Con due atti adottati nel 2020, il Ministro della Cultura del Land dell’Assia (Germania) ha stabilito il quadro giuridico e organizzativo dell’insegnamento scolastico durante il periodo di pandemia di Covid-19, prevedendo, in particolare, la possibilità per gli alunni che non potevano essere presenti in classe di assistere in diretta alle lezioni tramite videoconferenza.
Al fine di salvaguardare i diritti degli alunni in materia di protezione dei dati personali, è stato stabilito che la connessione al servizio di videoconferenza sarebbe stata autorizzata solo con il consenso degli alunni stessi o, nel caso dei minori, con quello dei loro genitori. Per contro, non è stato previsto che gli insegnanti interessati esprimessero il loro consenso alla partecipazione a tale servizio.
Lamentando il fatto che la diffusione in diretta delle lezioni tramite videoconferenza, così come disciplinata dalla normativa nazionale, non fosse subordinata alla condizione del consenso degli insegnanti interessati, il Consiglio principale di rappresentanza del personale docente presso il Ministero della Cultura del Land dell’Assia ha presentato un ricorso contro il ministro incaricato di tali questioni. Quest’ultimo ha sostenuto che il trattamento dei dati personali costituito dalla diffusione in diretta delle lezioni tramite videoconferenza rientrava nell’ambito di applicazione della normativa nazionale, cosicché poteva essere effettuato senza che fosse richiesto il consenso degli insegnanti interessati.
Il giudice amministrativo adito ha esposto che, nell’intento del legislatore del Land dell’Assia, la normativa nazionale, sulla cui base è effettuato il trattamento dei dati personali degli insegnanti, rientra nella categoria delle «norme più specifiche» che gli Stati membri possono prevedere, conformemente all’articolo 88, paragrafo 1, del regolamento generale sulla protezione dei dati 1, per assicurare la protezione dei diritti e delle libertà dei dipendenti con riguardo al trattamento dei loro dati personali nell’ambito di rapporti di lavoro 2. Tuttavia tale giudice ha nutrito dubbi quanto alla compatibilità di tale normativa con i requisiti di cui all’articolo 88, paragrafo 2, del RGPD 3. Esso ha quindi adito la Corte in via pregiudiziale.
1 Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1; in prosieguo: il «RGPD»).
2 Ai sensi dell’articolo 88, paragrafo 1, del RGPD, che costituisce una clausola di apertura, gli Stati membri possono prevedere, con legge o tramite contratti collettivi, norme più specifiche per assicurare la protezione dei diritti e delle libertà con riguardo al trattamento dei dati personali dei dipendenti nell’ambito dei rapporti di lavoro, in particolare per finalità di esecuzione del contratto di lavoro, di gestione, pianificazione e organizzazione del lavoro.
3 L’articolo 88, paragrafo 2, del RGPD, prevede che tali norme includono misure appropriate e specifiche a salvaguardia della dignità umana, degli interessi legittimi e dei diritti fondamentali degli interessati, in particolare per quanto riguarda la trasparenza del trattamento, il trasferimento di dati personali e i sistemi di monitoraggio sul posto di lavoro.
Con la sua sentenza, la Corte afferma che una normativa nazionale non può costituire una «norma più specifica», ai sensi del paragrafo 1 dell’articolo 88 del RGPD, nel caso in cui essa non soddisfi le condizioni di cui al paragrafo 2 di tale articolo. Inoltre, la Corte precisa che l’applicazione di disposizioni nazionali adottate per garantire la protezione dei diritti e delle libertà dei dipendenti per quanto riguarda il trattamento dei loro dati personali nell’ambito dei rapporti di lavoro deve essere esclusa qualora tali disposizioni non rispettino le condizioni e i limiti stabiliti da tale articolo 88, paragrafi 1 e 2, del RGPD, a meno che le disposizioni di cui trattasi costituiscano una base giuridica per il trattamento, prevista in un altro articolo del RGPD 4, che rispetti i requisiti previsti da quest’ultimo.
Giudizio della Corte
In via preliminare, la Corte osserva che il trattamento dei dati personali degli insegnanti, in occasione della diffusione in diretta, tramite videoconferenza, delle lezioni da essi tenute nel contesto della scuola pubblica rientra nell’ambito di applicazione ratione materiae del RGPD. Essa precisa, successivamente, che tale trattamento dei dati personali degli insegnanti, i quali, in quanto dipendenti o pubblici impiegati, rientrano nel servizio pubblico del Land dell’Assia, ricadono nell’ambito di applicazione ratione personae dell’articolo 88 del RGPD, che riguarda il trattamento dei dati personali dei dipendenti nell’ambito dei rapporti di lavoro.
In primo luogo, la Corte esamina la questione se una «norma più specifica» ai sensi del paragrafo 1 dell’articolo 88 del RGPD debba soddisfare le condizioni poste dal paragrafo 2 di tale articolo. Secondo la Corte, dall’uso dei termini «più specifiche» nella formulazione dell’articolo 88, paragrafo 1, del RGPD risulta che le norme contemplate da tale disposizione devono avere un contenuto normativo proprio del settore regolamentato e distinto dalle norme generali di tale regolamento. Risulta altresì dalla formulazione dell’articolo 88 del RGPD che il paragrafo 2 di tale articolo circoscrive il margine di discrezionalità degli Stati membri che desiderano adottare «norme più specifiche» ai sensi del paragrafo 1 di detto articolo. Pertanto, la Corte dichiara, da un lato, che tali norme non possono limitarsi a ribadire le disposizioni di detto regolamento che prevedono le condizioni di liceità del trattamento dei dati personali nonché i principi del medesimo trattamento 5 o a rinviare a tali condizioni e principi. Dette norme devono essere volte alla protezione dei diritti e delle libertà dei dipendenti per quanto riguarda il trattamento dei loro dati e contenere misure appropriate e specifiche a salvaguardia della dignità umana, degli interessi legittimi e dei diritti fondamentali degli interessati. Dall’altro lato, un’attenzione particolare deve essere prestata per quanto riguarda la trasparenza del trattamento, il trasferimento di dati personali nell’ambito di un gruppo imprenditoriale o di un gruppo di imprese che svolge un’attività economica comune nonché i sistemi di monitoraggio sul posto di lavoro. Di conseguenza, per poter essere qualificata come «norma più specifica» ai sensi del paragrafo 1 dell’articolo 88 del RGPD, una norma giuridica deve soddisfare le condizioni poste dal paragrafo 2 di tale articolo.
In secondo luogo, la Corte precisa le conseguenze che occorre trarre da una constatazione di incompatibilità delle disposizioni nazionali in questione con le condizioni e i limiti previsti all’articolo 88, paragrafi 1 e 2, del RGPD.
La Corte ricorda, quindi, che spetta al giudice del rinvio, l’unico competente a interpretare il diritto nazionale, valutare se le disposizioni nazionali in questione rispettino le condizioni e i limiti stabiliti dall’articolo 88 del RGPD. Tuttavia, la Corte rileva che siffatte disposizioni nazionali, che subordinano il trattamento dei dati personali dei dipendenti alla condizione che tale trattamento sia necessario per talune finalità connesse all’esecuzione di un rapporto di lavoro, sembrano ribadire la condizione di liceità generale del trattamento già enunciata dal RGPD 6, senza aggiungere una norma più specifica ai sensi dell’articolo 88, paragrafo 1, di tale regolamento. Nel caso in cui il giudice del rinvio giungesse alla conclusione che tali disposizioni nazionali non rispettano le condizioni e i limiti stabiliti dall’articolo 88 del RGPD, esso sarebbe tenuto, in linea di principio, a disapplicarle. Infatti, in virtù del principio del primato del diritto dell’Unione, in assenza di norme più specifiche che rispettino le condizioni e i limiti stabiliti dall’articolo 88 del RGPD, il trattamento di dati personali nell’ambito dei rapporti di lavoro, tanto nel settore privato quanto nel settore pubblico, è direttamente disciplinato dalle disposizioni di detto regolamento.
4 Articolo 6, paragrafo 3, del RGPD
5 Enunciati, rispettivamente, all’articolo 6 e all’articolo 5 del RGPD.
6 Articolo 6, paragrafo 1, primo comma, lettera b), del RGPD.
Restate connessi!
A questo proposito, la Corte rileva che possono applicarsi a un trattamento di dati personali, come quello di cui trattasi, altre disposizioni del RGPD 7, in forza delle quali il trattamento di dati personali è lecito qualora esso sia necessario, rispettivamente, per l’esecuzione di un compito svolto nel pubblico interesse o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento o per adempiere un obbligo legale al quale è soggetto il titolare del trattamento. Per quanto riguarda tali due ipotesi di liceità, il RGPD 8, da un lato, prevede che il trattamento deve essere fondato sul diritto dell’Unione o sul diritto dello Stato membro cui è soggetto il responsabile del trattamento e, dall’altro lato, aggiunge che le finalità del trattamento sono determinate in tale base giuridica o sono necessarie per l’esecuzione di un compito svolto nel pubblico interesse o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento.
Di conseguenza, qualora il giudice del rinvio constati che le disposizioni nazionali relative al trattamento dei dati personali nell’ambito dei rapporti di lavoro non rispettano le condizioni e i limiti stabiliti dall’articolo 88, paragrafi 1 e 2, del RGPD, esso deve ulteriormente verificare se tali disposizioni costituiscano una base giuridica per il trattamento, contemplata da un altro articolo del RGPD 9, che rispetti i requisiti previsti da detto regolamento. In caso affermativo, l’applicazione di tali disposizioni nazionali non deve essere esclusa.
