CONCLUSIONI DELL’AVVOCATO GENERALE
MELCHIOR WATHELET
presentate il 10 dicembre 2013 (1)
Causa C‑288/12
Commissione europea
contro
Ungheria
«Inadempimento di uno Stato – Direttiva 95/46/CE – Tutela delle persone fisiche con riguardo al trattamento dei dati personali e libera circolazione di tali dati – Articolo 28, paragrafo 1 – Autorità nazionale di controllo – Legislazione nazionale pone fine anticipatamente al mandato di sei anni del commissario per la protezione dei dati – Creazione di un’autorità nazionale per la protezione dei dati e della libertà di informazione e nomina, per un mandato di nove anni, di una persona diversa dal commissario per la protezione dei dati al posto di presidente di detta autorità»
I – Introduzione
1. Con il suo ricorso del 24 maggio 2012, la Commissione europea chiede alla Corte di constatare che l’Ungheria, mettendo anticipatamente fine al mandato dell’autorità di controllo per la protezione dei dati personali, è venuta meno agli obblighi ad essa incombenti in forza della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (2). Al riguardo, la Commissione addebita all’Ungheria una violazione dell’indipendenza dell’autorità di controllo per la protezione dei dati disposta dall’articolo 28, paragrafo 1, secondo comma della direttiva.
2. Alla stregua delle cause che hanno dato luogo alle sentenze del 9 marzo 2010, Commissione/Germania (3), e del 16 ottobre 2012, Commissione/Austria (4), la presente causa verte sulla portata dell’obbligo imposto agli Stati membri in applicazione dell’articolo 28, paragrafo 1, secondo comma, della direttiva, di istituire una o più autorità di controllo per la protezione dei dati personali «pienamente indipendenti nell’esercizio delle funzioni loro attribuite».
II – Il diritto dell’Unione
3. La direttiva è stata adottata sulla base dell’articolo 100 A del Trattato CE (divenuto, in seguito a modifica, articolo 95 CE, divenuto articolo 114 TFUE) e intende armonizzare le legislazioni nazionali relative al trattamento dei dati personali.
4. Il considerando 62 della direttiva così dispone:
«considerando che la designazione di autorità di controllo che agiscano in modo indipendente in ciascuno Stato membro è un elemento essenziale per la tutela delle persone con riguardo al trattamento di dati personali».
5. L’articolo 28, paragrafo 1, della direttiva, intitolato «Autorità di controllo», dispone quanto segue:
«Ogni Stato membro dispone che una o più autorità pubbliche siano incaricate di sorvegliare, nel suo territorio, l’applicazione delle disposizioni di attuazione della presente direttiva, adottate dagli Stati membri.
Tali autorità sono pienamente indipendenti nell’esercizio delle loro funzioni».
III – Il contesto giuridico ungherese e i fatti
6. Fino al 31 dicembre 2011 e in applicazione della legge n. LXIII del 1992 sulla protezione dei dati personali e l’accesso ai dati di interesse generale (in prosieguo: la «legge precedente sulla protezione dei dati»), l’autorità di controllo per la protezione dei dati in Ungheria, di cui all’articolo 28 della direttiva, era il commissario delegato per la protezione dei dati (5) (in prosieguo: il «commissario»). L’articolo 32 della legge precedente sulla protezione dei dati stabiliva che il commissario era eletto dal Parlamento ungherese e gli articoli 24 e 25 della legge precedente sulla protezione dei dati ne definivano le missioni. La durata e la cessazione del suo mandato erano disciplinate dalla legge n. LIX del 1993, relativa al commissario parlamentare incaricato dei diritti dei cittadini (in prosieguo: la «legge n. LIX del 1993»). L’articolo 4, paragrafo 5, di tale legge, nell’ultima versione in vigore fino al 31 dicembre 2011, prevedeva che il commissario era eletto per sei anni e poteva essere rieletto una volta. L’articolo 15 di tale legge disciplinava la cessazione del mandato.
7. Sulla base della legge precedente sulla protezione dei dati, il sig. Jóri è stato eletto commissario e ha assunto le sue funzioni il 29 settembre 2008. Il suo mandato era di sei anni e sarebbe, dunque, dovuto durare fino a settembre 2014.
8. In applicazione dell’articolo VI, paragrafo 3, della Legge fondamentale dell’Ungheria, entrata in vigore il 1° gennaio 2012 (in prosieguo: la «Legge fondamentale»), «un’autorità indipendente istituita da una legge organica vigila sul rispetto dei diritti relativi alla protezione dei dati personali e sull’accesso ai documenti di interesse generale».
9. Il 1° gennaio 2012 è entrata in vigore la legge n. CXII del 2011 sull’autodeterminazione in materia di informazione e sulla libertà di informazione (in prosieguo: la «nuova legge sulla protezione dei dati»). Tale legge abroga la legge precedente sulla protezione dei dati e istituisce allo stesso tempo l’Autorità nazionale incaricata della protezione dei dati e della libertà di informazione (in prosieguo: l’«Autorità»). La nuova legge sulla protezione dei dati ha trasferito le funzioni del commissario all’Autorità. Ai sensi dell’articolo 40, paragrafi 1 e 3, della nuova legge sulla protezione dei dati il presidente dell’Autorità è nominato dal presidente della Repubblica su proposta del Primo ministro, con un mandato di nove anni.
10. L’Autorità ha iniziato i suoi lavori il 1° gennaio 2012.
11. Il mandato del sig. Jóri, che scadeva inizialmente a settembre 2014, è terminato il 31 dicembre 2011, in applicazione dell’articolo 16 delle disposizioni transitorie della Legge fondamentale che prevede che «[l]’entrata in vigore della presente Legge fondamentale pone fine al mandato del [commissario]».
12. Il sig. Jóri non è stato prescelto per essere presidente dell’Autorità. Su proposta del Primo ministro, il presidente della Repubblica ha nominato il sig. Péterfalvi presidente dell’Autorità per nove anni.
IV – Il procedimento precontenzioso e il procedimento dinanzi alla Corte
13. Il 17 gennaio 2012 la Commissione ha inviato all’Ungheria una lettera di diffida. In tale lettera la Commissione sostiene che l’Ungheria ha violato l’articolo 28, paragrafi 1 e 2, della direttiva in tre punti. In primo luogo, l’Ungheria avrebbe messo anticipatamente fine al mandato del commissario. In secondo luogo, essa non avrebbe consultato il commissario a proposito del progetto di nuova legge sulla protezione dei dati, come invece era tenuta a fare. In terzo luogo, da un lato, la nuova legge sulla protezione dei dati offrirebbe troppe possibilità di mettere fine al mandato del presidente dell’Autorità, e dall’altro, il ruolo del presidente della Repubblica e del primo ministro nella cessazione di tale mandato consentirebbe al potere esecutivo del paese di esercitare un’influenza sul presidente dell’Autorità.
14. La Commissione ha invitato l’Ungheria a trasmetterle la sua risposta entro un mese.
15. Nella sua risposta del 17 febbraio 2012, l’Ungheria ha contestato la violazione addebitata relativa alla cessazione anticipata del mandato del commissario rilevando, segnatamente, che questa era la conseguenza del cambiamento del modello ungherese. Essa ha indicato che, secondo le sue dichiarazioni pubblicate dalla stampa, il commissario non intendeva diventare il presidente dell’Autorità. Inoltre, tale Stato membro precisava che, poiché la nomina del presidente dell’Autorità era già avvenuta, non era più possibile, prima dello scadere del suo mandato il 31 dicembre 2020, che il commissario occupasse tale medesimo posto, poiché mettere anticipatamente fine al mandato dell’attuale presidente sarebbe stato contrario alle norme di diritto che garantiscono la sua indipendenza.
16. Per quanto riguarda la consultazione del commissario, l’Ungheria afferma che avevano effettivamente avuto luogo consultazioni e ha trasmesso documenti al riguardo alla Commissione.
17. Quanto ai possibili motivi di cessazione del mandato del presidente dell’Autorità, l’Ungheria ha contestato la violazione addebitata, ma ha proposto di modificare la nuova legge sulla protezione dei dati per rispondere alle preoccupazioni espresse dalla Commissione a tale proposito e, più precisamente, abolire le disposizioni sul pensionamento e le dimissioni d’ufficio del presidente dell’Autorità nonché prevedere una possibilità di ricorso giurisdizionale in tutti i casi in cui il presidente dell’Autorità contesti la decisione del presidente della Repubblica, su proposta del Primo ministro, di mettere fine al suo mandato.
18. Il 7 marzo 2012, la Commissione ha inviato all’Ungheria un parere motivato nel quale ha reiterato le sue preoccupazioni sulla cessazione anticipata del mandato del commissario e ha invitato l’Ungheria a prendere le misure necessarie per conformarsi a tale avviso entro un mese dalla sua notifica. Per contro, la Commissione ha ritirato le sue riserve riguardanti la previa consultazione del commissario sul progetto della nuova legge. Infine, sui possibili motivi di cessazione del mandato del presidente dell’Autorità, la Commissione ha indicato che, se l’Ungheria avesse adottato, nel termine fissato dal parere motivato, gli emendamenti legislativi proposti nella sua risposta alla lettera di diffida, essa avrebbe ritenuto conclusa l’infrazione sotto tale profilo.
19. Il 30 marzo 2012, l’Ungheria ha risposto al parere motivato della Commissione confermando il suo punto di vista riguardo alla cessazione del mandato del commissario, circostanza che ha indotto la Commissione a proporre il presente ricorso.
20. Con ordinanza del presidente della Corte dell’8 gennaio 2013, è stato ammesso l’intervento del Garante europeo della protezione dei dati (in prosieguo: il «GEPD»), a sostegno delle conclusioni della Commissione.
21. Durante l’udienza del 15 ottobre 2013, la Commissione, l’Ungheria e il GEPD hanno presentato osservazioni orali.
V – Sul ricorso
A – Sulla ricevibilità
1. Argomenti delle parti
22. L’Ungheria sostiene che il presente ricorso è irricevibile.
23. Secondo l’Ungheria, l’unico modo concepibile di rimediare alla violazione contestata sarebbe quello di mettere fine anticipatamente al mandato del presidente dell’Autorità e sostituirlo in tale carica con il commissario; il che equivarrebbe, in sostanza, a reiterare la pretesa violazione. Essa sostiene che la Commissione non può chiedere alla Corte una sentenza di constatazione di un inadempimento alla quale lo Stato membro potrebbe ottemperare solo mediante una violazione del diritto dell’Unione. Essa aggiunge che l’adozione di una tale misura condurrebbe altresì a una situazione incostituzionale a causa della violazione del principio dell’indipendenza dell’Autorità previsto dalla Legge fondamentale.
24. Essa rileva, peraltro, che il cambiamento di modello delle istituzioni incaricate della protezione dei dati personali implicava necessariamente, poiché si poneva fine alla funzione di commissario, che si ponesse altresì fine al mandato della persona che esercitava tale funzione. Orbene, secondo l’Ungheria, porre fine al mandato dell’attuale presidente dell’Autorità senza un cambiamento in termini istituzionali non può essere giustificato da simili ragioni normative.
25. L’Ungheria sostiene, altresì, che la nuova legge sulla protezione dei dati garantisce pienamente l’indipendenza del presidente dell’Autorità e soddisfa perciò le esigenze della direttiva in materia. A suo avviso, anche supponendo che mettere fine al mandato del commissario costituisca una violazione del requisito dell’indipendenza, una tale violazione non ha avuto effetto sull’attività del commissario, né tantomeno impedisce al presidente dell’Autorità di esercitare la sua funzione al riparo di ogni influenza esterna. Conformemente all’obiettivo della direttiva, il diritto alla protezione dei dati personali è stato garantito, in Ungheria, in modo continuato e in ogni istante, sia prima sia dopo il 1° gennaio 2012. Essa fa notare con soddisfazione che la Commissione lo riconosce anch’essa, poiché constata che la normativa ungherese ha garantito la continuità giuridica assegnando all’Autorità i procedimenti pendenti dinanzi al commissario. Di conseguenza, secondo l’Ungheria, se anche una violazione c’è stata, questa non ha, in ogni caso, avuto conseguenze giuridiche che sarebbe necessario correggere.
26. L’Ungheria sostiene inoltre che la pretesa violazione aveva già prodotto tutti i suoi effetti allo scadere del termine fissato nel parere motivato della Commissione e non ha avuto ripercussioni, dopo il 1° gennaio 2012, sul funzionamento dell’Autorità, in particolare sulla sua indipendenza. Di conseguenza, il ricorso della Commissione sarebbe privo di oggetto e, perciò, irricevibile.
27. Essa ritiene che ammettere l’argomento della Commissione implicherebbe che tutti gli atti compiuti a partire dal 1° gennaio 2012 dall’attuale presidente dell’Autorità sarebbero incompatibili con il diritto dell’Unione e porterebbe a una violazione del principio della certezza del diritto.
28. L’Ungheria aggiunge che, contrariamente all’argomento della Commissione, esposto nel successivo paragrafo 33, essa ha indicato chiaramente, nel presente procedimento dinanzi alla Corte, il suo auspicio che l’eventuale constatazione di un inadempimento non influisca sul mandato del presidente dell’Autorità attualmente in carica e ciò benché l’espressione «limitazione degli effetti nel tempo» non compaia nel controricorso.
29. La Commissione afferma che il presente ricorso è ricevibile.
30. Essa sostiene che non è per niente impossibile rimediare all’inadempimento e afferma che l’Ungheria deve prendere le misure necessarie affinché il sig. Jóri occupi nuovamente il posto di cui all’articolo 28 della direttiva fino al normale scadere del suo mandato, ovvero fino a settembre 2014. Secondo la Commissione, il modo in cui l’Ungheria rimedierebbe all’inadempimento rientra nella competenza di tale Stato membro ed è privo di rilevanza ai fini del presente ricorso. Inoltre, la Commissione sostiene che l’Ungheria non può addurre l’indipendenza del presidente dell’Autorità per opporsi alla reintegrazione del sig. Jóri nella sua carica. Ciò facendo, si avvarrebbe del suo proprio inadempimento come difesa.
31. Secondo la Commissione l’esistenza di un inadempimento deve essere determinata in base alla situazione esistente nello Stato membro alla scadenza del termine stabilito nel parere motivato. Sulla base della giurisprudenza della Corte, la violazione persiste qualora gli effetti delle misure adottate in violazione del diritto dell’Unione sussistano ancora allo scadere di tale termine. Nella fattispecie, l’inadempimento sarebbe costituito dalla cessazione anticipata del mandato del commissario e persisterebbe in ragione del fatto che il sig. Jóri non è stato reintegrato nelle sue funzioni allo scadere di tale termine.
32. Per quanto riguarda l’argomento dell’Ungheria, esposto al precedente paragrafo 23, secondo il quale il fatto di giudicare ricevibile il ricorso della Commissione implicherebbe mettere anticipatamente fine al mandato del presidente dell’Autorità, circostanza che potrebbe anch’essa condurre ad una situazione contraria alla Legge fondamentale, la Commissione ricorda che, in applicazione del principio del primato del diritto dell’Unione, quest’ultimo prevale sulle norme costituzionali degli Stati membri. Inoltre, secondo la Commissione la riforma dell’autorità di controllo per la protezione dei dati non giustificava in alcun modo la cessazione anticipata del mandato del commissario. Essa aggiunge, cosa che l’Ungheria non ha contestato nel suo controricorso, che sarebbe stato perfettamente possibile prevedere con un atto di diritto nazionale che il nuovo modello dovesse essere applicato solo allo scadere del mandato del commissario allora in carica o che quest’ultimo fosse il primo presidente dell’Autorità per il restante periodo del suo mandato.
33. La Commissione sostiene che l’argomento dell’Ungheria, esposto al precedente paragrafo 28, secondo il quale la constatazione di un inadempimento nel caso di specie avrebbe anche l’effetto di rendere incompatibili con il diritto dell’Unione le misure adottate dall’Autorità dal 1° gennaio 2012, non dovrebbe essere esaminato dalla Corte in relazione alla ricevibilità del ricorso. Tale argomento porrebbe, in realtà, la questione se l’ambito di applicazione ratione temporis della sentenza che constata l’inadempimento si estenda oppure no al periodo anteriore alla pronuncia della sentenza. Secondo la Commissione solo in circostanze eccezionali la Corte può, in applicazione del principio della certezza del diritto, limitare la possibilità per qualunque interessato di far valere una disposizione che essa ha interpretato per rimettere in questione rapporti giuridici costituiti in buona fede. Essa sostiene che l’Ungheria, nel suo controricorso, non ha chiesto alla Corte di limitare nel tempo gli effetti della sua sentenza che constati l’inadempimento nella presente causa. Inoltre, secondo la Commissione, l’Ungheria non avrebbe dimostrato che fossero sodisfatti i requisiti posti dalla giurisprudenza a tale riguardo.
34. Secondo la Commissione la reintegrazione del commissario al suo posto o la sua nomina a presidente dell’Autorità non implicherebbe l’incompatibilità con il diritto dell’Unione delle decisioni adottate dal presidente dell’Autorità dopo il 1° gennaio 2012.
35. Il GEPD non si è pronunciato sulla ricevibilità del ricorso.
2. Valutazione
36. Non posso condividere l’argomento dell’Ungheria vertente sull’impossibilità di dare esecuzione a una sentenza che constati il preteso inadempimento. Tale argomento si suddivide in due parti.
37. In primo luogo, l’Ungheria afferma che il preteso inadempimento aveva già prodotto i suoi effetti allo scadere del termine fissato nel parere motivato della Commissione. Non condivido tale opinione.
38. Secondo una costante giurisprudenza la situazione da valutare per accertare l’inadempimento di uno Stato membro è quella esistente al momento della scadenza di tale termine (6).
39. Dato che il mandato del commissario dovrebbe scadere solo a settembre 2014, in applicazione della legge n. LIX del 1993 (7), ritengo che il preteso inadempimento non avesse esaurito tutti i suoi effetti allo scadere del termine fissato nel parere motivato della Commissione (8) e produca tuttora effetti giuridici.
40. In secondo luogo, l’Ungheria allega l’irricevibilità del ricorso della Commissione poiché sarebbe per essa impossibile dare esecuzione a una sentenza che constata un inadempimento, salvo reiterare la medesima violazione che la sentenza avrebbe constatato. Non condivido nemmeno tale argomento.
41. La constatazione da parte della Corte di un inadempimento di uno Stato membro impone a quest’ultimo, ai termini dell’articolo 260 TFUE, di prendere le misure che l’esecuzione della sentenza della Corte comporta.
42. Sebbene, con la sua sentenza meramente dichiarativa, la Corte non possa ingiungere allo Stato membro di cui constati l’inadempimento di adottare determinati provvedimenti (9), tutti gli organi dello Stato membro interessato, comprese le autorità legislative, giudiziarie e amministrative, hanno l’obbligo di garantire, nell’ambito dei loro rispettivi poteri, l’esecuzione della sentenza della Corte (10), circostanza che comporta, segnatamente, il divieto assoluto di applicare la legislazione incompatibile con il diritto dell’Unione e l’obbligo di adottare tutte le disposizioni necessarie per agevolare la piena efficacia del diritto dell’Unione (11).
43. Inoltre, la proroga di un regime dichiarato contrario al diritto dell’Unione con una sentenza della Corte costituisce una violazione patente dell’obbligo di leale cooperazione incombente agli Stati membri in forza dell’articolo 4, paragrafo 3, TUE, che implica, segnatamente, quello di astenersi da qualsiasi misura idonea a compromettere la realizzazione degli obiettivi dell’Unione (12).
44. Di conseguenza, la constatazione di un inadempimento nella presente causa, nonostante la sua natura dichiarativa, comporterebbe effetti giuridici importanti che avrebbero necessariamente un impatto sullo statuto dell’attuale presidente dell’Autorità, come rileva, del resto, l’Ungheria (sebbene per opporsi all’eventuale constatazione di una violazione).
45. Alla luce del contesto giuridico e fattuale nazionale descritto nei precedenti paragrafi da 6 a 12, la cessazione anticipata, al 31 dicembre 2011, del mandato del commissario era infatti intrinsecamente legata alla nomina del presidente dell’Autorità il 1° gennaio 2012. Di conseguenza, se la Corte dovesse constatare che, mettendo anticipatamente fine al mandato del commissario l’Ungheria ha violato l’articolo 28, paragrafo 1, secondo comma, della direttiva, ne deriverebbe che la nomina del presidente dell’Autorità sarebbe anch’essa illegittima, come sostiene la Commissione. È infatti in violazione del diritto dell’Unione che, dal 1° gennaio 2012, l’attuale presidente dell’Autorità occuperebbe il suo posto.
46. In tali circostanze, ritengo che siano infondati gli argomenti vertenti sull’impossibilità di dare esecuzione a una sentenza che constata un eventuale inadempimento, poiché, come afferma la Commissione, nella fattispecie potrebbe essere data esecuzione alla sentenza che constata l’inadempimento contestato, vuoi mediante la reintegrazione del sig. Jóri nelle sue funzioni di commissario per il periodo rimanente del suo mandato iniziale, vuoi mediante la sua nomina alla presidenza dell’Autorità.
47. Inoltre, le questioni se la nuova legge sulla protezione dei dati personali soddisfi oppure no i criteri della direttiva o se l’Autorità agisca in modo indipendente e se l’esecuzione della sentenza che constata l’inadempimento implichi la reiterazione della violazione in tal modo constatata (13) non influenzano sotto alcun profilo la questione se l’aver posto fine al mandato del commissario configuri una violazione dell’articolo 28, paragrafo 1, secondo comma, della direttiva (14).
48. Una diversa conclusione consentirebbe a uno Stato membro di evitare qualunque constatazione di incompatibilità di alcune sue decisioni con il diritto dell’Unione, con il pretesto che altre decisioni posteriori, rese possibili solo in seguito alla violazione, sarebbero conformi al diritto dell’Unione e potrebbero essere modificate solo commettendo di nuovo la medesima infrazione.
49. Non sono persuaso nemmeno dall’argomento dell’Ungheria secondo il quale il principio della certezza del diritto osterebbe alla ricevibilità del presente ricorso, giacché la constatazione dell’inadempimento addebitato nella fattispecie renderebbe tutti gli atti compiuti dal presidente dell’Autorità dal 1° gennaio 2012 incompatibili con il diritto dell’Unione.
50. Il principio della certezza del diritto è un principio comune a tutti gli ordinamenti giuridici degli Stati membri che fa parte dell’ordinamento giuridico dell’Unione e deve, in ogni caso, essere rispettato dagli organi dello Stato membro interessato che assicurano l’esecuzione di una sentenza che abbia accertato l’inadempimento al diritto dell’Unione da parte di tale Stato membro. Tuttavia, senza prendere posizione sulla fondatezza della tesi secondo la quale la constatazione dell’inadempimento allegato vizierebbe gli atti adottati dall’Autorità dal 1° gennaio 2012, è sufficiente rilevare che non spetta alla Corte (15), ma eventualmente ai giudici nazionali ungheresi, giudicare eventuali violazioni di tale principio in casi precisi e prendere le misure appropriate, senza nuocere a un’efficace esecuzione della sentenza della Corte.
51. In via incidentale, aggiungo che la Corte ha constatato che la Repubblica federale di Germania (16) e la Repubblica d’Austria (17) erano venute meno agli obblighi loro incombenti in forza dell’articolo 28, paragrafo 1, secondo comma, della direttiva, malgrado gli eventuali effetti giuridici che tali constatazioni avrebbero potuto provocare sulle misure adottate dalle autorità in causa.
52. Analizzerò la domanda dell’Ungheria di limitare gli effetti di una sentenza che constati il presunto inadempimento nella parte delle mie conclusioni relativa alla fondatezza del ricorso (18).
53. Propongo, pertanto, che il ricorso sia considerato ricevibile.
B – Nel merito
1. Argomenti delle parti
54. La Commissione non mette in discussione il fatto che l’Ungheria abbia il diritto di modificare il proprio sistema di controllo della protezione dei dati personali, a condizione di garantire la totale indipendenza dell’autorità che esercita tale controllo, il che, come dimostra la giurisprudenza (19), va al di là della semplice indipendenza funzionale, poiché deve essere esclusa ogni forma di soggezione, che sia di natura istituzionale, personale o materiale.
55. Per la Commissione, sostenuta dal GEPD, è indispensabile che lo Stato membro, una volta stabilita la durata del mandato di tale autorità, la rispetti senza potervi metter fine anticipatamente, fatti salvi motivi gravi e oggettivamente verificabili. Una cessazione anticipata del mandato provoca il rischio di un’influenza indebita sull’autorità di controllo nell’esecuzione dei suoi compiti, circostanza che comprometterebbe la sua indipendenza. Secondo la Commissione, un paragone con le regole sul GEPD, istituite dal regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio, del 18 dicembre 2000, concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonché la libera circolazione di tali dati (20), conferma tale interpretazione.
56. La Commissione ritiene che la riforma dell’autorità di controllo ungherese non giustifichi di mettere fine al mandato del commissario. L’Ungheria avrebbe potuto prevedere nel suo diritto nazionale, o che il nuovo modello fosse applicato solo dopo la scadenza del mandato del commissario allora in carica, o che il primo presidente dell’autorità altri non fosse che il commissario per il restante periodo del suo mandato, circostanza che avrebbe preservato l’indipendenza dell’autorità di controllo della protezione dei dati. Essa rileva che l’Ungheria ha, sotto altri aspetti, assicurato la continuità tra la vecchia e la nuova autorità di controllo, segnatamente per quanto riguarda i procedimenti in corso e il trattamento dei dati.
57. Sempre secondo la Commissione, ammettere che fosse necessario mettere fine al mandato del commissario perché il suo posto «non esisteva più» significherebbe che in ogni momento su ogni autorità di controllo nell’Unione, incombe la minaccia di un’interruzione del mandato mediante una misura legislativa che sopprima l’autorità esistente e crei al suo posto una nuova autorità incaricata delle medesime funzioni, quali quelle definite dall’articolo 28 della direttiva. Non potrebbe escludersi che le autorità politiche si servano di tali riforme per controllare e sanzionare le autorità di controllo con le quali fossero in disaccordo. Essa rileva che, secondo la giurisprudenza della Corte, il semplice rischio di una tale influenza è incompatibile con l’esigenza di totale indipendenza delle autorità di controllo (21).
58. La Commissione ritiene che l’Ungheria non abbia dimostrato che il commissario avesse rifiutato di dirigere l’Autorità e considera che non siano pertinenti le dichiarazioni al riguardo fatte dal commissario in occasione di interviste pubblicate dalla stampa ungherese. La Commissione ricorda che, ai sensi dell’articolo 15, paragrafo 3, della legge n. LIX del 1993, le dimissioni del commissario avrebbero dovuto essere notificate per iscritto al presidente del Parlamento ungherese. Poiché così non è stato, l’Ungheria non poteva fondarsi su vaghe dichiarazioni apparse sulla stampa per presumere che il commissario non fosse più disposto ad esercitare le sue funzioni previste dall’articolo 28 della direttiva. La Commissione aggiunge che l’Ungheria non ha mai proposto al sig. Jóri la nuova funzione né gli ha mai assicurato che sarebbero state adottate norme transitorie per permettergli di prolungare il suo mandato fino alla sua scadenza normale.
59. L’Ungheria ritiene che la cessazione anticipata del mandato del commissario, in quanto legata a un cambiamento in termini di modello istituzionale, non costituisca una violazione dell’articolo 28, paragrafo 1, secondo comma, della direttiva. Dalla giurisprudenza in materia emergerebbe che sia l’articolo 28 della direttiva sia l’articolo 44 del regolamento n. 45/2001 impongono di garantire alle autorità di protezione dei dati personali, nazionali ed europee, il beneficio di una piena indipendenza «nell’esecuzione della [loro] missione», ovvero da un punto di vista funzionale. Secondo l’Ungheria, fa parte di tale «indipendenza funzionale» ogni elemento che garantisce che l’autorità di controllo svolga le missioni di cui è investita senza subire alcuna influenza esterna, che sia diretta o indiretta, circostanza che include altresì gli elementi che garantiscono l’indipendenza organizzativa, di bilancio e personale di cui deve fruire tale autorità nell’esercizio delle sue funzioni.
60. Essa rileva che, nella fattispecie, non è contestato che l’Autorità goda, proprio come il suo predecessore, di un inquadramento giuridico che la mette al riparo da ogni influenza esterna nell’esercizio della sua attività di sorveglianza della protezione dei dati personali e che soddisfi in tutto l’esigenza d’indipendenza prevista dall’articolo 28 della direttiva. Al riguardo, l’Ungheria ritiene che non sia possibile stabilire alcun parallelismo tra la situazione contestata nella fattispecie e quelle all’origine delle citate sentenze del 9 marzo 2010, Commissione/Germania, e Commissione/Austria. Essa afferma che, contrariamente alla presente fattispecie, le normative tedesca e austriaca non avevano giuridicamente escluso il rischio che l’indipendenza della loro autorità nazionale incaricata del controllo della protezione dei dati personali fosse pregiudicata nell’esercizio delle «missioni di cui è investita».
61. Secondo l’Ungheria la ragion d’essere dell’esigenza di indipendenza prevista dall’articolo 28 della direttiva è che, in ogni Stato membro, esista sempre un’autorità di controllo della protezione dei dati personali che esercita le sue funzioni senza subire influenze esterne. Essa ritiene che la nozione d’indipendenza non conferisca alla persona che è a capo di tale autorità un diritto soggettivo all’esercizio di tale funzione. Tenuto conto del cambiamento istituzionale introdotto, non sarebbe giustificato aspettarsi dalla nuova normativa che essa conferisca automaticamente al commissario la funzione di presidente dell’Autorità. Fintanto che l’indipendenza funzionale dell’autorità non sia compromessa, poco importa che intervenga un cambiamento della persona a capo dell’autorità, anche se prima dello scadere del suo mandato iniziale.
62. L’Ungheria sostiene che spetta agli Stati membri definire la struttura organizzativa delle autorità nazionali di protezione dei dati personali. Ciò implicherebbe che la scelta dell’entità o della persona incaricata di esercitare le competenze dell’autorità nell’ambito del modello organizzativo prescelto nonché la sua sostituzione che intervenga simultaneamente al cambiamento di modello rientrino anch’esse nella competenza degli Stati membri. Essa rileva che la regolamentazione relativa al commissario è stata interamente sostituita – sulla base delle nuove disposizioni della Legge fondamentale – da una nuova regolamentazione che ha trasferito le funzioni, prima esercitate dal commissario, ad una nuova autorità incaricata della protezione di dati. Malgrado le somiglianze tra lo statuto di commissario e quello di presidente dell’Autorità, e che si spiegano con l’esigenza di indipendenza, si tratterebbe di due istituzioni di diritto pubblico chiaramente distinte.
63. Secondo l’Ungheria, la nomina del commissario a tale nuova funzione sarebbe stata ingiustificata e incomprensibile, alla luce delle numerose dichiarazioni pubbliche dello stesso, che esprimevano il suo disaccordo di principio con il nuovo modello istituzionale e la sua intenzione di non accettare una tale nomina.
2. Valutazione
a) I principi
64. Occorre precisare, in via preliminare, che la Commissione non contesta sotto alcun profilo il diritto dell’Ungheria di modificare il modello istituzionale della sua autorità di controllo della protezione dei dati personali, passando da una struttura posta sotto la direzione di una sola persona a un’istanza collegiale. Essa ritiene, tuttavia, che quando l’Ungheria ha compiuto tali scelte, sia venuta meno all’obbligo di rispettare l’indipendenza dell’autorità di controllo fino allo scadere del suo mandato.
65. Secondo una costante giurisprudenza, l’esigenza del controllo della protezione dei dati personali da parte di un’autorità indipendente è un elemento essenziale del rispetto della tutela delle persone riguardo al trattamento dei dati personali (22) che deriva non solo dall’articolo 28, paragrafo 1, secondo comma, della direttiva ma altresì dal diritto primario dell’Unione, in particolare dall’articolo 8, paragrafo 3, della Carta dei diritti fondamentali dell’Unione europea e dall’articolo 16, paragrafo 2, TFUE (23). Infatti, le autorità di controllo cui si riferisce l’articolo 28 della direttiva sono le custodi dei diritti e delle libertà fondamentali riguardo al trattamento dei dati personali (24).
66. Nelle citate sentenze del 9 marzo 2010, Commissione/Germania, e Commissione/Austria, la Corte ha fornito un’interpretazione autonoma (25) e ampia (26) all’espressione «pienamente indipendenti» di cui all’articolo 28, paragrafo 1, secondo comma della direttiva. Essa ha fondato tale interpretazione, da un lato, sul tenore letterale stesso di tale articolo 28, paragrafo 1, secondo comma della direttiva, facendo notare che la nozione espressa dall’aggettivo «indipendenti» è rafforzata dall’avverbio «pienamente», e, dall’altro, sull’obiettivo della garanzia di indipendenza delle autorità in causa che intende assicurare l’efficacia e l’affidabilità del controllo del rispetto delle disposizioni in materia di protezione delle persone fisiche con riguardo al trattamento dei dati personali (27).
67. La Corte ha evidenziato che tale garanzia non è stata stabilita al fine di conferire uno statuto particolare a tali autorità di per se e ai loro agenti, bensì per rafforzare la protezione delle persone e degli organismi interessati dalle loro decisioni (28). Ne discende che, nello svolgimento delle loro funzioni, le autorità di controllo devono agire in modo obiettivo e imparziale ed essere sottratte a qualsiasi influenza esterna, diretta o indiretta, in grado di orientare le loro decisioni (29).
68. Il solo rischio di tale influenza è sufficiente a violare l’articolo 28, paragrafo 1, secondo comma, della direttiva (30).
69. Al riguardo, deriva chiaramente dalla citata sentenza Commissione/Austria che ogni pratica che potrebbe portare ad una forma di «obbedienza anticipata» (31) in capo all’autorità di controllo della protezione dei dati non soddisfa l’esigenza espressa dalla nozione «pienamente indipendenti» che gli Stati membri devono garantire alla loro autorità di controllo in forza dell’articolo 28, paragrafo 1, secondo comma, della direttiva e del diritto primario dell’Unione.
70. Ritengo, come la Commissione, che sebbene sia consentito a ogni Stato membro adottare il regime istituzionale che ritiene più adatto al suo paese e, di conseguenza, modificarlo in seguito, ciò vale tuttavia a condizione che tale adozione o tale modifica successiva non pregiudichi l’esigenza imperativa di «piena indipendenza» imposta dall’articolo 28, paragrafo 1, secondo comma, della direttiva.
71. Alla stregua della Commissione ritengo che l’indipendenza di tale autorità «implichi necessariamente un mandato a durata predeterminata» (32) e la sua inamovibilità fino allo scadere di tale mandato, fatti salvi gravi motivi legati al suo comportamento o alla sua capacità di esercitare le proprie funzioni, prestabiliti dalla legge e oggettivamente verificabili.
72. Il legame intrinseco tra tale inamovibilità fino allo scadere del mandato e l’esigenza di «piena indipendenza» è incontestabile (33). Per analogia, non si potrebbe considerare che l’indipendenza di un giudice sia rispettata qualora sia posto fine anticipatamente alle sue funzioni, col pretesto della soppressione dell’organo giurisdizionale di cui fa parte e della sua sostituzione con un altro, seppur dotato di indipendenza.
73. È proprio il solo rischio di conclusione anticipata del mandato dell’autorità di cui all’articolo 28, paragrafo 1, secondo comma della direttiva, che può esporre quest’ultima a «indebiti interventi e pressioni» (34) e condurre ad una forma di «obbedienza anticipata» da parte sua.
74. Da ciò discende che, sebbene gli Stati membri godano di un margine di valutazione riguardo alla struttura istituzionale dell’autorità prevista dall’articolo 28, paragrafo 1, secondo comma della direttiva (35), è innegabile che l’esigenza di «piena indipendenza» imposta dal diritto dell’Unione postuli l’esistenza e il rispetto di norme specifiche e dettagliate che, in materia di nomina, durata delle funzioni nonché dei possibili motivi di revoca o destituzione di tale autorità, consentano di fugare qualsiasi legittimo dubbio sulla refrattarietà di detta autorità ad ogni influenza esterna, diretta o indiretta, in grado di orientare le sue decisioni (36).
b) Applicazione ai fatti di causa
75. Dal fascicolo dinanzi alla Corte deriva che i termini del mandato del commissario erano oggetto di disposizioni specifiche e dettagliate in diritto ungherese. Infatti, in applicazione dell’articolo 4, paragrafo 5, della legge n. LIX del 1993 questi era stato eletto nel 2008 per sei anni e poteva essere rieletto una volta. L’articolo 15 di tale legge disciplinava, e limitava in maniera molto rigida, le possibilità di cessazione anticipata del suo mandato (37).
76. Ritengo che la Commissione abbia sufficientemente dimostrato che era stato posto fine al mandato del commissario, il 31 dicembre 2011, in violazione dell’articolo 15 della legge n. LIX del 1993 e che le garanzie processuali stabilite da tale legge, al fine di tutelare il suo mandato, non erano state rispettate. Inoltre, in occasione delle modifiche istituzionali entrate in vigore nel 2012, l’Ungheria non ha adottato nessuna misura transitoria per rispettare i termini del mandato, e quindi l’indipendenza del commissario.
77. L’Ungheria rileva che è stata l’autorità costituzionale a decidere del «cambiamento di modello» introdotto dalla nuova normativa entrata in vigore il 1° gennaio 2012, e che il presidente dell’Autorità, da un lato, e il Commissario dall’altro, sono due funzioni pubbliche chiaramente distinte che non devono essere legate l’una all’altra dal fatto che la stessa persona le eserciti entrambe.
78. Non sono convinto da tali argomenti.
79. Ritengo che la Commissione abbia sufficientemente dimostrato che l’Autorità, nonostante abbia un altro statuto giuridico e operi con modi diversi dal commissario, sia succeduta a quest’ultimo nell’esercizio dei compiti attribuiti all’autorità di controllo in applicazione dell’articolo 28 della direttiva. Infatti, sia il commissario sia l’Autorità sono stati istituiti dall’Ungheria per soddisfare l’obbligo imposto da tale disposizione di istituire un’autorità pubblica incaricata di sorvegliare sul suo territorio l’attuazione delle disposizioni adottate da tale Stato membro in applicazione della direttiva. Dal punto di vista della missione esercitata in applicazione di tale disposizione, le due entità sono quindi identiche. Inoltre, la continuità tra le due entità è stata garantita dall’articolo 75, paragrafi 1 e 2, della nuova legge sulla protezione dei dati che dispone che l’Autorità gestisce i procedimenti aperti dal commissario prima del 1° gennaio 2012 e tratta i dati che esso aveva trattato prima di tale data.
80. Per quanto riguarda il fatto che il cambiamento istituzionale è stato deciso dall’autorità costituzionale, dal fascicolo dinanzi alla Corte emerge, innanzitutto, che l’Autorità è stata creata da una legge organica, ovvero la legge sulla protezione dei dati e non dalla Legge fondamentale (38). Peraltro, modifiche istituzionali, seppur adottate mediante leggi costituzionali, non possono pregiudicare l’effetto utile dell’obbligo superiore imposto dal diritto dell’Unione relativo alla garanzia della «piena indipendenza», poiché il primato del diritto dell’Unione si applica a prescindere dal rango della norma nazionale in questione. Esse non possono giustificare dunque la conclusione anticipata del mandato dell’autorità di controllo per la protezione dei dati. Come hanno sostenuto la Commissione e il GEPD, se così fosse, un’autorità, seppure di livello superiore, che si tratti del potere legislativo o costituzionale, sarebbe autorizzata a esercitare un’influenza esterna e indebita sull’autorità di controllo per la protezione dei dati, con la sola minaccia, espressa o implicita, di siffatte modifiche e l’interruzione anticipata del mandato dell’autorità di controllo prevista dall’articolo 28, paragrafo 1, della direttiva, circostanza che potrebbe eventualmente portare a una forma di «obbedienza anticipata» (39).
81. Infine, ritengo che non sia pertinente l’affermazione dell’Ungheria secondo la quale la nomina del commissario come presidente non poteva avvenire in seguito alle dichiarazioni pubbliche che esso avrebbe fatto per esprimere la sua intenzione di non accettare una tale nomina. A parte il fatto che tali dichiarazioni pubblicate dalla stampa sarebbero prive di ogni valore giuridico a fronte delle esigenze rigorose imposte dall’articolo 28 della direttiva e dell’articolo 15 della legge n. LIX del 1993 (40), l’Ungheria non ha affermato che il posto in questione sia stato ufficialmente proposto al commissario. Alla lettura della risposta dell’Ungheria del 30 marzo 2012 al parere motivato, rilevo che il commissario sig. Jóri ha espresso il suo disaccordo sulla nuova legge sulla protezione dei dati aggiungendo che non avrebbe accettato la nomina a presidente dell’Autorità se una siffatta proposta gli fosse stata fatta, poiché riteneva, in particolare, che l’istituzione dell’Autorità non rispettasse l’esigenza di indipendenza imposta dalla direttiva. Nell’ambito del procedimento precontenzioso la Commissione stessa ha ripreso tali critiche e alcune di esse, fatta salva la conclusione anticipata del mandato del commissario, sono state prese in considerazione, alla fine, dall’Ungheria negli emendamenti legislativi (41). Inoltre, le osservazioni ufficiali del commissario del 10 e 22 giugno 2011 (42) sul progetto di nuova legge, nelle quali egli indicava che l’assenza di disposizioni transitorie costituiva una violazione della sua indipendenza e che erano dunque rese nell’ambito della sua funzione ufficiale in quanto autorità di controllo istituita in applicazione dell’articolo 28 della direttiva, non potrebbero in nessun caso essergli contestate e non potevano essere considerate come una presentazione di dimissioni.
82. Di conseguenza, ritengo che l’Ungheria, avendo posto anticipatamente fine al mandato dell’autorità di controllo per la protezione dei dati, sia venuta meno agli obblighi ad essa incombenti in forza della direttiva.
83. Aggiungo che una sentenza della Corte che constati un inadempimento nella presente causa avrebbe una grande importanza, non solo per le autorità create in applicazione dell’articolo 28, paragrafo 1, della direttiva, ma anche per qualsiasi altra autorità indipendente istituita in applicazione del diritto dell’Unione. Nel fornire a tali autorità indipendenti la garanzia dell’inamovibilità del loro mandato fino alla scadenza prevista, salvo per motivi gravi prestabiliti dalla legge e oggettivamente verificabili, tale sentenza avrebbe l’effetto di limitare il rischio pernicioso di «obbedienza anticipata» ad attori esterni, pubblici o privati. Una tale sentenza allontanerebbe «la spada di Damocle» rappresentata dal rischio paralizzante di una cessazione anticipata del loro mandato.
VI – Sugli effetti nel tempo della constatazione di un inadempimento
84. L’Ungheria ha chiesto che, qualora la Corte accogliesse il ricorso della Commissione, gli effetti della sentenza siano limitati nel tempo (43) al fine di non pregiudicare il mandato del presidente dell’Autorità attualmente in carica. Essa sostiene che le conseguenze derivanti dal principio della certezza del diritto escluderebbero anch’esse che cause già definitivamente chiuse possano essere rimesse in discussione.
85. Si deve «ricordare che solo in via eccezionale la Corte, applicando il principio generale della certezza del diritto inerente all’ordinamento giuridico dell’Unione, può essere indotta a limitare la possibilità per gli interessati di far valere una disposizione da essa interpretata onde rimettere in discussione rapporti giuridici costituiti in buona fede» (44). Inoltre, secondo costante giurisprudenza, le conseguenze finanziarie che potrebbero derivare per uno Stato membro da una sentenza pronunciata in via pregiudiziale non giustificano, di per sé, la limitazione dell’efficacia nel tempo di tale sentenza (45).
86. Infatti, «la Corte ha fatto ricorso a tale soluzione soltanto in presenza di circostanze ben precise, quando, da un lato, vi era un rischio di gravi ripercussioni economiche dovute in particolare all’elevato numero di rapporti giuridici costituiti in buona fede sulla base della normativa ritenuta validamente vigente, e quando, dall’altro, risultava che i singoli e le autorità nazionali erano stati indotti ad un comportamento non conforme alla normativa dell’Unione in ragione di una obiettiva e rilevante incertezza circa la portata delle disposizioni dell’Unione, incertezza alla quale avevano eventualmente contribuito gli stessi comportamenti tenuti da altri Stati membri o dalla Commissione» (46).
87. «Anche supponendo che le sentenze pronunciate in base all’articolo [258 TFUE] abbiano gli stessi effetti di quelle pronunciate ai sensi dell’articolo [267 TFUE] e che, pertanto, considerazioni relative alla certezza del diritto possano rendere necessaria, in via eccezionale, la limitazione della loro efficacia nel tempo» (47), ritengo che la domanda dell’Ungheria, anche a ritenerla correttamente formulata, dovrebbe essere respinta.
88. Infatti, l’Ungheria non ha in alcun modo dimostrato l’esistenza di un rischio di gravi inconvenienti economici, né che all’epoca dell’adozione della legge che ha creato l’Autorità essa abbia dovuto far fronte ad un’incertezza oggettiva e importante riguardo alla portata dell’articolo 28, paragrafo 1, secondo comma, della direttiva.
89. Infatti, a quell’epoca la Corte aveva già interpretato l’espressione «pienamente indipendenti» di cui all’articolo 28, paragrafo 1, secondo comma della direttiva (48). Non si poteva dunque ragionevolmente ritenere che il diritto dell’Unione autorizzasse l’Ungheria a mettere anticipatamente fine al mandato del commissario (49).
VII – Sulle spese
90. Ai sensi dell’articolo 138, paragrafo 1, del regolamento di procedura della Corte, la parte soccombente è condannata alle spese se ne è stata fatta domanda. Poiché la Commissione ne ha fatto domanda e l’Ungheria deve, a mio parere, essere dichiarata soccombente, ritengo che quest’ultima debba essere condannata alle spese. Ai sensi dell’articolo 140 del regolamento di procedura, il GEPD deve sopportare le proprie spese.
VIII – Conclusione
91. In considerazione di quanto precede, propongo alla Corte di:
– dichiarare che l’Ungheria, avendo posto fine anticipatamente al mandato dell’autorità di controllo per la protezione di dati, è venuta meno agli obblighi ad essa incombenti ai sensi dell’articolo 28, paragrafo 1, secondo comma, della direttiva 95/46/CE del Parlamento europeo e del Consiglio del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati;
– condannare l’Ungheria a sopportare le proprie spese nonché quelle sostenute dalla Commissione, e
– condannare il Garante europeo della protezione dei dati a sopportare le proprie spese.