Importante regola affermata dalla Corte di Giustizia 14 marzo 2024, C-46/23,Budapest Főváros IV. Kerület Újpest Önkormányzat Polgármesteri Hivatala contro Nemzeti Adatvédelmi és Információszabadság Hatóság.
Seppur desumibile con una certa sicurezza dall’articolato complessivo del GDPR, è comunque importante, poichè toglie di mezzo eventiuali dubbi su un aspetto assai significativo nella pratica e non posto in modo espresso.
Quesiti proposti dal giudice ungherese:
«1) Se l’articolo 58, paragrafo 2, in particolare le lettere c), d) e g), del [RGPD] debba essere interpretato nel senso che l’autorità nazionale di controllo può, nell’esercizio dei suoi poteri correttivi, ingiungere al titolare o al responsabile del trattamento di cancellare i dati personali trattati illecitamente anche in assenza di un’esplicita richiesta dell’interessato ai sensi dell’articolo 17, paragrafo 1, del [RGPD].
2) Nel caso in cui si risponda alla prima questione pregiudiziale che l’autorità di controllo può ingiungere al titolare del trattamento o al responsabile del trattamento di cancellare i dati personali trattati illecitamente, anche in assenza di richiesta dell’interessato, se ciò sia indipendente dal fatto che i dati personali siano stati raccolti o meno presso l’interessato».
Intepretazione della CG:
<<1) L’articolo 58, paragrafo 2, lettere d) e g), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), deve essere interpretato nel senso che:
l’autorità di controllo di uno Stato membro è legittimata, nell’esercizio del suo potere di adozione delle misure correttive previste da tali disposizioni, a ordinare al titolare del trattamento o al responsabile del trattamento di cancellare dati personali che sono stati trattati illecitamente, e ciò anche qualora l’interessato non abbia presentato a tal fine alcuna richiesta di esercitare i suoi diritti in applicazione dell’articolo 17, paragrafo 1, di tale regolamento.
2) L’articolo 58, paragrafo 2, del regolamento 2016/679 deve essere interpretato nel senso che:
il potere dell’autorità di controllo di uno Stato membro di ordinare la cancellazione di dati personali che sono stati trattati illecitamente può riguardare sia dati raccolti presso l’interessato sia dati provenienti da un’altra fonte>>.