—

per la Worten – Equipamentos para o Lar, SA, da D. Abrunhosa e Sousa e J. Cruz Ribeiro, advogados;

—

per il governo portoghese, da L. Inez Fernandes e C. Vieira Guerra, in qualità di agenti;

—

per il governo ceco, da M. Smolek, in qualità di agente;

—

per il governo italiano, da G. Palmieri, in qualità di agente, assistita da M. Russo, avvocato dello Stato,

—

per il governo ungherese, da M. Fehér, K. Szíjjártó e Á. Szilágyi, in qualità di agenti;

—

per la Commissione europea, da P. Costa de Oliveira e B. Martenczuk, in qualità di agenti,

1

La domanda di pronuncia pregiudiziale verte sull’interpretazione degli articoli 2 e 17, paragrafo 1, della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU L 281, pag. 31).

2

Tale domanda è stata proposta nell’ambito di una controversia fra, da un lato, la Worten – Equipamentos para o Lar, SA (in prosieguo: la «Worten»), società con sede in Viseu (Portogallo), e, dall’altro, l’Autoridade para as Condições de Trabalho (ACT) (autorità per la vigilanza sulle condizioni di lavoro; in prosieguo: l’«ACT»), relativamente alla domanda di accesso di quest’ultima al registro dell’orario di lavoro della menzionata società.

3

Ai sensi dell’articolo 2 della direttiva 95/46, intitolato «Definizioni»:

«Ai fini della presente direttiva si intende per:

(...)».

4

L’articolo 3 della medesima direttiva, intitolato «Campo d’applicazione», così recita:

«1.   Le disposizioni della presente direttiva si applicano al trattamento di dati personali interamente o parzialmente automatizzato nonché al trattamento non automatizzato di dati personali contenuti o destinati a figurare negli archivi.

2.   Le disposizioni della presente direttiva non si applicano ai trattamenti di dati personali[:]

5

L’articolo 6 della direttiva in parola, concernente i principi relativi alla qualità dei dati, così dispone:

«1.   Gli Stati membri dispongono che i dati personali devono essere:

(...)

(...)

2.   Il responsabile del trattamento è tenuto a garantire il rispetto delle disposizioni del paragrafo 1».

6

L’articolo 7 della summenzionata direttiva, vertente sui principi relativi alla legittimazione del trattamento di dati, stabilisce che:

«Gli Stati membri dispongono che il trattamento di dati personali può essere effettuato soltanto quando:

(...)

(...)

(...)».

7

L’articolo 17 della direttiva 95/46, intitolato «Sicurezza dei trattamenti», è così formulato:

«1.   Gli Stati membri dispongono che il responsabile del trattamento deve attuare misure tecniche ed organizzative appropriate al fine di garantire la protezione dei dati personali dalla distruzione accidentale o illecita, dalla perdita accidentale o dall’alterazione, dalla diffusione o dall’accesso non autorizzati, segnatamente quando il trattamento comporta trasmissioni di dati all’interno di una rete, o da qualsiasi altra forma illecita di trattamento di dati personali.

Tali misure devono garantire, tenuto conto delle attuali conoscenze in materia e dei costi dell’applicazione, un livello di sicurezza appropriato rispetto ai rischi presentati dal trattamento e alla natura dei dati da proteggere.

(...)».

8

Intitolato «Oggetto e campo di applicazione», l’articolo 1 della direttiva 2003/88/CE del Parlamento europeo e del Consiglio, del 4 novembre 2003, concernente taluni aspetti dell’organizzazione dell’orario di lavoro (GU L 299, pag. 9), così dispone:

«1.   La presente direttiva stabilisce prescrizioni minime di sicurezza e di salute in materia di organizzazione dell’orario di lavoro.

2.   La presente direttiva si applica:

(...)».

9

Intitolato «Durata massima settimanale del lavoro», l’articolo 6 della medesima direttiva prevede che:

«Gli Stati membri prendono le misure necessarie affinché, in funzione degli imperativi di protezione della sicurezza e della salute dei lavoratori:

(...)

10

Ai sensi dell’articolo 22, paragrafo 1, primo comma, della medesima direttiva:

«Gli Stati membri hanno facoltà di non applicare l’articolo 6, nel rispetto dei principi generali della protezione della sicurezza e della salute dei lavoratori, a condizione che assicurino, mediante le necessarie misure a tale scopo, che:

(...)

(…)».

11

L’articolo 202 del codice del lavoro (codigo do trabalho), approvato con legge n. 7/2009 del 12 febbraio 2009, al titolo «Registro dell’orario di lavoro», così prevede:

(...)

12

La legge n. 107/2009 del 14 settembre 2009, prevede, segnatamente, la disposizione seguente:

«Articolo 10 –

Procedure di ispezione

1.   Nell’esercizio delle sue funzioni l’ispettore del lavoro attua, fatte salve le disposizioni di una disciplina specifica, le procedure seguenti:

(...)

2.   Nell’esercizio delle sue funzioni l’ispettore della sicurezza sociale attua, fatte salve le disposizioni di una disciplina specifica, le procedure seguenti:

(...)».

13

Il 9 marzo 2010 l’ACT ha effettuato un’ispezione presso lo stabilimento della Worten sito a Viseu, al termine della quale ha redatto un verbale constatando che:

14

Il 15 marzo 2010, a seguito di una richiesta formale di presentazione delle informazioni in discussione, il registro dell’orario di lavoro contenente gli elementi legalmente esigibili è stato trasmesso all’ACT.

15

Con una decisione del 14 marzo 2012 l’ACT ha ritenuto che la Worten fosse responsabile di un’infrazione amministrativa grave al diritto del lavoro, avendo violato le norme relative al registro dell’orario di lavoro di cui all’articolo 202, paragrafo 1, del codice del lavoro, poiché detta società non aveva fatto sì che l’ACT potesse procedere alla consultazione immediata, nello stabilimento interessato, del registro dell’orario di lavoro dei lavoratori impiegati in detta sede. La gravità dell’infrazione risiederebbe nel fatto che il registro dell’orario di lavoro consente di determinare, direttamente e rapidamente, la conformità dell’organizzazione dell’attività di un’impresa alla disciplina relativa al tempo di lavoro. L’ACT ha pertanto inflitto alla Worten una sanzione pecuniaria pari ad EUR 2 000.

16

La Worten ha proposto ricorso d’annullamento avverso tale decisione dinanzi al tribunal do trabalho (tribunale del lavoro) di Viseu.

17

In base alle considerazioni che precedono, il tribunal do trabalho de Viseu ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali:

18

Con la prima questione il giudice del rinvio chiede se l’articolo 2, lettera a), della direttiva 95/46 debba essere interpretato nel senso che un registro dell’orario di lavoro, come quello in discussione nel procedimento principale, che contiene l’indicazione dell’ora in cui ciascun lavoratore inizia e termina l’attività lavorativa, nonché le relative interruzioni o pause, rientra nella nozione di «dati personali» ai sensi della summenzionata disposizione.

19

A tale proposito è sufficiente constatare che, come sostenuto da tutti gli interessati che hanno presentato osservazioni scritte, i dati contenuti in un registro dell’orario di lavoro come quello in discussione nel procedimento principale, relativi, per ciascun lavoratore, ai periodi di lavoro giornalieri nonché ai periodi di riposo, costituiscono dati personali ai sensi dell’articolo 2, lettera a), della direttiva 95/46, poiché si tratta di «informazion[i] concernent[i] una persona fisica identificata o identificabile» (v. in tal senso, in particolare, sentenze del 20 maggio 2003, Österreichischer Rundfunk e a., C-465/00, C-138/01 e C-139/01, Racc. pag. I-4989, punto 64; del 16 dicembre 2008, Huber, C-524/06, Racc. pag. I-9705, punto 43, nonché del 7 maggio 2009, Rijkeboer, C-553/07, Racc. pag. I-3889, punto 42).

20

Il rilevamento, la registrazione, l’organizzazione, la conservazione, la consultazione, l’utilizzo di tali dati da parte di un datore di lavoro nonché la loro trasmissione da parte di quest’ultimo alle autorità nazionali competenti in materia di vigilanza sulle condizioni di lavoro presentano quindi il carattere di un «trattamento di dati personali» ai sensi dell’articolo 2, lettera b), della direttiva 95/46 (v., in tal senso, in particolare, citate sentenze Österreichischer Rundfunk e a., punto 64, nonché Huber, punto 43).

21

Si deve peraltro precisare che, essendo pacifico, nel presente procedimento principale, che detto trattamento di dati personali è automatizzato e che nessuna delle eccezioni di cui all’articolo 3, paragrafo 2, della direttiva 95/46 risulta applicabile, tale trattamento rientra nell’ambito di applicazione della menzionata direttiva.

22

Di conseguenza occorre rispondere alla prima questione che l’articolo 2, lettera a), della direttiva 95/46 deve essere interpretato nel senso che un registro dell’orario di lavoro, come quello di cui al procedimento principale, che contiene l’indicazione dell’ora in cui ciascun lavoratore inizia e termina l’attività lavorativa, nonché delle relative interruzioni o pause, rientra nella nozione di «dati personali» ai sensi della citata disposizione.

23

Con la seconda e la terza questione, che occorre prendere in esame congiuntamente, il giudice del rinvio chiede, in sostanza, se l’articolo 17, paragrafo 1, della direttiva 95/46 debba essere interpretato nel senso che ogni Stato membro ha l’obbligo di prevedere misure tecniche e organizzative appropriate al fine di garantire la protezione dei dati personali dalla distruzione accidentale o illecita, dalla perdita accidentale o dall’alterazione, dalla diffusione o dall’accesso non autorizzati, e, in caso di risposta affermativa, se uno Stato membro che non abbia adottato siffatte misure possa legittimamente infliggere una sanzione a un datore di lavoro che, in quanto responsabile del trattamento dei dati in discussione, abbia adottato un sistema di accesso ristretto a tali dati che non consente all’autorità nazionale competente in materia di vigilanza sulle condizioni di lavoro di accedervi immediatamente.

24

Occorre rammentare che, secondo l’articolo 17, paragrafo 1, della direttiva 95/46, relativo alla sicurezza dei trattamenti, gli Stati membri hanno l’obbligo di prevedere che il responsabile di un trattamento di dati personali deve attuare misure tecniche e organizzative tese a garantire un livello di sicurezza appropriato rispetto ai rischi presentati dal trattamento e alla natura dei dati da proteggere, tenuto conto delle attuali conoscenze in materia e dei costi della loro applicazione (v., in tal senso, sentenza Rijkeboer, cit., punto 62).

25

Di conseguenza, contrariamente alla premessa su cui sono basate la seconda e la terza questione, il citato articolo 17, paragrafo 1, non impone agli Stati membri, tranne quando hanno la qualità di responsabile del trattamento, di adottare dette misure tecniche e organizzative, poiché l’obbligo di adottare siffatte misure incombe unicamente al responsabile del trattamento, cioè, nella fattispecie, al datore di lavoro. Per contro, tale disposizione impone agli Stati membri di adottare nel rispettivo ordinamento interno una disposizione che preveda l’obbligo in parola.

26

Peraltro, dalla decisione di rinvio non risulta affatto che i dati in discussione nel procedimento principale siano stati oggetto di una distruzione accidentale o illecita, di una perdita accidentale o di un’alterazione, di una diffusione o di un accesso non autorizzati, se non addirittura di un’altra forma di trattamento illecito, ai sensi dell’articolo 17, paragrafo 1, della direttiva 95/46. Al contrario, dagli elementi presenti nel fascicolo a disposizione della Corte emerge che, nel presente procedimento, è pacifico che l’accesso delle autorità nazionali competenti in materia di vigilanza sulle condizioni di lavoro ai dati di cui trattasi è autorizzato dal diritto nazionale.

27

Nelle osservazioni scritte la Worten fa nondimeno valere che l’obbligo di mettere a disposizione il registro dell’orario di lavoro al fine di consentirne la consultazione immediata, previsto all’articolo 202, paragrafo 1, del codice del lavoro, è nella pratica incompatibile con l’obbligo di realizzare un sistema di protezione adeguato dei dati personali contenuti in detto registro. Un tale obbligo, infatti, equivarrebbe ad ammettere che qualsiasi dipendente dell’impresa interessata possa usufruire di un accesso a dati del genere, e ciò contravverrebbe all’obbligo, ex articolo 17, paragrafo 1, della direttiva 95/46, di garantire la sicurezza dei dati in parola. Un simile accesso generalizzato priverebbe quindi tale disposizione di ogni effetto utile.

28

Tale argomento non può essere accolto. Infatti, contrariamente alla premessa sui cui è basato, l’obbligo per un datore di lavoro, in quanto responsabile del trattamento di dati personali, di fornire un accesso immediato al registro dell’orario di lavoro all’autorità nazionale competente in materia di vigilanza sulle condizioni di lavoro non comporta affatto che i dati personali contenuti in detto registro debbano necessariamente, a causa solo di tale circostanza, essere resi accessibili a persone non autorizzate per la summenzionata finalità. Come correttamente fatto valere dal governo portoghese, incombe difatti al responsabile del trattamento di dati personali, in forza dell’articolo 17, paragrafo 1, della direttiva 95/46, adottare le misure tecniche e organizzative necessarie per garantire che unicamente persone debitamente autorizzate ad accedere ai dati personali interessati possano legittimamente rispondere a una domanda di accesso proveniente da un terzo.

29

In tale contesto, non appare che l’interpretazione dell’articolo 17, paragrafo 1, della direttiva 95/46 sia rilevante ai fini della decisione della controversia principale.

30

Tuttavia, nell’ambito della procedura di cooperazione tra i giudici nazionali e la Corte, creata dall’articolo 267 TFUE, spetta a quest’ultima fornire al giudice nazionale una risposta utile che gli consenta di dirimere la controversia sottopostagli. In tale prospettiva, spetta alla Corte, se necessario, riformulare le questioni che le sono sottoposte. La Corte ha difatti il compito di interpretare tutte le norme del diritto dell’Unione che possano essere utili ai giudici nazionali al fine di dirimere le controversie di cui sono investiti, anche qualora tali norme non siano espressamente indicate nelle questioni ad essa sottoposte da detti giudici (v., in particolare, sentenze del 8 marzo 2007, Campina, C-45/06, Racc. pag. I-2089, punti 30 e 31, nonché del 14 ottobre 2010, Fuß, C-243/09, Racc. pag. I-9849, punto 39).

31

Di conseguenza, benché formalmente il giudice del rinvio abbia limitato le sue questioni all’interpretazione del solo articolo 17, paragrafo 1, della direttiva 95/46, la Corte può nondimeno fornirgli tutti gli elementi interpretativi del diritto dell’Unione che possano essere utili per definire la controversia di cui è investito, a prescindere dal fatto che il detto giudice vi abbia fatto riferimento o meno nel formulare le proprie questioni. A tale proposito, la Corte è tenuta a trarre dall’insieme degli elementi forniti dal giudice nazionale, in particolare dalla motivazione della decisione di rinvio, gli elementi di diritto che richiedono un’interpretazione, tenuto conto dell’oggetto della controversia (v. sentenza Fuß, cit., punto 40).

32

Nel caso di specie, dal fascicolo a disposizione della Corte risulta che il giudice del rinvio tende essenzialmente a stabilire se le disposizioni della direttiva 95/46 debbano essere interpretate nel senso che ostano ad una normativa nazionale, come quella di cui al procedimento principale, che impone al datore di lavoro l’obbligo di mettere a disposizione dell’autorità nazionale competente in materia di vigilanza sulle condizioni di lavoro il registro dell’orario di lavoro in modo da consentirne la consultazione immediata. Come emerge dal punto 15 della presente sentenza, è appunto a causa della violazione del menzionato obbligo previsto all’articolo 202, paragrafo 1, del codice del lavoro che alla Worten è stata inflitta una sanzione pecuniaria.

33

A tale riguardo è d’uopo ricordare che, conformemente alle disposizioni del capo II della direttiva 95/46, intitolato «Condizioni generali di liceità dei trattamenti di dati personali», fatte salve le deroghe ex articolo 13 della stessa direttiva, qualsiasi trattamento di dati personali deve essere conforme, da un lato, ai principi relativi alla qualità dei dati, enunciati all’articolo 6 di quest’ultima e, dall’altro, soddisfare a uno dei principi relativi alla legittimazione del trattamento dei dati elencati all’articolo 7 della direttiva stessa (sentenze Österreichischer Rundfunk e a., cit., punto 65; Huber, cit., punto 48, e del 24 novembre 2011, ASNEF e FECEMD, C-468/10 e C-469/10, Racc. pag. I-12181, punto 26).

34

In particolare, i dati, ai sensi dell’articolo 6, paragrafo 1, lettere b) e c), della direttiva 95/46, devono essere «rilevati per finalità determinate, esplicite e legittime», nonché «adeguati, pertinenti e non eccedenti» rispetto a dette finalità. Inoltre, secondo l’art. 7, lettere c) ed e), della menzionata direttiva, il trattamento di dati personali è lecito rispettivamente ove esso «[sia] necessario per adempiere un obbligo legale al quale è soggetto il responsabile del trattamento» oppure «[sia] necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il responsabile del trattamento o il terzo a cui vengono comunicati i dati» (sentenza Österreichischer Rundfunk e a., cit., punto 66).

35

Tale caso sembra verificarsi in una situazione come quella del procedimento principale, considerato che appare – il che è compito del giudice del rinvio accertare –, da un lato, che i dati personali contenuti nel registro dell’orario di lavoro sono rilevati allo scopo di garantire l’osservanza della disciplina relativa alle condizioni di lavoro e, dall’altro, che il trattamento di tali dati personali è necessario al rispetto di un obbligo legale cui è soggetto il datore di lavoro nonché all’esecuzione delle missioni di controllo affidate all’autorità nazionale competente in materia di vigilanza sulle condizioni di lavoro.

36

Per quanto riguarda le modalità concrete dell’organizzazione dell’accesso della menzionata autorità nazionale a tali dati personali al fine di assicurare le missioni di vigilanza sulle condizioni di lavoro, è necessario rammentare che solo la concessione dell’accesso ad autorità competenti in tale settore può essere considerata necessaria ai sensi dell’articolo 7, lettera e), della direttiva 95/46 (v., in tal senso, sentenza Huber, cit., punto 61).

37

Relativamente all’obbligo per il datore di lavoro di fornire alla suddetta autorità nazionale un accesso immediato al registro dell’orario di lavoro, dalla giurisprudenza della Corte emerge che un obbligo simile può risultare necessario, ai sensi della disposizione in parola, se contribuisce ad un’applicazione più efficace della normativa in materia di condizioni di lavoro (v., per analogia, sentenza Huber, cit., punto 62).

38

In proposito è d’uopo ricordare che la direttiva 2003/88 si propone di fissare prescrizioni minime destinate a migliorare le condizioni di vita e di lavoro dei lavoratori attraverso un ravvicinamento delle normative nazionali relative, in particolare, alla durata dell’orario di lavoro, facendoli beneficiare di periodi minimi di riposo – in particolare giornaliero e settimanale – e di periodi di pausa adeguati, con la previsione di un limite massimo dell’orario di lavoro settimanale (v., in tal senso, in particolare, sentenze del 5 ottobre 2004, Pfeiffer e a., da C-397/01 a C-403/01, Racc. pag. I-8835, punto 76, nonché del 25 novembre 2010, Fuß, C-429/09, Racc. pag. I-12167, punto 43).

39

In tale ottica, l’articolo 6, lettera b), della direttiva 2003/88 obbliga gli Stati membri ad adottare le «misure necessarie» affinché, tenuto conto degli imperativi di protezione della sicurezza e della salute dei lavoratori, la durata media del lavoro per ogni periodo di 7 giorni non superi le 48 ore, compresi gli straordinari (v., in tal senso, citate sentenze Pfeiffer e a., punto 100, nonché del 14 ottobre 2010, Fuß, punto 33).

40

Peraltro, l’articolo 22, paragrafo 1, primo comma, della direttiva 2003/88 prevede che gli Stati membri possono non applicare le disposizioni di cui all’articolo 6 della citata direttiva, a condizione, segnatamente, che assicurino, mediante le necessarie misure a tale scopo, che il datore di lavoro tenga registri aggiornati di tutti i lavoratori interessati [articolo 22, paragrafo 1, primo comma, lettera c), della summenzionata direttiva] e che detti registri siano messi a disposizione delle autorità competenti che possono vietare o limitare, per ragioni di sicurezza e/o di salute dei lavoratori, la possibilità di superare la durata massima settimanale del lavoro [articolo 22, paragrafo 1, primo comma, lettera d), della medesima direttiva].

41

Secondo la Commissione europea, benché la direttiva 2003/88 non imponga esplicitamente agli Stati membri l’obbligo di adottare una disciplina come quella di cui al procedimento principale, ciò nondimeno il controllo del rispetto degli obblighi imposti dalla direttiva in parola può comportare, a titolo di «misure necessarie» alla realizzazione degli obiettivi perseguiti dalla stessa, l’instaurazione di misure di vigilanza. Orbene, l’obbligo per il datore di lavoro di consentire una consultazione immediata del registro dell’orario di lavoro sarebbe tale da evitare qualsiasi possibilità di alterazione dei dati nel corso del lasso di tempo che separa la visita d’ispezione svolta dalle autorità nazionali competenti e il controllo effettivo dei suddetti dati da parte delle autorità in parola.

42

La Worten sostiene, per contro, che tale obbligo è eccessivo, tenuto conto dell’ingerenza che comporta nella vita privata dei lavoratori. Infatti, da un lato, il registro dell’orario di lavoro sarebbe destinato a fornire al lavoratore un mezzo di prova ai fini della verifica del tempo effettivamente lavorato. Orbene, l’autenticità di detto registro non è stata messa in discussione nel procedimento principale. Dall’altro lato, il suddetto registro consentirebbe di procedere a una valutazione delle medie dei tempi di lavoro svolti, ai fini del controllo, in particolare, degli esoneri dall’orario di lavoro. A tale scopo la disponibilità immediata dei registri in parola non apporterebbe alcun valore aggiunto. Peraltro, l’informazione contenuta nel medesimo registro potrebbe essere trasmessa successivamente.

43

Nel presente procedimento spetta al giudice del rinvio prendere in esame il punto vertente sull’accertamento se l’obbligo, per il datore di lavoro, di fornire all’autorità nazionale competente in materia di vigilanza sulle condizioni di lavoro un accesso al registro dell’orario di lavoro tale da consentirne la consultazione immediata possa essere considerato necessario ai fini dell’esercizio, da parte di detta autorità, della sua missione di vigilanza, contribuendo ad un’applicazione più efficace della normativa in materia di condizioni di lavoro, in particolare per quanto concerne l’orario di lavoro.

44

In proposito è tuttavia d’uopo precisare che, in ogni caso, per quanto un siffatto obbligo sia considerato necessario per raggiungere detto obiettivo, le sanzioni inflitte allo scopo di garantire l’effettivo soddisfacimento dei requisiti posti dalla direttiva 2003/88 devono altresì osservare il principio di proporzionalità, elemento che spetta del pari al giudice del rinvio verificare nel procedimento principale (v., per analogia, sentenza del 6 novembre 2003, Lindqvist, C-101/01, Racc. pag. I-12971, punto 88).

45

Alla luce delle suesposte considerazioni occorre rispondere alla seconda e terza questione che gli articoli 6, paragrafo 1, lettera b) e c), nonché 7, lettere c) ed e), della direttiva 95/46 devono essere interpretati nel senso che non ostano ad una normativa nazionale, come quella in discussione nel procedimento principale, che impone al datore di lavoro l’obbligo di mettere a disposizione dell’autorità nazionale competente in materia di vigilanza sulle condizioni di lavoro il registro dell’orario di lavoro al fine di consentirne la consultazione immediata, nella misura in cui tale obbligo sia necessario ai fini dell’esercizio da parte di detta autorità delle sue missioni di vigilanza dell’applicazione della disciplina in materia di condizioni di lavoro, in particolare per quanto riguarda l’orario di lavoro.

46

Nei confronti delle parti nel procedimento principale la presente causa costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.

Per questi motivi, la Corte (Terza Sezione) dichiara: