Sentenza della Corte (Prima Sezione) del 30 aprile 2025.#Inspektorat kam Visshia sadeben savet.#Domande di pronuncia pregiudiziale proposte dal Sofiyski rayonen sad.#Rinvio pregiudiziale – Stato di diritto – Indipendenza dei giudici – Articolo 19, paragrafo 1, secondo comma, TUE – Tutela giurisdizionale effettiva nei settori disciplinati dal diritto dell’Unione – Organo giudiziario competente a proporre l’avvio di procedimenti disciplinari nei confronti dei magistrati ai fini dell’irrogazione di sanzioni disciplinari – Mantenimento delle funzioni dei membri dell’organo giudiziario dopo la fine del loro mandato – Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento (UE) 2016/679 – Sicurezza dei dati – Accesso di un organo giudiziario ai dati relativi ai conti bancari dei magistrati e dei loro familiari – Autorizzazione giudiziaria per la revoca del segreto bancario – Giudice che autorizza la revoca del segreto bancario – Articolo 4, punto 7 – Nozione di “titolare del trattamento” – Articolo 51 – Nozione di “autorità di controllo”.#Cause riunite C-313/23, C-316/23 e C-332/23.

–

per l’Inspektorat kam Visshia sadeben savet, da T. Tochkova, in qualità di agente;

–

per il governo bulgaro, da T. Mitova, S. Ruseva e R. Stoyanov, in qualità di agenti;

–

per il governo polacco, da B. Majczyna, in qualità di agente;

–

per la Commissione europea, da A. Bouchagiar, C. Georgieva, H. Kranenborg e P. Van Nuffel, in qualità di agenti,

1

Le domande di pronuncia pregiudiziale vertono sull’interpretazione dell’articolo 19, paragrafo 1, secondo comma, TUE nonché dell’articolo 2, paragrafo 2, lettera a), dell’articolo 4, punto 7, dell’articolo 32, paragrafo 1, lettera b), dell’articolo 33, paragrafo 3, lettera d), dell’articolo 51, dell’articolo 57, paragrafo 1, lettera b), e dell’articolo 79, paragrafo 1, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1; in prosieguo: il «RGPD»), in combinato disposto con l’articolo 47 della Carta dei diritti fondamentali dell’Unione europea (in prosieguo: la «Carta»).

2

Tali domande sono state presentate nell’ambito di procedimenti promossi dall’Inspektorat kam Visshia sadeben savet (Ispettorato presso il Consiglio superiore della magistratura, Bulgaria) (in prosieguo: l’«Ispettorato») al fine di ordinare la divulgazione all’Ispettorato dei dati relativi ai conti bancari di vari magistrati e dei loro familiari.

3

I considerando 16 e 20 del RGPD così recitano:

(...)

4

L’articolo 2 di tale regolamento, intitolato «Ambito di applicazione materiale», ai paragrafi 1 e 2 così dispone:

«1.   Il presente regolamento si applica al trattamento interamente o parzialmente automatizzato di dati personali e al trattamento non automatizzato di dati personali contenuti in un archivio o destinati a figurarvi.

2.   Il presente regolamento non si applica ai trattamenti di dati personali:

(...)».

5

L’articolo 4 del suddetto regolamento, intitolato «Definizioni», prevede quanto segue:

«Ai fini del presente regolamento s’intende per:

(...)

(...)

(...)».

6

L’articolo 12 del RGPD, intitolato «Informazioni, comunicazioni e modalità trasparenti per l’esercizio dei diritti dell’interessato», al paragrafo 1 enuncia quanto segue:

«Il titolare del trattamento adotta misure appropriate per fornire all’interessato tutte le informazioni di cui agli articoli 13 e 14 e le comunicazioni di cui agli articoli da 15 a 22 e all’articolo 34 relative al trattamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro (...). Le informazioni sono fornite per iscritto o con altri mezzi, anche, se del caso, con mezzi elettronici. (...)».

7

L’articolo 14 di tale regolamento, intitolato «Informazioni da fornire qualora i dati personali non siano stati ottenuti presso l’interessato», ai paragrafi 1 e 2 così dispone:

«1.   Qualora i dati non siano stati ottenuti presso l’interessato, il titolare del trattamento fornisce all’interessato le seguenti informazioni:

2.   Oltre alle informazioni di cui al paragrafo 1, il titolare del trattamento fornisce all’interessato le seguenti informazioni necessarie per garantire un trattamento corretto e trasparente nei confronti dell’interessato:

8

L’articolo 21 del RGPD, intitolato «Diritto di opposizione», al paragrafo 1 prevede quanto segue:

«L’interessato ha il diritto di opporsi in qualsiasi momento, per motivi connessi alla sua situazione particolare, al trattamento dei dati personali che lo riguardano ai sensi dell’articolo 6, paragrafo 1, lettere e) o f), compresa la profilazione sulla base di tali disposizioni. Il titolare del trattamento si astiene dal trattare ulteriormente i dati personali salvo che egli dimostri l’esistenza di motivi legittimi cogenti per procedere al trattamento che prevalgono sugli interessi, sui diritti e sulle libertà dell’interessato oppure per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria».

9

L’articolo 32 di tale regolamento, intitolato «Sicurezza del trattamento», al paragrafo 1, così recita:

«Tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso:

(...)

(...)».

10

L’articolo 33 di detto regolamento, intitolato «Notifica di una violazione dei dati personali all’autorità di controllo», ai paragrafi 1 e 3 così dispone:

«1.   In caso di violazione dei dati personali, il titolare del trattamento notifica la violazione all’autorità di controllo competente a norma dell’articolo 55 senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche. Qualora la notifica all’autorità di controllo non sia effettuata entro 72 ore, è corredata dei motivi del ritardo.

(...)

3.   La notifica di cui al paragrafo 1 deve almeno:

(...)

11

Il capo VI del RGPD, intitolato «Autorità di controllo indipendenti», comprende gli articoli da 51 a 59 del medesimo.

12

L’articolo 51 di tale regolamento, intitolato «Autorità di controllo», è così formulato:

«1.   Ogni Stato membro dispone che una o più autorità pubbliche indipendenti siano incaricate di controllare l’applicazione del presente regolamento al fine di tutelare i diritti e le libertà fondamentali delle persone fisiche con riguardo al trattamento e di agevolare la libera circolazione dei dati personali all’interno dell’Unione (“autorità di controllo”).

(...)

3.   Qualora in uno Stato membro siano istituite più autorità di controllo, detto Stato membro designa l’autorità di controllo che rappresenta tali autorità nel [comitato europeo per la protezione dei dati] e stabilisce il meccanismo in base al quale le altre autorità si conformano alle norme relative al meccanismo di coerenza di cui all’articolo 63.

4.   Ogni Stato membro notifica alla Commissione le disposizioni di legge adottate ai sensi del presente capo al più tardi entro il 25 maggio 2018, e comunica senza ritardo ogni successiva modifica».

13

L’articolo 55 di detto regolamento, intitolato «Competenza», così dispone:

«1.   Ogni autorità di controllo è competente a eseguire i compiti assegnati e a esercitare i poteri a essa conferiti a norma del presente regolamento nel territorio del rispettivo Stato membro.

2.   Se il trattamento è effettuato da autorità pubbliche o organismi privati che agiscono sulla base dell’articolo 6, paragrafo 1, lettera c) o e), è competente l’autorità di controllo dello Stato membro interessato. In tal caso, non si applica l’articolo 56.

3.   Le autorità di controllo non sono competenti per il controllo dei trattamenti effettuati dalle autorità giurisdizionali nell’esercizio delle loro funzioni giurisdizionali».

14

L’articolo 57 del RGPD, intitolato «Compiti», al paragrafo 1 prevede quanto segue:

«Fatti salvi gli altri compiti indicati nel presente regolamento, sul proprio territorio ogni autorità di controllo:

(...)

(...)».

15

L’articolo 58 di tale regolamento, intitolato «Poteri», elenca, al paragrafo 1, i poteri di indagine di cui ciascuna autorità di controllo dispone e, al paragrafo 2, le misure correttive che quest’ultima può esercitare.

16

Il capo VIII del RGPD, intitolato «Mezzi di ricorso, responsabilità e sanzioni», contiene gli articoli da 77 a 84.

17

L’articolo 77 del suddetto regolamento, intitolato «Diritto di proporre reclamo all’autorità di controllo», al paragrafo 1 prevede quanto segue:

«Fatto salvo ogni altro ricorso amministrativo o giurisdizionale, l’interessato che ritenga che il trattamento che lo riguarda violi il presente regolamento ha il diritto di proporre reclamo a un’autorità di controllo, segnatamente nello Stato membro in cui risiede abitualmente, lavora oppure del luogo ove si è verificata la presunta violazione».

18

L’articolo 78 del regolamento in parola, intitolato «Diritto a un ricorso giurisdizionale effettivo nei confronti dell’autorità di controllo», al paragrafo 1 enuncia quanto segue:

«Fatto salvo ogni altro ricorso amministrativo o extragiudiziale, ogni persona fisica o giuridica ha il diritto di proporre un ricorso giurisdizionale effettivo avverso una decisione giuridicamente vincolante dell’autorità di controllo che la riguarda».

19

L’articolo 79 del medesimo regolamento, intitolato «Diritto a un ricorso giurisdizionale effettivo nei confronti del titolare del trattamento o del responsabile del trattamento», al paragrafo 1 così dispone:

«Fatto salvo ogni altro ricorso amministrativo o extragiudiziale disponibile, compreso il diritto di proporre reclamo a un’autorità di controllo ai sensi dell’articolo 77, ogni interessato ha il diritto di proporre un ricorso giurisdizionale effettivo qualora ritenga che i diritti di cui gode a norma del presente regolamento siano stati violati a seguito di un trattamento».

20

L’articolo 117, paragrafo 2, della Konstitutsia na Republika Bulgaria (Costituzione della Repubblica di Bulgaria), nella versione applicabile ai fatti del procedimento principale (in prosieguo: la «Costituzione bulgara»), così dispone:

«Il potere giudiziario è indipendente. Nell’esercizio delle loro funzioni i giudici, i giurati, i pubblici ministeri nonché i giudici istruttori sono soggetti soltanto alla legge».

21

L’articolo 132a della Costituzione bulgara, nella versione applicabile alla data di presentazione delle domande di pronuncia pregiudiziale di cui trattasi, prevede quanto segue:

«(1)   Presso il Consiglio superiore della magistratura è istituito un corpo ispettivo. Esso si compone di un ispettore generale e di dieci ispettori.

(2)   L’ispettore generale è eletto dall’Assemblea nazionale a maggioranza dei due terzi dei suoi membri, per un periodo di cinque anni.

(3)   Gli ispettori sono eletti dall’Assemblea nazionale per un periodo di quattro anni con le modalità di cui al paragrafo 2.

(4)   L’ispettore generale e gli ispettori possono essere rieletti ma non per due mandati consecutivi.

(...)

(6)   L’Ispettorato controlla l’attività delle autorità giudiziarie senza tuttavia ledere l’indipendenza dei giudici, dei giurati, dei pubblici ministeri nonché dei giudici istruttori nell’esercizio delle loro funzioni. L’Ispettorato compie controlli sull’integrità dei giudici, dei pubblici ministeri e dei giudici istruttori e sulla presenza di conflitti di interessi a loro carico, sulle loro dichiarazioni patrimoniali e per l’individuazione di condotte che ledono la reputazione del potere giudiziario e di condotte legate alla violazione dell’indipendenza dei giudici, dei pubblici ministeri e dei giudici istruttori. Nell’esercizio delle loro funzioni, l’ispettore generale e gli ispettori sono indipendenti e sono soggetti solo alla legge.

(7)   L’Ispettorato agisce d’ufficio, su iniziativa di cittadini, di persone giuridiche e di autorità statali, ivi compresi i giudici, i pubblici ministeri e i giudici istruttori.

(...)

(10)   Le condizioni e le modalità di elezione e di revoca dell’ispettore generale e degli ispettori, nonché l’organizzazione e il funzionamento dell’Ispettorato sono stabiliti dalla legge».

22

L’articolo 46 dello Zakon za sadebnata vlast (legge sul potere giudiziario) (DV n. 64, del 7 agosto 2007), nella versione applicabile ai fatti oggetto del procedimento principale (in prosieguo: lo «ZSV»), prevede quanto segue:

«L’Assemblea nazionale elegge l’ispettore generale e ciascuno degli ispettori individualmente a maggioranza dei due terzi dei deputati».

23

L’articolo 54, paragrafi 1 e 2, di detta legge così dispone:

«(1)   L’[Ispettorato]:

(...)

(...)

(...)

(2)   Nell’assicurare il controllo di cui al paragrafo 1, punto 15, l’Ispettorato svolge le mansioni ed esercita i poteri previsti dalla legge sulla protezione dei dati personali».

24

L’articolo 175a, paragrafo 1, di detta legge enuncia quanto segue:

«I giudici, i pubblici ministeri e giudici istruttori presentano all’[Ispettorato] le seguenti dichiarazioni:

25

L’articolo 175b, paragrafo 4, dello ZSV è così formulato:

«I giudici, i pubblici ministeri e i giudici istruttori dichiarano il patrimonio e i redditi dei propri coniugi o dei conviventi more uxorio e dei loro figli minori di età».

26

L’articolo 175d di tale legge prevede quanto segue:

«(1)   L’[Ispettorato] tiene e conserva registri pubblici elettronici:

(2)   L’[Ispettorato] inserisce nel registro pubblico di cui al paragrafo 1, punto 1, le dichiarazioni patrimoniali e di interessi e le dichiarazioni di mutamento delle circostanze dichiarate. Tale inserimento è effettuato esclusivamente da agenti incaricati dall’ispettore generale.

(...)

(4)   Chiunque ha il diritto di accedere ai dati contenuti nel registro pubblico.

(5)   L’accesso è garantito attraverso il sito Internet dell’[Ispettorato], fatti salvi i requisiti relativi alla protezione dei dati personali».

27

L’articolo 175e, paragrafi 1 e 6, della suddetta legge così dispone:

«(1)   Nei sei mesi successivi alla scadenza del termine di presentazione della dichiarazione, l’[Ispettorato] verifica la correttezza di quanto dichiarato. (...)

(...)

(6)   L’[Ispettorato] può acquisire informazioni presso i sistemi informatici di cui agli articoli 56 e 56 bis della legge sugli enti creditizi. L’ispettore generale e gli ispettori dell’[Ispettorato] possono chiedere la revoca del segreto bancario al Rayonen sad [(Tribunale distrettuale)] del luogo del domicilio dell’interessato, salvo che il consenso sia stato prestato conformemente all’articolo 62, paragrafo 5, punto 1, della legge sugli enti creditizi. Il consenso è prestato dinanzi all’[Ispettorato], per iscritto, senza che sia richiesta l’autenticazione notarile della firma, su un formulario approvato dall’ispettore generale».

28

L’articolo 307, paragrafo 2, dello ZSV prevede quanto segue:

«L’illecito disciplinare è una colpevole violazione degli obblighi professionali nonché una lesione della dignità del potere giudiziario».

29

L’articolo 311 di tale legge è del seguente tenore:

«La sanzione disciplinare è inflitta:

(...)

30

L’articolo 312, paragrafo 1, di detta legge così dispone:

«La proposta di avvio di un procedimento disciplinare al fine di infliggere una sanzione disciplinare a un giudice, un pubblico ministero e un magistrato inquirente, un responsabile amministrativo e un vice responsabile amministrativo può essere presentata da:

(...)

3. l’[Ispettorato];

(...)».

31

L’articolo 323, paragrafo 1, della legge medesima prevede quanto segue:

«La decisione dell’assemblea plenaria o della sezione interessata del Consiglio superiore della magistratura può essere impugnata dalla persona soggetta alla sanzione disciplinare e – qualora non sia stata inflitta alcuna sanzione disciplinare o sia meno severa di quella proposta – dall’autore della proposta, dinanzi al Varhoven administrativen sad [(Corte suprema amministrativa, Bulgaria)] entro 14 giorni dalla notifica o comunicazione di tale decisione».

32

L’articolo 62 dello Zakon za kreditnite institutsii (legge sugli enti creditizi) (DV n. 59, del 21 luglio 2006), nella versione applicabile ai fatti del procedimento principale (in prosieguo: lo «ZKI»), prevede quanto segue:

«(1)   Ai dipendenti delle banche, ai membri degli organi di gestione e di sorveglianza delle banche, agli agenti della [Banca nazionale di Bulgaria (BNB)], ai dipendenti e ai membri del Consiglio di amministrazione del Fondo di garanzia dei depositi, ai liquidatori, agli amministratori fiduciari e ai curatori, nonché a tutte le altre persone che lavorano per una banca, è fatto divieto di divulgare o utilizzare a proprio vantaggio personale o a vantaggio dei propri familiari informazioni integranti un segreto bancario.

(2)   Il segreto bancario è costituito dai fatti e dalle circostanze che incidono sui saldi e sulle operazioni su conti e depositi dei clienti della banca.

(...)

(5)   Fatta eccezione per la BNB e ai fini e alle condizioni di cui all’articolo 56, la banca può fornire le informazioni di cui al paragrafo 2 riguardanti singoli clienti solo:

(6)   L’autorità giudiziaria può altresì ordinare la divulgazione di informazioni di cui al paragrafo 2, su richiesta:

(...)

12. dell’ispettore generale o di un ispettore dell’[Ispettorato].

(7)   Il giudice del Rayonen sad [Tribunale distrettuale] si pronuncia sulla richiesta di cui al paragrafo 6, in camera di consiglio e con decisione motivata, entro e non oltre le 24 ore successive al ricevimento della richiesta, precisando il periodo cui si riferiscono le informazioni indicate al paragrafo 1. La decisione del Tribunale non è impugnabile

(...)».

33

L’articolo 6, paragrafo 1, dello Zakon za zashtita na lichnite danni (legge sulla protezione dei dati personali) (DV n. 1, del 4 gennaio 2002), nella versione applicabile ai fatti del procedimento principale (in prosieguo: lo «ZZLD»), è così formulato:

«La Komisia za zashtita na lichnite danni [(Commissione per la protezione dei dati personali, Bulgaria) (in prosieguo: la «KZLD»)] è un’autorità permanente e indipendente di controllo che garantisce la protezione delle persone in occasione del trattamento dei loro dati personali e dell’accesso a tali dati, nonché il controllo del rispetto del [RGPD] e della presente legge».

34

L’articolo 17, paragrafi 1 e 2, di detta legge così dispone:

«(1)   L’Ispettorato vigila e controlla il rispetto del [RGPD], della presente legge e degli atti in materia di protezione dei dati personali, quando i dati personali sono trattati:

(2)   Le modalità di attuazione dell’attività di cui al paragrafo 1, comprese la realizzazione di controlli e l’esame delle procedure dinanzi all’[Ispettorato], sono stabilite dal regolamento di cui all’articolo 55, paragrafo 8, [dello ZSV]».

35

L’articolo 17a, paragrafo 1, dello ZZLD prevede quanto segue:

«Quando controlla il trattamento di dati personali da parte di un organo giurisdizionale nell’esercizio delle sue funzioni di autorità giudiziaria, salvo nei casi di trattamento di dati personali ai fini dell’articolo 42, paragrafo 1, l’Ispettorato:

36

L’articolo 39 dello ZZLD è così formulato:

«(1)   In caso di violazione dei suoi diritti ai sensi del [RGPD] e della presente legge, l’interessato può contestare gli atti e le azioni del titolare del trattamento e del responsabile dinanzi a un’autorità giudiziaria conformemente alla procedura prevista dal codice di procedura amministrativa.

(...)

(4)   L’interessato non può adire il giudice qualora sia pendente un procedimento dinanzi alla [KZLD] per lo stesso illecito o una decisione della [KZLD] relativa allo stesso illecito sia stata impugnata e non vi sia una decisione giudiziaria divenuta definitiva. Su richiesta dell’interessato o dell’organo giurisdizionale, la [KZLD] certifica l’assenza di un procedimento pendente dinanzi ad essa nella stessa controversia.

(5)   Il paragrafo 4 si applica anche in caso di procedimento pendente dinanzi all’Ispettorato».

37

Il 15 maggio 2023, dopo la scadenza del termine previsto per il deposito delle dichiarazioni patrimoniali annuali dei magistrati e dei loro familiari per l’anno 2022, di cui agli articoli 175a e 175b dello ZSV, l’Ispettorato ha presentato al Sofiyski rayonen sad (Tribunale distrettuale di Sofia, Bulgaria), giudice del rinvio, una domanda di revoca del segreto bancario riguardante i conti bancari di vari magistrati e dei loro familiari, in applicazione dell’articolo 62, paragrafo 6, punto 12, dello ZKI.

38

Il giudice del rinvio rileva, in primo luogo, che esso deve verificare se l’Ispettorato disponga della competenza per presentargli una siffatta richiesta. Al riguardo, esso precisa che tale organo, che è stato istituito con un emendamento alla Costituzione bulgara adottato nel corso del 2007, è incaricato di indagare sull’esercizio di influenze indebite sui magistrati, di verificare le dichiarazioni patrimoniali di questi ultimi e di individuare eventuali conflitti di interessi nonché violazioni dell’indipendenza del potere giudiziario.

39

Il giudice del rinvio indica che l’Ispettorato è composto da un ispettore generale e da dieci ispettori eletti dall’Assemblea nazionale per un mandato della durata, rispettivamente, di cinque e quattro anni. Orbene, i mandati di tutti i membri dell’Ispettorato sarebbero giunti a termine nel corso del 2020, senza che l’Assemblea nazionale abbia proceduto all’elezione di nuovi membri.

40

È vero che, con sentenza del 27 settembre 2022, il Konstitutsionen sad (Corte costituzionale, Bulgaria) avrebbe dichiarato che la Costituzione bulgara deve essere interpretata nel senso che l’ispettore generale e gli ispettori, il cui mandato è scaduto, continuano ad esercitare le loro funzioni fino a quando l’Assemblea nazionale elegga nuovi membri dell’Ispettorato, considerando che la salvaguardia del compito assegnato all’Ispettorato è più importante dei rischi di abuso dei suoi membri il cui mandato sia scaduto. Il giudice del rinvio rileva tuttavia che tale sentenza non ha affrontato la questione consistente nel chiarire se i membri dell’Ispettorato che continuano ad esercitare le loro funzioni dopo la scadenza del loro mandato possano esercitare un’influenza indebita sul potere giudiziario o possano essi stessi essere sottoposti a pressioni da parte dei deputati.

41

Detto giudice si chiede quindi se il diritto dell’Unione ponga condizioni più rigorose rispetto alla Costituzione bulgara, come interpretata dal Konstitutsionen sad (Corte costituzionale). In particolare, tenuto conto della giurisprudenza della Corte elaborata nella sentenza dell’11 maggio 2023, Inspecția Judiciară, (C‑817/21, EU:C:2023:391, punti 50 e 51), esso si chiede se una proroga dei mandati dei membri dell’Ispettorato possa pregiudicare le garanzie di indipendenza di tale autorità in quanto autorità abilitata ad avviare procedimenti disciplinari nei confronti dei magistrati e, in caso affermativo, quali siano i criteri che consentono di valutare se una siffatta proroga sia ammissibile e per quale durata.

42

In secondo luogo, detto giudice si interroga sul ruolo e sugli obblighi dei giudici nazionali nel momento in cui essi devono autorizzare l’accesso dell’Ispettorato ai dati personali dei magistrati.

43

A questo proposito, il giudice del rinvio osserva che, nel corso del 2019, un grave problema relativo alla sicurezza dei dati detenuti dall’Ispettorato ha attirato l’attenzione dei media bulgari. Infatti, la KZLD avrebbe constatato che i dati personali di una ventina di giudici e pubblici ministeri, in possesso dell’Ispettorato, erano stati pubblicati illegalmente nella loro interezza sul sito Internet dell’Ispettorato, il che avrebbe indotto la KZLD a infliggere una sanzione pecuniaria all’Ispettorato. Orbene, il giudice del rinvio rileva di non disporre di alcuna informazione che gli consenta di sapere se, a seguito di tale incidente, siano state adottate misure per garantire la sicurezza dei dati.

44

Esso si chiede se la sua attività consistente nell’autorizzare l’Ispettorato ad accedere a dati personali soggetti al segreto bancario rientri nell’ambito di applicazione del RGPD e, in caso affermativo, quali siano le conseguenze sul controllo che esso deve esercitare. Esso sottolinea, al riguardo, che il RGPD impone obblighi alle persone che effettuano un trattamento di dati personali, ai titolari del trattamento e alle autorità di controllo.

45

Per contro, gli obblighi di un giudice che concede l’autorizzazione a un’autorità ad accedere a tali dati non sarebbero direttamente disciplinati dal RGPD. Occorrerebbe quindi stabilire se un siffatto giudice debba essere considerato come avente la qualità di «titolare del trattamento», ai sensi dell’articolo 4, punto 7, del RGPD, oppure di «autorità di controllo», ai sensi dell’articolo 51 di tale regolamento, in quanto concederebbe all’Ispettorato un’autorizzazione senza la quale l’accesso ai dati di cui trattasi non potrebbe aver luogo. L’Ispettorato raccoglierebbe e verificherebbe, ai fini di cui agli articoli 175a e 175d dello ZSV, dati relativi al patrimonio dei magistrati, mentre i giudici controllerebbero tale attività concedendo o negando l’accesso ai dati di cui trattasi.

46

A tale riguardo, il giudice del rinvio osserva che il suo controllo, secondo l’interpretazione del diritto nazionale vigente in Bulgaria, dovrebbe essere puramente formale e limitarsi a verificare se le persone per le quali è richiesta la revoca del segreto bancario abbiano la qualità di persone soggette all’obbligo di dichiarazione ai sensi dello ZSV, ossia se esse siano magistrati o persone aventi un rapporto familiare o un altro rapporto previsto da tale diritto con questi ultimi. In linea di principio, se le suddette condizioni sono soddisfatte, le autorità giudiziarie dovrebbero sempre consentire la revoca del segreto bancario. Per contro, così non sarebbe se i giudici che esercitano il controllo preventivo potessero essere considerati titolari del trattamento di dati personali ai quali essi concedono l’accesso, cosicché essi dovrebbero garantire la sicurezza dei dati in forza degli articoli da 32 a 34 del RGPD.

47

Orbene, benché tali giudici non abbiano accesso diretto ai dati personali coperti dal segreto bancario, essi determinerebbero in una certa misura le finalità del trattamento autorizzando o vietando l’accesso a tali dati. Peraltro, le disposizioni nazionali applicabili nel procedimento principale non preciserebbero, qualora le finalità del trattamento dei dati personali siano determinate dalla legge, quale autorità sia soggetta ai diritti e agli obblighi di un titolare del trattamento dei dati personali.

48

Inoltre, il giudice del rinvio si chiede se esso possa verificare, prima di autorizzare l’accesso ai dati, se l’Ispettorato abbia adottato misure per garantire un trattamento dei dati conforme alla legge, per non agire come una semplice sezione per la registrazione delle richieste.

49

Infine, quand’anche il giudice incaricato di autorizzare l’accesso dell’Ispettorato ai dati personali coperti dal segreto bancario non avesse la qualità di titolare del trattamento o di autorità di controllo, si porrebbe la questione se esso debba procedere a siffatti controlli al fine di garantire la tutela giurisdizionale effettiva prevista all’articolo 79 del RGPD. È vero che tale disposizione disciplina i casi in cui l’interessato adisce il giudice ai fini della tutela dei suoi diritti. Tuttavia, qualora il procedimento relativo alla divulgazione dei dati sia condotto senza la partecipazione dell’interessato e il diritto nazionale preveda un controllo giurisdizionale preventivo, un obbligo analogo dovrebbe imporsi d’ufficio. Ciò discenderebbe anche dal diritto a un ricorso giurisdizionale effettivo, sancito dall’articolo 47 della Carta. In assenza di un siffatto obbligo, il giudice si limiterebbe sempre a un esame formale e a una conferma dell’azione dell’amministrazione, il che potrebbe apparire contrario agli obiettivi dell’articolo 79 del RGPD.

50

In tali circostanze, il Sofiyski rayonen sad (Tribunale distrettuale di Sofia) ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali, formulate in termini identici nelle cause C‑313/23, C‑316/23 e C‑332/23:

51

Con decisione del presidente della Corte del 30 giugno 2023, le cause C‑313/23, C‑316/23 e C‑332/23 sono state riunite ai fini delle fasi scritta e orale dei procedimenti nonché della sentenza.

52

Con atto depositato presso la cancelleria della Corte il 30 ottobre 2024, l’Ispettorato ha chiesto che fosse disposta, ai sensi dell’articolo 83 del regolamento di procedura della Corte, la riapertura della fase scritta del procedimento. Poiché detto articolo 83 disciplina la riapertura della fase orale del procedimento e poiché, nel caso di specie, tale fase era stata chiusa a seguito della presentazione delle conclusioni dell’avvocato generale, detta domanda deve essere intesa come diretta alla riapertura della fase orale.

53

A sostegno della sua domanda, l’Ispettorato deduce due ragioni in relazione alla prima questione pregiudiziale. In primo luogo, si sarebbe verificato un fatto nuovo, ossia la modifica, nel dicembre 2023, dell’articolo 132a, paragrafo 4, della Costituzione bulgara, nel senso che i membri dell’Ispettorato potrebbero ormai essere eletti per due mandati consecutivi. In secondo luogo, nelle sue conclusioni, l’avvocato generale avrebbe effettuato una valutazione inesatta della situazione di cui trattasi nel procedimento principale facendo riferimento a una normativa nazionale e a un parere della Commissione europea per la democrazia attraverso il diritto, detta «Commissione di Venezia», non pertinenti ai fini delle presenti cause.

54

A tale riguardo, occorre ricordare, da un lato, che lo Statuto della Corte di giustizia dell’Unione europea e il regolamento di procedura non prevedono la facoltà, per gli interessati contemplati dall’articolo 23 di tale Statuto, di formulare osservazioni in risposta alle conclusioni presentate dall’avvocato generale. Dall’altro lato, ai sensi dell’articolo 252, secondo comma, TFUE, l’avvocato generale presenta pubblicamente, con assoluta imparzialità e in piena indipendenza, conclusioni motivate sulle cause che, conformemente a detto Statuto, richiedono il suo intervento. La Corte non è vincolata né a tali conclusioni né alle motivazioni in base alle quali l’avvocato generale giunge a formularle. Di conseguenza, il disaccordo di una parte interessata con le conclusioni dell’avvocato generale, quali che siano le questioni da esso esaminate nelle sue conclusioni, non può costituire, di per sé, un motivo che giustifichi la riapertura della fase orale (sentenza del 19 dicembre 2024, Ford Italia, C‑157/23, EU:C:2024:1045, punto 26 e giurisprudenza citata).

55

È vero che, conformemente all’articolo 83 del regolamento di procedura, la Corte, in qualsiasi momento, sentito l’avvocato generale, può disporre l’apertura o la riapertura della fase orale del procedimento, in particolare se essa non si ritiene sufficientemente edotta o quando, dopo la chiusura di tale fase, una parte ha prodotto un fatto nuovo, tale da influenzare in modo decisivo la decisione della Corte, oppure quando la causa dev’essere decisa in base a un argomento che non è stato oggetto di discussione tra gli interessati.

56

Tuttavia, nel caso di specie, la Corte dispone di tutti gli elementi necessari per statuire sulle domande di pronuncia pregiudiziale e le presenti cause non devono essere decise sulla base di argomenti che non siano stati oggetto di discussione tra gli interessati. Inoltre, la domanda di riapertura della fase orale del procedimento non rivela alcun fatto nuovo tale da influenzare in modo decisivo la decisione che la Corte è chiamata ad adottare nelle presenti cause.

57

In tali circostanze, la Corte, sentito l’avvocato generale, ritiene di non dover disporre la riapertura della fase orale del procedimento.

58

Il governo bulgaro esprime dubbi quanto alla ricevibilità delle domande di pronuncia pregiudiziale, in quanto l’organo di rinvio nel procedimento principale non presenterebbe, nell’ambito dei procedimenti principali, la natura di «giurisdizione», ai sensi dell’articolo 267 TFUE. Infatti, da un lato, i procedimenti dinanzi a tale organismo sarebbero unilaterali in quanto sarebbero condotti senza la partecipazione delle persone interessate. Dall’altro, tali procedimenti non avrebbero ad oggetto la soluzione di una controversia giuridica, poiché il loro unico scopo sarebbe quello di verificare se le condizioni richieste per la revoca del segreto bancario siano soddisfatte.

59

Secondo la consolidata giurisprudenza della Corte, per valutare se l’organo di rinvio di cui trattasi possegga le caratteristiche di una «giurisdizione» ai sensi dell’articolo 267 TFUE, questione valutabile unicamente alla luce del diritto dell’Unione, la Corte tiene conto di un insieme di elementi, quali, tra gli altri, l’origine legale dell’organo considerato, il suo carattere permanente, l’obbligatorietà della sua giurisdizione, l’applicazione, da parte di detto organo, delle norme giuridiche, nonché la sua indipendenza (v., in tal senso, sentenze del 29 marzo 2022, Getin Noble Bank, C‑132/20, EU:C:2022:235, punto 66, nonché del 7 maggio 2024, NADA e a., C‑115/22, EU:C:2024:384, punto 35 e giurisprudenza citata).

60

Dalla costante giurisprudenza della Corte risulta altresì che, sebbene l’articolo 267 TFUE non subordini la possibilità di adire la Corte al carattere contraddittorio del procedimento nel corso del quale il giudice nazionale formuli le questioni pregiudiziali, i giudici nazionali possono adire la Corte unicamente se dinanzi a loro è pendente una lite e se essi sono stati chiamati a statuire nell’ambito di un procedimento destinato a concludersi con una pronuncia di carattere giurisdizionale. Pertanto, occorre accertare la legittimazione di un organismo ad adire la Corte in base a criteri sia strutturali che funzionali. Un organismo nazionale può essere qualificato come «giurisdizione», ai sensi dell’articolo 267 TFUE, quando esercita funzioni giurisdizionali, mentre, nell’esercizio di altre funzioni, in particolare di natura amministrativa, tale qualifica non può essergli riconosciuta (v., in tal senso, sentenza del 3 maggio 2022, CityRail, C‑453/20, EU:C:2022:341, punti 42 e 43 e giurisprudenza citata).

61

È pacifico che il Sofiyski rayonen sad (Tribunale distrettuale di Sofia), in quanto tale, soddisfa i requisiti ricordati, al punto 59 della presente sentenza, per quanto riguarda la sua origine, il suo carattere permanente, l’applicazione di norme giuridiche nonché la sua indipendenza e nessun elemento del fascicolo di cui dispone la Corte induce a sollevare dubbi al riguardo. Nel caso di specie, la questione sollevata dal governo bulgaro è se tale giudice sia chiamato o meno a statuire nell’ambito di un procedimento destinato a sfociare in una pronuncia di carattere giurisdizionale. A questo proposito, occorre rilevare che tale giudice è investito di una domanda dell’Ispettorato diretta alla revoca del segreto bancario ai sensi dell’articolo 62, paragrafo 6, punto 12, dello ZKI. Sebbene il governo bulgaro sostenga che l’esame che il giudice del rinvio deve effettuare è di natura puramente formale, resta il fatto che quest’ultimo è chiamato a verificare se le condizioni previste dalla legge alle quali è subordinata la revoca del segreto bancario siano soddisfatte, a statuire con decisione motivata e a fissare il periodo per il quale il segreto bancario è revocato.

62

In particolare, l’autorizzazione che il giudice del rinvio può concedere è destinata a sostituirsi, come risulta dall’articolo 62, paragrafo 5, dello ZKI, al consenso delle persone interessate. Tale autorizzazione è opponibile alle banche presso le quali tali persone dispongono di conti bancari e ha l’effetto di consentire all’Ispettorato di accedere ai dati personali relativi a tali conti. Inoltre, un siffatto accesso comporta un’ingerenza nei diritti fondamentali di dette persone, sanciti agli articoli 7 e 8 della Carta [v., in tal senso, sentenza del 6 ottobre 2020, État luxembourgeois (Diritto di ricorso avverso una richiesta di informazioni in materia fiscale), C‑245/19 e C‑246/19, EU:C:2020:795, punto 74].

63

In tali circostanze, le funzioni esercitate dal giudice del rinvio ai sensi dell’articolo 62, paragrafo 6, punto 12, dello ZKI non consistono nell’adozione di atti di natura amministrativa suscettibili di ricorso giurisdizionale, ma devono essere qualificate come giurisdizionali, essendo tale giudice chiamato effettivamente a statuire in maniera indipendente al fine di garantire la legittimità della revoca del segreto bancario (v., per analogia, ordinanza del 15 gennaio 2004, Saetti e Frediani, C‑235/02, EU:C:2004:26, punto 23).

64

Di conseguenza, le domande di pronuncia pregiudiziale sono ricevibili.

65

In via preliminare, occorre ricordare che, secondo una giurisprudenza costante, nell’ambito della procedura di cooperazione tra i giudici nazionali e la Corte istituita dall’articolo 267 TFUE, spetta a quest’ultima fornire al giudice nazionale una soluzione utile che gli consenta di dirimere la controversia di cui è investito. In tale prospettiva, spetta alla Corte, se necessario, riformulare la questione che le è sottoposta (sentenza del 30 gennaio 2024, Direktor na Glavna direktsia Natsionalna politsia pri MVR – Sofia, C‑118/22, EU:C:2024:97, punto 31 e giurisprudenza citata).

66

Nel caso di specie, sebbene la prima questione si riferisca a un organo giudiziario «che può imporre sanzioni disciplinari ai giudici e che dispone di poteri di raccolta di dati relativi al patrimonio di questi ultimi», risulta tanto dalle domande di pronuncia pregiudiziale quanto dal fascicolo di cui dispone la Corte che tale organo controlla l’attività dei magistrati nell’esercizio delle loro funzioni, la loro integrità e l’assenza di conflitti di interessi in capo ad essi e che esso dispone, in tale ambito, del potere di raccogliere dati personali che li riguardano. In particolare, detto organo è autorizzato, a seguito di tali controlli, a proporre a un altro organo giudiziario l’avvio di un procedimento disciplinare ai fini dell’imposizione di sanzioni disciplinari nei loro confronti.

67

Orbene, come risulta dalle domande di pronuncia pregiudiziale, il giudice del rinvio ritiene che la circostanza che i membri dell’Ispettorato, i quali sono eletti da una maggioranza dei due terzi dei deputati dell’Assemblea nazionale, continuino ad esercitare le loro funzioni nonostante la scadenza dei loro mandati sia tale da sollevare interrogativi riguardo al requisito dell’indipendenza del potere giudiziario. Infatti, la questione che tale giudice si pone è se i membri di tale organo giudiziario possano, in un siffatto contesto, esercitare un’influenza indebita sui magistrati o essere sottoposti a pressione nella prosecuzione della loro attività da parte di deputati dell’Assemblea nazionale.

68

Pertanto, la prima questione pregiudiziale verte sull’interpretazione dell’articolo 19, paragrafo 1, secondo comma, TUE, letto alla luce dell’articolo 47 della Carta, unicamente con riferimento alla proroga dei mandati scaduti dei membri dell’Ispettorato, senza che la portata dei poteri di tale organo giudiziario sia, in quanto tale, oggetto di detta questione.

69

In tali circostanze, si deve ritenere che, con la sua prima questione, il giudice del rinvio chieda, in sostanza, se e, eventualmente, a quali condizioni l’articolo 19, paragrafo 1, secondo comma, TUE, letto alla luce dell’articolo 47 della Carta, osti alla prassi di uno Stato membro secondo la quale i membri di un organo giudiziario di tale Stato membro, eletti dal parlamento di quest’ultimo per mandati di durata determinata e che sono competenti a controllare l’attività dei magistrati nell’esercizio delle loro funzioni, la loro integrità e l’assenza di conflitti di interessi in capo a questi ultimi, nonché a proporre a un altro organo giudiziario di avviare un procedimento disciplinare ai fini dell’imposizione di sanzioni disciplinari nei loro confronti, continuano ad esercitare le loro funzioni oltre la durata legale del loro mandato, fissata dalla Costituzione di detto Stato membro, fino a quando tale parlamento non abbia eletto nuovi membri.

70

Il governo polacco sostiene che la Corte non è competente a rispondere alla prima questione, poiché l’Unione non dispone di alcuna competenza nel settore dell’organizzazione della giustizia negli Stati membri.

71

A tale riguardo, sebbene l’organizzazione della giustizia negli Stati membri rientri nella competenza di questi ultimi, essi sono nondimeno tenuti, nell’esercizio di tale competenza, a rispettare gli obblighi per essi derivanti dal diritto dell’Unione e, in particolare, dall’articolo 19, paragrafo 1, secondo comma, TUE [v., in tal senso, sentenza del 9 gennaio 2024, G. e a. (Nomina dei giudici ordinari in Polonia), (C‑181/21 e C‑269/21, EU:C:2024:1, punto 57 e giurisprudenza citata).

72

È questo il caso delle norme nazionali che disciplinano la responsabilità disciplinare dei giudici (v., in tal senso, sentenze del 21 dicembre 2021, Euro Box Promotion e a., C‑357/19, C‑379/19, C‑547/19, C‑811/19 e C‑840/19, EU:C:2021:1034, punto 133, nonché dell’11 maggio 2023, Inspecţia Judiciară, C‑817/21, EU:C:2023:391, punto 44 e giurisprudenza citata), comprese quelle relative all’organizzazione e al funzionamento di un organo giudiziario che, al pari dell’Ispettorato, è competente a controllare l’attività dei giudici nell’esercizio delle loro funzioni, a verificare la loro integrità e l’eventuale esistenza di conflitti di interessi in capo a questi ultimi e a proporre a un altro organo giudiziario l’avvio di un procedimento disciplinare ai fini dell’imposizione di sanzioni disciplinari nei loro confronti.

73

In tali circostanze, e poiché la prima questione pregiudiziale verte sull’interpretazione del diritto dell’Unione, la Corte è competente a rispondere a tale questione.

74

Il governo bulgaro e l’Ispettorato mettono in discussione la ricevibilità della prima questione in quanto l’Ispettorato non dispone del potere di infliggere sanzioni disciplinari, cosicché tale prima questione non avrebbe alcun rapporto con l’oggetto dei procedimenti principali.

75

Inoltre, l’Ispettorato sostiene che la prima questione è ipotetica. Infatti, da un lato, i procedimenti principali non avrebbero alcun rapporto con procedimenti disciplinari. Dall’altro lato, e sebbene la constatazione di una violazione dell’articolo 19, paragrafo 1, secondo comma, TUE richieda una violazione strutturale dei requisiti di indipendenza, il giudice del rinvio non preciserebbe in che modo la presunta violazione di cui trattasi nel procedimento principale sia di natura strutturale.

76

A questo proposito, secondo una consolidata giurisprudenza, spetta unicamente al giudice nazionale, investito della controversia e che deve assumersi la responsabilità dell’emananda decisione giurisdizionale, valutare, alla luce delle particolari circostanze della controversia, tanto la necessità di una decisione pregiudiziale per essere in grado di emettere la propria sentenza, quanto la rilevanza delle questioni che sottopone alla Corte. Di conseguenza, se le questioni sollevate riguardano l’interpretazione di una norma di diritto dell’Unione, la Corte, in via di principio, è tenuta a statuire [sentenze del 16 febbraio 2023, Rzecznik Praw Dziecka e a. (Sospensione della decisione di rimpatrio), C‑638/22 PPU, EU:C:2023:103, punto 47, nonché del 24 luglio 2023, Lin, C‑107/23 PPU, EU:C:2023:606, punto 61].

77

Le questioni vertenti sul diritto dell’Unione godono quindi di una presunzione di rilevanza. Il rifiuto della Corte di statuire su una questione pregiudiziale proposta da un giudice nazionale è possibile soltanto qualora appaia in modo manifesto che l’interpretazione del diritto dell’Unione richiesta non ha alcun rapporto con la realtà effettiva o con l’oggetto della controversia nel procedimento principale, qualora la questione sia di natura ipotetica o, ancora, qualora la Corte non disponga degli elementi in fatto e in diritto necessari per rispondere in modo utile alle questioni che le sono sottoposte [v., in tal senso, sentenze del 16 febbraio 2023, Rzecznik Praw Dziecka e a. (Sospensione della decisione di rimpatrio), C‑638/22 PPU, EU:C:2023:103, punto 48, nonché del 24 luglio 2023, Lin, C‑107/23 PPU, EU:C:2023:606, punto 62].

78

Nel caso di specie, il giudice del rinvio si interroga su come trattare le richieste dell’Ispettorato di essere autorizzato ad accedere ai dati relativi ai conti bancari di diversi magistrati e dei loro familiari. In particolare, tale giudice desidera sapere se il diritto dell’Unione osti a che un siffatto organo giudiziario possa presentargli richieste di tale natura quando i mandati di tutti i suoi membri sono scaduti da diversi anni. Risulta quindi che spetta a detto giudice statuire in limine litis in via incidentale su tale questione prima di poter decidere sull’esito delle domande di cui è investito. Ne consegue che l’interpretazione del diritto dell’Unione richiesta risponde ad una necessità oggettiva ai fini della decisione che il giudice del rinvio deve adottare (v., in tal senso, sentenza del 18 maggio 2021, Asociaţia Forumul Judecătorilor din România e a., C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 e C‑397/19, EU:C:2021:393, punti 118 e 119).

79

Quanto alle considerazioni dell’Ispettorato esposte al punto 75 della presente sentenza, relative in particolare ai poteri di cui esso dispone nell’ambito dei procedimenti principali e all’assenza di violazione strutturale dei requisiti derivanti dall’articolo 19, paragrafo 1, secondo comma, TUE, esse rientrano, in realtà, nell’esame nel merito della prima questione e, pertanto, non possono comportarne l’irricevibilità.

80

Da quanto precede risulta che la prima questione pregiudiziale è ricevibile.

81

Ogni Stato membro deve, a norma dell’articolo 19, paragrafo 1, secondo comma, TUE, assicurare che gli organi che sono chiamati, in quanto «giudici» ai sensi del diritto dell’Unione, a statuire su questioni connesse all’applicazione o all’interpretazione di tale diritto e che rientrano quindi nel sistema nazionale di rimedi giurisdizionali nei settori disciplinati dal diritto dell’Unione, soddisfino i requisiti di una tutela giurisdizionale effettiva, tra cui quello dell’indipendenza (sentenza dell’11 luglio 2024, Hann-Invest e a., C‑554/21, C‑622/21 e C‑727/21, EU:C:2024:594, punto 47 e giurisprudenza citata).

82

L’esistenza stessa di un controllo giurisdizionale effettivo destinato ad assicurare il rispetto del diritto dell’Unione è intrinseca ad uno Stato di diritto. A questo titolo, conformemente all’articolo 19, paragrafo 1, secondo comma, TUE, spetta agli Stati membri prevedere un sistema di rimedi giurisdizionali e di procedimenti che garantisca ai singoli il diritto a una tutela giurisdizionale effettiva nei settori disciplinati dal diritto dell’Unione. Il principio della tutela giurisdizionale effettiva dei diritti spettanti ai singoli in forza del diritto dell’Unione, cui fa riferimento l’articolo 19, paragrafo 1, secondo comma, TUE, costituisce un principio generale del diritto dell’Unione che deriva dalle tradizioni costituzionali comuni agli Stati membri, che è stato sancito agli articoli 6 e 13 della Convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali, firmata a Roma il 4 novembre 1950, e che è attualmente affermato all’articolo 47 della Carta (sentenza del 21 dicembre 2021, Euro Box Promotion e a., C‑357/19, C‑379/19, C‑547/19, C‑811/19 e C‑840/19, EU:C:2021:1034, punto 219 e giurisprudenza citata).

83

A tal fine, è di primaria importanza preservare l’indipendenza degli organi che possono essere chiamati a statuire su questioni connesse all’applicazione o all’interpretazione del diritto dell’Unione, come confermato dall’articolo 47, secondo comma, della Carta, che menziona l’accesso a un giudice «indipendente» tra i requisiti connessi al diritto fondamentale a un ricorso effettivo (sentenza del 18 maggio 2021, Asociaţia Forumul Judecătorilor din România e a., C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 e C‑397/19, EU:C:2021:393, punto 194 e giurisprudenza citata).

84

Il requisito di indipendenza degli organi giurisdizionali, intrinsecamente connesso al compito di giudicare, costituisce un aspetto essenziale del diritto a una tutela giurisdizionale effettiva e del diritto fondamentale a un equo processo, rivestendo un’importanza cardinale quale garanzia della tutela dell’insieme dei diritti derivanti al singolo dal diritto dell’Unione e della salvaguardia dei valori comuni agli Stati membri enunciati all’articolo 2 TUE, segnatamente del valore dello Stato di diritto. Conformemente al principio della separazione dei poteri che caratterizza il funzionamento di uno Stato di diritto, l’indipendenza dei giudici deve essere garantita segnatamente nei confronti dei poteri legislativo ed esecutivo (sentenza del 18 maggio 2021, Asociaţia Forumul Judecătorilor din România e a., C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 e C‑397/19, EU:C:2021:393, punto 195 e giurisprudenza citata).

85

Secondo costante giurisprudenza, le garanzie di indipendenza e di imparzialità richieste ai sensi del diritto dell’Unione presuppongono l’esistenza di regole che consentano di fugare qualsiasi legittimo dubbio che i singoli possano nutrire in merito all’impermeabilità di detto organo nei confronti di elementi esterni e alla sua neutralità rispetto agli interessi contrapposti (sentenze del 20 aprile 2021, Repubblika, C‑896/19, EU:C:2021:311, punto 53 e giurisprudenza citata, nonché del 18 maggio 2021, Asociaţia Forumul Judecătorilor din România e a., C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 e C‑397/19, EU:C:2021:393, punto 196).

86

Per quanto riguarda, più in particolare, le norme che regolano il regime disciplinare dei giudici, il requisito dell’indipendenza dei giudici risultante dall’articolo 19, paragrafo 1, secondo comma, TUE, impone che tale regime presenti le garanzie necessarie per evitare qualsiasi rischio di utilizzo di un siffatto regime quale sistema di controllo politico del contenuto delle decisioni giudiziarie. A tale riguardo, l’emanazione di norme che definiscano, segnatamente, sia i comportamenti che integrano illeciti disciplinari sia le sanzioni concretamente applicabili, che prevedono l’intervento di un organo indipendente conformemente a una procedura che garantisca appieno i diritti consacrati agli articoli 47 e 48 della Carta, in particolare i diritti della difesa, e che sanciscano la possibilità di contestare in sede giurisdizionale le decisioni degli organi disciplinari costituisce un insieme di garanzie essenziali ai fini della salvaguardia dell’indipendenza del potere giudiziario (sentenze del 18 maggio 2021, Asociaţia Forumul Judecătorilor din România e a., C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 e C‑397/19, EU:C:2021:393, punto 198 e giurisprudenza citata, nonché dell’11 maggio 2023, Inspecţia Judiciară, C‑817/21, EU:C:2023:391, punto 48 e giurisprudenza citata).

87

Dato che la prospettiva dell’avvio di un’indagine disciplinare può, in quanto tale, esercitare una pressione su coloro che hanno il compito di giudicare, la Corte ha già dichiarato che è essenziale che un organo competente a condurre le indagini e esercitare l’azione disciplinare agisca nell’esercizio delle sue funzioni in modo obiettivo e imparziale e che esso sia, a tal fine, al riparo da qualsiasi influenza esterna (sentenze del 18 maggio 2021, Asociaţia Forumul Judecătorilor din România e a., C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 e C‑397/19, EU:C:2021:393, punto 199, nonché dell’11 maggio 2023, Inspecţia Judiciară, C‑817/21, EU:C:2023:391, punto 49 e giurisprudenza citata). Ciò vale in particolare per un organo giudiziario che, al pari dell’Ispettorato, dispone di un ampio potere di controllare l’attività dei magistrati nell’esercizio delle loro funzioni, la loro integrità e l’assenza di conflitti di interessi in capo a questi ultimi, nonché di proporre, a seguito di tali controlli, a un altro organo giudiziario l’avvio di un procedimento disciplinare ai fini dell’imposizione di sanzioni disciplinari nei loro confronti.

88

Pertanto, le norme che regolano l’organizzazione e il funzionamento di un siffatto organo, comprese quelle che disciplinano la procedura di nomina dei suoi membri dovrebbero essere concepite in modo tale da non poter far sorgere alcun legittimo dubbio, nei singoli, quanto all’utilizzo delle prerogative e delle funzioni di un tale organo come strumento di pressione sull’attività giudiziaria o di controllo politico di tale attività (v., in tal senso, sentenza dell’11 maggio 2023, Inspecţia Judiciară, C‑817/21, EU:C:2023:391, punti 50 e 51 e giurisprudenza citata).

89

Infatti, queste norme possono, in generale, incidere direttamente sulla prassi di detto organo e quindi prevenire o, al contrario, favorire l’esercizio di azioni disciplinari aventi lo scopo o l’effetto di esercitare una pressione, in particolare, su coloro che hanno il compito di giudicare o di garantire un controllo politico della loro attività (v., in tal senso, sentenza dell’11 maggio 2023, Inspecţia Judiciară, C‑817/21, EU:C:2023:391, punto 52).

90

Spetterà al giudice del rinvio, in ultima analisi, pronunciarsi sull’impermeabilità dell’organo di cui trattasi nel procedimento principale nei confronti di qualsiasi influenza esterna nonché sulla sua obiettività e sulla sua imparzialità rispetto all’esercizio dei suoi compiti, dopo aver proceduto alle valutazioni richieste a tal fine. Occorre infatti ricordare che, in forza dell’articolo 267 TFUE, la Corte non è competente ad applicare le norme del diritto dell’Unione a una fattispecie concreta, bensì unicamente a pronunciarsi sull’interpretazione dei Trattati e degli atti adottati dalle istituzioni dell’Unione. Tuttavia, secondo costante giurisprudenza, nel quadro della cooperazione giudiziaria istituita all’articolo 267 TFUE e in base al contenuto del fascicolo, la Corte può fornire al giudice nazionale gli elementi d’interpretazione del diritto dell’Unione che possano essergli utili per la valutazione degli effetti delle varie disposizioni di quest’ultimo (v., in tal senso, sentenza dell’11 maggio 2023, Inspecţia Judiciară, C‑817/21, EU:C:2023:391, punto 58).

91

Nel caso di specie, l’Ispettorato è composto da un ispettore generale e da dieci ispettori eletti dall’Assemblea nazionale a maggioranza dei due terzi dei suoi membri per un mandato rispettivamente di cinque e quattro anni. Conformemente alla normativa nazionale applicabile alla data di presentazione delle presenti domande di pronuncia pregiudiziale, i membri dell’Ispettorato non potevano essere rieletti per un secondo mandato consecutivo.

92

Per quanto riguarda la situazione di cui trattasi nel procedimento principale, in cui i mandati dei membri dell’Ispettorato sono scaduti senza che l’Assemblea nazionale abbia proceduto all’elezione dei suoi nuovi membri, la normativa nazionale non sembra contenere alcuna regola quanto a una possibile continuazione dell’esercizio delle loro funzioni da parte dei membri dell’Ispettorato il cui mandato sia scaduto. È vero che, secondo le indicazioni del giudice del rinvio, i membri dell’Ispettorato continuano, in una situazione del genere, conformemente a una giurisprudenza del Konstitutsionen sad (Corte costituzionale), ad esercitare le loro funzioni fino a quando l’Assemblea nazionale non abbia eletto nuovi membri. Tuttavia, oltre al fatto che il diritto bulgaro non comprende norme che disciplinino l’esercizio delle suddette funzioni così prorogato, esso non contiene neppure alcun meccanismo legale che consenta di porre fine a un eventuale blocco nel processo di nomina dei nuovi membri dell’Ispettorato, cosicché la proroga dei mandati dei suoi ex membri appare, in pratica, idonea a protrarsi senza limiti di tempo.

93

Orbene, da un lato, sebbene spetti ai soli Stati membri decidere se autorizzare o meno l’esercizio delle funzioni dei membri di un organo giudiziario, che è competente a controllare l’attività dei magistrati e a proporre l’avvio di procedimenti disciplinari nei loro confronti, al di là della durata legale dei mandati di tali membri al fine di garantire la continuità del funzionamento di tale organo, gli Stati membri sono tenuti, quando optano per una siffatta proroga dei mandati, a garantire che l’esercizio delle funzioni dopo la scadenza del mandato si fondi su una base giuridica esplicita nel diritto interno contenente norme chiare e precise tali da inquadrare detto esercizio.

94

Inoltre, gli Stati membri devono provvedere affinché le condizioni e le modalità cui è soggetto un siffatto esercizio siano concepite in modo da consentire ai membri interessati di un siffatto organo giudiziario di agire, nell’adempimento dei loro compiti, in modo obiettivo e imparziale e siano, a tal fine, al riparo da qualsiasi influenza esterna, come richiesto dalla giurisprudenza citata ai punti 87 e 88 della presente sentenza.

95

Dall’altro lato, come rilevato in sostanza dall’avvocato generale al paragrafo 58 delle sue conclusioni, sebbene, in talune circostanze, la proroga dei mandati possa risultare necessaria tenuto conto dell’importanza delle funzioni esercitate dall’organo giudiziario interessato, resta il fatto che, al di là della durata legale di tali mandati, detto organo agisce al di fuori di qualsiasi base giuridica esplicita nel diritto interno che contenga norme chiare e precise tali da inquadrare l’esercizio delle suddette funzioni. Pertanto, è solo in via eccezionale e a condizione che tale proroga sia inquadrata da norme chiare e precise che escludano, in pratica, la possibilità che essa sia illimitata nel tempo, che detta proroga può essere ipotizzabile.

96

Tuttavia, quando uno Stato membro procede a una siffatta delimitazione, esso non può modificare la propria normativa, né la propria Costituzione, in modo da comportare una regressione della tutela del valore dello Stato di diritto, valore che si concretizza, in particolare, nell’articolo 19 TUE, segnatamente per quanto riguarda le garanzie di indipendenza dei giudici rispetto ai poteri legislativo ed esecutivo (v., in tal senso, sentenza del 20 aprile 2021, Repubblika, C‑896/19, EU:C:2021:311, punti 63 e 65).

97

Alla luce delle considerazioni che precedono, occorre rispondere alla prima questione dichiarando che l’articolo 19, paragrafo 1, secondo comma, TUE, letto alla luce dell’articolo 47 della Carta, deve essere interpretato nel senso che il principio di indipendenza dei giudici osta alla prassi di uno Stato membro secondo la quale i membri di un organo giudiziario di tale Stato membro, eletti dal parlamento di quest’ultimo per mandati di durata determinata e che sono competenti a controllare l’attività dei magistrati nell’esercizio delle loro funzioni, la loro integrità e l’assenza di conflitti di interessi in capo a questi ultimi nonché a proporre a un altro organo giudiziario l’avvio di un procedimento disciplinare ai fini dell’imposizione di sanzioni disciplinari nei loro confronti, continuano ad esercitare le loro funzioni oltre la durata legale del loro mandato, fissata dalla Costituzione di detto Stato membro, fino a quando tale parlamento non elegga nuovi membri, senza che la proroga dei mandati scaduti si fondi su una base giuridica esplicita nel diritto nazionale contenente norme chiare e precise tali da disciplinare l’esercizio delle suddette funzioni e senza che sia garantito che tale proroga sia, in pratica, limitata nel tempo.

98

Con la sua seconda questione, il giudice del rinvio chiede, in sostanza, se l’articolo 2 del RGPD debba essere interpretato nel senso che la divulgazione a un organo giudiziario di dati personali protetti dal segreto bancario e che riguardano magistrati nonché i loro familiari, ai fini della verifica delle dichiarazioni di tali magistrati – oggetto di pubblicazione – relative al loro patrimonio nonché a quello dei loro familiari, costituisce un trattamento di dati personali rientrante nell’ambito di applicazione materiale di tale regolamento.

99

Secondo una giurisprudenza costante, l’articolo 2, paragrafo 1, del RGPD fornisce una definizione molto ampia dell’ambito di applicazione materiale di quest’ultimo. Fatti salvi i casi menzionati all’articolo 2, paragrafi 2 e 3, il RGPD si applica ai trattamenti effettuati sia dai soggetti privati sia dalle autorità pubbliche, comprese, come indicato dal considerando 20 del medesimo, dalle autorità giudiziarie (v., in tal senso, sentenze del 24 marzo 2022, Autoriteit Persoonsgegevens, C‑245/20, EU:C:2022:216, punto 25, nonché del 16 gennaio 2024, Österreichische Datenschutzbehörde, C‑33/22, EU:C:2024:46, punti 33 e 36).

100

Inoltre, la Corte ha già dichiarato che né il fatto che informazioni oggetto di disposizioni nazionali riguardino giudici, né la circostanza che tali informazioni possano eventualmente presentare taluni legami con l’esercizio delle funzioni degli stessi sono, in quanto tali, idonei a sottrarre dette disposizioni nazionali dall’ambito di applicazione del RGPD [sentenza del 5 giugno 2023, Commissione/Polonia (Indipendenza e vita privata dei giudici), C‑204/21, EU:C:2023:442, punto 315].

101

Infatti, l’articolo 2 del RGPD stabilisce, ai suoi paragrafi 2 e 3, in maniera esaustiva, le eccezioni alla norma che definisce l’ambito di applicazione materiale di detto regolamento enunciato al paragrafo 1, e tali eccezioni, in particolare quelle previste al paragrafo 2, devono essere interpretate restrittivamente [v., in tal senso, sentenze del 22 giugno 2021, Latvijas Republikas Saeima Latvijas Republikas Saeima (Punti di penalità), C‑439/19, EU:C:2021:504, punto 62; del 5 giugno 2023, Commissione/Polonia (Indipendenza e vita privata dei giudici), C‑204/21, EU:C:2023:442, punto 316, nonché del 16 gennaio 2024, Österreichische Datenschutzbehörde, C‑33/22, EU:C:2024:46, punto 37].

102

L’articolo 2, paragrafo 2, lettera a), del RGPD, che è specificamente oggetto della seconda questione pregiudiziale, prevede che tale regolamento non si applica ai trattamenti di dati personali effettuati «per attività che non rientrano nell’ambito di applicazione del diritto dell’Unione».

103

Conformemente a giurisprudenza costante, tale disposizione, letta alla luce del considerando 16 del RGPD, ha l’unico obiettivo di escludere dall’ambito di applicazione di quest’ultimo i trattamenti di dati personali effettuati dalle autorità statali nell’ambito di un’attività volta a salvaguardare la sicurezza nazionale o di un’attività che può essere ascritta alla medesima categoria, fermo restando che le attività che hanno lo scopo di salvaguardare la sicurezza nazionale comprendono, in particolare, quelle volte a tutelare le funzioni essenziali dello Stato e gli interessi fondamentali della società. Pertanto, il mero fatto che un’attività sia propria dello Stato o di un’autorità pubblica non è sufficiente affinché tale eccezione sia automaticamente applicabile a una siffatta attività [v., in tal senso, sentenze del 22 giugno 2021, Latvijas Republikas Saeima (Punti di penalità), C‑439/19, EU:C:2021:504, punti 66 e 67; dell’8 dicembre 2022, Inspektor v Inspektorata kam Visshia sadeben savet (Finalità del trattamento di dati personali – Indagine penale), C‑180/21, EU:C:2022:967, punto 79, nonché del 5 giugno 2023, Commissione/Polonia (Indipendenza e vita privata dei giudici), C‑204/21, EU:C:2023:442, punti 317 e 318].

104

Orbene, se è vero che garantire la buona amministrazione della giustizia negli Stati membri e, in particolare, l’emanazione di norme applicabili allo status dei giudici e all’esercizio delle loro funzioni rientra nella competenza di tali Stati [v., in tal senso, sentenza del 5 giugno 2023, Commissione/Polonia (Indipendenza e vita privata dei giudici), C‑204/21, EU:C:2023:442, punto 319], resta nondimeno il fatto che un trattamento di dati, come quello di cui trattasi nel procedimento principale, che ha come obiettivo il controllo dell’integrità dei magistrati nonché la verifica dell’esistenza di eventuali conflitti di interessi in capo ad essi, non rientra né in un’attività che mira a preservare la sicurezza nazionale né in un’attività che può essere ascritta alla stessa categoria.

105

Inoltre, occorre osservare che la divulgazione a un organo giudiziario di dati personali protetti dal segreto bancario e che riguardano magistrati nonché i loro familiari, ai fini della verifica delle dichiarazioni – oggetto di pubblicazione – relative al loro patrimonio nonché a quello dei loro familiari, costituisce un «trattamento», ai sensi dell’articolo 4, punto 2, del RGPD. Infatti, una siffatta divulgazione costituisce una messa a disposizione di tali dati personali a favore di detto organo.

106

Occorre quindi rispondere alla seconda questione pregiudiziale dichiarando che l’articolo 2 del RGPD deve essere interpretato nel senso che la divulgazione a un organo giudiziario di dati personali protetti dal segreto bancario e che riguardano magistrati nonché i loro familiari, ai fini della verifica delle dichiarazioni di tali magistrati – oggetto di pubblicazione – relative al loro patrimonio nonché a quello dei loro familiari, costituisce un trattamento di dati personali rientrante nell’ambito di applicazione materiale di tale regolamento.

107

Con la sua terza questione, il giudice del rinvio chiede se l’articolo 4, punto 7, del RGPD debba essere interpretato nel senso che un giudice competente ad autorizzare, su richiesta di un altro organo giudiziario, la divulgazione da parte di una banca a tale organo di dati relativi ai conti bancari dei magistrati e dei loro familiari possa essere qualificato come titolare del trattamento ai sensi di tale disposizione.

108

In forza dell’articolo 4, punto 7, del RGPD, la nozione di «titolare del trattamento» comprende le persone fisiche o giuridiche, le autorità pubbliche, i servizi o altri organismi che, da soli o insieme ad altri, determinano le finalità e i mezzi del trattamento. Detta disposizione precisa anche che, quando le finalità e i mezzi di tale trattamento sono determinati segnatamente dal diritto degli Stati membri, il titolare del trattamento o i criteri specifici applicabili alla sua designazione possono essere stabiliti da tale diritto.

109

Conformemente alla giurisprudenza costante della Corte, detta disposizione mira a garantire, mediante una definizione ampia della nozione di «titolare del trattamento», conformemente all’obiettivo del RGPD, una protezione efficace e completa delle libertà e dei diritti fondamentali delle persone fisiche nonché, segnatamente, un elevato livello di protezione del diritto di qualsiasi persona alla tutela dei dati personali che la riguardano (v., in tal senso, sentenze del5 dicembre 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punti 28 e 29, nonché del 7 marzo 2024, IAB Europe, C‑604/22, EU:C:2024:214, punti da 53 a 55 e giurisprudenza citata).

110

Per determinare se una persona o un’entità debba essere qualificata come titolare del trattamento, ai sensi dell’articolo 4, punto 7, del RGPD, occorre quindi verificare se tale persona o entità determini, da sola o insieme ad altri, le finalità e i mezzi del trattamento oppure se questi ultimi siano determinati dal diritto nazionale. Quando una siffatta determinazione sia effettuata dal diritto nazionale, occorre verificare se tale diritto designi il titolare del trattamento o se preveda i criteri specifici applicabili alla sua designazione (sentenza del 27 febbraio 2025, Amt der Tiroler Landesregierung, C‑638/23, EU:C:2025:127, punto 27).

111

Occorre altresì precisare che, alla luce dell’ampia definizione della nozione di «titolare del trattamento», ai sensi dell’articolo 4, punto 7, del RGPD, la determinazione delle finalità e dei mezzi del trattamento e, se del caso, la designazione di tale titolare da parte del diritto nazionale possono essere non solo esplicite, ma anche implicite. In quest’ultima ipotesi, è tuttavia necessario che tale determinazione delle finalità e dei mezzi del trattamento derivi in maniera sufficientemente certa dal ruolo, dalla funzione e dalle attribuzioni devolute alla persona o all’entità interessata (sentenza del 27 febbraio 2025, Amt der Tiroler Landesregierung, C‑638/23, EU:C:2025:127, punto 28).

112

Infatti, la protezione degli interessati risulterebbe diminuita se l’articolo 4, punto 7, del RGPD venisse interpretato in maniera restrittiva nel senso che ricomprende solo le ipotesi in cui le finalità e i mezzi di un trattamento di dati effettuato da una persona, un’autorità pubblica, un servizio o un organismo siano espressamente determinati dal diritto nazionale, anche laddove tali finalità e mezzi risultassero, in sostanza, dalle disposizioni di legge che disciplinano l’attività dell’entità interessata [sentenza dell’11 gennaio 2024, Stato belga (Dati trattati da una Gazzetta ufficiale), C‑231/22, EU:C:2024:7, punto 30].

113

Nel caso di specie, il giudice del rinvio si chiede se esso debba essere considerato titolare del trattamento di cui trattasi nel procedimento principale, ossia la divulgazione all’Ispettorato di dati personali coperti dal segreto bancario, per il fatto che esso è legalmente incaricato di autorizzare una siffatta divulgazione.

114

A questo proposito, in forza della normativa nazionale applicabile nei procedimenti principali, l’Ispettorato è competente ad effettuare, in particolare, controlli riguardanti l’integrità e l’assenza di conflitti di interessi in capo ai magistrati nonché le loro dichiarazioni patrimoniali. A tal fine, detta normativa offre all’Ispettorato la possibilità di chiedere l’accesso ai dati relativi ai conti bancari dei magistrati e dei loro familiari. Nell’ipotesi in cui gli interessati non abbiano dato il consenso a un siffatto accesso, tale organo giudiziario dispone, in forza di detta normativa, del potere di chiedere un’autorizzazione giudiziaria preventiva ai fini dell’accesso ai dati in parola.

115

Risulta quindi che è la normativa nazionale applicabile nei procedimenti principali a determinare la cerchia di persone e i dati che possono essere oggetto del trattamento, a fissare le finalità di tale trattamento e a designare l’organo competente, vale a dire l’Ispettorato, per la realizzazione di tali finalità. Il giudice investito di una domanda di autorizzazione alla divulgazione interviene solo su richiesta dell’Ispettorato ai fini dell’esercizio dei poteri conferitigli dal diritto nazionale e si limita a verificare se le condizioni di legittimità fissate da tale diritto siano soddisfatte. Parimenti, non è tale giudice, bensì l’Ispettorato, che determina, in base alle norme nazionali applicabili, le persone ai cui dati intende avere accesso ai fini di tale esercizio e in relazione alle quali presenta una domanda di autorizzazione dinanzi a detto giudice.

116

Pertanto, sebbene spetti a tale giudice esaminare se e in quale misura le condizioni di legittimità del trattamento siano soddisfatte in un determinato caso di specie, esso non determina di propria iniziativa né la finalità del trattamento né le persone e i dati interessati. In tali circostanze, non è detto giudice ad essere titolare del trattamento, ai sensi dell’articolo 4, punto 7, del RGPD, bensì l’organo competente per la realizzazione delle finalità perseguite.

117

Alla luce delle considerazioni che precedono, occorre rispondere alla terza questione dichiarando che l’articolo 4, punto 7, del RGPD deve essere interpretato nel senso che un giudice competente ad autorizzare, su richiesta di un altro organo giudiziario, la divulgazione da parte di una banca a tale organo di dati relativi ai conti bancari dei magistrati e dei loro familiari non può essere qualificato come titolare di tale trattamento ai sensi della suddetta disposizione.

118

Con la sua quarta questione, il giudice del rinvio chiede, in sostanza, se l’articolo 51 del RGPD debba essere interpretato nel senso che un giudice competente ad autorizzare la divulgazione di dati personali a un altro organo giudiziario costituisca un’autorità di controllo, ai sensi di tale articolo.

119

L’articolo 51, paragrafo 1, del RGPD impone agli Stati membri di prevedere una o più autorità pubbliche indipendenti incaricate di controllare l’applicazione di tale regolamento. L’istituzione di tali autorità, anch’essa prevista dal diritto primario dell’Unione, ossia l’articolo 8, paragrafo 3, della Carta e l’articolo 16, paragrafo 2, TFUE, costituisce un elemento essenziale dell’osservanza della tutela delle persone fisiche con riguardo al trattamento dei dati personali [v., in tal senso, sentenza dell’8 aprile 2014, Commissione/Ungheria, C‑288/12, EU:C:2014:237, punto 48, e parere 1/15 (Accordo PNR UE-Canada), del 26 luglio 2017, EU:C:2017:592, punto 229].

120

Il compito principale di dette autorità, in forza dell’articolo 51, paragrafi 1 e 2, nonché dell’articolo 57, paragrafo 1, lettere a) e g), del RGPD, è quello di controllare l’applicazione di detto regolamento e di vigilare sul suo rispetto, contribuendo al contempo alla sua coerente applicazione nell’ambito dell’Unione, e ciò al fine di tutelare i diritti e le libertà fondamentali delle persone fisiche con riguardo al trattamento dei loro dati personali nonché di agevolare la libera circolazione di tali dati all’interno dell’Unione. A questo fine, esse dispongono dei diversi poteri loro conferiti dall’articolo 58 del RGPD [v., in tal senso, sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C‑252/21, EU:C:2023:537, punto 45].

121

Gli Stati membri sono tenuti, conformemente all’articolo 51, paragrafo 4, del RGPD, a notificare alla Commissione le disposizioni di legge e le successive modifiche che essi adottano ai sensi del capo VI di tale regolamento, in particolare quelle riguardanti l’autorità o le autorità di controllo che hanno incaricato di controllare l’applicazione di detto regolamento.

122

Nel caso di specie, non risulta da alcun elemento del fascicolo di cui dispone la Corte che il giudice del rinvio sia incaricato, dal diritto bulgaro, del compito di controllare l’applicazione del RGPD e che, in particolare, esso detenga i poteri di cui un’autorità di controllo deve disporre in forza dell’articolo 58 di tale regolamento.

123

Occorre quindi rispondere alla quarta questione dichiarando che l’articolo 51 del RGPD deve essere interpretato nel senso che un giudice competente ad autorizzare la divulgazione di dati personali a un altro organo giudiziario non costituisce un’autorità di controllo, ai sensi di tale articolo, nel caso in cui tale giudice non sia incaricato dallo Stato membro cui appartiene di controllare l’applicazione di tale regolamento al fine di tutelare, in particolare, le libertà e i diritti fondamentali delle persone fisiche con riguardo al trattamento dei loro dati personali.

124

La quinta questione è posta solo nell’ipotesi in cui la Corte risponda affermativamente alla terza o alla quarta questione. Orbene, come concluso ai punti 117 e 123 della presente sentenza, la terza e la quarta questione meritano una risposta negativa.

125

Non occorre quindi rispondere alla quinta questione pregiudiziale.

126

Con la sua sesta questione, il giudice del rinvio chiede, in sostanza, se l’articolo 79, paragrafo 1, del RGPD, letto alla luce dell’articolo 47 della Carta, debba essere interpretato nel senso che un giudice competente ad autorizzare la divulgazione di dati personali a un altro organo giudiziario sia tenuto, senza essere investito di un ricorso ai sensi di tale disposizione, a garantire d’ufficio la protezione delle persone i cui dati sono coinvolti per quanto riguarda il rispetto delle disposizioni di tale regolamento relative alla sicurezza dei dati personali, qualora sia noto che tale organo ha commesso, in passato, una violazione di queste ultime disposizioni.

127

A tale riguardo, il giudice del rinvio precisa che la questione viene sollevata in quanto il procedimento avviato dinanzi ad esso è condotto senza la partecipazione delle persone i cui dati personali sono coinvolti e l’autorizzazione giudiziaria della divulgazione di tali dati all’Ispettorato è destinata a sostituirsi al consenso di tali persone senza essere impugnabile. Tale giudice ritiene che, se si limitasse a un esame puramente formale della domanda di autorizzazione presentata dall’Ispettorato, senza assicurarsi che tale organo garantisca la sicurezza dei dati degli interessati, la tutela giurisdizionale di dette persone, prevista all’articolo 79 del RGPD, sarebbe privata del suo effetto utile. È in tali circostanze che esso si chiede se sia tenuto a garantire d’ufficio il rispetto da parte dell’Ispettorato delle norme in materia di sicurezza dei dati, esigendo da quest’ultima che essa gli fornisca informazioni sulle misure di sicurezza adottate in forza dell’articolo 33, paragrafo 3, lettera d), di tale regolamento.

128

A questo proposito, occorre ricordare che il RGPD istituisce un insieme di norme sostanziali e procedurali relative alla sicurezza dei dati che devono essere rispettate dal titolare del trattamento, prevedendo al contempo, nel suo capo VIII, i mezzi di ricorso diretti a tutelare i diritti delle persone i cui dati personali sono stati oggetto di un trattamento asseritamente contrario alle disposizioni di detto regolamento e che possono essere esercitati in modo concorrente e indipendente da tali persone (v., in tal senso, sentenza del 12 gennaio 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, punto 35).

129

Poiché il livello di protezione di cui al RGPD dipende dalle misure di sicurezza adottate dai titolari del trattamento di dati personali, tali titolari devono essere indotti, sopportando l’onere di dimostrare l’adeguatezza di tali misure, a fare tutto il possibile per prevenire operazioni di trattamento non conformi a tale regolamento (sentenza del 14 dicembre 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punto 55).

130

Il controllo del rispetto dei requisiti di sicurezza imposti dal RGPD spetta, da un lato, alle autorità di controllo e, dall’altro, ai giudici nazionali investiti di un ricorso ai sensi dell’articolo 78, paragrafo 1, o dell’articolo 79, paragrafo 1, del RGPD.

131

Per quanto riguarda le autorità di controllo, esse hanno come compito principale, come ricordato al punto 120 della presente sentenza, quello di controllare l’applicazione del RGPD e di vigilare sul suo rispetto. In particolare, in forza dell’articolo 33 di tale regolamento, esse devono essere informate, da parte dei titolari del trattamento, delle violazioni dei dati personali.

132

Inoltre, l’articolo 58, paragrafi 1 e 2, del RGPD conferisce a dette autorità importanti poteri di indagine nonché il potere di adottare diverse misure correttive. Occorre precisare, a tale riguardo, che esse sono tenute a intervenire qualora l’adozione di una o più delle misure correttive previste all’articolo 58, paragrafo 2, di detto regolamento sia, tenuto conto delle circostanze di ciascun singolo caso, appropriata, necessaria e proporzionata al fine di porre rimedio all’inadeguatezza constatata e garantire il pieno rispetto di tale regolamento [sentenza del 26 settembre 2024, Land Hessen (Obbligo di agire dell’autorità per la protezione dei dati), C‑768/21, EU:C:2024:785, punto 42].

133

Inoltre, è particolarmente importante che le autorità di controllo dispongano di poteri effettivi al fine di agire efficacemente contro le violazioni del RGPD e, in particolare, di porvi fine, anche nei casi in cui gli interessati non siano informati del trattamento dei loro dati personali, non ne siano a conoscenza o, in ogni caso, non abbiano presentato un reclamo ai sensi dell’articolo 77, paragrafo 1, di tale regolamento (v., in tal senso, sentenza del 14 marzo 2024, Újpesti Polgármesteri Hivatal, C‑46/23, EU:C:2024:239, punto 41).

134

Tali autorità, al pari dei giudici nazionali investiti di un ricorso ai sensi dell’articolo 78, paragrafo 1, o dell’articolo 79, paragrafo 1, del RGPD, devono assicurarsi che le misure tecniche e organizzative adottate dal titolare del trattamento siano adeguate al fine di garantire un livello di sicurezza adeguato al rischio, come richiesto dall’articolo 32, paragrafo 1, di detto regolamento, esaminando al contempo tali misure in modo concreto nel merito, alla luce di tutti i criteri menzionati in detto articolo nonché delle circostanze proprie del caso di specie e degli elementi di prova di cui tali autorità o tali giudici dispongono al riguardo (v., in tal senso, sentenze del 14 dicembre 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punti 43 e 45, nonché del 28 novembre 2024, Másdi, C‑169/23, EU:C:2024:988, punto 71).

135

Per contro, i giudici nazionali che non sono investiti di un ricorso ai sensi dell’articolo 78, paragrafo 1, o dell’articolo 79, paragrafo 1, del RGPD non sono tenuti, in assenza di norme che conferiscano loro esplicitamente poteri di controllo, a garantire il rispetto delle disposizioni sostanziali di tale regolamento al fine di garantire il loro effetto utile.

136

Poiché il giudice del rinvio si interroga in particolare sull’effettività del ricorso giurisdizionale previsto all’articolo 79, paragrafo 1, del RGPD, occorre inoltre, al fine di fornirgli una risposta utile, sottolineare che gli Stati membri devono assicurarsi che le modalità concrete di esperimento dei mezzi di ricorso di cui all’articolo 77, paragrafo 1, all’articolo 78, paragrafo 1, e all’articolo 79, paragrafo 1, di tale regolamento soddisfino effettivamente i requisiti derivanti dal diritto a un ricorso effettivo sancito all’articolo 47 della Carta (v., in tal senso, sentenza del 12 gennaio 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, punto 51).

137

A tal fine, occorre che il titolare del trattamento, ossia l’organo giudiziario competente al quale è stato concesso l’accesso ai dati personali, fornisca alle persone i cui dati sono oggetto di attenzione, le informazioni, elencate all’articolo 14, paragrafi 1 e 2, del RGPD, secondo le modalità di cui all’articolo 12, paragrafo 1, e all’articolo 14, paragrafo 3, di tale regolamento, informazioni che sono necessarie affinché detti soggetti possano esercitare, se del caso, i diritti loro conferiti da tale regolamento, in particolare il loro diritto di opposizione al trattamento dei loro dati personali, previsto all’articolo 21 del RGPD, nonché il loro diritto di agire in giudizio nel caso in cui subiscano un danno, previsto agli articoli 79 e 82 del suddetto regolamento (v., per analogia, sentenza del 22 giugno 2023, Pankki S, C‑579/21, EU:C:2023:501 punto 58 e giurisprudenza citata).

138

Alla luce delle considerazioni che precedono, occorre rispondere alla sesta questione dichiarando che l’articolo 79, paragrafo 1, del RGPD, letto alla luce dell’articolo 47 della Carta, deve essere interpretato nel senso che un giudice competente ad autorizzare la divulgazione di dati personali a un altro organo giudiziario non è tenuto, qualora non sia investito di un ricorso ai sensi di tale disposizione, a garantire d’ufficio la protezione delle persone i cui dati sono oggetto di attenzione per quanto riguarda il rispetto delle disposizioni di tale regolamento relative alla sicurezza dei dati personali, anche qualora sia noto che tale organo ha commesso, in passato, una violazione di queste ultime disposizioni.

139

Nei confronti delle parti nel procedimento principale la presente causa costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.

Per questi motivi, la Corte (Prima Sezione) dichiara: