La Corte di Giustizia UE nella sentenza del 7 dicembre 2023, nelle cause riunite C‑26/22 e C‑64/22, fornisce chiarimenti in merito in merito al rifiuto del Commissario per la protezione dei dati e la libertà di informazione del Land dell’Assia della Germania («HBDI») di ingiungere alla SCHUFA Holding AG di procedere alla soppressione di dati conservati da quest’ultima relativi alle esdebitazioni di UF e di AB. In particolare la Corte evidenzia che mentre lo «scoring» è autorizzato solo a determinate condizioni, la conservazione prolungata di informazioni sulla concessione di un’esdebitazione è contraria al RGPD.

La Corte di Giustizia UE è intervenuta nelle cause riunite C‑26/22 e C‑64/22, per fornire chiarimenti in merito in merito al rifiuto del Commissario per la protezione dei dati e la libertà di informazione del Land dell’Assia della Germania («HBDI») di ingiungere alla SCHUFA Holding AG (in prosieguo: la «SCHUFA») di procedere alla soppressione di dati conservati da quest’ultima relativi alle esdebitazioni di UF e di AB. Il caso Diversi cittadini contestano dinanzi al tribunale amministrativo di Wiesbaden (Germania) il rifiuto del competente garante per la protezione dei dati di agire contro talune attività della SCHUFA, una società privata che fornisce informazioni commerciali i cui clienti sono, in particolare, banche. Essi si oppongono concretamente allo «scoring» nonché alla conservazione di informazioni relative alla concessione di un’esdebitazione riprese da registri pubblici. Lo «scoring» è un metodo statistico matematico che consente di determinare una previsione sulla probabilità di un comportamento futuro, come il rimborso di un credito. Le informazioni relative alla concessione di un’esdebitazione sono conservate per sei mesi nel registro pubblico tedesco delle insolvenze, mentre un codice di condotta delle società tedesche che forniscono informazioni commerciali prevede, per le banche dati di competenza di queste ultime, una durata di conservazione di tre anni. Il tribunale amministrativo chiede alla Corte di giustizia di precisare la portata della protezione dei dati personali, come prevista dal regolamento generale sulla protezione dei dati (RGPD). Sentenze della Corte La Corte di Giustizia UE nella sentenza del 7 dicembre 2023, rileva innanzi tutto che, per quanto riguarda lo «scoring», esso deve essere considerato un «processo decisionale automatizzato» in linea di principio vietato dal RGPD, qualora i clienti della SCHUFA, quali le banche, gli attribuiscano un ruolo determinante nell'ambito della concessione di crediti. Secondo il tribunale amministrativo di Wiesbaden, questo è ciò che avviene. Spetta a tale tribunale valutare se la legge federale tedesca sulla protezione dei dati contenga, conformemente al RGPD, un'eccezione valida a tale divieto. In caso affermativo, esso dovrà ancora verificare se siano soddisfatte le condizioni generali previste dal RGPD per il trattamento dei dati. Per quanto riguarda le informazioni relative alla concessione di un’esdebitazione, la Corte dichiara contrario al RGPD il fatto che agenzie private conservino tali dati più a lungo del registro pubblico dei fallimenti. Infatti, l’esdebitazione riveste un'importanza esistenziale per la persona interessata, in quanto ha lo scopo di consentire a quest’ultima di partecipare nuovamente alla vita economica. Orbene, tali informazioni sono sempre utilizzate come fattore negativo nella valutazione della solvibilità della persona interessata. Nel caso di specie, il legislatore tedesco ha previsto una memorizzazione dei dati per sei mesi. Esso ritiene quindi che, al termine dei sei mesi, i diritti e gli interessi della persona interessata prevalgano su quelli del pubblico a disporre di tale informazione. Nei limiti in cui la conservazione dei dati è illecita, come avviene oltre i sei mesi, la persona interessata ha diritto a che tali dati siano cancellati e l'agenzia è tenuta a cancellarli senza ingiustificato ritardo.Per quanto riguarda la conservazione parallela di siffatte informazioni da parte della SCHUFA durante tali sei mesi, spetta al tribunale amministrativo ponderare gli interessi in gioco al fine di valutarne la liceità. Qualora esso dovesse concludere che è lecita la conservazione parallela durante sei mesi, l’interessato disporrà comunque di un diritto di opporsi al trattamento dei suoi dati e di un diritto alla loro cancellazione, a meno che la SCHUFA non dimostri l’esistenza di legittimi motivi cogenti. Infine, la Corte sottolinea che i giudici nazionali devono poter esercitare un controllo completo su qualsiasi decisione giuridicamente vincolante dell'autorità di controllo. Copyright © - Riproduzione riservata

Corte di Giustizia UE, sentenza 07/12/2023, cause riunite C‑26/22 e C‑64/22

Fonte: https://www.ipsoa.it/documents/quotidiano/2023/12/09/contraria-rgdp-conservazione-prolungata-informazioni-concessione-esdebitazione