Conclusiones del Abogado General Sr. P. Pikamäe, presentadas el 16 de marzo de 2023.

• Jurisdiction: European Union
• Celex Number: 62022CC0026
• ECLI: ECLI:EU:C:2023:222
• Date: 16 March 2023
• Court: Court of Justice (European Union)

Edizione provvisoria

CONCLUSIONI DELL’AVVOCATO GENERALE

PRIIT PIKAMÄE

presentate il 16 marzo 2023 (1)

Cause riunite C‑26/22 e C‑64/22

UF (C‑26/22)

AB (C‑64/22)

contro

Land Hessen,

con l’intervento di

SCHUFA Holding AG

[domanda di pronuncia pregiudiziale proposta dal Verwaltungsgericht Wiesbaden (Tribunale amministrativo di Wiesbaden, Germania)]

«Rinvio pregiudiziale – Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento (UE) 2016/679 – Articolo 6, paragrafo 1, primo comma, lettera f) – Liceità del trattamento – Articolo 17, paragrafo 1, lettera d) – Diritto alla cancellazione in caso di trattamento illecito di dati personali – Articolo 40 – Codici di condotta – Articolo 77, paragrafo 1 – Diritto di proporre reclamo – Articolo 78, paragrafo 1 – Diritto a un ricorso giurisdizionale effettivo nei confronti dell’autorità di controllo – Articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione europea – Decisione adottata dall’autorità di controllo su un reclamo – Portata del controllo giurisdizionale su detta decisione – Agenzie private di valutazione del credito – Conservazione di dati provenienti da un registro pubblico – Interesse legittimo – Durata della conservazione»

I. Introduzione

1. Le presenti domande di pronuncia pregiudiziale, proposte dal Verwaltungsgericht Wiesbaden (Tribunale amministrativo di Wiesbaden, Germania) ai sensi dell’articolo 267 TFUE, vertono sull’interpretazione degli articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione europea (in prosieguo: la «Carta») e dell’articolo 6, paragrafo 1, primo comma, lettera f), dell’articolo 17, paragrafo 1, lettera d), dell’articolo 40, dell’articolo 77, paragrafo 1, e dell’articolo 78, paragrafo 1, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (2) (in prosieguo: il «RGPD»).

2. Le domande di cui trattasi si inseriscono nell’ambito di due controversie che oppongono, la prima, UF (causa C‑26/22) e, la seconda, AB (causa C‑64/22) al Land Hessen (Land Assia, Germania), rappresentato dall’Hessischer Beauftragter für Datenschutz und Informationsfreiheit (commissario per la protezione dei dati e la libertà d’informazione del Land Assia; in prosieguo: l’«HBDI»), con riferimento alle richieste presentate rispettivamente da UF e AB all’HBDI di intervenire ai fini della cancellazione di un’iscrizione di un’esdebitazione presso la SCHUFA Holding AG (in prosieguo: la «SCHUFA»).

3. Le due cause sollevano diverse questioni giuridiche inedite vertenti, in particolare, sulla natura giuridica della decisione adottata dall’autorità di controllo adita mediante reclamo, nonché sulla portata del controllo giurisdizionale che il giudice può esercitare nel quadro di un ricorso proposto avverso una siffatta decisione. Dette cause vertono altresì sulla questione della liceità della conservazione, presso agenzie di valutazione del credito, di dati personali provenienti da registri pubblici.

II. Contesto normativo

A. Diritto dell’Unione

1. Regolamento (UE) 2015/848

4. Ai sensi dell’articolo 79, paragrafi 4 e 5, del regolamento (UE) 2015/848 del Parlamento europeo e del Consiglio, del 20 maggio 2015, relativo alle procedure di insolvenza (3):

«4. Gli Stati membri sono responsabili, ai sensi della direttiva 95/46/CE [del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU 1995, L 281, pag. 31)], della raccolta e della conservazione dei dati nelle banche dati nazionali e delle decisioni prese per rendere tali dati disponibili nel registro interconnesso consultabile attraverso il portale europeo della giustizia elettronica.

5. Nel quadro dell’informativa agli interessati volta a consentire a questi ultimi di esercitare i loro diritti, in particolare il diritto alla cancellazione dei dati, gli Stati membri informano gli interessati del periodo di accessibilità fissato per i dati personali conservati nei registri fallimentari».

2. Il RGPD

5. L’articolo 5 del RGPD dispone, al suo paragrafo 1, quanto segue:

«I dati personali sono:

(...)

b) raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità; (...) (“limitazione della finalità”);

(...)».

6. L’articolo 6 del regolamento di cui trattasi prevede, al suo paragrafo 1:

«Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni:

(...)

f) il trattamento è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali, in particolare se l’interessato è un minore (...)

(...)».

7. L’articolo 17 del RGPD, al suo paragrafo 1, così dispone:

«L’interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l’obbligo di cancellare senza ingiustificato ritardo i dati personali, se sussiste uno dei motivi seguenti:

(...)

c) l’interessato si oppone al trattamento ai sensi dell’articolo 21, paragrafo 1, e non sussiste alcun motivo legittimo prevalente per procedere al trattamento, oppure si oppone al trattamento ai sensi dell’articolo 21, paragrafo 2;

d) i dati personali sono stati trattati illecitamente;

(...)».

8. L’articolo 21 del suddetto regolamento prevede, al suo paragrafo 1:

«L’interessato ha il diritto di opporsi in qualsiasi momento, per motivi connessi alla sua situazione particolare, al trattamento dei dati personali che lo riguardano ai sensi dell’articolo 6, paragrafo 1, lettere e) o f), compresa la profilazione sulla base di tali disposizioni. Il titolare del trattamento si astiene dal trattare ulteriormente i dati personali salvo che egli dimostri l’esistenza di motivi legittimi cogenti per procedere al trattamento che prevalgono sugli interessi, sui diritti e sulle libertà dell’interessato oppure per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria».

9. L’articolo 40 del medesimo regolamento enuncia quanto segue:

«1. Gli Stati membri, le autorità di controllo, il comitato e la Commissione incoraggiano l’elaborazione di codici di condotta destinati a contribuire alla corretta applicazione del presente regolamento, in funzione delle specificità dei vari settori di trattamento e delle esigenze specifiche delle micro, piccole e medie imprese.

2. Le associazioni e gli altri organismi rappresentanti le categorie di titolari del trattamento o responsabili del trattamento possono elaborare i codici di condotta, modificarli o prorogarli, allo scopo di precisare l’applicazione del presente regolamento, ad esempio relativamente a:

a) il trattamento corretto e trasparente dei dati;

b) i legittimi interessi perseguiti dal responsabile del trattamento in contesti specifici;

c) la raccolta dei dati personali;

(...)

5. Le associazioni e gli altri organismi di cui al paragrafo 2 del presente articolo che intendono elaborare un codice di condotta o modificare o prorogare un codice esistente sottopongono il progetto di codice, la modifica o la proroga all’autorità di controllo competente ai sensi dell’articolo 55. L’autorità di controllo esprime un parere sulla conformità al presente regolamento del progetto di codice, della modifica o della proroga e approva tale progetto, modifica o proroga, se ritiene che offra in misura sufficiente garanzie adeguate.

(...)».

10. L’articolo 77 del RGPD prevede, al suo paragrafo 1, quanto segue:

«Fatto salvo ogni altro ricorso amministrativo o giurisdizionale, l’interessato che ritenga che il trattamento che lo riguarda violi il presente regolamento ha il diritto di proporre reclamo a un’autorità di controllo, segnatamente nello Stato membro in cui risiede abitualmente, lavora oppure del luogo ove si è verificata la presunta violazione».

11. L’articolo 78 di detto regolamento così dispone:

«1. Fatto salvo ogni altro ricorso amministrativo o extragiudiziale, ogni persona fisica o giuridica ha il diritto di proporre un ricorso giurisdizionale effettivo avverso una decisione giuridicamente vincolante dell’autorità di controllo che la riguarda.

2. Fatto salvo ogni altro ricorso amministrativo o extragiudiziale, ciascun interessato ha il diritto di proporre un ricorso giurisdizionale effettivo qualora l’autorità di controllo che sia competente ai sensi degli articoli 55 e 56 non tratti un reclamo o non lo informi entro tre mesi dello stato o dell’esito del reclamo proposto ai sensi dell’articolo 77.

(...)».

B. Diritto tedesco

12. L’articolo 9 dell’Insolvenzordnung (legge sulle procedure di insolvenza), nella versione vigente all’epoca dei fatti oggetto dei procedimenti principali, dispone, al suo paragrafo 1, quanto segue:

«La pubblicazione ufficiale avviene mediante pubblicazione su Internet a livello centrale per tutti i Länder; può essere effettuata per estratto. Il debitore deve essere identificato con precisione, in particolare indicando il suo indirizzo e il suo settore di attività. La pubblicazione si considera perfezionata una volta decorsi altri due giorni da quello in cui è stata effettuata».

13. L’articolo 3 della Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet (regolamento sulle pubblicazioni nelle procedure d’insolvenza su Internet; in prosieguo: l’«InsBekV») enuncia, ai suoi paragrafi 1 e 2, quanto segue:

«1) La pubblicazione in un sistema elettronico di informazione e comunicazione dei dati relativi a una procedura d’insolvenza...