Privacy, direttiva ue self-executing e senza ''aggiunte'' nazionali
La Corte UE ha stabilito che gli Stati membri non possono aggiungere né nuovi principi relativi alla legittimità del trattamento dei dati personali all. art. 7 della direttiva 95/46, né requisiti supplementari rispetto ai principi previsti al riguardo dalla direttiva comunitaria.
Inoltre, secondo la Corte di Giustizia UE, tale norma gode di efficacia diretta, quindi senza la necessità di trasposizione dei precetti comunitari nell’ordinamento nazionale
Il decisum
La Corte con la recente sentenza 24 novembre 2011 si sofferma sull’interpretazione dell’art. 7, lett. f), della direttiva 95/46/CE, stabilendo che gli Stati membri non possono aggiungere nè nuovi principi relativi alla legittimità del trattamento dei dati personali all’art. 7 della direttiva 95/46, né requisiti supplementari rispetto ai principi previsti al riguardo dalla direttiva comunitaria.
Inoltre, secondo la Corte di Giustizia UE, tale norma gode di efficacia diretta, quindi senza la necessità di trasposizione dei precetti comunitari nell’ordinamento nazionale.
Al riguardo, la Corte ha ripreso un suo costante orientamento, in base al quale in tutti i casi in cui le disposizioni di una direttiva comunitaria si presentano, dal punto di vista sostanziale, incondizionate e sufficientemente precise, possono essere invocate dai singoli dinanzi ai giudici nazionali nei confronti dello Stato nazionale.
Ciò sempre che il medesimo Stato nazionale non abbia recepito nei termini stabiliti dal diritto comunitario tale direttiva nel diritto interno o – più semplicemente - non l’abbia recepita correttamente (v. sentenza 3 marzo 2011, causa C 203/10, Auto Nikolovi).
Ebbene, come osserva la CGCE - l’art. 7, lett. f), della direttiva UE 95/46 è una disposizione sufficientemente precisa per poter essere fatta valere da un singolo ed applicata dai giudici nazionali. Vediamo ora l’argomentazione giuridica della Corte di Giustizia UE.
L’argomentazione giuridica della Corte di Giustizia
La Corte considera il divario nei livelli di tutela dei diritti e delle libertà personali, in particolare della vita privata, garantiti negli Stati membri relativamente al trattamento di dati personali e che quest’ultimo amministrazioni che intervengono nell’applicazione del diritto comunitario, e che detto divario nel grado di tutela deriva dalla diversità delle disposizioni legislative, regolamentari ed amministrative nazionali.
Per eliminare gli ostacoli alla circolazione dei dati personali, il livello di tutela dei diritti e delle libertà delle persone relativamente al trattamento di tali dati deve essere equivalente in tutti gli Stati membri.
L’instaurazione e il funzionamento del mercato interno – stabilisce la Corte comunitaria - possono essere gravemente perturbati dalla mancanza di uniformità sussitente tra i regimi nazionali applicabili al trattamento dei dati personali (v. sentenza 6 novembre 2003, causa C 101/01, Lindqvist). In quest’ottica, l’intervento dell’UE è necessario e non meramente opportuno, ai fini di un ravvicinamento delle legislazioni Nell’impostazione della giurisprudenza comunitaria, punto di riferimento normativo è costituito dall’art. 7 della direttiva UE 95/46, secondo il quale gli Stati membri dispongono che il trattamento di dati personali può essere effettuato soltanto quando:
a. La persona interessata ha manifestato il proprio consenso in maniera inequivocabile, o anche quando f) è necessario per il perseguimento dell’interesse legittimo del responsabile del trattamento oppure del o dei terzi cui vengono comunicati i dati, a condizione che non prevalgano l’interesse o i diritti e le libertà fondamentali della persona interessata, che richiedono tutela ai sensi dell’art. 1, paragrafo 1».
Inoltre, la Corte CGCE fa riferimento all’art. 13, n. 1, di tale direttiva UE, disciplinante alcune ipotesi di esenzione dall’obbligo di acquisizione del consenso, secondo cui gli Stati membri possono adottare disposizioni legislative intese a limitare la portata degli obblighi e dei diritti previsti dal diritto comunitario qualora tale restrizione costituisca una misura necessaria alla salvaguardia: della sicurezza dello Stato; della difesa; della pubblica sicurezza; della prevenzione, della ricerca, dell’accertamento e del perseguimento di
infrazioni penali o di violazioni della deontologia delle professioni regolamentate; di un rilevante interesse economico o finanziario di uno Stato membro o dell’Unione europea, anche in materia monetaria, di bilancio e tributaria; della protezione della persona interessata o dei diritti e delle libertà altrui.
È interessante osservare che, in base a quanto stabilito dalla pronuncia in questione, un fondamentale obiettivo dell’UE consiste nel garantire un livello di protezione equivalente in tutti gli Stati membri, e da questo medesimo obiettivo, conseguentemente ne deriva che l’art. 7 della direttiva 95/46 prevede un elenco esaustivo dei casi in cui il trattamento dei dati personali può essere considerato lecito.
Esemplificando, conseguentemente a ciò, gli Stati membri non possono aggiungere nè nuovi principi relativi alla legittimità del trattamento dei dati personali all’art. 7 della direttiva 95/46, né requisiti supplementari rispetto ai principi previsti al riguardo dalla direttiva comunitaria.
Secondo il giudizio condivisibile della Corte comunitaria, l’interpretazione in questione va ritenuta in armonia anche con l’art. 5 della direttiva 95/46. Infatti, tale articolo autorizza gli Stati membri soltanto a precisare, nei limiti dell’art. 7 della stessa, le condizioni di liceità del trattamento dei dati personali.
Il potere discrezionale degli Stati Nazionali e suoi limiti
Il giudice comunitario si preoccupa di evidenziare il concetto di discrezionalità attribuita agli Stati nazionali ex art. 5 della direttiva UE nell’applicazione della norma relativa alla legittimità del trattamento dei dati personali.
Ebbene,come sottolinea la CGCE, tale potere discrezionale può essere utilizzato soltanto in conformità all’obiettivo perseguito dalla direttiva 95/46, consistente nel mantenere l’equilibrio tra la libera circolazione dei dati personali e la tutela della vita privata (v. sentenza Lindqvist, punto 97).
La sentenza individua due possibili tipi di norme nazionali tese a disciplinare la legittimità del trattamento dei dati personali, dei quali si dà una duplice diversa valutazione in termini di legittimità comunitaria (avendo cioè il diritto comunitario come parametro di riferimento):
1. Quelle che prevedono requisiti supplementari che modificano la portata di un principio previsto all’art. 7 della direttiva 95/46, da ritenersi vietati e quindi illegittimi;
2. Quelle che invece prevedono la semplice precisazione di uno di tali principi, e quindi legittimi.
Le condizioni di liceità del trattamento dati
Alla luce di ciò, il giudice comunitario prende in considerazione il disposto dell’art. 7, lett. f), evidenziando come tale norma preveda 2 condizioni cumulative, e quindi necessariamente indefettibili quanto contestuali, perché il trattamento dei dati personali sia lecito:
1. Il trattamento dei dati personali deve essere necessario alla realizzazione dell’interesse legittimo perseguito dal responsabile del trattamento (rectius: del titolare) oppure dal terzo al quale tali dati vengono comunicati;
2. Occorre, inoltre, che nella fattispecie sulle legittime esigenze del titolare non prevalgono i diritti e le libertà fondamentali della persona interessata.
Per quanto riguarda il trattamento di dati personali, così come osserva la CGCE, è illegittima quella normativa nazionale che, in assenza del consenso da parte della persona interessata, prescriva - oltre alle due condizioni cumulative di cui sopra - requisiti supplementari.
La Corte, tuttavia, precisa che la seconda di tali condizioni richiede una ponderazione case by case dei contrapposti diritti e interessi in gioco che dipende dalle circostanze concrete, anche sulla base del parametro di tipo “costituzionale” costituito dalla Carta dei diritti fondamentali dell’Unione europea.
Il parametro ermeneutico della Carta dei diritti fondamentali dell’Unione europea
ln particolare la pronuncia fa riferimento a due norme:
1. l’art. 8, n. 1: «ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano»;
2. l’art. 7 che sancisce il connesso diritto al rispetto della vita privata.
Inoltre, gli Stati nazionali possono/devono adottare un’interpretazione della normativa applicabile che consenta loro di garantire il giusto equilibrio tra i diversi diritti e le libertà fondamentali protetti dall’ordinamento giuridico dell’UE.
La rilevanza della fonte dei dati personali trattati
Come stabilisce la recente pronuncia del giudice comunitario, va considerata, secondo un’ottica condivisibile, anche che la gravità della violazione dei diritti fondamentali della persona interessata da tale trattamento dati può (rectius: deve) variare a seconda della fonte dei dati personali trattati.
Ma in che senso?
Anche in tal caso la risposta al quesito pare di agevole formulazione.
Il trattamento non consensato dei dati rinvenuti in fonti diverse da quelle accessibili al pubblico costituisce una violazione più grave ai sensi della normativa in materia di protezione di dati personali.
Violazione di cui necessariamente bisogna tener conto al momento dell’individuazione e valutazione dell’interesse legittimo perseguito dal responsabile del trattamento oppure dal terzo al quale i dati vengono comunicati.
Sentenza della Corte (Terza Sezione) 24 novembre 2011