Corte di giustizia UE/2026

Edizione provvisoria CONCLUSIONI DELL’[OSCURATO:PERSONA]-BORDONA presentate il 10 settembre 2026 ( 1 ) Causa C ‑ 458/25 Gegevensbeschermingsautoriteit contro [OSCURATO:PERSONA] der [OSCURATO:PERSONA]Kempen VZW [domanda di pronuncia pregiudiziale proposta dallo Hof van Cassatie (Corte di cassazione, Belgio)] « Rinvio pregiudiziale — Protezione dei dati personali — Regolamento (UE) 2016/679 — Condizioni generali per infliggere sanzioni amministrative pecuniarie — Articolo 83, paragrafo 7 — Facoltà degli [OSCURATO:PERSONA] membri di prevedere norme che dispongano se e in quale misura possono essere inflitte sanzioni amministrative pecuniarie alle autorità pubbliche e agli organismi pubblici — Nozioni di «autorità pubblica» e di «organismo pubblico» — Persona giuridica di diritto privato che fornisce istruzione libera sovvenzionata — Esenzione dalla sanzione amministrativa pecuniaria prevista dalla normativa nazionale — Trattamento di dati personali di minori » 1. Nel 2019 l’autorità belga competente in materia di protezione dei dati personali ( 2 ) ha inflitto una sanzione amministrativa pecuniaria all’ente gestore di un’istituto scolastico sovvenzionato per aver violato la normativa in materia. 2. L’articolo 83, paragrafo 7, del regolamento (UE) 2016/679 ( 3 ) permette agli [OSCURATO:PERSONA] membri di prevedere «norme che dispongano se e in quale misura possono essere inflitte sanzioni amministrative pecuniarie ad autorità pubbliche e organismi pubblici» che violano le disposizioni di tale regolamento. Il legislatore belga si è avvalso di tale disposizione per esentare dalle sanzioni amministrative pecuniarie le autorità pubbliche, tranne le persone giuridiche di diritto pubblico che offrono sul mercato beni o servizi. 3. Nel presente rinvio pregiudiziale si tratta di stabilire se una persona giuridica di diritto privato che fornisce istruzione libera sovvenzionata costituisca un’«autorità pubblica», ai sensi dell’articolo 83, paragrafo 7, del RGPD. I. Contesto normativo A. Diritto dell’Unione. RGPD 4. Il considerando 38 del RGPD è del seguente tenore: «I minori meritano una specifica protezione relativamente ai loro dati personali, in quanto possono essere meno consapevoli dei rischi, delle conseguenze e delle misure di salvaguardia interessate nonché dei loro diritti in relazione al trattamento dei dati personali. Tale specifica protezione dovrebbe, in particolare, riguardare l’utilizzo dei dati personali dei minori a fini di marketing o di creazione di profili di personalità o di utente e la raccolta di dati personali relativi ai minori all’atto dell’utilizzo di servizi forniti direttamente a un minore. Il consenso del titolare della responsabilità genitoriale non dovrebbe essere necessario nel quadro dei servizi di prevenzione o di consulenza forniti direttamente a un minore». 5. L’articolo 5 del RGPD («Principi applicabili al trattamento di dati personali»), al paragrafo 1, così dispone: «I dati personali sono: a)      trattati in modo lecito, corretto e trasparente nei confronti dell’interessato (“liceità, correttezza e trasparenza”); (...) c)      adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati (“minimizzazione dei dati”); (...)». 6. L’articolo 6 del RGPD («Liceità del trattamento»), al paragrafo 1, così prevede: «Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni: a)      l’interessato ha espresso il consenso al trattamento dei propri dati personali per una o più specifiche finalità; (...) f)      il trattamento è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali, in particolare se l’interessato è un minore. (...)». 7. L’articolo 8 del RGPD («Condizioni applicabili al consenso dei minori in relazione ai servizi della società dell’informazione») così dispone: «1.      Qualora si applichi l’articolo 6, paragrafo 1, lettera a), per quanto riguarda l’offerta diretta di servizi della società dell’informazione ai minori, il trattamento di dati personali del minore è lecito ove il minore abbia almeno 16 anni. Ove il minore abbia un’età inferiore ai 16 anni, tale trattamento è lecito soltanto se e nella misura in cui tale consenso è prestato o autorizzato dal titolare della responsabilità genitoriale. [OSCURATO:PERSONA] membri possono stabilire per legge un’età inferiore a tali fini purché non inferiore ai 13 anni. 2.      Il titolare del trattamento si adopera in ogni modo ragionevole per verificare in tali casi che il consenso sia prestato o autorizzato dal titolare della responsabilità genitoriale sul minore, in considerazione delle tecnologie disponibili. (...)». 8. L’articolo 57 del RGPD («Compiti»), al paragrafo 1, così prevede: «Fatti salvi gli altri compiti indicati nel presente regolamento, sul proprio territorio ogni autorità di controllo: (...) b)      promuove la consapevolezza e favorisce la comprensione del pubblico riguardo ai rischi, alle norme, alle garanzie e ai diritti in relazione al trattamento. Sono oggetto di particolare attenzione le attività destinate specificamente ai minori; (...)». 9. L’articolo 58 del RGPD («Poteri»), al paragrafo 2, così dispone: «Ogni autorità di controllo ha tutti i poteri correttivi seguenti: (...) d)      ingiungere al titolare del trattamento o al responsabile del trattamento di conformare i trattamenti alle disposizioni del presente regolamento, se del caso, in una determinata maniera ed entro un determinato termine; (...) i)      infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle misure di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso; (...) (...)». 10. L’articolo 83 del RGPD («Condizioni generali per infliggere sanzioni amministrative pecuniarie») così stabilisce: «1.      Ogni autorità di controllo provvede affinché le sanzioni amministrative pecuniarie inflitte ai sensi del presente articolo in relazione alle violazioni del presente regolamento di cui ai paragrafi 4, 5 e 6 siano in ogni singolo caso effettive, proporzionate e dissuasive. 2.      Le sanzioni amministrative pecuniarie sono inflitte, in funzione delle circostanze di ogni singolo caso, in aggiunta alle misure di cui all’articolo 58, paragrafo 2, lettere da a) a h) e j), o in luogo di tali misure. (...) (...) 7.      Fatti salvi i poteri correttivi delle autorità di controllo a norma dell’articolo 58, paragrafo 2, ogni Stato membro può prevedere norme che dispongano se e in quale misura possono essere inflitte sanzioni amministrative pecuniarie ad autorità pubbliche e organismi pubblici istituiti in tale Stato membro. (...)». B. Diritto belga. Legge sulla protezione dei dati 11. Ai sensi dell’articolo 5 della legge sulla protezione dei dati ( 4 ): «Si applicano le definizioni del [RGPD]. Ai fini dell’applicazione della presente legge, si intende per “autorità pubblica”: 1.      lo Stato federale, le entità federate e le autorità locali; 2.      le persone giuridiche di diritto pubblico che dipendono dallo Stato federale, dalle entità federate e dalle autorità locali; 3.      i soggetti, di qualsiasi forma e natura: –      che siano stati istituiti allo scopo specifico di provvedere ad esigenze di interesse generale, che non abbiano carattere industriale o commerciale; e –      che siano dotati di personalità giuridica; e –      la cui attività sia finanziata in modo maggioritario dalle autorità pubbliche o dagli organismi di cui ai punti 1 o 2 oppure la cui gestione sia soggetta al controllo di dette autorità o di detti organismi oppure il cui organo di amministrazione, di direzione o di vigilanza sia costituito da membri dei quali più della metà è designata da dette autorità o da detti organismi; 4.      le associazioni costituite da una o più autorità pubbliche contemplate ai punti 1, 2 o 3». 12. L’articolo 221, paragrafo 2, della LPD prevede quanto segue: «L’articolo 83 del [RGPD] non si applica alle autorità pubbliche e alle persone da esse impiegate o che agiscono su mandato delle stesse, salvo il caso di persone giuridiche di diritto pubblico che offrano beni o servizi su un mercato». II. Fatti, procedimento e questione pregiudiziale 13. Il 22 luglio 2019, il genitore di un alunno ha proposto un reclamo presso l’APD nei confronti di un’istituto che fornisce istruzione libera sovvenzionata, appartenente all’[OSCURATO:PERSONA] der [OSCURATO:PERSONA]Kempen VZW (Gruppo didattico delle sorelle delle scuole cristiane di [OSCURATO:PERSONA]-Kempen, associazione senza scopo di lucro; in prosieguo: l’«OZCS»). 14. Detto reclamo verteva su un sondaggio riguardante il benessere degli alunni, rivolto a questi ultimi attraverso una piattaforma digitale. Il reclamante lamentava che l’istituto: a)      non aveva informato preventivamente i genitori del sondaggio; b)      non aveva chiesto la loro autorizzazione; c)      aveva trattato più dati di quanto necessario; e d)      aveva agito illecitamente, non avendo effettuato una valutazione d’impatto delle operazioni di trattamento sulla protezione dei dati. 15. Il 16 giugno 2020, l’APD ha dichiarato che l’OZCS era titolare del trattamento dei dati e ha accertato quattro violazioni del RGPD: a) dell’articolo 6, paragrafo 1; b) dell’articolo 8; c) dell’articolo 5, paragrafo 1, lettera c); e d) dell’articolo 5, paragrafo 1, lettera a), in combinato disposto con l’articolo 12, paragrafo 1, e l’articolo 13. 16. L’APD ha intimato di rendere il trattamento conforme alle disposizioni del RGPD che erano state violate e ha inflitto all’OZCS una sanzione amministrativa pecuniaria di EUR 2 000. 17. L’OZCS ha impugnato la decisione dell’APD dinanzi al Marktenhof (Corte d’appello di Bruxelles, Sezione commerciale, Belgio) che, con sentenza del 18 novembre 2020, ha dichiarato, per quanto qui di rilievo, che la decisione dell’APD non era adeguatamente motivata circa l’esenzione di cui all’articolo 221, paragrafo 2, della LPD. Tale giudice ha intimato all’APD di riesaminare e motivare la decisione per quanto concerne la sanzione amministrativa pecuniaria. 18. Il 15 marzo 2021, in esecuzione della sentenza del Marktenhof (Corte d’appello di Bruxelles, Sezione commerciale), l’APD ha deciso di infliggere una sanzione amministrativa pecuniaria, sostenendo che un istituto che fornisce istruzione libera sovvenzionata, pur essendo un’autorità pubblica ai sensi dell’articolo 5, paragrafo 2, della LPD, non lo è ai sensi dell’articolo 83, paragrafo 7, del RGPD. In questa seconda occasione, l’importo della sanzione amministrativa pecuniaria è stato di EUR 1 000. 19. A seguito di una nuova impugnazione dinanzi al Marktenhof (Corte d’appello di Bruxelles, Sezione commerciale), quest’ultimo ha dichiarato, con sentenza del 6 ottobre 2021, che l’APD non poteva infliggere una sanzione amministrativa pecuniaria all’OZCS e, di conseguenza, ha annullato la decisione impugnata. 20. L’APD ha proposto ricorso per cassazione dinanzi al Hof van Cassatie (Corte di cassazione) che, con sentenza del 9 gennaio 2023, ha annullato la sentenza del 6 ottobre 2021 e ha rinviato la causa al Marktenhof (Corte d’appello di Bruxelles, Sezione commerciale). 21. Con sentenza del 27 febbraio 2024, il Marktenhof (Corte d’appello di Bruxelles, Sezione commerciale) ha accolto il ricorso dell’OZCS e ha annullato la decisione dell’APD, ritenendo che non potesse infliggere alcuna sanzione amministrativa pecuniaria. 22. L’APD ha proposto ricorso per cassazione avverso la sentenza del 27 febbraio 2024 dinanzi al Hof van Cassatie (Corte di cassazione), che sottopone alla Corte di giustizia la seguente questione pregiudiziale: «Se l’articolo 83, paragrafo 7, del [RGPD], in combinato disposto con i considerando 38 e 58 e con l’articolo 6, paragrafo 1, lettera f), l’articolo 8 e l’articolo 57, paragrafo 1, lettera b), di detto regolamento, osti a una normativa nazionale ai sensi della quale l’autorità di controllo non può imporre una sanzione amministrativa pecuniaria a persone giuridiche con statuto di diritto privato che forniscono istruzione libera sovvenzionata». III. Procedimento dinanzi alla Corte di giustizia 23. La domanda di pronuncia pregiudiziale è pervenuta alla cancelleria della Corte in data 11 luglio 2025. 24. Hanno presentato osservazioni scritte l’OZCS, l’APD, i governi belga e bulgaro nonché la [OSCURATO:PERSONA] europea. Tutti, ad eccezione dell’OZCS, sono comparsi all’udienza del 20 maggio 2026. IV. Analisi A. Osservazioni preliminari 25. Il giudice del rinvio chiede se una persona giuridica di diritto privato che fornisce istruzione libera sovvenzionata sia un’autorità pubblica ai sensi dell’articolo 83, paragrafo 7, del RGPD, alla luce della protezione speciale che la normativa in materia di dati personali intende garantire, in particolare nei confronti dei minori ( 5 ). 26. Quest’ultima precisazione della questione pregiudiziale collega la nozione di «autorità pubbliche» alla qualità delle persone (minori, nel caso di specie) i cui dati hanno potuto costituire oggetto di un trattamento illecito. Ne consegue che il giudice del rinvio pone l’articolo 83, paragrafo 7, del RGPD in relazione con i considerando ( 6 ) o le disposizioni di tale regolamento che riguardano i minori. 27. Ritengo, al pari della [OSCURATO:PERSONA] ( 7 ), che tale collegamento non sia necessario per rispondere alla domanda di pronuncia pregiudiziale. La nozione di «autorità pubbliche e organismi pubblici» non dipende dall’interesse giuridico leso in ogni singolo caso. Le «autorità pubbliche e [gli] organismi pubblici» sono tali in ragione della loro natura e delle loro condizioni intrinseche, non in funzione delle condotte illecite di cui possono essere responsabili, né delle persone di cui hanno leso i diritti e gli interessi. Quella nozione ha un solo significato, e non tanti quanti ne derivino dall’ambito e dalle circostanze in cui si svolge l’attività delle autorità e degli organismi che rientrano nella relativa definizione. 28. Di conseguenza, in prosieguo mi concentrerò sull’interpretazione dell’articolo 83, paragrafo 7, del RGPD senza occuparmi nello specifico delle norme di tutela dei minori, alle quali farò cenno solo nella parte finale delle mie conclusioni. 29. In tale operazione ermeneutica presterò particolare attenzione al fatto che il RGPD intende garantire un livello elevato di protezione per (tutte) le persone fisiche all’interno dell’Unione per mezzo di strumenti di natura differente, comprendenti le sanzioni. Il RGPD introduce un quadro normativo che dà attuazione alle prescrizioni scaturenti dal diritto alla protezione dei dati personali, tutelato dall’articolo 8 della Carta dei diritti fondamentali dell’Unione europea ( 8 ). 30. Ciò premesso, il primo dubbio da affrontare è dove reperire la nozione di cui trattasi, ossia: nel diritto nazionale o nel diritto dell’Unione. B. «Autorità pubbliche e organismi pubblici» come nozione autonoma del diritto dell’Unione 31. Le nozioni di «autorità pubbliche e organismi pubblici» non sono definite né dall’articolo 83, paragrafo 7, del RGPD né da qualsiasi altra delle sue disposizioni. A seguito di tale silenzio: –        secondo l’OZCS e il governo belga, compete agli [OSCURATO:PERSONA] membri definire tali nozioni ( 9 ); –        per contro, secondo l’ADP e la [OSCURATO:PERSONA], in assenza di un rinvio espresso al diritto nazionale, l’applicazione coerente e omogenea del diritto dell’Unione richiede che quelle nozioni siano interpretate in modo uniforme, come si conviene a una nozione autonoma del diritto dell’Unione. 32. La tesi a favore del carattere autonomo del sintagma «autorità pubbliche e organismi pubblici» è sostenuta, a mio avviso, da argomenti più convincenti. 33. In primo luogo, l’articolo 83, paragrafo 7, del RGPD non rimanda al diritto nazionale per la definizione delle suddette nozioni ( 10 ). Secondo una costante giurisprudenza della Corte, dalla necessità di garantire tanto l’applicazione uniforme del diritto dell’Unione quanto il principio di uguaglianza discende che i termini di una disposizione del diritto dell’Unione, la quale non contenga alcun espresso richiamo al diritto degli [OSCURATO:PERSONA] membri ai fini della determinazione del suo senso e della sua portata, devono essere oggetto, nell’intera Unione, di un’interpretazione autonoma e uniforme. 34. In secondo luogo, l’articolo 83, paragrafo 7, del RGPD fa riferimento alle «norme» nazionali solo per quanto concerne la possibilità di determinare se e in quale misura possano essere inflitte sanzioni amministrative pecuniarie alle autorità pubbliche e agli organismi pubblici. Come spiega l’ADP, il margine di discrezionalità che tale disposizione conferisce agli [OSCURATO:PERSONA] membri si riduce soltanto alla loro facoltà di esentarli (in tutto o in parte) da tali sanzioni pecuniarie, senza includere la competenza di stabilire quali siano tali autorità. 35. In terzo luogo, prima dell’adozione del RGPD, le sanzioni per la violazione delle norme in materia di protezione dei dati erano lasciate, in ampia misura, alla discrezionalità degli [OSCURATO:PERSONA] membri ( 11 ). Nell’adottare il RGPD, il legislatore dell’Unione ha deciso di modificare tale situazione affinché le autorità di controllo infliggessero sanzioni equivalenti ( 12 ) in caso di violazione di detto regolamento. 36. In quarto luogo, la nozione di «autorità pubblica» ricorre in un numero considerevole di disposizioni del RGPD ( 13 ), circostanza che spinge a supporre che il legislatore dell’Unione non abbia voluto affidare agli [OSCURATO:PERSONA] membri la definizione di una categoria tanto rilevante nel sistema del RGPD. 37. In quinto luogo, la Corte di giustizia ha valutato l’autonomia concettuale di altre nozioni chiave del RGPD che, come quella ora in esame, non rimandano ai diritti nazionali per la loro definizione, ad esempio per quanto concerne il danno di cui si può richiedere il risarcimento all’autore della violazione ( 14 ). 38. Infine, il RGPD cerca di «(...) assicurare un’applicazione coerente e omogenea delle norme a protezione delle libertà e dei diritti fondamentali di dette persone [fisiche] riguardo al trattamento di tali dati [personali] in tutta l’Unione. (...)» ( 15 ). 39. In particolare, come ha evidenziato l’APD ( 16 ), il legislatore dell’Unione ha inteso «rafforzare e armonizzare le sanzioni amministrative applicabili per violazione del presente regolamento» ( 17 ). A tal fine ha configurato un sistema di sanzioni che non ha precedenti nella maggior parte degli altri ambiti del diritto dell’Unione. 40. L’obiettivo armonizzatore non sarebbe coerente né uniforme se riconoscesse agli [OSCURATO:PERSONA] membri la libertà assoluta di determinare la portata della nozione di «autorità pubblica» di cui all’articolo 83, paragrafo 7, del RGPD e, pertanto, di esentare, a sua discrezione e con un atto di mera volontà legislativa, determinate entità dalle sanzioni amministrative pecuniarie applicabili in virtù del RGPD. Basterebbe qualificare come tali enti la cui natura non si concilia, in realtà, con il fine ispiratore dell’esenzione di cui trattasi. 41. Ricorderò che, secondo la Corte di giustizia, dalla lettura congiunta degli articoli 83 e 84 del RGPD si deduce che gli [OSCURATO:PERSONA] membri non sono competenti a determinare le condizioni sostanziali che consentono di infliggere sanzioni amministrative pecuniarie, condizioni che rientrano unicamente nell’ambito del diritto dell’Unione ( 18 ). 42. Il problema qui sollevato è simile, mutatis mutandis , a quello affrontato dalla Corte di giustizia nel determinare se la nozione di «autorità giudiziaria», di cui all’articolo 6, paragrafo 1, della decisione quadro 2002/584/GAI ( 19 ) fosse un concetto autonomo o se il suo senso e la sua portata fossero lasciati alla discrezionalità dei singoli [OSCURATO:PERSONA] membri. La Corte di giustizia ha dichiarato chiaramente che tale nozione richiedeva, in tutta l’Unione, un’interpretazione autonoma e uniforme ( 20 ). 43. Ritengo, in sintesi, che la nozione di «autorità pubbliche e organismi pubblici» di cui all’articolo 83, paragrafo 7, del RGPD costituisca un concetto autonomo del diritto dell’Unione, la cui definizione non compete ai singoli diritti nazionali. C. Nozione di «autorità pubbliche e organismi pubblici» 1. Criterio letterale 44. L’interpretazione, da un punto di vista letterale, del sintagma di cui trattasi suggerisce che la combinazione tra il sostantivo «autorità» (oppure organismo) e l’aggettivo «pubblico» descriva un insieme di entità caratterizzate, a grandi linee, dall’esercizio di poteri di imperium , ossia di poteri che eccedono quelli risultanti dalle norme applicabili nei rapporti fra singoli. 45. Un’autorità pubblica o un organismo pubblico possono intervenire nella vita economica senza esercitare i poteri conferiti dal loro status privilegiato (vale a dire operando come qualsiasi altro agente, a parità di condizioni con gli altri soggetti di diritto privato) Orbene, ciò che contraddistingue propriamente l’esercizio dell’autorità pubblica è, sul piano organizzativo e funzionale, il suo status e le sue prerogative o i suoi poteri particolari, disciplinati dal diritto pubblico. 46. La qualifica di un ente come autorità pubblica è connessa, pertanto, allo svolgimento di attività esercitate nel quadro del regime giuridico che è proprio di un potere dello Stato (in senso ampio), a prescindere da quelle che esercita nelle stesse condizioni giuridiche degli operatori economici privati. 47. Tuttavia, l’utilità del criterio interpretativo letterale risulta limitata nel caso di specie. Di fatto, la stessa espressione o un’espressione analoga è stata impiegata, a seconda degli ambiti del diritto dell’Unione in cui ricorre, con significati non coincidenti, ai quali farò riferimento in seguito. 2. Criterio sistematico 48. Il diritto dell’Unione è relativamente prodigo di definizioni delle nozioni di «autorità», «pubblici poteri», «organismo pubblico» ed espressioni equivalenti. La Corte di giustizia, dal suo canto, si è vista obbligata a interpretare tali nozioni in contesti diversi. 49. Tali definizioni sono state elaborate in funzione delle caratteristiche delle disposizioni in cui sono contenute e degli obiettivi perseguiti da queste ultime. Ne consegue che, a seconda dei settori dell’ordinamento, esistono disparità, talvolta notevoli, per quanto concerne l’ampiezza maggiore o minore dei loro contorni. 50. La ragione di una divergenza così marcata tra i profili di una stessa categoria formale risiede nel fatto che, per interpretare una nozione autonoma del diritto dell’Unione, occorre tenere conto in particolare del contesto in cui è utilizzata e degli scopi perseguiti dalla normativa di cui essa fa parte ( 21 ). 51. A titolo esemplificativo, farò successivamente riferimento ad alcuni di tali settori. Prima, però, procederò a una lettura combinata dell’articolo 83, paragrafo 7, del RGPD con altre disposizioni e considerando di tale regolamento che menzionano le nozioni in esame. 52. Il legislatore dell’Unione non assimila la nozione di «autorità pubbliche» a quella di «organismi privati che agiscono nel pubblico interesse» ( 22 ). Nel preambolo del RGPD ( 23 ) fa riferimento all’«esecuzione di un compito svolto nel pubblico interesse o per l’esercizio di pubblici poteri», dal che desumo che i compiti di interesse pubblico non vanno confusi con l’esercizio di pubblici poteri. 53. Dall’ultima frase del considerando 45 del RGPD, in combinato disposto con l’articolo 79, paragrafo 2, del medesimo regolamento ( 24 ), risulta che i compiti di interesse pubblico sono quelli che si possono affidare a persone fisiche o giuridiche «di diritto privato, quale un’associazione professionale», mentre i compiti che rientrano nell’ambito dell’esercizio dell’autorità pubblica o di prerogative di potere pubblico possono essere svolti solo da una «pubblica autorità o altra persona fisica o giuridica di diritto pubblico». 54. Nella stessa ottica, il considerando 31 del RGPD offre esempi di «autorità pubbliche», ossia le autorità fiscali e doganali, le autorità dei mercati finanziari o le unità di indagine finanziaria e le autorità amministrative, che esercitano propriamente poteri di imperium . 55. Da tali elementi deduco che la nozione di «autorità pubbliche e organismi pubblici» di cui all’articolo 83, paragrafo 7, del RGPD, si riferisce esclusivamente alle autorità o agli organismi di diritto pubblico incaricati di eseguire compiti che rientrano nell’ ambito dell’esercizio dell’autorità pubblica o di prerogative di potere pubblico . 56. Non è sufficiente che un soggetto di diritto privato eserciti un compito di interesse generale o pubblico per qualificarlo come «autorità pubblica o organismo pubblico» ai sensi dell’articolo 83, paragrafo 7, del RGPD. Un’interpretazione contraria permetterebbe agli [OSCURATO:PERSONA] membri di ampliare eccessivamente i limiti della deroga e creerebbe disparità significative tra gli [OSCURATO:PERSONA] membri. 57. Ciò posto, ricorderò come altre norme del diritto dell’Unione hanno utilizzato le nozioni di cui trattasi. a) Appalti pubblici 58. Nell’ambito degli appalti pubblici soggetti alla direttiva 2014/24/UE ( 25 ) (e, in precedenza, alla direttiva 2004/18/CE ( 26 )), si applica una definizione ampia delle nozioni di «amministrazioni aggiudicatrici» e «organismo di diritto pubblico». 59. In relazione all’articolo 1, paragrafo 9, della direttiva 2004/18, la Corte di giustizia ne ha delimitato l’ambito di applicazione in modo sufficientemente elastico per garantire che «(...) le norme in materia, segnatamente, di trasparenza e di non discriminazione che si impongono nell’ambito di aggiudicazione di appalti pubblici si applichino a un insieme di enti statali che non fanno parte della pubblica amministrazione ma che sono tuttavia controllati dallo Stato, in particolare mediante il loro finanziamento o la loro gestione» ( 27 ). 60. La Corte di giustizia adotta un concetto ampio di autorità pubblica o di organismo pubblico aggiudicatore dell’appalto, al punto da riconoscere tale condizione a entità create sotto forma di associazione di diritto privato che esercitano determinate attività non necessariamente di carattere pubblico ( 28 ). b) IVA 61. A norma dell’articolo 13, paragrafo 1, della direttiva 2006/112/CE ( 29 ), «(...) gli altri enti di diritto pubblico non sono considerati soggetti passivi [dell’IVA] per le attività od operazioni che esercitano in quanto pubbliche autorità, anche quando, in relazione a tali attività od operazioni, percepiscono diritti, canoni, contributi o retribuzioni (…)» ( 30 ). 62. La Corte di giustizia ha dichiarato che la norma generale su cui si basa il sistema comune dell’IVA prevede che l’ambito di applicazione di tale imposta è definito in modo assai ampio, comprendendo tutte le prestazioni di servizi fornite a titolo oneroso, incluse quelle effettuate dagli enti di diritto pubblico ( 31 ). Le deroghe a tale norma vanno interpretate restrittivamente ( 32 ). 63. La giurisprudenza si avvale di un concetto particolarmente restrittivo per escludere gli organismi pubblici dalla condizione di soggetto passivo dell’IVA. Essa esclude la possibilità di applicare, in tale ambito, concetti ammessi in quello degli appalti pubblici e conferisce una rilevanza qualificata alla circostanza che l’entità eserciti prerogative di potere pubblico ( 33 ). c) Enti che fanno parte dello Stato ai fini dell’applicazione delle direttive (in generale) 64. [OSCURATO:PERSONA] suggerisce alla Corte di giustizia, per determinare se nella presente controversia si possa parlare di un’autorità pubblica o di un organismo pubblico, di seguire la sua giurisprudenza relativa all’esclusione dell’effetto diretto delle direttive nei rapporti tra singoli ( 34 ). 65. Secondo la [OSCURATO:PERSONA], da tale giurisprudenza si dedurrebbe che un ente fa parte dello Stato: a) perché è una persona giuridica di diritto pubblico facente parte dello Stato in senso ampio; oppure b) perché è soggetto all’autorità o al controllo di una pubblica autorità; oppure c) perché è stato incaricato da una tale autorità di svolgere un compito di interesse pubblico ed è stato a tal fine dotato di poteri speciali. Le due ultime ipotesi si potrebbero applicare, sempre secondo la [OSCURATO:PERSONA], alla controversia principale. 66. A mio parere tale suggerimento, dibattuto tra le parti in udienza, non dovrebbe essere considerato un invito a trasporre meccanicamente e senza distinzioni la giurisprudenza invocata dalla [OSCURATO:PERSONA]. Poiché quest’ultima è stata elaborata in un ambito molto specifico (l’efficacia delle direttive) per risolvere una questione estranea a quella qui sollevata, dubito della sua utilità per la presente controversia. 67. La giurisprudenza sull’efficacia diretta delle direttive risponde all’esigenza di supplire all’inadempienza, da parte degli [OSCURATO:PERSONA] membri, dell’obbligo di adottare le misure di esecuzione che le suddette direttive impongono loro. Con tale obiettivo si modula, in talune circostanze e a determinate condizioni, il sistema comune di applicazione ed efficacia di una delle fonti del diritto dell’Unione. Tale giurisprudenza adotta un criterio basato sull’ integrazione funzionale nella struttura dello Stato degli enti nei confronti dei quali i singoli possono far valere direttamente le disposizioni di una direttiva. 68. Oltre agli enti di cui è evidente la natura di autorità pubblica, la giurisprudenza attribuisce tale qualità agli organismi che, indipendentemente dalla loro forma giuridica, siano stati incaricati, con un atto della pubblica autorità, di prestare, sotto il controllo di quest’ultima, un servizio di interesse pubblico e dispongano a questo scopo di poteri che eccedono i limiti di quelli risultanti dalle norme che si applicano nei rapporti fra singoli ( 35 ). 69. Si tratta, in definitiva, di enti che agiscono funzionalmente come organi del potere pubblico, svolgendo compiti di interesse generale sotto la tutela dello Stato e avvalendosi di prerogative proprie del potere di imperium ; enti che, in una certa misura, rappresentano lo Stato che è venuto meno all’obbligo di adottare le misure imposte da una direttiva, di cui è stata compromessa l’efficacia. 70. Tutto questo complesso corpus argomentativo ha poco a che vedere con il disposto dell’articolo 83, paragrafo 7, del RGPD, che autorizza gli [OSCURATO:PERSONA] membri a introdurre una deroga, di portata qualitativamente limitata, al regime di sanzioni. Tale deroga non è comparabile a quella, di origine giurisprudenziale, che incide sul sistema di efficacia di una delle fonti del diritto dell’Unione. La deroga si manifesta nel RGPD come uno tra i vari elementi qualificanti del sistema di sanzioni che protegge i dati personali. Le nozioni di «autorità pubblica e organismo pubblico» non si possono dunque equiparare a quelle impiegate per delimitare l’efficacia delle direttive. 71. In sintesi, contesti e finalità differenti comportano nozioni dotate di un contenuto diverso. 72. Ad ogni modo, se si dovesse far prevalere il criterio sistematico, a mio avviso l’interpretazione delle nozioni di «autorità pubbliche e organismi pubblici» di cui all’articolo 83, paragrafo 7, del RGPD dovrebbe essere restrittiva; più prossima, pertanto, all’interpretazione che è comune nella direttiva 2006/112. 73. L’articolo 83, paragrafo 7, del RGPD deve essere difatti interpretato restrittivamente, poiché introduce una deroga (facoltativa) al regime generale di sanzioni armonizzate previsto dal RGPD ( 36 ). 3. Criterio contestuale e criterio teleologico 74. Le nozioni di «autorità pubbliche e organismi pubblici» devono essere precisate in funzione del contesto e del fine perseguito dalla disposizione in cui sono inserite. 75. Per quanto concerne il contesto, la norma è inclusa, come ho anticipato, nel regime di applicazione di sanzioni amministrative pecuniarie nei confronti degli autori di violazioni del RGPD. La deroga di cui trattasi impedisce l’applicazione di uno strumento sanzionatorio caratterizzato dal suo effetto dissuasivo, esentando da alcune sanzioni amministrative pecuniarie che costituiscono «(...) un elemento chiave per garantire il rispetto dei diritti di tali persone [fisiche], conformemente alla finalità del [RGPD] di assicurare un livello elevato di protezione di dette persone riguardo al trattamento dei dati personali» ( 37 ). 76. Certamente, accanto alle sanzioni amministrative pecuniarie esistono misure alternative che contribuiscono a garantire un’applicazione effettiva del RGPD ( 38 ). Tuttavia, l’importanza delle sanzioni amministrative pecuniarie contemplate all’articolo 83, paragrafi da 4 a 6, del RGPD rivela la chiara volontà legislativa di istituire un potente sistema di garanzia dell’efficacia delle sue disposizioni. L’efficacia dissuasiva di alcune sanzioni amministrative pecuniarie che possono raggiungere importi particolarmente elevati si erge così a elemento chiave del sistema di sanzioni. 77. Inoltre, la sanzione amministrativa pecuniaria è stata specificamente oggetto di armonizzazione. L’articolo 84, paragrafo 1, del RGPD consente, infatti, agli [OSCURATO:PERSONA] membri di stabilire «(...) le norme relative alle altre sanzioni per le violazioni del presente regolamento, in particolare per le violazioni non soggette a sanzioni amministrative pecuniarie a norma dell’articolo 83 (...)». 78. La genesi dell’articolo 83, paragrafo 7, del RGPD evidenzia la connessione tra l’importanza economica delle sanzioni amministrative pecuniarie in esso istituite e la deroga di cui trattasi. 79. La proposta iniziale della [OSCURATO:PERSONA] prevedeva limiti massimi per tali sanzioni tra EUR 250 000 e EUR 1 milione e fino al 2 % del fatturato annuo ( 39 ). Su iniziativa del Consiglio ( 40 ), tali limiti sono stati aumentati raggiungendo quelli dell’attuale articolo 83, paragrafi da 4 a 6, del RGPD, includendo all’epoca la possibilità per gli [OSCURATO:PERSONA] membri di prevedere la deroga che avrebbe costituito il paragrafo 7 dell’articolo 83 ( 41 ). 80. Come sostiene l’APD, si può ravvisare nella deroga di cui all’articolo 83, paragrafo 7, del RGPD una tutela a vantaggio dell’integrità delle finanze pubbliche. In tal caso, come ricorda la stessa APD a proposito delle restrizioni alle libertà fondamentali garantite dal Trattato FUE, gli obiettivi di carattere meramente economico non possono costituire motivi imperativi di interesse generale in grado di giustificare dette restrizioni. 81. L’OZCS invoca un ulteriore motivo oltre alla tutela delle finanze pubbliche: la continuità dell’esercizio di un compito di interesse generale, che la Corte costituzionale belga avrebbe sottolineato nell’ambito dell’esame dell’articolo 221, paragrafo 2, della LPD ( 42 ). 82. In determinati casi è possibile che l’irrogazione di sanzioni amministrative pecuniarie nei confronti delle autorità pubbliche incaricate di un compito di interesse generale metta a repentaglio l’esercizio di tale compito e, di conseguenza, incida sulla sua continuità, se l’onere finanziario che comportano è ragguardevole. 83. Orbene, occorrerà chiedersi se, alla luce di tali funzioni di garanzia (del bilancio pubblico e della continuità dell’esercizio di compiti di interesse generale), sia giustificato l’ampliamento delle nozioni di «autorità pubbliche e organismi pubblici» fino al punto di comprendervi le persone giuridiche con uno statuto di diritto privato che forniscono istruzione libera sovvenzionata. 84. A mio parere, per conseguire le due suddette finalità non è necessario sacrificare i poteri sanzionatori attribuiti alle autorità competenti per la protezione di dati, quando: –        le caratteristiche dell’autore della violazione si distinguono difficilmente da quelle di altri soggetti che svolgono la stessa attività materiale (istruzione secondaria), senza che a questi ultimi sia riconosciuta la qualità di autorità pubblica; –        l’ente autore della violazione non è integrato nelle strutture statali né soddisfa le condizioni richieste per la definizione dei pubblici poteri (esercizio di poteri speciali corrispondenti a prerogative di potere pubblico); –        è possibile garantire l’integrità delle risorse di tale ente provenienti da fondi pubblici, nonché la continuità delle sue funzioni di interesse generale, modulando l’importo delle sanzioni amministrative pecuniarie in base alle circostanze esistenti. 4. Incidenza della sentenza [OSCURATO:PERSONA] ( 43 ) 85. A sostegno della sua tesi, l’OZCS afferma che l’istruzione è un compito di interesse generale che, in Belgio, è svolto anche da soggetti privati sovvenzionati dalle autorità pubbliche. Sostiene che si tratta di un’attività non economica, come già avrebbe dichiarato la Corte di giustizia ( 44 ). 86. Nella sentenza [OSCURATO:PERSONA] si trattava di chiarire se determinate esenzioni fiscali da imposte nazionali rientrassero nell’ambito del divieto di cui all’articolo 107, paragrafo 1, TFUE (aiuti di Stato). Tale controversia ha permesso alla Corte di giustizia di analizzare in quale misura ricorressero le caratteristiche di «impresa» e di «attività economica» nei corsi impartiti da istituiti di insegnamento, a seconda che fossero finanziati, essenzialmente, mediante fondi privati o sovvenzioni statali. 87. La sentenza [OSCURATO:PERSONA] contiene tali dichiarazioni: –        mantenendo un sistema di insegnamento pubblico, finanziato di norma dal bilancio pubblico e non dagli studenti o dai loro genitori, lo Stato non intende impegnarsi in attività remunerate, bensì adempie la propria missione nei settori sociale, culturale e educativo nei confronti della propria popolazione ( 45 ); –        in tale contesto, non è escluso che uno stesso istituto possa esercitare più attività, al tempo stesso economiche e non economiche, a condizione che esso tenga una contabilità separata per quanto riguarda i diversi finanziamenti ricevuti, in modo da escludere qualsiasi rischio di sovvenzione «incrociata» delle sue attività economiche mediante fondi pubblici di cui esso beneficia a titolo delle sue attività non economiche ( 46 ); –        per applicare il divieto dettato dall’articolo 107, paragrafo 1, TFUE all’esenzione controversa nella fattispecie, «(...) spetta al giudice del rinvio stabilire (...) se e, eventualmente, quali tra le attività pedagogiche esercitate (...) presentino carattere economico o meno» ( 47 ). 88. Da tali dichiarazioni e dal resto della sentenza [OSCURATO:PERSONA] non si deduce, tuttavia, che un istituto di insegnamento libero, per il solo fatto di ricevere finanziamenti statali, possa essere qualificato come autorità pubblica. 5. Applicazione di tali criteri alla causa originaria 89. Spetta al giudice del rinvio, alla luce dei dati di cui dispone, valutare la situazione di fatto nonché, se del caso, esaminare se il finanziamento statale dell’istituto scolastico condizioni o meno l’operato di quest’ultimo fino al punto da comprenderlo tra le strutture dello Stato cui potrebbe applicarsi la qualifica di autorità pubblica. 90. Fatta salva tale valutazione, non credo che l’OZCS possieda le qualità proprie di un’autorità pubblica. Non si tratta di una persona giuridica facente parte dello Stato in senso ampio, né è stato dotato di poteri speciali che rientrano nell’ambito dell’esercizio dell’autorità pubblica o di prerogative di potere pubblico ( 48 ). 91. A mio parere, proprio l’esercizio (o l’assenza di esercizio) di prerogative di potere pubblico è ciò che consente di stabilire se un ente rientri nel concetto di «autorità pubbliche e organismi pubblici» ai sensi dell’articolo 83, paragrafo 7, del RGPD o se, al contrario, si trovi in una situazione paragonabile a quella degli enti che si limitano a esercitare funzioni di interesse generale oppure operano su un mercato. 92. L’assoggettamento dell’OZCS alla vigilanza dell’autorità fiamminga per quanto concerne la realizzazione degli obiettivi didattici minimi non lo pone in una situazione molto diversa da quella degli istituiti di istruzione privati non sovvenzionati. 93. La possibilità di rilasciare titoli di studio non dimostra, di per sé, che l’OZCS goda di prerogative di potere pubblico. L’ADP ha sostenuto in udienza che, nel diritto belga, dispongono di tale facoltà anche gli istituti privati analoghi che non ricevono alcuna sovvenzione pubblica, senza che perciò siano considerati autorità pubbliche. 94. Fatte salve le verifiche svolte dal giudice del rinvio, tutto sembra suggerire che, in Belgio, la facoltà di rilasciare titoli sia un indice del fatto che l’istituto scolastico esercita un compito di interesse generale (o di interesse pubblico) nel quadro della regolamentazione generale in materia di insegnamento. Tale fattore non è però sufficiente, di per sé, per concludere che l’istituto disponga di prerogative di potere pubblico. 95. Ricorderò, in tal senso, che la Corte di giustizia ha dichiarato che l’esercizio di professioni docenti non presuppone una partecipazione diretta o indiretta all’esercizio dei pubblici poteri né alle funzioni che hanno ad oggetto la tutela degli interessi generali dello Stato e delle altre collettività pubbliche ( 49 ). Nello specifico, tale dichiarazione si estende all’ambito dell’istruzione secondaria ( 50 ). 96. A mio avviso, non è giustificato nemmeno forzare la definizione delle nozioni di «autorità pubbliche e organismi pubblici» fino al punto di includervi un ente il cui principale collegamento con i pubblici poteri consiste, in realtà, nel fatto di ricevere sovvenzioni statali. 97. Come ha riconosciuto la [OSCURATO:PERSONA] in udienza, il mero beneficio di una sovvenzione non è sufficiente affinché l’ente sovvenzionato abbia la qualifica di «autorità pubblica». In ogni caso, non è stato possibile stabilire l’entità della percentuale rappresentata dalle sovvenzioni pubbliche relativamente al finanziamento dell’OZCS ( 51 ). Al contrario, il governo belga riconosce che tale istituto scolastico dispone di fonti di finanziamento privato (quote versate dai genitori degli studenti, donazioni e vendite di beni, tra altre voci) che attestano l’esercizio di un’attività economica per la quale l’OZCS può anche avvalersi della pubblicità. 98. Se, come ho già anticipato, l’obiettivo cui è finalizzata la deroga di cui all’articolo 83, paragrafo 7, del RGPD consiste nel preservare la continuità dell’esercizio dei compiti di interesse generale, si potrebbe garantire tale fine, nel caso di un ente come l’OZCS, per mezzo dell’articolo 83, paragrafo 2, del RGPD. 99. A norma del RGPD, «[l]e sanzioni amministrative pecuniarie sono inflitte, in funzione delle circostanze di ogni singolo caso (...). Al momento di decidere se infliggere una sanzione amministrativa pecuniaria e di fissare l’ammontare della stessa in ogni singolo caso si tiene debito conto (...) [di] eventuali altri fattori aggravanti o attenuanti applicabili alle circostanze del caso (...)» [articolo 83, paragrafo 2, lettera k), del RGPD]. 100. Di fatto, è stato sufficiente il disposto dell’articolo 83, paragrafo 2, del RGPD affinché, stanti la mancanza di uno scopo di lucro e l’esercizio di un’attività di interesse generale da parte dell’OZCS, la sanzione pecuniaria che infine le è stata inflitta (EUR 1 000) sia ben lungi dal mettere a repentaglio la sua continuità come istituto di istruzione. 101. Per contro, qualificare l’OZCS come autorità pubblica assicurerebbe tale risultato (la continuità dell’esercizio del suo compito di interesse generale) in maniera sproporzionata: a fronte di una violazione del RGPD a danno dei diritti degli studenti, le autorità belghe per la protezione dei dati non potrebbero avvalersi, in alcun caso, del meccanismo di garanzia più efficace a loro disposizione, ossia l’irrogazione di una sanzione amministrativa pecuniaria. Il loro potere correttivo si limiterebbe dunque a rivolgere, ai sensi dell’articolo 58, paragrafo 2, del RGPD, un mero avvertimento o un ammonimento. 102. Un’interpretazione come quella auspicata dall’OZCS e dal governo belga presupporrebbe che tutti i soggetti privati che esercitano un compito di interesse generale e beneficiano di sovvenzioni pubbliche siano potenzialmente in grado di avvalersi della deroga facoltativa prevista dall’articolo 83, paragrafo 7, del RGPD. Orbene, per loro stessa natura, i compiti di interesse generale (in particolare negli ambiti della sanità, dell’istruzione o dell’azione sociale) implicano sovente il trattamento di dati sensibili relativi a persone fisiche o di dati personali relativi a persone vulnerabili o meritevoli di una «tutela speciale», come nel caso dei minori. 103. In tale contesto, le autorità di controllo non dovrebbero essere private, in termini categorici, della possibilità di infliggere sanzioni amministrative pecuniarie a un soggetto di diritto privato solo perché quest’ultimo svolge incarichi di docenza di interesse generale e riceve sovvenzioni pubbliche. Tale interpretazione ridurrebbe significativamente la capacità delle autorità di controllo di garantire il rispetto del RGPD e la protezione delle persone fisiche. V. Conclusione 104. Alla luce di quanto precede, propongo alla Corte di rispondere al Hof van Cassatie (Corte di cassazione, Belgio) nei seguenti termini: «L’articolo 83, paragrafo 7, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), deve essere interpretato nel senso che osta a una normativa nazionale ai sensi della quale l’autorità di controllo non può imporre una sanzione amministrativa pecuniaria a persone giuridiche con statuto di diritto privato che forniscono istruzione libera e ricevono, a tal fine, sovvenzioni provenienti da fondi pubblici». 1 Lingua originale: lo spagnolo. 2 Gegevensbeschermingsautoriteit (Autorità per la protezione dei dati; in prosieguo: l’«APD»). 3 Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1). In prosieguo: il «RGPD». 4 Wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens (legge del 30 luglio 2018 relativa alla tutela delle persone fisiche con riguardo al trattamento di dati personali) ( [OSCURATO:PERSONA] , 5 settembre 2018, pag. 68 616). In prosieguo: la «LPD». 5 Decisione di rinvio, paragrafo IV, punto 5. 6 La questione pregiudiziale invoca i considerando 38 e 58 del RGPD, che fanno riferimento alla protezione dei minori. 7 Osservazioni scritte della [OSCURATO:PERSONA], punti da 24 a 26. 8 Sentenza del 12 gennaio 2023, [OSCURATO:PERSONA] (Informazioni relative ai destinatari di dati personali) (C‑154/21, EU:C:2023:3), punto 44. 9 L’OZCS invoca, a tal riguardo, le Linee guida sui responsabili della protezione dei dati adottate dal gruppo di lavoro istituito ai sensi dell’articolo 29 della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU 1995, L 281, pag. 31), adottate il 13 dicembre 2016 ed emendate il 5 aprile 2017 (16/EN, GT 243). In esse si afferma che la nozione di cui trattasi «de[ve] essere conforme al diritto nazionale» (paragrafo 2.1.1). 10 Nel contesto del suo articolo 86, relativo al trattamento e all’accesso del pubblico ai documenti ufficiali, il considerando 154 del RGPD afferma che «[i]l riferimento alle autorità pubbliche e agli organismi pubblici dovrebbe comprendere (...) tutte le autorità o altri organismi cui si applica il diritto degli [OSCURATO:PERSONA] membri sull’accesso del pubblico ai documenti». A mio parere, tale rinvio è strettamente circoscritto all’articolo 86 del RGPD. 11 Articolo 24 della direttiva 95/46. 12 Considerando 11 e 129 del RGPD. 13 L’APD elenca più di una dozzina di disposizioni nella nota 20 delle sue osservazioni scritte; ad esempio l’articolo 6, paragrafo 1, secondo comma, esclude per le autorità pubbliche l’applicazione di una delle condizioni di liceità del trattamento dei dati; l’articolo 37, paragrafo 3, consente di designare un unico responsabile della protezione dei dati qualora il titolare del trattamento o il responsabile del trattamento sia un’autorità pubblica o un organismo pubblico; l’articolo 86 disciplina l’accesso ai dati personali contenuti all’interno di documenti ufficiali in possesso di un’autorità pubblica. 14 Sentenza del 4 maggio 2023, [OSCURATO:PERSONA] (C‑300/21, EU:C:2023:370), punto 44: «la nozione di “danno” e, più specificamente, nel caso di specie, la nozione di “danno immateriale”, ai sensi dell’articolo 82 del RGPD, devono ricevere, tenuto conto della mancanza di qualsiasi riferimento al diritto interno degli [OSCURATO:PERSONA] membri, una definizione autonoma e uniforme, propria del diritto dell’Unione». In tal senso, la sentenza del 22 giugno 2021, [OSCURATO:PERSONA] (Punti di penalità) (C‑439/19, EU:C:2021:504), punti da 82 a 85, ha attribuito carattere autonomo alla categoria «reato» per determinare l’applicabilità dell’articolo 10 del RGPD. 15 Sentenza del 5 dicembre 2023, [OSCURATO:PERSONA] (C‑807/21, EU:C:2023:950), punto 50. Il corsivo è mio. 16 Punto 23 delle osservazioni scritte dell’APD. 17 Considerando 150 del RGPD. 18 Sentenza del 5 dicembre 2023, Nacionalinis visuomenės sveikatos centras (C‑683/21, EU:C:2023:949), punto 70. È vero che, nel presente rinvio pregiudiziale, il dibattito verte sulla nozione di autorità pubblica, anziché sulle condizioni materiali in senso stretto, ma la tesi di fondo sul carattere autonomo delle nozioni di cui trattasi mi sembra parimenti applicabile. 19 Decisione quadro 2002/584/GAI del Consiglio, del 13 giugno 2002, relativa al mandato d’arresto europeo e alle procedure di consegna tra [OSCURATO:PERSONA] membri (GU 2002, L 190, pag. 1), come modificata dalla decisione quadro 2009/299/GAI del Consiglio, del 26 febbraio 2009 (GU 2009, L 81, pag. 24). 20 Sentenza del 10 novembre 2016, Poltorak (C‑452/16 PPU, EU:C:2016:858), punto 32. 21 Sentenza dell’11 settembre 2025, [OSCURATO:PERSONA] (C‑115/24, EU:C:2025:694), punto 62 e giurisprudenza ivi citata. 22 Considerando 122 e 128 del RGPD. 23 Considerando 10 e 45 del RGPD. 24 Quest’ultima disposizione si riferisce a «un’autorità pubblica (...) nell’esercizio dei pubblici poteri». 25 Direttiva del Parlamento europeo e del Consiglio, del 26 febbraio 2014, sugli appalti pubblici e che abroga la direttiva 2004/18/CE (GU 2014, L 94, pag. 65). Ai sensi del suo articolo 2, paragrafo 1, punto 1, per «amministrazioni aggiudicatrici» si intendono lo Stato, le autorità regionali o locali, gli organismi di diritto pubblico o le associazioni costituite da uno o più di tali autorità o da uno o più di tali organismi di diritto pubblico. Gli organismi pubblici, dal loro canto, sono definiti come «gli organismi che hanno tutte le seguenti caratteristiche: a) sono istituiti per soddisfare specificatamente esigenze di interesse generale, aventi carattere non industriale o commerciale; b) sono dotati di personalità giuridica; e c) sono finanziati per la maggior parte dallo Stato, dalle autorità regionali o locali o da altri organismi di diritto pubblico; o la loro gestione è posta sotto la vigilanza di tali autorità o organismi; o il loro organo di amministrazione, di direzione o di vigilanza è costituito da membri più della metà dei quali è designata dallo Stato, da autorità regionali o locali o da altri organismi di diritto pubblico». 26 Direttiva del Parlamento europeo e del Consiglio, del 31 marzo 2004, relativa al coordinamento delle procedure di aggiudicazione degli appalti pubblici di lavori, di forniture e di servizi (GU 2004, L 134, pag. 114). All’articolo 1, paragrafo 9, disponeva che si considerassero «”amministrazioni aggiudicatrici”: lo Stato, gli enti pubblici territoriali, gli organismi di diritto pubblico e le associazioni costituite da uno o più di tali enti pubblici territoriali o da uno o più di tali organismi di diritto pubblico». 27 Sentenza del 29 ottobre 2015, Saudaçor (C‑174/14, EU:C:2015:733; in prosieguo: la «sentenza Saudaçor», punto 46). 28 Sentenza del 3 febbraio 2021, [OSCURATO:PERSONA] e [OSCURATO:PERSONA].Se.Av. (C‑155/19 e C‑156/19, EU:C:2021:88), punto 48. 29 Direttiva del Consiglio, del 28 novembre 2006, relativa al sistema comune d’imposta sul valore aggiunto (GU 2006, L 347, pag. 1). 30 A meno che il loro non assoggettamento provochi distorsioni della concorrenza di una certa importanza. 31 Sentenza Saudaçor, punto 48. 32 Sentenza Saudaçor, punto 49. 33 Sentenza Saudaçor, punti da 46 a 48, 69 e 70. 34 Osservazioni scritte della [OSCURATO:PERSONA], punto 31. 35 Sentenza del 12 luglio 1990, Foster e a. (C‑188/89, EU:C:1990:313); punto 20. 36 V., per analogia, sentenza Saudaçor (C‑174/14, EU:C:2015:733), punti 47 e 48. Hanno interpretato in modo restrittivo le deroghe introdotte nel RGPD le sentenze del 9 luglio 2020, [OSCURATO:PERSONA] (C‑272/19, EU:C:2020:535), punto 68, e del 9 gennaio 2025, [OSCURATO:PERSONA] (Richieste eccessive) (C‑416/23, EU:C:2025:3), punto 33. 37 Sentenza del 5 dicembre 2023, [OSCURATO:PERSONA] (C‑807/21, EU:C:2023:950), punto 73. 38 Sentenza del 4 maggio 2023, [OSCURATO:PERSONA] (Casella di posta elettronica degli uffici giudiziari) (C‑60/22, EU:C:2023:373), punti 67 e 68. 39 Articolo 79 della proposta di regolamento del Parlamento europeo e del Consiglio concernente la tutela delle persone fisiche con riguardo al trattamento dei dati personali e la libera circolazione di tali dati [(RGPD)], COM(2012) 011 final - 2012/0011 (COD) C7-0025/12. 40 Posizione del Consiglio in prima lettura in vista dell’adozione del regolamento del Parlamento europeo e del Consiglio relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE [(RGPD)], dell’8 aprile 2016, 5419/1/16 REV 1 ADD 1, paragrafo 9.5. 41 Da EUR 10 milioni a EUR 20 milioni e fino al 4 % del fatturato annuo. 42 Osservazioni scritte dell’OZCS, punto 13. Si fa riferimento alla sentenza della Corte costituzionale belga n. 3/2021, del 14 gennaio 2021. Nel paragrafo B.27 di tale sentenza si legge quanto segue: «Dai lavori preparatori della disposizione impugnata emerge che la disapplicazione di sanzioni amministrative pecuniarie nei confronti di determinati titolari pubblici del trattamento dei dati è stata motivata dall’esigenza di garantire la continuità del servizio pubblico e di non mettere a repentaglio l’esercizio di un compito di interesse generale (Doc. parl., Camera, 2017-2018, DOC 54-3126/001, pagg. 229 e 230). Questi obiettivi perseguiti dal legislatore in tale materia possono, di per sé, essere considerati legittimi. Tuttavia, occorre verificare se la misura sia oggettivamente e ragionevolmente giustificata, tenendo conto degli effetti che comporta, in particolare per quanto concerne il diritto alla protezione dei dati personali». 43 Sentenza del 27 giugno 2017, Congregación de [OSCURATO:PERSONA] (C‑74/16, EU:C:2017:496); in prosieguo: la «sentenza [OSCURATO:PERSONA]». 44 Invoca, a tal fine, oltre alla sentenza [OSCURATO:PERSONA], quella dell’11 settembre 2017, [OSCURATO:PERSONA] / Germania (C‑318/05, EU:C:2007:495), punto 68. 45 [OSCURATO:PERSONA], punto 50. 46 [OSCURATO:PERSONA], punto 51. 47 [OSCURATO:PERSONA], punto 54. 48 Sentenza del 10 ottobre 2017, Farrell, C‑413/15, EU:C:2017:745), punto 34. 49 Sentenza della Corte del 2 luglio 1996, [OSCURATO:PERSONA]/Lussemburgo (C‑473/93, EU:C:1996:263), punti 31 e segg. Anche quando tale sentenza, come altre successive, allude alla nozione di pubblica amministrazione ai sensi dell’(attuale) articolo 45, paragrafo 4, TFUE, le sue considerazioni relative agli impieghi che implicano la partecipazione, diretta o indiretta, all’esercizio dei pubblici poteri e alle mansioni che hanno ad oggetto la tutela degli interessi generali dello Stato e delle altre collettività pubbliche sono applicabili a tali nozioni. 50 Sentenza del 27 novembre 1991, Bleis (C‑4/91, EU:C:1991:448), punto 7. 51 In udienza si è parlato, senza maggiori precisazioni, di «più del 50 %». Non essendosi presentato all’udienza, l’OZCS non ha potuto fornire dati più precisi.