SENTENZA DELLA CORTE (Terza Sezione)
7 maggio 2009 (*)
«Tutela delle persone fisiche con riguardo al trattamento dei dati personali – Direttiva 95/46/CE – Tutela della vita privata – Cancellazione dei dati – Diritto di accesso ai dati ed alle informazioni sui destinatari dei dati – Termine per l’esercizio del diritto di accesso»
Nel procedimento C‑553/07,
avente ad oggetto la domanda di pronuncia pregiudiziale proposta alla Corte, ai sensi dell’art. 234 CE, dal Raad van State (Paesi Bassi) con decisione 5 dicembre 2007, pervenuta in cancelleria il 12 dicembre 2007, nella causa
College van burgemeester en wethouders van Rotterdam
contro
M. E. E. Rijkeboer,
LA CORTE (Terza Sezione),
composta dal sig. A. Rosas, presidente di sezione, dai sigg. A. Ó Caoimh, J. Klučka, U. Lõhmus e dalla sig.ra P. Lindh (relatore), giudici,
avvocato generale: sig. D. Ruiz-Jarabo Colomer
cancelliere: sig.ra M. Ferreira, amministratore principale
vista la fase scritta del procedimento e in seguito all’udienza del 20 novembre 2008,
considerate le osservazioni presentate:
– per il College van burgemeester en wethouders van Rotterdam, dall’avv. R. de Bree, advocaat;
– per il sig. M. E. E. Rijkeboer, dal sig. W. van Bentem, juridisch adviseur;
– per il governo dei Paesi Bassi, dalle sig.re C. M. Wissels e C. ten Dam, in qualità di agenti;
– per il governo ceco, dal sig. M. Smolek, in qualità di agente;
– per il governo ellenico, dalle sig.re E.‑M. Mamouna e V. Karra, in qualità di agenti;
– per il governo spagnolo, dal sig. M. Muñoz Pérez, in qualità di agente;
– per il governo del Regno Unito, dalle sig.re Z. Bryanston‑Cross e H. Walker, in qualità di agenti, assistite dal sig. J. Stratford, barrister;
– per la Commissione delle Comunità europee, dai sigg. R. Troosters e C. Docksey, in qualità di agenti,
sentite le conclusioni dell’avvocato generale, presentate all’udienza del 22 dicembre 2008,
ha pronunciato la seguente
Sentenza
1 La domanda di pronuncia pregiudiziale verte sull’interpretazione dell’art. 12, lett. a), della direttiva del Parlamento europeo e del Consiglio 24 ottobre 1995, 95/46/CE, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU L 281, pag. 31; in prosieguo: la «direttiva»).
2 Tale domanda è stata presentata nell’ambito di una controversia tra il sig. Rijkeboer e il College van burgemeester en wethouders van Rotterdam (giunta comunale di Rotterdam; in prosieguo: il «College») in merito al parziale rifiuto di quest’ultimo di dargli accesso alle informazioni sulla comunicazione dei suoi dati personali a terzi nel corso dei due anni precedenti alla sua richiesta d’informazioni.
Contesto normativo
La normativa comunitaria
3 Il secondo ed il decimo ‘considerando’ della direttiva, relativi ai diritti ed alle libertà fondamentali, così dichiarano:
«(2) considerando che i sistemi di trattamento dei dati sono al servizio dell’uomo; che essi, indipendentemente dalla nazionalità o dalla residenza delle persone fisiche, debbono rispettare le libertà e i diritti fondamentali delle stesse, in particolare la vita privata, e debbono contribuire al progresso economico e sociale, allo sviluppo degli scambi nonché al benessere degli individui;
(…)
(10) considerando che le legislazioni nazionali relative al trattamento dei dati personali hanno lo scopo di garantire il rispetto dei diritti e delle libertà fondamentali, in particolare del diritto alla vita privata, riconosciuto anche dall’articolo 8 della Convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali e dai principi generali del diritto comunitario (...)».
4 Ai sensi del venticinquesimo ‘considerando’ della direttiva, i principi della tutela delle persone si esprimono, da un lato, nei vari obblighi a carico delle persone responsabili del trattamento, obblighi relativi in particolare alla qualità dei dati, e, dall’altro, nel diritto delle persone, i cui dati sono oggetto di trattamento, di esserne informate, di poter accedere ai dati e di poterne chiedere la rettifica, o di opporsi al trattamento in talune circostanze.
5 Il quarantesimo ‘considerando’ della direttiva, relativo all’obbligo d’informare la persona interessata qualora i dati non siano stati raccolti presso di lei, dichiara che tale obbligo non è previsto se dare tale informazione risulta impossibile o implica uno sforzo eccessivo e che in questo caso si può tener conto del numero di persone interessate, dell’antichità dei dati e delle eventuali misure di compensazione.
6 Ai sensi del quarantunesimo ‘considerando’ della direttiva una persona deve godere del diritto d’accesso ai dati che la riguardano e che sono oggetto di trattamento, per poter verificare, in particolare, la loro esattezza e la liceità del trattamento.
7 L’art. 1, intitolato «Oggetto della direttiva», ha la seguente formulazione:
«1. Gli Stati membri garantiscono, conformemente alle disposizioni della presente direttiva, la tutela dei diritti e delle libertà fondamentali delle persone fisiche e particolarmente del diritto alla vita privata, con riguardo al trattamento dei dati personali.
2. Gli Stati membri non possono restringere o vietare la libera circolazione dei dati personali tra Stati membri, per motivi connessi alla tutela garantita a norma del paragrafo 1».
8 La nozione di «dati personali» viene definita all’art. 2, lett. a), della direttiva come qualsiasi informazione concernente una persona fisica identificata o identificabile («persona interessata»).
9 Per «trattamento di dati personali» l’art. 2, lett. b), della direttiva intende:
«qualsiasi operazione o insieme di operazioni compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali, come la raccolta, la registrazione, l’organizzazione, la conservazione, l’elaborazione o la modifica, l’estrazione, la consultazione, l’impiego, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, nonché il congelamento, la cancellazione o la distruzione».
10 Secondo l’art. 2, lett. d), della direttiva, il «responsabile del trattamento» è la persona fisica o giuridica, l’autorità pubblica, il servizio o qualsiasi altro organismo che, da solo o insieme ad altri, determina le finalità e gli strumenti del trattamento di dati personali.
11 L’art. 2, lett. g), della direttiva definisce il «destinatario» come la persona fisica o giuridica, l’autorità pubblica, il servizio o qualsiasi altro organismo che riceve comunicazione di dati, che si tratti o meno di un «terzo», quale definito all’art. 2, lett. f), della direttiva.
12 L’art. 6 della direttiva enuncia i principi attinenti alla qualità dei dati. Quanto alla conservazione dei dati, il suo n. 1, lett. e), prevede che gli Stati membri dispongono che i dati personali debbano essere «conservati in modo da consentire l’identificazione delle persone interessate per un arco di tempo non superiore a quello necessario al conseguimento delle finalità per le quali sono rilevati o sono successivamente trattati. Gli Stati membri prevedono garanzie adeguate per i dati personali conservati oltre il suddetto arco di tempo per motivi storici, statistici o scientifici».
13 Gli artt. 10 e 11 della direttiva determinano quali informazioni il responsabile del trattamento dei dati, o il suo rappresentante, deve fornire alla persona interessata in caso, rispettivamente, di dati raccolti presso di lei ovvero di dati non raccolti presso di lei.
14 L’art. 12 della direttiva, intitolato «Diritto di accesso», è così formulato:
«Gli Stati membri garantiscono a qualsiasi persona interessata il diritto di ottenere dal responsabile del trattamento:
a) liberamente e senza costrizione, ad intervalli ragionevoli e senza ritardi o spese eccessivi:
– la conferma dell’esistenza o meno di trattamenti di dati che la riguardano, e l’informazione almeno sulle finalità dei trattamenti, sulle categorie di dati trattati, sui destinatari o sulle categorie di destinatari cui sono comunicati i dati;
– la comunicazione in forma intelligibile dei dati che sono oggetto dei trattamenti, nonché di tutte le informazioni disponibili sull’origine dei dati;
– la conoscenza della logica applicata nei trattamenti automatizzati dei dati che l[a] interessano, per lo meno nel caso delle decisioni automatizzate di cui all’articolo 15, paragrafo 1;
b) a seconda dei casi, la rettifica, la cancellazione o il congelamento dei dati il cui trattamento non è conforme alle disposizioni della presente direttiva, in particolare a causa del carattere incompleto o inesatto dei dati;
c) la notificazione ai terzi, ai quali sono stati comunicati i dati, di qualsiasi rettifica, cancellazione o congelamento, effettuati conformemente alla lettera b), se non si dimostra che è impossibile o implica uno sforzo sproporzionato».
15 L’art. 13, n. 1, della direttiva, intitolato «Deroghe e restrizioni», autorizza gli Stati membri a derogare in particolare ai suoi artt. 6 e 12, ove sia necessario per la salvaguardia di determinati interessi pubblici tra cui la sicurezza dello Stato, la difesa, il perseguimento di infrazioni penali nonché altri interessi, ossia la protezione della persona interessata o dei diritti e delle libertà altrui.
16 La direttiva prevede al suo art. 14 che gli Stati membri riconoscono alla persona interessata il diritto di opporsi, in determinate circostanze, a che dati che la riguardano siano oggetto di trattamento.
17 Secondo l’art. 17, n. 1, secondo comma, della direttiva, gli Stati membri dispongono che il responsabile del trattamento debba attuare misure tecniche ed organizzative che devono garantire, tenuto conto delle attuali conoscenze in materia e dei costi dell’applicazione, un livello di sicurezza appropriato rispetto ai rischi presentati dal trattamento e alla natura dei dati da proteggere.
18 Ai sensi degli artt. 22 e 23, n. 1, della direttiva, gli Stati membri stabiliscono che chiunque possa disporre di un ricorso giurisdizionale in caso di violazione dei diritti garantitigli dalle disposizioni nazionali applicabili al trattamento in questione e che chiunque subisca un danno cagionato da un trattamento illecito o da qualsiasi altro atto incompatibile con le disposizioni nazionali di attuazione della direttiva abbia il diritto di ottenere il risarcimento del pregiudizio subìto dal responsabile del trattamento.
La normativa nazionale
19 La direttiva è stata trasposta nell’ordinamento olandese con un testo generale, la legge relativa alla protezione dei dati personali (Wet bescherming persoonsgegevens). Leggi specifiche sono state, inoltre, adattate al fine di tenere conto della direttiva. Questo è il caso della legge di cui trattasi nella causa principale, vale a dire la legge sulla gestione dei dati personali da parte dei comuni (Wet gemeentelijke basisadministratie persoonsgegevens, Stb. 1994, n. 494; in prosieguo: la «Wet GBA»).
20 L’art. 103, n. 1, della Wet GBA prevede che la giunta comunale comunichi per iscritto all’interessato, su richiesta di quest’ultimo, entro quattro settimane, i dati che lo riguardano provenienti dall’amministrazione comunale, che siano stati trasmessi ad un ente amministrativo o a un terzo nel corso dell’anno precedente la richiesta.
21 Ai sensi dell’art. 110 della Wet GBA, la giunta comunale conserva menzione di tale comunicazione nell’anno successivo alla comunicazione dei dati, salvo che tale comunicazione risulti in altro modo dalla banca dati.
22 Dalle osservazioni scritte del College emerge che i dati conservati dal comune riguardano in particolare il nome, la data di nascita, il codice di identificazione amministrativa, il codice socio-fiscale, il comune d’iscrizione, l’indirizzo e la data d’iscrizione al comune, lo stato civile, la curatela, la potestà su minori, la cittadinanza e il permesso di soggiorno degli stranieri.
Causa principale e questione pregiudiziale
23 Con lettera del 26 ottobre 2005, il sig. Rijkeboer ha chiesto al College di informarlo di tutti i casi in cui informazioni che lo riguardano, provenienti dall’amministrazione comunale, erano state comunicate a terzi nei due anni precedenti la sua richiesta. Egli voleva conoscere l’identità di tali persone ed il contenuto delle informazioni loro trasmesse. Il sig. Rijkeboer, che si era trasferito in un altro comune, voleva in particolare sapere a chi fosse stato comunicato il suo vecchio indirizzo.
24 Con decisioni del 27 ottobre e 29 novembre 2005, il College ha accolto solo parzialmente tale richiesta comunicandogli, conformemente all’art. 103, n. 1, della Wet GBA, unicamente le informazioni relative all’anno precedente la sua richiesta.
25 Le comunicazioni di dati vengono registrate ai sensi del «Logisch Ontwerp GBA». Si tratta di un sistema automatizzato, creato dal Ministerie van Binnenlandse Zaken en Koninkrijkrelaties (Ministero degli Interni e delle relazioni all’interno del Regno [dei Paesi Bassi]). Dalla domanda di pronuncia pregiudiziale risulta che i dati richiesti dal sig. Rijkeboer, anteriori all’anno precedente la sua richiesta, sono stati automaticamente cancellati, ciò che sarebbe conforme all’art. 110 della Wet GBA.
26 Il sig. Rijkeboer ha depositato un reclamo presso il College avverso il rifiuto di comunicargli informazioni sui destinatari a cui erano stati comunicati dati che lo riguardano anteriormente all’anno precedente la sua richiesta. Dopo che tale reclamo era stato respinto con decisione del 13 febbraio 2006, il sig. Rijkeboer ha proposto un ricorso dinanzi al Rechtbank Rotterdam.
27 Tale giudice ha accolto il ricorso ritenendo la limitazione del diritto ad essere informato dei dati comunicati a destinatari all’anno precedente la richiesta, quale prevista all’art. 103, n. 1, della Wet GBA, non compatibile con l’art. 12 della direttiva. Esso ha anche ritenuto non applicabili le eccezioni di cui all’art. 13 di tale direttiva.
28 Il College ha impugnato tale sentenza dinanzi al Raad van State. Tale giudice ha rilevato che l’art. 12 della direttiva, relativo al diritto di accesso ai dati, non stabilisce alcun termine per l’esercizio del diritto. Esso ritiene, nutrendo però dubbi al riguardo, che tale articolo non vieti tuttavia necessariamente al legislatore nazionale di limitare nel tempo il diritto della persona interessata ad essere informata dei destinatari a cui vengono trasmessi suoi dati personali.
29 Alla luce di quanto sopra, il Raad van State ha deciso di sospendere il procedimento e di sottoporre alla Corte la seguente questione pregiudiziale:
«Se la limitazione, prevista dalla legge, della comunicazione dei dati all’anno precedente la relativa richiesta sia compatibile con l’art. 12, (...) lett. a), della [direttiva], eventualmente interpretato in combinato disposto con l’art. 6, n. 1, lett. e), della citata direttiva e con il principio di proporzionalità».
Sulla questione pregiudiziale
30 Occorre ricordare, preliminarmente, che, nell’ambito del sistema di cooperazione giudiziaria istituito dall’art. 234 CE, spetta alla Corte interpretare le disposizioni del diritto comunitario. Per quanto riguarda le disposizioni nazionali, la loro interpretazione compete ai giudici nazionali (v. sentenza 14 febbraio 2008, causa C‑449/06, Gysen, Racc. pag. I‑553, punto 17).
31 Pertanto, si deve intendere la domanda posta dal giudice del rinvio come diretta, sostanzialmente, a stabilire se, ai sensi della direttiva, in particolare del suo art. 12, lett. a), il diritto di una persona ad accedere alle informazioni sui destinatari o sulle categorie di destinatari di dati personali che la riguardano nonché sul contenuto dei dati loro comunicati possa essere limitato al periodo di un anno precedente la sua richiesta di accesso.
32 Tale giudice richiama l’attenzione su due disposizioni della direttiva, vale a dire l’art. 6, n. 1, lett. e), sulla conservazione dei dati personali e l’art. 12, lett. a), sul diritto di accesso a tali dati. Per contro, né tale giudice né le parti che hanno presentato osservazioni alla Corte richiamano le eccezioni stabilite all’art. 13 della direttiva.
33 L’art. 6 della direttiva disciplina la qualità dei dati. Il suo n. 1, lett. e), impone agli Stati membri di disporre che i dati personali siano conservati per un arco di tempo non superiore a quello necessario al conseguimento delle finalità per le quali sono rilevati o sono successivamente trattati. I dati devono quindi essere distrutti allorché tali finalità sono state realizzate.
34 L’art. 12, lett. a), della direttiva prevede che gli Stati membri conferiscano alla persona interessata il diritto di accesso ai suoi dati personali nonché alle informazioni sui destinatari o sulle categorie di destinatari di tali dati, senza stabilire un limite temporale.
35 I due articoli di cui trattasi sono quindi finalizzati alla tutela della persona interessata. Il giudice del rinvio vuole sapere se esista un nesso tra i due articoli nel senso che il diritto di accesso alle informazioni sui destinatari o sulle categorie di destinatari dei dati personali nonché sul contenuto dei dati trasmessi potrebbe dipendere dalla durata della conservazione di tali dati.
36 Le osservazioni presentate alla Corte indicano opinioni divergenti in ordine all’interazione di queste due disposizioni.
37 Il College nonché i governi dei Paesi Bassi, ceco, spagnolo e del Regno Unito sostengono che il diritto di accesso alle informazioni sui destinatari o sulle categorie di destinatari di cui all’art. 12, lett. a), della direttiva sussiste solo per il presente, e non per il passato. Quando i dati sono stati cancellati, conformemente alla normativa nazionale, la persona interessata non può più avervi accesso. Tale conclusione non sarebbe in contrasto con la direttiva.
38 Il College e il governo dei Paesi Bassi sostengono quindi che l’art. 103, n. 1, della Wet GBA, secondo cui il comune informa la persona, su sua richiesta, dei dati comunicati a destinatari nel corso dell’anno precedente la sua richiesta, va oltre quanto prescritto dalla direttiva.
39 La Commissione e il governo ellenico sostengono, da parte loro, che la direttiva prevede il diritto d’accesso non solo per il presente, ma anche per il periodo precedente la richiesta di accesso. Essi hanno, tuttavia, opinioni divergenti in merito all’esatta durata del diritto di accesso.
40 Al fine di valutare la portata del diritto di accesso che la direttiva deve rendere possibile, si deve, anzitutto, stabilire a quali dati faccia riferimento il diritto di accesso e considerare, poi, la finalità dell’art. 12, lett. a), della direttiva esaminata alla luce degli obiettivi di quest’ultima.
41 In un caso come quello del sig. Rijkeboer entrano in gioco due categorie di dati.
42 La prima riguarda i dati a carattere privato detenuti dal comune su una persona, come il suo nome e il suo indirizzo, i quali costituiscono, nella fattispecie, dati di base. Dalle osservazioni orali presentate dal College e dal governo dei Paesi Bassi risulta che tali dati possono essere conservati per lungo tempo. Essi costituiscono «dati personali» ai sensi dell’art. 2, lett. a), della direttiva, poiché si tratta di informazioni concernenti una persona fisica identificata o identificabile (v., in tal senso, sentenze 20 maggio 2003, cause riunite C‑465/00, C‑138/01 e C‑139/01, Österreichischer Rundfunk e a., Racc. pag. I‑4989, punto 64; 6 novembre 2003, causa C‑101/01, Lindqvist, Racc. pag. I‑12971, punto 24, nonché 16 dicembre 2008, causa C‑524/06, Huber, non ancora pubblicata nella Raccolta, punto 43).
43 La seconda categoria comprende le informazioni sui destinatari o sulle categorie di destinatari cui tali dati di base vengono comunicati nonché sul contenuto di questi ultimi e concerne, quindi, il trattamento dei dati di base. Secondo la normativa nazionale di cui alla causa principale, tali informazioni vengono conservate solo per un anno.
44 La limitazione temporale del diritto di accesso alle informazioni sul destinatario o sui destinatari dei dati personali nonché sul contenuto dei dati trasmessi, su cui verte la causa principale, riguarda pertanto tale seconda categoria di dati.
45 Al fine di stabilire se l’art. 12, lett. a), della direttiva autorizzi, o meno, una siffatta limitazione temporale, occorre interpretare tale articolo tenendo conto della sua finalità esaminata alla luce degli obiettivi della direttiva.
46 Ai sensi dell’art. 1 della direttiva, il suo obiettivo è tutelare le libertà e i diritti fondamentali delle persone fisiche, in particolare la loro vita privata, con riguardo al trattamento dei dati personali, e permettere, in tal modo, la libera circolazione dei dati tra gli Stati membri.
47 L’importanza della tutela della vita privata viene evidenziata dal secondo e dal terzo ‘considerando’ della direttiva e sottolineata nella giurisprudenza della Corte (v., in tal senso, citate sentenze Österreichischer Rundfunk e a., punto 70, e Lindqvist, punti 97 e 99, nonché sentenze 29 gennaio 2008, causa C‑275/06, Promusicae, Racc. pag. I‑271, punto 63, e 16 dicembre 2008, causa C‑73/07, Satakunnan Markkinapörssi e Satamedia, non ancora pubblicata nella Raccolta, punto 52).
48 Peraltro, come risulta dal venticinquesimo ‘considerando’ della direttiva, i principi di tale tutela devono trovare espressione, da un lato, negli obblighi a carico dei responsabili del trattamento, obblighi relativi, in particolare, alla qualità dei dati – oggetto dell’art. 6 della direttiva –, e, dall’altro, nel diritto delle persone, i cui dati sono oggetto di trattamento, di esserne informate, di poter accedere a tali dati e di poterne chiedere la rettifica, o di opporsi al trattamento in talune circostanze.
49 Tale diritto al rispetto della vita privata implica che la persona interessata possa assicurarsi che i suoi dati personali siano trattati in modo corretto e lecito, vale a dire, in particolare, che i dati di base che la riguardano siano corretti e vengano inviati a destinatari autorizzati. Come enunciato al quarantunesimo ‘considerando’ della direttiva, al fine di poter effettuare le necessarie verifiche, la persona interessata deve disporre del diritto d’accesso ai dati che la riguardano che sono oggetto di trattamento.
50 A tal riguardo, l’art. 12, lett. a), della direttiva prevede il diritto di accesso ai dati di base nonché alle informazioni sui destinatari o sulle categorie di destinatari cui sono comunicati tali dati.
51 Tale diritto di accesso è necessario affinché la persona interessata possa esercitare i diritti di cui all’art. 12, lett. b) e c), della direttiva, ovvero, nel caso in cui il trattamento dei suoi dati non sia conforme a tale direttiva, quello di ottenere che il responsabile del trattamento rettifichi, cancelli o congeli i suoi dati [lett. b)], o che egli notifichi tale rettifica, cancellazione o congelamento ai terzi cui sono stati comunicati tali dati, se non si dimostra che ciò è impossibile o implica uno sforzo sproporzionato [lett. c)].
52 Tale diritto di accesso è anche necessario per consentire alla persona interessata l’esercizio del diritto di opposizione al trattamento dei suoi dati personali di cui all’art. 14 della direttiva o il diritto di agire in giudizio nel caso in cui subisca un pregiudizio previsto agli artt. 22 e 23 di questa.
53 Quanto al diritto di accesso alle informazioni sui destinatari o sulle categorie di destinatari dei dati di base nonché sul contenuto dei dati comunicati, la direttiva non precisa se tale diritto riguardi il passato né, eventualmente, il periodo nel passato di cui si tiene conto.
54 A tal riguardo occorre constatare che, al fine di garantire l’effetto utile delle disposizioni prese in considerazione ai punti 51 e 52 della presente sentenza, tale diritto deve necessariamente estendersi al passato. In caso contrario, infatti, la persona interessata non sarebbe in grado di esercitare efficacemente il suo diritto a fare rettificare, cancellare o congelare i dati ritenuti illeciti o non corretti nonché a procedere giurisdizionalmente ed ottenere il risarcimento del pregiudizio subìto.
55 Si rende necessario stabilire quale sia la portata di tale diritto per il passato.
56 La Corte ha già affermato che le disposizioni della direttiva sono relativamente generiche, dato ch’essa deve applicarsi a un gran numero di situazioni molto diverse e che la direttiva contiene norme caratterizzate da una certa elasticità che lascia in numerosi casi agli Stati membri il compito di decidere dei dettagli o di scegliere tra più opzioni (v. sentenza Lindqvist, cit., punto 83). La Corte ha così riconosciuto che gli Stati membri disponevano sotto molti punti di vista di un margine di manovra al fine di trasporre la direttiva (v. sentenza Lindqvist, cit., punto 84). Tale margine di manovra, il quale sussiste relativamente alla trasposizione dell’art. 12, lett. a), della direttiva, non è tuttavia illimitato.
57 La determinazione di un termine relativo al diritto di acceso alle informazioni sui destinatari o sulle categorie di destinatari e sul contenuto dei dati comunicati deve consentire alla persona interessata di esercitare i differenti diritti previsti dalla direttiva e ricordati ai punti 51 e 52 della presente sentenza.
58 La durata della conservazione dei dati di base può costituire un utile parametro senza, tuttavia, essere determinante.
59 Infatti, l’ambito di applicazione della direttiva è molto ampio, come la Corte ha già dichiarato (v. citate sentenze Österreichischer Rundfunk e a., punto 43, nonché Lindqvist, punto 88), e i dati personali ricompresi dalla direttiva sono vari. La durata della conservazione di questi ultimi, definita ai sensi dell’art. 6, n. 1, lett. e), della direttiva in funzione delle finalità per le quali essi sono rilevati o sono successivamente trattati, può quindi essere diversa. Qualora la durata della conservazione dei dati di base sia troppo lunga, l’interesse della persona interessata a valersi dei mezzi di intervento e delle possibilità di agire in giudizio menzionati al punto 57 della presente sentenza può, in taluni casi, affievolirsi. Se, ad esempio, i destinatari di tali dati sono numerosi o la frequenza delle comunicazioni ad un numero più ristretto di destinatari è elevata, l’obbligo di conservare tanto a lungo le informazioni sui destinatari o sulle categorie di destinatari nonché sul contenuto dei dati comunicati potrebbe comportare un onere eccessivo per il responsabile del trattamento.
60 Orbene, la direttiva non prescrive agli Stati membri di imporre oneri del genere al responsabile del trattamento.
61 L’art. 12, lett. c), della direttiva prevede infatti espressamente una riserva all’obbligo di quest’ultimo di notificare la rettifica, la cancellazione o il congelamento ai terzi cui sono stati comunicati i dati, precisamente qualora si dimostri che è impossibile o implica uno sforzo sproporzionato.
62 Altri passaggi della direttiva indicano che si può tener conto del fatto che talune misure potrebbero essere sproporzionate. Quanto all’obbligo di informare la persona interessata, il quarantesimo ‘considerando’ della direttiva dichiara che si possono prendere in considerazione il numero di persone interessate nonché l’antichità dei dati. Ai sensi dell’art. 17 della direttiva, relativo alla sicurezza del trattamento, inoltre, gli Stati membri prevedono che il responsabile del trattamento deve attuare misure tecniche ed organizzative tese a garantire un livello di sicurezza appropriato rispetto ai rischi presentati dal trattamento e alla natura dei dati da proteggere, tenuto conto delle attuali conoscenze in materia e dei costi della loro applicazione.
63 Analoghe considerazioni sono pertinenti in ordine alla determinazione di un termine per il diritto di accesso alle informazioni sui destinatari o sulle categorie di destinatari nonché sul contenuto dei dati comunicati. In aggiunta alle considerazioni riportate al punto 57 della presente sentenza, gli Stati membri possono pertanto prendere in considerazione vari parametri, in particolare, le disposizioni del diritto nazionale applicabili in materia di termine per proporre un ricorso, la natura più o meno sensibile dei dati di base, la durata della conservazione di tali dati e il numero dei destinatari interessati.
64 Spetta così agli Stati membri fissare il termine per la conservazione delle informazioni sui destinatari o sulle categorie di destinatari e sul contenuto dei dati comunicati e prevedere un accesso a tali informazioni che costituiscano un giusto equilibrio tra, da una parte, l’interesse della persona interessata a tutelare la propria vita privata, in particolare per mezzo dei diritti alla rettifica, alla cancellazione ed al congelamento dei dati, in caso di non conformità del loro trattamento con la direttiva, nonché del diritto di opposizione e del diritto ad agire in giudizio, e, dall’altra, l’onere che l’obbligo di conservare tali informazioni comporta per il responsabile del trattamento.
65 Peraltro, al momento della fissazione di tale termine, occorre anche tenere conto degli obblighi, risultanti dall’art. 6, lett. e), della direttiva, di prevedere che i dati personali debbano essere conservati in modo da consentire l’identificazione delle persone interessate per un arco di tempo non superiore a quello necessario al conseguimento delle finalità per le quali sono rilevati o sono successivamente trattati.
66 Nella fattispecie, una normativa che limiti la conservazione delle informazioni sui destinatari o sulle categorie di destinatari dei dati e sul contenuto dei dati trasmessi ad un periodo di un anno e che limiti in modo corrispondente l’accesso a tali informazioni, benché i dati di base vengano conservati molto più a lungo, non costituisce un giusto equilibrio tra l’interesse e l’obbligo in questione, salvo che si dimostri che conservare tali informazioni più a lungo comporterebbe un onere eccessivo per il responsabile del trattamento. Spetta tuttavia al giudice nazionale effettuare le necessarie verifiche alla luce delle considerazioni svolte ai punti che precedono.
67 In considerazione di quanto già osservato, non si può accettare l’argomentazione di taluni Stati membri secondo la quale l’applicazione degli artt. 10 e 11 della direttiva renderebbe superflua l’attribuzione di un diritto di accesso alle informazioni sui destinatari o sulle categorie di destinatari di cui all’art. 12, lett. a), della direttiva per il passato.
68 Infatti, va rilevato che gli artt. 10 e 11 impongono obblighi al responsabile del trattamento, o al suo rappresentante, di informare la persona interessata, a determinate condizioni, in particolare dei destinatari o delle categorie di destinatari dei dati. Il responsabile del trattamento, o il suo rappresentante, devono comunicare spontaneamente tali informazioni alla persona interessata, segnatamente al momento della raccolta dei dati o, se i dati non vengono raccolti direttamente presso tale persona, al momento della registrazione dei dati o, eventualmente, al momento della comunicazione di tali dati a un terzo.
69 Tali disposizioni intendono quindi imporre obblighi distinti rispetto a quelli imposti dall’art. 12, lett. a), della direttiva. Di conseguenza, essi non riducono in alcun modo l’obbligo imposto agli Stati membri di prevedere che il responsabile del trattamento sia tenuto a dare alla persona interessata accesso alle informazioni sui destinatari o sulle categorie di destinatari nonché sui dati comunicati qualora tale persona decida di esercitare il diritto di accesso che gli è conferito in forza dell’art. 12, lett. a). Gli Stati membri devono adottare misure per trasporre le disposizioni, da una parte, degli artt. 10 e 11 della direttiva sull’obbligo d’informazione e, dall’altra, quelle dell’art. 12, lett. a), della direttiva, senza che le prime possano attenuare gli obblighi risultanti dalle seconde.
70 La questione sollevata deve, pertanto, essere risolta nel seguente modo:
– L’art. 12, lett. a), della direttiva impone agli Stati membri di prevedere il diritto di accesso alle informazioni sui destinatari o sulle categorie di destinatari dei dati nonché sul contenuto delle informazioni comunicate non solo per il presente, ma anche per il passato. Spetta agli Stati membri fissare il termine per la conservazione di tali informazioni nonché il corrispondente accesso alle stesse che costituiscano un giusto equilibrio tra, da una parte, l’interesse della persona di cui trattasi a tutelare la propria vita privata, in particolare, tramite i mezzi di intervento e le possibilità di agire in giudizio previste dalla direttiva, e, dall’altra, l’onere che l’obbligo di conservare tali informazioni comporta per il responsabile del trattamento.
– Una normativa che limiti la conservazione delle informazioni sui destinatari o sulle categorie di destinatari dei dati e sul contenuto dei dati trasmessi ad un periodo di un anno e che limiti in misura corrispondente l’accesso a tali informazioni, benché i dati di base vengano conservati molto più a lungo, non può costituire un giusto equilibrio tra l’interesse e l’obbligo in questione, salvo che si dimostri che conservare tali informazioni più a lungo comporterebbe un onere eccessivo per il responsabile del trattamento. Spetta tuttavia al giudice nazionale effettuare le necessarie verifiche.
Sulle spese
71 Nei confronti delle parti nella causa principale il presente procedimento costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.
Per questi motivi, la Corte (Terza Sezione) dichiara:
L’art. 12, lett. a), della direttiva del Parlamento europeo e del Consiglio 24 ottobre 1995, 95/46/CE, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, impone agli Stati membri di prevedere il diritto di accesso alle informazioni sui destinatari o sulle categorie di destinatari dei dati nonché sul contenuto delle informazioni comunicate non solo per il presente, ma anche per il passato. Spetta agli Stati membri fissare il termine per la conservazione di tali informazioni nonché il corrispondente accesso alle stesse che costituiscano un giusto equilibrio tra, da una parte, l’interesse della persona di cui trattasi a tutelare la propria vita privata, in particolare tramite i mezzi di intervento e le possibilità di agire in giudizio previste dalla direttiva 95/46, e, dall’altra, l’onere che l’obbligo di conservare tali informazioni comporta per il responsabile del trattamento.
Una normativa che limiti la conservazione delle informazioni sui destinatari o sulle categorie di destinatari dei dati e sul contenuto dei dati trasmessi ad un periodo di un anno e che limiti in misura corrispondente l’accesso a tali informazioni, benché i dati di base vengano conservati molto più a lungo, non può costituire un giusto equilibrio tra l’interesse e l’obbligo in questione, salvo che si dimostri che conservare tali informazioni più a lungo comporterebbe un onere eccessivo per il responsabile del trattamento. Spetta tuttavia al giudice nazionale effettuare le necessarie verifiche.
Firme