Source: http://www.privacy.it/archivio/cortegiust.s20090507.html
Timestamp: 2017-10-22 01:21:26+00:00

Document:
Corte di Giustizia delle Comunità Europee: Sentenza della Corte di giustizia nella causa C-553/07 - College van burgemeester en wethouders van Rotterdam /M. E. E. Rijkeboer - 7 maggio 2009
7 maggio 2009 (*)
ÇTutela delle persone fisiche con riguardo al trattamento dei dati personali – Direttiva 95/46/CE – Tutela della vita privata – Cancellazione dei dati – Diritto di accesso ai dati ed alle informazioni sui destinatari dei dati – Termine per lÕesercizio del diritto di accessoÈ
Nel procedimento C-553/07,
avente ad oggetto la domanda di pronuncia pregiudiziale proposta alla Corte, ai sensi dellÕart. 234 CE, dal Raad van State (Paesi Bassi) con decisione 5 dicembre 2007, pervenuta in cancelleria il 12 dicembre 2007, nella causa
composta dal sig. A. Rosas, presidente di sezione, dai sigg. A. î Caoimh, J. Klučka, U. L›hmus e dalla sig.ra P. Lindh (relatore), giudici,
vista la fase scritta del procedimento e in seguito allÕudienza del 20 novembre 2008,
– per il College van burgemeester en wethouders van Rotterdam, dallÕavv. R. de Bree, advocaat;
– per il sig. M. E. E. Rijkeboer, dal sig. W. van Bentem, juridisch adviseur;
– per il governo dei Paesi Bassi, dalle sig.re C. M. Wissels e C. ten Dam, in qualitˆ di agenti;
– per il governo ceco, dal sig. M. Smolek, in qualitˆ di agente;
– per il governo ellenico, dalle sig.re E.-M. Mamouna e V. Karra, in qualitˆ di agenti;
– per il governo spagnolo, dal sig. M. Mu–oz PŽrez, in qualitˆ di agente;
– per il governo del Regno Unito, dalle sig.re Z. Bryanston-Cross e H. Walker, in qualitˆ di agenti, assistite dal sig. J. Stratford, barrister;
– per la Commissione delle Comunitˆ europee, dai sigg. R. Troosters e C. Docksey, in qualitˆ di agenti,
sentite le conclusioni dellÕavvocato generale, presentate allÕudienza del 22 dicembre 2008,
1 La domanda di pronuncia pregiudiziale verte sullÕinterpretazione dellÕart. 12, lett. a), della direttiva del Parlamento europeo e del Consiglio 24 ottobre 1995, 95/46/CE, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonchŽ alla libera circolazione di tali dati (GU L 281, pag. 31; in prosieguo: la ÇdirettivaÈ).
2 Tale domanda � stata presentata nellÕambito di una controversia tra il sig. Rijkeboer e il College van burgemeester en wethouders van Rotterdam (giunta comunale di Rotterdam; in prosieguo: il ÇCollegeÈ) in merito al parziale rifiuto di questÕultimo di dargli accesso alle informazioni sulla comunicazione dei suoi dati personali a terzi nel corso dei due anni precedenti alla sua richiesta dÕinformazioni.
3 Il secondo ed il decimo ÔconsiderandoÕ della direttiva, relativi ai diritti ed alle libertˆ fondamentali, cos“ dichiarano:
Ç(2) considerando che i sistemi di trattamento dei dati sono al servizio dellÕuomo; che essi, indipendentemente dalla nazionalitˆ o dalla residenza delle persone fisiche, debbono rispettare le libertˆ e i diritti fondamentali delle stesse, in particolare la vita privata, e debbono contribuire al progresso economico e sociale, allo sviluppo degli scambi nonchŽ al benessere degli individui;
(10) considerando che le legislazioni nazionali relative al trattamento dei dati personali hanno lo scopo di garantire il rispetto dei diritti e delle libertˆ fondamentali, in particolare del diritto alla vita privata, riconosciuto anche dallÕarticolo 8 della Convenzione europea per la salvaguardia dei diritti dellÕuomo e delle libertˆ fondamentali e dai principi generali del diritto comunitario (...)È.
4 Ai sensi del venticinquesimo ÔconsiderandoÕ della direttiva, i principi della tutela delle persone si esprimono, da un lato, nei vari obblighi a carico delle persone responsabili del trattamento, obblighi relativi in particolare alla qualitˆ dei dati, e, dallÕaltro, nel diritto delle persone, i cui dati sono oggetto di trattamento, di esserne informate, di poter accedere ai dati e di poterne chiedere la rettifica, o di opporsi al trattamento in talune circostanze.
5 Il quarantesimo ÔconsiderandoÕ della direttiva, relativo allÕobbligo dÕinformare la persona interessata qualora i dati non siano stati raccolti presso di lei, dichiara che tale obbligo non � previsto se dare tale informazione risulta impossibile o implica uno sforzo eccessivo e che in questo caso si pu˜ tener conto del numero di persone interessate, dellÕantichitˆ dei dati e delle eventuali misure di compensazione.
6 Ai sensi del quarantunesimo ÔconsiderandoÕ della direttiva una persona deve godere del diritto dÕaccesso ai dati che la riguardano e che sono oggetto di trattamento, per poter verificare, in particolare, la loro esattezza e la liceitˆ del trattamento.
7 LÕart. 1, intitolato ÇOggetto della direttivaÈ, ha la seguente formulazione:
Ç1. Gli Stati membri garantiscono, conformemente alle disposizioni della presente direttiva, la tutela dei diritti e delle libertˆ fondamentali delle persone fisiche e particolarmente del diritto alla vita privata, con riguardo al trattamento dei dati personali.
2. Gli Stati membri non possono restringere o vietare la libera circolazione dei dati personali tra Stati membri, per motivi connessi alla tutela garantita a norma del paragrafo 1È.
8 La nozione di Çdati personaliÈ viene definita allÕart. 2, lett. a), della direttiva come qualsiasi informazione concernente una persona fisica identificata o identificabile (Çpersona interessataÈ).
9 Per Çtrattamento di dati personaliÈ lÕart. 2, lett. b), della direttiva intende:
Çqualsiasi operazione o insieme di operazioni compiute con o senza lÕausilio di processi automatizzati e applicate a dati personali, come la raccolta, la registrazione, lÕorganizzazione, la conservazione, lÕelaborazione o la modifica, lÕestrazione, la consultazione, lÕimpiego, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o lÕinterconnessione, nonchŽ il congelamento, la cancellazione o la distruzioneÈ.
10 Secondo lÕart. 2, lett. d), della direttiva, il Çresponsabile del trattamentoÈ � la persona fisica o giuridica, lÕautoritˆ pubblica, il servizio o qualsiasi altro organismo che, da solo o insieme ad altri, determina le finalitˆ e gli strumenti del trattamento di dati personali.
11 LÕart. 2, lett. g), della direttiva definisce il ÇdestinatarioÈ come la persona fisica o giuridica, lÕautoritˆ pubblica, il servizio o qualsiasi altro organismo che riceve comunicazione di dati, che si tratti o meno di un ÇterzoÈ, quale definito allÕart. 2, lett. f), della direttiva.
12 LÕart. 6 della direttiva enuncia i principi attinenti alla qualitˆ dei dati. Quanto alla conservazione dei dati, il suo n. 1, lett. e), prevede che gli Stati membri dispongono che i dati personali debbano essere Çconservati in modo da consentire lÕidentificazione delle persone interessate per un arco di tempo non superiore a quello necessario al conseguimento delle finalitˆ per le quali sono rilevati o sono successivamente trattati. Gli Stati membri prevedono garanzie adeguate per i dati personali conservati oltre il suddetto arco di tempo per motivi storici, statistici o scientificiÈ.
13 Gli artt. 10 e 11 della direttiva determinano quali informazioni il responsabile del trattamento dei dati, o il suo rappresentante, deve fornire alla persona interessata in caso, rispettivamente, di dati raccolti presso di lei ovvero di dati non raccolti presso di lei.
14 LÕart. 12 della direttiva, intitolato ÇDiritto di accessoÈ, � cos“ formulato:
ÇGli Stati membri garantiscono a qualsiasi persona interessata il diritto di ottenere dal responsabile del trattamento:
– la conferma dellÕesistenza o meno di trattamenti di dati che la riguardano, e lÕinformazione almeno sulle finalitˆ dei trattamenti, sulle categorie di dati trattati, sui destinatari o sulle categorie di destinatari cui sono comunicati i dati;
– la comunicazione in forma intelligibile dei dati che sono oggetto dei trattamenti, nonchŽ di tutte le informazioni disponibili sullÕorigine dei dati;
– la conoscenza della logica applicata nei trattamenti automatizzati dei dati che l[a] interessano, per lo meno nel caso delle decisioni automatizzate di cui allÕarticolo 15, paragrafo 1;
b) a seconda dei casi, la rettifica, la cancellazione o il congelamento dei dati il cui trattamento non � conforme alle disposizioni della presente direttiva, in particolare a causa del carattere incompleto o inesatto dei dati;
c) la notificazione ai terzi, ai quali sono stati comunicati i dati, di qualsiasi rettifica, cancellazione o congelamento, effettuati conformemente alla lettera b), se non si dimostra che � impossibile o implica uno sforzo sproporzionatoÈ.
15 LÕart. 13, n. 1, della direttiva, intitolato ÇDeroghe e restrizioniÈ, autorizza gli Stati membri a derogare in particolare ai suoi artt. 6 e 12, ove sia necessario per la salvaguardia di determinati interessi pubblici tra cui la sicurezza dello Stato, la difesa, il perseguimento di infrazioni penali nonchŽ altri interessi, ossia la protezione della persona interessata o dei diritti e delle libertˆ altrui.
16 La direttiva prevede al suo art. 14 che gli Stati membri riconoscono alla persona interessata il diritto di opporsi, in determinate circostanze, a che dati che la riguardano siano oggetto di trattamento.
17 Secondo lÕart. 17, n. 1, secondo comma, della direttiva, gli Stati membri dispongono che il responsabile del trattamento debba attuare misure tecniche ed organizzative che devono garantire, tenuto conto delle attuali conoscenze in materia e dei costi dellÕapplicazione, un livello di sicurezza appropriato rispetto ai rischi presentati dal trattamento e alla natura dei dati da proteggere.
18 Ai sensi degli artt. 22 e 23, n. 1, della direttiva, gli Stati membri stabiliscono che chiunque possa disporre di un ricorso giurisdizionale in caso di violazione dei diritti garantitigli dalle disposizioni nazionali applicabili al trattamento in questione e che chiunque subisca un danno cagionato da un trattamento illecito o da qualsiasi altro atto incompatibile con le disposizioni nazionali di attuazione della direttiva abbia il diritto di ottenere il risarcimento del pregiudizio sub“to dal responsabile del trattamento.
19 La direttiva � stata trasposta nellÕordinamento olandese con un testo generale, la legge relativa alla protezione dei dati personali (Wet bescherming persoonsgegevens). Leggi specifiche sono state, inoltre, adattate al fine di tenere conto della direttiva. Questo � il caso della legge di cui trattasi nella causa principale, vale a dire la legge sulla gestione dei dati personali da parte dei comuni (Wet gemeentelijke basisadministratie persoonsgegevens, Stb. 1994, n. 494; in prosieguo: la ÇWet GBAÈ).
20 LÕart. 103, n. 1, della Wet GBA prevede che la giunta comunale comunichi per iscritto allÕinteressato, su richiesta di questÕultimo, entro quattro settimane, i dati che lo riguardano provenienti dallÕamministrazione comunale, che siano stati trasmessi ad un ente amministrativo o a un terzo nel corso dellÕanno precedente la richiesta.
21 Ai sensi dellÕart. 110 della Wet GBA, la giunta comunale conserva menzione di tale comunicazione nellÕanno successivo alla comunicazione dei dati, salvo che tale comunicazione risulti in altro modo dalla banca dati.
22 Dalle osservazioni scritte del College emerge che i dati conservati dal comune riguardano in particolare il nome, la data di nascita, il codice di identificazione amministrativa, il codice socio-fiscale, il comune dÕiscrizione, lÕindirizzo e la data dÕiscrizione al comune, lo stato civile, la curatela, la potestˆ su minori, la cittadinanza e il permesso di soggiorno degli stranieri.
23 Con lettera del 26 ottobre 2005, il sig. Rijkeboer ha chiesto al College di informarlo di tutti i casi in cui informazioni che lo riguardano, provenienti dallÕamministrazione comunale, erano state comunicate a terzi nei due anni precedenti la sua richiesta. Egli voleva conoscere lÕidentitˆ di tali persone ed il contenuto delle informazioni loro trasmesse. Il sig. Rijkeboer, che si era trasferito in un altro comune, voleva in particolare sapere a chi fosse stato comunicato il suo vecchio indirizzo.
24 Con decisioni del 27 ottobre e 29 novembre 2005, il College ha accolto solo parzialmente tale richiesta comunicandogli, conformemente allÕart. 103, n. 1, della Wet GBA, unicamente le informazioni relative allÕanno precedente la sua richiesta.
25 Le comunicazioni di dati vengono registrate ai sensi del ÇLogisch Ontwerp GBAÈ. Si tratta di un sistema automatizzato, creato dal Ministerie van Binnenlandse Zaken en Koninkrijkrelaties (Ministero degli Interni e delle relazioni allÕinterno del Regno [dei Paesi Bassi]). Dalla domanda di pronuncia pregiudiziale risulta che i dati richiesti dal sig. Rijkeboer, anteriori allÕanno precedente la sua richiesta, sono stati automaticamente cancellati, ci˜ che sarebbe conforme allÕart. 110 della Wet GBA.
26 Il sig. Rijkeboer ha depositato un reclamo presso il College avverso il rifiuto di comunicargli informazioni sui destinatari a cui erano stati comunicati dati che lo riguardano anteriormente allÕanno precedente la sua richiesta. Dopo che tale reclamo era stato respinto con decisione del 13 febbraio 2006, il sig. Rijkeboer ha proposto un ricorso dinanzi al Rechtbank Rotterdam.
27 Tale giudice ha accolto il ricorso ritenendo la limitazione del diritto ad essere informato dei dati comunicati a destinatari allÕanno precedente la richiesta, quale prevista allÕart. 103, n. 1, della Wet GBA, non compatibile con lÕart. 12 della direttiva. Esso ha anche ritenuto non applicabili le eccezioni di cui allÕart. 13 di tale direttiva.
28 Il College ha impugnato tale sentenza dinanzi al Raad van State. Tale giudice ha rilevato che lÕart. 12 della direttiva, relativo al diritto di accesso ai dati, non stabilisce alcun termine per lÕesercizio del diritto. Esso ritiene, nutrendo per˜ dubbi al riguardo, che tale articolo non vieti tuttavia necessariamente al legislatore nazionale di limitare nel tempo il diritto della persona interessata ad essere informata dei destinatari a cui vengono trasmessi suoi dati personali.
29 Alla luce di quanto sopra, il Raad van State ha deciso di sospendere il procedimento e di sottoporre alla Corte la seguente questione pregiudiziale:
ÇSe la limitazione, prevista dalla legge, della comunicazione dei dati allÕanno precedente la relativa richiesta sia compatibile con lÕart. 12, (...) lett. a), della [direttiva], eventualmente interpretato in combinato disposto con lÕart. 6, n. 1, lett. e), della citata direttiva e con il principio di proporzionalitˆÈ.
30 Occorre ricordare, preliminarmente, che, nellÕambito del sistema di cooperazione giudiziaria istituito dallÕart. 234 CE, spetta alla Corte interpretare le disposizioni del diritto comunitario. Per quanto riguarda le disposizioni nazionali, la loro interpretazione compete ai giudici nazionali (v. sentenza 14 febbraio 2008, causa C-449/06, Gysen, Racc. pag. I-553, punto 17).
31 Pertanto, si deve intendere la domanda posta dal giudice del rinvio come diretta, sostanzialmente, a stabilire se, ai sensi della direttiva, in particolare del suo art. 12, lett. a), il diritto di una persona ad accedere alle informazioni sui destinatari o sulle categorie di destinatari di dati personali che la riguardano nonchŽ sul contenuto dei dati loro comunicati possa essere limitato al periodo di un anno precedente la sua richiesta di accesso.
32 Tale giudice richiama lÕattenzione su due disposizioni della direttiva, vale a dire lÕart. 6, n. 1, lett. e), sulla conservazione dei dati personali e lÕart. 12, lett. a), sul diritto di accesso a tali dati. Per contro, nŽ tale giudice nŽ le parti che hanno presentato osservazioni alla Corte richiamano le eccezioni stabilite allÕart. 13 della direttiva.
33 LÕart. 6 della direttiva disciplina la qualitˆ dei dati. Il suo n. 1, lett. e), impone agli Stati membri di disporre che i dati personali siano conservati per un arco di tempo non superiore a quello necessario al conseguimento delle finalitˆ per le quali sono rilevati o sono successivamente trattati. I dati devono quindi essere distrutti allorchŽ tali finalitˆ sono state realizzate.
34 LÕart. 12, lett. a), della direttiva prevede che gli Stati membri conferiscano alla persona interessata il diritto di accesso ai suoi dati personali nonchŽ alle informazioni sui destinatari o sulle categorie di destinatari di tali dati, senza stabilire un limite temporale.
35 I due articoli di cui trattasi sono quindi finalizzati alla tutela della persona interessata. Il giudice del rinvio vuole sapere se esista un nesso tra i due articoli nel senso che il diritto di accesso alle informazioni sui destinatari o sulle categorie di destinatari dei dati personali nonchŽ sul contenuto dei dati trasmessi potrebbe dipendere dalla durata della conservazione di tali dati.
36 Le osservazioni presentate alla Corte indicano opinioni divergenti in ordine allÕinterazione di queste due disposizioni.
37 Il College nonchŽ i governi dei Paesi Bassi, ceco, spagnolo e del Regno Unito sostengono che il diritto di accesso alle informazioni sui destinatari o sulle categorie di destinatari di cui allÕart. 12, lett. a), della direttiva sussiste solo per il presente, e non per il passato. Quando i dati sono stati cancellati, conformemente alla normativa nazionale, la persona interessata non pu˜ pi� avervi accesso. Tale conclusione non sarebbe in contrasto con la direttiva.
38 Il College e il governo dei Paesi Bassi sostengono quindi che lÕart. 103, n. 1, della Wet GBA, secondo cui il comune informa la persona, su sua richiesta, dei dati comunicati a destinatari nel corso dellÕanno precedente la sua richiesta, va oltre quanto prescritto dalla direttiva.
39 La Commissione e il governo ellenico sostengono, da parte loro, che la direttiva prevede il diritto dÕaccesso non solo per il presente, ma anche per il periodo precedente la richiesta di accesso. Essi hanno, tuttavia, opinioni divergenti in merito allÕesatta durata del diritto di accesso.
40 Al fine di valutare la portata del diritto di accesso che la direttiva deve rendere possibile, si deve, anzitutto, stabilire a quali dati faccia riferimento il diritto di accesso e considerare, poi, la finalitˆ dellÕart. 12, lett. a), della direttiva esaminata alla luce degli obiettivi di questÕultima.
41 In un caso come quello del sig. Rijkeboer entrano in gioco due categorie di dati.
42 La prima riguarda i dati a carattere privato detenuti dal comune su una persona, come il suo nome e il suo indirizzo, i quali costituiscono, nella fattispecie, dati di base. Dalle osservazioni orali presentate dal College e dal governo dei Paesi Bassi risulta che tali dati possono essere conservati per lungo tempo. Essi costituiscono Çdati personaliÈ ai sensi dellÕart. 2, lett. a), della direttiva, poichŽ si tratta di informazioni concernenti una persona fisica identificata o identificabile (v., in tal senso, sentenze 20 maggio 2003, cause riunite C-465/00, C-138/01 e C-139/01, …sterreichischer Rundfunk e a., Racc. pag. I-4989, punto 64; 6 novembre 2003, causa C-101/01, Lindqvist, Racc. pag. I-12971, punto 24, nonchŽ 16 dicembre 2008, causa C-524/06, Huber, non ancora pubblicata nella Raccolta, punto 43).
43 La seconda categoria comprende le informazioni sui destinatari o sulle categorie di destinatari cui tali dati di base vengono comunicati nonchŽ sul contenuto di questi ultimi e concerne, quindi, il trattamento dei dati di base. Secondo la normativa nazionale di cui alla causa principale, tali informazioni vengono conservate solo per un anno.
44 La limitazione temporale del diritto di accesso alle informazioni sul destinatario o sui destinatari dei dati personali nonchŽ sul contenuto dei dati trasmessi, su cui verte la causa principale, riguarda pertanto tale seconda categoria di dati.
45 Al fine di stabilire se lÕart. 12, lett. a), della direttiva autorizzi, o meno, una siffatta limitazione temporale, occorre interpretare tale articolo tenendo conto della sua finalitˆ esaminata alla luce degli obiettivi della direttiva.
46 Ai sensi dellÕart. 1 della direttiva, il suo obiettivo � tutelare le libertˆ e i diritti fondamentali delle persone fisiche, in particolare la loro vita privata, con riguardo al trattamento dei dati personali, e permettere, in tal modo, la libera circolazione dei dati tra gli Stati membri.
47 LÕimportanza della tutela della vita privata viene evidenziata dal secondo e dal terzo ÔconsiderandoÕ della direttiva e sottolineata nella giurisprudenza della Corte (v., in tal senso, citate sentenze …sterreichischer Rundfunk e a., punto 70, e Lindqvist, punti 97 e 99, nonchŽ sentenze 29 gennaio 2008, causa C-275/06, Promusicae, Racc. pag. I-271, punto 63, e 16 dicembre 2008, causa C-73/07, Satakunnan Markkinapšrssi e Satamedia, non ancora pubblicata nella Raccolta, punto 52).
48 Peraltro, come risulta dal venticinquesimo ÔconsiderandoÕ della direttiva, i principi di tale tutela devono trovare espressione, da un lato, negli obblighi a carico dei responsabili del trattamento, obblighi relativi, in particolare, alla qualitˆ dei dati – oggetto dellÕart. 6 della direttiva –, e, dallÕaltro, nel diritto delle persone, i cui dati sono oggetto di trattamento, di esserne informate, di poter accedere a tali dati e di poterne chiedere la rettifica, o di opporsi al trattamento in talune circostanze.
49 Tale diritto al rispetto della vita privata implica che la persona interessata possa assicurarsi che i suoi dati personali siano trattati in modo corretto e lecito, vale a dire, in particolare, che i dati di base che la riguardano siano corretti e vengano inviati a destinatari autorizzati. Come enunciato al quarantunesimo ÔconsiderandoÕ della direttiva, al fine di poter effettuare le necessarie verifiche,
la persona interessata deve disporre del diritto dÕaccesso ai dati che la riguardano che sono oggetto di trattamento.
50 A tal riguardo, lÕart. 12, lett. a), della direttiva prevede il diritto di accesso ai dati di base nonchŽ alle informazioni sui destinatari o sulle categorie di destinatari cui sono comunicati tali dati.
51 Tale diritto di accesso � necessario affinchŽ la persona interessata possa esercitare i diritti di cui allÕart. 12, lett. b) e c), della direttiva, ovvero, nel caso in cui il trattamento dei suoi dati non sia conforme a tale direttiva, quello di ottenere che il responsabile del trattamento rettifichi, cancelli o congeli i suoi dati [lett. b)], o che egli notifichi tale rettifica, cancellazione o congelamento ai terzi cui sono stati comunicati tali dati, se non si dimostra che ci˜ � impossibile o implica uno sforzo sproporzionato [lett. c)].
52 Tale diritto di accesso � anche necessario per consentire alla persona interessata lÕesercizio del diritto di opposizione al trattamento dei suoi dati personali di cui allÕart. 14 della direttiva o il diritto di agire in giudizio nel caso in cui subisca un pregiudizio previsto agli artt. 22 e 23 di questa.
53 Quanto al diritto di accesso alle informazioni sui destinatari o sulle categorie di destinatari dei dati di base nonchŽ sul contenuto dei dati comunicati, la direttiva non precisa se tale diritto riguardi il passato nŽ, eventualmente, il periodo nel passato di cui si tiene conto.
54 A tal riguardo occorre constatare che, al fine di garantire lÕeffetto utile delle disposizioni prese in considerazione ai punti 51 e 52 della presente sentenza, tale diritto deve necessariamente estendersi al passato. In caso contrario, infatti, la persona interessata non sarebbe in grado di esercitare efficacemente il suo diritto a fare rettificare, cancellare o congelare i dati ritenuti illeciti o non corretti nonchŽ a procedere giurisdizionalmente ed ottenere il risarcimento del pregiudizio sub“to.
55 Si rende necessario stabilire quale sia la portata di tale diritto per il passato.
56 La Corte ha giˆ affermato che le disposizioni della direttiva sono relativamente generiche, dato chÕessa deve applicarsi a un gran numero di situazioni molto diverse e che la direttiva contiene norme caratterizzate da una certa elasticitˆ che lascia in numerosi casi agli Stati membri il compito di decidere dei dettagli o di scegliere tra pi� opzioni (v. sentenza Lindqvist, cit., punto 83). La Corte ha cos“ riconosciuto che gli Stati membri disponevano sotto molti punti di vista di un margine di manovra al fine di trasporre la direttiva (v. sentenza Lindqvist, cit., punto 84). Tale margine di manovra, il quale sussiste relativamente alla trasposizione dellÕart. 12, lett. a), della direttiva, non � tuttavia illimitato.
57 La determinazione di un termine relativo al diritto di acceso alle informazioni sui destinatari o sulle categorie di destinatari e sul contenuto dei dati comunicati deve consentire alla persona interessata di esercitare i differenti diritti previsti dalla direttiva e ricordati ai punti 51 e 52 della presente sentenza.
58 La durata della conservazione dei dati di base pu˜ costituire un utile parametro senza, tuttavia, essere determinante.
59 Infatti, lÕambito di applicazione della direttiva � molto ampio, come la Corte ha giˆ dichiarato (v. citate sentenze …sterreichischer Rundfunk e a., punto 43, nonchŽ Lindqvist, punto 88), e i dati personali ricompresi dalla direttiva sono vari. La durata della conservazione di questi ultimi, definita ai sensi dellÕart. 6, n. 1, lett. e), della direttiva in funzione delle finalitˆ per le quali essi
sono rilevati o sono successivamente trattati, pu˜ quindi essere diversa. Qualora la durata della conservazione dei dati di base sia troppo lunga, lÕinteresse della persona interessata a valersi dei mezzi di intervento e delle possibilitˆ di agire in giudizio menzionati al punto 57 della presente sentenza pu˜, in taluni casi, affievolirsi. Se, ad esempio, i destinatari di tali dati sono numerosi o la frequenza delle comunicazioni ad un numero pi� ristretto di destinatari � elevata, lÕobbligo di conservare tanto a lungo le informazioni sui destinatari o sulle categorie di destinatari nonchŽ sul contenuto dei dati comunicati potrebbe comportare un onere eccessivo per il responsabile del trattamento.
60 Orbene, la direttiva non prescrive agli Stati membri di imporre oneri del genere al responsabile del trattamento.
61 LÕart. 12, lett. c), della direttiva prevede infatti espressamente una riserva allÕobbligo di questÕultimo di notificare la rettifica, la cancellazione o il congelamento ai terzi cui sono stati comunicati i dati, precisamente qualora si dimostri che � impossibile o implica uno sforzo sproporzionato.
62 Altri passaggi della direttiva indicano che si pu˜ tener conto del fatto che talune misure potrebbero essere sproporzionate. Quanto allÕobbligo di informare la persona interessata, il quarantesimo ÔconsiderandoÕ della direttiva dichiara che si possono prendere in considerazione il numero di persone interessate nonchŽ lÕantichitˆ dei dati. Ai sensi dellÕart. 17 della direttiva, relativo alla sicurezza del trattamento, inoltre, gli Stati membri prevedono che il responsabile del trattamento deve attuare misure tecniche ed organizzative tese a garantire un livello di sicurezza appropriato rispetto ai rischi presentati dal trattamento e alla natura dei dati da proteggere, tenuto conto delle attuali conoscenze in materia e dei costi della loro applicazione.
63 Analoghe considerazioni sono pertinenti in ordine alla determinazione di un termine per il diritto di accesso alle informazioni sui destinatari o sulle categorie di destinatari nonchŽ sul contenuto dei dati comunicati. In aggiunta alle considerazioni riportate al punto 57 della presente sentenza, gli Stati membri possono pertanto prendere in considerazione vari parametri, in particolare, le disposizioni del diritto nazionale applicabili in materia di termine per proporre un ricorso, la natura pi� o meno sensibile dei dati di base, la durata della conservazione di tali dati e il numero dei destinatari interessati.
64 Spetta cos“ agli Stati membri fissare il termine per la conservazione delle informazioni sui destinatari o sulle categorie di destinatari e sul contenuto dei dati comunicati e prevedere un accesso a tali informazioni che costituiscano un giusto equilibrio tra, da una parte, lÕinteresse della persona interessata a tutelare la propria vita privata, in particolare per mezzo dei diritti alla rettifica, alla cancellazione ed al congelamento dei dati, in caso di non conformitˆ del loro trattamento con la direttiva, nonchŽ del diritto di opposizione e del diritto ad agire in giudizio, e, dallÕaltra, lÕonere che lÕobbligo di conservare tali informazioni comporta per il responsabile del trattamento.
65 Peraltro, al momento della fissazione di tale termine, occorre anche tenere conto degli obblighi, risultanti dallÕart. 6, lett. e), della direttiva, di prevedere che i dati personali debbano essere conservati in modo da consentire lÕidentificazione delle persone interessate per un arco di tempo non superiore a quello necessario al conseguimento delle finalitˆ per le quali sono rilevati o sono successivamente trattati.
66 Nella fattispecie, una normativa che limiti la conservazione delle informazioni sui destinatari o sulle categorie di destinatari dei dati e sul contenuto dei dati trasmessi ad un periodo di un anno e che limiti in modo corrispondente lÕaccesso a tali informazioni, benchŽ i dati di base vengano
conservati molto pi� a lungo, non costituisce un giusto equilibrio tra lÕinteresse e lÕobbligo in questione, salvo che si dimostri che conservare tali informazioni pi� a lungo comporterebbe un onere eccessivo per il responsabile del trattamento. Spetta tuttavia al giudice nazionale effettuare le necessarie verifiche alla luce delle considerazioni svolte ai punti che precedono.
67 In considerazione di quanto giˆ osservato, non si pu˜ accettare lÕargomentazione di taluni Stati membri secondo la quale lÕapplicazione degli artt. 10 e 11 della direttiva renderebbe superflua lÕattribuzione di un diritto di accesso alle informazioni sui destinatari o sulle categorie di destinatari di cui allÕart. 12, lett. a), della direttiva per il passato.
68 Infatti, va rilevato che gli artt. 10 e 11 impongono obblighi al responsabile del trattamento, o al suo rappresentante, di informare la persona interessata, a determinate condizioni, in particolare dei destinatari o delle categorie di destinatari dei dati. Il responsabile del trattamento, o il suo rappresentante, devono comunicare spontaneamente tali informazioni alla persona interessata, segnatamente al momento della raccolta dei dati o, se i dati non vengono raccolti direttamente presso tale persona, al momento della registrazione dei dati o, eventualmente, al momento della comunicazione di tali dati a un terzo.
69 Tali disposizioni intendono quindi imporre obblighi distinti rispetto a quelli imposti dallÕart. 12, lett. a), della direttiva. Di conseguenza, essi non riducono in alcun modo lÕobbligo imposto agli Stati membri di prevedere che il responsabile del trattamento sia tenuto a dare alla persona interessata accesso alle informazioni sui destinatari o sulle categorie di destinatari nonchŽ sui dati comunicati qualora tale persona decida di esercitare il diritto di accesso che gli � conferito in forza dellÕart. 12, lett. a). Gli Stati membri devono adottare misure per trasporre le disposizioni, da una parte, degli artt. 10 e 11 della direttiva sullÕobbligo dÕinformazione e, dallÕaltra, quelle dellÕart. 12, lett. a), della direttiva, senza che le prime possano attenuare gli obblighi risultanti dalle seconde.
70 La questione sollevata deve, pertanto, essere risolta nel seguente modo:
– LÕart. 12, lett. a), della direttiva impone agli Stati membri di prevedere il diritto di accesso alle informazioni sui destinatari o sulle categorie di destinatari dei dati nonchŽ sul contenuto delle informazioni comunicate non solo per il presente, ma anche per il passato. Spetta agli Stati membri fissare il termine per la conservazione di tali informazioni nonchŽ il corrispondente accesso alle stesse che costituiscano un giusto equilibrio tra, da una parte, lÕinteresse della persona di cui trattasi a tutelare la propria vita privata, in particolare, tramite i mezzi di intervento e le possibilitˆ di agire in giudizio previste dalla direttiva, e, dallÕaltra, lÕonere che lÕobbligo di conservare tali informazioni comporta per il responsabile del trattamento.
– Una normativa che limiti la conservazione delle informazioni sui destinatari o sulle categorie di destinatari dei dati e sul contenuto dei dati trasmessi ad un periodo di un anno e che limiti in misura corrispondente lÕaccesso a tali informazioni, benchŽ i dati di base vengano conservati molto pi� a lungo, non pu˜ costituire un giusto equilibrio tra lÕinteresse e lÕobbligo in questione, salvo che si dimostri che conservare tali informazioni pi� a lungo comporterebbe un onere eccessivo per il responsabile del trattamento. Spetta tuttavia al giudice nazionale effettuare le necessarie verifiche.
LÕart. 12, lett. a), della direttiva del Parlamento europeo e del Consiglio 24 ottobre 1995, 95/46/CE, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonchŽ alla libera circolazione di tali dati, impone agli Stati membri di prevedere il diritto di accesso alle informazioni sui destinatari o sulle categorie di destinatari dei dati nonchŽ sul contenuto delle informazioni comunicate non solo per il presente, ma anche per il passato. Spetta agli Stati membri fissare il termine per la conservazione di tali informazioni nonchŽ il corrispondente accesso alle stesse che costituiscano un giusto equilibrio tra, da una parte, lÕinteresse della persona di cui trattasi a tutelare la propria vita privata, in particolare tramite i mezzi di intervento e le possibilitˆ di agire in giudizio previste dalla direttiva 95/46, e, dallÕaltra, lÕonere che lÕobbligo di conservare tali informazioni comporta per il responsabile del trattamento.
Una normativa che limiti la conservazione delle informazioni sui destinatari o sulle categorie di destinatari dei dati e sul contenuto dei dati trasmessi ad un periodo di un anno e che limiti in misura corrispondente lÕaccesso a tali informazioni, benchŽ i dati di base vengano conservati molto pi� a lungo, non pu˜ costituire un giusto equilibrio tra lÕinteresse e lÕobbligo in questione, salvo che si dimostri che conservare tali informazioni pi� a lungo comporterebbe un onere eccessivo per il responsabile del trattamento. Spetta tuttavia al giudice nazionale effettuare le necessarie verifiche.

References: Sentenza 
 art. 14
 sentenza 
 sentenza 
 art. 12
 sentenza 
 sentenza 
 sentenza