Il nominativo del coniuge è un 'dato sensibile' se rivela l’orientamento sessuale
In data 1° agosto 2022, la Corte di Giustizia dell’UE ha stabilito che tutti i dati in grado di rivelare informazioni sensibili di un individuo mediante un «trattamento intellettuale», come un confronto o una semplice deduzione, rientrano nel novero delle «categorie particolari» di dati personali ai sensi dell’art. 9 del GDPR, ovvero quelle informazioni che necessitano di particolari tutele come quelle che riguardano opinioni politiche, convinzioni religiose o filosofiche, la salute o l’orientamento sessuale della persona, e altri dati che rivestono particolare delicatezza per l’impatto che hanno sulla sfera privata di una persona.
Nel caso preso in esame, la CGUE ha affermato che è possibile determinare l’orientamento sessuale di un individuo attraverso la pubblicazione del nominativo del proprio coniuge.
La vicenda riguardava una controversia sorta davanti ai tribunali della Lituania tra un dirigente di una società di protezione ambientale che aveva ricevuto fondi pubblici e una commissione etica:
se da una parte una legge nazionale sulla trasparenza obbliga le persone che lavorano nel servizio pubblico a rendere pubbliche alcune notizie di interessi privati, e le relative informazioni vengono pubblicate su un registro accessibile al pubblico su Internet, il dirigente della società si era però opposto dinanzi ai tribunali, sostenendo che la pubblicazione di quelle informazioni pregiudicasse il diritto alla privacy suo e di altri soggetti terzi.
Da parte sua, la commissione etica, che vigila sul rispetto della legge, aveva sostenuto che nell’applicazione della normativa lituana sulla trasparenza esistesse una giustificazione per l’interferenza con la vita privata del dirigente e del suo coniuge.
Poiché le leggi implicate nella controversia contenevano disposizioni contrastanti tra di loro, un tribunale amministrativo regionale della capitale Vilnius aveva allora chiesto l’intervento della CGUE per interpretare correttamente il diritto dell’UE pertinente alla controversia.
Infatti, da un lato la legge lituana impone la divulgazione di interessi privati per prevenire i conflitti di interesse e la corruzione nel settore pubblico, mentre dall’altro le leggi dell’UE sulla protezione dei dati limitano la divulgazione dei dati personali, in particolare delle informazioni sensibili che rientrano nelle «categorie speciali» di dati.
Pur constatando che la legge lituana persegue scopi legittimi nell’interesse pubblico di cercare di «rafforzare le garanzie per prevenire i conflitti di interesse e per combattere la corruzione nel settore pubblico», la Corte ha tuttavia affermato che il diritto dell’UE preclude la pubblicazione di alcune informazioni ai sensi del diritto lituano che comportano gravi e ingiustificate interferenze con i diritti alla privacy e alla protezione dei dati personali.
Con la sentenza sul caso C‑184/20, la CGUE ha pertanto vietato espressamente la pubblicazione on line di «dati nominativi» che riguardino un soggetto a capo di un ente beneficiario di erogazioni pubbliche o il suo «coniuge, convivente o convivente, ovvero persone che siano parenti stretti del dichiarante, o sono da lui conosciuti».
Inoltre, la Corte ha affermato che la pubblicazione online di dati personali all’interno di dichiarazioni di interessi privati è «suscettibile di rivelare indirettamente l’orientamento sessuale di una persona fisica» e «costituisce un trattamento di categorie speciali di dati personali» ai sensi del Regolamento UE 2016/679.
Secondo la CGUE, «è possibile dedurre alcune informazioni riguardanti la vita sessuale o l’orientamento sessuale del dichiarante e del suo coniuge, convivente o partner» dal nominativo della persona, anche se i dati da pubblicare ai sensi della legge «non sono, intrinsecamente, dati sensibili».
Sebbene le circostanze di questo caso siano piuttosto specifiche, è possibile immaginare molti altri scenari in cui questa sentenza potrebbe essere rilevante per il trattamento di categorie speciali di dati personali da parte di altre organizzazioni. Ad esempio, informazioni sensibili su una persona, come le sue convinzioni religiose o filosofiche, l’appartenenza sindacale o le opinioni politiche, potrebbero essere dedotte anche da altre informazioni, come i dettagli di una sua donazione a una particolare ONG, ente di beneficenza, o una confessione religiosa.
Tenendo conto che costituisce «dato personale» qualsiasi informazione riguardante una persona fisica identificata o identificabile direttamente o indirettamente”, questa pronuncia della CGUE evidenzia quindi quanto sia importante per le organizzazioni considerare l’intero contesto nel determinare se certe informazioni rientrino nelle «categorie particolari» di dati ai sensi dell’art. 9 e in quali casi possa essere lecito o meno divulgarle.
di Nicola Bernardi, presidente di Federprivacy (Nòva Il Sole 24 Ore)
