Corte di giustizia, Sentenza C-65/23

Protezione dei dati dei dipendenti e contratti collettivi ai sensi del RGPD

La pronuncia riguarda un rinvio pregiudiziale del Bundesarbeitsgericht (Germania) in una controversia tra un dipendente e il suo datore di lavoro sul risarcimento del danno morale asseritamente derivato dal trasferimento di dati personali nell’ambito dell’introduzione del software Workday. La Corte è chiamata a chiarire l’articolo 88 RGPD, relativo alle norme più specifiche sul trattamento dei dati dei dipendenti mediante legge o contratti collettivi.

Fatti e procedimento principale

Il lavoratore sosteneva che la società avesse trasferito al server della capogruppo negli Stati Uniti dati personali anche non compresi nell’accordo aziendale applicabile. In sede di ricorso per cassazione, il giudice tedesco ha chiesto alla Corte di chiarire:

• se le norme adottate in base all’articolo 88 RGPD debbano rispettare anche gli articoli 5, 6 e 9 RGPD;
• se le parti del contratto collettivo dispongano di un margine discrezionale sulla valutazione della necessità del trattamento;
• quali siano, eventualmente, i limiti del controllo giurisdizionale.

Le questioni relative all’articolo 82 RGPD sul risarcimento del danno morale sono state ritirate dal giudice del rinvio prima della decisione.

Normativa rilevante

La Corte richiama il RGPD nel suo complesso, in particolare:

• l’articolo 5, sui principi del trattamento, inclusa la minimizzazione dei dati;
• l’articolo 6, paragrafo 1, sulle condizioni di liceità;
• l’articolo 9, paragrafi 1 e 2, sul trattamento di categorie particolari di dati;
• l’articolo 88, paragrafi 1 e 2, sulle norme specifiche per il trattamento dei dati dei dipendenti;
• il considerando 155, che include espressamente gli accordi aziendali tra i contratti collettivi rilevanti. È richiamato anche l’articolo 26, paragrafi 1 e 4, del BDSG tedesco.

Ragionamento della Corte sulla prima questione

La Corte ribadisce che il RGPD mira a un’armonizzazione sostanzialmente completa, pur ammettendo alcune clausole di apertura. L’articolo 88 consente sì agli Stati membri di adottare norme più specifiche per il contesto lavorativo, ma solo entro i limiti del regolamento e con adeguate garanzie per i diritti dei lavoratori.

Ne consegue che tali norme nazionali o contrattuali non possono avere l’effetto di sottrarre il trattamento di dati personali ai requisiti generali del RGPD. In particolare, anche quando il trattamento è disciplinato da un contratto collettivo, devono essere rispettati:

• i principi dell’articolo 5 RGPD;
• le condizioni di liceità dell’articolo 6, paragrafo 1, RGPD;
• le regole dell’articolo 9, paragrafi 1 e 2, RGPD per i dati sensibili.

La Corte sottolinea che questo vale soprattutto per il requisito della necessità del trattamento.

Ragionamento della Corte sulla seconda questione

Quanto al margine di discrezionalità delle parti del contratto collettivo, la Corte precisa che esso non può impedire un controllo giurisdizionale pieno da parte del giudice nazionale. Le parti contrattuali possono certamente valutare le esigenze concrete del contesto professionale, ma non possono introdurre norme che attenuino o escludano il requisito di necessità richiesto dal RGPD.

La Corte richiama il principio del primato del diritto dell’Unione: se il giudice nazionale accerta che le clausole del contratto collettivo non rispettano il RGPD, deve disapplicarle. Il controllo giurisdizionale deve quindi vertere, senza restrizioni, sulla conformità di tali clausole a tutte le condizioni e i limiti stabiliti dal regolamento.

Esito della terza questione

Poiché la seconda questione riceve risposta negativa quanto alla limitazione del controllo del giudice nazionale, non occorre rispondere alla terza questione.

Dispositivo

La Corte dichiara che:

• le norme nazionali adottate in forza dell’articolo 88, paragrafo 1, RGPD devono rispettare non solo l’articolo 88, paragrafo 2, ma anche gli articoli 5, 6, paragrafo 1, e 9, paragrafi 1 e 2, RGPD;
• quando un contratto collettivo rientra nell’articolo 88 RGPD, il margine di discrezionalità delle parti non impedisce al giudice nazionale di esercitare un controllo giurisdizionale completo sulla necessità del trattamento.

Principio affermato

L’articolo 88 RGPD non costituisce una deroga autonoma ai principi generali del regolamento nel trattamento dei dati dei lavoratori: le norme speciali nazionali o collettive devono rimanere conformi agli articoli 5, 6 e 9 RGPD e il giudice nazionale deve poterne verificare integralmente la legittimità.