SENTENZA DELLA CORTE (Quinta Sezione)
16 novembre 2023 (*)
«Rinvio pregiudiziale – Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Direttiva (UE) 2016/680 – Articolo 17 – Esercizio dei diritti dell’interessato tramite l’autorità di controllo – Verifica della liceità del trattamento dei dati – Articolo 17, paragrafo 3 – Obbligo di informazione minima dell’interessato – Portata – Validità – Articolo 53 – Diritto di proporre un ricorso giurisdizionale effettivo nei confronti dell’autorità di controllo – Nozione di “decisione giuridicamente vincolante” – Carta dei diritti fondamentali dell’Unione europea – Articolo 8, paragrafo 3 – Controllo di un’autorità indipendente – Articolo 47 – Diritto a una tutela giurisdizionale effettiva»
Nella causa C‑333/22,
avente ad oggetto la domanda di pronuncia pregiudiziale proposta alla Corte, ai sensi dell’articolo 267 TFUE, dalla cour d’appel de Bruxelles (Corte d’appello di Bruxelles, Belgio), con decisione del 9 maggio 2022, pervenuta in cancelleria il 20 maggio 2022, nel procedimento
Ligue des droits humains ASBL,
BA
contro
Organe de contrôle de l’information policière,
LA CORTE (Quinta Sezione),
composta da E. Regan, presidente di sezione, Z. Csehi, M. Ilešič, I. Jarukaitis e D. Gratsias (relatore), giudici,
avvocato generale: L. Medina
cancelliere: M. Siekierzyńska, amministratrice
vista la fase scritta del procedimento e in seguito all’udienza del 29 marzo 2023,
considerate le osservazioni presentate:
– per la Ligue des droits humains ASBL e BA, da C. Forget, avocate;
– per l’Organe de contrôle de l’information policière (OCIP), da J. Bosquetet e J.-F. De Bock, advocaten;
– per il governo belga, da P. Cottin, J.-C. Halleux, C. Pochet e A. Van Baelen, in qualità di agenti, assistiti da N. Cariat, C. Fischer, B. Lombaert e J. Simba, avocats;
– per il governo ceco, da O. Serdula, M. Smolek e J. Vláčil, in qualità di agenti;
– per il governo francese, da J. Illouz, in qualità di agente;
– per il Parlamento europeo, da S. Alonso de León, O. Hrstková Šolcová, P. López-Carceller e M. Thibault, in qualità di agenti;
– per la Commissione europea, da A. Bouchagiar, H. Kranenborg, A.‑C. Simon e F. Wilman, in qualità di agenti,
sentite le conclusioni dell’avvocato generale, presentate all’udienza del 15 giugno 2023,
ha pronunciato la seguente
Sentenza
1 La domanda di pronuncia pregiudiziale verte, da un lato, sull’interpretazione dell’articolo 8, paragrafo 3, e dell’articolo 47 della Carta dei diritti fondamentali dell’Unione europea (in prosieguo: la «Carta») e, dall’altro, sulla validità, rispetto alle summenzionate disposizioni della Carta, dell’articolo 17 della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio (GU 2016, L 119, pag. 89).
2 Tale domanda è stata presentata nell’ambito di una controversia tra la Ligue des droits humains ASBL (Lega dei diritti umani) e BA, da un lato, e l’Organe de contrôle de l’information policière (Organo di controllo dell’informazione di polizia) (OCIP) (Belgio), dall’altro, in merito all’esercizio, tramite tale organo, dei diritti di BA relativi ai dati personali che lo riguardavano, trattati dai servizi di polizia belgi e sulla base dei quali l’Autorité nationale de sécurité (Autorità nazionale di sicurezza, Belgio) ha respinto una domanda di nulla osta di sicurezza presentata da tale persona.
Contesto normativo
Diritto dell’Unione
3 I considerando 7, 10, 43, 46, 48, 75, 82, 85 e 86 della direttiva 2016/680 enunciano quanto segue:
«(7) Assicurare un livello uniforme ed elevato di protezione dei dati personali delle persone fisiche e facilitare lo scambio di dati personali tra le autorità competenti degli Stati membri è essenziale al fine di garantire un’efficace cooperazione giudiziaria in materia penale e di polizia. Per questo sarebbe auspicabile un livello di tutela equivalente in tutti gli Stati membri dei diritti e delle libertà delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o di esecuzione di sanzioni penali, incluse la salvaguardia contro e la prevenzione di minacce alla sicurezza pubblica. Un’efficace protezione dei dati personali in tutta l’Unione [europea] presuppone il rafforzamento dei diritti degli interessati e degli obblighi di tutti coloro che trattano dati personali, nonché poteri equivalenti per controllare e garantire il rispetto delle norme di protezione dei dati personali negli Stati membri.
(...)
(10) Nella dichiarazione n. 21, relativa alla protezione dei dati personali nel settore della cooperazione giudiziaria in materia penale e della cooperazione di polizia, allegata all’atto finale della conferenza intergovernativa che ha adottato il trattato di Lisbona, la conferenza riconosce che potrebbero rivelarsi necessarie, in considerazione della specificità dei settori in questione, norme specifiche sulla protezione dei dati personali e sulla libera circolazione di dati personali nei settori della cooperazione giudiziaria in materia penale e della cooperazione di polizia, in base all’articolo 16 TFUE.
(...)
(43) Una persona fisica dovrebbe avere il diritto di accedere ai dati raccolti che la riguardano e di esercitare tale diritto facilmente e a intervalli ragionevoli, per essere consapevole del trattamento e verificarne la liceità. (...)
(…)
(46) Qualsiasi limitazione dei diritti dell’interessato deve essere conforme alla Carta e alla [Convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali, firmata a Roma il 4 novembre 1950], come interpretate nella giurisprudenza rispettivamente della Corte di giustizia e della Corte europea dei diritti dell’uomo, e rispettare in particolare la sostanza di tali diritti e libertà.
(…)
(48) Nel caso in cui il titolare del trattamento neghi all’interessato il suo diritto di informazione, accesso, rettifica o cancellazione di dati personali o limitazione di trattamento, l’interessato dovrebbe avere il diritto di chiedere che l’autorità nazionale di controllo verifichi la liceità del trattamento. (...)
(...)
(75) La designazione negli Stati membri di autorità di controllo che possano agire in totale indipendenza è un elemento essenziale della protezione delle persone fisiche con riguardo al trattamento dei loro dati personali. Spetterebbe alle autorità di controllo sorvegliare l’applicazione delle disposizioni adottate a norma della presente direttiva e contribuire alla loro coerente applicazione in tutta l’Unione, così da tutelare le persone fisiche con riguardo al trattamento dei loro dati personali. (...)
(...)
(82) Al fine di garantire un monitoraggio efficace, affidabile e coerente del rispetto e dell’applicazione della presente direttiva in tutta l’Unione, conformemente al [Trattato FUE] come interpretato Corte di giustizia, le autorità di controllo dovrebbero avere in ciascuno Stato membro gli stessi compiti e poteri effettivi, fra cui poteri di indagine, correttivi e consultivi, che costituiscono mezzi necessari per eseguire i loro compiti. (...)
(...)
(85) Ciascun interessato dovrebbe avere il diritto di proporre reclamo a un’unica autorità di controllo e a un ricorso giurisdizionale effettivo a norma dell’articolo 47 della Carta qualora ritenga che siano stati violati i diritti di cui gode ai sensi delle disposizioni adottate a norma della presente direttiva o se l’autorità di controllo non dà seguito a un reclamo, lo respinge in tutto o in parte o lo archivia o non agisce quando è necessario intervenire per proteggere i diritti dell’interessato. (...)
(86) Ogni persona fisica o giuridica dovrebbe avere diritto a un ricorso giurisdizionale effettivo dinanzi alle competenti autorità giurisdizionali nazionali avverso una decisione dell’autorità di controllo che produce effetti giuridici nei confronti di tale persona. Tale decisione riguarda in particolare l’esercizio di poteri di indagine, correttivi e autorizzativi da parte dell’autorità di controllo o l’archiviazione o il rigetto dei reclami. Tuttavia, tale diritto non comprende altre misure delle autorità di controllo che non sono giuridicamente vincolanti, come pareri o consulenza forniti dall’autorità di controllo. Le azioni nei confronti di un’autorità di controllo dovrebbero essere promosse dinanzi alle autorità giurisdizionali dello Stato membro in cui l’autorità di controllo è stabilita e dovrebbero essere effettuate conformemente al diritto dello Stato membro in questione. Tali autorità giurisdizionali dovrebbero esercitare i loro pieni poteri giurisdizionali, ivi compreso quello di esaminare tutte le questioni di fatto e di diritto che abbiano rilevanza per la controversia dinanzi a esse pendente».
4 L’articolo 1 di tale direttiva, intitolato «Oggetto e obiettivi», ai suoi paragrafi 1 e 2 così dispone:
«1. La presente direttiva stabilisce le norme relative alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia e la prevenzione di minacce alla sicurezza pubblica.
2. Ai sensi della presente direttiva gli Stati membri:
a) tutelano i diritti e le libertà fondamentali delle persone fisiche, in particolare il diritto alla protezione dei dati personali; e
b) garantiscono che lo scambio dei dati personali da parte delle autorità competenti all’interno dell’Unione, qualora tale scambio sia richiesto dal diritto dell’Unione o da quello dello Stato membro, non sia limitato né vietato per motivi attinenti alla protezione delle persone fisiche con riguardo al trattamento dei dati personali».
5 Detta direttiva contiene il capo III intitolato «Diritti dell’interessato», il quale comprende, in particolare, gli articoli da 13 a 17 di quest’ultimo. Tale articolo 13, intitolato «Informazioni da rendere disponibili o da fornire all’interessato», al paragrafo 1 enuncia l’obbligo, per gli Stati membri, di disporre che il titolare del trattamento metta a disposizione dell’interessato determinate informazioni minime, quali, in particolare, l’identità e i dati di contatto del titolare del trattamento. Inoltre, al paragrafo 2 esso elenca le ulteriori informazioni che gli Stati membri devono imporre, per legge, al titolare del trattamento di fornire all’interessato, per consentire l’esercizio dei suoi diritti. Ai suoi paragrafi 3 e 4, esso enuncia quanto segue:
«3. Gli Stati membri possono adottare misure legislative intese a ritardare, limitare o escludere la comunicazione di informazioni all’interessato ai sensi del paragrafo 2 nella misura e per il tempo in cui ciò costituisca una misura necessaria e proporzionata in una società democratica, tenuto debito conto dei diritti fondamentali e dei legittimi interessi della persona fisica interessata al fine di:
a) non compromettere indagini, inchieste o procedimenti ufficiali o giudiziari;
b) non compromettere la prevenzione, l’indagine, l’accertamento e il perseguimento di reati o l’esecuzione di sanzioni penali;
c) proteggere la sicurezza pubblica;
d) proteggere la sicurezza nazionale;
e) proteggere i diritti e le libertà altrui.
4. Gli Stati membri possono adottare misure legislative al fine di determinare le categorie di trattamenti cui può applicarsi, in tutto o in parte, una delle lettere del paragrafo 3».
6 L’articolo 14 della medesima direttiva, intitolato «Diritto di accesso dell’interessato», è così formulato:
«Fatto salvo l’articolo 15, gli Stati membri dispongono che l’interessato abbia il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e, in tal caso, di ottenere l’accesso ai dati personali (...)».
7 Ai sensi dell’articolo 15 della direttiva 2016/680, intitolato «Limitazioni del diritto di accesso»:
«1. Gli Stati membri possono adottare misure legislative volte a limitare, in tutto o in parte, il diritto di accesso dell’interessato nella misura e per il tempo in cui tale limitazione totale o parziale costituisca una misura necessaria e proporzionata in una società democratica, tenuto debito conto dei diritti fondamentali e dei legittimi interessi della persona fisica interessata al fine di:
a) non compromettere indagini, inchieste o procedimenti ufficiali o giudiziari;
b) non compromettere la prevenzione, l’indagine, l’accertamento e il perseguimento di reati o l’esecuzione di sanzioni penali;
c) proteggere la sicurezza pubblica;
d) proteggere la sicurezza nazionale;
e) proteggere i diritti e le libertà altrui.
2. Gli Stati membri possono adottare misure legislative al fine di determinare le categorie di trattamenti cui possono applicarsi, in tutto o in parte, le lettere da a) a e) del paragrafo 1.
3. Nei casi di cui ai paragrafi 1 e 2, gli Stati membri dispongono che il titolare del trattamento informi l’interessato, senza ingiustificato ritardo e per iscritto, di ogni rifiuto o limitazione dell’accesso e dei motivi del rifiuto o della limitazione. Detta comunicazione può essere omessa qualora il suo rilascio rischi di compromettere una delle finalità di cui al paragrafo 1. Gli Stati membri dispongono che il titolare del trattamento informi l’interessato delle possibilità di proporre reclamo dinanzi a un’autorità di controllo o di proporre ricorso giurisdizionale.
4. Gli Stati membri dispongono che il titolare del trattamento documenti i motivi di fatto o di diritto su cui si basa la decisione. Tali informazioni sono rese disponibili alle autorità di controllo».
8 L’articolo 16 di tale direttiva, intitolato «Diritto di rettifica o cancellazione di dati personali e limitazione di trattamento», così dispone:
«1. Gli Stati membri dispongono che l’interessato abbia il diritto di ottenere dal titolare del trattamento la rettifica dei dati personali inesatti che lo riguardano senza ingiustificato ritardo. Tenuto conto delle finalità del trattamento, gli Stati membri dispongono che l’interessato abbia il diritto di ottenere l’integrazione dei dati personali incompleti (...).
2. Gli Stati membri impongono al titolare del trattamento di cancellare i dati personali senza ingiustificato ritardo e stabiliscono il diritto dell’interessato di ottenere dal titolare del trattamento la cancellazione di dati personali che lo riguardano senza ingiustificato ritardo qualora il trattamento violi le disposizioni adottate a norma degli articoli 4, 8 o 10 o qualora i dati personali debbano essere cancellati per conformarsi a un obbligo legale al quale è soggetto il titolare del trattamento.
3. Anziché cancellare, il titolare del trattamento limita il trattamento quando:
a) l’esattezza dei dati personali è contestata dall’interessato e la loro esattezza o inesattezza non può essere accertata; o
b) i dati personali devono essere conservati a fini probatori.
(…)
4. Gli Stati membri dispongono che il titolare del trattamento informi l’interessato per iscritto di ogni rifiuto di rettifica o cancellazione dei dati personali o limitazione del trattamento e dei motivi del rifiuto. Gli Stati membri possono adottare misure legislative volte a limitare, in tutto o in parte, l’obbligo di fornire tali informazioni nella misura in cui tale limitazione costituisca una misura necessaria e proporzionata in una società democratica, tenuto debito conto dei diritti fondamentali e dei legittimi interessi della persona fisica interessata per:
a) non compromettere indagini, inchieste o procedimenti ufficiali o giudiziari;
b) non compromettere la prevenzione, l’indagine, l’accertamento e il perseguimento di reati o l’esecuzione di sanzioni penali;
c) proteggere la sicurezza pubblica;
d) proteggere la sicurezza nazionale;
e) proteggere i diritti e le libertà altrui.
Gli Stati membri dispongono che il titolare del trattamento informi l’interessato delle possibilità di proporre reclamo dinanzi a un’autorità di controllo o di proporre ricorso giurisdizionale.
(...)».
9 L’articolo 17 di detta direttiva, intitolato «Esercizio dei diritti dell’interessato e verifica da parte dell’autorità di controllo», prevede quanto segue:
«1. Nei casi di cui all’articolo 13, paragrafo 3, all’articolo 15, paragrafo 3, e all’articolo 16, paragrafo 4, gli Stati membri adottano misure che dispongano che i diritti dell’interessato possano essere esercitati anche tramite l’autorità di controllo competente.
2. Gli Stati membri dispongono che il titolare del trattamento informi l’interessato della possibilità di esercitare i suoi diritti tramite l’autorità di controllo ai sensi del paragrafo 1.
3. Qualora sia esercitato il diritto di cui al paragrafo 1, l’autorità di controllo informa l’interessato, perlomeno, di aver eseguito tutte le verifiche necessarie o un riesame. L’autorità di controllo informa inoltre l’interessato del diritto di quest’ultimo di proporre ricorso giurisdizionale».
10 L’articolo 42 della medesima direttiva, intitolato «Indipendenza», al paragrafo 1 enuncia quanto segue:
«Ogni Stato membro dispone che ciascuna autorità di controllo agisca in piena indipendenza nell’adempimento dei propri compiti e nell’esercizio dei propri poteri previsti dalla presente direttiva».
11 L’articolo 46 della direttiva 2016/680, intitolato «Compiti», al paragrafo 1 stabilisce quanto segue:
«Ogni Stato membro dispone che sul proprio territorio ciascuna autorità di controllo:
a) sorvegli e assicuri l’applicazione delle disposizioni adottate a norma della presente direttiva e delle relative misure di esecuzione;
(...)
f) tratti i reclami proposti da un interessato (...) e svolga le indagini opportune sull’oggetto del reclamo e informi il reclamante dello stato e dell’esito delle indagini entro un termine ragionevole (...);
g) verifichi la liceità del trattamento ai sensi dell’articolo 17 e informi l’interessato entro un termine ragionevole dell’esito della verifica ai sensi del paragrafo 3 di tale articolo, o dei motivi per cui non è stata effettuata;
(...)».
12 Ai sensi dell’articolo 47 di tale direttiva, intitolato «Poteri»:
«1. Ogni Stato membro dispone per legge che ciascuna autorità di controllo abbia poteri d’indagine effettivi. Tali poteri comprendono almeno il potere di ottenere, dal titolare del trattamento e dal responsabile del trattamento, l’accesso a tutti i dati personali oggetto del trattamento e a tutte le informazioni necessarie per l’adempimento dei suoi compiti.
2. Ogni Stato membro dispone per legge che ciascuna autorità di controllo abbia poteri correttivi effettivi, come ad esempio:
a) rivolgere avvertimenti al titolare del trattamento o al responsabile del trattamento sul fatto che i trattamenti previsti possono verosimilmente violare le disposizioni adottate a norma della presente direttiva;
b) ingiungere al titolare del trattamento o al responsabile del trattamento di conformare i trattamenti alle disposizioni adottate a norma della presente direttiva, se del caso, in una determinata maniera ed entro un determinato termine, ordinando in particolare la rettifica o la cancellazione di dati personali o la limitazione del trattamento ai sensi dell’articolo 16;
c) imporre un[a] limitazione provvisoria o definitiva al trattamento, incluso il divieto di trattamento.
(...)
4. L’esercizio da parte di un’autorità di controllo dei poteri attribuitile dal presente articolo è soggetto a garanzie adeguate, inclusi il ricorso giurisdizionale effettivo e il giusto processo, previste dal diritto dell’Unione e dello Stato membro conformemente alla Carta.
(…)».
13 L’articolo 52 di detta direttiva, intitolato «Diritto di proporre reclamo all’autorità di controllo», al paragrafo 1 prevede quanto segue:
«Gli Stati membri dispongono che, fatto salvo ogni altro ricorso amministrativo o giurisdizionale, l’interessato che ritenga che il trattamento dei dati personali che lo riguardano violi le disposizioni adottate a norma della presente direttiva abbia il diritto di proporre reclamo a un’unica autorità di controllo».
14 L’articolo 53 della medesima direttiva, intitolato «Diritto a un ricorso giurisdizionale effettivo nei confronti dell’autorità di controllo», al paragrafo 1 enuncia quanto segue:
«Fatto salvo ogni altro ricorso amministrativo o extragiudiziale, gli Stati membri prevedono il diritto di una persona fisica o giuridica a un ricorso giurisdizionale effettivo avverso una decisione giuridicamente vincolante dell’autorità di controllo che la riguarda».
15 L’articolo 54 della direttiva 2016/680, intitolato «Diritto a un ricorso giurisdizionale effettivo nei confronti del titolare del trattamento o del responsabile del trattamento», è così formulato:
«Gli Stati membri dispongono che, fatto salvo ogni altro ricorso amministrativo o extragiudiziale disponibile, compreso il diritto di proporre reclamo a un’autorità di controllo ai sensi dell’articolo 52, l’interessato abbia il diritto a un ricorso giurisdizionale effettivo qualora ritenga che i diritti di cui gode ai sensi delle disposizioni adottate a norma della presente direttiva siano stati violati a seguito del trattamento dei propri dati personali in violazione di tali disposizioni».
Diritto belga
16 La loi relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel (legge relativa alla tutela delle persone fisiche con riguardo al trattamento di dati personali), del 30 luglio 2018 (Moniteur belge del 5 settembre 2018, pag. 68616; in prosieguo: la «LPD»), recepisce al titolo 2 la direttiva 2016/680. I diritti enunciati agli articoli da 13 a 16 di tale direttiva sono previsti al capo III di detto titolo, più precisamente agli articoli da 37 a 39 di detta legge.
17 L’articolo 42 della LPD così dispone:
«La richiesta di esercitare i diritti di cui al presente capo nei confronti dei servizi di polizia (...) o dell’Inspection générale de la police fédérale et de la police locale [(Ispettorato generale della polizia federale e della polizia locale, Belgio)], è presentata all’autorità di controllo di cui all’articolo 71.
Nei casi di cui agli articoli 37, § 2, 38, § 2 [e] 39, § 4 (...), l’autorità di controllo di cui all’articolo 71 comunica unicamente all’interessato di aver eseguito le verifiche necessarie.
Fatto salvo il comma 2, l’autorità di controllo di cui all’articolo 71 può comunicare all’interessato determinate informazioni contestuali.
Il Re determina, previo parere dell’autorità di controllo di cui all’articolo 71, la categoria delle informazioni contestuali che possono essere comunicate all’interessato da tale autorità».
18 Secondo la cour d’appel de Bruxelles (Corte d’appello di Bruxelles, Belgio), giudice del rinvio, non è stato adottato alcun regio decreto al fine di attuare l’articolo 42, quarto comma, della LPD.
19 Ai sensi dell’articolo 71, paragrafo 1, della LPD:
«È istituita presso la Chambre des représentants [(Camera dei rappresentanti, Belgio)] un’autorità di controllo indipendente dell’informazione di polizia, denominata Organo di controllo dell’informazione di polizia.
(...)
Essa è (...) incaricata di:
1° sorvegliare l’applicazione del presente titolo (...)
2° controllare il trattamento delle informazioni e dei dati personali di cui agli articoli da 44/1 a 44/11/13 della legge del 5 agosto 1992 sulla funzione di polizia, compresi quelli inseriti nelle banche dati di cui all’articolo 44/2 della medesima legge;
3° qualsiasi altro compito organizzato da o in base ad altre leggi».
20 Il capo I del titolo 5 della LPD è intitolato «Azione inibitoria». L’articolo 209, contenuto in tale capo, è così formulato:
«Fatto salvo ogni altro ricorso giurisdizionale, amministrativo o extragiudiziale, il presidente del Tribunale di primo grado, in qualità di giudice del procedimento sommario, accerta l’esistenza di un trattamento che costituisce violazione delle disposizioni legislative o regolamentari relative alla tutela delle persone fisiche con riguardo al trattamento dei loro dati personali, e ne ordina la cessazione.
Il presidente del Tribunale di primo grado, in qualità di giudice del procedimento sommario, conosce di ogni domanda relativa al diritto, riconosciuto dalla legge o ai sensi della legge, di ottenere comunicazione di dati personali, e di ogni domanda diretta a ottenere la rettifica, la cancellazione o il divieto di utilizzo di qualunque dato personale inesatto o, tenuto conto delle finalità del trattamento, incompleto o non pertinente, o la cui registrazione, comunicazione o conservazione sono vietate, al cui trattamento l’interessato si è opposto o che è stato conservato oltre il periodo autorizzato».
21 L’articolo 240, paragrafo 4, della LPD stabilisce che l’OCIP:
«L’[OCIP]
(…)
4° tratta i reclami, svolge le indagini opportune sull’oggetto del reclamo e informa il reclamante dello stato e dell’esito delle indagini entro un termine ragionevole, in particolare ove siano necessarie ulteriori indagini o un coordinamento con un’altra autorità di controllo. (...)».
Procedimento principale e questioni pregiudiziali
22 Nel corso del 2016 BA, all’epoca dipendente a tempo parziale di un’associazione senza scopo di lucro, ha chiesto un nulla osta di sicurezza all’Autorité nationale de sécurité (Autorità nazionale di sicurezza) per poter partecipare al montaggio e allo smantellamento delle installazioni per la decima edizione delle «Giornate europee dello sviluppo» a Bruxelles (Belgio).
23 Con lettera del 22 giugno 2016, tale autorità ha rifiutato di rilasciare a BA un nulla osta di sicurezza, in quanto dai dati personali messi a sua disposizione risultava che tale persona aveva partecipato a dieci manifestazioni tra il 2007 e il 2016 e che tali elementi non consentivano di concederle un tale nulla osta nell’ambito della normativa applicabile, in particolare per motivi di sicurezza nazionale e di stabilità dell’ordinamento democratico costituzionale. Tale decisione non è stata impugnata.
24 Il 4 febbraio 2020 il legale di BA ha chiesto all’OCIP di identificare i titolari del trattamento dei dati personali di cui trattasi e di ingiungere loro di dare al suo cliente l’accesso a tutte le informazioni che lo riguardavano al fine di consentirgli di esercitare i suoi diritti in termini congrui.
25 Con messaggio di posta elettronica del 6 febbraio 2020, l’OCIP ha confermato l’avvenuta ricezione di tale domanda. Esso ha dichiarato che BA disponeva soltanto di un diritto di accesso indiretto a tali dati, assicurando al contempo che esso stesso avrebbe verificato la legittimità di un eventuale trattamento di dati nella Banque de données nationale générale (Banca dati nazionale generale, Belgio), vale a dire la banca dati utilizzata da tutti i servizi di polizia nazionali. Inoltre, esso ha precisato di avere il potere di ordinare alla polizia di cancellare o modificare dati, se necessario, e che, in esito a tale controllo, avrebbe informato BA del fatto che erano state effettuate le verifiche necessarie.
26 Con messaggio di posta elettronica del 22 giugno 2020, l’OCIP ha comunicato al legale di BA quanto segue:
«(...)
La informo, conformemente all’articolo 42 della [LPD], che l’[OCIP] ha eseguito le verifiche necessarie.
Ciò significa che i dati personali del Suo cliente sono stati verificati nelle banche dati di polizia al fine di garantire la liceità di un eventuale trattamento.
Se ritenuto necessario, i dati personali sono stati modificati o cancellati.
Come Le avevo spiegato nella mia e-mail del [2] giugno scorso, l’articolo 42 della LPD non consente all’[OCIP] di comunicare ulteriori informazioni».
27 Il 2 settembre 2020 la Ligue des droits humains (Lega dei diritti umani) e BA hanno presentato, sulla base dell’articolo 209, secondo comma, della LPD, una domanda di provvedimenti provvisori dinanzi al tribunal de première instance francophone de Bruxelles (Tribunale di primo grado di Bruxelles di lingua francese, Belgio).
28 In primo luogo, i ricorrenti nel procedimento principale chiedevano a tale giudice di dichiarare ricevibile la loro domanda di provvedimenti provvisori e, in subordine, di interrogare la Corte in merito alla questione se, in sostanza, l’articolo 47, paragrafo 4, della direttiva 2016/680, letto alla luce dei considerando 85 e 86 di tale direttiva e in combinato disposto con l’articolo 8, paragrafo 3, e con l’articolo 47 della Carta, ostasse agli articoli 42 e 71 della LPD, in quanto questi ultimi non prevedevano alcun ricorso giurisdizionale avverso le decisioni adottate dall’OCIP.
29 In secondo luogo, nel merito, essi chiedevano l’accesso a tutti i dati personali riguardanti BA, tramite l’OCIP, e l’identificazione, da parte di quest’ultimo, dei titolari del trattamento e degli eventuali destinatari di tali dati.
30 Per il caso in cui il giudice adito avesse ritenuto che l’articolo 42, paragrafo 2, della LPD consentisse di limitare sistematicamente l’accesso ai dati personali trattati dai servizi di polizia, essi chiedevano, in subordine, di adire la Corte in merito, in sostanza, alla questione se gli articoli 14, 15 e 17 della direttiva 2016/680, in combinato disposto con gli articoli 8 e 47 nonché con l’articolo 52, paragrafo 1, della Carta, dovessero essere interpretati nel senso che essi ostavano a una normativa nazionale che ammette una deroga generale e sistematica al diritto di accesso ai dati personali, in quanto, da un lato, tale diritto si esercitava tramite l’autorità di controllo e, dall’altro, quest’ultima poteva limitarsi a indicare all’interessato di aver effettuato tutte le verifiche necessarie senza informarlo dei dati personali oggetto di trattamento nonché dei destinatari e a prescindere dall’obiettivo perseguito.
31 Con ordinanza del 17 maggio 2021, il tribunal de première instance francophone de Bruxelles (Tribunale di primo grado di Bruxelles di lingua francese) ha dichiarato di essere «privo di potere giurisdizionale» in relazione a tale domanda di provvedimenti provvisori.
32 Con atto introduttivo del 15 giugno 2021 dinanzi alla cour d’appel de Bruxelles (Corte d’appello di Bruxelles), i ricorrenti nel procedimento principale hanno interposto appello avverso tale ordinanza. Essi hanno reiterato, in sostanza, le domande presentate in primo grado.
33 In tale contesto, il giudice del rinvio rileva, in particolare, in sostanza, che, qualora una persona non abbia il diritto di esercitare personalmente i diritti previsti dalla direttiva 2016/680, l’azione inibitoria prevista dagli articoli 209 e seguenti della LPD non è esperibile. Infatti, anzitutto, un’azione del genere può essere intentata contro il titolare del trattamento, ma non contro l’autorità di controllo stessa. Inoltre, essa non può neppure essere esercitata da tale persona, nella fattispecie BA, contro il titolare del trattamento, poiché l’esercizio dei suoi diritti è affidato a detta autorità. Infine, l’informazione particolarmente succinta fornita dall’OCIP a BA non consente né a quest’ultimo né a un organo giurisdizionale di valutare se tale autorità di controllo abbia correttamente esercitato i diritti di detta persona. Essa aggiunge che, sebbene la LPD preveda che tale azione inibitoria non pregiudica qualsiasi altro ricorso giurisdizionale, amministrativo o extragiudiziale, un siffatto altro ricorso proposto da BA andrebbe incontro alle stesse difficoltà.
34 Ciò premesso, la cour d’appel de Bruxelles (Corte d’appello di Bruxelles) ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali:
«1. Se l’articolo 47 e l’articolo 8, [paragrafo] 3, della [Carta] impongano di prevedere un ricorso giurisdizionale nei confronti di un’autorità di controllo indipendente, come l’[OCIP], quando essa esercita i diritti dell’interessato nei confronti del titolare del trattamento.
2. Se l’articolo 17 della direttiva 2016/680 sia conforme all’articolo 47 e all’articolo 8, [paragrafo] 3, della [Carta], come interpretati dalla [Corte], nella parte in cui impone all’autorità di controllo – che eserciti i diritti dell’interessato nei confronti del titolare del trattamento – soltanto di informare l’interessato “di aver eseguito tutte le verifiche necessarie o un riesame” e “del diritto di quest’ultimo di proporre ricorso giurisdizionale”, sebbene siffatta informazione non consenta alcun controllo a posteriori sull’azione e sulla valutazione dell’autorità di controllo in merito ai dati dell’interessato e agli obblighi gravanti sul titolare del trattamento».
Sulle questioni pregiudiziali
Sulla prima questione
35 In via preliminare, dalla domanda di pronuncia pregiudiziale risulta che gli interrogativi del giudice del rinvio riguardano l’esistenza, sul fondamento dell’articolo 53, paragrafo 1, della direttiva 2016/680, letto alla luce dell’articolo 47 della Carta, di un obbligo per gli Stati membri di prevedere un diritto a un ricorso giurisdizionale effettivo nei confronti dell’autorità nazionale di controllo competente, qualora sia attuata una disposizione di diritto nazionale che recepisce l’articolo 17 di tale direttiva, secondo il quale, nei casi di cui all’articolo 13, paragrafo 3, all’articolo 15, paragrafo 3, e all’articolo 16, paragrafo 4, di detta direttiva, i diritti dell’interessato possono essere esercitati tramite una tale autorità di controllo.
36 Inoltre, occorre rilevare che la risposta a tale questione dipende dalla natura e dalla portata del compito e dei poteri dell’autorità di controllo nell’ambito dell’esercizio dei diritti dell’interessato, previsto dall’articolo 17 della direttiva 2016/680. Orbene, compito e poteri sono precisati all’articolo 46, paragrafo 1, lettera g), e all’articolo 47, paragrafi 1 e 2, di tale direttiva e devono essere analizzati alla luce dell’articolo 8, paragrafo 3, della Carta, il quale esige che il rispetto delle regole relative alla protezione dei dati personali, enunciate ai paragrafi 1 e 2 di tale articolo 8, sia soggetto al controllo di un’autorità indipendente.
37 Pertanto, si deve ritenere che, con la sua prima questione, il giudice del rinvio chieda, in sostanza, se l’articolo 17 della direttiva 2016/680, in combinato disposto con l’articolo 46, paragrafo 1, lettera g), l’articolo 47, paragrafi 1 e 2, e l’articolo 53, paragrafo 1, di tale direttiva, nonché con l’articolo 8, paragrafo 3, e l’articolo 47 della Carta, debba essere interpretato nel senso che, qualora i diritti di una persona siano stati esercitati, in applicazione di detto articolo 17, tramite l’autorità di controllo competente, tale persona deve aver diritto a un ricorso giurisdizionale effettivo nei confronti di detta autorità.
38 Anzitutto, occorre ricordare che, ai sensi dell’articolo 53, paragrafo 1, della direttiva 2016/680, gli Stati membri devono prevedere il diritto di una persona fisica o giuridica a un ricorso giurisdizionale effettivo avverso una decisione giuridicamente vincolante dell’autorità di controllo che la riguardi.
39 Occorre quindi stabilire se un’autorità di controllo adotti una siffatta decisione quando, in applicazione dell’articolo 17 di detta direttiva, i diritti degli interessati ivi enunciati sono esercitati tramite tale autorità di controllo.
40 A tal riguardo, occorre rilevare che, ai sensi dell’articolo 17, paragrafo 1, della direttiva 2016/680, «[n]ei casi di cui all’articolo 13, paragrafo 3, all’articolo 15, paragrafo 3, e all’articolo 16, paragrafo 4», di tale direttiva, gli Stati membri hanno l’obbligo di adottare misure «che dispongano che i diritti dell’interessato possano essere esercitati anche tramite l’autorità di controllo competente».
41 Come si evince dall’impiego della congiunzione «anche» e come rilevato, in sostanza, dall’avvocato generale ai paragrafi 41 e 42 delle sue conclusioni, l’esercizio indiretto dei diritti dell’interessato tramite l’autorità di controllo competente, previsto da tale disposizione, costituisce una garanzia supplementare offerta a tale interessato che i suoi dati personali sono trattati in modo lecito, qualora disposizioni legislative nazionali limitino l’esercizio diretto presso il titolare del trattamento del diritto di ricevere ulteriori informazioni, di cui all’articolo 13, paragrafo 2, della direttiva 2016/680, del diritto di accesso a tali dati, enunciato all’articolo 14 di tale direttiva o del diritto di ottenerne la rettifica, la cancellazione o la limitazione del trattamento alle condizioni di cui all’articolo 16, paragrafi da 1 a 3, di detta direttiva.
42 Infatti, tenuto conto della natura specifica delle finalità per le quali sono effettuati i trattamenti di dati rientranti nell’ambito di applicazione della medesima direttiva, sottolineate, in particolare, al considerando 10 di quest’ultima, l’articolo 13, paragrafo 3, e l’articolo 15, paragrafo 1, della direttiva 2016/680 autorizzano il legislatore nazionale a limitare l’esercizio diretto, da un lato, del diritto d’informazione e, dall’altro, del diritto di accesso, «nella misura e per il tempo in cui ciò costituisca una misura necessaria e proporzionata in una società democratica, tenuto debito conto dei diritti fondamentali e dei legittimi interessi della persona fisica», al fine di «non compromettere indagini, inchieste o procedimenti ufficiali o giudiziari», «non compromettere la prevenzione, l’indagine, l’accertamento e il perseguimento di reati o l’esecuzione di sanzioni penali», «proteggere la sicurezza pubblica», «proteggere la sicurezza nazionale» o «proteggere i diritti e le libertà altrui». Inoltre, l’articolo 15, paragrafo 3, di tale direttiva prevede che il titolare del trattamento possa non informare l’interessato di ogni rifiuto o limitazione dell’accesso e dei motivi del rifiuto o della limitazione, qualora la comunicazione di tali informazioni rischi di compromettere uno degli obiettivi di interesse pubblico summenzionati.
43 Del pari, l’articolo 16, paragrafo 4, di detta direttiva autorizza il legislatore nazionale a limitare l’obbligo del titolare del trattamento di «inform[are] l’interessato per iscritto di ogni rifiuto di rettifica o cancellazione dei dati personali o limitazione del trattamento e dei motivi del rifiuto» per gli stessi obiettivi di interesse pubblico, «nella misura in cui tale limitazione costituisca una misura necessaria e proporzionata in una società democratica, tenuto debito conto dei diritti fondamentali e dei legittimi interessi della persona fisica interessata».
44 Pertanto, in tale contesto, come si evince dal considerando 48 della medesima direttiva, l’esercizio indiretto dei diritti di cui al punto 41 della presente sentenza tramite l’autorità di controllo competente deve essere considerato necessario per la tutela di tali diritti, in quanto il loro esercizio diretto presso il titolare del trattamento risulta difficile o addirittura impossibile.
45 A tal fine, l’articolo 46, paragrafo 1, lettera g), della direttiva 2016/680 impone che a ciascuna autorità nazionale competente sia affidato il compito di verificare la liceità del trattamento ai sensi dell’articolo 17 di tale direttiva, vale a dire a seguito di una domanda fondata su quest’ultima disposizione.
46 Inoltre, risulta in particolare dall’articolo 47, paragrafi 1 e 2, di detta direttiva che ogni autorità di controllo deve avere, in forza della normativa nazionale, non solo «poteri d’indagine effettivi», ma anche «poteri correttivi effettivi».
47 Tali disposizioni devono essere lette alla luce del requisito di cui all’articolo 8, paragrafo 3, della Carta, secondo cui il rispetto delle regole relative al diritto di ogni persona alla protezione dei dati di carattere personale, enunciate ai paragrafi 1 e 2 di tale articolo, deve essere «soggetto al controllo di un’autorità indipendente», e, in particolare, quella enunciata alla seconda frase di detto paragrafo 2, in forza della quale «ogni persona ha il diritto di accedere ai dati raccolti che la riguardano e di ottenerne la rettifica». Infatti, come confermato da una giurisprudenza costante, l’istituzione di un’autorità di controllo indipendente è diretta ad assicurare l’efficacia e l’affidabilità del controllo del rispetto delle disposizioni in materia di protezione delle persone fisiche riguardo al trattamento dei dati personali e deve essere interpretata alla luce di tale finalità [v., in tal senso, parere 1/15 (Accordo PNR UE-Canada), del 26 luglio 2017, EU:C:2017:592, punto 229 e giurisprudenza ivi citata].
48 Pertanto, quando una siffatta autorità di controllo agisce al fine di garantire l’esercizio dei diritti dell’interessato sulla base dell’articolo 17 della direttiva 2016/680, il suo compito rientra pienamente nella definizione, da parte del diritto primario dell’Unione, del suo ruolo, dal momento che tale definizione implica, in particolare, il controllo del rispetto dei diritti di accesso e di rettifica dell’interessato. Ne consegue che, nello svolgimento di tale compito specifico, come nell’ambito di qualsiasi altro compito, l’autorità di controllo deve essere in grado di esercitare i poteri che le sono conferiti in forza dell’articolo 47 di tale direttiva agendo in totale indipendenza, conformemente alla Carta e come enunciato dal considerando 75 di detta direttiva.
49 Inoltre, al termine della verifica della liceità del trattamento, l’autorità di controllo competente deve, ai sensi dell’articolo 17, paragrafo 3, prima frase, della medesima direttiva, informare l’interessato «perlomeno, di aver eseguito tutte le verifiche necessarie o un riesame».
50 Come rilevato, in sostanza, dall’avvocato generale al paragrafo 65 delle sue conclusioni, dall’insieme di tali disposizioni si deve dedurre che, qualora l’autorità di controllo competente informi l’interessato dell’esito delle verifiche effettuate, essa porta a sua conoscenza la decisione adottata nei suoi confronti di concludere il processo di verifica, decisione che incide necessariamente sulla situazione giuridica di tale persona. Detta decisione costituisce quindi nei confronti di quest’ultimo una «decisione giuridicamente vincolante», ai sensi dell’articolo 53, paragrafo 1, della direttiva 2016/680, indipendentemente dalla questione se e in quale misura tale autorità abbia accertato la liceità del trattamento di dati relativi a detta persona e abbia esercitato poteri correttivi.
51 Inoltre, il considerando 86 di tale direttiva enuncia che per «decisione giuridicamente vincolante», ai sensi di detta direttiva, deve intendersi una decisione che produce effetti giuridici nei confronti dell’interessato, in particolare, una decisione che riguarda l’esercizio di poteri di indagine, correttivi e autorizzativi da parte dell’autorità di controllo o l’archiviazione o il rigetto dei reclami.
52 Pertanto, l’interessato deve poter ottenere un controllo giurisdizionale della fondatezza di una siffatta decisione sulla base dell’articolo 53, paragrafo 1, della direttiva 2016/680 e, in particolare, del modo in cui l’autorità di controllo ha adempiuto il suo obbligo, risultante dall’articolo 17 di tale direttiva e al quale rinvia l’articolo 46, paragrafo 1, lettera g), di detta direttiva, di «esegui[re] tutte le verifiche necessarie» e, se del caso, dell’esercizio dei suoi poteri correttivi.
53 Tale conclusione è peraltro corroborata dal considerando 85 della direttiva 2016/680, dal quale si evince che ciascun interessato dovrebbe avere il diritto a un ricorso giurisdizionale effettivo nei confronti di un’autorità di controllo se tale autorità «non agisce quando è necessario intervenire per proteggere i diritti dell’interessato».
54 Infine, una siffatta interpretazione è conforme all’articolo 47 della Carta, dal momento che, come risulta da una giurisprudenza costante, questo diritto deve essere riconosciuto a chiunque faccia valere diritti o libertà garantiti dal diritto dell’Unione contro una decisione che gli arreca pregiudizio, tale da ledere tali diritti o tali libertà [v., in tal senso, sentenza del 26 gennaio 2023, Ministerstvo na vatreshnite raboti (Registrazione di dati biometrici e genetici da parte della polizia), C‑205/21, EU:C:2023:49, punto 87 e giurisprudenza ivi citata].
55 Alla luce dell’insieme delle considerazioni sin qui svolte, occorre rispondere alla prima questione dichiarando che l’articolo 17 della direttiva 2016/680, in combinato disposto con l’articolo 46, paragrafo 1, lettera g), l’articolo 47, paragrafi 1 e 2, e l’articolo 53, paragrafo 1, di tale direttiva, nonché con l’articolo 8, paragrafo 3, e l’articolo 47 della Carta, deve essere interpretato nel senso che, qualora i diritti di una persona siano stati esercitati, in applicazione di detto articolo 17, tramite l’autorità di controllo competente e tale autorità informi detta persona dell’esito delle verifiche effettuate, quest’ultima deve disporre di un ricorso giurisdizionale effettivo avverso la decisione di detta autorità di concludere il processo di verifica.
Sulla seconda questione
56 Con la sua seconda questione, il giudice del rinvio chiede, in sostanza, se l’articolo 17, paragrafo 3, della direttiva 2016/680 sia valido rispetto all’articolo 8, paragrafo 3, e dell’articolo 47 della Carta, nella parte in cui impone all’autorità di controllo soltanto di informare l’interessato, da un lato, di aver eseguito tutte le verifiche necessarie o un riesame e, dall’altro, che tale interessato ha il diritto di proporre un ricorso giurisdizionale, qualora una siffatta informazione non consenta un controllo giurisdizionale sull’azione dell’autorità di controllo e sulle sue valutazioni, tenuto conto dei dati trattati e degli obblighi del titolare del trattamento.
57 A tal riguardo, da un lato, occorre ricordare che, secondo un principio ermeneutico generale, un atto dell’Unione deve essere interpretato, per quanto possibile, in un modo che non pregiudichi la sua validità e in conformità con l’insieme del diritto primario e, segnatamente, con le disposizioni della Carta. Così, qualora un testo di diritto derivato dell’Unione si presti a più di un’interpretazione, occorre preferire quella che rende la disposizione conforme al diritto primario anziché quella che porta a constatare la sua incompatibilità con quest’ultimo (sentenza del 21 giugno 2022, Ligue des droits humains, C‑817/19, EU:C:2022:491, punto 86 e giurisprudenza ivi citata).
58 D’altra parte, il diritto a un ricorso giurisdizionale effettivo, garantito dall’articolo 47 della Carta, richiede, in linea di principio, che l’interessato possa conoscere la motivazione della decisione adottata nei suoi confronti, al fine di consentirgli di difendere i suoi diritti nelle migliori condizioni possibili e di decidere, con piena cognizione di causa, se gli sia utile adire il giudice competente, e al fine di consentire pienamente a quest’ultimo di esercitare il controllo sulla legittimità di tale decisione (v., in tal senso, sentenza del 4 giugno 2013, ZZ, C‑300/11, EU:C:2013:363, punto 53 e giurisprudenza ivi citata).
59 Se è pur vero che tale diritto non costituisce una prerogativa assoluta e che, conformemente all’articolo 52, paragrafo 1, della Carta, possono esservi apportate limitazioni, ciò avviene a condizione che tali limitazioni siano previste dalla legge, che rispettino il contenuto essenziale dei diritti e delle libertà di cui trattasi e che, nel rispetto del principio di proporzionalità, siano necessarie e rispondano effettivamente a finalità di interesse generale riconosciute dall’Unione o all’esigenza di proteggere i diritti e le libertà altrui [sentenza del 26 gennaio 2023, Ministerstvo na vatreshnite raboti (Registrazione di dati biometrici e genetici da parte della polizia), C‑205/21, EU:C:2023:49, punto 89 e giurisprudenza ivi citata].
60 Nel caso di specie, occorre rilevare che, per quanto riguarda la decisione dell’autorità di controllo competente identificata al punto 50 della presente sentenza, l’articolo 17, paragrafo 3, della direttiva 2016/680 istituisce, in capo a tale autorità di controllo, un obbligo minimo di informazione, prevedendo che essa informi l’interessato «perlomeno, di aver eseguito tutte le verifiche necessarie o un riesame» e del suo «diritto (...) di proporre ricorso giurisdizionale».
61 Ne consegue che, poiché tale disposizione non osta a che l’autorità di controllo, in taluni casi, conformemente alle norme adottate dal legislatore nazionale per attuarla, possa avere la facoltà, se non anche l’obbligo di limitarsi alle informazioni minime di cui al punto precedente, senza ulteriori precisazioni, in particolare qualora tali norme mirino a non compromettere gli obiettivi di interesse pubblico enunciati all’articolo 13, paragrafo 3, all’articolo 15, paragrafo 1, e all’articolo 16, paragrafo 4, di detta direttiva, come esposto ai punti 42 e 43 della presente sentenza, essa è tale da comportare una limitazione al diritto a un ricorso giurisdizionale effettivo, garantito all’articolo 47 della Carta.
62 Ciò premesso, in primo luogo, si deve constatare che una siffatta limitazione è espressamente prevista dalla direttiva 2016/680 e che, pertanto, essa soddisfa la condizione di cui all’articolo 52, paragrafo 1, della Carta, secondo la quale eventuali limitazioni all’esercizio di un diritto fondamentale devono essere «previste dalla legge».
63 In secondo luogo, il fatto che l’articolo 17, paragrafo 3, della direttiva 2016/680 consenta agli Stati membri di limitare, in taluni casi, la motivazione di tale decisione agli elementi minimi enunciati in tale disposizione non significa, come indicato, in sostanza, dall’avvocato generale al paragrafo 89 delle sue conclusioni, che sia possibile, in ogni circostanza, ridurre l’informazione dell’interessato soltanto a tali elementi.
64 Occorre infatti interpretare tale disposizione alla luce dell’articolo 52, paragrafo 1, della Carta, in modo che siano soddisfatti gli altri criteri ivi enunciati. Il che implica ritenere che essa imponga agli Stati membri di garantire che le disposizioni di diritto nazionale che la attuano, da un lato, rispettino il contenuto essenziale del suo diritto a una tutela giurisdizionale effettiva e, dall’altro, si basino su una ponderazione degli obiettivi di interesse pubblico che giustifichi una limitazione di tale informazione nonché dei diritti fondamentali e dei legittimi interessi di tale persona, nel rispetto dei principi di necessità e di proporzionalità, al pari della ponderazione che il legislatore nazionale deve effettuare nell’attuare le limitazioni previste all’articolo 13, paragrafo 3, all’articolo 15, paragrafo 3, e all’articolo 16, paragrafo 4, della medesima direttiva.
65 In particolare, qualora, da un lato, lo richieda la tutela del diritto a un ricorso giurisdizionale effettivo dell’interessato avverso la decisione di concludere il processo di verifica e, dall’altro, non vi ostino gli obiettivi di interesse pubblico di cui all’articolo 13, paragrafo 3, all’articolo 15, paragrafo 3, e all’articolo 16, paragrafo 4, della direttiva 2016/680, spetta agli Stati membri prevedere che l’informazione dell’interessato possa andare oltre le informazioni minime previste all’articolo 17, paragrafo 3, di tale direttiva, in modo da consentirgli di difendere i suoi diritti e di decidere con piena cognizione di causa se sia utile adire il giudice competente.
66 Del pari, le misure nazionali che attuano quest’ultima disposizione devono, per quanto possibile, lasciare all’autorità di controllo competente, conformemente all’indipendenza che la caratterizza in forza dell’articolo 8, paragrafo 3, della Carta, un certo margine di discrezionalità per stabilire se il quadro definito dalla normativa nazionale conformemente ai requisiti di cui al punto 65 della presente sentenza non osti a che essa comunichi a tale persona, in maniera quantomeno succinta, l’esito delle sue verifiche nonché, se del caso, i poteri correttivi da essa esercitati. A tal riguardo, come rilevato, in sostanza, dall’avvocato generale ai paragrafi 73 e 74 delle sue conclusioni, spetta a tale autorità, nel rispetto di tale quadro normativo nazionale, instaurare con il titolare del trattamento un dialogo riservato e, a seguito di tale dialogo, decidere quali siano le informazioni necessarie all’esercizio, da parte dell’interessato, del suo diritto a un ricorso giurisdizionale effettivo che essa può comunicargli senza compromettere gli obiettivi di interesse pubblico di cui al punto 65 della presente sentenza.
67 Peraltro, nei casi in cui detto quadro normativo impone che l’informazione fornita dall’autorità di controllo sia limitata a quanto previsto dall’articolo 17, paragrafo 3, della direttiva 2016/680, spetta comunque agli Stati membri, nell’ambito della loro autonomia procedurale, attuare le misure necessarie per garantire, conformemente all’articolo 53, paragrafo 1, di tale direttiva, un controllo giurisdizionale effettivo sia dell’esistenza e della fondatezza dei motivi che hanno giustificato la limitazione di tali informazioni sia della corretta esecuzione, da parte dell’autorità di controllo, del suo compito di verifica della liceità del trattamento. A tal riguardo, la nozione di «ricorso giurisdizionale effettivo», cui si fa riferimento in quest’ultima disposizione, deve essere letta alla luce del considerando 86 di detta direttiva, ai sensi del quale le autorità giurisdizionali dinanzi alle quali sono promosse le azioni contro un’autorità di controllo «dovrebbero esercitare i loro pieni poteri giurisdizionali, ivi compreso quello di esaminare tutte le questioni di fatto e di diritto che abbiano rilevanza per la controversia dinanzi a esse pendente».
68 In particolare, gli Stati membri devono garantire che l’autorità giudiziaria competente abbia a disposizione e applichi tecniche e norme di diritto processuale che consentano di conciliare, da un lato, le legittime preoccupazioni relative agli obiettivi di interesse pubblico di cui all’articolo 13, paragrafo 3, all’articolo 15, paragrafo 3, e all’articolo 16, paragrafo 4, della direttiva 2016/680, obiettivi di cui la legislazione nazionale ha tenuto conto nel limitare le informazioni fornite all’interessato e, dall’altro, la necessità di garantire adeguatamente al soggetto il rispetto dei suoi diritti processuali, quali il diritto di essere ascoltato e il principio del contraddittorio (v., in tal senso, sentenza del 4 giugno 2013, ZZ, C‑300/11, EU:C:2013:363, punto 57 e giurisprudenza ivi citata).
69 Nell’ambito del controllo giurisdizionale della corretta applicazione dell’articolo 17 della direttiva da parte dell’autorità di controllo, spetta agli Stati membri istituire norme che consentano al giudice competente di prendere conoscenza sia dell’insieme dei motivi sia degli elementi di prova pertinenti su cui l’autorità ha basato, in tale ambito, la verifica della liceità del trattamento dei dati di cui trattasi nonché le conclusioni che ne ha tratto (v., in tal senso, sentenza del 4 giugno 2013, ZZ, C‑300/11, EU:C:2013:363, punto 59 e giurisprudenza ivi citata).
70 A tal riguardo, come rilevato dal Parlamento europeo nelle sue osservazioni, l’articolo 15, paragrafo 4, della direttiva 2016/680 prevede che il titolare del trattamento documenti i motivi di fatto o di diritto sui quali fonda la decisione con cui ha limitato, in tutto o in parte, i diritti di accesso dell’interessato e che tali informazioni siano rese disponibili alle autorità di controllo. Come suggerito da tale istituzione, detta disposizione, in combinato disposto con gli articoli 17 e 53 di tale direttiva nonché alla luce dell’articolo 47 della Carta, come interpretata dalla giurisprudenza richiamata ai punti 68 e 69 della presente sentenza, implica che si debbano rendere disponibili tali informazioni anche all’organo giurisdizionale investito di un ricorso contro l’autorità di controllo diretto alla verifica della corretta applicazione di detto articolo 17.
71 Pertanto, dai punti da 63 a 70 della presente sentenza risulta che la limitazione prevista all’articolo 17 della direttiva 2016/680 rispetta il contenuto del diritto dell’interessato a un ricorso giurisdizionale effettivo contro la decisione dell’autorità di controllo di concludere il procedimento previsto da tale disposizione nonché i principi di necessità e di proporzionalità, conformemente all’articolo 52, paragrafo 1, della Carta.
72 Alla luce dell’insieme delle considerazioni sin qui svolte, si deve concludere che dall’esame della seconda questione non è emerso alcun elemento tale da inficiare la validità dell’articolo 17, paragrafo 3, della direttiva 2016/680.
Sulle spese
73 Nei confronti delle parti nel procedimento principale la presente causa costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.
Per questi motivi, la Corte (Quinta Sezione) dichiara:
1) L’articolo 17 della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio, in combinato disposto con l’articolo 46, paragrafo 1, lettera g), l’articolo 47, paragrafi 1 e 2, e l’articolo 53, paragrafo 1, di tale direttiva, nonché con l’articolo 8, paragrafo 3, e l’articolo 47 della Carta dei diritti fondamentali dell’Unione europea,
deve essere interpretato nel senso che:
qualora i diritti di una persona siano stati esercitati, in applicazione di detto articolo 17, tramite l’autorità di controllo competente e tale autorità informi detta persona dell’esito delle verifiche effettuate, quest’ultima deve disporre di un ricorso giurisdizionale effettivo avverso la decisione di detta autorità di concludere il processo di verifica.
2) Dall’esame della seconda questione non è emerso alcun elemento tale da inficiare la validità dell’articolo 17, paragrafo 3, della direttiva 2016/680.
Firme