Corte di giustizia, Sentenza C-34/21

Trattamento dei dati personali dei docenti nella didattica in videoconferenza: portata dell’articolo 88 RGPD e sorte delle norme nazionali non conformi

La pronuncia riguarda un rinvio pregiudiziale del Verwaltungsgericht Wiesbaden, nell’ambito di una controversia tra la rappresentanza del personale docente del Land Assia e il Ministro della Cultura del Land, relativa alla legittimità della trasmissione in diretta delle lezioni tramite videoconferenza durante la pandemia di COVID-19. La questione centrale è se la disciplina del Land possa giustificare il trattamento dei dati degli insegnanti senza il loro consenso e come si coordini con l’articolo 88 del regolamento (UE) 2016/679.

Fatti e procedimento principale

Nel 2020 il Ministro della Cultura del Land dell’Assia ha predisposto un quadro normativo per la didattica scolastica durante l’emergenza sanitaria. Per gli alunni impossibilitati a essere presenti in classe era prevista la possibilità di seguire le lezioni in diretta tramite videoconferenza; per essi era richiesto il consenso, mentre per gli insegnanti non era previsto alcun consenso espresso.

Lo Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium ha impugnato tale scelta sostenendo che anche la partecipazione degli insegnanti al sistema di videoconferenza richiedesse il loro consenso. L’amministrazione ha invece sostenuto che il trattamento fosse autorizzato dalla normativa del Land, in particolare dall’articolo 23 HDSIG e dall’articolo 86 HBG.

Normativa rilevante

La Corte richiama anzitutto il RGPD, in particolare:

• l’articolo 1, che definisce oggetto e finalità del regolamento;
• l’articolo 2, sull’ambito di applicazione materiale;
• l’articolo 4, con le definizioni di dato personale e trattamento;
• l’articolo 5, sui principi applicabili;
• l’articolo 6, sulla liceità del trattamento e sulla necessità di una base giuridica per i trattamenti fondati su obbligo legale o compito di interesse pubblico;
• l’articolo 88, che consente agli Stati membri di adottare norme più specifiche per il trattamento dei dati dei dipendenti nell’ambito dei rapporti di lavoro.

Sono inoltre richiamati i considerando 8, 9, 10, 13, 16, 45 e 155 del RGPD, oltre agli articoli 7 e 8 della Carta dei diritti fondamentali.

Sul piano nazionale, vengono citati l’articolo 26 BDSG, l’articolo 23 HDSIG e l’articolo 86 HBG.

Ricevibilità del rinvio

La Corte respinge l’eccezione di irricevibilità sollevata dal governo tedesco. Le questioni non sono ipotetiche, poiché la controversia principale verte proprio sulla necessità o meno del consenso degli insegnanti e sulla possibile applicazione delle norme del Land. La Corte sottolinea che il giudice nazionale ha fornito un quadro di fatto e di diritto sufficiente per consentire una risposta utile.

Applicabilità del RGPD al caso di specie

La Corte afferma che il trattamento dei dati personali degli insegnanti nell’ambito della trasmissione in diretta delle lezioni tramite videoconferenza rientra nell’ambito di applicazione ratione materiae del RGPD. L’eccezione dell’articolo 2, paragrafo 2, lettera a), deve essere interpretata restrittivamente e non copre l’organizzazione dell’insegnamento pubblico del Land.

Applicabilità dell’articolo 88 RGPD ai docenti pubblici

La Corte interpreta autonomamente le nozioni di "dipendenti" e "rapporti di lavoro" di cui all’articolo 88, paragrafo 1. Tali nozioni, secondo il loro significato ordinario, comprendono tutti i lavoratori soggetti a un vincolo di subordinazione, indipendentemente dal fatto che operino nel settore privato o pubblico.

Ne consegue che il personale docente del settore pubblico, compresi i pubblici impiegati, rientra nell’ambito dell’articolo 88 RGPD. Il riferimento all’"esecuzione del contratto di lavoro" non esclude i rapporti di pubblico impiego non contrattualizzati, perché l’elenco delle finalità indicate dall’articolo 88, paragrafo 1, non è esaustivo e le altre finalità menzionate riguardano sia il settore privato sia quello pubblico.

Prima questione: requisiti delle "norme più specifiche"

La Corte chiarisce che una norma nazionale può qualificarsi come "norma più specifica" ai sensi dell’articolo 88, paragrafo 1, solo se rispetta anche le condizioni del paragrafo 2.

In particolare:

• la norma nazionale deve avere un contenuto normativo proprio, distinto dalle regole generali del RGPD;
• deve essere finalizzata alla protezione dei diritti e delle libertà dei dipendenti nel trattamento dei dati nell’ambito del rapporto di lavoro;
• deve contenere misure appropriate e specifiche a salvaguardia della dignità umana, degli interessi legittimi e dei diritti fondamentali;
• occorre prestare particolare attenzione alla trasparenza del trattamento, ai trasferimenti infragruppo e ai sistemi di sorveglianza sul luogo di lavoro.

La Corte esclude che sia sufficiente una disposizione nazionale che si limiti a ribadire la condizione generale di necessità già prevista dall’articolo 6 RGPD o che rinvii genericamente ai principi dell’articolo 5. Nel caso di specie, le norme del Land sembrano appunto limitarsi a riprodurre la logica della necessità, senza introdurre una disciplina realmente specifica.

Seconda questione: conseguenze della non conformità

Se le disposizioni nazionali non rispettano i requisiti dell’articolo 88, paragrafi 1 e 2, il giudice nazionale deve, in linea di principio, disapplicarle in forza del primato del diritto dell’Unione.

Tuttavia, la Corte precisa che occorre verificare se tali disposizioni possano comunque costituire una base giuridica valida ai sensi dell’articolo 6, paragrafo 3, RGPD. In tale ipotesi, il trattamento può restare lecito, purché la base giuridica nazionale soddisfi i requisiti del regolamento e persegua un obiettivo di interesse pubblico proporzionato.

Decisione e portata pratica

La Corte risponde che una normativa nazionale non può essere qualificata come "norma più specifica" ex articolo 88, paragrafo 1, se non soddisfa le condizioni del paragrafo 2. Inoltre, l’applicazione di disposizioni nazionali adottate per disciplinare il trattamento dei dati dei dipendenti deve essere esclusa quando tali disposizioni non rispettino i limiti dell’articolo 88, salvo che esse valgano come base giuridica conforme all’articolo 6, paragrafo 3.

Per la pratica professionale, la sentenza conferma che, nel settore pubblico, la disciplina nazionale sul trattamento dei dati in ambito lavorativo non può essere meramente duplicativa del RGPD: deve aggiungere garanzie specifiche e verificabili. In difetto, la norma nazionale non regge il test dell’articolo 88 e il trattamento deve essere esaminato direttamente alla luce delle basi di liceità del RGPD.