Trattamento dei dati personali: per la CGUE l’interessato deve poter impugnare le decisioni prese da un’autorità di controllo sull’accesso ai propri dati

Un cittadino ha chiesto all'autorità nazionale di sicurezza belga di rilasciargli, a fini professionali, un nulla osta di sicurezza. Tale documento gli è stato negato con la motivazione che egli aveva partecipato ad alcune manifestazioni.

Invocando il diritto di accesso ai propri dati, tale cittadino si è rivolto all'Organo di controllo delle informazioni di polizia, il quale gli ha comunicato che egli disponeva soltanto di un accesso indiretto e che l'organo stesso avrebbe verificato la legittimità del trattamento dei suoi dati. Tuttavia, al termine di tale verifica, come consentito dalla legge belga, detto organo si è limitato a rispondergli di aver eseguito le verifiche necessarie. Tale cittadino ha quindi proposto un ricorso giurisdizionale dinanzi al giudice di primo grado, il quale si è dichiarato incompetente per materia.

La Corte d'appello di Bruxelles (Belgio), adita dall'interessato e dalla Ligue des droits humains (Lega dei diritti umani), chiede alla Corte di giustizia se il diritto dell'Unione imponga agli Stati membri di prevedere che la persona interessata dal trattamento dei suoi dati possa impugnare la decisione dell'autorità di controllo qualora quest'ultima eserciti i diritti di detta persona con riguardo al trattamento di cui trattasi.

La Corte considera che, informando l'interessato dell'esito delle verifiche, l'autorità di controllo competente adotta una decisione giuridicamente vincolante. Tale decisione deve poter essere oggetto di ricorso affinché l'interessato possa contestare la valutazione compiuta dall'autorità di controllo sulla legittimità del trattamento di dati e sulla decisione di esercitare o meno i poteri correttivi.

La Corte rileva che il diritto dell'Unione impone all'autorità di controllo di informare l'interessato, «perlomeno, di aver eseguito tutte le verifiche necessarie o un riesame» e del suo «diritto di proporre ricorso giurisdizionale».

Qualora non vi ostino gli obiettivi di interesse pubblico, gli Stati membri devono tuttavia prevedere che l'informazione dell'interessato possa andare oltre tali informazioni minime affinché quest'ultimo sia posto in condizione di difendere i propri diritti e di decidere se adire o meno il giudice competente.

Inoltre, nei casi in cui l'informazione così fornita all'interessato sia stata limitata allo stretto necessario, gli Stati membri devono garantire che il giudice competente, al fine di verificare la fondatezza dei motivi che hanno giustificato una siffatta limitazione di tali informazioni, possa effettuare un bilanciamento tra gli obiettivi di interesse pubblico perseguiti (sicurezza nazionale, prevenzione, indagine, accertamento e perseguimento di reati) e la necessità di garantire ai cittadini il rispetto dei loro diritti procedurali. Nell'ambito di tale controllo giurisdizionale, le norme nazionali devono consentire al giudice di prendere conoscenza della motivazione e degli elementi di prova all'origine della decisione dell'autorità di controllo, ma anche delle conclusioni che essa ne ha tratto.