Claudio Cimarossa

1. Introduzione

La sentenza C – 268/21 della Corte di Giustizia dell’Unione Europea si è espressa sull’applicabilità del Regolamento Ue nr. 679/2016 (d’ora in poi “GDPR”) nei processi civili nazionali e sugli oneri imposti ai giudici nazionali. In particolare, la Corte ha affermato l’applicabilità del GDPR all’attività giudiziaria civile nazionale ed ha chiarito gli obblighi imposti al giudice quale titolare del trattamento dei dati personali svolti nel corso di un procedimento civile.

2. Fatti della causa

La sentenza qui in commento è stata emessa nell’ambito di un rinvio pregiudiziale effettuato in un procedimento avviato tra la Norra Stockholm AB e la Nycander AB entrambe società di diritto svedese.

La parte attrice, società di costruzione, aveva realizzato per la parte successivamente convenuta in giudizio uno stabile ad uso uffici. La società di costruzione non riuscendo ad ottenere il pagamento delle proprie prestazioni si rivolse al tribunale locale per incassare il saldo delle fatture.

La convenuta si costituì nel procedimento eccependo che il petitum della domanda attorea non era corretto poiché eccessivo rispetto alle ore di lavoro svolto dalla società costruttrice che, secondo la convenuta, aveva documentato un numero di ore – uomo superiore a quelle effettivamente svolte.

Al fine di poter dimostrare che quanto asserito dalla convenuta fosse falso e che le ore – uomo fatturate erano correte, la Norra Stockholm AB chiese al giudice di ordinare l’esibizione del registro degli accessi al cantiere. Tale registro era in possesso della Entral AB, società terza, la quale aveva fornito alla parte attrice il software e l’infrastruttura per raccogliere i dati di accesso e di uscita dal cantiere dei propri dipendenti.

Alla richiesta si opponeva la Nycander AB sostenendo che la richiesta non doveva essere accolta. I report richiesti, infatti, contenevano dati raccolti per altre finalità, diverse da quelle probatorie per cui ora parte attrice ne chiedeva di ordinare il deposito.

Il Tribunale adito, poi confermato dalla Corte di Appello, si espresse positivamente sulla richiesta dell’attore. L’Autorità ordinò la produzione in giudizio dei report senza ordinare l’oscuramento di quelle parti prive un contributo probatorio. La Nicander AB ricorse alla Corte Suprema svedese chiedendo di dichiarare respinta la richiesta di esibizione presentata dalla parte attrice esprimendo, come aveva già fatto nei precedenti gradi di giudizio, l’illiceità della richiesta rispetto al GDPR.

La Corte Suprema Svedese, ai sensi dell’art. 267 TFUE, investita della questione che implicava l’applicazione di norme del diritto europeo, ha rinviato, in via pregiudiziale, alla Corte di Giustizia dell’Unione Europea.

3. Applicabilità del Regolamento UE nr. 679/2016 all’autorità giudiziaria e adempimento dell’onere probatorio e base giuridica del trattamento

Come anticipato in premessa la prima questione affrontata dalla Corte di Giustizia riguarda l’applicabilità soggettiva del Regolamento Ue nr. 679/2016 alle autorità giudiziarie nazionali.

L’articolo 2, paragrafo 1, del Regolamento Ue nr. 679/2016 afferma, infatti, che esso si applica a “qualsiasi trattamento interamente o parzialmente automatizzato di dati personali e al trattamento non automatizzato di dati personali contenuti in un archivio o destinati a figurarvi”. L’art. 4, punto 2, del GDPR definisce trattamento l’operazione compiuta con o senza l’ausilio di processi automatizzati e applicati a dati personali o insieme di dati personali, come la raccolta, la registrazione, l’uso, la comunicazione mediante trasmissione, la diffusione o qualsiasi altra forma di messa a disposizione di dati. Il Considerando nr. 20 del GDPR include le autorità giurisdizionali degli Stati membri tra i soggetti a cui si applica il regolamento. In virtù dei citati riferimenti normativi la Corte di Giustizia dell’Unione europea giunge a dichiarare che il GDPR è applicabile, ratione personae, all’autorità giudiziaria anche quando questa effettua dei trattamenti di dati nell’esercizio del potere giudiziario.

Il deposito, per fini probatori, di documenti, contenenti dati personali, effettuato nell’ambito di un processo civile è disciplinato, parallelamente alle norme processuali degli Stati membri, dal GDPR circa gli aspetti esclusivamente connessi al trattamento dei dati personali.

All’articolo 6, lettera d), del GDPR nel quale tra le diverse basi giuridiche che il legislatore ha individuato come lecite vi è “la salvaguardia degli interessi vitali dell’interessato o di un’altra persona fisica” che la Corte di Giustizia individuato come base giuridica del trattamento autorizzato per fini probatori.

4. La tutela del terzo nel trattamento dei dati con finalità probatorie

Chiarita l’applicabilità del GDPR al processo civile ed individuata la base giuridiche dell’attività probatoria deve essere analizzato le modalità con cui il giudice, quale titolare del trattamento, può autorizzare il deposito dei documenti in conformità al GDPR.

Il titolare nell’eseguire i trattamenti deve rispettare i principi enunciati nei capi II e III del Regolamento Ue 679/2016. L’attività di trattamento dei dati personali deve essere conforme ai principi enunciati all’articolo 5 del Regolamento Ue nr. 679/2016 – il trattamento deve essere lecito e corretto - e quindi soddisfare le condizioni di liceità elencate all’articolo 6 del Regolamento Ue nr. 679/2016.

Il giudice deve presiedere l’attività probatoria ed istruttoria avendo particolare cura di tutelare la situazione giuridica dei terzi i cui dati vengono rivelati nello svolgimento di processo. Il giudice, nell’esercizio del suo ulteriore ruolo di titolare di trattamento, deve ponderare l’esigenza probatoria con quella di tutelare i terzi i cui dati vengono trattati nell’ambito del processo.

Il diritto alla produzione di prove ed il diritto di ottenere che il giudice ordine a terzi l’esibizione di alcuni documenti è un diritto riconosciuto su più livelli ed esso è colonna portante del diritto ad una giurisdizione effettiva. Secondo costante giurisprudenza della Corte europea dei diritti dell’Uomo, richiamata dalla stessa Corte di Giustizia nella sentenza commentata, il diritto ad un equo processo occupa in una società democratica una posizione centrale poiché è essenziale che chiunque abbia la possibilità di difendere utilmente la propria posizione dinanzi a un tribunale e che benefici della parità delle armi con la sua controparte. La parte processuale deve poter beneficiare di un procedimento in contraddittorio e presentare, nelle diverse fasi di quest’ultimo, gli argomenti ed i documenti, eventualmente contenenti anche dati personali, che ritiene rilevanti ed utili a supporto della propria tesi.

Oltre a tutelare il diritto ad utilizzare tutte le prove esistenti, il Giudice non può esimersi dal valutare l’incidenza che la prova può avere sui terzi estranei e la rilevanza attribuita alla stessa nell’ambito delle tesi della parte che ne chiede il deposito.

Il giudice nell’organizzare l’attività istruttoria deve rispettare le norme sostanziali e processuali del proprio ordinamento perché solo quelle presiedono ed organizzano l’attività processuale di assunzione delle prove nonché la loro rilevanza. Tuttavia, il giudice quale titolare del trattamento deve – relativamente al trattamento dei dati personale – integrare le norme processuali nazionali con il GDPR affinché il trattamento dei dati con finalità probatorie sia conforme ai principi di proporzionalità, minimizzazione dei dati e necessità del trattamento ivi affermati.

Il giudice nell’organizzare l’attività istruttoria deve decidere se essa, relativamente ai dati personali trattati, sia “adeguata e pertinente”.  

Per questo motivo ove i documenti che si intende depositare o di cui si chiede il deposito contengono dei dati che alla luce di una valutazione del giudice sull’adeguatezza e pertinenza risultano esorbitanti rispetto al fine del trattamento – l’attività probatoria – il giudice in ossequio al principio di minimizzazione dei dati ne deve autorizzazione il trattamento, consistente nel deposito nel fascicolo, previa implementazione di misure volte ad evitare.

Il giudice nazionale deve tutelare i diritti degli interessi, terzi rispetto al processo e in esso coinvolti per meri fini probatori – valutando se il trattamento alla luce delle norme sostanziali e processuali nazioni e del GDPR relativamente al trattamento del dato.

5. Conclusione

La sentenza esaminata intende chiarire alcuni aspetti, forse controversi, dell’applicabilità del GDPR ai processi civili nazionali. La sentenza chiarisce che il GDPR deve essere applicato all’attività giurisdizionale nazionale e quindi il giudice nazionale assume lo status di titolare del trattamento. L’altra conclusione riguarda gli obblighi imposti al giudice a tutela dei terzi interessati. Secondo la Corte di Giustizia dell’Unione europea è lecito il trattamento dei dati personali degli interessati, terzi rispetto al processo, nei limiti in cui questo trattamento sia effettuato nel rispetto del principio di proporzionalità, necessità e minimizzazione dei dati e quindi nel rispetto del Regolamento Ue 679/2016.