La firma autografa è un "dato personale"

E' stato chiesto alla Corte di Giustizia se l’articolo 4, punto 1, del GDPR debba essere interpretato nel senso che la firma autografa di una persona fisica rientra nella nozione di «dati personali» ai sensi di tale disposizione.

Questa disposizione afferma che costituisce un dato personale «qualsiasi informazione riguardante una persona fisica identificata o identificabile» e specifica che «si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale».

A questo proposito, la Corte ha dichiarato che l’uso dell’espressione «qualsiasi informazione» nell’ambito della definizione della nozione di «dati personali», figurante nella medesima disposizione, riflette l’obiettivo del legislatore dell’Unione di attribuire un’accezione estesa a tale nozione, che comprende potenzialmente ogni tipo di informazioni, tanto oggettive quanto soggettive, sotto forma di pareri o di valutazioni, a condizione che esse siano «concernenti» la persona interessata (sentenza del 4 maggio 2023, Österreichische Datenschutzbehörde e CRIF, C‑487/21, EU:C:2023:369, punto 23).

 Un’informazione riguarda una persona fisica identificata o identificabile qualora, in ragione del suo contenuto, della sua finalità o del suo effetto, essa sia connessa a una persona identificabile (sentenza del 4 maggio 2023, Österreichische Datenschutzbehörde e CRIF, C‑487/21, EU:C:2023:369, punto 24).

Quanto al carattere «identificabile» di una persona fisica, il considerando 26 del GDPR precisa che occorre prendere in considerazione «tutti i mezzi, come l’individuazione, di cui il titolare del trattamento o un terzo può ragionevolmente avvalersi per identificare detta persona fisica direttamente o indirettamente».

Di conseguenza, l’ampia definizione della nozione di «dati personali» non comprende soltanto i dati raccolti e conservati dal titolare del trattamento, ma include altresì tutte le informazioni risultanti da un trattamento di dati personali che riguardano una persona identificata o identificabile (v., in questo senso, sentenza del 4 maggio 2023, Österreichische Datenschutzbehörde e CRIF, C‑487/21, EU:C:2023:369, punto 26).

Dalla giurisprudenza della Corte risulta altresì che la scrittura manoscritta di una persona fisica fornisce un’informazione concernente tale persona (v., in tal senso, sentenza del 20 dicembre 2017, Nowak, C‑434/16, EU:C:2017:994, punto 37).

Infine, occorre rilevare che la firma autografa di una persona fisica è, in generale, utilizzata per identificare tale persona, per conferire valore probatorio, quanto alla loro esattezza e veridicità, ai documenti sui quali essa è apposta o per assumerne la responsabilità. Peraltro, risulta che, sul contratto di società in questione, la firma dei soci correda il nome di questi ultimi.

Alla luce di quanto precede, va dichiarato che l’articolo 4, punto 1, del GDPR deve essere interpretato nel senso che la firma autografa di una persona fisica rientra nella nozione di «dato personale» ai sensi di tale disposizione