CONCLUSIONI DELL’AVVOCATO GENERALE
TAMARA ĆAPETA
presentate il 6 ottobre 2022 (1)
Causa C‑268/21
Norra Stockholm Bygg AB
contro
Per Nycander AB,
con l’intervento di:
Entral AB
[domanda di pronuncia pregiudiziale proposta dallo Högsta domstolen (Corte suprema, Svezia)]
«Rinvio pregiudiziale – Regolamento (UE) 2016/679 – Protezione dei dati personali – Articolo 6, paragrafi 3 e 4 – Trattamento dei dati personali – Articolo 23, paragrafo 1, lettera f) – Salvaguardia dell’indipendenza della magistratura e dei procedimenti giudiziari – Richiesta del convenuto nell’ambito di un procedimento civile di ordinare al ricorrente di fornire informazioni sulle ore di lavoro svolte dai suoi dipendenti»
I. Introduzione
1. «La tua privacy è importante per noi. Utilizziamo i cookie per migliorare l’esperienza dell’utente. Esamina le preferenze in materia di privacy. Accetta tutto / Impostazioni. Controlla la nostra politica in materia di privacy e di cookie» (2).
2. Durante la consultazione di qualsiasi sito Internet compare un messaggio simile.
3. Ciò deriva dal regolamento generale sulla protezione dei dati (in prosieguo: il «RGPD») (3), divenuto il principale strumento di protezione dei dati personali nell’Unione europea.
4. Il RGPD compare anche dinanzi ai giudici nazionali? Più precisamente, si applica agli obblighi di divulgazione nell’ambito di un procedimento civile dinanzi ad un giudice nazionale? Se così accade, quali obblighi fa sorgere per tali giudici? Sono queste le questioni che la Corte è invitata a chiarire nel caso di specie.
II. Fatti del procedimento principale e questioni pregiudiziali
5. Tali questioni sono state sollevate nell’ambito di una controversia dinanzi al giudice del rinvio, lo Högsta domstolen (Corte suprema, Svezia). I fatti di causa possono essere così sintetizzati. La Norra Stockholm Bygg AB (in prosieguo: la «Fastec»), ricorrente nel procedimento principale, ha proceduto alla costruzione di un edificio per uffici per la Per Nycander AB (in prosieguo: la «Nycander»), convenuta nel procedimento principale. I dipendenti che realizzavano l’opera in base a tale contratto registravano la loro presenza in un registro elettronico del personale a fini fiscali. Il registro del personale era fornito dalla Entral AB, che agiva per conto della Fastec.
6. Il procedimento principale ha avuto inizio con una controversia vertente sul compenso dovuto per il lavoro svolto. La Nycander ha contestato la richiesta di pagamento della Fastec (che ammontava a poco più di 2 000 000 di corone svedesi (SEK), EUR 190 133 circa), affermando che il periodo di tempo dedicato dalla Fastec alla realizzazione dell’opera era inferiore al periodo per il quale la Fastec reclamava il pagamento.
7. Per provare che così è avvenuto, la Nycander ha chiesto che la Entral producesse il registro del personale tenuto per conto della Fastec. La Fastec si oppone a tale richiesta, sostenendo che siffatta divulgazione violerebbe il RGPD, in quanto i dati richiesti sono stati raccolti per un altro fine e non possono essere utilizzati come prova nel procedimento principale.
8. Il Tingsrätt (Tribunale locale, Svezia) ha ordinato alla Entral di produrre il registro, e tale decisione è stata confermata in appello dallo Svea hovrätt (Corte d’appello di Stoccolma, Svezia).
9. La Fastec ha impugnato la decisione dello Svea hovrätt (Corte d’appello di Stoccolma) dinanzi allo Högsta domstolen (Corte suprema) e ha chiesto a tale giudice di respingere la domanda di divulgazione della Nycander o, in subordine, di ordinare la produzione di una versione anonima del registro del personale. Nell’ambito di tale procedimento lo Högsta domstolen (Corte suprema) ha sottoposto alla Corte di giustizia le seguenti questioni pregiudiziali:
«1) Se l’articolo 6, paragrafi 3 e 4, del [RGDP] riguardi anche le norme processuali nazionali relative agli obblighi di divulgazione dei dati.
2) In caso di risposta affermativa alla prima questione, se il [RGDP] implichi che, in sede di adozione di una decisione sulla divulgazione dei dati che comporti il trattamento di dati personali, si debba tenere conto anche degli interessi dei soggetti di cui trattasi. Se il diritto dell’Unione imponga, in tal caso, di precisare le modalità di adozione di tale decisione».
10. Nel corso del procedimento hanno presentato osservazioni scritte alla Corte la Fastec, i governi ceco, polacco e svedese nonché la Commissione europea. Il 27 giugno 2022 si è tenuta un’udienza nella quale hanno presentato osservazioni orali la Nycander, i governi polacco e svedese nonché la Commissione.
III. Contesto normativo
A. Diritto dell’Unione
11. L’articolo 5 del RGPD stabilisce i principi che ogni trattamento di dati personali deve rispettare:
«1. I dati personali sono:
a) trattati in modo lecito, corretto e trasparente nei confronti dell’interessato (“liceità, correttezza e trasparenza”);
b) raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità; un ulteriore trattamento dei dati personali a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici non è, conformemente all’articolo 89, paragrafo 1, considerato incompatibile con le finalità iniziali (“limitazione della finalità”);
c) adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati (“minimizzazione dei dati”);
d) esatti e, se necessario, aggiornati; devono essere adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità per le quali sono trattati (“esattezza”);
e) conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati; i dati personali possono essere conservati per periodi più lunghi a condizione che siano trattati esclusivamente a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, conformemente all’articolo 89, paragrafo 1, fatta salva l’attuazione di misure tecniche e organizzative adeguate richieste dal presente regolamento a tutela dei diritti e delle libertà dell’interessato (“limitazione della conservazione”);
f) trattati in maniera da garantire un’adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali (“integrità e riservatezza”).
2. Il titolare del trattamento è competente per il rispetto del paragrafo 1 e in grado di comprovarlo (“responsabilizzazione”)».
12. L’articolo 6 del RGPD, intitolato «Liceità del trattamento», ai paragrafi 1, 3 e 4 prevede quanto segue:
«1. Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni:
(…)
c) il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento;
(…)
e) il trattamento è necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento;
(…)
3. La base su cui si fonda il trattamento dei dati di cui al paragrafo 1, lettere c) ed e), deve essere stabilita:
a) dal diritto dell’Unione; o
b) dal diritto dello Stato membro cui è soggetto il titolare del trattamento.
La finalità del trattamento è determinata in tale base giuridica o, per quanto riguarda il trattamento di cui al paragrafo 1, lettera e), è necessaria per l’esecuzione di un compito svolto nel pubblico interesse o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento. Tale base giuridica potrebbe contenere disposizioni specifiche per adeguare l’applicazione delle norme del presente regolamento, tra cui: le condizioni generali relative alla liceità del trattamento da parte del titolare del trattamento; le tipologie di dati oggetto del trattamento; gli interessati; i soggetti cui possono essere comunicati i dati personali e le finalità per cui sono comunicati; le limitazioni della finalità, i periodi di conservazione e le operazioni e procedure di trattamento, comprese le misure atte a garantire un trattamento lecito e corretto, quali quelle per altre specifiche situazioni di trattamento di cui al capo IX. Il diritto dell’Unione o degli Stati membri persegue un obiettivo di interesse pubblico ed è proporzionato all’obiettivo legittimo perseguito.
4. Laddove il trattamento per una finalità diversa da quella per la quale i dati personali sono stati raccolti non sia basato sul consenso dell’interessato o su un atto legislativo dell’Unione o degli Stati membri che costituisca una misura necessaria e proporzionata in una società democratica per la salvaguardia degli obiettivi di cui all’articolo 23, paragrafo 1, al fine di verificare se il trattamento per un’altra finalità sia compatibile con la finalità per la quale i dati personali sono stati inizialmente raccolti, il titolare del trattamento tiene conto, tra l’altro:
a) di ogni nesso tra le finalità per cui i dati personali sono stati raccolti e le finalità dell’ulteriore trattamento previsto;
b) del contesto in cui i dati personali sono stati raccolti, in particolare relativamente alla relazione tra l’interessato e il titolare del trattamento;
c) della natura dei dati personali, specialmente se siano trattate categorie particolari di dati personali ai sensi dell’articolo 9, oppure se siano trattati dati relativi a condanne penali e a reati ai sensi dell’articolo 10;
d) delle possibili conseguenze dell’ulteriore trattamento previsto per gli interessati;
e) dell’esistenza di garanzie adeguate, che possono comprendere la cifratura o la pseudonimizzazione».
13. Inoltre, l’articolo 23, paragrafo 1, del RGPD disciplina le limitazioni ai diritti e agli obblighi derivanti dal RGPD:
«1. Il diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento o il responsabile del trattamento può limitare, mediante misure legislative, la portata degli obblighi e dei diritti di cui agli articoli da 12 a 22 e 34, nonché all’articolo 5, nella misura in cui le disposizioni ivi contenute corrispondano ai diritti e agli obblighi di cui agli articoli da 12 a 22, qualora tale limitazione rispetti l’essenza dei diritti e delle libertà fondamentali e sia una misura necessaria e proporzionata in una società democratica per salvaguardare:
(…)
f) la salvaguardia dell’indipendenza della magistratura e dei procedimenti giudiziari;
(…)».
B. Diritto svedese
14. Il capo 38, paragrafo 2, primo comma, del rättegångsbalken (codice di procedura; in prosieguo: il «RB») prevede che chiunque sia in possesso di un documento scritto che possa essere considerato dotato di valore probatorio è tenuto a produrre tale documento. Il secondo comma della medesima disposizione prevede deroghe a tale obbligo, che comprendono gli avvocati, i medici, gli psicologi, i sacerdoti e altri funzionari ai quali siano state affidate informazioni nell’esercizio della loro professione o simili. Il capo 38, paragrafo 4, del RB conferisce quindi al giudice il potere di ordinare la divulgazione di un documento scritto come elemento di prova.
15. Secondo il giudice del rinvio, quando si tratta di esaminare se una persona debba essere tenuta a produrre un documento, il giudice deve bilanciare la pertinenza dell’elemento di prova con l’interesse della controparte a non divulgare tale informazione. Tuttavia, come spiegato dal giudice del rinvio, ciò non implica la presa in considerazione della natura privata delle informazioni divulgate.
IV. Analisi
A. Premessa
16. Il RGPD è il principale atto dell’Unione che disciplina la protezione delle persone fisiche per quanto riguarda il trattamento dei loro dati personali. Diversamente dall’atto che lo ha preceduto, la direttiva 95/46/CE (4), il RGPD è stato adottato in base all’articolo 16 TFUE (5). Tale base giuridica ha autorizzato il legislatore dell’Unione a tutelare il diritto fondamentale alla protezione dei dati di carattere personale, previsto all’articolo 8, paragrafo 1, della Carta dei diritti fondamentali dell’Unione europea (in prosieguo: la «Carta») (6).
17. Nel trattamento di dati personali il RGPD attribuisce la competenza per il rispetto di tale atto al «titolare del trattamento» (7). In ciascun caso di trattamento di dati personali occorre quindi stabilire chi sia il titolare del trattamento.
18. Ai sensi dell’articolo 4, punto 7, del RGPD, il titolare del trattamento è la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che determina le finalità e i mezzi del trattamento di dati personali.
19. Nella fattispecie, hanno avuto luogo due casi distinti di trattamento di dati personali. Il primo trattamento riguarda il registro elettronico del personale tenuto dalla Entral per conto della Fastec, in quanto quest’ultima è soggetta all’obbligo, previsto dal diritto svedese, di raccogliere dati a fini fiscali sulle ore di lavoro svolte. In tale contesto, la Fastec è il titolare del trattamento e la Entral è il responsabile del trattamento (8).
20. È pacifico che tale primo trattamento era conforme al RGPD. Più precisamente, il suo articolo 6, paragrafo 1, lettera c), consente un trattamento di dati personali necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento, nella fattispecie la Fastec (9). È vero che, se tale primo trattamento dovesse essere dichiarato illecito ai sensi del RGPD, il trattamento di tali dati per una finalità diversa, sarebbe anch’esso, per estensione, illecito (10).
21. Tuttavia, l’interesse nel caso di specie è costituito dal secondo trattamento (per una finalità diversa) degli stessi dati inizialmente raccolti a fini fiscali. Il nuovo obiettivo è la divulgazione, da parte della Entral, del registro del personale come elemento di prova nell’ambito del procedimento civile tra la Fastec e la Nycander. La produzione di tale registro per il suo utilizzo nell’ambito di un procedimento civile implicherebbe necessariamente un trattamento di dati personali.
22. In tale secondo trattamento i ruoli, ai sensi del RGPD, cambiano rispetto al primo trattamento. Soprattutto, impartendo l’ordine alla Entral di produrre il registro del personale (in prosieguo: l’«ordine di divulgazione»), il giudice nazionale è il soggetto che determina le finalità e i mezzi del secondo trattamento di dati (11). Tale giudice diviene quindi il titolare del trattamento (12).
23. In tale secondo trattamento si potrebbe ritenere che la Fastec sia ancora il titolare del trattamento o che abbia cambiato ruolo, poiché è ora il destinatario dei dati unitamente alla Nycander (13). Tuttavia, anche se la Fastec resta il titolare del trattamento congiuntamente con il giudice nazionale (14), ciò non avrebbe alcuna influenza sugli obblighi del giudice nazionale quale titolare del trattamento (15). Infine, il ruolo della Entral non cambia. Essa resta il responsabile del trattamento e continua a trattare i medesimi dati personali, ma ora per conto del nuovo titolare del trattamento, il giudice nazionale.
24. Con la sua prima questione, il giudice del rinvio chiede, in sostanza, se il giudice nazionale possa effettivamente divenire il titolare del trattamento ai sensi del RGPD e se, in tal caso, detto regolamento imponga requisiti alla normativa processuale nazionale relativa ai poteri e agli obblighi dei giudici nell’ambito di un procedimento civile. Se si applica il RGPD e il giudice nazionale è il titolare del trattamento, il giudice del rinvio chiede, nella sua seconda questione, come tale giudice debba decidere in merito alla divulgazione di dati personali quando devono essere utilizzati come elementi di prova nell’ambito di un procedimento civile.
25. Per rispondere alle questioni del giudice del rinvio, procederò nel seguente modo. Spiegherò, in un primo tempo, le ragioni per le quali considero il RGPD applicabile ai procedimenti civili dinanzi ai giudici degli Stati membri e in che modo ciò influisca sulle normative processuali vigenti degli Stati membri (B). In seguito, esaminerò il metodo che i giudici nazionali, in quanto titolari del trattamento, dovrebbero applicare per soddisfare i requisiti del RGPD (C).
B. Il RGPD è applicabile ai procedimenti civili dinanzi ai giudici nazionali e integra le norme processuali degli Stati membri
26. Con la sua prima questione, il giudice del rinvio chiede, in sostanza, se il RGPD si applichi ai procedimenti giudiziari civili e quale influenza abbia sulle norme processuali pertinenti. Più precisamente, esso si interroga sul punto se esso incida sulle norme nazionali che disciplinano i poteri e gli obblighi dei giudici quando dispongono la divulgazione di prove documentali. Risponderò a tale quesito in tre fasi.
1. Il RGPD non esclude le attività dei giudici nazionali nell’ambito di procedimenti civili
27. L’ambito di applicazione materiale del RGPD è definito all’articolo 2, paragrafo 1, di quest’ultimo e adotta un approccio funzionale, più che un approccio istituzionale. È il che cosa (l’attività di trattamento dei dati personali), più che il chi, che fa scattare l’applicabilità del RGPD (16).
28. Le situazioni escluse dall’ambito di applicazione del RGPD, elencate all’articolo 2, paragrafo 2, di quest’ultimo, hanno parimenti natura funzionale. Dato che costituiscono l’eccezione all’applicazione del RGPD, la Corte ha ritenuto che esse dovessero essere interpretate restrittivamente (17).
29. Le attività delle autorità pubbliche non sono quindi escluse dall’ambito di applicazione del RGPD in quanto tali, ma unicamente in relazione alle attività elencate all’articolo 2, paragrafo 2, del RGPD (18). A tal riguardo, detta disposizione non esclude le attività giudiziarie nei procedimenti civili dall’ambito di applicazione materiale del RGPD.
30. La conclusione secondo cui il RGPD si applica alle attività giudiziarie è corroborata dal considerando 20 del RGPD (19), in cui si afferma che tale atto si applica alle attività delle autorità giurisdizionali e di altre autorità giudiziarie (20).
31. L’esclusione della competenza delle autorità di controllo nei confronti delle autorità giurisdizionali nell’esercizio delle loro funzioni giurisdizionali, enunciata all’articolo 55, paragrafo 3, del RGPD, non inficia la precedente conclusione. Al contrario, tale disposizione conferma, a mio avviso, che le autorità giurisdizionali nell’esercizio delle loro funzioni giurisdizionali sono soggette agli obblighi imposti dal RGPD. Essa garantisce la loro indipendenza e imparzialità vietando la sorveglianza, da parte di un’autorità di controllo, delle loro operazioni di trattamento.
32. Nel caso di specie si tratta di un trattamento di dati personali che rientra nell’ambito di applicazione materiale del RGPD. La creazione e la tenuta del registro elettronico del personale riguardano il trattamento dei dati personali (21). Analogamente, ordinare la divulgazione di tali dati personali nell’ambito di un procedimento civile è un esempio di trattamento di tali dati (22). Pertanto, la situazione di cui al procedimento principale rientra nell’ambito di applicazione materiale del RGPD.
33. Cosa significa tutto questo per l’applicazione di norme processuali nazionali, come il RB?
2. Il diritto nazionale costituisce la condizione di liceità del trattamento dei dati da parte dei giudici nazionali
34. La base giuridica per emanare l’ordine di divulgazione di cui trattasi nel caso di specie è il RB.
35. Infatti, il RGPD esige che il trattamento dei dati effettuato in una situazione come quella del caso di specie abbia come base giuridica il diritto di uno Stato membro (o dell’Unione) (23).
36. Inizialmente raccolti e trattati a fini fiscali, in forza dell’ordine di divulgazione nel caso di specie, i dati in questione devono essere ora trattati a fini probatori nell’ambito di un procedimento giudiziario.
37. L’articolo 6, paragrafo 4, del RGPD consente il trattamento dei dati per una finalità diversa se basato sul diritto degli Stati membri, il che costituisce una misura necessaria in una società democratica per garantire gli obiettivi di cui all’articolo 23, paragrafo 1, del RGPD. Tra tali obiettivi, l’articolo 23, paragrafo 1, lettera f), elenca «la salvaguardia dell’indipendenza della magistratura e dei procedimenti giudiziari».
38. Tutti i partecipanti al presente rinvio pregiudiziale concordano nel ritenere che l’articolo 23, paragrafo 1, lettera f), del RGPD costituisca la corretta disposizione da far valere per giustificare la riproposizione del trattamento di dati sulla base del RB (24).
39. Il RB autorizza i giudici nazionali a disporre la divulgazione di documenti qualora abbiano valore probatorio nell’ambito di un procedimento civile. Come è stato esposto, se un documento da divulgare contiene dati personali, il giudice che ordina tale divulgazione diventa titolare del trattamento in forza del RGPD.
40. Come sottolineato dalla Commissione in udienza, il giudice nazionale è solo in una certa misura un titolare ordinario. Vale a dire, i giudici nazionali possono trattare dati solo nell’esercizio dei loro pubblici poteri.
41. Qualora il trattamento dei dati abbia luogo nell’esercizio di pubblici poteri (25), l’articolo 6, paragrafo 3, del RGPD richiede che esso sia fondato sul diritto dell’Unione o sul diritto degli Stati membri.
42. Pertanto, sia l’articolo 6, paragrafo 4, del RGPD (che consente il trattamento per una finalità diversa), sia l’articolo 6, paragrafo 3 del medesimo regolamento (che consente un trattamento di dati nell’esercizio di pubblici poteri) presuppongono l’esistenza del diritto nazionale (o dell’Unione) come base giuridica di un trattamento (26).
43. Il RB che autorizza il giudice ad emanare l’ordine di divulgazione è quindi una condizione necessaria per la liceità del trattamento di cui trattasi.
3. Il RGPD integra le norme processuali nazionali
44. Qualora esista la base giuridica richiesta dal RGPD e l’ordine che implica il trattamento di dati personali sia adottato conformemente a tale diritto degli Stati membri, sono soddisfatti i requisiti previsti dal RGPD in materia di trattamento lecito?
45. A mio avviso, l’esistenza di una base giuridica nel diritto nazionale, benché necessaria, non è sufficiente affinché l’ordine di divulgazione sia conforme al RGPD.
46. Il giudice del rinvio ha spiegato che, in forza del RB, non si tiene conto, in linea di principio, del carattere privato di informazioni al momento dell’adozione di decisioni sulla divulgazione degli elementi di prova. I giudici sono tenuti a prendere in considerazione gli interessi delle due parti contrapposte, ma la legge in quanto tale non prevede che abbiano un ruolo gli interessi dei soggetti di cui trattasi.
47. Il RB è incompatibile con il RGPD in quanto non obbliga espressamente i giudici, quando diventano titolari del trattamento, a prendere in considerazione gli interessi dei soggetti di cui trattasi quando adottano decisioni che possono influire sui loro dati personali?
48. A mio parere, così non è nel caso di specie. Occorre prendere in considerazione il fatto che diversi atti nazionali che fungono da base giuridica per un trattamento di dati non sono stati adottati specificamente in attuazione del RGPD, ma hanno finalità proprie. Inoltre, il RGPD è direttamente applicabile negli ordinamenti giuridici degli Stati membri e non richiede alcuna attuazione. Pertanto, ciò che rileva è che, quando le norme processuali nazionali e il RGPD si incontrano, le prime lasciano spazio a un’applicazione simultanea del secondo.
49. In udienza il governo svedese ha confermato che il RB non impone, ma non vieta neppure ai giudici di prendere in considerazione gli interessi dei soggetti di cui trattasi. Esso non osta quindi all’applicazione diretta del RGPD al procedimento giudiziario disciplinato da tale codice.
50. I giudici nazionali sono quindi soggetti contemporaneamente alle norme processuali interne e al RGPD, dato che quest’ultimo integra le norme nazionali se le attività processuali degli organi giurisdizionali implicano il trattamento di dati personali.
51. Per concludere, una normativa nazionale non deve fare espresso riferimento al RGPD né obbligare i giudici a prendere in considerazione gli interessi dei soggetti di cui trattasi. È sufficiente che tale normativa consenta un’applicazione integrativa del RGPD. Solo se così non fosse, l’atto nazionale sarebbe contrario al RGPD. Tuttavia, il RB sembra consentire un’applicazione integrativa del RGPD (27).
52. Nel rispondere alla prima questione del giudice del rinvio, concludo pertanto che l’articolo 6, paragrafi 3 e 4, del RGPD impone requisiti alla normativa processuale nazionale in materia di obblighi di divulgazione, ogni qual volta ciò implichi il trattamento di dati personali. Una normativa processuale nazionale non può impedire, in tal caso, di prendere in considerazione gli interessi dei soggetti di cui trattasi. Tali interessi sono salvaguardati se i giudici nazionali rispettano le norme del RGPD in sede di decisione sulla divulgazione delle prove documentali nel singolo caso.
C. Gli obblighi del giudice nazionale concernenti gli interessi dei soggetti di cui trattasi
53. In quanto soggetti del RGPD, i giudici nazionali, in qualità di titolari del trattamento, devono prendere in considerazione gli interessi dei soggetti di cui trattasi. Come dovrebbero essere presi in considerazione tali interessi al momento dell’adozione di una decisione concreta sulla divulgazione? In ciò consiste, in sostanza, la seconda questione del giudice del rinvio.
1. Proporzionalità
54. Gli interessi dei soggetti di cui trattasi sono tutelati quando il trattamento dei loro dati personali è conforme agli articoli 5 e 6 del RGPD (28). Per citare l’avvocato generale Pikamäe, il rispetto degli articoli 5 e 6 del RGPD assicura la tutela del diritto alla vita privata e familiare nonché la protezione dei dati di carattere personale, quali garantite, rispettivamente, dagli articoli 7 e 8 della Carta (29).
55. Gli obiettivi legittimi del trattamento sono elencati all’articolo 6 del RGPD (30). Come esposto nella sezione precedente delle presenti conclusioni, il trattamento di cui trattasi nel caso di specie persegue una finalità lecita, dato che il giudice ha esercitato i propri pubblici poteri ordinando la divulgazione in base al diritto nazionale che consente di garantire il corretto svolgimento del procedimento giudiziario. Orbene, sia l’articolo 6 che l’articolo 5 del RGPD richiedono non solo un obiettivo lecito, ma anche che il trattamento specifico sia necessario per raggiungere tale obiettivo.
56. Il RGPD richiede quindi che il giudice proceda a un’analisi di proporzionalità nel verificare se la divulgazione di dati personali in una situazione concreta sia necessaria a fini probatori nell’ambito di un procedimento giudiziario (31).
57. A tal riguardo, l’articolo 6, paragrafo 4, del RGPD richiede che il diritto nazionale sul quale si fonda il trattamento per una finalità diversa costituisca una misura necessaria e proporzionata per la salvaguardia uno degli obiettivi elencati all’articolo 23, paragrafo 1, del RGPD, nel caso di specie la salvaguardia dell’indipendenza della magistratura e dei procedimenti giudiziari. Inoltre, l’articolo 6, paragrafo 3, del RGPD richiede che il trattamento effettuato nell’esercizio di pubblici poteri sia necessario per l’esercizio di tali pubblici poteri di cui è investito il titolare del trattamento.
58. Il diritto nazionale che funge da base per il trattamento può soddisfare, in astratto, i requisiti di cui all’articolo 6, paragrafi 3 e 4, del RGPD. Tuttavia, la liceità di ciascun trattamento individuale (compreso uno specifico ordine giurisdizionale di divulgazione) dipende dal bilanciamento concreto di tutti gli interessi in gioco, tenuto conto dello scopo legittimo per il quale è chiesta la divulgazione (32). Solo in tal modo il giudice nazionale può decidere se e in quale misura la divulgazione sia necessaria.
59. È dunque evidente che il RGPD richiede un’analisi di proporzionalità. Il RGPD è altresì utile per fornire risposte sui provvedimenti concreti che il giudice deve adottare nell’ambito di tale analisi?
2. Provvedimenti specifici che il giudice nazionale deve adottare
60. L’analisi di proporzionalità, come esposta, deve essere effettuata in ogni singolo caso, prendendo in considerazione tutti gli interessi in gioco. In situazioni come quelle del caso di specie, gli interessi alla base della divulgazione devono essere ponderati con la lesione del diritto alla protezione dei dati personali (33).
61. Gli interessi alla base della divulgazione riflettono il diritto ad una tutela giurisdizionale effettiva (articolo 47 della Carta). Gli interessi dei soggetti di cui trattasi, con i quali il precedente diritto è in conflitto, riflettono il diritto alla vita privata e familiare (articolo 7 della Carta) e il diritto alla protezione dei dati di carattere personale (articolo 8 della Carta). Sono tali diritti che occorre ponderare al fine di decidere se sia necessaria la divulgazione dei dati personali.
62. Nelle considerazioni che seguono, proporrò taluni suggerimenti riguardo ai provvedimenti specifici che il giudice nazionale dovrebbe eventualmente adottare.
63. Anzitutto, si può sempre presumere che i soggetti interessati che non abbiano dato il loro consenso al trattamento abbiano interesse a limitare il trattamento dei loro dati personali. Tale è quindi la situazione di partenza predefinita per il giudice nazionale: giustificare il motivo per cui tale interesse dovrebbe essere leso.
64. A mio avviso, possono essere rinvenute istruzioni per effettuare tale valutazione nell’articolo 5 del RGPD, il quale contiene i principi che il titolare del trattamento deve rispettare nel trattamento dei dati personali.
65. A tal riguardo, il principio di minimizzazione dei dati, derivante dall’articolo 5, paragrafo 1, lettera c), del RGPD, è di fondamentale importanza. Tale requisito costituisce, come dichiarato dalla Corte (34), un’espressione di proporzionalità. Esso richiede che i dati personali siano adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati;
66. Il primo quesito è quindi se i dati contenuti nel registro del personale tenuto dalla Entral siano adeguati. Essi sono adeguati in relazione al fine per il quale devono essere divulgati se mostrano effettivamente il numero di ore di lavoro svolte dai dipendenti della Fastec nel cantiere.
67. Il secondo quesito è se i dati contenuti nel registro del personale tenuto dalla Entral siano pertinenti in relazione al fine per quale sono richiesti. L’obiettivo sembra essere l’interesse della Nycander a provare il proprio argomento secondo cui i dipendenti della Fastec hanno lavorato per un numero di ore inferiore a quanto indicato nella fattura. In tali circostanze, il registro del personale sarebbe pertinente se potesse effettivamente provare o confutare tale affermazione. Il giudice nazionale deve valutare la sua pertinenza alla luce di altre circostanze del caso di specie (ad esempio, l’affermazione della Fastec secondo cui il registro del personale contiene solo una parte delle ore di lavoro pertinenti, in quanto altre si sono svolte al di fuori del cantiere).
68. Al fine di soddisfare il terzo requisito di minimizzazione dei dati, il giudice nazionale deve verificare se tutti o solo alcuni dei dati contenuti nel registro siano sufficienti a fini probatori. Inoltre, se esistono altri modi per dimostrare lo stesso fatto, la minimizzazione dei dati richiede che siano utilizzate tali altre modalità. Ad esempio, il giudice nazionale potrebbe essere indotto a valutare l’affermazione della Fastec secondo cui le ore di lavoro effettive possono essere verificate con riferimento a documenti che fanno già parte del fascicolo di causa dinanzi al giudice del rinvio. Se ritiene che tale affermazione sia corretta, il giudice nazionale non può ordinare la divulgazione di dati personali contenuti nel registro del personale.
69. Il giudice nazionale deve accertare quali tipi di dati personali risultanti dal registro siano sufficienti per provare o confutare i fatti pertinenti. A tal riguardo, il principio di minimizzazione dei dati richiede che siano divulgati soltanto i dati strettamente necessari per le finalità di cui trattasi. Potrebbe essere quindi necessario che la Entral, quale responsabile del trattamento, modifichi il registro del personale in modo tale da limitare i dati personali al minimo necessario, consentendo nel contempo di trarre conclusioni sulle ore effettivamente svolte.
70. A tal riguardo, il giudice nazionale deve stabilire se sia necessario che persone i cui dati sono contenuti nel registro siano identificabili affinché la divulgazione abbia valore probatorio (ad esempio, se sia necessario individuare per nome i singoli lavoratori al fine di invitarli a testimoniare). In caso contrario, può essere sufficiente disporre delle informazioni relative al numero totale di ore dedicate al cantiere e/o al numero di persone che hanno svolto tali ore.
71. A seconda delle risposte fornite ai precedenti quesiti, il giudice può decidere di chiedere la divulgazione di dati pseudonimizzati o anonimizzati (35).
72. In forza del considerando 26 del RGPD, i dati sottoposti a pseudonimizzazione rimangono nell’ambito di applicazione materiale del RGPD. Ciò si verifica perché resta possibile risalire all’identità di una persona che si cela dietro lo pseudonimo. È vero il contrario per i dati anonimizzati, che non rientrano nel suo ambito di applicazione. Pertanto, la modalità di divulgazione disposta infine dal giudice nazionale incide anche sulla successiva applicabilità del RGPD (36).
73. In definitiva, spetta al giudice nazionale determinare il valore probatorio delle diverse versioni del registro del personale al fine di decidere quale tipo di minimizzazione dei dati, se del caso, sia necessario per il buon esito del procedimento giudiziario di cui è investito.
74. Oltre al principio di minimizzazione dei dati di cui all’articolo 5, paragrafo 1, lettera c), del RGPD, anche altri principi contenuti nell’articolo 5 del RGPD vincolano il giudice nazionale e sono rilevanti ai fini del metodo di adozione dell’ordine di divulgazione.
75. Ad esempio, l’articolo 5, paragrafo 1, lettera a), del RGPD, oltre al rinvio al principio di liceità (ulteriormente elaborato all’articolo 6 del medesimo regolamento), menziona anche il principio di trasparenza. A mio avviso, tale principio esige che il giudice nazionale spieghi chiaramente la sua decisione di ordinare la divulgazione dei dati personali, indicando in particolare come ha bilanciato i diversi interessi e argomenti delle parti relativi alla divulgazione.
76. Una corretta motivazione dell’ordine di divulgazione soddisfa altresì il requisito di cui all’articolo 5, paragrafo 2, del RGPD, che impone che il titolare del trattamento sia in grado di comprovare il rispetto dei principi enunciati all’articolo 5, paragrafo 1, di tale regolamento.
77. Il modo di rispettare i principi di cui all’articolo 5 del RGPD può anche essere letto a partire dal considerando 31 del RGPD. Secondo quanto previsto da tale considerando, le «richieste di comunicazione inviate dalle autorità pubbliche dovrebbero sempre essere scritte, motivate e occasionali e non dovrebbero riguardare un intero archivio o condurre all’interconnessione di archivi».
78. Il governo polacco ha espresso preoccupazione riguardo alla valutazione della proporzionalità da parte del giudice nazionale: se il giudice nazionale deve valutare il valore probatorio del registro del personale o di un altro elemento di prova nel procedimento di cui è investito, non è già troppo coinvolto in quello che dovrebbe rimanere il ruolo delle parti, ossia tentare di essere vittorioso in una controversia riguardante proprio la forza probatoria di tali elementi di prova?
79. A mio avviso, la valutazione del valore probatorio, che prende in considerazione gli interessi dei soggetti di cui trattasi, non comporta una maggiore ingerenza nella causa rispetto alla valutazione del valore probatorio di qualsiasi altro elemento di prova nell’ambito di un procedimento civile (37).
80. Il grado di ingerenza del giudice nazionale dipende dal carattere manifesto del valore probatorio dei dati di cui si chiede la divulgazione nelle circostanze del caso di specie. Attiene sempre al caso di specie la misura in cui la divulgazione potrebbe interferire con gli interessi dei soggetti di cui trattasi.
81. Ad esempio, talune cause possono avere ad oggetto dati sensibili che beneficiano di un regime speciale di protezione ai sensi dell’articolo 9 del RGPD, o dati riguardanti sanzioni penali rientranti nel regime di cui all’articolo 10 del medesimo regolamento. In tali situazioni gli interessi dei soggetti di cui trattasi acquistano necessariamente maggiore rilevanza nell’operazione di bilanciamento (38). Analogamente, l’interesse alla divulgazione può differire da una causa all’altra. Se talvolta è chiaro che la pertinenza degli elementi di prova richiesti è marginale, in altri casi essi sono fondamentali ai fini della determinazione dell’esito della controversia. A tal riguardo, è valida l’osservazione della Commissione secondo cui il giudice nazionale dovrebbe disporre di un ampio potere discrezionale quando effettua tali valutazioni. Tuttavia, esso non dovrebbe mai essere esonerato dall’obbligo di prendere in considerazione gli interessi dei soggetti di cui trattasi.
82. Il governo ceco ha espresso un’altra preoccupazione: imporre ai giudici nazionali l’obbligo di prendere in considerazione gli interessi dei soggetti di cui trattasi ogni qual volta dispongano la divulgazione di prove documentali osterebbe al regolare funzionamento dei procedimenti giudiziari. Infatti, il RGPD istituisce un obbligo supplementare (39) per i giudici di procedere al controllo di proporzionalità prima di ordinare la divulgazione di prove documentali contenenti dati personali. Tuttavia, né il bilanciamento degli interessi costituisce un esercizio intellettuale insolito per i giudici, né l’onere gravante sui giudici nazionali è diverso da quello imposto a qualsiasi titolare del trattamento dal RGPD.
83. Se i cittadini dell’Unione devono beneficiare di un livello elevato di protezione dei loro dati personali, coerente con la scelta del legislatore dell’Unione espressa nel RGPD, la presa in considerazione degli interessi dei soggetti di cui trattasi non può essere considerata un onere eccessivo per i giudici degli Stati membri.
84. Propongo pertanto alla Corte di rispondere come segue alla seconda questione sollevata dal giudice del rinvio: quando decide sull’ordine di divulgazione nell’ambito di un procedimento civile che implica il trattamento di dati personali, il giudice nazionale deve procedere ad un’analisi di proporzionalità che tenga conto degli interessi dei soggetti di cui trattasi, i cui dati personali devono essere oggetto di trattamento, e bilanciarli con l’interesse delle parti del procedimento a ottenere elementi di prova. Tale valutazione di proporzionalità è guidata dai principi enunciati all’articolo 5 del RGPD, tra cui il principio di minimizzazione dei dati.
V. Conclusione
85. Alla luce delle considerazioni che precedono, propongo alla Corte di rispondere nei seguenti termini alle due questioni pregiudiziali sollevate dallo Högsta domstolen (Corte suprema, Svezia):
1) L’articolo 6, paragrafi 3 e 4, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), impone requisiti alla normativa processuale nazionale in materia di obblighi di divulgazione, ogni qual volta la divulgazione implichi il trattamento di dati personali. Una normativa processuale nazionale non può impedire, in tal caso, di prendere in considerazione gli interessi dei soggetti di cui trattasi. Tali interessi sono salvaguardati se i giudici nazionali rispettano le norme del regolamento 2016/679 in sede di decisione sulla divulgazione delle prove documentali nel singolo caso.
2) Quando decide sull’ordine di divulgazione nell’ambito di un procedimento civile che implica il trattamento di dati personali, il giudice nazionale deve procedere ad un’analisi di proporzionalità che tenga conto degli interessi dei soggetti di cui trattasi, i cui dati personali devono essere oggetto di trattamento, e bilanciarli con l’interesse delle parti del procedimento a ottenere elementi di prova. Tale valutazione di proporzionalità è guidata dai principi enunciati all’articolo 5 del regolamento 2016/679, tra cui il principio di minimizzazione dei dati.