Roberto Rossi
La sentenza della Corte di Giustizia dell’Unione Europea del 4 settembre 2025, resa nella causa C-413/23 P, Garante europeo della protezione dei dati (GEPD) c. Comitato di risoluzione unico (SRB), è un importante punto di riferimento nell’evoluzione della giurisprudenza europea in materia di protezione dei dati personali, con particolare riguardo ai concetti di pseudonimizzazione e agli obblighi informativi dei titolari del trattamento.
La controversia origina dal procedimento di indennizzo degli azionisti e creditori del Banco Popular Español, sottoposto a risoluzione nel 2017. Il SRB aveva raccolto osservazioni dagli interessati attraverso un procedimento strutturato in due fasi e successivamente trasmesso alcune di queste osservazioni pseudonimizzate alla società Deloitte per la valutazione. La questione centrale verteva sulla natura di “dati personali” di tali osservazioni e sull’obbligo del SRB di informare preventivamente i soggetti interessati circa la possibile trasmissione a terzi.
La nozione di dato personale e il criterio del “concernere” una persona fisica
La Corte ha affrontato una questione fondamentale relativa all’interpretazione dell’articolo 3, punto 1, del regolamento 2018/1725, che definisce i dati personali come “qualsiasi informazione concernente una persona fisica identificata o identificabile”. Il Tribunale di primo grado aveva erroneamente ritenuto che il GEPD dovesse esaminare non solo il contenuto delle osservazioni, ma anche la loro finalità ed effetto per stabilire se esse “concernessero” una persona fisica.
La Corte ha chiarito che quando si tratta di opinioni o punti di vista personali, questi sono “necessariamente strettamente connessi” alla persona che li esprime, in quanto rappresentano “espressione del pensiero di una persona“. Questa interpretazione si basa sulla natura intrinseca delle opinioni personali, che per loro stessa definizione riguardano chi le formula. La decisione richiama la giurisprudenza consolidata della sentenza Nowak, dove la Corte aveva già stabilito che le correzioni di un esaminatore su un elaborato costituivano dati personali sia del candidato che dell’esaminatore stesso.
La precisazione riveste particolare importanza pratica, poiché stabilisce che non è necessario un esame approfondito del contenuto, finalità ed effetto di ogni singola informazione quando essa si configura chiaramente come espressione del pensiero di una persona identificabile.
La pseudonimizzazione e l’identificabilità dell’interessato
Un aspetto particolarmente innovativo della sentenza riguarda l’interpretazione della pseudonimizzazione nel contesto della protezione dei dati. La Corte ha chiarito che la pseudonimizzazione non costituisce un elemento della definizione di “dati personali”, ma rappresenta piuttosto l’implementazione di misure tecniche e organizzative volte a ridurre il rischio di correlazione tra i dati e l’identità degli interessati.
La decisione stabilisce che dati pseudonimizzati non devono essere considerati automaticamente come dati personali per qualsiasi soggetto e in qualsiasi circostanza. L’esistenza di informazioni aggiuntive che consentono l’identificazione non implica di per sé che tali dati mantengano sempre carattere personale. La valutazione deve essere condotta caso per caso, considerando concretamente se, nonostante la pseudonimizzazione, la persona alla quale si riferiscono i dati sia effettivamente identificabile dal soggetto che li tratta.
Nel caso specifico, mentre per il SRB (che disponeva delle chiavi di decodifica) le osservazioni mantenevano carattere personale, per Deloitte la situazione era diversa. Le misure tecniche e organizzative implementate potevano effettivamente impedire a Deloitte di identificare gli interessati, rendendo i dati non personali dal suo punto di vista, purché tali misure fossero realmente efficaci.
L’obbligo di informazione e la prospettiva temporale
La parte più significativa della decisione riguarda l’interpretazione dell’obbligo di informazione previsto dall’articolo 15, paragrafo 1, lettera d), del regolamento 2018/1725. La Corte ha stabilito un principio fondamentale: l’identificabilità dell’interessato ai fini dell’obbligo informativo deve essere valutata al momento della raccolta dei dati e dal punto di vista del titolare del trattamento, non del destinatario finale.
Questa interpretazione si basa sulla ratio della norma, che mira a consentire all’interessato di prestare un consenso informato al momento della raccolta dei dati. L’obbligo informativo si inserisce nel rapporto giuridico tra interessato e titolare del trattamento e ha lo scopo di garantire che i dati non vengano raccolti o trasferiti contro la volontà dell’interessato.
Il Tribunale aveva erroneamente ritenuto che fosse necessario valutare se le osservazioni costituissero dati personali dal punto di vista di Deloitte. La Corte ha chiarito che questo approccio avrebbe comportato un rinvio temporale del controllo del rispetto dell’obbligo informativo, compromettendo la finalità protettiva della norma.
Le implicazioni pratiche per titolari del trattamento dei dati personali e autorità di controllo
La sentenza fornisce indicazioni chiare per i titolari del trattamento che operano nell’ambito della risoluzione bancaria e, più in generale, in contesti dove vengono raccolte osservazioni o opinioni da soggetti interessati. L’obbligo di informare sui potenziali destinatari dei dati deve essere assolto al momento della raccolta, indipendentemente dalle successive misure di pseudonimizzazione.
Per le autorità di controllo, la decisione stabilisce che la valutazione della violazione degli obblighi informativi deve concentrarsi sulla fase di raccolta dei dati, senza necessità di analizzare la capacità identificativa dei destinatari finali, cosa che semplifica le procedure di accertamento e rende più prevedibile l’applicazione delle norme.
La sentenza ha anche implicazioni per la progettazione di sistemi di raccolta dati in ambito finanziario. I soggetti che implementano procedure di consultazione pubblica o raccolta di osservazioni devono prestare particolare attenzione alla completezza delle informazioni fornite ab initio, non potendo fare affidamento su successive misure di anonimizzazione o pseudonimizzazione per sanare eventuali carenze informative iniziali.
Le conclusioni della Corte sui dati personali
La decisione della Corte contribuisce significativamente alla chiarificazione del quadro normativo europeo in materia di protezione dei dati, particolare modo per quanto riguarda il delicato equilibrio tra esigenze di trasparenza e misure di protezione tecnica dei dati. La sentenza conferma l’approccio rigoroso dell’ordinamento europeo agli obblighi informativi, ribadendo che le tecniche di pseudonimizzazione, pur rappresentando misure di sicurezza importanti, non possono supplire a carenze nella fase iniziale di informazione degli interessati.
L’orientamento espresso dalla Corte appare coerente con l’obiettivo di garantire un elevato livello di protezione dei dati personali, privilegiando la trasparenza preventiva rispetto a misure di protezione successive. Questo approccio rafforza la posizione degli interessati nel rapporto con i titolari del trattamento e conferma l’importanza di una progettazione privacy-oriented sin dalle fasi iniziali del trattamento.
La decisione avrà probabilmente influenza anche su settori diversi da quello bancario, ogni volta che si presentino situazioni analoghe di raccolta di opinioni o osservazioni personali con successiva trasmissione a terzi. Il principio stabilito dalla Corte potrà costituire un importante punto di riferimento per l’interpretazione uniforme delle disposizioni europee in materia di protezione dei dati personali.
