Consulenza Cinieri
Soluzioni integrate per la tua Azienda

Effetti della pseudonimizzazione – 2 La giustizia Ue sull’utilizzo dei dati

Attesi i significativi impatti e responsabilità delineati dal General data protection regulation (il Gdpr – Regolamento Ue 2016/679), appare rilevante verificare preliminarmente se i dati da trattare siano o meno personali. Sul tema si è recentemente espressa la Corte di giustizia Ue con la sentenza del 23 aprile 2023, causa T-557/20, con riferimento a una violazione del regolamento Ue 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, che ha abrogato il regolamento Ce n. 45/2001 e la decisione n. 1247/2002/Ce, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati.
Tale sentenza, seppur con un ambito di applicazione diverso, appare fornire una indicazione valida anche con riferimento alla disciplina contenuta nel Gdpr.
Infatti, la definizione contenuta all’articolo 3 del Regolamento del 2018 è identica a quella prevista all’articolo 3 del Gdpr.

Nella tabella, le due definizioni
 

Inoltre, va rilevato che il considerando 5 del Regolamento 2018 dispone che “è nell’interesse di un approccio coerente alla protezione dei dati in tutta l’Unione e della libera circolazione dei dati personali all’interno dell’Unione allineare per quanto possibile le norme sulla protezione dei dati per le istituzioni, gli organi e gli organismi dell’Unione a quelle adottate per il settore pubblico degli Stati membri” chiarendo che «quando le disposizioni del presente regolamento seguono gli stessi principi delle disposizioni del regolamento (UE) 2016/679, conformemente alla giurisprudenza della Corte di giustizia dell’Unione europea («Corte di giustizia») le disposizioni dei due regolamenti dovrebbero essere interpretate in modo omogeneo, in particolare in considerazione del fatto che il regime del presente regolamento dovrebbe essere inteso come equivalente a quello del regolamento (UE) 2016/679”.

D’altronde, diversamente avrebbe trovato applicazione l’articolo 98 del medesimo Gdpr, che così dispone: “se del caso, la Commissione presenta proposte legislative di modifica di altri atti legislativi dell’Unione in materia di protezione dei dati personali, allo scopo di garantire una protezione uniforme e coerente delle persone fisiche con riguardo al trattamento. Ciò riguarda in particolare le norme relative alla protezione delle persone fisiche con riguardo al trattamento da parte di istituzioni, organi, uffici e agenzie dell’Unione e le norme sulla libera circolazione di tali dati”.
Quindi, anche se la sentenza in commento è relativa all’applicazione del Regolamento relativo al trattamento di dati personali da parte delle istituzioni comunitarie (il 1725 del 2018), è plausibile che le considerazioni ivi indicate restino valide anche con riferimento alle analoghe disposizioni presenti nel testo del Gdpr.

I fatti interessati dal procedimento contenzioso riguardano alcuni azionisti e creditori, che avendo risposto a un modulo loro inviato dal Comitato di risoluzione unico (Cru), avevano interessato il Garante europeo della protezione dei dati (Gepd) ai sensi del regolamento Ue 2018/1725, adducendo che il Cru non li aveva informati che i dati raccolti mediante le risposte al modulo sarebbero stati trasmessi a soggetti terzi.

Al riguardo il Cru sosteneva che le informazioni trasmesse a terzi non costituivano dati personali ai sensi dell’articolo 3, punto 1, del regolamento 2018 mentre il Gepd riteneva che i dati che il Cru aveva condiviso fossero dati pseudonimizzati.

Nel merito si osserva che il giudice comunitario, con la sentenza del 23 aprile in argomento, ha preliminarmente ricordato che “secondo la giurisprudenza, l’uso dell’espressione «qualsiasi informazione» nell’ambito della definizione della nozione di «dati personali», di cui all’articolo 3, punto 1, del regolamento 2018/1725 riflette l’obiettivo del legislatore dell’Unione di attribuire un’accezione estesa a tale nozione, che non è limitata alle informazioni sensibili o di ordine privato, ma comprende potenzialmente ogni tipo di informazioni, tanto oggettive quanto soggettive, sotto forma di pareri o di valutazioni, a condizione che esse siano «concernenti» la persona interessata (v., per analogia, sentenza del 20 dicembre 2017, Nowak, C‑434/16, EU:C:2017:994, punto 34)”.
Con riferimento a tale ultima condizione, la Corte ha chiarito che risultava “soddisfatta qualora, in ragione del suo contenuto, della sua finalità o del suo effetto, l’informazione era connessa a una determinata persona (sentenza del 20 dicembre 2017, Nowak, C‑434/16, EU:C:2017:994, punto 35)”.