Corte di giustizia UE n. 2018/2023

62020TJ0557_RES Causa T‑557/20 Comitato di risoluzione unico (CRU) contro [OSCURATO:PERSONA] europeo della protezione dei dati (GEPD) Sentenza del Tribunale (Ottava Sezione ampliata) del 26 aprile 2023 «Tutela dei dati personali – Procedura di indennizzo degli azionisti e creditori in seguito alla risoluzione di un ente creditizio – Decisione del GEPD che dichiara che il CRU ha violato i suoi obblighi relativi al trattamento dei dati personali – Articolo 15, paragrafo 1, lettera d), del regolamento (UE) 2018/1725 – Nozione di “dati personali” – Articolo 3, punto 1, del regolamento 2018/1725 – Diritto di accesso al fascicolo» Ricorso di annullamento – Atti impugnabili – Nozione – Atti che producono effetti giuridici vincolanti – Atti che modificano la situazione giuridica del ricorrente – Decisione rivista del garante europeo della protezione dei dati (GEPD) che dichiara una violazione da parte del Comitato di risoluzione unico (CRU) dei suoi obblighi relativi al trattamento di dati personali – Inclusione [Art. 263 TFUE; regolamento del Parlamento europeo e del Consiglio 2018/1725, art. 15, § 1, d)] (v. punti 44-46, 50-54) Istituzioni dell’Unione europea – Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento 2018/1725 – Nozione di dati personali – Qualsiasi informazione concernente una persona fisica identificata o identificabile – Procedimento relativo al diritto di essere ascoltati avviato dal Comitato di risoluzione unico (CRU) in seguito all’adozione di misure di risoluzione di un ente creditizio – Osservazioni formulate nei confronti del CRU dagli azionisti e creditori su cui incidono tali misure – Osservazioni trasmesse dal CRU a un terzo indipendente a fini di valutazione – Decisione del [OSCURATO:PERSONA] europeo della protezione dei dati (GEPD) che dichiara la violazione ad opera del CRU dei propri obblighi relativi al trattamento dei dati di tali azionisti e creditori – Mancato esame ad opera del GEPD in merito al contenuto, alla finalità e agli effetti delle osservazioni – Mancata determinazione da parte del GEPD della possibilità per il terzo indipendente di disporre di mezzi legali e realizzabili in pratica che consentano di accedere alle informazioni aggiuntive necessarie per la reidentificazione degli autori delle osservazioni trasmesse – Annullamento della decisione del GEPD (Regolamenti del Parlamento europeo e del Consiglio nn. 806/2014, art. 20, § 16, e 2018/1725, art. 3, punto 1) (v. punti 64-75, 94-98, 100-106) [OSCURATO:PERSONA] giugno 2017 il Comitato di risoluzione unico (CRU) ha adottato un programma di risoluzione per l’ente creditizio [OSCURATO:PERSONA] SA, in base al regolamento n. 806/2014 ( 1 ). Per chiarire se gli azionisti e i creditori coinvolti dall’azione di risoluzione avrebbero beneficiato di un trattamento migliore qualora tale ente fosse stato oggetto di una procedura ordinaria di insolvenza, tale regolamento richiede l’intervento di un terzo indipendente affinché realizzi una valutazione della differenza di trattamento ( 2 ). La società Deloitte è stata incaricata di tale valutazione da parte del CRU. Una volta effettuata tale valutazione, il CRU ha adottato una decisione preliminare sulla necessità di concedere o meno un indennizzo agli azionisti e ai creditori coinvolti e ha avviato un procedimento relativo al diritto di essere ascoltati per poter adottare una decisione finale ( 3 ). Nel corso di tale procedimento, suddiviso in due fasi, gli azionisti e i creditori interessati sono stati invitati, in un primo tempo, a manifestare il loro interesse ad esercitare il diritto di essere ascoltati mediante un modulo di iscrizione online e a fornire al CRU i documenti giustificativi che dimostrassero i loro diritti (fase di iscrizione). In un secondo tempo, gli azionisti e i creditori coinvolti il cui status era stato verificato dal CRU potevano presentare le loro osservazioni scritte sulla decisione preliminare del CRU e sulla valutazione (fase di consultazione). Alla data di avvio della fase di iscrizione, il CRU ha pubblicato sulla pagina Internet di iscrizione al procedimento relativo al diritto di essere ascoltato un’informativa sulla protezione dei dati personali nel contesto di tale procedimento. I dati raccolti in occasione della fase di iscrizione erano accessibili a un numero limitato di membri del personale del CRU incaricati del trattamento di tali dati onde determinare l’idoneità dei partecipanti. Questi dati non erano visibili ai membri del personale del CRU incaricati di elaborare le osservazioni ricevute durante la fase di consultazione, nel corso della quale hanno ricevuto solo osservazioni identificate con riferimento a un codice alfanumerico assegnato a ciascuna osservazione inviata tramite il modulo. Dopo l’aggregazione, il filtraggio automatico e la suddivisione in categorie delle osservazioni, il CRU ha trasmesso a Deloitte, a fini di valutazione, le osservazioni relative alla valutazione effettuata. Le osservazioni trasmesse a Deloitte riguardavano unicamente quelle ricevute nella fase di consultazione e recavano un codice alfanumerico. Mediante tale codice, il CRU era l’unico a poter collegare le osservazioni ai dati ricevuti durante la fase di iscrizione. Deloitte non aveva e non ha tuttora accesso alla banca dati contenente i dati raccolti durante la fase di iscrizione. In tale contesto, dato che l’informativa sulla protezione dei dati personali riguardante il trattamento dei dati personali pubblicata dal CRU non conteneva la menzione relativa alla trasmissione a terzi dei dati raccolti mediante il modulo, taluni azionisti e creditori coinvolti (in prosieguo: i «reclamanti») hanno trasmesso, in forza del regolamento 2018/1725 ( 4 ), cinque reclami al [OSCURATO:PERSONA] europeo della protezione dei dati (GEPD). Essi lamentano una violazione da parte del CRU dei suoi obblighi di informazione relativi al trattamento dei dati personali in forza di tale regolamento ( 5 ). Il GEPD ha adottato una decisione iniziale che, in seguito ad una richiesta di riesame da parte del CRU, è stata abrogata e sostituita da una decisione rivista nella quale il GEPD ha considerato che il CRU aveva violato una disposizione di tale regolamento, in quanto non aveva informato i reclamanti, nell’informativa sulla protezione dei dati personali, che era possibile che i loro dati personali fossero comunicati a Deloitte. Il CRU ha quindi proposto un ricorso dinanzi al Tribunale diretto in particolare ad annullare tale decisione rivista del GEPD. Pronunciandosi in Sezione ampliata, il Tribunale accoglie il ricorso del CRU e annulla la decisione rivista del GEPD, chiarendo la nozione di dati personali alla luce delle sentenze Nowak ( 6 ) e Breyer ( 7 ) rese dalla Corte. Giudizio del Tribunale Nella sua sentenza il Tribunale apporta talune precisazioni in merito alla nozione di dati personali nell’accezione dell’articolo 3, punto 1, del regolamento 2018/1725, definita come «qualsiasi informazione concernente una persona fisica identificata o identificabile». Affinché un’informazione costituisca un dato personale, devono essere soddisfatte due condizioni cumulative, vale a dire, da un lato, che tale informazione «concern[a]» una persona fisica e, dall’altro, che tale persona sia «identificata o identificabile». In primo luogo, occorre esaminare se il GEPD abbia potuto correttamente considerare che le informazioni trasmesse a Deloitte «concerne[vano]» una persona fisica ai sensi di tale disposizione. In via preliminare, il Tribunale constata che, nella decisione rivista, il GEPD ha qualificato come «dati personali» tutte le osservazioni formulate dagli azionisti e dai creditori interessati nell’ambito della fase di consultazione e non ha limitato la sua valutazione alle sole informazioni trasmesse a Deloitte. Orbene, poiché la violazione da parte del CRU dei suoi obblighi relativi al trattamento dei dati personali in forza del regolamento 2018/1725 constatata nella decisione rivista riguardava unicamente il fatto che il CRU non aveva menzionato, nell’informativa sulla protezione dei dati personali, che Deloitte sarebbe stata la destinataria potenziale di taluni dati, il Tribunale ritiene che occorra limitarsi ad esaminare se le informazioni trasmesse a Deloitte fossero dati personali ai sensi dell’articolo 3, punto 1, del regolamento 2018/1725. In tale contesto, il Tribunale ricorda l’obiettivo del legislatore di attribuire un’accezione estesa alla nozione di dati personali, che non è limitata alle informazioni sensibili o di ordine privato, ma comprende potenzialmente ogni tipo di informazioni, tanto oggettive quanto soggettive, come i pareri o le valutazioni, a condizione che esse concernano la persona interessata. A tal riguardo, il Tribunale constata altresì che, nella citata sentenza Nowak, la Corte ha già avuto occasione di ritenere soddisfatta tale condizione qualora, in ragione del suo contenuto, della sua finalità o del suo effetto, l’informazione fosse connessa ad una determinata persona. Orbene, nella decisione rivista il GEPD non ha esaminato né il contenuto, né la finalità, né l’effetto delle informazioni trasmesse a Deloitte. Esso si è infatti limitato ad indicare che le osservazioni prodotte dai reclamanti durante la fase di consultazione riflettevano le loro opinioni o i loro punti di vista e a concludere, su questa sola base, che esse costituivano informazioni che li concernevano, il che era sufficiente per qualificarle come dati personali. Certamente, non si può escludere che punti di vista personali o opinioni costituiscano dati personali. Tuttavia, dalla sentenza Nowak ( 8 ) si evince che tale conclusione non può basarsi su una presunzione come quella applicata dal GEPD, ma deve basarsi su un esame volto ad accertare se, per il suo contenuto, scopo o effetto, un punto di vista sia collegato a una persona specifica. Ne consegue che, non avendo effettuato un siffatto esame, il GEPD non poteva concludere che le informazioni trasmesse a Deloitte costituissero un’informazione «concernente» una persona fisica ai sensi dell’articolo 3, punto 1, del regolamento 2018/1725. In secondo luogo, il, Tribunale esamina la valutazione del GEPD volta a chiarire se le informazioni trasmesse a Deloitte concernessero una persona fisica «identificata o identificabile»» nell’accezione di tale disposizione. A questo riguardo, il Tribunale rileva che è pacifico, da un lato, che il codice alfanumerico figurante sulle informazioni trasmesse a Deloitte non consentiva di per sé di identificare gli autori delle osservazioni e, dall’altro, che Deloitte non aveva accesso ai dati identificativi ricevuti durante la fase di iscrizione che consentivano di collegare i partecipanti alle loro osservazioni grazie a tale codice. Il GEPD ha indicato che le informazioni aggiuntive necessarie per identificare gli autori delle osservazioni consistevano nel codice alfanumerico e nella banca dati di identificazione. Certamente, alla luce della citata sentenza Breyer ( 9 ), il fatto che le informazioni aggiuntive necessarie per identificare gli autori delle osservazioni ricevute durante la fase di consultazione non fossero in possesso di Deloitte, bensì del CRU, non è idoneo a escludere a priori che le informazioni trasmesse a Deloitte costituissero dati personali per quest’ultima. Tuttavia, dalla medesima sentenza risulta altresì che, per stabilire se le informazioni trasmesse a Deloitte costituissero dati personali, occorre porsi dal punto di vista di quest’ultima per determinare se le informazioni che le sono state trasmesse si riferiscano a «persone identificabili». Pertanto, in applicazione della citata sentenza Breyer ( 10 ), incombeva al GEPD esaminare se le osservazioni inviate a Deloitte costituissero, nei suoi confronti, dati personali. Quindi secondo il Tribunale, il GEPD versa in errore quando sostiene che non era necessario verificare se gli autori delle informazioni trasmesse a Deloitte fossero reidentificabili da quest’ultima o se tale reidentificazione fosse ragionevolmente possibile. Il Tribunale constata che, nella decisione rivista, il GEPD ha ritenuto che il fatto che il CRU possedeva le informazioni aggiuntive che consentono di reidentificare gli autori delle osservazioni era sufficiente per concludere che le informazioni trasmesse a Deloitte erano dati personali, pur riconoscendo che i dati identificativi ricevuti durante la fase di iscrizione non erano stati comunicati a Deloitte. Dalla decisione rivista risulta quindi che il GEPD si è limitato ad esaminare la possibilità di reidentificare gli autori delle osservazioni dal punto di vista del CRU e non di Deloitte. Orbene, dalla citata sentenza Breyer ( 11 ) si evince che incombeva al GEPD stabilire se la possibilità di combinare le informazioni fornite a Deloitte con le informazioni aggiuntive in possesso del CRU costituisse un mezzo che poteva essere ragionevolmente attuato da Deloitte per identificare gli autori delle osservazioni. Pertanto, poiché il GEPD non ha verificato se Deloitte disponeva di mezzi legali e realizzabili in pratica che le consentissero di accedere alle informazioni aggiuntive necessarie per la reidentificazione degli autori delle osservazioni, il GEPD non poteva concludere che le informazioni trasmesse a Deloitte costituissero informazioni concernenti una «persona fisica identificabile» ai sensi dell’articolo 3, punto 1, del regolamento 2018/1725. Di conseguenza, il Tribunale annulla la decisione rivista del GEPD. ( 1 ) Regolamento (UE) n. 806/2014 del Parlamento europeo e del Consiglio, del 15 luglio 2014, che fissa norme e una procedura uniformi per la risoluzione degli enti creditizi e di talune imprese di investimento nel quadro del meccanismo di risoluzione unico e del Fondo di risoluzione unico e che modifica il regolamento (UE) n. 1093/2010 ( GU 2014, L 225, pag. 1 ). ( 2 ) Articolo 20, paragrafi da 16 a 18, del regolamento n. 806/2014. ( 3 ) Ai sensi dell’articolo 76, paragrafo 1, lettera e), del regolamento n. 806/2014. ( 4 ) Regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE ( GU 2018, L 295, pag. 39 ). ( 5 ) Ai sensi dell’articolo 15, paragrafo 1, lettera d), del regolamento 2018/1725, «[i]n caso di raccolta presso l’interessato di dati che lo riguardano, il titolare del trattamento fornisce all’interessato, nel momento in cui i dati personali sono ottenuti, le (…) informazioni [riguardanti] gli eventuali destinatari o le eventuali categorie di destinatari dei dati personali. ( 6 ) Sentenza del 20 dicembre 2017, Nowak ( C‑434/16 , EU:C:2017:994 ). ( 7 ) Sentenza del 19 ottobre 2016, Breyer ( C‑582/14 , EU:C:2016:779 ). ( 8 ) Punti 34 e 35 della sentenza. ( 9 ) Punto 43 della sentenza. ( 10 ) Punto 44 della sentenza. ( 11 ) Punto 45 della sentenza.