La Corte di Giustizia dell’Unione Europea, con la sentenza del 19 dicembre 2024, ha stabilito che i datori di lavoro e le associazioni sindacali, nella stipulazione di contratti collettivi di lavoro, devono rispettare il Regolamento UE n. 679/2016 (“GDPR”).
Nel caso in esame, un lavoratore sosteneva che la società datrice di lavoro avesse trattato in modo illegittimo i suoi dati personali, trasferendoli su un server situato negli Stati Uniti. Il datore di lavoro contestava tale ricostruzione, affermando che il trattamento fosse legittimo poiché conforme a quanto previsto dal contratto collettivo applicato.
I giudici tedeschi, chiamati a decidere sulla controversia, hanno sollevato dubbi sull’applicabilità dell’art. 88 del GDPR e hanno rinviato la causa alla Corte di Giustizia dell’Unione Europea. L’art. 88 del GDPR prevede, infatti, che gli Stati Membri possano disciplinare la protezione dei dati dei lavoratori tramite la legge o i contratti collettivi.
In questo quadro normativo, i giudici si sono interrogati sulla portata della contrattazione collettiva in materia di privacy nei luoghi di lavoro: i contratti collettivi possono determinare liberamente le regole sul trattamento dei dati personali oppure devono rispettare integralmente le disposizioni del GDPR?
Con la sentenza in commento, la Corte di Giustizia dell’Unione Europea ha chiarito che, quando un contratto collettivo disciplina il trattamento dei dati personali nei luoghi di lavoro, esso deve rispettare i principi fondamentali del GDPR. In particolare, deve garantire il rispetto dei principi di liceità, correttezza e trasparenza del trattamento, delle condizioni per il consenso e delle norme sul trattamento di categorie particolari di dati personali. Inoltre, il trattamento deve essere giustificato e proporzionato rispetto alle finalità perseguite e deve essere soggetto a un adeguato controllo giurisdizionale per tutelare i diritti dei dipendenti.
Di conseguenza, qualora i giudici del lavoro accertino che le disposizioni di un contratto collettivo violino le norme del GDPR, essi saranno tenuti a disapplicarle.
Questa pronuncia della Corte evidenzia un aspetto di grande rilevanza: la contrattazione collettiva, in quanto fonte normativa nei rapporti di lavoro, deve garantire che le clausole relative al trattamento dei dati personali siano pienamente conformi al GDPR.