Persona, diritti personalità - Riservatezza, privacy -  Redazione P&D - 21/12/2019

C.d.G., Sez. III, 11/12/2019 n. C-708/18 – Tutela della riservatezza dei dati personali in materia di videosorveglianza - Gabriele Gentilini

Il caso ha avuto  oggetto “la domanda di pronuncia pregiudiziale proposta alla Corte, ai sensi dell’articolo 267 TFUE, dal Tribunalul Bucureşti (Tribunale superiore di Bucarest, Romania), con decisione del 2 ottobre 2018, pervenuta in cancelleria il 6 novembre 2018”.
Come si legge nell’atto giurisdizionale allegato, si è trattato di una  “controversia che oppone TK all’Asociaţia de Proprietari bloc M5AScaraA (associazione dei comproprietari dell’immobile M5Ascala A, Romania; in prosieguo: l’«associazione dei comproprietari»), in merito alla domanda di TK di ingiungere a detta associazione di mettere fuori servizio il sistema di videosorveglianza dell’immobile in questione e di rimuovere le telecamere installate in alcune parti comuni di quest’ultimo.”
Viene ricordato il contesto normativo in cui il caso viene analizzato:
“ La direttiva 95/46 è stata abrogata e sostituita, con effetto dal 25 maggio 2018, dal regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU 2016, L 119, pag. 1).
Tuttavia, tenuto conto della data dei fatti pertinenti nella controversia di cui al procedimento principale, quest’ultima resta disciplinata dalle disposizioni della prima direttiva sopra citata.
4 Ai sensi del suo articolo 1, la direttiva 95/46 aveva ad oggetto la tutela dei diritti e delle libertà fondamentali delle persone fisiche, e segnatamente del diritto alla vita privata, con riguardo al trattamento dei dati personali, nonché l’eliminazione degli ostacoli alla libera circolazione di tali dati.
5 L’articolo 3 di detta direttiva prevedeva, al paragrafo 1, quanto segue:
«Le disposizioni della presente direttiva si applicano al trattamento di dati personali interamente o parzialmente automatizzato nonché al trattamento non automatizzato di dati personali contenuti o destinati a figurare [in un archivio]».
6 Il capo II della citata direttiva conteneva una sezione I, intitolata «Principi relativi alla qualità dei dati», composta dall’articolo 6 della direttiva stessa, il quale così disponeva:
 «1.Gli Stati membri dispongono che i dati personali devono essere:
a) trattati lealmente e lecitamente;
b) rilevati per finalità determinate, esplicite e legittime, e successivamente trattati in modo non incompatibile con tali finalità. Il trattamento successivo dei dati per scopi storici, statistici o scientifici non è ritenuto incompatibile, purché gli Stati membri forniscano garanzie appropriate;
c) adeguati, pertinenti e non eccedenti rispetto alle finalità per le quali vengono rilevati e/o per le quali vengono successivamente trattati;
d) esatti e, se necessario, aggiornati; devono essere prese tutte le misure ragionevoli per cancellare o rettificare i dati inesatti o incompleti rispetto alle finalità per le quali sono rilevati o sono successivamente trattati, cancellati o rettificati;
e) conservati in modo da consentire l’identificazione delle persone interessate per un arco di tempo non superiore a quello necessario al conseguimento delle finalità per le quali sono rilevati o sono successivamente trattati. Gli Stati membri prevedono garanzie adeguate per i dati personali conservati oltre il suddetto arco di tempo per motivi storici, statistici o scientifici.
  2.Il responsabile del trattamento è tenuto a garantire il rispetto delle disposizioni del paragrafo 1».
7 Nell’ambito della sezione II del medesimo capo II, intitolata «Principi relativi alla legittimazione del trattamento dei dati», l’articolo 7 della direttiva 95/46 stabiliva quanto segue:
«Gli Stati membri dispongono che il trattamento di dati personali può essere effettuato soltanto quando:
a) la persona interessata ha manifestato il proprio consenso in maniera inequivocabile, oppure
b) è necessario all’esecuzione [di un] contratto concluso [dalla] persona interessata o all’esecuzione di misure precontrattuali prese su richiesta di tale persona, oppure
c) è necessario per adempiere un obbligo legale al quale è soggetto il responsabile del trattamento, oppure
d) è necessario per la salvaguardia dell’interesse vitale della persona interessata, oppure
e) è necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il responsabile del trattamento o il terzo a cui vengono comunicati i dati, oppure
f)  è necessario per [la realizzazione del legittimo interesse perseguito dal] responsabile del trattamento oppure [dal] o [dai] terzi cui vengono comunicati i dati, a condizione che non prevalgano l’interesse o i diritti e le libertà fondamentali della persona interessata, che richiedono tutela ai sensi dell’articolo 1, paragrafo 1». “

Viene poi all’analisi del diritto rumeno il quale ha stabilito che la materia:
“… relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati
personali, nonché alla libera circolazione di tali dati) (Monitorul Oficial, parte I, n. 790, del 12 dicembre 2001), come modificata dalla legge n. 102/2005 e dal decreto d’urgenza del governo n. 36/2007, applicabile ratione temporis alla controversia di cui al procedimento principale, è stata adottata al fine di trasporre nell’ordinamento rumeno la direttiva 95/46.
9 L’articolo 5 di tale legge stabiliva:
«1. Qualsiasi trattamento di dati personali, salvo se riguardi dati rientranti nelle categorie menzionate all’articolo 7, paragrafo 1, e agli articoli 8 e 10, può essere effettuato unicamente se la persona interessata ha espressamente e inequivocabilmente manifestato il proprio consenso a tale trattamento.
2. Il consenso della persona interessata non è richiesto nei seguenti casi:
a) quando il trattamento è necessario per l’esecuzione di un contratto o di un contratto preliminare del quale la persona interessata è parte contraente, ovvero per l’adozione di misure, su richiesta di tale persona, prima della conclusione di un contratto o di un contratto preliminare;
b) qualora il trattamento sia necessario per la tutela della vita, dell’integrità fisica o della salute della persona interessata o di un’altra persona minacciata;
c) qualora il trattamento sia necessario per il rispetto di un obbligo legale imposto al responsabile del trattamento;
d) qualora il trattamento sia necessario per l’esecuzione di un compito di interesse pubblico o mirante all’esercizio dei pubblici poteri di cui è investito il responsabile del trattamento o il terzo al quale i dati vengono divulgati;
e) qualora il trattamento sia necessario per la realizzazione di un legittimo interesse del responsabile del trattamento o del terzo al quale i dati vengono divulgati, a condizione che tale interesse non pregiudichi l’interesse della persona riguardata o i diritti e le libertà fondamentali di quest’ultima;
f) qualora il trattamento riguardi dati relativi a documenti accessibili al pubblico, in conformità della legge;
g) qualora il trattamento venga effettuato esclusivamente per finalità statistiche, di ricerca storica o scientifica, e i dati restino anonimi per tutta la durata del trattamento.
3. Le disposizioni del paragrafo 2 lasciano impregiudicate le disposizioni di legge disciplinanti l’obbligo delle autorità pubbliche di rispettare e di tutelare la vita intima, familiare e privata».
10 La decisione n. 52/2012 dell’Autoritate Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (Autorità nazionale di vigilanza sul trattamento dei dati personali, Romania; in prosieguo: l’«ANSPDCP») concernente il trattamento dei dati personali mediante il ricorso a sistemi di videosorveglianza, nella versione applicabile alla controversia di cui al procedimento principale, prevedeva, all’articolo 1, quanto segue:
«La raccolta, la registrazione, lo stoccaggio, l’utilizzazione, la trasmissione, la divulgazione o qualsiasi altra operazione di trattamento delle immagini mediante sistemi di videosorveglianza, i quali permettano in modo diretto o indiretto di identificare delle persone fisiche, costituiscono operazioni di trattamento di dati personali che rientrano nell’ambito di applicazione della [legge n. 677/2001]».
11 L’articolo 4 di detta decisione disponeva quanto segue:     
«La videosorveglianza può prevalentemente essere effettuata per le seguenti finalità:
a) la prevenzione degli illeciti e la lotta contro questi ultimi;
b) la vigilanza sulla circolazione stradale e l’accertamento delle infrazioni alle norme sul traffico stradale;
c) la sicurezza e la protezione delle persone, dei beni e delle attività, degli immobili e degli impianti di pubblica utilità, nonché delle relative aree;
d) la realizzazione di misure di interesse pubblico ovvero l’esercizio di prerogative attinenti ai pubblici poteri;
e) la realizzazione di legittimi interessi, a condizione di non pregiudicare i diritti e le libertà fondamentali delle persone interessate».
12 L’articolo 5, paragrafi da 1 a 3, della decisione suddetta recitava:     
«1. La videosorveglianza può essere effettuata nei luoghi e negli spazi aperti o destinati al pubblico, ivi comprese le vie pubbliche di accesso situate su terreni pubblici o privati, alle condizioni previste dalla legge.
2. Le telecamere di sorveglianza sono installate in maniera visibile.
3. L’utilizzazione di sistemi di videosorveglianza dissimulati è vietata, tranne che nei casi previsti dalla legge».
13 L’articolo 6 della medesima decisione enunciava quanto segue:     
«Il trattamento dei dati personali mediante sistemi di videosorveglianza viene effettuato con il consenso espresso e inequivocabile della persona interessata ovvero nei casi contemplati dall’articolo 5, paragrafo 2, della legge n. 677/2001[...]».

Tra le questioni si legge nel provvedimento che
“ Il giudice del rinvio rileva che l’articolo 5 della legge n. 677/2001 prevede, in via generale, che un trattamento di dati personali, come la registrazione di immagini mediante un sistema di videosorveglianza, può essere effettuato soltanto se la persona interessata ha dato esplicitamente e inequivocabilmente il proprio consenso. Il paragrafo 2 del medesimo articolo enuncerebbe però una serie di eccezioni a tale regola, tra le quali figura quella relativa al caso in cui il trattamento di dati personali sia necessario per la tutela della vita, dell’integrità fisica o della salute della persona interessata o di un’altra persona minacciata. La decisione n. 52/2012 dell’ANSPDCP prevedrebbe un’eccezione della stessa natura.”
“fa poi riferimento, in particolare, all’articolo 52, paragrafo 1, della Carta, il quale
sancisce il principio secondo cui deve esistere un rapporto di proporzionalità tra
l’obiettivo perseguito mediante l’ingerenza nei diritti e nelle libertà dei cittadini e i mezzi
utilizzati.
Orbene, secondo detto giudice, il sistema di videosorveglianza in discussione dinanzi ad
esso non sembra essere stato utilizzato con modalità o per uno scopo che non corrispondesse all’obiettivo dichiarato dall’associazione dei comproprietari, ossia quello di tutelare la vita, l’integrità fisica e la salute delle persone interessate, vale a dire i comproprietari dell’immobile nel quale detto sistema è stato installato. “

“… il giudice del rinvio chiede, in sostanza, se l’articolo 6, paragrafo 1, lettera c), e l’articolo 7, lettera f), della direttiva 95/46, letti alla luce degli articoli 7 e 8 della Carta, debbano essere interpretati nel senso che essi ostano a disposizioni nazionali, le quali autorizzino la messa in opera di un sistema di videosorveglianza, come il sistema controverso nel procedimento principale, installato nelle parti comuni di un immobile ad uso abitativo, al fine di perseguire legittimi interessi consistenti nell’assicurare la sicurezza e la tutela delle persone e dei beni, senza il consenso delle persone interessate.”

Successivamente e nei punti da 34 a 37 della sentenza il giudice ricorda che:
“ 34 Occorre ricordare che una sorveglianza effettuata mediante una registrazione video delle persone, stoccata in un dispositivo di registrazione continua, vale a dire un disco rigido, costituisce, a norma dell’articolo 3, paragrafo 1, della direttiva 95/46, un trattamento di dati personali automatizzato (sentenza dell’11 dicembre 2014, Ryneš, C212/13, EU:C:2014:2428, punto 25).
35  Pertanto, un sistema di videosorveglianza mediante telecamere deve essere qualificato come trattamento di dati personali automatizzato, ai sensi della disposizione sopra citata, qualora il dispositivo installato permetta di registrare e di stoccare dati personali, come delle immagini che consentano di identificare delle persone fisiche. Incombe al giudice del rinvio verificare se il sistema controverso nel procedimento principale presenti caratteristiche siffatte.
36  Inoltre, qualsiasi trattamento di dati personali deve, da un lato, essere conforme ai principi relativi alla qualità dei dati, enunciati all’articolo 6 della direttiva 95/46, e, dall’altro, rispondere ad uno dei principi relativi alla legittimazione dei trattamenti di dati, elencati all’articolo 7 della medesima direttiva (sentenza del 13 maggio 2014, Google Spain e Google, C131/12, EU:C:2014:317, punto 71 nonché la giurisprudenza ivi citata).
37 L’articolo 7 della direttiva 95/46 stabilisce un elenco esaustivo e tassativo dei casi nei quali un trattamento di dati personali può essere considerato lecito. Gli Stati membri non possono né aggiungere all’articolo suddetto nuovi principi relativi alla legittimazione dei trattamenti di dati personali, né prevedere requisiti supplementari che vengano a modificare la portata di uno dei sei principi previsti da tale articolo. “


La sentenza alla fine dichiara che
“L’articolo 6, paragrafo 1, lettera c), e l’articolo 7, lettera f), della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, letti alla luce degli articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione europea, devono essere interpretati nel senso che essi non ostano a disposizioni nazionali, le quali autorizzino la messa in opera di un sistema di videosorveglianza, come il sistema controverso nel procedimento principale installato nelle parti comuni di un immobile ad uso abitativo, al fine di perseguire legittimi interessi consistenti nel garantire la sicurezza e la tutela delle persone e dei beni, senza il consenso delle persone interessate, qualora il trattamento di dati personali effettuato mediante il sistema di videosorveglianza in parola soddisfi le condizioni enunciate nel succitato articolo 7, lettera f), aspetto questo la cui verifica incombe al giudice del rinvio.”