Tre pronunce della CGUE hanno precisato alcuni importanti aspetti dei concetti generali di “trattamento” e di “dato personale”.

Alcune delle considerazioni della Corte hanno valenza generale, altre vanno contestualizzate al caso sottoposto all’attenzione dei giudici del Lussemburgo.

Le pronunce sono state tutte emesse il 7 marzo 2024; due sono in risposta a domande di pronuncia pregiudiziale, nello specifico:

• la c-740/22 sul caso Shine Finland Oy sulla nozione di “trattamento di dati personali”
• la c-604/22 IAB Europe sulla nozione di “dati personali”, “titolare” e “contitolari”

La terza – decisione sul ricorso per impugnazione riguardo a una sentenza del tribunale europeo – è la c-479/22 P, sul caso OC sulla nozione di “dato personale” e di “persona fisica identificabile”, riferita al regolamento (UE) 2018/1725 ma la cui analisi è applicabile anche al GDPR.

Conclusioni

Dall’analisi incrociata delle citate tre decisioni della CGUE possono trarsi le seguenti conclusioni generali:

• i concetti giuridici di “trattamento”, “dati personali”, “titolare del trattamento” vanno interpretati in modo ampio e inclusivo
• questa chiave di lettura deriva sia dalla lettera delle disposizioni, le quali tutte utilizzano nel testo definitorio il termine “qualsiasi” insieme a ulteriori espressioni di ampia portata, sia dall’obiettivo perseguito dal legislatore del GDPR che intende offrire un livello di protezione elevato ai diritti e alle libertà delle persone interessate, come esplicitato nel testo del regolamento
• da queste premesse si perviene alla conclusione che:
  • per “trattamento” è ricompresa qualsiasi operazione sui dati personali anche se essa consiste in una comunicazione in forma orale tra due soggetti
  • costituiscono “dati personali” anche quelle informazioni non identificative ma che potrebbero identificare l’individuo, anche indirettamente, tramite l’associazione di altre informazioni correlate, anche se in possesso di soggetti diversi dal titolare
  • è “titolare del trattamento” chi determina o contribuisce a determinare finalità e mezzi del trattamento di dati personali, anche se questi non ha materiale accesso ai dati in questione; in caso di più soggetti in tale posizione, ciascuno sarà un “contitolare” e risponderà in toto per la parte riferibile alle proprie determinazioni.

CGUE c-479/22 P, caso OC

Continua…