CONCLUSIONI DELL'AVVOCATO GENERALE
DÁMASO RUIZ-JARABO COLOMER
presentate il 22 dicembre 2008 1(1)
Causa C‑553/07
College van burgemeester en wethouders van Rotterdam
contro
M.E.E. Rijkeboer
[domanda di pronuncia pregiudiziale proposta dal Raad van State (Paesi Bassi)]
«Protezione dati – Diritti fondamentali – Direttiva 95/46/CE – Diritto di accedere ai dati personali – Cancellazione – Comunicazione a terzi – Termine per l’esercizio del diritto di accesso – Principio di proporzionalità»
I – Introduzione
1. Il Raad van State (Consiglio di Stato dei Paesi Bassi) ha sottoposto alla Corte di giustizia una questione pregiudiziale che verte sull’interpretazione degli artt. 6 e 12 della direttiva 95/46/CE, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (2). La questione oggetto del rinvio si addentra in un terreno impervio: la cancellazione di dati personali detenuti da un’amministrazione comunale che sono stati trasferiti a terzi ed il conseguente diritto di accesso ai dati del trattamento.
2. In linea di principio, la distruzione dei dati costituisce un’azione a tutela dell’interessato. Tuttavia, essa comporta conseguenze diverse, giacché insieme ai files si perde anche la traccia del loro uso. Quindi, chi sembrava tutelato risulta al contempo danneggiato, poiché non verrà mai a sapere quale uso è stato fatto dei suoi dati personali da parte del detentore (3).
3. Con tale discussione di fondo, la Corte di giustizia deve stabilire se il termine previsto per eliminare i dati operi come limite temporale del diritto di accesso al trattamento. In tal caso, si dovrebbe acclarare se il periodo di un anno risulti sufficiente e proporzionato per salvaguardare i poteri contenuti nella direttiva 95/46.
II – Fatti
4. L’ordinanza di rinvio indica che il sig. Rijkeboer ha chiesto al College van burgemeester en wethouders van Rotterdam (giunta comunale di Rotterdam; in prosieguo: il «College») di fornirgli un elenco, proveniente dagli archivi dell’anagrafe comunale, delle comunicazioni a terzi dei dati che lo riguardavano realizzate negli ultimi due anni. Con decisioni del 27 e del 29 novembre 2005 il College ha parzialmente respinto la domanda del sig. Rijkeboer, fornendogli solamente i dati relativi all’anno precedente. Avverso la decisione dell’amministrazione comunale il sig. Rijkeboer ha proposto un ricorso amministrativo, anch’esso respinto in data 13 febbraio 2006.
5. Una volta esaurita la via amministrativa, il Rechtbank Rotterdam (tribunale di Rotterdam) ha accolto il ricorso del sig. Rijkeboer. Con sentenza 17 novembre 2006, il Rechtbank Rotterdam ha annullato la decisione amministrativa che aveva respinto alcune richieste dell’interessato, ordinando al College l’adozione di una nuova decisione.
6. Il 28 dicembre 2006 il College ha interposto appello dinanzi alla sezione per il contenzioso amministrativo del Raad van State, che, con ordinanza 5 dicembre 2007, ha sospeso il procedimento principale e sottoposto una questione pregiudiziale alla Corte di giustizia.
III – Ambito normativo
A – Normativa comunitaria
7. L’art. 6, nn. 1 e 2, UE enuncia nei seguenti termini il rispetto dei diritti fondamentali da parte dell’Unione:
«1. L’Unione si fonda sui principi di libertà, democrazia, rispetto dei diritti dell’uomo e delle libertà fondamentali e dello stato di diritto, principi che sono comuni agli Stati membri.
2. L’Unione rispetta i diritti fondamentali quali sono garantiti dalla Convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali, firmata a Roma il 4 novembre 1950, e quali risultano dalle tradizioni costituzionali comuni degli Stati membri, in quanto principi generali del diritto comunitario».
8. Il diritto fondamentale alla vita privata, quale principio generale del diritto comunitario, ha trovato espressione legislativa nella direttiva 95/46, relativa alla tutela delle persone fisiche riguardo al trattamento dei dati personali. Tale testo, i cui contenuti sono stati codificati dall’art. 8 della Carta dei diritti fondamentali dell’Unione europea, definisce la nozione di «dati» e ne ordina la cancellazione dopo che siano stati sottoposti a trattamento per un determinato arco di tempo. Al riguardo, gli artt. 2, lett. a), e 6, della citata direttiva dispongono quanto segue:
«Articolo 2
a) “dati personali”: qualsiasi informazione concernente una persona fisica identificata o identificabile (“persona interessata”); si considera identificabile la persona che può essere identificata, direttamente o indirettamente, in particolare mediante riferimento ad un numero di identificazione o ad uno o più elementi specifici caratteristici della sua identità fisica, fisiologica, psichica, economica, culturale o sociale;
(…)
Articolo 6
1. Gli Stati membri dispongono che i dati personali devono essere:
(…)
e) conservati in modo da consentire l'identificazione delle persone interessate per un arco di tempo non superiore a quello necessario al conseguimento delle finalità per le quali sono rilevati o sono successivamente trattati. Gli Stati membri prevedono garanzie adeguate per i dati personali conservati oltre il suddetto arco di tempo per motivi storici, statistici o scientifici».
9. Al fine di garantire la trasparenza del trattamento, gli artt. 10 e 11 della direttiva 95/46 stabiliscono alcuni obblighi di informazione nei confronti della persona interessata, che variano a seconda che i dati siano stati raccolti presso di essa o altrove. Il responsabile del trattamento assume, tra gli altri, i seguenti obblighi:
«Articolo 10
Informazione in caso di raccolta dei dati presso la persona interessata
Gli Stati membri dispongono che il responsabile del trattamento, o il suo rappresentante, debba fornire alla persona presso la quale effettua la raccolta dei dati che la riguardano almeno le informazioni elencate qui di seguito, a meno che tale persona ne sia già informata:
a) l'identità del responsabile del trattamento ed eventualmente del suo rappresentante;
b) le finalità del trattamento cui sono destinati i dati;
c) ulteriori informazioni riguardanti quanto segue:
– i destinatari o le categorie di destinatari dei dati,
– se rispondere alle domande è obbligatorio o volontario, nonché le possibili conseguenze di una mancata risposta,
– se esistono diritti di accesso ai dati e di rettifica in merito ai dati che la riguardano
nella misura in cui, in considerazione delle specifiche circostanze in cui i dati vengono raccolti, tali informazioni siano necessarie per effettuare un trattamento leale nei confronto della persona interessata.
Articolo 11
Informazione in caso di dati non raccolti presso la persona interessata
1. In caso di dati non raccolti presso la persona interessata, gli Stati membri dispongono che, al momento della registrazione dei dati o qualora sia prevista una comunicazione dei dati a un terzo, al più tardi all'atto della prima comunicazione dei medesimi, il responsabile del trattamento o il suo rappresentante debba fornire alla persona interessata almeno le informazioni elencate qui di seguito, a meno che tale persona ne sia già informata:
a) l'identità del responsabile del trattamento ed eventualmente del suo rappresentante,
b) le finalità del trattamento,
c) ulteriori informazioni riguardanti quanto segue:
– le categorie di dati interessate,
– i destinatari o le categorie di destinatari dei dati,
– se esiste un diritto di accesso ai dati e di rettifica in merito ai dati che la riguardano,
nella misura in cui, in considerazione delle specifiche circostanze in cui i dati vengono raccolti, tali informazioni siano necessarie per effettuare un trattamento leale nei confronti della persona interessata.
(…)».
10. Gli interessati possono accertarsi che sia fatto un buon uso dei dati esercitando il cosiddetto “diritto di accesso”, che viene definito a tratti generali dall’articolo12 della direttiva 95/46. Ai fini della presente causa, rileva la prima ipotesi contemplata da tale articolo:
«Articolo 12
Diritto di accesso
Gli Stati membri garantiscono a qualsiasi persona interessata il diritto di ottenere dal responsabile del trattamento:
a) liberamente e senza costrizione, ad intervalli ragionevoli e senza ritardi o spese eccessivi:
– la conferma dell'esistenza o meno di trattamenti di dati che la riguardano, e l'informazione almeno sulle finalità dei trattamenti, sulle categorie di dati trattati, sui destinatari o sulle categorie di destinatari cui sono comunicati i dati;
– la comunicazione in forma intelligibile dei dati che sono oggetto dei trattamenti, nonché di tutte le informazioni disponibili sull'origine dei dati;
– la conoscenza della logica applicata nei trattamenti automatizzati dei dati che lo interessano, per lo meno nel caso delle decisioni automatizzate di cui all'articolo 15, paragrafo 1;.
(…)».
11. L’obbligo di cancellazione, al pari del diritto di accesso, può essere limitato dagli Stati membri, nei casi elencati all’art. 13 della direttiva 95/46:
«Articolo 13
1. Gli Stati membri possono adottare disposizioni legislative intese a limitare la portata degli obblighi e dei diritti previsti dalle disposizioni dell'articolo 6, paragrafo 1, dell'articolo 10, dell'articolo 11, paragrafo 1 e degli articoli 12 e 21, qualora tale restrizione costituisca una misura necessaria alla salvaguardia:
a) della sicurezza dello Stato;
b) della difesa;
c) della pubblica sicurezza;
d) della prevenzione, della ricerca, dell'accertamento e del perseguimento di infrazioni penali o di violazioni della deontologia delle professioni regolamentate;
e) di un rilevante interesse economico o finanziario di uno Stato membro o dell'Unione europea, anche in materia monetaria, di bilancio e tributaria;
f) di un compito di controllo, ispezione o disciplina connesso, anche occasionalmente, con l'esercizio dei pubblici poteri nei casi di cui alle lettere c), d) ed e);
g) della protezione della persona interessata o dei diritti e delle libertà altrui.
(…)».
B – Contesto normativo nazionale
12. L’ordinamento olandese ha trasposto la direttiva 95/46 con un testo generale, la Wet bescherming persoonsgegevens (legge relativa alla protezione dei dati personali). Nel presente procedimento pregiudiziale, la detta legge nazionale ha carattere sussidiario, poiché in ambito locale vige una normativa speciale, la Wet gemeentelijke basisadministratie persoonsgegevens (legge sulla gestione dei dati personali da parte delle amministrazioni comunali). L’art. 103, n. 1, di quest’ultima legge delinea le condizioni alle quali il singolo può accedere all’informazione relativa al trattamento dei suoi dati:
«Articolo 103
1. Su richiesta dell’interessato, il College van burgemeester en wethouders comunica per scritto a quest’ultimo, entro quattro settimane, se dati provenienti dall’amministrazione comunale che lo riguardano siano stati trasmessi ad un acquirente o a un terzo nell’anno precedente la richiesta.
(…)».
IV – Questione pregiudiziale
13. Il 12 dicembre 2007 è pervenuta nella cancelleria della Corte di giustizia la domanda di pronuncia pregiudiziale del Raad van State, in cui si formula la seguente questione:
«Se la limitazione, prevista dalla legge, della comunicazione dei dati all’anno precedente la relativa richiesta sia compatibile con l’art. 12, parte iniziale, lett. a), della direttiva del Parlamento europeo e del Consiglio 24 ottobre 1995, 95/46/CE, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, eventualmente interpretato in combinato disposto con l’art. 6, n. 1, lett. e), della citata direttiva e con il principio di proporzionalità».
14. Hanno presentato osservazioni, entro il termine stabilito dall’art. 23 dello Statuto CE della Corte di giustizia, il College, i governi dei Paesi Bassi, del Regno Unito, della Repubblica ellenica, della Repubblica ceca e del Regno di Spagna, nonché la Commissione.
15. All’udienza del 20 novembre 2008 sono comparsi per esporre le loro osservazioni orali i rappresentanti legali del College e del sig. Rijkeboer, nonché gli agenti dei governi dei Paesi Bassi, della Repubblica ceca, del Regno di Spagna, del Regno Unito nonché della Commissione europea.
V – Delimitazione della questione che forma oggetto della discussione
16. Il presente procedimento pregiudiziale solleva diversi interrogativi di una qualche complessità concettuale. Essenzialmente si vuole sapere se possa esistere un termine specifico per cancellare l’informazione relativa al trattamento dei dati personali. Cancellando tali dati in applicazione della direttiva 95/46 si esclude il diritto di accesso, giacché non si può richiedere un’informazione che non esiste più. Di conseguenza, la discussione verte su una restrizione all’esercizio di un potere, anch’essa espressamente prevista dalla direttiva 95/46. Siffatta tensione tra cancellazione e accesso rivela un contrasto intrinseco del testo normativo in questione, sul quale deve pronunciarsi la Corte di giustizia.
17. Occorre quindi stabilire se le informazioni sul trattamento meritino o possano meritare un regime identico a quello dei dati personali. Si deve inoltre chiarire se il termine di cancellazione debba operare in ogni caso come un limite del diritto di accesso. Tali dubbi devono essere sciolti all’interno di un contesto fattuale e normativo piuttosto confuso, poiché il Raad van State non ha indicato se il termine previsto per la cancellazione dei dati del trattamento sia uguale o inferiore al termine stabilito per i dati personali. Occorre pertanto analizzare entrambe le ipotesi, al fine di fornire una risposta utile all’organo remittente.
VI – Una discussione preliminare: la ponderazione degli interessi alla luce dei diritti fondamentali dell’Unione
A – Il diritto fondamentale alla vita privata e la sua evoluzione in ambito comunitario
18. L’Unione europea, conformandosi ai dettami della sua Carta costituzionale (4), rispetta i diritti fondamentali, sulla cui tutela vigila la Corte di giustizia (5). Dopo vari lustri di un’evoluzione giurisprudenziale avviata con la sentenza Stauder (6) e Internationale Handelsgesellschaft (7), gli Stati membri hanno conferito pieno valore al carattere strutturale di tali diritti approvando l’art. F dell’Atto unico europeo, in seguito divenuto l’art. 6 UE. Tale disposizione dichiara che l’Unione rispetta i diritti fondamentali quali sono garantiti dalla Convenzione europea per la salvaguardia dei diritti dell’uomo (in prosieguo: la «CEDU») (8) e quali risultano dalle tradizioni costituzionali comuni degli Stati membri.
19. Il rispetto della privacy si inserisce in tali tradizioni. A partire dalla lontana sentenza Stauder (9), la giurisprudenza ha inquadrato la difesa della vita privata tra i principi generali del diritto comunitario. In un primo momento, ha operato tale inserimento in relazione all’esame dell’adempimento dell’obbligo di fornire dati, come il nome (10) o le informazioni sanitarie (11), sul piano nazionale (12) e comunitario (13). Poco tempo dopo, nel corso degli anni novanta, la Corte di giustizia ha affermato l’incidenza di tale diritto nell’ambito della vita privata (14) e familiare (15).
20. Il 1995 ha comportato una svolta con l’adozione della direttiva 95/46, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati. La giurisprudenza della Corte di giustizia, fino a quel momento sporadica e casistica, ha trovato un pilastro più solido per le sue decisioni, poiché la direttiva delimita con precisione l’oggetto (16), i soggetti (17) e i possibili rimedi a disposizione del singolo allorché vengono messe in circolazione informazioni che lo riguardano (18). Il decimo ‘considerando’ del preambolo esprime la vocazione della direttiva 95/46 come strumento inteso a garantire la tutela dei diritti fondamentali riconosciuti dalla CEDU e dai principi generali del diritto comunitario (19). La sentenza Österreichischer Rundfunk ha confermato che la direttiva 95/46, pur avendo come obiettivo principale quello di garantire la libera circolazione dei dati personali, svolge altresì un’importante funzione a garanzia dei diritti fondamentali (20).
21. In definitiva, la direttiva 95/46 sviluppa il diritto fondamentale al rispetto della vita privata, nella sua dimensione afferente al trattamento automatizzato dei dati personali (21).
22. A riprova di tale opera di codificazione basta segnalare che l’art. 8 della Carta dei diritti fondamentali dell’Unione europea (22), dedicato alla «protezione dei dati di carattere personale», sancisce il diritto alla [riservatezza] e al trattamento dei dati personali secondo il principio di lealtà, riconoscendo altresì il diritto dell’individuo di accedere ai detti dati e di ottenerne la rettifica. Nonostante la necessaria cautela con cui deve essere applicata la Carta (23), mi pare difficile ignorare le sue disposizioni e negare che tali elementi del diritto formino parte integrante delle tradizioni costituzionali comuni degli Stati membri (24). Tale considerazione si rafforza rammentando che sono trascorsi più di dieci anni dall’adozione della direttiva 95/46, essendo stata nel frattempo raggiunta un’efficace armonizzazione in materia (25).
23. In particolare, la Carta, all’art. 8, pone in evidenza due aspetti che riguardano la presente controversia. Entrambi sono riflessi negli artt. 6 e 12 della direttiva 95/46; da un lato, l’obbligo di cancellazione dei dati entro un arco di tempo non superiore a quello necessario al conseguimento delle finalità per cui sono stati raccolti [art. 6, n. 1, lett. e)]; e, dall’altro, il diritto di accedere liberamente all’informazione sui destinatari cui sono comunicati i dati [art. 12, lett. a)]. Poiché la Carta ha accolto tali aspetti integrandoli al «carattere essenziale» del diritto fondamentale alla vita privata, la questione pregiudiziale posta dal Raad van State esige una ponderazione dei diritti e degli interessi in gioco, al fine di dare una risposta razionale che inserisca tali principi nell’assetto costituzionale corrispondente (26).
24. In via preliminare, nel descrivere le chiavi interpretative della direttiva 95/46, occorre studiare la componente teleologica di quest’ultima, per stabilire quale sia l’interesse preminente.
B – Il diritto fondamentale alla vita privata e le sue tensioni interne
25. Il procedimento in esame non riguarda due diritti fondamentali ma due facce di una stessa medaglia. A differenza dei casi in cui si trovano a collidere, per esempio, il diritto all’onore e la libertà di informazione o il diritto alla vita privata ed il diritto di proprietà, nel caso presente si discute di due obblighi che incombono ai pubblici poteri: l’obbligo di prevedere termini per la distruzione degli archivi contenenti dati personali e l’obbligo di garantire l’accesso alle persone interessate. Tale peculiarità allontana la vicenda del sig. Rijkeboer da quelle sulle quali la Corte di giustizia si è pronunciata in passato, come i casi Lindqvist (27) o Promusicae (28), in cui la tutela della vita privata era in conflitto, rispettivamente, con il diritto alla libertà di culto e il diritto di proprietà (29). Nel caso presente esiste invece un unico diritto, che reca in seno un’intima contraddizione, poiché si sdoppia in due anime che lo trasformano in una specie di Dr. Jeckyl e Mr. Hyde; infatti, come dimostro nei paragrafi successivi, nella sua duplice essenza convivono la bontà ed una fredda e calcolata crudeltà.
26. La conservazione di dati da parte dei responsabili del trattamento è un onere a scadenza, poiché la direttiva 95/46 impone l’obbligo di conservare i dati per un arco di tempo non superiore a quello necessario al conseguimento delle sue finalità o di quelle per le quali i dati sono stati ulteriormente trattati. Con tale rigore si esprime l’art. 6, che lascia gli Stati membri liberi di stabilire i termini pertinenti in funzione dei settori e degli obiettivi sui quali si basa la creazione e la successiva distruzione degli archivi. Nonostante la flessibilità conferita dalla detta disposizione ad ogni singolo ordinamento nazionale, l’art. 13 della direttiva 95/46 ammette deroghe alla summenzionata regola, autorizzando la conservazione dei dati per un periodo più lungo del normale, qualora tale misura sia necessaria per la salvaguardia degli interessi generali, come la sicurezza dello Stato, la lotta alla criminalità o la ricerca scientifica.
27. Non menzionando tale circostanza, il preambolo della direttiva 95/46 non conferisce maggiore importanza ai limiti della conservazione dei dati. Pertanto, solo gli artt. 6 e 12 si occupano di tale obbligo e, alla luce del generoso margine discrezionale che la direttiva 95/46 attribuisce agli Stati membri, ritengo che il legislatore comunitario non si sia concentrato su tale aspetto, il che peraltro è dimostrato dal fatto che la regolamentazione di quest’ultimo è messa in rapporto con quella del diritto di accesso (30).
28. Il fatto che la persona interessata possa trattare i dati, nonché chiedere la loro rettifica, cancellazione o blocco, costituisce uno degli aspetti fondamentali della direttiva 95/46. Il trentottesimo ed il quarantesimo ‘considerando’ esprimono tale concetto, non solo confermando l’importanza del diritto di accesso, ma anche presupponendo un nesso tra le informazioni di cui dispone l’interessato e il loro trattamento. Infatti, affinché le facoltà riconosciute dall’art. 12 siano praticabili, si deve tener conto di una serie di principi fondamentali, poiché, in caso contrario, le garanzie offerte da tale disposizione rimarrebbero vuote. Il quarantunesimo ‘considerando’ della direttiva esprime tale concetto con grande chiarezza, stabilendo che «una persona deve godere del diritto d'accesso ai dati che la riguardano e che sono oggetto di trattamento, per poter verificare, in particolare, la loro esattezza e la liceità» del trattamento (31). In tale contesto, mantengono tutto il loro significato i cosiddetti «principi relativi alla qualità dei dati», enunciati nel capo II, prima sezione, della direttiva 95/46, tra i quali figura anche l’obbligo di conservarli per un arco di tempo «non superiore a quello necessario al conseguimento delle finalità» per le quali sono stati raccolti. L’obbligo di distruggere gli archivi si inquadra nell’obbligo di trattare le informazioni «lealmente e lecitamente», e altresì in quello di garantirne la qualità, affinché i dati risultino adeguati, pertinenti, non eccedenti le finalità ed esatti (32).
C – Il carattere sussidiario dell’art. 6 rispetto all’art. 12 della direttiva 95/46
29. Sono cosciente della difficoltà inerente al tentativo di individuare un interesse prioritario tra gli artt. 6 e 12 della direttiva 95/46. Vi sono buone ragioni per ritenere che la cancellazione sia la chiave del sistema istituito dalla direttiva 95/46, nell’ambito del quale viene tutelato il diritto di accesso che permette al singolo di vigilare sull’esecuzione della cancellazione dei dati. Analogamente, il diritto alla tutela della vita privata prende corpo nell’art. 12, poiché l’accesso costituisce la vera dimensione soggettiva della direttiva che, in sostanza, consente all’individuo di reagire in difesa dei suoi interessi.
30. In tale contesto, non posso evitare di rammentare il vecchio dilemma dell’uovo e della gallina. Quale dei due è nato prima? Possiamo vivere eternamente con questa domanda riconoscendo che non esiste una soluzione, perché i due concetti sono realtà eterne, come scriveva Aristotele? (33)
31. Diversamente dal filosofo, il giudice non gode della libertà di pensiero di quest’ultimo e deve adoperarsi per fornire una risposta, benché non sempre risulti essere la più appropriata. Di conseguenza, alla stregua degli scienziati che si sono cimentati nella sempiterna battaglia tra uova e galline (34), sono incline a proporre una soluzione del conflitto tra gli artt. 6 e 12 della direttiva 95/46.
32. Da quanto esposto nei paragrafi 29‑35 di queste conclusioni deduco che all’interno della direttiva 95/46 si osserva una subordinazione dell’obbligo di cancellazione rispetto al diritto di accesso. Tali disposizioni conferiscono un diritto che nasce con la preparazione dell’archivio e muore con la sua cancellazione. Pertanto la distruzione dei dati è solo un momento della vita del diritto di accesso, una caratteristica che condiziona e giustifica l’art. 12.
33. Approfondendo tale linea di ragionamento ci si convince che il diritto di accesso mira a far sí che la persona interessata conosca le informazioni che la riguardano. Inoltre, tale analisi si approfondisce ulteriormente se si indaga sulla finalità delle ricerche dell’interessato. In molti casi, il titolare del diritto di accesso vuole verificare la legalità del trattamento dei suoi dati. La direttiva 95/46 impone ai responsabili del trattamento alcuni principi da rispettare nell’esercizio della loro attività, ma insiste altresì sui meccanismi di tutela, tra i quali si colloca il diritto di accesso, come strumento a disposizione del titolare dell’informazione per vigilare e per garantire il rispetto dell’ordinamento.
34. Infatti, l’art. 12, quale asse del sistema di garanzie predisposto dalla direttiva 95/46, sarebbe irrazionale se coloro che possiedono dati altrui fossero svincolati da qualsiasi norma. Come ha correttamente rilevato la Commissione all’udienza, proprio perché esistono principi riguardo al trattamento dei dati (art. 6) si costruisce il diritto di accesso (35), che si erge a colonna portante della citata direttiva, come emerge dall’art. 12 allorché insiste sul particolare «senza costrizione» (36). Dato il carattere garantista della direttiva 95/46, che concentra tutte le sue priorità nella tutela delle persone interessate, è evidente che l’obbligo di conservazione è ausiliario rispetto al diritto di accesso. La solida vocazione soggettiva della direttiva, unitamente all’intento di salvaguardare diritti di carattere fondamentale (nel caso di specie, il diritto alla vita privata), corrobora tale tesi, collocando gli interessi sottesi all’art. 6 su un livello normativo inferiore.
35. Tale argomento è confermato dall’economia dell’art. 8 della Carta dei diritti fondamentali dell’Unione europea, il cui valore ermeneutico è fuori discussione (37), che colloca il diritto di accesso nel primo paragrafo. Subito dopo, il n. 2 enuncia i principi relativi al trattamento dei dati, mantenendo tuttavia lo stesso ordine gerarchico, in cui assume priorità il diritto della persona interessata rispetto alle responsabilità dell’utilizzatore dei dati.
36. Con tale prospettiva come premessa, e richiamando l’attenzione della Corte di giustizia sulla dimensione soggettiva della direttiva 95/46, che riconosce un potere speciale dell’art. 12 rispetto all’art. 6, procedo ad esaminare la questione posta dal Consiglio di Stato dei Paesi Bassi.
VII – Dati personali e dati relativi al trattamento
37. Come ho indicato ai paragrafi 16 e 17 di queste conclusioni, occorre studiare separatamente due ipotesi, la cui applicazione dipende dalle circostanze di ciascun caso, analizzando la liceità del termine, da un lato, quando sia più breve di quello previsto per i dati principali e, dall’altro, quando il termine per accedere ai dati del trattamento sia uguale a quello previsto per l’accesso ai dati principali. Nel primo caso, si deve stabilire se la direttiva ammetta tale indipendenza delle vie di accesso, in base al tipo di dato richiesto. Nel secondo caso, sorge la difficoltà di precisare se sia consentito l’accesso successivamente alla cancellazione dei dati.
38. Per risolvere correttamente la questione del Raad van State è indispensabile stabilire in via preliminare se i termini di cancellazione debbano essere applicati indistintamente a tutti i dati, inclusi quelli relativi al trattamento, o se possano differenziarsi in funzione della tipologia dei dati personali richiesti. Esiste una differenza sostanziale a seconda dei fini perseguiti da ciascuna categoria di informazioni.
39. All’udienza, il governo della Repubblica ellenica e la Repubblica ceca hanno fatto presente che ciascuna tipologia di dati persegue una finalità diversa. È quindi opportuno spiegare i vantaggi e gli inconvenienti legati a tale ragionamento, nonché le conseguenze di una sua applicazione al caso che ci occupa.
40. La distruzione dei dati personali mira a tutelare l’interessato, poiché, eliminando l’informazione, estirpa ogni rischio di trattamento illecito. Il fatto che la direttiva 95/46 non fissi un termine all’art. 6 risponde ad una certa logica, poiché ciascun archivio è funzionale ai propri obiettivi e in base al principio di sussidiarietà il legislatore nazionale è il soggetto che si trova nella posizione migliore per decidere entro quale arco di tempo i responsabili del trattamento devono procedere alla distruzione dei dati. Tuttavia, l’eliminazione dei dati relativi al trattamento svolge funzioni diverse, in quanto non protegge l’interessato; quest’ultimo infatti perde le tracce dell’informazione senza esercitare il diritto di accesso, perché i dati rilevanti non sono più detenuti dal responsabile, con il risultato che beneficiano di tale cancellazione i terzi destinatari dei dati, la cui identità e le cui intenzioni sono state cancellate.
41. Tale impostazione pone in rilievo le difficoltà concettuali latenti nella presente procedimento. È pur vero che si può riconoscere una differenza tra la cancellazione dei dati e la cancellazione delle informazioni relative al trattamento (38). Le due operazioni riguardano infatti diritti diversi e funzioni autonome che la direttiva 95/46 disciplina separatamente. Tuttavia, tale impostazione, portata ai suoi estremi, provoca conseguenze poco desiderabili. In primo luogo, una siffatta diseguaglianza non è espressamente accolta dalla direttiva 95/46, poiché l’art. 6 si occupa della cancellazione in toto dei dati, laddove l’art. 12, pur elencando vari tipi di informazione, non lo fa con l’intento di diversificarle, ma per dare un contenuto al diritto di accesso (39). In secondo luogo, il diritto di accesso è concepito per essere esercitato «senza costrizioni», essendo inteso in senso ampio. Come accenno più avanti, si può delimitare l’intensità della tutela di tale diritto a seconda delle circostanze, ma la formulazione dell’art. 12 esclude l’esistenza di un accesso di prima e di seconda classe. In terzo luogo, come hanno posto in rilievo, all’udienza, la Commissione, il Regno di Spagna e il Regno Unito, le due suddette tipologie di dati costituiscono un insieme tecnologico, vengono abitualmente trattati negli stessi archivi e la loro gestione congiunta non comporta un onere particolarmente gravoso per i responsabili del trattamento.
42. Pertanto, escludo che i dati relativi al trattamento abbiano una vita ed un regime giuridico autonomi. Questo tipo di informazione riguarda i dati personali sottoposti a trattamento, in quanto spiega le modalità e le condizioni in cui sono stati trattati, ciò che mi porta a ritenere che essa formi parte integrante della definizione comunitaria di «dati» ai sensi dell’art. 2, lett. a), della direttiva 95/46. Per immaginare una risposta utile per l’organo remittente, tale affermazione deve essere modulata alla luce dei casi che ho indicato ai paragrafi 16 e 17 di queste conclusioni.
VIII – Primo caso: un termine più breve per la cancellazione dei dati relativi al trattamento
43. La questione posta dal Raad van State sembra riferirsi al seguente caso: la normativa olandese prevede una conservazione dei dati personali per un periodo prolungato, ma prevede altresì un termine più breve, di un anno, per procedere alla cancellazione dei dati relativi al trattamento. Tuttavia, l’ordinanza di rinvio non fornisce dettagli sui dati in discussione nella causa principale, ragione per cui mi azzardo a suggerire la prima risposta tenendo presente tale ipotesi.
44. Per i motivi esposti nei paragrafi 37 e 42 di queste conclusioni, ritengo che la direttiva 95/46 non abbia stabilito una distinzione tra dati personali e dati relativi al trattamento. Essendo consapevole delle difficoltà di archiviazione che deriverebbero dall’accoglimento di tale tesi, considero che il termine di cancellazione di cui all’art. 6 della direttiva 95/46 sia il medesimo per entrambi i tipi di dati. Sebbene la finalità della cancellazione cambi in funzione del dato, mi risulta difficile immaginare regimi diversi basati su una separazione così artificiale, soprattutto allorché si decide di un diritto fondamentale.
45. Come ho accennato nei precedenti paragrafi 29‑35, la direttiva in parola riconosce una priorità del diritto di accesso, al quale sono subordinati gli oneri di cancellazione. Al fine di conseguire tale obiettivo, tanto i dati personali quanto quelli relativi al trattamento ottengono una maggiore protezione se vengono conservati per un periodo identico.
46. Talvolta i dati rimangono archiviati per un lungo periodo; ma tale durata sarebbe giustificata dall’interesse generale, che varrebbe altresì per prolungare la vita dei dati relativi al trattamento. Nei casi in cui la durata della conservazione dei dati risulti insostenibile, perché gli archivi rivestono un’utilità storica, statistica o scientifica, la direttiva 95/46 richiede agli Stati membri di adottare misure specifiche che adeguino l’impiego di tali archivi alle circostanze che giustificano siffatta conservazione prolungata (40). È pertanto necessario predisporre altre misure che garantiscano la tutela della persona interessata, pur adattandole all’uso dei dati per fini storici o culturali di cui all’art. 6, lett. e), della direttiva 95/46.
47. Inoltre, come il College ha segnalato nelle osservazioni scritte e confermato all’udienza, esistono ulteriori limitazioni del detto obbligo di applicare termini comuni per la conservazione dei dati relativi al trattamento e dei dati personali. L’esempio fornito dal College mi sembra calzante riguardo alla protezione delle informazioni relative ai terzi, che, a loro volta, beneficerebbero della tutela predisposta dalla direttiva 95/46, senza che per questo si debba privare del tutto di tutela il titolare originario delle informazioni trasmesse. Tale limitazione implica che, esclusivamente rispetto ai dati personali del destinatario, il titolare originario è sottoposto alle stesse limitazioni di ogni altro cessionario agli effetti della direttiva 95/46.
48. Di conseguenza, se i dati personali e i dati relativi al trattamento rimangono soggetti ad un periodo di cancellazione comune, non sarebbe necessario valutare la proporzionalità del termine di un anno previsto dalla normativa olandese. Se il periodo di conservazione dei dati personali fosse più ampio di quello previsto per i dati relativi al trattamento, la risposta alla questione pregiudiziale terminerebbe qui.
49. Nell’ipotesi di un diverso contesto normativo della causa principale, la soluzione della questione sarebbe diversa, sempreché vi fosse una coincidenza tra i detti termini e il titolare dei dati reclamasse l’accesso ad informazioni precedentemente distrutte.
IX – Seconda ipotesi: un termine di cancellazione comune per entrambe le tipologie di dati
A – La formulazione letterale dell’art. 12 della direttiva 95/46
50. Il Regno di Spagna, la Repubblica ceca e i Paesi Bassi sostengono che l’art. 12 conferma il nesso tra l’accesso e l’eliminazione dei dati imposta dall’art. 6, facendo riferimento alla lett. a), secondo comma, di detto articolo. Tale disposizione impone agli Stati membri di garantire a qualsiasi persona interessata «il diritto di ottenere dal responsabile del trattamento la comunicazione in forma intelligibile dei dati che sono oggetto dei trattamenti, nonché di tutte le informazioni disponibili sull'origine dei dati». Da tale formulazione si desume che la direttiva 95/46 riduce la portata del diritto di accesso ai dati oggetto del trattamento, escludendo l’accesso allorché la richiesta viene inoltrata dopo che sia terminato il trattamento, cioè a dire, dopo la cancellazione dei dati. Tale interpretazione viene corroborata dal confronto tra le diverse versioni linguistiche, che differiscono per l’intensità con cui indicano il carattere temporaneo e fisso del diritto.
51. Tale argomento non è convincente, giacché, anche se la versione inglese si riferisce ai dati «undergoing processing» (41), la versione in lingua spagnola risulta leggermente più ambigua. Riconosco che un’interpretazione rigorosa di tale enunciato sarebbe più coerente con l’obbligo di cancellazione sancito dall’art. 6. Tuttavia, non ritengo che tale confronto apporti alcun elemento determinante, soprattutto quando esistono buone ragioni, come spiego infra, per derogare alla lettera dell’art. 12 (42).
52. Non condivido neppure la posizione del Regno di Spagna, secondo cui si dovrebbe aggiungere un’ulteriore eccezione all’art. 12, che si sommerebbe a quelle previste dall’art. 13 della direttiva 95/46 (43). Dopo aver riconosciuto che l’accesso sarebbe limitato ai dati oggetto del trattamento di cui trattasi, il governo spagnolo ritiene che alle limitazioni di cui all’art. 13 se ne aggiungerebbe un’altra, tacita, il cui tenore sarebbe desumibile dal citato obbligo di cui all’art. 6 della direttiva 95/46. Tale spiegazione non mi convince e dà un appoggio sostanziale alla tesi cui si contrappone: se l’art. 13 raggruppa le eccezioni ad un ampio diritto di accesso, le eccezioni, in quanto tali, devono ricevere un’interpretazione restrittiva. Se non si può ammettere una deroga «generosa» a tali limitazioni, ancor meno si può tollerare la creazione ex novo di ulteriori categorie.
53. In definitiva, il tenore letterale delle dette norme mi porta ad escludere una valutazione riduttiva del diritto di accesso. Tali ragioni non indurrebbero a concepire un termine unico, giacché, in base alla gerarchia interna della direttiva 95/46, il diritto di accesso prevale sull’obbligo di cancellazione. Infatti, la distruzione dell’archivio costituisce un limite dell’accesso, che mantiene la propria liceità solo a condizione che vengano rispettate determinate garanzie. Vale a dire che si può subordinare l’esercizio del diritto di accesso (per esempio, con l’adozione di un termine), purché la persona interessata sia stata tutelata con altri mezzi. Altrimenti, i termini di cancellazione risulterebbero illeciti in quanto ostacolano il diritto di accesso, il che non significa che si debba discriminare l’informazione e obbligare i responsabili a conservare eternamente i dati relativi al trattamento, ma, al contrario, che il termine di cancellazione deve essere prorogato in modo tale da assicurare l’accesso.
54. Considero pertanto che il termine per la distruzione dei dati costituisca di per sé una restrizione del diritto di cui all’art. 12 della direttiva 95/46. Tuttavia, tale termine può violare quest’ultima disposizione qualora renda eccessivamente difficile il conseguimento degli obiettivi da essa perseguiti.
B – Un’eccezione alla regola: l’informazione dell’interessato
55. Per le suesposte ragioni, ritengo che il termine di cancellazione funga da freno all’esercizio del diritto di accesso, benché esistano circostanze in cui si crea uno sfasamento tra il termine della cancellazione e quello del diritto di accesso. Con l’impiego della parola sfasamento, intendo la possibilità che il tempo risulti proporzionato per la cancellazione ma sproporzionato per l’accesso e viceversa. Sono cosciente delle complicazioni pratiche di tale approccio, ma questa conseguenza può verificarsi in un contesto molto particolare, allorquando l’interessato non è stato sufficientemente informato dei suoi diritti.
56. Si giunge a tale conclusione qualora, in linea con gli argomenti esposti dalla Repubblica ellenica e dalla Commissione, venga individuata una carenza di informazione a danno del titolare dei dati. Per spiegare tale ipotesi, occorre ricordare che gli artt. 10 e 11 della direttiva 95/46 introducono l’obbligo di comunicare e di chiedere alla persona interessata una serie di informazioni e/o di autorizzazioni, compresa l’informazione relativa alla trasmissione dei dati a terzi; tale obbligo è stabilito in termini generici, attribuendo a ciascuno Stato membro un ampio margine discrezionale. Il modo in cui i singoli ordinamenti nazionali hanno definito i detti obblighi condiziona la risposta da fornire in casi analoghi a quello presente. Nulla osta a che si riconosca che la persona che non è stata informata, prima della trasmissione dei dati, dell’identità del destinatario e dei termini per esercitare il proprio diritto di accesso, meriti un livello di tutela elevato (44). Tale corollario discende dalla prevalenza che la direttiva 95/46 riconosce al diritto soggettivo del titolare dei dati, il cui limite deve essere concepito in modo tale da garantire l’esercizio del diritto medesimo anche dopo che sia avvenuta la cancellazione dei dati.
57. In alcuni casi, l’applicazione di questa dottrina comporta che il procedimento sfoci in una decisione cui non è possibile dare esecuzione. Se il College ha distrutto d’ufficio tutti i dati del sig. Rijkeboer anteriori all’ultimo anno, il reclamo dell’interessato potrebbe cadere in un sacco bucato. È ovvio che il Comune di Rotterdam non è in grado di fornire ciò che non ha più. È possibile che tale inconveniente colpisca altri ordinamenti nazionali, ma solo per l’arco di tempo necessario per adeguare al diritto comunitario la normativa nazionale non conforme. Tuttavia, nel frattempo, all’interessato rimane pur sempre da esperire una via, quella della responsabilità patrimoniale dello Stato per inadempimento degli obblighi europei. In mancanza di una decisione che possa soddisfare pienamente il singolo, tali norme garantiscono per lo meno un risarcimento pecuniario, il cui riconoscimento spetta ai giudici nazionali (45).
58. In definitiva, tale caso deve essere risolto, usando un’espressione statunitense, con un hard look nell’ottica della proporzionalità (46), se il Raad van State avverte che nel procedimento principale vi è stata una carenza di informazione. In tali casi, diventa imprescindibile prevedere che il termine per la cancellazione dei dati non operi automaticamente come barriera al diritto di accesso. Il controllo di proporzionalità si esprimerebbe nel suo massimo grado di protezione, potendo difficilmente giustificare un termine così breve come quello di un anno.
59. Sulla base di tali premesse, concordo con chi considera la cancellazione dei dati e il diritto di accesso come elementi di un’unica realtà e, pertanto, come un’unità rispetto alla definizione dei rispettivi termini. La cancellazione di cui all’art. 6 della direttiva 95/46 contempla ogni elemento informativo, compresi i dati sulle comunicazioni a terzi. Di conseguenza, la limitazione temporale per l’eliminazione dei dati funziona, indirettamente, anche come un termine di valutazione del diritto di accesso. Separare una categoria di dati dall’altra ai fini dell’accesso significa operare una distinzione che è assente dalla direttiva 95/46, la cui efficacia sul piano pratico, oltretutto, non è evidente (47).
60. Tale ipotesi ammette eccezioni laddove vi sia scarsa trasparenza al momento di comunicare all’interessato i suoi diritti. In tali circostanze, il termine ultimo per effettuare la cancellazione deve essere esteso, al fine di salvaguardare il diritto di accesso.
C – Il termine di un anno e il principio di proporzionalità
61. La legislazione olandese prevede un regime speciale per il trattamento dei dati personali detenuti dalle amministrazioni comunali, all’interno del quale si evidenzia, per quanto qui interessa, il termine di un anno per la distruzione dei dati. Ho già esposto i motivi per cui tale termine deve essere esaminato applicando congiuntamente sia l’art. 6 che l’art. 12 della direttiva 95/46. Devo ora verificare la compatibilità del detto termine con il principio di proporzionalità, la cui applicabilità costituisce un presupposto delle citate disposizioni, poiché entrambe danno senso ad un diritto fondamentale.
62. I governi del Regno Unito, del Regno di Spagna e della Repubblica ceca hanno concentrato tutti i loro sforzi nel giustificare le difficoltà inerenti all’esigenza di garantire il diritto di accesso quando sono stati cancellati i dati. Con tale premessa, essi non hanno prestato molta attenzione al termine di cui trattasi; tuttavia, il governo greco ed il College, nelle loro osservazioni scritte, esaminano le implicazioni del termine previsto dalla normativa olandese alla luce della direttiva 95/46 e del principio di proporzionalità. A parere della Repubblica ellenica e della Commissione, tale periodo risulterebbe eccessivamente breve e, pertanto, inconciliabile con l’ordinamento comunitario. In sua difesa, il College adduce la legittimità del termine in questione, invocando le peculiarità del sistema olandese, che compensa la brevità del termine medesimo con altre precauzioni miranti a proteggere il titolare dei dati.
63. Prima di esaminare la proporzionalità del detto termine nazionale, occorre richiamare alcuni criteri generali, giacché la Corte di giustizia ha avuto modo di esaminare termini simili in altre occasioni. Dalla giurisprudenza emerge un approccio variabile e dipendente dal contesto di ciascun caso, variando l’intensità del controllo in funzione delle circostanze (48). Nel caso di un’eventuale lesione di un diritto fondamentale, la legittimità del termine stabilito per il suo esercizio deve essere valutata con estremo scrupolo (49). Anche così, tale controllo dipende da numerosi fattori.
64. Come ho anticipato nei paragrafi 55‑60 di queste conclusioni, è necessario ponderare il livello dell’informazione ricevuta dal titolare dei dati durante il trattamento di questi ultimi, essendo possibile enunciare i seguenti criteri.
65. Ai sensi degli artt. 10 e 11 della direttiva, l’interessato ha il diritto di ricevere una serie di informazioni, tra le quali si evidenzia l’identità dei «destinatari o le categorie di destinatari dei dati (…), nella misura in cui, in considerazione delle specifiche circostanze in cui i dati vengono raccolti, tali informazioni siano necessarie per effettuare un trattamento leale nei confronto della persona interessata». Le due disposizioni si differenziano a seconda che i dati siano stati raccolti presso la stessa persona interessata ovvero da altre fonti, benché in entrambi i casi sia previsto l’obbligo di comunicare le informazioni relative alla trasmissione dei dati a terzi.
66. Il legislatore nazionale gode di un ampio potere discrezionale quanto alla definizione dell’obbligo imposto dai citati artt. 10 e 11, ma tali disposizioni hanno lo scopo di avvisare l’interessato che i suoi dati sono stati ceduti, per offrirgli l’opportunità, qualora lo desideri, di accedere al trattamento e di controllare che esso si svolga in conformità dei principi enunciati all’art. 6 della direttiva 95/46. Tuttavia, il modo di avvisare cambia a seconda delle circostanze, e spetta al giudice del rinvio verificare se l’ordinamento olandese nonché la corrispondente prassi seguita dall’amministrazione comunale rispettino gli obblighi imposti dagli artt. 10 e 11 della direttiva. Sarebbe utile sapere se il sig. Rijkeboer era stato avvertito della comunicazione dei suoi dati a terzi e se era stato informato del termine di un anno concesso dalla legge per far valere il proprio diritto di accesso. Gli Stati membri non sono tenuti a comunicare il detto termine, giacché un obbligo in tal senso non è previsto dagli artt. 10 e 11 (50). Ciononostante, nel valutare la durata di tale termine, è molto importante accertare che questo dettaglio sia stato comunicato alla persona interessata. In caso contrario, sarebbe difficile ammettere che un termine così breve come un anno, in mancanza di ulteriori spiegazioni da parte del responsabile del trattamento, risulti conforme al principio di proporzionalità, e quindi alla direttiva 95/46.
67. Analogamente, riveste particolare importanza il tipo di informazione trasmessa, poiché come riconosce la direttiva, i dati che devono essere comunicati possono includere non solo l’identità dei destinatari, ma anche «le categorie di destinatari». Questa seconda eventualità implica che gli elenchi trasmessi possono non indicare chi ha avuto accesso agli archivi, mettendo l’interessato in una posizione sfavorevole per l’esercizio del proprio diritto di accesso. Spetta al giudice nazionale stabilire in quale misura il sig. Rijkeboer sia stato informato circa i destinatari della cessione e le condizioni in cui è avvenuta. Nell’ambito del suddetto esame, il controllo di proporzionalità del termine deve essere particolarmente rigoroso, qualora risulti che non è stata comunicata l’identità dei terzi, giacché il titolare dei dati può temere che il trattamento non sia conforme ai principi di cui all’art. 6.
68. Infine, sarebbe necessario stabilire alcune regole sull’onere della prova. Il sig. Rijkeboer, in quanto titolare di un diritto fondamentale, ha dovuto esperire la via del procedimento giurisdizionale per indagare sul trattamento dei suoi dati personali (51). La conformità alla direttiva 95/46 dipende da una serie di elementi casistici, che traggono origine dalla stessa legge nazionale e dalla prassi dell’amministrazione comunale. Il sig. Rijkeboer ha avviato un procedimento invocando il proprio diritto fondamentale, ma non dovrebbe avere l’onere di dimostrare le carenze dell’ordinamento del suo paese in materia, poiché il tenore della direttiva 95/46 induce a pensare, in linea con quanto ho esposto nei precedenti paragrafi 29‑35 di queste conclusioni, che il diritto di accesso abbia carattere prioritario e che qualsiasi eccezione debba essere ponderata con estrema cautela. Perciò, essendo la dimensione soggettiva delle norme comunitarie privilegiata rispetto alla protezione dei dati, è compito del responsabile di tali dati dimostrare che il contesto giuridico e la prassi corrente in materia di trattamento dei dati personali offrono garanzie tali da giustificare un termine tanto breve come quello di un anno per l’esercizio del diritto di cui all’art. 12 della direttiva 95/46.
69. Nelle osservazioni presentate in questo procedimento pregiudiziale, il College ha fornito alcuni indizi al riguardo. La legislazione nazionale ha istituito un sistema di pesi e contrappesi («checks and balances», secondo l’espressione testuale del College) che associa il diritto di accesso a determinate garanzie, come i limiti dei destinatari, il vincolo, in alcuni casi, delle finalità specifiche, la previa autorizzazione dell’interessato e un meccanismo di controllo di cui è responsabile un’autorità indipendente. Inoltre, secondo quanto adduce il College, alla persona interessata viene comunicato il termine di un anno, in forma sia individuale che collettiva (tramite Internet o opuscoli a disposizione dei vicini) (52).
70. Sono cosciente delle ripercussioni che questo caso può comportare per i responsabili degli archivi soggettati alla direttiva in parola. Tuttavia, il valore preminente attribuito alla tutela del singolo mi induce a conciliare la difesa dei diritti con una gestione efficace degli archivi. Di conseguenza, gli artt. 6 e 12 della direttiva 95/46 dovrebbero essere interpretati nel senso che sono incompatibili con il termine di un anno concesso per l’esercizio del diritto di accesso ai dati relativi al trattamento, sempreché:
– l’interessato non sia stato informato della cessione;
– oppure, ne sia stato informato ma non gli sia stata comunicata la durata del termine;
– oppure ne sia stato informato ma non abbia ricevuto informazioni sufficienti circa l’identità dei destinatari.
71. Con un diritto fondamentale a rischio, il College deve dimostrare che le norme nazionali e la prassi amministrativa assicurano un livello adeguato di informazione dell’interessato, che consenta a quest’ultimo di esercitare, senza restrizioni, il proprio diritto di accesso.
72. Spetta al Raad van State, alla luce dei criteri appena suggeriti, degli elementi di fatto e di diritto che gli sono stati forniti, tanto nel presente procedimento pregiudiziale quanto nella causa principale, applicare gli artt. 6 e 12 della direttiva 95/46 in base alle spiegazioni date nei paragrafi 70 e 71 di queste conclusioni.
X – Conclusione
73. In base a tutte le considerazioni che precedono, suggerisco alla Corte di giustizia di risolvere la questione pregiudiziale posta dal Raad van State dichiarando che:
«I dati relativi al trattamento, inclusi quelli attinenti alla trasmissione di dati a terzi, sono dati personali ai sensi dell’art. 2, lett. a), della direttiva del Parlamento europeo e del Consiglio 24 ottobre 1995, 95/46/CE, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati. Per assicurare l’effetto utile della direttiva 95/46, il termine per la cancellazione applicabile ai dati relativi al trattamento coincide con quello previsto per i dati personali, facendo salvi i diritti i diritti e gli obblighi che la citata direttiva conferisce ai terzi cessionari dei dati.
Gli artt. 6 e 12 della citata direttiva 95/46 sono incompatibili con il termine di un anno stabilito per l’esercizio del diritto di accesso ai dati relativi al trattamento, sempreché:
– l’interessato non sia stato informato della cessione dei dati;
– oppure, ne sia stato informato ma non gli sia stata comunicata la durata del termine;
– oppure ne sia stato informato ma non abbia ricevuto informazioni sufficienti circa l’identità dei destinatari;
Spetta al responsabile del trattamento provare che le norme nazionali e la prassi amministrativa assicurano un livello adeguato di informazione dell’interessato, che consenta a quest’ultimo di esercitare senza restrizioni il proprio diritto di accesso».