1. Premessa

Riunita in VIII Sezione, la Corte di giustizia dell’UE il 19 dicembre 2024 si è pronunciata sulla delicata questione del trattamento dei dati personali nell’ambito dei rapporti di lavoro e sul margine di discrezionalità delle parti di un contratto collettivo nello stabilire e giustificare la necessità del trattamento dei dati prescritto da quest’ultimo (C. giust., sentenza del 19 dicembre 2024, C-65/23, MK c. K GmbH).

La pronuncia dei giudici sovranazionali si inserisce nel quadro di una domanda pregiudiziale di interpretazione ex art. 267 TFUE, ad opera del Bundesarbeitsgericht (Corte federale del lavoro tedesco, 22 settembre 2022, pervenuta alla CGUE l’8 febbraio 2023), relativamente agli artt. 82, par. 1, 88, parr. 1 e 2, in combinato disposto con l’art. 5, l’art. 6, par.1 e 9, parr. 1 e 2, del Regolamento UE 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (abrogativo della direttiva 95/46/CE-General Data Protection Regulation–abbr. GDPR- Al riguardo v. FINOCCHIARO, Il quadro d’insieme sul Regolamento europeo, in Finocchiaro (a cura di), La protezione dei dati personali in Italia – Regolamento UE n. 2016/679 e d.lgs. 10 agosto 2018, n. 101/2019).

Il giudice supremo del lavoro è stato interpellato da MK, il ricorrente, avverso la società di cui è dipendente, K GmbH (K), per decidere sul danno morale che detta società, nelle vesti di datore di lavoro, gli ha presuntivamente arrecato per aver fatto uso dei suoi dati personali sulla base di un accordo sindacale.

Orbene, la Corte di Giustizia ha affermato che i contratti collettivi nazionali o aziendali, del settore pubblico o privato, non possono violare le norme sulla protezione dei dati personali dei dipendenti, chiarendo, altresì, l’applicazione e l’interpretazione del reg. U.E. 2016/679 nell’ambito dei rapporti di lavoro.

Benché la Corte vanti un consolidato rigore nel pronunciarsi sul tema della primazia del regolamento de qua sulla normativa nazionale, nella disciplina dei rapporti di lavoro, fino a questa decisione, non ha escluso tout court l’applicazione delle disposizioni nazionali, perlomeno quando il trattamento dei dati dei dipendenti rinviene la sua base giuridica nel diritto dello Stato membro a cui appartiene il titolare del trattamento ai sensi dell’art. 6, par. 3 del GDPR e, in ogni caso, nel rispetto del reg. U.E. 2016/679 (C.giust., sentenza del 30 marzo 2023, C-34/21, Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium. Sulla ricostruzione del danno arrecato dal datore di lavoro per la diffusione di dati, cd. sociali, appartenenti a categorie speciali di dati personali, cfr., altresì, C.giust., sentenza del 21 dicembre 2023, C-667/21, ZQ).

La sentenza in questa sede commentata, invece, descrive icasticamente le implicazioni della mancata osservanza della normativa sulla protezione dei dati sul rapporto triangolare tra aziende, sindacati e lavoratori.

Negando che le basi giuridiche del trattamento di dati personali previste dalla normativa europea possano essere eluse mediante accordo sindacale, il cui contenuto, a questo punto, non può che essere meramente integrativo, la rilevanza della pronuncia risiede nell’affermazione perentoria del primato del GDPR sulla contrattazione collettiva e, parallelamente, nella definizione dei limiti dei contratti collettivi aziendali, nonché del perimetro applicativo di questi ultimi, sul presupposto che essi configurano idonee fonti di regolamentazione del trattamento dei dati dei lavoratori di pari peso delle disposizioni nazionali in materia.

Invero, i giudici europei hanno riconosciuto che, ai sensi dell’art. 88, parr.1 e 2, i contratti collettivi possono disciplinare, come lex specialis, specifica e di dettaglio della normativa privacy, determinate condizioni in materia di protezione dei dati personali dei lavoratori, ma solo a condizione che tali disposizioni non comprimano le finalità di tutela previste dal GDPR, che detta standards minimi di protezione inderogabili in pejus.

Ma v’è di più. Con il presente verdetto hanno stabilito che il giudice nazionale è chiamato a giudicare la legittimità del contratto collettivo aziendale in linea con le disposizioni del GDPR, disponendo, rebus sic stantibus, di un ampio potere di controllo sulle previsioni contrattuali, le quali risultano, così, assoggettate all’osservanza del reg. U.E. 2016/679 integralmente.

Pertanto, l’obbligo di disapplicazione delle disposizioni del contratto collettivo non compliant da parte del giudice nazionale o la comminazione di sanzioni da parte dell’Autorità nazionale garante della privacy se invocata, riduce, da un lato, la discrezionalità di sindacati e datori di lavoro nel sottoscrivere un accordo, dall’altro, incrementa la salvaguardia della dignità, della libertà e dei diritti fondamentali dei lavoratori contro il rischio di eventuali clausole contrattuali che potrebbero compromettere i loro diritti in materia di privacy.

Giustappunto in ragione delle finalità di tutela ascrivibili al reg. U.E. 2016/679, la Corte di giustizia ha concluso che organizzazioni sindacali e datori di lavoro godono di una posizione di piena comprensione e informazione sul know-how aziendale per quanto attiene allo specifico settore di impiego e quanto all’esame della necessità di un trattamento dei dati. Nondimeno, l’art.88 GDPR non può essere considerato un passe partout per consentire alle parti contrattuali trattative più vantaggiose a detrimento della privacy dei lavoratori o qualsivoglia deroga pattizia alle tutele contemplate dal reg. U.E. 2016/679.

A tal riguardo, va osservato che dalla ricostruzione delle prescrizioni del GDPR operata dalla Corte di giustizia nella sentenza deriva, in primis, un inequivocabile rafforzamento della protezione dei lavoratori. Il datore di lavoro, in quanto titolare del trattamento, detiene significative responsabilità ed è obbligato ad agire nel rispetto dei principi del GDPR.

In secundis, la Corte ha posto in evidenza l’importanza del principio di trasparenza, nella misura in cui i lavoratori hanno un diritto ampio di accedere e conoscere le modalità di trattamento dei loro dati personali.

In tertiis, assicurando il rispetto dei principi del GDPR (liceità, correttezza e trasparenza, limitazione e minimizzazione, esattezza, integrità e riservatezza) e imponendo livelli di protezione equivalenti tra le diverse fonti del diritto del lavoro nazionali e la legislazione europea vincolante, con conseguente inevitabile bilanciamento tra le esigenze aziendali e i diritti dei dipendenti, la Corte ha conferito pieno riconoscimento all’attività del giudice in virtù del principio di tutela giurisdizionale effettiva, ai sensi dell’art.19, par.2 TUE e 47 della Carta dei diritti fondamentali dell’UE, prevedendo, altresì, la possibilità di rimedi efficaci a beneficio del lavoratore, quali il diritto a un risarcimento in caso di violazioni (sul tema del bilanciamento tra i principi v. di recente, MARSICO, Il Garante per la protezione dei dati personali determina il difficile bilanciamento tra diritto di accesso, GDPR, trattamento dati e riservatezza, in https://www.rivistalabor.it/,27 gennaio 2024, a commento dei provvedimenti del Garante Privacy 16 novembre 2023,n. 529 e n. 530).

In ultimo, la sentenza esaminata ha un diretto impatto sulla contrattazione di secondo livello e sulle relazioni sindacali delle imprese, laddove le delegazioni sindacali sono ingaggiate in trattative particolarmente articolate sul piano giuridico, in quanto i contratti devono contenere clausole che vincolano le parti al rispetto del GDPR in tutti i suoi principi fondativi.

2. I fatti di causa e il rinvio del Bundesarbeitsgericht alla Corte di giustizia

L’antefatto processuale che ha dato origine al rinvio del Tribunale federale del lavoro tedesco alla Corte di giustizia è il ricorso di un soggetto privato (MK) contro la decisione dell’azienda, datore di lavoro (K), di trasferire i suoi dati personali, sottoposti a trattamento nell’ambito dell’utilizzo di un software (SAP), poi sostituito con un server della società madre del gruppo negli Stati Uniti (Workday), quest’ultimo operante nel cloud come sistema di gestione unico delle informazioni del personale.

Nel 2017, il titolare del trattamento, ovverosia l’azienda contestata, anno in cui è avvenuta la centralizzazione della gestione dei dati presso la società madre, ha stipulato un accordo con il sindacato aziendale che, da un lato ha stabilito l’acquiescenza all’introduzione del nuovo software, dall’altro ha circoscritto l’utilizzo dei dati dei lavoratori vietandone la trasmissione ai fini della gestione delle risorse umane durante la fase sperimentale.

Sul presupposto che il titolare del trattamento abbia ceduto alla società controllante i dati personali, alcuni dei quali non previsti dall’accordo aziendale, il ricorrente ha adito i giudici territorialmente competenti (Arbeitsgericht Ulm – Tribunale del Lavoro e, successivamente, il Landesarbeitsgericht – LAG Baden-Württemberg-Tribunale superiore del lavoro) per l’ottenimento dell’accesso a talune informazioni, della cancellazione dei dati che lo riguardano, nonché l’accertamento del diritto al risarcimento.

Non avendo ottenuto quanto richiesto, ha presentato ricorso per Revision (al. Cassazione) al Tribunale federale del lavoro, giudice del rinvio, sostenendo che il trasferimento dei dati personali al server della società madre non sia necessario, sia ai fini del rapporto di lavoro (essendo ancora in utilizzo il software oggetto di sostituzione), sia ai fini della sperimentazione del software sostituto. Inoltre, ha contestato che, malgrado la vigenza di un accordo di tolleranza per tale trattamento, i dati trasmessi non convergono con quelli descritti contrattualmente. A tal riguardo, ha chiesto il risarcimento del danno morale arrecato dal datore di lavoro con il trattamento dei suoi dati personali sulla base dell’accordo sindacale.

Di tal guisa, il giudice rinviante ha sospeso il procedimento e ha sottoposto alla Corte di giustizia tre quesiti pregiudiziali di interpretazione della normativa europea rilevante in materia.

La prima questione verte sull’interpretazione dell’art. 88, parr.1 e 2 del regolamento generale sulla protezione dei dati 2016/679 (abb. GDPR), che disciplina il trattamento dei dati nell’ambito dei rapporti di lavoro, sancendo la facoltà degli Stati membri di prevedere, con disposizioni legislative o contratti collettivi, norme più specifiche di salvaguardia dei diritti e delle libertà dei lavoratori sottoposti al trattamento dei dati per qualsivoglia finalità relativa al rapporto di lavoro (ibidem art. 88, par.1). La suddetta disciplina protezionista involge, in particolare, azioni concrete e misure appropriate alla tutela dei diritti fondamentali dei lavoratori nel contesto del trasferimento dei dati tra gruppi imprenditoriali (ibidem art. 88, par.2).

A tal riguardo, il giudice del rinvio ha chiesto se la normativa nazionale, e, in specie, l’art. 26, par.4 della Legge federale tedesca sulla protezione dei dati (BDSG), che implementa la disciplina europea, debba essere ritenuta conforme non solo al par.2 dell’art.88, ma anche ad altri requisiti del GDRP, precipuamente gli artt.5, 6, par.1 e 9, parr.1 e 2, che dettano i principi regolatori del trattamento dei dati personali.

Con la seconda questione, invece, il rinviante ha chiesto se l’art.88, par.1 GDPR, che, come detto è recepito in Germania dalla normativa nazionale supra menzionata, debba essere interpretato nel senso che il margine di discrezionalità di cui godono le parti di un contratto collettivo, nella fattispecie un accordo sindacale, nella determinazione della necessità del trattamento dei dati ai sensi dei citati artt. 5, 6, par.1 e 9, parr.1 e 2 GDPR, limiti, in effetti, il controllo giurisdizionale.

3. La decisione del giudice sovranazionale (sic et simpliciter!)

Con riguardo alla prima questione pregiudiziale, la Corte di giustizia dell’UE ha chiarito lo scopo della norma di cui all’art.88, parr.1 e 2 GDPR, osservando che il reg. U.E. in questione mira a un’armonizzazione delle normative nazionali sulla protezione dei dati personali, nondimeno attribuendo agli Stati membri la facoltà di introdurre «norme più specifiche», di qualsivoglia rango, a carattere «supplementare» e «derogatorio», altrimenti dette «clausole di apertura», che attribuiscono un margine di discrezionalità sulle modalità di attuazione delle disposizioni (v. punto 35; cfr. C.giust., sentenza del 30 marzo 2023, C-34/21, cit.), il cui oggetto sia la protezione dei diritti e delle libertà dei dipendenti interessati dal trattamento.

La discrezionalità accordata è concretizzata dalla mera descrizione, come appare nel citato art.88 GDPR, delle condizioni alle quali gli Stati membri deliberano l’attuazione della disciplina protettiva, compresi i contratti collettivi e gli accordi aziendali (considerando 155 del reg. U.E. 2016/679), nel rispetto dei principi relativi al trattamento dei dati personali, dei requisiti di liceità di detto trattamento, nonché delle norme che regolamentano il trattamento di particolari categorie di dati. Quand’anche una disposizione del diritto dell’UE non determini la portata e il significato del diritto nazionale, il giudice europeo ha chiarito che occorre interpretare il diritto dell’UE in maniera autonoma e uniforme, tenuto conto, non solo della lettera della norma, ma anche del suo intrinseco scopo e del contesto in cui si inserisce (per analogia v. C.giust., sentenza del 14 dicembre 2023, C-340/21, Natsionalna agentsia za prihodite).

L’interpretazione sistematica e teleologica dell’art.88 del GDPR induce a ritenere che la disposizione, da un lato, autorizza norme nazionali che abbiano un contenuto specifico relativo al settore regolamentato che lo distingue dalla disciplina generale del regolamento, dall’altro, delimita il potere di normazione attribuito dal medesimo regolamento agli Stati membri. Secondo la Corte, infatti, l’impossibilità di trarre dalla lettera del citato art.88 chiarimenti circa la conformità della normativa specifica nazionale alle disposizioni generali del reg. U.E., non impedisce al responsabile del trattamento, o anche all’incaricato del trattamento, di adempiere agli obblighi su di essi incombenti ai sensi di tali disposizioni.

Invero, i giudici hanno ribadito che l’art.88 nella sua formulazione costituisce «una clausola di salvaguardia», che il legislatore europeo ha concepito nel contesto della relazione di squilibrio contrattuale tra lavoratore dipendente e datore di lavoro e nell’ottica di una maggiore protezione del primo in relazione al trattamento dei dati personali nel corso dello svolgimento del rapporto di lavoro. Pertanto, la differenziazione ammessa dal reg. U.E. per quanto riguarda la disciplina del trattamento dei dati deve essere considerata limitata da appropriate garanzie a tutela del dipendente (in tal senso v. C.giust., sentenza del 30 marzo 2023, C‑34/21 cit., punti 52, 53 e 73).

Di conseguenza, nell’ipotesi che gli Stati membri introducano negli ordinamenti interni leggi o contratti collettivi contenenti disposizioni più dettagliate sono tenuti a soddisfare anche le condizioni dettate in altre disposizioni del regolamento, affinché non contravvengano l’obbligo di protezione dei diritti e delle libertà dei lavoratori nel contesto del trattamento dei dati, ai sensi dell’art.88 GDPR e in virtù della responsabilità dello Stato a rispettare il contenuto e gli obiettivi del GDPR risultanti dal suo considerando 10.

In specie, ha affermato la Corte, gli artt.5, 6, par.1 e 9, invocati parimenti nel presente procedimento dal giudice rinviante, devono essere applicati a qualsivoglia trattamento dei dati personali, data l’imperatività del loro principio fondante, ossia il rispetto del criterio di necessità del trattamento (punto 46; cfr. C.giust., sentenze del 2 marzo 2023, C-268/21, Norra Stockholm Bygg, punto 43; C.giust., sentenza dell’11 luglio 2024, C-757/22, Meta Platforms Ireland (Azione rappresentativa), punto 49).

La ratio è da rinvenirsi, sempre secondo la Corte, nella natura di principi di portata generale, aventi un ambito di applicazione che si estende anche a «specifiche (…) situazioni» o a disposizioni relative a dette specifiche situazioni di trattamento, asseritamente il capo IX che contiene l’art.88, par.1 e 2 del GDPR.

L’ art.9, poi, secondo la Corte, rileva in quanto è finalizzato ad assicurare una maggiore protezione, considerata la particolare sensibilità di talune categorie di dati e la pervasiva ingerenza del trattamento nei diritti fondamentali degli interessati (punto 48; cfr. C.giust., sentenza del 4 ottobre 2024, C-21/23, Lindenapotheke, punto 89).

Con riguardo al primo quesito, la Corte di giustizia ha, dunque, concluso che una norma di diritto nazionale che introduca il trattamento dei dati personali ai fini di rapporti di lavoro deve avere l’effetto di imporre ai suoi destinatari l’osservanza degli obblighi di protezione dei diritti fondamentali del dipendente, enucleati dal par.2 dell’art.88 GDPR, nonché dei principi generali del regolamento, delle condizioni di liceità del trattamento dei dati e delle disposizioni poste a salvaguardia di talune categorie particolari di dati personali, ai sensi degli artt.5, 6, par.1 e 9 del medesimo regolamento.

Pertanto, gli Stati membri che si avvalgano dell’opzione ad essi riconosciuta dal GDPR dovranno garantire che la disciplina nazionale più restrittiva o derogatoria sia conforme alle condizioni e ai limiti prescritti dal suddetto, elevando, au mieux, il livello di tutela dei lavoratori interessati dal trattamento.

Sulla seconda questione pregiudiziale, la Corte di giustizia ha preliminarmente rammentato il potere di verifica del giudice nazionale sulla conformità del diritto nazionale alla disciplina europea, nonché il correlato potere di disapplicazione della normativa nazionale accertatamente incompatibile con il GDPR, in virtù della primazia di quest’ultimo sul diritto interno. Alternativamente, secondo la medesima Corte, in assenza di norme più specifiche pertinenti, il trattamento dei dati personali nell’ambito dei rapporti di lavoro soggiace alle disposizioni del regolamento (punti 52 e 53).

Il medesimo controllo giurisdizionale ricorre anche quando la fattispecie disciplinare è un contratto collettivo, nella forma di un accordo sindacale di tolleranza come nel caso in esame, nella misura in cui le parti contrattuali godono di una discrezionalità equivalente a quella riconosciuta agli Stati membri alla luce della circostanza che le «norme più specifiche» possono risultare anche da contratti collettivi, come segnatamente indicato dal par.1 dell’art.88 (punto 54).

Alla luce dell’appena menzionato principio di equivalenza, la verifica del giudice domestico esercitata sul contratto collettivo «al pari di quello relativo a una norma di diritto nazionale adottata ai sensi di tale disposizione», deve ritenersi completo, incluso il rispetto delle condizioni e dei limiti prescritti per il trattamento dei dati personali (punto 55).

L’importanza di siffatto controllo giurisdizionale si innesta, secondo i giudici sovranazionali, altresì sul requisito di necessità del trattamento dei dati personali, ai sensi degli articoli 5, 6 e 9 del GDPR, così arginando il margine di discrezionalità delle parti nell’elusione degli obblighi derivanti dal rispetto di detto requisito, malgrado le loro conoscenze tecnico-professionali del settore di attività interessato o qualsivoglia condizionamento ad aggirare gli scopi protettivi del GDPR ( punto 57).

Sulla seconda questione pregiudiziale, la Corte di giustizia ha, dunque, concluso che l’art.88, parr.1 e 2 del GDPR deve essere interpretato nel senso che il controllo del giudice nazionale su un contratto collettivo, per la verifica, in particolare, della necessarietà del trattamento dei dati personali giustificata dalle parti contrattuali, deve essere completo, quando detto contratto rientri nell’ambito di applicazione di tale disposizione. In caso di accertamento negativo, il giudice domestico sarà tenuto a disapplicare le disposizioni del contratto collettivo che non rispettino le condizioni e i limiti prescritti dal GDPR (punto 59).

4. Considerazioni conclusive

La sentenza della Corte di giustizia dell’UE in commento (C.giust.UE, sentenza del 19 dicembre 2024, C-65/23, MK c. K GmbH cit.) non ha precedenti, sotto il profilo delle implicazioni per i datori di lavoro e per le organizzazioni sindacali. I giudici sovranazionali hanno solennemente affermato la supremazia del regolamento sul trattamento dei dati personali nell’ambito dei rapporti di lavoro regolati da contratti collettivi, le cui clausole non possono avere un contenuto generico, ma devono specificare le modalità del trattamento dei dati dei dipendenti in linea con i principi di liceità, correttezza, trasparenza, minimizzazione dei dati, limitazione delle finalità, accuratezza, limitazione della conservazione, integrità e riservatezza.

L’affermazione che le parti contrattuali siano vincolate da standards minimi e inderogabili per la protezione dei dati personali significherà, d’ora in poi, che qualsivoglia disposizione contrattuale che comprima il livello di protezione previsto dal GDPR è da considerarsi non valida e deve essere disapplicata, a conferma che il pieno rispetto della privacy dei lavoratori risponde all’esigenza di garantire la piena tutela dei rispettivi diritti.

L’enunciazione da parte dei giudici europei di un principio giuridico fondamentale, ovvero la vincolatività del GDPR sui contratti collettivi di lavoro, da cui deriva, in caso di non conformità di questi ultimi alla normativa europea, l’obbligo di disapplicazione all’interno degli ordinamenti nazionali, rimanda a una riflessione sulla natura del contratto collettivo a livello europeo e sulla conclamata supremazia gerarchica del diritto sovranazionale (nella fattispecie un atto legislativo direttamente applicabile) su quello interno, oltre che alla necessità di porre in risalto le conseguenze di una decisione di tale portata sugli effetti dei contratti in parola sul piano interno.

La disamina della Corte, infatti, non tanto consente di richiamare la funzione, accettata dalla dottrina, del contratto collettivo come meccanismo di implementazione della normativa europea negli ordinamenti interni, i.e. delle direttive ai sensi dell’art.153, comma 3, o di produzione di fonti normative sovranazionali nei rapporti di lavoro (artt.154 e 155 TFUE), nonché strumento di realizzazione delle politiche sociali a livello europeo. (CARUSO, ALAIMO, Il contratto collettivo nell’ordinamento dell’Unione europea, WP D’Antona, Int., n.87/2011, pp. 1, 34 e ss.).

Piuttosto, nel caso che ci occupa, la Corte ha posto in luce lo spirito dell’autonomia collettiva, in cui invero, rinvengono la loro estrinsecazione quei principi generali di tutela del lavoro che fanno parte dell’ordinamento UE nella sua endogena funzione di protezione dei diritti dei lavoratori, qualificata questa stessa come interesse generale da perseguire.

Anche sul piano UE, cioè, al contratto collettivo di lavoro è demandato un ruolo sociale di tutela del lavoratore che restringe l’estensione del contratto di libero mercato e limita le esigenze aziendali. (Su contrattazione collettiva europea cfr. ALBINI, L’equilibrio possibile fra legge e contrattazione collettiva. Scenari, sfide, nodi da sciogliere e possibili vie di uscita, in LDE, n.4/ 2024.)

Con la presente sentenza non è più attraverso il contratto collettivo che il giudice intercetta «le comuni intenzioni delle parti» nella contrattazione, conferendo rilievo alla condizione del lavoratore come prescritta dalla singola clausola, ma parametro interpretativo diviene il regolamento che permetterà al giudice di valutare, disapplicandola, la clausola contrattuale peggiorativa.

Si comprende come siffatta interpretazione reca in sé conseguenze particolarmente rilevanti sul piano giuridico interno. La conferma della supremazia del reg.U.E. 2016/679, che include norme di ordine pubblico come quelle sulla sicurezza e sulla protezione dei diritti fondamentali, rende irrilevante che la disposizione contrattuale sia formulata in violazione del suddetto e, perciò, illecita, oppure che la disposizione sia lecita ma applicata in maniera difforme dai principi del reg. U.E. cit. e che, quindi, il contratto collettivo possa o meno sopravvivere, ab imis fundamentis, alla clausola ( secondo il ben noto principio civilistico di conservazione degli atti giuridici).

In linea di principio, se il contratto, quand’anche sottoscritto dalle organizzazioni sindacali, non è conforme alla data protection potrà essere impugnato dal lavoratore che ritenga di aver subito una violazione della sua privacy. Le organizzazioni sindacali, del canto loro titolari o contitolari del trattamento dei dati personali del lavoratore, potrebbero essere chiamate a rispondere del trattamento illecito ed essere condannate dal giudice adito al risarcimento del danno se richiesto, in diretta applicazione del reg. U.E. 2016/679 (art. 82).

I rilievi della CGUE con la sentenza in questione si riflettono, inoltre, sulle politiche aziendali. La gestione dei rischi collegati alla conservazione dei dati, in effetti, richiede l’assistenza del DPO (Data Protection Officer) che, affiancato al datore di lavoro e ai sindacati, sorveglierà sull’effettiva compliance delle disposizioni dei contratti collettivi sul trattamento dei dati ai principi e alle indicazioni del reg. U.E. 2016/679.

Tuttavia, la revisione delle politiche aziendali presuppone una riformulazione più intrusiva delle misure di protezione dei dati e, quidem, nelle negoziazioni contrattuali.

La sentenza de qua determina una stretta sulle disposizioni che prescrivono le fasi del data processing (raccolta, conservazione e uso dei dati personali) non consentendo né deroghe né compromessi, che potrebbero incidere negativamente sull’interesse del dipendente alla protezione del suo status lavorativo, non sacrificabile neppure nell’ambito della contrattazione collettiva.

D’altra parte, l’integrazione dei principi del GDPR nella stipulazione e attuazione dei contratti collettivi comporta un’equa condivisione delle responsabilità di aziende e sindacati per evitare contenziosi e sanzioni: le prime, dovendosi impegnare ad assicurare che il trattamento dei dati dei dipendenti sia giustificato e proporzionato, le seconde, dovendo garantire il bilanciamento tra i diritti contrattuali e la riservatezza delle condizioni dei lavoratori. (ROMEI, Diritto alla riservatezza del lavoratore, in QDLRI, n. 15/ 94, 68; ZANELLATI, GDPR e contratti collettivi: la supremazia della protezione dati nelle relazioni di lavoro, 21 marzo 2025, https://www.agendadigitale.eu/)

Sin d’ora, l’Unione europea non è riuscita a regolamentare i diritti del singolo nel contesto dei Big Data applicati nei rapporti lavorativi.

La giurisprudenza offre, invece, l’opportunità di un rafforzamento dell’autonomia individuale e del suo esercizio da parte dei lavoratori fornendo i criteri per l’avanzamento delle tutele a livello aziendale (OGRISEG, GDPR and Personal Data Protection in the Employment Context, in LLI, Vol. 3, n.2/2017).

Con il supporto sindacale, peraltro, trasparenza/ consenso e privacy attualmente connubio di innovazione contrattuale solo potenziale potranno essere motore di azione per politiche di impresa progressiste e adattate ai tempi correnti (DUBAL, Data Laws at Work, in The Yale Law Journal, Vol.134, 2025).

Rosita Silvestre, assegnista di ricerca in Diritto dell’Unione europea nell’ Università degli Studi della Campania “Luigi Vanvitelli”.

Visualizza i documenti: C. giust., sez. VIIIª, 19 dicembre 2024, causa C-65/23; Corte federale del lavoro Germania, 22 settembre 2022

Scarica il commento in PDF

L'articolo La protezione aziendale dei lavoratori attraverso il personal data processing sembra essere il primo su Rivista Labor - Pacini Giuridica.