Corte di giustizia UE/2022

62021CC0077 CONCLUSIONI DELL’[OSCURATO:PERSONA] presentate il 31 marzo 2022 ( 1 ) Causa C‑77/21 [OSCURATO:PERSONA] és [OSCURATO:PERSONA]. contro [OSCURATO:PERSONA] és [OSCURATO:PERSONA] [domanda di pronuncia pregiudiziale proposta dal Fővárosi Törvényszék (Corte di Budapest-[OSCURATO:PERSONA], [OSCURATO:PERSONA])] «Rinvio pregiudiziale – Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento (UE) 2016/679 – Articolo 5, paragrafo 1, lettere b) ed e) – Principio di limitazione della finalità – Principio di limitazione della conservazione – Dati personali di clienti raccolti e memorizzati lecitamente – Creazione di un’altra banca dati interna specifica a seguito di un guasto tecnico – Verifica a posteriori delle finalità del trattamento – Duplice finalità – Assenza di identità fra le finalità del trattamento e quelle della raccolta dei dati – Compatibilità del trattamento con le finalità della raccolta – Articolo 6, paragrafo 4 – Omessa eliminazione della banca dati dopo la correzione del guasto tecnico – Realizzazione delle finalità del trattamento» 1. A che condizioni un fornitore di accesso ad Internet e alla telediffusione può conservare i dati personali dei suoi clienti, raccolti e già memorizzati lecitamente, su un supporto interno supplementare, senza il loro consenso espresso bensì al fine di ovviare ad un guasto tecnico? 2. Si tratta di una delle questioni sollevate dalla presente causa che consentirà alla Corte di integrare la sua giurisprudenza sempre più abbondante relativa al regolamento (UE) 2016/679 ( 2 ), per quanto riguarda più specificamente i principi di limitazione della finalità e della conservazione enunciati all’articolo 5, paragrafo 1, lettere b) ed e), di tale atto. I. Contesto normativo 3. Nell’ambito della presente causa, vengono in rilievo gli articoli da 4 a 6, 13 e 32 del RGPD. II. Fatti e questioni pregiudiziali 4. [OSCURATO:PERSONA] és [OSCURATO:PERSONA]. (in prosieguo: la «[OSCURATO:PERSONA]») è uno dei principali fornitori di servizi di Internet e di telediffusione in [OSCURATO:PERSONA]. 5. Nell’aprile del 2018, a seguito di un guasto tecnico che aveva pregiudicato il funzionamento di un server, la [OSCURATO:PERSONA] ha creato una banca dati detta «di test» nella quale ha copiato i dati personali di circa un terzo dei suoi clienti privati. 6. Il 23 settembre 2019, la [OSCURATO:PERSONA] è venuta a conoscenza del fatto che un « hacker etico» aveva avuto accesso ai dati personali di circa 322000 persone. L’attacco è stato segnalato per iscritto dallo stesso hacker in un messaggio di posta elettronica indirizzato a tale impresa il 21 settembre 2019, recuperando, a titolo dimostrativo, uno dei record della banca dati di test. [OSCURATO:PERSONA] ha corretto la falla e ha stipulato un accordo di riservatezza con tale persona, alla quale ha offerto una ricompensa. 7. Dopo aver eliminato la banca dati di test, la [OSCURATO:PERSONA] ha notificato la violazione di dati personali alla [OSCURATO:PERSONA] és [OSCURATO:PERSONA] (Autorità nazionale incaricata della protezione dei dati e della libertà di informazione; in prosieguo: l’«Autorità»), il 25 settembre 2019; a seguito di ciò quest’ultima ha avviato un’indagine. 8. Con decisione del 18 maggio 2020, l’Autorità ha segnatamente concluso, da un lato, che la [OSCURATO:PERSONA] aveva violato l’articolo 5, paragrafo 1, lettere b) ed e), del RGPD, non avendo eliminato, dopo aver effettuato i test necessari e corretto gli errori, la banca dati di test, cosicché una grande quantità di dati personali era stata conservata in tale banca dati di test per quasi diciotto mesi senza alcuna finalità in un file idoneo a consentire l’identificazione delle persone interessate, e l’omessa eliminazione di tale banca dati aveva reso possibile il verificarsi di una violazione dei dati personali. Dall’altro, l’Autorità ha considerato che la [OSCURATO:PERSONA] aveva violato l’articolo 32, paragrafi 1 e 2, del RGPD. In tali circostanze, l’Autorità ha inflitto alla [OSCURATO:PERSONA] un’ammenda pari a 100000000 fiorini ungheresi (HUF) (circa EUR 270000). 9. [OSCURATO:PERSONA] ha contestato la legittimità di tale decisione dinanzi al giudice del rinvio. 10. Quest’ultimo rileva che i dati personali copiati dalla [OSCURATO:PERSONA] nella banca dati di test sono stati raccolti ai fini della stipula di contratti di abbonamento e che la liceità della raccolta dei dati non è stata messa in discussione dall’Autorità. Esso si chiede, tuttavia, se la finalità della raccolta e del trattamento dei dati subisca una modifica per il fatto che i dati raccolti per una finalità determinata siano stati copiati in un’altra banca dati. Esso aggiunge che è necessario altresì stabilire se la creazione di una banca dati di test e la prosecuzione del trattamento dei dati dei clienti con questa modalità siano compatibili con la finalità della raccolta di tali dati. A tal riguardo, il principio di limitazione della finalità non fornirebbe indicazioni chiare riguardo alla questione di determinare in quali sistemi interni il titolare del trattamento abbia il diritto di trattare i dati raccolti in maniera lecita oppure se quest’ultimo possa copiare tali dati in una banca dati di test senza alterare la finalità della raccolta di dati. 11. Per il caso in cui la creazione della banca dati di test fosse incompatibile con la finalità della raccolta, il giudice del rinvio si chiede parimenti se, nella misura in cui la finalità del trattamento dei dati dei clienti in un’altra banca dati non è la rettifica di errori bensì la stipula dei contratti, il periodo di conservazione necessario debba essere allineato al periodo necessario alla rettifica degli errori o piuttosto al periodo necessario all’esecuzione degli obblighi contrattuali. 12. In tali circostanze, la Fővárosi Törvényszék (Corte di Budapest‑[OSCURATO:PERSONA], [OSCURATO:PERSONA]) ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali: «1) Se la nozione di “limitazione della finalità” di cui all’articolo 5, paragrafo 1, lettera b), del [RGPD] (…) debba essere interpretata nel senso che è conforme con tale nozione il fatto che il titolare del trattamento conservi parallelamente, in un’altra banca dati, alcuni dati personali che sono stati peraltro raccolti e conservati per una finalità legittima limitata o, al contrario, per quanto riguarda la banca dati parallela, nel senso che la finalità legittima limitata della raccolta dei dati non è più valida. 2) Qualora la risposta alla prima questione pregiudiziale sia che la conservazione parallela dei dati risulta di per sé incompatibile con il principio della “limitazione della finalità”, se sia compatibile con il principio della “limitazione della conservazione” di cui all’articolo 5, paragrafo 1, lettera e), del [RGPD] il fatto che il titolare del trattamento conservi parallelamente in un’altra banca dati alcuni dati personali che sono stati peraltro raccolti e conservati per una finalità legittima limitata». III. Procedimento dinanzi alla Corte 13. Hanno depositato osservazioni scritte le parti ricorrente e convenuta nel procedimento principale, i governo ungherese, ceco e portoghese, nonché la [OSCURATO:PERSONA] europea. Le parti ricorrente e convenuta nel procedimento principale, nonché il governo ungherese e la [OSCURATO:PERSONA] hanno anche formulato osservazioni orali all’udienza che ha avuto luogo il 17 gennaio 2022. IV. Analisi A. Sulla ricevibilità 14. L’Autorità e il governo ungherese hanno espresso dubbi sulla ricevibilità della domanda di pronuncia pregiudiziale, adducendo che le questioni sollevate non rifletterebbero i fatti del procedimento principale né sarebbero direttamente rilevanti per la sua soluzione. 15. Da costante giurisprudenza della Corte risulta che spetta esclusivamente al giudice nazionale, cui è stata sottoposta la controversia e che deve assumersi la responsabilità dell’emananda decisione giurisdizionale, valutare, alla luce delle particolari circostanze di ciascuna causa, tanto la necessità di una pronuncia pregiudiziale per essere in grado di pronunciare la propria sentenza, quanto la rilevanza delle questioni che sottopone alla Corte. Di conseguenza, se le questioni sollevate vertono sull’interpretazione o sulla validità di una norma giuridica dell’Unione, la Corte, in linea di principio, è tenuta a statuire. Ne consegue che le questioni sollevate dai giudici nazionali godono di una presunzione di rilevanza. Il rifiuto della Corte di pronunciarsi su una questione pregiudiziale sollevata da un giudice nazionale è possibile solo qualora risulti che l’interpretazione richiesta non ha alcuna relazione con la realtà o con l’oggetto del procedimento principale, qualora il problema sia di natura ipotetica o, ancora, quando la Corte non disponga degli elementi di fatto o di diritto necessari per fornire una soluzione utile a tali questioni. Nella fattispecie, la domanda di pronuncia pregiudiziale contiene elementi di fatto e di diritto sufficienti a comprendere la portata delle questioni pregiudiziali. Inoltre, e soprattutto, nessun elemento del fascicolo di cui dispone la Corte consente di ritenere che l’interpretazione del diritto dell’Unione richiesta non abbia alcun rapporto con la realtà o con l’oggetto della controversia di cui al procedimento principale o sia di natura ipotetica ( 3 ). 16. Occorre rilevare, a tal riguardo, che il giudice del rinvio è investito di un ricorso di annullamento di una decisione che sanziona la [OSCURATO:PERSONA], nella sua qualità di titolare del trattamento, a causa di un’asserita violazione dei principi di limitazione della finalità e della conservazione di cui all’articolo 5, paragrafo 1, lettere b) ed e), del RGPD, sul quale verte la domanda di interpretazione di tale giudice. La domanda di pronuncia pregiudiziale deve essere pertanto considerata ricevibile. B. Sul contesto normativo in esame 17. È giocoforza constatare che la domanda di pronuncia pregiudiziale verte esclusivamente sull’interpretazione dell’articolo 5 del RGPD nell’ambito di una controversia principale avente ad oggetto la liceità di un trattamento di dati personali effettuato dalla [OSCURATO:PERSONA], uno dei principali fornitori di servizi Internet e di telediffusione in [OSCURATO:PERSONA], il quale costituisce, pertanto, un operatore che offre un accesso a servizi di comunicazione al pubblico online. 18. Orbene, occorre rilevare che l’articolo 1 della direttiva 2002/58/CE ( 4 ) dispone, al suo paragrafo 1, che tale direttiva prevede l’armonizzazione delle disposizioni nazionali necessarie per assicurare, segnatamente, un livello equivalente di tutela dei diritti e delle libertà fondamentali, in particolare del diritto alla vita privata e alla riservatezza, con riguardo al trattamento dei dati personali nel settore delle comunicazioni elettroniche. Inoltre, l’articolo 3 della direttiva 2002/58 enuncia che tale direttiva si applica al trattamento dei dati personali connesso alla fornitura di servizi di comunicazione elettronica accessibili al pubblico su reti di comunicazione pubbliche nell’Unione, comprese le reti di comunicazione pubbliche che supportano i dispositivi di raccolta e di identificazione dei dati. Pertanto, detta direttiva deve essere considerata come disciplinante le attività dei fornitori di tali servizi ( 5 ). 19. In conformità al suo articolo 1, paragrafo 2, la direttiva 2002/58 precisa ed integra la direttiva 95/46/CE ( 6 ) ai fini di cui al menzionato paragrafo 1 di detto articolo, fermo restando che, ai sensi dell’articolo 94, paragrafo 2, del RGPD, i riferimenti, nella direttiva 2002/58, alla direttiva 95/46 si intendono fatti al medesimo regolamento ( 7 ). Ai sensi del considerando 10 della direttiva 2002/58, nel settore delle comunicazioni elettroniche trova applicazione la direttiva 95/46/CE, in particolare per quanto riguarda tutti gli aspetti relativi alla tutela dei diritti e delle libertà fondamentali non specificamente disciplinati nell’ambito della direttiva 2002/58, compresi gli obblighi del titolare del trattamento dei dati personali e i diritti delle persone fisiche ( 8 ). 20. Dalla domanda di pronuncia pregiudiziale risulta che la controversia di cui al procedimento principale non verte sull’utilizzo dei servizi di comunicazione elettronica da parte degli abbonati della [OSCURATO:PERSONA] e, pertanto, sulla protezione delle comunicazioni così effettuate nonché dei dati relativi al traffico disciplinata dalla direttiva 2002/58, ma si iscrive nell’ambito del funzionamento interno di tale impresa. È pacifico che, nel 2018 e a seguito di un guasto tecnico del server tradottosi in un’inaccessibilità della banca dati originaria dei suoi abbonati, la [OSCURATO:PERSONA] ha creato un file denominato «test» nel quale ha copiato i dati personali di una parte dei suoi clienti ( 9 ). Una volta posto rimedio a tale malfunzionamento da parte della [OSCURATO:PERSONA], la memorizzazione di dati nella banca supplementare è proseguita fino al settembre del 2019, periodo in cui è stato compiuto un atto di pirateria informatica che ha arrecato pregiudizio a tale banca. L’attività così svolta dalla [OSCURATO:PERSONA] presenta il carattere di un «trattamento di dati personali», per il quale tale impresa è il «titolare», ai sensi delle definizioni indicate all’articolo 4, paragrafi 2 e 7, del RGPD. Inoltre, è in tale qualità che la [OSCURATO:PERSONA] è stata sanzionata dall’Autorità per avere violato, in tale occasione, i suoi obblighi risultanti, segnatamente, dall’articolo 5, paragrafo 1, lettere b) ed e), del RGPD. 21. Occorre ricordare, al riguardo, che, fatte salve le deroghe ammesse ai sensi dell’articolo 23 del RGPD, qualsiasi trattamento di dati personali deve rispettare i principi che lo disciplinano, nonché i diritti dell’interessato enunciati rispettivamente ai capi II e III di tale regolamento. In particolare, qualsiasi trattamento di dati personali deve essere conforme, da un lato, ai principi enunciati all’articolo 5 di detto regolamento e, dall’altro, soddisfare le condizioni di liceità elencate all’articolo 6 del medesimo regolamento ( 10 ). 22. Ai sensi dell’articolo 5 del RGPD, spetta al titolare del trattamento garantire che i dati personali siano «trattati in modo lecito, corretto e trasparente» [lettera a)], che siano «raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità» [lettera b)], che siano «adeguati, pertinenti e [non eccedenti] rispetto alle finalità per le quali sono [raccolti e successivamente trattati]» [lettera c)], che siano «esatti e, se necessario, aggiornati» [lettera d)] e, infine, che siano «conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono [raccolti o successivamente trattati]» [lettera e)], fermo restando che il trattamento dei dati a scopi storici, statistici o scientifici è oggetto di specifiche disposizioni. In tale contesto, siffatto titolare deve adottare tutte le misure ragionevoli affinché i dati che non soddisfano le prescrizioni dettate dalla suddetta disposizione vengano cancellati o rettificati ( 11 ). C. Sulla portata della domanda di pronuncia pregiudiziale 23. Il giudice del rinvio desidera ricevere dalla Corte indicazioni in merito all’interpretazione dei principi di limitazione della finalità e di limitazione della conservazione sanciti, rispettivamente, all’articolo 5, paragrafo 1, lettere b) ed e), del RGPD; ciò si è tradotto nella formulazione di due questioni pregiudiziali distinte relative a tali disposizioni. Resta il fatto che la seconda questione, vertente sul principio di limitazione della conservazione dei dati, è formulata unicamente in termini ipotetici, per il caso di un’incompatibilità del trattamento in questione con il principio di limitazione delle finalità. 24. Orbene, occorre sottolineare che i requisiti relativi al trattamento dei dati personali enunciati all’articolo 5 del RGPD sono, con tutta evidenza, cumulativi e autonomi gli uni rispetto agli altri ( 12 ). La problematica del rispetto del principio di limitazione della conservazione è indipendente sotto il profilo giuridico da quella relativa al principio di limitazione delle finalità. Nella decisione oggetto del procedimento principale, l’Autorità considera che la memorizzazione dei dati in un supporto supplementare interno è all’origine della violazione dei due distinti principi summenzionati. 25. Formalmente il giudice del rinvio ha sì limitato la sua seconda questione conferendole carattere ipotetico, ma ciò non impedisce alla Corte di fornirgli tutti gli elementi interpretativi che possano essere utili per statuire nel procedimento principale, traendo dall’insieme degli elementi forniti da tale giudice e, in particolare, dalla motivazione della decisione di rinvio, gli elementi del diritto dell’Unione che necessitano di un’interpretazione, tenuto conto dell’oggetto della controversia ( 13 ). D. Sulla liceità del trattamento alla luce dei principi di limitazione delle finalità e di conservazione 1. Osservazioni preliminari 26. Mi sembra necessario, in via preliminare, analizzare la rispettiva portata dei principi definiti all’articolo 5, paragrafo 1, lettere b) ed e), del RGPD, e ciò in correlazione con la nozione di conservazione impiegata nella decisione di rinvio e nelle memorie delle parti interessate per descrivere sotto due profili l’operazione di trattamento censurata. Il primo riguarda l’azione stessa di conservazione o salvaguardia dei dati, nella specie la memorizzazione in una banca supplementare interna di una copia dei dati di una parte degli abbonati della [OSCURATO:PERSONA]. Il secondo prende in considerazione la conservazione nel senso del mantenimento nel tempo di tale banca dati. La questione sollevata è pertanto quella della durata della memorizzazione dei dati. A tal riguardo, la summenzionata problematica temporale non rientra, a mio avviso, nel principio di limitazione della finalità, ma esclusivamente nel principio di limitazione della conservazione. 27. Il principio di limitazione della finalità, previsto all’articolo 5, paragrafo 1, lettera b), del RGPD, ha una duplice componente: i dati personali devono, da un lato, essere raccolti per finalità «determinate, esplicite e legittime» e, dall’altro, essere «successivamente trattati in modo che non sia incompatibile» con tali finalità. Siffatto principio è destinato a delimitare nel modo più chiaro possibile l’utilizzo dei dati personali assicurando un equilibrio fra il rispetto dei diritti fondamentali degli interessati in materia di vita privata e di protezione dei dati e il riconoscimento di una certa flessibilità a favore del titolare del trattamento nella gestione di tali dati, come richiesta dalla vita digitale e dalle sue incognite. 28. Nella sua seconda componente, che ci interessa più specificamente nella specie, detto principio è inteso a definire i limiti nei quali i dati personali raccolti per una determinata finalità possano essere riutilizzati . In conformità all’articolo 5 paragrafo 1, lettera b), del RGPD, ogni trattamento successivo alla raccolta deve essere considerato un «ulteriore trattamento» e deve dunque soddisfare, salvo eccezioni, il requisito di compatibilità ( 14 ). Quest’ultimo traduce la necessità di un nesso concreto, logico e sufficientemente stretto fra la finalità della raccolta dei dati e il loro ulteriore trattamento. In altre parole, tale trattamento non deve essere scisso dalla finalità originaria della raccolta dei dati né entrare in contraddizione con la stessa, il suo tenore deve essere conciliabile con la ratio della raccolta, indipendentemente da qualsivoglia problematica temporale. 29. Il principio di limitazione della finalità non costituisce, in senso stretto, un’espressione del principio di proporzionalità, a differenza di quello di limitazione della conservazione enunciato all’articolo 5, paragrafo 1, lettera e), del RGPD. Come precisato dalla Corte, dalle prescrizioni dettate da tale articolo discende che anche un trattamento inizialmente lecito di dati può divenire, con il tempo, incompatibile con tale regolamento qualora tali dati non siano più necessari in rapporto alle finalità per le quali sono stati raccolti o trattati. Tale situazione si configura in particolare nel caso in cui i dati risultino inadeguati, non siano o non siano più pertinenti, ovvero siano eccessivi in rapporto alle finalità suddette e al tempo trascorso ( 15 ). 30. Si tratta pertanto di procedere, nell’ambito del principio di limitazione della conservazione, ad una valutazione del carattere proporzionato del trattamento rispetto alla sua finalità, alla luce del tempo trascorso. Violerà tale principio la conservazione dei dati per un arco di tempo superiore a quello necessario, vale a dire superiore al periodo necessario al conseguimento delle finalità per le quali tali dati sono stati conservati ( 16 ). Nella misura in cui le finalità di tale trattamento sono conseguite, i dati devono essere distrutti ( 17 ). Il principio di limitazione della conservazione risponde dunque alla questione di stabilire quando la memorizzazione dei dati su un supporto supplementare interno della [OSCURATO:PERSONA] non fosse più giustificata. 31. È alla luce delle considerazioni che precedono che esaminerò la liceità del trattamento di cui trattasi con riferimento ai due summenzionati principi. 2. Sul principio di limitazione delle finalità 32. La verifica del rispetto di un siffatto principio, nella sua seconda componente, implica la previa determinazione della o delle finalità della raccolta dei dati in questione. Dal fascicolo sottoposto alla Corte emerge che tali dati sono stati raccolti dalla [OSCURATO:PERSONA] ai fini della stipula e dell’esecuzione di contratti di abbonamento proposti nella sua qualità di fornitore di accesso a Internet e alla telediffusione, e che la liceità di questo primo trattamento non è oggetto di discussione fra le parti del procedimento principale. Lo stesso vale per l’operazione imprescindibile di trattamento successivo consistente nella memorizzazione di tali dati su un supporto apposito che si qualificherà come banca dati originaria ( 18 ). In tale contesto, il giudice del rinvio si chiede, segnatamente, se la finalità determinata, esplicita e legittima della raccolta dei dati «cambi» per il fatto che questi ultimi sono stati copiati in una banca dati che si aggiunge ad una prima memorizzazione pacifica fra le parti. 33. Secondo la giurisprudenza della Corte, le norme di tutela dei dati personali contenute nel RGPD devono essere rispettate nell’ambito di qualsiasi trattamento di questi ultimi, come definito all’articolo 2 di tale regolamento ( 19 ). Il summenzionato quesito mi sembra tradurre una mancata considerazione del requisito di valutazione individuale di tutte le operazioni di trattamento dei dati successive alla loro raccolta, quale risulta, nella specie, dall’articolo 5 paragrafo 1, lettera b), del RGPD. 34. In altri termini, ciascun caso di ulteriore utilizzo di tali dati deve essere esaminato al fine di verificarne la peculiare finalità e, se del caso, la sua compatibilità con quella della raccolta. La liceità di quest’ultima e di una prima memorizzazione dei dati non può incidere automaticamente, con una sorta di effetto di contagio, sul rispetto del principio di limitazione della finalità da parte di un’altra attività di ulteriore trattamento, indipendentemente dal fatto che quest’ultimo verta sugli stessi dati. Come fatto valere dal governo ungherese, non si può ritenere che il titolare del trattamento abbia la facoltà di memorizzare i dati personali all’interno di più file e senza limitazioni, purché li abbia inizialmente raccolti e trattati in maniera lecita. 35. Occorre pertanto esaminare la questione della compatibilità tra le finalità della raccolta dei dati e l’ulteriore trattamento di questi ultimi, richiesta all’articolo 5, paragrafo 1, lettera b), del RGPD. Tuttavia, tale questione si pone logicamente soltanto nel caso in cui tale trattamento venga effettuato a fini differenti da quelli inizialmente specificati. 36. In tal senso, secondo il considerando 50 di tale regolamento, il trattamento di dati personali «per finalità diverse» da quelle per le quali essi sono stati inizialmente raccolti dovrebbe essere consentito solo se compatibile con le finalità di tale raccolta. Il testo dell’articolo 6, paragrafo 4, di detto regolamento avvalora parimenti la summenzionata conclusione. Tale disposizione stabilisce un elenco non esaustivo di criteri che, in una determinata fattispecie, consentono di valutare se il trattamento «per un’altra finalità» sia compatibile con la finalità per la quale i dati personali sono stati inizialmente raccolti. Pertanto, la constatazione di un’identità di finalità tra la raccolta dei dati e quella del loro ulteriore trattamento, così come addotta dalla [OSCURATO:PERSONA], renderebbe privo di oggetto il quesito di compatibilità e consentirebbe di concludere nel senso della liceità di tale trattamento alla luce del principio di limitazione delle finalità ( 20 ). a) Sulle finalità del trattamento 37. Dal fascicolo sottoposto alla Corte, e più specificamente dalle dichiarazioni della [OSCURATO:PERSONA] emerge che, a seguito di un guasto tecnico del server sfociato in un’inaccessibilità della banca dati originaria, tale impresa ha effettuato la memorizzazione di una copia dei dati di una parte degli abbonati in una banca dati supplementare interna, denominata banca «di test», al fine di porre rimedio all’incidente tecnico e di garantire l’accesso ai dati in conformità all’obbligo imposto al titolare del trattamento dall’articolo 5, paragrafo 1, lettera f), e illustrato in dettaglio all’articolo 32 del RGPD ( 21 ). [OSCURATO:PERSONA] afferma che tale operazione di trattamento contribuiva dunque anch’essa al conseguimento della finalità della raccolta dei dati, ossia la fornitura del servizio contrattualmente previsto. In tali circostanze, la memorizzazione censurata non sarebbe connessa ad una finalità distinta, il che escluderebbe qualsiasi violazione dell’articolo 5, paragrafo 1, lettera b), di tale regolamento. 38. Pur se spetta manifestamente al giudice del rinvio verificare la liceità della summenzionata operazione di trattamento, alla luce segnatamente dei requisiti fissati all’articolo 5 del RGPD e di tutte le circostanze che caratterizzano il caso di specie, allo stesso possono essere fornite diverse indicazioni a tal fine. 39. Rilevo, in primo luogo, che la [OSCURATO:PERSONA] dichiara, in sostanza, l’esistenza di una duplice finalità per il trattamento censurato, nel senso che l’obiettivo primario e specifico di correzione del guasto del server e di messa in sicurezza della disponibilità dei dati degli abbonati si iscriveva esso stesso nell’ambito di un obiettivo secondario e generale relativo all’esecuzione dei contratti di abbonamento, il quale coincide con quello della raccolta iniziale dei dati. 40. È del tutto concepibile, nella prassi, che dati personali possano essere raccolti o successivamente trattati per diverse finalità, circostanza che il RGPD contempla e ammette chiaramente, come testimoniato dal testo del suo articolo 5, paragrafo 1, lettera b), e dall’articolo 6 paragrafo 1, lettera a), nonché dai suoi considerando 32 e 50. Tale approccio risponde all’esigenza di pragmatismo e di flessibilità richiesti dai trattamenti complessi e poco lineari dei dati personali nell’era digitale. Esso deve, nondimeno, prendere in considerazione il requisito di precisione della finalità, che costituisce un elemento chiave nell’attuazione del regime europeo di protezione dei dati personali. 41. Un grado sufficiente di precisione della finalità costituisce quindi una garanzia fondamentale in termini di prevedibilità e di certezza del diritto, nel senso che esso contribuisce alla corretta comprensione da parte dell’interessato del possibile utilizzo dei suoi dati e gli consente di decidere con piena cognizione di causa. Tale prevedibilità è essenziale nella valutazione della compatibilità tra la finalità della raccolta dei dati e l’ulteriore trattamento dei medesimi, riducendo così il rischio di distorsione fra le aspettative ragionevoli degli interessati circa il possibile utilizzo dei loro dati in futuro e le operazioni effettuate dal titolare del trattamento. La specificazione della finalità è parimenti richiesta per l’applicazione di altri requisiti in materia di qualità dei dati, fra cui il carattere adeguato, la pertinenza, la proporzionalità e l’esattezza dei dati raccolti, nonché i requisiti relativi al periodo della loro conservazione in conformità all’articolo 5, paragrafo 1, lettere c), d) ed e), del RGPD. 42. Tale requisito di precisione è dunque valido, come sottolineato dal parere 3/2013 del gruppo di lavoro «Articolo 29» ( 22 ), per qualsiasi operazione di trattamento e non soltanto allo stadio della fase iniziale della raccolta dei dati. È interessante rilevare che, nell’ipotesi di un trattamento di dati fondato sul consenso dell’interessato, esso sarà lecito, a norma dell’articolo 6, paragrafo 1, lettera a), del RGPD, solo laddove l’interessato abbia espresso il consenso a tale trattamento per una o più «specifiche» finalità. 43. In tali circostanze, se un determinato trattamento può perseguire il soddisfacimento di due finalità, ciascuna di esse deve rivestire un carattere preciso e presentare un collegamento oggettivo e sufficientemente stretto con l’operazione di trattamento di cui trattasi. 44. Occorre menzionare, in secondo luogo, il contesto particolare nel quale deve essere effettuata la valutazione della o delle finalità dell’ulteriore trattamento in questione. 45. In conformità ai considerando 60 e 61 del RGPD, i principi di trattamento corretto e trasparente implicano che l’interessato sia informato dell’esistenza del trattamento e delle sue finalità, ed egli dovrebbe ricevere le informazioni relative al trattamento dei suoi dati personali al momento in cui essi sono raccolti presso di lui. A tal riguardo, l’articolo 13 paragrafo 1, lettera c), di tale regolamento prevede che, in caso di raccolta presso l’interessato di dati personali che lo riguardano, il titolare del trattamento gli fornisce, nel momento in cui i dati personali sono ottenuti , le finalità del trattamento cui essi sono destinati nonché la base giuridica del trattamento. 46. Resta il fatto che, per quanto previdente e ponderato possa essere un titolare del trattamento, è possibile che lo stesso non sia in grado, fin dalla progettazione del trattamento, di prevedere e di determinare la natura nonché la portata esatta di tutte le operazioni che costituiscono la catena di trattamento dei dati. Analogamente, la presente causa è una perfetta illustrazione della problematica connessa alla gestione di un guasto tecnico, per definizione inopinato, e della successiva attuazione di un certo tipo di trattamento dei dati per una finalità non specificata inizialmente. 47. Nell’ambito della valutazione, come nella specie, della liceità di un siffatto trattamento effettuata dell’autorità di controllo e successivamente del giudice competente sul ricorso diretto avverso la decisione di quest’ultima, tale finalità è oggetto di una verifica a posteriori, alla luce delle indicazioni fornite dal titolare del trattamento in occasione del procedimento amministrativo. E spetta a quest’ultimo, progettista dell’operazione di trattamento di cui trattasi, in applicazione del principio di responsabilità previsto all’articolo 5, paragrafo 2, del RGPD, dimostrare la realtà della finalità addotta e, se del caso, la compatibilità del trattamento con l’obiettivo della raccolta dei dati ( 23 ). 48. A tal riguardo, due elementi concreti e oggettivi sono idonei ad essere presi in considerazione nell’ambito della verifica di tale finalità. In primo luogo, l’articolo 13, paragrafo 3, del RGPD prevede che, in caso di raccolta presso l’interessato di dati che lo riguardano, qualora il titolare del trattamento intenda trattarli ulteriormente per una finalità diversa da quella per cui essi sono stati raccolti, prima di questo ulteriore trattamento tale titolare fornisce all’interessato informazioni in merito a questa diversa finalità ( 24 ) e ogni ulteriore informazione pertinente di cui al paragrafo 2 di tale disposizione. In secondo luogo, l’articolo 30, paragrafo 1, del RGPD impone a ogni titolare del trattamento di tenere un registro, in forma scritta, anche in formato elettronico, delle attività di trattamento svolte sotto la propria responsabilità e, su richiesta, di metterlo a disposizione dell’autorità di controllo. Tale registro contiene diverse informazioni, fra cui quelle relative alle finalità del trattamento. 49. Nella specie, sembra pacifico che la [OSCURATO:PERSONA] non abbia informato nessuno degli abbonati interessati in merito alla sua intenzione di fare una copia dei loro dati e di memorizzarli su un supporto interno destinato alla realizzazione di test e alla rettifica di errori, poiché detto operatore ha considerato tale operazione di trattamento come priva di una finalità distinta da quella della raccolta dei dati e non rientrante, pertanto, nell’ambito di applicazione dell’articolo 13, paragrafo 3, del RGPD ( 25 ). Il fascicolo sottoposto alla Corte non consente, inoltre, di stabilire se la [OSCURATO:PERSONA] sia nelle condizioni di beneficiare dell’esonero previsto all’articolo 30, paragrafo 5, di tale regolamento per quanto riguarda l’obbligo di tenere un registro ( 26 ). 50. Rilevo, in ogni caso, che, in udienza, la [OSCURATO:PERSONA] ha indicato chiaramente che il guasto tecnico avvenuto nel 2018 non aveva dato luogo ad un’interruzione del servizio contrattualmente previsto, poiché la memorizzazione censurata era stata attuata in considerazione del mero rischio di una siffatta interruzione. Tali dichiarazioni devono essere collegate a taluni accertamenti sostanziali oggettivi concernenti la scelta della denominazione della banca dati, denominata banca dati «test», al fatto che quest’ultima non conteneva i dati di tutti gli abbonati bensì soltanto di un terzo di essi e che, dopo essere stata dimenticata dalla [OSCURATO:PERSONA] nei 18 mesi successivi alla risoluzione del problema tecnico iniziale, detta banca è stata immediatamente eliminata dopo l’atto di pirateria informatica del settembre del 2019 che aveva arrecato pregiudizio alla sicurezza dei dati. 51. In tali circostanze, sembra possibile ritenere che il trattamento censurato rispondesse al solo obiettivo, concreto e specifico, di una messa in sicurezza temporanea di una parte dei dati degli abbonati in relazione alla soluzione di un problema tecnico recante pregiudizio al funzionamento del server, ossia uno scopo, a mio avviso, distinto da quello della raccolta dei dati. 52. [OSCURATO:PERSONA] e la [OSCURATO:PERSONA] sostengono, per contro, che non si può ritenere che un siffatto trattamento, diretto a rispettare l’obbligo di sicurezza imposto al titolare del trattamento dall’articolo 5, paragrafo 1, lettera f), del RGPD e illustrato in dettaglio all’articolo 32 di quest’ultimo, persegua una finalità nuova o distinta, salvo con ciò arrecare pregiudizio all’effetto utile di tale atto e dare luogo ad un’informazione degli interessati priva di interesse pratico. 53. Tale approccio astratto e sistematico mi sembra contrario alla necessità di una valutazione della liceità di ciascuna operazione di trattamento che tenga conto di tutte le circostanze rilevanti del caso di specie. È esso che, in realtà, porta a privare di effetto utile l’obbligo di informazione degli interessati previsto all’articolo 13, paragrafo 3, del RGPD, informazione che il titolare del trattamento deve fornire a tali persone per garantire nei loro confronti un trattamento leale dei dati ( 27 ). Tale obbligo riveste carattere imperativo nell’ipotesi in cui il trattamento venga effettuato, come nella specie, nell’ambito di un rapporto contrattuale e trova il suo fondamento nell’articolo 6, paragrafo 1, lettera b), di tale atto, relativo alla necessità di eseguire il contratto senza che sia richiesto il consenso delle controparti contrattuali. Infine, detto approccio travisa la ratio dell’articolo 5, paragrafo 1, lettera b), del RGPD, ossia che un ulteriore trattamento che obbedisca ad una finalità distinta da quella della raccolta dei dati non è necessariamente illecito, considerato che la sua mera compatibilità con quest’ultima è sufficiente per soddisfare la summenzionata disposizione. b) Sulla compatibilità del trattamento 54. L’articolo 5, paragrafo 1, lettera b), del RGPD non contiene alcuna indicazione sulle condizioni alle quali un ulteriore trattamento che risponda a un obiettivo diverso dalla finalità della raccolta iniziale dei dati possa essere considerato compatibile con quest’ultima. Occorre fare riferimento, a tal riguardo, all’articolo 6, paragrafo 4, del RGPD, in combinato disposto con il considerando 50 di tale atto, il cui contenuto traduce un nesso fra il principio di limitazione delle finalità e il fondamento giuridico del trattamento di cui trattasi. 55. Viene dunque operata una distinzione mediante tale disposizione, in relazione al requisito di compatibilità, a seconda che il trattamento per una finalità diversa da quella per la quale i dati sono stati raccolti sia basato o meno sul consenso dell’interessato o su un atto legislativo dell’Unione o degli Stati membri che costituisca una misura necessaria e proporzionata in una società democratica per la salvaguardia degli obiettivi di cui all’articolo 23, paragrafo 1, del RGPD. 56. In caso affermativo, ai sensi del considerando 50, secondo paragrafo, del RGPD, il titolare del trattamento può sottoporre i dati personali a ulteriore trattamento a prescindere dalla compatibilità delle finalità ( 28 ). Tale deroga al requisito di compatibilità si trova ad essere giustificata, in sostanza, dall’esistenza di altre norme a tutela degli interessati, e più specificamente quelle relative all’informazione di questi ultimi in merito alle altre finalità e al diritto di opporsi al trattamento ( 29 ). 57. In caso di risposta negativa, ed è la situazione corrispondente alla presente causa, l’articolo 6, paragrafo 4, del RGPD così recita: «(...) al fine di verificare se il trattamento per un’altra finalità sia compatibile con la finalità per la quale i dati personali sono stati inizialmente raccolti, il titolare del trattamento tiene conto, tra l’altro: a) di ogni nesso tra le finalità per cui i dati personali sono stati raccolti e le finalità dell’ulteriore trattamento previsto; b) del contesto in cui i dati personali sono stati raccolti, in particolare relativamente alla relazione tra l’interessato e il titolare del trattamento; c) della natura dei dati personali, specialmente se siano trattate categorie particolari di dati personali ai sensi dell’articolo 9, oppure se siano trattati dati relativi a condanne penali e a reati ai sensi dell’articolo 10; d) delle possibili conseguenze dell’ulteriore trattamento previsto per gli interessati; e) dell’esistenza di garanzie adeguate, che possono comprendere la cifratura o la pseudonimizzazione». 58. In assenza di qualsivoglia indicazione formale da parte della [OSCURATO:PERSONA], al momento della raccolta dei dati, quanto all’ulteriore trattamento previsto e alla sua finalità, occorre attenersi ad un approccio sostanziale che mi sembra sfociare nella constatazione di una compatibilità del trattamento. 59. A tal riguardo, esiste innegabilmente un nesso fra la finalità della raccolta iniziale dei dati, ossia l’esecuzione del contratto di abbonamento ad Internet e alla telediffusione, e un trattamento inteso alla messa in sicurezza di tali dati in una banca supplementare interna e alla realizzazione di test, in piena sicurezza, destinate a porre rimedio a un guasto tecnico potenzialmente dannoso per la fornitura del servizio contrattualmente previsto. Senza essere sovrapponibili come indicato supra, tali finalità sono collegate sotto il profilo logico. 60. Occorre sottolineare che tale trattamento non si discosta dalle legittime aspettative degli abbonati quanto all’ulteriore utilizzo dei loro dati. Una memorizzazione supplementare di dati su un supporto interno motivata dalla necessità di risolvere un problema tecnico che pregiudica l’accessibilità ai dati della banca dati originaria non può essere considerata, infatti, sorprendente o improbabile. Inoltre, i dati interessati hanno continuato ad essere trattati dallo stesso titolare del trattamento e non sono stati divulgati a terzi, il che è indice, a priori, di un’assenza di impatto negativo. Il fatto che, nell’ambito dell’atto di pirateria informatica di cui la [OSCURATO:PERSONA] è stata oggetto, il suo autore abbia potuto raggiungere i dati figuranti in tale supporto, non consente, a mio avviso, di pervenire a una conclusione retroattiva di incompatibilità del trattamento in questione. 3. Sul principio di limitazione della conservazione 61. In conformità all’articolo 5, paragrafo 1, lettera e), del RGPD, i dati devono essere conservati in una forma che consenta l’identificazione degli interessati ( 30 ) per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati; i dati personali possono essere conservati per periodi più lunghi a condizione che siano trattati esclusivamente a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, conformemente all’articolo 89, paragrafo 1, di tale regolamento, fatta salva l’attuazione di misure tecniche e organizzative adeguate richieste da detto regolamento a tutela dei diritti e delle libertà dell’interessato. 62. Come è stato menzionato, il principio di limitazione della conservazione dà espressione al principio di proporzionalità, così come a quello della «minimizzazione dei dati», secondo cui i dati personali devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati ( 31 ). Nell’ambito del principio di limitazione della conservazione, la questione della necessità del trattamento, presa in considerazione sotto un profilo temporale, è relativa a quella della persistenza della sua finalità. 63. Occorre parimenti ricordare che il rispetto del requisito di proporzionalità implica che le deroghe e le restrizioni alla tutela dei dati personali devono operare entro i limiti dello stretto necessario ( 32 ). La Corte ha indicato chiaramente che l’articolo 5, paragrafo 1, lettera e), del RGPD è inteso a tutelare le persone interessate ( 33 ). 64. In maniera altrettanto esplicita, il considerando 39 del RGPD enuncia che il periodo di conservazione dei dati deve essere limitato «al minimo necessario» e che, a tal fine, il titolare del trattamento dovrebbe stabilire un termine per la cancellazione o per la verifica periodica. L’articolo 13, paragrafo 2, lettera a), del RGPD dispone che il titolare del trattamento deve fornire all’interessato, nel momento in cui i dati personali sono ottenuti, informazioni complementari a quelle di cui al paragrafo 1 di tale articolo, necessarie per garantire un trattamento corretto e trasparente, fra cui il periodo di conservazione dei dati personali oppure, se non è possibile, i criteri utilizzati per determinare tale periodo ( 34 ). 65. In tale contesto, occorre stabilire, alla luce di tutte le circostanze che caratterizzano il caso di specie ( 35 ), il momento in cui le finalità della memorizzazione di una copia dei dati di una parte degli abbonati in una banca dati interna supplementare potevano, se del caso, essere considerate conseguite, privando così tale trattamento della sua ratio e obbligando la [OSCURATO:PERSONA] alla cancellazione dei dati. È evidente che spetta al titolare del trattamento, in applicazione del principio di responsabilità previsto all’articolo 5, paragrafo 2, del RGPD, apportare la prova della liceità del trattamento alla luce del principio di limitazione della conservazione, così come per il principio di limitazione delle finalità. 66. Nella specie, ritenendo che la memorizzazione censurata rispondesse all’obiettivo di messa in sicurezza dei dati e contribuisse, in tal modo, alla realizzazione dell’obiettivo di esecuzione del contratto di abbonamento, la [OSCURATO:PERSONA] sostiene che il periodo di conservazione dei dati figuranti nella banca di test fosse in linea con quello dell’esecuzione dei suoi obblighi contrattuali, il che escluderebbe qualsivoglia violazione dell’articolo 5, paragrafo 1, lettera e), del RGPD. 67. Per quanto riguarda la determinazione della o delle finalità, faccio riferimento a tutte le constatazioni e valutazioni effettuate nell’ambito della risposta apportata alla questione del rispetto del principio di limitazione della finalità, da cui risulta che non si può ritenere che il trattamento in questione perseguisse una duplice finalità che includeva l’esecuzione dei contratti di abbonamento ( 36 ). 68. In ogni caso, a prescindere dalla natura della o delle finalità perseguite, il trattamento dei dati sotto forma di una memorizzazione in un file interno supplementare doveva comunque essere limitato nel tempo a quanto era strettamente necessario. In altre parole, una volta risolto il malfunzionamento iniziale, la circostanza che ha giustificato l’operazione di memorizzazione e il suo mantenimento è venuta meno. L’obiettivo diretto e primario di messa in sicurezza dei dati in relazione alla soluzione del problema tecnico, considerato isolatamente o anche congiuntamente a quello indiretto e connesso di esecuzione del contratto di abbonamento, non poteva più, in tali circostanze, coprire il proseguimento del trattamento. 69. È giocoforza constatare che la [OSCURATO:PERSONA] ha indicato in maniera univoca che la banca dati di test era destinata a garantire l’accesso ai dati degli abbonati «fino alla rettifica dell’errore» e che inavvertitamente essa non l’ha eliminata sebbene la rettifica degli errori non la giustificasse più ( 37 ); ciò significa che il trattamento censurato non aveva più utilità ed era dunque privo di scopo. Si pone la questione se si possa ritenere che una banca dati interna dimenticata per ammissione stessa del titolare del trattamento per un anno e mezzo sia ancora idonea a rispondere ad una finalità effettiva. La risposta mi sembra essere necessariamente negativa. V. Conclusione 70. Alla luce delle considerazioni che precedono, propongo alla Corte di rispondere nei seguenti termini alla Fővárosi Törvényszék (Corte di Budapest-[OSCURATO:PERSONA], [OSCURATO:PERSONA]): 1) L’articolo 5, paragrafo 1, lettera b), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) deve essere interpretato nel senso che il principio ivi previsto non osta alla conservazione di dati personali, raccolti e memorizzati lecitamente, in una banca dati interna supplementare, sempreché tale trattamento persegua le stesse finalità di quelle della raccolta oppure, se così non fosse, sia compatibile con queste ultime, circostanza che spetta al titolare del trattamento dimostrare, anche nel caso in cui il trattamento risponda all’obbligo del medesimo di garantire un’adeguata sicurezza dei dati personali di cui all’articolo 5, paragrafo 1, lettera f), di detto regolamento. Laddove detto trattamento per una finalità diversa da quella per la quale i dati personali sono stati raccolti non sia basato sul consenso dell’interessato o su un atto legislativo dell’Unione o degli Stati membri rientrante nell’ambito di applicazione dell’articolo 23, paragrafo 1, del regolamento 2016/679, la sua compatibilità deve essere stabilita alla luce, segnatamente, dei criteri enunciati all’articolo 6, paragrafo 4, di tale regolamento. 2) L’articolo 5, paragrafo 1, lettera e), del regolamento 2016/679 deve essere interpretato nel senso che il principio ivi previsto osta alla conservazione di dati in una forma che consente l’identificazione degli interessati, raccolti e memorizzati lecitamente, in una banca dati interna supplementare che risponde ad un obiettivo di rettifica di un’anomalia tecnica e di messa in sicurezza temporanea di tali dati, al di là del periodo necessario alla realizzazione di tale obiettivo e dunque dopo la soluzione di tale problema, anche qualora detto obiettivo, diretto e primario, possa essere collegato a quello, indiretto e connesso, dell’esecuzione della fornitura del servizio contrattualmente previsto. ( 1 ) Lingua originale: il francese. ( 2 ) Regolamento del Parlamento europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) ( GU 2016, L 119, pag. 1 ; in prosieguo: il «RGPD»). ( 3 ) Sentenza del 16 luglio 2020, [OSCURATO:PERSONA] e [OSCURATO:PERSONA] ( C‑311/18 , EU:C:2020:559 , punti 73 e 74 ). ( 4 ) Direttiva del Parlamento europeo e del Consiglio del 12 luglio 2002 relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche) ( GU 2002, L 201, pag. 37 ). ( 5 ) Sentenza del 6 ottobre 2020, [OSCURATO:PERSONA] ( C‑623/17 , EU:C:2020:790 , punti 34 e 36 ). ( 6 ) Direttiva del Parlamento europeo e del Consiglio del 24 ottobre 1995 relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati ( GU 1995, L 281, pag. 31 ). ( 7 ) Occorre ricordare che, poiché il RGPD ha abrogato e sostituito la direttiva 95/46 e le disposizioni pertinenti di tale regolamento hanno una portata sostanzialmente identica a quella delle disposizioni pertinenti della direttiva in parola, la giurisprudenza della Corte relativa a tale direttiva è altresì applicabile, in linea di principio, a tale regolamento [sentenza del 17 giugno 2021, M.I.C.M. ( C‑597/19 , EU:C:2021:492 , punto 107 )]. ( 8 ) V. sentenza dell’11 novembre 2020, [OSCURATO:PERSONA] ( C‑61/19 , EU:C:2020:901 ), per un’attuazione esclusiva delle disposizioni della direttiva 95/46 e del RGPD in una causa vertente sul consenso dei clienti della società [OSCURATO:PERSONA], fornitore di servizi di telecomunicazione mobile nel mercato rumeno, concernente la raccolta e la conservazione di copie dei loro documenti d’identità. ( 9 ) Dal punto 2 delle osservazioni della [OSCURATO:PERSONA] emerge che tali dati corrispondevano alle seguenti informazioni: nome, luogo e data di nascita, indirizzo, numero di carta d’identità, talvolta numero privato, indirizzo e-mail, numero di telefono fisso e di cellulare degli interessati. ( 10 ) Sentenza del 6 ottobre 2020, [OSCURATO:PERSONA] du Net e a. ( C‑511/18, C‑512/18 e C‑520/18 , EU:C:2020:791 , punto 208 ). ( 11 ) V., per analogia, sentenza del 13 maggio 2014, [OSCURATO:PERSONA] e [OSCURATO:PERSONA] ( C‑131/12 , EU:C:2014:317 , punto 72 ). ( 12 ) L’autonomia degli obblighi incombenti sul titolare del trattamento definiti all’articolo 5 del RGPD non esclude l’esistenza di un collegamento fra gli stessi costituito, nella specie, dalla nozione di finalità. La verifica della natura e delle finalità di un’attività di trattamento è essenziale per valutare il rispetto dei principi enunciati a tale disposizione e, segnatemene, i principi di limitazione della finalità e della conservazione dei dati interessati dalla controversia di cui al procedimento principale. ( 13 ) Sentenza del 22 aprile 2021, [OSCURATO:PERSONA] ( C‑485/19 , EU:C:2021:313 , punto 50 ). ( 14 ) Un ulteriore trattamento a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici deve essere considerato un trattamento lecito compatibile con le finalità iniziali ai sensi dell’articolo 5, paragrafo 1, lettera b), del RGPD, situazione che non corrisponde alle circostanze del procedimento principale. ( 15 ) V., per analogia, sentenza del 13 maggio 2014, [OSCURATO:PERSONA] e [OSCURATO:PERSONA] ( C‑131/12 , EU:C:2014:317 , punto 93 ). ( 16 ) V., in tal senso, sentenze del 7 maggio 2009, Rijkeboer ( C‑553/07 , EU:C:2009:293 , punto 33 ), e del 13 maggio 2014, [OSCURATO:PERSONA] e [OSCURATO:PERSONA] ( C‑131/12 , EU:C:2014:317 , punto 92 ). ( 17 ) V., in tal senso, sentenza del 7 maggio 2009, Rijkeboer ( C‑553/07 , EU:C:2009:293 , punto 33 ). ( 18 ) Alla luce della natura di tali operazioni di trattamento, l’articolo 6, paragrafo 1, lettere a) e b), del RGPD risulta costituirne il fondamento giuridico adeguato, il quale, del resto, non forma l’oggetto di alcuna discussione nel caso in esame. ( 19 ) V., per analogia, sentenza del 20 maggio 2003, [OSCURATO:PERSONA] e a. ( C‑465/00, C‑138/01 e C‑139/01 , EU:C:2003:294 , punto 40 ). ( 20 ) L’operazione di raccolta dei dati personali dei clienti e quella della memorizzazione di questi ultimi nella banca dati originaria rispondono simultaneamente alla stessa finalità, vale a dire la fornitura del servizio contrattualmente previsto. ( 21 ) V. punto 13 delle osservazioni della [OSCURATO:PERSONA]. ( 22 ) Organo consultivo indipendente istituito in forza dell’articolo 29 della direttiva 95/46 e sostituito, dopo l’adozione del RGPD, dal comitato europeo per la protezione dei dati. ( 23 ) V., per analogia, sentenza dell’11 novembre 2020, [OSCURATO:PERSONA] ( C‑61/19 , EU:C:2020:901 , punti 51 e 52 ). ( 24 ) Il contenuto dell’articolo 13, paragrafo 3, del RGPD avvalora la tesi secondo cui il requisito di precisione della finalità non si applica soltanto nella fase della raccolta dei dati, bensì riguarda qualsiasi operazione di trattamento. ( 25 ) Tale disposizione riflette la flessibilità di gestione riconosciuta a favore del titolare del trattamento la cui sola valutazione determina l’attuazione dell’obbligo di informazione nei confronti degli interessati. Tale facoltà esige correlativamente una verifica rigorosa delle finalità del trattamento da parte dell’autorità di controllo, che è essenziale al fine di accertare la liceità dell’ulteriore trattamento e, segnatamente, il rispetto del requisito di compatibilità. ( 26 ) La portata di tale obbligo è in effetti attenuata da un esonero a favore delle imprese o organizzazioni con meno di 250 dipendenti, a meno che il trattamento che esse effettuano possa presentare un rischio per i diritti e le libertà dell’interessato, non sia occasionale o includa il trattamento di categorie particolari di dati di cui all’articolo 9, paragrafo 1, del RGPD o i dati personali relativi a condanne penali e a taluni reati indicati all’articolo 10 di tale atto. ( 27 ) Sentenza dell’11 novembre 2020, [OSCURATO:PERSONA] ( C‑61/19 , EU:C:2020:901 , punto 48 ). Osservo con interesse che l’esonero dall’obbligo di informazione gravante sul titolare del trattamento qualora i dati personali non siano stati ottenuti presso l’interessato, come previsto all’articolo 14, paragrafo 5, lettera b), del RGPD nel caso in cui comunicare le informazioni risulta impossibile o implicherebbe uno sforzo sproporzionato, non è stato reso applicabile alle situazioni disciplinate dall’articolo 13 di tale regolamento. ( 28 ) Occorre rilevare che non figurano fra i trattamenti esonerati dal requisito di compatibilità quelli fondati sull’articolo 6, paragrafo 1, lettera c), del RGPD, concernenti i trattamenti necessari per adempiere un obbligo legale al quale è soggetto il titolare del trattamento e, segnatamente, quello previsto all’articolo 5, paragrafo 1, lettera f), di tale regolamento, relativo alla garanzia di un’adeguata sicurezza dei dati. ( 29 ) Si ricorda che, ai sensi dell’articolo 6, paragrafo 1, lettera a), del RGPD, un trattamento è lecito se, e nella misura in cui, l’interessato ha espresso il consenso al trattamento dei propri dati personali «per una o più specifiche finalità». ( 30 ) Tale condizione non è oggetto di discussione nella specie. ( 31 ) V., in tal senso, sentenza del 22 giugno 2021, [OSCURATO:PERSONA] (Punti di penalità) ( C‑439/19 , EU:C:2021:504 , punto 98 ). ( 32 ) Sentenza del 6 ottobre 2020, [OSCURATO:PERSONA] du Net e a. ( C‑511/18, C‑512/18 e C‑520/18 , EU:C:2020:791 , punto 210 ). ( 33 ) V., per analogia, sentenza del 7 maggio 2009, Rijkeboer ( C‑553/07 , EU:C:2009:293 , punto 35 ). ( 34 ) Tenuto conto delle condizioni nelle quali è stato attuato il trattamento censurato, tale disposizione non ha ricevuto applicazione nella specie. ( 35 ) Sentenza del 13 maggio 2014, [OSCURATO:PERSONA] e [OSCURATO:PERSONA] ( C‑131/12 , EU:C:2014:317 , punto 94 ). ( 36 ) Mi limito a ricordare che la constatazione dell’eliminazione della banca dati prova immediatamente dopo l’atto di pirateria «etica» di cui è stata oggetto la [OSCURATO:PERSONA], indipendentemente dal proseguimento dei rapporti contrattuali con gli abbonati interessati, contraddice radicalmente l’affermazione di un mantenimento di tale banca giustificata dall’esecuzione dei contratti di abbonamento. ( 37 ) V., segnatamente, punto 22 delle osservazioni della [OSCURATO:PERSONA].