Dati Sensibili: la Corte di Giustizia si pronuncia sull’art. 9 del GDPR

Palazzo della Corte di Giustizia - Foto di Luxofluxo - Wikipedia

All’inizio del mese la Corte di Giustizia dell’Unione Europea ha reso un’importante pronuncia in materia di protezione dei dati sensibili, ai sensi dell’art. 9 del GDPR, che promette di ampliare notevolmente il numero delle situazioni meritevoli di tutela.

La vicenda riguarda il caso di un cittadino lituano, dirigente di una società di protezione ambientale non-governativa ma che riceve fondi dal governo nazionale, al quale viene chiesto dall’autorità di rendere una dichiarazione contenente diversi dati attinenti alla sua vita privata in accordo con la normativa sulla trasparenza; il soggetto decideva di non rendere la dichiarazione in quanto avrebbe dovuto indicare il nominativo del proprio coniuge (dello stesso sesso) rivelando così informazioni sul proprio orientamento sessuale che sarebbero poi state pubblicate su un registro accessibile in chiaro su Internet.

Il Tribunale amministrativo regionale investito della controversia, rilevando gli estremi per un rinvio pregiudiziale di interpretazione dato il contrasto tra la norma nazionale in materia di trasparenza con il GDPR, ha posto alla Corte di Giustizia due quesiti: in primo luogo ha chiesto se la pubblicazione dei dati sul sito dell’autorità, con accesso illimitato da parte di tutti gli utenti della rete, costituisse un trattamento proporzionato alle finalità perseguite ai sensi dell’art. 6 par. 1 del GDPR.

Secondariamente, il giudice de quo ha domandato se il trattamento dei dati personali del coniuge, di per sé non rientrante nelle categorie di dati di cui all’art. 9 del Regolamento ma idoneo a rivelare tramite deduzione od osservazione informazioni circa l’orientamento sessuale del soggetto, fosse da considerare vietato ai sensi di quest’ultima disposizione.

La Corte ha chiarito come il diritto alla riservatezza, per quanto riconosciuto e tutelato dalla normativa europea, non costituisce un diritto c.d. “assoluto”, ma deve invece essere contemperato alle diverse esigenze confliggenti: nel caso di specie, sarà necessario operare un bilanciamento tra la tutela dei dati personali del cittadino con la necessità di garantire trasparenza nella gestione di fondi pubblici.

Pur riconoscendo la validità degli obiettivi di trasparenza e lotta alla corruzione perseguiti dalla normativa nazionale e l’efficacia della stessa nel raggiungimento degli scopi indicati, la Corte ha evidenziato alcune criticità in relazione alla pubblicazione su internet dei dati così raccolti.

In primo luogo, è necessario chiedersi se sia veramente necessario garantire l’accesso senza restrizione ai registri contenenti le informazioni personali dei soggetti dichiaranti: la trasparenza della procedura di assegnazione di fondi pubblici potrebbe essere garantita anche limitando la consultazione a particolari categorie di soggetti all’uopo individuati.

Secondariamente, occorre verificare se sia stato rispettato il principio di minimizzazione dei dati, sancito all’art. 5 del GDPR, che prescrive di limitare il trattamento ai soli dati che siano necessari per il raggiungimento delle finalità perseguite.

Nel caso di specie, la Corte ha ritenuto che la raccolta di dati relativi ai coniugi o ai partner dei soggetti tenuti alla dichiarazione di imparzialità richiesta dalla normativa lituana costituisse violazione del citato principio: a parere del giudicante, la semplice generica menzione di un partner non ulteriormente specificato sarebbe stata più che sufficiente.

Con riferimento al secondo quesito, la Corte ha chiarito che l’uso del verbo “rivelare” nel primo paragrafo dell’art. 9 del GDPR deve essere riferito non solo al trattamento di dati “intrinsecamente sensibili”, ma anche a quei dati che forniscano informazioni di tale natura tramite deduzione o esame incrociato: nel caso di specie, il nominativo del coniuge (dato personale “comune”) avente lo stesso sesso del dichiarante consente all’osservatore di dedurre senza sforzo l’orientamento sessuale di entrambi i soggetti.

La risposta fornita al secondo quesito rappresenta di gran lunga l’aspetto più interessante della pronuncia pregiudiziale: l’interpretazione estensiva fornita dalla Corte di Giustizia comporta un notevole incremento delle situazioni meritevoli di tutela; si pensi, a titolo meramente esemplificativo, al caso in cui vengano diffusi o pubblicati su internet dettagli relativi a donazioni effettuati ad organizzazioni politiche o religiose.

Per comprendere la portata di tale pronuncia, è opportuno sottolineare che alla Corte di Giustizia, al pari della Cassazione nell’ordinamento italiano, è attribuita una funzione nomofilattica con riferimento alla normativa europea; per tutti i lettori che non fossero familiari con il termine, per nomofilachia si intende la garanzia dell’uniforme interpretazione della legge e del diritto oggettivo all’interno di un ordinamento giuridico, funzione che viene generalmente affidata alla più alta giurisdizione all’interno dello stesso ordinamento (quindi, nel caso di specie, alla Corte di Giustizia dell’Unione Europea).

Ciò significa che la pronuncia della Corte fornisce una vera e propria linea guida per l’interpretazione, nel caso di specie, dell’art. 9 del GDPR che dovrà essere abbracciata e seguita da tutti gli organi giudiziari degli Stati Membri e che garantirà certamente una maggiore attenzione alla tutela della riservatezza dei cittadini dell’unione estendendo il novero delle situazioni tutelate.

Anche le organizzazioni che trattano dati personali dovranno rivalutare i propri trattamenti alla luce di questa sentenza: se i principi ivi affermati difficilmente avranno dirette conseguenze per i “piccoli” titolari, le società e gli enti che trattano grandi quantità di dati su larga scala dovranno necessariamente tenerne conto.

Condividi:

Share on facebook
Facebook
Share on twitter
Twitter
Share on linkedin
LinkedIn
Share on whatsapp
WhatsApp
Share on telegram
Telegram
Share on email
Email
Torna su