore principale
      vista la fase scritta del procedimento e in seguito all’udienza del 15 settembre 2011,
      considerate le osservazioni presentate:
      –        per l’Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF), dagli avv.ti C. Alonso Martínez e A. Creus Carreras,
         abogados,
      
      –        per la Federación de Comercio Electrónico y Marketing Directo (FECEMD), dagli avv.ti R. García del Poyo Vizcaya e M. Á. Serrano
         Pérez, abogados,
      
      –        per il governo spagnolo, dal sig. M. Muñoz Pérez, in qualità di agente,
      –        per la Commissione europea, dalla sig.ra I. Martínez del Peral e dal sig. B. Martenczuk, in qualità di agenti,
      vista la decisione, adottata dopo aver sentito l’avvocato generale, di giudicare la causa senza conclusioni,
      ha pronunciato la seguente
      Sentenza
      1        Le domande di pronuncia pregiudiziale in esame riguardano l’interpretazione dell’art. 7, lett. f), della direttiva del Parlamento
         europeo e del Consiglio 24 ottobre 1995, 95/46/CE, relativa alla tutela delle persone fisiche con riguardo al trattamento
         dei dati personali, nonché alla libera circolazione di tali dati (GU L 281, pag. 31).
      
      2        Tali domande sono state presentate nel contesto di controversie che vedono l’Asociación Nacional de Establecimientos Financieros
         de Crédito (ASNEF) e la Federación de Comercio Electrónico y Marketing Directo (FECEMD) contrapposte all’Administración del
         Estado.
      
       Contesto normativo
       Diritto dell’Unione
       La direttiva 95/46
      3        I ‘considerando’ settimo, ottavo e decimo della direttiva 95/46 sono formulati nei termini seguenti:
      
      «7)      considerando che il divario nei livelli di tutela dei diritti e delle libertà personali, in particolare della vita privata,
         garantiti negli Stati membri relativamente al trattamento di dati personali può impedire la trasmissione dei dati stessi fra
         territori degli Stati membri e che tale divario può pertanto costituire un ostacolo all’esercizio di una serie di attività
         economiche su scala comunitaria, falsare la concorrenza e ostacolare, nell’adempimento dei loro compiti, le amministrazioni
         che intervengono nell’applicazione del diritto comunitario; che detto divario nel grado di tutela deriva dalla diversità [delle]
         disposizioni legislative, regolamentari ed amministrative nazionali;
      
      8)      considerando che, per eliminare gli ostacoli alla circolazione dei dati personali, il livello di tutela dei diritti e delle
         libertà delle persone relativamente al trattamento di tali dati deve essere equivalente in tutti gli Stati membri; che tale
         obiettivo, fondamentale per il mercato interno, non può essere conseguito esclusivamente attraverso l’azione degli Stati membri,
         tenuto conto in particolare dell’ampia divergenza esistente attualmente tra le normative nazionali in materia e della necessità
         di coordinarle affinché il flusso transfrontaliero di dati personali sia disciplinato in maniera coerente e conforme all’obiettivo
         del mercato interno (…); che risulta pertanto necessario un intervento della Comunità ai fini di un ravvicinamento delle legislazioni;
      
      (...)
      10)      considerando che le legislazioni nazionali relative al trattamento dei dati personali hanno lo scopo di garantire il rispetto
         dei diritti e delle libertà fondamentali, in particolare del diritto alla vita privata, riconosciuto anche dall’articolo 8
         della Convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali [firmata a Roma il 4 novembre
         1950 (in prosieguo: la “CEDU”)] e dai principi generali del diritto comunitario; che pertanto il ravvicinamento di dette legislazioni
         non deve avere per effetto un indebolimento della tutela da esse assicurata ma deve anzi mirare a garantire un elevato grado
         di tutela nella Comunità».
      
      4        L’art. 1 di tale direttiva, intitolato «Oggetto della direttiva», reca la seguente formulazione:
      
      «1.      Gli Stati membri garantiscono, conformemente alle disposizioni della presente direttiva, la tutela dei diritti e delle libertà
         fondamentali delle persone fisiche e particolarmente del diritto alla vita privata, con riguardo al trattamento dei dati personali.
      
      2.      Gli Stati membri non possono restringere o vietare la libera circolazione dei dati personali tra Stati membri, per motivi
         connessi alla tutela garantita a norma del paragrafo 1».
      
      5        L’art. 5 della stessa direttiva è formulato nel modo seguente:
      
      «Gli Stati membri precisano, nei limiti delle disposizioni del presente capo, le condizioni alle quali i trattamenti di dati
         personali sono leciti».
      
      6        L’art. 7 della direttiva 95/46 enuncia quanto segue:
      
      «Gli Stati membri dispongono che il trattamento di dati personali può essere effettuato soltanto quando:
      a)      la persona interessata ha manifestato il proprio consenso in maniera inequivocabile, oppure
      (...)
      f)      è necessario per il perseguimento dell’interesse legittimo del responsabile del trattamento oppure del o dei terzi cui vengono
         comunicati i dati, a condizione che non prevalgano l’interesse o i diritti e le libertà fondamentali della persona interessata,
         che richiedono tutela ai sensi dell’art. 1, paragrafo 1».
      
      7        L’art. 13, n. 1, di tale direttiva così dispone:
      
      «Gli Stati membri possono adottare disposizioni legislative intese a limitare la portata degli obblighi e dei diritti previsti
         dalle disposizioni dell’articolo 6, paragrafo 1, dell’articolo 10, dell’articolo 11, paragrafo 1 e degli articoli 12 e 21,
         qualora tale restrizione costituisca una misura necessaria alla salvaguardia:
      
      a)      della sicurezza dello Stato;
      b)      della difesa;
      c)      della pubblica sicurezza;
      d)      della prevenzione, della ricerca, dell’accertamento e del perseguimento di infrazioni penali o di violazioni della deontologia
         delle professioni regolamentate;
      
      e)      di un rilevante interesse economico o finanziario di uno Stato membro o dell’Unione europea, anche in materia monetaria, di
         bilancio e tributaria;
      
      f)      di un compito di controllo, ispezione o disciplina connesso, anche occasionalmente, con l’esercizio dei pubblici poteri nei
         casi di cui alle lettere c), d) ed e);
      
      g)      della protezione della persona interessata o dei diritti e delle libertà altrui».
       Diritto nazionale
       La legge organica n. 15/1999
      8        La legge organica n. 15/1999, sulla protezione dei dati personali (BOE n. 298 del 14 dicembre 1999, pag. 43088) traspone la
         direttiva 95/46 nel diritto spagnolo.
      
      9        L’art. 3, lett. j), della legge organica n. 15/1999 enumera le «fonti accessibili al pubblico» in un elenco esaustivo e limitativo,
         che recita come segue:
      
      «(...) gli archivi la cui consultazione, da parte di qualsiasi persona, non sia vietata da una norma limitativa o sia eventualmente
         subordinata solo al pagamento di una controprestazione. Sono considerate accessibili al pubblico esclusivamente il censo promocional [copia delle liste elettorali contenente i nomi e gli indirizzi degli elettori, che le autorità statistiche possono vendere
         alle imprese di pubblicità], gli elenchi telefonici, conformemente alle pertinenti disposizioni specifiche, nonché gli elenchi
         di persone appartenenti a gruppi di professionisti in cui siano indicati esclusivamente nome, titolo, professione, attività,
         grado accademico, indirizzo e appartenenza al gruppo. Sono inoltre considerate fonti accessibili al pubblico le gazzette ufficiali
         e i mezzi di comunicazione».
      
      10      L’art. 6, n. 1, della legge organica n. 15/1999 subordina il trattamento dei dati alla manifestazione del consenso inequivocabile
         della persona interessata salvo che la legge disponga altrimenti. L’art. 6, n. 2, in fine, di detta legge, prevede quindi
         che il consenso non è richiesto, in particolare «(…) quando i dati siano contenuti in fonti accessibili al pubblico e il loro
         trattamento sia necessario per il perseguimento dell’interesse legittimo del responsabile dell’archivio o del terzo cui vengono
         comunicati, a condizione che non vengano lesi i diritti e le libertà fondamentali della persona interessata».
      
      11      L’art. 11, n. 1, della legge organica n. 15/1999 ribadisce la necessità del consenso della persona interessata affinché si
         possano comunicare a terzi i dati personali, mentre il n. 2 di detto articolo prevede, tuttavia, che detto consenso non è
         necessario, in particolare, quando si tratti di dati contenuti in fonti accessibili al pubblico.
      
       Il regio decreto n. 1720/2007
      12      Il governo spagnolo ha dato attuazione alla legge organica n. 15/1999 con il regio decreto n. 1720/2007 (BOE n. 17 del 19
         gennaio 2008, pag. 4103).
      
      13      L’art. 10, n. 1, del regio decreto n. 1720/2007 autorizza il trattamento e la cessione di dati personali con il previo consenso
         dell’interessato.
      
      14      L’art. 10, n. 2, del regio decreto n. 1720/2007, tuttavia, così dispone:
      
      «(...) il trattamento o la cessione di dati personali è possibile anche senza il consenso dell’interessato quando:
      a)      sia autorizzato da una norma con rango di legge o da una norma di diritto comunitario e, segnatamente, quando concorra una
         delle seguenti circostanze:
      
      – il trattamento o la cessione perseguono un interesse legittimo del responsabile del trattamento o del cessionario tutelato
         dalle suddette norme, a condizione che non prevalgano l’interesse o i diritti e le libertà fondamentali delle persone interessate
         di cui all’art. 1 della legge organica 13 dicembre 1999, n. 15;
      
      – il trattamento o la cessione dei dati sono necessari al responsabile del trattamento per adempiere un obbligo ad esso incombente
         in forza di tali norme;
      
      b)      i dati oggetto del trattamento o della cessione siano contenuti in fonti accessibili al pubblico e il responsabile dell’archivio
         o il terzo cui vengono comunicati abbia un interesse legittimo a trattarli o a conoscerli, a condizione che non vengano lesi
         diritti e libertà fondamentali della persona interessata.
      
      Tuttavia, le amministrazioni pubbliche possono trasmettere ai sensi della presente disposizione i dati contenuti in fonti
         accessibili al pubblico ai responsabili di archivi privati solo quando esse siano a ciò autorizzate da una norma con rango
         di legge».
      
       Cause principali e questioni pregiudiziali
      15      L’ASNEF, da una parte, e la FECEMD, dall’altra, hanno proposto un contenzioso amministrativo contro diversi articoli del regio
         decreto n. 1720/2007.
      
      16      Tra le disposizioni impugnate figura l’art. 10, n. 2, lett. a), primo trattino, e lett. b), primo comma, di detto decreto,
         che l’ASNEF e la FECEMD considerano in contrasto con l’art. 7, lett. f), della direttiva 95/46.
      
      17      In particolare, l’ASNEF e la FECEMD osservano che il diritto spagnolo aggiunge alla condizione attinente all’interesse legittimo
         al trattamento dei dati senza il consenso della persona interessata una condizione che non esiste nella direttiva 95/46, che,
         cioè, i dati compaiano in fonti accessibili al pubblico.
      
      18      Il Tribunal Supremo considera che la fondatezza dei ricorsi proposti rispettivamente dall’ASNEF e dalla FECEMD dipende in
         larga misura dall’interpretazione, da parte della Corte, dell’art. 7, lett. f), della direttiva 95/46. Esso precisa, quindi,
         che qualora la Corte ritenesse che non spetta agli Stati membri aggiungere condizioni supplementari a quelle previste in tale
         disposizione e che a quest’ultima può essere riconosciuto effetto diretto, l’art. 10, n. 2, lett. b), del regio decreto n. 1720/2007
         dovrebbe essere disapplicato.
      
      19      Il Tribunal Supremo chiarisce che, in assenza del consenso della persona interessata, per autorizzare il trattamento dei dati
         personali di quest’ultima, necessario alla realizzazione dell’interesse legittimo perseguito dal responsabile di detto trattamento
         oppure dal o dai terzi cui questi dati sono comunicati, il diritto spagnolo richiede, oltre al rispetto dei diritti e delle
         libertà fondamentali della persona interessata, che tali dati figurino negli archivi elencati all’art. 3, lett. j), della
         legge organica n. 15/1999. Esso considera al riguardo che tale legge e il regio decreto n. 1720/2007 restringono la portata
         dell’art. 7, lett. f), della direttiva 95/46.
      
      20      Secondo il Tribunal Supremo, detta restrizione costituisce un ostacolo alla libera circolazione dei dati personali che è compatibile
         con la direttiva 95/46 soltanto se lo richiedono l’interesse oppure i diritti e le libertà fondamentali del titolare dei dati.
         Esso ne deduce che l’unica possibilità per evitare una contraddizione tra tale direttiva e il diritto spagnolo consiste nel
         ritenere che la libera circolazione dei dati personali che figurano in archivi diversi da quelli elencati all’art. 3, lett. j),
         della legge organica n. 15/1999 pregiudica l’interesse oppure i diritti e le libertà fondamentali del titolare dei dati.
      
      21      Tuttavia, il Tribunal Supremo si chiede se siffatta interpretazione sia conforme alla volontà del legislatore dell’Unione.
      
      22      Date le circostanze, considerando che la soluzione delle controversie dinanzi ad esso pendenti dipendesse dall’interpretazione
         delle disposizioni del diritto dell’Unione, il Tribunal supremo ha deciso di sospendere il procedimento e di sottoporre alla
         Corte le seguenti questioni pregiudiziali, formulate in termini identici in ciascuna delle dette cause:
      
      1)      Se l’art. 7, lett. f), della direttiva (…) 95/46 debba essere interpretato nel senso che osta a una normativa nazionale che,
         in assenza del consenso dell’interessato e per consentire il trattamento dei suoi dati personali necessario al perseguimento
         dell’interesse legittimo del responsabile o dei terzi cui essi vengono comunicati, esige oltre a che non vengano lesi i diritti
         e le libertà fondamentali dell’interessato, che i dati siano contenuti in fonti accessibili al pubblico.
      
      2)      Se il menzionato art. 7, lett. f), possieda tutti i requisiti richiesti dalla giurisprudenza dell’Unione affinché gli si possa
         attribuire effetto diretto».
      
      23      Con ordinanza del Presidente della Corte 26 ottobre 2010, i procedimenti C‑468/10 e C‑469/10 sono stati riuniti ai fini delle
         fasi scritta e orale e della decisione.
      
       Sulle questioni pregiudiziali
      Sulla prima questione
      24      Con la sua prima questione, il giudice del rinvio chiede sostanzialmente se l’art. 7, lett. f), della direttiva 95/46 debba
         essere interpretato nel senso che osta ad una disciplina nazionale la quale, in assenza del consenso della persona interessata
         e per autorizzare il trattamento dei suoi dati personali, necessari alla realizzazione di un interesse legittimo perseguito
         dal responsabile di tale trattamento oppure dal o dai terzi ai quali tali dati sono comunicati, richiede, oltre al rispetto
         dei diritti e delle libertà fondamentali di detta persona, che tali dati compaiano in fonti accessibili al pubblico.
      
      25      L’art. 1 della direttiva 95/46 prescrive agli Stati membri di garantire la tutela delle libertà e dei diritti fondamentali
         delle persone fisiche, in particolare della loro vita privata, con riguardo al trattamento dei dati personali (v., in tal
         senso, sentenza 16 dicembre 2008, causa C‑524/06, Huber, Racc. pag. I‑9705, punto 47).
      
      26      Ai sensi del capo II della direttiva 95/46, intitolato «Condizioni generali di liceità dei trattamenti di dati personali»,
         fatte salve le deroghe ammesse dall’art. 13 di tale direttiva, qualsiasi trattamento di dati personali deve essere conforme,
         da un lato, ai principi relativi alla qualità dei dati, enunciati all’art. 6 di quest’ultima, e, dall’altro, a uno dei sei
         principi relativi alla legittimazione del trattamento dei dati elencati all’art. 7 della direttiva stessa (v., in questo senso,
         sentenze 20 maggio 2003, cause riunite C‑465/00, C‑138/01 e C‑139/01, Österreichischer Rundfunk e a., Racc. pag. I‑4989, punto
         65, nonché Huber, cit., punto 48).
      
      27      Dal settimo ‘considerando’ della direttiva 95/46 risulta che l’instaurazione e il funzionamento del mercato interno possono
         essere gravemente perturbati dal divario esistente tra i regimi nazionali applicabili al trattamento dei dati personali (v.
         sentenza 6 novembre 2003, causa C‑101/01, Lindqvist, Racc. pag. I‑12971, punto 79).
      
      28      In tale contesto, occorre ricordare che la direttiva 95/46 mira, come risulta in particolare dal suo ottavo ‘considerando’,
         a rendere equivalente in tutti gli Stati membri il livello di tutela dei diritti e delle libertà delle persone riguardo al
         trattamento dei dati personali. Il decimo ‘considerando’ aggiunge che il ravvicinamento delle legislazioni nazionali applicabili
         in materia non deve avere per effetto un indebolimento della tutela da esse assicurata, ma deve, anzi, mirare a garantire
         un elevato grado di tutela nella Comunità (v., in tal senso, citate sentenze Lindqvist, punto 95, e Huber, punto 50).
      
      29      Si è così giudicato che l’armonizzazione delle suddette legislazioni nazionali non si limita quindi ad un’armonizzazione minima,
         ma sfocia in un’armonizzazione che, in linea di principio, è completa. È in quest’ottica che la direttiva 95/46 intende garantire
         la libera circolazione dei dati personali, pur assicurando un alto livello di tutela dei diritti e degli interessi delle persone
         cui si riferiscono tali dati (v. sentenza Lindqvist, cit., punto 96).
      
      30      Pertanto, dall’obiettivo consistente nel garantire un livello di protezione equivalente in tutti gli Stati membri deriva che
         l’art. 7 della direttiva 95/46 prevede un elenco esaustivo e tassativo dei casi in cui il trattamento dei dati personali può
         essere considerato lecito.
      
      31      Detta interpretazione è corroborata dai termini «può essere effettuato soltanto quando» e dalla congiunzione «oppure» contenuti
         nell’art. 7 della direttiva 95/46, che mettono in evidenza la natura esaustiva e limitativa dall’elenco che figura in tale
         articolo.
      
      32      Ne consegue che gli Stati membri non possono né aggiungere nuovi principi relativi alla legittimazione del trattamento dei
         dati personali all’art. 7 della direttiva 95/46, né prevedere requisiti supplementari che vengano a modificare la portata
         di uno dei sei principi previsti da detto articolo.
      
      33      L’interpretazione che precede non è rimessa in discussione dall’art. 5 della direttiva 95/46. Infatti, tale articolo autorizza
         gli Stati membri soltanto a precisare, nei limiti delle disposizioni del capo II della direttiva e, quindi, dell’art. 7 della
         stessa, le condizioni alle quali i trattamenti dei dati personali sono leciti.
      
      34      Il margine discrezionale di cui, in forza di detto art. 5, dispongono gli Stati membri può dunque essere utilizzato soltanto
         in conformità all’obiettivo perseguito dalla direttiva 95/46, consistente nel mantenere l’equilibrio tra la libera circolazione
         dei dati personali e la tutela della vita privata (v. sentenza Lindqvist, cit., punto 97).
      
      35      La direttiva 95/46 contiene norme caratterizzate da una certa elasticità e lascia in numerosi casi agli Stati membri il compito
         di decidere dei dettagli o di scegliere tra più opzioni (v. sentenza Lindqvist, cit., punto 83). Occorre così distinguere
         tra provvedimenti nazionali che prevedono requisiti supplementari che modificano la portata di un principio previsto all’art. 7
         della direttiva 95/46, da una parte, e provvedimenti nazionali che prevedono la semplice precisazione di uno di tali principi,
         dall’altra. Il primo tipo di provvedimenti nazionali è vietato. È soltanto nell’ambito del secondo tipo di provvedimenti nazionali
         che, in forza dell’art. 5 della direttiva 95/46, gli Stati membri dispongono di un margine discrezionale.
      
      36      Ne consegue che a norma dell’art. 5 della direttiva 95/46, gli Stati membri non possono neppure introdurre principi relativi
         alla legittimazione del trattamento dei dati personali diversi da quelli enunciati all’art. 7 di tale direttiva, né modificare
         con requisiti supplementari la portata dei sei principi previsti dal detto art. 7.
      
      37      Nella fattispecie, l’art. 7, lett. f), della direttiva 95/46 dispone che il trattamento dei dati personali è lecito se «è
         necessario per il perseguimento dell’interesse legittimo del responsabile del trattamento oppure del o dei terzi cui vengono
         comunicati i dati, a condizione che non prevalgano l’interesse o i diritti e le libertà fondamentali della persona interessata,
         che richiedono tutela ai sensi dell’art. 1, paragrafo 1».
      
      38      Detto art. 7, lett. f), prevede due condizioni cumulative perché il trattamento dei dati personali sia lecito, cioè, da una
         parte, che il trattamento dei dati personali sia necessario alla realizzazione dell’interesse legittimo perseguito dal responsabile
         del trattamento oppure dal o dai terzi ai quali tali dati vengono comunicati e, dall’altra, che non prevalgano i diritti e
         le libertà fondamentali della persona interessata.
      
      39      Ne consegue che, per quanto riguarda il trattamento di dati personali, l’art. 7, lett. f), della direttiva 95/46 osta a qualsiasi
         normativa nazionale che, in assenza del consenso da parte della persona interessata, prescriva oltre alle due condizioni cumulative
         menzionate al punto precedente, requisiti supplementari.
      
      40      Occorre, tuttavia, tenere conto del fatto che la seconda di tali condizioni richiede una ponderazione dei contrapposti diritti
         e interessi in gioco che dipende, in linea di principio, dalle circostanze concrete del caso specifico e nell’ambito della
         quale la persona o l’istituzione che l’effettua deve tenere conto dell’importanza dei diritti della persona interessata derivanti
         dagli artt. 7 e 8 della Carta dei diritti fondamentali dell’Unione europea (in prosieguo: la «Carta»).
      
      41      A tale riguardo occorre rilevare che l’art. 8, n. 1, della Carta enuncia che «[o]gni persona ha diritto alla protezione dei
         dati di carattere personale che la riguardano». Tale diritto fondamentale è strettamente connesso al diritto al rispetto della
         vita privata sancito dall’art. 7 della medesima Carta (sentenza 9 novembre 2010, causa C‑92/09 e C‑93/09, Volker und Markus
         Schecke e Eifert, Racc. pag. I-11063, punto 47).
      
      42      Secondo la giurisprudenza della Corte, il rispetto del diritto alla vita privata con riguardo al trattamento dei dati personali,
         riconosciuto dagli artt. 7 e 8 della Carta, è riferito ad ogni informazione relativa ad una persona fisica identificata o
         identificabile (v. sentenza Volker und Markus Schecke e Eifert, cit., punto 52). Risulta, tuttavia, dagli artt. 8, n. 2, e
         52, n. 1, della Carta che, al ricorrere di talune condizioni, a tale diritto possono essere apportate alcune limitazioni.
      
      43      Inoltre, spetta agli Stati membri il compito di vegliare, all’atto di recepire la direttiva 95/46, ad accogliere un’interpretazione
         di quest’ultima che consenta loro di garantire il giusto equilibrio tra i diversi diritti e le libertà fondamentali protetti
         dall’ordinamento giuridico dell’Unione (v., analogamente, sentenza 29 gennaio 2008, causa C‑275/06, Promusicae, Racc. pag. I‑271,
         punto 68).
      
      44      Per quanto riguarda la ponderazione necessaria in forza dell’art. 7, lett. f), della direttiva 95/46 è possibile prendere
         in considerazione il fatto che la gravità della violazione dei diritti fondamentali della persona interessata da tale trattamento
         possa variare in funzione della circostanza che i dati di cui trattasi figurino già, o no, in fonti accessibili al pubblico.
      
      45      Infatti, a differenza del trattamento dei dati che figurano in fonti accessibili al pubblico, il trattamento di dati che compaiono
         in fonti che non sono accessibili al pubblico implica necessariamente che informazioni sulla vita privata della persona interessata
         saranno ormai note al responsabile del trattamento ed eventualmente al o ai terzi ai quali i dati vengono comunicati. Tale
         violazione maggiore dei diritti della persona interessata, sanciti dagli articoli 7 e 8 della Carta, deve essere tenuta nella
         sua giusta considerazione all’atto di soppesarla con l’interesse legittimo perseguito dal responsabile del trattamento oppure
         dal o dai terzi ai quali i dati vengono comunicati.
      
      46      Al riguardo, occorre sottolineare che nulla osta a che gli Stati membri, avvalendosi del loro margine discrezionale consacrato
         all’art. 5 della direttiva 95/46, fissino linee direttrici ai fini di tale ponderazione.
      
      47      Tuttavia, non può essere definita in termini di precisazione, ai sensi di detto art. 5, quella normativa nazionale che escluda
         per talune categorie di dati personali la possibilità di essere trattati, stabilendo per tali categorie, in modo definitivo,
         il risultato della ponderazione dei diritti e degli interessi contrapposti, senza consentire un diverso risultato in ragione
         delle circostanze specifiche del caso concreto.
      
      48      Pertanto, l’art. 7, lett. f), della direttiva 95/46, fatto salvo l’art. 8 della stessa direttiva, riguardante trattamenti
         aventi ad oggetto categorie particolari di dati, disposizione che non è in esame nella causa principale, osta a che uno Stato
         membro escluda in modo categorico e generalizzato la possibilità che talune categorie di dati personali siano oggetto di trattamento,
         senza consentire la ponderazione dei diritti e degli interessi contrapposti in gioco nel caso specifico.
      
      49      Alla luce di tali considerazioni, occorre risolvere la prima questione dichiarando che l’art. 7, lett. f), della direttiva
         95/46 deve essere interpretato nel senso che osta ad una normativa nazionale che, in assenza del consenso della persona interessata
         e per autorizzare il trattamento dei suoi dati personali, necessario alla realizzazione del legittimo interesse perseguito
         dal responsabile di tale trattamento oppure dal o dai terzi ai quali tali dati vengono comunicati, richiede, oltre al rispetto
         dei diritti e delle libertà fondamentali di detta persona, che i dati in parola figurino in fonti accessibili al pubblico,
         escludendo quindi in modo categorico e generalizzato qualsiasi trattamento di dati che non figurino in tali fonti.
      
      Sulla seconda questione
      50      Con la sua seconda questione, il giudice del rinvio chiede sostanzialmente se l’art. 7, lett. f), della direttiva 95/46 abbia
         effetto diretto.
      
      51      A questo proposito occorre ricordare che, per costante giurisprudenza della Corte, in tutti i casi in cui le disposizioni
         di una direttiva appaiano, dal punto di vista sostanziale, incondizionate e sufficientemente precise, tali disposizioni possono
         essere invocate dai singoli dinanzi ai giudici nazionali nei confronti dello Stato, ove quest’ultimo non abbia recepito nei
         termini tale direttiva nel diritto interno o non l’abbia recepita correttamente (v. sentenza 3 marzo 2011, causa C‑203/10,
         Auto Nikolovi, Racc. pag. I-1083, punto 61 e giurisprudenza ivi citata).
      
      52      È giocoforza constatare che l’art. 7, lett. f), della direttiva 95/46 è una disposizione sufficientemente precisa per poter
         essere fatta valere da un singolo ed applicata dai giudici nazionali. Inoltre, se è vero che la direttiva 95/46 implica innegabilmente
         un margine discrezionale degli Stati membri più o meno rilevante per l’attuazione di talune sue disposizioni, detto art. 7,
         lett. f), dal canto suo, stabilisce un obbligo incondizionato (v., analogamente, sentenza Österreichischer Rundfunk e a.,
         cit., punto 100).
      
      53      L’uso dell’espressione «a condizione che» nel testo stesso dell’art. 7, lett. f), della direttiva 95/46 non è di per sé idoneo
         a mettere nuovamente in discussione il carattere incondizionato di tale disposizione ai sensi della summenzionata giurisprudenza.
      
      54      Infatti, tale espressione è diretta ad esporre uno dei due elementi cumulativi previsti all’art. 7, lett. f), della direttiva
         95/46, al rispetto dei quali è subordinata la possibilità di trattare dati a carattere personale senza il consenso della persona
         interessata. Poiché tale elemento è definito, esso non toglie all’art. 7, lett. f), il suo carattere preciso e incondizionato.
      
      55      Si deve quindi risolvere la seconda questione dichiarando che l’art. 7, lett. f), della direttiva 95/46 ha effetto diretto.
      
       Sulle spese
      56      Nei confronti delle parti nella causa principale il presente procedimento costituisce un incidente sollevato dinanzi al giudice
         nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte
         non possono dar luogo a rifusione.
      
      Per questi motivi la Corte (Terza Sezione) dichiara:
      1)      L’art. 7, lett. f), della direttiva del Parlamento europeo e del Consiglio 24 ottobre 1995, 95/46/CE, relativa alla tutela
            delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, deve essere
            interpretato nel senso che osta ad una normativa nazionale che, in assenza del consenso della persona interessata e per autorizzare
            il trattamento dei suoi dati personali, necessario alla realizzazione del legittimo interesse perseguito dal responsabile
            di tale trattamento oppure dal o dai terzi ai quali tali dati vengono comunicati, richiede, oltre al rispetto dei diritti
            e delle libertà fondamentali di detta persona, che i dati in parola figurino in fonti accessibili al pubblico, escludendo
            quindi in modo categorico e generalizzato qualsiasi trattamento di dati che non figurino in tali fonti.
      2)      L’art. 7, lett. f), della direttiva 95/46 ha effetto diretto.
      Firme
      * Lingua processuale: lo spagnolo.