Corte di giustizia UE/2024

62023CC0169 CONCLUSIONI DELL’[OSCURATO:PERSONA] presentate il 6 giugno 2024 ( 1 ) Causa C‑169/23 [Másdi] ( i ) [OSCURATO:PERSONA] és [OSCURATO:PERSONA] contro [OSCURATO:PERSONA] [domanda di pronuncia pregiudiziale proposta dalla Kúria (Corte suprema, Ungheria)] «Rinvio pregiudiziale – Protezione dei dati personali – Regolamento (UE) 2016/679 – Trattamento dei dati ai fini del rilascio di un certificato COVID‑19 – Informazioni da fornire qualora i dati personali non siano stati ottenuti presso l’interessato – Articolo 14, paragrafo 1 – Deroghe all’obbligo di fornire informazioni – Ottenimento o comunicazione espressamente previsti dal diritto dell’Unione o degli Stati membri – Misure appropriate per tutelare gli interessi legittimi dell’interessato – Articolo 14, paragrafo 5, lettera c) – Diritto di proporre reclamo all’autorità di controllo – Articolo 77» I. Introduzione 1. Uno degli obblighi più importanti del titolare del trattamento dei dati è l’obbligo di fornire informazioni all’interessato. Nelle sue conclusioni nella causa Bara, l’avvocato generale [OSCURATO:PERSONA] lo ha espresso eloquentemente quando ha affermato che l’obbligo di informare l’interessato « garan[tisce la] trasparenza di qualsiasi trattamento » ( 2 ). L’obbligo di informazione corrisponde al diritto fondamentale dell’interessato di ricevere informazioni sul trattamento dei propri dati. Nella letteratura giuridica ( 3 ) è stato rilevato che il diritto all’informazione «esemplifica» il principio di trasparenza e «rappresenta il punto focale» di tutti gli altri diritti. Infatti, ampi obblighi di informazione consentono all’interessato di esercitare altri importanti diritti riconosciuti dal regolamento (UE) 2016/679 ( 4 ). 2. La presente causa è sorta nel contesto del rilascio di certificati COVID‑19. Essa invita la Corte ad interpretare, per la prima volta, un’importante deroga all’obbligo del titolare del trattamento di fornire informazioni, previsto dall’articolo 14, paragrafo 5, lettera c), del RGPD. La deroga in questione sarà esaminata in relazione ai poteri dell’autorità di controllo nel contesto di un reclamo proposto dall’interessato. II. Contesto normativo A. Diritto dell’Unione 3. L’articolo 14 del RGPD, intitolato «Informazioni da fornire qualora i dati personali non siano stati ottenuti presso l’interessato», ai paragrafi 1, 2 e 5, dispone quanto segue: «1.   Qualora i dati non siano stati ottenuti presso l’interessato, il titolare del trattamento fornisce all’interessato le seguenti informazioni: a) l’identità e i dati di contatto del titolare del trattamento e, ove applicabile, del suo rappresentante; b) i dati di contatto del responsabile della protezione dei dati, ove applicabile; c) le finalità del trattamento cui sono destinati i dati personali nonché la base giuridica del trattamento; d) le categorie di dati personali in questione; e) gli eventuali destinatari o le eventuali categorie di destinatari dei dati personali; f) ove applicabile, l’intenzione del titolare del trattamento di trasferire dati personali a un destinatario in un paese terzo o a un’organizzazione internazionale e l’esistenza o l’assenza di una decisione di adeguatezza della Commissione [europea] (...). 2.   Oltre alle informazioni di cui al paragrafo 1, il titolare del trattamento fornisce all’interessato le seguenti informazioni necessarie per garantire un trattamento corretto e trasparente nei confronti dell’interessato: a) il periodo di conservazione dei dati personali oppure, se non è possibile, i criteri utilizzati per determinare tale periodo; b) qualora il trattamento si basi sull’articolo 6, paragrafo 1, lettera f), i legittimi interessi perseguiti dal titolare del trattamento o da terzi; c) l’esistenza del diritto dell’interessato di chiedere al titolare del trattamento l’accesso ai dati personali e la rettifica o la cancellazione degli stessi o la limitazione del trattamento dei dati personali che lo riguardano e di opporsi al loro trattamento, oltre al diritto alla portabilità dei dati; d) qualora il trattamento sia basato sull’articolo 6, paragrafo 1, lettera a), oppure sull’articolo 9, paragrafo 2, lettera a), l’esistenza del diritto di revocare il consenso in qualsiasi momento senza pregiudicare la liceità del trattamento basata sul consenso prima della revoca; e) il diritto di proporre reclamo a un’autorità di controllo; f) la fonte da cui hanno origine i dati personali e, se del caso, l’eventualità che i dati provengano da fonti accessibili al pubblico; g) l’esistenza di un processo decisionale automatizzato, compresa la profilazione di cui all’articolo 22, paragrafi 1 e 4, e, almeno in tali casi, informazioni significative sulla logica utilizzata, nonché l’importanza e le conseguenze previste di tale trattamento per l’interessato. (…) 5.   I paragrafi da 1 a 4 non si applicano se e nella misura in cui: (…) c) l’ottenimento o la comunicazione sono espressamente previsti dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento e che prevede misure appropriate per tutelare gli interessi legittimi dell’interessato; (…)». 4. L’articolo 32 del RGPD, intitolato «Sicurezza del trattamento», al paragrafo 1, così recita: «Tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio (...) (…)». 5. L’articolo 77 del RGPD, intitolato «Diritto di proporre reclamo all’autorità di controllo», dispone, al paragrafo 1, quanto segue: «Fatto salvo ogni altro ricorso amministrativo o giurisdizionale, l’interessato che ritenga che il trattamento che lo riguarda violi il presente regolamento ha il diritto di proporre reclamo a un’autorità di controllo, segnatamente nello Stato membro in cui risiede abitualmente, lavora oppure del luogo ove si è verificata la presunta violazione». B. Diritto ungherese 6. L’articolo 2, paragrafo 1, lettere da a) a g), dell’a koronavírus elleni védettségi igazolásról szóló 60/2021. (II.12.) Korm. rendelet (decreto governativo 60/2021, del 12 febbraio 2021, relativo al certificato di immunità dal coronavirus; in prosieguo: il «decreto 60/2021»), nella versione applicabile alla controversia di cui al procedimento principale, dispone quanto segue: «Nel certificato di immunità figurano: a) il nome dell’interessato; b) il numero di passaporto dell’interessato, ove disponibile; c) il numero e l’identificativo della carta d’identità permanente dell’interessato, ove disponibile; d) il numero di serie del certificato di immunità; e) se viene fornita la prova della vaccinazione, la data della vaccinazione; f) se viene fornita la prova della guarigione dall’infezione, la data di validità del documento giustificativo; g) un codice di memorizzazione dei dati a lettura ottica, accessibile tramite dispositivi informatici, generato sulla base dei dati di cui alle lettere da a) a f); (…)». 7. Ai sensi dell’articolo 2, paragrafi 6 e 7, del decreto 60/2021, il certificato di immunità doveva essere rilasciato dalla Budapest Főváros Kormányhivatala (Ufficio governativo di Budapest – Capitale, Ungheria; in prosieguo: l’«Ufficio di Budapest») a favore della persona fisica avente diritto, d’ufficio o su richiesta. 8. L’articolo 3, paragrafo 3, del decreto 60/2021 così dispone: «Nei casi di cui all’articolo 2, paragrafo 6, lettere c) e d), l’[Ufficio di Budapest] raccoglie, per mezzo della trasmissione automatica di informazioni – ove necessario, avvalendosi dei rispettivi servizi dell’összerendelési nyilvántartás [Registro elettronico di gestione dei dati di identificazione, Ungheria)] –, a) presso l’operatore dell’EESZT [([OSCURATO:PERSONA] (Area dei servizi sanitari digitali)]: il numero di previdenza sociale dell’interessato, i dati di cui all’articolo 2, paragrafo 1, lettere e) e g), nonché i dati menzionati al paragrafo 1; b) presso l’organismo responsabile del registro dei dati personali e degli indirizzi: il nome, gli estremi del passaporto e della carta d’identità permanente e l’indirizzo dell’interessato». III. Procedimento principale e questioni pregiudiziali 9. UC, persona fisica, ha ricevuto dall’Ufficio di Budapest il certificato di immunità attestante la sua vaccinazione contro il COVID‑19. 10. Il 30 aprile 2021 UC proponeva un reclamo sulla base dell’articolo 77, paragrafo 1, del RGPD dinanzi alla [OSCURATO:PERSONA] és [OSCURATO:PERSONA] (Autorità nazionale incaricata della protezione dei dati e della libertà dell’informazione, Ungheria; in prosieguo: l’«autorità di controllo ungherese»). UC chiedeva che detta autorità ordinasse all’Ufficio di Budapest di adeguare i propri trattamenti a quanto disposto dal RGPD. Nel suo reclamo UC sosteneva, inter alia , che l’Ufficio di Budapest non aveva né elaborato né pubblicato un’informativa sulla privacy relativa al trattamento dei dati inerenti al rilascio dei certificati di immunità e che le informazioni fornite erano insufficienti sia in ordine alle finalità e alla base giuridica del trattamento sia con riguardo ai diritti spettanti agli interessati e alle rispettive modalità di esercizio. 11. Nel procedimento avviato a seguito della proposizione del reclamo, l’Ufficio di Budapest dichiarava che lo svolgimento delle sue funzioni relative al rilascio dei certificati di immunità aveva luogo in forza dell’articolo 2 del decreto 60/2021 e che la base giuridica del trattamento era costituita dall’articolo 6, paragrafo 1, lettera e), del RGPD nonché, con riguardo al trattamento di categorie particolari di dati personali, dal successivo articolo 9, paragrafo 2, lettera i). 12. Inoltre, l’Ufficio di Budapest affermava che, ai sensi dell’articolo 3, paragrafi 2 e 3, del decreto 60/2021, aveva raccolto i dati oggetto di trattamento per mezzo della trasmissione automatica di informazioni da parte dell’operatore dell’Area dei servizi sanitari digitali e dell’organismo responsabile del registro dei dati personali e degli indirizzi. Esso asseriva di non essere tenuto a fornire informazioni relative al trattamento, ai sensi dell’articolo 14, paragrafo 5, lettera c), del RGPD. Ciò nondimeno, aveva elaborato un’informativa sulla privacy relativa al trattamento in questione e l’aveva pubblicata sul proprio sito Internet. 13. Con decisione del 15 novembre 2021, l’autorità di controllo ungherese respingeva il reclamo con la motivazione che l’Ufficio di Budapest non era tenuto a fornire informazioni, in quanto era operante la deroga prevista dall’articolo 14, paragrafo 5, lettera c), del RGPD. Più specificamente, l’autorità di controllo rilevava che il decreto 60/2021 costituiva la base giuridica del trattamento e che l’Ufficio di Budapest non aveva ottenuto i dati presso gli interessati stessi. Inoltre, essa dichiarava che l’articolo 3, paragrafo 1, del decreto 60/2021 disponeva espressamente che l’Ufficio di Budapest dovesse raccogliere i dati. Il fatto che l’Ufficio di Budapest avesse pubblicato sul proprio sito Internet informazioni relative al trattamento dei dati, pur non essendovi obbligato ex lege , era considerato una buona prassi. 14. L’autorità di controllo ungherese esaminava d’ufficio la questione delle misure appropriate per tutelare gli interessi legittimi dell’interessato, di cui all’articolo 14, paragrafo 5, lettera c), del RGPD, e rilevava che gli articoli 2 e 3 nonché gli articoli da 5 a 7 del decreto 60/2021 dovevano essere considerati misure di questo tipo. 15. UC impugnava tale decisione dinanzi alla Fővárosi Törvényszék (Corte di Budapest‑Capitale, Ungheria). [OSCURATO:PERSONA] giudice accoglieva il ricorso, annullava la decisione dell’autorità di controllo ungherese e ordinava a quest’ultima di avviare un nuovo procedimento. 16. Nella motivazione della sentenza, la Fővárosi Törvényszék (Corte di Budapest‑Capitale) ha dichiarato che la deroga di cui all’articolo 14, paragrafo 5, lettera c), del RGPD non era operante in quanto, con riguardo ai certificati di immunità, alcuni dati non sono raccolti presso un altro organismo, bensì generati dal titolare del trattamento. Si tratta, inter alia , del numero di serie del certificato di immunità, del periodo di validità del certificato, del codice QR integrato nel certificato, del codice a barre e di altri codici alfanumerici generati nel corso del procedimento dal titolare del trattamento. 17. L’autorità di controllo ungherese ha proposto un ricorso straordinario per cassazione avverso la sentenza definitiva della Fővárosi Törvényszék (Corte di Budapest‑Capitale) dinanzi alla Kúria (Corte suprema, Ungheria). 18. Per quanto attiene all’applicazione della deroga prevista dall’articolo 14, paragrafo 5, lettera c), del RGPD, il giudice del rinvio ritiene che essa possa estendersi a tutti i tipi di trattamento che non riguardano i dati raccolti presso l’interessato ai sensi dell’articolo 13 di detto regolamento, compresi i dati generati dal titolare del trattamento. 19. Ove si accolga tale interpretazione dell’articolo 14, paragrafo 5, lettera c), del RGPD, il giudice del rinvio nutre dubbi in ordine alla portata dei poteri correttivi delle autorità nazionali di controllo nell’ambito di un reclamo proposto ai sensi dell’articolo 77, paragrafo 1, del RGPD. Più specificamente, il giudice del rinvio si chiede se, nel contesto di un reclamo siffatto, l’autorità di controllo sia competente ad esaminare la questione delle misure appropriate previste dal diritto nazionale per tutelare gli interessi legittimi dell’interessato, di cui all’articolo 14, paragrafo 5, lettera c), del RGPD. 20. Qualora si ritenesse che l’autorità di controllo abbia tale competenza, il giudice del rinvio si interroga sull’esatto significato della nozione di «misure appropriate per tutelare gli interessi legittimi dell’interessato». A questo proposito, esso rileva che si potrebbe considerare che, da un lato, nelle «misure appropriate» rientrano il recepimento nella normativa nazionale degli elementi elencati nell’articolo 14, paragrafo 1, lettere da a) a f), del RGPD. Dall’altro, dette misure potrebbero comprendere la possibilità di chiedere una valutazione della sicurezza del trattamento, disciplinata dall’articolo 32 del RGPD. Tuttavia, tale interpretazione delle «misure appropriate» rischierebbe di appesantire le norme giuridiche con disposizioni tecniche, in contrasto con il requisito della comprensibilità e della chiarezza dei testi normativi. Potrebbe inoltre essere considerato una garanzia sufficiente il semplice fatto che tali misure relative alla sicurezza dei dati vengano rispettate, anche in assenza di una specifica trasposizione. 21. In tale contesto, la Kúria (Corte suprema) ha deciso di sospendere il procedimento e di sottoporre alla Corte di giustizia le seguenti questioni pregiudiziali: «1) Se l’articolo 14, paragrafo 5, lettera c), in combinato disposto con l’articolo 14, paragrafo 1, e il considerando 62 del [RGPD] debba essere interpretato nel senso che la deroga prevista da detta normativa non si applica ai dati generati dal titolare del trattamento nell’ambito del proprio procedimento, bensì unicamente ai dati che il titolare del trattamento abbia espressamente ottenuto presso un altro soggetto. 2) Nel caso in cui l’articolo 14, paragrafo 5, lettera c), del RGPD trovi applicazione anche riguardo ai dati generati dal titolare del trattamento nell’ambito del proprio procedimento, se il diritto di proporre reclamo a un’autorità di controllo, sancito dall’articolo 77, paragrafo 1, di detto regolamento, debba essere interpretato nel senso che una persona fisica, la quale faccia valere una violazione dell’obbligo di fornire informazioni, può chiedere, nell’esercitare il proprio diritto di proporre reclamo, di verificare se, ai sensi del summenzionato articolo 14, paragrafo 5, lettera c), il diritto dello Stato membro preveda misure appropriate per tutelare gli interessi legittimi dell’interessato. 3) In caso di risposta affermativa alla seconda questione, se l’articolo 14, paragrafo 5, lettera c), del RGPD debba essere interpretato nel senso che le “misure appropriate” previste da detta disposizione comportano l’obbligo del legislatore nazionale di dare attuazione (con disposizioni di legge) alle misure relative alla sicurezza dei dati previste all’articolo 32 del medesimo regolamento». 22. Hanno presentato osservazioni scritte UC, l’autorità di controllo ungherese, il governo ungherese e la Commissione. La Corte ha posto quesiti per risposta scritta alle parti del procedimento e alle parti interessate ai sensi dell’articolo 23 dello Statuto della Corte di giustizia dell’Unione europea, ai quali hanno risposto UC, il governo ceco, il governo ungherese e la Commissione. IV. Valutazione A. Osservazioni preliminari sull’obbligo di informazione e sulla deroga di cui all’articolo 14, paragrafo 5, lettera c), del RGPD 23. L’informazione degli interessati è un elemento fondamentale del principio di trasparenza sancito all’articolo 5, paragrafo 1, lettera a), del RGPD. La trasparenza «consente agli interessati di imputare la responsabilità al titolare e al responsabile del trattamento», in quanto rafforza la loro possibilità di esercitare un controllo sui dati che li riguardano ( 5 ). Infatti, come dichiarato nella sentenza Bara e a., «tale obbligo di informare le persone interessate dal trattamento dei loro dati personali è ancora più rilevante poiché condiziona necessariamente l’esercizio da parte loro dei diritti (...) di accesso ai dati trattati e della rispettiva rettifica» ( 6 ). Le disposizioni fondamentali a tale proposito sono gli articoli 12, 13 e 14 del RGPD. 24. Ai sensi dell’articolo 12, paragrafo 1, del RGPD, il titolare del trattamento deve adottare misure appropriate per fornire all’interessato le informazioni di cui agli articoli 13 e 14 «in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro». Generalmente, le informazioni sono comunicate in un’informativa sulla privacy, una privacy policy o una dichiarazione sulla privacy ( 7 ). 25. Il contenuto e la portata dell’obbligo di informazione sono definiti negli articoli 13 e 14 del RGPD. L’articolo 13 disciplina le informazioni da fornire qualora i dati personali siano raccolti presso l’interessato (raccolta diretta), mentre l’articolo 14 disciplina le informazioni da fornire qualora i dati personali non siano stati ottenuti presso l’interessato (raccolta indiretta) ( 8 ). Le informazioni da fornire ai sensi delle due disposizioni suddette coincidono ampiamente ( 9 ). 26. Per quanto riguarda la raccolta indiretta dei dati, l’articolo 14, paragrafo 1, del RGPD include nel «catalogo delle informazioni standard» ( 10 ) le informazioni riguardanti l’identità del titolare del trattamento, le finalità del trattamento, i destinatari dei dati e l’eventuale trasferimento dei dati a un destinatario in un paese terzo. Tra le ulteriori informazioni necessarie a garantire un trattamento corretto e trasparente, l’articolo 14, paragrafo 2, del RGPD menziona espressamente il periodo di conservazione dei dati, i legittimi interessi perseguiti dal titolare del trattamento ( 11 ) e l’esistenza del diritto dell’interessato di chiedere al titolare del trattamento l’accesso ai dati personali e la rettifica o la cancellazione degli stessi. 27. L’obbligo del titolare del trattamento di fornire informazioni in caso di raccolta indiretta ai sensi dell’articolo 14 del RGPD è soggetto a quattro deroghe, previste dal paragrafo 5 del medesimo articolo. La deroga pertinente nel procedimento principale è quella stabilita all’articolo 14, paragrafo 5, lettera c), che contiene una «clausola di apertura» ( 12 ). Il titolare del trattamento è dispensato dall’obbligo di fornire informazioni se «l’ottenimento o la comunicazione sono espressamente previsti dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento e che prevede misure appropriate per tutelare gli interessi legittimi dell’interessato». 28. La versione in lingua inglese dell’articolo 14, paragrafo 5, lettera c), del RGPD, al pari di altre versioni linguistiche ( 13 ), non menziona espressamente l’oggetto dell’«ottenimento o [del]la comunicazione». Alcune altre versioni linguistiche fanno esplicitamente riferimento all’ottenimento o alla comunicazione di «dati» ( 14 ). Risulta che solo la versione in lingua francese si riferisce all’ottenimento o alla comunicazione di «informazioni» ( 15 ). 29. Tuttavia, dal momento che, in linea di principio, a tutte le versioni linguistiche di un atto dell’Unione deve essere riconosciuto lo stesso valore, in caso di divergenza fra tali versioni, la disposizione di cui trattasi deve essere interpretata in funzione della finalità e dell’economia generale della normativa di cui essa fa parte ( 16 ). 30. A questo proposito, dall’economia generale della normativa di cui l’articolo 14, paragrafo 5, lettera c), del RGPD fa parte risulta che l’ottenimento o la comunicazione riguarda i dati personali (e non le informazioni). Già dal titolo dell’articolo 14 risulta che le informazioni sono «fornite», mentre l’ottenimento riguarda «dati personali». Tale interpretazione è corroborata dal considerando 61, che menziona i «dati» ottenuti da altra fonte, e dal considerando 62, che menziona la registrazione e la comunicazione dei «dati personali». Inoltre, tenuto conto della portata ampia della nozione di «trattamento» ai sensi dell’articolo 4, punto 2, del RGPD, vale a dire qualsiasi operazione o insieme di operazioni applicate a dati personali ( 17 ), l’«ottenimento o la comunicazione» devono essere qualificati come operazione di trattamento applicata a dati personali . 31. Per quanto riguarda la finalità della normativa di cui l’articolo 14, paragrafo 5, lettera c), fa parte, il presupposto sotteso alla deroga corrispondente sembra essere che il diritto dell’Unione o degli Stati membri sostituisca o surroghi l’obbligo normalmente imposto al titolare del trattamento di fornire informazioni sull’ottenimento o sulla comunicazione di dati ( 18 ). In virtù della normativa pertinente, gli interessati sono già sufficientemente a conoscenza dell’ottenimento o della comunicazione dei dati ( 19 ). La pertinente normativa cui è soggetto il titolare del trattamento deve riguardare espressamente l’ottenimento o la comunicazione dei dati e l’ottenimento o la comunicazione di cui trattasi dovrebbero essere obbligatori per il titolare del trattamento ( 20 ). 32. Da quanto precede emerge chiaramente che l’oggetto della deroga all’ottenimento o alla comunicazione attiene ai dati personali . 33. È alla luce di tali osservazioni che esaminerò ulteriormente la deroga di cui all’articolo 14, paragrafo 5, lettera c), del RGPD nel contesto dell’analisi delle questioni sollevate. B. Sulla prima questione 34. Con la prima questione il giudice del rinvio chiede, in sostanza, se l’articolo 14, paragrafo 5, lettera c), del RGPD debba essere interpretato nel senso che la deroga all’obbligo del titolare del trattamento di fornire informazioni all’interessato si applica unicamente ai dati che il titolare del trattamento abbia espressamente ottenuto presso un altro soggetto, ad esclusione dei dati generati dal titolare del trattamento nell’ambito del proprio procedimento. 35. Tale questione deriva dal fatto che, nel procedimento principale, alcuni dati contenuti nei certificati COVID‑19 non sono stati ottenuti presso un altro organismo, bensì sono stati generati dall’Ufficio di Budapest ( 21 ). 36. Occorre quindi stabilire se il termine «ottenimento» di cui all’articolo 14, paragrafo 5, lettera c), del RGPD escluda i dati generati dal titolare del trattamento. 37. Per rispondere a tale questione occorre ricordare, in via preliminare, che l’interpretazione di una disposizione del diritto dell’Unione richiede di tener conto non soltanto della sua formulazione, ma anche del contesto in cui essa si inserisce nonché degli obiettivi e della finalità che persegue l’atto di cui essa fa parte ( 22 ). 38. Per quanto attiene alla formulazione dell’articolo 14, paragrafo 5, lettera c), del RGPD, tale disposizione non prevede una limitazione riguardo a un tipo specifico di trattamento o al metodo esatto con cui il titolare del trattamento ottiene i dati. Questi ultimi possono essere ottenuti mediante un procedimento tecnico, quale la generazione dei dati da parte del titolare del trattamento attraverso mezzi tecnici. 39. L’interpretazione estensiva del termine «ottenimento» è confermata dal considerando 62 del RGPD. [OSCURATO:PERSONA] considerando utilizza il termine «registrazione» dei dati, un’operazione che, come sottolineato dal giudice del rinvio, si riferisce a un gruppo più ampio di operazioni di trattamento che possono essere eseguite dal titolare del trattamento. L’articolo 14, paragrafo 5, lettera c), non può quindi essere interpretato nel senso che si applica solo in relazione ai dati ottenuti presso un altro soggetto e non ai dati generati dal titolare del trattamento. 40. Tale interpretazione dell’articolo 14, paragrafo 5, lettera c), del RGPD è inoltre confermata dal contesto in cui si inserisce detta disposizione nonché dagli obiettivi e dalla finalità perseguiti dalla stessa. 41. A tale proposito, si deve rilevare che le deroghe previste dall’articolo 14, paragrafo 5, si riferiscono ai paragrafi da 1 a 4 del medesimo articolo. L’ambito di applicazione materiale dell’articolo 14 (di cui fa parte la deroga in questione) è definito in modo negativo rispetto all’articolo 13. Mentre l’articolo 13 disciplina le informazioni da fornire quando i dati personali sono raccolti presso l’interessato, l’articolo 14 disciplina l’informazione quando i dati personali non sono stati ottenuti presso l’interessato. Dalla dicotomia tra raccolta dei dati diretta e indiretta discende che tutti i casi nei quali i dati non sono ottenuti presso l’interessato rientrano nell’ambito di applicazione materiale dell’articolo 14. È irrilevante che i dati siano generati dal titolare del trattamento, purché essi non siano ottenuti presso l’interessato. L’ampio ambito di applicazione materiale dell’articolo 14 è confermato anche dal considerando 61, che menziona i dati «ottenuti da altra fonte», ossia una fonte diversa dall’interessato. 42. Inoltre, come hanno osservato, in sostanza, la Commissione e l’autorità di controllo ungherese, le norme di cui agli articoli 13 e 14 del RGPD costituiscono un sistema completo che disciplina l’informazione dell’interessato in tutte le possibili situazioni. Qualora il termine «ottenimento» di cui all’articolo 14, paragrafo 5, lettera c), del RGPD fosse interpretato nel senso che esclude i dati generati dal titolare del trattamento, tale disposizione avrebbe una portata più ristretta rispetto all’articolo 14, di cui essa fa parte. 43. Per quanto riguarda la finalità specifica della deroga in questione, come rilevato nelle considerazioni preliminari delle presenti conclusioni, l’esenzione del titolare del trattamento dal fornire informazioni si basa sul presupposto che la normativa sostituisca l’obbligo di fornire informazioni normalmente imposto a tale soggetto ( 23 ). La deroga di cui all’articolo 14, paragrafo 5, lettera c), conferisce un margine di discrezionalità agli Stati membri al fine di prevedere un modo diverso di informare l’interessato e garantire un trattamento equo e trasparente rispetto all’informazione fornita dal titolare del trattamento su base individuale. Le diverse modalità legali devono comunque raggiungere lo stesso risultato. La normativa che sostituisce l’obbligo di informazione imposto ai titolari del trattamento deve mettere l’interessato in condizione di esercitare il controllo sui propri dati e di esercitare i propri diritti ai sensi del RGPD ( 24 ). 44. Interpretare l’articolo 14, paragrafo 5 lettera c), nel senso che esso esclude dal suo ambito di applicazione la generazione dei dati da parte del titolare del trattamento restringerebbe il margine di discrezionalità lasciato agli Stati membri sulla base di un motivo che non appare rilevante ai fini della tutela degli interessi legittimi dell’interessato. 45. Una diversa interpretazione – che introducesse un’eccezione alla deroga prevista dall’articolo 14, paragrafo 5, lettera c), quando i dati siano generati dal titolare del trattamento – rischierebbe di aggiungere un ulteriore elemento di complessità per l’interessato. Quest’ultimo deve poter sapere da quale fonte otterrà le informazioni sul trattamento dei propri dati quando essi non siano raccolti presso l’interessato stesso. La misura normativa pertinente deve rendere il trattamento prevedibile per l’interessato in tutte le situazioni di questo tipo ( 25 ). 46. Da quanto precede consegue che l’articolo 14, paragrafo 5, lettera c), del RGPD deve essere interpretato nel senso che la deroga all’obbligo del titolare del trattamento di fornire informazioni all’interessato si applica a tutti i dati che il titolare del trattamento non abbia ottenuto presso l’interessato. A tale proposito non rileva che i dati siano espressamente ottenuti presso un altro soggetto oppure generati dal titolare del trattamento nell’ambito del proprio procedimento. C. Sulla seconda questione 47. Con la seconda questione il giudice del rinvio chiede, in sostanza, se l’articolo 77, paragrafo 1, del RGPD debba essere interpretato nel senso che, nell’ambito di una procedura di reclamo, l’autorità di controllo è competente a verificare se il diritto dello Stato membro cui è soggetto il titolare del trattamento preveda misure appropriate per tutelare gli interessi legittimi dell’interessato ai fini dell’applicazione della deroga di cui all’articolo 14, paragrafo 5, lettera c), di detto regolamento. 48. A questo proposito, occorre rammentare, da un lato, che, ai sensi dell’articolo 77, paragrafo 1, del RGPD, l’interessato che ritenga che il trattamento di dati personali che lo riguardano violi tale regolamento ha il diritto di proporre reclamo a un’autorità di controllo ( 26 ). 49. Dall’altro, ai sensi dell’articolo 55, paragrafo 1, di detto regolamento, ogni autorità di controllo è competente a eseguire i compiti assegnati e ad esercitare i poteri a essa conferiti a norma del medesimo regolamento nel territorio del rispettivo Stato membro ( 27 ). Inoltre, conformemente all’articolo 57, paragrafo 1, lettera a), del RGPD, spetta alle autorità nazionali di controllo sorvegliare e assicurare l’applicazione del RGPD. 50. Le disposizioni citate nei due paragrafi precedenti non escludono dalla sfera di competenza delle autorità nazionali di controllo le condizioni di applicazione della deroga prevista dall’articolo 14, paragrafo 5, lettera c), del RGPD. 51. Pertanto, come sostenuto, in sostanza, dal governo ungherese e dalla Commissione, nel contesto di un reclamo proposto in forza dell’articolo 77, paragrafo 1, del RGPD, le autorità di controllo sono investite del potere di verificare se siano soddisfatte tutte le condizioni previste dall’articolo 14, paragrafo 5, lettera c). Come deriva dall’articolo 14, paragrafo 5, prima frase, tutte le deroghe previste dallo stesso si applicano «se e nella misura in cui» ricorrano le condizioni ivi stabilite. 52. A tal riguardo, le autorità di controllo devono avere il potere di verificare, più specificamente, in primo luogo, se la normativa riguardi direttamente il titolare del trattamento e se l’ottenimento o la comunicazione siano obbligatori per esso ( 28 ). In secondo luogo, le autorità di controllo devono poter verificare se la normativa sulla quale si basa il titolare del trattamento preveda «misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell’interessato» e se il titolare del trattamento sia in grado di dimostrare di aver ottenuto o comunicato i dati personali in conformità di tali misure ( 29 ). 53. L’autorità di controllo ungherese sostiene che esaminare la questione se il diritto nazionale preveda misure appropriate per tutelare gli interessi legittimi dell’interessato travalicherebbe i suoi compiti e poteri rispettivamente ai sensi degli articoli 57 e 58 del RGPD. Detta autorità ritiene che le menzionate disposizioni non conferiscano alle autorità di controllo poteri correttivi sul diritto nazionale e che non sia possibile esercitare tali poteri nei confronti di un titolare del trattamento che si sia limitato a conformarsi al diritto nazionale. 54. A questo proposito, si deve sottolineare che l’esame da parte di un’autorità nazionale di controllo della questione se siano soddisfatti tutti i requisiti per l’applicazione della deroga di cui all’articolo 14, paragrafo 5, lettera c), non implica, come giustamente rilevato dalla Commissione, una verifica della validità del diritto nazionale. L’autorità di controllo esamina solo la questione se il titolare del trattamento possa invocare la deroga nei confronti di un determinato interessato in una determinata situazione. 55. Spetta quindi all’autorità nazionale di controllo esaminare il reclamo dell’interessato secondo cui il titolare del trattamento non deve essere esonerato dall’obbligo di fornire informazioni per il motivo che la normativa pertinente non prevede misure appropriate per tutelare gli interessi legittimi dell’interessato. 56. Qualora l’autorità nazionale di controllo concluda che il reclamo è infondato, la persona che l’ha proposto e che contesta tale conclusione deve avere accesso, come risulta dall’articolo 78 del RGPD, a ricorsi giurisdizionali che le permettano di contestare siffatta decisione dinanzi ai giudici nazionali. 57. Qualora l’autorità nazionale di controllo ritenga che il reclamo sia fondato e che non ricorrano le condizioni della deroga, essa può, come hanno sostanzialmente sostenuto il governo ungherese e la Commissione, ordinare al titolare del trattamento di soddisfare la richiesta dell’interessato. In tale situazione, il titolare del trattamento deve fornire le informazioni ai sensi dell’articolo 14, paragrafi da 1 a 4. 58. In risposta ai quesiti scritti posti dalla Corte, il governo ceco ha affermato che l’esame dell’adeguatezza delle misure per tutelare gli interessi legittimi dell’interessato non è possibile quando il diritto nazionale preveda, in modo mirato, con riferimento a una situazione specifica, una deroga all’obbligo di fornire informazioni. Basandosi sulla sentenza Schrems ( 30 ), detto governo osserva, in sostanza, che l’esame della compatibilità di una fonte del diritto con un’altra fonte del diritto compete esclusivamente agli organi giurisdizionali e non ad un’autorità amministrativa. 59. A tale proposito, si deve ricordare che una delle principali questioni sollevate nella causa Schrems riguardava la competenza delle autorità nazionali di controllo ad esaminare la domanda di una persona relativa alla tutela dei suoi diritti e libertà con riguardo a una decisione della Commissione che constata che un paese terzo garantisce un livello di protezione adeguato ( 31 ). La Corte ha statuito che, in sede di esame di una simile domanda, le autorità nazionali di controllo non sono competenti a dichiarare esse stesse l’invalidità di detta decisione ( 32 ). Nell’ipotesi in cui l’autorità nazionale di controllo reputi fondate le censure sollevate dalla persona che l’ha investita di una domanda, questa stessa autorità deve poter promuovere azioni giudiziarie ( 33 ). 60. Tuttavia, la sentenza Schrems non sembra direttamente rilevante riguardo alla questione dei poteri delle autorità di controllo in relazione all’esame della deroga di cui all’articolo 14, paragrafo 5, lettera c), del RGPD. Si deve osservare preliminarmente che, nel contesto di tale esame, l’autorità di controllo non interferisce con l’obbligo legale imposto al titolare del trattamento di ottenere o comunicare i dati personali. In altre parole, l’autorità di controllo non ordina al titolare del trattamento di astenersi dall’applicare un obbligo legale di ottenimento o comunicazione cui esso rimane vincolato. Come hanno affermato, in sostanza, la Commissione e il governo ungherese, in una situazione siffatta, il potere dell’autorità nazionale di controllo consiste nell’ordinare al titolare del trattamento di fornire le informazioni necessarie nella sua informativa sulla privacy ( 34 ) qualora non ricorrano le condizioni della deroga in questione. Un ordine del genere, come si è rilevato in precedenza, non interferisce con la validità della misura normativa cui il titolare del trattamento è soggetto. 61. Il potere dell’autorità di controllo di ordinare al titolare del trattamento di fornire informazioni non pregiudica il potere di tale autorità, qualora ritenga che la disposizione normativa nazionale sia invalida, di agire in sede giudiziale secondo il diritto nazionale, ai sensi dell’articolo 58, paragrafo 5, del RGPD. 62. Infine, su un piano più sistemico, come hanno sostenuto tutte le parti interessate, l’autorità di controllo può consigliare al legislatore o all’esecutivo di modificare l’atto normativo pertinente qualora ritenga che esso non preveda misure appropriate per tutelare gli interessi legittimi dell’interessato. A tale proposito, si deve ricordare che le autorità di controllo hanno il compito di fornire consulenza al parlamento nazionale, al governo e ad altri organismi e istituzioni, ai sensi dell’articolo 57, paragrafo 1, lettera c), del RGPD. Esse dispongono inoltre dei poteri consultivi di cui all’articolo 58, paragrafo 3, lettera b), del RGPD. 63. Da quanto precede consegue che l’articolo 77, paragrafo 1, del RGPD deve essere interpretato nel senso che, nell’ambito di una procedura di reclamo, l’autorità di controllo è competente a verificare se siano soddisfatte tutte le condizioni di cui all’articolo 14, paragrafo 5, lettera c). Più in particolare, essa è competente ad esaminare la questione se il diritto dello Stato membro cui è soggetto il titolare del trattamento preveda misure appropriate per tutelare gli interessi legittimi dell’interessato. D. Sulla terza questione 64. Con la terza questione il giudice del rinvio chiede, in sostanza, se l’articolo 14, paragrafo 5, lettera c), del RGPD debba essere interpretato nel senso che le «misure appropriate» menzionate in detta disposizione comportano l’obbligo del legislatore nazionale di dare attuazione alle misure relative alla sicurezza dei dati previste all’articolo 32 di detto regolamento. 65. A tale proposito si deve ricordare, da un lato, che l’applicabilità della deroga all’obbligo di fornire informazioni ai sensi dell’articolo 14, paragrafo 5, lettera c), del RGPD dipende dalla circostanza che siano previste «misure appropriate» per tutelare gli interessi legittimi dell’interessato. Dall’altro, dall’articolo 32 del RGPD discende che il titolare e il responsabile del trattamento devono mettere in atto «misure tecniche e organizzative adeguate» per garantire la sicurezza del trattamento. 66. Tuttavia, come sostiene la Commissione, gli articoli 14 e 32 hanno ambiti diversi. L’ambito delle «misure appropriate» deve essere esaminato nel contesto dell’articolo 14 del RGPD. Pertanto, non è possibile determinare una delle condizioni di applicazione della deroga di cui all’articolo 14, paragrafo 5, lettera c), trasponendo la nozione di «misure tecniche e organizzative adeguate» utilizzata in un’altra disposizione. Inoltre, nel contesto dell’articolo 32 del RGPD, non sembra rilevante se sia il titolare del trattamento a fornire informazioni oppure l’ottenimento o la comunicazione siano previsti dalla legge. Di conseguenza, l’oggetto dell’esame effettuato dall’autorità di controllo deve essere circoscritto dall’ambito di applicazione dell’articolo 14. 67. Il contenuto esatto delle «misure appropriate» non è specificato dall’articolo 14, paragrafo 5, lettera c), del RGPD. Esso è sufficientemente ampio da comprendere qualsiasi misura che il legislatore ritenga necessaria e appropriata. La nozione di «misure appropriate» deve essere interpretata, come sostenuto, in sostanza, dalla Commissione, alla luce del principio di trasparenza sancito dall’articolo 5, paragrafo 1, lettera a), del RGPD. A tale proposito, occorre tenere conto del fatto che la misura normativa in questione, come si è rilevato nelle considerazioni preliminari delle presenti conclusioni ( 35 ), è un «surrogato» dell’obbligo di informazione che di regola incombe al titolare del trattamento. Spetta al legislatore determinare le misure appropriate in funzione, ad esempio, della categoria di dati ottenuti e del contesto in cui avviene il trattamento. 68. Nella risposta al quesito posto dalla Corte, il governo ceco ha affermato che la portata delle misure appropriate è più ampia rispetto all’elenco di informazioni di cui ai paragrafi 1, 2 e 4 dell’articolo 14 del RGPD. 69. Concordo sul fatto che l’adeguatezza delle misure non può essere valutata solo mediante un confronto «meccanico» con gli obblighi di informazione del titolare del trattamento armonizzati dal RGPD. Sembrerebbe poco sensato prevedere una «clausola di apertura» ai sensi dell’articolo 14, paragrafo 5, lettera c) ( 36 ), imponendo nel contempo esattamente il medesimo obbligo senza lasciare alcun margine di discrezionalità al legislatore. Ciò posto, la disposizione nazionale pertinente deve garantire uno standard di correttezza e trasparenza del trattamento equivalente a quello garantito dall’articolo 14, paragrafi da 1 a 4 ( 37 ). Affinché l’interessato possa valutare eventuali rischi connessi all’ottenimento dei dati e al loro trattamento ( 38 ), deve emergere dalla semplice lettura della disposizione normativa pertinente chi tratti i dati, per quale motivo e in che modo ( 39 ). Come ho precedentemente indicato ( 40 ), le diverse modalità legali devono raggiungere lo stesso risultato, che consiste nel mettere l’interessato in condizione di esercitare il controllo sui propri dati e di esercitare i propri diritti ai sensi del RGPD. 70. Lo specifico fondamento giuridico del trattamento incide anche sulla determinazione delle «misure appropriate» per le specifiche circostanze del trattamento. A questo proposito, occorre rammentare che dall’articolo 6, paragrafo 1, lettere c) ed e), del RGPD discende che il trattamento è lecito se e nella misura in cui esso sia necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento e quando il trattamento è necessario per l’esecuzione di un compito di interesse pubblico. In relazione a tale trattamento, ai sensi dell’articolo 6, paragrafo 2, gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del RGPD con riguardo al trattamento determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto ( 41 ). Inoltre, conformemente all’articolo 9, paragrafo 2, lettera i), del RGPD, quando il trattamento è necessario per motivi di interesse pubblico nel settore della sanità pubblica, il diritto degli Stati membri (o dell’Unione) deve prevedere misure appropriate e specifiche per tutelare i diritti e le libertà dell’interessato. 71. Nel procedimento principale, l’ottenimento dei dati era imposto dal decreto 60/2021, che, come risulta dal fascicolo, è stato adottato sulla base dell’articolo 6, paragrafo 1, lettere c) ed e), e dell’articolo 9, paragrafo 2, lettera i), del RGPD. Il governo ungherese sostiene che il decreto 60/2021 – oltre alle garanzie generali che si applicano in forza della normativa adottata per garantire la liceità del trattamento – prevedeva garanzie aggiuntive. A questo proposito, detto governo ha dichiarato che una di tali garanzie consiste nel fatto che i subappaltatori designati da tale decreto appartengono allo Stato e sono tenuti a rispettare le norme in materia di sicurezza dei dati applicabili agli organismi statali e all’amministrazione locale. Spetta al giudice del rinvio esaminare tali argomenti alla luce delle considerazioni sopra esposte. 72. Tenuto conto di quanto precede, ritengo che l’articolo 14, paragrafo 5, lettera c), del RGPD debba essere interpretato nel senso che le «misure appropriate» previste da tale disposizione non comportano l’obbligo del legislatore nazionale di dare attuazione alle misure relative alla sicurezza dei dati previste all’articolo 32 di detto regolamento. V. Conclusione 73. Alla luce delle suesposte considerazioni, suggerisco alla Corte di rispondere alle questioni pregiudiziali sollevate dalla Kúria (Corte suprema, Ungheria) nei seguenti termini: 1) L’articolo 14, paragrafo 5, lettera c), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), deve essere interpretato nel senso che la deroga all’obbligo del titolare del trattamento di fornire informazioni all’interessato si applica a tutti i dati che il titolare del trattamento non abbia ottenuto presso l’interessato. A tale proposito non rileva che i dati siano espressamente ottenuti presso un altro soggetto oppure generati dal titolare del trattamento nell’ambito del proprio procedimento. 2) L’articolo 77, paragrafo 1, del regolamento 2016/679 deve essere interpretato nel senso che, nell’ambito di una procedura di reclamo, l’autorità di controllo è competente a verificare se siano soddisfatte tutte le condizioni di cui all’articolo 14, paragrafo 5, lettera c). Più in particolare, essa è competente ad esaminare la questione se il diritto dello Stato membro cui è soggetto il titolare del trattamento preveda misure appropriate per tutelare gli interessi legittimi dell’interessato. 3) L’articolo 14, paragrafo 5, lettera c), del regolamento 2016/679 deve essere interpretato nel senso che le «misure appropriate» previste da tale disposizione non comportano l’obbligo del legislatore nazionale di dare attuazione alle misure relative alla sicurezza dei dati previste all’articolo 32 di detto regolamento. ( 1 ) Lingua originale: l’inglese. ( i ) Il nome della presente causa è un nome fittizio. Non corrisponde al nome reale di nessuna delle parti del procedimento. ( 2 ) Conclusioni dell’avvocato generale [OSCURATO:PERSONA] nella causa Bara e a. ( C‑201/14 , EU:C:2015:461 , paragrafo 74 ) (il corsivo è mio). ( 3 ) Vrabec, H., « [OSCURATO:PERSONA] under the GDPR », [OSCURATO:PERSONA], [OSCURATO:PERSONA], 2021, pag. 64 (traduzione libera). ( 4 ) Regolamento del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) ( GU 2016, L 119, pag. 1 ; in prosieguo: il «RGPD»). ( 5 ) V. [OSCURATO:PERSONA] di lavoro articolo 29 per la protezione dei dati, Linee guida sulla trasparenza ai sensi del regolamento 2016/679 , adottate il 29 novembre 2017, 17/IT WP260 rev. 01 (in prosieguo: le «linee guida sulla trasparenza»), punto 4. [OSCURATO:PERSONA] di lavoro è stato successivamente sostituito dal Comitato europeo per la protezione dei dati (EDPB). Tuttavia, le linee guida sulla trasparenza rimangono valide. V. altresì EDPB, Linee‑guida 03/2020 sul trattamento dei dati relativi alla salute a fini di ricerca scientifica nel contesto dell’emergenza legata al COVID‑19 , adottate il 21 aprile 2020, punto 5.1.2.4. ( 6 ) Sentenza del 1o ottobre 2015, Bara e a. ( C‑201/14 , EU:C:2015:638 , punto 33 ), che richiama le conclusioni dell’avvocato generale [OSCURATO:PERSONA] in tale causa. ( 7 ) Linee guida sulla trasparenza, punto 24. V. anche Vrabec, H., [OSCURATO:PERSONA] under the GDPR , op. cit. alla nota 3 supra , pag. 84. ( 8 ) V. Zanfir‑Fortuna, G., «Article 14. Information to be provided where personal data have not been obtained from the data subject», in Kuner, C., Bygrave, L.A. e Docksey, C. (ed.), The EU [OSCURATO:PERSONA] (GDPR) – A [OSCURATO:PERSONA] , [OSCURATO:PERSONA], [OSCURATO:PERSONA], 2020, pagg. da 435 a 448, in particolare pag. 436. ( 9 ) Ibid ., pag. 444. ( 10 ) Vrabec, H., [OSCURATO:PERSONA] under the GDPR , op. cit. alla nota 3 supra , pag. 68. ( 11 ) Qualora il trattamento si basi sull’articolo 6, paragrafo 1, lettera f), del RGPD. ( 12 ) In quanto disposizione che contiene una clausola di apertura, essa offre agli Stati membri la possibilità di prevedere norme nazionali supplementari, più rigorose ovvero a carattere derogatorio, e lasciano a questi ultimi un margine di discrezionalità circa il modo in cui le pertinenti disposizioni possono essere attuate (v., in tal senso, sentenza del 30 marzo 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21 , EU:C:2023:270 , punto 51 ). V. Knyrim, R., «IV. Ausnahme von der Informationspflicht» in Ehmann, E. e Selmayr, M., [OSCURATO:PERSONA], DS – GVO , [OSCURATO:PERSONA], [OSCURATO:PERSONA] di Baviera, 2 a edizione, 2018, articolo 14, punti da 42 a 48, in particolare punto 47. ( 13 ) Vale a dire le versioni nelle lingue bulgara, danese, tedesca, greca, spagnola, italiana, lettone, polacca, slovacca e svedese. ( 14 ) Ciò vale in particolare per le versioni nelle lingue estone (« isikuandmed »), lituana (« duomenų »), ungherese (« adat »), neerlandese (« gegevens »), portoghese (« dados »), rumena (« datelor ») e finlandese (« tietojen »). ( 15 ) Nella dottrina di lingua francese è stato rilevato che la versione in lingua francese avrebbe dovuto riportare «dati», anziché «informazioni», come nel caso del predecessore dell’articolo 14, paragrafo 5, lettera c), del RGPD, vale a dire l’articolo 11, paragrafo 2, della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati ( GU 1995, L 281, pag. 31 ) [v. de Terwangne, C. e Rosier, K., «Section 1. – Droit d’être informée de l’existence de traitements la concernant» in Le règlement général sur la protection des données (RGPD/GDPR) , Larcier, Bruxelles, 1 a edizione, 2018, pagg. da 409 a 432, in particolare nota 132]. ( 16 ) V., in tal senso, sentenza del 21 marzo 2024, Cobult ( C‑76/23 , EU:C:2024:253 , punto 25 e giurisprudenza ivi citata). ( 17 ) V., in tal senso, sentenza del 5 ottobre 2023, Ministerstvo zdravotnictví (Applicazione mobile COVID‑19) ( C‑659/22 , EU:C:2023:745 , punto 27 ). ( 18 ) Ebner, K., «6. Ausschluss der Informationspflicht», Weniger ist Mehr? [OSCURATO:PERSONA] der DS-GVO – Eine kritische Analyse , Nomos, Baden‑Baden, 2022, pagg. da 272 a 298, in particolare pag. 280. Tale autore rileva inoltre (pag. 281) che l’esenzione del titolare del trattamento dall’obbligo di fornire informazioni nella situazione di cui all’articolo 14, paragrafo 5, lettera c), è uno strumento per evitare il rischio di «affaticamento» informativo o «sovraccarico» informativo; Dix, A., «DSGVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- g) [OSCURATO:PERSONA] durch das Recht der Mitgliedstaaten oder der Union (Abs. 5 lit. c)» in Simitis, S., Hornung, G. e Spiecker, I., Datenschutzrecht DS-GVO mit [OSCURATO:PERSONA] Großkommentar , [OSCURATO:PERSONA], [OSCURATO:PERSONA] di Baviera, 2019, punti 27 e 28, in particolare punto 27, che definisce la normativa in questione come un «surrogato sufficiente» (« hinreichendes Surrogat ») per le necessarie informazioni fornite dal titolare del trattamento. ( 19 ) Dix, A., op. cit. alla nota 18 supra . ( 20 ) Linee guida sulla trasparenza, pag. 34. Di conseguenza, i titolari del trattamento devono essere in grado di dimostrare che il diritto in questione trova applicazione nei loro confronti e impone loro l’ottenimento o la comunicazione dei dati personali in questione. ( 21 ) V. paragrafo 16 delle presenti conclusioni. ( 22 ) Sentenza del 7 dicembre 2023, SCHUFA Holding (Esdebitazione) ( C‑26/22 e C‑64/22 , EU:C:2023:958 , punto 48 e giurisprudenza ivi citata). ( 23 ) V. paragrafo 31 supra . ( 24 ) V. paragrafo 23 supra . ( 25 ) Dix, A., in Simitis, S., Hornung, G. e Spiecker, I., op. cit. alla nota 18, punto 27, e Ebner, K., «6. Ausschluss der Informationspflicht», op. cit. alla nota 18, pag. 281. Inoltre, dalla sentenza del 1o ottobre 2015, Bara e a. ( C‑201/14 , EU:C:2015:638 , punto 40 ), risulta che una misura legislativa che introduca una deroga all’obbligo di informazione deve essere pubblicata ufficialmente. ( 26 ) Sentenza del 16 gennaio 2024, [OSCURATO:PERSONA] ( C‑33/22 , EU:C:2024:46 , punto 61 ). ( 27 ) Ibid. ( 28 ) V. linee guida sulla trasparenza, punto 66. ( 29 ) Ibid. ( 30 ) Sentenza del 6 ottobre 2015, Schrems ( C‑362/14 , EU:C:2015:650 , punto 65 ). ( 31 ) Adottata ai sensi dell’articolo 25, paragrafo 6, della direttiva 95/46. ( 32 ) V., in tal senso, sentenza del 6 ottobre 2015, Schrems ( C‑362/14 , EU:C:2015:650 , punto 62 ). ( 33 ) Ibid ., punto 65. ( 34 ) Ciò non pregiudica la normativa dello Stato membro che limiti il diritto all’informazione per uno dei motivi indicati all’articolo 23 del RGPD. ( 35 ) Paragrafo 31 delle presenti conclusioni. ( 36 ) V. paragrafo 27 delle presenti conclusioni. ( 37 ) V., in tal senso, Ebner, K., «6. Ausschluss der Informationspflicht», op. cit. alla nota 18, pag. 281, che menziona un livello di protezione comparabile (« vergleichbares Schutzniveau »); Mester, B.‑A., «DS-GVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- 3. [OSCURATO:PERSONA] (Abs. 5 lit. c)», in Taeger, J. e Gabel, D., DSGVO – [OSCURATO:PERSONA] – [OSCURATO:PERSONA], [OSCURATO:PERSONA], [OSCURATO:PERSONA] di Baviera, 2022, punto 26; Paal, B. e Hennemann, M., «DS-GVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- III. [OSCURATO:PERSONA] (lit. c)», in Paal, B. e Pauly, D., [OSCURATO:PERSONA]-[OSCURATO:PERSONA]: DS-[OSCURATO:PERSONA] , [OSCURATO:PERSONA], [OSCURATO:PERSONA] di Baviera, 2021, punto 42. ( 38 ) Mester, B.‑A., in Taeger, J. e Gabel, D., op. cit. alla nota 37. ( 39 ) Ebner, K., «6. Ausschluss der Informationspflicht», op. cit. alla nota 18, pag. 281. ( 40 ) Paragrafo 43 delle presenti conclusioni. ( 41 ) Tali misure specifiche possono contenere gli elementi indicati nell’articolo 6, paragrafo 3, del RGPD, tra cui: le condizioni generali relative alla liceità del trattamento; le tipologie di dati oggetto del trattamento; i soggetti cui possono essere comunicati i dati personali e le finalità per cui sono comunicati; le limitazioni della finalità, i periodi di conservazione e le operazioni e procedure di trattamento, comprese le misure atte a garantire un trattamento lecito e corretto, quali quelle per altre specifiche situazioni di trattamento di cui al capo IX del RGPD.