La Corte di Giustizia (CGUE) si è pronunciata sulla produzione in giudizio di documenti contenenti dati personali di terzi.
Il 2 marzo 2023, la Corte di Giustizia europea (C-268/21 – Norra Stockholm Bygg AB contro Per Nycander AB) si è pronunciata, su domanda della Corte Suprema svedese, in materia di tutela dei dati personali e produzione di documenti contenenti dati di terzi nell’ambito di un procedimento giurisdizionale civile.
La sentenza fornisce una guida importante sull’applicazione dell’articolo 6, paragrafi 3 e 4 del GDPR nell’ambito dei procedimenti giurisdizionali civili.
La fattispecie all’esame del giudice europeo riguardava la richiesta di produzione del registro elettronico del personale, contenente dati personali di terzi raccolti principalmente ai fini dei controlli fiscali, come prova in una controversia tra due società. La CGUE ha affrontato due quesiti pregiudiziali riguardanti l’applicabilità del GDPR e la valutazione degli interessi delle persone coinvolte nella produzione di documenti contenenti dati personali.
Applicazione del GDPR alla produzione in giudizio di documenti contenenti dati personali di terzi
Secondo la CGUE, la creazione e la tenuta del registro elettronico del personale rientrano nell’ambito di applicazione del GDPR. Inoltre, la produzione di un documento contenente dati personali come prova in un procedimento giurisdizionale costituisce un trattamento di dati personali soggetto alle disposizioni del GDPR. Pertanto, è necessario soddisfare le condizioni di liceità stabilite dall’articolo 6 del GDPR. Nello specifico, il combinato disposto dell’articolo 6, paragrafo 1, lettera e), del GDPR e dell’articolo 6, paragrafo 3 del GDPR richiede una base giuridica, segnatamente nazionale, per il trattamento dei dati personali da parte dei titolari del trattamento che agiscono nell’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri, come quelli svolti dalle autorità giurisdizionali quando esercitano le relative funzioni.
La Corte di Giustizia ha rilevato che il trattamento di tali dati nell’ambito di un procedimento giurisdizionale costituisce un trattamento effettuato per una finalità diversa da quella per la quale i dati sono stati raccolti, i.e. a fini fiscali, e non è fondato sul consenso degli interessati, ai sensi dell’articolo 6, paragrafo 1, lettera a), del GDPR. Poiché, nel caso di specie, tale trattamento aveva una finalità diversa da quella per cui i dati erano stati originariamente raccolti, doveva basarsi sul diritto nazionale e costituire una misura necessaria e proporzionata per il perseguimento degli obiettivi stabiliti nell’articolo 23, paragrafo 1 del GDPR.
Valutazione degli interessi nel contesto dei procedimenti giurisdizionali civili
La CGUE ha sottolineato che il giudice nazionale deve prendere in considerazione gli interessi contrapposti delle persone coinvolte quando valuta l’opportunità di ordinare la produzione di un documento contenente dati personali. In tale valutazione, il giudice deve bilanciare la protezione dei dati personali e il diritto al rispetto della vita privata con altri diritti fondamentali, come il diritto a un processo equo.
La Corte di Giustizia ha stabilito che il giudice nazionale deve verificare se la divulgazione dei dati personali sia adeguata e pertinente per garantire il corretto svolgimento del procedimento giurisdizionale. Inoltre, il giudice deve considerare se esistono mezzi di prova meno invasivi per proteggere i dati personali delle persone coinvolte. Se la produzione del documento contenente dati personali è giustificata, il giudice può adottare misure supplementari di protezione dei dati, come la pseudonimizzazione dei nomi degli interessati, al fine di minimizzare l’impatto sulla protezione dei dati personali.
La Corte di Giustizia ha infine evidenziato l’importanza di bilanciare gli interessi contrapposti delle persone coinvolte e ha fornito linee guida per valutare la liceità e la proporzionalità del trattamento dei dati personali in tale contesto.
Tale decisione fornisce una base giuridica solida per i giudici nazionali nell’affrontare le richieste di produzione di documenti contenenti dati personali in procedimenti giurisdizionali civili, contribuendo a garantire una corretta applicazione delle norme sulla protezione dei dati nell’Unione Europea.
Su un simile argomento può essere interessante l’articolo “La CGUE chiarisce il concetto di categorie particolari di dati personali ai sensi del GDPR”.
Autori: Vincenzo Giuffre’ e Pietro La Fortezza
Autore: Vincenzo Giuffré
