Discrezionalità del contratto collettivo nel rispetto del GDPR

Il caso

Una società tedesca aveva trattato, ai fini contabili, alcuni dati personali dei suoi dipendenti tramite l'utilizzo del software “SAP”, addivenendo sul punto a diversi accordi aziendali. Successivamente, il gruppo a cui essa appartiene aveva introdotto un nuovo software, operante in cloud, come sistema unico per la gestione delle informazioni sul personale. In questo contesto, erano stati trasferiti diversi dati personali dei dipendenti dal software SAP a un server situato negli Stati Uniti, appartenente alla società madre.

Nel luglio 2017 la società tedesca e il suo comitato aziendale avevano sottoscritto un accordo che stabiliva una tolleranza quanto all'introduzione del nuovo software e vietava il suo utilizzo a fini di gestione delle risorse umane durante la fase di sperimentazione. Secondo l'accordo, solo determinati dati potevano essere trasferiti al nuovo software. Gli effetti di tale accordo erano stati prorogati fino all'entrata in vigore di un accordo aziendale definitivo, concluso il 23 gennaio 2019.

In seguito, un lavoratore si rivolgeva alle competenti autorità al fine di ottenere l'accesso a talune informazioni, la cancellazione di dati che lo riguardavano e il riconoscimento di un risarcimento. A suo dire la società aveva trasferito, mediante il nuovo software, verso il server della società madre negli USA, suoi dati personali non inclusi nell'accordo aziendale citato.

I giudici tedeschi, alla luce della necessità di interpretare la normativa europea rilevante in materia, hanno deciso di sospendere il procedimento e di chiedere alla Corte di Giustizia dell'Unione Europea (CGUE) se un contratto collettivo che disciplini il trattamento dei dati dei dipendenti debba essere o meno in linea con il Regolamento 2016/679 in materia di protezione dei personali (il “Regolamento”).

La decisione della CGUE

Il Regolamento si pone l'obiettivo di garantire un'armonizzazione delle legislazioni nazionali in materia protezione dei dati personali. Tuttavia, al suo interno vi sono alcune disposizioni che consentono agli Stati membri di prevedere norme nazionali supplementari, sia più rigorose che derogatorie, lasciando un margine di discrezionalità su come possano essere attuate.

In particolare, l'art. 88 del Regolamento stabilisce le condizioni in base alle quali gli Stati membri possono prevedere, tramite legge o contratti collettivi, “norme più specifiche” per assicurare la protezione dei diritti e delle libertà dei dipendenti interessati. Ed il considerando 155 del Regolamento chiarisce che la nozione di “contratto collettivo ”, ai sensi del citato articolo, include gli “accordi aziendali”.

Inoltre, gli articoli 5, 6 e 9 del Regolamento enunciano, rispettivamente, i principi relativi al trattamento dei dati personali, le condizioni di liceità di tale trattamento e le norme relative al trattamento di categorie particolari di tali dati.

Pertanto, ad avviso della CGUE, l'art. 88 del Regolamento deve essere interpretato nel senso che “una disposizione nazionale avente ad oggetto il trattamento di dati personali ai fini dei rapporti di lavoro e adottata in forza dell'articolo 88, paragrafo 1, di tale regolamento deve avere l'effetto di vincolare i suoi destinatari a rispettare non solo i requisiti derivanti dall'articolo 88, paragrafo 2 di tale regolamento, ma anche quelli che discendono dall'articolo 5, dall'articolo 6, paragrafo 1, nonché dall'articolo 9, paragrafi 1 e 2, dello stesso”. E spetta al giudice nazionale valutare se le norme interne rispettano effettivamente le condizioni e i limiti prescritti dal Regolamento e, in caso negativo, disapplicarle.

Resta che, in assenza di norme nazionali più specifiche che rispettino le condizioni e i limiti stabiliti dall'art. 88 del Regolamento, il trattamento dei dati personali nell'ambito dei rapporti di lavoro è direttamente disciplinato dalle sue disposizioni.

Queste considerazioni valgono anche per le parti stipulanti di un contratto collettivo che devono poter disporre di un margine di discrezionalità equivalente a quello riconosciuto agli Stati membri. Ciò in quanto le “norme più specifiche” di cui al par. 1 dell'art. 88 del Regolamento possono, come sopra esposto, essere previste dai contratti collettivi.

Ne consegue che l'art. 88 del Regolamento deve essere interpretato nel senso che, qualora un contratto collettivo rientri nell'ambito della sua applicazione, “il margine di discrezionalità di cui dispongono le parti di tale contratto per determinare il carattere «necessario» di un trattamento di dati personali, ai sensi dell'articolo 5, dell'articolo 6, paragrafo 1, nonché dell'articolo 9, paragrafi 1 e 2, di tale regolamento, non impedisce al giudice nazionale di esercitare un controllo giurisdizionale completo al riguardo”.

Il controllo giurisdizionale, nonostante il sopra descritto margine di discrezionalità, al pari di quello relativo a una norma di diritto nazionale adottata ai sensi dell'art. 88 del Regolamento, deve poter riguardare, senza alcuna restrizione, il rispetto di tutte le condizioni e i limiti prescritti dal Regolamento medesimo.

Fonte: CGUE, 19 dicembre 2024 C-65/23