Direttiva europea non osta all'installazione di un sistema di videosorveglianza a protezione dei beni, della salute e della vita dei comproprietari di un immobile, dato che è suscettibile di essere qualificato come «legittimo interesse», ai sensi dell’articolo 7, lettera f), della direttiva 95/46.
Corte di giustizia dell'Unione europea
ECLI:EU:C:2019:1064
Terza Sezione)
11 dicembre 2019 (*)
«Rinvio pregiudiziale – Tutela delle persone fisiche con riguardo al trattamento dei dati personali – Carta dei diritti fondamentali dell’Unione europea – Articoli 7 e 8 – Direttiva 95/46/CE – Articolo 6, paragrafo 1, lettera c), e articolo 7, lettera f) – Legittimazione del trattamento di dati personali – Normativa nazionale che permette la videosorveglianza al fine di garantire la sicurezza e la protezione delle persone, dei beni e dei valori e la realizzazione di legittimi interessi, senza il consenso della persona interessata – Messa in opera di un sistema di videosorveglianza nelle parti comuni di un immobile ad uso abitativo»
Nella causa C‑708/18,
avente ad oggetto la domanda di pronuncia pregiudiziale proposta alla Corte, ai sensi dell’articolo 267 TFUE, dal Tribunalul Bucureşti (Tribunale superiore di Bucarest, Romania), con decisione del 2 ottobre 2018, pervenuta in cancelleria il 6 novembre 2018, nel procedimento
TK
contro
Asociaţia de Proprietari bloc M5A-ScaraA,
LA CORTE (Terza Sezione),
composta da A. Prechal (relatrice), presidente di sezione, L.S. Rossi, J. Malenovský, F. Biltgen e N. Wahl, giudici,
avvocato generale: G. Pitruzzella
cancelliere: A. Calot Escobar
vista la fase scritta del procedimento,
considerate le osservazioni presentate:
– per il governo rumeno, da C.‑R. Canţăr, O.‑C. Ichim e A. Wellman, in qualità di agenti;
– per il governo ceco, da M. Smolek, J. Vláčil e O. Serdula, in qualità di agenti;
– per il governo danese, da J. Nymann‑Lindegren, M. Wolff e P.Z.L. Ngo, in qualità di agenti;
– per l’Irlanda, da M. Browne, G. Hodge e A. Joyce, in qualità di agenti, assistiti da D. Fenelly, BL;
– per il governo austriaco, inizialmente da G. Hesse e J. Schmoll, poi da J. Schmoll, in qualità di agenti;
– per il governo portoghese, da L. Inez Fernandes, P. Barros da Costa, L. Medeiros, I. Oliveira e M. Cancela Carvalho, in qualità di agenti;
– per la Commissione europea, da H. Kranenborg, D. Nardi e L. Nicolae, in qualità di agenti,
vista la decisione, adottata dopo aver sentito l’avvocato generale, di giudicare la causa senza conclusioni,
ha pronunciato la seguente
Sentenza
1 La domanda di pronuncia pregiudiziale verte sull’interpretazione dell’articolo 6, paragrafo 1, lettera e), e dell’articolo 7, lettera f), della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU 1995, L 281, pag. 31), nonché degli articoli 8 e 52 della Carta dei diritti fondamentali dell’Unione europea (in prosieguo: la «Carta»).
2 Tale domanda è stata presentata nell’ambito di una controversia che oppone TK all’Asociaţia de Proprietari bloc M5A‑ScaraA (associazione dei comproprietari dell’immobile M5A‑scala A, Romania; in prosieguo: l’«associazione dei comproprietari»), in merito alla domanda di TK di ingiungere a detta associazione di mettere fuori servizio il sistema di videosorveglianza dell’immobile in questione e di rimuovere le telecamere installate in alcune parti comuni di quest’ultimo.
Contesto normativo
Diritto dell’Unione
3 La direttiva 95/46 è stata abrogata e sostituita, con effetto dal 25 maggio 2018, dal regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU 2016, L 119, pag. 1). Tuttavia, tenuto conto della data dei fatti pertinenti nella controversia di cui al procedimento principale, quest’ultima resta disciplinata dalle disposizioni della prima direttiva sopra citata.
4 Ai sensi del suo articolo 1, la direttiva 95/46 aveva ad oggetto la tutela dei diritti e delle libertà fondamentali delle persone fisiche, e segnatamente del diritto alla vita privata, con riguardo al trattamento dei dati personali, nonché l’eliminazione degli ostacoli alla libera circolazione di tali dati.
5 L’articolo 3 di detta direttiva prevedeva, al paragrafo 1, quanto segue:
«Le disposizioni della presente direttiva si applicano al trattamento di dati personali interamente o parzialmente automatizzato nonché al trattamento non automatizzato di dati personali contenuti o destinati a figurare [in un archivio]».
6 Il capo II della citata direttiva conteneva una sezione I, intitolata «Principi relativi alla qualità dei dati», composta dall’articolo 6 della direttiva stessa, il quale così disponeva:
«1. Gli Stati membri dispongono che i dati personali devono essere:
a) trattati lealmente e lecitamente;
b) rilevati per finalità determinate, esplicite e legittime, e successivamente trattati in modo non incompatibile con tali finalità. Il trattamento successivo dei dati per scopi storici, statistici o scientifici non è ritenuto incompatibile, purché gli Stati membri forniscano garanzie appropriate;
c) adeguati, pertinenti e non eccedenti rispetto alle finalità per le quali vengono rilevati e/o per le quali vengono successivamente trattati;
d) esatti e, se necessario, aggiornati; devono essere prese tutte le misure ragionevoli per cancellare o rettificare i dati inesatti o incompleti rispetto alle finalità per le quali sono rilevati o sono successivamente trattati, cancellati o rettificati;
e) conservati in modo da consentire l’identificazione delle persone interessate per un arco di tempo non superiore a quello necessario al conseguimento delle finalità per le quali sono rilevati o sono successivamente trattati. Gli Stati membri prevedono garanzie adeguate per i dati personali conservati oltre il suddetto arco di tempo per motivi storici, statistici o scientifici.
2. Il responsabile del trattamento è tenuto a garantire il rispetto delle disposizioni del paragrafo 1».
7 Nell’ambito della sezione II del medesimo capo II, intitolata «Principi relativi alla legittimazione del trattamento dei dati», l’articolo 7 della direttiva 95/46 stabiliva quanto segue:
«Gli Stati membri dispongono che il trattamento di dati personali può essere effettuato soltanto quando:
a) la persona interessata ha manifestato il proprio consenso in maniera inequivocabile, oppure
b) è necessario all’esecuzione [di un] contratto concluso [dalla] persona interessata o all’esecuzione di misure precontrattuali prese su richiesta di tale persona, oppure
c) è necessario per adempiere un obbligo legale al quale è soggetto il responsabile del trattamento, oppure
d) è necessario per la salvaguardia dell’interesse vitale della persona interessata, oppure
e) è necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il responsabile del trattamento o il terzo a cui vengono comunicati i dati, oppure
f) è necessario per [la realizzazione del legittimo interesse perseguito dal] responsabile del trattamento oppure [dal] o [dai] terzi cui vengono comunicati i dati, a condizione che non prevalgano l’interesse o i diritti e le libertà fondamentali della persona interessata, che richiedono tutela ai sensi dell’articolo 1, paragrafo 1».
Diritto rumeno
8 La Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (legge n. 677/2001 relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati) (Monitorul Oficial, parte I, n. 790, del 12 dicembre 2001), come modificata dalla legge n. 102/2005 e dal decreto d’urgenza del governo n. 36/2007, applicabile ratione temporis alla controversia di cui al procedimento principale, è stata adottata al fine di trasporre nell’ordinamento rumeno la direttiva 95/46.
9 L’articolo 5 di tale legge stabiliva:
«1. Qualsiasi trattamento di dati personali, salvo se riguardi dati rientranti nelle categorie menzionate all’articolo 7, paragrafo 1, e agli articoli 8 e 10, può essere effettuato unicamente se la persona interessata ha espressamente e inequivocabilmente manifestato il proprio consenso a tale trattamento.
2. Il consenso della persona interessata non è richiesto nei seguenti casi:
a) quando il trattamento è necessario per l’esecuzione di un contratto o di un contratto preliminare del quale la persona interessata è parte contraente, ovvero per l’adozione di misure, su richiesta di tale persona, prima della conclusione di un contratto o di un contratto preliminare;
b) qualora il trattamento sia necessario per la tutela della vita, dell’integrità fisica o della salute della persona interessata o di un’altra persona minacciata;
c) qualora il trattamento sia necessario per il rispetto di un obbligo legale imposto al responsabile del trattamento;
d) qualora il trattamento sia necessario per l’esecuzione di un compito di interesse pubblico o mirante all’esercizio dei pubblici poteri di cui è investito il responsabile del trattamento o il terzo al quale i dati vengono divulgati;
e) qualora il trattamento sia necessario per la realizzazione di un legittimo interesse del responsabile del trattamento o del terzo al quale i dati vengono divulgati, a condizione che tale interesse non pregiudichi l’interesse della persona riguardata o i diritti e le libertà fondamentali di quest’ultima;
f) qualora il trattamento riguardi dati relativi a documenti accessibili al pubblico, in conformità della legge;
g) qualora il trattamento venga effettuato esclusivamente per finalità statistiche, di ricerca storica o scientifica, e i dati restino anonimi per tutta la durata del trattamento.
3. Le disposizioni del paragrafo 2 lasciano impregiudicate le disposizioni di legge disciplinanti l’obbligo delle autorità pubbliche di rispettare e di tutelare la vita intima, familiare e privata».
10 La decisione n. 52/2012 dell’Autoritate Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (Autorità nazionale di vigilanza sul trattamento dei dati personali, Romania; in prosieguo: l’«ANSPDCP») concernente il trattamento dei dati personali mediante il ricorso a sistemi di videosorveglianza, nella versione applicabile alla controversia di cui al procedimento principale, prevedeva, all’articolo 1, quanto segue:
«La raccolta, la registrazione, lo stoccaggio, l’utilizzazione, la trasmissione, la divulgazione o qualsiasi altra operazione di trattamento delle immagini mediante sistemi di videosorveglianza, i quali permettano in modo diretto o indiretto di identificare delle persone fisiche, costituiscono operazioni di trattamento di dati personali che rientrano nell’ambito di applicazione della [legge n. 677/2001]».
11 L’articolo 4 di detta decisione disponeva quanto segue:
«La videosorveglianza può prevalentemente essere effettuata per le seguenti finalità:
a) la prevenzione degli illeciti e la lotta contro questi ultimi;
b) la vigilanza sulla circolazione stradale e l’accertamento delle infrazioni alle norme sul traffico stradale;
c) la sicurezza e la protezione delle persone, dei beni e delle attività, degli immobili e degli impianti di pubblica utilità, nonché delle relative aree;
d) la realizzazione di misure di interesse pubblico ovvero l’esercizio di prerogative attinenti ai pubblici poteri;
e) la realizzazione di legittimi interessi, a condizione di non pregiudicare i diritti e le libertà fondamentali delle persone interessate».
12 L’articolo 5, paragrafi da 1 a 3, della decisione suddetta recitava:
«1. La videosorveglianza può essere effettuata nei luoghi e negli spazi aperti o destinati al pubblico, ivi comprese le vie pubbliche di accesso situate su terreni pubblici o privati, alle condizioni previste dalla legge.
2. Le telecamere di sorveglianza sono installate in maniera visibile.
3. L’utilizzazione di sistemi di videosorveglianza dissimulati è vietata, tranne che nei casi previsti dalla legge».
13 L’articolo 6 della medesima decisione enunciava quanto segue:
«Il trattamento dei dati personali mediante sistemi di videosorveglianza viene effettuato con il consenso espresso e inequivocabile della persona interessata ovvero nei casi contemplati dall’articolo 5, paragrafo 2, della legge n. 677/2001[...]».
Procedimento principale e questioni pregiudiziali
14 TK risiede in un appartamento, di sua proprietà, situato nell’immobile M5A. Su richiesta di alcuni comproprietari di tale immobile, l’associazione dei comproprietari ha adottato, in occasione di un’assemblea generale tenutasi il 7 aprile 2016, una decisione che approvava l’installazione di telecamere di sorveglianza nell’immobile stesso.
15 In esecuzione di tale decisione, tre telecamere di sorveglianza sono state installate in alcune parti comuni dell’immobile M5A. La prima telecamera era orientata verso la facciata dell’immobile, mentre la seconda e la terza telecamera erano installate, rispettivamente, nell’atrio del piano terra e nell’ascensore dell’immobile.
16 TK si è opposto all’installazione di tale sistema di videosorveglianza, a motivo del fatto che esso costituiva una violazione del diritto al rispetto della vita privata.
17 Avendo constatato che, malgrado le sue numerose iniziative e il riconoscimento scritto, da parte dell’associazione dei comproprietari, dell’illegittimità del sistema di videosorveglianza installato, quest’ultimo continuava a funzionare, TK ha adito il giudice del rinvio al fine di ingiungere a detta associazione la rimozione delle tre telecamere e la messa fuori servizio definitiva di queste ultime, sotto pena di inflizione di una sanzione coercitiva dell’adempimento.
18 Dinanzi a detto giudice, TK ha fatto valere che il sistema di videosorveglianza in questione violava il diritto primario e il diritto derivato dell’Unione, e in particolare il diritto al rispetto della vita privata, nonché la normativa nazionale disciplinante il diritto al rispetto della vita privata. Detto interessato ha inoltre fatto valere che l’associazione dei comproprietari aveva assunto la funzione di responsabile del trattamento dei dati personali senza seguire la procedura di registrazione a tal fine prevista dalla legge.
19 L’associazione dei comproprietari ha osservato che la decisione di installare un sistema di videosorveglianza era stata presa al fine di controllare il più efficacemente possibile i movimenti in entrata e in uscita nell’immobile, a motivo del fatto che l’ascensore era stato oggetto di atti vandalici in numerose occasioni e che vari appartamenti nonché le parti comuni erano stati oggetto di effrazioni e furti.
20 Detta associazione ha altresì precisato che altre misure che essa aveva in precedenza adottato, ossia l’installazione di un sistema di ingresso nell’immobile con citofono e carta magnetica, non avevano impedito la commissione reiterata di illeciti della stessa natura.
21 L’associazione dei comproprietari ha inoltre trasmesso a TK il verbale che essa aveva redatto insieme alla società che aveva installato le telecamere del sistema di videosorveglianza, facendo presente che, il 21 ottobre 2016, si era proceduto alla cancellazione e alla disconnessione del disco rigido del sistema, che quest’ultimo era stato messo fuori servizio e che le immagini registrate erano state soppresse.
22 Detta associazione ha altresì comunicato all’interessato di cui sopra un ulteriore verbale, datato 18 maggio 2017, dal quale risultava che le tre telecamere di sorveglianza erano state disinstallate. Tale verbale precisava che l’associazione dei comproprietari aveva, nel frattempo, adempiuto la procedura che le consentiva di essere registrata come responsabile del trattamento di dati personali.
23 TK ha però fatto osservare dinanzi al giudice del rinvio che le tre telecamere di sorveglianza erano ancora al loro posto.
24 Il giudice del rinvio rileva che l’articolo 5 della legge n. 677/2001 prevede, in via generale, che un trattamento di dati personali, come la registrazione di immagini mediante un sistema di videosorveglianza, può essere effettuato soltanto se la persona interessata ha dato esplicitamente e inequivocabilmente il proprio consenso. Il paragrafo 2 del medesimo articolo enuncerebbe però una serie di eccezioni a tale regola, tra le quali figura quella relativa al caso in cui il trattamento di dati personali sia necessario per la tutela della vita, dell’integrità fisica o della salute della persona interessata o di un’altra persona minacciata. La decisione n. 52/2012 dell’ANSPDCP prevedrebbe un’eccezione della stessa natura.
25 Il giudice del rinvio fa poi riferimento, in particolare, all’articolo 52, paragrafo 1, della Carta, il quale sancisce il principio secondo cui deve esistere un rapporto di proporzionalità tra l’obiettivo perseguito mediante l’ingerenza nei diritti e nelle libertà dei cittadini e i mezzi utilizzati.
26 Orbene, secondo detto giudice, il sistema di videosorveglianza in discussione dinanzi ad esso non sembra essere stato utilizzato con modalità o per uno scopo che non corrispondesse all’obiettivo dichiarato dall’associazione dei comproprietari, ossia quello di tutelare la vita, l’integrità fisica e la salute delle persone interessate, vale a dire i comproprietari dell’immobile nel quale detto sistema è stato installato.
27 Alla luce di tali circostanze, il Tribunalul Bucureşti (Tribunale superiore di Bucarest, Romania) ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali:
«1) Se gli articoli 8 e 52 della Carta e l’articolo 7, lettera f), della direttiva 95/46 debbano essere interpretati nel senso che essi ostano a disposizioni nazionali come quelle in discussione nella specie, vale a dire l’articolo 5, paragrafo 2, della legge n. 677/2001 e l’articolo 6 della decisione n. 52/2012 dell’ANSPDCP, le quali prevedano la possibilità dell’utilizzo della videosorveglianza per garantire la sicurezza e la tutela delle persone, dei beni e dei valori e per la realizzazione di legittimi interessi, senza il consenso della persona interessata.
2) Se gli articoli 8 e 52 della Carta debbano essere interpretati nel senso che la limitazione dei diritti e delle libertà mediante la videosorveglianza rispetta il principio di proporzionalità, e soddisfa il requisito secondo cui essa deve essere “necessaria” e deve “rispondere effettivamente a finalità di interesse generale riconosciute dall’Unione o all’esigenza di proteggere i diritti e le libertà altrui”, qualora il responsabile del trattamento possa adottare altre misure per tutelare il legittimo interesse perseguito.
3) Se l’articolo 7, lettera f), della direttiva 95/46 debba essere interpretato nel senso che il “legittimo interesse” del responsabile del trattamento deve essere comprovato, esistente e attuale al momento del trattamento.
4) Se l’articolo 6, paragrafo l, lettera e), della direttiva 95/46 debba essere interpretato nel senso che un trattamento (la videosorveglianza) è eccessivo o inappropriato qualora il responsabile del trattamento possa adottare altre misure per proteggere il legittimo interesse perseguito».
Sulle questioni pregiudiziali
28 In via preliminare, occorre constatare, in primo luogo, che, sebbene il giudice del rinvio faccia riferimento, con la sua quarta questione, all’articolo 6, paragrafo 1, lettera e), della direttiva 95/46, esso però non fornisce alcun chiarimento riguardo alla pertinenza di tale disposizione ai fini della soluzione della controversia di cui al procedimento principale.
29 Infatti, la disposizione di cui sopra riguarda unicamente i requisiti che la conservazione di dati personali deve soddisfare. Orbene, nel fascicolo a disposizione della Corte non vi è alcun elemento che permetta di ritenere che la controversia di cui al procedimento principale verta su tale aspetto.
30 Per contro, nella misura in cui, mediante la questione suddetta, il giudice del rinvio chiede, in sostanza, se la messa in opera di un sistema di videosorveglianza, quale quello controverso dinanzi ad esso, sia proporzionata alle finalità perseguite, occorre rilevare che la questione se i dati personali raccolti mediante tale sistema soddisfino il requisito di proporzionalità è correlata all’interpretazione dell’articolo 6, paragrafo 1, lettera c), della direttiva 95/46.
31 Orbene, quest’ultima disposizione deve essere presa in considerazione in sede di verifica della seconda condizione di applicazione enunciata all’articolo 7, lettera f), della direttiva 95/46, secondo cui il trattamento dei dati personali deve essere «necessario» per la realizzazione del legittimo interesse perseguito.
32 In secondo luogo, mediante la sua prima e la sua seconda questione, il giudice del rinvio fa riferimento agli articoli 8 e 52 della Carta, presi isolatamente ovvero letti in combinato disposto con l’articolo 7, lettera f), della direttiva 95/46. Orbene, la Corte ha già precisato che la valutazione della condizione enunciata da quest’ultima disposizione, relativa all’esistenza di diritti e di libertà fondamentali della persona interessata dalla tutela dei dati, i quali prevarrebbero sul legittimo interesse perseguito dal responsabile del trattamento dei dati ovvero dal terzo o dai terzi ai quali i dati vengono trasmessi, esige che si proceda ad una ponderazione degli opposti diritti e interessi in gioco sulla base delle circostanze concrete dello specifico caso in questione, nell’ambito della quale si deve tener conto dell’importanza dei diritti della persona interessata risultanti dagli articoli 7 e 8 della Carta (sentenza del 24 novembre 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 e C‑469/10, EU:C:2011:777, punto 40). Ne consegue che i citati articoli 8 e 52 non devono, nel caso di specie, essere applicati in maniera isolata.
33 Alla luce di quanto sopra esposto, occorre considerare che, mediante le sue questioni, le quali vanno esaminate congiuntamente, il giudice del rinvio chiede, in sostanza, se l’articolo 6, paragrafo 1, lettera c), e l’articolo 7, lettera f), della direttiva 95/46, letti alla luce degli articoli 7 e 8 della Carta, debbano essere interpretati nel senso che essi ostano a disposizioni nazionali, le quali autorizzino la messa in opera di un sistema di videosorveglianza, come il sistema controverso nel procedimento principale, installato nelle parti comuni di un immobile ad uso abitativo, al fine di perseguire legittimi interessi consistenti nell’assicurare la sicurezza e la tutela delle persone e dei beni, senza il consenso delle persone interessate.
34 Occorre ricordare che una sorveglianza effettuata mediante una registrazione video delle persone, stoccata in un dispositivo di registrazione continua, vale a dire un disco rigido, costituisce, a norma dell’articolo 3, paragrafo 1, della direttiva 95/46, un trattamento di dati personali automatizzato (sentenza dell’11 dicembre 2014, Ryneš, C‑212/13, EU:C:2014:2428, punto 25).
35 Pertanto, un sistema di videosorveglianza mediante telecamere deve essere qualificato come trattamento di dati personali automatizzato, ai sensi della disposizione sopra citata, qualora il dispositivo installato permetta di registrare e di stoccare dati personali, come delle immagini che consentano di identificare delle persone fisiche. Incombe al giudice del rinvio verificare se il sistema controverso nel procedimento principale presenti caratteristiche siffatte.
36 Inoltre, qualsiasi trattamento di dati personali deve, da un lato, essere conforme ai principi relativi alla qualità dei dati, enunciati all’articolo 6 della direttiva 95/46, e, dall’altro, rispondere ad uno dei principi relativi alla legittimazione dei trattamenti di dati, elencati all’articolo 7 della medesima direttiva (sentenza del 13 maggio 2014, Google Spain e Google, C‑131/12, EU:C:2014:317, punto 71 nonché la giurisprudenza ivi citata).
37 L’articolo 7 della direttiva 95/46 stabilisce un elenco esaustivo e tassativo dei casi nei quali un trattamento di dati personali può essere considerato lecito. Gli Stati membri non possono né aggiungere all’articolo suddetto nuovi principi relativi alla legittimazione dei trattamenti di dati personali, né prevedere requisiti supplementari che vengano a modificare la portata di uno dei sei principi previsti da tale articolo (sentenza del 19 ottobre 2016, Breyer, C‑582/14, EU:C:2016:779, punto 57).
38 Ne consegue che, per poter essere considerato legittimo, un trattamento di dati personali deve rientrare in uno dei sei casi previsti dall’articolo 7 della direttiva 95/46.
39 Le questioni sollevate dal giudice del rinvio riguardano in particolare il principio relativo alla legittimazione dei trattamenti di dati contemplato all’articolo 7, lettera f), della direttiva 95/46, disposizione che è stata trasposta nell’ordinamento giuridico rumeno mediante l’articolo 5, paragrafo 2, lettera e), della legge n. 677/2001, al quale rinvia anche l’articolo 6 della decisione n. 52/2012 dell’ANSPDCP per quanto riguarda specificamente il trattamento di dati personali mediante il ricorso a sistemi di videosorveglianza.
40 A questo proposito, l’articolo 7, lettera f), della direttiva 95/46 prevede tre condizioni cumulative affinché un trattamento di dati personali sia lecito, vale a dire, in primo luogo, il perseguimento di un legittimo interesse da parte del responsabile del trattamento oppure da parte del terzo o dei terzi cui vengono comunicati i dati, in secondo luogo, la necessità del trattamento dei dati personali per la realizzazione del legittimo interesse perseguito e, in terzo luogo, l’esigenza che i diritti e le libertà fondamentali della persona interessata dalla protezione dei dati non prevalgano sul legittimo interesse perseguito (sentenza del 4 maggio 2017, Rīgas satiksme, C‑13/16, EU:C:2017:336, punto 28).
41 Occorre sottolineare che l’articolo 7, lettera f), della direttiva 95/46 non esige il consenso della persona interessata. Tale consenso figura nondimeno, quale condizione cui è subordinato il trattamento dei dati personali, unicamente all’articolo 7, lettera a), di detta direttiva.
42 Nel caso di specie, l’obiettivo che persegue, in sostanza, il responsabile del trattamento dei dati allorché mette in opera un sistema di videosorveglianza quale quello controverso nel procedimento principale, vale a dire la protezione dei beni, della salute e della vita dei comproprietari di un immobile, è suscettibile di essere qualificato come «legittimo interesse», ai sensi dell’articolo 7, lettera f), della direttiva 95/46. La prima condizione stabilita da tale disposizione appare dunque, in linea di principio, soddisfatta (v., per analogia, sentenza dell’11 dicembre 2014, Ryneš, C‑212/13, EU:C:2014:2428, punto 34).
43 Il giudice del rinvio si pone tuttavia la questione se la prima delle condizioni previste dal citato articolo 7, lettera f), debba essere intesa nel senso che l’interesse perseguito dal responsabile di cui trattasi deve, da un lato, essere «comprovato» e, dall’altro, essere «esistente e attuale al momento del trattamento».
44 A questo proposito, occorre rilevare che, come fatto valere anche dai governi rumeno e ceco, dall’Irlanda, dal governo austriaco, da quello portoghese, nonché dalla Commissione, poiché, a norma dell’articolo 7, lettera f), della direttiva 95/46, il responsabile del trattamento di dati personali o il terzo cui i dati vengono comunicati deve perseguire un legittimo interesse che giustifichi tale trattamento, questo interesse deve essere esistente e attuale alla data del trattamento e non deve in quel momento presentare carattere ipotetico. Tuttavia, non si può necessariamente esigere, nel valutare l’insieme delle circostanze del caso di specie, che sia stato in precedenza arrecato pregiudizio alla sicurezza dei beni e delle persone.
45 Nel caso di specie, in una situazione quale quella che si presenta nel procedimento principale, la condizione attinente al sussistere di un interesse esistente e attuale sembra comunque soddisfatta, in quanto il giudice del rinvio osserva che prima della messa in opera del sistema di videosorveglianza si erano verificati furti, violazioni di domicilio e atti di vandalismo, e ciò malgrado l’installazione, nell’atrio dell’immobile, di un sistema di sicurezza composto da un citofono e da una carta magnetica.
46 Quanto alla seconda condizione stabilita dall’articolo 7, lettera f), della direttiva 95/46, relativa alla necessità del ricorso ad un trattamento dei dati personali ai fini della realizzazione del legittimo interesse perseguito, la Corte ha ricordato che le deroghe e le restrizioni al principio della tutela dei dati personali devono aver luogo nei limiti dello stretto necessario (sentenza del 4 maggio 2017, Rīgas satiksme, C‑13/16, EU:C:2017:336, punto 30 e la giurisprudenza ivi citata).
47 Tale condizione impone al giudice del rinvio di verificare che il legittimo interesse del trattamento dei dati perseguito mediante la videosorveglianza controversa nel procedimento principale, il quale consiste, in sostanza, nel garantire la sicurezza dei beni e delle persone e nel prevenire la realizzazione di illeciti, non possa ragionevolmente essere raggiunto in modo altrettanto efficace mediante altri mezzi meno pregiudizievoli per le libertà e i diritti fondamentali delle persone interessate, in particolare per i diritti al rispetto della vita privata e alla tutela dei dati personali garantiti dagli articoli 7 e 8 della Carta.
48 Inoltre, come sostenuto dalla Commissione, la condizione attinente alla necessità del trattamento deve essere esaminata unitamente al principio cosiddetto della «minimizzazione dei dati» sancito all’articolo 6, paragrafo 1, lettera c), della direttiva 95/46, secondo il quale i dati personali devono essere «adeguati, pertinenti e non eccedenti rispetto alle finalità per le quali vengono rilevati e/o per le quali vengono successivamente trattati».
49 Risulta dal fascicolo a disposizione della Corte che le esigenze attinenti al carattere proporzionato del trattamento di dati controverso nel procedimento principale sembrano essere state prese in considerazione. Infatti, è pacifico che inizialmente sono state messe in atto misure alternative consistenti in un sistema di sicurezza installato nell’atrio dell’immobile, composto da un citofono e da una carta magnetica, le quali però si sono rivelate insufficienti. Inoltre, il dispositivo di videosorveglianza in questione è limitato alle parti comuni della comproprietà e alle vie di accesso a quest’ultima.
50 Tuttavia, il carattere proporzionato del trattamento dei dati mediante un dispositivo di videosorveglianza deve essere valutato tenendo conto delle concrete modalità di attuazione e di funzionamento di tale dispositivo, le quali devono limitare l’incidenza del medesimo sui diritti e sulle libertà delle persone interessate, garantendo al tempo stesso l’efficacia del sistema di videosorveglianza in questione.
51 Così, come osservato dalla Commissione, la condizione attinente alla necessità del trattamento implica che il responsabile di quest’ultimo deve esaminare, per esempio, se sia sufficiente che la videosorveglianza funzioni soltanto di notte oppure al di fuori delle ore di lavoro normali e bloccare o sfuocare le immagini prese in zone in cui la sorveglianza non è necessaria.
52 Infine, quanto alla terza condizione fissata all’articolo 7, lettera f), della direttiva 95/46, relativa all’esistenza di diritti e di libertà fondamentali della persona interessata dalla tutela dei dati, i quali prevarrebbero sul legittimo interesse perseguito dal responsabile del trattamento dei dati ovvero dal terzo o dai terzi cui i dati vengono comunicati, occorre ricordare, come si è già menzionato al punto 32 della presente sentenza, che la valutazione di tale condizione impone di effettuare una ponderazione degli opposti diritti e interessi in gioco sulla base delle circostanze concrete dello specifico caso in questione, nell’ambito della quale si deve tener conto dell’importanza dei diritti della persona interessata risultanti dagli articoli 7 e 8 della Carta.
53 In tale contesto, la Corte ha statuito che l’articolo 7, lettera f), della direttiva 95/46 osta a che uno Stato membro escluda in modo categorico e generalizzato la possibilità che talune categorie di dati personali siano oggetto di trattamento, senza consentire di effettuare una ponderazione degli opposti diritti e interessi in gioco in uno specifico caso. Uno Stato membro non può quindi stabilire, per tali categorie, in modo definitivo, il risultato della ponderazione degli opposti diritti e interessi, senza consentire un risultato differente in ragione di particolari circostanze di un caso concreto (sentenza del 19 ottobre 2016, Breyer, C‑582/14, EU:C:2016:779, punto 62).
54 Risulta altresì dalla giurisprudenza della Corte che, al fine di effettuare tale ponderazione, è possibile prendere in considerazione il carattere variabile – in funzione della possibilità di accedere ai dati di cui trattasi in fonti accessibili al pubblico – della gravità del pregiudizio arrecato ai diritti fondamentali della persona interessata da detto trattamento (v., in tal senso, sentenza del 4 maggio 2017, Rīgas satiksme, C‑13/16, EU:C:2017:336, punto 32).
55 A differenza dei trattamenti di dati contenuti in fonti accessibili al pubblico, i trattamenti di dati risultanti da fonti che non sono accessibili al pubblico implicano che delle informazioni sulla vita privata della persona interessata saranno ormai conosciute dal responsabile del trattamento e, eventualmente, dal terzo o dai terzi ai quali i dati vengono comunicati. Tale più grave pregiudizio arrecato ai diritti della persona interessata, sanciti dagli articoli 7 e 8 della Carta, deve essere preso in considerazione e messo in bilanciamento con il legittimo interesse perseguito dal responsabile del trattamento oppure dal terzo o dai terzi ai quali i dati vengono comunicati (v., in tal senso, sentenza del 24 novembre 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 e C‑469/10, EU:C:2011:777, punto 45).
56 Il criterio attinente alla gravità del pregiudizio ai diritti e alle libertà della persona interessata costituisce un elemento essenziale nell’effettuazione della ponderazione o della messa in bilanciamento caso per caso, richiesta dall’articolo 7, lettera f), della direttiva 95/46.
57 A tale titolo, si deve segnatamente tener conto della natura dei dati personali in questione, e in particolare della loro natura eventualmente sensibile, nonché della natura e delle modalità concrete del trattamento dei dati di cui trattasi, in particolare del numero di persone che hanno accesso a tali dati e delle modalità di accesso a questi ultimi.
58 Sono del pari pertinenti ai fini della ponderazione suddetta le ragionevoli aspettative della persona interessata a che i propri dati personali non vengano trattati qualora, nelle circostanze del caso di specie, detta persona non possa ragionevolmente attendersi un successivo trattamento dei dati stessi.
59 Infine, tali elementi devono essere messi in bilanciamento con l’importanza, per l’insieme dei comproprietari dell’immobile in questione, del legittimo interesse perseguito nella specie mediante il sistema di videosorveglianza di cui trattasi, là dove quest’ultimo mira essenzialmente a garantire la tutela dei beni, della salute e della vita dei suddetti comproprietari.
60 Alla luce delle considerazioni sopra esposte, occorre rispondere alle questioni sollevate dichiarando che l’articolo 6, paragrafo 1, lettera c), e l’articolo 7, lettera f), della direttiva 95/46, letti alla luce degli articoli 7 e 8 della Carta, devono essere interpretati nel senso che essi non ostano a disposizioni nazionali, le quali autorizzino la messa in opera di un sistema di videosorveglianza, come il sistema controverso nel procedimento principale installato nelle parti comuni di un immobile ad uso abitativo, al fine di perseguire legittimi interessi consistenti nel garantire la sicurezza e la tutela delle persone e dei beni, senza il consenso delle persone interessate, qualora il trattamento di dati personali effettuato mediante il sistema di videosorveglianza in parola soddisfi le condizioni enunciate nel succitato articolo 7, lettera f), aspetto questo la cui verifica incombe al giudice del rinvio.
Sulle spese
61 Nei confronti delle parti nel procedimento principale la presente causa costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.
Per questi motivi, la Corte (Terza Sezione) dichiara:
L’articolo 6, paragrafo 1, lettera c), e l’articolo 7, lettera f), della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, letti alla luce degli articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione europea, devono essere interpretati nel senso che essi non ostano a disposizioni nazionali, le quali autorizzino la messa in opera di un sistema di videosorveglianza, come il sistema controverso nel procedimento principale installato nelle parti comuni di un immobile ad uso abitativo, al fine di perseguire legittimi interessi consistenti nel garantire la sicurezza e la tutela delle persone e dei beni, senza il consenso delle persone interessate, qualora il trattamento di dati personali effettuato mediante il sistema di videosorveglianza in parola soddisfi le condizioni enunciate nel succitato articolo 7, lettera f), aspetto questo la cui verifica incombe al giudice del rinvio.