Corte di Giustizia UE, IV Sezione, sentenza 12 settembre 2024 (causa C-17/2022)
PRINCIPIO DI DIRITTO
1) L’articolo 6, paragrafo 1, primo comma, lettera b), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), deve essere interpretato nel senso che un trattamento di dati personali consistente nel divulgare, su richiesta di un socio di un fondo di investimento, costituito sotto forma di società di persone ad azionariato diffuso, informazioni su tutti i soci che detengono partecipazioni indirette in tale fondo, tramite società fiduciarie, indipendentemente dall’entità della loro partecipazione al capitale di detto fondo, al fine di entrare in contatto e negoziare con loro il riacquisto delle loro quote sociali, o ancora di coordinarsi con questi ultimi al fine di formare una volontà comune nell’ambito di decisioni dei soci, può essere considerato necessario, ai sensi di tale disposizione, all’esecuzione del contratto in forza del quale tali soci hanno acquistato tali partecipazioni soltanto a condizione che tale trattamento sia oggettivamente indispensabile per realizzare una finalità che è parte integrante della prestazione contrattuale destinata a questi stessi soci, di modo che l’oggetto principale del contratto non potrebbe essere conseguito in assenza di tale trattamento. Ciò non si verifica se tale contratto esclude espressamente la divulgazione di tali dati personali ad altri detentori di partecipazioni.
2) L’articolo 6, paragrafo 1, primo comma, lettera f), del regolamento 2016/679 deve essere interpretato nel senso che un tale trattamento può essere considerato necessario per il perseguimento del legittimo interesse di terzi, ai sensi di tale disposizione, solo a condizione che detto trattamento sia strettamente necessario per la realizzazione di un simile legittimo interesse e, alla luce di tutte le circostanze pertinenti, gli interessi o le libertà e i diritti fondamentali di detti soci non prevalgano su tale interesse legittimo.
3) L’articolo 6, paragrafo 1, primo comma, lettera c), del regolamento 2016/679 deve essere interpretato nel senso che detto trattamento di dati personali è giustificato, ai sensi di tale disposizione, quando è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento, in virtù del diritto dello Stato membro interessato, come precisato dalla giurisprudenza di tale Stato membro, a condizione che tale giurisprudenza sia chiara e precisa, che la sua applicazione sia prevedibile per le persone che vi sono sottoposte e che risponda a un obiettivo di interesse pubblico e sia proporzionata a quest’ultimo.
TESTO RILEVANTE DELLA DECISIONE (sintesi massimata)
Sulle questioni pregiudiziali
Sulla prima questione
29 Con le sue questioni pregiudiziali, che occorre esaminare congiuntamente, il giudice del rinvio chiede, in sostanza, se l’articolo 6, paragrafo 1, primo comma, lettere b) e f), del RGPD debba essere interpretato nel senso che un trattamento di dati personali consistente nel divulgare, su richiesta di un socio di un fondo di investimento, costituito sotto forma di società di persone ad azionariato diffuso, informazioni su tutti i soci che detengono partecipazioni indirette in tale fondo, tramite società fiduciarie, indipendentemente dall’entità della loro partecipazione al capitale di detto fondo, al fine di entrare in contatto e negoziare con loro il riacquisto delle loro quote sociali, o ancora di coordinarsi con questi ultimi al fine di formare una volontà comune nell’ambito di decisioni dei soci, può essere considerato necessario all’esecuzione di un contratto di cui gli interessati sono parti, ai sensi della lettera b), o per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, ai sensi della lettera f).
30 Poiché dalle domande di pronuncia pregiudiziale emerge che il giudice del rinvio si interroga sulla conformità al RGPD dell’obbligo di divulgazione di tali dati risultante, nel diritto tedesco, dalla giurisprudenza dei giudici nazionali, occorre riformulare le questioni sollevate nel senso che esse si estendono all’interpretazione dell’articolo 6, paragrafo 1, primo comma, lettera c), di tale regolamento, e considerare che, con le sue questioni, il giudice del rinvio si chiede altresì se una tale divulgazione può essere considerata come derivante da un obbligo legale al quale è soggetto il titolare del trattamento.
31 Per rispondere a tali questioni, in via preliminare, occorre ricordare che l’obiettivo perseguito dal RGPD, quale risulta dal suo articolo 1 nonché dai suoi considerando 1 e 10, consiste, segnatamente, nel garantire un elevato livello di grado di tutela dei diritti e delle libertà fondamentali delle persone fisiche, in particolare del loro diritto alla vita privata, con riguardo al trattamento dei dati personali, sancito dall’articolo 8, paragrafo 1, della Carta e dall’articolo 16, paragrafo 1, TFUE (sentenza del 7 marzo 2024, IAB Europe, C‑604/22, EU:C:2024:214, punto 53 e giurisprudenza citata).
32 In conformità a tale obiettivo, qualsiasi trattamento di dati personali deve, in particolare, essere conforme ai principi relativi al trattamento di tali dati enunciati all’articolo 5 di tale regolamento e soddisfare le condizioni di liceità elencate all’articolo 6 del medesimo regolamento [v., in tal senso, sentenze del 6 ottobre 2020, La Quadrature du Net e a., C‑511/18, C‑512/18 e C‑520/18, EU:C:2020:791, punto 208, nonché dell’11 luglio 2024, Meta Platforms Ireland (Azione rappresentativa), C‑757/22, EU:C:2024:598, punto 49].
33 A tal riguardo, occorre sottolineare che, in virtù dell’articolo 5, paragrafo 1, lettera a), del RGPD, i dati personali sono trattati in modo lecito, corretto e trasparente nei confronti dell’interessato.
34 In particolare, per quanto riguarda le condizioni di liceità del trattamento, come dichiarato dalla Corte, l’articolo 6, paragrafo 1, primo comma, del RGPD prevede un elenco esaustivo e tassativo dei casi nei quali un trattamento di dati personali può essere considerato lecito. Pertanto, per poter essere considerato lecito, un trattamento deve rientrare in uno dei casi previsti da tale disposizione [sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C‑252/21, EU:C:2023:537, punto 90].
35 Tenuto conto delle specificità delle controversie di cui ai procedimenti principali, occorre, inoltre, rilevare che tale articolo 6, paragrafo 1, primo comma, non prescrive di per sé un obbligo, ma si limita a prevedere la possibilità di effettuare un trattamento di dati personali nei casi che esso elenca (v., per analogia, sentenza del 4 maggio 2017, Rīgas satiksme, C‑13/16, EU:C:2017:336, punto 26).
36 Ai sensi dell’articolo 6, paragrafo 1, primo comma, lettera a), del RGPD, il trattamento di dati personali è lecito se e nella misura in cui l’interessato vi ha espresso il consenso per una o più specifiche finalità. In mancanza di un siffatto consenso, o qualora tale consenso non sia stato espresso in modo libero, specifico, informato e inequivocabile, ai sensi dell’articolo 4, punto 11, del regolamento suddetto, un tale trattamento è nondimeno giustificato qualora soddisfi uno dei requisiti di necessità menzionati all’articolo 6, paragrafo 1, primo comma, lettere da b) a f), di detto regolamento.
37 In tale contesto, nella misura in cui consentono di rendere lecito un trattamento di dati personali effettuato in assenza del consenso dell’interessato, le giustificazioni previste da quest’ultima disposizione devono essere interpretate restrittivamente [sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C‑252/21, EU:C:2023:537, punto 93 e giurisprudenza citata].
38 Inoltre, la Corte ha considerato che, qualora si possa constatare che un trattamento di dati personali è necessario alla luce di una delle giustificazioni previste all’articolo 6, paragrafo 1, primo comma, lettere da b) a f), del RGPD, non occorre stabilire se tale trattamento rientri anche in un’altra di tali giustificazioni [sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C‑252/21, EU:C:2023:537, punto 94 e giurisprudenza citata].
39 La Corte ha altresì dichiarato che, conformemente all’articolo 5 del RGPD, è al titolare del trattamento che incombe l’onere di dimostrare che tali dati sono segnatamente raccolti per finalità determinate, esplicite e legittime e che essi sono trattati in modo lecito, corretto e trasparente nei confronti dell’interessato. Inoltre, in forza dell’articolo 13, paragrafo 1, lettera c), di tale regolamento, in caso di raccolta presso l’interessato di dati che lo riguardano, il titolare del trattamento è tenuto ad informare quest’ultimo delle finalità del trattamento al quale sono destinati tali dati nonché della base giuridica di questo trattamento [sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C‑252/21, EU:C:2023:537, punto 95].
40 Nel caso di specie, risulta dal fascicolo di cui dispone la Corte che i soci che detengono partecipazioni indirette, tramite società fiduciarie, nei fondi di investimento di cui trattasi, non hanno dato il proprio consenso, ai sensi dell’articolo 6, paragrafo 1, primo comma, lettera a), del RGPD, a che le resistenti nei procedimenti principali divulgassero a terzi i dati personali che li riguardano, in particolare alla HTB e alla Ökorenta.
41 In tali circostanze, per rispondere alle questioni sollevate, occorre verificare se le disposizioni dell’articolo 6, paragrafo 1, primo comma, lettera b) e lettera f), di tale regolamento, specificamente richiamate dalle domande di pronuncia pregiudiziale, possano essere invocate per giustificare l’eventuale divulgazione di tali dati a detti terzi.
42 Per quanto riguarda, anzitutto, l’articolo 6, paragrafo 1, primo comma, lettera b), del RGPD, quest’ultimo prevede che un trattamento di dati personali è lecito se è «necessario all’esecuzione di un contratto di cui l’interessato è parte o all’esecuzione di misure precontrattuali adottate su richiesta dello stesso».
43 A tal riguardo, la Corte ha già dichiarato che, affinché un trattamento di dati personali sia considerato necessario all’esecuzione di un contratto, ai sensi di tale disposizione, esso deve essere oggettivamente indispensabile per realizzare una finalità che è parte integrante della prestazione contrattuale destinata all’interessato. Il titolare del trattamento deve, quindi, essere in grado di dimostrare in che modo l’oggetto principale del contratto non potrebbe essere conseguito in assenza del trattamento di cui è causa [sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C‑252/21, EU:C:2023:537, punto 98].
44 Infatti, come la Corte ha del pari dichiarato, l’elemento determinante ai fini dell’applicazione della giustificazione di cui all’articolo 6, paragrafo 1, primo comma, lettera b), del RGPD è che il trattamento di dati personali effettuato dal titolare del trattamento sia essenziale per consentire la corretta esecuzione del contratto stipulato tra quest’ultimo e l’interessato e, pertanto, che non esistano altre soluzioni percorribili e meno invasive [sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C‑252/21, EU:C:2023:537, punto 99].
45 Nel caso di specie, dalle decisioni di rinvio risulta che i contratti di partecipazione e fiduciari di cui trattasi nei procedimenti principali, in forza dei quali sono state acquistate partecipazioni indirette nei fondi di investimento in questione, prevedono espressamente il divieto di comunicare i dati relativi agli investitori indiretti ad altri detentori di partecipazioni.
46 A tal riguardo, occorre rilevare che la caratteristica essenziale dell’acquisto di una partecipazione indiretta, tramite una società fiduciaria, in un fondo di investimento ad azionariato diffuso è precisamente l’anonimato dei soci, ivi incluso nei rapporti tra i soci stessi. In altri termini, è tenendo conto del trattamento riservato dei loro dati da parte del fondo di investimento che le persone optano per un investimento finanziario in un siffatto fondo sotto forma di partecipazione detenuta tramite una società fiduciaria.
47 Pertanto, e fatta salva una verifica da parte del giudice del rinvio, un trattamento di dati personali, consistente nella divulgazione di informazioni relative ai soci che detengono, tramite una società fiduciaria, partecipazioni indirette in un fondo di investimento ad azionariato diffuso, non può essere considerato «necessario all’esecuzione di un contratto», ai sensi dell’articolo 6, paragrafo 1, primo comma, lettera b), del RGPD, qualora il contratto alla base dell’acquisto di una tale partecipazione escluda espressamente la divulgazione di tali dati ad altri detentori di partecipazioni.
48 Per quanto riguarda, poi, l’articolo 6, paragrafo 1, primo comma, lettera f), del RGPD, quest’ultimo prevede che un trattamento di dati personali è lecito se è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali.
49 Come già dichiarato dalla Corte, detta disposizione prevede tre condizioni cumulative affinché un trattamento di dati personali sia lecito, vale a dire, in primo luogo, il perseguimento di un legittimo interesse del titolare del trattamento o di terzi, in secondo luogo, la necessità del trattamento dei dati personali per la realizzazione del legittimo interesse perseguito e, in terzo luogo, la condizione che gli interessi o i diritti e le libertà fondamentali dell’interessato dalla tutela dei dati non prevalgano [sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C‑252/21, EU:C:2023:537, punto 106 e giurisprudenza citata].
50 Per quanto concerne, in primo luogo, la condizione relativa al perseguimento di un «interesse legittimo», occorre sottolineare che, in assenza di definizione di tale nozione da parte del RGPD, come la Corte ha già dichiarato, un’ampia gamma di interessi può, in linea di principio, essere considerata legittima [sentenza del 7 dicembre 2023, SCHUFA Holding (Esdebitazione), C‑26/22 e C‑64/22, EU:C:2023:958, punto 76].
51 Per quanto riguarda, in secondo luogo, la condizione relativa alla necessità del trattamento dei dati personali per la realizzazione del legittimo interesse perseguito, essa impone al giudice del rinvio di verificare che il legittimo interesse al trattamento dei dati perseguito non possa ragionevolmente essere raggiunto in modo altrettanto efficace mediante altri mezzi meno pregiudizievoli per le libertà e i diritti fondamentali degli interessati, in particolare per i diritti al rispetto della vita privata e alla protezione dei dati personali garantiti agli articoli 7 e 8 della Carta [sentenza del 7 dicembre 2023, SCHUFA Holding (Esdebitazione), C‑26/22 e C‑64/22, EU:C:2023:958, punto 77 e giurisprudenza citata].
52 In tale contesto, occorre altresì ricordare che la condizione attinente alla necessità del trattamento deve essere esaminata unitamente al principio cosiddetto della «minimizzazione dei dati» sancito all’articolo 5, paragrafo 1, lettera c), del RGPD, secondo il quale i dati personali devono essere «adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati» [sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C‑252/21, EU:C:2023:537, punto 109 nonché giurisprudenza citata].
53 Per quanto riguarda, in terzo luogo, la condizione secondo cui gli interessi o i diritti e le libertà fondamentali dell’interessato dalla tutela dei dati non devono prevalere sul legittimo interesse del titolare del trattamento o di terzi, la Corte ha già stabilito che ciò implica una ponderazione dei diritti e degli interessi contrapposti che dipende, in linea di principio, dalle circostanze del caso concreto e che, di conseguenza, spetta al giudice del rinvio effettuare tenendo conto di tali circostanze specifiche [sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C‑252/21, EU:C:2023:537, punto 110 nonché giurisprudenza citata].
54 Inoltre, il considerando 47 del RGPD indica che gli interessi e i diritti fondamentali dell’interessato possono in particolare prevalere sugli interessi del titolare del trattamento qualora i dati personali siano trattati in circostanze in cui gli interessati non possano ragionevolmente attendersi un siffatto trattamento [sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C‑252/21, EU:C:2023:537, punto 112].
55 Sebbene spetti in ultima istanza al giudice nazionale verificare se, in relazione al trattamento dei dati personali oggetto del procedimento principale, siano soddisfatte le tre condizioni di cui al punto 49 della presente sentenza, la Corte, statuendo su un rinvio pregiudiziale, può fornire delle precisazioni intese a guidare il giudice nazionale in tale determinazione [sentenze del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C‑252/21, EU:C:2023:537, punto 96, e del 7 dicembre 2023, SCHUFA Holding (Esdebitazione), C‑26/22 e C‑64/22, EU:C:2023:958, punto 81 nonché giurisprudenza citata].
56 Nel caso di specie, per quanto riguarda, in primo luogo, la condizione relativa al perseguimento di un legittimo interesse del titolare del trattamento o di terzi, ai sensi dell’articolo 6, paragrafo 1, primo comma, lettera f), del RGPD, il giudice del rinvio fa riferimento all’interesse di un terzo, vale a dire l’interesse di un socio che detiene una partecipazione indiretta in un fondo di investimento costituito sotto forma di società in accomandita ad azionariato diffuso, all’ottenimento dei dati personali relativi agli altri soci indiretti di tale società, al fine di entrare in contatto con questi ultimi o di negoziare con loro il riacquisto di quote sociali, o ancora di coordinarsi con questi ultimi ai fini della formazione di una volontà comune nell’ambito di decisioni di tutti i soci.
57 Occorre constatare che un siffatto interesse può, in linea di principio, costituire, ai fini della divulgazione di dati personali, un legittimo interesse, ai sensi dell’articolo 6, paragrafo 1, primo comma, lettera f), del RGPD, tenuto conto, in particolare, dello status di una tale società, quale risulta dal diritto nazionale dello Stato membro interessato, e indipendentemente dall’entità dell’importo della partecipazione e dei poteri detenuti nella società dal socio che ha chiesto la divulgazione. Spetta tuttavia al giudice del rinvio valutare, caso per caso, l’esistenza di un tale interesse tenendo conto del contesto normativo applicabile e di tutte le circostanze della causa.
58 Nell’ipotesi in cui un tale legittimo interesse fosse caratterizzato, occorrerebbe inoltre, affinché il perseguimento di detto interesse possa consentire un trattamento di dati personali, ai sensi dell’articolo 6, paragrafo 1, primo comma, lettera f), del RGPD, che il titolare del trattamento rispetti tutti gli altri obblighi ad esso incombenti in forza di tale regolamento.
59 In secondo luogo, per quanto riguarda la condizione relativa alla necessità di tale trattamento per la realizzazione di detto interesse e, in particolare, l’esistenza di mezzi meno pregiudizievoli per le libertà e i diritti fondamentali degli interessati e altrettanto appropriati, occorre constatare che sarebbe, in particolare, possibile per il socio di un fondo di investimento che intenda ottenere informazioni relative ad un altro socio che ha una partecipazione indiretta in tale fondo tramite una società fiduciaria chiedere direttamente a detto fondo o a tale società di trasmettere la sua richiesta al socio interessato, allo scopo di fare conoscenza o discutere con quest’ultimo. Quest’ultimo potrebbe poi decidere liberamente se desidera mettersi in contatto con il socio richiedente o se preferisce non dare seguito a tale richiesta e mantenere il proprio anonimato. Tale soluzione potrebbe essere applicata anche nel caso in cui il socio richiedente desideri avviare con un altro socio negoziazioni volte all’acquisto delle quote di quest’ultimo o a coordinarsi con quest’ultimo ai fini della formazione di una volontà comune nell’ambito di decisioni di tutti i soci.
60 Tale soluzione consentirebbe, peraltro, al socio interessato dalla richiesta di informazioni, conformemente al principio della minimizzazione dei dati, menzionato al punto 52 della presente sentenza, di conservare il controllo sul trattamento dei suoi dati personali e di limitare così la loro divulgazione ad un altro socio a quanto è effettivamente necessario e pertinente rispetto alle finalità per le quali detti dati sono richiesti e trattati.
61 Non si può, quindi, escludere che una procedura quale quella descritta al punto precedente della presente sentenza possa essere considerata una misura che comporta una minore ingerenza nel diritto alla tutela della riservatezza dei dati personali dell’interessato, consentendo nel contempo al titolare del trattamento di perseguire, in modo altrettanto efficace, il legittimo interesse del terzo interessato, circostanza che spetta tuttavia al giudice del rinvio verificare.
62 In terzo luogo, per quanto riguarda la ponderazione degli interessi che spetta al giudice del rinvio effettuare alla luce delle circostanze specifiche del caso di specie, detto giudice deve tener conto in particolare delle ragionevoli aspettative dell’interessato, nonché della portata del trattamento in questione e dell’impatto di quest’ultimo su tale interessato [sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C‑252/21, EU:C:2023:537, punto 116].
63 Ne consegue che, nell’ambito di una siffatta ponderazione, da un lato, non si può, in linea di principio, escludere che la divulgazione di dati personali dei soci, anche indiretti, di una società di persone ad altri soci, possa favorire, eventualmente, gli interessi economici di ciascuno di essi e quindi, anche, gli interessi dei soci indiretti ai dati personali dei quali tali altri soci desiderano avere accesso.
64 Dall’altro lato, non si può neppure escludere che l’interesse dei soci che detengono una partecipazione indiretta in un fondo di investimento a che i loro dati personali restino riservati, possa prevalere su quello degli altri soci desiderosi di ottenere i loro recapiti. In tale prospettiva, occorre attribuire particolare importanza al fatto che è probabile, tenuto conto in particolare delle disposizioni contrattuali menzionate al punto 45 della presente sentenza, che i soci indiretti di un siffatto fondo di investimento non potessero ragionevolmente attendersi, al momento della raccolta dei loro dati personali, che questi ultimi fossero divulgati a terzi, nel caso di specie ad altri soci indiretti di tale fondo di investimento.
65 Dall’insieme delle considerazioni che precedono, e fatta salva la valutazione del giudice del rinvio, risulta dubbio che un trattamento di dati personali, quale la divulgazione delle informazioni richieste dalle ricorrenti nei procedimenti principali, possa essere giustificato in base ad un legittimo interesse, ai sensi dell’articolo 6, paragrafo 1, primo comma, lettera f), del RGPD.
66 Per quanto riguarda, infine, l’articolo 6, paragrafo 1, primo comma, lettera c), del RGPD, quest’ultimo prevede che un trattamento di dati personali è lecito se è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento.
67 L’articolo 6, paragrafo 3, del RGPD precisa in particolare, a tal riguardo, che il trattamento deve essere basato sul diritto dell’Unione o sul diritto dello Stato membro cui è soggetto il titolare del trattamento, e che tale base giuridica deve rispondere a un obiettivo di interesse pubblico ed essere proporzionata al legittimo obiettivo perseguito [sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C‑252/21, EU:C:2023:537, punto 128].
68 Inoltre, come enunciato dal considerando 41 di tale regolamento, qualora quest’ultimo faccia riferimento a una base giuridica o a una misura legislativa, ciò non richiede necessariamente l’adozione di un atto legislativo da parte di un parlamento, fatte salve le prescrizioni dell’ordinamento costituzionale dello Stato membro interessato. Tuttavia, tale base giuridica o misura legislativa dovrebbe essere chiara e precisa, e la sua applicazione prevedibile, per le persone che vi sono sottoposte, in conformità della giurisprudenza della Corte e della Corte europea dei diritti dell’uomo.
69 Nel caso di specie, da un lato, il diritto dell’Unione non prevede alcun obbligo per dei fondi di investimento o delle società fiduciarie di partecipazione, quali quelle di cui ai procedimenti principali, di procedere alla divulgazione dei dati personali dei soci che detengono partecipazioni indirette in tali fondi.
70 Dall’altro lato, dalle domande di pronuncia pregiudiziale emerge che un siffatto obbligo potrebbe tuttavia essere dedotto, fatte salve le verifiche che spetta al giudice del rinvio effettuare al riguardo, dalla giurisprudenza del Bundesgerichtshof (Corte federale di giustizia) e dell’Oberlandesgericht München (Tribunale superiore del Land, Monaco di Baviera) in forza della quale le clausole contrattuali che garantiscono la riservatezza dei recapiti dei soci indiretti di una società di persone ad azionariato diffuso, come quelle di cui trattasi nei procedimenti principali, dovrebbero essere considerate nulle, cosicché occorrerebbe divulgare i dati personali dei soci che detengono partecipazioni indirette in un fondo di investimento costituito sotto forma di società in accomandita ad azionariato diffuso.
71 A tal riguardo, occorre rilevare che, conformemente a quanto menzionato al punto 68 della presente sentenza, non si può escludere che «il diritto dello Stato membro cui è soggetto il titolare del trattamento», ai sensi dell’articolo 6, paragrafo 3, lettera b), del RGPD, comprenda anche la giurisprudenza nazionale.
72 Tuttavia, come risulta dal considerando 41 di tale regolamento, è richiesto che una tale giurisprudenza sia chiara e precisa e che la sua applicazione sia prevedibile per le persone che vi sono sottoposte, in conformità alla giurisprudenza della Corte.
73 Inoltre, conformemente alla giurisprudenza ricordata al punto 67 della presente sentenza, occorre altresì che detta giurisprudenza costituisca una base giuridica che risponda ad un obiettivo di interesse pubblico, che essa sia proporzionata a quest’ultimo e che il trattamento di cui trattasi sia effettuato nei limiti dello stretto necessario, circostanza che spetta al giudice del rinvio verificare [v., in tal senso, sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C‑252/21, EU:C:2023:537, punti 134 e 138].
74 Spetterà così a tale giudice stabilire, in particolare, se non esistano misure che, pur consentendo di garantire la trasparenza tra i soci di società di persone, come sembra derivare dal diritto tedesco, quale esposto ai punti da 18 a 22 della presente sentenza, siano meno pregiudizievoli per la tutela dei dati personali riservati dei soci indiretti di società in accomandita ad azionariato diffuso, rispetto all’obbligo di divulgare tali dati a qualsiasi altro socio che ne faccia richiesta.
75 Alla luce di tutto quanto precede, occorre rispondere alle questioni sollevate dichiarando che l’articolo 6, paragrafo 1, primo comma, lettera b), del RGPD deve essere interpretato nel senso che un trattamento di dati personali consistente nel divulgare, su richiesta di un socio di un fondo di investimento, costituito sotto forma di società di persone ad azionariato diffuso, informazioni su tutti i soci che detengono partecipazioni indirette in tale fondo, tramite società fiduciarie, indipendentemente dall’entità della loro partecipazione al capitale di detto fondo, al fine di entrare in contatto e negoziare con loro il riacquisto delle loro quote sociali, o ancora di coordinarsi con questi ultimi al fine di formare una volontà comune nell’ambito di decisioni dei soci, può essere considerato necessario, ai sensi di tale disposizione, all’esecuzione del contratto in forza del quale tali soci hanno acquistato tali partecipazioni, soltanto a condizione che tale trattamento sia oggettivamente indispensabile per realizzare una finalità che è parte integrante della prestazione contrattuale destinata a questi stessi soci, di modo che l’oggetto principale del contratto non potrebbe essere conseguito in assenza di tale trattamento. Ciò non si verifica se tale contratto esclude espressamente la divulgazione di tali dati personali ad altri detentori di partecipazioni.
76 L’articolo 6, paragrafo 1, primo comma, lettera f), del RGPD deve essere interpretato nel senso che un tale trattamento può essere considerato necessario per il perseguimento del legittimo interesse di terzi, ai sensi di tale disposizione, solo a condizione che detto trattamento sia strettamente necessario per la realizzazione di un simile legittimo interesse e, alla luce di tutte le circostanze pertinenti, gli interessi o le libertà e i diritti fondamentali di detti soci non prevalgano su tale interesse legittimo.
77 L’articolo 6, paragrafo 1, primo comma, lettera c), del RGPD deve essere interpretato nel senso che detto trattamento di dati personali è giustificato, ai sensi di tale disposizione, quando è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento, in virtù del diritto dello Stato membro interessato, come precisato dalla giurisprudenza di tale Stato membro, alla condizione che tale giurisprudenza sia chiara e precisa, che la sua applicazione sia prevedibile per le persone che vi sono sottoposte e che risponda a un obiettivo di interesse pubblico e sia proporzionata a quest’ultimo.
Sulle spese
78 Nei confronti delle parti nei procedimenti principali la presente causa costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.
Per questi motivi, la Corte (Quarta Sezione) dichiara:
1) L’articolo 6, paragrafo 1, primo comma, lettera b), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), deve essere interpretato nel senso che un trattamento di dati personali consistente nel divulgare, su richiesta di un socio di un fondo di investimento, costituito sotto forma di società di persone ad azionariato diffuso, informazioni su tutti i soci che detengono partecipazioni indirette in tale fondo, tramite società fiduciarie, indipendentemente dall’entità della loro partecipazione al capitale di detto fondo, al fine di entrare in contatto e negoziare con loro il riacquisto delle loro quote sociali, o ancora di coordinarsi con questi ultimi al fine di formare una volontà comune nell’ambito di decisioni dei soci, può essere considerato necessario, ai sensi di tale disposizione, all’esecuzione del contratto in forza del quale tali soci hanno acquistato tali partecipazioni soltanto a condizione che tale trattamento sia oggettivamente indispensabile per realizzare una finalità che è parte integrante della prestazione contrattuale destinata a questi stessi soci, di modo che l’oggetto principale del contratto non potrebbe essere conseguito in assenza di tale trattamento. Ciò non si verifica se tale contratto esclude espressamente la divulgazione di tali dati personali ad altri detentori di partecipazioni.
2) L’articolo 6, paragrafo 1, primo comma, lettera f), del regolamento 2016/679 deve essere interpretato nel senso che un tale trattamento può essere considerato necessario per il perseguimento del legittimo interesse di terzi, ai sensi di tale disposizione, solo a condizione che detto trattamento sia strettamente necessario per la realizzazione di un simile legittimo interesse e, alla luce di tutte le circostanze pertinenti, gli interessi o le libertà e i diritti fondamentali di detti soci non prevalgano su tale interesse legittimo.
3) L’articolo 6, paragrafo 1, primo comma, lettera c), del regolamento 2016/679 deve essere interpretato nel senso che detto trattamento di dati personali è giustificato, ai sensi di tale disposizione, quando è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento, in virtù del diritto dello Stato membro interessato, come precisato dalla giurisprudenza di tale Stato membro, a condizione che tale giurisprudenza sia chiara e precisa, che la sua applicazione sia prevedibile per le persone che vi sono sottoposte e che risponda a un obiettivo di interesse pubblico e sia proporzionata a quest’ultimo.
