Causa C‑333/22

Ligue des droits humains ASBL
e
BA

contro

Organe de contrôle de l’information policière

(domanda di pronuncia pregiudiziale proposta dalla Cour d’appel de Bruxelles)

Sentenza della Corte (Quinta Sezione) del 16 novembre 2023

«Rinvio pregiudiziale – Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Direttiva (UE) 2016/680 – Articolo 17 – Esercizio dei diritti dell’interessato tramite l’autorità di controllo – Verifica della liceità del trattamento dei dati – Articolo 17, paragrafo 3 – Obbligo di informazione minima dell’interessato – Portata – Validità – Articolo 53 – Diritto di proporre un ricorso giurisdizionale effettivo nei confronti dell’autorità di controllo – Nozione di “decisione giuridicamente vincolante” – Carta dei diritti fondamentali dell’Unione europea – Articolo 8, paragrafo 3 – Controllo di un’autorità indipendente – Articolo 47 – Diritto a una tutela giurisdizionale effettiva»

1. Ravvicinamento delle legislazioni – Protezione delle persone fisiche con riguardo al trattamento dei dati personali in materia penale – Direttiva 2016/680 – Esercizio dei diritti dell’interessato tramite l’autorità di controllo – Esistenza di un diritto a un ricorso giurisdizionale effettivo avverso la decisione di tale autorità – Nozione di decisione giuridicamente vincolante – Decisione dell’autorità di controllo di concludere il processo di verifica della liceità del trattamento dei dati – Inclusione

   [Carta dei diritti fondamentali dell’Unione europea, artt. 8 e 47; direttiva del Parlamento europeo e del Consiglio 2016/680, considerando 48, 75 e 86 e artt. 17, 46, § 1, g), 47, §§ 1 e 2, e 53, § 1]

   (v. punti 38‑52, 54, 55, dispositivo 1)

2. Ravvicinamento delle legislazioni – Protezione delle persone fisiche con riguardo al trattamento dei dati personali in materia penale – Direttiva 2016/680 – Articolo 17, paragrafo 3 – Valutazione della validità di detta disposizione alla luce dell’articolo 8, paragrafo 3, e dell’articolo 47 della Carta dei diritti fondamentali – Disposizione che prevede l’obbligo dell’autorità di controllo di informare l’interessato, da un lato, dell’esecuzione delle verifiche necessarie o di un riesame e, dall’altro, del suo diritto di proporre un ricorso giurisdizionale – Validità

   (Carta dei diritti fondamentali dell’Unione europea, artt. 8, § 3, 47 e 52, § 1; direttiva del Parlamento europeo e del Consiglio 2016/680, considerando 86 e artt. 17, § 3, e 53, § 1)

   (v. punti 60‑72, dispositivo 2)

Sintesi

Nel 2016 BA ha chiesto un nulla osta di sicurezza all’Autorité nationale de sécurité (Autorità nazionale di sicurezza, Belgio), che gli è stato negato, in particolare, per motivi di sicurezza nazionale e di stabilità dell’ordinamento democratico costituzionale, a causa della sua partecipazione ad alcune manifestazioni nei dieci anni precedenti. In concreto, tale rifiuto era fondato sui suoi dati personali, trattati dai servizi di polizia belgi.

Successivamente, BA ha chiesto all’Organe de contrôle de l’information policière (Organo di controllo dell’informazione di polizia) (OCIP) (Belgio), nella sua qualità di autorità di controllo, di identificare i titolari del trattamento dei suoi dati e di ingiungere loro di dargli accesso a tutte le informazioni che lo riguardavano al fine di consentirgli di esercitare i suoi diritti. L’OCIP ha verificato la legittimità del trattamento di dati personali di BA nelle banche dati di polizia conformemente al diritto belga ( 1 ). Basandosi su tale diritto, che non conferisce all’interessato un diritto di accesso diretto a tali dati, l’OCIP si è limitato a informare BA di aver effettuato le necessarie verifiche.

In tale contesto, la Cour d’appel de Bruxelles (Corte d’appello di Bruxelles, Belgio) è stata adita dalla Ligue des droits humains ASBL e da BA a seguito di un’ordinanza del tribunal de première instance francophone de Bruxelles (Tribunale di primo grado di Bruxelles di lingua francese, Belgio) che dichiarava di essere «privo di potere giurisdizionale» in relazione alla domanda di provvedimenti provvisori presentata da questi ultimi. A sua volta, la Cour d’appel de Bruxelles ha interrogato la Corte sull’interpretazione e sulla validità dell’articolo 17 della direttiva 2016/680 ( 2 ) alla luce delle disposizioni della Carta dei diritti fondamentali dell’Unione europea (in prosieguo: la «Carta»).

Nella sua sentenza, la Corte si pronuncia, da un lato, sul diritto dell’interessato di proporre un ricorso giurisdizionale effettivo avverso la decisione dell’autorità di controllo qualora i diritti di tale persona siano stati esercitati tramite tale autorità. Dall’altro, essa conclude per la validità dell’articolo 17 della direttiva 2016/680, in quanto tale disposizione prevede solo un obbligo minimo dell’autorità di controllo di informare la persona interessata dell’esecuzione delle verifiche necessarie o di un riesame da parte sua e dell’esistenza di un diritto di tale persona di proporre un ricorso giurisdizionale.

Giudizio della Corte

La Corte inizia ricordando che la direttiva 2016/680 impone agli Stati membri di prevedere che una persona fisica o giuridica abbia il diritto di proporre un ricorso giurisdizionale effettivo avverso una decisione giuridicamente vincolante di un’autorità di controllo che la riguarda ( 3 ). Pertanto, risulta necessario stabilire se tale autorità adotti una siffatta decisione quando i diritti dell’interessato sono esercitati per il suo tramite.

A tal riguardo, anzitutto, la Corte rileva che, nei casi previsti dalla direttiva 2016/680, che mira a tutelare obiettivi di pubblico interesse ( 4 ), gli Stati membri devono prevedere la possibilità di un esercizio indiretto dei diritti della persona interessata da parte dell’autorità di controllo. Tale possibilità offre a detta persona una garanzia supplementare per il trattamento lecito dei suoi dati qualora il diritto nazionale limiti l’esercizio diretto dei suoi diritti presso il titolare del trattamento ( 5 ), come consentito dalla direttiva 2016/680 ( 6 ).

La Corte precisa poi che, a tal fine, ciascuna autorità di controllo, in forza dell’articolo 17 della direttiva 2016/680, deve essere investita del compito di verificare la liceità del trattamento e disporre non solo di effettivi poteri di indagine, ma anche di poteri in materia di misure correttive ( 7 ). In tale contesto, la sua missione si inserisce pienamente nella definizione del suo ruolo da parte della Carta ( 8 ). Inoltre, sempre conformemente a tale disposizione, l’autorità di controllo è tenuta a informare l’interessato che sono state effettuate tutte le verifiche necessarie.

La Corte ne deduce che, quando l’autorità di controllo procede a tale informazione, essa porta a conoscenza dell’interessato la decisione adottata nei suoi confronti di concludere il processo di verifica, decisione che incide necessariamente sulla sua situazione giuridica. Detta decisione costituisce quindi nei confronti di tale interessato una decisione giuridicamente vincolante, indipendentemente dalla questione se e in quale misura tale autorità abbia accertato la liceità del trattamento dei suoi dati e abbia esercitato poteri correttivi.

Infine, la Corte conclude che l’interessato deve poter ottenere un controllo giurisdizionale della fondatezza di una siffatta decisione e, in particolare, del modo in cui l’autorità di controllo ha adempiuto il suo obbligo di eseguire tutte le verifiche necessarie e, se del caso, dell’esercizio dei suoi poteri correttivi. Tale conclusione è parimenti conforme all’articolo 47 della Carta vertente sul diritto a un ricorso giurisdizionale effettivo, il quale, secondo una costante giurisprudenza, deve essere riconosciuto a chiunque faccia valere diritti o libertà garantiti dal diritto dell’Unione contro una decisione che gli arreca pregiudizio, tale da ledere tali diritti o tali libertà.

Quanto alla validità dell’articolo 17, paragrafo 3, della direttiva 2016/680, la Corte rileva che, nei limiti in cui tale disposizione non osta a che, in taluni casi, l’autorità di controllo, conformemente alle norme adottate dal legislatore nazionale per attuarla, possa avere la facoltà, se non anche l’obbligo di comunicare all’interessato le informazioni minime previste da tale disposizione, in particolare qualora tali norme mirino a non compromettere gli obiettivi di interesse pubblico tutelati da tale direttiva, essa è tale da comportare una limitazione al diritto a un ricorso giurisdizionale effettivo, garantito all’articolo 47 della Carta.

Tuttavia, tale limitazione è espressamente prevista dalla legge e non è assoluta. Inoltre, per quanto attiene agli altri criteri che possono giustificare una siffatta limitazione ( 9 ), la Corte sottolinea che spetta agli Stati membri garantire che le disposizioni nazionali che attuano detto articolo 17, paragrafo 3, da un lato, rispettino il contenuto essenziale del diritto alla tutela giurisdizionale effettiva e, dall’altro, si basino su una ponderazione degli obiettivi di interesse pubblico che giustifichi una limitazione di tale informazione nonché dei diritti fondamentali e dei legittimi interessi dell’interessato, nel rispetto dei principi di necessità e di proporzionalità. Pertanto, spetta loro prevedere che, a determinate condizioni, l’informazione della persona interessata possa andare oltre le informazioni minime, che l’autorità competente disponga di un certo margine di discrezionalità per stabilire se essa possa comunicare all’interessato, in maniera quantomeno succinta, l’esito delle sue verifiche e che, in caso contrario, il giudice competente investito di un ricorso contro l’autorità di controllo possa, tuttavia, garantire adeguatamente al soggetto il rispetto dei suoi diritti processuali, quali il diritto di essere ascoltato nonché il principio del contraddittorio, ed esercitare in modo efficace il suo controllo giurisdizionale.

Alla luce di tutte le suesposte considerazioni, la Corte conclude per l’assenza di elementi che rimettano in discussione la validità dell’articolo 17, paragrafo 3, della direttiva 2016/680.

( 1 ) Articolo 42 della legge relativa alla tutela delle persone fisiche con riguardo al trattamento di dati personali, del 30 luglio 2018 (Moniteur belge del 5 settembre 2018, pag. 68616).

( 2 ) L’articolo 17 della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio (GU 2016, L 119, pag. 89), prevede quanto segue «1. Nei casi di cui all’articolo 13, paragrafo 3, all’articolo 15, paragrafo 3, e all’articolo 16, paragrafo 4, gli Stati membri adottano misure che dispongano che i diritti dell’interessato possano essere esercitati anche tramite l’autorità di controllo competente. (…) 3. Qualora sia esercitato il diritto di cui al paragrafo 1, l’autorità di controllo informa l’interessato, perlomeno, di aver eseguito tutte le verifiche necessarie o un riesame. L’autorità di controllo informa inoltre l’interessato del diritto di quest’ultimo di proporre ricorso giurisdizionale».

( 3 ) Articolo 53, paragrafo 1, della direttiva 2016/680.

( 4 ) Tali obiettivi, enunciati all’articolo 13, paragrafo 3, all’articolo 15, paragrafo 1, e all’articolo 16, paragrafo 4, della direttiva 2016/680, sono diretti a: «non compromettere indagini, inchieste o procedimenti ufficiali o giudiziari», «non compromettere la prevenzione, l’indagine, l’accertamento e il perseguimento di reati o l’esecuzione di sanzioni penali», «proteggere la sicurezza pubblica», «proteggere la sicurezza nazionale» o «proteggere i diritti e le libertà altrui».

( 5 ) In concreto, si tratta del diritto di ricevere ulteriori informazioni, del diritto di accesso ai suoi dati o del diritto di ottenerne la rettifica, la cancellazione o la limitazione del trattamento, previsti rispettivamente all’articolo 13, paragrafo 2, all’articolo 14 e all’articolo 16, paragrafi da 1 a 3, della direttiva 2016/680.

( 6 ) Articolo 13, paragrafo 3, articolo 15, paragrafo 1, e articolo 16, paragrafo 4, della direttiva 2016/680.

( 7 ) Articolo 46, paragrafo 1, lettera g), e articolo 47, paragrafi 1 e 2, della direttiva 2016/680.

( 8 ) Articolo 8 della Carta.

( 9 ) Previsti dall’articolo 52, paragrafo 1, della Carta.