Privacy violata, prova ammessa: la CGUE apre al bilanciamento

La controversia origina da un giudizio di lavoro tedesco tra NTH Haustechnik GmbH ed una ex dipendente, EM, relativa alla presunta rivendita non autorizzata, tramite account eBay privato, di beni aziendali. Il datore di lavoro era venuto a conoscenza delle vendite accedendo all’account personale della lavoratrice, utilizzando credenziali acquisite in modo contestato e, secondo il giudice del rinvio, potenzialmente illecito ai sensi del GDPR. 

Il Landesarbeitsgericht Niedersachsen solleva numerose questioni pregiudiziali sull’interpretazione degli artt. 5, 6, 13, 17 GDPR, chiedendo, tra l’altro, se il giudice possa fondare il proprio trattamento dei dati sull’art. 17, par. 3, lett. e), e se sia tenuto ad escludere o limitare l’uso di dati raccolti in violazione della normativa privacy. 

La Corte chiarisce, anzitutto, che il trattamento di dati da parte dei giudici rientra nel campo di applicazione del GDPR, salvo le ipotesi di esclusione dell’art. 2, e che le operazioni tipiche del processo (raccolta, conservazione, consultazione, utilizzo di documenti contenenti dati personali) costituiscono “trattamento” ai sensi dell’art. 4, punto 2. 

La “nuova regola applicabile” è che il trattamento giudiziario dei dati personali si fonda, di regola, sull’art. 6, par. 1, lett. c) GDPR (adempimento di un obbligo legale del giudice, quale quello di decidere sull’ammissibilità e sulla valutazione delle prove), e non sull’art. 6, par. 1, lett. e), né sull’art. 17, par. 3, lett. e). Quest’ultimo non costituisce una autonoma base di liceità, ma solo un’eccezione al diritto alla cancellazione.

Quanto all’utilizzo di prove basate su dati raccolti illecitamente dalla parte, la Corte afferma che il GDPR non impone un divieto generale di utilizzabilità. Gli artt. 7 e 8 della Carta, l’art. 5, par. 1, e l’art. 6, par. 1, lett. c), in combinato con l’art. 6, par. 3, non ostano a che il giudice si avvalga di tali elementi, anche se la parte non vanta un interesse ulteriore rispetto alla prova dei fatti dedotti. 

Resta tuttavia fermo l’obbligo di rispettare il principio di minimizzazione (art. 5, par. 1, lett. c): il giudice deve limitare i dati ai soli elementi adeguati, pertinenti e necessari, e, prima di divulgarli alle altre parti o a terzi (ad es. tramite pubblicazione della sentenza), deve valutare misure come anonimizzazione o pseudonimizzazione per ridurre l’impatto sui diritti alla privacy. 

La Corte precisa, inoltre, che la violazione degli obblighi di informativa di cui all’art. 13 GDPR da parte del datore di lavoro o di un terzo non impedisce al giudice di utilizzare i dati nel processo. 

Infine, il giudice è tenuto a rispettare il GDPR anche nei confronti dei dati personali di terzi non parti in causa, ma il diritto dell’Unione non richiede che le parti possano far valere, nel processo, violazioni del GDPR subite da tali terzi: la disciplina processuale in merito resta affidata all’autonomia procedurale nazionale, nel rispetto dei principi di equivalenza ed effettività.