In tema di Tutela dei dati personali realativamente alla produzione di un documento contenente dati personali nell’ambito di un procedimento giurisdizionale civile la Corte di Giustizia dell’Unione europea ha dichiarato:
1) L’articolo 6, paragrafi 3 e 4, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), deve essere interpretato nel senso che: tale disposizione si applica, nell’ambito di un procedimento giurisdizionale civile, alla produzione come elemento di prova di un registro del personale contenente dati personali di terzi raccolti principalmente ai fini dei controlli fiscali.
2) Gli articoli 5 e 6 del regolamento 2016/679 devono essere interpretati nel senso che: nel valutare se debba essere disposta la produzione di un documento contenente dati personali, il giudice nazionale è tenuto a prendere in considerazione gli interessi delle persone di cui trattasi e a ponderarli in funzione delle circostanze di ciascun caso di specie, del tipo di procedimento di cui trattasi e tenendo debitamente conto delle esigenze derivanti dal principio di proporzionalità e, in particolare, di quelle derivanti dal principio di minimizzazione dei dati di cui all’articolo 5, paragrafo 1, lettera c), di tale regolamento.
Corte di Giustizia dell’Unione europea|Sezione 3 |Sentenza|2 marzo 2023| n. 268/21
Data udienza 6 ottobre 2022
SENTENZA DELLA CORTE
Terza Sezione
2 marzo 2023
«Rinvio pregiudiziale – Tutela dei dati personali – Regolamento (UE) 2016/679 – Articolo 6, paragrafi 3 e 4 – Liceità del trattamento – Produzione di un documento contenente dati personali nell’ambito di un procedimento giurisdizionale civile – Articolo 23, paragrafo 1, lettere f) e j) – Salvaguardia dell’indipendenza della magistratura e dei procedimenti giudiziari – Esecuzione delle azioni civili – Requisiti da rispettare – Presa in considerazione dell’interesse delle persone di cui trattasi – Ponderazione dei contrapposti interessi in gioco – Articolo 5 – Minimizzazione dei dati personali – Carta dei diritti fondamentali dell’Unione europea – Articolo 7 – Diritto al rispetto della vita privata – Articolo 8 – Diritto alla protezione dei dati personali – Articolo 47 – Diritto a una tutela giurisdizionale effettiva – Principio di proporzionalità»
Nella causa C-268/21,
avente ad oggetto la domanda di pronuncia pregiudiziale proposta alla Corte, ai sensi dell’articolo 267 TFUE, dallo Högsta domstolen (Corte suprema, Svezia), con decisione del 15 aprile 2021, pervenuta in cancelleria il 23 aprile 2021, nel procedimento
No. St. Bygg AB
contro
Pe. Ny. AB,
con l’intervento di:
Entral AB,
LA CORTE
Terza Sezione,
composta da K. Jürimäe, presidente di sezione, M.L. Arastey Sahún, N. Piçarra, N. Jääskinen (relatore) e M. Gavalec, giudici,
avvocato generale: T. Ca.
cancelliere: C. Strömholm, amministratrice
vista la fase scritta del procedimento e in seguito all’udienza del 27 giugno 2022,
considerate le osservazioni presentate:
– per la No. St. Bygg AB, da H. Tä. Ni. e E. Wa., advokater;
– per la Pe. Ny. AB, da P. De. e V. He., advokater;
– per il governo svedese, da C. Meyer-Seitz, H. Shev e O. Simonsson, in qualità di agenti;
– per il governo ceco, da O. Serdula, M. Smolek e J. Vlácil, in qualità di agenti;
– per il governo polacco, da B. Majczyna e J. Sawicka, in qualità di agenti;
– per la Commissione europea, da A. Bouchagiar, M. Gustafsson e H. Kranenborg, in qualità di agenti,
sentite le conclusioni dell’avvocato generale, presentate all’udienza del 6 ottobre 2022,
ha pronunciato la seguente
Sentenza
1 La domanda di pronuncia pregiudiziale verte sull’interpretazione dell’articolo 6, paragrafi 3 e 4, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1; in prosieguo: il «RGPD»).
2 Tale domanda è stata presentata nell’ambito di una controversia tra la No. St. Bygg AB (in prosieguo: la «Fastec») e la Pe. Ny. AB (in prosieguo: la «Nycander») in merito a una richiesta di comunicazione del registro elettronico del personale della Fastec che aveva eseguito lavori per la Nycander, al fine di determinare l’importo dei lavori per i quali quest’ultima doveva corrispondere la retribuzione.
Contesto normativo
Diritto dell’Unione
3 I considerando 1, 2, 4, 20, 26, 45 e 50 del RGPD sono così formulati:
«(1) La protezione delle persone fisiche con riguardo al trattamento dei dati di carattere personale è un diritto fondamentale. L’articolo 8, paragrafo 1, della Carta dei diritti fondamentali dell’Unione europea [in prosieguo: la “Carta”] e l’articolo 16, paragrafo 1, [TFUE] stabiliscono che ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano.
(2) I principi e le norme a tutela delle persone fisiche con riguardo al trattamento dei dati personali dovrebbero rispettarne i diritti e le libertà fondamentali, in particolare il diritto alla protezione dei dati personali, a prescindere dalla loro nazionalità o dalla loro residenza. Il presente regolamento è inteso a contribuire alla realizzazione di uno spazio di libertà, sicurezza e giustizia e di un’unione economica, al progresso economico e sociale, al rafforzamento e alla convergenza delle economie nel mercato interno e al benessere delle persone fisiche.
(…)
(4) Il trattamento dei dati personali dovrebbe essere al servizio dell’uomo. Il diritto alla protezione dei dati di carattere personale non è una prerogativa assoluta, ma va considerato alla luce della sua funzione sociale e va contemperato con altri diritti fondamentali, in ossequio al principio di proporzionalità. (…)
(…)
(20) Sebbene il presente regolamento si applichi, tra l’altro, anche alle attività delle autorità giurisdizionali e di altre autorità giudiziarie, il diritto dell’Unione o degli Stati membri potrebbe specificare le operazioni e le procedure di trattamento relativamente al trattamento dei dati personali effettuato da autorità giurisdizionali e da altre autorità giudiziarie. (…)
(…)
(26) È auspicabile applicare i principi di protezione dei dati a tutte le informazioni relative a una persona fisica identificata o identificabile. I dati personali sottoposti a pseudonimizzazione, i quali potrebbero essere attribuiti a una persona fisica mediante l’utilizzo di ulteriori informazioni, dovrebbero essere considerati informazioni su una persona fisica identificabile. (…) I principi di protezione dei dati non dovrebbero pertanto applicarsi a informazioni anonime, vale a dire informazioni che non si riferiscono a una persona fisica identificata o identificabile o a dati personali resi sufficientemente anonimi da impedire o da non consentire più l’identificazione dell’interessato. (…)
(…)
(45) È opportuno che il trattamento effettuato in conformità a un obbligo legale al quale il titolare del trattamento è soggetto o necessario per l’esecuzione di un compito svolto nel pubblico interesse o per l’esercizio di pubblici poteri sia basato sul diritto dell’Unione o di uno Stato membro. (…) Un atto legislativo può essere sufficiente come base per più trattamenti effettuati conformemente a un obbligo legale cui è soggetto il titolare del trattamento o se il trattamento è necessario per l’esecuzione di un compito svolto nel pubblico interesse o per l’esercizio di pubblici poteri. Dovrebbe altresì spettare al diritto dell’Unione o degli Stati membri stabilire la finalità del trattamento. (…)
(…)
(50) Il trattamento dei dati personali per finalità diverse da quelle per le quali i dati personali sono stati inizialmente raccolti dovrebbe essere consentito solo se compatibile con le finalità per le quali i dati personali sono stati inizialmente raccolti. In tal caso non è richiesta alcuna base giuridica separata oltre a quella che ha consentito la raccolta dei dati personali. Se il trattamento è necessario per l’esecuzione di un compito di interesse pubblico o per l’esercizio di pubblici poteri di cui è investito il titolare del trattamento, il diritto dell’Unione o degli Stati membri può stabilire e precisare le finalità e i compiti per i quali l’ulteriore trattamento è considerato lecito e compatibile. (…) La base giuridica fornita dal diritto dell’Unione o degli Stati membri per il trattamento dei dati personali può anche costituire una base giuridica per l’ulteriore trattamento. (…)
Ove l’interessato abbia prestato il suo consenso o il trattamento si basi sul diritto dell’Unione o degli Stati membri che costituisce una misura necessaria e proporzionata in una società democratica per salvaguardare, in particolare, importanti obiettivi di interesse pubblico generale, il titolare del trattamento dovrebbe poter sottoporre i dati personali a ulteriore trattamento a prescindere dalla compatibilità delle finalità. In ogni caso, dovrebbe essere garantita l’applicazione dei principi stabiliti dal presente regolamento, in particolare l’obbligo di informare l’interessato di tali altre finalità e dei suoi diritti, compreso il diritto di opporsi. (…)».
4 L’articolo 2 di tale regolamento, intitolato «Ambito di applicazione materiale», prevede quanto segue:
«1. Il presente regolamento si applica al trattamento interamente o parzialmente automatizzato di dati personali e al trattamento non automatizzato di dati personali contenuti in un archivio o destinati a figurarvi.
Il presente regolamento non si applica ai trattamenti di dati personali:
a) effettuati per attività che non rientrano nell’ambito di applicazione del diritto dell’Unione;
b) effettuati dagli Stati membri nell’esercizio di attività che rientrano nell’ambito di applicazione del titolo V, capo 2, TUE;
c) effettuati da una persona fisica per l’esercizio di attività a carattere esclusivamente personale o domestico;
d) effettuati dalle autorità competenti a fini di prevenzione, indagine, accertamento o perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia contro minacce alla sicurezza pubblica e la prevenzione delle stesse.
Per il trattamento dei dati personali da parte di istituzioni, organi, uffici e agenzie dell’Unione, si applica il regolamento (CE) n. 45/2001 [del Parlamento europeo e del Consiglio, del 18 dicembre 2000, concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonché la libera circolazione di tali dati (GU 2001, L 8, pag. 1)]. Il regolamento [n. 45/2001] e gli altri atti giuridici dell’Unione applicabili a tale trattamento di dati personali devono essere adeguati ai principi e alle norme del presente regolamento conformemente all’articolo 98».
5 Ai sensi dell’articolo 4 di detto regolamento:
«Ai fini del presente regolamento s’intende per:
(…)
2) “trattamento”: qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione;
(…)
5) “pseudonimizzazione”: il trattamento dei dati personali in modo tale che i dati personali non possano più essere attribuiti a un interessato specifico senza l’utilizzo di informazioni aggiuntive, a condizione che tali informazioni aggiuntive siano conservate separatamente e soggette a misure tecniche e organizzative intese a garantire che tali dati personali non siano attribuiti a una persona fisica identificata o identificabile;
(…)».
6 L’articolo 5 del medesimo regolamento, intitolato «Principi applicabili al trattamento di dati personali», al paragrafo 1 così recita:
«I dati personali sono:
a) trattati in modo lecito, corretto e trasparente nei confronti dell’interessato (“liceità, correttezza e trasparenza”);
b) raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità; (…) (“limitazione della finalità”);
c) adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati (“minimizzazione dei dati”);
d) esatti e, se necessario, aggiornati; devono essere adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità per le quali sono trattati (“esattezza”);
(…)».
7 L’articolo 6 del RGPD, intitolato «Liceità del trattamento», prevede quanto segue:
«1. Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni:
a) l’interessato ha espresso il consenso al trattamento dei propri dati personali per una o più specifiche finalità;
(…)
c) il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento;
(…)
e) il trattamento è necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento;
(…)
La base su cui si fonda il trattamento dei dati di cui al paragrafo 1, lettere c) ed e), deve essere stabilita:
a) dal diritto dell’Unione; o
b) dal diritto dello Stato membro cui è soggetto il titolare del trattamento.
La finalità del trattamento è determinata in tale base giuridica o, per quanto riguarda il trattamento di cui al paragrafo 1, lettera e), è necessaria per l’esecuzione di un compito svolto nel pubblico interesse o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento. (…) Il diritto dell’Unione o degli Stati membri persegue un obiettivo di interesse pubblico ed è proporzionato all’obiettivo legittimo perseguito.
Laddove il trattamento per una finalità diversa da quella per la quale i dati personali sono stati raccolti non sia basato sul consenso dell’interessato o su un atto legislativo dell’Unione o degli Stati membri che costituisca una misura necessaria e proporzionata in una società democratica per la salvaguardia degli obiettivi di cui all’articolo 23, paragrafo 1, al fine di verificare se il trattamento per un’altra finalità sia compatibile con la finalità per la quale i dati personali sono stati inizialmente raccolti, il titolare del trattamento tiene conto, tra l’altro:
a) di ogni nesso tra le finalità per cui i dati personali sono stati raccolti e le finalità dell’ulteriore trattamento previsto;
(…)».
8 L’articolo 23 di tale regolamento, intitolato «Limitazioni», così dispone:
«1. Il diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento o il responsabile del trattamento può limitare, mediante misure legislative, la portata degli obblighi e dei diritti di cui agli articoli da 12 a 22 e 34, nonché all’articolo 5, nella misura in cui le disposizioni ivi contenute corrispondano ai diritti e agli obblighi di cui agli articoli da 12 a 22, qualora tale limitazione rispetti l’essenza dei diritti e delle libertà fondamentali e sia una misura necessaria e proporzionata in una società democratica per salvaguardare:
(…)
f) la salvaguardia dell’indipendenza della magistratura e dei procedimenti giudiziari;
(…)
j) l’esecuzione delle azioni civili.
(…)».
Diritto svedese
Il RB
9 La prova documentale è disciplinata dalle disposizioni del capo 38 del rättegångsbalken (codice di procedura; in prosieguo: il «RB»).
10 Ai sensi dell’articolo 2, primo comma, del capo 38 del RB, chiunque sia in possesso di un documento che possa essere considerato dotato di valore probatorio è tenuto a produrlo.
11 Deroghe a tale obbligo di produzione sono previste, tra l’altro, al secondo comma di tale articolo. L’esercizio di talune funzioni esonera da detto obbligo se si può presumere che il soggetto che detiene il documento non possa essere sentito come testimone sul contenuto di quest’ultimo. Tale deroga riguarda gli avvocati, i medici, gli psicologi, i preti e qualsiasi altra persona a cui siano state comunicate informazioni in via riservata nell’ambito dell’esercizio delle sue funzioni o in circostanze analoghe. La portata di detto obbligo corrisponde quindi all’obbligo di testimoniare in giudizio.
12 Se una persona è tenuta a produrre un documento come mezzo di prova, il tribunale, conformemente all’articolo 4 del capo 38 del RB, può ordinare all’interessato di produrlo.
La legge sui procedimenti tributari
13 In forza degli articoli da 11 a a 11 c del capo 39 della skatteförfarandelagen (2011:1244) [legge (2011:1244) sui procedimenti tributari], chiunque eserciti un’attività edilizia ha l’obbligo, in taluni casi, di tenere un registro elettronico del personale. Tale registro raccoglie i dati identificativi necessari delle persone che partecipano a tale attività economica. Detto obbligo incombe al committente, il quale può tuttavia delegarlo ad un operatore indipendente. Ai sensi dell’articolo 12 del capo 39 di tale legge, il registro del personale deve essere tenuto a disposizione dell’amministrazione finanziaria svedese.
14 I dati che devono essere registrati nel registro del personale sono precisati all’articolo 5 del capo 9 del skatteförfarandeförordningen (2011:1261) [regolamento (2011:1261) sui procedimenti tributari]. Si tratta, in particolare, del nome e del numero nazionale di identificazione di ogni persona che partecipi all’attività economica nonché degli orari di inizio e di fine servizio.
Procedimento principale e questioni pregiudiziali
15 La Fastec ha costruito per la Nycander uno stabile adibito a uffici. Le persone che hanno lavorato nel cantiere edile in questione hanno registrato la loro presenza attraverso un registro elettronico del personale. Tale registro del personale era fornito dalla società Entral AB, che agiva per conto della Fastec.
16 La Fastec ha proposto ricorso dinanzi al tingsrätt (Tribunale di primo grado, Svezia) vertente sulla retribuzione dei lavori eseguiti. Nell’ambito di tale ricorso, la Fastec ha chiesto alla Nycander il pagamento di una somma corrispondente, secondo la Fastec, al saldo ancora dovuto dalla Nycander. Quest’ultima società si è opposta alla domanda della Fastec, sostenendo, tra l’altro, che il numero di ore di lavoro del personale della Fastec fosse inferiore a quello indicato in tale domanda.
17 Dinanzi a tale giudice, la Nycander ha chiesto di ordinare alla Entral di produrre il registro del personale della Fastec per il periodo compreso tra il 1° agosto 2016 e il 30 novembre 2017, in via principale, senza procedere all’oscuramento dei dati, e, in subordine, con l’oscuramento dei numeri nazionali di identificazione delle persone interessate. A sostegno di tale domanda, la Nycander ha affermato che la Entral deteneva detto registro del personale e che quest’ultimo avrebbe potuto costituire una prova importante ai fini della decisione sul ricorso della Fastec, in quanto i dati contenuti nel suddetto registro del personale avrebbero consentito di provare le ore di lavoro del personale della Fastec.
18 La Fastec si è opposta a tale domanda sostenendo, in via principale, che quest’ultima era contraria all’articolo 5, paragrafo 1, lettera b), del RGPD. Il registro del personale della Fastec conterrebbe dati personali raccolti ai fini del controllo dell’attività di tale società da parte dell’amministrazione finanziaria svedese e non sarebbe conforme a tale obiettivo di divulgare tali dati dinanzi al giudice.
19 Il tingsrätt (Tribunale di primo grado) ha ordinato alla Entral di produrre, senza procedere all’oscuramento dei dati, il registro del personale della Fastec per il personale attivo sul cantiere di cui trattasi nel procedimento principale durante il periodo in esame. Lo Svea hovrätt (Corte d’appello di Stoccolma, Svezia) ha confermato la decisione pronunciata dal tingsrätt (Tribunale di primo grado).
20 La Fastec ha impugnato la decisione dello Svea hovrätt (Corte d’appello di Stoccolma) dinanzi al giudice del rinvio, lo Högsta domstolen (Corte suprema, Svezia), e ha chiesto di respingere la domanda della Nycander menzionata al punto 17 della presente sentenza.
21 Il giudice del rinvio si chiede se occorra applicare e, se del caso, come debbano essere applicate le disposizioni del RGPD nel procedimento principale.
22 Per quanto riguarda l’obbligo di produrre documenti, tale giudice osserva che dalla propria giurisprudenza relativa all’interpretazione delle disposizioni pertinenti del RB risulta che occorre ponderare la pertinenza degli elementi di prova di cui trattasi con l’interesse della controparte a non divulgare tali elementi. Esso precisa che, nell’ambito di tale ponderazione, non si tiene conto, in linea di principio, della natura privata delle informazioni contenute nel documento di cui trattasi o dell’interesse di altre persone ad avere accesso al contenuto di tale documento, al di là di quanto può risultare dalle deroghe specificamente previste dalla legislazione.
23 Detto giudice precisa che l’obbligo previsto dal RB di produrre un documento sarebbe volto, in particolare, a consentire a chiunque abbia bisogno di un documento come elemento di prova di avervi accesso. Si tratterebbe, in definitiva, di garantire che i soggetti dell’ordinamento possano far valere i propri diritti qualora sussista un «legittimo interesse alla prova».
24 In tale contesto, lo Högsta domstolen (Corte suprema) ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali:
«1) Se l’articolo 6, paragrafi 3 e 4, del [RGPD] riguardi anche le norme processuali nazionali relative [all’obbligo di produzione di documenti].
2) In caso di risposta affermativa alla prima questione, se il [RGDP] implichi che, in sede di adozione di una decisione sulla [produzione] di un documento contenente dati personali, si debba tenere conto anche degli interessi dei soggetti di cui trattasi. Se il diritto dell’Unione imponga, in tal caso, di precisare le modalità di adozione di tale decisione».
Sulle questioni pregiudiziali
Sulla prima questione
25 Con la sua prima questione, il giudice del rinvio chiede, in sostanza, se l’articolo 6, paragrafi 3 e 4, del RGPD debba essere interpretato nel senso che tale disposizione si applica, nell’ambito di un procedimento giurisdizionale civile, alla produzione come elemento di prova di un registro del personale contenente dati personali di terzi raccolti principalmente ai fini dei controlli fiscali.
26 Al fine di rispondere a tale questione, occorre rilevare, in primo luogo, che l’articolo 2, paragrafo 1, del RGPD prevede che tale regolamento si applichi a qualsiasi «trattamento interamente o parzialmente automatizzato di dati personali e al trattamento non automatizzato di dati personali contenuti in un archivio o destinati a figurarvi», senza operare alcuna distinzione in base all’identità del responsabile del trattamento interessato. Ne consegue che, fatti salvi i casi menzionati all’articolo 2, paragrafi 2 e 3, il RGPD si applica alle operazioni di trattamento effettuate sia da soggetti privati sia dalle autorità pubbliche, comprese, come indicato al considerando 20 di quest’ultimo, le attività delle autorità giudiziarie, quali le autorità giurisdizionali (sentenza del 24 marzo 2022, Autoriteit Persoonsgegevens, C-245/20, EU:C:2022:216, punto 25).
27 In secondo luogo, ai sensi dell’articolo 4, punto 2, di tale regolamento, rientra nella definizione di «trattamento» di dati personali, tra l’altro, qualsiasi operazione compiuta con o senza l’ausilio di processi automatizzati e applicata a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l’uso, la comunicazione mediante trasmissione, la diffusione o qualsiasi altra forma di messa a disposizione.
28 Ne consegue che costituiscono un trattamento di dati personali rientrante nell’ambito di applicazione ratione materiae del RGPD non solo la creazione e la tenuta del registro elettronico del personale (v., per analogia, sentenza del 30 maggio 2013, Worten, C-342/12, EU:C:2013:355, punto 19), ma anche la produzione come elemento di prova di un documento, digitale o fisico, contenente dati personali, disposta da un’autorità giurisdizionale nell’ambito di un procedimento giurisdizionale [v., in tal senso, sentenza dell’8 dicembre 2022, Inspektor v Inspektorata kam Visshia sadeben savet (Finalità del trattamento di dati personali – Indagine penale), C-180/21, EU:C:2022:967, punto 72].
29 In terzo luogo, occorre sottolineare che qualsiasi trattamento di dati personali, compreso un trattamento effettuato dalle autorità pubbliche quali le autorità giurisdizionali, deve soddisfare le condizioni di liceità fissate dall’articolo 6 del RGPD.
30 A tal riguardo, occorre rilevare, anzitutto, che, ai sensi dell’articolo 6, paragrafo 1, lettera e), del RGPD, il trattamento di dati personali è lecito se è necessario per l’esecuzione di un compito di interesse pubblico o di un compito connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento.
31 Conformemente all’articolo 6, paragrafo 3, del RGPD, in combinato disposto con il considerando 45 di quest’ultimo, la base su cui si fonda il trattamento dei dati di cui all’articolo 6, paragrafo 1, lettera e), di tale regolamento deve essere stabilita dal diritto dell’Unione o dal diritto dello Stato membro cui è soggetto il titolare del trattamento. Inoltre, il diritto dell’Unione o il diritto degli Stati membri deve perseguire un obiettivo di interesse pubblico ed essere proporzionato all’obiettivo legittimo perseguito.
32 Il combinato disposto dell’articolo 6, paragrafo 1, lettera e), del RGPD e dell’articolo 6, paragrafo 3, di tale regolamento richiede quindi una base giuridica, segnatamente nazionale, per il trattamento dei dati personali da parte dei titolari del trattamento che agiscono nell’esecuzione di un compito di interesse pubblico o di un compito connesso all’esercizio di pubblici poteri, come quelli svolti dalle autorità giurisdizionali quando esercitano le loro funzioni giurisdizionali.
33 Inoltre, qualora il trattamento dei dati personali sia effettuato per un fine diverso da quello per il quale tali dati sono stati raccolti, dall’articolo 6, paragrafo 4, del RGPD, letto alla luce del considerando 50 di tale regolamento, risulta che un siffatto trattamento è consentito a condizione che esso sia basato, segnatamente, su un atto legislativo degli Stati membri e che esso costituisca una misura necessaria e proporzionata in una società democratica per la salvaguardia di uno degli obiettivi di cui all’articolo 23, paragrafo 1, del RGPD. Come indicato in tale considerando, al fine di salvaguardare tali importanti obiettivi di interesse pubblico generale, il titolare del trattamento può quindi sottoporre i dati personali a ulteriore trattamento a prescindere dalla compatibilità di tale trattamento con le finalità per cui i dati personali sono stati inizialmente raccolti.
34 Nel caso di specie, le disposizioni pertinenti del capo 38 del RB, che prevedono l’obbligo di produrre un documento come elemento di prova e la possibilità per i giudici nazionali di ordinare la produzione di tale documento, costituiscono la base giuridica che funge da fondamento per il trattamento di dati personali. Sebbene tali disposizioni costituiscano, in linea di principio, una base giuridica sufficiente per autorizzare un siffatto trattamento, dalla decisione di rinvio emerge che tale base giuridica è diversa da quella costituita dalla legge sui procedimenti tributari, in base alla quale il registro del personale di cui trattasi nel procedimento principale è stato elaborato ai fini dei controlli fiscali. Inoltre, secondo il giudice del rinvio, l’obbligo di produzione previsto da tali disposizioni del RB è volto a consentire a chiunque abbia bisogno di un documento come elemento di prova di avervi accesso. Si tratta, a suo avviso, di garantire che il soggetto dell’ordinamento possa far valere i propri diritti qualora sussista un «legittimo interesse alla prova».
35 Secondo il giudice del rinvio, dai lavori preparatori che hanno condotto alla legge sui procedimenti tributari emerge che i dati personali contenuti nel registro del personale mirano a consentire agli agenti dell’amministrazione finanziaria svedese di effettuare controlli incrociati durante le ispezioni in loco. L’obiettivo principale è quello di prevenire il lavoro nero e di creare condizioni di concorrenza più sane. Il trattamento dei dati personali è giustificato dalla necessità di adempiere l’obbligo legale al quale è soggetto il titolare del trattamento, vale a dire la tenuta di un registro del personale.
36 Pertanto, occorre considerare che il trattamento di tali dati nell’ambito di un procedimento giurisdizionale, come quello di cui trattasi nel procedimento principale, costituisce un trattamento effettuato per una finalità diversa da quella per la quale i dati sono stati raccolti, vale a dire ai fini dei controlli fiscali, e che non è fondato sul consenso degli interessati, ai sensi dell’articolo 6, paragrafo 1, lettera a), del RGPD.
37 In tali circostanze, il trattamento di dati personali per un fine diverso da quello per il quale tali dati sono stati raccolti deve non solo essere fondato sul diritto nazionale, come le disposizioni del capo 38 del RB, ma anche costituire una misura necessaria e proporzionata in una società democratica, ai sensi dell’articolo 6, paragrafo 4, del RGPD, per la salvaguardia di uno degli obiettivi di cui all’articolo 23, paragrafo 1, del RGPD.
38 Tra tali obiettivi figura, conformemente alla lettera f) del paragrafo 1 dell’articolo 23 di tale regolamento, «la salvaguardia dell’indipendenza della magistratura e dei procedimenti giudiziari»; obiettivo che, come osservato dalla Commissione europea nelle sue osservazioni scritte, deve essere inteso come diretto alla tutela dell’amministrazione della giustizia contro ingerenze interne o esterne, ma anche alla buona amministrazione della giustizia. Peraltro, ai sensi del paragrafo 1, lettera j), di tale articolo, anche l’esecuzione delle azioni civili costituisce un obiettivo idoneo a giustificare un trattamento di dati personali per un fine diverso da quello per il quale sono stati raccolti. Non è quindi escluso che il trattamento di dati personali di terzi nell’ambito di un procedimento giurisdizionale civile possa fondarsi su tali obiettivi.
39 Tuttavia, spetta al giudice del rinvio verificare se le disposizioni pertinenti del capo 38 del RB, da un lato, rispondano all’uno e/o all’altro di tali obiettivi e, dall’altro, siano necessarie e proporzionate a detti obiettivi, cosicché esse possono rientrare nei casi di trattamento di dati personali considerati leciti ai sensi delle disposizioni dell’articolo 6, paragrafi 3 e 4, del RGPD, in combinato disposto con l’articolo 23, paragrafo 1, lettere f) e j), dello stesso.
40 A tal riguardo, è irrilevante che il trattamento di dati personali sia fondato su una disposizione del diritto nazionale sostanziale o procedurale, dato che le disposizioni dell’articolo 6, paragrafo 3, lettera b), e paragrafo 4, di tale regolamento non operano alcuna distinzione tra questi due tipi di disposizioni.
41 Alla luce dell’insieme delle considerazioni sin qui svolte, occorre rispondere alla prima questione dichiarando che l’articolo 6, paragrafi 3 e 4, del RGPD deve essere interpretato nel senso che tale disposizione si applica, nell’ambito di un procedimento giurisdizionale civile, alla produzione come elemento di prova di un registro del personale contenente dati personali di terzi raccolti principalmente ai fini dei controlli fiscali.
Sulla seconda questione
42 Con la sua seconda questione, il giudice del rinvio chiede, in sostanza, se gli articoli 5 e 6 del RGPD debbano essere interpretati nel senso che, nel valutare se debba essere disposta, nell’ambito di un procedimento giurisdizionale civile, la produzione di un documento contenente dati personali, il giudice nazionale è tenuto a prendere in considerazione gli interessi dei soggetti di cui trattasi. In caso affermativo, tale giudice chiede inoltre se il diritto dell’Unione, e in particolare il RGPD, imponga requisiti particolari riguardo alle modalità di tale valutazione.
43 Anzitutto, occorre sottolineare che qualsiasi trattamento di dati personali, fatte salve le deroghe ammesse all’articolo 23 del RGPD, deve rispettare i principi applicabili al trattamento dei dati personali nonché i diritti dell’interessato enunciati rispettivamente ai capi II e III di tale regolamento. In particolare, qualsiasi trattamento di dati personali, da un lato, deve essere conforme ai principi enunciati all’articolo 5 di tale regolamento e, dall’altro, deve soddisfare le condizioni di liceità elencate all’articolo 6 del medesimo regolamento (v., in tal senso, sentenza del 6 ottobre 2020, La Quadrature du Net e a., C-511/18, C-512/18 e C-520/18, EU:C:2020:791, punto 208 e giurisprudenza ivi citata).
44 Nel caso di specie, il giudice del rinvio rileva che le disposizioni rilevanti del capo 38 del RB non richiedono esplicitamente che, nel valutare se debba essere disposta la produzione di un documento contenente dati personali, si tenga conto degli interessi delle persone dei cui dati si discute. Conformemente alla giurisprudenza nazionale, tali disposizioni richiederebbero soltanto un bilanciamento tra la rilevanza della prova e l’interesse della controparte a non divulgare le informazioni di cui trattasi.
45 Come constatato al punto 39 della presente sentenza, poiché tali disposizioni di diritto nazionale riguardano la produzione di un documento come elemento di prova, esse possono rientrare nei casi di trattamento di dati personali considerati leciti ai sensi delle disposizioni dell’articolo 6, paragrafi 3 e 4, del RGPD, in combinato disposto con l’articolo 23, paragrafo 1, lettere f) e j), dello stesso. Ciò è vero nella misura in cui dette disposizioni, da un lato, mirano a garantire il corretto svolgimento del procedimento giurisdizionale garantendo che il soggetto dell’ordinamento possa far valere i propri diritti in presenza di un «legittimo interesse alla prova» e, dall’altro, sono necessarie e proporzionate a tale obiettivo.
46 Infatti, dall’articolo 6, paragrafo 4, del RGPD risulta che siffatti trattamenti di dati personali sono leciti a condizione che costituiscano misure necessarie e proporzionate in una società democratica per la salvaguardia degli obiettivi di cui all’articolo 23 del RGPD che essi perseguono. Ne consegue che, al fine di procedere alla verifica di tali requisiti, un giudice nazionale è tenuto a prendere in considerazione gli interessi contrapposti in gioco quando valuta l’opportunità di ordinare la produzione di un documento contenente dati personali di terzi.
47 A tal riguardo, occorre sottolineare che l’esito della ponderazione che il giudice nazionale deve effettuare può variare in funzione sia delle circostanze di ciascun caso di specie sia del tipo di procedimento di cui trattasi.
48 Per quanto riguarda gli interessi in gioco nell’ambito di un procedimento giurisdizionale civile, il giudice nazionale, come risulta in particolare dai considerando 1 e 2 del RGPD, deve garantire la protezione delle persone fisiche con riguardo al trattamento dei dati personali, che è un diritto fondamentale sancito all’articolo 8, paragrafo 1, della Carta e all’articolo 16 TFUE. Tale giudice deve altresì garantire il diritto al rispetto della vita privata, sancito all’articolo 7 della Carta, che è strettamente connesso al diritto alla protezione dei dati personali.
49 Tuttavia, come enunciato al considerando 4 del RGPD, il diritto alla protezione dei dati personali non è un diritto assoluto, ma va considerato alla luce della sua funzione sociale e va contemperato con altri diritti fondamentali, in ossequio al principio di proporzionalità, come il diritto a una tutela giurisdizionale effettiva, garantito dall’articolo 47 della Carta.
50 Orbene, la produzione di un documento contenente dati personali di terzi nell’ambito di un procedimento giurisdizionale civile contribuisce, come rilevato in sostanza dall’avvocato generale al paragrafo 61 delle sue conclusioni, al rispetto di tale diritto a una tutela giurisdizionale effettiva.
51 A tal riguardo, poiché l’articolo 47, secondo comma, della Carta corrisponde all’articolo 6, paragrafo 1, della Convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali, firmata a Roma il 4 novembre 1950, il suo significato e la sua portata, in forza dell’articolo 52, paragrafo 3, della Carta, sono uguali a quelli che la suddetta Convenzione conferisce a tale articolo 6, paragrafo 1.
52 Secondo una giurisprudenza costante della Corte europea dei diritti dell’uomo, tenuto conto della posizione preminente che il diritto a un equo processo occupa in una società democratica, è essenziale che il soggetto dell’ordinamento abbia la possibilità di difendere utilmente la propria causa dinanzi a un tribunale e che benefici della parità delle armi con la sua controparte [v., in tal senso, Corte EDU, 24 giugno 2022, Zayidov c. Azerbaïdjan (N. 2), CE:ECHR:2022:0324JUD000538610, § 87 e giurisprudenza ivi citata]. Ne consegue, in particolare, che il soggetto dell’ordinamento deve poter beneficiare di un procedimento in contraddittorio e presentare, nelle diverse fasi di quest’ultimo, gli argomenti che ritiene rilevanti per la difesa della propria causa (Corte EDU, 21 gennaio 1999, García Ruiz c. Spagna, CE:ECHR:1999:0121JUD003054496, § 29).
53 Pertanto, al fine di garantire che i singoli possano beneficiare di un diritto a una tutela giurisdizionale effettiva e, in particolare, di un diritto a un processo equo, ai sensi dell’articolo 47, secondo comma, della Carta, occorre considerare che le parti di un procedimento giurisdizionale civile devono essere in grado di accedere alle prove necessarie per dimostrare adeguatamente la fondatezza delle loro censure, che possono eventualmente includere dati personali delle parti o di terzi.
54 Ciò premesso, come indicato al punto 46 della presente sentenza, la considerazione degli interessi in gioco rientra nell’ambito dell’esame della necessità e della proporzionalità della misura, che sono previste all’articolo 6, paragrafi 3 e 4, del RGPD e che condizionano la liceità del trattamento di dati personali. A tal riguardo, occorre quindi tenere conto anche dell’articolo 5, paragrafo 1, di quest’ultimo, e in particolare del principio della «minimizzazione dei dati» di cui alla lettera c) di tale disposizione, che dà espressione al principio di proporzionalità. Secondo tale principio di minimizzazione dei dati, i dati personali devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati [v., in tal senso, sentenza del 22 giugno 2021, Latvijas Republikas Saeima (Punti di penalità), C-439/19, EU:C:2021:504, punto 98 e giurisprudenza ivi citata].
55 Il giudice nazionale è pertanto tenuto a stabilire se la divulgazione dei dati personali sia adeguata e pertinente al fine di salvaguardare l’obiettivo perseguito dalle disposizioni applicabili del diritto nazionale e se tale obiettivo non possa essere realizzato ricorrendo a mezzi di prova meno invasivi rispetto alla protezione dei dati personali di un numero elevato di terzi quali, ad esempio, l’audizione di testimoni selezionati.
56 Nel caso in cui la produzione del documento contenente dati personali risulti giustificata, da detto principio discende inoltre che, qualora solo una parte di tali dati appaia necessaria a fini probatori, il giudice nazionale deve prendere in considerazione l’adozione di misure supplementari in materia di protezione dei dati, quali la pseudonimizzazione, definita all’articolo 4, punto 5, del RGPD, dei nomi degli interessati o qualsiasi altra misura destinata a ridurre al minimo l’ostacolo al diritto alla protezione dei dati personali costituito dalla produzione di un tale documento. Siffatte misure possono comprendere, in particolare, la limitazione dell’accesso del pubblico al fascicolo o l’ordine alle parti a cui i documenti contenenti dati personali sono stati comunicati di non utilizzare tali dati per finalità diverse da quella della produzione della prova durante il procedimento giurisdizionale di cui trattasi.
57 A tale riguardo, occorre precisare che dall’articolo 4, punto 5, del RGPD, in combinato disposto con il considerando 26 di tale regolamento, discende che i dati personali sottoposti a pseudonimizzazione e che potrebbero essere attribuiti a una persona fisica mediante l’utilizzo di ulteriori informazioni dovrebbero essere considerati informazioni su una persona fisica identificabile, alle quali si applicano i principi di protezione dei dati. Per contro, da tale considerando discende che tali principi non si applicano «a informazioni anonime, vale a dire informazioni che non si riferiscono a una persona fisica identificata o identificabile o a dati personali resi sufficientemente anonimi da impedire o da non consentire più l’identificazione dell’interessato».
58 Ne consegue che un giudice nazionale può ritenere che i dati personali delle parti o di terzi debbano essergli comunicati al fine di poter ponderare, con piena cognizione di causa e nel rispetto del principio di proporzionalità, gli interessi in gioco. Tale valutazione può, se del caso, indurlo ad autorizzare la divulgazione completa o parziale alla controparte dei dati personali che gli sono stati così comunicati, qualora ritenga che una siffatta divulgazione non ecceda quanto necessario al fine di garantire l’effettivo godimento dei diritti che i soggetti dell’ordinamento traggono dall’articolo 47 della Carta.
59 Alla luce dell’insieme delle considerazioni si qui svolte, si deve rispondere alla seconda questione dichiarando che gli articoli 5 e 6 del RGPD devono essere interpretati nel senso che, nel valutare se debba essere disposta la produzione di un documento contenente dati personali, il giudice nazionale è tenuto a prendere in considerazione gli interessi delle persone di cui trattasi e a ponderarli in funzione delle circostanze di ciascun caso di specie, del tipo di procedimento di cui trattasi e tenendo debitamente conto delle esigenze derivanti dal principio di proporzionalità e, in particolare, di quelle derivanti dal principio di minimizzazione dei dati di cui all’articolo 5, paragrafo 1, lettera c), di tale regolamento.
Sulle spese
60 Nei confronti delle parti nel procedimento principale la presente causa costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.
Per questi motivi, la Corte (Terza Sezione) dichiara:
1) L’articolo 6, paragrafi 3 e 4, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati),
deve essere interpretato nel senso che:
tale disposizione si applica, nell’ambito di un procedimento giurisdizionale civile, alla produzione come elemento di prova di un registro del personale contenente dati personali di terzi raccolti principalmente ai fini dei controlli fiscali.
2) Gli articoli 5 e 6 del regolamento 2016/679
devono essere interpretati nel senso che:
nel valutare se debba essere disposta la produzione di un documento contenente dati personali, il giudice nazionale è tenuto a prendere in considerazione gli interessi delle persone di cui trattasi e a ponderarli in funzione delle circostanze di ciascun caso di specie, del tipo di procedimento di cui trattasi e tenendo debitamente conto delle esigenze derivanti dal principio di proporzionalità e, in particolare, di quelle derivanti dal principio di minimizzazione dei dati di cui all’articolo 5, paragrafo 1, lettera c), di tale regolamento.