Corte di giustizia dell'Unione Europea
Quinta Sezione
Sentenza 9 luglio 2026

Presidente: Arastey Sahún - Relatore: Regan

«Rinvio pregiudiziale - Protezione delle persone fisiche con riguardo al trattamento dei dati personali - Regolamento (UE) 2016/679 - Ambito di applicazione - Messa a disposizione del pubblico, on line e a pagamento, di informazioni relative a condanne penali - Conciliazione del diritto alla protezione dei dati personali con il diritto alla libertà di espressione e di informazione - Articolo 79 - Diritto ad un ricorso giurisdizionale effettivo - Portata - Articolo 85 - Nozione di trattamento di dati personali effettuato a "scopi giornalistici"».

Nella causa C‑199/24, avente ad oggetto la domanda di pronuncia pregiudiziale proposta alla Corte, ai sensi dell'articolo 267 TFUE, dall'Attunda tingsrätt (Tribunale di primo grado di Attunda, Svezia), con decisione del 1º marzo 2024, pervenuta in cancelleria il 13 marzo 2024, nel procedimento ND contro Legal Newsdesk Sweden AB, già Garrapatica AB.

[...]

1. La domanda di pronuncia pregiudiziale verte sull'interpretazione dell'articolo 85, paragrafi 1 e 2, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1, e rettifica in GU 2018, L 127, pag. 2; in prosieguo: il «RGPD»).

2. Tale domanda è stata presentata nell'ambito di una controversia tra ND e la Legal Newsdesk Sweden AB, già Garrapatica AB, in merito alla risposta negativa, opposta da tale società, alla domanda di cancellazione dei dati personali di ND dalla banca dati denominata «Lexbase», gestita dalla suddetta società.

Contesto normativo

Diritto dell'Unione

Direttiva 95/46/CE

3. L'articolo 9 della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU 1995, L 281, pag. 31), rubricato «Trattamento di dati personali e libertà d'espressione», così disponeva:

«Gli Stati membri prevedono, per il trattamento di dati personali effettuato esclusivamente a scopi giornalistici o di espressione artistica o letteraria, le esenzioni o le deroghe alle disposizioni del presente capo e dei capi IV e VI solo qualora si rivelino necessarie per conciliare il diritto alla vita privata con le norme sulla libertà d'espressione».

4. Tale direttiva è stata abrogata e sostituita dal RGPD con effetto dal 25 maggio 2018.

Il RGPD

5. Il considerando 153 del RGPD così recita:

«Il diritto degli Stati membri dovrebbe conciliare le norme che disciplinano la libertà di espressione e di informazione, comprese l'espressione giornalistica, accademica, artistica o letteraria, con il diritto alla protezione dei dati personali ai sensi del presente regolamento. Il trattamento dei dati personali effettuato unicamente a scopi giornalistici o di espressione accademica, artistica o letteraria dovrebbe essere soggetto a deroghe o esenzioni rispetto ad alcune disposizioni del presente regolamento se necessario per conciliare il diritto alla protezione dei dati personali e il diritto alla libertà d'espressione e di informazione sancito nell'articolo 11 della [Carta dei diritti fondamentali dell'Unione europea (in prosieguo: la «Carta»)]. Ciò dovrebbe applicarsi in particolare al trattamento dei dati personali nel settore audiovisivo, negli archivi stampa e nelle emeroteche. È pertanto opportuno che gli Stati adottino misure legislative che prevedano le deroghe e le esenzioni necessarie ai fini di un equilibrio tra tali diritti fondamentali. (...) Per tenere conto dell'importanza del diritto alla libertà di espressione in tutte le società democratiche è necessario interpretare in modo esteso i concetti relativi a detta libertà, quali la nozione di giornalismo».

6. L'articolo 4 del RGPD, rubricato «Definizioni», contenuto nel capo I di tale regolamento, intitolato «Disposizioni generali», così dispone:

«Ai fini del presente regolamento s'intende per:

(...)

2) "trattamento": qualsiasi operazione o insieme di operazioni, compiute con o senza l'ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l'organizzazione, la strutturazione, la conservazione, l'adattamento o la modifica, l'estrazione, la consultazione, l'uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l'interconnessione, la limitazione, la cancellazione o la distruzione;

(...)».

7. L'articolo 10 del RGPD, rubricato «Trattamento dei dati personali relativi a condanne penali e reati», contenuto nel capo II di tale regolamento, intitolato «Principi», prevede quanto segue:

«Il trattamento dei dati personali relativi alle condanne penali e ai reati o a connesse misure di sicurezza sulla base dell'articolo 6, paragrafo 1, deve avvenire soltanto sotto il controllo dell'autorità pubblica o se il trattamento è autorizzato dal diritto dell'Unione o degli Stati membri che preveda garanzie appropriate per i diritti e le libertà degli interessati. Un eventuale registro completo delle condanne penali deve essere tenuto soltanto sotto il controllo dell'autorità pubblica».

8. L'articolo 55 del RGPD, rubricato «Competenza», contenuto nel capo VI di tale regolamento, intitolato «Autorità di controllo indipendenti», dispone, al paragrafo 1, che ogni autorità di controllo è competente a eseguire i compiti assegnati e a esercitare i poteri a essa conferiti a norma del RGPD nel territorio del rispettivo Stato membro.

9. L'articolo 57 del RGPD, rubricato «Compiti», al paragrafo 1, lettera h), dispone che, fatti salvi gli altri compiti indicati in tale regolamento, ciascuna autorità di controllo ha il compito di svolgere, sul territorio del proprio Stato membro, indagini sull'applicazione del RGPD.

10. I poteri di indagine delle autorità di controllo sono elencati al paragrafo 1 dell'articolo 58 del RGPD, rubricato «Poteri». Il paragrafo 2 di tale articolo indica i poteri correttivi di cui dispongono tali autorità. Il paragrafo 3 di detto articolo precisa i poteri autorizzativi e consultivi di dette autorità.

11. Il capo VIII del RGPD, intitolato «Mezzi di ricorso, responsabilità e sanzioni», comprende, segnatamente, gli articoli da 77 a 79 e 82 di tale regolamento.

12. L'articolo 77 del RGPD, intitolato «Diritto di proporre reclamo all'autorità di controllo», al paragrafo 1 dispone quanto segue:

«Fatto salvo ogni altro ricorso amministrativo o giurisdizionale, l'interessato che ritenga che il trattamento che lo riguarda violi il presente regolamento ha il diritto di proporre reclamo a un'autorità di controllo, segnatamente nello Stato membro in cui risiede abitualmente, lavora oppure del luogo ove si è verificata la presunta violazione».

13. L'articolo 78, rubricato «Diritto a un ricorso giurisdizionale effettivo nei confronti dell'autorità di controllo», ai suoi paragrafi 1 e 2 così prevede:

«1. Fatto salvo ogni altro ricorso amministrativo o extragiudiziale, ogni persona fisica o giuridica ha il diritto di proporre un ricorso giurisdizionale effettivo avverso una decisione giuridicamente vincolante dell'autorità di controllo che la riguarda.

2. Fatto salvo ogni altro ricorso amministrativo o extragiudiziale, ciascun interessato ha il diritto di proporre un ricorso giurisdizionale effettivo qualora l'autorità di controllo che sia competente ai sensi degli articoli 55 e 56 non tratti un reclamo o non lo informi entro tre mesi dello stato o dell'esito del reclamo proposto ai sensi dell'articolo 77».

14. L'articolo 79 del RGPD, rubricato «Diritto a un ricorso giurisdizionale effettivo nei confronti del titolare del trattamento o del responsabile del trattamento», al paragrafo 1 così recita:

«Fatto salvo ogni altro ricorso amministrativo o extragiudiziale disponibile, compreso il diritto di proporre reclamo a un'autorità di controllo ai sensi dell'articolo 77, ogni interessato ha il diritto di proporre un ricorso giurisdizionale effettivo qualora ritenga che i diritti di cui gode a norma del presente regolamento siano stati violati a seguito di un trattamento».

15. L'articolo 82 del RGPD, rubricato «Diritto al risarcimento e responsabilità», al paragrafo 1 prevede quanto segue:

Chiunque subisca un danno materiale o immateriale causato da una violazione del presente regolamento ha il diritto di ottenere il risarcimento del danno dal titolare del trattamento o dal responsabile del trattamento».

16. L'articolo 85 del RGPD, rubricato «Trattamento e libertà d'espressione e di informazione», dispone:

«1. Il diritto degli Stati membri concilia la protezione dei dati personali ai sensi del presente regolamento con il diritto alla libertà d'espressione e di informazione, incluso il trattamento a scopi giornalistici o di espressione accademica, artistica o letteraria.

2. Ai fini del trattamento effettuato a scopi giornalistici o di espressione accademica, artistica o letteraria, gli Stati membri prevedono esenzioni o deroghe rispetto ai capi II (principi), III (diritti dell'interessato), IV (titolare del trattamento e responsabile del trattamento), V (trasferimento di dati personali verso paesi terzi o organizzazioni internazionali), VI (autorità di controllo indipendenti), VII (cooperazione e coerenza) e IX (specifiche situazioni di trattamento dei dati) qualora siano necessarie per conciliare il diritto alla protezione dei dati personali e la libertà d'espressione e di informazione.

3. Ogni Stato membro notifica alla Commissione [europea] le disposizioni di legge adottate ai sensi del paragrafo 2 e comunica senza ritardo ogni successiva modifica».

Diritto svedese

17. La protezione della libertà di stampa e della libertà di espressione è disciplinata da leggi di rango costituzionale, ossia il Tryckfrihetsförordningen (1949:105) [legge costituzionale sulla libertà di stampa (1949:105)] (SFS 1949, n. 105; in prosieguo: la «legge costituzionale sulla libertà di stampa») e l'Yttrandefrihetsgrundlagen (1991:1469) [legge costituzionale sulla libertà di espressione (1991:1469)] (SFS 1949, n. 1469; in prosieguo: la «legge costituzionale sulla libertà di espressione»).

18. Secondo le indicazioni contenute nella domanda di pronuncia pregiudiziale, la legge costituzionale sulla libertà di espressione garantisce la libertà di espressione, in particolare mediante la radiodiffusione o tramite determinati tipi di siti Internet.

19. Secondo l'articolo 1 del capo 9 di tale legge, una domanda di risarcimento danni per esercizio abusivo della libertà di espressione a causa del contenuto di un programma può essere fondata soltanto sul motivo che tale programma configura un reato di abuso della libertà di espressione. Il fatto di designare una persona come delinquente o come dedita a uno stile di vita riprovevole, o di fornire informazioni destinate a esporre tale persona al discredito altrui costituisce reato di diffamazione e comporta il reato di abuso della libertà di espressione, ai sensi dell'articolo 1 del capo 5 di detta legge, nonché dell'articolo 3 del capo 7 della legge costituzionale sulla libertà di stampa. Tuttavia, tale atto non ha rilevanza penale se, alla luce delle circostanze, la divulgazione di tali informazioni è giustificata e se la persona che le ha divulgate dimostra che queste ultime erano veritiere o che essa aveva fondati motivi per ritenerle tali.

20. In forza dell'articolo 4 del capo 1 della legge costituzionale sulla libertà di espressione, la protezione garantita da tale libertà si applica a taluni tipi di banche dati se l'attività di cui trattasi è oggetto di un certificato di tutela costituzionale.

21. L'articolo 14 del capo 1 della legge costituzionale sulla libertà di espressione prevede che nessun organismo pubblico, salvo che tale legge lo autorizzi, può adottare una misura contro una persona che abbia abusato o contribuito ad abusare della libertà di espressione in un programma, né può adottare una misura contro tale programma. Deriva inoltre dall'articolo 11 del capo 1 della medesima legge che non è consentito a un organismo pubblico vietare o impedire la concezione, la pubblicazione o la diffusione al pubblico di un programma e di registrazioni di tale natura a causa del suo contenuto, a meno che la misura in questione non sia fondata sulla medesima legge.

22. Ai sensi dell'articolo 7, primo comma, del capo 1 del lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning [legge recante disposizioni integrative al regolamento generale dell'Unione europea sulla protezione dei dati (2018:218)], del 19 aprile 2018 (SFS 2018, n. 218), il RGPD non si applica qualora tale applicazione sia in contrasto con la legge costituzionale sulla libertà di stampa o con la legge costituzionale sulla libertà di espressione. Ai sensi dell'articolo 7, secondo comma, alcuni articoli del RGPD non si applicano al trattamento di dati personali effettuato, tra l'altro, a scopi giornalistici.

Procedimento principale e questioni pregiudiziali

23. La Legal Newsdesk Sweden gestisce la banca dati Lexbase, che consente, in particolare, di effettuare ricerche su persone e imprese che sono state imputate in procedimenti penali dinanzi a un tribunale svedese. Tale banca dati contiene dati personali.

24. ND, ricorrente nel procedimento principale, è stato condannato per un reato con sentenza del 17 gennaio 2011.

25. La Legal Newsdesk Sweden ha pubblicato tale sentenza nella banca dati Lexbase, ove è rimasta accessibile fino al mese di febbraio 2024. Orbene, nonostante il ricorrente nel procedimento principale abbia presentato a tale società una domanda di cancellazione dei suoi dati personali, questi ultimi non sono stati cancellati immediatamente, ma ciò è avvenuto soltanto in un momento successivo, sulla base della sua politica interna di conservazione dei dati.

26. Con ricorso proposto dinanzi all'Attunda tingsrätt (Tribunale di primo grado di Attunda, Svezia), giudice del rinvio, ND ha chiesto la condanna della Legal Newsdesk Sweden, per violazione del RGPD, al pagamento dei danni per un importo pari a 300 000 corone svedesi (SEK) (circa EUR 26 000), maggiorato degli interessi.

27. La Legal Newsdesk Sweden ha contestato tale domanda e, in tale occasione, si è avvalsa del certificato di protezione costituzionale a titolo della libertà di espressione, denominato utgivnigsbevis, rilasciato dal Myndigheten för press, radio och tv (Agenzia nazionale per la stampa, la radio e la televisione, Svezia), che copre le informazioni pubblicate nella banca dati Lexbase. Orbene, il giudice del rinvio rileva che, secondo il diritto svedese, in una situazione del genere, il RGPD non è applicabile, essendo il diritto alla protezione dei dati personali garantito, in particolare, dalla legge costituzionale sulla libertà di stampa e dalla legge costituzionale sulla libertà di espressione, le quali prevedono, come unici mezzi di ricorso, soltanto la possibilità di avviare un procedimento penale per diffamazione e l'azione di responsabilità civile per diffamazione.

28. A tale proposito, dopo aver rammentato il contenuto dell'articolo 85, paragrafi 1 e 2, del RGPD e del considerando 153 dello stesso, il giudice del rinvio rileva che tale regolamento autorizza espressamente gli Stati membri a prevedere esenzioni o deroghe per quanto concerne il trattamento di dati personali, in particolare, a «scopi giornalistici».

29. Tuttavia, il giudice del rinvio osserva che il RGPD non definisce cosa debba intendersi per trattamento di dati personali a «scopi giornalistici». Inoltre, esso rileva che, sebbene la Corte abbia indicato che tale nozione dev'essere interpretata in modo esteso e che si deve ritenere che le attività dirette alla divulgazione al pubblico di informazioni, opinioni o idee, con qualsiasi mezzo di trasmissione, anche per quanto riguarda dati provenienti da documenti pubblici secondo la normativa nazionale, abbiano un tale scopo, non è stato invece precisato se tale divulgazione implichi che vi sia stata una forma di redazione o di adattamento di tali informazioni.

30. In tale contesto, l'Attunda tingsrätt (Tribunale di primo grado di Attunda) ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali:

«1) Se l'articolo 85, paragrafo 1, del [RGPD] consenta agli Stati membri di adottare misure legislative ulteriori rispetto a quanto ad essi compete ai sensi dell'articolo 85, paragrafo 2, di tale regolamento, con riferimento al trattamento dei dati personali a scopi diversi da quelli giornalistici o di espressione accademica, artistica o letteraria.

2) In caso di risposta affermativa alla prima questione: se l'articolo 85, paragrafo 1, del [RGPD] consenta di conciliare il diritto alla protezione dei dati personali ai sensi di tale regolamento con il diritto alla libertà di espressione e di informazione, in virtù della quale una persona i cui dati personali sono stati trattati mettendo a disposizione del pubblico, tramite Internet e a pagamento, sentenze di condanna penali che la riguardano, può soltanto avviare un procedimento penale per diffamazione oppure chiedere il risarcimento dei danni per diffamazione.

3) In caso di risposta negativa alla prima questione o di risposta negativa alla seconda questione: se un'attività consistente nel mettere a disposizione del pubblico, tramite Internet e a pagamento, senza alcun adattamento o rielaborazione, documenti pubblici sotto forma di sentenze di condanna penali, costituisca un trattamento di dati personali effettuato per gli scopi indicati all'articolo 85, paragrafo 2, del [RGPD]».

Sulle questioni pregiudiziali

Sulla prima questione

31. Con la sua prima questione, il giudice del rinvio chiede, in sostanza, se l'articolo 85, paragrafo 1, del RGPD debba essere interpretato nel senso che esso osta a che gli Stati membri adottino, sulla base di tale disposizione, misure legislative che vadano oltre quanto previsto dall'articolo 85, paragrafo 2, di tale regolamento, introducendo deroghe a taluni capi di detto regolamento per i trattamenti di dati personali che perseguono scopi diversi da quelli giornalistici o di espressione accademica, artistica o letteraria, per il motivo che tali misure sono necessarie per conciliare il diritto alla protezione dei dati personali con il diritto alla libertà di espressione e di informazione.

32. A tale proposito occorre ricordare che, conformemente all'articolo 85, paragrafo 1, del RGPD, il diritto degli Stati membri concilia la protezione dei dati personali a titolo di tale regolamento con il diritto alla libertà di espressione e di informazione, incluso il trattamento a scopi giornalistici o di espressione accademica, artistica o letteraria.

33. In via preliminare, occorre ricordare che, secondo una giurisprudenza costante, l'interpretazione di una disposizione del diritto dell'Unione non può avere come risultato di privare di ogni effetto utile la formulazione chiara e precisa di tale disposizione. Pertanto, allorché il senso di una disposizione del diritto dell'Unione risulta senza ambiguità dalla formulazione stessa di quest'ultima, la Corte non può discostarsi dall'interpretazione che occorre dare a tale disposizione alla luce della sua formulazione (v., in tal senso, sentenza del 25 gennaio 2022, VYSOČINA WIND, C‑181/20, EU:C:2022:51, punto 39 e giurisprudenza citata).

34. Nel caso di specie, occorre rilevare che l'articolo 85, paragrafo 1, del RGPD si limita a enunciare che il diritto degli Stati membri concilia la protezione dei dati personali, ai sensi di tale regolamento, con il diritto alla libertà di espressione e di informazione, senza prevedere che tale conciliazione possa avere come conseguenza l'adozione di esenzioni o di deroghe a detto regolamento.

35. Certamente, come sottolineato, in sostanza, dall'avvocato generale al paragrafo 17 delle sue conclusioni, dall'impiego della locuzione «incluso» all'articolo 85, paragrafo 1, del RGPD risulta inequivocabilmente che i trattamenti per gli scopi specifici menzionati in tale disposizione, ossia i trattamenti effettuati a scopi giornalistici o di espressione accademica, artistica o letteraria, sono solo una parte dei trattamenti che possono formare oggetto della conciliazione prevista da detta disposizione.

36. Tuttavia, l'articolo 85, paragrafo 1, del RGPD dev'essere letto alla luce dell'articolo 85, paragrafo 2, di tale regolamento, in forza del quale, ai fini del trattamento effettuato a scopi giornalistici o di espressione accademica, artistica o letteraria, gli Stati membri prevedono esenzioni o deroghe rispetto ai capi da II a VII e IX di detto regolamento, qualora siano necessarie per conciliare il diritto alla protezione dei dati personali e la libertà di espressione e di informazione.

37. Risulta quindi chiaramente dalla formulazione dell'articolo 85, paragrafi 1 e 2, del RGPD che, sebbene il paragrafo 1 di tale articolo stabilisca una norma generale che impone agli Stati membri di conciliare, mediante misure legislative, il diritto alla protezione dei dati personali con il diritto alla libertà di espressione e di informazione, incluso il trattamento a scopi giornalistici e di espressione accademica, artistica o letteraria, la norma speciale enunciata al suo paragrafo 2, secondo la quale spetta loro prevedere esenzioni o deroghe a taluni capi di tale regolamento se ciò è necessario per consentire tale conciliazione, vale solo per tali scopi specifici.

38. Tale interpretazione è confermata, anzitutto, dal considerando 153 del RGPD secondo il quale l'obiettivo perseguito dall'articolo 85 di tale regolamento è quello di consentire agli Stati membri di prevedere esenzioni o deroghe a talune disposizioni di tale regolamento «unicamente» nell'ambito del trattamento di dati personali a scopi giornalistici o di espressione accademica, artistica o letteraria.

39. Inoltre, poiché l'articolo 85, paragrafo 2, di detto regolamento definisce, in modo esaustivo, il quadro nel quale devono operare le esenzioni o le deroghe a taluni capi del medesimo regolamento, tali esenzioni o tali deroghe devono essere interpretate restrittivamente (v., per analogia, sentenza del 30 aprile 2025, Inspektorat kam Visshia sadeben savet, C‑313/23, C‑316/23 e C‑332/23, EU:C:2025:303, punto 101 e giurisprudenza citata).

40. Infine, occorre ricordare che la conciliazione di diversi diritti fondamentali garantiti dalla Carta, quali il diritto alla protezione dei dati personali nonché il diritto alla libertà di espressione e di informazione, garantiti rispettivamente agli articoli 8 e 11 della Carta, deve compiersi nei limiti di un giusto equilibrio tra tali diritti [v., in tal senso, sentenza del 6 ottobre 2020, État luxembourgeois (Diritto di ricorso contro una richiesta di informazioni in materia fiscale), C‑245/19 e C‑246/19, EU:C:2020:795, punto 50 e giurisprudenza citata].

41. Orbene, secondo una giurisprudenza costante, conformemente al principio di proporzionalità, la realizzazione di tale giusto equilibrio presuppone che si tenga conto della funzione dei diritti fondamentali di cui trattasi nella società [sentenze del 2 marzo 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, punto 49, e del 4 ottobre 2024, Bezirkshauptmannschaft Landeck (Tentativo di accesso ai dati personali memorizzati in un telefono cellulare), C‑548/21, EU:C:2024:830, punto 85 e giurisprudenza citata].

42. Nel caso di specie, se è vero che, come risulta dalla formulazione dell'articolo 85, paragrafo 2, del RGPD, riguardante i trattamenti effettuati a scopi giornalistici o di espressione accademica, artistica o letteraria, il legislatore dell'Unione ha deciso di imporre espressamente agli Stati membri di prevedere esenzioni o deroghe a taluni capi di tale regolamento, la cui portata può tuttavia variare da uno Stato membro all'altro, nonché di menzionare un numero significativo di tali capi sui quali possono vertere tali esenzioni o deroghe, lo ha fatto nella misura in cui ha ritenuto che solo le espressioni effettuate a tali scopi, tenuto conto della loro funzione in una società democratica, giustificassero esenzioni o deroghe così significative alle disposizioni di detto regolamento.

43. Ne consegue che la conciliazione realizzata dal diritto degli Stati membri, conformemente all'articolo 85, paragrafo 1, di tale regolamento, tra la protezione dei dati personali ai sensi del RGPD e il diritto alla libertà di espressione e di informazione, non può comportare che tali Stati prevedano, sulla base di tale disposizione, esenzioni o deroghe a detto regolamento per trattamenti di dati personali che perseguono scopi diversi da quelli giornalistici o di espressione accademica, artistica o letteraria.

44. In considerazione di quanto precede, occorre rispondere alla prima questione dichiarando che l'articolo 85, paragrafo 1, del RGPD dev'essere interpretato nel senso che esso osta a che gli Stati membri adottino, sulla base di tale disposizione, misure legislative che vadano oltre quanto previsto dall'articolo 85, paragrafo 2, di tale regolamento, introducendo deroghe a taluni capi di detto regolamento per i trattamenti di dati personali che perseguono scopi diversi da quelli giornalistici o di espressione accademica, artistica o letteraria, per il motivo che tali misure sono necessarie per conciliare il diritto alla protezione dei dati personali con il diritto alla libertà di espressione e di informazione.

Sulla seconda questione

45. Con la sua seconda questione, il giudice del rinvio chiede, in sostanza, se l'articolo 85, paragrafo 1, del RGPD debba essere interpretato nel senso che esso osta a che le misure adottate dagli Stati membri sul suo fondamento prevedano, in quanto concretizzazione della conciliazione alla quale essi devono procedere tra il diritto alla protezione dei dati personali e il diritto alla libertà di espressione e di informazione, che i soli mezzi di ricorso a disposizione di una persona che è stata oggetto di condanne penali, qualora dati personali relativi a tali condanne siano messi a disposizione del pubblico su Internet, a pagamento, sono la possibilità di avviare un procedimento penale per diffamazione o un'azione di risarcimento del danno subito a causa della diffamazione.

46. A tale proposito occorre ricordare che l'articolo 85, paragrafo 2, del RGPD autorizza gli Stati membri ad adottare misure legislative in deroga ai capi da II a VII e IX di tale regolamento qualora ciò sia necessario per conciliare il diritto alla protezione dei dati personali ai sensi di detto regolamento con il diritto alla libertà di espressione e di informazione.

47. Orbene, si deve necessariamente constatare che il capo VIII del RGPD comprende l'articolo 77, paragrafo 1, l'articolo 78, paragrafi 1 e 2, l'articolo 79, paragrafo 1, e l'articolo 82, paragrafo 1, del RGPD, che riguardano i mezzi di ricorso di cui deve disporre una persona in relazione al trattamento dei suoi dati personali come quelli di cui trattasi nel procedimento principale, in quanto garantiscono rispettivamente, in primo luogo, il diritto degli interessati di proporre reclamo a un'autorità di controllo, in secondo luogo, il diritto di ogni persona fisica o giuridica a proporre un ricorso giurisdizionale effettivo avverso una decisione giuridicamente vincolante di un'autorità di controllo che la riguarda, in terzo luogo il diritto a un ricorso giurisdizionale effettivo di chiunque ritenga che i diritti di cui gode a norma di tale regolamento siano stati violati a seguito di un trattamento dei suoi dati personali effettuato in violazione di detto regolamento da parte di un titolare del trattamento o di un responsabile del trattamento e, in quarto luogo, il diritto di chiunque abbia subito un danno materiale o immateriale causato da una violazione del medesimo regolamento di ottenere il risarcimento del danno dal titolare del trattamento o dal responsabile del trattamento.

48. Poiché il capo VIII non figura tra quelli menzionati all'articolo 85, paragrafo 2, del RGPD, se ne deve dedurre che, dato che l'articolo 85, paragrafo 1, di tale regolamento non consente agli Stati membri di prevedere le esenzioni o le deroghe previste a detto articolo 85, paragrafo 2, per trattamenti di dati personali che perseguono scopi diversi da quelli contemplati in quest'ultimo paragrafo, esso non può, a maggior ragione, autorizzarli a derogare all'articolo 77, paragrafo 1, all'articolo 78, paragrafi 1 e 2, all'articolo 79, paragrafo 1, e all'articolo 82, paragrafo 1, di detto regolamento.

49. Di conseguenza, dato che il RGPD non contiene indicazioni relative alle modalità procedurali di esercizio dei mezzi di ricorso previsti da tale regolamento, spetta agli Stati membri stabilirle in virtù del principio dell'autonomia processuale, purché esse non siano né meno favorevoli di quelle che disciplinano le situazioni analoghe assoggettate al diritto interno (principio di equivalenza) né tali da rendere in pratica impossibile o eccessivamente difficile l'esercizio dei diritti conferiti dal diritto dell'Unione (principio di effettività) (v., in tal senso, sentenza del 4 settembre 2025, Quirin Privatbank, C‑655/23, EU:C:2025:655, punto 66 e giurisprudenza citata).

50. Per contro, nella misura in cui l'articolo 77, paragrafo 1, l'articolo 78, paragrafi 1 e 2, l'articolo 79, paragrafo 1, nonché l'articolo 82, paragrafo 1, del RGPD, che sono direttamente applicabili, conferiscono agli interessati un diritto di esperire i mezzi di ricorso da essi previsti, gli Stati membri non possono subordinare l'esercizio di questi ultimi a condizioni sostanziali diverse da quelle derivanti da tale regolamento.

51. In considerazione di quanto precede, occorre rispondere alla seconda questione dichiarando che l'articolo 85, paragrafo 1, del RGPD dev'essere interpretato nel senso che esso osta a che le misure adottate dagli Stati membri sul suo fondamento prevedano, in quanto concretizzazione della conciliazione alla quale essi devono procedere tra il diritto alla protezione dei dati personali e il diritto alla libertà di espressione e di informazione, che i soli mezzi di ricorso a disposizione di una persona che è stata oggetto di condanne penali, qualora dati personali relativi a tali condanne siano messi a disposizione del pubblico su Internet, a pagamento, sono la possibilità di avviare un procedimento penale per diffamazione o un'azione di risarcimento del danno subito a causa della diffamazione.

Sulla terza questione

Sulla ricevibilità

52. Il governo bulgaro sostiene che la terza questione è irricevibile, in quanto i fatti esposti nella decisione di rinvio non consentirebbero né di determinare chiaramente lo scopo dei trattamenti dei dati personali di cui trattasi nel procedimento principale né di valutare se tali trattamenti siano conformi all'articolo 10 del RGPD.

53. Secondo una giurisprudenza costante, le questioni relative all'interpretazione del diritto dell'Unione poste dal giudice nazionale nel quadro normativo e fattuale che questi definisce sotto la propria responsabilità, e di cui non spetta alla Corte verificare l'esattezza, beneficiano di una presunzione di rilevanza. Il rifiuto della Corte di statuire su una domanda di pronuncia pregiudiziale presentata da un giudice nazionale è possibile solo qualora appaia in modo manifesto che l'interpretazione del diritto dell'Unione richiesta non ha alcuna relazione con la realtà effettiva o con l'oggetto della controversia principale, qualora il problema sia di natura ipotetica oppure qualora la Corte non disponga degli elementi di fatto e di diritto necessari per fornire una risposta utile alle questioni che le vengono sottoposte [sentenza del 18 giugno 2024, Bundesrepublik Deutschland (Effetto di una decisione di riconoscimento dello status di rifugiato), C‑753/22, EU:C:2024:524, punto 44 e giurisprudenza citata].

54. In particolare, per quanto riguarda quest'ultima ipotesi, in forza di una giurisprudenza costante che si riflette nell'articolo 94, lettere a) e b), del regolamento di procedura della Corte, la necessità di giungere a un'interpretazione del diritto dell'Unione che sia utile per il giudice nazionale impone in particolare che quest'ultimo, da un lato, esponga i fatti rilevanti o fornisca, quanto meno, un'illustrazione degli elementi di fatto sui quali le questioni sono fondate e, dall'altro, definisca il contesto normativo in cui si inseriscono le questioni sollevate (sentenza del 12 marzo 2026, Marhaux, C‑150/25, EU:C:2026:188, punto 27 e giurisprudenza citata).

55. Nel caso di specie, la terza questione verte sull'interpretazione dei termini «scopi giornalistici» impiegati all'articolo 85, paragrafo 2, del RGPD e quindi sull'interpretazione di una disposizione del diritto dell'Unione. Orbene, per rispondere a una siffatta questione, non risulta necessario conoscere la finalità dei trattamenti dei dati personali di cui trattasi nel procedimento principale né valutare se tali trattamenti siano conformi all'articolo 10 di tale regolamento.

56. Dato che, peraltro, dal fascicolo non risulta in modo manifesto che l'interpretazione del diritto dell'Unione richiesta non abbia alcun rapporto con la realtà effettiva o con l'oggetto del procedimento principale, occorre dichiarare la terza questione ricevibile.

Nel merito

57. Con la sua terza questione, il giudice del rinvio chiede, in sostanza, se l'articolo 85, paragrafo 2, del RGPD debba essere interpretato nel senso che la messa a disposizione del pubblico su Internet, a pagamento, di documenti pubblici consistenti in condanne penali, senza che questi ultimi siano oggetto di un qualsivoglia adattamento o redazione, possa essere considerata un trattamento di dati personali effettuato a «scopi giornalistici», ai sensi di tale disposizione.

58. Anzitutto, tenuto conto della giurisprudenza della Corte secondo la quale la nozione di «trattamento», ai sensi dell'articolo 4, punto 2, del RGPD, ha una portata ampia (sentenza del 5 dicembre 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punto 50 e giurisprudenza citata), si deve constatare che il fatto di mettere a disposizione del pubblico su Internet documenti pubblici consistenti in condanne penali dev'essere considerato un trattamento di dati personali ai sensi del RGPD.

59. Orbene, come ricordato al punto 36 della presente sentenza, quando tale trattamento è effettuato a scopi giornalistici o di espressione accademica, artistica o letteraria, l'articolo 85, paragrafo 2, del RGPD enuncia che gli Stati membri prevedono esenzioni o deroghe ai capi da II a VII e IX di tale regolamento se queste sono necessarie per conciliare il diritto alla protezione dei dati personali con la libertà di espressione e di informazione.

60. Certamente né l'articolo 85, paragrafo 2, del RGPD né nessun'altra disposizione di tale regolamento contengono una definizione della nozione di «scopi giornalistici» o un rinvio espresso al diritto degli Stati membri che consenta di determinare il senso o la portata di tale nozione.

61. Tuttavia, occorre rilevare che, secondo la giurisprudenza della Corte relativa alla nozione di «giornalismo» utilizzata all'articolo 9 della direttiva 95/46, la quale può essere considerata trasponibile all'interpretazione della nozione di «scopi giornalistici» contenuta nell'articolo 85, paragrafo 2, del RGPD, delle attività possono essere qualificate come «attività giornalistiche» qualora siano dirette a divulgare al pubblico informazioni, opinioni o idee, indipendentemente dal mezzo di trasmissione utilizzato (sentenza del 16 dicembre 2008, Satakunnan Markkinapörssi e Satamedia, C‑73/07, EU:C:2008:727, punto 61).

62. Inoltre, dal considerando 153 del RGPD risulta che, per tenere conto dell'importanza del diritto alla libertà di espressione e di informazione in tutte le società democratiche è necessario interpretare in modo esteso i concetti relativi a detta libertà, quali la nozione di «giornalismo».

63. Da tale considerando 153 risulta altresì che le esenzioni e deroghe ai sensi dell'articolo 85, paragrafo 2, del RGPD mirano a conciliare il diritto alla protezione dei dati personali con il diritto alla libertà di espressione e di informazione, sancito dall'articolo 11 della Carta.

64. Ciò premesso, sebbene la nozione di «scopi giornalistici» utilizzata all'articolo 85, paragrafo 2, del RGPD debba ricevere un'interpretazione estesa, ciò non toglie che tale interpretazione non può tuttavia comprendere qualsiasi forma di espressione, ma dev'essere intesa in una maniera che tenga conto di ciò che differenzia, dal punto di vista delle loro modalità di elaborazione, l'espressione giornalistica dalle altre forme di espressione, e ciò in considerazione del ruolo svolto da tale nozione nell'economia generale della disposizione in parola.

65. Orbene, ai fini dell'interpretazione dell'articolo 11 della Carta, occorre prendere in considerazione, in forza dell'articolo 52, paragrafo 3, di quest'ultima, la giurisprudenza della Corte europea dei diritti dell'uomo relativa all'articolo 10 della Convenzione europea per la salvaguardia dei diritti dell'uomo e delle libertà fondamentali, firmata a Roma il 4 novembre 1950 (sentenza del 15 marzo 2022, Autorité des marchés financiers, C‑302/20, EU:C:2022:190, punto 67 e giurisprudenza citata).

66. In primo luogo, è pacifico che un'attività giornalistica presupponga un lavoro di redazione o di adattamento delle informazioni, delle opinioni o delle idee divulgate, effettuato a titolo regolare o professionale, o, quanto meno, un lavoro di messa a disposizione di tali informazioni, opinioni o idee, effettuato conformemente a scelte editoriali (v., per analogia e in tal senso, Corte EDU, 17 gennaio 2023, Axel Springer SE c. Germania, CE:ECHR:2023:0117JUD000896418, § 33, e Corte EDU, 5 aprile 2022, NIT S.R.L. c. Repubblica di Moldova, CE:ECHR:2022:0405JUD002847012, § 193).

67. In secondo luogo, anche quando consiste nel divulgare opinioni o idee, l'attività giornalistica presuppone che le affermazioni fattuali a sostegno di tali opinioni o idee siano state verificate in modo da essere sufficientemente affidabili (v., per analogia, Corte EDU, 21 gennaio 1999, Fressoz e Roire c. Francia, CE:ECHR:1999:0121JUD002918395, §§ 52 e 54, nonché Corte EDU, 16 marzo 2017, Ólafsson c. Islanda, CE:ECHR:2017:0316JUD005849313, § 53).

68. In terzo luogo, per essere considerata «giornalistica», l'attività esercitata dev'essere soggetta al rispetto delle regole deontologiche ed etiche della professione di giornalista (v., per analogia, Corte EDU, 27 giugno 2017, Satakunnan Markkinapörssi Oy e Satamedia Oy c. Finlandia, CE:ECHR:2017:0627JUD000093113, §§ 183 e 186, nonché Corte EDU, 28 giugno 2018, M.L. e W.W. c. Germania, CE:ECHR:2018:0628JUD006079810, § 105).

69. Per contro, dato che la nozione di «giornalismo» dev'essere interpretata in modo esteso, come risulta dal punto 62 della presente sentenza, né il fatto che l'attività di cui trattasi, in occasione della quale sono effettuati trattamenti di dati, sia esercitata su Internet, a pagamento (v., in tal senso, sentenza del 16 dicembre 2008, Satakunnan Markkinapörssi e Satamedia, C‑73/07, EU:C:2008:727, punti da 59 a 62), né il fatto che tali trattamenti riguardino condanne penali sono tali da escludere che detti trattamenti possano essere effettuati a «scopi giornalistici».

70. Infatti, è vero che la natura dei dati personali oggetto di un trattamento, in particolare il loro carattere eventualmente sensibile, nonché la natura e le modalità concrete di tale trattamento, in particolare il numero di persone che hanno accesso a tali dati nonché le modalità di accesso a questi ultimi, devono essere presi in considerazione al fine di valutare se la tutela del diritto alla libertà di espressione e di informazione, in particolare quella di cui beneficiano i giornalisti, consenta di giustificare una deroga a talune disposizioni del RGPD (v., in tal senso, sentenza del 21 marzo 2024, Landeshauptstadt Wiesbaden, C‑61/22, EU:C:2024:251, punto 106), in particolare all'articolo 10 di tale regolamento, che istituisce una tutela particolare per i trattamenti di dati personali relativi alle condanne penali e ai reati. Tuttavia, la circostanza che un trattamento riguardi tali dati è irrilevante per determinare se, a monte di tale valutazione, si possa ritenere che esso sia stato realizzato a «scopi giornalistici».

71. Ciò premesso, occorre ancora sottolineare che l'articolo 85, paragrafo 2, del RGPD si riferisce al trattamento di dati personali effettuato non in occasione di un'attività giornalistica, bensì realizzato a «scopi giornalistici». Orbene, la nozione di «scopi» implica che i trattamenti di dati personali che possono rientrare in tale disposizione non si limitano a quelli che si verificano nella fase della pubblicazione di informazioni, opinioni o idee e che consistono, in tale occasione, nel mettere a disposizione del pubblico dati personali, ma includono anche i trattamenti necessari a una siffatta pubblicazione (v., per analogia, sentenza del 15 marzo 2022, Autorité des marchés financiers, C‑302/20, EU:C:2022:190, punti 64 e da 67 a 69).

72. Nei limiti in cui il lavoro giornalistico implica una selezione e una gerarchizzazione delle informazioni raccolte, possono quindi essere qualificati come trattamento effettuato a «scopi giornalistici», ai sensi dell'articolo 85, paragrafo 2, del RGPD, non solo i diversi trattamenti di dati personali necessari al fine di pubblicare informazioni, opinioni o idee, ma anche quelli che hanno riguardato dati personali contenuti in informazioni che in definitiva non sono state prese in considerazione al termine di tale selezione.

73. Di conseguenza, per rientrare nella nozione di «scopi giornalistici», ai sensi di tale disposizione, un trattamento riguardante dati personali deve avere come scopo la divulgazione al pubblico di informazioni, opinioni o idee, nel rispetto di regole deontologiche ed etiche, in seguito a un lavoro di redazione o di adattamento, o quanto meno conformemente a una linea editoriale, e ciò previa verifica delle affermazioni fattuali di cui trattasi.

74. Orbene, un'attività come quella di cui trattasi nel procedimento principale, consistente nel mettere a disposizione del pubblico su Internet, a pagamento, documenti pubblici relativi a condanne penali pronunciate non sembra richiedere un lavoro di redazione o di adattamento né sembra essere effettuata conformemente a una linea editoriale, circostanza che spetta tuttavia al giudice del rinvio verificare. Inoltre, dal fascicolo di cui dispone la Corte non emerge che la Legal Newsdesk Sweden sia soggetta alle regole deontologiche ed etiche della professione di giornalista, circostanza che dev'essere anch'essa verificata dal giudice del rinvio.

75. Indubbiamente tali documenti possono costituire informazioni utili ai fini dell'esercizio di un'attività giornalistica. Tuttavia, ciò non toglie che i trattamenti di dati personali che comportano, in particolare, la messa a disposizione del pubblico di tali documenti possono essere considerati come realizzati «a scopi giornalistici», ai sensi dell'articolo 85 del RGPD, solo se tali documenti sono esclusivamente destinati a tale attività.

76. Tuttavia, nel procedimento principale, dagli elementi del fascicolo di cui dispone la Corte risulta - circostanza che spetta tuttavia al giudice del rinvio verificare - che chiunque può accedere, utilizzando la banca dati di cui trattasi, ai documenti relativi alle condanne penali delle persone interessate, alla sola condizione di effettuare un pagamento, cosicché i trattamenti di dati personali effettuati al fine di rendere possibile un siffatto accesso, come la messa a disposizione dei dati personali contenuti in tali documenti, non possono essere considerati effettuati a scopi giornalistici.

77. In considerazione di quanto precede, occorre rispondere alla terza questione dichiarando che l'articolo 85, paragrafo 2, del RGPD dev'essere interpretato nel senso che la messa a disposizione del pubblico su Internet, a pagamento, di documenti pubblici consistenti in condanne penali può essere considerata un trattamento di dati personali effettuato a «scopi giornalistici», ai sensi di tale disposizione, solo nei limiti in cui abbia come scopo la divulgazione al pubblico di informazioni, opinioni o idee, nel rispetto delle regole deontologiche ed etiche della professione di giornalista, in seguito a un lavoro di redazione o di adattamento, o quanto meno conformemente a una linea editoriale, e ciò previa verifica delle affermazioni fattuali di cui trattasi.

Sulle spese

78. Nei confronti delle parti nel procedimento principale la presente causa costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.

P.Q.M.
la Corte (Quinta Sezione) dichiara:

1) L'articolo 85, paragrafo 1, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), dev'essere interpretato nel senso che esso osta a che gli Stati membri adottino, sulla base di tale disposizione, misure legislative che vadano oltre quanto previsto dall'articolo 85, paragrafo 2, di tale regolamento, introducendo deroghe a taluni capi di detto regolamento per i trattamenti di dati personali che perseguono scopi diversi da quelli giornalistici o di espressione accademica, artistica o letteraria, per il motivo che tali misure sono necessarie per conciliare il diritto alla protezione dei dati personali con il diritto alla libertà di espressione e di informazione.

2) L'articolo 85, paragrafo 1, del regolamento 2016/679 dev'essere interpretato nel senso che esso osta a che le misure adottate dagli Stati membri sul suo fondamento prevedano, in quanto concretizzazione della conciliazione alla quale essi devono procedere tra il diritto alla protezione dei dati personali e il diritto alla libertà di espressione e di informazione, che i soli mezzi di ricorso a disposizione di una persona che è stata oggetto di condanne penali, qualora dati personali relativi a tali condanne siano messi a disposizione del pubblico su Internet, a pagamento, sono la possibilità di avviare un procedimento penale per diffamazione o un'azione di risarcimento del danno subito a causa della diffamazione.

3) L'articolo 85, paragrafo 2, del regolamento 2016/679 dev'essere interpretato nel senso che la messa a disposizione del pubblico su Internet, a pagamento, di documenti pubblici consistenti in condanne penali può essere considerata un trattamento di dati personali effettuato a «scopi giornalistici», ai sensi di tale disposizione, solo nei limiti in cui abbia come scopo la divulgazione al pubblico di informazioni, opinioni o idee, nel rispetto delle regole deontologiche ed etiche della professione di giornalista, in seguito a un lavoro di redazione o di adattamento, o quanto meno conformemente a una linea editoriale, e ciò previa verifica delle affermazioni fattuali di cui trattasi.