Nella causa C-342/12, avente ad oggetto la domanda di pronuncia pregiudiziale proposta alla Corte, ai sensi dell’articolo 267 TFUE, dal tribunal do trabalho de Viseu (Portogallo) con decisione del 13 luglio 2012, pervenuta in cancelleria il 18 luglio 2012, nel procedimento

XXX

contro

Autoridade para as Condições de Trabalho (ACT),

LA CORTE (Terza Sezione),

composta da XXX, presidente di sezione, XXX, XXX (relatore), XXX e XXX, giudici,

avvocato generale: XXX

cancelliere: XXX

vista la fase scritta del procedimento, considerate le osservazioni presentate:

– per la XXX, da D. XXX e XXX e XXX, advogados;

– per il governo portoghese, da XXX e XXX, in qualità di agenti;

– per il governo ceco, da XXX, in qualità di agente;

– per il governo italiano, da XXX, in qualità di agente, assistita da XXX, avvocato dello Stato,

– per il governo ungherese, da XXX, XXX e XXXi, in qualità di agenti;

– per la Commissione europea, da XXX e XXX, in qualità di agenti,

vista la decisione, adottata dopo aver sentito l’avvocato generale, di giudicare la causa senza conclusioni, ha pronunciato la seguente

Sentenza

1 La domanda di pronuncia pregiudiziale verte sull’interpretazione degli articoli 2 e 17, paragrafo 1, della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU L 281, pag. 31).

2 Tale domanda è stata proposta nell’ambito di una controversia fra, da un lato, la XXX (in prosieguo: la «XXX»), società con sede in XXX (Portogallo), e, dall’altro, l’Autoridade para as Condições de Trabalho (ACT) (autorità per la vigilanza sulle condizioni di lavoro; in prosieguo: l’«ACT»), relativamente alla domanda di accesso di quest’ultima al registro dell’orario di lavoro della menzionata società.

Contesto normativo

Il diritto dell’Unione

La direttiva 95/46

3 Ai sensi dell’articolo 2 della direttiva 95/46, intitolato «Definizioni»: «Ai fini della presente direttiva si intende per: a) “dati personali”: qualsiasi informazione concernente una persona fisica identificata o identificabile (“persona interessata”); si considera identificabile la persona che può essere identificata, direttamente o indirettamente, in particolare mediante riferimento ad un numero di identificazione o ad uno o più elementi specifici caratteristici della sua identità fisica, fisiologica, psichica, economica, culturale o sociale; b) “trattamento di dati personali” (“trattamento”): qualsiasi operazione o insieme di operazioni compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali, come raccolta, registrazione, organizzazione, memorizzazione, adattamento o modifica, estrazione, consultazione, uso, comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, raffronto o interconnessione, nonché blocco, cancellazione o distruzione; (...)».

4 L’articolo 3 della medesima direttiva, intitolato «Campo d’applicazione», così recita: «1. Le disposizioni della presente direttiva si applicano al trattamento di dati personali interamente o parzialmente automatizzato nonché al trattamento non automatizzato di dati personali contenuti o destinati a figurare negli archivi. 2. Le disposizioni della presente direttiva non si applicano ai trattamenti di dati personali[:] – effettuati per l’esercizio di attività che non rientrano nel campo di applicazione del diritto comunitario, come quelle previste dai titoli V e VI del trattato sull’Unione europea e comunque ai trattamenti aventi come oggetto la pubblica sicurezza, la difesa, la sicurezza dello Stato (compreso il benessere economico dello Stato, laddove tali trattamenti siano connessi a questioni di sicurezza dello Stato) e le attività dello Stato in materia di diritto penale; – effettuati da una persona fisica per l’esercizio di attività a carattere esclusivamente personale o domestico».

5 L’articolo 6 della direttiva in parola, concernente i principi relativi alla qualità dei dati, così dispone: «1. Gli Stati membri dispongono che i dati personali devono essere: (...) b) rilevati per finalità determinate, esplicite e legittime, e successivamente trattati in modo non incompatibile con tali finalità. Il trattamento successivo dei dati per scopi storici, statistici o scientifici non è ritenuto incompatibile, purché gli Stati membri forniscano garanzie appropriate; c) adeguati, pertinenti e non eccedenti rispetto alle finalità per le quali vengono rilevati o successivamente trattati; (...) 2. Il responsabile del trattamento è tenuto a garantire il rispetto delle disposizioni del paragrafo 1».

6 L’articolo 7 della summenzionata direttiva, vertente sui principi relativi alla legittimazione del trattamento di dati, stabilisce che: «Gli Stati membri dispongono che il trattamento di dati personali può essere effettuato soltanto quando: (...) c) è necessario per adempiere un obbligo legale al quale è soggetto il responsabile del trattamento, oppure (...) e) è necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il responsabile del trattamento o il terzo a cui vengono comunicati i dati (...)».

7 L’articolo 17 della direttiva 95/46, intitolato «Sicurezza dei trattamenti», è così formulato: «1. Gli Stati membri dispongono che il responsabile del trattamento deve attuare misure tecniche ed organizzative appropriate al fine di garantire la protezione dei dati personali dalla distruzione accidentale o illecita, dalla perdita accidentale o dall’alterazione, dalla diffusione o dall’accesso non autorizzati, segnatamente quando il trattamento comporta trasmissioni di dati all’interno di una rete, o da qualsiasi altra forma illecita di trattamento di dati personali. Tali misure devono garantire, tenuto conto delle attuali conoscenze in materia e dei costi dell’applicazione, un livello di sicurezza appropriato rispetto ai rischi presentati dal trattamento e alla natura dei dati da proteggere. (...)». La direttiva 2003/88/CE

8 Intitolato «Oggetto e campo di applicazione», l’articolo 1 della direttiva 2003/88/CE del Parlamento europeo e del Consiglio, del 4 novembre 2003, concernente taluni aspetti dell’organizzazione dell’orario di lavoro (GU L 299, pag. 9), così dispone: «1. La presente direttiva stabilisce prescrizioni minime di sicurezza e di salute in materia di organizzazione dell’orario di lavoro. 2. La presente direttiva si applica: ai periodi minimi di riposo giornaliero, riposo settimanale e ferie annuali nonché alla pausa ed alla durata massima settimanale del lavoro (...) (...)».

9 Intitolato «Durata massima settimanale del lavoro», l’articolo 6 della medesima direttiva prevede che: «Gli Stati membri prendono le misure necessarie affinché, in funzione degli imperativi di protezione della sicurezza e della salute dei lavoratori: (...) b) la durata media dell’orario di lavoro per ogni periodo di 7 giorni non superi 48 ore, comprese le ore di lavoro straordinario».

10 Ai sensi dell’articolo 22, paragrafo 1, primo comma, della medesima direttiva: «Gli Stati membri hanno facoltà di non applicare l’articolo 6, nel rispetto dei principi generali della protezione della sicurezza e della salute dei lavoratori, a condizione che assicurino, mediante le necessarie misure a tale scopo, che: a) nessun datore di lavoro chieda a un lavoratore di lavorare più di 48 ore nel corso di un periodo di 7 giorni (...), a meno che non abbia ottenuto il consenso del lavoratore all’esecuzione di tale lavoro; (...) c) il datore di lavoro tenga registri aggiornati di tutti i lavoratori che effettuano tale lavoro; d) i registri siano messi a disposizione delle autorità competenti che possono vietare o limitare, per ragioni di sicurezza e/o di salute dei lavoratori, la possibilità di superare la durata massima settimanale del lavoro; (…)».

La normativa portoghese

11 L’articolo 202 del codice del lavoro (codigo do trabalho), approvato con legge n. 7/2009 del 12 febbraio 2009, al titolo «Registro dell’orario di lavoro», così prevede: «1) Il datore di lavoro deve conservare il registro dell’orario di lavoro – anche per i lavoratori non vincolati da un orario di lavoro fisso – in un locale accessibile e in modo che sia possibile la sua consultazione immediata. 2) Il registro deve contenere l’indicazione dell’ora di inizio e di fine dell’orario di lavoro, con le interruzioni o le pause non facenti parte del tempo lavorato, in modo da poter determinare il numero di ore di lavoro prestate da ogni lavoratore, per giorno e per settimana (...) (...) 5) La violazione delle disposizioni del presente articolo costituisce un’infrazione amministrativa grave».

12 La legge n. 107/2009 del 14 settembre 2009, prevede, segnatamente, la disposizione seguente: «Articolo primo – Procedure di ispezione 1. Nell’esercizio delle sue funzioni l’ispettore del lavoro attua, fatte salve le disposizioni di una disciplina specifica, le procedure seguenti: a) richiedere, con effetto immediato o ai fini di una presentazione ulteriore ai servizi decentrati del servizio di ispezione del Ministero del lavoro, esaminare e copiare la documentazione e altri registri utili per determinare i rapporti e le condizioni di lavoro; (...) 2. Nell’esercizio delle sue funzioni l’ispettore della sicurezza sociale attua, fatte salve le disposizioni di una disciplina specifica, le procedure seguenti: a) richiedere e copiare, con effetto immediato, a fine di esame, consultazione e produzione in allegato a verbali, i libri, la documentazione, i registri e altro materiale rilevante appartenenti agli enti la cui attività è oggetto dell’ispezione e sono utili alla verifica dei fatti soggetti a ispezione; (...)». Procedimento principale e questioni pregiudiziali

13 Il 9 marzo 2010 l’ACT ha effettuato un’ispezione presso lo stabilimento della XXX, al termine della quale ha redatto un verbale constatando che:

– in tale stabilimento detta società impiegava quattro dipendenti che lavoravano a turni;

– il registro dell’orario di lavoro, in cui devono comparire i periodi di lavoro giornalieri, i riposi quotidiani e settimanali nonché il calcolo delle ore di lavoro giornaliere e settimanali per i lavoratori, non era disponibile al fine di una consultazione immediata;

– i lavoratori registravano il rispettivo tempo di lavoro inserendo una carta magnetica in un terminale marcatempo ubicato nei locali di un negozio situato a fianco dello stabilimento in parola;

– non soltanto il registro dell’orario di lavoro non era accessibile a tutti i lavoratori dell’impresa e dello stabilimento ove svolgevano delle mansioni, ma che, inoltre, il relativo accesso era riservato alla persona dotata di un accesso informatico, ossia il responsabile regionale della XXX, il quale era assente al momento dell’ispezione in questione, risultando dunque, in siffatto caso, che unicamente la struttura centrale delle risorse umane della Worten poteva fornire le informazioni contenute nel registro di cui trattasi.

14 Il 15 marzo 2010, a seguito di una richiesta formale di presentazione delle informazioni in discussione, il registro dell’orario di lavoro contenente gli elementi legalmente esigibili è stato trasmesso all’ACT.

15 Con una decisione del 14 marzo 2012 l’ACT ha ritenuto che la XXX fosse responsabile di un’infrazione amministrativa grave al diritto del lavoro, avendo violato le norme relative al registro dell’orario di lavoro di cui all’articolo 202, paragrafo 1, del codice del lavoro, poiché detta società non aveva fatto sì che l’ACT potesse procedere alla consultazione immediata, nello stabilimento interessato, del registro dell’orario di lavoro dei lavoratori impiegati in detta sede. La gravità dell’infrazione risiederebbe nel fatto che il registro dell’orario di lavoro consente di determinare, direttamente e rapidamente, la conformità dell’organizzazione dell’attività di un’impresa alla disciplina relativa al tempo di lavoro. L’ACT ha pertanto inflitto alla XXX una sanzione pecuniaria pari ad EUR 2 000.

16 La XXX ha proposto ricorso d’annullamento avverso tale decisione dinanzi al tribunal do trabalho (tribunale del lavoro) di XXX.

17 In base alle considerazioni che precedono, il tribunal do trabalho de XXX ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali: «1) Se l’articolo 2 della direttiva 95/46 (...) debba essere interpretato nel senso che nella nozione di “dati personali” rientra il registro dell’orario di lavoro, ossia l’indicazione dell’ora in cui ciascun lavoratore inizia e termina la propria attività lavorativa, nonché le relative interruzioni o pause. 2) In caso di risposta affermativa alla questione precedente, se lo Stato portoghese sia tenuto, ai sensi dell’articolo 17, paragrafo 1, della direttiva 95/46 (...), a prevedere misure tecniche e organizzative appropriate al fine di garantire la protezione dei dati personali dalla distruzione accidentale o illecita, dalla perdita accidentale, dall’alterazione, dalla diffusione o dall’accesso non autorizzati, segnatamente quando il trattamento comporta trasmissioni di dati all’interno di una rete. 3) Del pari, in caso di risposta affermativa alla questione precedente, qualora lo Stato membro non adotti alcuna misura per dare attuazione all’articolo 17, paragrafo 1, della direttiva 95/46 (...) e qualora il datore di lavoro responsabile del trattamento di questi dati appronti un sistema di accesso ristretto a tali dati, che non consente l’accesso automatico dell’autorità nazionale competente per la vigilanza sulle condizioni di lavoro, se il principio del primato del diritto dell’Unione debba essere interpretato nel senso che lo Stato membro non può sanzionare il datore di lavoro per il suddetto comportamento».

Sulle questioni pregiudiziali

Sulla prima questione

18 Con la prima questione il giudice del rinvio chiede se l’articolo 2, lettera a), della direttiva 95/46 debba essere interpretato nel senso che un registro dell’orario di lavoro, come quello in discussione nel procedimento principale, che contiene l’indicazione dell’ora in cui ciascun lavoratore inizia e termina l’attività lavorativa, nonché le relative interruzioni o pause, rientra nella nozione di «dati personali» ai sensi della summenzionata disposizione.

19 A tale proposito è sufficiente constatare che, come sostenuto da tutti gli interessati che hanno presentato osservazioni scritte, i dati contenuti in un registro dell’orario di lavoro come quello in discussione nel procedimento principale, relativi, per ciascun lavoratore, ai periodi di lavoro giornalieri nonché ai periodi di riposo, costituiscono dati personali ai sensi dell’articolo 2, lettera a), della direttiva 95/46, poiché si tratta di «informazion[i] concernent[i] una persona fisica identificata o identificabile» (v. in tal senso, in particolare, sentenze del 20 maggio 2003, Österreichischer Rundfunk e a., C-465/00, C-138/01 e C-139/01, Racc. pag. I-4989, punto 64; del 16 dicembre 2008, Huber, C-524/06, Racc. pag. I-9705, punto 43, nonché del 7 maggio 2009, Rijkeboer, C-553/07, Racc. pag. I-3889, punto 42).

20 Il rilevamento, la registrazione, l’organizzazione, la conservazione, la consultazione, l’utilizzo di tali dati da parte di un datore di lavoro nonché la loro trasmissione da parte di quest’ultimo alle autorità nazionali competenti in materia di vigilanza sulle condizioni di lavoro presentano quindi il carattere di un «trattamento di dati personali» ai sensi dell’articolo 2, lettera b), della direttiva 95/46 (v., in tal senso, in particolare, citate sentenze Österreichischer Rundfunk e a., punto 64, nonché Huber, punto 43).

21 Si deve peraltro precisare che, essendo pacifico, nel presente procedimento principale, che detto trattamento di dati personali è automatizzato e che nessuna delle eccezioni di cui all’articolo 3, paragrafo 2, della direttiva 95/46 risulta applicabile, tale trattamento rientra nell’ambito di applicazione della menzionata direttiva.

22 Di conseguenza occorre rispondere alla prima questione che l’articolo 2, lettera a), della direttiva 95/46 deve essere interpretato nel senso che un registro dell’orario di lavoro, come quello di cui al procedimento principale, che contiene l’indicazione dell’ora in cui ciascun lavoratore inizia e termina l’attività lavorativa, nonché delle relative interruzioni o pause, rientra nella nozione di «dati personali» ai sensi della citata disposizione.

Sulla seconda e sulla terza questione

23 Con la seconda e la terza questione, che occorre prendere in esame congiuntamente, il giudice del rinvio chiede, in sostanza, se l’articolo 17, paragrafo 1, della direttiva 95/46 debba essere interpretato nel senso che ogni Stato membro ha l’obbligo di prevedere misure tecniche e organizzative appropriate al fine di garantire la protezione dei dati personali dalla distruzione accidentale o illecita, dalla perdita accidentale o dall’alterazione, dalla diffusione o dall’accesso non autorizzati, e, in caso di risposta affermativa, se uno Stato membro che non abbia adottato siffatte misure possa legittimamente infliggere una sanzione a un datore di lavoro che, in quanto responsabile del trattamento dei dati in discussione, abbia adottato un sistema di accesso ristretto a tali dati che non consente all’autorità nazionale competente in materia di vigilanza sulle condizioni di lavoro di accedervi immediatamente.

24 Occorre rammentare che, secondo l’articolo 17, paragrafo 1, della direttiva 95/46, relativo alla sicurezza dei trattamenti, gli Stati membri hanno l’obbligo di prevedere che il responsabile di un trattamento di dati personali deve attuare misure tecniche e organizzative tese a garantire un livello di sicurezza appropriato rispetto ai rischi presentati dal trattamento e alla natura dei dati da proteggere, tenuto conto delle attuali conoscenze in materia e dei costi della loro applicazione (v., in tal senso, sentenza Rijkeboer, cit., punto 62).

25 Di conseguenza, contrariamente alla premessa su cui sono basate la seconda e la terza questione, il citato articolo 17, paragrafo 1, non impone agli Stati membri, tranne quando hanno la qualità di responsabile del trattamento, di adottare dette misure tecniche e organizzative, poiché l’obbligo di adottare siffatte misure incombe unicamente al responsabile del trattamento, cioè, nella fattispecie, al datore di lavoro. Per contro, tale disposizione impone agli Stati membri di adottare nel rispettivo ordinamento interno una disposizione che preveda l’obbligo in parola.

26 Peraltro, dalla decisione di rinvio non risulta affatto che i dati in discussione nel procedimento principale siano stati oggetto di una distruzione accidentale o illecita, di una perdita accidentale o di un’alterazione, di una diffusione o di un accesso non autorizzati, se non addirittura di un’altra forma di trattamento illecito, ai sensi dell’articolo 17, paragrafo 1, della direttiva 95/46. Al contrario, dagli elementi presenti nel fascicolo a disposizione della Corte emerge che, nel presente procedimento, è pacifico che l’accesso delle autorità nazionali competenti in materia di vigilanza sulle condizioni di lavoro ai dati di cui trattasi è autorizzato dal diritto nazionale.

27 Nelle osservazioni scritte la XXX fa nondimeno valere che l’obbligo di mettere a disposizione il registro dell’orario di lavoro al fine di consentirne la consultazione immediata, previsto all’articolo 202, paragrafo 1, del codice del lavoro, è nella pratica incompatibile con l’obbligo di realizzare un sistema di protezione adeguato dei dati personali contenuti in detto registro. Un tale obbligo, infatti, equivarrebbe ad ammettere che qualsiasi dipendente dell’impresa interessata possa usufruire di un accesso a dati del genere, e ciò contravverrebbe all’obbligo, ex articolo 17, paragrafo 1, della direttiva 95/46, di garantire la sicurezza dei dati in parola. Un simile accesso generalizzato priverebbe quindi tale disposizione di ogni effetto utile.

28 Tale argomento non può essere accolto. Infatti, contrariamente alla premessa sui cui è basato, l’obbligo per un datore di lavoro, in quanto responsabile del trattamento di dati personali, di fornire un accesso immediato al registro dell’orario di lavoro all’autorità nazionale competente in materia di vigilanza sulle condizioni di lavoro non comporta affatto che i dati personali contenuti in detto registro debbano necessariamente, a causa solo di tale circostanza, essere resi accessibili a persone non autorizzate per la summenzionata finalità. Come correttamente fatto valere dal governo portoghese, incombe difatti al responsabile del trattamento di dati personali, in forza dell’articolo 17, paragrafo 1, della direttiva 95/46, adottare le misure tecniche e organizzative necessarie per garantire che unicamente persone debitamente autorizzate ad accedere ai dati personali interessati possano legittimamente rispondere a una domanda di accesso proveniente da un terzo.

29 In tale contesto, non appare che l’interpretazione dell’articolo 17, paragrafo 1, della direttiva 95/46 sia rilevante ai fini della decisione della controversia principale.

30 Tuttavia, nell’ambito della procedura di cooperazione tra i giudici nazionali e la Corte, creata dall’articolo 267 TFUE, spetta a quest’ultima fornire al giudice nazionale una risposta utile che gli consenta di dirimere la controversia sottopostagli. In tale prospettiva, spetta alla Corte, se necessario, riformulare le questioni che le sono sottoposte. La Corte ha difatti il compito di interpretare tutte le norme del diritto dell’Unione che possano essere utili ai giudici nazionali al fine di dirimere le controversie di cui sono investiti, anche qualora tali norme non siano espressamente indicate nelle questioni ad essa sottoposte da detti giudici (v., in particolare, sentenze del 8 marzo 2007, Campina, C-45/06, Racc. pag. I-2089, punti 30 e 31, nonché del 14 ottobre 2010, Fuß, C-243/09, Racc. pag. I-9849, punto 39).

31 Di conseguenza, benché formalmente il giudice del rinvio abbia limitato le sue questioni all’interpretazione del solo articolo 17, paragrafo 1, della direttiva 95/46, la Corte può nondimeno fornirgli tutti gli elementi interpretativi del diritto dell’Unione che possano essere utili per definire la controversia di cui è investito, a prescindere dal fatto che il detto giudice vi abbia fatto riferimento o meno nel formulare le proprie questioni. A tale proposito, la Corte è tenuta a trarre dall’insieme degli elementi forniti dal giudice nazionale, in particolare dalla motivazione della decisione di rinvio, gli elementi di diritto che richiedono un’interpretazione, tenuto conto dell’oggetto della controversia (v. sentenza Fuß, cit., punto 40).

32 Nel caso di specie, dal fascicolo a disposizione della Corte risulta che il giudice del rinvio tende essenzialmente a stabilire se le disposizioni della direttiva 95/46 debbano essere interpretate nel senso che ostano ad una normativa nazionale, come quella di cui al procedimento principale, che impone al datore di lavoro l’obbligo di mettere a disposizione dell’autorità nazionale competente in materia di vigilanza sulle condizioni di lavoro il registro dell’orario di lavoro in modo da consentirne la consultazione immediata. Come emerge dal punto 15 della presente sentenza, è appunto a causa della violazione del menzionato obbligo previsto all’articolo 202, paragrafo 1, del codice del lavoro che alla XXX è stata inflitta una sanzione pecuniaria.

33 A tale riguardo è d’uopo ricordare che, conformemente alle disposizioni del capo II della direttiva 95/46, intitolato «Condizioni generali di liceità dei trattamenti di dati personali», fatte salve le deroghe ex articolo 13 della stessa direttiva, qualsiasi trattamento di dati personali deve essere conforme, da un lato, ai principi relativi alla qualità dei dati, enunciati all’articolo 6 di quest’ultima e, dall’altro, soddisfare a uno dei principi relativi alla legittimazione del trattamento dei dati elencati all’articolo 7 della direttiva stessa (sentenze Österreichischer Rundfunk e a., cit., punto 65; Huber, cit., punto 48, e del 24 novembre 2011, ASNEF e FECEMD, C-468/10 e C-469/10, non ancora pubblicata nella Raccolta, punto 26).

34 In particolare, i dati, ai sensi dell’articolo 6, paragrafo 1, lettere b) e c), della direttiva 95/46, devono essere «rilevati per finalità determinate, esplicite e legittime», nonché «adeguati, pertinenti e non eccedenti» rispetto a dette finalità. Inoltre, secondo l’art. 7, lettere c) ed e), della menzionata direttiva, il trattamento di dati personali è lecito rispettivamente ove esso «[sia] necessario per adempiere un obbligo legale al quale è soggetto il responsabile del trattamento» oppure «[sia] necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il responsabile del trattamento o il terzo a cui vengono comunicati i dati» (sentenza Österreichischer Rundfunk e a., cit., punto 66).

35 Tale caso sembra verificarsi in una situazione come quella del procedimento principale, considerato che appare - il che è compito del giudice del rinvio accertare -, da un lato, che i dati personali contenuti nel registro dell’orario di lavoro sono rilevati allo scopo di garantire l’osservanza della disciplina relativa alle condizioni di lavoro e, dall’altro, che il trattamento di tali dati personali è necessario al rispetto di un obbligo legale cui è soggetto il datore di lavoro nonché all’esecuzione delle missioni di controllo affidate all’autorità nazionale competente in materia di vigilanza sulle condizioni di lavoro.

36 Per quanto riguarda le modalità concrete dell’organizzazione dell’accesso della menzionata autorità nazionale a tali dati personali al fine di assicurare le missioni di vigilanza sulle condizioni di lavoro, è necessario rammentare che solo la concessione dell’accesso ad autorità competenti in tale settore può essere considerata necessaria ai sensi dell’articolo 7, lettera e), della direttiva 95/46 (v., in tal senso, sentenza Huber, cit., punto 61).

37 Relativamente all’obbligo per il datore di lavoro di fornire alla suddetta autorità nazionale un accesso immediato al registro dell’orario di lavoro, dalla giurisprudenza della Corte emerge che un obbligo simile può risultare necessario, ai sensi della disposizione in parola, se contribuisce ad un’applicazione più efficace della normativa in materia di condizioni di lavoro (v., per analogia, sentenza Huber, cit., punto 62).

38 In proposito è d’uopo ricordare che la direttiva 2003/88 si propone di fissare prescrizioni minime destinate a migliorare le condizioni di vita e di lavoro dei lavoratori attraverso un ravvicinamento delle normative nazionali relative, in particolare, alla durata dell’orario di lavoro, facendoli beneficiare di periodi minimi di riposo – in particolare giornaliero e settimanale – e di periodi di pausa adeguati, con la previsione di un limite massimo dell’orario di lavoro settimanale (v., in tal senso, in particolare, sentenze del 5 ottobre 2004, Pfeiffer e a., da C-397/01 a C-403/01, Racc. pag. I-8835, punto 76, nonché del 25 novembre 2010, Fuß, C-429/09, Racc. pag. I-12167, punto 43).

39 In tale ottica, l’articolo 6, lettera b), della direttiva 2003/88 obbliga gli Stati membri ad adottare le «misure necessarie» affinché, tenuto conto degli imperativi di protezione della sicurezza e della salute dei lavoratori, la durata media del lavoro per ogni periodo di 7 giorni non superi le 48 ore, compresi gli straordinari (v., in tal senso, citate sentenze Pfeiffer e a., punto 100, nonché del 14 ottobre 2010, Fuß, punto 33).

40 Peraltro, l’articolo 22, paragrafo 1, primo comma, della direttiva 2003/88 prevede che gli Stati membri possono non applicare le disposizioni di cui all’articolo 6 della citata direttiva, a condizione, segnatamente, che assicurino, mediante le necessarie misure a tale scopo, che il datore di lavoro tenga registri aggiornati di tutti i lavoratori interessati [articolo 22, paragrafo 1, primo comma, lettera c), della summenzionata direttiva] e che detti registri siano messi a disposizione delle autorità competenti che possono vietare o limitare, per ragioni di sicurezza e/o di salute dei lavoratori, la possibilità di superare la durata massima settimanale del lavoro [articolo 22, paragrafo 1, primo comma, lettera d), della medesima direttiva].

41 Secondo la Commissione europea, benché la direttiva 2003/88 non imponga esplicitamente agli Stati membri l’obbligo di adottare una disciplina come quella di cui al procedimento principale, ciò nondimeno il controllo del rispetto degli obblighi imposti dalla direttiva in parola può comportare, a titolo di «misure necessarie» alla realizzazione degli obiettivi perseguiti dalla stessa, l’instaurazione di misure di vigilanza. Orbene, l’obbligo per il datore di lavoro di consentire una consultazione immediata del registro dell’orario di lavoro sarebbe tale da evitare qualsiasi possibilità di alterazione dei dati nel corso del lasso di tempo che separa la visita d’ispezione svolta dalle autorità nazionali competenti e il controllo effettivo dei suddetti dati da parte delle autorità in parola.

42 La XXX sostiene, per contro, che tale obbligo è eccessivo, tenuto conto dell’ingerenza che comporta nella vita privata dei lavoratori. Infatti, da un lato, il registro dell’orario di lavoro sarebbe destinato a fornire al lavoratore un mezzo di prova ai fini della verifica del tempo effettivamente lavorato. Orbene, l’autenticità di detto registro non è stata messa in discussione nel procedimento principale. Dall’altro lato, il suddetto registro consentirebbe di procedere a una valutazione delle medie dei tempi di lavoro svolti, ai fini del controllo, in particolare, degli esoneri dall’orario di lavoro. A tale scopo la disponibilità immediata dei registri in parola non apporterebbe alcun valore aggiunto. Peraltro, l’informazione contenuta nel medesimo registro potrebbe essere trasmessa successivamente.

43 Nel presente procedimento spetta al giudice del rinvio prendere in esame il punto vertente sull’accertamento se l’obbligo, per il datore di lavoro, di fornire all’autorità nazionale competente in materia di vigilanza sulle condizioni di lavoro un accesso al registro dell’orario di lavoro tale da consentirne la consultazione immediata possa essere considerato necessario ai fini dell’esercizio, da parte di detta autorità, della sua missione di vigilanza, contribuendo ad un’applicazione più efficace della normativa in materia di condizioni di lavoro, in particolare per quanto concerne l’orario di lavoro.

44 In proposito è tuttavia d’uopo precisare che, in ogni caso, per quanto un siffatto obbligo sia considerato necessario per raggiungere detto obiettivo, le sanzioni inflitte allo scopo di garantire l’effettivo soddisfacimento dei requisiti posti dalla direttiva 2003/88 devono altresì osservare il principio di proporzionalità, elemento che spetta del pari al giudice del rinvio verificare nel procedimento principale (v., per analogia, sentenza del 6 novembre 2003, Lindqvist, C-101/01, Racc. pag. I-12971, punto 88).

45 Alla luce delle suesposte considerazioni occorre rispondere alla seconda e terza questione che gli articoli 6, paragrafo 1, lettera b) e c), nonché 7, lettere c) ed e), della direttiva 95/46 devono essere interpretati nel senso che non ostano ad una normativa nazionale, come quella in discussione nel procedimento principale, che impone al datore di lavoro l’obbligo di mettere a disposizione dell’autorità nazionale competente in materia di vigilanza sulle condizioni di lavoro il registro dell’orario di lavoro al fine di consentirne la consultazione immediata, nella misura in cui tale obbligo sia necessario ai fini dell’esercizio da parte di detta autorità delle sue missioni di vigilanza dell’applicazione della disciplina in materia di condizioni di lavoro, in particolare per quanto riguarda l’orario di lavoro.

Sulle spese

46 Nei confronti delle parti nel procedimento principale la presente causa costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.

Per questi motivi, la Corte (Terza Sezione) dichiara:

1) L’articolo 2, lettera a), della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, deve essere interpretato nel senso che un registro dell’orario di lavoro, come quello di cui al procedimento principale, che contiene l’indicazione dell’ora in cui ciascun lavoratore inizia e termina l’attività lavorativa, nonché delle relative interruzioni o pause, rientra nella nozione di «dati personali» ai sensi della citata disposizione.

2) Gli articoli 6, paragrafo 1, lettere b) e c), nonché 7, lettere c) ed e), della direttiva 95/46 devono essere interpretati nel senso che non ostano ad una normativa nazionale, come quella in discussione nel procedimento principale, che impone al datore di lavoro l’obbligo di mettere a disposizione dell’autorità nazionale competente in materia di vigilanza sulle condizioni di lavoro il registro dell’orario di lavoro al fine di consentirne la consultazione immediata, nella misura in cui tale obbligo sia necessario ai fini dell’esercizio da parte di detta autorità delle sue missioni di vigilanza dell’applicazione della disciplina in materia di condizioni di lavoro, in particolare per quanto riguarda l’orario di lavoro.