2 marzo 2023 (*1)
«Rinvio pregiudiziale – Tutela dei dati personali – Regolamento (UE) 2016/679 – Articolo 6, paragrafi 3 e 4 – Liceità del trattamento – Produzione di un documento contenente dati personali nell’ambito di un procedimento giurisdizionale civile – Articolo 23, paragrafo 1, lettere f) e j) – Salvaguardia dell’indipendenza della magistratura e dei procedimenti giudiziari – Esecuzione delle azioni civili – Requisiti da rispettare – Presa in considerazione dell’interesse delle persone di cui trattasi – Ponderazione dei contrapposti interessi in gioco – Articolo 5 – Minimizzazione dei dati personali – Carta dei diritti fondamentali dell’Unione europea – Articolo 7 – Diritto al rispetto della vita privata – Articolo 8 – Diritto alla protezione dei dati personali – Articolo 47 – Diritto a una tutela giurisdizionale effettiva – Principio di proporzionalità»
Nella causa C‑268/21,
avente ad oggetto la domanda di pronuncia pregiudiziale proposta alla Corte, ai sensi dell’articolo 267 TFUE, dallo Högsta domstolen (Corte suprema, Svezia), con decisione del 15 aprile 2021, pervenuta in cancelleria il 23 aprile 2021, nel procedimento
Norra Stockholm Bygg AB
contro
Per Nycander AB,
con l’intervento di:
Entral AB,
LA CORTE (Terza Sezione),
composta da K. Jürimäe, presidente di sezione, M.L. Arastey Sahún, N. Piçarra, N. Jääskinen (relatore) e M. Gavalec, giudici,
avvocato generale: T. Ćapeta
cancelliere: C. Strömholm, amministratrice
vista la fase scritta del procedimento e in seguito all’udienza del 27 giugno 2022,
considerate le osservazioni presentate:
sentite le conclusioni dell’avvocato generale, presentate all’udienza del 6 ottobre 2022,
ha pronunciato la seguente
1La domanda di pronuncia pregiudiziale verte sull’interpretazione dell’articolo 6, paragrafi 3 e 4, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) ( GU 2016, L 119, pag. 1 ; in prosieguo: il «RGPD»).
2Tale domanda è stata presentata nell’ambito di una controversia tra la Norra Stockholm Bygg AB (in prosieguo: la «Fastec») e la Per Nycander AB (in prosieguo: la «Nycander») in merito a una richiesta di comunicazione del registro elettronico del personale della Fastec che aveva eseguito lavori per la Nycander, al fine di determinare l’importo dei lavori per i quali quest’ultima doveva corrispondere la retribuzione.
3I considerando 1, 2, 4, 20, 26, 45 e 50 del RGPD sono così formulati:
«(1)
La protezione delle persone fisiche con riguardo al trattamento dei dati di carattere personale è un diritto fondamentale. L’articolo 8, paragrafo 1, della Carta dei diritti fondamentali dell’Unione europea [in prosieguo: la “Carta”] e l’articolo 16, paragrafo 1, [TFUE] stabiliscono che ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano.
(...)
(...)
(...)
(...)
(...)
Ove l’interessato abbia prestato il suo consenso o il trattamento si basi sul diritto dell’Unione o degli Stati membri che costituisce una misura necessaria e proporzionata in una società democratica per salvaguardare, in particolare, importanti obiettivi di interesse pubblico generale, il titolare del trattamento dovrebbe poter sottoporre i dati personali a ulteriore trattamento a prescindere dalla compatibilità delle finalità. In ogni caso, dovrebbe essere garantita l’applicazione dei principi stabiliti dal presente regolamento, in particolare l’obbligo di informare l’interessato di tali altre finalità e dei suoi diritti, compreso il diritto di opporsi. (...)».
4L’articolo 2 di tale regolamento, intitolato «Ambito di applicazione materiale», prevede quanto segue:
«1. Il presente regolamento si applica al trattamento interamente o parzialmente automatizzato di dati personali e al trattamento non automatizzato di dati personali contenuti in un archivio o destinati a figurarvi.
2Il presente regolamento non si applica ai trattamenti di dati personali:
3Per il trattamento dei dati personali da parte di istituzioni, organi, uffici e agenzie dell’Unione, si applica il regolamento (CE) n. 45/2001 [del Parlamento europeo e del Consiglio, del 18 dicembre 2000, concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonché la libera circolazione di tali dati ( GU 2001, L 8, pag. 1 )]. Il regolamento [n. 45/2001] e gli altri atti giuridici dell’Unione applicabili a tale trattamento di dati personali devono essere adeguati ai principi e alle norme del presente regolamento conformemente all’articolo 98».
5Ai sensi dell’articolo 4 di detto regolamento:
«Ai fini del presente regolamento s’intende per:
(...)
(...)
(...)».
6L’articolo 5 del medesimo regolamento, intitolato «Principi applicabili al trattamento di dati personali», al paragrafo 1 così recita:
«I dati personali sono:
(...)».
7L’articolo 6 del RGPD, intitolato «Liceità del trattamento», prevede quanto segue:
«1. Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni:
(...)
(...)
(...)
3La base su cui si fonda il trattamento dei dati di cui al paragrafo 1, lettere c) ed e), deve essere stabilita:
La finalità del trattamento è determinata in tale base giuridica o, per quanto riguarda il trattamento di cui al paragrafo 1, lettera e), è necessaria per l’esecuzione di un compito svolto nel pubblico interesse o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento. (...) Il diritto dell’Unione o degli Stati membri persegue un obiettivo di interesse pubblico ed è proporzionato all’obiettivo legittimo perseguito.
4Laddove il trattamento per una finalità diversa da quella per la quale i dati personali sono stati raccolti non sia basato sul consenso dell’interessato o su un atto legislativo dell’Unione o degli Stati membri che costituisca una misura necessaria e proporzionata in una società democratica per la salvaguardia degli obiettivi di cui all’articolo 23, paragrafo 1, al fine di verificare se il trattamento per un’altra finalità sia compatibile con la finalità per la quale i dati personali sono stati inizialmente raccolti, il titolare del trattamento tiene conto, tra l’altro:
(...)».
8L’articolo 23 di tale regolamento, intitolato «Limitazioni», così dispone:
«1. Il diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento o il responsabile del trattamento può limitare, mediante misure legislative, la portata degli obblighi e dei diritti di cui agli articoli da 12 a 22 e 34, nonché all’articolo 5, nella misura in cui le disposizioni ivi contenute corrispondano ai diritti e agli obblighi di cui agli articoli da 12 a 22, qualora tale limitazione rispetti l’essenza dei diritti e delle libertà fondamentali e sia una misura necessaria e proporzionata in una società democratica per salvaguardare:
(...)
(...)
(...)».
9La prova documentale è disciplinata dalle disposizioni del capo 38 del rättegångsbalken (codice di procedura; in prosieguo: il «RB»).
10Ai sensi dell’articolo 2, primo comma, del capo 38 del RB, chiunque sia in possesso di un documento che possa essere considerato dotato di valore probatorio è tenuto a produrlo.
11Deroghe a tale obbligo di produzione sono previste, tra l’altro, al secondo comma di tale articolo. L’esercizio di talune funzioni esonera da detto obbligo se si può presumere che il soggetto che detiene il documento non possa essere sentito come testimone sul contenuto di quest’ultimo. Tale deroga riguarda gli avvocati, i medici, gli psicologi, i preti e qualsiasi altra persona a cui siano state comunicate informazioni in via riservata nell’ambito dell’esercizio delle sue funzioni o in circostanze analoghe. La portata di detto obbligo corrisponde quindi all’obbligo di testimoniare in giudizio.
12Se una persona è tenuta a produrre un documento come mezzo di prova, il tribunale, conformemente all’articolo 4 del capo 38 del RB, può ordinare all’interessato di produrlo.
13In forza degli articoli da 11 a a 11 c del capo 39 della skatteförfarandelagen (2011:1244) [legge (2011:1244) sui procedimenti tributari], chiunque eserciti un’attività edilizia ha l’obbligo, in taluni casi, di tenere un registro elettronico del personale. Tale registro raccoglie i dati identificativi necessari delle persone che partecipano a tale attività economica. Detto obbligo incombe al committente, il quale può tuttavia delegarlo ad un operatore indipendente. Ai sensi dell’articolo 12 del capo 39 di tale legge, il registro del personale deve essere tenuto a disposizione dell’amministrazione finanziaria svedese.
14I dati che devono essere registrati nel registro del personale sono precisati all’articolo 5 del capo 9 del skatteförfarandeförordningen (2011:1261) [regolamento (2011:1261) sui procedimenti tributari]. Si tratta, in particolare, del nome e del numero nazionale di identificazione di ogni persona che partecipi all’attività economica nonché degli orari di inizio e di fine servizio.
15La Fastec ha costruito per la Nycander uno stabile adibito a uffici. Le persone che hanno lavorato nel cantiere edile in questione hanno registrato la loro presenza attraverso un registro elettronico del personale. Tale registro del personale era fornito dalla società Entral AB, che agiva per conto della Fastec.
16La Fastec ha proposto ricorso dinanzi al tingsrätt (Tribunale di primo grado, Svezia) vertente sulla retribuzione dei lavori eseguiti. Nell’ambito di tale ricorso, la Fastec ha chiesto alla Nycander il pagamento di una somma corrispondente, secondo la Fastec, al saldo ancora dovuto dalla Nycander. Quest’ultima società si è opposta alla domanda della Fastec, sostenendo, tra l’altro, che il numero di ore di lavoro del personale della Fastec fosse inferiore a quello indicato in tale domanda.
17Dinanzi a tale giudice, la Nycander ha chiesto di ordinare alla Entral di produrre il registro del personale della Fastec per il periodo compreso tra il 1 o agosto 2016 e il 30 novembre 2017, in via principale, senza procedere all’oscuramento dei dati, e, in subordine, con l’oscuramento dei numeri nazionali di identificazione delle persone interessate. A sostegno di tale domanda, la Nycander ha affermato che la Entral deteneva detto registro del personale e che quest’ultimo avrebbe potuto costituire una prova importante ai fini della decisione sul ricorso della Fastec, in quanto i dati contenuti nel suddetto registro del personale avrebbero consentito di provare le ore di lavoro del personale della Fastec.
18La Fastec si è opposta a tale domanda sostenendo, in via principale, che quest’ultima era contraria all’articolo 5, paragrafo 1, lettera b), del RGPD. Il registro del personale della Fastec conterrebbe dati personali raccolti ai fini del controllo dell’attività di tale società da parte dell’amministrazione finanziaria svedese e non sarebbe conforme a tale obiettivo di divulgare tali dati dinanzi al giudice.
19Il tingsrätt (Tribunale di primo grado) ha ordinato alla Entral di produrre, senza procedere all’oscuramento dei dati, il registro del personale della Fastec per il personale attivo sul cantiere di cui trattasi nel procedimento principale durante il periodo in esame. Lo Svea hovrätt (Corte d’appello di Stoccolma, Svezia) ha confermato la decisione pronunciata dal tingsrätt (Tribunale di primo grado).
20La Fastec ha impugnato la decisione dello Svea hovrätt (Corte d’appello di Stoccolma) dinanzi al giudice del rinvio, lo Högsta domstolen (Corte suprema, Svezia), e ha chiesto di respingere la domanda della Nycander menzionata al punto 17 della presente sentenza.
21Il giudice del rinvio si chiede se occorra applicare e, se del caso, come debbano essere applicate le disposizioni del RGPD nel procedimento principale.
22Per quanto riguarda l’obbligo di produrre documenti, tale giudice osserva che dalla propria giurisprudenza relativa all’interpretazione delle disposizioni pertinenti del RB risulta che occorre ponderare la pertinenza degli elementi di prova di cui trattasi con l’interesse della controparte a non divulgare tali elementi. Esso precisa che, nell’ambito di tale ponderazione, non si tiene conto, in linea di principio, della natura privata delle informazioni contenute nel documento di cui trattasi o dell’interesse di altre persone ad avere accesso al contenuto di tale documento, al di là di quanto può risultare dalle deroghe specificamente previste dalla legislazione.
23Detto giudice precisa che l’obbligo previsto dal RB di produrre un documento sarebbe volto, in particolare, a consentire a chiunque abbia bisogno di un documento come elemento di prova di avervi accesso. Si tratterebbe, in definitiva, di garantire che i soggetti dell’ordinamento possano far valere i propri diritti qualora sussista un «legittimo interesse alla prova».
24In tale contesto, lo Högsta domstolen (Corte suprema) ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali:
«1)
Se l’articolo 6, paragrafi 3 e 4, del [RGPD] riguardi anche le norme processuali nazionali relative [all’obbligo di produzione di documenti].
25Con la sua prima questione, il giudice del rinvio chiede, in sostanza, se l’articolo 6, paragrafi 3 e 4, del RGPD debba essere interpretato nel senso che tale disposizione si applica, nell’ambito di un procedimento giurisdizionale civile, alla produzione come elemento di prova di un registro del personale contenente dati personali di terzi raccolti principalmente ai fini dei controlli fiscali.
26Al fine di rispondere a tale questione, occorre rilevare, in primo luogo, che l’articolo 2, paragrafo 1, del RGPD prevede che tale regolamento si applichi a qualsiasi «trattamento interamente o parzialmente automatizzato di dati personali e al trattamento non automatizzato di dati personali contenuti in un archivio o destinati a figurarvi», senza operare alcuna distinzione in base all’identità del responsabile del trattamento interessato. Ne consegue che, fatti salvi i casi menzionati all’articolo 2, paragrafi 2 e 3, il RGPD si applica alle operazioni di trattamento effettuate sia da soggetti privati sia dalle autorità pubbliche, comprese, come indicato al considerando 20 di quest’ultimo, le attività delle autorità giudiziarie, quali le autorità giurisdizionali (sentenza del 24 marzo 2022, Autoriteit Persoonsgegevens, C‑245/20 , EU:C:2022:216 , punto 25 ).
27In secondo luogo, ai sensi dell’articolo 4, punto 2, di tale regolamento, rientra nella definizione di «trattamento» di dati personali, tra l’altro, qualsiasi operazione compiuta con o senza l’ausilio di processi automatizzati e applicata a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l’uso, la comunicazione mediante trasmissione, la diffusione o qualsiasi altra forma di messa a disposizione.
28Ne consegue che costituiscono un trattamento di dati personali rientrante nell’ambito di applicazione ratione materiae del RGPD non solo la creazione e la tenuta del registro elettronico del personale (v., per analogia, sentenza del 30 maggio 2013, Worten, C‑342/12 , EU:C:2013:355 , punto 19 ), ma anche la produzione come elemento di prova di un documento, digitale o fisico, contenente dati personali, disposta da un’autorità giurisdizionale nell’ambito di un procedimento giurisdizionale [v., in tal senso, sentenza dell’8 dicembre 2022, Inspektor v Inspektorata kam Visshia sadeben savet (Finalità del trattamento di dati personali – Indagine penale), C‑180/21 , EU:C:2022:967 , punto 72 ].
29In terzo luogo, occorre sottolineare che qualsiasi trattamento di dati personali, compreso un trattamento effettuato dalle autorità pubbliche quali le autorità giurisdizionali, deve soddisfare le condizioni di liceità fissate dall’articolo 6 del RGPD.
30A tal riguardo, occorre rilevare, anzitutto, che, ai sensi dell’articolo 6, paragrafo 1, lettera e), del RGPD, il trattamento di dati personali è lecito se è necessario per l’esecuzione di un compito di interesse pubblico o di un compito connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento.
31Conformemente all’articolo 6, paragrafo 3, del RGPD, in combinato disposto con il considerando 45 di quest’ultimo, la base su cui si fonda il trattamento dei dati di cui all’articolo 6, paragrafo 1, lettera e), di tale regolamento deve essere stabilita dal diritto dell’Unione o dal diritto dello Stato membro cui è soggetto il titolare del trattamento. Inoltre, il diritto dell’Unione o il diritto degli Stati membri deve perseguire un obiettivo di interesse pubblico ed essere proporzionato all’obiettivo legittimo perseguito.
32Il combinato disposto dell’articolo 6, paragrafo 1, lettera e), del RGPD e dell’articolo 6, paragrafo 3, di tale regolamento richiede quindi una base giuridica, segnatamente nazionale, per il trattamento dei dati personali da parte dei titolari del trattamento che agiscono nell’esecuzione di un compito di interesse pubblico o di un compito connesso all’esercizio di pubblici poteri, come quelli svolti dalle autorità giurisdizionali quando esercitano le loro funzioni giurisdizionali.
33Inoltre, qualora il trattamento dei dati personali sia effettuato per un fine diverso da quello per il quale tali dati sono stati raccolti, dall’articolo 6, paragrafo 4, del RGPD, letto alla luce del considerando 50 di tale regolamento, risulta che un siffatto trattamento è consentito a condizione che esso sia basato, segnatamente, su un atto legislativo degli Stati membri e che esso costituisca una misura necessaria e proporzionata in una società democratica per la salvaguardia di uno degli obiettivi di cui all’articolo 23, paragrafo 1, del RGPD. Come indicato in tale considerando, al fine di salvaguardare tali importanti obiettivi di interesse pubblico generale, il titolare del trattamento può quindi sottoporre i dati personali a ulteriore trattamento a prescindere dalla compatibilità di tale trattamento con le finalità per cui i dati personali sono stati inizialmente raccolti.
34Nel caso di specie, le disposizioni pertinenti del capo 38 del RB, che prevedono l’obbligo di produrre un documento come elemento di prova e la possibilità per i giudici nazionali di ordinare la produzione di tale documento, costituiscono la base giuridica che funge da fondamento per il trattamento di dati personali. Sebbene tali disposizioni costituiscano, in linea di principio, una base giuridica sufficiente per autorizzare un siffatto trattamento, dalla decisione di rinvio emerge che tale base giuridica è diversa da quella costituita dalla legge sui procedimenti tributari, in base alla quale il registro del personale di cui trattasi nel procedimento principale è stato elaborato ai fini dei controlli fiscali. Inoltre, secondo il giudice del rinvio, l’obbligo di produzione previsto da tali disposizioni del RB è volto a consentire a chiunque abbia bisogno di un documento come elemento di prova di avervi accesso. Si tratta, a suo avviso, di garantire che il soggetto dell’ordinamento possa far valere i propri diritti qualora sussista un «legittimo interesse alla prova».
35Secondo il giudice del rinvio, dai lavori preparatori che hanno condotto alla legge sui procedimenti tributari emerge che i dati personali contenuti nel registro del personale mirano a consentire agli agenti dell’amministrazione finanziaria svedese di effettuare controlli incrociati durante le ispezioni in loco. L’obiettivo principale è quello di prevenire il lavoro nero e di creare condizioni di concorrenza più sane. Il trattamento dei dati personali è giustificato dalla necessità di adempiere l’obbligo legale al quale è soggetto il titolare del trattamento, vale a dire la tenuta di un registro del personale.
36Pertanto, occorre considerare che il trattamento di tali dati nell’ambito di un procedimento giurisdizionale, come quello di cui trattasi nel procedimento principale, costituisce un trattamento effettuato per una finalità diversa da quella per la quale i dati sono stati raccolti, vale a dire ai fini dei controlli fiscali, e che non è fondato sul consenso degli interessati, ai sensi dell’articolo 6, paragrafo 1, lettera a), del RGPD.
37In tali circostanze, il trattamento di dati personali per un fine diverso da quello per il quale tali dati sono stati raccolti deve non solo essere fondato sul diritto nazionale, come le disposizioni del capo 38 del RB, ma anche costituire una misura necessaria e proporzionata in una società democratica, ai sensi dell’articolo 6, paragrafo 4, del RGPD, per la salvaguardia di uno degli obiettivi di cui all’articolo 23, paragrafo 1, del RGPD.
38Tra tali obiettivi figura, conformemente alla lettera f) del paragrafo 1 dell’articolo 23 di tale regolamento, «la salvaguardia dell’indipendenza della magistratura e dei procedimenti giudiziari»; obiettivo che, come osservato dalla Commissione europea nelle sue osservazioni scritte, deve essere inteso come diretto alla tutela dell’amministrazione della giustizia contro ingerenze interne o esterne, ma anche alla buona amministrazione della giustizia. Peraltro, ai sensi del paragrafo 1, lettera j), di tale articolo, anche l’esecuzione delle azioni civili costituisce un obiettivo idoneo a giustificare un trattamento di dati personali per un fine diverso da quello per il quale sono stati raccolti. Non è quindi escluso che il trattamento di dati personali di terzi nell’ambito di un procedimento giurisdizionale civile possa fondarsi su tali obiettivi.
39Tuttavia, spetta al giudice del rinvio verificare se le disposizioni pertinenti del capo 38 del RB, da un lato, rispondano all’uno e/o all’altro di tali obiettivi e, dall’altro, siano necessarie e proporzionate a detti obiettivi, cosicché esse possono rientrare nei casi di trattamento di dati personali considerati leciti ai sensi delle disposizioni dell’articolo 6, paragrafi 3 e 4, del RGPD, in combinato disposto con l’articolo 23, paragrafo 1, lettere f) e j), dello stesso.
40A tal riguardo, è irrilevante che il trattamento di dati personali sia fondato su una disposizione del diritto nazionale sostanziale o procedurale, dato che le disposizioni dell’articolo 6, paragrafo 3, lettera b), e paragrafo 4, di tale regolamento non operano alcuna distinzione tra questi due tipi di disposizioni.
41Alla luce dell’insieme delle considerazioni sin qui svolte, occorre rispondere alla prima questione dichiarando che l’articolo 6, paragrafi 3 e 4, del RGPD deve essere interpretato nel senso che tale disposizione si applica, nell’ambito di un procedimento giurisdizionale civile, alla produzione come elemento di prova di un registro del personale contenente dati personali di terzi raccolti principalmente ai fini dei controlli fiscali.
42Con la sua seconda questione, il giudice del rinvio chiede, in sostanza, se gli articoli 5 e 6 del RGPD debbano essere interpretati nel senso che, nel valutare se debba essere disposta, nell’ambito di un procedimento giurisdizionale civile, la produzione di un documento contenente dati personali, il giudice nazionale è tenuto a prendere in considerazione gli interessi dei soggetti di cui trattasi. In caso affermativo, tale giudice chiede inoltre se il diritto dell’Unione, e in particolare il RGPD, imponga requisiti particolari riguardo alle modalità di tale valutazione.
43Anzitutto, occorre sottolineare che qualsiasi trattamento di dati personali, fatte salve le deroghe ammesse all’articolo 23 del RGPD, deve rispettare i principi applicabili al trattamento dei dati personali nonché i diritti dell’interessato enunciati rispettivamente ai capi II e III di tale regolamento. In particolare, qualsiasi trattamento di dati personali, da un lato, deve essere conforme ai principi enunciati all’articolo 5 di tale regolamento e, dall’altro, deve soddisfare le condizioni di liceità elencate all’articolo 6 del medesimo regolamento (v., in tal senso, sentenza del 6 ottobre 2020, La Quadrature du Net e a., C‑511/18, C‑512/18 e C‑520/18 , EU:C:2020:791 , punto 208 e giurisprudenza ivi citata).
44Nel caso di specie, il giudice del rinvio rileva che le disposizioni rilevanti del capo 38 del RB non richiedono esplicitamente che, nel valutare se debba essere disposta la produzione di un documento contenente dati personali, si tenga conto degli interessi delle persone dei cui dati si discute. Conformemente alla giurisprudenza nazionale, tali disposizioni richiederebbero soltanto un bilanciamento tra la rilevanza della prova e l’interesse della controparte a non divulgare le informazioni di cui trattasi.
45Come constatato al punto 39 della presente sentenza, poiché tali disposizioni di diritto nazionale riguardano la produzione di un documento come elemento di prova, esse possono rientrare nei casi di trattamento di dati personali considerati leciti ai sensi delle disposizioni dell’articolo 6, paragrafi 3 e 4, del RGPD, in combinato disposto con l’articolo 23, paragrafo 1, lettere f) e j), dello stesso. Ciò è vero nella misura in cui dette disposizioni, da un lato, mirano a garantire il corretto svolgimento del procedimento giurisdizionale garantendo che il soggetto dell’ordinamento possa far valere i propri diritti in presenza di un «legittimo interesse alla prova» e, dall’altro, sono necessarie e proporzionate a tale obiettivo.
46Infatti, dall’articolo 6, paragrafo 4, del RGPD risulta che siffatti trattamenti di dati personali sono leciti a condizione che costituiscano misure necessarie e proporzionate in una società democratica per la salvaguardia degli obiettivi di cui all’articolo 23 del RGPD che essi perseguono. Ne consegue che, al fine di procedere alla verifica di tali requisiti, un giudice nazionale è tenuto a prendere in considerazione gli interessi contrapposti in gioco quando valuta l’opportunità di ordinare la produzione di un documento contenente dati personali di terzi.
47A tal riguardo, occorre sottolineare che l’esito della ponderazione che il giudice nazionale deve effettuare può variare in funzione sia delle circostanze di ciascun caso di specie sia del tipo di procedimento di cui trattasi.
48Per quanto riguarda gli interessi in gioco nell’ambito di un procedimento giurisdizionale civile, il giudice nazionale, come risulta in particolare dai considerando 1 e 2 del RGPD, deve garantire la protezione delle persone fisiche con riguardo al trattamento dei dati personali, che è un diritto fondamentale sancito all’articolo 8, paragrafo 1, della Carta e all’articolo 16 TFUE. Tale giudice deve altresì garantire il diritto al rispetto della vita privata, sancito all’articolo 7 della Carta, che è strettamente connesso al diritto alla protezione dei dati personali.
49Tuttavia, come enunciato al considerando 4 del RGPD, il diritto alla protezione dei dati personali non è un diritto assoluto, ma va considerato alla luce della sua funzione sociale e va contemperato con altri diritti fondamentali, in ossequio al principio di proporzionalità, come il diritto a una tutela giurisdizionale effettiva, garantito dall’articolo 47 della Carta.
50Orbene, la produzione di un documento contenente dati personali di terzi nell’ambito di un procedimento giurisdizionale civile contribuisce, come rilevato in sostanza dall’avvocato generale al paragrafo 61 delle sue conclusioni, al rispetto di tale diritto a una tutela giurisdizionale effettiva.
51A tal riguardo, poiché l’articolo 47, secondo comma, della Carta corrisponde all’articolo 6, paragrafo 1, della Convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali, firmata a Roma il 4 novembre 1950, il suo significato e la sua portata, in forza dell’articolo 52, paragrafo 3, della Carta, sono uguali a quelli che la suddetta Convenzione conferisce a tale articolo 6, paragrafo 1.
52Secondo una giurisprudenza costante della Corte europea dei diritti dell’uomo, tenuto conto della posizione preminente che il diritto a un equo processo occupa in una società democratica, è essenziale che il soggetto dell’ordinamento abbia la possibilità di difendere utilmente la propria causa dinanzi a un tribunale e che benefici della parità delle armi con la sua controparte [v., in tal senso, Corte EDU, 24 giugno 2022, Zayidov c. Azerbaïdjan (N. 2), CE:ECHR:2022:0324JUD000538610, § 87 e giurisprudenza ivi citata]. Ne consegue, in particolare, che il soggetto dell’ordinamento deve poter beneficiare di un procedimento in contraddittorio e presentare, nelle diverse fasi di quest’ultimo, gli argomenti che ritiene rilevanti per la difesa della propria causa (Corte EDU, 21 gennaio 1999, García Ruiz c. Spagna, CE:ECHR:1999:0121JUD003054496, § 29).
53Pertanto, al fine di garantire che i singoli possano beneficiare di un diritto a una tutela giurisdizionale effettiva e, in particolare, di un diritto a un processo equo, ai sensi dell’articolo 47, secondo comma, della Carta, occorre considerare che le parti di un procedimento giurisdizionale civile devono essere in grado di accedere alle prove necessarie per dimostrare adeguatamente la fondatezza delle loro censure, che possono eventualmente includere dati personali delle parti o di terzi.
54Ciò premesso, come indicato al punto 46 della presente sentenza, la considerazione degli interessi in gioco rientra nell’ambito dell’esame della necessità e della proporzionalità della misura, che sono previste all’articolo 6, paragrafi 3 e 4, del RGPD e che condizionano la liceità del trattamento di dati personali. A tal riguardo, occorre quindi tenere conto anche dell’articolo 5, paragrafo 1, di quest’ultimo, e in particolare del principio della «minimizzazione dei dati» di cui alla lettera c) di tale disposizione, che dà espressione al principio di proporzionalità. Secondo tale principio di minimizzazione dei dati, i dati personali devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati [v., in tal senso, sentenza del 22 giugno 2021, Latvijas Republikas Saeima (Punti di penalità), C‑439/19 , EU:C:2021:504 , punto 98 e giurisprudenza ivi citata].
55Il giudice nazionale è pertanto tenuto a stabilire se la divulgazione dei dati personali sia adeguata e pertinente al fine di salvaguardare l’obiettivo perseguito dalle disposizioni applicabili del diritto nazionale e se tale obiettivo non possa essere realizzato ricorrendo a mezzi di prova meno invasivi rispetto alla protezione dei dati personali di un numero elevato di terzi quali, ad esempio, l’audizione di testimoni selezionati.
56Nel caso in cui la produzione del documento contenente dati personali risulti giustificata, da detto principio discende inoltre che, qualora solo una parte di tali dati appaia necessaria a fini probatori, il giudice nazionale deve prendere in considerazione l’adozione di misure supplementari in materia di protezione dei dati, quali la pseudonimizzazione, definita all’articolo 4, punto 5, del RGPD, dei nomi degli interessati o qualsiasi altra misura destinata a ridurre al minimo l’ostacolo al diritto alla protezione dei dati personali costituito dalla produzione di un tale documento. Siffatte misure possono comprendere, in particolare, la limitazione dell’accesso del pubblico al fascicolo o l’ordine alle parti a cui i documenti contenenti dati personali sono stati comunicati di non utilizzare tali dati per finalità diverse da quella della produzione della prova durante il procedimento giurisdizionale di cui trattasi.
57A tale riguardo, occorre precisare che dall’articolo 4, punto 5, del RGPD, in combinato disposto con il considerando 26 di tale regolamento, discende che i dati personali sottoposti a pseudonimizzazione e che potrebbero essere attribuiti a una persona fisica mediante l’utilizzo di ulteriori informazioni dovrebbero essere considerati informazioni su una persona fisica identificabile, alle quali si applicano i principi di protezione dei dati. Per contro, da tale considerando discende che tali principi non si applicano «a informazioni anonime, vale a dire informazioni che non si riferiscono a una persona fisica identificata o identificabile o a dati personali resi sufficientemente anonimi da impedire o da non consentire più l’identificazione dell’interessato».
58Ne consegue che un giudice nazionale può ritenere che i dati personali delle parti o di terzi debbano essergli comunicati al fine di poter ponderare, con piena cognizione di causa e nel rispetto del principio di proporzionalità, gli interessi in gioco. Tale valutazione può, se del caso, indurlo ad autorizzare la divulgazione completa o parziale alla controparte dei dati personali che gli sono stati così comunicati, qualora ritenga che una siffatta divulgazione non ecceda quanto necessario al fine di garantire l’effettivo godimento dei diritti che i soggetti dell’ordinamento traggono dall’articolo 47 della Carta.
59Alla luce dell’insieme delle considerazioni si qui svolte, si deve rispondere alla seconda questione dichiarando che gli articoli 5 e 6 del RGPD devono essere interpretati nel senso che, nel valutare se debba essere disposta la produzione di un documento contenente dati personali, il giudice nazionale è tenuto a prendere in considerazione gli interessi delle persone di cui trattasi e a ponderarli in funzione delle circostanze di ciascun caso di specie, del tipo di procedimento di cui trattasi e tenendo debitamente conto delle esigenze derivanti dal principio di proporzionalità e, in particolare, di quelle derivanti dal principio di minimizzazione dei dati di cui all’articolo 5, paragrafo 1, lettera c), di tale regolamento.
60Nei confronti delle parti nel procedimento principale la presente causa costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.
Per questi motivi, la Corte (Terza Sezione) dichiara:
deve essere interpretato nel senso che:
tale disposizione si applica, nell’ambito di un procedimento giurisdizionale civile, alla produzione come elemento di prova di un registro del personale contenente dati personali di terzi raccolti principalmente ai fini dei controlli fiscali.
devono essere interpretati nel senso che:
nel valutare se debba essere disposta la produzione di un documento contenente dati personali, il giudice nazionale è tenuto a prendere in considerazione gli interessi delle persone di cui trattasi e a ponderarli in funzione delle circostanze di ciascun caso di specie, del tipo di procedimento di cui trattasi e tenendo debitamente conto delle esigenze derivanti dal principio di proporzionalità e, in particolare, di quelle derivanti dal principio di minimizzazione dei dati di cui all’articolo 5, paragrafo 1, lettera c), di tale regolamento.
Firme
(*1) Lingua processuale: lo svedese.
Tekstas iš mūsų archyvo (Europos Sąjungos leidinių biuro „Cellar“ duomenys). Commission Decision 2011/833/EU — free reuse incl. commercial; attribution to EUR-Lex / Court of Justice of the European Union required; EUR-Lex is not the authentic record of the Court.