CONCLUSIONI DELL’AVVOCATO GENERALE
TAMARA ĆAPETA
presentate il 6 ottobre 2022 ( 1 )
Causa C‑268/21
Norra Stockholm Bygg AB
contro
Per Nycander AB,
con l’intervento di:
Entral AB
[domanda di pronuncia pregiudiziale proposta dallo Högsta domstolen (Corte suprema, Svezia)]
«Rinvio pregiudiziale – Regolamento (UE) 2016/679 – Protezione dei dati personali – Articolo 6, paragrafi 3 e 4 – Trattamento dei dati personali – Articolo 23, paragrafo 1, lettera f) – Salvaguardia dell’indipendenza della magistratura e dei procedimenti giudiziari – Richiesta del convenuto nell’ambito di un procedimento civile di ordinare al ricorrente di fornire informazioni sulle ore di lavoro svolte dai suoi dipendenti»
I. Introduzione
1. |
«La tua privacy è importante per noi. Utilizziamo i cookie per migliorare l’esperienza dell’utente. Esamina le preferenze in materia di privacy. Accetta tutto / Impostazioni. Controlla la nostra politica in materia di privacy e di cookie» ( 2 ). |
2. |
Durante la consultazione di qualsiasi sito Internet compare un messaggio simile. |
3. |
Ciò deriva dal regolamento generale sulla protezione dei dati (in prosieguo: il «RGPD») ( 3 ), divenuto il principale strumento di protezione dei dati personali nell’Unione europea. |
4. |
Il RGPD compare anche dinanzi ai giudici nazionali? Più precisamente, si applica agli obblighi di divulgazione nell’ambito di un procedimento civile dinanzi ad un giudice nazionale? Se così accade, quali obblighi fa sorgere per tali giudici? Sono queste le questioni che la Corte è invitata a chiarire nel caso di specie. |
II. Fatti del procedimento principale e questioni pregiudiziali
5. |
Tali questioni sono state sollevate nell’ambito di una controversia dinanzi al giudice del rinvio, lo Högsta domstolen (Corte suprema, Svezia). I fatti di causa possono essere così sintetizzati. La Norra Stockholm Bygg AB (in prosieguo: la «Fastec»), ricorrente nel procedimento principale, ha proceduto alla costruzione di un edificio per uffici per la Per Nycander AB (in prosieguo: la «Nycander»), convenuta nel procedimento principale. I dipendenti che realizzavano l’opera in base a tale contratto registravano la loro presenza in un registro elettronico del personale a fini fiscali. Il registro del personale era fornito dalla Entral AB, che agiva per conto della Fastec. |
6. |
Il procedimento principale ha avuto inizio con una controversia vertente sul compenso dovuto per il lavoro svolto. La Nycander ha contestato la richiesta di pagamento della Fastec (che ammontava a poco più di 2000000 di corone svedesi (SEK), EUR 190133 circa), affermando che il periodo di tempo dedicato dalla Fastec alla realizzazione dell’opera era inferiore al periodo per il quale la Fastec reclamava il pagamento. |
7. |
Per provare che così è avvenuto, la Nycander ha chiesto che la Entral producesse il registro del personale tenuto per conto della Fastec. La Fastec si oppone a tale richiesta, sostenendo che siffatta divulgazione violerebbe il RGPD, in quanto i dati richiesti sono stati raccolti per un altro fine e non possono essere utilizzati come prova nel procedimento principale. |
8. |
Il Tingsrätt (Tribunale locale, Svezia) ha ordinato alla Entral di produrre il registro, e tale decisione è stata confermata in appello dallo Svea hovrätt (Corte d’appello di Stoccolma, Svezia). |
9. |
La Fastec ha impugnato la decisione dello Svea hovrätt (Corte d’appello di Stoccolma) dinanzi allo Högsta domstolen (Corte suprema) e ha chiesto a tale giudice di respingere la domanda di divulgazione della Nycander o, in subordine, di ordinare la produzione di una versione anonima del registro del personale. Nell’ambito di tale procedimento lo Högsta domstolen (Corte suprema) ha sottoposto alla Corte di giustizia le seguenti questioni pregiudiziali:
|
10. |
Nel corso del procedimento hanno presentato osservazioni scritte alla Corte la Fastec, i governi ceco, polacco e svedese nonché la Commissione europea. Il 27 giugno 2022 si è tenuta un’udienza nella quale hanno presentato osservazioni orali la Nycander, i governi polacco e svedese nonché la Commissione. |
III. Contesto normativo
A. Diritto dell’Unione
11. |
L’articolo 5 del RGPD stabilisce i principi che ogni trattamento di dati personali deve rispettare: «1. I dati personali sono:
2. Il titolare del trattamento è competente per il rispetto del paragrafo 1 e in grado di comprovarlo (“responsabilizzazione”)». |
12. |
L’articolo 6 del RGPD, intitolato «Liceità del trattamento», ai paragrafi 1, 3 e 4 prevede quanto segue: «1. Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni: (…)
(…)
(…) 3. La base su cui si fonda il trattamento dei dati di cui al paragrafo 1, lettere c) ed e), deve essere stabilita:
La finalità del trattamento è determinata in tale base giuridica o, per quanto riguarda il trattamento di cui al paragrafo 1, lettera e), è necessaria per l’esecuzione di un compito svolto nel pubblico interesse o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento. Tale base giuridica potrebbe contenere disposizioni specifiche per adeguare l’applicazione delle norme del presente regolamento, tra cui: le condizioni generali relative alla liceità del trattamento da parte del titolare del trattamento; le tipologie di dati oggetto del trattamento; gli interessati; i soggetti cui possono essere comunicati i dati personali e le finalità per cui sono comunicati; le limitazioni della finalità, i periodi di conservazione e le operazioni e procedure di trattamento, comprese le misure atte a garantire un trattamento lecito e corretto, quali quelle per altre specifiche situazioni di trattamento di cui al capo IX. Il diritto dell’Unione o degli Stati membri persegue un obiettivo di interesse pubblico ed è proporzionato all’obiettivo legittimo perseguito. 4. Laddove il trattamento per una finalità diversa da quella per la quale i dati personali sono stati raccolti non sia basato sul consenso dell’interessato o su un atto legislativo dell’Unione o degli Stati membri che costituisca una misura necessaria e proporzionata in una società democratica per la salvaguardia degli obiettivi di cui all’articolo 23, paragrafo 1, al fine di verificare se il trattamento per un’altra finalità sia compatibile con la finalità per la quale i dati personali sono stati inizialmente raccolti, il titolare del trattamento tiene conto, tra l’altro:
|
13. |
Inoltre, l’articolo 23, paragrafo 1, del RGPD disciplina le limitazioni ai diritti e agli obblighi derivanti dal RGPD: «1. Il diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento o il responsabile del trattamento può limitare, mediante misure legislative, la portata degli obblighi e dei diritti di cui agli articoli da 12 a 22 e 34, nonché all’articolo 5, nella misura in cui le disposizioni ivi contenute corrispondano ai diritti e agli obblighi di cui agli articoli da 12 a 22, qualora tale limitazione rispetti l’essenza dei diritti e delle libertà fondamentali e sia una misura necessaria e proporzionata in una società democratica per salvaguardare: (…)
(…)». |
B. Diritto svedese
14. |
Il capo 38, paragrafo 2, primo comma, del rättegångsbalken (codice di procedura; in prosieguo: il «RB») prevede che chiunque sia in possesso di un documento scritto che possa essere considerato dotato di valore probatorio è tenuto a produrre tale documento. Il secondo comma della medesima disposizione prevede deroghe a tale obbligo, che comprendono gli avvocati, i medici, gli psicologi, i sacerdoti e altri funzionari ai quali siano state affidate informazioni nell’esercizio della loro professione o simili. Il capo 38, paragrafo 4, del RB conferisce quindi al giudice il potere di ordinare la divulgazione di un documento scritto come elemento di prova. |
15. |
Secondo il giudice del rinvio, quando si tratta di esaminare se una persona debba essere tenuta a produrre un documento, il giudice deve bilanciare la pertinenza dell’elemento di prova con l’interesse della controparte a non divulgare tale informazione. Tuttavia, come spiegato dal giudice del rinvio, ciò non implica la presa in considerazione della natura privata delle informazioni divulgate. |
IV. Analisi
A. Premessa
16. |
Il RGPD è il principale atto dell’Unione che disciplina la protezione delle persone fisiche per quanto riguarda il trattamento dei loro dati personali. Diversamente dall’atto che lo ha preceduto, la direttiva 95/46/CE ( 4 ), il RGPD è stato adottato in base all’articolo 16 TFUE ( 5 ). Tale base giuridica ha autorizzato il legislatore dell’Unione a tutelare il diritto fondamentale alla protezione dei dati di carattere personale, previsto all’articolo 8, paragrafo 1, della Carta dei diritti fondamentali dell’Unione europea (in prosieguo: la «Carta») ( 6 ). |
17. |
Nel trattamento di dati personali il RGPD attribuisce la competenza per il rispetto di tale atto al «titolare del trattamento» ( 7 ). In ciascun caso di trattamento di dati personali occorre quindi stabilire chi sia il titolare del trattamento. |
18. |
Ai sensi dell’articolo 4, punto 7, del RGPD, il titolare del trattamento è la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che determina le finalità e i mezzi del trattamento di dati personali. |
19. |
Nella fattispecie, hanno avuto luogo due casi distinti di trattamento di dati personali. Il primo trattamento riguarda il registro elettronico del personale tenuto dalla Entral per conto della Fastec, in quanto quest’ultima è soggetta all’obbligo, previsto dal diritto svedese, di raccogliere dati a fini fiscali sulle ore di lavoro svolte. In tale contesto, la Fastec è il titolare del trattamento e la Entral è il responsabile del trattamento ( 8 ). |
20. |
È pacifico che tale primo trattamento era conforme al RGPD. Più precisamente, il suo articolo 6, paragrafo 1, lettera c), consente un trattamento di dati personali necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento, nella fattispecie la Fastec ( 9 ). È vero che, se tale primo trattamento dovesse essere dichiarato illecito ai sensi del RGPD, il trattamento di tali dati per una finalità diversa, sarebbe anch’esso, per estensione, illecito ( 10 ). |
21. |
Tuttavia, l’interesse nel caso di specie è costituito dal secondo trattamento (per una finalità diversa) degli stessi dati inizialmente raccolti a fini fiscali. Il nuovo obiettivo è la divulgazione, da parte della Entral, del registro del personale come elemento di prova nell’ambito del procedimento civile tra la Fastec e la Nycander. La produzione di tale registro per il suo utilizzo nell’ambito di un procedimento civile implicherebbe necessariamente un trattamento di dati personali. |
22. |
In tale secondo trattamento i ruoli, ai sensi del RGPD, cambiano rispetto al primo trattamento. Soprattutto, impartendo l’ordine alla Entral di produrre il registro del personale (in prosieguo: l’«ordine di divulgazione»), il giudice nazionale è il soggetto che determina le finalità e i mezzi del secondo trattamento di dati ( 11 ). Tale giudice diviene quindi il titolare del trattamento ( 12 ). |
23. |
In tale secondo trattamento si potrebbe ritenere che la Fastec sia ancora il titolare del trattamento o che abbia cambiato ruolo, poiché è ora il destinatario dei dati unitamente alla Nycander ( 13 ). Tuttavia, anche se la Fastec resta il titolare del trattamento congiuntamente con il giudice nazionale ( 14 ), ciò non avrebbe alcuna influenza sugli obblighi del giudice nazionale quale titolare del trattamento ( 15 ). Infine, il ruolo della Entral non cambia. Essa resta il responsabile del trattamento e continua a trattare i medesimi dati personali, ma ora per conto del nuovo titolare del trattamento, il giudice nazionale. |
24. |
Con la sua prima questione, il giudice del rinvio chiede, in sostanza, se il giudice nazionale possa effettivamente divenire il titolare del trattamento ai sensi del RGPD e se, in tal caso, detto regolamento imponga requisiti alla normativa processuale nazionale relativa ai poteri e agli obblighi dei giudici nell’ambito di un procedimento civile. Se si applica il RGPD e il giudice nazionale è il titolare del trattamento, il giudice del rinvio chiede, nella sua seconda questione, come tale giudice debba decidere in merito alla divulgazione di dati personali quando devono essere utilizzati come elementi di prova nell’ambito di un procedimento civile. |
25. |
Per rispondere alle questioni del giudice del rinvio, procederò nel seguente modo. Spiegherò, in un primo tempo, le ragioni per le quali considero il RGPD applicabile ai procedimenti civili dinanzi ai giudici degli Stati membri e in che modo ciò influisca sulle normative processuali vigenti degli Stati membri (B). In seguito, esaminerò il metodo che i giudici nazionali, in quanto titolari del trattamento, dovrebbero applicare per soddisfare i requisiti del RGPD (C). |
B. Il RGPD è applicabile ai procedimenti civili dinanzi ai giudici nazionali e integra le norme processuali degli Stati membri
26. |
Con la sua prima questione, il giudice del rinvio chiede, in sostanza, se il RGPD si applichi ai procedimenti giudiziari civili e quale influenza abbia sulle norme processuali pertinenti. Più precisamente, esso si interroga sul punto se esso incida sulle norme nazionali che disciplinano i poteri e gli obblighi dei giudici quando dispongono la divulgazione di prove documentali. Risponderò a tale quesito in tre fasi. |
1. Il RGPD non esclude le attività dei giudici nazionali nell’ambito di procedimenti civili
27. |
L’ambito di applicazione materiale del RGPD è definito all’articolo 2, paragrafo 1, di quest’ultimo e adotta un approccio funzionale, più che un approccio istituzionale. È il che cosa (l’attività di trattamento dei dati personali), più che il chi, che fa scattare l’applicabilità del RGPD ( 16 ). |
28. |
Le situazioni escluse dall’ambito di applicazione del RGPD, elencate all’articolo 2, paragrafo 2, di quest’ultimo, hanno parimenti natura funzionale. Dato che costituiscono l’eccezione all’applicazione del RGPD, la Corte ha ritenuto che esse dovessero essere interpretate restrittivamente ( 17 ). |
29. |
Le attività delle autorità pubbliche non sono quindi escluse dall’ambito di applicazione del RGPD in quanto tali, ma unicamente in relazione alle attività elencate all’articolo 2, paragrafo 2, del RGPD ( 18 ). A tal riguardo, detta disposizione non esclude le attività giudiziarie nei procedimenti civili dall’ambito di applicazione materiale del RGPD. |
30. |
La conclusione secondo cui il RGPD si applica alle attività giudiziarie è corroborata dal considerando 20 del RGPD ( 19 ), in cui si afferma che tale atto si applica alle attività delle autorità giurisdizionali e di altre autorità giudiziarie ( 20 ). |
31. |
L’esclusione della competenza delle autorità di controllo nei confronti delle autorità giurisdizionali nell’esercizio delle loro funzioni giurisdizionali, enunciata all’articolo 55, paragrafo 3, del RGPD, non inficia la precedente conclusione. Al contrario, tale disposizione conferma, a mio avviso, che le autorità giurisdizionali nell’esercizio delle loro funzioni giurisdizionali sono soggette agli obblighi imposti dal RGPD. Essa garantisce la loro indipendenza e imparzialità vietando la sorveglianza, da parte di un’autorità di controllo, delle loro operazioni di trattamento. |
32. |
Nel caso di specie si tratta di un trattamento di dati personali che rientra nell’ambito di applicazione materiale del RGPD. La creazione e la tenuta del registro elettronico del personale riguardano il trattamento dei dati personali ( 21 ). Analogamente, ordinare la divulgazione di tali dati personali nell’ambito di un procedimento civile è un esempio di trattamento di tali dati ( 22 ). Pertanto, la situazione di cui al procedimento principale rientra nell’ambito di applicazione materiale del RGPD. |
33. |
Cosa significa tutto questo per l’applicazione di norme processuali nazionali, come il RB? |
2. Il diritto nazionale costituisce la condizione di liceità del trattamento dei dati da parte dei giudici nazionali
34. |
La base giuridica per emanare l’ordine di divulgazione di cui trattasi nel caso di specie è il RB. |
35. |
Infatti, il RGPD esige che il trattamento dei dati effettuato in una situazione come quella del caso di specie abbia come base giuridica il diritto di uno Stato membro (o dell’Unione) ( 23 ). |
36. |
Inizialmente raccolti e trattati a fini fiscali, in forza dell’ordine di divulgazione nel caso di specie, i dati in questione devono essere ora trattati a fini probatori nell’ambito di un procedimento giudiziario. |
37. |
L’articolo 6, paragrafo 4, del RGPD consente il trattamento dei dati per una finalità diversa se basato sul diritto degli Stati membri, il che costituisce una misura necessaria in una società democratica per garantire gli obiettivi di cui all’articolo 23, paragrafo 1, del RGPD. Tra tali obiettivi, l’articolo 23, paragrafo 1, lettera f), elenca «la salvaguardia dell’indipendenza della magistratura e dei procedimenti giudiziari». |
38. |
Tutti i partecipanti al presente rinvio pregiudiziale concordano nel ritenere che l’articolo 23, paragrafo 1, lettera f), del RGPD costituisca la corretta disposizione da far valere per giustificare la riproposizione del trattamento di dati sulla base del RB ( 24 ). |
39. |
Il RB autorizza i giudici nazionali a disporre la divulgazione di documenti qualora abbiano valore probatorio nell’ambito di un procedimento civile. Come è stato esposto, se un documento da divulgare contiene dati personali, il giudice che ordina tale divulgazione diventa titolare del trattamento in forza del RGPD. |
40. |
Come sottolineato dalla Commissione in udienza, il giudice nazionale è solo in una certa misura un titolare ordinario. Vale a dire, i giudici nazionali possono trattare dati solo nell’esercizio dei loro pubblici poteri. |
41. |
Qualora il trattamento dei dati abbia luogo nell’esercizio di pubblici poteri ( 25 ), l’articolo 6, paragrafo 3, del RGPD richiede che esso sia fondato sul diritto dell’Unione o sul diritto degli Stati membri. |
42. |
Pertanto, sia l’articolo 6, paragrafo 4, del RGPD (che consente il trattamento per una finalità diversa), sia l’articolo 6, paragrafo 3 del medesimo regolamento (che consente un trattamento di dati nell’esercizio di pubblici poteri) presuppongono l’esistenza del diritto nazionale (o dell’Unione) come base giuridica di un trattamento ( 26 ). |
43. |
Il RB che autorizza il giudice ad emanare l’ordine di divulgazione è quindi una condizione necessaria per la liceità del trattamento di cui trattasi. |
3. Il RGPD integra le norme processuali nazionali
44. |
Qualora esista la base giuridica richiesta dal RGPD e l’ordine che implica il trattamento di dati personali sia adottato conformemente a tale diritto degli Stati membri, sono soddisfatti i requisiti previsti dal RGPD in materia di trattamento lecito? |
45. |
A mio avviso, l’esistenza di una base giuridica nel diritto nazionale, benché necessaria, non è sufficiente affinché l’ordine di divulgazione sia conforme al RGPD. |
46. |
Il giudice del rinvio ha spiegato che, in forza del RB, non si tiene conto, in linea di principio, del carattere privato di informazioni al momento dell’adozione di decisioni sulla divulgazione degli elementi di prova. I giudici sono tenuti a prendere in considerazione gli interessi delle due parti contrapposte, ma la legge in quanto tale non prevede che abbiano un ruolo gli interessi dei soggetti di cui trattasi. |
47. |
Il RB è incompatibile con il RGPD in quanto non obbliga espressamente i giudici, quando diventano titolari del trattamento, a prendere in considerazione gli interessi dei soggetti di cui trattasi quando adottano decisioni che possono influire sui loro dati personali? |
48. |
A mio parere, così non è nel caso di specie. Occorre prendere in considerazione il fatto che diversi atti nazionali che fungono da base giuridica per un trattamento di dati non sono stati adottati specificamente in attuazione del RGPD, ma hanno finalità proprie. Inoltre, il RGPD è direttamente applicabile negli ordinamenti giuridici degli Stati membri e non richiede alcuna attuazione. Pertanto, ciò che rileva è che, quando le norme processuali nazionali e il RGPD si incontrano, le prime lasciano spazio a un’applicazione simultanea del secondo. |
49. |
In udienza il governo svedese ha confermato che il RB non impone, ma non vieta neppure ai giudici di prendere in considerazione gli interessi dei soggetti di cui trattasi. Esso non osta quindi all’applicazione diretta del RGPD al procedimento giudiziario disciplinato da tale codice. |
50. |
I giudici nazionali sono quindi soggetti contemporaneamente alle norme processuali interne e al RGPD, dato che quest’ultimo integra le norme nazionali se le attività processuali degli organi giurisdizionali implicano il trattamento di dati personali. |
51. |
Per concludere, una normativa nazionale non deve fare espresso riferimento al RGPD né obbligare i giudici a prendere in considerazione gli interessi dei soggetti di cui trattasi. È sufficiente che tale normativa consenta un’applicazione integrativa del RGPD. Solo se così non fosse, l’atto nazionale sarebbe contrario al RGPD. Tuttavia, il RB sembra consentire un’applicazione integrativa del RGPD ( 27 ). |
52. |
Nel rispondere alla prima questione del giudice del rinvio, concludo pertanto che l’articolo 6, paragrafi 3 e 4, del RGPD impone requisiti alla normativa processuale nazionale in materia di obblighi di divulgazione, ogni qual volta ciò implichi il trattamento di dati personali. Una normativa processuale nazionale non può impedire, in tal caso, di prendere in considerazione gli interessi dei soggetti di cui trattasi. Tali interessi sono salvaguardati se i giudici nazionali rispettano le norme del RGPD in sede di decisione sulla divulgazione delle prove documentali nel singolo caso. |
C. Gli obblighi del giudice nazionale concernenti gli interessi dei soggetti di cui trattasi
53. |
In quanto soggetti del RGPD, i giudici nazionali, in qualità di titolari del trattamento, devono prendere in considerazione gli interessi dei soggetti di cui trattasi. Come dovrebbero essere presi in considerazione tali interessi al momento dell’adozione di una decisione concreta sulla divulgazione? In ciò consiste, in sostanza, la seconda questione del giudice del rinvio. |
1. Proporzionalità
54. |
Gli interessi dei soggetti di cui trattasi sono tutelati quando il trattamento dei loro dati personali è conforme agli articoli 5 e 6 del RGPD ( 28 ). Per citare l’avvocato generale Pikamäe, il rispetto degli articoli 5 e 6 del RGPD assicura la tutela del diritto alla vita privata e familiare nonché la protezione dei dati di carattere personale, quali garantite, rispettivamente, dagli articoli 7 e 8 della Carta ( 29 ). |
55. |
Gli obiettivi legittimi del trattamento sono elencati all’articolo 6 del RGPD ( 30 ). Come esposto nella sezione precedente delle presenti conclusioni, il trattamento di cui trattasi nel caso di specie persegue una finalità lecita, dato che il giudice ha esercitato i propri pubblici poteri ordinando la divulgazione in base al diritto nazionale che consente di garantire il corretto svolgimento del procedimento giudiziario. Orbene, sia l’articolo 6 che l’articolo 5 del RGPD richiedono non solo un obiettivo lecito, ma anche che il trattamento specifico sia necessario per raggiungere tale obiettivo. |
56. |
Il RGPD richiede quindi che il giudice proceda a un’analisi di proporzionalità nel verificare se la divulgazione di dati personali in una situazione concreta sia necessaria a fini probatori nell’ambito di un procedimento giudiziario ( 31 ). |
57. |
A tal riguardo, l’articolo 6, paragrafo 4, del RGPD richiede che il diritto nazionale sul quale si fonda il trattamento per una finalità diversa costituisca una misura necessaria e proporzionata per la salvaguardia uno degli obiettivi elencati all’articolo 23, paragrafo 1, del RGPD, nel caso di specie la salvaguardia dell’indipendenza della magistratura e dei procedimenti giudiziari. Inoltre, l’articolo 6, paragrafo 3, del RGPD richiede che il trattamento effettuato nell’esercizio di pubblici poteri sia necessario per l’esercizio di tali pubblici poteri di cui è investito il titolare del trattamento. |
58. |
Il diritto nazionale che funge da base per il trattamento può soddisfare, in astratto, i requisiti di cui all’articolo 6, paragrafi 3 e 4, del RGPD. Tuttavia, la liceità di ciascun trattamento individuale (compreso uno specifico ordine giurisdizionale di divulgazione) dipende dal bilanciamento concreto di tutti gli interessi in gioco, tenuto conto dello scopo legittimo per il quale è chiesta la divulgazione ( 32 ). Solo in tal modo il giudice nazionale può decidere se e in quale misura la divulgazione sia necessaria. |
59. |
È dunque evidente che il RGPD richiede un’analisi di proporzionalità. Il RGPD è altresì utile per fornire risposte sui provvedimenti concreti che il giudice deve adottare nell’ambito di tale analisi? |
2. Provvedimenti specifici che il giudice nazionale deve adottare
60. |
L’analisi di proporzionalità, come esposta, deve essere effettuata in ogni singolo caso, prendendo in considerazione tutti gli interessi in gioco. In situazioni come quelle del caso di specie, gli interessi alla base della divulgazione devono essere ponderati con la lesione del diritto alla protezione dei dati personali ( 33 ). |
61. |
Gli interessi alla base della divulgazione riflettono il diritto ad una tutela giurisdizionale effettiva (articolo 47 della Carta). Gli interessi dei soggetti di cui trattasi, con i quali il precedente diritto è in conflitto, riflettono il diritto alla vita privata e familiare (articolo 7 della Carta) e il diritto alla protezione dei dati di carattere personale (articolo 8 della Carta). Sono tali diritti che occorre ponderare al fine di decidere se sia necessaria la divulgazione dei dati personali. |
62. |
Nelle considerazioni che seguono, proporrò taluni suggerimenti riguardo ai provvedimenti specifici che il giudice nazionale dovrebbe eventualmente adottare. |
63. |
Anzitutto, si può sempre presumere che i soggetti interessati che non abbiano dato il loro consenso al trattamento abbiano interesse a limitare il trattamento dei loro dati personali. Tale è quindi la situazione di partenza predefinita per il giudice nazionale: giustificare il motivo per cui tale interesse dovrebbe essere leso. |
64. |
A mio avviso, possono essere rinvenute istruzioni per effettuare tale valutazione nell’articolo 5 del RGPD, il quale contiene i principi che il titolare del trattamento deve rispettare nel trattamento dei dati personali. |
65. |
A tal riguardo, il principio di minimizzazione dei dati, derivante dall’articolo 5, paragrafo 1, lettera c), del RGPD, è di fondamentale importanza. Tale requisito costituisce, come dichiarato dalla Corte ( 34 ), un’espressione di proporzionalità. Esso richiede che i dati personali siano adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati; |
66. |
Il primo quesito è quindi se i dati contenuti nel registro del personale tenuto dalla Entral siano adeguati. Essi sono adeguati in relazione al fine per il quale devono essere divulgati se mostrano effettivamente il numero di ore di lavoro svolte dai dipendenti della Fastec nel cantiere. |
67. |
Il secondo quesito è se i dati contenuti nel registro del personale tenuto dalla Entral siano pertinenti in relazione al fine per quale sono richiesti. L’obiettivo sembra essere l’interesse della Nycander a provare il proprio argomento secondo cui i dipendenti della Fastec hanno lavorato per un numero di ore inferiore a quanto indicato nella fattura. In tali circostanze, il registro del personale sarebbe pertinente se potesse effettivamente provare o confutare tale affermazione. Il giudice nazionale deve valutare la sua pertinenza alla luce di altre circostanze del caso di specie (ad esempio, l’affermazione della Fastec secondo cui il registro del personale contiene solo una parte delle ore di lavoro pertinenti, in quanto altre si sono svolte al di fuori del cantiere). |
68. |
Al fine di soddisfare il terzo requisito di minimizzazione dei dati, il giudice nazionale deve verificare se tutti o solo alcuni dei dati contenuti nel registro siano sufficienti a fini probatori. Inoltre, se esistono altri modi per dimostrare lo stesso fatto, la minimizzazione dei dati richiede che siano utilizzate tali altre modalità. Ad esempio, il giudice nazionale potrebbe essere indotto a valutare l’affermazione della Fastec secondo cui le ore di lavoro effettive possono essere verificate con riferimento a documenti che fanno già parte del fascicolo di causa dinanzi al giudice del rinvio. Se ritiene che tale affermazione sia corretta, il giudice nazionale non può ordinare la divulgazione di dati personali contenuti nel registro del personale. |
69. |
Il giudice nazionale deve accertare quali tipi di dati personali risultanti dal registro siano sufficienti per provare o confutare i fatti pertinenti. A tal riguardo, il principio di minimizzazione dei dati richiede che siano divulgati soltanto i dati strettamente necessari per le finalità di cui trattasi. Potrebbe essere quindi necessario che la Entral, quale responsabile del trattamento, modifichi il registro del personale in modo tale da limitare i dati personali al minimo necessario, consentendo nel contempo di trarre conclusioni sulle ore effettivamente svolte. |
70. |
A tal riguardo, il giudice nazionale deve stabilire se sia necessario che persone i cui dati sono contenuti nel registro siano identificabili affinché la divulgazione abbia valore probatorio (ad esempio, se sia necessario individuare per nome i singoli lavoratori al fine di invitarli a testimoniare). In caso contrario, può essere sufficiente disporre delle informazioni relative al numero totale di ore dedicate al cantiere e/o al numero di persone che hanno svolto tali ore. |
71. |
A seconda delle risposte fornite ai precedenti quesiti, il giudice può decidere di chiedere la divulgazione di dati pseudonimizzati o anonimizzati ( 35 ). |
72. |
In forza del considerando 26 del RGPD, i dati sottoposti a pseudonimizzazione rimangono nell’ambito di applicazione materiale del RGPD. Ciò si verifica perché resta possibile risalire all’identità di una persona che si cela dietro lo pseudonimo. È vero il contrario per i dati anonimizzati, che non rientrano nel suo ambito di applicazione. Pertanto, la modalità di divulgazione disposta infine dal giudice nazionale incide anche sulla successiva applicabilità del RGPD ( 36 ). |
73. |
In definitiva, spetta al giudice nazionale determinare il valore probatorio delle diverse versioni del registro del personale al fine di decidere quale tipo di minimizzazione dei dati, se del caso, sia necessario per il buon esito del procedimento giudiziario di cui è investito. |
74. |
Oltre al principio di minimizzazione dei dati di cui all’articolo 5, paragrafo 1, lettera c), del RGPD, anche altri principi contenuti nell’articolo 5 del RGPD vincolano il giudice nazionale e sono rilevanti ai fini del metodo di adozione dell’ordine di divulgazione. |
75. |
Ad esempio, l’articolo 5, paragrafo 1, lettera a), del RGPD, oltre al rinvio al principio di liceità (ulteriormente elaborato all’articolo 6 del medesimo regolamento), menziona anche il principio di trasparenza. A mio avviso, tale principio esige che il giudice nazionale spieghi chiaramente la sua decisione di ordinare la divulgazione dei dati personali, indicando in particolare come ha bilanciato i diversi interessi e argomenti delle parti relativi alla divulgazione. |
76. |
Una corretta motivazione dell’ordine di divulgazione soddisfa altresì il requisito di cui all’articolo 5, paragrafo 2, del RGPD, che impone che il titolare del trattamento sia in grado di comprovare il rispetto dei principi enunciati all’articolo 5, paragrafo 1, di tale regolamento. |
77. |
Il modo di rispettare i principi di cui all’articolo 5 del RGPD può anche essere letto a partire dal considerando 31 del RGPD. Secondo quanto previsto da tale considerando, le «richieste di comunicazione inviate dalle autorità pubbliche dovrebbero sempre essere scritte, motivate e occasionali e non dovrebbero riguardare un intero archivio o condurre all’interconnessione di archivi». |
78. |
Il governo polacco ha espresso preoccupazione riguardo alla valutazione della proporzionalità da parte del giudice nazionale: se il giudice nazionale deve valutare il valore probatorio del registro del personale o di un altro elemento di prova nel procedimento di cui è investito, non è già troppo coinvolto in quello che dovrebbe rimanere il ruolo delle parti, ossia tentare di essere vittorioso in una controversia riguardante proprio la forza probatoria di tali elementi di prova? |
79. |
A mio avviso, la valutazione del valore probatorio, che prende in considerazione gli interessi dei soggetti di cui trattasi, non comporta una maggiore ingerenza nella causa rispetto alla valutazione del valore probatorio di qualsiasi altro elemento di prova nell’ambito di un procedimento civile ( 37 ). |
80. |
Il grado di ingerenza del giudice nazionale dipende dal carattere manifesto del valore probatorio dei dati di cui si chiede la divulgazione nelle circostanze del caso di specie. Attiene sempre al caso di specie la misura in cui la divulgazione potrebbe interferire con gli interessi dei soggetti di cui trattasi. |
81. |
Ad esempio, talune cause possono avere ad oggetto dati sensibili che beneficiano di un regime speciale di protezione ai sensi dell’articolo 9 del RGPD, o dati riguardanti sanzioni penali rientranti nel regime di cui all’articolo 10 del medesimo regolamento. In tali situazioni gli interessi dei soggetti di cui trattasi acquistano necessariamente maggiore rilevanza nell’operazione di bilanciamento ( 38 ). Analogamente, l’interesse alla divulgazione può differire da una causa all’altra. Se talvolta è chiaro che la pertinenza degli elementi di prova richiesti è marginale, in altri casi essi sono fondamentali ai fini della determinazione dell’esito della controversia. A tal riguardo, è valida l’osservazione della Commissione secondo cui il giudice nazionale dovrebbe disporre di un ampio potere discrezionale quando effettua tali valutazioni. Tuttavia, esso non dovrebbe mai essere esonerato dall’obbligo di prendere in considerazione gli interessi dei soggetti di cui trattasi. |
82. |
Il governo ceco ha espresso un’altra preoccupazione: imporre ai giudici nazionali l’obbligo di prendere in considerazione gli interessi dei soggetti di cui trattasi ogni qual volta dispongano la divulgazione di prove documentali osterebbe al regolare funzionamento dei procedimenti giudiziari. Infatti, il RGPD istituisce un obbligo supplementare ( 39 ) per i giudici di procedere al controllo di proporzionalità prima di ordinare la divulgazione di prove documentali contenenti dati personali. Tuttavia, né il bilanciamento degli interessi costituisce un esercizio intellettuale insolito per i giudici, né l’onere gravante sui giudici nazionali è diverso da quello imposto a qualsiasi titolare del trattamento dal RGPD. |
83. |
Se i cittadini dell’Unione devono beneficiare di un livello elevato di protezione dei loro dati personali, coerente con la scelta del legislatore dell’Unione espressa nel RGPD, la presa in considerazione degli interessi dei soggetti di cui trattasi non può essere considerata un onere eccessivo per i giudici degli Stati membri. |
84. |
Propongo pertanto alla Corte di rispondere come segue alla seconda questione sollevata dal giudice del rinvio: quando decide sull’ordine di divulgazione nell’ambito di un procedimento civile che implica il trattamento di dati personali, il giudice nazionale deve procedere ad un’analisi di proporzionalità che tenga conto degli interessi dei soggetti di cui trattasi, i cui dati personali devono essere oggetto di trattamento, e bilanciarli con l’interesse delle parti del procedimento a ottenere elementi di prova. Tale valutazione di proporzionalità è guidata dai principi enunciati all’articolo 5 del RGPD, tra cui il principio di minimizzazione dei dati. |
V. Conclusione
85. |
Alla luce delle considerazioni che precedono, propongo alla Corte di rispondere nei seguenti termini alle due questioni pregiudiziali sollevate dallo Högsta domstolen (Corte suprema, Svezia):
|
( 1 ) Lingua originale: l’inglese.
( 2 ) Questo particolare messaggio compare all’indirizzo https://eulawlive.com/.
( 3 ) Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1).
( 4 ) Direttiva del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU 1995, L 281, pag. 31). La direttiva 95/46 è stata adottata sulla base giuridica del mercato interno. Per una prima analisi delle modifiche introdotte dal RGPD, v. Van Alsenoy, B., «Liability under EU Data Protection Law. From Directive 95/46 to the General Data Protection Regulation», Journal of Intellectual Property, Information Technology and Electronic Commerce Law, Vol. 7, 2016, pagg. da 271 a 288.
( 5 ) Nonostante la differenza di base giuridica, la giurisprudenza che interpreta la direttiva 95/46 è pertinente per comprendere il RGPD.V., a tal riguardo, sentenza del 17 giugno 2021, M.I.C.M. (C‑597/19, EU:C:2021:492, punto 107). Farò dunque riferimento, se del caso, alla giurisprudenza della Corte relativa alla direttiva 95/46. Analogamente, nei limiti in cui apporta soluzioni analoghe alle limitazioni al diritto alla protezione dei dati, farò riferimento anche alla giurisprudenza della Corte relativa alla direttiva 2002/58/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche) (GU 2002, L 201, pag. 37). La Corte ha considerato che l’interpretazione delle limitazioni ai diritti derivanti dalla direttiva 2002/58 si deve applicare, mutatis mutandis, all’interpretazione del RGPD.V., a tal riguardo, sentenza del 6 ottobre 2020, La Quadrature du Net e a. (C‑511/18, C‑512/18 e C‑520/18, EU:C:2020:791, punto 211).
( 6 ) V. considerando 1 del RGPD.
( 7 ) V. articolo 5, paragrafo 2, del RGPD.
( 8 ) L’articolo 4, punto 8, del RGPD definisce il responsabile del trattamento» come «la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare del trattamento».
( 9 ) Secondo l’articolo 6, paragrafo 3, del RGPD, quando il trattamento è effettuato ai fini del rispetto di un obbligo legale al quale è soggetto il titolare del trattamento, tale base è stabilita dal diritto dell’Unione europea o dal diritto degli Stati membri che persegue un obiettivo di interesse pubblico ed è proporzionato all’obiettivo legittimo perseguito. Il rispetto della normativa fiscale nazionale è stato considerato come un obiettivo legittimo nella sentenza del 16 gennaio 2019, Deutsche Post (C‑496/17, EU:C:2019:26, punti da 60 a 63).
( 10 ) V., per analogia, sentenza del 2 marzo 2021, Prokuratuur (Condizioni di accesso ai dati relativi alle comunicazioni elettroniche) (C‑746/18, EU:C:2021:152, punto 44).
( 11 ) Determinare la finalità e i mezzi per il trattamento dei dati personali sono le attività principali che definiscono il titolare del trattamento. V. sentenza del 10 luglio 2018Jehovan todistajat (C‑25/17, EU:C:2018:551, punto 68). V. anche Bygrave, L.A. e Tossoni, L., «Article 4(7). Controller» in Kuner, C., Bygrave, L.A., Docksey, C. e Drechsler, L. (a cura di), The EU General Data Protection Regulation (GDPR): A Commentary, OUP, Oxford, 2021, pag. 150.
( 12 ) All’udienza i governi polacco e svedese nonché la Commissione hanno ammesso che tale ruolo spetta ora al giudice nazionale. La Nycander ha sostenuto che la Fastec resta l’unico titolare del trattamento nel secondo trattamento, mentre il ruolo del giudice nazionale è quello di un intermediario. Occorre rilevare che il termine «intermediario» non è mai utilizzato nel RGPD.
( 13 ) L’articolo 4, punto 9, del RGPD definisce i destinatari le persone fisiche o giuridiche, le autorità pubbliche, i servizi o altri organismi che ricevono comunicazione di dati personali, che si tratti o meno di terzi. In quanto parti di un procedimento civile, tanto la Fastec quanto la Nycander diventano destinatari di dati trattati sulla base dell’ordine di divulgazione emesso dal giudice. La Commissione ha sostenuto in udienza che la Fastec resta il titolare del trattamento e non che ne sia divenuta il destinatario.
( 14 ) L’articolo 26, paragrafo 1, del RGPD prevede quanto segue: «Allorché due o più titolari del trattamento determinano congiuntamente le finalità e i mezzi del trattamento, essi sono contitolari del trattamento. Essi determinano in modo trasparente, mediante un accordo interno, le rispettive responsabilità in merito all’osservanza degli obblighi derivanti dal presente regolamento, con particolare riguardo all’esercizio dei diritti dell’interessato, e le rispettive funzioni di comunicazione delle informazioni di cui agli articoli 13 e 14, a meno che e nella misura in cui le rispettive responsabilità siano determinate dal diritto dell’Unione o dello Stato membro cui i titolari del trattamento sono soggetti. Tale accordo può designare un punto di contatto per gli interessati». V. anche sentenza del 29 luglio 2019, Fashion ID (C‑40/17, EU:C:2019:629, punto 67).
( 15 ) La Corte ha precisato che la nozione di titolare del trattamento è ampia e che diversi operatori possono essere coinvolti in diverse fasi del trattamento. Sentenza del 29 luglio 2019, Fashion ID (C‑40/17, EU:C:2019:629, punto 70).
( 16 ) Quest’ultimo è pertinente solo in via eccezionale. Ad esempio, in forza dell’articolo 2, paragrafo 3, del RGPD, le istituzioni, gli organi, gli uffici e le agenzie dell’Unione non sono soggetti al RGPD. Tuttavia, essi sono soggetti al regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio, del 18 dicembre 2000, concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonché la libera circolazione di tali dati (GU 2001, L 8, pag. 1).
( 17 ) Sentenza del 9 luglio 2020, Land Hessen (C‑272/19, EU:C:2020:535, punto 68).
( 18 ) L’articolo 2, paragrafo 2, del RGPD prevede quanto segue: «Il presente regolamento non si applica ai trattamenti di dati personali: a) effettuati per attività che non rientrano nell’ambito di applicazione del diritto dell’Unione; b) effettuati dagli Stati membri nell’esercizio di attività che rientrano nell’ambito di applicazione del titolo V, capo 2, TUE; c) effettuati da una persona fisica per l’esercizio di attività a carattere esclusivamente personale o domestico; d) effettuati dalle autorità competenti a fini di prevenzione, indagine, accertamento o perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia contro minacce alla sicurezza pubblica e la prevenzione delle stesse».
( 19 ) Nel considerando 20 del RGPD si afferma quanto segue: «Sebbene il presente regolamento si applichi, tra l’altro, anche alle attività delle autorità giurisdizionali e di altre autorità giudiziarie, il diritto dell’Unione o degli Stati membri potrebbe specificare le operazioni e le procedure di trattamento relativamente al trattamento dei dati personali effettuato da autorità giurisdizionali e da altre autorità giudiziarie. Non è opportuno che rientri nella competenza delle autorità di controllo il trattamento di dati personali effettuato dalle autorità giurisdizionali nell’adempimento delle loro funzioni giurisdizionali, al fine di salvaguardare l’indipendenza della magistratura nell’adempimento dei suoi compiti giurisdizionali, compreso il processo decisionale. Si dovrebbe poter affidare il controllo su tali trattamenti di dati ad organismi specifici all’interno del sistema giudiziario dello Stato membro, che dovrebbero in particolare assicurare la conformità alle norme del presente regolamento, rafforzare la consapevolezza della magistratura con riguardo agli obblighi che alla stessa derivano dal presente regolamento ed esaminare i reclami in relazione a tali operazioni di trattamento dei dati».
( 20 ) V., a tal riguardo, sentenza del 24 marzo 2022, Autoriteit Persoonsgegevens (C‑245/20, EU:C:2022:216, punti 25 e 26).
( 21 ) La Corte ha confermato che i registri dell’orario di lavoro costituiscono, in particolare, dati personali nella sentenza del 30 maggio 2013, Worten (C‑342/12, EU:C:2013:355, punto 19).
( 22 ) La trasmissione di atti al giudice nell’ambito di un procedimento civile è stata considerata un trattamento nelle conclusioni dell’avvocato generale Campos Sánchez‑Bordona nella causa Inspektor v Inspektorata kam Visshia sadeben savet (Finalità del trattamento di dati – Indagine penale (C‑180/21, EU:C:2022:406, paragrafi 82 e 83). Al momento della pubblicazione delle presenti conclusioni, tale causa è ancora pendente dinanzi alla Corte.
( 23 ) Nel contesto della direttiva 2002/58 la Corte ha considerato che tale direttiva non esclude la possibilità per gli Stati membri di prevedere un obbligo di divulgazione di dati personali nell’ambito di un procedimento civile. V., in tal senso, sentenza del 29 gennaio 2008, Promusicae (C‑275/06, EU:C:2008:54, punto 53). Lo stesso vale, a mio avviso, per il RGPD.
( 24 ) Inoltre, la Commissione ha proposto che un’altra ragione per giustificare la riproposizione di un trattamento di dati nel caso di specie sia rinvenibile nell’articolo 23, paragrafo 1, lettera i), del RGPD (in prosieguo: la «la tutela dell’interessato o dei diritti e delle libertà altrui»). Il governo polacco ha richiamato l’articolo 23, paragrafo 1, lettera j), del RGPD (in prosieguo: «l’esecuzione delle azioni civili»).
( 25 ) Il trattamento nell’esercizio di pubblici poteri è reso possibile dall’articolo 6, paragrafo 1, lettera e), del RGPD.
( 26 ) Il trattamento può anche basarsi sul consenso dell’interessato. Tuttavia non è questa l’ipotesi che ricorre nel caso di specie.
( 27 ) Nella ripartizione delle competenze tra la Corte e i giudici degli Stati membri nell’ambito del procedimento pregiudiziale, spetta al giudice nazionale decidere se ciò si verifichi effettivamente.
( 28 ) Sentenze del 16 gennaio 2019, Deutsche Post (C‑496/17, EU:C:2019:26, punto 57), e del 6 ottobre 2020, La Quadrature du Net e a. (C‑511/18, C‑512/18 e C‑520/18, EU:C:2020:791, punto 208). La Corte è giunta in precedenza alla medesima conclusione relativamente alla direttiva 95/46. V., ad esempio, sentenze del 20 maggio 2003, Österreichischer Rundfunk e a. (C‑465/00, C‑138/01 e C‑139/01, EU:C:2003:294, punto 65), e del 13 maggio 2014, Google Spain e Google (C‑131/12, EU:C:2014:317, punto 71).
( 29 ) Conclusioni dell’avvocato generale Pikamäe nella causa Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2021:991, paragrafo 36).
( 30 ) La Corte ha constatato che l’elenco delle situazioni di trattamento lecito di dati di cui all’articolo 6 del RGPD ha carattere esaustivo e tassativo. V. sentenza del 22 giugno 2021, Latvijas Republikas Saeima (Punti di penalità) (C‑439/19, EU:C:2021:504, punto 99). Nel contesto della direttiva 95/46, la Corte ha adottato lo stesso approccio in materia di liceità del trattamento nella sentenza del 4 maggio 2017, Rīgas satiksme (C‑13/16, EU:C:2017:336, punto 25) e dell’11 dicembre 2019, Asociaţia de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, punti 37 e 38).
( 31 ) V. altresì considerando 39 del RGDP, in cui si afferma che: «(…) I dati personali dovrebbero essere adeguati, pertinenti e limitati a quanto necessario per le finalità del loro trattamento. (…) I dati personali dovrebbero essere trattati solo se la finalità del trattamento non è ragionevolmente conseguibile con altri mezzi».
( 32 ) La Corte ha chiarito che il bilanciamento dipende dalle circostanze specifiche del caso di specie. V., a tal riguardo, sentenza del 4 maggio 2017, Rīgas satiksme (C‑13/16, EU:C:2017:336, punto 31). V., altresì, sentenza del 19 dicembre 2020, Asociaţia de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2020:104, punto 32).
( 33 ) V., per analogia, sentenza del 9 novembre 2010, Volker und Markus Schecke e Eifert (C‑92/09 e C‑93/09, EU:C:2010:662, punto 77).
( 34 ) Sentenza del 22 giugno 2021, Latvijas Republikas Saeima (Punti di penalità) (C‑439/19, EU:C:2021:504, punto 98).
( 35 ) La Fastec chiede, infatti, che il giudice del rinvio respinga la domanda della Nycander diretta alla produzione del registro del personale oppure, in subordine, che il registro del personale sia prodotto solo previa anonimizzazione. La Commissione, basandosi sul principio di minimizzazione dei dati e facendo riferimento all’articolo 25, paragrafo 1, del RGPD, ha proposto che una soluzione potesse essere anche quella di produrre una versione pseudonimizzata del registro del personale.
( 36 ) Ad esempio, il fatto di rendere anonimo il registro esonera il titolare del trattamento dall’obbligo di informare gli interessati sul trattamento, obbligo normalmente richiesto ai sensi dell’articolo 14 del RGPD.
( 37 ) Come spiegato dal giudice del rinvio, ai sensi del RB, i giudici sono già tenuti a ponderare la pertinenza degli elementi di prova con l’interesse della controparte a non divulgare tali informazioni.
( 38 ) Nel contesto della direttiva 2002/58, la Corte ha costantemente dichiarato che più elevato è il grado di ingerenza nel diritto alla protezione dei dati, più rilevante è l’obiettivo di interesse pubblico che deve essere perseguito. Sentenze del 21 dicembre 2016, Tele2 Sverige e Watson e a. (C‑203/15 e C‑698/15, EU:C:2016:970, punto 115), del 2 ottobre 2018, Ministerio Fiscal (C‑207/16, EU:C:2018:788, punto 55), del 6 ottobre 2020, La Quadrature du Net e a. (C‑511/18, C‑512/18 e C‑520/18, EU:C:2020:791, punto 131), e del 2 marzo 2021, Prokuratuur (Condizioni di accesso ai dati relativi alle comunicazioni elettroniche) (C‑746/18, EU:C:2021:152, punto 32).
( 39 ) Negli ordinamenti giuridici, le cui norme processuali non abbiano previamente richiesto siffatto controllo.