La Sezione Quarta della Corte di Giustizia UE, con sentenza del 02 settembre 2024, resa nelle cause riunite C‑17/22 e C‑18/22 ha chiarito quando è consentita, in conformità al GDPR, la divulgazione dei dati personali (nomi e indirizzi) di tutti i soci di fondi di investimento (nel caso di specie, il fondo è costituito sotto forma di società in accomandita ad azionariato diffuso) che detengano partecipazioni indirette nello stesso, tramite società fiduciarie.
La Corte ha affermato sul punto che la divulgazione di informazioni sui soci con partecipazioni indirette, tramite una società fiduciaria (che è da considerarsi ai sensi del GDPR trattamento di dati personali), può essere considerata necessaria per l’esecuzione di un contratto, ma solo se oggettivamente indispensabile per realizzare una finalità essenziale della prestazione contrattuale.
Ciò non è consentito, tuttavia, qualora il contratto escluda espressamente tale divulgazione.
Può inoltre considerarsi necessaria per il perseguimento del legittimo interesse di un terzo, solo a condizione che tale trattamento sia strettamente necessario per la realizzazione di tale legittimo interesse e gli interessi o le libertà e i diritti fondamentali dei soci non prevalgano su tale interesse del terzo.
Infine, tale divulgazione può ritenersi giustificata, quando è necessaria per adempiere ad un obbligo legale al quale è soggetto il titolare del trattamento, come precisato dalla giurisprudenza dello Stato membro che lo preveda, ma a condizione che tale giurisprudenza:
- sia chiara e precisa
- che la sua applicazione sia prevedibile per le persone che vi sono sottoposte
- che risponda a un obiettivo di interesse pubblico
- sia proporzionata all’obbiettivo di interesse pubblico perseguito
Questo il principio di diritto espresso dalla Corte:
- L’art. 6, paragrafo 1, c. 1, lett. b), del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), deve essere interpretato nel senso che:
un trattamento di dati personali consistente nel divulgare, su richiesta di un socio di un fondo di investimento, costituito sotto forma di società di persone ad azionariato diffuso, informazioni su tutti i soci che detengono partecipazioni indirette in tale fondo, tramite società fiduciarie, indipendentemente dall’entità della loro partecipazione al capitale di detto fondo, al fine di entrare in contatto e negoziare con loro il riacquisto delle loro quote sociali, o ancora di coordinarsi con questi ultimi al fine di formare una volontà comune nell’ambito di decisioni dei soci, può essere considerato necessario, ai sensi di tale disposizione, all’esecuzione del contratto in forza del quale tali soci hanno acquistato tali partecipazioni soltanto a condizione che tale trattamento sia oggettivamente indispensabile per realizzare una finalità che è parte integrante della prestazione contrattuale destinata a questi stessi soci, di modo che l’oggetto principale del contratto non potrebbe essere conseguito in assenza di tale trattamento. Ciò non si verifica se tale contratto esclude espressamente la divulgazione di tali dati personali ad altri detentori di partecipazioni.
- L’art. 6, paragrafo 1, c. 1, lett. f), Regolamento 2016/679 deve essere interpretato nel senso che:
un tale trattamento può essere considerato necessario per il perseguimento del legittimo interesse di terzi, ai sensi di tale disposizione, solo a condizione che detto trattamento sia strettamente necessario per la realizzazione di un simile legittimo interesse e, alla luce di tutte le circostanze pertinenti, gli interessi o le libertà e i diritti fondamentali di detti soci non prevalgano su tale interesse legittimo.
- L’art. 6, paragrafo 1, c. 1, lett. c), Regolamento 2016/679 deve essere interpretato nel senso che:
detto trattamento di dati personali è giustificato, ai sensi di tale disposizione, quando è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento, in virtù del diritto dello Stato membro interessato, come precisato dalla giurisprudenza di tale Stato membro, a condizione che tale giurisprudenza sia chiara e precisa, che la sua applicazione sia prevedibile per le persone che vi sono sottoposte e che risponda a un obiettivo di interesse pubblico e sia proporzionata a quest’ultimo.