I dirigenti della XXX Spa proponevano reclamo al Garante per la protezione dei dati personali, ai sensi dell’art. 77 del Regolamento UE 2016/679 (GD.P.R.), per la cancellazione e/o la distruzione di un file audio contenente la registrazione di una conversazione intrattenuta dal dipendente YYY con essi rappresentanti della società, nel contesto di una riunione indetta dalla dirigenza e svoltasi diversi anni prima.
Tale file era stato prodotto da altri dipendenti della società, ZZZ e KKK, in occasione di udienze relative a procedimenti di lavoro contro la società.
Il Garante respingeva la richiesta rilevando che le operazioni di trattamento erano state svolte per esclusive finalità di contestazione di addebiti nell’ambito del rapporto di lavoro.
I dirigenti proponevano opposizione al Tribunale di Venezia, che l’accoglieva, dichiarando “l’illegittimità del provvedimento dell’Autorità garante per la protezione dei dati personali del 17.6.2019″ e “l’illiceità dei trattamenti” posti in essere da YYY, KKK e ZZZ; per l’effetto ordinava ai convenuti “la cancellazione e/o distruzione del file audio” in questione e “la notificazione di tali misure ad altri ulteriori eventuali destinatari dello stesso, ex art. 58, comma 2, lettera g), del Reg. UE n. 2016/679″ e ha infine comminato a ZZZ e KKK la sanzione pecuniaria di cui all’art. 58, comma 2, lettera i), e 83 dello stesso GDPR nella misura di 5.000,00 Euro ciascuno.
Il Tribunale rilevava che il file audio conteneva la registrazione di una riunione tenutasi il 25 novembre 2016 per risolvere “alcune difficoltà organizzative interne all’azienda” eseguita senza che al momento vi fossero esigenze difensive dell’autore della registrazione (YYY); e ha poi rilevato che era pacifico che la registrazione fosse stata conservata e ceduta ai colleghi KKK e ZZZ per essere prodotta a distanza di anni nelle rispettive cause di lavoro contro la stessa azienda; ha quindi concluso che, sebbene esistente un contenzioso dei dipendenti KKK e ZZZ con l’azienda, il trattamento dei dati era comunque avvenuto in violazione dei principi di cui all’art. 5 GD.P.R..
Contro la predetta sentenza, ZZZ proponeva ricorso per cassazione.
La giurisprudenza della Suprema Corte ha precisato che il diritto di difesa in giudizio consente, ai sensi dell’art. 24, lett. f), del D.Lgs. n. 196 del 2003, di prescindere dal consenso della parte interessata, a condizione che i dati siano trattati esclusivamente per tale finalità e per il periodo strettamente necessario al suo perseguimento, e non è limitato alla pura e semplice sede processuale, ma si estende a tutte quelle attività dirette ad acquisire prove in essa utilizzabili, ancor prima che la controversia sia stata formalmente instaurata (Cass. n. 33809 del 12/11/2021).
Ciò che rileva pertanto non è come e da chi sia stata eseguita la registrazione, né se vi fossero esigenze difensive del suo autore materiale, ma per quali scopi sia stata utilizzate la conversazione registrata e le informazioni in essa contenute e segnatamente per quale finalità le abbia utilizzate la odierna ricorrente.
E’ poi evidente che, per poter utilizzare dei dati in giudizio, è necessaria una preventiva attività di ricerca e raccolta degli stessi, la cui liceità si valuta, appunto, in ragione dell’uso fattone.
In linea generale, l’utilizzazione dei dati, pur senza il consenso dell’interessato, è ritenuta lecita quando si tratti di difendere un diritto fondamentale e inoltre, quando i dati siano stati utilizzati in giudizio, come nella specie, è il giudice di quel giudizio a dover bilanciare gli interessi in gioco ed ammettere o meno le prove che comportano il trattamento di dati di terzi, posto che la titolarità del trattamento spetta in questo caso all’autorità giudiziaria e in tal sede vanno composte le diverse esigenze, rispettivamente, di tutela della riservatezza e di corretta esecuzione del processo (Cass. n. 9314 del 04/04/2023).
Né a conclusioni diverse si giunge ove si consideri il quadro normativo dato dal GDPR.
Deve, quindi, osservarsi che difendersi in giudizio, specie ove la controversia attenga a diritti della persona strettamente connessi alla dignità umana -e quindi i diritti dei lavoratori, secondo quanto dispone l’art. 36 Cost.- è un diritto fondamentale e che nella relazione tra il datore di lavoro e i dipendenti si creano legittime aspettative e tra queste quella delle reciproca lealtà e del rispetto dei diritti del dipendente.
Gli artt. 17 e 21 del GDPR rendono palese che nel bilanciamento degli interessi in gioco il diritto a difendersi in giudizio può essere ritenuto prevalente sui diritti dell’interessato al trattamento dei dati personali.
In particolare l’art. 17 comma 3 lettera e) del regolamento dispone che i paragrafi 1 e 2 (diritto alla cancellazione) non si applicano nella misura in cui il trattamento sia necessario per l’accertamento l’esercizio o la difesa di un diritto in sede giudiziaria e l’art. 21 (diritto di opposizione) consente al titolare del trattamento di dimostrare “l’esistenza di motivi legittimi cogenti per procedere al trattamento che prevalgono sugli interessi, sui diritti e sulle libertà dell’interessato oppure per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria”.
Più specificamente la Corte di giustizia UE con sentenza del 2 marzo 2023, (C-268/21) ha chiarito che qualora dati personali di terzi vengano utilizzati in un giudizio è il giudice nazionale che deve ponderare, con piena cognizione di causa e nel rispetto del principio di proporzionalità, gli interessi in gioco e che “tale valutazione può, se del caso, indurlo ad autorizzare la divulgazione completa o parziale alla controparte dei dati personali che gli sono stati così comunicati, qualora ritenga che una siffatta divulgazione non ecceda quanto necessario al fine di garantire l’effettivo godimento dei diritti che i soggetti dell’ordinamento traggono dall’articolo 47 della Carta” (par. 58).
In termini, anche la giurisprudenza nazionale è consolidata nel ritenere che l’uso di dati personali non è soggetto all’obbligo di informazione ed alla previa acquisizione del consenso del titolare quando i dati stessi vengano raccolti e gestiti nell’ambito di un processo.
In esso, infatti, la titolarità del trattamento spetta all’autorità giudiziaria e in tal sede vanno composte le diverse esigenze, rispettivamente, di tutela della riservatezza e di corretta esecuzione del processo, per cui, se non coincidenti, è il codice di rito a regolare le modalità di svolgimento in giudizio del diritto di difesa (Cass. n. 9314 del 04/04/2023; Cass. s.u. n. 3034 del 08/02/2011).
Si è così affermato che il trattamento dei dati personali in ambito giudiziario, anche nel vigore della disciplina di cui al D.Lgs. n. 196 del 2003, non è soggetto all’obbligo di informazione ed alla previa acquisizione del consenso, purché i dati siano inerenti al campo degli affari e delle controversie giudiziarie che ne scrimina la raccolta, non siano utilizzati per finalità estranee a quelle di giustizia in ragione delle quali ne è avvenuta l’acquisizione e sussista il provvedimento autorizzatorio (Cass. n. 1263 del 17/01/2022 ; v. Cass. n. 39531 del 13/12/2021).
Inoltre, la Suprema Corte ha ritenuto che anche nella vigenza del GPR vadano confermati i consolidati principi in ordine alla legittimità del trattamento di dati personali senza il consenso dell’interessato, purché effettuato nel rispetto del criterio della “minimizzazione” ove sia indispensabile per la tutela di interessi vitali della persona che li divulga o della sua famiglia (Cass. n. 9922 del 28/03/2022).
Ha quindi errato il Tribunale, una volta accertato che della registrazione si era fatto uso in un processo, a ritenere che tale comportamento violasse la normativa sul trattamento dei dati personali sovrapponendo così indebitamente la propria valutazione a quella del giudice del processo ove questi dati erano stati utilizzati.
Corte di Cassazione, Sezione Prima Civile, Ordinanza n. 24797 del 16 settembre 2024
La selezione delle sentenze e la raccolta delle massime di giurisprudenza è a cura di
Carmine Paul Alexander TEDESCO, Avvocato a Milano, Pesaro e Benevento.
Desideri approfondire l'argomento ed avere una consulenza legale?
Prenota un appuntamento.
La consultazione può avvenire in studio a Milano, Pesaro, Benevento, oppure in videoconferenza / conference call e si svolge in tre fasi.
Prima dell'appuntamento: analisi del caso prospettato. Si tratta della fase più delicata, perché dalla esatta comprensione del caso sottoposto dipendono il corretto inquadramento giuridico dello stesso, la ricerca del materiale e la soluzione finale.
Durante l’appuntamento: disponibilità all’ascolto e capacità a tenere distinti i dati essenziali del caso dalle componenti psicologiche ed emozionali.
Al termine dell’appuntamento: ti verranno forniti gli elementi di valutazione necessari e i suggerimenti opportuni al fine di porre in essere azioni consapevoli a seguito di un apprezzamento riflessivo di rischi e vantaggi. Il contenuto della prestazione di consulenza stragiudiziale comprende, difatti, il preciso dovere di informare compiutamente il cliente di ogni rischio di causa. A detto obbligo di informazione, si accompagnano specifici doveri di dissuasione e di sollecitazione.