Col proprio comunicato del 19 ottobre 2021, lo European Data Protection Board (Edpb, ossia il Comitato Europeo per la Protezione dei Dati) ha annunciato l’adozione della versione finale delle Linee Guida sull’art. 23 del Gdpr, n. 10/2020 (qui reperibili: https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-102020-restrictions-under-article-23-gdpr_en).
Si tratta di un passaggio importante in un’Europa in costante evoluzione, perché l’atto riguarda le limitazioni ai diritti fondamentali e ai diritti del soggetto interessato nel trattamento di dati personali per finalità pubbliche rilevanti (e prevalenti). Peraltro, l’art. 23 del Gdpr e le Linee Guida suddette vanno a completare la disciplina dell’art. 52 della Carta dei Diritti Fondamentali dell’Unione Europea (cd. Carta di Nizza), che recita: “Eventuali limitazioni all’esercizio dei diritti e delle libertà riconosciuti dalla presente Carta devono essere previste dalla legge e rispettare il contenuto essenziale di detti diritti e libertà. Nel rispetto del principio di proporzionalità, possono essere apportate limitazioni solo laddove siano necessarie e rispondano effettivamente a finalità di interesse generale riconosciute dall’Unione o all’esigenza di proteggere i diritti e le libertà altrui”. Il concetto è ribadito anche nel Considerando n. 41 del Gdpr.
Viene specificato che l’esercizio di un diritto possa essere ritardato nel tempo, oppure esercitato parzialmente o circoscritto a determinate categorie di dati, ovvero ancora che un diritto venga esercitato indirettamente attraverso un’autorità di controllo indipendente. Ne deriva che “restrizioni estese e invadenti”, nella misura in cui annullano un diritto fondamentale del suo contenuto fondamentale, non possono essere giustificate (§ 4 delle Linee Guida). Peraltro, in assenza di una precisa misura legislativa, i Titolari del trattamento non possono comprimere i diritti degli interessati invocando direttamente i motivi di cui all’articolo 23, § 1, del Gdpr.
Al fine di bilanciare le limitazioni con i diritti fondamentali del soggetto interessato, e quindi rispettare il combinato disposto di cui all’art. 52 della Carta di Nizza e all’art. 23 Gdpr, il legislatore deve effettuare un preliminare test di proporzionalità e necessità della misura da adottare. Se tale prova di necessità della misura di restrizione è soddisfatta, sarà valutata la proporzionalità della misura stessa. Va ricordato, inoltre, che per poter ritenere proporzionata la restrizione, questa deve essere idonea a conseguire gli obiettivi legittimi perseguiti dalla normativa controversa e non eccedere i limiti di quanto è appropriato e necessario per il raggiungimento di tali obiettivi. Se però il progetto di misura non supera il test di necessità, non è necessario esaminarne la proporzionalità.
Restano fermi gli obblighi e le responsabilità per il Titolare del trattamento (e del Dpo), ma soprattutto la possibilità per il soggetto interessato di adire l’Autorità Garante o il giudice nazionale al fine di censurarne l’operato (o far accertare l’incompatibilità della normativa interna con quella Ue).
