La Corte di giustizia dell’Unione europea riafferma il primato del Regolamento generale sulla protezione dei dati personali (Gdpr) anche in ambito contrattuale, confermando la sua diretta applicabilità sulle normative nazionali e sui contratti collettivi.
Il contesto della sentenza
L’ottava sezione della Corte è stata investita di una questione pregiudiziale riguardante l’armonizzazione delle normative nazionali sulla protezione dei dati personali, in virtù del margine di discrezionalità riconosciuto dall’articolo 88 del Gdpr. La controversia ha avuto origine dal ricorso di un lavoratore tedesco contro il datore di lavoro, accusato di violare il Gdpr trasferendo dati personali negli Stati Uniti tramite un software sperimentale, in contrasto con un accordo aziendale.
Il quadro normativo
La sentenza sottolinea che il Gdpr ha lo scopo di garantire un’armonizzazione completa delle legislazioni nazionali in materia di dati personali. L’articolo 88, paragrafo 1, consente agli Stati membri di adottare norme più specifiche, mediante legge o contratti collettivi, per tutelare i diritti dei lavoratori, purché tali norme rispettino tutti i principi e requisiti del Gdpr, inclusi quelli relativi al trattamento dei dati personali (articoli 5, 6 e 9).
Le parti di un contratto collettivo, pur essendo riconosciute come soggetti con conoscenze specifiche del contesto lavorativo, non possono introdurre deroghe che riducano i criteri di necessarietà del trattamento dei dati o che violino i principi generali del Gdpr. La Corte ha inoltre ribadito che i contratti collettivi, al pari delle normative nazionali, sono soggetti al controllo giurisdizionale per verificare la conformità con il regolamento.
Il ruolo delle corti nazionali
I giudici nazionali hanno il compito di assicurare che la normativa interna, comprese le disposizioni pattizie, sia conforme alle disposizioni del Gdpr. In caso di contrasto, essi devono disapplicare la normativa interna in virtù del principio del primato del diritto dell’Unione europea.
Conclusione
Nella sentenza relativa alla causa C-65/23, la Corte di giustizia ha ribadito che il Gdpr prevale su normative nazionali e contratti collettivi. Le disposizioni dell’articolo 88, paragrafo 1, impongono che qualsiasi norma specifica adottata per il trattamento dei dati personali in ambito lavorativo rispetti non solo i requisiti di tale articolo, ma anche i principi generali del regolamento. Inoltre, il controllo giudiziario sulla conformità delle norme pattizie è essenziale per garantire la piena applicazione del Gdpr.