Corte di giustizia, Sentenza C-268/21

Produzione in giudizio di un registro del personale contenente dati personali

La sentenza riguarda un rinvio pregiudiziale dello Högsta domstolen (Corte suprema svedese) in una controversia civile tra Norra Stockholm Bygg AB (Fastec) e Per Nycander AB, con l’intervento di Entral AB. La questione nasce dalla richiesta della controparte di ottenere l’esibizione del registro elettronico del personale impiegato in un cantiere edile, documento contenente dati personali raccolti originariamente per finalità fiscali.

Fatti e procedimento principale

La Fastec aveva realizzato un edificio per la Nycander e quest’ultima contestava, tra l’altro, il numero di ore di lavoro indicate dalla controparte. Nel giudizio per il pagamento del corrispettivo, la Nycander chiese che Entral, che deteneva il registro del personale, fosse obbligata a produrlo integralmente o, in subordine, con oscuramento dei numeri identificativi nazionali. I giudici di merito accolsero la richiesta senza oscuramento, e la Fastec ricorse in cassazione sostenendo che la divulgazione fosse incompatibile con il RGPD.

Quadro normativo rilevante

La Corte richiama in particolare:

• il RGPD, soprattutto gli articoli 2, 4, 5, 6 e 23;
• i considerando 1, 2, 4, 20, 26, 45 e 50 del regolamento;
• la Carta dei diritti fondamentali, articoli 7, 8 e 47;
• l’articolo 267 TFUE come base del rinvio.

Sul piano nazionale sono rilevanti le disposizioni svedesi del capo 38 del rättegångsbalken sull’obbligo di produzione documentale e quelle della skatteförfarandelagen e del relativo regolamento, che impongono la tenuta del registro elettronico del personale per finalità di controllo fiscale.

Prima questione pregiudiziale: applicabilità dell’articolo 6 RGPD

La Corte afferma che la produzione in giudizio di un documento contenente dati personali integra un trattamento di dati personali ai sensi dell’articolo 4, punto 2, RGPD. Il regolamento si applica infatti anche alle attività delle autorità giurisdizionali, salvo le eccezioni espressamente previste.

Secondo la Corte, l’esibizione del registro del personale in un procedimento civile costituisce un trattamento effettuato per una finalità diversa da quella originaria di raccolta dei dati, qui connessa ai controlli fiscali. Di conseguenza, il trattamento è lecito solo se:

• ha una base nel diritto dell’Unione o dello Stato membro, ai sensi dell’articolo 6, paragrafo 3;
• soddisfa, ai sensi dell’articolo 6, paragrafo 4, il requisito di essere una misura necessaria e proporzionata in una società democratica;
• mira a salvaguardare uno degli obiettivi indicati dall’articolo 23, paragrafo 1, RGPD.

La Corte osserva che l’obbligo processuale di esibizione previsto dal diritto svedese può costituire la base giuridica, ma spetta al giudice del rinvio verificare se tale disciplina risponda agli obiettivi dell’articolo 23, paragrafo 1, lettere f) e/o j), cioè la salvaguardia dell’indipendenza della magistratura e dei procedimenti giudiziari, nonché l’esecuzione delle azioni civili, e se sia necessaria e proporzionata rispetto a tali obiettivi.

Seconda questione pregiudiziale: bilanciamento degli interessi e criteri di valutazione

La Corte chiarisce che, quando deve decidere se ordinare la produzione di un documento contenente dati personali, il giudice nazionale non può limitarsi a considerare la rilevanza probatoria del documento e l’interesse della controparte a non divulgarlo. Deve invece prendere in considerazione anche gli interessi delle persone cui i dati si riferiscono, nel quadro dei principi del RGPD e dei diritti fondamentali della Carta.

In particolare, il giudice deve bilanciare:

• il diritto alla protezione dei dati personali, sancito dall’articolo 8 della Carta e dall’articolo 16 TFUE;
• il diritto al rispetto della vita privata, di cui all’articolo 7 della Carta;
• il diritto a una tutela giurisdizionale effettiva e a un processo equo, di cui all’articolo 47 della Carta.

La Corte sottolinea che il diritto alla protezione dei dati non è assoluto e deve essere conciliato con il diritto di difesa e con l’accesso alle prove necessarie. Tuttavia, il giudice deve verificare se l’obiettivo probatorio possa essere raggiunto con mezzi meno invasivi, come l’audizione di testimoni selezionati, e deve applicare il principio di minimizzazione dei dati di cui all’articolo 5, paragrafo 1, lettera c), RGPD.

Misure di attenuazione e pseudonimizzazione

Se la produzione del documento è giustificata, il giudice deve valutare misure supplementari per ridurre l’impatto sulla protezione dei dati, tra cui:

• la pseudonimizzazione dei nomi degli interessati;
• la limitazione dell’accesso al fascicolo;
• l’ordine alle parti di non usare i dati per finalità diverse dalla prova nel processo.

La Corte precisa inoltre la differenza tra pseudonimizzazione e anonimizzazione: i dati pseudonimizzati restano dati personali se possono essere ricollegati a una persona fisica mediante informazioni aggiuntive; solo i dati resi sufficientemente anonimi escono dall’ambito di applicazione della disciplina sulla protezione dei dati.

Decisione e dispositivo

La Corte risponde che:

• l’articolo 6, paragrafi 3 e 4, RGPD si applica alla produzione, in un procedimento civile, di un registro del personale contenente dati personali raccolti principalmente per controlli fiscali;
• gli articoli 5 e 6 RGPD impongono al giudice nazionale di prendere in considerazione gli interessi delle persone interessate e di ponderarli secondo le circostanze del caso, il tipo di procedimento e il principio di proporzionalità, in particolare quello di minimizzazione dei dati.

Principio affermato

La sentenza afferma che l’esibizione giudiziale di documenti con dati personali non è sottratta al RGPD: il giudice civile deve sempre verificare base legale, finalità legittima, necessità e proporzionalità della misura, salvaguardando allo stesso tempo il diritto di difesa e la protezione dei dati dei terzi coinvolti.