Opinion of Advocate General Pikamäe delivered on 22 February 2024.

• Jurisdiction: European Union
• Celex Number: 62022CC0693
• ECLI: ECLI:EU:C:2024:162
• Date: 22 February 2024
• Court: Court of Justice (European Union)

Edizione provvisoria

CONCLUSIONI DELL’AVVOCATO GENERALE

PRIIT PIKAMÄE

presentate il 22 febbraio 2024 (1)

Causa C‑693/22

I. sp. z o. o.

contro

M. W.

[domanda di pronuncia pregiudiziale proposta dal Sąd Rejonowy dla m.st. Warszawy w Warszawie (Tribunale circondariale della città di Varsavia, Polonia)]

«Rinvio pregiudiziale – Tutela dei dati personali – Regolamento (UE) 2016/679 – Vendita di una banca di dati contenente dati personali nell’ambito di un procedimento di esecuzione forzata – Articolo 4, punto 7 – Nozione di “titolare del trattamento” – Articolo 5, paragrafo 1, lettera b) – Limitazione della finalità – Articolo 6, paragrafi 1, 3 e 4 – Liceità del trattamento – Rispetto di un obbligo legale imposto al titolare del trattamento – Esecuzione di un compito di interesse pubblico – Articolo 23, paragrafo 1, lettera j) – Esecuzione delle azioni civili – Misura necessaria e proporzionata»

1. Può la vendita, nell’ambito di un procedimento di esecuzione forzata, di una banca di dati contenenti dati personali essere conforme alle disposizioni del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (in prosieguo: il «RGPD») (2), quando gli interessati non hanno acconsentito a una siffatta vendita?

2. Questo è il principale interrogativo sottoposto alla Corte dal Sąd Rejonowy dla m. st. Warszawy w Warszawie (Tribunale circondariale della città di Varsavia, Polonia) nell’ambito del presente rinvio pregiudiziale.

3. La Corte sarà così chiamata a esaminare una fattispecie particolare nel contesto del RGPD e a prendere posizione su taluni elementi chiave di detto regolamento, quali la nozione di «titolare del trattamento», la liceità del trattamento e la portata del principio di limitazione delle finalità.

Contesto normativo

Diritto dell’Unione

4. L’articolo 4 del RGPD prevede quanto segue:

«Ai fini del presente regolamento s’intende per:

1) “dato personale”: qualsiasi informazione riguardante una persona fisica identificata o identificabile («interessato»); (...)

2) “trattamento”: qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione;

(...)

7) “titolare del trattamento”: la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali; quando le finalità e i mezzi di tale trattamento sono determinati dal diritto dell’Unione o degli Stati membri, il titolare del trattamento o i criteri specifici applicabili alla sua designazione possono essere stabiliti dal diritto dell’Unione o degli Stati membri;

(...)».

5. L’articolo 5 di detto regolamento, rubricato «Principi applicabili al trattamento di dati personali», così dispone, ai suoi paragrafi 1 e 2:

«1. I dati personali sono:

a) trattati in modo lecito, corretto e trasparente nei confronti dell’interessato (“liceità, correttezza e trasparenza”);

b) raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità; (...)

c) adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati (“minimizzazione dei dati”);

(...).

2. Il titolare del trattamento è competente per il rispetto del paragrafo 1 e in grado di comprovarlo (“responsabilizzazione”)».

6. L’articolo 6 del regolamento di cui trattasi, intitolato «Liceità del trattamento», è così formulato:

«1. Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni:

a) l’interessato ha espresso il consenso al trattamento dei propri dati personali per una o più specifiche finalità;

(...)

c) il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento;

(...)

e) il trattamento è necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento;

(...).

3. La base su cui si fonda il trattamento dei dati di cui al paragrafo 1, lettere c) ed e), deve essere stabilita:

a) dal diritto dell’Unione; o

b) dal diritto dello Stato membro cui è soggetto il titolare del trattamento.

La finalità del trattamento è determinata in tale base giuridica o, per quanto riguarda il trattamento di cui al paragrafo 1, lettera e), è necessaria per l’esecuzione di un compito svolto nel pubblico interesse o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento (...). Il diritto dell’Unione o degli Stati membri persegue un obiettivo di interesse pubblico ed è proporzionato all’obiettivo legittimo perseguito.

4. Laddove il trattamento per una finalità diversa da quella per la quale i dati personali sono stati raccolti non sia basato sul consenso dell’interessato o su un atto legislativo dell’Unione o degli Stati membri che costituisca una misura necessaria e proporzionata in una società democratica per la salvaguardia degli obiettivi di cui all’articolo 23, paragrafo 1, al fine di verificare se il trattamento per un’altra finalità sia compatibile con la finalità per la quale i dati personali sono stati inizialmente raccolti, il titolare del trattamento tiene conto, tra l’altro:

a) di ogni nesso tra le finalità per cui i dati personali sono stati raccolti e le finalità dell’ulteriore trattamento previsto;

b) del contesto in cui i dati personali sono stati raccolti, in particolare relativamente alla relazione tra l’interessato e il titolare del trattamento;

c) della natura dei dati personali, specialmente se siano trattate categorie particolari di dati personali ai sensi dell’articolo 9, oppure se siano trattati dati relativi a condanne penali e a reati ai sensi dell’articolo 10;

d) delle possibili conseguenze dell’ulteriore trattamento previsto per gli interessati;

e) dell’esistenza di garanzie adeguate, che possono comprendere la cifratura o la pseudonimizzazione».

7. L’articolo 23, paragrafo 1, del RGPD, intitolato «Limitazioni», prevede quanto segue:

«1. Il diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento o il responsabile del trattamento può limitare, mediante misure legislative, la portata degli obblighi e dei diritti di cui agli articoli da 12 a 22 e 34, nonché all’articolo 5, nella misura in cui le disposizioni ivi contenute corrispondano ai diritti e agli obblighi di cui agli articoli da 12 a 22, qualora tale limitazione rispetti l’essenza dei diritti e delle libertà fondamentali e sia una misura necessaria e proporzionata in una società democratica per salvaguardare:

(...)

j) l’esecuzione delle azioni civili».

Diritto polacco

8. L’articolo 299 dell’ustawa Kodeks spółek handlowych (legge recante il codice delle società commerciali), del 15 settembre 2000 (Dz. U. del 2022, posizione 1467; in prosieguo: il «codice delle società commerciali»), è formulato come segue:

«§ 1. Se l’esecuzione nei confronti della società si rivela infruttuosa, i membri del consiglio di amministrazione sono responsabili in solido per le obbligazioni della stessa società.

§ 2. Il membro del consiglio di amministrazione può liberarsi dalla responsabilità di cui al paragrafo 1, se dimostra che è stata depositata tempestivamente un’istanza di fallimento o è stata emessa allo stesso tempo una decisione di avvio di un procedimento di ristrutturazione o di omologazione del concordato nell’ambito di un procedimento di omologazione di concordato o che la mancata presentazione dell’istanza di fallimento non è a lui imputabile, o che nonostante la mancata presentazione dell’istanza di fallimento e la mancata emissione della decisione di avvio di un procedimento di ristrutturazione o la mancata omologazione del concordato nell’ambito di un procedimento di omologazione di concordato, il creditore non ha subito alcun danno».

9. Ai sensi dell’articolo 796, paragrafo 1, dell’ustawa Kodeks postępowania cywilnego (legge recante il codice di procedura civile), del 17 novembre 1964 (Dz. U. del 2021, posizione 1805), come modificata (in prosieguo: il «codice di procedura civile»):

«La richiesta di avvio dell’esecuzione deve essere presentata al tribunale o all’ufficiale giudiziario, a seconda della competenza. La richiesta all’ufficiale giudiziario può essere presentata su un modulo ufficiale».

10. L’articolo 799, paragrafo 1, prima frase, del codice di procedura civile così dispone:

«Una domanda di esecuzione o una domanda di esecuzione d’ufficio consente di procedere all’esecuzione secondo tutti i metodi autorizzati, ad eccezione dell’esecuzione sui beni immobiliari. (…)».

11. L’articolo 824, paragrafo 1, punto 3, di tale codice è formulato come segue:

«L’estinzione completa o parziale del procedimento di esecuzione giudiziaria è dichiarata d’ufficio:

(…)

3) ove emerga chiaramente che l’esecuzione forzata non consentirà di recuperare un importo superiore ai costi di detta procedura».

12. L’articolo 831 di detto codice prevede quanto segue:

Ǥ 1. Non sono soggetti ad esecuzione forzata:

(...)

3) i diritti inalienabili, salvo qualora la loro alienabilità sia esclusa per contratto e l’oggetto della prestazione sia suscettibile di esecuzione forzata o qualora l’esercizio del diritto possa essere affidato a qualcun altro».

13. L’ustawa o komornikach sądowych (legge sugli ufficiali...