La Corte di Giustizia dell’Unione Europea (“CGUE”), nella causa C-184/20, ha fornito importanti chiarimenti in merito al concetto di categorie particolari di dati personali ai sensi del GDPR, avallando un’interpretazione di ampio respiro.
Secondo la CGUE costituisce un trattamento di categorie particolari di dati personali la pubblicazione, su un sito Internet, di dati personali idonei a divulgare indirettamente l’orientamento sessuale di una persona fisica, quali i nominativi relativi al coniuge, al convivente o al proprio partner.
- La vicenda che ha dato vita alla decisione
La vicenda trae origine da una controversia sorta tra una persona fisica che ricopriva il ruolo di direttore di un ente pubblico lituano e la Commissione Superiore per la Prevenzione dei Conflitti di Interessi nel Servizio pubblico della Lituania. In particolare, la summenzionata controversia scaturisce da una decisione della Commissione Superiore che constata l’inadempimento da parte dell’Interessato del suo obbligo di presentare una c.d. “dichiarazione di interessi privati”.
La legge lituana, infatti, dispone che “Chiunque lavori nel servizio pubblico, e chiunque si candidi a ricoprire incarichi nel servizio pubblico, è tenuto a dichiarare i propri interessi privati presentando una dichiarazione di interessi privati”. Tale dichiarazione, oltre a contenere informazioni inerenti il medesimo dichiarante, doveva presentare anche i dati relativi al coniuge, convivente o partner. Sempre secondo la legge lituana, tutte le informazioni contenute nella dichiarazione sono pubbliche e vengono pubblicate sul sito Internet della Commissione Superiore.
L’Interessato, nel caso di specie, non aveva però presentato la dichiarazione e tale omissione era stata accertata dalla Commissione Superiore: successivamente, l’Interessato aveva proposto dinanzi al giudice del rinvio un ricorso di annullamento avverso tale decisione, sostenendo che la pubblicazione di tale dichiarazione lederebbe sia il suo diritto al rispetto della vita privata sia quello delle altre persone che egli sarebbe eventualmente tenuto a menzionare nella sua dichiarazione.
A tal punto, il Vilniaus apygardos administracinis teismas (Tribunale amministrativo regionale di Vilnius) ha deciso di sospendere il procedimento, mettendo in dubbio la compatibilità del regime previsto dalla legge lituana con gli articoli 6, paragrafo 1, primo comma, lettere c) ed e), e paragrafo 3, nonché con l’articolo 9, paragrafo 1, del Regolamento UE 679/2016, che disciplinano le condizioni di liceità del trattamento e le categorie particolari di dati personali.
- La pronuncia della CGUE sulla definizione di categorie particolari di dati personali ai sensi del GDPR
Benchè il caso di specie tocchi altri temi quali la normativa lituana sul conflitto di interessi, è importante approfondire, per i nostri fini, come la CGUE abbia valutato se la pubblicazione del nome di un coniuge o di un partner costituisse un trattamento di dati “sensibili”, in quanto suscettibile di rivelare l’orientamento sessuale dell’Interessato. In buona sostanza, la CGUE ha deciso di sì e, implicitamente, ammesso che la stessa regola si applichi alle inferenze connesse ad altri tipi di dati appartenenti alle categorie particolari.
Infatti, nel caso di specie, sebbene i dati personali quali nome del coniuge o partner non appartengano di per sè a categorie particolari di dati, il giudice del rinvio ritiene che sia possibile dedurre, sulla base degli stessi, talune informazioni sulla vita o sull’orientamento sessuale del dichiarante e del coniuge, convivente o partner, espandendo quindi il concetto di categorie particolari di dati personali.
Inoltre, secondo la CGUE, un’interpretazione di ampio respiro delle nozioni di “categorie particolari di dati personali” è suffragata dall’obiettivo del GDPR, in quanto lo stesso ambisce a garantire un elevato grado di tutela dei diritti e delle libertà fondamentali delle persone fisiche, in particolare della loro vita privata, con riguardo al trattamento dei dati personali che li riguardano.
Di conseguenza, dalla decisione resa dalla CGUE nella causa C-184/20, possiamo enucleare i seguenti principi:
- le disposizioni del GDPR non possono essere interpretate in un senso che sottragga il trattamento di dati personali idonei a rivelare, indirettamente, informazioni sensibili riguardanti una persona fisica dal regime di protezione rafforzato previsto per le categorie particolari di dati personali; e
- la pubblicazione, sul sito Internet dell’autorità pubblica incaricata di raccogliere le dichiarazioni di interessi privati e di controllarne il contenuto, di dati personali idonei a divulgare indirettamente l’orientamento sessuale di una persona fisica costituisce un trattamento di categorie particolari di dati personali a tutti gli effetti.
Ciò comporta quindi un’espansione notevole del concetto di categorie particolari di dati personali e crea incertezze interpretative circa (i) cosa costituisca effettivamente “un’operazione intellettuale che implica un confronto o una deduzione”, i quali non conducono necessariamente alla verità o al fatto, e (ii) quali dati “non particolari” sono suscettibili di rivelare indirettamente dati personali appartenenti a categorie particolari.
Sul tema delle categorie particolari di dati personali, potrebbe interessarvi “La Commissione europea presenta la proposta di Regolamento sullo spazio europeo dei dati sanitari”.
Autore: Giorgia Carneri
