SENTENZA DELLA CORTE (Seconda Sezione)
4 maggio 2017 (1)
«Rinvio pregiudiziale – Direttiva 95/46/CE – Articolo 7, lettera f) – Dati personali – Condizioni di liceità di un trattamento di dati personali – Nozione di “trattamento necessario al perseguimento dell’interesse legittimo di un terzo” – Domanda di comunicazione dei dati personali di una persona responsabile di un sinistro stradale al fine di agire giudizialmente – Obbligo del responsabile del trattamento di accogliere una siffatta domanda – Insussistenza»
Nella causa C‑13/16,
avente ad oggetto la domanda di pronuncia pregiudiziale proposta alla Corte, ai sensi dell’articolo 267 TFUE, dall’Augstākās tiesas Administratīvo lietu departaments (Corte suprema, Sezione del contenzioso amministrativo, Lettonia), con decisione del 30 dicembre 2015, pervenuta in cancelleria l’8 gennaio 2016, nel procedimento
Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde
contro
Rīgas pašvaldības SIA «Rīgas satiksme»,
LA CORTE (Seconda Sezione),
composta da M. Ilešič, presidente di sezione, A. Prechal, A. Rosas (relatore), C. Toader e E. Jarašiūnas, giudici,
avvocato generale: M. Bobek
cancelliere: M. Aleksejev, amministratore
vista la fase scritta del procedimento e in seguito all’udienza del 24 novembre 2016,
considerate le osservazioni presentate:
– per Rīgas pašvaldības SIA «Rīgas satiksme» da L. Bemhens, in qualità di agente;
– per il governo lettone, da I. Kalniņš e A. Bogdanova, in qualità di agenti;
– per il governo ceco, da J. Vláčil e M. Smolek, in qualità di agenti;
– per il governo spagnolo, da M. J. García-Valdecasas Dorrego, in qualità di agente;
– per il governo austriaco, da G. Eberhard, in qualità di agente;
– per il governo portoghese, da L. Inez Fernandes, M. Figueiredo e C. Vieira Guerra, in qualità di agenti;
– per la Commissione europea, da D. Nardi, H. Kranenborg e I. Rubene, in qualità di agenti;
sentite le conclusioni dell’avvocato generale, presentate all’udienza del 26 gennaio 2017,
ha pronunciato la seguente
Sentenza
1 La domanda di pronuncia pregiudiziale verte sull’interpretazione dell’articolo 7, lettera f), della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU 1995, L 281, pag. 31).
2 Tale domanda è stata presentata nell’ambito di una controversia tra il Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde (Ufficio della polizia di sicurezza della regione di Riga responsabile per le infrazioni amministrative in materia di circolazione stradale, Lettonia) (in prosieguo: la «polizia nazionale») e la Rīgas pašvaldības SIA «Rīgas satiksme» (in prosieguo: la «Rīgas satiksme»), società di filobus della città di Riga, relativamente a una richiesta di comunicazione dei dati identificativi dell’autore di un incidente.
Contesto normativo
Diritto dell’Unione
3 L’articolo 1 della direttiva 95/46, intitolato «Oggetto della direttiva», stabilisce quanto segue:
«1. Gli Stati membri garantiscono, conformemente alle disposizioni della presente direttiva, la tutela dei diritti e delle libertà fondamentali delle persone fisiche e particolarmente del diritto alla vita privata, con riguardo al trattamento dei dati personali.
2. Gli Stati membri non possono restringere o vietare la libera circolazione dei dati personali tra Stati membri, per motivi connessi alla tutela garantita a norma del paragrafo 1».
4 L’articolo 2 di tale direttiva così dispone:
«Ai fini della presente direttiva si intende per:
a) “dati personali”: qualsiasi informazione concernente una persona fisica identificata o identificabile (“persona interessata”); si considera identificabile la persona che può essere identificata, direttamente o indirettamente, in particolare mediante riferimento ad un numero di identificazione o ad uno o più elementi specifici caratteristici della sua identità fisica, fisiologica, psichica, economica, culturale o sociale;
b) “trattamento di dati personali” (“trattamento”): qualsiasi operazione o insieme di operazioni compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali, come la raccolta, la registrazione, l’organizzazione, la conservazione, l’elaborazione o la modifica, l’estrazione, la consultazione, l’impiego, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, nonché il congelamento, la cancellazione o la distruzione;
(…)
d) “responsabile del trattamento”: la persona fisica o giuridica, l’autorità pubblica, il servizio o qualsiasi altro organismo che, da solo o insieme ad altri, determina le finalità e gli strumenti del trattamento di dati personali. Quando le finalità e i mezzi del trattamento sono determinati da disposizioni legislative o regolamentari nazionali o comunitarie, il responsabile del trattamento o i criteri specifici per [la] sua designazione possono essere fissati dal diritto nazionale o comunitario;
(…)».
5 L’articolo 5 della direttiva 95/46 enuncia quanto segue:
«Gli Stati membri precisano, nei limiti delle disposizioni del presente capo, le condizioni alle quali i trattamenti di dati personali sono leciti».
6 Nel capo II della direttiva 95/46, all’interno della sezione II, intitolata «Principi relativi alla legittimazione del trattamento dei dati», l’articolo 7 così recita:
«Gli Stati membri dispongono che il trattamento di dati personali può essere effettuato soltanto quando:
a) la persona interessata ha manifestato il proprio consenso in maniera inequivocabile,
oppure
b) è necessario all’esecuzione del contratto concluso con la persona interessata o all’esecuzione di misure precontrattuali prese su richiesta di tale persona,
oppure
c) è necessario per adempiere un obbligo legale al quale è soggetto il responsabile del trattamento,
oppure
d) è necessario per la salvaguardia dell’interesse vitale della persona interessata,
oppure
e) è necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il responsabile del trattamento o il terzo a cui vengono comunicati i dati,
oppure
f) è necessario per il perseguimento dell’interesse legittimo del responsabile del trattamento oppure del o dei terzi cui vengono comunicati i dati, a condizione che non prevalgano l’interesse o i diritti e le libertà fondamentali della persona interessata, che richiedono tutela ai sensi dell’articolo 1, paragrafo 1».
7 L’articolo 8, paragrafo 2, lettera e), della direttiva 95/46 prevede che il divieto del trattamento di taluni tipi di dati personali, come quelli che rivelano l’origine razziale o le opinioni politiche, non è applicabile qualora il trattamento riguardi dati resi manifestamente pubblici dalla persona interessata o sia necessario per costituire, esercitare o difendere un diritto per via giudiziaria.
Diritto lettone
8 L’articolo 6 della Fizisko personu datu aizsardzības likums (legge sulla protezione dei dati personali), del 23 marzo 2000 (Latvijas Vēstnesis, 2000, n. 123/124), dispone quanto segue:
«Ogni persona fisica ha diritto alla protezione dei dati personali che la riguardano».
9 L’articolo 7 di tale legge, volto a trasporre l’articolo 7 della direttiva 95/46, prevede che il trattamento di dati personali è consentito, salvo che la medesima legge disponga diversamente, solo se ricorre almeno uno dei seguenti presupposti:
«1) risulta il consenso dell’interessato;
2) il trattamento dei dati deriva da obblighi contrattuali assunti dall’interessato o è necessario per la conclusione del contratto corrispondente, su domanda dell’interessato;
3) il trattamento dei dati è necessario per adempiere un obbligo legale al quale è soggetto il responsabile del trattamento;
4) il trattamento dei dati è necessario per tutelare interessi fondamentali dell’interessato, comprese la vita e la salute;
5) il trattamento dei dati è necessario per tutelare l’interesse pubblico o eseguire compiti di interesse pubblico per i quali occorre che i dati siano forniti al responsabile del trattamento o comunicati a un terzo;
6) il trattamento dei dati è necessario per il perseguimento dell’interesse legittimo del responsabile del trattamento o del terzo al quale vengono comunicati i dati, fatti salvi i diritti e le libertà fondamentali dell’interessato».
10 L’articolo 12 di tale legge prevede che i dati personali relativi a illeciti penali, a condanne penali o amministrative, nonché a decisioni o a fascicoli giudiziari, possono essere trattati solo dalle persone e nei casi previsti dalla legge.
11 Conformemente all’articolo 261 del Latvijas Administratīvo pārkāpumu kodekss (codice lettone delle infrazioni amministrative), a una persona che ha subito un danno causato da un illecito la qualità di parte lesa può essere riconosciuta, nei procedimenti amministrativi sanzionatori, da parte dell’istituzione o del funzionario autorizzato a esaminare il caso. Tale disposizione disciplina i diritti delle parti lese, compresi il diritto di consultare il fascicolo e quello di far valere i propri diritti processuali al fine di ottenere un risarcimento.
Procedimento principale e questioni pregiudiziali
12 Nel dicembre 2012 si è verificato un sinistro stradale a Riga. Un tassista aveva parcheggiato il suo veicolo al bordo della strada. Mentre un filobus della Rīgas satiksme passava accanto al taxi, il passeggero che occupava il sedile posteriore del medesimo ha aperto la portiera e questa ha urtato il filobus, danneggiandolo. Tale incidente ha dato luogo all’avvio del procedimento per infrazione amministrativa e alla corrispondente verbalizzazione.
13 Inizialmente, ritenendo che il menzionato incidente fosse imputabile al tassista, la Rīgas satiksme ha chiesto un risarcimento alla compagnia presso la quale era assicurato per la responsabilità civile il proprietario o utilizzatore legittimo del taxi in questione. Tuttavia, detta compagnia assicurativa ha comunicato alla Rīgas satiksme che non avrebbe pagato alcun indennizzo, in quanto l’incidente era stato provocato dal passeggero e non dal conducente del taxi. Essa ha precisato che la Rīgas satiksme poteva agire in sede civile nei confronti di detto passeggero.
14 La Rīgas satiksme si è quindi rivolta alla polizia nazionale, alla quale ha chiesto di fornirle informazioni sulla persona nei cui confronti era stata elevata la sanzione amministrativa per il sinistro, di trasmetterle copia delle dichiarazioni del conducente del taxi e del passeggero sulle circostanze dell’incidente e di comunicarle nome, cognome, numero del documento di identità e domicilio del passeggero del taxi. La Rīgas satiksme ha precisato alla polizia nazionale che le informazioni richieste sarebbero state utilizzate esclusivamente ai fini dell’azione civile.
15 La polizia nazionale ha accolto solo parzialmente la domanda della Rīgas satiksme, ossia fornendole nome e cognome del passeggero, ma rifiutando di comunicarle il numero del documento di identità e il domicilio di tale persona. Non sono nemmeno state trasmesse le copie delle dichiarazioni delle persone coinvolte nell’incidente.
16 La decisione della polizia nazionale si basa sulla considerazione che solo le parti in un procedimento amministrativo sanzionatorio possono ricevere le relative informazioni. Orbene, la Rīgas satiksme non è una parte nel procedimento in questione. Infatti, in forza del codice lettone delle infrazioni amministrative, la qualità di parte lesa da un illecito amministrativo è riconosciuta, su esplicita domanda dell’interessato, dall’istituzione o dal funzionario autorizzato a esaminare il caso. Nel caso di specie, la Rīgas satiksme non ha esercitato tale diritto.
17 La Rīgas satiksme ha proposto un ricorso dinanzi all’administratīvā rajona tiesa (Tribunale amministrativo regionale di primo grado, Lettonia) avverso la decisione della polizia nazionale, nella parte in cui rifiutava di comunicare il numero del documento di identità e il domicilio del passeggero coinvolto nell’incidente. Con sentenza del 16 maggio 2014, tale giudice ha accolto il ricorso della Rīgas satiksme e ha ordinato alla polizia nazionale di fornire le informazioni relative al numero del documento di identità e al luogo di residenza di detto passeggero.
18 La polizia nazionale ha proposto un ricorso per cassazione dinanzi al giudice del rinvio. Esso ha chiesto il parere della Datu valsts inspekcija (agenzia nazionale per la protezione dei dati, Lettonia) che, nella sua risposta del 13 ottobre 2015, ha indicato che nel procedimento principale la trasmissione dei dati non era riconducibile all’articolo 7, punto 6, della legge sulla protezione dei dati personali, in quanto il codice lettone delle infrazioni amministrative indica i soggetti ai quali la polizia nazionale può trasmettere informazioni relative a un procedimento. Pertanto, secondo l’agenzia nazionale lettone per la protezione dei dati, i dati personali risultanti da un procedimento amministrativo sanzionatorio potrebbero essere comunicati solo conformemente ai punti 3 e 5 di tale articolo nei casi previsti dalla suddetta legge. L’articolo 7 della medesima legge non obbligherebbe il responsabile del trattamento, nella fattispecie la polizia nazionale, a trattare i dati, ma semplicemente lo autorizzerebbe a farlo.
19 L’agenzia nazionale lettone per la protezione dei dati ha precisato che la Rīgas satiksme disponeva di due mezzi per ottenere tali informazioni. Poteva rivolgersi all’anagrafe civile con una domanda motivata oppure adire l’autorità giudiziaria, in forza degli articoli da 98 a 100 del codice di procedura civile, per ottenere l’esibizione degli elementi di prova, domandando al giudice di richiedere alla polizia nazionale i dati personali necessari per poter agire nei confronti della persona coinvolta.
20 Il giudice del rinvio nutre dubbi quanto all’efficacia dei mezzi finalizzati a ottenere dati personali, indicati dall’agenzia nazionale lettone per la protezione dei dati. Esso precisa a tale riguardo, da un lato, che, qualora ci si rivolgesse all’anagrafe civile indicando solo il nome del passeggero del taxi, potrebbe accadere che quest’ultimo non possa essere identificato senza il numero del suo documento di identità, dal momento che varie persone potrebbero avere lo stesso nome e lo stesso cognome. Dall’altro, il giudice del rinvio considera che, tenuto conto delle disposizioni nazionali relative all’esibizione delle prove, al fine di proporre un ricorso di diritto civile l’attore dovrebbe conoscere quanto meno il luogo di residenza del convenuto.
21 A tale riguardo, il giudice del rinvio ritiene che sussistano dubbi quanto all’interpretazione della nozione di «necessità» di cui all’articolo 7, lettera f), di tale direttiva.
22 In tali circostanze, l’Augstākās tiesas Administratīvo lietu departaments (Corte suprema, Sezione del contenzioso amministrativo, Lettonia) ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali:
«1) Se la frase “è necessario per il perseguimento dell’interesse legittimo (…) del o dei terzi cui vengono comunicati i dati” contenuta nell’articolo 7, lettera f), della direttiva 95/46 (…) debba essere interpretata nel senso che la polizia nazionale è tenuta a comunicare alla Rīgas satiksme i dati personali da questa richiesti e necessari per agire giudizialmente in sede civile.
2) Se ai fini della risposta a tale questione rilevi il fatto che, come risulta dai documenti agli atti, il passeggero del taxi di cui la Rīgas satiksme intende ottenere i dati fosse minorenne al momento del sinistro».
Sulle questioni pregiudiziali
23 Con le sue questioni, che occorre esaminare congiuntamente, il giudice del rinvio chiede se l’articolo 7, lettera f), della direttiva 95/46 debba essere interpretato nel senso che impone l’obbligo di comunicare dati personali a un terzo, al fine di consentirgli di proporre un ricorso per risarcimento dinanzi a un giudice civile per un danno causato dalla persona interessata dalla tutela di tali dati, e se il fatto che detta persona sia minorenne possa essere rilevante ai fini dell’interpretazione di tale disposizione.
24 Nel procedimento principale è pacifico che il numero del documento di identità e l’indirizzo del passeggero del taxi, dati che la Rīgas satiksme vorrebbe le venissero comunicati, costituiscono informazioni concernenti una persona fisica identificata o identificabile e, pertanto, «dati personali» ai sensi dell’articolo 2, lettera a), della direttiva 95/46. È altresì pacifico che la polizia nazionale, cui tale richiesta è stata rivolta, è la responsabile del trattamento di tali dati e, in particolare, della loro eventuale comunicazione, ai sensi dell’articolo 2, lettera d), della medesima direttiva.
25 Conformemente all’articolo 5 della direttiva 95/46, spetta agli Stati membri precisare, nei limiti delle disposizioni di tale direttiva, le condizioni alle quali i trattamenti di dati personali sono leciti. L’articolo 7 della direttiva in esame, che enuncia i principi relativi alla legittimazione di un siffatto trattamento, dispone a tale riguardo che «[g]li Stati membri dispongono che [esso] può essere effettuato soltanto» in presenza di una delle ipotesi elencate tassativamente da tale disposizione. In forza del suddetto articolo 7, lettera f), un siffatto trattamento può essere effettuato qualora sia necessario per il perseguimento dell’interesse legittimo del responsabile del trattamento oppure del o dei terzi cui vengono comunicati i dati, a condizione che non prevalgano l’interesse o i diritti e le libertà fondamentali della persona interessata, che richiedono tutela ai sensi dell’articolo 1, paragrafo 1, della direttiva 95/46.
26 Dall’economia della direttiva 95/46 e dal tenore letterale dell’articolo 7 della medesima risulta quindi che l’articolo 7, lettera f), della direttiva 95/46 non prescrive di per sé un obbligo, ma prevede la possibilità di effettuare un trattamento di dati quale la comunicazione a un terzo di dati necessari a perseguire un suo interesse legittimo. Come sottolinea l’avvocato generale ai paragrafi da 43 a 46 delle conclusioni, un’interpretazione siffatta si può desumere anche da altri strumenti di diritto dell’Unione riguardanti i dati personali (v., in tal senso, per quanto concerne il trattamento dei dati personali nel settore delle comunicazioni elettroniche, sentenza del 29 gennaio 2008, Promusicae, C‑275/06, EU:C:2008:54, punti 54 e 55).
27 Occorre tuttavia osservare che l’articolo 7, lettera f), della direttiva 95/46 non osterebbe a una comunicazione siffatta, qualora quest’ultima fosse effettuata in base al diritto nazionale, nel rispetto delle condizioni previste da tale disposizione.
28 A tale riguardo, l’articolo 7, lettera f), della direttiva 95/46 prevede tre condizioni cumulative affinché un trattamento di dati personali sia lecito, vale a dire, in primo luogo, il perseguimento dell’interesse legittimo del responsabile del trattamento oppure del o dei terzi cui vengono comunicati i dati, in secondo luogo, la necessità del trattamento dei dati personali per il perseguimento dell’interesse legittimo e, in terzo luogo, la condizione che non prevalgano l’interesse o i diritti e le libertà fondamentali della persona interessata dalla tutela dei dati.
29 Per quanto concerne la condizione relativa al perseguimento di un interesse legittimo, come rilevato dall’avvocato generale ai paragrafi 65, 79 e 80 delle conclusioni, non vi è alcun dubbio che l’interesse di un terzo a ottenere le informazioni personali di una persona che ha danneggiato la sua proprietà, al fine di agire nei confronti di tale persona per ottenere il risarcimento dei danni, costituisca un interesse legittimo (v., in tal senso, sentenza del 29 gennaio 2008, Promusicae, C‑275/06, EU:C:2008:54, punto 53). Tale analisi è suffragata dall’articolo 8, paragrafo 2, lettera e), della direttiva 95/46, il quale prevede che il divieto del trattamento di taluni tipi di dati personali, come quelli che rivelano l’origine razziale o le opinioni politiche, non è applicabile qualora il trattamento riguardi dati resi manifestamente pubblici dalla persona interessata o sia necessario per costituire, esercitare o difendere un diritto per via giudiziaria.
30 Per quanto concerne la condizione relativa alla necessità del trattamento dei dati, si deve ricordare che le deroghe alla tutela dei dati personali e le limitazioni della stessa devono avvenire nei limiti dello stretto necessario (sentenze del 9 novembre 2010, Volker und Markus Schecke e Eifert, C‑92/09 e C‑93/09, EU:C:2010:662, punto 86; del 7 novembre 2013, IPI, C‑473/12, EU:C:2013:715, punto 39, nonché dell’11 dicembre 2014, Ryneš, C‑212/13, EU:C:2014:2428, punto 28). A tale riguardo, occorre constatare che, secondo le indicazioni fornite dal giudice del rinvio, la comunicazione unicamente del nome e del cognome dell’autore del danno non consente di identificare tale autore in maniera sufficientemente precisa da poter agire giudizialmente nei suoi confronti. Appare quindi necessario ottenere a tal fine anche l’indirizzo e/o il numero del documento di identità di tale persona.
31 Infine, per quanto concerne la condizione relativa a una ponderazione dei diritti e degli interessi contrapposti di cui trattasi, essa dipende, in linea di principio, dalle circostanze specifiche del caso concreto (v., in tal senso, sentenze del 24 novembre 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 e C‑469/10, EU:C:2011:777, punto 40, e del 19 ottobre 2016, Breyer, C‑582/14, EU:C:2016:779, punto 62).
32 A tale riguardo, la Corte ha già statuito che è possibile prendere in considerazione il fatto che la gravità della violazione dei diritti fondamentali della persona interessata da tale trattamento possa variare in funzione della possibilità di accedere ai dati di cui trattasi in fonti accessibili al pubblico (v., in tal senso, sentenza del 24 novembre 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 e C‑469/10, EU:C:2011:777, punto 44).
33 Per quanto riguarda la seconda parte della questione pregiudiziale come riformulata al punto 23 della presente sentenza, occorre rilevare che l’età della persona interessata può costituire uno degli elementi di cui è opportuno tener conto nell’ambito di tale ponderazione. Si deve tuttavia constatare che, come rileva l’avvocato generale ai paragrafi da 82 a 84 delle conclusioni e fatte salve le verifiche che devono essere effettuate a tale riguardo dal giudice nazionale, non appare giustificato, in una situazione come quella di cui al procedimento principale, rifiutare di comunicare a una parte lesa dati personali necessari per proporre un ricorso per risarcimento contro l’autore del danno o, se del caso, le persone che esercitano la potestà genitoriale, per il fatto che detto autore sarebbe minorenne.
34 Dall’insieme delle suesposte considerazioni risulta che l’articolo 7, lettera f), della direttiva 95/46 deve essere interpretato nel senso che non impone l’obbligo di comunicare dati personali a un terzo al fine di consentirgli di proporre un ricorso per risarcimento dinanzi a un giudice civile per un danno causato dalla persona interessata dalla tutela di tali dati. Tuttavia l’articolo 7, lettera f), di tale direttiva non osta a una comunicazione siffatta che sia effettuata sulla base del diritto nazionale.
Sulle spese
35 Nei confronti delle parti nel procedimento principale la presente causa costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.
Per questi motivi, la Corte (Seconda Sezione) dichiara:
L’articolo 7, lettera f), della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, deve essere interpretato nel senso che non impone l’obbligo di comunicare dati personali a un terzo al fine di consentirgli di proporre un ricorso per risarcimento dinanzi a un giudice civile per un danno causato dalla persona interessata dalla tutela di tali dati. Tuttavia l’articolo 7, lettera f), di tale direttiva non osta a una comunicazione siffatta che sia effettuata sulla base del diritto nazionale.
Firme