Roberto Landi

Con la pregiudiziale interpretativa de qua, la Corte di Giustizia dell’Unione Europea perimetra il trattamento dei dati personali nell’ambito dei rapporti lavorativi. Ancorché ex art. 88 GDPR gli Stati Membri possano prevedere, con legge o tramite contratti collettivi, norme più specifiche per garantire la protezione dei diritti e delle libertà in ordine al trattamento dei dati personali dei dipendenti, il consesso europeo circoscrive la discrezionalità nazionale, vincolando la normativa interna a conformarsi ai principi fissati nel Regolamento generale sulla protezione dei dati (Reg. UE 2016/679). Inoltre, a fronte di un contratto collettivo, ivi compreso l’accordo aziendale, l’autonomia negoziale delle parti circa la determinazione del carattere “necessario” di un trattamento di dati personali (ai sensi degli artt. 5, 6 e 9 GDPR) non può escludere un sindacato pieno del giudice nazionale in merito, essendo tenuto detto giudice a disapplicare le disposizioni contrastanti con i limiti prescritti, in virtù della primazia del diritto europeo.

La questione è sollevata nella controversia tra MK, persona fisica, e KGmbH, suo datore di lavoro, in merito al risarcimento del danno morale che il soggetto asserisce di aver subito a causa di un trattamento dei suoi dati personali effettuato dalla società tedesca sulla base di un accordo aziendale. MK ricorreva ai giudici del lavoro territorialmente competenti per ottenere l’accesso a talune informazioni, la cancellazione di dati che lo riguardavano e la concessione di un risarcimento; il ricorrente, in particolare, sosteneva che la società convenuta avesse trasferito, verso il server della società controllante, dati personali che lo riguardavano, alcuni dei quali non erano menzionati nell’accordo aziendale previamente sottoscritto. Non ottenendo piena soddisfazione, MK presentava un ricorso per cassazione presso a Corte federale del lavoro, il giudice del rinvio, il quale, stante la necessità di interpretare la normativa europea rilevante in materia, sospendeva il procedimento e sottoponeva alla CGUE tre questioni pregiudiziali.

Con la prima questione, il giudice del rinvio chiedeva se l’art. 88, parr. 1 e 2, del GDPR debba interpretarsi nel senso che una disposizione nazionale avente ad oggetto il trattamento dei dati personali ai fini dei rapporti di lavoro e adottata in forza dell’art. 88, par. 1, del predetto regolamento deve avere l’effetto di costringere i suoi destinatari a rispettare non solo i requisiti derivanti dal paragrafo 2 di tale articolo, bensì anche quelli derivanti dagli artt. 5, 6 e 9 GDPR.

La Corte rileva in via preliminare che il paragrafo 1 dell’art. 88 GDPR richiede che le “norme più specifiche” autorizzate da tale disposizione abbiano un contenuto normativo specifico per l’area regolamentata e distinto dalle norme generali di tale regolamento, mentre il paragrafo 2 delimita il margine di discrezionalità degli Stati membri nell’adozione di una normativa interna sulla base di detto paragrafo. Tale formulazione, tuttavia, non chiarisce se le norme più specifiche che gli Stati Membri possano adottare debbano rispettare unicamente i requisiti di cui all’art. 88, par. 2, GDPR ovvero anche quelli previsti altrove nel regolamento.

Ciò premesso, laddove gli Stati Membri esercitino la facoltà concessa loro dall’art. 88 GDPR, “devono utilizzare il loro potere discrezionale alle condizioni e nei limiti prescritti dalle disposizioni di tale regolamento e devono quindi legiferare in modo da non pregiudicare il contenuto e gli obiettivi di detto regolamento, il quale ha segnatamente lo scopo di garantire un livello elevato di protezione dei diritti e delle libertà degli interessati da un siffatto trattamento”. Per evitare di compromettere tali finalità, in particolare la garanzia di un elevato livello di protezione dei dipendenti laddove i loro dati personali vengano trattati nell’ambito di un rapporto di lavoro, “l’art. 88 GDPR non può essere interpretato nel senso che le “norme più specifiche” che gli Stati membri sono autorizzati ad adottare ai sensi di tale articolo possano avere l’oggetto o l’effetto di eludere gli obblighi del responsabile del trattamento, o anche dell’incaricato del trattamento, derivanti da altre disposizioni di tale regolamento”.

Pertanto, l’art. 88, parr. 1 e 2, GDPR deve essere interpretato nel senso che una disposizione nazionale avente ad oggetto il trattamento di dati personali ai fini dei rapporti di lavoro, introdotta tramite legge o contratti collettivi, vincola i suoi destinatari a rispettare non solo i requisiti derivanti dall’art. 88, par. 2, GDPR, bensì anche quelli prescritti dall’art. 5, dall’art. 6, par. 1, e dall’art. 9, parr. 1 e 2, GDPR.

Con la seconda questione, invece, il giudice del rinvio chiedeva se l’art. 88, par. 1, GDPR debba interpretarsi nel senso che, qualora un contratto collettivo rientri nell’alveo applicativo di tale norma, il margine di discrezionalità di cui disporrebbero le sue parti per determinare il carattere necessario di un trattamento di dati personali, ai sensi dell’articolo 5, dell’articolo 6, paragrafo 1, nonché dell’articolo 9, paragrafi 1 e 2, di tale regolamento avrebbe l’effetto di impedire al giudice nazionale di esercitare un controllo giurisdizionale completo al riguardo.

La CGUE rappresenta preliminarmente che spetta al giudice nazionale adito, il solo competente ad interpretare il diritto nazionale, valutare se le norme interne rispettino effettivamente le condizioni e i limiti prescritti, in particolare, dall’art. 88 GDPR; pertanto, laddove il giudice interno ravvisi un contrasto con tali condizioni e limiti, egli è tenuto a disapplicare la disposizione controversa, conformemente al primato del diritto europeo. Dette considerazioni valgono, altresì, per le parti di un contratto collettivo di cui all’art. 88 GDPR, giacché le stesse dispongono di un margine di discrezionalità equivalente, in particolare in ordine ai limiti, a quello riconosciuto agli Stati membri, dal momento che le norme più specifiche di cui al paragrafo 1 di tale articolo 88 possono risultare da contratti collettivi.

Sicché, “nonostante il margine di discrezionalità che l’articolo 88 del RGPD lascia alle parti di un contratto collettivo, il controllo giurisdizionale esercitato su un siffatto contratto, al pari di quello relativo a una norma di diritto nazionale adottata ai sensi di tale disposizione, deve poter vertere senza alcuna restrizione sul rispetto di tutte le condizioni e i limiti prescritti dalle disposizioni di tale regolamento per il trattamento di dati personali” e, segnatamente, “mirare alla verifica del carattere necessario di quest’ultimo, ai sensi degli articoli 5, 6 e 9 del GDPR”.

Sulla scorta della replica al secondo quesito, la Corte ha omesso la trattazione del terzo, con cui il giudice del rinvio chiedeva a cosa possa essere limitato il controllo giurisdizionale in un caso del genere.