Sentenza della Corte (Seconda Sezione) del 20 dicembre 2017.

SENTENZA DELLA CORTE (Seconda Sezione)

20 dicembre 2017 (*1)

«Rinvio pregiudiziale – Tutela delle persone fisiche con riguardo al trattamento dei dati personali – Direttiva 95/46/CE – Articolo 2, lettera a) – Nozione di “dati personali” – Risposte scritte fornite da un candidato durante un esame professionale – Annotazioni dell’esaminatore relative a tali risposte – Articolo 12, lettere a) e b) – Portata dei diritti di accesso e di rettifica della persona interessata»

Nella causa C‑434/16,

avente ad oggetto la domanda di pronuncia pregiudiziale proposta alla Corte, ai sensi dell’articolo 267 TFUE, dalla Supreme Court (Corte Suprema, Irlanda), con decisione del 29 luglio 2016, pervenuta in cancelleria il 4 agosto 2016, nel procedimento

Peter Nowak

contro

Data Protection Commissioner,

LA CORTE (Seconda Sezione),

composta da M. Ilešič (relatore), presidente di sezione, A. Rosas, C. Toader, A. Prechal ed E. Jarašiūnas, giudici,

avvocato generale: J. Kokott

cancelliere: M. Aleksejev, amministratore

vista la fase scritta del procedimento e in seguito all’udienza del 22 giugno 2017,

considerate le osservazioni presentate:

• per P. Nowak, da G. Rudden, solicitor, e N. Travers, SC;
• per il Data Protection Commissioner, da D. Young, solicitor, e P. A. McDermott, SC;
• per l’Irlanda, da E. Creedon, L. Williams e A. Joyce, in qualità di agenti, assistiti da A. Caroll, barrister;
• per il governo ceco, da M. Smolek e J. Vláčil, in qualità di agenti;
• per il governo ellenico, da G. Papadaki e S. Charitaki, in qualità di agenti;
• per il governo ungherese, da M. Z. Fehér e A. Pálfy, in qualità di agenti;
• per il governo austriaco, da G. Eberhard, in qualità di agente;
• per il governo polacco, da B. Majczyna, in qualità di agente;
• per il governo portoghese, da L. Inez Fernandes, M. Figueiredo e I. Oliveira, in qualità di agenti;
• per la Commissione europea, da D. Nardi e H. Kranenborg, in qualità di agenti,

sentite le conclusioni dell’avvocato generale, presentate all’udienza del 20 luglio 2017,

ha pronunciato la seguente

Sentenza

1La domanda di pronuncia pregiudiziale riguarda l’interpretazione della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati ( GU 1995, L 281, pag. 31 ).

2Tale domanda è stata presentata nell’ambito di una controversia tra il sig. Peter Nowak e il Data Protection Commissioner (garante per la protezione dei dati personali, Irlanda), in merito al rifiuto di quest’ultimo di consentire al sig. Nowak l’accesso alla copia corretta di una prova d’esame che egli aveva svolto, in ragione del fatto che le informazioni ivi contenute non costituivano dati personali.

Contesto normativo

Diritto dell’Unione

Direttiva 95/46

3La direttiva 95/46, che, a tenore del suo articolo 1, ha per oggetto la tutela dei diritti e delle libertà fondamentali delle persone fisiche e particolarmente del diritto alla vita privata, con riguardo al trattamento dei dati personali, nonché l’eliminazione degli ostacoli alla libera circolazione di tali dati, ai considerando 25, 26 e 41, enuncia quanto segue:

«(25)

considerando che i principi di tutela si esprimono, da un lato, nei vari obblighi a carico delle persone (…) responsabili del trattamento, obblighi relativi in particolare alla qualità dei dati, alla sicurezza tecnica, alla notificazione all’autorità di controllo, alle circostanze in cui il trattamento può essere effettuato e, dall’altro, nel diritto delle persone, i cui dati sono oggetto di trattamento, di esserne informate, di poter accedere ai dati, e chiederne la rettifica, o di opporsi al trattamento in talune circostanze;

• (26) considerando che i principi della tutela si devono applicare ad ogni informazione concernente una persona identificata o identificabile; che, per determinare se una persona è identificabile, è opportuno prendere in considerazione l’insieme dei mezzi che possono essere ragionevolmente utilizzati dal responsabile del trattamento o da altri per identificare detta persona; che i principi della tutela non si applicano a dati resi anonimi in modo tale che la persona interessata non è più identificabile; (…)

(…)

• (41) considerando che una persona deve godere del diritto d’accesso ai dati che la riguardano e che sono oggetto di trattamento, per poter verificare, in particolare, la loro esattezza e la liceità del trattamento; (…)».

4La nozione di «dati personali» è definita all’articolo 2, lettera a), di tale direttiva come «qualsiasi informazione concernente una persona fisica identificata o identificabile (“persona interessata”); si considera identificabile la persona che può essere identificata, direttamente o indirettamente, in particolare mediante riferimento ad un numero di identificazione o ad uno o più elementi caratteristici della sua identità fisica, fisiologica, psichica, economica, culturale o sociale».

5Nel capo II di detta direttiva, segnatamente alla sezione I, intitolata «Principi relativi alla qualità dei dati», l’articolo 6 è così formulato:

«1. Gli Stati membri dispongono che i dati personali devono essere:

• a) trattati lealmente e lecitamente;
• b) rilevati per finalità determinate, esplicite e legittime, e successivamente trattati in modo non incompatibile con tali finalità. Il trattamento successivo dei dati per scopi storici, statistici o scientifici non è ritenuto incompatibile, purché gli Stati membri forniscano garanzie appropriate;
• c) adeguati, pertinenti e non eccedenti rispetto alle finalità per le quali vengono rilevati e/o per le quali vengono successivamente trattati;
• d) esatti e, se necessario, aggiornati; devono essere prese tutte le misure ragionevoli per cancellare o rettificare i dati inesatti o incompleti rispetto alle finalità per le quali sono rilevati o sono successivamente trattati, cancellati o rettificati;
• e) conservati in modo da consentire l’identificazione delle persone interessate per un arco di tempo non superiore a quello necessario al conseguimento delle finalità per le quali sono rilevati o sono successivamente trattati. Gli Stati membri prevedono garanzie adeguate per i dati personali conservati oltre il suddetto arco di tempo per motivi storici, statistici o scientifici.

2Il responsabile del trattamento è tenuto a garantire il rispetto delle disposizioni del paragrafo 1».

6Nel capo II della direttiva 95/46, alla sezione II, rubricata «Principi relativi alla legittimazione del trattamento dei dati», l’articolo 7 dispone quanto segue:

«Gli Stati membri dispongono che il trattamento di dati personali può essere effettuato soltanto quando:

• a) la persona interessata ha manifestato il proprio consenso in maniera inequivocabile,

oppure

(…)

• c) è necessario per adempiere un obbligo legale al quale è soggetto il responsabile del trattamento,

oppure

(…)

• e) è necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il responsabile del trattamento o il terzo a cui vengono comunicati i dati,

oppure

• f) è necessario per il perseguimento dell’interesse legittimo del responsabile del trattamento oppure del o dei terzi cui vengono comunicati i dati, a condizione che non prevalgano l’interesse o i diritti e le libertà fondamentali della persona interessata, che richiedono tutela ai sensi dell’articolo 1, paragrafo 1».

7L’articolo 12 di tale direttiva, rubricato «Diritto di accesso», enuncia quanto segue:

«Gli Stati membri garantiscono a qualsiasi persona interessata il diritto di ottenere dal responsabile del trattamento:

• a) liberamente e senza costrizione, ad intervalli ragionevoli e senza ritardi o spese eccessivi:
• la conferma dell’esistenza o meno di trattamenti di dati che la riguardano, e l’informazione almeno sulle finalità dei trattamenti, sulle categorie di dati trattati, sui destinatari o sulle categorie di destinatari cui sono comunicati i dati;
• la comunicazione in forma intelligibile dei dati che sono oggetto dei trattamenti, nonché di tutte le informazioni disponibili sull’origine dei dati;

(…)

• b) a seconda dei casi, la rettifica, la cancellazione o il congelamento dei dati il cui trattamento non è conforme alle disposizioni della presente direttiva, in particolare a causa del carattere incompleto o inesatto dei dati;
• c) la notificazione ai terzi, ai quali sono stati comunicati i dati, di qualsiasi rettifica, cancellazione o congelamento, effettuati conformemente alla lettera b), se non si dimostra che è impossibile o implica uno sforzo sproporzionato».

8L’articolo 13 di detta direttiva, intitolato «Deroghe e restrizioni», così dispone:

«1. Gli Stati membri possono adottare disposizioni legislative intese a limitare la portata degli obblighi e dei diritti previsti dalle disposizioni dell’articolo 6, paragrafo 1, dell’articolo 10, dell’articolo 11, paragrafo 1 e degli articoli 12 e 21, qualora tale restrizione costituisca una misura necessaria alla salvaguardia:

(…)

• g) della protezione della persona interessata o dei diritti e delle libertà altrui.

(…)».

9L’articolo 14 della direttiva 95/46, rubricato «Diritto di opposizione della persona interessata», così recita:

«Gli Stati membri riconoscono alla persona interessata il diritto:

• a) almeno nei casi di cui all’articolo 7, lettere e) e f), di opporsi in qualsiasi momento, per motivi preminenti e legittimi, derivanti dalla sua situazione particolare, al trattamento di dati che la riguardano, salvo disposizione contraria prevista dalla normativa nazionale. In caso di opposizione giustificata il trattamento effettuato dal responsabile non può più riguardare tali dati;

(…)».

10L’articolo 28 di detta direttiva, intitolato «Autorità di controllo», enuncia quanto segue:

«1. Ogni Stato membro dispone che una o più autorità pubbliche siano incaricate di sorvegliare, nel suo territorio, l’applicazione delle disposizioni di attuazione della presente direttiva, adottate dagli Stati membri.

(…)

3Ogni autorità di controllo dispone in particolare:

• di poteri investigativi, come il diritto di accesso ai dati oggetto di trattamento e di raccolta di qualsiasi informazione necessaria all’esercizio della sua funzione di controllo;
• di poteri effettivi d’intervento, come quello (…) di ordinare il congelamento, la cancellazione o la distruzione dei dati, oppure di vietare a titolo provvisorio o definitivo un trattamento (…);

(…)

È possibile un ricorso giurisdizionale avverso le decisioni dell’autorità di controllo recanti pregiudizio.

4Qualsiasi persona, o associazione che la rappresenti, può presentare all’autorità di controllo una domanda relativa alla tutela dei suoi diritti e libertà con riguardo al trattamento di dati personali. La persona interessata viene informata del seguito dato alla sua domanda.

(…)».

Regolamento (UE) 2016/679

11Il regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46 (regolamento generale sulla protezione dei dati) ( GU 2016, L 119, pag. 1 ), è applicabile, ai sensi del suo articolo 99, paragrafo 2, dal 25 maggio 2018. L’articolo 94, paragrafo 1, di tale regolamento dispone che la direttiva 95/46 è abrogata a decorrere dalla medesima data.

12Al suo articolo 15, rubricato «Diritto di accesso dell’interessato», detto regolamento così dispone:

«1. L’interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l’accesso ai dati personali (…)

(…)

3Il titolare del trattamento fornisce una copia dei dati personali oggetto di trattamento. (…)

4Il diritto di ottenere una copia di cui al paragrafo 3 non deve ledere i diritti e le libertà altrui».

13L’articolo 23 del regolamento n. 2016/679, rubricato «Limitazioni», dispone quanto segue:

«1. Il diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento o il responsabile del trattamento può limitare, mediante misure legislative, la portata degli obblighi e dei diritti di cui agli articoli da 12 a 22 (…), qualora tale limitazione rispetti l’essenza dei diritti e delle libertà fondamentali e sia una misura necessaria e proporzionata in una società democratica per salvaguardare:

(…)

• e) altri importanti obiettivi di interesse pubblico generale dell’Unione o di uno Stato membro, in particolare un rilevante interesse economico o finanziario dell’Unione o di uno Stato membro, anche in materia monetaria, di bilancio e tributaria, di sanità pubblica e sicurezza sociale;

(…)

• i) la tutela dell’interessato o dei diritti e delle libertà altrui;

(…)».

Diritto irlandese

14Il Data Protection Act 1988 (legge del 1988 sulla protezione dei dati), come modificato dal Data Protection (Amendement) Act 2003 (legge di modifica del 2003 sulla protezione dei dati) (in prosieguo: la «legge sulla protezione dei dati»), recepisce la direttiva 95/46 nell’ordinamento giuridico irlandese. L’articolo 1, paragrafo 1, di tale legge definisce la nozione di «dati personali» nel seguente modo:

«dati concernenti un individuo vivente che è o può essere identificato a partire dai dati in questione o dagli stessi dati combinati con altre informazioni che sono detenute, o possono probabilmente essere acquisite, dal responsabile del trattamento dei dati».

15Il diritto di accesso è disciplinato dall’articolo 4 della legge sulla protezione dei dati, il cui paragrafo 6, che riguarda specificamente le domande di accesso ai risultati di esami, ha il seguente tenore:

«a)

ai fini del presente articolo si presume che la richiesta presentata da una persona ai sensi del paragrafo 1 di questo articolo relativa ai risultati di un esame da essa svolto, sia effettuata

• i) alla data della prima pubblicazione dei risultati dell’esame, o
• ii) al momento della richiesta,

se questa è posteriore; (…)

• b) ai sensi del presente paragrafo si intende per “esame” qualsiasi procedimento volto a determinare le conoscenze, l’intelligenza, la competenza o la capacità di una persona facendo riferimento alle sue prestazioni in qualsiasi test, lavoro o altra attività».

16L’articolo 6 della legge sulla protezione dei dati prevede il diritto di rettifica e di cancellazione dei dati personali, il cui trattamento non sia conforme a tale legge.

17L’articolo 10, paragrafo 1, lettera b), i), della legge sulla protezione dei dati impone al garante per la protezione dei dati di dare seguito a un reclamo «a meno che non lo ritenga futile o vessatorio».

Procedimento principale e questioni pregiudiziali

18Il sig. Nowak, in quanto esperto contabile tirocinante, superava gli esami di primo livello di contabilità e tre degli esami di secondo livello organizzati dall’Institute of Chartered Accountants of Ireland (organizzazione professionale irlandese degli esperti contabili; in prosieguo: l’«organizzazione professionale degli esperti contabili»). Egli non superava, tuttavia, l’esame di «finanza strategica e contabilità gestionale», durante il quale il candidato aveva la possibilità di utilizzare documenti (esame con libera consultazione di materiale).

19A seguito del quarto insuccesso a tale esame, nell’autunno del 2009, il sig. Nowak presentava, in un primo tempo, un reclamo tendente a contestare il risultato dello stesso. In seguito al rigetto di tale reclamo nel mese di marzo 2010, egli presentava, nel mese di maggio 2010, una domanda di accesso ai sensi dell’articolo 4 della legge sulla protezione dei dati, che si riferiva a tutti i dati personali che lo riguardavano, detenuti dall’organizzazione professionale degli esperti contabili.

20Con lettera del 1 o giugno 2010, l’organizzazione professionale degli esperti contabili trasmetteva al sig. Nowak 17 documenti, rifiutando tuttavia di trasmettergli la sua prova di esame con la motivazione che l’elaborato non conteneva dati personali ai sensi della legge sulla protezione dei dati.

21Il sig. Nowak si rivolgeva allora al garante per la protezione dei dati personali al fine di contestare la fondatezza del motivo del rifiuto di comunicazione della sua prova di esame. Nel mese di giugno del 2010, il garante inviava al sig. Nowak un messaggio di posta elettronica per informarlo, inter alia, del fatto che «le prove d’esame non sono generalmente da prendere in considerazione [ai fini della protezione dei dati] (…) in quanto tali documenti non costituiscono generalmente dati personali».

22A tale risposta del garante per la protezione dei dati personali seguiva uno scambio di corrispondenza tra il sig. Nowak e tale garante che si concludeva, il 1 o luglio 2010, con la presentazione di un reclamo formale da parte del sig. Nowak.

23Con messaggio di posta elettronica del 21 luglio 2010 il garante per la protezione dei dati personali informava il sig. Nowak che, dopo aver esaminato il caso, non aveva individuato alcuna violazione sostanziale della legge sulla protezione dei dati e che, conformemente all’articolo 10, paragrafo 1, lettera b), i), di tale legge, che prevede il caso dei reclami futili o vessatori, aveva deciso di non dare seguito al reclamo. Tale messaggio di posta elettronica informava, inoltre, che i documenti su cui il sig. Nowak intendeva esercitare «un diritto di rettifica»«non costituiscono dati personali cui si applica l’articolo 6 della legge sulla protezione dei dati».

24Avverso tale decisione il sig. Nowak proponeva impugnazione dinanzi al Circuit Court (tribunale circondariale, Irlanda). Tale giudice concludeva nel senso dell’irricevibilità del ricorso in ragione del fatto che, in assenza di istruzione del reclamo da parte del garante per la protezione dei dati personali, non vi era decisione impugnabile. In via subordinata, tale giudice dichiarava che il ricorso era infondato, poiché la prova di esame non costituiva un dato personale.

25Il sig. Nowak proponeva ricorso avverso la sentenza di detto giudice dinanzi alla High Court (Alta Corte, Irlanda), la quale confermava, tuttavia, tale sentenza. La sentenza della High Court (Alta Corte) era a sua volta confermata dalla Court of Appeal (Corte d’appello, Irlanda). La Supreme Court (Corte suprema, Irlanda), che aveva autorizzato l’impugnazione contro la sentenza della Court of Appeal (Corte d’appello), concludeva nel senso della ricevibilità del ricorso proposto dal sig. Nowak contro la decisione del garante per la protezione dei dati personali.

26Tuttavia, poiché nutriva dubbi sulla questione se una prova d’esame possa costituire un dato personale ai sensi della direttiva 95/46, la Supreme Court (Corte suprema) decideva di sospendere il procedimento e sottoporre alla Corte le seguenti questioni pregiudiziali:

«1)

Se le informazioni registrate nelle risposte o a titolo di risposte fornite da un candidato durante un esame professionale possano costituire dati personali ai sensi della direttiva 95/46.

• 2) Qualora la risposta alla prima questione sia che tali informazioni possono costituire, in tutto o in parte, dati personali ai sensi della direttiva, quali fattori siano pertinenti nel determinare nei singoli casi se la prova d’esame costituisca dati personali, e quale peso debba essere conferito a tali fattori».

Sulle questioni pregiudiziali

27Con le sue questioni, da esaminarsi congiuntamente, il giudice del rinvio chiede, in sostanza, se l’articolo 2, lettera a), della direttiva 95/46 debba essere interpretato nel senso che, in circostanze come quelle di cui al procedimento principale, le risposte scritte fornite da un candidato durante un esame professionale e le eventuali annotazioni dell’esaminatore ad esse relative costituiscano dati personali, ai sensi di tale disposizione.

28A tale proposito, occorre ricordare che l’articolo 2, lettera a), della direttiva 95/46 definisce i dati personali come «qualsiasi informazione concernente una persona fisica identificata o identificabile». Ai sensi della medesima disposizione, «si considera identificabile la persona che può essere identificata, direttamente o indirettamente, in particolare mediante riferimento ad un numero di identificazione o ad uno o più elementi caratteristici della sua identità fisica, fisiologica, psichica, economica, culturale o sociale».

29È pacifico che un candidato a un esame professionale è una persona fisica che può essere identificata, vuoi direttamente mediante il suo nome, vuoi indirettamente, mediante un numero d’identificazione, i quali vengono apposti sulla prova d’esame o sulla pagina di copertina di tale prova.

30Contrariamente a quanto sembra affermare il garante per la protezione dei dati personali, è priva di rilevanza in tale contesto la questione se l’esaminatore possa o no identificare il candidato al momento della correzione e della valutazione della prova di esame.

31Infatti, affinché un dato possa essere qualificato come «dato personale», ai sensi dell’articolo 2, lettera a), della direttiva 95/46, non si richiede che tutte le informazioni che consentono di identificare la persona interessata siano in possesso di una sola persona (sentenza del 19 ottobre 2016, Breyer, C‑582/14 , EU:C:2016:779 , punto 43 ). È pacifico, peraltro, che, nell’ipotesi in cui l’esaminatore non conosca l’identità del candidato al momento della valutazione delle risposte da esso fornite nell’ambito di un esame, l’ente che ha organizzato l’esame, nella fattispecie l’organizzazione professionale degli esperti contabili, dispone, per contro, delle informazioni necessarie che gli consentono di identificare senza difficoltà o dubbi tale candidato mediante il suo numero di identificazione, apposto sulla prova d’esame o sulla pagina di copertina di tale prova, e quindi di attribuirgli le sue risposte.

32Si deve, tuttavia, verificare se le risposte scritte fornite dal candidato durante un esame professionale e le eventuali annotazioni dell’esaminatore ad esse relative costituiscano informazioni concernenti tale candidato, ai sensi dell’articolo 2, lettera a), della direttiva 95/46.

33Come ha già constatato la Corte, l’ambito di applicazione della direttiva 95/46 è molto ampio e i dati personali a cui si riferisce sono vari (sentenza del 7 maggio 2009, Rijkeboer, C‑553/07 , EU:C:2009:293 , punto 59 e giurisprudenza ivi citata).

34Infatti, l’uso dell’espressione «qualsiasi informazione» nell’ambito della definizione della nozione di «dati personali», di cui all’articolo 2, lettera a), della direttiva 95/46 riflette l’obiettivo del legislatore dell’Unione di attribuire un’accezione estesa a tale nozione, che non è limitata alle informazioni sensibili o di ordine privato, ma comprende potenzialmente ogni tipo di informazioni, tanto oggettive quanto soggettive, sotto forma di pareri o di valutazioni, a condizione che esse siano «concernenti» la persona interessata.

35Per quanto riguarda tale ultima condizione, essa è soddisfatta qualora, in ragione del suo contenuto, della sua finalità o del suo effetto, l’informazione sia connessa a una determinata persona.

36Orbene, come hanno affermato, in sostanza, il sig. Nowak, i governi ceco, ellenico, ungherese, austriaco e portoghese, nonché la Commissione europea, le risposte scritte fornite da un candidato a un esame professionale costituiscono simili informazioni, connesse alla sua persona.

37Infatti, innanzitutto, il contenuto di tali risposte riflette il livello di conoscenza e di competenza del candidato in un dato settore nonché, se del caso, i suoi processi di riflessione, il suo giudizio e il suo spirito critico. In caso di esame redatto a mano le risposte contengono, inoltre, informazioni grafologiche.

38La raccolta di tali risposte ha, poi, la funzione di valutare le capacità professionali del candidato e la sua idoneità a esercitare il mestiere di cui trattasi.

39Infine, l’uso di tali informazioni, che si traduce, segnatamente, nel successo o nel fallimento del candidato all’esame di cui trattasi, può avere un effetto sui diritti e interessi dello stesso, in quanto può determinare o influenzare, per esempio, le sue possibilità di accedere alla professione o all’impiego desiderati.

40La constatazione che le risposte scritte fornite da un candidato a un esame professionale costituiscono informazioni concernenti tale candidato in ragione del loro contenuto, della loro finalità e del loro effetto vale, peraltro, anche quando si tratti, come nella fattispecie, di un esame con libera consultazione di materiale.

41Infatti, come ha rilevato l’avvocato generale al paragrafo 24 delle sue conclusioni, qualsiasi esame è diretto a verificare e a stabilire le prestazioni individuali di una specifica persona, segnatamente del candidato, e non, diversamente, ad esempio, da un sondaggio rappresentativo, ad ottenere informazioni non associabili a tale persona.

42Per quanto riguarda le annotazioni dell’esaminatore relative alle risposte del candidato, occorre constatare che esse costituiscono, proprio come le risposte fornite dal candidato durante l’esame, informazioni concernenti tale candidato.

43Infatti, il contenuto di tali annotazioni riflette l’opinione o la valutazione dell’esaminatore sulle prestazioni individuali del candidato durante l’esame, e in particolare sulle sue conoscenze e competenze nel settore di cui trattasi. Dette annotazioni hanno, peraltro, appunto lo scopo di documentare la valutazione fatta dall’esaminatore delle prestazioni del candidato e possono produrre effetti per quest’ultimo, come indicato al punto 39 della presente sentenza.

44La constatazione che le annotazioni dell’esaminatore relative alla risposte fornite dal candidato durante l’esame costituiscono informazioni che, in ragione del loro contenuto, della loro finalità e del loro effetto, sono collegate a tale candidato non è contraddetta dal fatto che tali annotazioni costituiscono anche informazioni concernenti l’esaminatore.

45Infatti, la medesima informazione può riguardare più persone fisiche e costituire per le stesse, a condizione che tali persone siano identificate o identificabili, un dato personale ai sensi dell’articolo 2, lettera a) della direttiva 95/46.

46Peraltro, la qualificazione come dati personali delle risposte scritte fornite da un candidato durante un esame professionale e delle eventuali annotazioni dell’esaminatore ad esse relative non può essere influenzata, contrariamente a quanto fanno valere il garante per la protezione dei dati personali e il governo irlandese, dalla circostanza che tale qualificazione conferisca, in linea di principio, a tale candidato diritti di accesso e di rettifica, ai sensi dell’articolo 12, lettere a) e b), della direttiva 95/46.

47A tale proposito, si deve innanzitutto ricordare, come ha esposto la Commissione in udienza, che numerosi principi e garanzie previsti dalla direttiva 95/46 si ricollegano a tale qualificazione e da essa dipendono.

48Infatti, risulta dal considerando 25 della direttiva 95/46, che i principi di tutela previsti da quest’ultima si esprimono, da un lato, nei vari obblighi a carico dei soggetti responsabili del trattamento dei dati, obblighi relativi in particolare alla qualità dei dati, alla sicurezza tecnica, alla notificazione all’autorità di controllo, alle circostanze in cui il trattamento può essere effettuato, e, dall’altro, nel diritto delle persone, i cui dati sono oggetto di trattamento, di esserne informate, di poter accedere ai dati e di poterne chiedere la rettifica, o di opporsi al trattamento in talune circostanze.

49Di conseguenza, negare la qualificazione di «dati personali» alle informazioni concernenti un candidato, contenute nelle sue risposte fornite durante un esame professionale e nelle annotazioni dall’esaminatore ad esse riferite, avrebbe la conseguenza di sottrarre interamente tali informazioni al rispetto dei principi e delle garanzie in materia di tutela dei dati personali e, segnatamente, dei principi relativi alla qualità di tali dati e alla legittimità del loro trattamento, sanciti dagli articoli 6 e 7 della direttiva 95/46 nonché dei diritti di accesso, di rettifica e di opposizione della persona interessata, di cui agli articoli 12 e 14 di tale direttiva, e del controllo esercitato dall’autorità di controllo ai sensi dell’articolo 28 della medesima direttiva.

50Orbene, come ha rilevato l’avvocato generale al paragrafo 26 delle sue conclusioni, è pacifico che un candidato a un esame ha, in particolare, un interesse legittimo, vertente sulla protezione della sua vita privata, a potersi opporre a che le sue risposte fornite durante tale esame e le annotazioni dell’esaminatore ad esse riferite siano trattate al di fuori del procedimento di esame. e, segnatamente, a che siano trasmesse a terzi, o pubblicate, senza il suo consenso. Parimenti, l’ente che organizza l’esame, in qualità di responsabile del trattamento dei dati, è tenuto a garantire che tali risposte e annotazioni siano conservate in modo da evitare che terzi vi abbiano accesso in modo illecito.

51Va constatato, poi, che i diritti di accesso e di rettifica, previsti dall’articolo 12, lettere a) e b), della direttiva 95/46, possono anch’essi trovare giustificazione per quanto riguarda le risposte scritte fornite da un candidato durante un esame professionale e le eventuali annotazioni dell’esaminatore ad esse relative.

52Vero è che il diritto di rettifica, previsto all’articolo 12, lettera b), della direttiva 95/46, non può, evidentemente, consentire al candidato di «rettificare», a posteriori, risposte «sbagliate».

53Infatti. come risulta dall’articolo 6, paragrafo 1, lettera d) della direttiva 95/46, l’esattezza e la completezza dei dati personali devono essere valutate con riguardo alla finalità per la quale tali dati sono stati rilevati. Tale finalità consiste, per quanto riguarda le risposte di un candidato a un esame, nel poter valutare il livello di conoscenza e di competenza di tale candidato al momento dell’esame. Orbene, tale livello si riflette proprio in eventuali errori in tali risposte. Di conseguenza, errori del genere non costituiscono affatto un’inesattezza, ai sensi della direttiva 95/46, che conferisca un diritto di rettifica ai sensi dell’articolo 12, lettera b), della stessa.

54Per contro, è possibile che si presentino situazioni nelle quali le risposte di un candidato a un esame e le annotazioni dell’esaminatore ad esse relative si rivelano inesatte, ai sensi dell’articolo 6, paragrafo 1, lettera d), della direttiva 95/46, per esempio per il fatto che, per errore, le prove di esame sono state scambiate in modo tale che le risposte di un altro candidato siano state attribuite al candidato interessato, o che una parte dei fogli contenenti le risposte di tale candidato è stata smarrita con la conseguenza che tali risposte sono incomplete o, ancora, che le eventuali annotazioni dell’esaminatore non documentano correttamente la valutazione da esso effettuata delle risposte del candidato interessato.

55Peraltro, come ha rilevato l’avvocato generale al paragrafo 37 delle sue conclusioni, non può essere escluso che un candidato abbia, ai sensi dell’articolo 12, lettera b) della direttiva 95/46, il diritto di chiedere al responsabile per il trattamento dei dati che le sue risposte all’esame e le annotazioni dell’esaminatore ad esse riferite, trascorso un certo periodo di tempo, siano cancellate, vale a dire distrutte. Infatti, ai sensi dell’articolo 6, paragrafo 1, lettera e), di tale direttiva, i dati personali possono, in linea di principio, essere conservati in modo da consentire l’identificazione delle persone interessate per un arco di tempo non superiore a quello necessario al conseguimento delle finalità per le quali sono rilevati o sono successivamente trattati. Orbene, tenuto conto della finalità delle risposte fornite da un candidato durante un esame e delle annotazioni relative a tali risposte, la loro conservazione in una forma tale da consentire l’identificazione del candidato non risulta, a priori, più necessaria una volta che il procedimento di esame sia definitivamente chiuso e non possa più essere oggetto di ricorso, con la conseguenza che tali risposte e annotazioni hanno perduto ogni valore probatorio.

56Nella misura in cui le risposte scritte fornite dal candidato durante un esame professionale e le eventuali annotazione dell’esaminatore ad esse relative possono quindi essere assoggettate a una verifica, in particolare, della loro esattezza e della necessità della loro conservazione, ai sensi dell’articolo 6, paragrafo 1, lettere d) e e), della direttiva 95/46, e possono essere oggetto di una rettifica o di una cancellazione, ai sensi dell’articolo 12, lettera b), della stessa, si deve considerare che il fatto di dare al candidato un diritto di accesso a tali risposte e a tali annotazioni, ai sensi dell’articolo 12, lettera a), di tale direttiva, è conforme all’obiettivo della stessa consistente nel garantire la tutela del diritto alla vita privata di tale candidato rispetto al trattamento dei dati che lo riguardano (v., a contrario, sentenza del 17 luglio 2014, YS e a., C‑141/12 e C‑372/12 , EU:C:2014:2081 , punti 45 e 46 ) e ciò indipendentemente dalla questione se detto candidato disponga o no di un tale diritto di accesso anche in forza della normativa nazionale applicabile al procedimento di esame.

57In tale contesto, va ricordato che la tutela del diritto fondamentale al rispetto della vita privata implica, in particolare, che qualsiasi persona fisica possa assicurarsi che i dati personali che la riguardano siano esatti e che siano trattati in maniera lecita. Come emerge dal considerando 41 della direttiva 95/46, è al fine di effettuare le necessarie verifiche che la persona interessata gode, ai sensi dell’articolo 12, lettera a), della medesima, di un diritto di accesso ai dati che la riguardano e che sono oggetto di trattamento. Tale diritto di accesso è necessario, in particolare, per consentire alla persona interessata di ottenere, se del caso, da parte del responsabile del trattamento la rettifica, la cancellazione o il congelamento di tali dati e, di conseguenza, di esercitare il diritto previsto all’articolo 12, lettera b), della suddetta direttiva (sentenza del 17 luglio 2014, YS e a., C‑141/12 e C‑372/12 , EU:C:2014:2081 , punto 44 e giurisprudenza ivi citata).

58Infine, si deve constatare che, da un lato, i diritti di accesso e di rettifica, ai sensi dell’articolo 12, lettere a) e b), della direttiva 95/46, non si estendono alle domande poste in sede di esame, le quali non costituiscono in quanto tali dati personali del candidato.

59Dall’altro lato, tanto la direttiva 95/46 quanto il regolamento 2016/679, che la sostituisce, prevedono talune limitazioni di tali diritti.

60Infatti, ai sensi dell’articolo 13, paragrafo 1, lettera g), della direttiva 95/46, gli Stati membri possono adottare disposizioni legislative intese a limitare la portata degli obblighi e dei diritti previsti, in particolare all’articolo 6, paragrafo 1, e all’articolo 12 di tale direttiva, qualora tale limitazione costituisca una misura necessaria alla salvaguardia dei diritti e delle libertà altrui.

61L’articolo 23, paragrafo 1, lettera e), del regolamento 2016/679 estende l’elenco dei motivi di limitazione, attualmente previsto all’articolo 13, paragrafo 1, della direttiva 95/46, a «altri importanti obiettivi di interesse pubblico generale dell’Unione o di uno Stato membro». Inoltre, l’articolo 15 del regolamento 2016/679, vertente sul diritto di accesso della persona interessata, prevede, al paragrafo 4, che il diritto di ottenere una copia di dati personali non deve ledere i diritti e le libertà altrui.

62Tenuto conto di tutte le considerazioni che precedono, occorre rispondere alle questioni poste dichiarando che l’articolo 2, lettera a), della direttiva 95/46 deve essere interpretato nel senso che, in circostanze come quelle di cui al procedimento principale, le risposte scritte fornite da un candidato durante un esame professionale e le eventuali annotazioni dell’esaminatore relative a tali risposte costituiscono dati personali, ai sensi di tale disposizione.

Sulle spese

63Nei confronti delle parti nel procedimento principale la presente causa costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.

Per questi motivi, la Corte (Seconda Sezione) dichiara:

L’articolo 2, lettera a), della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, deve essere interpretato nel senso che, in circostanze come quelle di cui al procedimento principale, le risposte scritte fornite da un candidato durante un esame professionale e le eventuali annotazioni dell’esaminatore relative a tali risposte costituiscono dati personali, ai sensi di tale disposizione.

Firme

(*1) Lingua processuale: l’inglese.