Informativa ex art. 14 GDPR e raccolte indirette di dati personali: quali limiti?

La Corte di giustizia dell’Unione Europea, con una sentenza molto recente, risponde a tre questioni pregiudiziali sottoposte dalla Kuria, la Corte Suprema Ungherese, riguardanti il perimetro di applicazione dell’art. 14 GDPR: in quali circostanze ed entro quali limiti il Titolare del trattamento è tenuto ad adempiere all’obbligo informativo a favore dell’interessato per trattamenti di dati personali raccolti presso terzi?

L’art. 14 GDPR, in breve

L’art. 14, parr. 1 e 4 GDPR stabilisce che il Titolare del Trattamento è tenuto a fornire all’Interessato un’informativa specifica relativamente ai trattamenti che hanno ad oggetto dati personali non raccolti direttamente presso l’Interessato, anche qualora egli intenda trattare quelle medesime informazioni per finalità ulteriori e diverse a quelle precedentemente dichiarate.

La stessa norma, tuttavia, individua al par. 5 i casi in cui è possibile derogare a tale obbligo informativo:

• a. quando l’interessato dispone già delle informazioni;
• b. quando la comunicazione delle informazioni relative al trattamento è impossibile o implica uno sforzo sproporzionato, compresi i trattamenti effettuati per finalità di archiviazione nel pubblico interesse, di ricerca scientifica o storica, statistiche ex art. 89 GDPR;
• c. quando il diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento prevede l’ottenimento o la comunicazione e misure appropriate a tutela degli interessi legittimi dell’interessato;
• d. quando sussiste un obbligo di segretezza o previsto dalla legge.

Le questioni

Il giudice ungherese si è rivolto alla Corte di giustizia presentando tre questioni, aventi ad oggetto l’interpretazione formale e sostanziale della deroga di cui all’art. 14, par. 5, lett. c), GDPR.

1. Per quali dati personali sussiste la deroga all’obbligo informativo pendente sul Titolare del Trattamento?

Il Titolare del Trattamento non è tenuto a fornire l’informativa all’interessato, per la deroga di cui all’art. 14, par. 5, lett. c), GDPR, indistintamente dal tipo di dati personali: oggetto del trattamento devono essere dunque dati personali che il Titolare abbia raccolto presso soggetti diversi dall’Interessato, ovvero dati personali generati dal Titolare medesimo a partire da dati raccolti presso terzi e trattati nell’esercizio dei suoi compiti.

La Corte, infatti, ha ritenuto che tale deroga debba essere estesa a tutti i casi in cui il dato personale oggetto di trattamento non sia stato raccolto direttamente presso l’interessato, purché quest’ultimo possa effettivamente:

• avere contezza del trattamento mediante altre fonti di informazione nonché controllo sui propri dati personali;
• esercitare i diritti conferitegli dal GDPR;
• ricevere un livello di protezione dei propri interessi legittimi adeguato ed equivalente a quello che gli viene garantito in caso di consegna dell’informativa ex art. 14 GDPR.

2. L’autorità di controllo è competente a verificare, nell’ambito di un procedimento di reclamo, se il diritto dello Stato Membro prevede di misure di tutela adeguate a proteggere gli interessi legittimi dell’Interessato?

Nell’ambito di un procedimento di reclamo la competenza per la verifica riguardante la previsione di misure di tutela adeguate a tutelare gli interessi legittimi dell’Interessato, da parte del diritto dello Stato Membro, è posta in capo all’autorità di controllo nazionale.

Il GDPR, infatti, attribuisce ad ogni autorità di controllo compiti e poteri specifici, necessari affinché ciascun Garante nazionale possa sorvegliare e assicurare l’applicazione del Regolamento nel territorio dello Stato Membro di appartenenza, compreso il compito di condurre il procedimento di reclamo per il ricorso proposto dall’Interessato che abbia riscontrato una violazione dell’obbligo informativo da parte del Titolare del Trattamento.

3. La verifica condotta dall’autorità di controllo nazionale competente ha ad oggetto anche le misure di sicurezza messe in atto dal Titolare del trattamento ex art. 32 GDPR?

L’autorità di controllo nazionale non è chiamata a condurre verifiche sull’adeguatezza delle misure di tecniche ed organizzative che il Titolare mette in atto per la sicurezza del trattamento.

Infatti, tale attività non è individuabile all’interno del Regolamento, che circoscrive invece ai contenuti dell’informativa privacy il controllo per il reclamo avente ad oggetto la violazione dell’art. 14 GDPR e dell’obbligo informativo pendente sul Titolare, e non anche agli obblighi di cui all’art. 32 GDPR.

Attraverso questa pronuncia, quindi, possiamo contare su informazioni utili e preziose per la predisposizione della migliore informativa ex art. 14 GDPR.