Comunicazione dati al terzo. La privacy UE non obbliga lo Stato Membro

Il diritto europeo privacy (DIR. 95/46/CE e GDPR 2016/679) non impone agli Ordinamenti Interni l'obbligo di ammettere la comunicazione dati dell'interessato a un terzo. Tuttavia ne stabilisce la possibilità quando sussistano cumulativamente tre criteri: l'interesse legittimo del terzo, la necessità del trattamento e la ponderazione dei diritti contrapposti a favore del terzo-richiedente.

La Polizia Stradale della Lettonia e una Società di filobus lettone vengono in contrasto in merito alla richiesta di comunicazione dei dati identificativi dell'autore di un incidente. A Riga, la città teatro del sinistro, un tassista accosta per far scendere il passeggero. Quest'ultimo apre incautamente lo sportello e danneggia il filobus che stava sopraggiungendo. La Polizia Stradale raccoglie nel verbale le testimonianze del tassista e del passeggero assumendone i dati identificativi. La Società di filobus, determinata a ottenere il risarcimento danni, inizialmente agisce contro la compagnia di taxi la cui assicurazione però nega l'indennizzo in quanto l'incidente è stata causato dal passeggero e non dall'autista. Si rende dunque necessario attivarsi contro il passeggero e viene richiesto alla Polizia Stradale di comunicarne i dati identificativi risultanti dal verbale. L'Autorità di Pubblica Sicurezza fornisce solo il nome e cognome sostenendo di non essere obbligata a comunicare informazioni ulteriori come la carta di identità e il domicilio del terzo. Da qui si apre la questione che giunge dinanzi alla Corte di Giustizia.

La questione sottesa alla sentenza in commento è la seguente: l'art. 7, lett. f) della direttiva europea privacy 95/46 stabilisce o meno l'obbligo per lo Stato Membro di comunicare i dati dell'interessato al terzo per garantirgli l'esercizio del diritto di difesa?

Il diritto lettone non stabilisce l'obbligo di comunicazione dei dati del terzo ai fini dell'esercizio del diritto di difesa del richiedente.

L'art. 7 comma 6 della l. 23 marzo 2000 della Lettonia, volto a trasporre l'art. 7 della direttiva 95/46, dispone che il trattamento di dati personali è consentito solo se «è necessario per il perseguimento dell'interesse legittimo del responsabile del trattamento o del terzo al quale vengono comunicati i dati, fatti salvi i diritti e le libertà fondamentali dell'interessato (ponderazione)».

Il diritto europeo nell'art. 7, lett. f) della DIR. 95/46 dispone che gli Stati Membri possono ammettere il trattamento senza consenso solo quando «è necessario per il perseguimento dell'interesse legittimo del terzo (…) a condizione che non prevalgano l'interesse o i diritti e le libertà della persona interessata (ponderazione)».

La disciplina europea in questi casi non impone allo Stato Membro l'obbligo di comunicazione ma ne ammette la possibilità. Pertanto possiamo rispondere subito alla nostra questione: l'art. 7, lett. f) DIR. 95/46 sulla privacy stabilisce o meno l'obbligo per lo Stato Membro di comunicare i dati al terzo ai fini dell'esercizio del diritto di difesa? No, non stabilisce questo obbligo. Rimette al diritto nazionale di ciascuno Stato Membro la scelta e i termini della stessa a patto che tutto venga disciplinato entro i limiti legislativi consentiti agli Ordinamenti Interni.

La domanda immediatamente conseguente quindi verte su quali siano i criteri da adottare per capire quando sia opportuno concedere la possibilità di comunicazione dati al terzo. Inoltre occorre stabilire anche entro quali limiti il diritto interno possa decidere in materia evitando di entrare in conflitto con l'art. 7 lett. f) DIR. 95/46/CE.

Criteri per ammettere la comunicazione dati al terzo

I criteri si evincono dallo stesso art. 7, lett. f), DIR. 95/46/CE che ne indica tre: il criterio dell'esistenza di un interesse legittimo del terzo; il criterio della necessità del trattamento; il criterio della ponderazione tra la posizione del richiedente (diritto di difesa) e quella dell'interessato (diritto privacy). Solo quando si ravvisa l'esistenza cumulativa di tutti questi paradigmi si può ammettere la comunicazione dei dati al terzo.

• Criterio “Interesse legittimo”

L'Avvocato Generale nel paragrafo 64 delle Conclusioni sulla presente vicenda osserva giustamente che la direttiva 95/46 non specifica le fattispecie di “interesse legittimo” e che quindi occorre caso per caso «stabilire se sussista un obiettivo legittimo che possa giustificare un'ingerenza nella vita privata». Sebbene il legislatore UE abbia forgiato un concetto di “interesse legittimo” abbastanza fluido, esistono anche sentenze della Corte di Giustizia che ne costituiscono esempi pratici. Gli Euro Giudici hanno già assegnato la caratura di “interesse legittimo” all'obiettivo della trasparenza (CGUE 9 novembre 2010, Volker e Markus Schecke ed Eifert - punto 77), all'obiettivo della protezione dei beni, della salute e della vita familiare (CGUE 11 dicembre 2014, Ryneš - punto 34). Di conseguenza, evince l'Avvocato Generale, «non ho alcun dubbio che l'interesse di un terzo a ottenere le informazioni personali di una persona che ha danneggiato la sua proprietà, al fine di agire nei confronti di tale persona per ottenere il risarcimento dei danni, possa essere qualificato come interesse legittimo».

Questa tesi secondo Bobek trova ulteriore conforto nell'art. 8, par. 2, lettera e), DIR. 95/46/CE che prevede la possibilità di trattare determinati dati sensibili qualora «il trattamento riguardi dati (…) necessar[i] per costituire, esercitare o difendere un diritto per via giudiziaria». L'esercizio del diritto di difesa (interesse legittimo) per la dir. 95/46 giustifica addirittura il trattamento di dati sensibili. Dunque giustifica anche il trattamento di dati personali come nella vicenda sottesa

• Criterio “Necessità del trattamento”

Il trattamento è “necessario” in quanto i dati mancanti ostano all'esercizio dell'azione legale. Nella vicenda sottesa la comunicazione del nome e cognome dell'interessato-danneggiante non era sufficiente per poter agire giudizialmente nei suoi confronti perché a tal fine era “necessario” trattare ovvero comunicare anche l'indirizzo e/o il numero del documento di identità di tale persona.

L'Avvocato Generale nel paragrafo 76 delle Conclusioni sulla presente vicenda osserva che la direttiva 95/46 non dispone in merito alla giusta quantità di informazioni da comunicare rimettendo la questione al diritto nazionale. Il legislatore interno stante questa discrezionalità - per iperbole - potrebbe stabilire una misura parziale e insufficiente allo scopo. Tuttavia ciò non confliggerebbe con la direttiva 95/46/CE. In questa sede, conclude Bobek e viene ripreso in sentenza, basti sapere che «l'articolo 7, lettera f), della direttiva non si oppone alla piena comunicazione di tutte le informazioni necessarie per perseguire efficacemente l'obiettivo legittimo di una persona».

• Criterio “Ponderazione degli interessi contrapposti”

La ponderazione, come giustamente sostenuto dall'Avvocato Generale Bobek e ripreso in sentenza, «è la chiave per la corretta applicazione dell'articolo 7, lettera f). È tale operazione che differenzia completamente l'articolo 7, lettera f), dalle altre disposizioni del medesimo articolo». La ponderazione degli interessi contrapposti dev'essere affrontata caso per caso e non può mai essere eseguita a priori dagli Stati Membri. Si tratta di un meccanismo fondamentale adottato dalle Corti UE per addivenire alla decisione quando si fronteggiano diritti o interessi pari rango. Tale meccanismo viene governato dal principio di proporzionalità secondo cui occorre far prevalere la posizione del soggetto che subirebbe un sacrificio sproporzionato ove prevalesse la controparte. Si tratta di un principio che informa tutta la disciplina privacy attuale e anche quella del REG. UE 2016/679 attivo dal maggio 2018.

Gli Euro Giudici della sentenza in commento, in armonia col pensiero di Bobek, indicano alcuni criteri per eseguire la ponderazione. Essi suggeriscono di bilanciare la posizione del richiedente-danneggiato con il livello di violazione da arrecarsi al patrimonio informativo del danneggiante. Per esempio, la violazione compiuta dalla comunicazione al terzo-danneggiato di dati del danneggiante accessibili da fonti pubbliche sarà sicuramente minore rispetto alla violazione compiuta fornendo dati sensibili del danneggiante. Possiamo quindi osservare che la possibilità di comunicare dati dipende dal grado di delicatezza delle informazioni da rendere sul danneggiante comparato con il livello di tutela accordato dal diritto alla posizione del danneggiato.

L'art. 6 paragrafo 1 del GDPR 2016/679 sostituisce l'art. 7 della direttiva 95/46/CE.

Questa norma stabilisce l'individuazione dei fondamenti di liceità del trattamento ovvero gli elementi atti a giustificare il trattamento dei dati. Tali figure vengono denominate dal Regolamento UE “fondamenti” o “base giuridica” e si sostanziano nel consenso; nel contratto; nella legge (obbligo legale cui è sottoposto il Titolare); nell'interesse vitale dell'interessato o di un terzo; nell'interesse legittimo prevalente; nei compiti di interesse pubblico cui è tenuto il titolare.

Le Linee Guida all'applicazione del Regolamento UE del Garante Privacy pubblicate il 28 aprile 2017 osservano che si tratta degli stessi fondamenti stabiliti dal nostro Codice Privacy e dalla Dir. 95/46/CE. Pertanto, a prima vista, pare che il nuovo Regolamento privacy non importerà dei cambiamenti su queste basi giuridiche salvo il fatto che il giudizio sull'opportunità di comunicazione non sarà più competenza del giudice ma del titolare del trattamento.

Tuttavia riserva qualche novità l'approfondimento sulla base giuridica “Interesse legittimo prevalente” che corrisponde all'art. 7 lett. f) Dir. 95/46/CE e quindi al nostro caso.

Il Considerando (47) del REG. UE 2016/679 stabilisce che «l'esistenza di legittimi interessi richiede un'attenta valutazione anche in merito all'eventualità che l'interessato, al momento e nell'ambito della raccolta dei dati personali, possa ragionevolmente attendersi che abbia luogo un trattamento a tal fine».

Questo significa che cambia il tipo di valutazione da eseguire. Non solo si dovranno ponderare gli interessi contrapposti tra terzo-richiedente e interessato secondo proporzionalità ma si dovrà anche aggiungere un'ulteriore valutazione ovvero porsi il quesito se al momento della raccolta (nel nostro caso: verbale della Polizia Stradale) l'interessato avrebbe potuto ragionevolmente attendersi un ulteriore trattamento differente dall'accertamento dell'incidente.

All'esito di questa ulteriore analisi il risultato del nostro caso non cambia perché l'interessato-danneggiante può certamente attendersi che i dati del verbale verranno ulteriormente trattati per finalità risarcitorie. Tuttavia potrà darsi che in alcuni casi questo tipo di analisi più complesso potrà produrre esiti diversi da quelli ottenuti finora con la disciplina attuale.