Sent. C. Giustizia UE 05/12/2023, n. C-807/21

1) L’articolo 58, paragrafo 2, lettera i), e l’articolo 83, paragrafi da 1 a 6, del regolamento 2016/679/UE del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), devono essere interpretati nel senso che essi ostano a una normativa nazionale in forza della quale una sanzione amministrativa pecuniaria può essere inflitta a una persona giuridica, nella sua qualità di titolare del trattamento, per una violazione di cui ai paragrafi da 4 a 6 di tale articolo 83 solo a condizione che tale violazione sia stata previamente imputata a una persona fisica identificata.

2) L’articolo 83 del regolamento 2016/679 deve essere interpretato nel senso che una sanzione amministrativa pecuniaria può essere inflitta ai sensi di tale disposizione solo qualora venga accertato che il titolare del trattamento, che sia al contempo una persona giuridica e un’impresa, ha commesso, con dolo o colpa, una violazione di cui ai paragrafi da 4 a 6 di tale articolo.