Causa C‑230/14

Weltimmo s.r.o.

contro

Nemzeti Adatvédelmi és Információszabadság Hatóság

(domanda di pronuncia pregiudiziale

proposta dalla Kúria)

«Rinvio pregiudiziale – Tutela delle persone fisiche con riguardo al trattamento dei dati personali – Direttiva 95/46/CE – Articoli 4, paragrafo 1, e 28, paragrafi 1, 3 e 6 – Responsabile del trattamento formalmente stabilito in uno Stato membro – Violazione del diritto alla protezione dei dati personali con riguardo alle persone fisiche in un altro Stato membro – Determinazione del diritto applicabile e dell’autorità di controllo competente – Esercizio dei poteri dell’autorità di controllo – Potere sanzionatorio»

Massime – Sentenza della Corte (Terza Sezione) del 1° ottobre 2015

1.        Ravvicinamento delle legislazioni – Tutela delle persone fisiche con riguardo al trattamento dei dati personali – Direttiva 95/46 – Stabilimento di una società responsabile del trattamento dei dati – Nozione – Interpretazione elastica

(Direttiva del Parlamento europeo e del Consiglio 95/46, considerando 9)

2.        Ravvicinamento delle legislazioni – Tutela delle persone fisiche con riguardo al trattamento dei dati personali – Direttiva 95/46 – Società responsabile del trattamento dei dati in uno Stato membro diverso da quello in cui è registrata – Applicazione della legislazione di tale diverso Stato membro – Presupposto – Esercizio di un’attività effettiva e reale mediante un’organizzazione stabile – Criteri di valutazione

[Direttiva del Parlamento europeo e del Consiglio 95/46, art. 4, § 1, a)]

3.        Ravvicinamento delle legislazioni – Tutela delle persone fisiche con riguardo al trattamento dei dati personali – Direttiva 95/46 – Denuncia presentata all’autorità di controllo di uno Stato membro – Autorità di controllo che dichiara l’applicabilità della legislazione di un altro Stato membro per il trattamento di dati – Poteri di intervento di tale autorità – Limiti

(Direttiva del Parlamento europeo e del Consiglio 95/46, art. 28, § 1, 3, 4 e 6)

4.        Ravvicinamento delle legislazioni – Tutela delle persone fisiche con riguardo al trattamento dei dati personali – Direttiva 95/46 – Nozione di «adatfeldolgozás» (elaborazione dei dati) che figura nella versione ungherese – Portata

[Direttiva del Parlamento europeo e del Consiglio 95/46, art. 4, § 1, a), e 28, § 6]

1.        Dal considerando 19 della direttiva 95/46, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, consegue una concezione flessibile della nozione di stabilimento, che si discosta dall’impostazione formalistica secondo cui un’impresa sarebbe stabilita esclusivamente nel luogo in cui è registrata. Infatti, per determinare se una società, responsabile di un trattamento dei dati, dispone di uno stabilimento, ai sensi della direttiva 95/46, in uno Stato membro diverso dallo Stato membro o dal paese terzo in cui è registrata, occorre valutare sia il grado di stabilità dell’organizzazione sia l’esercizio effettivo delle attività in tale altro Stato membro, prendendo in considerazione la natura specifica delle attività economiche e delle prestazioni di servizi in questione. Ciò vale soprattutto per imprese che offrono servizi esclusivamente tramite Internet.

(v. punto 29)

2.        L’articolo 4, paragrafo 1, lettera a), della direttiva 95/46, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, deve essere interpretato nel senso che esso consente l’applicazione della legge in materia di protezione dei dati personali di uno Stato membro diverso da quello nel quale il responsabile del trattamento di tali dati è registrato, purché il medesimo svolga, tramite un’organizzazione stabile nel territorio di tale Stato membro, un’attività effettiva e reale, anche minima, nel contesto della quale si svolge tale trattamento.

Per determinare se ciò si verifichi, il giudice del rinvio può tener conto, in particolare, del fatto, da un lato, che l’attività del responsabile di detto trattamento, nell’ambito della quale il medesimo ha luogo, consiste nella gestione di siti Internet di annunci immobiliari riguardanti beni immobili situati nel territorio di tale Stato membro e redatti nella lingua di quest’ultimo e che essa, di conseguenza, è principalmente, ovvero interamente, rivolta verso detto Stato membro e, dall’altro, che tale responsabile ha un rappresentante in detto Stato membro, il quale è incaricato di recuperare i crediti risultanti da tale attività nonché di rappresentarlo nei procedimenti amministrativo e giudiziario relativi al trattamento dei dati interessati.

È, invece, inconferente la questione della cittadinanza delle persone interessate da tale trattamento dei dati.

(v. punto 41, dispositivo 1)

3.        Nell’ipotesi in cui l’autorità di controllo di uno Stato membro cui sia proposto un reclamo, ai sensi dell’articolo 28, paragrafo 4, della direttiva 95/46, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, giunga alla conclusione che il diritto applicabile al trattamento dei dati personali interessati non è il diritto di tale Stato membro, ma quello di un altro Stato membro, l’articolo 28, paragrafi 1, 3 e 6, di tale direttiva deve essere interpretato nel senso che tale autorità di controllo potrebbe esercitare i poteri effettivi d’intervento attribuitile in base all’articolo 28, paragrafo 3, di detta direttiva solamente nel territorio del suo Stato membro. Pertanto, essa non può imporre sanzioni sulla base del diritto di tale Stato membro nei confronti del responsabile del trattamento di tali dati che non è stabilito in tale territorio, ma, secondo l’articolo 28, paragrafo 6, della medesima direttiva, dovrebbe chiedere all’autorità di controllo dello Stato membro del quale si applica legge d’intervenire.

Infatti, dalle esigenze derivanti dalla sovranità territoriale dello Stato membro, dal principio di legalità e dalla nozione di Stato di diritto discende che il potere sanzionatorio non può essere esercitato, in linea di principio, al di fuori dei limiti legali entro cui un’autorità amministrativa è autorizzata ad agire, nel rispetto del diritto nazionale del suo Stato membro.

(v. punti 56, 60, dispositivo 2)

4.        La direttiva 95/46, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, deve essere interpretata nel senso che la nozione di «adatfeldolgozás» (elaborazione dei dati), utilizzata nella versione di tale direttiva in lingua ungherese, in particolare agli articoli 4, paragrafo 1, lettera a), e 28, paragrafo 6, della medesima, deve essere intesa in un significato identico a quello del termine «adatkezelés» (trattamento dei dati).

(v. punto 65, dispositivo 3)