CORTE DI GIUSTIZIA DELLE COMUNITAĠ EUROPEE

SENTENZA DELLA CORTE (Terza Sezione)

7 maggio 2009 (*)

ÇTutela delle persone fisiche con riguardo al trattamento dei dati personali – Direttiva 95/46/CE – Tutela della vita privata – Cancellazione dei dati – Diritto di accesso ai dati ed alle informazioni sui destinatari dei dati – Termine per lĠesercizio del diritto di accessoÈ

 

Nel procedimento C-553/07,

avente ad oggetto la domanda di pronuncia pregiudiziale proposta alla Corte, ai sensi dellĠart. 234 CE, dal Raad van State (Paesi Bassi) con decisione 5 dicembre 2007, pervenuta in cancelleria il 12 dicembre 2007, nella causa

College van burgemeester en wethouders van Rotterdam

contro

M. E. E. Rijkeboer,

LA CORTE (Terza Sezione),

composta dal sig. A. Rosas, presidente di sezione, dai sigg. A. î Caoimh, J. Klučka, U. L›hmus e dalla sig.ra P. Lindh (relatore), giudici,

avvocato generale: sig. D. Ruiz-Jarabo Colomer

cancelliere: sig.ra M. Ferreira, amministratore principale

vista la fase scritta del procedimento e in seguito allĠudienza del 20 novembre 2008,

considerate le osservazioni presentate:

– per il College van burgemeester en wethouders van Rotterdam, dallĠavv. R. de Bree, advocaat;

– per il sig. M. E. E. Rijkeboer, dal sig. W. van Bentem, juridisch adviseur;

– per il governo dei Paesi Bassi, dalle sig.re C. M. Wissels e C. ten Dam, in qualitˆ di agenti;

– per il governo ceco, dal sig. M. Smolek, in qualitˆ di agente;

– per il governo ellenico, dalle sig.re E.-M. Mamouna e V. Karra, in qualitˆ di agenti;

– per il governo spagnolo, dal sig. M. Mu–oz PŽrez, in qualitˆ di agente;

– per il governo del Regno Unito, dalle sig.re Z. Bryanston-Cross e H. Walker, in qualitˆ di agenti, assistite dal sig. J. Stratford, barrister;

– per la Commissione delle Comunitˆ europee, dai sigg. R. Troosters e C. Docksey, in qualitˆ di agenti,

sentite le conclusioni dellĠavvocato generale, presentate allĠudienza del 22 dicembre 2008,

ha pronunciato la seguente

Sentenza

1 La domanda di pronuncia pregiudiziale verte sullĠinterpretazione dellĠart. 12, lett. a), della direttiva del Parlamento europeo e del Consiglio 24 ottobre 1995, 95/46/CE, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonchŽ alla libera circolazione di tali dati (GU L 281, pag. 31; in prosieguo: la ÇdirettivaÈ).

2 Tale domanda  stata presentata nellĠambito di una controversia tra il sig. Rijkeboer e il College van burgemeester en wethouders van Rotterdam (giunta comunale di Rotterdam; in prosieguo: il ÇCollegeÈ) in merito al parziale rifiuto di questĠultimo di dargli accesso alle informazioni sulla comunicazione dei suoi dati personali a terzi nel corso dei due anni precedenti alla sua richiesta dĠinformazioni.

Contesto normativo

La normativa comunitaria

3 Il secondo ed il decimo ÔconsiderandoĠ della direttiva, relativi ai diritti ed alle libertˆ fondamentali, cos“ dichiarano:

Ç(2) considerando che i sistemi di trattamento dei dati sono al servizio dellĠuomo; che essi, indipendentemente dalla nazionalitˆ o dalla residenza delle persone fisiche, debbono rispettare le libertˆ e i diritti fondamentali delle stesse, in particolare la vita privata, e debbono contribuire al progresso economico e sociale, allo sviluppo degli scambi nonchŽ al benessere degli individui;

(É)

(10) considerando che le legislazioni nazionali relative al trattamento dei dati personali hanno lo scopo di garantire il rispetto dei diritti e delle libertˆ fondamentali, in particolare del diritto alla vita privata, riconosciuto anche dallĠarticolo 8 della Convenzione europea per la salvaguardia dei diritti dellĠuomo e delle libertˆ fondamentali e dai principi generali del diritto comunitario (...)È.

4 Ai sensi del venticinquesimo ÔconsiderandoĠ della direttiva, i principi della tutela delle persone si esprimono, da un lato, nei vari obblighi a carico delle persone responsabili del trattamento, obblighi relativi in particolare alla qualitˆ dei dati, e, dallĠaltro, nel diritto delle persone, i cui dati sono oggetto di trattamento, di esserne informate, di poter accedere ai dati e di poterne chiedere la rettifica, o di opporsi al trattamento in talune circostanze.

5 Il quarantesimo ÔconsiderandoĠ della direttiva, relativo allĠobbligo dĠinformare la persona interessata qualora i dati non siano stati raccolti presso di lei, dichiara che tale obbligo non  previsto se dare tale informazione risulta impossibile o implica uno sforzo eccessivo e che in questo caso si pu˜ tener conto del numero di persone interessate, dellĠantichitˆ dei dati e delle eventuali misure di compensazione.

6 Ai sensi del quarantunesimo ÔconsiderandoĠ della direttiva una persona deve godere del diritto dĠaccesso ai dati che la riguardano e che sono oggetto di trattamento, per poter verificare, in particolare, la loro esattezza e la liceitˆ del trattamento.

7 LĠart. 1, intitolato ÇOggetto della direttivaÈ, ha la seguente formulazione:

Ç1. Gli Stati membri garantiscono, conformemente alle disposizioni della presente direttiva, la tutela dei diritti e delle libertˆ fondamentali delle persone fisiche e particolarmente del diritto alla vita privata, con riguardo al trattamento dei dati personali.

2. Gli Stati membri non possono restringere o vietare la libera circolazione dei dati personali tra Stati membri, per motivi connessi alla tutela garantita a norma del paragrafo 1È.

8 La nozione di Çdati personaliÈ viene definita allĠart. 2, lett. a), della direttiva come qualsiasi informazione concernente una persona fisica identificata o identificabile (Çpersona interessataÈ).

9 Per Çtrattamento di dati personaliÈ lĠart. 2, lett. b), della direttiva intende:

Çqualsiasi operazione o insieme di operazioni compiute con o senza lĠausilio di processi automatizzati e applicate a dati personali, come la raccolta, la registrazione, lĠorganizzazione, la conservazione, lĠelaborazione o la modifica, lĠestrazione, la consultazione, lĠimpiego, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o lĠinterconnessione, nonchŽ il congelamento, la cancellazione o la distruzioneÈ.

10 Secondo lĠart. 2, lett. d), della direttiva, il Çresponsabile del trattamentoÈ  la persona fisica o giuridica, lĠautoritˆ pubblica, il servizio o qualsiasi altro organismo che, da solo o insieme ad altri, determina le finalitˆ e gli strumenti del trattamento di dati personali.

11 LĠart. 2, lett. g), della direttiva definisce il ÇdestinatarioÈ come la persona fisica o giuridica, lĠautoritˆ pubblica, il servizio o qualsiasi altro organismo che riceve comunicazione di dati, che si tratti o meno di un ÇterzoÈ, quale definito allĠart. 2, lett. f), della direttiva.

12 LĠart. 6 della direttiva enuncia i principi attinenti alla qualitˆ dei dati. Quanto alla conservazione dei dati, il suo n. 1, lett. e), prevede che gli Stati membri dispongono che i dati personali debbano essere Çconservati in modo da consentire lĠidentificazione delle persone interessate per un arco di tempo non superiore a quello necessario al conseguimento delle finalitˆ per le quali sono rilevati o sono successivamente trattati. Gli Stati membri prevedono garanzie adeguate per i dati personali conservati oltre il suddetto arco di tempo per motivi storici, statistici o scientificiÈ.

13 Gli artt. 10 e 11 della direttiva determinano quali informazioni il responsabile del trattamento dei dati, o il suo rappresentante, deve fornire alla persona interessata in caso, rispettivamente, di dati raccolti presso di lei ovvero di dati non raccolti presso di lei.

14 LĠart. 12 della direttiva, intitolato ÇDiritto di accessoÈ,  cos“ formulato:

ÇGli Stati membri garantiscono a qualsiasi persona interessata il diritto di ottenere dal responsabile del trattamento:

a) liberamente e senza costrizione, ad intervalli ragionevoli e senza ritardi o spese eccessivi:

– la conferma dellĠesistenza o meno di trattamenti di dati che la riguardano, e lĠinformazione almeno sulle finalitˆ dei trattamenti, sulle categorie di dati trattati, sui destinatari o sulle categorie di destinatari cui sono comunicati i dati;

– la comunicazione in forma intelligibile dei dati che sono oggetto dei trattamenti, nonchŽ di tutte le informazioni disponibili sullĠorigine dei dati;

– la conoscenza della logica applicata nei trattamenti automatizzati dei dati che l[a] interessano, per lo meno nel caso delle decisioni automatizzate di cui allĠarticolo 15, paragrafo 1;

b) a seconda dei casi, la rettifica, la cancellazione o il congelamento dei dati il cui trattamento non  conforme alle disposizioni della presente direttiva, in particolare a causa del carattere incompleto o inesatto dei dati;

c) la notificazione ai terzi, ai quali sono stati comunicati i dati, di qualsiasi rettifica, cancellazione o congelamento, effettuati conformemente alla lettera b), se non si dimostra che  impossibile o implica uno sforzo sproporzionatoÈ.

15 LĠart. 13, n. 1, della direttiva, intitolato ÇDeroghe e restrizioniÈ, autorizza gli Stati membri a derogare in particolare ai suoi artt. 6 e 12, ove sia necessario per la salvaguardia di determinati interessi pubblici tra cui la sicurezza dello Stato, la difesa, il perseguimento di infrazioni penali nonchŽ altri interessi, ossia la protezione della persona interessata o dei diritti e delle libertˆ altrui.

16 La direttiva prevede al suo art. 14 che gli Stati membri riconoscono alla persona interessata il diritto di opporsi, in determinate circostanze, a che dati che la riguardano siano oggetto di trattamento.

17 Secondo lĠart. 17, n. 1, secondo comma, della direttiva, gli Stati membri dispongono che il responsabile del trattamento debba attuare misure tecniche ed organizzative che devono garantire, tenuto conto delle attuali conoscenze in materia e dei costi dellĠapplicazione, un livello di sicurezza appropriato rispetto ai rischi presentati dal trattamento e alla natura dei dati da proteggere.

18 Ai sensi degli artt. 22 e 23, n. 1, della direttiva, gli Stati membri stabiliscono che chiunque possa disporre di un ricorso giurisdizionale in caso di violazione dei diritti garantitigli dalle disposizioni nazionali applicabili al trattamento in questione e che chiunque subisca un danno cagionato da un trattamento illecito o da qualsiasi altro atto incompatibile con le disposizioni nazionali di attuazione della direttiva abbia il diritto di ottenere il risarcimento del pregiudizio sub“to dal responsabile del trattamento.

La normativa nazionale

19 La direttiva  stata trasposta nellĠordinamento olandese con un testo generale, la legge relativa alla protezione dei dati personali (Wet bescherming persoonsgegevens). Leggi specifiche sono state, inoltre, adattate al fine di tenere conto della direttiva. Questo  il caso della legge di cui trattasi nella causa principale, vale a dire la legge sulla gestione dei dati personali da parte dei comuni (Wet gemeentelijke basisadministratie persoonsgegevens, Stb. 1994, n. 494; in prosieguo: la ÇWet GBAÈ).

20 LĠart. 103, n. 1, della Wet GBA prevede che la giunta comunale comunichi per iscritto allĠinteressato, su richiesta di questĠultimo, entro quattro settimane, i dati che lo riguardano provenienti dallĠamministrazione comunale, che siano stati trasmessi ad un ente amministrativo o a un terzo nel corso dellĠanno precedente la richiesta.

21 Ai sensi dellĠart. 110 della Wet GBA, la giunta comunale conserva menzione di tale comunicazione nellĠanno successivo alla comunicazione dei dati, salvo che tale comunicazione risulti in altro modo dalla banca dati.

22 Dalle osservazioni scritte del College emerge che i dati conservati dal comune riguardano in particolare il nome, la data di nascita, il codice di identificazione amministrativa, il codice socio-fiscale, il comune dĠiscrizione, lĠindirizzo e la data dĠiscrizione al comune, lo stato civile, la curatela, la potestˆ su minori, la cittadinanza e il permesso di soggiorno degli stranieri.

Causa principale e questione pregiudiziale

23 Con lettera del 26 ottobre 2005, il sig. Rijkeboer ha chiesto al College di informarlo di tutti i casi in cui informazioni che lo riguardano, provenienti dallĠamministrazione comunale, erano state comunicate a terzi nei due anni precedenti la sua richiesta. Egli voleva conoscere lĠidentitˆ di tali persone ed il contenuto delle informazioni loro trasmesse. Il sig. Rijkeboer, che si era trasferito in un altro comune, voleva in particolare sapere a chi fosse stato comunicato il suo vecchio indirizzo.

24 Con decisioni del 27 ottobre e 29 novembre 2005, il College ha accolto solo parzialmente tale richiesta comunicandogli, conformemente allĠart. 103, n. 1, della Wet GBA, unicamente le informazioni relative allĠanno precedente la sua richiesta.

25 Le comunicazioni di dati vengono registrate ai sensi del ÇLogisch Ontwerp GBAÈ. Si tratta di un sistema automatizzato, creato dal Ministerie van Binnenlandse Zaken en Koninkrijkrelaties (Ministero degli Interni e delle relazioni allĠinterno del Regno [dei Paesi Bassi]). Dalla domanda di pronuncia pregiudiziale risulta che i dati richiesti dal sig. Rijkeboer, anteriori allĠanno precedente la sua richiesta, sono stati automaticamente cancellati, ci˜ che sarebbe conforme allĠart. 110 della Wet GBA.

26 Il sig. Rijkeboer ha depositato un reclamo presso il College avverso il rifiuto di comunicargli informazioni sui destinatari a cui erano stati comunicati dati che lo riguardano anteriormente allĠanno precedente la sua richiesta. Dopo che tale reclamo era stato respinto con decisione del 13 febbraio 2006, il sig. Rijkeboer ha proposto un ricorso dinanzi al Rechtbank Rotterdam.

27 Tale giudice ha accolto il ricorso ritenendo la limitazione del diritto ad essere informato dei dati comunicati a destinatari allĠanno precedente la richiesta, quale prevista allĠart. 103, n. 1, della Wet GBA, non compatibile con lĠart. 12 della direttiva. Esso ha anche ritenuto non applicabili le eccezioni di cui allĠart. 13 di tale direttiva.

28 Il College ha impugnato tale sentenza dinanzi al Raad van State. Tale giudice ha rilevato che lĠart. 12 della direttiva, relativo al diritto di accesso ai dati, non stabilisce alcun termine per lĠesercizio del diritto. Esso ritiene, nutrendo per˜ dubbi al riguardo, che tale articolo non vieti tuttavia necessariamente al legislatore nazionale di limitare nel tempo il diritto della persona interessata ad essere informata dei destinatari a cui vengono trasmessi suoi dati personali.

29 Alla luce di quanto sopra, il Raad van State ha deciso di sospendere il procedimento e di sottoporre alla Corte la seguente questione pregiudiziale:

ÇSe la limitazione, prevista dalla legge, della comunicazione dei dati allĠanno precedente la relativa richiesta sia compatibile con lĠart. 12, (...) lett. a), della [direttiva], eventualmente interpretato in combinato disposto con lĠart. 6, n. 1, lett. e), della citata direttiva e con il principio di proporzionalitˆÈ.

Sulla questione pregiudiziale

30 Occorre ricordare, preliminarmente, che, nellĠambito del sistema di cooperazione giudiziaria istituito dallĠart. 234 CE, spetta alla Corte interpretare le disposizioni del diritto comunitario. Per quanto riguarda le disposizioni nazionali, la loro interpretazione compete ai giudici nazionali (v. sentenza 14 febbraio 2008, causa C-449/06, Gysen, Racc. pag. I-553, punto 17).

31 Pertanto, si deve intendere la domanda posta dal giudice del rinvio come diretta, sostanzialmente, a stabilire se, ai sensi della direttiva, in particolare del suo art. 12, lett. a), il diritto di una persona ad accedere alle informazioni sui destinatari o sulle categorie di destinatari di dati personali che la riguardano nonchŽ sul contenuto dei dati loro comunicati possa essere limitato al periodo di un anno precedente la sua richiesta di accesso.

32 Tale giudice richiama lĠattenzione su due disposizioni della direttiva, vale a dire lĠart. 6, n. 1, lett. e), sulla conservazione dei dati personali e lĠart. 12, lett. a), sul diritto di accesso a tali dati. Per contro, nŽ tale giudice nŽ le parti che hanno presentato osservazioni alla Corte richiamano le eccezioni stabilite allĠart. 13 della direttiva.

33 LĠart. 6 della direttiva disciplina la qualitˆ dei dati. Il suo n. 1, lett. e), impone agli Stati membri di disporre che i dati personali siano conservati per un arco di tempo non superiore a quello necessario al conseguimento delle finalitˆ per le quali sono rilevati o sono successivamente trattati. I dati devono quindi essere distrutti allorchŽ tali finalitˆ sono state realizzate.

34 LĠart. 12, lett. a), della direttiva prevede che gli Stati membri conferiscano alla persona interessata il diritto di accesso ai suoi dati personali nonchŽ alle informazioni sui destinatari o sulle categorie di destinatari di tali dati, senza stabilire un limite temporale.

35 I due articoli di cui trattasi sono quindi finalizzati alla tutela della persona interessata. Il giudice del rinvio vuole sapere se esista un nesso tra i due articoli nel senso che il diritto di accesso alle informazioni sui destinatari o sulle categorie di destinatari dei dati personali nonchŽ sul contenuto dei dati trasmessi potrebbe dipendere dalla durata della conservazione di tali dati.

36 Le osservazioni presentate alla Corte indicano opinioni divergenti in ordine allĠinterazione di queste due disposizioni.

37 Il College nonchŽ i governi dei Paesi Bassi, ceco, spagnolo e del Regno Unito sostengono che il diritto di accesso alle informazioni sui destinatari o sulle categorie di destinatari di cui allĠart. 12, lett. a), della direttiva sussiste solo per il presente, e non per il passato. Quando i dati sono stati cancellati, conformemente alla normativa nazionale, la persona interessata non pu˜ pi avervi accesso. Tale conclusione non sarebbe in contrasto con la direttiva.

38 Il College e il governo dei Paesi Bassi sostengono quindi che lĠart. 103, n. 1, della Wet GBA, secondo cui il comune informa la persona, su sua richiesta, dei dati comunicati a destinatari nel corso dellĠanno precedente la sua richiesta, va oltre quanto prescritto dalla direttiva.

39 La Commissione e il governo ellenico sostengono, da parte loro, che la direttiva prevede il diritto dĠaccesso non solo per il presente, ma anche per il periodo precedente la richiesta di accesso. Essi hanno, tuttavia, opinioni divergenti in merito allĠesatta durata del diritto di accesso.

40 Al fine di valutare la portata del diritto di accesso che la direttiva deve rendere possibile, si deve, anzitutto, stabilire a quali dati faccia riferimento il diritto di accesso e considerare, poi, la finalitˆ dellĠart. 12, lett. a), della direttiva esaminata alla luce degli obiettivi di questĠultima.

41 In un caso come quello del sig. Rijkeboer entrano in gioco due categorie di dati.

42 La prima riguarda i dati a carattere privato detenuti dal comune su una persona, come il suo nome e il suo indirizzo, i quali costituiscono, nella fattispecie, dati di base. Dalle osservazioni orali presentate dal College e dal governo dei Paesi Bassi risulta che tali dati possono essere conservati per lungo tempo. Essi costituiscono Çdati personaliÈ ai sensi dellĠart. 2, lett. a), della direttiva, poichŽ si tratta di informazioni concernenti una persona fisica identificata o identificabile (v., in tal senso, sentenze 20 maggio 2003, cause riunite C-465/00, C-138/01 e C-139/01, …sterreichischer Rundfunk e a., Racc. pag. I-4989, punto 64; 6 novembre 2003, causa C-101/01, Lindqvist, Racc. pag. I-12971, punto 24, nonchŽ 16 dicembre 2008, causa C-524/06, Huber, non ancora pubblicata nella Raccolta, punto 43).

43 La seconda categoria comprende le informazioni sui destinatari o sulle categorie di destinatari cui tali dati di base vengono comunicati nonchŽ sul contenuto di questi ultimi e concerne, quindi, il trattamento dei dati di base. Secondo la normativa nazionale di cui alla causa principale, tali informazioni vengono conservate solo per un anno.

44 La limitazione temporale del diritto di accesso alle informazioni sul destinatario o sui destinatari dei dati personali nonchŽ sul contenuto dei dati trasmessi, su cui verte la causa principale, riguarda pertanto tale seconda categoria di dati.

45 Al fine di stabilire se lĠart. 12, lett. a), della direttiva autorizzi, o meno, una siffatta limitazione temporale, occorre interpretare tale articolo tenendo conto della sua finalitˆ esaminata alla luce degli obiettivi della direttiva.

46 Ai sensi dellĠart. 1 della direttiva, il suo obiettivo  tutelare le libertˆ e i diritti fondamentali delle persone fisiche, in particolare la loro vita privata, con riguardo al trattamento dei dati personali, e permettere, in tal modo, la libera circolazione dei dati tra gli Stati membri.

47 LĠimportanza della tutela della vita privata viene evidenziata dal secondo e dal terzo ÔconsiderandoĠ della direttiva e sottolineata nella giurisprudenza della Corte (v., in tal senso, citate sentenze …sterreichischer Rundfunk e a., punto 70, e Lindqvist, punti 97 e 99, nonchŽ sentenze 29 gennaio 2008, causa C-275/06, Promusicae, Racc. pag. I-271, punto 63, e 16 dicembre 2008, causa C-73/07, Satakunnan Markkinapšrssi e Satamedia, non ancora pubblicata nella Raccolta, punto 52).

48 Peraltro, come risulta dal venticinquesimo ÔconsiderandoĠ della direttiva, i principi di tale tutela devono trovare espressione, da un lato, negli obblighi a carico dei responsabili del trattamento, obblighi relativi, in particolare, alla qualitˆ dei dati – oggetto dellĠart. 6 della direttiva –, e, dallĠaltro, nel diritto delle persone, i cui dati sono oggetto di trattamento, di esserne informate, di poter accedere a tali dati e di poterne chiedere la rettifica, o di opporsi al trattamento in talune circostanze.

49 Tale diritto al rispetto della vita privata implica che la persona interessata possa assicurarsi che i suoi dati personali siano trattati in modo corretto e lecito, vale a dire, in particolare, che i dati di base che la riguardano siano corretti e vengano inviati a destinatari autorizzati. Come enunciato al quarantunesimo ÔconsiderandoĠ della direttiva, al fine di poter effettuare le necessarie verifiche,

la persona interessata deve disporre del diritto dĠaccesso ai dati che la riguardano che sono oggetto di trattamento.

50 A tal riguardo, lĠart. 12, lett. a), della direttiva prevede il diritto di accesso ai dati di base nonchŽ alle informazioni sui destinatari o sulle categorie di destinatari cui sono comunicati tali dati.

51 Tale diritto di accesso  necessario affinchŽ la persona interessata possa esercitare i diritti di cui allĠart. 12, lett. b) e c), della direttiva, ovvero, nel caso in cui il trattamento dei suoi dati non sia conforme a tale direttiva, quello di ottenere che il responsabile del trattamento rettifichi, cancelli o congeli i suoi dati [lett. b)], o che egli notifichi tale rettifica, cancellazione o congelamento ai terzi cui sono stati comunicati tali dati, se non si dimostra che ci˜  impossibile o implica uno sforzo sproporzionato [lett. c)].

52 Tale diritto di accesso  anche necessario per consentire alla persona interessata lĠesercizio del diritto di opposizione al trattamento dei suoi dati personali di cui allĠart. 14 della direttiva o il diritto di agire in giudizio nel caso in cui subisca un pregiudizio previsto agli artt. 22 e 23 di questa.

53 Quanto al diritto di accesso alle informazioni sui destinatari o sulle categorie di destinatari dei dati di base nonchŽ sul contenuto dei dati comunicati, la direttiva non precisa se tale diritto riguardi il passato nŽ, eventualmente, il periodo nel passato di cui si tiene conto.

54 A tal riguardo occorre constatare che, al fine di garantire lĠeffetto utile delle disposizioni prese in considerazione ai punti 51 e 52 della presente sentenza, tale diritto deve necessariamente estendersi al passato. In caso contrario, infatti, la persona interessata non sarebbe in grado di esercitare efficacemente il suo diritto a fare rettificare, cancellare o congelare i dati ritenuti illeciti o non corretti nonchŽ a procedere giurisdizionalmente ed ottenere il risarcimento del pregiudizio sub“to.

55 Si rende necessario stabilire quale sia la portata di tale diritto per il passato.

56 La Corte ha giˆ affermato che le disposizioni della direttiva sono relativamente generiche, dato chĠessa deve applicarsi a un gran numero di situazioni molto diverse e che la direttiva contiene norme caratterizzate da una certa elasticitˆ che lascia in numerosi casi agli Stati membri il compito di decidere dei dettagli o di scegliere tra pi opzioni (v. sentenza Lindqvist, cit., punto 83). La Corte ha cos“ riconosciuto che gli Stati membri disponevano sotto molti punti di vista di un margine di manovra al fine di trasporre la direttiva (v. sentenza Lindqvist, cit., punto 84). Tale margine di manovra, il quale sussiste relativamente alla trasposizione dellĠart. 12, lett. a), della direttiva, non  tuttavia illimitato.

57 La determinazione di un termine relativo al diritto di acceso alle informazioni sui destinatari o sulle categorie di destinatari e sul contenuto dei dati comunicati deve consentire alla persona interessata di esercitare i differenti diritti previsti dalla direttiva e ricordati ai punti 51 e 52 della presente sentenza.

58 La durata della conservazione dei dati di base pu˜ costituire un utile parametro senza, tuttavia, essere determinante.

59 Infatti, lĠambito di applicazione della direttiva  molto ampio, come la Corte ha giˆ dichiarato (v. citate sentenze …sterreichischer Rundfunk e a., punto 43, nonchŽ Lindqvist, punto 88), e i dati personali ricompresi dalla direttiva sono vari. La durata della conservazione di questi ultimi, definita ai sensi dellĠart. 6, n. 1, lett. e), della direttiva in funzione delle finalitˆ per le quali essi

sono rilevati o sono successivamente trattati, pu˜ quindi essere diversa. Qualora la durata della conservazione dei dati di base sia troppo lunga, lĠinteresse della persona interessata a valersi dei mezzi di intervento e delle possibilitˆ di agire in giudizio menzionati al punto 57 della presente sentenza pu˜, in taluni casi, affievolirsi. Se, ad esempio, i destinatari di tali dati sono numerosi o la frequenza delle comunicazioni ad un numero pi ristretto di destinatari  elevata, lĠobbligo di conservare tanto a lungo le informazioni sui destinatari o sulle categorie di destinatari nonchŽ sul contenuto dei dati comunicati potrebbe comportare un onere eccessivo per il responsabile del trattamento.

60 Orbene, la direttiva non prescrive agli Stati membri di imporre oneri del genere al responsabile del trattamento.

61 LĠart. 12, lett. c), della direttiva prevede infatti espressamente una riserva allĠobbligo di questĠultimo di notificare la rettifica, la cancellazione o il congelamento ai terzi cui sono stati comunicati i dati, precisamente qualora si dimostri che  impossibile o implica uno sforzo sproporzionato.

62 Altri passaggi della direttiva indicano che si pu˜ tener conto del fatto che talune misure potrebbero essere sproporzionate. Quanto allĠobbligo di informare la persona interessata, il quarantesimo ÔconsiderandoĠ della direttiva dichiara che si possono prendere in considerazione il numero di persone interessate nonchŽ lĠantichitˆ dei dati. Ai sensi dellĠart. 17 della direttiva, relativo alla sicurezza del trattamento, inoltre, gli Stati membri prevedono che il responsabile del trattamento deve attuare misure tecniche ed organizzative tese a garantire un livello di sicurezza appropriato rispetto ai rischi presentati dal trattamento e alla natura dei dati da proteggere, tenuto conto delle attuali conoscenze in materia e dei costi della loro applicazione.

63 Analoghe considerazioni sono pertinenti in ordine alla determinazione di un termine per il diritto di accesso alle informazioni sui destinatari o sulle categorie di destinatari nonchŽ sul contenuto dei dati comunicati. In aggiunta alle considerazioni riportate al punto 57 della presente sentenza, gli Stati membri possono pertanto prendere in considerazione vari parametri, in particolare, le disposizioni del diritto nazionale applicabili in materia di termine per proporre un ricorso, la natura pi o meno sensibile dei dati di base, la durata della conservazione di tali dati e il numero dei destinatari interessati.

64 Spetta cos“ agli Stati membri fissare il termine per la conservazione delle informazioni sui destinatari o sulle categorie di destinatari e sul contenuto dei dati comunicati e prevedere un accesso a tali informazioni che costituiscano un giusto equilibrio tra, da una parte, lĠinteresse della persona interessata a tutelare la propria vita privata, in particolare per mezzo dei diritti alla rettifica, alla cancellazione ed al congelamento dei dati, in caso di non conformitˆ del loro trattamento con la direttiva, nonchŽ del diritto di opposizione e del diritto ad agire in giudizio, e, dallĠaltra, lĠonere che lĠobbligo di conservare tali informazioni comporta per il responsabile del trattamento.

65 Peraltro, al momento della fissazione di tale termine, occorre anche tenere conto degli obblighi, risultanti dallĠart. 6, lett. e), della direttiva, di prevedere che i dati personali debbano essere conservati in modo da consentire lĠidentificazione delle persone interessate per un arco di tempo non superiore a quello necessario al conseguimento delle finalitˆ per le quali sono rilevati o sono successivamente trattati.

66 Nella fattispecie, una normativa che limiti la conservazione delle informazioni sui destinatari o sulle categorie di destinatari dei dati e sul contenuto dei dati trasmessi ad un periodo di un anno e che limiti in modo corrispondente lĠaccesso a tali informazioni, benchŽ i dati di base vengano

conservati molto pi a lungo, non costituisce un giusto equilibrio tra lĠinteresse e lĠobbligo in questione, salvo che si dimostri che conservare tali informazioni pi a lungo comporterebbe un onere eccessivo per il responsabile del trattamento. Spetta tuttavia al giudice nazionale effettuare le necessarie verifiche alla luce delle considerazioni svolte ai punti che precedono.

67 In considerazione di quanto giˆ osservato, non si pu˜ accettare lĠargomentazione di taluni Stati membri secondo la quale lĠapplicazione degli artt. 10 e 11 della direttiva renderebbe superflua lĠattribuzione di un diritto di accesso alle informazioni sui destinatari o sulle categorie di destinatari di cui allĠart. 12, lett. a), della direttiva per il passato.

68 Infatti, va rilevato che gli artt. 10 e 11 impongono obblighi al responsabile del trattamento, o al suo rappresentante, di informare la persona interessata, a determinate condizioni, in particolare dei destinatari o delle categorie di destinatari dei dati. Il responsabile del trattamento, o il suo rappresentante, devono comunicare spontaneamente tali informazioni alla persona interessata, segnatamente al momento della raccolta dei dati o, se i dati non vengono raccolti direttamente presso tale persona, al momento della registrazione dei dati o, eventualmente, al momento della comunicazione di tali dati a un terzo.

69 Tali disposizioni intendono quindi imporre obblighi distinti rispetto a quelli imposti dallĠart. 12, lett. a), della direttiva. Di conseguenza, essi non riducono in alcun modo lĠobbligo imposto agli Stati membri di prevedere che il responsabile del trattamento sia tenuto a dare alla persona interessata accesso alle informazioni sui destinatari o sulle categorie di destinatari nonchŽ sui dati comunicati qualora tale persona decida di esercitare il diritto di accesso che gli  conferito in forza dellĠart. 12, lett. a). Gli Stati membri devono adottare misure per trasporre le disposizioni, da una parte, degli artt. 10 e 11 della direttiva sullĠobbligo dĠinformazione e, dallĠaltra, quelle dellĠart. 12, lett. a), della direttiva, senza che le prime possano attenuare gli obblighi risultanti dalle seconde.

70 La questione sollevata deve, pertanto, essere risolta nel seguente modo:

– LĠart. 12, lett. a), della direttiva impone agli Stati membri di prevedere il diritto di accesso alle informazioni sui destinatari o sulle categorie di destinatari dei dati nonchŽ sul contenuto delle informazioni comunicate non solo per il presente, ma anche per il passato. Spetta agli Stati membri fissare il termine per la conservazione di tali informazioni nonchŽ il corrispondente accesso alle stesse che costituiscano un giusto equilibrio tra, da una parte, lĠinteresse della persona di cui trattasi a tutelare la propria vita privata, in particolare, tramite i mezzi di intervento e le possibilitˆ di agire in giudizio previste dalla direttiva, e, dallĠaltra, lĠonere che lĠobbligo di conservare tali informazioni comporta per il responsabile del trattamento.

– Una normativa che limiti la conservazione delle informazioni sui destinatari o sulle categorie di destinatari dei dati e sul contenuto dei dati trasmessi ad un periodo di un anno e che limiti in misura corrispondente lĠaccesso a tali informazioni, benchŽ i dati di base vengano conservati molto pi a lungo, non pu˜ costituire un giusto equilibrio tra lĠinteresse e lĠobbligo in questione, salvo che si dimostri che conservare tali informazioni pi a lungo comporterebbe un onere eccessivo per il responsabile del trattamento. Spetta tuttavia al giudice nazionale effettuare le necessarie verifiche.

Sulle spese

71 Nei confronti delle parti nella causa principale il presente procedimento costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.

Per questi motivi, la Corte (Terza Sezione) dichiara:

LĠart. 12, lett. a), della direttiva del Parlamento europeo e del Consiglio 24 ottobre 1995, 95/46/CE, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonchŽ alla libera circolazione di tali dati, impone agli Stati membri di prevedere il diritto di accesso alle informazioni sui destinatari o sulle categorie di destinatari dei dati nonchŽ sul contenuto delle informazioni comunicate non solo per il presente, ma anche per il passato. Spetta agli Stati membri fissare il termine per la conservazione di tali informazioni nonchŽ il corrispondente accesso alle stesse che costituiscano un giusto equilibrio tra, da una parte, lĠinteresse della persona di cui trattasi a tutelare la propria vita privata, in particolare tramite i mezzi di intervento e le possibilitˆ di agire in giudizio previste dalla direttiva 95/46, e, dallĠaltra, lĠonere che lĠobbligo di conservare tali informazioni comporta per il responsabile del trattamento.

Una normativa che limiti la conservazione delle informazioni sui destinatari o sulle categorie di destinatari dei dati e sul contenuto dei dati trasmessi ad un periodo di un anno e che limiti in misura corrispondente lĠaccesso a tali informazioni, benchŽ i dati di base vengano conservati molto pi a lungo, non pu˜ costituire un giusto equilibrio tra lĠinteresse e lĠobbligo in questione, salvo che si dimostri che conservare tali informazioni pi a lungo comporterebbe un onere eccessivo per il responsabile del trattamento. Spetta tuttavia al giudice nazionale effettuare le necessarie verifiche.

Firme

* Lingua processuale: l'olandese.