TUTELA DEI DATI PERSONALI
Corte di Giustizia UE: chiarimenti sui concetti di "trattamento basato su un obbligo legale" e di "categorie particolari di dati personali" ai sensi degli articoli 6.1(c) e 9 del GDPR.
La Corte di Giustizia dell'Unione Europea - nella Causa n. 184/20 - ha emanato una importante sentenza che chiarisce due importanti questioni relative al GDPR e alla protezione dei dati personali:
1. Quali sono le condizioni per trattare i dati in base ad un "obbligo legale" ai sensi dell'articolo 6, paragrafo 1, lettera c) del Regolamento 679/2016?
-2. Le disposizioni relative alle "categorie particolari" di dati personali (es: i dati relativi all'orientamento sessuale della persona fisica) riguardano, ad esempio, solo le informazioni che rivelano direttamente l'orientamento sessuale o anche le informazioni che lo rivelano indirettamente?
Il caso affrontato dalla Corte UE.
OT è il leader di un'organizzazione non governativa lituana impegnata nella protezione dell'ambiente che riceve finanziamenti dai fondi strutturali dell'UE. Tale soggetto non ha presentato la dichiarazione di interessi privati presso l'Alto Commissariato lituano per la prevenzione dei conflitti interesse nel servizio pubblico e di conseguenza quest'ultimo ha adottato una decisione in cui ha rilevato tale violazione.
Successivamente, OT ha proposto ricorso di annullamento dinanzi al tribunale amministrativo regionale lituano. Tale giurisdizione ha adito la Corte di Giustizia UE sulla questione della compatibilità della normativa lituana con il Regolamento Generale sulla protezione dei dati e con la Carta dei diritti fondamentali dell'Unione europea, in quanto la legge lituana in questione prevede la pubblicazione online - e dunque la diffusione pubblica - di parte del contenuto delle dichiarazioni di interessi privati dei dirigenti istituzioni beneficiarie di fondi pubblici. Inoltre, il tribunale amministrativo regionale lituano ha chiesto alla Corte di chiarire se la pubblicazione online del contenuto di una dichiarazione di interessi privati suscettibile di divulgare non direttamente ma indirettamente “dati di particolare natura" come quelli sui gusti e le abitudini sessuali (solo dedotti da altre informazioni divulgate) costituisce o meno trattamento di particolari categorie di dati personali soggetto all'articolo 9 del GDPR.
La decisione della CGUE.
Sul primo punto, e cioè circa le condizioni per trattare i dati in base ad un "obbligo legale" ai sensi dell'articolo 6, paragrafo 1, lettera c) del Regolamento 679/2016, la Corte ricorda che le limitazioni ai diritti fondamentali di cui agli articoli 7 e 8 della Cart fondamentale dell'UE (ivi incluse le limitazioni del diritto alla riservetzza e del diritto alla protezione della sfera privata) devono essere previste dalla legge e rispettare il contenuto essenziale dei diritti fondamentali nonché il principio di proporzionalità. Tali limitazioni, cioè, devono essere necessarie e rispondere effettivamente agli obiettivi di interesse pubblico riconosciuti dall'UE o alla necessità di proteggere i diritti e le libertà altrui. Le regole devono essere chiare e precise.
La Corte ricorda che il diritto dell'Unione fornisce un elenco esaustivo e restrittivo dei casi in cui il trattamento dei dati personali può considerarsi lecito.
Questo è il caso, in particolare, quando il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento. La Corte precisa che tale trattamento deve basarsi sul diritto dell'Unione o sul diritto dello Stato membro cui è soggetto il titolare del trattamento e che tale base giuridica deve soddisfare un obiettivo di interesse pubblico ed essere proporzionato allo scopo legittimo perseguito.
Al riguardo, la Corte rileva anzitutto che il trattamento dei dati personali ai sensi della legislazione della Lituania in materia di conciliazione degli interessi, nella misura in cui mira a garantire la prevalenza dell'interesse pubblico nell'assunzione di decisioni da parte di soggetti che operano nel pubblico servizio, per garantire l'imparzialità di queste decisioni e prevenire situazioni di conflitto di interessi nonché l'insorgere e la crescita della corruzione nel servizio pubblico, tende a soddisfare obiettivi di interesse generale riconosciuti dall'Unione. Il Tribunale rileva poi che il trattamento in questione appare idoneo a contribuire al raggiungimento degli obiettivi di interesse generale perseguito. Ricorda tuttavia che il provvedimento in questione deve anche soddisfare il requisito della necessità, che è soddisfatto quando l'obiettivo di interesse generale non può essere ragionevolmente raggiunto in tal modo efficace con altri mezzi meno invasivi dei diritti fondamentali degli interessati, particolare ai diritti al rispetto della vita privata e alla protezione dei dati personali.
La Corte precisa che deve sussistere anche la condizione relativa alla necessità del trattamento dei dati personali considerato congiuntamente al cosiddetto principio della “minimizzazione dei dati”.
La Corte ne deduce che solo i dati la cui pubblicazione online è effettivamente suscettibile di rafforzare il garanzie di probità e imparzialità dei pubblici ufficiali, per prevenire i conflitti di interesse e combattere la corruzione. la corruzione nel settore pubblico può essere soggetta al trattamento previsto dalle disposizioni nazionale in questione. In questo caso, la Corte ritiene che l'obbligo di divulgazione online di dati personali relativi al coniuge o partner di un amministratore di un istituto beneficiario di fondi pubblici, nonché di dati relativi a persone a lui vicine o a lui note che possono dar luogo a conflitto di interessi va al di là dello stretto necessario. La Corte aggiunge inoltre che non risulta neppure necessaria la pubblicazione sistematica online dell'elenco delle operazioni del dichiarante di valore superiore a 3.000 euro.
Infine, la Corte valuta la gravità dell'ingerenza in rapporto all'importanza dell'obiettivo di interesse generale perseguito, giungendo alla conclusione che, in questo caso, la pubblicazione online della maggior parte del i dati personali richiesti dalla normativa lituana non soddisfano i requisiti di una ponderazione equilibrata. Al riguardo, la Corte rileva, da un lato, che la lotta alla corruzione è di fondamentale importanza all'interno dell'Unione. D'altro canto, rileva che la divulgazione al pubblico, online, dei predetti dati è suscettibile di rivelazione informazioni su alcuni aspetti sensibili della vita privata degli interessati consentendo la ricostruzione ex post di profili particolarmente dettagliati accessibili su Internet a un numero potenzialmente illimitato di persone.
La Corte conclude così acclarando l'esistenza di una grave ingerenza nei diritti fondamentali al rispetto della vita privata e alla tutela della persona dati personali degli interessati.
Sul punto n. 2, poiché la legge lituana in esame richiedeva anche la pubblicazione del nome del partner del pubblico ufficiale, il giudice del rinvio ha ritenuto che ciò potesse rivelare informazioni sulla vita o sull'orientamento sessuale del funzionario e del suo partner. Il concetto di "categorie particolari" di dati personali deve essere interpretato in senso ampio, in particolare per garantire il raggiungimento dell'obiettivo di cui all'articolo 9, paragrafo 1, del GDPR. Un'interpretazione restrittiva priverebbe tale disposizione del suo effetto utile. Di conseguenza, l'articolo 9, paragrafo 1, del GDPR "non può essere interpretato nel senso che il trattamento di dati personali idonei a rivelare, indirettamente, informazioni sensibili riguardanti una persona fisica è esentato dal regime di protezione rafforzata previsto dall'articolo 9 GDPR.
In breve, poiché i nomi dei coniugi/partner potevano rivelare lo stesso sesso, la pubblicazione di tali dati personali costituiva un trattamento di dati che rivelavano l'orientamento sessuale.
1. Quali sono le condizioni per trattare i dati in base ad un "obbligo legale" ai sensi dell'articolo 6, paragrafo 1, lettera c) del Regolamento 679/2016?
-2. Le disposizioni relative alle "categorie particolari" di dati personali (es: i dati relativi all'orientamento sessuale della persona fisica) riguardano, ad esempio, solo le informazioni che rivelano direttamente l'orientamento sessuale o anche le informazioni che lo rivelano indirettamente?
Il caso affrontato dalla Corte UE.
OT è il leader di un'organizzazione non governativa lituana impegnata nella protezione dell'ambiente che riceve finanziamenti dai fondi strutturali dell'UE. Tale soggetto non ha presentato la dichiarazione di interessi privati presso l'Alto Commissariato lituano per la prevenzione dei conflitti interesse nel servizio pubblico e di conseguenza quest'ultimo ha adottato una decisione in cui ha rilevato tale violazione.
Successivamente, OT ha proposto ricorso di annullamento dinanzi al tribunale amministrativo regionale lituano. Tale giurisdizione ha adito la Corte di Giustizia UE sulla questione della compatibilità della normativa lituana con il Regolamento Generale sulla protezione dei dati e con la Carta dei diritti fondamentali dell'Unione europea, in quanto la legge lituana in questione prevede la pubblicazione online - e dunque la diffusione pubblica - di parte del contenuto delle dichiarazioni di interessi privati dei dirigenti istituzioni beneficiarie di fondi pubblici. Inoltre, il tribunale amministrativo regionale lituano ha chiesto alla Corte di chiarire se la pubblicazione online del contenuto di una dichiarazione di interessi privati suscettibile di divulgare non direttamente ma indirettamente “dati di particolare natura" come quelli sui gusti e le abitudini sessuali (solo dedotti da altre informazioni divulgate) costituisce o meno trattamento di particolari categorie di dati personali soggetto all'articolo 9 del GDPR.
La decisione della CGUE.
Sul primo punto, e cioè circa le condizioni per trattare i dati in base ad un "obbligo legale" ai sensi dell'articolo 6, paragrafo 1, lettera c) del Regolamento 679/2016, la Corte ricorda che le limitazioni ai diritti fondamentali di cui agli articoli 7 e 8 della Cart fondamentale dell'UE (ivi incluse le limitazioni del diritto alla riservetzza e del diritto alla protezione della sfera privata) devono essere previste dalla legge e rispettare il contenuto essenziale dei diritti fondamentali nonché il principio di proporzionalità. Tali limitazioni, cioè, devono essere necessarie e rispondere effettivamente agli obiettivi di interesse pubblico riconosciuti dall'UE o alla necessità di proteggere i diritti e le libertà altrui. Le regole devono essere chiare e precise.
La Corte ricorda che il diritto dell'Unione fornisce un elenco esaustivo e restrittivo dei casi in cui il trattamento dei dati personali può considerarsi lecito.
Questo è il caso, in particolare, quando il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento. La Corte precisa che tale trattamento deve basarsi sul diritto dell'Unione o sul diritto dello Stato membro cui è soggetto il titolare del trattamento e che tale base giuridica deve soddisfare un obiettivo di interesse pubblico ed essere proporzionato allo scopo legittimo perseguito.
Al riguardo, la Corte rileva anzitutto che il trattamento dei dati personali ai sensi della legislazione della Lituania in materia di conciliazione degli interessi, nella misura in cui mira a garantire la prevalenza dell'interesse pubblico nell'assunzione di decisioni da parte di soggetti che operano nel pubblico servizio, per garantire l'imparzialità di queste decisioni e prevenire situazioni di conflitto di interessi nonché l'insorgere e la crescita della corruzione nel servizio pubblico, tende a soddisfare obiettivi di interesse generale riconosciuti dall'Unione. Il Tribunale rileva poi che il trattamento in questione appare idoneo a contribuire al raggiungimento degli obiettivi di interesse generale perseguito. Ricorda tuttavia che il provvedimento in questione deve anche soddisfare il requisito della necessità, che è soddisfatto quando l'obiettivo di interesse generale non può essere ragionevolmente raggiunto in tal modo efficace con altri mezzi meno invasivi dei diritti fondamentali degli interessati, particolare ai diritti al rispetto della vita privata e alla protezione dei dati personali.
La Corte precisa che deve sussistere anche la condizione relativa alla necessità del trattamento dei dati personali considerato congiuntamente al cosiddetto principio della “minimizzazione dei dati”.
La Corte ne deduce che solo i dati la cui pubblicazione online è effettivamente suscettibile di rafforzare il garanzie di probità e imparzialità dei pubblici ufficiali, per prevenire i conflitti di interesse e combattere la corruzione. la corruzione nel settore pubblico può essere soggetta al trattamento previsto dalle disposizioni nazionale in questione. In questo caso, la Corte ritiene che l'obbligo di divulgazione online di dati personali relativi al coniuge o partner di un amministratore di un istituto beneficiario di fondi pubblici, nonché di dati relativi a persone a lui vicine o a lui note che possono dar luogo a conflitto di interessi va al di là dello stretto necessario. La Corte aggiunge inoltre che non risulta neppure necessaria la pubblicazione sistematica online dell'elenco delle operazioni del dichiarante di valore superiore a 3.000 euro.
Infine, la Corte valuta la gravità dell'ingerenza in rapporto all'importanza dell'obiettivo di interesse generale perseguito, giungendo alla conclusione che, in questo caso, la pubblicazione online della maggior parte del i dati personali richiesti dalla normativa lituana non soddisfano i requisiti di una ponderazione equilibrata. Al riguardo, la Corte rileva, da un lato, che la lotta alla corruzione è di fondamentale importanza all'interno dell'Unione. D'altro canto, rileva che la divulgazione al pubblico, online, dei predetti dati è suscettibile di rivelazione informazioni su alcuni aspetti sensibili della vita privata degli interessati consentendo la ricostruzione ex post di profili particolarmente dettagliati accessibili su Internet a un numero potenzialmente illimitato di persone.
La Corte conclude così acclarando l'esistenza di una grave ingerenza nei diritti fondamentali al rispetto della vita privata e alla tutela della persona dati personali degli interessati.
Sul punto n. 2, poiché la legge lituana in esame richiedeva anche la pubblicazione del nome del partner del pubblico ufficiale, il giudice del rinvio ha ritenuto che ciò potesse rivelare informazioni sulla vita o sull'orientamento sessuale del funzionario e del suo partner. Il concetto di "categorie particolari" di dati personali deve essere interpretato in senso ampio, in particolare per garantire il raggiungimento dell'obiettivo di cui all'articolo 9, paragrafo 1, del GDPR. Un'interpretazione restrittiva priverebbe tale disposizione del suo effetto utile. Di conseguenza, l'articolo 9, paragrafo 1, del GDPR "non può essere interpretato nel senso che il trattamento di dati personali idonei a rivelare, indirettamente, informazioni sensibili riguardanti una persona fisica è esentato dal regime di protezione rafforzata previsto dall'articolo 9 GDPR.
In breve, poiché i nomi dei coniugi/partner potevano rivelare lo stesso sesso, la pubblicazione di tali dati personali costituiva un trattamento di dati che rivelavano l'orientamento sessuale.
