La Corte di Giustizia dell’UE ha finalmente sciolto un nodo interpretativo che si riferisce all’articolo 4 del GDPR: anche una figura priva di personalità giuridica può diventare titolare del trattamento dei dati personali. Vediamo nell’articolo il caso e la sentenza.
La disputa che ha portato alla sentenza
Il 27 febbraio 2025, la Corte di Giustizia dell’Unione Europea (CGUE) ha preso una decisione fondamentale riguardante la qualifica di titolare del trattamento dei dati personali. La sentenza ha avuto origine da una controversia tra l’Ufficio del governo del Land Tirolo e l’Autorità per la protezione dei dati austriaca.
Il contesto di questa controversia riguardava un trattamento di dati personali avvenuto durante la pandemia di COVID-19. L’Ufficio del governo del Land Tirolo aveva incaricato due imprese private di inviare lettere di promemoria sulla vaccinazione anti-Covid a tutti i residenti maggiorenni non ancora vaccinati. Per fare ciò, venivano incrociati i dati contenuti nell’anagrafe centrale vaccini e nel registro dei pazienti. Uno degli interessati, tuttavia, nel 2021 aveva presentato reclamo per trattamento illecito dei suoi dati personali.
Il nodo centrale della controversia riguardava il fatto che l’Ufficio non era una persona giuridica o un’autorità specificamente designata per il trattamento dei dati. Si trattava, piuttosto, di un mero “servizio”. Di conseguenza, la questione venne rimessa alla CGUE, che avrebbe dovuto risolvere la disputa interpretando il concetto di “titolare del trattamento” nel contesto di un ente privo di personalità giuridica.
Per approfondire > Articolo 28 GDPR: il responsabile e i sub responsabili del trattamento
La sentenza della Corte di Giustizia: un’interpretazione innovativa
La Corte di Giustizia dell’UE, chiamata a risolvere la questione, ha fornito un’interpretazione significativa del concetto di “titolare del trattamento” nel contesto del GDPR. La Corte ha chiarito che, secondo l’articolo 4, punto 7, del GDPR, il titolare del trattamento può essere una persona fisica o giuridica, una pubblica autorità, un servizio o un altro organismo che, da solo o insieme ad altri, determina le finalità e i mezzi del trattamento dei dati personali.
Nel caso in esame, la CGUE ha precisato che l’Ufficio del governo tirolese, pur non essendo una persona giuridica, non poteva essere considerato titolare del trattamento, in quanto non aveva effettivamente determinato né le finalità né i mezzi del trattamento. Questi, infatti, erano stati stabiliti dal governatore, che aveva approvato l’invio delle lettere di promemoria.
Il principio di diritto stabilito dalla Corte di Giustizia in merito al titolare del trattamento
La Corte ha affermato che la qualifica di “titolare del trattamento” non dipende dalla personalità giuridica di un ente. Piuttosto, dipende dalla sua effettiva responsabilità nel determinare le finalità e i mezzi del trattamento dei dati. In altre parole, una persona o entità può essere titolare del trattamento anche se priva di personalità giuridica. A condizione che, direttamente o indirettamente, determini come e perché i dati vengono trattati.
In questo caso, la CGUE ha ribadito che, sebbene l’Ufficio non avesse la qualità di titolare del trattamento, non si può escludere che un’entità senza personalità giuridica possa, in altre circostanze, essere qualificata come titolare del trattamento, purché incaricata di determinare le finalità e i mezzi del trattamento.
La Corte di Giustizia ha inoltre sottolineato che la determinazione delle finalità e dei mezzi del trattamento può derivare non solo da una designazione esplicita, ma anche da una serie di implicazioni derivanti dal ruolo e dalle attribuzioni dell’entità o della persona in questione. Per esempio, la funzione e le responsabilità di un ente possono portare implicitamente alla qualifica di titolare del trattamento se è evidente che tale ente esercita un controllo sostanziale su come i dati vengono gestiti.
La vicenda chiarisce qual è il ruolo del Titolare del Trattamento secondo la Corte di Giustizia
La sentenza evidenzia che non è necessario che un ente abbia personalità giuridica o una designazione formale come titolare del trattamento. Ciò che conta davvero è che l’entità o la persona determini, da sola o insieme ad altri, gli scopi e i modi in cui i dati vengono trattati. In pratica, il titolare del trattamento è responsabile per il trattamento dei dati, non tanto per la sua struttura legale, ma per il suo effettivo potere di decidere come e perché trattare i dati personali.
Questa decisione della Corte di ci insegna che per capire chi è il titolare del trattamento bisogna guardare a ciò che l’entità effettivamente fa. Nello specifico, quali decisioni prende riguardo al trattamento dei dati. L’obiettivo principale del GDPR è proteggere i diritti e la privacy delle persone, e la Corte ha confermato che questo principio deve essere sempre al centro delle decisioni sul trattamento dei dati.
La sentenza è disponibile qui.
Cerchi piattaforme per adempiere a 360° al GDPR ed evitare sanzioni? Vedi qui!
Oppure ti serve formazione? O un consulente privacy? Abbiamo quel che cerchi!
