Sentenza della Corte (Prima Sezione) del 7 dicembre 2023 (domanda di pronuncia pregiudiziale proposta dal Verwaltungsgericht Wiesbaden — Germania) — UF (C-26/22), AB (C-64/22) / Land Hessen

[Cause riunite C-26/22 e C-64/22 (1), SCHUFA Holding (Esdebitazione))]

(«Rinvio pregiudiziale - Protezione delle persone fisiche con riguardo al trattamento dei dati personali - Regolamento (UE) 2016/679 - Articolo 5, paragrafo 1, lettera a) - Principio di “liceità” - Articolo 6, paragrafo 1, primo comma, lettera f) - Necessità del trattamento ai fini dei legittimi interessi perseguiti dal responsabile del trattamento o da un terzo - Articolo 17, paragrafo 1, lettera d) - Diritto alla cancellazione in caso di trattamento illecito di dati personali - Articolo 40 - Codici di condotta - Articolo 78, paragrafo 1 - Diritto a un ricorso giurisdizionale effettivo nei confronti dell’autorità di controllo - Decisione adottata dall’autorità di controllo su un reclamo - Portata del controllo giurisdizionale su detta decisione - Società che forniscono informazioni commerciali - Conservazione di dati provenienti da un registro pubblico relativi all’esdebitazione a favore di una persona - Durata della conservazione»)

(C/2024/917)

Lingua processuale: il tedesco

Giudice del rinvio

Verwaltungsgericht Wiesbaden

Parti nel procedimento principale

Ricorrenti: UF (C-26/22), AB (C-64/22)

Convenuto: Land Hessen

Con l’intervento di: SCHUFA Holding AG

Dispositivo

L’articolo 78, paragrafo 1, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati),

deve essere interpretato nel senso che:

una decisione su reclamo adottata da un’autorità di controllo è soggetta ad un sindacato giurisdizionale completo.

L’articolo 5, paragrafo 1, lettera a), del regolamento 2016/679, in combinato disposto con l’articolo 6, paragrafo 1, primo comma, lettera f), di tale regolamento,

deve essere interpretato nel senso che:

esso osta ad una prassi di agenzie private di valutazione del credito consistente nel conservare, nelle proprie banche dati, informazioni provenienti da un registro pubblico relative alla concessione di esdebitazioni a favore di persone fisiche, al fine di poter fornire informazioni sul merito creditizio di tali persone, per un periodo che va oltre quello durante il quale i dati sono conservati nel registro pubblico.

L’articolo 17, paragrafo 1, lettera c), del regolamento 2016/679

deve essere interpretato nel senso che:

l’interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione, senza ingiustificato ritardo, dei dati personali che lo riguardano qualora si opponga al trattamento ai sensi dell’articolo 21, paragrafo 1, di tale regolamento e non sussistano motivi legittimi prevalenti che possano giustificare, in via eccezionale, il trattamento in esame.

4)	L’articolo 17, paragrafo 1, lettera d), del regolamento 2016/679 deve essere interpretato nel senso che: il titolare del trattamento è tenuto a cancellare, senza indebito ritardo, i dati personali oggetto di un trattamento illecito.

(1) GU C 148 del 4.4.2022.