Protezione delle persone fisiche con riguardo al trattamento dei dati personali: la CGUE sulla nozione di «titolare del trattamento»

Con sentenza del 11 gennaio 2024, relativa alla causa C-231/22, la Corte di Giustizia dell’Unione Europea si è pronunciata sull’interpretazione dell’art. 4, punto 7, e dell’art.5, par. 2, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, (che abroga la direttiva 95/46/CE - regolamento generale sulla protezione dei dati) relativo alla protezione delle persone fisiche con riguardo al trattamento e alla libera circolazione dei dati personali. 

In forza dell’articolo 4, punto 7, del RGPD, la nozione di «titolare del trattamento» comprende le persone fisiche o giuridiche, le autorità pubbliche, i servizi o gli altri organismi che, singolarmente o insieme ad altri, determinano le finalità e i mezzi del trattamento di dati personali.

Detta disposizione enuncia anche che, quando le finalità e i mezzi di tale trattamento sono determinati segnatamente dal diritto degli Stati membri, il titolare del trattamento o i criteri specifici applicabili alla sua designazione possono essere stabiliti da tale diritto. 

Occorre sottolineare che la determinazione delle finalità e dei mezzi del trattamento e, se del caso, la designazione del titolare del trattamento da parte del diritto nazionale possono essere non solo esplicite, ma anche implicite. In quest’ultima ipotesi, è tuttavia richiesto che tale determinazione derivi in maniera sufficientemente certa dal ruolo, dalla funzione e dalle attribuzioni devoluti alla persona o all’entità interessata. 

Per questi motivi la Corte ha dichiarato che l’art.4 punto 7, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, deve essere interpretato nel senso che: il servizio o l’organismo responsabile della Gazzetta ufficiale di uno Stato membro – che è segnatamente tenuto, in forza della legislazione di tale Stato, a pubblicare tal quali atti e documenti ufficiali redatti da terzi sotto la loro responsabilità nel rispetto delle norme applicabili e che vengono poi depositati presso un’autorità giudiziaria che glieli trasmette per la pubblicazione – può, nonostante la sua mancanza di personalità giuridica, essere qualificato come «titolare del trattamento» dei dati personali contenuti in tali atti e documenti, qualora il diritto nazionale considerato determini le finalità e i mezzi del trattamento dei dati personali effettuato dalla suddetta Gazzetta ufficiale.

Inoltre, in forza dell’art. 5 par. 2, del RGPD, il titolare del trattamento è competente per il rispetto dei principi previsti sotto forma di obblighi al paragrafo 1 di tale articolo e deve essere in grado di comprovare che tali principi sono rispettati.

Nel caso di specie, il giudice del rinvio chiedeva se tale competenza spettasse unicamente al servizio o organismo responsabile della Gazzetta ufficiale o se incombesse cumulativamente a detto servizio o organismo e agli enti pubblici terzi che avevano previamente trattato i dati personali contenuti negli atti e documenti pubblicati.

Occorre ricordare che l’art. 26, par. 1, del RGPD prevede una contitolarità congiunta allorché due o più titolari del trattamento determinano congiuntamente le finalità e i mezzi. 

Tale disposizione enuncia anche che i contitolari del trattamento devono definire in modo trasparente, mediante un accordo interno, le rispettive responsabilità in merito all’osservanza degli obblighi derivanti da tale regolamento, a meno che e nella misura in cui le rispettive responsabilità siano determinate dal diritto dell’Unione o dello Stato membro cui essi sono soggetti. 

Alla luce di tali motivi, la Corte di Giustizia ha dichiarato che l’art. 5, par. 2, del RGPD, in combinato disposto con l’art. 4, punto 7 e l’art. 26, par. 1, di quest’ultimo, deve essere interpretato nel senso che: il servizio o l’organismo responsabile della Gazzetta ufficiale di uno Stato membro, qualificato come «titolare del trattamento», ai sensi dell’articolo 4, punto 7, del suddetto regolamento, è l’unico competente per il rispetto dei principi di cui all’articolo 5, paragrafo 1, del medesimo regolamento per quanto riguarda le operazioni di trattamento dei dati personali che è tenuto ad effettuare in forza del diritto nazionale, a meno che una contitolarità con altre entità in relazione a tali operazioni non derivi da tale diritto.