La vicenda trae origine da una controversia tra l’Ufficio del governo del Land Tirolo e l’Autorità per la protezione dei dati austriaca, relativa al trattamento illecito di dati personali. In particolare, durante la pandemia Covid-19, l’Ufficio aveva incaricato delle aziende private di inviare lettere di promemoria per la vaccinazione agli adulti non ancora vaccinati nel Land Tirolo, utilizzando i dati dell’anagrafe centrale vaccini e del registro dei pazienti.
Nel dicembre 2021, un destinatario presentava un reclamo per il trattamento illecito dei suoi dati, in quanto sosteneva che l’Ufficio non potesse trattare dati personali, sollevando così una questione pregiudiziale che riguardava la definizione di “titolare di trattamento” ai sensi dell’art. 4, punto 7, del GDPR.
A riguardo, la Corte di Giustizia dell’Unione Europea metteva in luce due punti cardine per il riconoscimento di titolari del trattamento e cioè la necessità di stabilire “finalità e mezzi”.
La Corte ha chiarito che l’Ufficio, pur non avendo personalità giuridica, si era limitato a presentare al governatore una proposta di invio della lettera di promemoria della vaccinazione. Secondo la Corte, aveva contribuito alla definizione della finalità del trattamento (aumentare il tasso di vaccinazione) e dei mezzi utilizzati (l’invio delle lettere).
A tal fine, la Corte di Giustizia ha stabilito che il titolare del trattamento può essere anche un ente privo di personalità giuridica secondo il diritto nazionale, sottolineando l’importanza che tale “entità” sia conforme, e risponda, sostanzialmente, agli obblighi che incombono sui titolari del trattamento verso gli interessati in materia di protezione dei dati personali.
In conclusione, per capire se una entità possa ricoprire il ruolo di titolare del trattamento, occorre che il medesimo abbia influito effettivamente sulla determinazione delle finalità e dei mezzi di trattamento, diversamente non potrà essere considerato idoneo.