LA CORTE DI GIUSTIZIA SI PRONUNCIA SUL POTERE DELL’AUTORITÀ DI CONTROLLO DI UNO STATO MEMBRO DI ORDINARE LA CANCELLAZIONE DI DATI PERSONALI TRATTATI ILLECITAMENTE

In data 14 marzo 2024, la Corte di Giustizia dell’Unione Europea si è pronunciata nella Causa C-46/23, Budapest Főváros IV. Kerület Újpest Önkormányzat Polgármesteri Hivatala contro Nemzeti Adatvédelmi és Információszabadság Hatóság, sull’interpretazione dell’articolo 58, paragrafo 2, lettere c), d) e g), del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (General Data Protection Regulation, GDPR)^[1]. Tale domanda era stata presentata nell’ambito di una controversia tra la Budapest Főváros IV. Kerület Újpest Önkormányzat Polgármesteri Hivatala(amministrazione municipale di Újpest – quarta circoscrizione di Budapest-Capitale) e la Nemzeti Adatvédelmi és Információszabadság Hatóság (autorità nazionale ungherese per la protezione dei dati e la libertà dell’informazione) in merito ad una decisione con cui quest’ultima aveva ordinato all’amministrazione di Újpest di cancellare dati personali che erano stati trattati illecitamente.

Questi i fatti.

Avendo deciso di fornire un aiuto finanziario ai residenti che appartenevano ad una categoria di persone rese più fragili dalla pandemia di coronavirus e che soddisfacevano determinate condizioni di ammissibilità, l’amministrazione di Újpest si era rivolta al Magyar Államkincstár (erario ungherese) e al Budapest Főváros Kormányhivatala IV. Kerületi Hivatala (ufficio governativo del quarto distretto di Budapest-Capitale) al fine di ottenere i dati personali necessari alla verifica di queste ultime, che erano stati successivamente aggregati in una banca dati concepita ai fini dell’attuazione del suo programma di aiuti. A seguito di un’indagine, tuttavia, l’autorità ungherese di controllo aveva constatato che l’amministrazione di Újpest non aveva informato gli interessati, entro il termine di un mese, delle categorie di dati personali trattate nell’ambito di tale programma, delle finalità del trattamento nonché delle modalità con cui essi potevano esercitare i loro diritti al riguardo, ordinandole di cancellare i dati in questione e infliggendole una sanzione pecuniaria. Di conseguenza, l’amministrazione di Újpest si era rivolta alla Fővárosi Törvényszék (Corte di Budapest-Capitale; il “giudice del rinvio”) che, alla luce della necessità di interpretare la normativa europea rilevante in materia, aveva deciso di sospendere il procedimento e di sottoporre alla Corte di Giustizia due questioni pregiudiziali.

Con la prima questione, il giudice del rinvio chiedeva se l’articolo 58, paragrafo 2, lettere c), d) e g)^[2], del GDPR debba essere interpretato nel senso che l’autorità di controllo di uno Stato Membro è legittimata, nell’esercizio del suo potere di adozione delle misure correttive previste da tali disposizioni, ad ordinare al titolare o al responsabile del trattamento di cancellare dati personali che sono stati trattati illecitamente, e ciò anche qualora l’interessato non abbia presentato a tal fine alcuna richiesta di esercitare i suoi diritti in applicazione dell’articolo 17, paragrafo 1^[3], di tale regolamento.

La Corte ha preliminarmente ricordato che qualora un trattamento di dati personali non soddisfi i principi previsti dall’articolo 5^[4] del GDPR, le autorità di controllo degli Stati Membri sono autorizzate ad intervenire conformemente ai loro compiti e poteri, che comprendono, tra gli altri, quello di sorvegliare e assicurare l’applicazione di tale regolamento^[5]. Più particolarmente, qualora un’autorità nazionale di controllo ritenga, al termine della sua indagine, che l’interessato non gode di un livello di protezione adeguato, è tenuta, in applicazione del diritto dell’Unione, a reagire in modo appropriato al fine di porre rimedio all’inadeguatezza constatata, indipendentemente dalla sua origine o natura^[6].

A tale riguardo, benché la scelta del mezzo appropriato e necessario spetti all’autorità di controllo, che deve decidere prendendo in considerazione tutte le circostanze del caso concreto, essa è comunque tenuta ad assolvere al suo compito di vigilare sul pieno rispetto del GDPR con tutta la diligenza richiesta^[7]. Di conseguenza, è particolarmente importante che tale autorità disponga dei poteri effettivi al fine di agire efficacemente contro le violazioni di tale regolamento e, in particolare, di porvi fine, anche nei casi in cui gli interessati non siano informati del trattamento dei loro dati personali, non ne siano a conoscenza o non ne abbiano chiesto la cancellazione. Il potere di adottare le misure correttive di cui all’articolo 58, paragrafo 2, lettere d) e g), del GDPR, pertanto, può essere esercitato d’ufficio dall’autorità di controllo di uno Stato Membro nei limiti in cui ciò è richiesto per consentirle di adempiere il suo compito.

Con la seconda questione, invece, il giudice del rinvio chiedeva se l’articolo 58, paragrafo 2, del GDPR debba essere interpretato nel senso che il potere dell’autorità di controllo di uno Stato Membro di ordinare la cancellazione di dati personali che sono stati trattati illecitamente può riguardare sia dati raccolti presso l’interessato sia dati provenienti da un’altra fonte.

Secondo la Corte, tuttavia, il tenore letterale dell’articolo 58, paragrafo 2, del GDPR non contiene alcuna indicazione in merito al fatto che il potere dell’autorità di controllo di adottare le misure correttive ivi elencate dipenderebbe dall’origine dei dati in questione e, in particolare, dalla circostanza che essi siano stati raccolti presso l’interessato. Analogamente, la formulazione dell’articolo 17, paragrafo 1, del GDPR, che stabilisce un obbligo autonomo, per il titolare del trattamento, di cancellare i dati personali che sono stati trattati illecitamente, non include alcun requisito relativo all’origine degli stessi.

Tutto ciò premesso, la Corte ha pertanto statuito che:

“L’articolo 58, paragrafo 2, lettere d) e g), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), deve essere interpretato nel senso che l’autorità di controllo di uno Stato membro è legittimata, nell’esercizio del suo potere di adozione delle misure correttive previste da tali disposizioni, a ordinare al titolare del trattamento o al responsabile del trattamento di cancellare dati personali che sono stati trattati illecitamente, e ciò anche qualora l’interessato non abbia presentato a tal fine alcuna richiesta di esercitare i suoi diritti in applicazione dell’articolo 17, paragrafo 1, di tale regolamento.

L’articolo 58, paragrafo 2, del regolamento 2016/679 deve essere interpretato nel senso che il potere dell’autorità di controllo di uno Stato membro di ordinare la cancellazione di dati personali che sono stati trattati illecitamente può riguardare sia dati raccolti presso l’interessato sia dati provenienti da un’altra fonte”.

Scarica l’articolo