La produzione in giudizio di documenti contenenti dati personali alla luce della sentenza Norra Stockholm Bygg: un equilibrio tra privacy e giustizia
L’equilibrio tra privacy e giustizia spesso viene affrontato nei Tribunali, paradossalmente sopratutto in quelli civili. La sentenza Norra Stockholm Bygg AB / Per Nycander AB (C-268/21), pronunciata dalla Corte di giustizia dell’Unione europea il 2 marzo 2023, affronta uno dei temi più delicati nell’odierno bilanciamento tra la tutela dei dati personali e il diritto ad un processo equo: la produzione in giudizio di documenti contenenti dati personali di terzi.
La produzione in giudizio di documenti contenenti dati personali
Nel contesto di un procedimento civile, la Corte ha affermato con chiarezza che la produzione in giudizio di tali documenti costituisce un trattamento di dati personali. Quindi soggetto alle regole e ai principi del Regolamento (UE) 2016/679 (GDPR). Questo vale anche quando i dati erano stati inizialmente raccolti per finalità diverse — come nel caso specifico, finalità fiscali.
Dispositivo 1) L’articolo 6, paragrafi 3 e 4, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati),
deve essere interpretato nel senso che:
tale disposizione si applica, nell’ambito di un procedimento giurisdizionale civile, alla produzione come elemento di prova di un registro del personale contenente dati personali di terzi raccolti principalmente ai fini dei controlli fiscali.
2) Gli articoli 5 e 6 del regolamento 2016/679
devono essere interpretati nel senso che:
nel valutare se debba essere disposta la produzione di un documento contenente dati personali, il giudice nazionale è tenuto a prendere in considerazione gli interessi delle persone di cui trattasi e a ponderarli in funzione delle circostanze di ciascun caso di specie, del tipo di procedimento di cui trattasi e tenendo debitamente conto delle esigenze derivanti dal principio di proporzionalità e, in particolare, di quelle derivanti dal principio di minimizzazione dei dati di cui all’articolo 5, paragrafo 1, lettera c), di tale regolamento.
Dati raccolti per fini fiscali, usati in sede civile
Il caso nasce in Svezia e riguarda la richiesta, in un processo civile, di produzione di un registro del personale tenuto da una delle parti. Questo registro conteneva dati di lavoratori inizialmente raccolti per controlli fiscali. La Corte ha confermato che l’utilizzo secondario di tali dati — ossia la loro produzione in giudizio — non può avvenire automaticamente, ma deve fondarsi su una base giuridica specifica. Deve, quindi, essere in linea con gli articoli 6, par. 3 e 4, del GDPR.
Questa base giuridica deve essere prevista dal diritto nazionale e rispettare i principi di necessità, proporzionalità e minimizzazione, ai sensi dell’articolo 5 del GDPR.
Il Principio di Minimizzazione dei Dati
Il ruolo del giudice: custode dell’equilibrio tra interessi
Secondo la Corte, il giudice nazionale, nel decidere se ordinare la produzione di documenti contenenti dati personali, deve valutare gli interessi in gioco. In particolare, deve:
- Considerare se il trattamento sia proporzionato rispetto allo scopo processuale perseguito;
- Verificare la rilevanza e adeguatezza del documento ai fini della causa;
- Privilegiare, ove possibile, misure meno invasive, come la pseudonimizzazione dei dati.
L’obiettivo è evitare una “sovraesposizione” ingiustificata dei dati personali, proteggendo così anche i diritti sanciti dalla Carta dei diritti fondamentali dell’Unione europea (articoli 7, 8 e 47).
Applicazioni nel contesto italiano
Nel diritto italiano, la questione si innesta su un terreno articolato. L’articolo 6, par. 4, GDPR richiede che l’uso secondario dei dati personali, per finalità giudiziarie, sia previsto dal diritto nazionale.
[…] Laddove il trattamento per una finalità diversa da quella per la quale i dati personali sono stati raccolti non sia basato sul consenso dell’interessato o su un atto legislativo dell’Unione o degli Stati membri che costituisca una misura necessaria e proporzionata in una società democratica per la salvaguardia degli obiettivi di cui all’articolo 23, paragrafo 1, al fine di verificare se il trattamento per un’altra finalità sia compatibile con la finalità per la quale i dati personali sono stati inizialmente raccolti, il titolare del trattamento tiene conto, tra l’altro:
a) di ogni nesso tra le finalità per cui i dati personali sono stati raccolti e le finalità dell’ulteriore trattamento previsto;
b) del contesto in cui i dati personali sono stati raccolti, in particolare relativamente alla relazione tra l’interessato e il titolare del trattamento;
c) della natura dei dati personali, specialmente se siano trattate categorie particolari di dati personali ai sensi dell’articolo 9, oppure se siano trattati dati relativi a condanne penali e a reati ai sensi dell’articolo 10;
d) delle possibili conseguenze dell’ulteriore trattamento previsto per gli interessati;
e) dell’esistenza di garanzie adeguate, che possono comprendere la cifratura o la pseudonimizzazione.
Inoltre, l’art. 160-bis del Codice Privacy stabilisce che la produzione in giudizio di documenti contenenti dati personali può avvenire solo nel rispetto dei principi di pertinenza e non eccedenza, rafforzando la posizione del giudice come garante della proporzionalità del trattamento.
La giurisprudenza italiana ha già affrontato, seppur in modo frammentario, questioni simili. Si pensi, ad esempio, alla Cassazione civile che in diverse occasioni ha ammesso la produzione in giudizio di documenti contenenti dati personali, purché essi siano strettamente pertinenti alla controversia. Analogamente, il Consiglio di Stato ha valorizzato il principio di minimizzazione, imponendo un vaglio attento della necessità del trattamento in sede giudiziale.
Da ultimo, merita attenzione l’articolo 23 del GDPR, che consente agli Stati membri di limitare, mediante disposizioni legislative, i diritti degli interessati qualora tale limitazione sia necessaria e proporzionata per salvaguardare, tra l’altro, “l’indipendenza della magistratura” e “i procedimenti giudiziari”.
La sentenza Norra Stockholm Bygg valorizza proprio queste eccezioni, sottolineando però che le deroghe devono sempre essere interpretate restrittivamente e accompagnate da garanzie effettive.
Immaginiamo un contenzioso civile tra due imprese nel quale una delle parti chieda la produzione di un registro presenze contenente orari e nominativi dei dipendenti dell’altra. Il giudice italiano, sulla scorta di questa sentenza, dovrà:
- Verificare se esistono altri mezzi di prova meno invasivi;
- Valutare l’effettiva incidenza dei dati rispetto al thema decidendum;
- Considerare l’adozione di cautele tecniche, come l’oscuramento dei nomi.
Richiami giurisprudenziali: tra diritto alla prova e protezione dati
La sentenza si colloca nel solco di una giurisprudenza europea sempre più attenta al bilanciamento tra diritti fondamentali. Basti ricordare la causa Asociación de Consumidores Independientes de Castilla-La Mancha (C-245/20), in cui la Corte ha ribadito che la protezione dei dati non è un diritto assoluto e può essere limitato per tutelare altri diritti di pari rango, come il diritto a un processo equo.
Anche in Italia il Garante per la protezione dei dati personali si è espresso più volte su casi analoghi. Più volte si è ribadito che la produzione in giudizio di dati personali richiede un vaglio puntuale dei principi di liceità, pertinenza e proporzionalità. Particolarmente rilevanti sono i provvedimenti relativi a controversie in ambito lavoristico o sanitario, dove i dati trattati sono spesso sensibili.
Infine, interessante è il confronto con la sentenza Rinas (C-180/20), in cui la CGUE ha affrontato l’uso di dati raccolti da enti pubblici per finalità diverse da quelle originarie. Anche in quel caso, la Corte ha ribadito la centralità dei principi di finalità, minimizzazione e proporzionalità, a conferma di un orientamento rigoroso e coerente nell’applicazione del GDPR.
La pronuncia Norra Stockholm Bygg offre un orientamento fondamentale per il bilanciamento tra due diritti fondamentali: la tutela dei dati personali e l’accesso alla giustizia. Essa ribadisce che il GDPR non ostacola il corretto svolgimento dei procedimenti giudiziari, ma impone rigore nell’uso dei dati personali. Sopratutto in contesti diversi da quelli per cui erano stati originariamente raccolti.
Nel panorama giuridico italiano, ciò si traduce in un invito chiaro alla magistratura e agli avvocati:
ogni volta che si maneggiano dati personali in giudizio, si deve fare attenzione a non trasformare l’aula di tribunale in un luogo di inutile esposizione informativa, salvaguardando al contempo l’equità del processo.