Corte di giustizia UE/2023

62021CC0683 CONCLUSIONI DELL’[OSCURATO:PERSONA] presentate il 4 maggio 2023 ( 1 ) Causa C‑683/21 Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos contro [OSCURATO:PERSONA]ė duomenų apsaugos inspekcija, con l’intervento di: «IT sprendimai sėkmei» UAB, [OSCURATO:PERSONA] sveikatos apsaugos ministerija [domanda di pronuncia pregiudiziale proposta dal Vilniaus apygardos administracinis teismas (Tribunale amministrativo regionale, Vilnius, Lituania)] «Rinvio pregiudiziale – Protezione dei dati personali – Regolamento (UE) 2016/679 – Articolo 4, punto 7 – Nozione di “titolare del trattamento” – Sviluppo di un’applicazione mobile nel contesto della pandemia di COVID‑19 – Responsabilità dell’autorità pubblica preposta all’organizzazione della gara d’appalto per l’acquisizione dell’applicazione mobile – Articolo 4, punto 2 – Nozione di “trattamento” – Utilizzo di dati personali durante la fase di collaudo di un’applicazione mobile – Articolo 26, paragrafo 1 – Contitolarità – Articolo 83 – Irrogazione di sanzioni amministrative pecuniarie – Presupposti – Necessità della sussistenza di dolo o colpa nella violazione – Responsabilità del titolare per il trattamento di dati personali effettuato dal responsabile» I. Introduzione 1. In un mondo in cui i dati personali sono diventati merce di scambio e costituiscono una nuova miniera d’oro per le aziende, in quali condizioni possono essere inflitte ai titolari o ai responsabili del trattamento sanzioni amministrative pecuniarie per la violazione delle norme sulla protezione dei dati stabilite dal regolamento (UE) 2016/679 ( 2 )? Più specificamente, deve sussistere un elemento di «colpa» affinché essi possano essere soggetti a tali sanzioni? Questa è la questione centrale sollevata dal Vilniaus apygardos administracinis teismas (Tribunale amministrativo regionale, Vilnius, Lituania) nel caso di specie. 2. La controversia sottoposta a detto giudice, che vede contrapposti il Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos (Centro nazionale di sanità pubblica del Ministero della Salute, Lituania; in prosieguo: il «NVSC») e la Valstybinė duomenų apsaugos inspekcija (Ispettorato nazionale per la protezione dei dati, Lituania; in prosieguo: l’«Ispettorato»), riguarda, in sostanza, il ruolo svolto dal NVSC nello sviluppo e nella messa a disposizione del pubblico di un’applicazione mobile che ha raccolto, nei mesi di aprile e maggio 2020, i dati personali di persone che erano state in contatto con pazienti infetti da COVID-19. 3. In tale contesto, la Corte ha l’opportunità di fare ulteriore chiarezza sulle nozioni di «titolare del trattamento», «contitolari del trattamento» e «trattamento», definite rispettivamente all’articolo 4, punto 7, all’articolo 26, paragrafo 1, e all’articolo 4, punto 2, del RGPD, e di valutare, per la prima volta, se sia possibile, in applicazione dell’articolo 83 di detto regolamento, imporre una sanzione amministrativa pecuniaria al titolare del trattamento che non abbia commesso alcuna violazione delle norme contenute nel RGPD con dolo o colpa. La questione richiede che la Corte chiarisca se tale disposizione consenta l’imposizione di sanzioni in assenza di colpa, sulla base della responsabilità oggettiva. II. Quadro normativo A. Diritto dell’Unione 4. Il considerando 148 del RGPD così enuncia: «Per rafforzare il rispetto delle norme del presente regolamento, dovrebbero essere imposte sanzioni, comprese sanzioni amministrative pecuniarie per violazione del regolamento (...). In caso di violazione minore o se la sanzione pecuniaria che dovrebbe essere imposta costituisse un onere sproporzionato per una persona fisica, potrebbe essere rivolto un ammonimento anziché imposta una sanzione pecuniaria. Si dovrebbe prestare tuttavia debita attenzione alla natura, alla gravità e alla durata della violazione, al carattere doloso della violazione e alle misure adottate per attenuare il danno subito, al grado di responsabilità o eventuali precedenti violazioni pertinenti, alla maniera in cui l’autorità di controllo ha preso conoscenza della violazione, al rispetto dei provvedimenti disposti nei confronti del titolare del trattamento o del responsabile del trattamento, all’adesione a un codice di condotta e eventuali altri fattori aggravanti o attenuanti. L’imposizione di sanzioni, comprese sanzioni amministrative pecuniarie dovrebbe essere soggetta a garanzie procedurali appropriate in conformità dei principi generali del diritto dell’Unione e della Carta, inclusi l’effettiva tutela giurisdizionale e il giusto processo». 5. Il considerando 150 del medesimo regolamento è del seguente tenore: «Al fine di rafforzare e armonizzare le sanzioni amministrative applicabili per violazione del presente regolamento, ogni autorità di controllo dovrebbe poter imporre sanzioni amministrative pecuniarie. Il presente regolamento dovrebbe specificare le violazioni, indicare il limite massimo e i criteri per prevedere la relativa sanzione amministrativa pecuniaria, che dovrebbe essere stabilita dall’autorità di controllo competente in ogni singolo caso, tenuto conto di tutte le circostanze pertinenti della situazione specifica, in particolare della natura, gravità e durata dell’infrazione e delle relative conseguenze, nonché delle misure adottate per assicurare la conformità agli obblighi derivanti dal presente regolamento e prevenire o attenuare le conseguenze della violazione. (...) Imporre una sanzione amministrativa pecuniaria o dare un avvertimento non incide sull’applicazione di altri poteri delle autorità di controllo o di altre sanzioni a norma del regolamento». 6. L’articolo 4, punto 7, del RGPD definisce la nozione di «titolare del trattamento» come «la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali (...)». 7. L’articolo 26 di detto regolamento, intitolato «Contitolari del trattamento», così recita nella parte che rileva: «1.   Allorché due o più titolari del trattamento determinano congiuntamente le finalità e i mezzi del trattamento, essi sono contitolari del trattamento. (...) (...)». 8. L’articolo 83 di detto regolamento, intitolato «Condizioni generali per infliggere sanzioni amministrative pecuniarie», così dispone: «1.   Ogni autorità di controllo provvede affinché le sanzioni amministrative pecuniarie inflitte ai sensi del presente articolo in relazione alle violazioni del presente regolamento di cui ai paragrafi 4, 5 e 6 siano in ogni singolo caso effettive, proporzionate e dissuasive. 2.   Le sanzioni amministrative pecuniarie sono inflitte, in funzione delle circostanze di ogni singolo caso, in aggiunta alle misure di cui all’articolo 58, paragrafo 2, lettere da a) a h) e j), o in luogo di tali misure. Al momento di decidere se infliggere una sanzione amministrativa pecuniaria e di fissare l’ammontare della stessa in ogni singolo caso si tiene debito conto dei seguenti elementi: (a) la natura, la gravità e la durata della violazione tenendo in considerazione la natura, l’oggetto o [l]a finalità del trattamento in questione nonché il numero di interessati lesi dal danno e il livello del danno da essi subito; (b) il carattere doloso o colposo della violazione; (...) (k) eventuali altri fattori aggravanti o attenuanti applicabili alle circostanze del caso, ad esempio i benefici finanziari conseguiti o le perdite evitate, direttamente o indirettamente, quale conseguenza della violazione. 3.   Se, in relazione allo stesso trattamento o a trattamenti collegati, un titolare del trattamento o un responsabile del trattamento viola, con dolo o colpa, varie disposizioni del presente regolamento, l’importo totale della sanzione amministrativa pecuniaria non supera l’importo specificato per la violazione più grave. (...)». B. Normativa lituana 9. L’articolo 72, paragrafo 2, della Viešųjų pirkimų įstatymas (legge sugli appalti pubblici) così recita: «L’amministrazione aggiudicatrice svolge una procedura negoziata senza pubblicazione di un bando di gara secondo le fasi seguenti: (1) invito scritto a presentare offerte rivolto agli operatori economici selezionati; (2) verifica dell’esistenza di motivi di esclusione degli operatori economici, quali previsti nei documenti di gara, e verifica della conformità degli operatori economici ai requisiti di idoneità imposti e, se del caso, agli standard di garanzia di qualità e/o di gestione ambientale richiesti; (3) conduzione di trattative con gli offerenti secondo la procedura prevista all’articolo 66 della presente legge e richiesta rivolta agli stessi di presentare offerte finali. L’amministrazione aggiudicatrice non è tenuta a chiedere la presentazione di un’offerta finale nel caso in cui alla procedura negoziata senza previa pubblicazione di un bando di gara partecipi un unico operatore economico; (4) valutazione delle offerte finali e determinazione dell’aggiudicatario». III. Fatti, procedimento nazionale e questioni pregiudiziali 10. Per far fronte alla situazione derivante dalla diffusione del COVID‑19, il Ministro della Salute della Repubblica di Lituania (in prosieguo: il «Ministro della Salute») ha incaricato, con decisione del 24 marzo 2020, il direttore del NVSC di organizzare lo sviluppo e l’acquisizione di un’applicazione mobile, ossia KARANTINAS. Tale applicazione mobile era stata concepita per raccogliere e monitorare i dati personali di persone che erano state in contatto con pazienti affetti da COVID‑19 ( 3 ). 11. Il 27 marzo 2020, una persona qualificatasi come rappresentante del NVSC informava la società «IT sprendimai sėkmei» UAB (in prosieguo: l’«ITSS») che detta società era stata selezionata quale sviluppatrice dell’applicazione KARANTINAS. Venivano scambiate diverse e‑mail tra l’ITSS e tale persona, nonché tra l’ITSS e alcuni dipendenti e il direttore del NVSC, in relazione allo sviluppo dell’applicazione mobile. In quella fase veniva inoltre redatto un accordo di riservatezza, in cui sia l’ITSS che il NVSC figuravano come titolari del trattamento. 12. L’applicazione mobile che è stata infine sviluppata veniva resa disponibile al pubblico per il download da [OSCURATO:PERSONA], a partire dal 4 aprile 2020, e da [OSCURATO:PERSONA], a partire dal 6 aprile 2020. Sia l’ITSS che il NVSC figuravano nuovamente come titolari del trattamento nella versione di KARANTINAS resa disponibile per il download da parte del pubblico. All’epoca, l’applicazione mobile non era ancora stata acquistata dal NVSC. 13. Con decisione del 10 aprile 2020, il ministro della Salute incaricava il direttore del NVSC di procedere all’acquisto di KARANTINAS mediante procedura negoziata senza pubblicazione di un bando di gara, in applicazione dell’articolo 72, paragrafo 2, della legge sugli appalti pubblici. 14. Tale procedura veniva avviata ma, non avendo ricevuto i fondi necessari, il NVSC vi poneva fine. Non veniva quindi concluso alcun contratto pubblico di compravendita. KARANTINAS, tuttavia, continuava a essere disponibile per il download da parte del pubblico. 15. Il 15 maggio 2020 il NVSC chiedeva all’ITSS di non utilizzare più nell’applicazione mobile alcun dettaglio del NVSC e di non inserire link che rimandassero al NVSC. Il 18 maggio 2020, l’Ispettorato avviava un’indagine sull’ITSS e sul NVSC per violazione delle norme del RGPD. L’operatività di KARANTINAS veniva sospesa su richiesta dell’Ispettorato il 26 maggio 2020. Secondo l’ITSS, tra il 4 aprile e il 26 maggio 2020, 3802 utenti avevano fornito i loro dati personali tramite l’applicazione. 16. Con decisione del 24 febbraio 2021, l’Ispettorato infliggeva sanzioni amministrative pecuniarie al NVSC e all’ITSS, in quanto contitolari del trattamento, per violazione degli articoli 5, 13, 24, 32 e 35 del RGPD ( 4 ). 17. La suddetta decisione è stata impugnata dal NVSC dinanzi al Vilniaus apygardos administracinis teismas (Tribunale amministrativo regionale di Vilnius, Lituania). Detto giudice si chiede, in sostanza, se la nozione di «titolare del trattamento», di cui all’articolo 4, punto 7, del RGPD, debba essere interpretata in modo estensivo, così da includere qualsiasi persona fisica o giuridica o organismo, quale il NVSC, che non è lo sviluppatore di un’applicazione mobile ma che, in vista dell’acquisizione di tale applicazione mobile tramite una procedura di gara, ha stabilito «le finalità e i mezzi del trattamento di dati personali», o se tale nozione debba essere interpretata in modo più restrittivo, tenendo conto della procedura di appalto pubblico e del suo esito. 18. In particolare, detto giudice si chiede se sia rilevante a tale riguardo il fatto che la procedura di gara è stata da ultimo abbandonata e che KARANTINAS non è mai stata acquisita dal NVSC. Si chiede inoltre se abbia un impatto su tale valutazione il fatto che il NVSC non ha ufficialmente acconsentito alla messa a disposizione del pubblico di tale applicazione mobile né l’ha autorizzata. 19. Inoltre, detto giudice si interroga sul rapporto tra il NVSC e l’ITSS. A questo proposito, si chiede in quali circostanze tale organismo e tale società debbano essere considerati «contitolari del trattamento», nell’accezione dell’articolo 4, punto 7, e dell’articolo 26, paragrafo 1, del RGPD. In alternativa, se il NVSC e l’ITSS non dovessero essere considerati «contitolari del trattamento», ma (rispettivamente) «titolare del trattamento» e «responsabile del trattamento» ( 5 ), nell’accezione del RGPD, detto giudice desidera sapere quando le azioni dell’ITSS potrebbero comportare una responsabilità per il NVSC. Al riguardo, si chiede se l’articolo 83 del RGPD debba essere interpretato nel senso che una sanzione amministrativa pecuniaria può essere inflitta a un titolare del trattamento come il NVSC che non ha, di per sé, commesso alcuna violazione di tale regolamento con dolo o colpa. 20. Alla luce delle suddette considerazioni, il Vilniaus apygardos administracinis teismas (Tribunale amministrativo regionale, Vilnius) ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali: «1) Se la nozione di “titolare del trattamento” di cui all’articolo 4, punto 7, del regolamento generale sulla protezione dei dati possa essere interpretata nel senso che deve essere considerato quale titolare del trattamento anche colui che intenda acquistare uno strumento di raccolta di dati (applicazione mobile) mediante appalto pubblico, indipendentemente dal fatto che non sia stato concluso un contratto di appalto pubblico e che il prodotto creato (applicazione mobile), per l’acquisto del quale è stata utilizzata una procedura di appalto pubblico, non sia stato trasferito. 2) Se la nozione di “titolare del trattamento” di cui all’articolo 4, punto 7, del regolamento generale sulla protezione dei dati possa essere interpretata nel senso che deve essere considerata quale titolare del trattamento anche un’amministrazione aggiudicatrice che non ha acquistato il diritto di proprietà sul prodotto informatico creato e che non ne è venuta in possesso, qualora la versione definitiva dell’applicazione creata fornisca link o interfacce a tale ente pubblico e/o l’informativa sulla riservatezza, che non è stata ufficialmente approvata o riconosciuta dall’ente pubblico in questione, indichi quale titolare del trattamento tale medesimo ente pubblico. 3) Se la nozione di “titolare del trattamento” di cui all’articolo 4, punto 7, del regolamento generale sulla protezione dei dati possa essere interpretata nel senso che deve essere considerato quale titolare del trattamento anche colui che non ha effettivamente compiuto alcuna operazione di trattamento di dati, come definita all’articolo 4, punto 2, di tale regolamento, e/o che non ha dato un’autorizzazione o un consenso chiari al compimento di tali operazioni. Se il fatto che il prodotto informatico utilizzato per il trattamento dei dati personali sia stato creato conformemente all’incarico redatto dall’amministrazione aggiudicatrice sia rilevante per l’interpretazione della nozione di “titolare del trattamento”. 4) Qualora la determinazione delle effettive operazioni di trattamento dei dati sia rilevante per l’interpretazione della nozione di “titolare del trattamento”, se la definizione di “trattamento” dei dati personali ai sensi dell’articolo 4, punto 2, del regolamento generale sulla protezione dei dati debba essere interpretata nel senso che ricomprende anche situazioni nelle quali sono state utilizzate copie di dati personali per testare i sistemi informatici nel corso del processo di acquisto di un’applicazione mobile. 5) Se la contitolarità del trattamento dei dati ai sensi dell’articolo 4, [punto] 7, e dell’articolo 26, paragrafo 1, del regolamento generale sulla protezione dei dati possa essere interpretata esclusivamente nel senso che implica azioni deliberatamente coordinate per quanto riguarda la determinazione della finalità e dei mezzi del trattamento dei dati, o se tale nozione possa essere interpretata anche nel senso che la contitolarità ricomprende anche situazioni in cui non vi è un chiaro “accordo” sulle finalità e i mezzi del trattamento dei dati e/o non vi è coordinamento fra le azioni dei soggetti. Se, ai fini dell’interpretazione della nozione di contitolarità del trattamento dei dati personali, siano giuridicamente rilevanti le circostanze relative alla fase della creazione dei mezzi per il trattamento dei dati personali (applicazione informatica) nella quale sono stati trattati i dati personali e alle finalità della creazione dell’applicazione. Se un “accordo” tra i contitolari possa essere inteso esclusivamente come una fissazione chiara e definita delle condizioni che disciplinano la contitolarità del trattamento dei dati. 6) Se la disposizione di cui all’articolo 83, paragrafo 1, del regolamento generale sulla protezione dei dati secondo cui “le sanzioni amministrative pecuniarie [devono essere] effettive, proporzionate e dissuasive”, debba essere interpretata nel senso che ricomprende anche i casi in cui il “titolare del trattamento” viene ritenuto responsabile quando, nel processo di creazione di un prodotto informatico, anche lo sviluppatore effettua azioni di trattamento dei dati personali, e se le azioni di trattamento dei dati personali improprie eseguite dal responsabile del trattamento comportino sempre e automaticamente una responsabilità giuridica in capo al titolare del trattamento. Se tale disposizione debba essere interpretata nel senso che ricomprende anche i casi di responsabilità oggettiva del titolare del trattamento». 21. La domanda di pronuncia pregiudiziale, datata 22 ottobre 2021, è pervenuta alla cancelleria della Corte il 12 novembre 2021. Il NVSC, l’Ispettorato, il governo della Lituania e la [OSCURATO:PERSONA] europea hanno presentato osservazioni scritte. 22. All’udienza del 17 gennaio 2023 erano rappresentati il governo lituano e quello dei [OSCURATO:PERSONA], nonché la [OSCURATO:PERSONA] e il Consiglio. IV. Analisi 23. Durante la pandemia di COVID‑19, in molti Stati membri sono state rese disponibili per il download applicazioni mobili progettate per «rintracciare» le persone infettate dal virus e/o quelle con cui esse erano entrate in contatto. Tali applicazioni mobili sono state sviluppate nel tentativo di rispondere all’emergenza della situazione, spesso con la partecipazione di diversi soggetti pubblici e privati (come Ministeri e altri enti pubblici, nonché aziende private). Agli utenti è stato richiesto di inserire in tali applicazioni mobili i propri dati personali, in particolare i dati relativi alla loro salute ( 6 ). 24. Il procedimento principale riguarda proprio una siffatta applicazione mobile, ossia l’applicazione KARANTINAS, sviluppata dalla società ITSS (una società privata), su iniziativa del NVSC (un’autorità pubblica), a seguito di una decisione del Ministro della Salute. Non è chiaro dalle informazioni contenute nel fascicolo, né da quelle fornite in udienza, quali altri enti pubblici lituani siano stati eventualmente coinvolti nello sviluppo dell’applicazione ( 7 ). Sussistono dubbi anche sul fatto che il NVSC abbia acconsentito alla messa a disposizione di KARANTINAS nei confronti del pubblico nel periodo in cui si è svolto il trattamento dei dati personali (aprile e maggio 2020). Tuttavia, nelle questioni sottoposte alla Corte, il Vilniaus apygardos administracinis teismas (Tribunale amministrativo regionale, Vilnius) ha individuato come rilevanti le seguenti circostanze. – Il NVSC aveva previsto di acquisire KARANTINAS ai sensi dell’articolo 72, paragrafo 2, della legge sugli appalti pubblici, ma la procedura non è mai stata completata e l’acquisizione non è mai avvenuta. La proprietà di KARANTINAS non è quindi mai stata trasferita dall’ITSS al NVSC. – Il NVSC figurava come titolare del trattamento nell’informativa sulla riservatezza di KARANTINAS, che è stata resa disponibile al pubblico. Link al NVSC sono stati inseriti anche nell’ultima versione dell’applicazione, che tuttavia non è mai stata approvata ufficialmente da tale ente. – Il NVSC non ha mai trattato in prima persona i dati personali né ha fornito un consenso esplicito alle operazioni di trattamento intraprese, ma ha fornito istruzioni per lo sviluppo di KARANTINAS e tali istruzioni sono state seguite dall’ITSS. – L’ITSS e l’NVSC non hanno stipulato alcun accordo esplicito in merito alle finalità e ai mezzi del trattamento dei dati personali effettuato. 25. In questo contesto, le questioni sottoposte alla Corte riguardano l’interpretazione di varie disposizioni del RGPD. Le prime tre questioni, così come la quinta, richiedono un’interpretazione della nozione di «titolare del trattamento» ai sensi dell’articolo 4, punto 7, di tale regolamento, e richiedono un chiarimento delle circostanze in cui due o più entità possono essere considerate «contitolari del trattamento», ai sensi di tale disposizione, in combinato disposto con l’articolo 26, paragrafo 1, dello stesso regolamento. Analizzerò innanzitutto tali questioni congiuntamente (A), prima di passare alla quarta questione, che riguarda la nozione di «trattamento», ai sensi dell’articolo 4, punto 2, del RGPD, e la sua applicazione nel contesto della fase di collaudo di un’applicazione mobile (B) ( 8 ). Mi addentrerò quindi nella questione su cui è imperniato il presente caso, ossia la sesta questione, che ha carattere trasversale in quanto riguarda i presupposti generali per l’applicabilità di sanzioni amministrative pecuniarie ai titolari del trattamento, in forza dell’articolo 83 del RGPD (C). A. Sulla nozione di «titolare del trattamento» e sulle situazioni di contitolarità (questioni da 1 a 3 e 5) 26. Con le prime tre questioni il giudice del rinvio si chiede, in sostanza, se, alla luce delle circostanze descritte al precedente paragrafo 24, un ente come il NVSC debba essere considerato «titolare del trattamento», ai sensi dell’articolo 4, punto 7, del RGPD. Inoltre, con la quinta questione, il giudice del rinvio chiede di chiarire se, in tali circostanze, due entità come il NVSC e l’ITSS debbano essere considerate «contitolari del trattamento», ai sensi di tale disposizione in combinato disposto con l’articolo 26, paragrafo 1, di detto regolamento, anche se non hanno raggiunto alcun accordo esplicito in merito alle finalità e ai mezzi del trattamento e/o non sembrano aver coordinato in altro modo le loro azioni. 1. Cos’è un titolare del trattamento? (Questioni da 1 a 3) 27. Ricordo che, ai sensi dell’articolo 4, punto 7), del RGPD, per «titolare del trattamento» si intende la persona o entità che, «singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali». In parole semplici, il titolare del trattamento non deve necessariamente trattare i dati personali in prima persona, ma deve stabilire il «perché e come» delle operazioni di trattamento pertinenti ( 9 ). La Corte ha suggerito che, per soddisfare tale criterio, una persona o un’entità deve effettivamente «influi[re] sul trattamento dei dati personali» ( 10 ). Tuttavia, non è necessario che la determinazione delle finalità e dei mezzi del trattamento sia effettuata mediante istruzioni scritte o incarichi da parte del titolare del trattamento ( 11 ). L’articolo 4, punto 7, del RGPD richiede infatti un’analisi fattuale piuttosto che formale. 28. Al riguardo, il Comitato europeo per la protezione dei dati (EDPB) ha suggerito che è possibile essere un titolare del trattamento dei dati indipendentemente da una competenza specifica o da un potere di controllo dei dati conferito dalla legge. La capacità di stabilire le finalità e i mezzi del trattamento dipende, infatti, soprattutto dall’influenza esercitata, che può essere dedotta dalle circostanze di fatto. Un soggetto che sia effettivamente in grado di determinare le finalità e i mezzi del trattamento sarà quindi considerato «titolare del trattamento», indipendentemente dal fatto che sia stato formalmente nominato come tale (per legge o in un contratto o in altro modo) ( 12 ). 29. Fatte queste precisazioni, osservo che molte delle circostanze descritte dal giudice del rinvio nelle prime tre questioni sono di natura puramente formale, ad esempio il fatto che il NVCS non è legalmente proprietario di KARANTINAS o che la procedura di acquisizione di tale applicazione mobile non è mai stata completata, o che il NVSC non ha ufficialmente autorizzato il rilascio dell’applicazione al pubblico in generale o approvato l’ultima versione dell’applicazione. A mio avviso, nessuna di queste circostanze può, di per sé, precludere la constatazione che il NVSC, nel contesto del procedimento principale, abbia agito come «titolare del trattamento», ai sensi dell’articolo 4, punto 7, del RGPD. In effetti, esse non sono sufficienti a confutare la conclusione che il NVSC era effettivamente in grado di determinare le finalità e i mezzi del trattamento dei dati personali che ha avuto luogo. Allo stesso modo, mi sembra che il fatto che il NVSC fosse indicato come titolare del trattamento nell’informativa sulla riservatezza della versione di KARANTINAS resa disponibile per il download da parte del pubblico, o che i link a tale ente fossero stati inclusi in quella versione dell’applicazione mobile, sia rilevante ma non decisivo per quanto riguarda l’influenza effettivamente esercitata da tale ente. 30. Per contro, gli elementi di prova dedotti dinanzi al giudice del rinvio che dimostrano che il NVSC ha deciso quale tipo di dati personali dovesse essere raccolto da KARANTINAS e da quali interessati e/o altri aspetti chiave del trattamento, sono, a mio avviso, sufficienti a stabilire che il suddetto ente ha determinato i «mezzi» del trattamento. Ritengo inoltre che il fatto che KARANTINAS sia stata creata per conseguire l’obiettivo definito dal NVSC, ossia fornire una risposta alla pandemia di COVID‑19, e che il suo funzionamento sia stato regolarmente modificato dall’ITSS per rispondere alle esigenze stabilite dal NVSC, in linea con le istruzioni fornite da tale ente, sia sufficiente per concludere che tale ente ha determinato le «finalità» del suddetto trattamento. 31. Ciò premesso, mi sembra che, al fine di determinare se un soggetto come il NVSC possa essere considerato un «titolare del trattamento» nell’accezione dell’articolo 4, punto 7, del RGPD, il giudice del rinvio debba anche stabilire se, nonostante l’influenza esercitata dal NVSC nella fase di sviluppo di KARANTINAS, la decisione di rendere tale applicazione mobile disponibile al pubblico e, quindi, di procedere al trattamento dei dati personali sia stata effettivamente adottata con il consenso (espresso o implicito) di tale soggetto (indipendentemente dal fatto che tale consenso non sia stato ufficialmente o formalmente fornito). 32. Infatti, come chiarisce la definizione della nozione di «titolare del trattamento» di cui all’articolo 4, punto 7, del RGPD, l’influenza esercitata dal titolare del trattamento deve riguardare il trattamento dei dati personali in sé e non solo una fase precedente. Una persona fisica o giuridica non diventa «titolare del trattamento» per il solo fatto di avviare lo sviluppo di un’applicazione mobile o di definire i parametri di tale applicazione (o di un altro strumento di raccolta dati). Le sue azioni devono essere effettivamente connesse al trattamento dei dati personali e deve quindi aver acconsentito espressamente o implicitamente all’utilizzo dello strumento in questione per effettuare tale trattamento. 33. La Corte ha insistito su tale requisito nella sentenza Fashion ID ( 13 ), in cui ha espressamente affermato che la responsabilità del titolare del trattamento è limitata all’operazione o all’insieme delle operazioni che comportano il trattamento dei dati personali di cui ha determinato effettivamente le finalità e gli strumenti ( 14 ). Ne consegue che la determinazione delle finalità e degli strumenti deve riferirsi direttamente all’operazione o all’insieme delle operazioni rilevanti di trattamento dei dati personali. 34. A mio avviso, da queste constatazioni si evince che un soggetto come il NVSC, che avvia lo sviluppo di un’applicazione mobile, può essere considerato «titolare del trattamento», ai sensi dell’articolo 4, punto 7, del RGPD, solo in una situazione in cui vi siano sufficienti elementi di natura fattuale, piuttosto che formale, in base ai quali i giudici nazionali possano concludere che tale soggetto ha esercitato un’influenza effettiva per quanto riguarda le «finalità e i mezzi» di tale trattamento e ha effettivamente acconsentito al rilascio al pubblico dell’applicazione mobile e, di conseguenza, al trattamento dei dati personali. Fatte salve le verifiche che dovranno essere effettuate dal giudice del rinvio, credo che il NVSC soddisfi tali requisiti. 2. Quando due entità possono essere considerate contitolari del trattamento? (Questione 5) 35. La quinta questione riguarda i presupposti che devono essere soddisfatti affinché due (o più) soggetti siano considerati contitolari del trattamento. Ritengo che il giudice del rinvio chieda chiarimenti sull’interpretazione di tale nozione perché sospetta che, nella situazione in esame nel procedimento principale, il NVSC e l’ITSS possano essere considerati «contitolari del trattamento» e, in quanto tali, possano essere responsabili in solido dei danni arrecati ( 15 ), e/o essere sanzionati in solido per le violazioni delle norme sulla protezione dei dati commesse quando KARANTINAS è stata resa disponibile per il download da parte del pubblico. Al riguardo, osservo che, come ho indicato al precedente paragrafo 16, di fatto l’ente e la società di cui trattasi sono stati entrambi ritenuti dall’Ispettorato responsabili delle violazioni commesse, in qualità di contitolari del trattamento, e sanzionati in applicazione dell’articolo 83 del RGPD. 36. Ai sensi dell’articolo 26, paragrafo 1, del RGPD, si hanno «contitolari del trattamento» allorché due o più titolari determinano congiuntamente le finalità e i mezzi del trattamento. Ciascun contitolare del trattamento deve, pertanto, soddisfare in modo indipendente i criteri elencati nella definizione di «titolare del trattamento» di cui all’articolo 4, punto 7, di detto regolamento ( 16 ). Inoltre, i contitolari del trattamento devono avere un certo rapporto tra loro, dato che la loro influenza sul trattamento deve essere esercitata congiuntamente. 37. La Corte ha indicato che l’esistenza di contitolarità non implica necessariamente una pari responsabilità o partecipazione delle varie persone o entità coinvolte. Al contrario, i contitolari del trattamento possono essere coinvolti in fasi diverse di tale trattamento, di modo che il grado di responsabilità di ciascuno di essi deve essere valutato tenendo conto di tutte le circostanze rilevanti del caso di specie ( 17 ). Inoltre, la responsabilità congiunta di vari soggetti per un medesimo trattamento non presuppone che ciascuno di essi abbia accesso ai dati personali in questione ( 18 ). Ciò che conta, tuttavia, è che esse partecipino congiuntamente alla determinazione delle «finalità e dei mezzi» del trattamento. 38. Al riguardo, osservo che, come affermano le linee guida 07/2020, tale partecipazione congiunta può esistere in forme diverse. Essa può derivare da una decisione comune presa da due o più soggetti o semplicemente risultare da decisioni convergenti di tali soggetti. In quest’ultimo caso è importante solo che dette decisioni si integrino a vicenda e che siano necessarie affinché il trattamento abbia luogo, in modo tale da avere un impatto tangibile sulla determinazione delle finalità e dei mezzi del trattamento – il che significa, in sostanza, che il trattamento non sarebbe possibile senza la partecipazione di entrambe le parti ( 19 ). 39. In tale contesto, il giudice del rinvio si chiede se il fatto che due titolari del trattamento (nella fattispecie, il NVSC e l’ITSS) non hanno raggiunto un accordo esplicito in merito alle finalità e ai mezzi del trattamento e/o non sembrano aver coordinato in altro modo le loro azioni escluda che essi possano essere considerati «contitolari del trattamento». 40. Comprendo che i dubbi del giudice del rinvio al riguardo derivano dal fatto che, ai sensi dell’articolo 26, paragrafo 1, del RGPD, i contitolari del trattamento devono determinare in modo trasparente, mediante un accordo interno, le rispettive responsabilità in merito all’osservanza degli obblighi derivanti dal suddetto regolamento. Inoltre, il considerando 79 di detto regolamento indica che è necessaria una «chiara ripartizione delle responsabilità», anche nel caso in cui il titolare del trattamento stabilisca le finalità e i mezzi del trattamento congiuntamente con altri. Tuttavia, a mio avviso, tali obblighi e requisiti si applicano ai contitolari del trattamento soltanto una volta stabilito che essi possono essere considerati tali. Essi non fanno parte dei criteri che devono essere soddisfatti affinché i suddetti soggetti possano essere qualificati come tali. 41. Come ho già affermato al paragrafo 36, la contitolarità dipende dal soddisfacimento di due sole condizioni oggettive. In primo luogo, ogni contitolare del trattamento deve soddisfare i criteri elencati nella definizione di «titolare del trattamento» di cui all’articolo 4, punto 7, del RGPD. Il fascicolo non contiene informazioni sufficienti per stabilire se, nella situazione di cui al procedimento principale, l’ITSS debba essere considerato «titolare del trattamento» ai sensi di tale disposizione. Tuttavia, alla luce delle constatazioni svolte nella sezione precedente e fatta salva la verifica che dovrà essere effettuata dal giudice del rinvio, mi sembra che almeno il NVSC – se non anche l’ITSS – soddisfi le condizioni per essere considerato «titolare del trattamento», ai sensi di tale disposizione. In secondo luogo, l’influenza sul trattamento da parte dei titolari dello stesso deve essere esercitata congiuntamente (il che significa che deve essere esercitata in conformità dei criteri giuridici e della giurisprudenza che ho ricordato in precedenza ai paragrafi 37 e 38). Al riguardo, ho spiegato che la partecipazione congiunta al trattamento può manifestarsi in diverse forme e inoltre non occorre che derivi da una decisione comune delle parti interessate. Pertanto, l’approccio sostanziale e funzionale richiesto per stabilire se una persona o un’entità debba essere considerata «titolare del trattamento», ai sensi dell’articolo 4, punto 7, del RGPD, si applica, a mio avviso, anche alla contitolarità ( 20 ). 42. Alla luce di questi elementi, ritengo, in primo luogo, che l’assenza di accordi o intese o finanche di decisioni comuni tra due o più titolari del trattamento come il NVSC e l’ITSS non possa, di per sé, precludere la conclusione che essi siano «contitolari del trattamento» nell’accezione dell’articolo 4, punto 7, del RGPD, in combinato disposto con l’articolo 26, paragrafo 1, dello stesso. Al riguardo, aggiungo che l’EDPB ha suggerito che, sebbene gli accordi contrattuali possano essere utili per valutare la contitolarità, essi dovrebbero sempre essere verificati alla luce delle circostanze di fatto del rapporto tra le parti ( 21 ). 43. In secondo luogo, mi sembra che il semplice fatto che, al di là dell’assenza di accordi o intese o decisioni comuni, apparentemente il NVSC e l’ITSS non hanno coordinato le loro azioni o collaborato in altro modo tra loro non significhi che non possano essere considerati «contitolari del trattamento». Anche ove tale coordinamento o cooperazione esistesse, sarebbe irrilevante ai fini della questione della configurabilità o meno del rapporto tra tali due soggetti come contitolarità. Si può infatti facilmente immaginare l’esistenza di una cooperazione o di un coordinamento tra due o più soggetti, senza che essi siano affatto contitolari del trattamento. Ad esempio, due distinti titolari del trattamento potrebbero coordinare le loro azioni o cooperare tra loro con l’intenzione di scambiarsi dati personali. Tuttavia, ciò non li renderebbe «contitolari del trattamento» ai sensi dell’articolo 4, punto 7, e dell’articolo 26, paragrafo 1, del RGPD ( 22 ). Ciò che conta, come ho spiegato in precedenza al paragrafo 38, è che il trattamento non sarebbe possibile senza la partecipazione di entrambe le parti perché entrambe incidono in modo tangibile sulla determinazione della finalità e dei mezzi di tale trattamento dei dati. 3. Conclusione sull’interpretazione della nozione di «titolare del trattamento» e sulle situazioni di contitolarità 44. Alla luce di quanto precede, mi sembra che, da un lato, fatte salve le verifiche che il giudice del rinvio dovrà effettuare, un ente come il NVSC soddisfi le condizioni elencate all’articolo 4, punto 7, del RGPD per essere considerato «titolare del trattamento». Dall’altro, la possibilità di considerare il NVSC e l’ITSS «contitolari del trattamento», in linea con i criteri che ho illustrato nella sezione precedente, o di qualificarli rispettivamente come «titolare del trattamento» e «responsabile del trattamento» dipende dalla natura del loro rapporto, che spetta al giudice del rinvio valutare. 45. Al riguardo, aggiungo che la natura del rapporto tra il NVSC e l’ITSS (ossia se siano «contitolari del trattamento» o, rispettivamente, «titolare del trattamento» e «responsabile del trattamento») è rilevante ai fini della sesta questione. Tornerò quindi sulle conclusioni formulate in merito alla quinta questione quando affronterò gli argomenti sollevati dalla sesta questione. B. Sulla nozione di «trattamento» (questione 4) 46. Con la quarta questione il giudice del rinvio si chiede, in sostanza, se la definizione di «trattamento» fornita dall’articolo 4, punto 2, del RGPD riguardi una situazione in cui i dati personali sono utilizzati durante la fase di collaudo di un’applicazione mobile ( 23 ). Dalla domanda di pronuncia pregiudiziale si evince che KARANTINAS è stata sottoposta a una fase di collaudo prima di essere resa disponibile per il download da parte del pubblico. A mio avviso, la quarta questione riguarda quindi una situazione distinta da quella che informa le altre questioni sottoposte alla Corte, che si riferiscono tutte al trattamento dei dati personali dopo la fase di collaudo, quando KARANTINAS è stata rilasciata al pubblico. In particolare, il giudice del rinvio desidera sapere se l’utilizzo dei dati personali durante tale fase di collaudo sia qualificabile come «trattamento» ai sensi dell’articolo 4, punto 2, del RGPD e, in quanto tale, possa comportare una potenziale responsabilità per i titolari del trattamento e/o i responsabili del trattamento coinvolti. 47. Ai sensi dell’articolo 4, punto 2, del RGPD, per «trattamento» si intende « qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali (...)» ( 24 ). 48. Dalla formulazione (in particolare, dall’uso del termine «qualsiasi» e di termini generici come «operazione» o «insieme di operazioni») mi sembra di capire che a tale disposizione debba essere attribuito un significato ampio, in modo da coprire il maggior numero possibile di situazioni in cui vengono utilizzati i dati personali. L’elenco non esaustivo di tali situazioni, contenuto nella disposizione, conferma la suddetta interpretazione, data la varietà di operazioni che vi sono incluse ( 25 ). 49. Inoltre, mentre dalla sezione precedente risulta che la definizione di «titolare del trattamento», di cui all’articolo 4, punto 7, di detto regolamento, è strettamente connessa alle finalità del trattamento dei dati personali (le ragioni «per cui» i dati personali sono raccolti), ciò non si verifica per la definizione di cui all’articolo 4, punto 2, dello stesso. Di conseguenza, le ragioni per cui un’operazione o un insieme di operazioni vengono eseguite sono, in linea di principio, irrilevanti per stabilire se esse debbano essere qualificate come «trattamento», ai sensi di tale disposizione. Ne consegue, a mio avviso, che la circostanza che i dati personali siano raccolti per collaudare i sistemi informatici incorporati in un’applicazione mobile o per un altro scopo non ha alcuna rilevanza sulla qualificabilità dell’operazione di cui trattasi come «trattamento». 50. Al riguardo, osservo inoltre che l’«uso» dei dati personali (senza alcuna menzione ulteriore e, quindi, indipendentemente dallo scopo dell’uso) è elencato tra le operazioni o gli insiemi di operazioni che costituiscono un «trattamento» ( 26 ). Inoltre, l’articolo 4, punto 2, del RGPD non contiene alcuna eccezione, deroga o esclusione esplicita per le operazioni relative all’uso di dati personali per il collaudo di sistemi informatici. Ne consegue che nulla impedisce di considerare come «trattamento» ai sensi di tale disposizione l’utilizzo di dati personali al fine di effettuare il collaudo; piuttosto, è vero il contrario. 51. Alla luce di questi elementi, ritengo che la definizione di «trattamento» fornita dall’articolo 4, punto 2, del RGPD riguardi una situazione in cui i dati personali vengano utilizzati durante la fase di collaudo di un’applicazione mobile. 52. La mia conclusione al riguardo non è inficiata dal mero fatto che i dati personali forniti al fine di collaudare i sistemi informatici integrati in un’applicazione mobile possono essere stati sottoposti a pseudonimizzazione ( 27 ). L’unica circostanza in cui non si applicherebbe il RGPD è se le informazioni fornite all’applicazione mobile consistessero solo in informazioni anonime che «non si riferiscono a una persona fisica identificata o identificabile» o di dati personali «resi sufficientemente anonimi da impedire o da non consentire più l’identificazione dell’interessato». Rilevo tuttavia che, nel procedimento principale, sulla base delle informazioni fornite nel fascicolo, i dati utilizzati per la fase di sperimentazione non risultano essere costituiti da dati anonimizzati di questo tipo ( 28 ). 53. Alla luce di quanto precede, ritengo che la definizione di «trattamento» di cui all’articolo 4, punto 2, del RGPD riguardi una situazione in cui i dati personali sono utilizzati durante la fase di collaudo di un’applicazione mobile, a meno che tali dati non siano anonimizzati in modo tale che l’interessato non sia identificabile o non lo sia più. La circostanza che i dati personali siano raccolti per collaudare i sistemi informatici incorporati in un’applicazione mobile o per un altro scopo diverso non ha, di per sé, alcuna rilevanza sulla questione se l’operazione di cui trattasi sia qualificabile come «trattamento» ( 29 ). 54. Fatte tali precisazioni, passo ora alla questione centrale del caso in esame, che riguarda le condizioni alle quali può essere inflitta una sanzione amministrativa pecuniaria al titolare del trattamento del trattamento o al responsabile del trattamento, in applicazione dell’articolo 83 del RGPD. C. Sulle sanzioni amministrative pecuniarie inflitte in applicazione dell’articolo 83 del RGPD (questione 6) 55. Prima dell’adozione del RGPD, le sanzioni per la violazione delle norme sulla protezione dei dati erano ampiamente lasciate alla discrezionalità degli Stati membri, in virtù della loro autonomia in materia procedurale e dei mezzi di ricorso ( 30 ). Le sanzioni amministrative pecuniarie, introdotte dall’articolo 83 di detto regolamento, sono quindi uno «sviluppo» relativamente nuovo nella legislazione dell’Unione in materia di protezione dei dati. Esse sono state definite dal Gruppo di lavoro «Articolo 29» come un «elemento centrale del nuovo regime (...) per far rispettare le norme» ( 31 ). Sebbene tale disposizione non sia ancora stata interpretata dalla Corte, essa è già stata applicata dalle autorità di vigilanza, talvolta per imporre pesanti sanzioni ai titolari o ai responsabili del trattamento ( 32 ). 56. L’articolo 83 del RGPD prevede un sistema di sanzioni a due livelli, a seconda del tipo specifico di disposizione violata. Mentre il primo livello, definito all’articolo 83, paragrafo 4, di detto regolamento, si applica alle situazioni in cui il titolare del trattamento o il responsabile del trattamento violano gli obblighi generali cui sono soggetti, nonché alcuni obblighi specifici, il secondo livello è riservato, come indica l’articolo 83, paragrafo 5, del RGPD, alle violazioni più gravi, quali le violazioni, tra l’altro, dei principi di base del trattamento, dei diritti degli interessati e delle norme relative ai trasferimenti di dati personali a un destinatario in un paese terzo o a un’organizzazione internazionale. 57. Per entrambi i livelli, le autorità nazionali competenti, dopo aver accertato che una determinata disposizione del RGPD è stata violata, devono effettuare due valutazioni. In primo luogo, esse devono stabilire se sia necessario infliggere una sanzione e, in secondo luogo, nel caso in cui sia necessario, devono stabilire l’importo di detta sanzione. Tali valutazioni devono essere effettuate in ogni singolo caso , alla luce dei vari elementi elencati nell’articolo 83, paragrafo 2, del RGPD. Tra questi elementi vi è il «carattere doloso o colposo della violazione» [articolo 83, paragrafo 2, lettera b)]. 58. Con la sesta questione, il giudice del rinvio si chiede, in sostanza, se sia possibile imporre una sanzione amministrativa al titolare del trattamento quando quest’ultimo non abbia agito intenzionalmente o per negligenza nel violare le norme sulla protezione dei dati e il trattamento illecito dei dati personali sia stato effettuato non dal titolare del trattamento stesso, bensì dal responsabile del trattamento. Riprendendo le conclusioni che ho sviluppato in merito alla quinta questione, mi sembra che la sesta questione sia posta per il caso in cui, nel procedimento principale, il NVSC e l’ITSS non possano essere considerati «contitolari del trattamento», ai sensi dell’articolo 4, punto 7, del RGPD, in combinato disposto con l’articolo 26, paragrafo 1, di detto regolamento, e debbano essere considerati, rispettivamente, «titolare del trattamento» e «responsabile del trattamento». In tale particolare contesto, il giudice del rinvio desidera chiarire le circostanze in cui il NVSC può essere sanzionato, in applicazione dell’articolo 83 del RGPD. 59. Detto ciò, noto che la sesta questione cita unicamente l’articolo 83, paragrafo 1, del RGPD come disposizione pertinente. Tuttavia, a mio avviso, gli argomenti sollevati da tale questione richiedono di considerare l’articolo 83 di detto regolamento nel suo complesso e, in particolare, come ho spiegato nel precedente paragrafo 57, di prendere in considerazione l’articolo 83, paragrafo 2, lettera b), atteso che tale disposizione fa riferimento al «carattere doloso o colposo della violazione». Affronterò pertanto la sesta questione per esaminare l’interpretazione dell’articolo 83 del RGPD nel suo complesso, e non del solo paragrafo 1. 60. A mio avviso, tale questione si articola in due parti. In primo luogo, la Corte deve stabilire se l’articolo 83 del RGPD consenta, in generale, di imporre sanzioni amministrative ai titolari del trattamento o ai responsabili del trattamento in assenza di mens rea (elemento soggettivo – colpa). In sostanza, il giudice del rinvio vorrebbe sapere se il NVSC possa essere sanzionato per il semplice fatto di aver violato gli obblighi impostigli in quanto titolare del trattamento (responsabilità oggettiva), o se sia necessario un elemento di colpa nel commettere la o le violazioni in questione. In secondo luogo, detto giudice chiede di chiarire se il fatto che il trattamento illecito dei dati personali non è stato effettuato dal titolare del trattamento stesso, bensì dal responsabile del trattamento, influisca in qualche modo sulla capacità delle autorità di controllo di imporre una sanzione al titolare del trattamento. 61. Esaminerò in successione ciascuno di questi due aspetti. 1. Primo aspetto: la necessità di accertare la colpa 62. L’articolo 83 del RGPD richiede che le sanzioni amministrative pecuniarie inflitte per una violazione delle norme sulla protezione dei dati siano «effettive, proporzionate e dissuasive». Ciò è chiarito dal paragrafo 1 di tale disposizione. Tuttavia, tale paragrafo non precisa se una siffatta sanzione possa essere inflitta solo se è anche accertata la colpa, vale a dire se la «colpa» sia un presupposto per l’imposizione di qualsiasi sanzione amministrativa pecuniaria. 63. Il paragrafo 2, lettera b), della stessa disposizione, d’altra parte, menziona il «carattere doloso o colposo della violazione» come uno degli elementi ( 33 ) che le autorità di vigilanza devono tenere in «debito conto» in ogni singolo caso. Ai sensi dell’articolo 83, paragrafo 2, lettera k), di detto regolamento, tali elementi devono essere intesi come «fattori aggravanti o attenuanti» e non sono esaustivi. 64. In tale contesto, a mio avviso, vi sono due modi possibili di intendere l’articolo 83 del RGPD. 65. Da un lato, si potrebbe ritenere che, sebbene la decisione di infliggere una sanzione e il suo importo debbano essere determinati tenendo conto del grado di colpa (cosicché, ad esempio, una sanzione più elevata dovrebbe, in linea di principio, essere inflitta se la violazione è il risultato di un comportamento doloso e, al contrario, un comportamento colposo dovrebbe comportare una sanzione inferiore), nulla impedisce di infliggere una sanzione anche in assenza di colpa , purché il responsabile del trattamento o il titolare del trattamento possa essere considerato responsabile della violazione. Tale interpretazione sarebbe suffragata da una lettura dell’articolo 83, paragrafo 2, lettere b) e k), che, menzionando diversi tipi di colpa (dolo o negligenza) come «fattori attenuanti o aggravanti», potrebbe implicare che la colpa, in genere, non è un prerequisito per l’imposizione di una sanzione. 66. D’altro canto, si potrebbe anche sostenere, come fa la [OSCURATO:PERSONA] nel caso in esame, che, prima di poter imporre una sanzione, deve essere accertata, come presupposto minimo , la negligenza della persona o dell’ente che ha commesso la violazione. Tale approccio sarebbe suffragato da una lettura diversa, più cauta, dell’articolo 83, paragrafo 2, lettere b) e k), del RGPD, vale a dire che tali disposizioni impongono alle autorità di controllo di distinguere tra un fattore attenuante (negligenza) e uno aggravante (dolo), ma non indicano che una sanzione pecuniaria potrebbe essere comminata in totale assenza di colpa . 67. [OSCURATO:PERSONA] ha espressamente optato per questa interpretazione nella sua proposta iniziale che ha portato all’adozione del RGPD ( 34 ), in cui suggeriva di organizzare il sistema di sanzioni come un sistema a tre livelli. Per ogni livello, la [OSCURATO:PERSONA] proponeva che le sanzioni potessero essere inflitte unicamente a «chiunque, con dolo o colpa» ( 35 ), avesse commesso una o più presunte violazioni. Pertanto, la [OSCURATO:PERSONA] chiaramente considerava la colpa come prerequisito per l’imposizione di tale sanzione ( 36 ). 68. Sebbene entrambi gli approcci possano, a mio avviso, fondarsi su un’interpretazione testuale dell’articolo 83, paragrafo 2, del RGPD, in quanto corrispondono ciascuno a un’interpretazione del «carattere doloso o colposo della violazione» come fattore «aggravante» o «attenuante», ritengo che solo il secondo approccio rifletta correttamente l’intenzione del legislatore dell’Unione. Diverse ragioni mi portano a tale conclusione. a) Motivi per cui è richiesta la colpa 69. In primo luogo, osservo che molti dei fattori elencati nell’articolo 83, paragrafo 2, del RGPD presentano una formulazione specifica da cui si può dedurre che tali fattori non si applicano in tutti i casi, ma solo in alcuni. In particolare, nella versione inglese dell’articolo 83, paragrafo 2, le lettere c), e) e k), iniziano con il termine «any» [«any action taken by the controller or processor to mitigate the damage (...)»; «le misure adottate dal titolare del trattamento o dal responsabile del trattamento per attenuare il danno (...)»; «any relevant previous infringements (…)»; «eventuali precedenti violazioni (...)»; «any other aggravating or mitigating factor applicable to the circumstances of the case (…)»; «eventuali altri fattori aggravanti o attenuanti applicabili alle circostanze del caso (...)»], il che suggerisce che, sebbene le autorità di controllo debbano sempre tenere conto dell’esistenza di un’azione attenuante, di una violazione precedente o di un altro fattore aggravante o attenuante da prendere in considerazione, possono, in realtà, verificarsi situazioni in cui tali elementi sono semplicemente assenti, e tuttavia l’autorità competente per la protezione dei dati può comunque decidere di infliggere una sanzione (o, al contrario, di non infliggerla). Analogamente, osservo che anche l’articolo 83, paragrafo 2, lettera i), del RGPD è formulato in modo non sistematico, in quanto richiede di verificare se il titolare del trattamento o il responsabile del trattamento si sia conformato alle misure di cui all’articolo 58, paragrafo 2, di tale regolamento, ma soltanto «qualora siano stati precedentemente disposti [tali] provvedimenti (...) nei confronti del titolare del trattamento o del responsabile del trattamento in questione». 70. L’articolo 83, paragrafo 2, lettera b) menziona, invece, semplicemente « il carattere doloso o colposo della violazione» ( 37 ). In quanto tale, mi sembra che esso faccia parte dei fattori che devono essere presenti e, in senso figurato, la cui casella deve essere in tutti i casi «barrata» prima di poter imporre una sanzione, proprio come «la natura, la gravità e la durata della violazione (...)» [articolo 83, paragrafo 2, lettera a)], «le categorie di dati personali interessate (...)» [articolo 83, paragrafo 2, lettera g)] e «la maniera in cui l’autorità di controllo ha preso conoscenza della violazione (...)» [articolo 83, paragrafo 2, lettera h)]. A mio avviso, anche questi altri fattori devono essere «presenti» in tutti i casi: ad esempio, la «natura, la gravità e la durata della violazione» possono variare notevolmente da un caso all’altro (e possono, di conseguenza, essere considerate sia come motivo «a favore» che come motivo «contro» l’imposizione di una sanzione). Tuttavia, in tutti i casi, si dovrà tenere conto della natura, di una certa gravità e di una certa durata della violazione. A mio avviso, questi costituiscono primi indizi del fatto che le sanzioni amministrative pecuniarie sono state introdotte nell’articolo 83 del RGPD in modo da essere imposte solo in situazioni in cui la presunta violazione sia stata dolosa o colposa ( 38 ). 71. In secondo luogo, osservo che, sebbene l’articolo 83, paragrafo 2, del RGPD non stabilisca espressamente che la violazione debba essere avvenuta «con dolo o colpa», lo stesso non può dirsi del paragrafo 3 della stessa disposizione, che contiene una regola generale che esclude il cumulo delle sanzioni amministrative. Detto paragrafo menziona soltanto la situazione in cui la violazione o le violazioni in questione si siano verificate «con dolo o colpa». 72. A mio avviso, ne consegue logicamente che l’articolo 83, paragrafo 2, del RGPD deve essere interpretato nel senso che una sanzione pecuniaria può essere inflitta soltanto se la presunta violazione è avvenuta con dolo o colpa. Infatti, se l’ambito di applicazione dei paragrafi 2 e 3 dell’articolo 83 del RGPD fosse diverso, il cumulo delle sanzioni pecuniarie inflitte sarebbe possibile per le violazioni meno gravi (ossia quelle commesse in assenza di colpa), poiché tali violazioni, pur potendo sempre comportare una sanzione pecuniaria in applicazione della prima (articolo 83, paragrafo 2), non rientrerebbero nella seconda delle due disposizioni (articolo 83, paragrafo 3). Lo stesso non sarebbe tuttavia possibile per le violazioni commesse con dolo o colpa, in quanto tali violazioni sarebbero tutte soggette alla regola che osta al cumulo di cui all’articolo 83, paragrafo 3, di detto regolamento. Un risultato siffatto sarebbe chiaramente contrario al principio di base del regime sanzionatorio istituito dal RGPD, secondo cui le violazioni gravi dovrebbero, in linea di principio, essere sanzionate più severamente di quelle meno gravi, e non viceversa. 73. In terzo luogo, osservo che le sanzioni pecuniarie inflitte in applicazione dell’articolo 83 del RGPD possono comportare pene severe. Infatti il primo livello, che è coperto dall’articolo 83, paragrafo 4, di detto regolamento, può portare all’imposizione di sanzioni amministrative pecuniarie fino a EUR 10000000, o per le imprese, fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Il secondo livello prevede sanzioni amministrative pecuniarie fino a EUR 20000000, o per le imprese, fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente (anche in questo caso, se superiore). 74. Alla luce di ciò, mi sembra che le sanzioni pecuniarie inflitte in applicazione dell’articolo 83 del RGPD perseguano una finalità repressiva, almeno in alcune situazioni ( 39 ), e presentino un elevato grado di severità, tale per cui esse possono essere considerate come aventi natura penale ( 40 ) e, quindi, rientranti nell’ambito di applicazione dell’articolo 49 della Carta dei diritti fondamentali dell’Unione europea (in prosieguo: la «Carta») ( 41 ). 75. Alla luce di tali aspetti e in particolare della natura penale delle sanzioni comminate in applicazione dell’articolo 83 del RGPD, si può quindi essere tentati di sostenere che sarebbe incompatibile con il requisito di cui al paragrafo 1 di detta disposizione – che prevede, in tutti i casi, sanzioni non solo «dissuasive» ed «effettive», ma anche «proporzionate» – consentire di infliggere siffatte sanzioni in assenza di colpa. In altri termini, sarebbe sproporzionato imporre sanzioni nei casi in cui non è accertata neanche la colpa. A mio avviso, tuttavia, tale argomentazione è difficile da sostenere, dato che la Corte ha già stabilito che un sistema di sanzioni o di pene basate sulla responsabilità oggettiva, anche di natura penale, non è di per sé sproporzionato rispetto agli obiettivi perseguiti, se tale sistema ha la caratteristica di spingere i soggetti interessati a rispettare le disposizioni di un regolamento e se gli obiettivi perseguiti rivestono un interesse generale tale da giustificare l’introduzione di un siffatto sistema ( 42 ). Inoltre, la Corte europea dei diritti dell’uomo (Corte EDU), in relazione all’articolo 7 della Convenzione europea dei diritti dell’uomo (CEDU) (che corrisponde all’articolo 49 della Carta) ( 43 ), ha affermato che, sebbene la punizione ai sensi di tale disposizione richieda generalmente l’esistenza di un legame mentale attraverso il quale sia possibile individuare un elemento di responsabilità nella condotta della persona che ha materialmente commesso il reato, tale requisito non esclude l’esistenza di talune forme di responsabilità oggettiva ( 44 ). 76. Detto questo, da tale giurisprudenza mi sembra di capire che l’elemento soggettivo (mens rea) è, come regola generale, richiesto per imporre una sanzione penale, e che la responsabilità oggettiva costituisce quindi una sorta di «eccezione» a tale regola generale, cosicché essa deve essere giustificata alla luce degli obiettivi perseguiti dal regolamento. 77. Considerando il RGPD nel suo complesso, mi sembra che le sanzioni amministrative pecuniarie siano state contemplate dal legislatore dell’Unione come solo uno degli strumenti previsti da tale strumento per garantire un’effettiva conformità. Le sanzioni pecuniarie, infatti, devono essere inflitte «in aggiunta alle misure (...), o in luogo» delle misure elencate all’articolo 58, paragrafo 2, di detto regolamento, che conferisce alle autorità di controllo una serie di poteri correttivi (come il potere di rivolgere avvertimenti, ammonimenti o ingiunzioni) ( 45 ). Inoltre, nei casi in cui non venga inflitta una sanzione amministrativa pecuniaria in applicazione dell’articolo 83 del RGPD, le autorità di controllo hanno la possibilità di imporre altre sanzioni ai sensi dell’articolo 84 di tale regolamento ( 46 ). 78. A mio avviso, tali disposizioni chiariscono che, nell’adottare detto regolamento, l’intenzione del legislatore dell’Unione non era che ogni violazione delle norme sulla protezione dei dati fosse punibile con una sanzione amministrativa pecuniaria. Piuttosto, intendeva prevedere un sistema flessibile e differenziato di sanzioni e penalità. Ciò è confermato dal considerando 148 del RGPD, che prevede che le autorità di controllo possano astenersi dall’imporre una sanzione amministrativa pecuniaria, e rivolgere invece un ammonimento, in caso di «violazione minore o se la sanzione pecuniaria che dovrebbe essere imposta costituis[ca] un onere sproporzionato per una persona fisica». In tale contesto, limitare l’applicazione dell’articolo 83 del RGPD alle situazioni in cui la colpa, come presupposto minimo, è accertata, a mio avviso, è in linea con tali obiettivi e con la logica generale di tali diverse disposizioni, secondo cui l’imposizione di sanzioni amministrative pecuniarie dovrebbe essere riservata a determinati tipi di sanzioni. 79. Mi sembra inoltre che, quando il legislatore dell’Unione ha manifestato la volontà di introdurre la responsabilità oggettiva o presunta nel RGPD, lo abbia fatto utilizzando una formulazione specifica, assente nell’articolo 83 del medesimo. Ad esempio, per quanto riguarda la responsabilità civile (cioè la responsabilità dei titolari del trattamento e dei responsabili del trattamento nei confronti degli interessati), che è coperta dall’articolo 82 del RGPD, il legislatore dell’Unione ha stabilito che i titolari del trattamento e i responsabili del trattamento hanno l’obbligo imperativo di risarcire i danni che causano agli interessati, a meno che riescano a dimostrare che l’evento dannoso non è in alcun modo loro imputabile ( 47 ). L’articolo 83 di detto regolamento, invece, non contiene una formulazione simile all’articolo 84 del RGPD. Ciò, a mio avviso, conferma che il legislatore dell’Unione non intendeva con tale disposizione introdurre un sistema di sanzioni basato sulla responsabilità oggettiva o presunta. 80. In quarto luogo, aspetto forse più importante, ritengo che, in pratica, la soglia per una violazione colposa del RGPD, ai sensi dell’articolo 83, paragrafo 2, lettera b), di detto regolamento, sia, in ogni caso, così bassa che è difficile immaginare situazioni in cui in cui sia impossibile irrogare una sanzione pecuniaria per il semplice motivo che non è soddisfatto tale elemento. Per questo, ritengo che il semplice fatto che il dolo o la colpa devono essere accertati prima che possa essere imposta una sanzione in applicazione dell’articolo 83 di tale regolamento non pregiudichi l’obiettivo del legislatore dell’Unione di assicurare l’efficace esecuzione delle norme di protezione dei dati ivi contenute, piuttosto il contrario. 81. Alcuni autori hanno sostenuto, al riguardo, che la mera omissione di qualsiasi azione in una situazione in cui il titolare del trattamento o il responsabile del trattamento nutre semplici dubbi sulla legalità del trattamento intrapreso costituisce già un’accettazione deliberata della potenziale violazione del RGPD e, quindi, una grave negligenza ( 48 ). Inoltre, il Gruppo di lavoro «Articolo 29» ha suggerito che una violazione per negligenza, per molti versi, equivale a una violazione «colposa», poiché, a suo avviso, tale violazione può verificarsi laddove non vi era l’intenzione di causarla e il titolare del trattamento o responsabile del trattamento ha semplicemente violato il proprio obbligo di diligenza ( 49 ). In particolare, esso ha affermato che anche un puro e semplice «errore umano» ( 50 ) può essere sintomo di negligenza. 82. Mi vengono in mente due conclusioni. In primo luogo, la linea di demarcazione tra una violazione completamente non intenzionale, non colpevole, e una dovuta a negligenza è, in realtà, molto sottile. Ritengo che raramente le autorità di controllo avranno difficoltà a reperire elementi sufficienti a dimostrare che la presunta violazione è avvenuta quanto meno per negligenza. A questo proposito, osservo che è stato detto, in dottrina, che «date le numerose azioni di sensibilizzazione (...) per garantire la conformità al RGPD (...), è difficile immaginare (...) violazioni del RGPD senza che sia presente per lo meno l negligenza» ( 51 ). Sono pienamente d’accordo e ricordo che il RGPD mira specificamente a garantire che i titolari e i responsabili del trattamento siano consapevoli delle norme sulla protezione dei dati, il che rende ancora più difficile, a mio avviso, considerare che una violazione possa verificarsi senza alcuna colpa (fosse pure per negligenza) ( 52 ). 83. In secondo luogo, questo risultato appare perfettamente coerente con l’obiettivo primario del RGDP, che è quello di assicurare un livello coerente ed elevato di protezione delle persone fisiche nell’Unione europea ( 53 ). Le sanzioni hanno infatti un effetto deterrente ( 54 ). Grazie all’incentivo a conformarsi al RGPD che determinano nei titolari e nei responsabili del trattamento, esse contribuiscono complessivamente al rafforzamento della protezione degli interessati e sono, pertanto, un elemento chiave per garantire il rispetto dei loro diritti ( 55 ). A mio avviso, ne consegue che, se da un lato non si può fare a meno della «colpa», il grado di colpa richiesto per l’applicazione dell’articolo 83 del regolamento è molto basso, in modo da garantire un livello adeguato di protezione per gli interessati. 84. Inoltre, vorrei sottolineare che questo approccio, di cui suggerisco alla Corte, l’adozione confermerebbe anche l’allineamento del sistema di sanzioni istituito da detta disposizione con quello previsto dall’articolo 23, paragrafo 1, del regolamento (CE) n. 1/2003 ( 56 ), per le infrazioni al diritto della concorrenza, che parimenti si applica soltanto in caso in cui siano accertati dolo o colpa (intenzionalmente o per negligenza nel regolamento n. 1/2003). Il fatto che tale altro sistema sanzionatorio abbia ispirato la formulazione dell’articolo 83 del RGPD è confermato dal considerando 150 dello stesso, in cui si afferma che «[s]e le sanzioni amministrative sono inflitte a imprese, le imprese dovrebbero essere intese quali definite agli articoli 101 e 102 TFUE a tali fini», e da altre analogie tra i due sistemi sanzionatori, come il fatto che l’importo delle sanzioni pecuniarie può, per le imprese, essere basato, in entrambi i sistemi, sul loro fatturato. Osservo inoltre che molti dei fattori elencati nell’articolo 83, paragrafo 2, del RGPD rispecchiano quelli rilevanti per determinare l’importo di una sanzione per le infrazioni al diritto della concorrenza ( 57 ). 85. Dopo aver illustrato le ragioni per cui ritengo che debba essere accertata la colpa prima che possa essere inflitta una sanzione al titolare o al responsabile del trattamento in applicazione dell’articolo 83, paragrafo 2, del RGPD, non mi resta che spendere qualche parola sul ragionamento avanzato dal Consiglio e dal governo lituano. Secondo tali parti, spetta agli Stati membri decidere se sia necessaria o meno la colpa per poter imporre una sanzione amministrativa pecuniaria. 86. Da parte mia, non sono affatto d’accordo con tale suggerimento. b) Perché gli Stati membri non hanno un margine di discrezionalità sulla necessità o meno della colpa 87. Mi sembra chiaro che uno degli obiettivi principali del RGPD e, in particolare, dell’articolo 83, è quello di raggiungere un maggiore livello di armonizzazione nell’intera Unione europea per quanto riguarda, specificamente, l’imposizione di sanzioni pecuniarie ( 58 ). Pertanto, ritengo che, contrariamente a quanto sostenuto dal Consiglio e dal governo lituano, il legislatore dell’Unione non abbia inteso lasciare agli Stati membri un margine di discrezionalità per quanto riguarda l’obbligo o meno della colpa. 88. È vero che la normativa nazionale può prevedere ulteriori requisiti in merito alla procedura che le autorità di controllo devono seguire quando infliggono una sanzione (per quanto riguarda questioni quali la notifica della sanzione, i termini per presentare osservazioni, il ricorso, l’esecuzione e il pagamento) ( 59 ). Ciò emerge chiaramente dall’articolo 83, paragrafo 8, del RGPD, che stabilisce che l’esercizio dei poteri sanzionatori da parte delle autorità di controllo è «soggetto a garanzie procedurali adeguate», che devono essere previste dal diritto nazionale, purché sia garantito il rispetto del diritto dell’Unione (e in particolare il diritto a un ricorso giurisdizionale effettivo e a un giusto processo). 89. Tale discrezionalità non può tuttavia estendersi ai requisiti sostanziali applicabili per l’imposizione di una sanzione pecuniaria, come il grado di colpa. A mio avviso, tale conclusione deriva direttamente da diversi considerando di detto regolamento ( 60 ), i quali mostrano che l’intenzione del legislatore dell’Unione era che il sistema di sanzioni amministrative pecuniarie istituito dall’articolo 83 del RGPD doveva produrre risultati coerenti in tutto il territorio dell’Unione. 90. A fini di completezza, aggiungo che, atteso che le sanzioni pecuniarie hanno un forte impatto sulla concorrenza tra le imprese e forti ripercussioni sul mercato, è essenziale, a mio avviso, che l’articolo 83 del RGPD sia applicato in modo coerente, altrimenti potrebbe effettivamente contribuire a introdurre distorsioni della concorrenza tra le imprese ( 61 ). 2. Secondo aspetto: se il titolare del trattamento possa essere sanzionato per una violazione commessa in un contesto in cui il trattamento illecito non è stato effettuato da esso stesso, bensì dal responsabile del trattamento 91. Con la seconda parte della sesta questione, il giudice del rinvio si chiede, in sostanza, se il titolare del trattamento possa essere sanzionato in applicazione dell’articolo 83 del RGPD, in un contesto in cui il trattamento illecito dei dati personali non sia stato effettuato dal titolare del trattamento stesso, bensì dal responsabile del trattamento (nel caso di specie, dall’ITSS). 92. A mio parere, occorre rispondere in senso affermativo a tale questione. 93. Al riguardo, ricordo che, come ho indicato al paragrafo 27, non occorre che il titolare del trattamento tratti direttamente i dati personali, sempre che esso determini il «perché e come» delle operazioni di trattamento pertinenti. Rilevo inoltre che l’articolo 4, punto 8, del RGPD definisce il «responsabile del trattamento» come «la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare del trattamento» ( 62 ). 94. Tali definizioni confermano, a mio avviso, che, nel contesto dell’applicazione del RGPD, il titolare del trattamento può essere ritenuto responsabile e, quindi, essere sanzionato, in applicazione dell’articolo 83 di tale regolamento, in una situazione in cui i dati personali siano trattati in modo illecito, e tale trattamento illecito non sia effettuato dal titolare del trattamento stesso, bensì dal responsabile del trattamento. Tale possibilità permane fintanto che il responsabile del trattamento tratti dati personali per conto del titolare del trattamento. 95. Ciò avverrà nei limiti in cui il responsabile del trattamento agisca nell’ambito del mandato conferitogli dal titolare del trattamento e tratti i dati in conformità delle istruzioni legittime ricevute dal titolare del trattamento ( 63 ). Tuttavia, ove il responsabile del trattamento vada oltre l’ambito di tale mandato e utilizzi per finalità proprie i dati ricevuti in qualità di responsabile del trattamento, ed è chiaro che le parti non sono «contitolari del trattamento», ai sensi dell’articolo 4, punto 7, e dell’articolo 21, paragrafo 6, del RGPD, allora il titolare del trattamento non può, a mio avviso, essere sanzionato, in applicazione dell’articolo 83 di detto regolamento, in relazione al trattamento illecito che ha avuto luogo ( 64 ). 96. Ne consegue che, in una fattispecie quale quella oggetto del procedimento principale, è possibile infliggere al NVSC una sanzione pecuniaria, in applicazione dell’articolo 83 del RGPD, anche se i dati personali sono stati trattati illecitamente soltanto dall’ITSS e il NVSC non ha partecipato a tale trattamento. Tale possibilità è aperta nei limiti in cui si possa ritenere che detta società abbia trattato i dati personali per conto del NVSC, il che non si verificherà se l’ITSS ha agito al di fuori o in contrasto con le istruzioni legittime del NVSC e ha utilizzato i dati personali per finalità proprie, ed è chiaro che il NVSC e l’ITSS non hanno agito come contitolari del trattamento. V. Conclusione 97. Alla luce delle considerazioni che precedono, propongo alla Corte di rispondere alle questioni pregiudiziali sollevate dal Vilniaus apygardos administracinis teismas (Tribunale amministrativo regionale, Vilnius, Lituania) come segue: 1) L’articolo 4, punto 7, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) deve essere interpretato nel senso che un soggetto che avvia lo sviluppo di un’applicazione mobile può essere considerato «titolare del trattamento», ai sensi di detta disposizione, solo in una situazione in cui vi siano sufficienti elementi di natura fattuale – piuttosto che formale – sulla base dei quali i giudici nazionali possano concludere che tale soggetto ha esercitato un’influenza effettiva per quanto riguarda sia le «finalità» sia i «mezzi» di tale trattamento e ha effettivamente acconsentito alla messa a disposizione del pubblico dell’applicazione mobile e, di conseguenza, al trattamento dei dati personali. 2) La suddetta disposizione, in combinato disposto con l’articolo 26, paragrafo 1, del citato regolamento, deve essere interpretata nel senso che, affinché due o più titolari del trattamento siano considerati «contitolari del trattamento», devono essere soddisfatte due condizioni: in primo luogo, ciascun contitolare del trattamento deve soddisfare in modo indipendente i criteri elencati nella definizione di «titolare del trattamento» di cui all’articolo 4, punto 7, di detto regolamento e, in secondo luogo, l’influenza dei titolari del trattamento sulle «finalità e i mezzi» del trattamento deve essere esercitata congiuntamente. Inoltre, l’assenza di un accordo o anche solo di coordinamento tra i titolari del trattamento non può, di per sé, escludere la conclusione che i titolari del trattamento siano «contitolari del trattamento» ai sensi delle suddette disposizioni. 3) L’articolo 4, punto 2, del citato regolamento deve essere interpretato nel senso che la nozione di «trattamento» comprende una situazione in cui i dati personali sono utilizzati durante la fase di collaudo di un’applicazione mobile, a meno che tali dati non siano anonimizzati in modo tale che la persona interessata non sia identificabile o non lo sia più. La circostanza che i dati personali siano raccolti per collaudare i sistemi informatici incorporati in un’applicazione mobile o per un altro scopo diverso non ha in sé alcuna rilevanza sulla questione se l’operazione di cui trattasi sia qualificabile come «trattamento». 4) L’articolo 83 del regolamento 2016/679 deve essere interpretato nel senso che una sanzione pecuniaria può essere inflitta solo per sanzionare una violazione delle norme di detto regolamento commessa «con dolo o colpa». Inoltre, il titolare del trattamento può essere sanzionato in applicazione di tale disposizione anche se il trattamento illecito è effettuato dal responsabile del trattamento. Tale possibilità permane nei limiti in cui sia accertato che il responsabile del trattamento agisce per conto del titolare del trattamento. Tuttavia, ove il responsabile del trattamento tratti i dati personali al di fuori delle istruzioni legittime del titolare del trattamento, o in contrasto con le stesse, e utilizzi i dati personali ricevuti per finalità proprie, ed è chiaro che le parti non sono «contitolari del trattamento», ai sensi dell’articolo 4, punto 7, e dell’articolo 21, paragrafo 6, del regolamento 2016/679, in tal caso il titolare del trattamento non può essere sanzionato, in applicazione dell’articolo 83 di detto regolamento, in relazione al trattamento illecito che ha avuto luogo. ( 1 ) Lingua originale: l’inglese. ( 2 ) Regolamento del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) ( GU 2016, L 119, pag. 1 ) (in prosieguo: il «RGPD»). ( 3 ) I dati personali degli utilizzatori che KARANTINAS raccoglieva comprendevano: il numero di identificazione, le coordinate di latitudine e longitudine, il paese, la città, il comune, l’indirizzo di residenza, il nome, il cognome, il numero di identificazione personale, il numero di telefono, se la persona era tenuta all’isolamento, se la persona era registrata, e così via. Tali dati erano raccolti non solo in Lituania ma anche all’estero. ( 4 ) L’articolo 5 del RGDP contiene un elenco di principi generali, la cui osservanza da parte dei titolari del trattamento deve essere garantita in caso di trattamento di dati personali. L’articolo 13 del suddetto regolamento elenca le informazioni che i titolari del trattamento devono fornire agli interessati quando vengono raccolti dati personali. L’articolo 24 dello stesso regolamento prevede che i titolari del trattamento mettano in atto, tra l’altro, misure tecniche e organizzative adeguate per garantire (ed essere in grado di dimostrare) che il trattamento è effettuato in conformità delle norme applicabili in materia di protezione dei dati. L’articolo 32 del RGPD riguarda la sicurezza del trattamento e crea obblighi a tale riguardo sia per i titolari del trattamento che per i responsabili del trattamento, mentre l’articolo 35 riguarda l’obbligo dei titolari del trattamento di effettuare valutazioni d’impatto sulla protezione dei dati prima di intraprendere determinati tipi di trattamento. ( 5 ) Ai sensi dell’articolo 29 del RGPD, «[i]l responsabile del trattamento, o chiunque agisca sotto la sua autorità o sotto quella del titolare del trattamento, che abbia accesso a dati personali non può trattare tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membri». ( 6 ) Rilevo che i dati personali relativi alla salute costituiscono una «categoria particolare di dati personali», il cui trattamento è vietato dall’articolo 9 del RGPD, a meno che non sussista uno dei motivi elencati al paragrafo 2 di tale disposizione {tali motivi includono, ad esempio, la necessità del trattamento per motivi di interesse pubblico nel settore della sanità pubblica [articolo 9, paragrafo 2, lettera i)] o a fini di medicina preventiva o medicina del lavoro [articolo 9, paragrafo 2, lettera h)]}. Ciò premesso, osservo che le questioni sottoposte alla Corte nel caso di specie non riguardano la legittimità di tale trattamento, bensì i presupposti in base ai quali un ente come il NVSC può essere ritenuto responsabile del trattamento effettuato dallo sviluppatore di tale applicazione mobile (nel caso di specie, l’ITSS). ( 7 ) Sulla base delle informazioni fornite nel fascicolo e durante l’udienza, non è chiaro se la città di Vilnius abbia partecipato allo sviluppo di KARANTINAS. ( 8 ) Come spiego al paragrafo 46 infra, dalla domanda di pronuncia pregiudiziale si evince che KARANTINAS è stata sottoposta a una fase di collaudo prima di essere resa disponibile per il download da parte del pubblico. Mi sembra di capire, quindi, che la quarta questione riguardi l’utilizzo di dati personali avvenuto durante la suddetta fase di collaudo, a differenza di quelli utilizzati in una fase successiva, quando KARANTINAS era disponibile per il download da parte del pubblico. ( 9 ) V. Rücker, D. e Kugler, T., [OSCURATO:PERSONA] [OSCURATO:PERSONA]: A [OSCURATO:PERSONA] , C.H. [OSCURATO:PERSONA], [OSCURATO:PERSONA] and [OSCURATO:PERSONA], [OSCURATO:PERSONA], 2018, pag. 27. Secondo tali autori, la caratteristica più importante del responsabile del trattamento è quella di determinare i risultati che si suppone debbano essere raggiunti, piuttosto che i mezzi o il «come» del trattamento, che, almeno nei loro aspetti non essenziali, possono essere delegati al responsabile del trattamento senza perdere la qualità di titolare del trattamento. ( 10 ) V. sentenza del 10 luglio 2018Jehovan todistajat ( C‑25/17 , EU:C:2018:551 , punto 68 ). Tale sentenza verte sull’interpretazione della nozione di «responsabile del trattamento» come definita nell’articolo 2, lettera d) della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati ( GU 1995, L 281, pag. 31 ), nel RGDP, la nozione corrispondente è ora «titolare del trattamento». Sebbene la suddetta direttiva non sia più in vigore e sia stata sostituita dal RGPD, l’interpretazione fornita dalla Corte in merito a tale disposizione rimane pertinente nell’ambito dell’applicazione del RGPD, dato che la definizione di tale nozione permane identica in entrambi gli strumenti, salvo lievi modifiche formali. Pertanto, mi riferirò alle sentenze relative all’uno o all’altro strumento, senza fare distinzioni. ( 11 ) V. sentenza del 10 luglio 2018Jehovan todistajat ( C‑25/17 , EU:C:2018:551 , punto 67 ). ( 12 ) V. «Linee guida 07/2020 sui concetti di titolare del trattamento e di responsabile del trattamento ai sensi del GDPR» dell’EDPB, versione 2.0, adottate il 7 luglio 2021 (in prosieguo: le «linee guida 07/2020», disponibili in italiano al seguente indirizzo [OSCURATO:PERSONA]: https://edpb.europa.eu/system/files/2022-02/eppb_guidelines_202007_controllerprocessor_final_it.pdf, pag. 3, nonché punti 21 e da 25 a 27. ( 13 ) Sentenza del 29 luglio 2019 ( C‑40/17 , EU:C:2019:629 , punto 85 ). ( 14 ) V. altresì linee guida 07/2020, punto 42. ( 15 ) V. articolo 26, paragrafo 3, del RGPD, ai sensi del quale «l’interessato può esercitare i propri diritti ai sensi del [RGPD] nei confronti di e contro ciascun titolare del trattamento». V., altresì, articolo 82, paragrafi 4 e 5, di detto regolamento. ( 16 ) V., al riguardo, sentenza del 29 luglio 2019, Fashion ID ( C‑40/17 , EU:C:2019:629 , punto 67 e giurisprudenza ivi citata). ( 17 ) V., in tal senso, sentenza del 5 giugno 2018, [OSCURATO:PERSONA]‑Holstein ( C‑210/16 , EU:C:2018:388 , punto 43 ). ( 18 ) V. sentenza del 10 luglio 2018, Jehovan todistajat ( C‑25/17 , EU:C:2018:551 , punto 69 e giurisprudenza ivi citata). ( 19 ) V. linee guida 07/2020, pag. 3 e punti 54 e 55. ( 20 ) Infatti, sarebbe alquanto contraddittorio se fosse possibile eliminare i requisiti formali affinché una persona o un’entità sia qualificabile come «titolare del trattamento», ma non affinché lo stesso o un altro soggetto siano qualificabili come «contitolari del trattamento». ( 21 ) V. linee guida 07/2020, punto 52. ( 22 ) V., al riguardo, linee guida 07/2020, punto 69. ( 23 ) Osservo che, nella quarta questione, il giudice del rinvio menziona l’uso di «copie di dati personali», anziché di dati personali. Devo ammettere che non mi è chiaro cosa intenda detto giudice con l’espressione «copie di dati personali», atteso che i dati personali possono esistere in forma immateriale, e che, come chiarisce l’articolo 4, punto 1, del RGPD, per «dato personale», in tale disposizione, si intende « qualsiasi informazione riguardante una persona fisica identificata o identificabile», (il corsivo è mio) senza richiedere che i dati personali siano «copiati» o trascritti su un determinato dispositivo o supporto. A mio avviso, né l’oggetto fisico (ad esempio, le copie cartacee) né, tanto meno, i file elettronici su cui sono disponibili i dati personali sono rilevanti per stabilire se una particolare serie di operazioni che coinvolgono i dati personali sia qualificabile come «trattamento» ai sensi dell’articolo 4, punto 2, di detto regolamento. Nella mia risposta alla quarta questione, farò quindi riferimento a «dati personali» piuttosto che a «copie di dati personali». ( 24 ) Il corsivo è mio. ( 25 ) Ai sensi dell’articolo 4, punto 2, del RGPD, il «trattamento» include operazioni come «la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione». ( 26 ) V. nota precedente. ( 27 ) Infatti, l’espressione «dat[i] personal[i]», ai sensi dell’articolo 4, punto 1, del RGPD, letta alla luce del considerando 26, comprende i dati personali che sono stati sottoposti a pseudonimizzazione, ma che potrebbero essere attribuiti a una persona fisica mediante l’utilizzo di ulteriori informazioni. ( 28 ) Nella domanda di pronuncia pregiudiziale il giudice del rinvio menziona che alcuni, ma non tutti, i dati personali utilizzati ai fini della fase di collaudo potrebbero essere costituiti da dati «falsi». Tuttavia, detto giudice non chiarisce il significato di tale termine. Al riguardo, desidero solo indicare che, a mio avviso, le informazioni possono essere qualificate come «dati personali», ai sensi dell’articolo 4, punto 1, del RGPD, indipendentemente dal fatto che contengano informazioni vere o false. Ciò che conta, come ho detto, è soltanto che le informazioni si riferiscano a una persona fisica identificata o identificabile. Ove i dati siano interamente inventati, in modo da non poter essere riferiti a una persona identificata o identificabile, allora, a mio avviso, non sarebbero «dati personali» e il RGPD non si applicherebbe al trattamento di tali dati. Tuttavia, il suddetto regolamento continua ad applicarsi agli altri dati «non falsi» raccolti durante la fase di collaudo. ( 29 ) Rammento che l’utilizzo di dati personali per collaudare i sistemi informatici incorporati in un’applicazione mobile costituisce un «trattamento» diverso da quello che avviene quando la stessa applicazione mobile viene resa disponibile per il download da parte del pubblico. È quindi necessaria una valutazione separata per stabilire chi sia «titolare del trattamento», «responsabile del trattamento» o «contitolare del trattamento». ( 30 ) V. articolo 24 della direttiva 95/46. ( 31 ) V. «Linee guida riguardanti l’applicazione e la previsione delle sanzioni amministrative pecuniarie ai fini del [RGPD]» del Gruppo di lavoro Articolo 29 per la protezione dei dati, adottate il 3 ottobre 2017, pag. 4. Il gruppo di lavoro è stato poi sostituito dal Comitato europeo per la protezione dei dati (EDPB). Tuttavia, restano valide le sue «Linee guida riguardanti l’applicazione e la previsione delle sanzioni amministrative pecuniarie». ( 32 ) V., ad esempio, la multa multimilionaria inflitta dall’Autorità francese per la protezione dei dati a [OSCURATO:PERSONA] nel gennaio 2019 (https://edpb.europa.eu/news/national-news/2019/cnils-restricted-committee-imposes-financial-penalty-50-million-euros_en). ( 33 ) In particolare, articolo 83, paragrafo 2 lettera b), di detto regolamento. Gli altri elementi elencati all’articolo 83, paragrafo 2, lettere da a) a k), sono connessi alla violazione in sé [ad esempio, la natura, la gravità e la durata (a) o le categorie di dati personali interessate (g)], oppure al titolare del trattamento o al responsabile del trattamento cui sarebbe comminata la sanzione [segnatamente il loro grado di responsabilità (d); il loro comportamento ex ante, come precedenti violazioni pertinenti (e) e precedenti provvedimenti disposti nei loro confronti (i), nonché il loro comportamento ex post, tra cui l’eventuale notifica da parte loro della violazione (h), le misure adottate per attenuare il danno (c) e il grado di cooperazione con l’autorità di controllo al fine di porre rimedio alla violazione e attenuarne i possibili effetti negativi (f)]. Inoltre, vanno tenuti in debito conto «eventuali altri fattori aggravanti o attenuanti applicabili alle circostanze del caso, ad esempio i benefici finanziari conseguiti o le perdite evitate, direttamente o indirettamente, quale conseguenza della violazione» (k). ( 34 ) «Proposta di regolamento del Parlamento europeo e del Consiglio concernente la tutela delle persone fisiche con riguardo al trattamento dei dati personali e la libera circolazione di tali dati (regolamento generale sulla protezione dei dati)», COM(2012) 11 final (in prosieguo: la «proposta originaria della [OSCURATO:PERSONA] per l’adozione del regolamento»). ( 35 ) V. articolo 79, paragrafi 4, 5 e 6, della proposta originaria della [OSCURATO:PERSONA] per l’adozione del regolamento. Rilevo che anche il carattere « doloso o colposo » della violazione è stato incluso nell’elenco dei fattori contenuti nell’articolo 79, paragrafo 2, di tale proposta, che dovevano essere presi in considerazione per fissare l’ ammontare della sanzione. ( 36 ) Tale formulazione è stata poi modificata e i termini «con dolo o colpa» non figurano più nelle disposizioni che definiscono i due livelli del sistema di ammende istituito dal RGPD. ( 37 ) Il corsivo è mio. ( 38 ) La stessa osservazione può essere fatta anche se si esaminano le altre versioni linguistiche dell’articolo 83, paragrafo 2, del RGPD, in particolare quella ceca, greca, spagnola, francese e italiana. Osservo tuttavia che, nella versione italiana dell’articolo 83, paragrafo 2, lettera c) di detto regolamento, che riguarda le misure adottate dal titolare del trattamento o dal responsabile del trattamento per attenuare il danno, viene usato l’articolo «le», anziché il termine «eventuali». ( 39 ) Secondo il Gruppo di lavoro Articolo 29, le sanzioni amministrative pecuniarie sono «misure correttive» il cui obiettivo può essere «ripristinare la conformità alle norme oppure di punire un comportamento illecito (o entrambi)» (il corsivo è mio) (v. «Linee guida riguardanti l’applicazione e la previsione delle sanzioni amministrative pecuniarie ai fini del [RGPD]» del Gruppo di lavoro Articolo 29 per la protezione dei dati, adottate il 3 ottobre 2017, pag. 6). ( 40 ) V., per analogia, sentenza del 2 febbraio 2021, Consob, ( C‑481/19 , EU:C:2021:84 , punto 43 ). Ricordo che per valutare il carattere penale rilevano tre criteri. Il primo è dato dalla qualificazione giuridica dell’illecito nell’ordinamento interno, il secondo concerne la natura stessa dell’illecito e il terzo è relativo al grado di severità della sanzione che l’interessato rischia di subire (v. punto 42 di tale sentenza, nonché sentenza del 5 giugno 2012, Bonda, C‑489/10 , EU:C:2012:319 , punto 37 ; v. altresì sentenza della Corte EDU, 8 giugno 1976, Engel e a. c. [OSCURATO:PERSONA], CE:ECHR:1976:0608JUD000510071, § 82). Non tutti i criteri devono essere soddisfatti affinché una sanzione sia considerata penale (v., al riguardo, conclusioni presentate dall’avvocato generale Bot nella causa ThyssenKrupp Nirosta/[OSCURATO:PERSONA] ( C‑352/09 P , EU:C:2010:635 , paragrafo 50 e giurisprudenza ivi citata). ( 41 ) L’articolo 49 della Carta, intitolato «Principi della legalità e della proporzionalità dei reati e delle pene», enuncia, al paragrafo 3, che «[l]e pene inflitte non devono essere sproporzionate rispetto al reato». ( 42 ) V. sentenze del 9 febbraio 2012, Urbán ( C‑210/10 , EU:C:2012:64 , punto 48 ); del 13 novembre 2014, Reindl ( C‑443/13 , EU:C:2014:2370 , punto 42 ); del 20 dicembre 2017, [OSCURATO:PERSONA] ( C‑322/16 , EU:C:2017:985 , punto 63 ); e del 22 marzo 2017, Euro‑Team e Spirál‑Gép ( C‑497/15 e C‑498/15 , EU:C:2017:229 , punti 53 e 54 ). Tali sentenze illustrano il fatto che detta giurisprudenza è stata applicata a diversi ambiti del diritto dell’Unione. ( 43 ) V. «Spiegazioni relative alla Carta dei diritti fondamentali» ( GU 2007, C 303, pag. 17 ). Ai sensi dell’articolo 52, paragrafo 3, della Carta, il livello di protezione garantito dall’articolo 49 della stessa non può essere inferiore a quello previsto dall’articolo 7 della CEDU. ( 44 ) V. Corte EDU (Grande Sezione), 28 giugno 2018, [OSCURATO:SOCIETA]. e a. c. Italia (CE:ECHR:2018:0628JUD000182806, §§ 242 e 243). ( 45 ) V. articolo 58, paragrafo 2, lettera i), e articolo 83, paragrafo 2, del RGPD. ( 46 ) Ai sensi dell’articolo 84, paragrafo 1, del RGPD, «[g]li Stati membri stabiliscono le norme relative alle altre sanzioni per le violazioni (...), in particolare per le violazioni non soggette a sanzioni amministrative pecuniarie a norma dell’articolo 83, e adottano tutti i provvedimenti necessari per assicurarne l’applicazione». Il considerando 152 di tale regolamento spiega che l’articolo 84 si applica quando il RGPD «non armonizza le sanzioni amministrative o se necessario in altri casi, ad esempio in caso di gravi violazioni». ( 47 ) V, al riguardo, Chamberlain, J. and Reichel, J., «[OSCURATO:PERSONA] and [OSCURATO:PERSONA] in the EU [OSCURATO:PERSONA]», Vol. 89, n. 4, [OSCURATO:PERSONA] , 2020, pagg. da 677 a 679. ( 48 ) V. Nemitz, P., «[OSCURATO:PERSONA] under the GDPR», in Leenes, R., van Brakel, R., Gutwirth, S. and [OSCURATO:PERSONA], P., [OSCURATO:PERSONA] and Privacy: [OSCURATO:PERSONA] of [OSCURATO:PERSONA] , [OSCURATO:PERSONA], [OSCURATO:PERSONA], 2019, pag. 241. ( 49 ) Per contro, esso ha definito il concetto di «dolo» come comprensivo sia della consapevolezza che dell’intenzionalità in relazione alle caratteristiche di un reato (v. «Linee guida sull’applicazione e sulla fissazione delle sanzioni amministrative pecuniarie ai fini del [RGPD]» del Gruppo di lavoro articolo 29 per la protezione dei dati, adottate il 3 ottobre 2017, pag. 11). ( 50 ) Ibidem, pag. 12. Tra le altre circostanze menzionate vi sono: mancata lettura e non rispetto delle politiche esistenti, mancata verifica dei dati personali nelle informazioni pubblicate, incapacità di apportare aggiornamenti tecnici in maniera puntuale, mancata adozione delle politiche. ( 51 ) V. Nemitz, P., «[OSCURATO:PERSONA] under the GDPR», in Leenes, R., van Brakel, R., Gutwirth, S. and [OSCURATO:PERSONA], P., [OSCURATO:PERSONA] and Privacy: [OSCURATO:PERSONA] of [OSCURATO:PERSONA] , [OSCURATO:PERSONA], [OSCURATO:PERSONA], 2019, pag. 240. ( 52 ) V. considerando 122 e 132 del RGDP. ( 53 ) V., in particolare, considerando 1 del RGPD, che ricorda, con riferimento all’articolo 8, paragrafo 1, della Carta e all’articolo 16, paragrafo 1, TFUE, che la protezione dei dati personali è un diritto fondamentale. V. altresì considerando 10, 11 e 13 del RGPD e sentenza del 24 settembre 2019, [OSCURATO:PERSONA] (Portata territoriale della deindicizzazione) ( C‑507/17 , EU:C:2019:772 , punto 54 ). ( 54 ) V. considerando 148 del GDPR. ( 55 ) V. Chamberlain, J. e Reichel, J., «[OSCURATO:PERSONA] and [OSCURATO:PERSONA] in the EU [OSCURATO:PERSONA]’», Vol. 89, n. 4, [OSCURATO:PERSONA] , 2020, pag. 685. ( 56 ) Regolamento del Consiglio, del 16 dicembre 2002, concernente l’applicazione delle regole di concorrenza di cui agli articoli [101 e 102 TFUE] ( GU 2003, L 1, pag. 1 ). ( 57 ) V. sentenza dell’8 dicembre 2011, Chalkor/[OSCURATO:PERSONA] ( C‑386/10 P , EU:C:2011:815 , punti 56 e 57 , e giurisprudenza ivi citata). Al riguardo, osservo che, sebbene sia necessario accertare il dolo o la colpa prima di infliggere una sanzione per violazione delle norme sulla concorrenza, anche tale requisito è in pratica molto basso. La Corte ha, infatti, affermato che tale requisito è soddisfatto quando l’impresa di cui trattasi non può ignorare il carattere anticoncorrenziale della propria condotta, a prescindere dalla consapevolezza o meno di violare le norme in materia di concorrenza (v. sentenza del 10 luglio 2014, Telefónica e Telefónica de España/[OSCURATO:PERSONA] ( C‑295/12 P , EU:C:2014:2062 , punto 156 e giurisprudenza ivi citata). ( 58 ) V., ad esempio, considerando 9 del RGPD, che indica che le differenze nel livello di protezione dei diritti e delle libertà delle persone fisiche tra gli Stati membri «ostacola[no] la libera circolazione dei dati personali» e «costitui[scono] un freno all’esercizio delle attività economiche su scala dell’Unione». ( 59 ) V. considerando 129 [«Ciò non dovrebbe precludere requisiti supplementari ai sensi del diritto processuale degli Stati membri» (il corsivo è mio)] e 150 del RGPD.V. altresì, al riguardo, «Linee guida riguardanti l’applicazione e la previsione delle sanzioni amministrative pecuniarie ai fini del [RGPD]» del Gruppo di lavoro Articolo 29 per la protezione dei dati, adottate il 3 ottobre 2017, pag. 6. ( 60 ) Al riguardo, osservo che il considerando 10 del RGPD afferma che «il livello di protezione (...) dovrebbe essere equivalente in tutti gli Stati membri», mentre i considerando 11, 13 e 129 di tale strumento richiedono poteri equivalenti per controllare e assicurare il rispetto delle norme e sanzioni equivalenti per le violazioni negli Stati membri. Il considerando 152 di detto regolamento, da parte sua, indica che solo nella misura in cui tale strumento non armonizza le sanzioni amministrative (o ove ciò sia altrimenti necessario ) gli Stati membri dovrebbero attuare un sistema che preveda tali sanzioni (v. altresì considerando 150 del RGPD). ( 61 ) V., al riguardo, Voss, W.G. and Bouthinon-Dumas, H., «EU [OSCURATO:PERSONA] in Theory and in Practice», Vol. 37, [OSCURATO:PERSONA] , 2020, pag. 44. ( 62 ) Il corsivo è mio. ( 63 ) Ai sensi dell’articolo 29 del RGPD «[i]l responsabile del trattamento, o chiunque agisca sotto la sua autorità o sotto quella del titolare del trattamento, che abbia accesso a dati personali non può trattare tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membri». ( 64 ) Ai sensi dell’articolo 28, paragrafo 10, del RGPD, il responsabile del trattamento sarà considerato come titolare del trattamento di tali dati. V. altresì, al riguardo, Rücker, D. and Kugler, T., [OSCURATO:PERSONA] [OSCURATO:PERSONA]: A [OSCURATO:PERSONA] , C.H. [OSCURATO:PERSONA], [OSCURATO:PERSONA] and [OSCURATO:PERSONA], [OSCURATO:PERSONA], 2018, pag. 30.