PROTEZIONE DEI DATI PERSONALI. LA CORTE DI GIUSTIZIA SI PRONUNCIA SULLA NOZIONE DI “ATTIVITÀ CHE NON RIENTRANO NELL’AMBITO DI APPLICAZIONE DEL DIRITTO DELL’UNIONE”

In data 20 ottobre 2022, la Corte di Giustizia si è pronunciata nelle Causa C-306/21, Komisia za zashtita na lichnite danni, Tsentralna izbiratelna komisia contro Koalitsia «Demokratichna Bulgaria – Obedinenie», sull’interpretazione dell’articolo 2, paragrafo 2, lettera a), e dell’articolo 6, paragrafo 1, lettera e), del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (General Data Protection Regulation, GDPR)^[1]. Tale domanda era stata presentata nell’ambito di una controversia tra, da un lato, la Komisia za zashtita na lichnite danni (Commissione bulgara per la protezione dei dati personali, KZLD) e la Tsentralna isbiratelna komisia (Commissione elettorale centrale, TSIK) e, dall’altro, la Koalitsia «Demokratichna Bulgaria – Obedinenie» (“Koalitsia”), una coalizione di partiti politici bulgari, in merito alle linee guida per il trattamento e la protezione dei dati personali nella procedura elettorale adottate dalla KZLD e dalla TSIK.

Questi i fatti.

In data 10 febbraio 2021, la Koalitsia aveva contestato la legittimità delle linee guida in questione dinnanzi all’Administrativen sad Sofia (Tribunale amministrativo di Sofia) nella parte in cui esse si applicano al trattamento dei dati personali mediante la registrazione di video. Più particolarmente, tali linee guida prevedevano che i) l’obiettivo del trattamento dei dati personali mediante la registrazione di video nell’ambito del procedimento elettorale è quello di garantire la trasparenza, l’obiettività, la legittimità del procedimento elettorale, la parità di trattamento delle persone nonché la libertà di espressione e il diritto all’informazione, ii) i mass media trattino dati personali mediante la registrazione di video solo in occasione dell’apertura della giornata elettorale, della sua chiusura, dell’annuncio dei risultati del voto, nonché dell’estrazione dei numeri d’ordine delle schede, e iii)  nessun soggetto coinvolto nel procedimento elettorale può trattare dati personali mediante la registrazione di video, per incompatibilità con il loro ruolo nell’ambito di tale procedimento.

Il Tribunale amministrativo di Sofia, tuttavia, aveva stabilito che il GDPR non si applica nel caso di attività che non rientrano nell’ambito di applicazione del diritto dell’Unione, quali l’organizzazione di elezioni parlamentari nazionali o degli enti locali di uno Stato Membro, di talché le linee guida in questione, che attuano il regolamento stesso, sono prive di base giuridica. Di conseguenza, la KZLD e la TSIK avevano impugnato tale sentenza dinanzi al Varhoven administrativen sad (Corte suprema amministrativa; il “giudice del rinvio”) che, alla luce della necessità di interpretare la normativa europea rilevante in materia, aveva deciso di sospendere il procedimento e di sottoporre alla Corte di Giustizia sei questioni pregiudiziali.

Con le questioni prima e seconda, il giudice del rinvio chiedeva se l’articolo 2, paragrafo 2, lettera a)^[2], del GDPR debba essere interpretato nel senso che è escluso dall’ambito di applicazione di tale regolamento il trattamento dei dati personali nel contesto dell’organizzazione di elezioni in uno Stato Membro.

La Corte ha preliminarmente rilevato che dovendo essere letto in combinato disposto con l’articolo 2, paragrafo 2, lettera b)^[3] e con il considerando 16^[4] del GDPR, l’articolo 2, paragrafo 2, lettera a) si inserisce parzialmente nella continuità dell’articolo 3, paragrafo 2, primo trattino, della Direttiva 95/46/CE^[5], che escludeva già dall’ambito di applicazione di tale direttiva, in particolare, i trattamenti di dati personali effettuati nell’ambito di attività che non rientrano nel campo di applicazione del diritto comunitario^[6]. Di conseguenza, l’articolo 2, paragrafo 2, lettera a), del GDPR ha il solo scopo di escludere dall’ambito di applicazione di tale regolamento i trattamenti di dati personali effettuati dalle autorità statali nell’ambito di un’attività volta a salvaguardare la sicurezza nazionale o di un’attività che può essere ascritta alla medesima categoria, di modo che il mero fatto che un’attività sia propria dello Stato o di un’autorità pubblica non è sufficiente affinché tale eccezione sia automaticamente applicabile^[7].

Le attività che hanno lo scopo di salvaguardare la sicurezza nazionale di cui all’articolo 2, paragrafo 2, lettera a), del GDPR comprendono, in particolare, quelle volte a tutelare le funzioni essenziali dello Stato e gli interessi fondamentali della società^[8]. Non perseguendo tale obiettivo, pertanto, le attività relative all’organizzazione di elezioni in uno Stato Membro non possono essere ascritte alla categoria delle attività che hanno lo scopo di salvaguardare la sicurezza nazionale ai sensi di tale articolo.

Con le questioni dalla terza alla sesta, invece, il giudice del rinvio chiedeva se l’articolo 6, paragrafo 1, lettera e)^[9], e l’articolo 58 del GDPR debbano essere interpretati nel senso che ostano a che le autorità competenti di uno Stato Membro adottino un atto amministrativo di applicazione generale che limiti, o eventualmente vieti, la registrazione di video delle operazioni di scrutinio all’interno dei seggi durante le elezioni in tale Stato Membro.

La Corte ha preliminarmente rilevato che il trattamento lecito di dati personali da parte dei soggetti presenti all’interno dei seggi durante le operazioni di scrutinio elettorale sulla base dell’articolo 6, paragrafo 1, lettera e), del GDPR presuppone non solo che questi ultimi svolgano un compito di interesse pubblico, e bensì anche che i trattamenti di dati personali connessi si fondino su una base giuridica prevista all’articolo 6, paragrafo 3^[10], di tale regolamento. Nel caso concreto, tuttavia, le linee guida in questione, adottate dalle autorità di controllo bulgare competenti, non sembrano costituire una tale base giuridica, e bensì rappresentano una misura diretta alla protezione dei dati personali delle persone presenti all’interno dei seggi limitando, per quanto riguarda i rappresentanti dei mass media, e vietando, per quanto riguarda gli altri soggetti presenti all’interno dei seggi, il trattamento di tali dati mediante la registrazione di video durante una fase specifica della procedura elettorale, ossia quella delle operazioni di scrutinio.

Da quanto risulta alla Corte, inoltre, non sembra possibile stabilire se le autorità bulgare competenti abbiano ecceduto i poteri di cui dispongono in forza dell’articolo 58, paragrafo 2, lettera f)^[11], e paragrafo 3, lettera b)^[12], del GDPR, e in particolare se le linee guida in questione non rispettino il principio di proporzionalità. Tali linee guida, infatti, non sembrano limitare la possibilità dei soggetti presenti all’interno dei seggi, in occasione delle operazioni di scrutinio elettorale, di assistere all’apertura delle urne e alla determinazione del risultato del voto, ciò che consente di garantire la trasparenza, l’obiettività e la legittimità del procedimento elettorale, la parità di trattamento delle persone nell’ambito di detto procedimento nonché la libertà di espressione e il diritto all’informazione, conformemente all’obiettivo delle linee guida stesse. DI conseguenza, queste ultime sono destinate a minimizzare l’ostacolo al diritto alla protezione dei dati personali causato dalla registrazione di video del procedimento elettorale^[13].

Alla luce di quanto rammentato, pertanto, la Corte ha statuito che:

“L’articolo 2, paragrafo 2, lettera a), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), deve essere interpretato nel senso che non è escluso dall’ambito di applicazione di tale regolamento il trattamento dei dati personali nel contesto dell’organizzazione di elezioni in uno Stato membro. 

L’articolo 6, paragrafo 1, lettera e), e l’articolo 58 del regolamento 2016/679, devono essere interpretati nel senso che tali disposizioni non ostano a che le autorità competenti di uno Stato membro adottino un atto amministrativo di applicazione generale che limiti, o eventualmente vieti, la registrazione di video delle operazioni di scrutinio elettorale all’interno dei seggi in occasione delle elezioni in tale Stato membro”.

Download Article