La sentenza C-413/23 P (EDPS / SRB – Deloitte), pronunciata dalla Corte di giustizia il 4 settembre 2025, chiarisce tre profili centrali della disciplina privacy: (1) i commenti/opinioni degli interessati costituiscono dati personali, in quanto espressione del loro pensiero; (2) la pseudonimizzazione non mantiene automaticamente la natura dei dati come “personale” per chiunque: l’identificabilità è relativa al soggetto che tratta le informazioni e va valutata alla luce dei mezzi da lui ragionevolmente utilizzabili per la re-identificazione; (3) l’obbligo di trasparenza in favore dell’interessato e riguardo ai destinatari (art. 15(1)(d) Reg. 2018/1725, corrispondente all’art. 13(1)(e) GDPR) opera al momento della raccolta e dal punto di vista del titolare, anche se il flusso verso questi destinatari avverrà su dataset pseudonimizzati.
La CGUE ha quindi cassato la sentenza del Tribunale UE del 2023 e rinviato per l’esame del secondo motivo, ossia la presunta violazione del diritto a una buona amministrazione sancito dall’art. 41 della Carta. Poiché il Tribunale non lo aveva esaminato (avendo annullato la decisione dell’EDPS per il primo motivo), la CGUE ha rinviato la causa al Tribunale perché si pronunci su tale secondo motivo, che richiede accertamenti di fatto non ancora svolti.
Rischio della semplificazione nei commenti giurisprudenziali
Nel dibattito giuridico, specie quando si commentano decisioni di rilievo della Corte di giustizia dell’Unione europea, è frequente imbattersi in sintesi e interpretazioni che, per esigenze di comunicazione o per superficialità, finiscono per semplificare eccessivamente il contenuto e la portata delle pronunce. Questo rischio si accentua nei casi in cui la materia è tecnica e stratificata, come nel contenzioso tra Single Resolution Board (SRB) ed European Data Protection Supervisor (EDPS) oggetto della sentenza C‑413/23 P.
Un esempio emblematico di questa tendenza si è avuto proprio nei commenti “a caldo” seguiti alla pubblicazione della decisione: molti osservatori hanno offerto la percezione che il SRB avesse “vinto” il contenzioso, ottenendo ragione contro l’EDPS. In realtà, la lettura attenta della sentenza rivela una dinamica opposta: la Corte di giustizia ha accolto l’appello dell’EDPS, cassando la sentenza del Tribunale UE che aveva dato ragione al SRB, e ha riaffermato principi fondamentali in materia di dato personale, pseudonimizzazione e obblighi informativi.
Continua…
