Corte di giustizia, Sentenza C-484/24

Protezione dei dati nel giudizio civile/lavoristico e uso di prove illecitamente acquisite

La sentenza concerne un rinvio pregiudiziale del Landesarbeitsgericht Niedersachsen in una controversia tra una società e una ex dipendente, relativa al risarcimento del danno asseritamente derivante dalla rivendita online non autorizzata di beni aziendali. Il nodo centrale riguarda l’utilizzabilità in giudizio di dati personali estratti da un account e da dispositivi informatici, potenzialmente raccolti in modo illecito dalla datrice di lavoro.

Fatti e procedimento principale

La NTH Haustechnik GmbH ha sostenuto che EM, sua ex dipendente, avesse venduto online beni appartenenti alla società, quantificando il danno complessivo in EUR 46 567,91. Per accertare tali vendite, la società avrebbe acquisito dati dall’account eBay privato di EM tramite il dipendente F., usando credenziali di accesso dell’ex dipendente. Il giudice del rinvio ha ritenuto possibile che la raccolta iniziale dei dati fosse illecita, ma ha evidenziato che essi sarebbero stati poi utilizzati nel processo per dimostrare la violazione.

Questioni pregiudiziali

Il giudice tedesco ha chiesto in sostanza:

• se la normativa processuale tedesca soddisfi i requisiti di determinatezza e proporzionalità richiesti dal RGPD e dalla Carta per l’uso di dati personali in giudizio;
• se l’articolo 17, paragrafo 3, lettera e), RGPD costituisca o meno una base autonoma di liceità per il trattamento in sede giudiziaria;
• se il principio di minimizzazione dei dati imponga un autonomo bilanciamento giudiziale in ogni caso;
• quale rilievo abbiano la conservazione prolungata dei dati, gli obblighi informativi dell’articolo 13 RGPD e le eventuali violazioni riferite a terzi.

Normativa rilevante

La Corte richiama in particolare gli articoli 5, 6, 13, 17 e 23 RGPD, nonché gli articoli 8, 47 e 52 della Carta. Rilevanti anche l’articolo 267 TFUE per il rinvio e l’articolo 288 TFUE per la natura direttamente applicabile del regolamento.

Ricevibilità e limiti oggettivi della risposta

La Corte dichiara irricevibili le questioni nella parte in cui riguardano l’articolo 9 RGPD, poiché il procedimento principale non concerne categorie particolari di dati personali. Invece, ricostruisce l’analisi intorno all’articolo 6, paragrafo 1, lettera c), RGPD, ritenendo che il trattamento effettuato dal giudice nell’esame delle prove sia normalmente riconducibile all’obbligo legale di decidere sull’ammissibilità e di utilizzare, se ammissibili, i mezzi di prova dedotti.

Sul trattamento di dati da parte del giudice e sulla base giuridica

La Corte afferma che il RGPD si applica anche ai trattamenti effettuati da giudici e altre autorità giurisdizionali, poiché questi rientrano nella nozione ampia di "trattamento" e, se i dati sono inseriti in un fascicolo strutturato o trattati in forma dematerializzata, si ricade nel campo di applicazione del regolamento.

Per i trattamenti necessari a un obbligo legale del giudice, la base giuridica deve essere stabilita dal diritto dell’Unione o dello Stato membro, e deve perseguire un obiettivo di interesse pubblico ed essere proporzionata. La Corte precisa però che tale base non deve necessariamente consistere in un atto legislativo formale: può includere anche la giurisprudenza nazionale, purché sia chiara, precisa e prevedibile, e stabilisca le circostanze e le condizioni di utilizzazione dei dati.

Ne consegue che la normativa nazionale processuale, se molto generale, può essere compatibile con il RGPD solo se è integrata da una giurisprudenza nazionale sufficientemente determinata e proporzionata, capace di delimitare l’uso dei dati personali nel processo.

Articolo 17, paragrafo 3, lettera e), RGPD

La Corte esclude che l’articolo 17, paragrafo 3, lettera e), configuri una condizione autonoma di liceità del trattamento. Tale disposizione opera soltanto come eccezione al diritto alla cancellazione, quando il trattamento sia necessario per accertare, esercitare o difendere un diritto in sede giudiziaria. La liceità del trattamento continua quindi a dover essere verificata sulla base dell’articolo 6 RGPD.

Minimizzazione dei dati e proporzionalità

Quanto al principio di minimizzazione dei dati, la Corte distingue tra il controllo di liceità generale e l’esigenza, più specifica, che il giudice utilizzi solo dati adeguati, pertinenti e necessari rispetto alle finalità processuali. Il giudice non deve effettuare, per ogni trattamento, un ulteriore bilanciamento autonomo oltre a quello già incorporato nei requisiti dell’articolo 6, paragrafo 3, e dell’articolo 5, paragrafo 1, lettera c), RGPD.

La Corte precisa tuttavia che, una volta ammessi i documenti, il giudice deve verificare se i dati contenuti siano effettivamente limitati a quanto necessario, potendo adottare misure di mitigazione come l’anonimizzazione o la pseudonimizzazione, soprattutto in fase di divulgazione a parti o terzi.

Uso di prove ottenute in violazione della privacy

La Corte afferma che il RGPD e la Carta non vietano in modo generale e assoluto al giudice di tenere conto di dati personali precedentemente ottenuti illecitamente dalla parte che li produce. Il fatto che la raccolta iniziale sia illecita rileva in relazione alla specifica base giuridica invocata, ma non impedisce di per sé il trattamento giudiziale fondato sull’obbligo del giudice di decidere sulla prova e sulla domanda.

In particolare, il giudice può utilizzare tali elementi quando la parte non abbia un interesse legittimo al trattamento superiore al mero interesse a dimostrare i fatti allegati. Resta però necessario che, prima della divulgazione dei dati, il giudice limiti la diffusione a quanto strettamente necessario e valuti eventuali misure di protezione.

Obblighi informativi ex articolo 13 RGPD

La Corte esclude che la mancata osservanza degli obblighi informativi previsti dall’articolo 13 RGPD da parte di chi ha raccolto i dati impedisca al giudice di utilizzarli. La violazione di tali obblighi non opera come divieto generale di impiego processuale dei dati raccolti.

Dati relativi a terzi e legittimazione a far valere violazioni altrui

Il giudice, nell’esercizio delle sue funzioni, deve rispettare il RGPD anche quando tratta dati relativi a terzi estranei al procedimento. Tuttavia, il diritto dell’Unione non impone che una parte possa invocare, nel proprio processo, la violazione del RGPD commessa dall’altra parte ai danni di terzi. La possibilità di far valere una simile violazione resta affidata, in linea di principio, all’autonomia procedurale degli Stati membri, nei limiti di equivalenza, effettività e rispetto dell’articolo 47 della Carta.

Dispositivo e principi affermati

La Corte conclude, in sintesi, che:

• l’articolo 6, paragrafo 1, lettera c), e paragrafo 3, RGPD, letto con la Carta, non osta a una normativa nazionale generale se esiste una giurisprudenza nazionale chiara e prevedibile che ne specifichi l’applicazione;
• l’articolo 17, paragrafo 3, lettera e), non è una base autonoma di liceità;
• il principio di minimizzazione non impone, di per sé, un bilanciamento ulteriore rispetto a quello già incorporato nei requisiti di liceità;
• il giudice può utilizzare prove contenenti dati illecitamente raccolti, nel rispetto delle condizioni del RGPD e con cautele sulla divulgazione;
• l’inosservanza dell’articolo 13 non osta all’uso giudiziale dei dati;
• il giudice deve comunque rispettare il RGPD anche con riguardo ai dati di terzi non parti del processo.