Il diritto alla protezione dei dati personali non è un diritto assoluto

Con sentenza del 2 marzo 2023, relativa alla causa C-268/21, la Corte di Giustizia dell’Unione Europea si è pronunciata sull’interpretazione dell’art. 6, par. 3 e 4, e 5 del Regolamento Ue 2016/79 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento Generale sulla Protezione dei Dati -RGDP).

Suddetta domanda è stata presentata nell’ambito di una controversia insorta tra la Norra Stockholm Bygg AB e la Nycander AB circa la richiesta di comunicazione del registro elettronico del personale della Norra Stockjolm. Quest’ultima aveva eseguito i lavori per la Nycander; la relativa comunicazione dei nominativi risultava funzionale a determinare l’importo dei lavori per i quali la Nycander doveva corrispondere la retribuzione.

A seguito della richiesta, la Norra Stockholm si è opposta sostenendo che questa dovesse essere ritenuta contraria all’art. 5, par. 1., lett. b) del RGDP. Il registro del personale, infatti, è un documento che contiene dati raccolti ai fini del controllo dell’attività di tale società da parte dell’amministrazione finanziaria svedese e non sarebbe conforme a detto obiettivo divulgare i dati dinnanzi a un giudice.

La controversia è pervenuta alla Corte di Giustizia dell’Unione Europea in quanto il  tingsrätt (Tribunale di primo grado) ha ordinato alla Norra Stockholm di produrre, senza procedere all’oscuramento dei dati, il registro del personale della Fastec per il personale attivo sul cantiere di cui si tratta. Pronuncia che è stata confermata in secondo grado dallo Svea hovrätt (Corte d’appello di Stoccolma, Svezia).

La Norra Stockholm ha, dunque, impugnato la decisione dello Svea hovrätt dinanzi a Högsta domstolen (Giudice del rinvio - Corte suprema, Svezia), chiedendo di respingere la domanda. Alla luce di ciò, il Giudice del rinvio si è posto l’interrogativo se le disposizioni del RGDP debbano essere applicate nel procedimento principale.

Volendo sintetizzare il tutto, sono due le questioni sulle quali la Corte di Giustizia si deve pronunciare.

Con la prima, il Giudice del Rinvio chiede se l’art. 6 par. 3 e 4 RGDP deve essere interpretato nel senso che la disposizione si applica nell’ambito di un procedimento giurisdizionale civile. In esso la produzione del registro assolverebbe la funzione di prova anche qualora in esso sono contenuti i dati personali di terzi raccolti principalmente a fini fiscali.

Sul punto, la Corte di Giustizia precisa che rientra nel perimetro della nozione di “trattamento di dati personali”, per come delineata dal RGDP, “non solo la creazione e la tenuta del registro elettronico del personale ma anche la produzione come elemento di prova di un documento, digitale o fisico, contenente dati personali disposta da un’autorità giurisdizionale nell’ambito di un procedimento giurisdizionale”.

A questo si deve aggiungere che qualora il trattamento dei dati avvenga nell’ambito di un procedimento giurisdizionale per finalità diverse da quella per la quale i dati sono stati raccolti (nel caso di specie controlli fiscali) esso soggiace a regole ulteriori. Viene richiesto, infatti, che esso rinvenga una base giuridica nel diritto nazionale, che rappresenti una misura necessaria e proporzionata in una società democratica e, infine, che sia funzionale a salvaguardare uno degli obiettivi ex art. 23 par. 1 RGDP. Tra essi merita menzione la lett. f) la quale si riferisce alla “salvaguardia dell’indipendenza della magistratura e dei procedimenti giudiziari”. L’obiettivo di questa disposizione è quello di garantire una  buona amministrazione della giustizia. Di conseguenza, anche l’esecuzione delle azioni civili diviene un obiettivo idoneo a giustificare un trattamento di dati personali per un fine diverso da quello per cui i dati sono stati raccolti.

Per quanto attiene a questa prima questione, ergo, la conclusione alla quale perviene la Corte è quella secondo cui “l’articolo 6, paragrafi 3 e 4, del RGPD deve essere interpretato nel senso che tale disposizione si applica, nell’ambito di un procedimento giurisdizionale civile, alla produzione come elemento di prova di un registro del personale contenente dati personali di terzi raccolti principalmente ai fini dei controlli fiscali”.

La seconda questione è da riferire all’interpretazione degli artt. 5 e 6 RGDP: viene chiesto se il Giudice nazionale debba prendere in considerazione gli interessi dei soggetti coinvolti nel momento in cui viene sollecitata la produzione di un documento contenente dati personali. Viene specificato dalla Corte di Giustizia che nell’ambito di un procedimento giurisdizionale civile è compito del Giudice garantire la protezione delle persone fisiche per quanto attiene al trattamento dei dati personali. Quest’ultimo, infatti, è un diritto fondamentale le cui fonti sono l’art. 8 par. 1 della Carta di Nizza e l’art. 16 TFUE. A ciò si aggiunge che sia compito del Giudice assicurare il rispetto della vita privata, situazione giuridica soggettiva intimamente connessa al diritto alla protezione dei dati personali.

Sebbene tutto questo sia corretto, si deve rammentare che “il diritto alla protezione dei dati personali non è un diritto assoluto, ma va considerato alla luce della sua funzione sociale e va contemperato con altri diritti fondamentali, in ossequio al principio di proporzionalità, come il diritto a una tutela giurisdizionale effettiva, garantito dall’articolo 47 della Carta”.

Appare lapalissiano che la produzione di un documento contenente dati personali di terzi nell’ambito di un procedimento giurisdizionale civile contribuisce a garantire una tutela giurisdizionale effettiva. Si deve aggiungere che i due diritti, tutela giurisdizionale effettiva e protezione dei dati personali, sono di pari rango, “uguali” nel linguaggio della Corte. Il diritto a ottenere una tutela giurisdizionale effettiva, rectius diritto a un equo processo, per come interpretato dalla giurisprudenza della Corte Europea dei Diritti dell’Uomo, è essenziale in una società democratica. La logica conseguenza è che il soggetto dell’ordinamento giuridico deve poter beneficiare di un procedimento in contraddittorio al fine di poter presentare gli argomenti che ritiene rilevanti per la difesa della propria causa.

Dunque, la Corte di Giustizia evidenzia come “al fine di garantire che i singoli possano beneficiare di un diritto a una tutela giurisdizionale effettiva e, in particolare, di un diritto a un processo equo, ai sensi dell’articolo 47, secondo comma, della Carta, occorre considerare che le parti di un procedimento giurisdizionale civile devono essere in grado di accedere alle prove necessarie per dimostrare adeguatamente la fondatezza delle loro censure, che possono eventualmente includere dati personali delle parti o di terzi”.

In questo scenario, il Giudice nazionale deve svolgere un duplice controllo: 1) stabilire se la divulgazione dei dati personali sia adeguata e pertinente con l’obiettivo delle disposizioni nazionali; 2) se questo obiettivo possa essere perseguito ricorrendo a mezzi di prova meno invasivi rispetto alla protezione di dati personali di un numero elevato di terzi. Nel caso in cui la produzione del documento contenente dati personali risulti giustificata, il Giudice nazionale deve adottare misure supplementari di protezione dei dati come, ad esempio, la pseudonimizzazione o qualunque altra misura.

In conclusione, “gli articoli 5 e 6 del RGPD devono essere interpretati nel senso che, nel valutare se debba essere disposta la produzione di un documento contenente dati personali, il giudice nazionale è tenuto a prendere in considerazione gli interessi delle persone di cui trattasi e a ponderarli in funzione delle circostanze di ciascun caso di specie, del tipo di procedimento di cui trattasi e tenendo debitamente conto delle esigenze derivanti dal principio di proporzionalità e, in particolare, di quelle derivanti dal principio di minimizzazione dei dati di cui all’articolo 5, paragrafo 1, lettera c), di tale regolamento”.