SENTENZA DELLA CORTE (Grande Sezione)
8 aprile 2014 (*)
«Inadempimento di uno Stato – Direttiva 95/46/CE – Tutela delle persone fisiche con riguardo al trattamento dei dati personali e libera circolazione di tali dati – Articolo 28, paragrafo 1 – Autorità nazionali di controllo – Indipendenza – Normativa nazionale che pone fine anticipatamente al mandato dell’autorità di controllo – Creazione di una nuova autorità di controllo e nomina di un’altra persona in qualità di presidente»
Nella causa C‑288/12,
avente ad oggetto il ricorso per inadempimento, ai sensi dell’articolo 258 TFUE, proposto l’8 giugno 2012,
Commissione europea, rappresentata da K. Talabér-Ritz e B. Martenczuk, in qualità di agenti, con domicilio eletto in Lussemburgo,
ricorrente,
sostenuta da:
Garante europeo della protezione dei dati (GEPD), rappresentato da I. Chatelier, A. Buchta, Z. Belényessy e H. Kranenborg, in qualità di agenti,
interveniente,
contro
Ungheria, rappresentata da M.Z. Fehér, in qualità di agente,
convenuta,
LA CORTE (Grande Sezione),
composta da V. Skouris, presidente, K. Lenaerts, vicepresidente, M. Ilešič, L. Bay Larsen, T. von Danwitz, E. Juhász, A. Borg Barthet, C.G. Fernlund, e J.L. da Cruz Vilaça, presidenti di sezione, G. Arestis, J. Malenovský, M. Berger, A. Prechal, E. Jarašiūnas (relatore) e C. Vajda, giudici,
avvocato generale: M. Wathelet
cancelliere: C. Strömholm, amministratore
vista la fase scritta del procedimento e in seguito all’udienza del 15 ottobre 2013,
sentite le conclusioni dell’avvocato generale, presentate all’udienza del 10 dicembre 2013,
ha pronunciato la seguente
Sentenza
1 Con il suo ricorso la Commissione europea chiede alla Corte di constatare che l’Ungheria, ponendo anticipatamente fine al mandato dell’autorità di controllo per la protezione dei dati personali, è venuta meno agli obblighi ad essa incombenti in forza della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU L 281, pag. 31).
Contesto normativo
Il diritto dell’Unione
2 Il considerando 62 della direttiva 95/46 enuncia quanto segue:
«considerando che la designazione di autorità di controllo che agiscano in modo indipendente in ciascuno Stato membro è un elemento essenziale per la tutela delle persone con riguardo al trattamento di dati personali».
3 L’articolo 28 della direttiva 95/46, intitolato «Autorità di controllo», ai paragrafi 1 e 2, così dispone:
«1. Ogni Stato membro dispone che una o più autorità pubbliche siano incaricate di sorvegliare, nel suo territorio, l’applicazione delle disposizioni di attuazione della presente direttiva, adottate dagli Stati membri.
Tali autorità sono pienamente indipendenti nell’esercizio delle funzioni loro attribuite.
2. Ciascuno Stato membro dispone che le autorità di controllo siano consultate al momento dell’elaborazione delle misure regolamentari o amministrative relative alla tutela dei diritti e delle libertà della persona con riguardo al trattamento dei dati personali».
4 Il regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio, del 18 dicembre 2000, concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonché la libera circolazione di tali dati (GU 2001, L 8, pag. 1), al suo capo V istituisce un’autorità di controllo indipendente, denominata Garante europeo della protezione dei dati (GEPD).
5 Ai termini dell’articolo 42 del medesimo regolamento, rubricato «Nomina»:
«1. Il Parlamento europeo e il Consiglio nominano di comune accordo il [GEPD] per un periodo di cinque anni, in base ad un elenco predisposto dalla Commissione dopo un invito pubblico a presentare candidature.
(...)
3. Il mandato del [GEPD] è rinnovabile.
4. Oltre che per la normale procedura di sostituzione o per decesso, il mandato del [GEPD] cessa in caso di dimissioni o di provvedimento d’ufficio, a norma del paragrafo 5.
5. Il [GEPD] può essere rimosso o privato del diritto a pensione o di altri vantaggi sostitutivi dalla Corte di giustizia su richiesta del Parlamento europeo, del Consiglio o della Commissione qualora non sia più in possesso dei requisiti necessari all’esercizio delle sue funzioni o abbia commesso una colpa grave.
(...)».
Il diritto ungherese
6 Fino al 31 dicembre 2011, l’autorità di controllo per la protezione dei dati personali di cui all’articolo 28 della direttiva 95/46 (in prosieguo: l’«autorità di controllo») era disciplinata dalla legge n. LXIII del 1992, sulla protezione dei dati personali e l’accesso ai dati di interesse generale, come modificata (in prosieguo: la «legge del 1992»). L’articolo 23 di tale legge era redatto nel modo seguente:
«1. Il Parlamento nomina un commissario per la protezione dei dati [(in prosieguo: il “commissario”)] al fine di tutelare il diritto costituzionale alla protezione dei dati personali e all’accesso ai dati di interesse generale (...)
2. Fatte salve le deroghe previste dalla presente legge, si applicano [al commissario] le disposizioni della legge relativa al commissario parlamentare incaricato dei diritti del cittadino».
7 Le funzioni del commissario erano definite agli articoli 24 e 25 della legge del 1992. In particolare, detto articolo 24 prevedeva, alla lettera a), che egli «vigila sul rispetto della presente legge e delle altre norme di diritto relative al trattamento dei dati, su denuncia o d’ufficio, qualora non sia in corso alcun procedimento giudiziario relativo a detto procedimento» e, alla lettera d), che egli «promuove l’applicazione uniforme delle disposizioni relative al trattamento dei dati personali e all’accesso ai dati di interesse generale».
8 Poiché la legge del 1992 non conteneva disposizioni relative alla durata o alla cessazione del mandato del commissario, erano applicabili le disposizioni della legge n. LIX del 1993, relativa al commissario parlamentare incaricato dei diritti dei cittadini, nella versione in vigore fino al 31 dicembre 2011 (in prosieguo: la «legge del 1993»). L’articolo 4, paragrafo 5, di tale legge stabiliva che il commissario parlamentare era eletto per sei anni e poteva essere rieletto una volta. L’articolo 15 di tale legge disciplinava la cessazione del mandato nei seguenti termini:
«1. Il mandato del commissario cessa nei seguenti casi:
a) allo scadere del mandato,
b) per il suo decesso,
c) per le sue dimissioni,
d) per la constatazione di un conflitto di interessi,
e) per il collocamento a riposo d’ufficio,
f) per le dimissioni d’ufficio.
2. Il presidente del Parlamento prende atto della cessazione del mandato del commissario parlamentare conformemente al paragrafo 1, lettere da a) a c). Relativamente alla cessazione del mandato nei casi di cui al paragrafo 1, lettere da d) a f), il Parlamento adotta una decisione. La dichiarazione della cessazione del mandato richiede la maggioranza dei due terzi dei rappresentanti.
3. Le dimissioni devono essere presentate per iscritto al presidente del Parlamento. Il mandato del commissario parlamentare si conclude alla data indicata nelle dimissioni. Nessuna dichiarazione di accettazione è necessaria per la validità delle dimissioni.
(...)».
9 I paragrafi da 4 a 6 di tale articolo 15 specificano in dettaglio le ipotesi di cui al paragrafo 1, lettere da d) a f), del medesimo articolo. In particolare, l’articolo 15, paragrafo 5, della legge del 1993 indicava che il collocamento a riposo d’ufficio poteva avere luogo solo qualora il commissario parlamentare si fosse trovato nell’incapacità di esercitare le funzioni legate al suo mandato per più di 90 giorni, per ragioni a lui non imputabili. Il paragrafo 6 di tale articolo indicava dal canto suo che potevano essere dichiarate le dimissioni d’ufficio qualora il commissario parlamentare non avesse esercitato le funzioni legate al suo mandato per più di 90 giorni, per ragioni a lui imputabili, si fosse sottratto deliberatamente all’obbligo di dichiarazione del suo patrimonio, avesse riportato intenzionalmente dati o fatti essenziali inesatti in detta dichiarazione o avesse commesso un reato constatato con una sentenza avente l’autorità di cosa giudicata.
10 La Legge fondamentale dell’Ungheria è entrata in vigore il 1° gennaio 2012. Ai sensi del suo articolo VI, paragrafo 3, «un’autorità indipendente istituita da una legge organica vigila sul rispetto dei diritti relativi alla protezione dei dati personali e sull’accesso ai dati di interesse generale». I paragrafi 3 e 5 delle disposizioni finali della Legge fondamentale prevedono, rispettivamente, che il Parlamento adotti separatamente disposizioni transitorie e che le medesime siano parte della Legge fondamentale.
11 L’articolo 16 di tali disposizioni transitorie adottate dal Parlamento enuncia quanto segue:
«L’entrata in vigore della presente Legge fondamentale pone fine al mandato del [commissario] in carica».
12 Il 1° gennaio 2012, la normativa ungherese relativa all’autorità di controllo è stata pertanto modificata ed è entrata in vigore la legge n. CXII del 2011, sull’autodeterminazione in materia d’informazione e sulla libertà d’informazione (in prosieguo: la «legge del 2011»), che, ai sensi del suo articolo 77, lettera a), recepisce la direttiva 95/46 nell’ordinamento giuridico ungherese. Tale legge abroga la legge del 1992, e istituisce, al posto del commissario, la Nemzeti Adatvédelmi és Információszabadság Hatóság (Autorità nazionale incaricata della protezione dei dati e della libertà di informazione; in prosieguo: l’«Autorità»).
13 Le funzioni dell’Autorità sono definite all’articolo 38, paragrafi 2 e 3, della legge del 2011. L’articolo 38, paragrafo 2, di tale legge dispone che l’Autorità «ha la missione di sorvegliare e favorire l’applicazione del diritto all’accesso ai dati di interesse generale e ai dati accessibili per ragioni di interesse generale e alla protezione dei dati personali». L’articolo 38, paragrafo 3, di detta legge indica, in particolare, che, nell’ambito delle funzioni ad essa conferite, l’Autorità può agire su denuncia o d’ufficio.
14 L’articolo 75, paragrafi 1 e 2, della legge del 2011 garantisce la continuità tra il commissario, da un lato, e l’Autorità, dall’altro, disponendo, in sostanza, che quest’ultima gestisce i fascicoli costituiti dal commissario in base a osservazioni depositate anteriormente al 1° gennaio 2012 e che, dal 1° gennaio 2012, essa gestisce i dati che il commissario aveva trattato prima di tale data.
15 L’articolo 38, paragrafo 5, di detta legge precisa che «l’Autorità è indipendente e soggetta unicamente alla legge, non può ricevere alcuna istruzione nell’ambito delle sue competenze e compie la propria missione in completa autonomia rispetto ad altri organi senza subire influenze di nessun tipo». Ai sensi di tale disposizione solo la legge può definire la missione dell’Autorità.
16 L’articolo 40, paragrafi 1 e 3, della legge del 2011 prevede che l’Autorità abbia un presidente nominato dal presidente della Repubblica su proposta del Primo ministro, con un mandato di nove anni. L’articolo 45 di tale legge disciplina la cessazione del mandato del presidente dell’Autorità. Nella versione derivante dalla legge n. XXV del 2012, in vigore dal 7 aprile 2012, tale articolo, al paragrafo 1, dispone quanto segue:
«Il mandato del presidente dell’Autorità cessa nei seguenti casi:
a) allo scadere del mandato,
b) per le sue dimissioni,
c) per il suo decesso,
d) per la constatazione del fatto che i requisiti per la sua nomina non sono soddisfatti o che sono state violate le norme sulla dichiarazione del patrimonio,
e) per la constatazione di un conflitto di interessi».
17 L’articolo 45, paragrafi da 2 a 8, della legge del 2011, come modificata dalla legge n. XXV del 2012, specifica tali diverse ipotesi.
18 L’articolo 74 della legge del 2011 stabilisce le norme riguardanti la nomina del primo presidente dell’Autorità. Ai sensi di quest’ultimo:
«Prima del 15 novembre 2011, il Primo ministro propone al presidente della Repubblica il nome del primo presidente dell’Autorità. Il presidente della Repubblica nomina il primo presidente dell’Autorità con effetto dal 1° gennaio 2012».
Fatti
19 Il sig. Jóri è stato nominato commissario il 29 settembre 2008 in forza della legge del 1992 ed ha assunto le sue funzioni il medesimo giorno. Il suo mandato era di sei anni e sarebbe dunque dovuto cessare nel mese di settembre 2014. Esso cessava, tuttavia, il 31 dicembre 2011, in applicazione dell’articolo 16 delle disposizioni transitorie della Legge fondamentale. L’Autorità ha iniziato i suoi lavori il 1° gennaio 2012 e, su proposta del primo ministro, il presidente della Repubblica ha nominato il sig. Péterfalvi presidente dell’Autorità con un mandato di nove anni.
Il procedimento precontenzioso e il procedimento dinanzi alla Corte
20 Il 17 gennaio 2012 la Commissione ha inviato all’Ungheria una lettera di diffida. In quest’ultima, la Commissione ha sostenuto che l’Ungheria ha violato l’articolo 28, paragrafi 1 e 2, della direttiva 95/46 nel porre anticipatamente fine al mandato del commissario, nel non averlo consultato sul progetto della nuova legge sulla protezione dei dati, nel prevedere, in tale nuova legge, troppe possibilità di porre fine al mandato del presidente dell’Autorità, e nel conferire a tale proposito un ruolo al presidente della Repubblica e al Primo ministro.
21 Con lettera del 17 febbraio 2012, l’Ungheria ha contestato l’infrazione ad essa addebitata. Tale Stato membro ha sostenuto, in primo luogo, che la cessazione anticipata del mandato del commissario derivava dal cambiamento del modello ungherese di autorità di controllo, che il commissario non desiderava essere nominato presidente dell’Autorità, e che porre anticipatamente fine al mandato dell’attuale presidente di quest’ultima sarebbe contrario alle norme di diritto che garantiscono la sua indipendenza. In secondo luogo, l’Ungheria ha messo a disposizione della Commissione documenti relativi alla consultazione del commissario sul progetto della nuova legge sulla protezione dei dati. In terzo luogo, tale Stato membro ha indicato che le disposizioni relative alla cessazione del mandato del presidente dell’Autorità sarebbero state modificate per rispondere alle preoccupazioni della Commissione.
22 Il 7 marzo 2012, la Commissione ha inviato all’Ungheria un parere motivato nel quale ha ritirato le sue riserve riguardanti la consultazione del commissario in merito alla nuova legge sulla protezione dei dati. La Commissione ha, tuttavia, ribadito le sue preoccupazioni riguardanti, da un lato, la cessazione anticipata del mandato del commissario e, dall’altro, le possibilità di cessazione del mandato del presidente dell’Autorità e il ruolo che in merito hanno il presidente della Repubblica e il Primo ministro. Su tale ultimo profilo, essa ha tuttavia indicato che se l’Ungheria avesse adottato gli emendamenti legislativi annunciati entro il termine previsto nel parere motivato, ovvero entro un mese dalla sua notifica, essa avrebbe ritenuto conclusa l’infrazione sotto detto profilo.
23 L’Ungheria ha risposto al parere motivato con lettera del 30 marzo 2012. Essa ha indicato in tale lettera che l’emendamento legislativo di modifica dell’articolo 45 della legge del 2011 sarebbe stato adottato nei giorni seguenti, adozione che è avvenuta il 2 aprile 2012 con la legge n. XXV del 2012, entrata in vigore il 7 aprile 2012. In tale lettera l’Ungheria ha, tuttavia, mantenuto il suo punto di vista sulla cessazione anticipata del mandato del commissario, circostanza che ha indotto la Commissione a proporre il presente ricorso.
24 Con lettera del 6 dicembre 2012, l’Ungheria ha chiesto, in base all’articolo 60, paragrafo 1, del regolamento di procedura della Corte, che la causa fosse decisa dalla Grande Sezione.
25 Con ordinanza dell’8 gennaio 2013 il presidente della Corte ha ammesso l’intervento del GEPD a sostegno delle conclusioni della Commissione.
Sul ricorso
Sulla ricevibilità
Argomenti delle parti
26 L’Ungheria ritiene che il presente ricorso sia irricevibile, poiché la sentenza che constati l’inadempimento non potrebbe essere eseguita. Infatti, quand’anche la Corte constati che si è posto fine alla carica del commissario in violazione della direttiva 95/46, sarebbe possibile rimediare a tale illegittimità solamente revocando il presidente dell’Autorità e sostituendolo con il precedente commissario, circostanza che equivarrebbe a reiterare l’inadempimento contestato. Orbene, secondo l’Ungheria, la Commissione non può chiedere alla Corte una sentenza dichiarativa di un inadempimento alla quale lo Stato membro interessato può ottemperare solamente mediante una violazione del diritto dell’Unione. Inoltre, la cessazione anticipata del mandato del presidente dell’Autorità violerebbe il principio d’indipendenza della stessa previsto dalla Legge fondamentale.
27 La soluzione proposta dalla Commissione ai fini della regolarizzazione dell’inadempimento dedotto, qualora fosse constatato, comporterebbe inoltre che tutti gli atti compiuti dall’attuale presidente dell’Autorità sarebbero incompatibili con il diritto dell’Unione, essendo stati adottati da un’autorità di controllo che non soddisfa i requisiti della direttiva 95/46, circostanza che violerebbe il principio di certezza del diritto. L’Ungheria sostiene a tale proposito che la legge del 2011 soddisfa comunque i requisiti della direttiva 95/46.
28 La Commissione risponde che gli argomenti dell’Ungheria devono essere respinti, in quanto il presente ricorso mantiene il suo oggetto e nulla osterebbe all’esecuzione di una sentenza che dichiari l’inadempimento contestato.
Giudizio della Corte
29 Innanzitutto, si deve rilevare che, secondo una costante giurisprudenza della Corte, l’esistenza di un inadempimento deve essere valutata in relazione alla situazione dello Stato membro quale si presentava alla scadenza del termine stabilito nel parere motivato (sentenza Commissione/Portogallo, C‑20/09, EU:C:2011:214, punto 31 e giurisprudenza ivi citata). Nella presente fattispecie, il termine concesso all’Ungheria nel parere motivato per conformarsi a quest’ultimo scadeva un mese dopo la sua notifica, ovvero il 7 aprile 2012.
30 A tale proposito, la Corte ha già potuto giudicare che un ricorso per inadempimento è irricevibile qualora, allo scadere del termine fissato nel parere motivato, l’inadempimento contestato ha cessato di produrre i suoi effetti (v., in tal senso, sentenze Commissione/Spagna, C‑221/04, EU:C:2006:329, punti 25 e 26, nonché Commissione/Portogallo, EU:C:2011:214, punto 33).
31 Tuttavia, nella presente fattispecie, l’inadempimento lamentato dalla Commissione consiste nel fatto che il commissario non ha potuto svolgere il suo mandato fino al termine inizialmente previsto ed è pacifico che tale termine non fosse ancora scaduto alla data stabilita nel parere motivato. In tali condizioni, non può essere ritenuto che l’inadempimento contestato non producesse più effetti allo scadere del termine fissato dal parere motivato.
32 La circostanza che la legge del 2011 soddisfa i requisiti della direttiva 95/46, anche supponendola dimostrata, non ha alcuna incidenza a tale proposito, in quanto essa non ha alcun rapporto con la questione se l’inadempimento dedotto avesse o meno cessato di produrre i suoi effetti allo scadere del termine stabilito dal parere motivato, poiché il presente ricorso verte solo sulla questione se, ponendo anticipatamente fine al mandato del commissario, l’Ungheria sia venuta meno agli obblighi ad essa incombenti in forza della direttiva 95/46.
33 In seguito va ricordato che, qualora la Corte stabilisca che uno Stato membro è venuto meno agli obblighi ad esso incombenti in forza dei Trattati, tale Stato è tenuto, ai sensi dell’articolo 260, paragrafo 1, TFUE, ad adottare tutti i provvedimenti che l’esecuzione della sentenza della Corte comporta, la questione su quali siano i provvedimenti che l’esecuzione della sentenza che accerta un inadempimento comporta non rientra nell’oggetto della sentenza pronunciata ai sensi dell’articolo 258 TFUE (v., in tal senso, sentenza Commissione/Germania, C‑503/04, EU:C:2007:432, punto 15 e giurisprudenza ivi citata).
34 La circostanza dedotta dall’Ungheria, secondo la quale le sarebbe impossibile rimediare all’inadempimento allegato senza violare la direttiva 95/46 o il principio di certezza del diritto, quand’anche venisse accertata, rientra, in ogni caso, nell’esecuzione della sentenza che accerta un inadempimento e non ha, pertanto, alcuna influenza sulla ricevibilità del presente ricorso.
35 Infine, in risposta all’argomento dell’Ungheria vertente sul fatto che l’esecuzione della sentenza che dichiari l’inadempimento dedotto potrebbe creare una situazione contraria alla Legge fondamentale, occorre rilevare che, secondo una giurisprudenza consolidata, uno Stato membro non può eccepire disposizioni del proprio ordinamento giuridico nazionale, neppure costituzionale, per giustificare l’inosservanza degli obblighi derivanti dal diritto dell’Unione (v., in particolare, sentenze Commissione/Belgio, 102/79, EU:C:1980:120, punto 15, nonché Commissione/Portogallo, C‑70/06, EU:C:2008:3, punti 21 e 22).
36 Da tali considerazioni risulta che il presente ricorso è ricevibile.
Nel merito
Argomenti delle parti
37 La Commissione, sostenuta dal GEPD, afferma che dalla giurisprudenza della Corte deriva che l’espressione «pienamente indipendenti» di cui all’articolo 28, paragrafo 1, della direttiva 95/46 indica un’indipendenza completa rispetto a qualunque influenza diretta o indiretta, che garantisce all’autorità di controllo interessata la possibilità di agire in piena libertà, al riparo da qualsivoglia istruzione o pressione, senza influenze esterne e senza il rischio che queste ultime possano essere esercitate.
38 La Commissione e il GEPD riconoscono che la direttiva 95/46 concede agli Stati membri un margine di manovra per attuare il suo articolo 28, segnatamente per quanto riguarda la scelta del modello istituzionale e la durata precisa del mandato dell’autorità di controllo. Di conseguenza, gli Stati membri, sarebbero, in via di principio, liberi di stabilire tale durata. Tuttavia, una volta definita la durata di tale mandato, lo Stato membro sarebbe tenuto a rispettarla e non potrebbe porvi fine prima del termine, fatti salvi motivi gravi ed oggettivamente verificabili. Un confronto con l’articolo 42 del regolamento n. 45/2001, relativo al GEPD, confermerebbe tale interpretazione.
39 Nella presente fattispecie l’Ungheria non avrebbe dimostrato l’esistenza di una ragione oggettiva che giustificava la cessazione anticipata del mandato del commissario. In primo luogo la riforma dell’autorità di controllo non può essere considerata una giustificazione ammissibile, sebbene l’Ungheria abbia il diritto di cambiare il modello istituzionale della propria autorità di controllo. In secondo luogo, tale Stato membro non avrebbe dimostrato che il commissario aveva rinunciato al diritto di proseguire il suo mandato e rifiutato di dirigere l’Autorità. In terzo luogo, non sarebbe rilevante il fatto che la normativa ungherese in esame sia parte della Legge fondamentale e delle sue disposizioni transitorie o che la legge del 2011 soddisfi o meno i criteri della direttiva 95/46.
40 L’Ungheria rileva, in via preliminare, che la decisione di sostituire il commissario con un organismo operante nella forma di un’autorità e, rispettivamente, quella di porre fine al mandato del commissario sono state adottate dal potere costituente e che la nuova normativa relativa all’Autorità è fondata sulla Legge fondamentale.
41 Nel merito, tale Stato membro contesta la posizione sostenuta dalla Commissione e dal GEPD. Esso rileva di nutrire dubbi sul fatto che il requisito dell’indipendenza previsto all’articolo 28 della direttiva 95/46 comprenda anche la decisione di uno Stato membro relativa alla forma o al cambiamento della forma conferita all’autorità di controllo, qualora il funzionamento e il processo decisionale dell’organismo creato soddisfino il requisito d’indipendenza quale previsto da detta direttiva e interpretato dalla Corte.
42 Secondo l’Ungheria, dalla lettera di tale articolo 28 e dell’articolo 44 del regolamento n. 45/2001, nonché della giurisprudenza della Corte, deriva chiaramente che il requisito d’indipendenza di cui all’articolo 28, paragrafo 1, della direttiva 95/46 si ricollega all’indipendenza nell’esercizio delle funzioni conferite alle autorità di controllo e si riferisce dunque all’indipendenza funzionale dell’autorità in parola. La normativa ungherese, tanto prima quanto dopo il 1° gennaio 2012, soddisferebbe pienamente tale requisito. Non può essere dedotto da tale articolo 28 l’obbligo di conferire a chi dirige detta autorità un diritto soggettivo all’esercizio di tale funzione. Fintanto che sia garantita l’indipendenza funzionale dell’autorità, poco rileverebbe che intervenga un cambiamento della persona a capo della stessa, anche se prima dello scadere del suo mandato iniziale. Tale concezione sarebbe conforme alla competenza riconosciuta agli Stati membri per stabilire la durata del mandato delle autorità di controllo.
43 Poiché la direttiva 95/46 non stabilisce né la struttura, né l’organizzazione delle autorità di controllo, né la durata del mandato dei soggetti che le dirigono, gli Stati membri sarebbero liberi di definire la loro struttura istituzionale. Tale libertà comprenderebbe la scelta della persona incaricata di esercitare le competenze dell’autorità di controllo nell’ambito del modello istituzionale prescelto e di decidere la sua sostituzione in occasione di un cambiamento di modello, anche quando essa derivasse da una cessazione anticipata «per legge» del mandato dell’autorità di controllo in carica.
44 L’unico limite imposto agli Stati membri dall’articolo 28 della direttiva 95/46 sarebbe di garantire che le autorità di controllo possano compiere le proprie funzioni in modo ininterrotto in completa indipendenza durante la durata del loro mandato, determinata dagli stessi Stati membri. Ciò è proprio quanto avviene nel caso di specie.
45 La modifica del sistema istituzionale di protezione dei dati costituirebbe pertanto una ragione oggettiva che giustifica la cessazione anticipata del mandato del commissario. Poiché sono la Legge fondamentale e le sue disposizioni transitorie a disporre tale nuovo sistema, nonché la cessazione del mandato del commissario, né la precedente né la nuova regolamentazione, di rango legislativo avrebbero potuto prevedere disposizioni diverse in merito. Alla luce del cambiamento istituzionale introdotto dalla nuova normativa, non sarebbe stato giustificato prevedere che il commissario occupasse automaticamente la funzione di presidente dell’Autorità. Il commissario avrebbe peraltro espresso il suo disaccordo riguardo al nuovo modello istituzionale nonché la sua intenzione di non accettare una tale nomina.
46 Se fosse seguita la tesi della Commissione, la direttiva 95/46 dovrebbe essere interpretata come se escludesse altresì che il mandato della persona a capo dell’autorità di controllo possa essere rinnovato o che tale persona possa esercitare un’altra funzione pubblica elettiva. Infatti, da detta tesi deriverebbe che la speranza di un rinnovo del mandato o dell’esercizio di un’altra funzione potrebbe indurre il presidente dell’autorità di controllo a conformarsi alle attese, reali o presunte, del potere politico, nell’interesse della sua carriera futura.
Giudizio della Corte
47 In limine, occorre ricordare che l’articolo 28, paragrafo 1, secondo comma, della direttiva 95/46 obbliga gli Stati membri a istituire una o più autorità di controllo che esercitino in pena indipendenza le funzioni loro attribuite. L’esigenza di un controllo, da parte di un’autorità indipendente, dell’osservanza delle norme dell’Unione relative alla tutela delle persone fisiche con riguardo al trattamento dei dati personali risulta altresì dal diritto primario dell’Unione, segnatamente dall’articolo 8, paragrafo 3, della Carta dei diritti fondamentali dell’Unione europea e dall’articolo 16, paragrafo 2, TFUE.
48 L’istituzione, negli Stati membri, di autorità di controllo indipendenti costituisce quindi un elemento essenziale del rispetto della tutela delle persone con riguardo al trattamento dei dati personali (sentenze Commissione/Germania, C‑518/07, EU:C:2010:125, punto 23, e Commissione/Austria, C‑614/10, EU:C:2012:631, punto 37), come è peraltro rilevato al considerando 62 della direttiva 95/46.
49 Va ricordato che, in Ungheria, la legge del 1992 prevedeva che il commissario, nominato per un mandato di sei anni, rinnovabile una volta, costituisse l’autorità di controllo per la protezione dei dati personali ai sensi della direttiva 95/46, circostanza che non è contestata dall’Ungheria.
50 Al fine di valutare la fondatezza del presente ricorso, si deve esaminare se, come afferma la Commissione, il requisito, previsto all’articolo 28, paragrafo 1, secondo comma, della direttiva 95/46, secondo il quale deve essere garantito che ogni autorità di controllo sia pienamente indipendente nell’esercizio delle funzioni che le sono attribuite, implichi l’obbligo, per lo Stato membro interessato, di rispettare la durata del mandato di tale autorità fino al termine inizialmente previsto.
51 La Corte ha già statuito che l’articolo 28, paragrafo 1, secondo comma, della direttiva 95/46 deve essere interpretato nel senso che le autorità di controllo competenti per la vigilanza del trattamento dei dati personali devono godere di un’indipendenza che consenta loro di svolgere le proprie funzioni senza subire influenze esterne. Tale indipendenza esclude in particolare qualsiasi imposizione e ogni altra influenza esterna di qualunque forma, sia diretta che indiretta, che possano orientare le loro decisioni e che potrebbero quindi rimettere in discussione lo svolgimento, da parte di dette autorità, del loro compito, consistente nello stabilire un giusto equilibrio tra la protezione del diritto alla vita privata e la libera circolazione dei dati personali (v., in tal senso, sentenze Commissione/Germania, EU:C:2010:125, punto 30, nonché Commissione/Austria, EU:C:2012:631, punti 41 e 43).
52 L’indipendenza funzionale delle autorità di controllo, nel senso che i loro membri non sono vincolati da alcuna istruzione nell’esercizio delle loro funzioni, è pertanto una condizione necessaria affinché esse possano soddisfare il criterio d’indipendenza ai sensi dell’articolo 28, paragrafo 1, secondo comma, della direttiva 95/46, ma, contrariamente a quanto sostiene l’Ungheria, una tale indipendenza funzionale da sola non è sufficiente per preservare le autorità di controllo da qualsiasi influenza esterna (sentenza Commissione/Austria, EU:C:2012:631, punto 42).
53 A tale proposito, la Corte ha già stabilito che il solo rischio che le autorità responsabili dello Stato possano esercitare un’influenza politica sulle decisioni delle autorità di controllo è sufficiente ad ostacolare lo svolgimento indipendente delle funzioni di queste ultime. Infatti, da un lato, potrebbe derivarne un’«obbedienza anticipata» di tali autorità in considerazione della prassi decisionale dell’autorità di vigilanza. Dall’altro, alla luce del ruolo di custodi della vita privata che assumono le autorità di controllo, l’articolo 28, paragrafo 1, secondo comma, della direttiva 95/46 impone che le loro decisioni e, quindi, esse stesse, siano al di sopra di qualsivoglia sospetto di parzialità (sentenze Commissione/Germania, EU:C:2010:125, punto 36, e Commissione/Austria, EU:C:2012:631, punto 52).
54 Orbene, se fosse consentito ad ogni Stato membro porre fine al mandato di un’autorità di controllo prima del relativo termine inizialmente previsto senza rispettare le norme e le garanzie prestabilite a tal fine dalla legislazione applicabile, la minaccia di una tale cessazione anticipata incombente su detta autorità durante l’intero esercizio del suo mandato potrebbe condurre ad una forma di obbedienza al potere politico in capo alla stessa, incompatibile con detto requisito di indipendenza (v., in tal senso, sentenza Commissione/Austria, EU:C:2012:631, punto 51). Ciò è vero anche qualora la cessazione del mandato derivi da una ristrutturazione o da un cambiamento del modello, i quali devono essere organizzati in modo da rispettare i requisiti di indipendenza disposti dalla legislazione applicabile.
55 Inoltre, in una tale situazione, non potrebbe ritenersi che l’autorità di controllo possa agire, in ogni circostanza, al di sopra di qualsivoglia sospetto di parzialità. Il requisito d’indipendenza di cui all’articolo 28, paragrafo 1, secondo comma, della direttiva 95/46 deve, pertanto, necessariamente essere interpretato nel senso che include l’obbligo di rispettare la durata del mandato delle autorità di controllo fino alla scadenza e di porvi fine anticipatamente solo nel rispetto delle norme e delle garanzie della normativa applicabile.
56 Le norme applicabili alla cessazione del mandato del GEPD riflettono tale interpretazione. Infatti, deriva dal capo V del regolamento n. 45/2001, e segnatamente dal suo articolo 42, paragrafi 4 e 5, che disciplina rigidamente le circostanze nelle quali il mandato del GEPD può cessare anticipatamente, che il rispetto del mandato del GEPD fino alla scadenza, fatti salvi motivi gravi e oggettivamente verificabili, è una condizione imprescindibile della sua indipendenza.
57 Nella fattispecie, l’articolo 15, paragrafo 1, della legge del 1993, applicabile al commissario ai sensi dell’articolo 23, paragrafo 2, della legge del 1992 prevedeva che il mandato del commissario poteva cessare solo in ragione della sua scadenza, del decesso del commissario, delle sue dimissioni, della dichiarazione di un conflitto di interessi, del collocamento a riposo o delle dimissioni d’ufficio. Queste ultime tre ipotesi richiedevano una decisione del Parlamento adottata a maggioranza dei due terzi dei suoi membri. Inoltre, tanto il collocamento a riposo d’ufficio che le dimissioni d’ufficio potevano aver luogo soltanto in circostanze limitate, precisate rispettivamente ai paragrafi 5 e 6 del medesimo articolo 15.
58 Orbene, è pacifico che non è stato posto fine al mandato del commissario in applicazione di una di tali disposizioni e in particolare che lo stesso non si è ufficialmente dimesso.
59 Ne deriva che l’Ungheria ha posto fine al mandato del commissario senza rispettare le garanzie istituite dalla legge al fine di tutelare il suo mandato, compromettendo quindi la sua indipendenza ai sensi dell’articolo 28, paragrafo 1, secondo comma, della direttiva 95/46. La circostanza che la cessazione anticipata deriva da un cambiamento del modello istituzionale non può renderla compatibile con l’indipendenza delle autorità di controllo richiesta da tale disposizione, come è stato rilevato al punto 54 della presente sentenza.
60 Gli Stati membri sono certamente liberi di adottare e di modificare il modello istituzionale che ritengono il più adatto per le loro autorità di controllo. Essi devono, tuttavia, in quest’ambito, fare in modo di non compromettere l’indipendenza dell’autorità di controllo derivante dall’articolo 28, paragrafo 1, secondo comma, della direttiva 95/46, che implica l’obbligo di rispettare la durata del mandato della stessa, conformemente a quanto esposto al punto 54 della presente sentenza.
61 Inoltre, anche se, come sostiene l’Ungheria, il commissario e l’Autorità sono fondamentalmente distinti quanto alla loro organizzazione e alla loro struttura, questi due enti sono, in sostanza, investiti di identiche funzioni, vale a dire di quelle conferite alle autorità di controllo nazionali in applicazione della direttiva 95/46, come deriva dalle funzioni rispettivamente conferite agli stessi e dalla continuità tra essi nella gestione dei fascicoli garantita dall’articolo 75, paragrafi 1 e 2, della legge del 2011. Tale mero cambiamento di modello istituzionale non può quindi obiettivamente giustificare che possa essere posto fine al mandato della persona investita delle funzioni di commissario senza che siano previste misure transitorie che consentano di garantire il rispetto della durata del suo mandato.
62 Alla luce delle considerazioni che precedono si deve constatare che, ponendo anticipatamente fine al mandato dell’autorità di controllo per la protezione dei dati personali, l’Ungheria è venuta meno agli obblighi ad essa incombenti in forza della direttiva 95/46.
Sulla limitazione nel tempo degli effetti della presente sentenza
63 L’Ungheria suggerisce alla Corte di limitare nel tempo gli effetti della sua sentenza, disponendo che l’inadempimento constatato non si ripercuote sul mandato del presidente dell’Autorità. A sostegno della propria domanda tale Stato membro deduce la conformità della legge del 2011 alla direttiva 95/46 nonché la novità della questione presentata dalla presente causa. La Commissione chiede, per contro, il rigetto di tale domanda.
64 A questo proposito, anche a voler ammettere che le sentenze emanate ai sensi dell’articolo 258 TFUE producano effetti identici a quelli delle sentenze pronunciate ex articolo 267 TFUE e che, pertanto, considerazioni di certezza del diritto possano rendere necessaria, in via eccezionale, la limitazione nel tempo dei loro effetti, qualora ricorrano le condizioni stabilite dalla giurisprudenza della Corte nell’ambito dell’articolo 267 TFUE (v., in particolare, sentenze Commissione/Grecia, C‑178/05, EU:C:2007:317, punto 67 e giurisprudenza ivi citata, nonché Commissione/Irlanda, C‑82/10, EU:C:2011:621, punto 63 e giurisprudenza ivi citata), occorre constatare che, nella presente fattispecie, l’Ungheria non ha dimostrato che tali condizioni erano soddisfatte. In particolare, riguardo all’inadempimento constatato al punto 62 della presente sentenza, l’espressione «pienamente indipendenti» che figura all’articolo 28, paragrafo 1, secondo comma, della direttiva 95/46 è chiara di per sé e, in ogni caso, tale espressione era già stata l’oggetto di un’interpretazione della Corte nella sua sentenza Commissione/Germania, EU:C:2010:125, precedente di oltre un anno a detto inadempimento. In seguito a tale sentenza, il diritto dell’Unione non poteva, infatti, ragionevolmente essere inteso nel senso che autorizzasse l’Ungheria a porre anticipatamente fine al mandato del commissario.
65 Di conseguenza, la domanda dell’Ungheria vertente sulla limitazione nel tempo degli effetti della presente sentenza deve essere respinta.
Sulle spese
66 A norma dell’articolo 138, paragrafo 1, del regolamento di procedura, la parte soccombente è condannata alle spese se ne è stata fatta domanda. Poiché la Commissione ne ha fatto domanda, l’Ungheria, rimasta soccombente, dev’essere condannata alle spese.
67 Conformemente all’articolo 140, paragrafo 3, del medesimo regolamento, la Corte può decidere che una parte interveniente, diversa da quelle indicate nei paragrafi 1 e 2 di detto articolo 140 si faccia carico delle proprie spese. La Corte decide, pertanto, che il GEPD, intervenuto nella causa, sopporterà le proprie spese.
Per questi motivi, la Corte (Grande Sezione) dichiara e statuisce:
1) L’Ungheria, ponendo anticipatamente fine al mandato dell’autorità di controllo per la protezione dei dati personali, è venuta meno agli obblighi ad essa incombenti in forza della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati.
2) L’Ungheria è condannata alle spese.
3) Il Garante europeo della protezione dei dati (GEPD) sopporterà le proprie spese.
Firme