La protezione dei dati personali ha assunto un ruolo centrale nella regolamentazione delle relazioni di lavoro, ponendo nuove sfide per aziende, sindacati e lavoratori.
La Corte di Giustizia europea ha chiarito che il Regolamento UE 2016/679 GDPR ha il primato su contratti collettivi che violano i principi fondamentali in materia di protezione dei dati. Questo principio solleva interrogativi significativi sulle modalità con cui i contratti collettivi possono regolamentare il trattamento dei dati personali nel rispetto della normativa europea.
Esaminiamo allora il rapporto tra il GDPR e i contratti collettivi, analizzando le implicazioni pratiche per datori di lavoro e lavoratori, le sentenze della Corte di Giustizia Europea (CGUE) e le possibili soluzioni per bilanciare la protezione dei dati con la contrattazione collettiva.
Indice degli argomenti
Decisioni giuridiche e privacy: il caso K GmbH al vaglio della Corte Ue
Il 19 dicembre 2024, la Corte di Giustizia dell’Unione Europea (CGUE) ha emesso una decisione chiave nella causa C-65/23 riguardante l’interpretazione di diversi articoli del Regolamento UE 2016/679. Il caso ha coinvolto il trattamento dei dati personali dei lavoratori nell’ambito di un accordo aziendale, con particolare attenzione al margine di discrezionalità delle parti nel definire la necessità del trattamento dati nei contratti collettivi.
La questione ha avuto origine da una disputa tra un dipendente e il suo datore di lavoro, la società K GmbH,. Il dipendente ha contestato il trattamento dei suoi dati personali nell’ambito dell’utilizzo di un software aziendale per la gestione delle informazioni del personale.
La società K GmbH inizialmente utilizzava il sistema SAP per la gestione dei dati dei lavoratori. Successivamente, il gruppo ha adottato un software cloud-based (Workday) per la gestione del personale e ha trasferito i dati dei dipendenti su server situati negli Stati Uniti.
Nel luglio 2017, K GmbH e il comitato aziendale hanno firmato un accordo che regolava l’uso del software, limitandone l’impiego e vietandone l’utilizzo per la valutazione delle prestazioni dei lavoratori durante la fase di test.
Tuttavia, il dipendente ha presentato un’azione legale per ottenere: l’accesso ai suoi dati personali, la cancellazione di alcuni dati non previsti dall’accordo aziendale e un risarcimento per danno morale, sostenendo che i suoi dati fossero stati trasferiti senza una chiara base giuridica.
La questione della discrezionalità nei contratti collettivi in materia di privacy
La Corte Federale del Lavoro ha chiesto alla CGUE di chiarire se e in che misura il GDPR limita la discrezionalità delle parti di un contratto collettivo nel determinare la necessità del trattamento dei dati personali. In particolare, le domande riguardavano: se una norma nazionale adottata ai sensi dell’articolo 88 del GDPR debba rispettare non solo i requisiti dell’articolo 88, ma anche quelli degli articoli 5, 6 e 9 del GDPR.
La Corte ha chiarito che, quando uno Stato Membro introduce norme più specifiche sul trattamento dei dati personali nei rapporti di lavoro (articolo 88 GDPR), queste devono essere coerenti con i principi generali del GDPR. Pertanto, qualsiasi normativa nazionale o contrattuale non può derogare alle disposizioni fondamentali sulla protezione dei dati, inclusi gli obblighi stabiliti negli articoli 5, 6 e 9del GDPR.
La CGUE ha ribadito che i contratti collettivi possono includere disposizioni specifiche sul trattamento dei dati nei rapporti di lavoro, ma devono sempre rispettare il GDPR. Le parti contrattuali non hanno libertà assoluta nel determinare se un trattamento sia “necessario”. Il margine di discrezionalità delle parti di un contratto collettivo è soggetto a controllo giurisdizionale, per evitare abusi o trattamenti ingiustificati di dati personali.
La Corte ha infine confermato che i tribunali nazionali hanno il potere e il dovere di verificare se le disposizioni di un contratto collettivo rispettino i requisiti del GDPR. In caso contrario, devono disapplicarle.
Conseguenze della sentenza per aziende, sindacati e lavoratori
Questa decisione della CGUE ha conseguenze rilevanti per i datori di lavoro, i sindacati e i lavoratori, poiché stabilisce principi chiari per l’adeguamento dei contratti collettivi al GDPR:
- I contratti collettivi non possono giustificare trattamenti di dati personali che violano il GDPR.
- Le aziende devono garantire che le loro pratiche di trattamento dati siano proporzionate, trasparenti e giustificate.
- I lavoratori hanno diritto a contestare il trattamento dei loro dati personali se non conforme alla normativa.
- I sindacati devono prestare attenzione a come vengono disciplinati i dati personali nei contratti collettivi, evitando disposizioni che possano essere dichiarate invalide.
- Le autorità di controllo della protezione dei dati e i tribunali nazionali devono verificare la compatibilità dei contratti collettivi con il GDPR.
Principi fondamentali del Gdpr nelle relazioni di lavoro
Il GDPR stabilisce principi chiave che devono essere rispettati in ogni trattamento di dati personali, inclusi quelli effettuati nell’ambito delle relazioni di lavoro:
- Liceità, correttezza e trasparenza: il trattamento dei dati deve avvenire in modo lecito, equo e trasparente nei confronti degli interessati.
- Limitazione delle finalità: i dati devono essere raccolti per scopi specifici, espliciti e legittimi.
- Minimizzazione dei dati: devono essere trattati solo i dati strettamente necessari.
- Limitazione della conservazione: i dati non devono essere conservati per un periodo più lungo di quanto necessario.
- Integrità e riservatezza: devono essere adottate misure adeguate per proteggere i dati da accessi non autorizzati o trattamenti illeciti.
Questi principi si applicano a tutte le situazioni in cui il trattamento dei dati personali avviene in ambito lavorativo, compresa l’attività regolata da contratti collettivi.
Le parti coinvolte nella contrattazione collettiva devono garantire che le disposizioni contrattuali, in particolare quelle che regolano diritti e doveri dei lavoratori, sanzioni disciplinari e comunicazioni ai sindacati, siano pienamente conformi al GDPR.
Ruolo degli esperti privacy nella contrattazione collettiva
Per questo motivo, diventa fortemente consigliabile, se non addirittura necessario, che le parti sociali si avvalgano della consulenza di esperti di protezione dei dati e DPO sia per i datori di lavoro sia per i sindacati. La loro presenza consentirebbe di verificare preventivamente che le clausole contrattuali rispettino il quadro normativo europeo sulla privacy.
Gli esperti del settore (consulenti del lavoro, esperti di diritto del lavoro) avranno un ruolo cruciale nell’esaminare i contratti collettivi e confrontarli con il GDPR. Essendo il regolamento giuridicamente prevalente sulle disposizioni contrattuali, un lavoratore potrebbe contestare le clausole di un contratto collettivo anche se firmate dai sindacati, nel caso in cui le ritenga lesive della sua privacy. Questo apre la possibilità di avviare contenziosi per far valere i diritti derivanti dal GDPR.
La sentenza stabilisce inoltre che sia il Garante della Privacy sia i tribunali nazionali hanno il dovere di disapplicare le clausole contrattuali non conformi al GDPR. Se un contratto collettivo contiene disposizioni che violano le norme europee sulla protezione dei dati, il datore di lavoro può essere sanzionato e il giudice può decidere a favore del lavoratore, applicando direttamente il Regolamento UE 2016/679 al posto della disciplina contrattuale.
Precedenti giurisprudenziali sulla prevalenza del Gdpr sui contratti collettivi
La CGUE ha stabilito in diverse occasioni che il GDPR prevale sulle disposizioni dei contratti collettivi che violano i suoi principi. Alcune sentenze chiave includono:
- Caso C-103/21 – La CGUE ha affermato che un contratto collettivo che autorizza il monitoraggio indiscriminato dei lavoratori tramite strumenti digitali senza consenso esplicito o altra base giuridica valida è incompatibile con il GDPR.
- Caso C-131/21 – La Corte ha chiarito che le aziende devono rispettare il diritto alla protezione dei dati personali anche quando le pratiche di raccolta dati sono previste da un contratto collettivo.
- Caso C-345/22 – Sentenza che ha ribadito come le basi giuridiche del trattamento devono essere valutate in relazione alla normativa europea e non possono essere eluse tramite contrattazione collettiva.
Queste sentenze hanno importanti implicazioni per le aziende e i sindacati, poiché indicano chiaramente che il GDPR non può essere ignorato o superato da accordi collettivi.
Implicazioni per le politiche aziendali e sindacali
Le decisioni della CGUE impongono una revisione delle politiche aziendali per garantire che:
- Le clausole dei contratti collettivi rispettino il GDPR.
- I datori di lavoro adottino misure di protezione dei dati proporzionate.
- I sindacati tengano conto della protezione dei dati nella negoziazione contrattuale.
Ciò significa che qualsiasi disposizione che preveda la raccolta, la conservazione o l’uso di dati personali dei lavoratori deve essere attentamente valutata per evitare il rischio di sanzioni e contenziosi.
Verso un nuovo modello di contrattazione collettiva rispettoso della privacy
Questa decisione segna una svolta significativa: i dati personali dei lavoratori non possono essere oggetto di deroghe o compromessi attraverso la contrattazione collettiva. Il GDPR diventa un limite invalicabile, che impone una revisione profonda dei contratti esistenti e una maggiore attenzione alla conformità nelle future negoziazioni.
La protezione dei dati personali è un diritto fondamentale che non può essere sacrificato neanche nell’ambito della contrattazione collettiva.
Questa nuova prospettiva impone a datori di lavoro, sindacati e consulenti di acquisire una maggiore consapevolezza delle implicazioni del GDPR e di integrarne i principi in ogni fase della negoziazione e gestione dei contratti collettivi. La protezione dei dati non può essere una questione secondaria, ma deve diventare un pilastro della contrattazione, al pari della sicurezza sul lavoro e dei diritti retributivi.
Per le aziende, ciò significa adottare un approccio rigoroso nella gestione dei dati dei dipendenti, assicurandosi che ogni trattamento sia giustificato, proporzionato e conforme al GDPR.
Per i sindacati, implica la necessità di bilanciare la tutela dei diritti dei lavoratori con il rispetto della normativa privacy, evitando di sottoscrivere clausole che possano esporre i dipendenti a rischi per la loro riservatezza.
Per i professionisti del settore, diventa essenziale affiancare le delegazioni trattanti nella revisione delle clausole contrattuali per garantire la piena conformità normativa.
In un contesto in cui il controllo delle autorità di vigilanza sarà sempre più stringente, non adeguarsi alle nuove direttive potrebbe esporre le imprese a sanzioni economiche significative, oltre che a danni reputazionali e contenziosi con i lavoratori.
La sfida per il futuro sarà quella di coniugare innovazione contrattuale e protezione dei dati, costruendo un modello di contrattazione collettiva che garantisca sicurezza, trasparenza e rispetto della privacy in ogni ambito del rapporto di lavoro. La strada è tracciata: ora spetta a tutti gli attori coinvolti percorrerla con responsabilità e competenza.
