Il fatto
Con due atti adottati nel 2020, il Ministro della Cultura del Land dell’Assia ha stabilito il quadro giuridico e organizzativo dell’insegnamento scolastico durante il periodo di pandemia di Covid-19, prevedendo, in particolare, la possibilità per gli alunni che non potevano essere presenti in classe di assistere in diretta alle lezioni tramite videoconferenza. Al fine di salvaguardare i diritti degli alunni in materia di protezione dei dati personali, è stato stabilito che la connessione al servizio di videoconferenza sarebbe stata autorizzata solo con il consenso degli alunni stessi o, nel caso dei minori, con quello dei loro genitori. Per contro, non è stato previsto che gli insegnanti interessati esprimessero il loro consenso alla partecipazione a tale servizio.
Il Consiglio principale di rappresentanza del personale docente presso il Ministero della Cultura del Land dell’Assia ha presentato un ricorso dinanzi al Tribunale amministrativo di Wiesbaden lamentando che la diffusione in diretta delle lezioni tramite videoconferenza non fosse subordinata alla condizione del consenso degli insegnanti interessati.
Il Ministero della Cultura del Land dell’Assia ha sostenuto che il trattamento dei dati personali costituito dalla diffusione in diretta delle lezioni tramite videoconferenza rientrava nell’ambito di applicazione della normativa nazionale, cosicché poteva essere effettuato senza che fosse richiesto il consenso degli insegnanti interessati.
Il Tribunale amministrativo di Wiesbaden ha esposto che la normativa nazionale rientra nella categoria delle “norme più specifiche” che gli Stati membri possono prevedere, conformemente all’art. 88, par. 1, del Regolamento (UE) 2016/679 sulla privacy (GPDR), per assicurare la protezione dei diritti e delle libertà dei dipendenti con riguardo al trattamento dei loro dati personali nell’ambito di rapporti di lavoro. Tuttavia, tale giudice ha nutrito dubbi quanto alla compatibilità di tale normativa con i requisiti di cui all’art. 88, par. 2, del GPDR.
Questioni pregiudiziali
Il Tribunale ha quindi adito la Corte di giustizia europea in via pregiudiziale chiedendo:
|
1) se l’art. 88 del GPDR debba essere interpretato nel senso che, per poter essere qualificata come norma più specifica ai sensi del par. 1 di tale articolo, una norma giuridica deve soddisfare le condizioni poste dal par. 2 di questo articolo;
|
|
2) quali conseguenze occorre trarre da una constatazione di incompatibilità con le condizioni e i limiti previsti all’art. 88, par. 1 e 2, del GPDR di disposizioni nazionali adottate per garantire la protezione dei diritti e delle libertà per quanto riguarda il trattamento dei dati personali dei dipendenti nell’ambito dei rapporti di lavoro.
|
La decisione
La Corte di giustizia europea, in via preliminare ha precisato che il trattamento dei dati personali degli insegnanti, in occasione della diffusione in diretta, tramite videoconferenza, delle lezioni da essi tenute nel contesto della scuola pubblica rientra nell’ambito di applicazione ratione materiae del GPDR. In particolare, il trattamento dei dati personali degli insegnanti, i quali, in quanto dipendenti o pubblici impiegati, rientrano nel servizio pubblico del Land dell’Assia, ricadono nell’ambito di applicazione ratione personae dell’art. 88 del GPDR, che riguarda il trattamento dei dati personali dei dipendenti nell’ambito dei rapporti di lavoro.
GPDR, garantire la privacy dei dati personali
Il GPDR – ai sensi dell’art. 1, paragrafo 2, in combinato disposto con il considerando – mira, in particolare, a garantire un livello elevato di protezione delle libertà e dei diritti fondamentali delle persone fisiche con riguardo al trattamento dei dati personali, diritto riconosciuto anche dall’art. 8 della Carta dei diritti fondamentali dell’Unione europea e strettamente connesso al diritto al rispetto della vita privata, sancito all’articolo 7 della stessa (v., in tal senso, sentenza del 1° agosto 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20).
Orbene, la Corte di Giustizia considera conforme a tale obiettivo un’interpretazione ampia dell’art. 88, paragrafo 1, del GPDR, secondo la quale le «norme più specifiche» che gli Stati membri possono prevedere per assicurare la protezione dei diritti e delle libertà con riguardo al trattamento dei dati personali dei dipendenti nell’ambito dei rapporti di lavoro possono riguardare tutti i dipendenti, indipendentemente dalla natura del rapporto giuridico che li lega al loro datore di lavoro.
In tali circostanze, dunque, un trattamento dei dati personali degli insegnanti in occasione della diffusione in diretta, tramite videoconferenza, delle lezioni da essi tenute nel contesto della scuola pubblica – come quello di cui trattasi nel procedimento principale – rientra nell’ambito di applicazione ratione materiae e ratione personae dell’articolo 88 del GPDR.
Possibilità di adottare “norme più specifiche”
La Corte di Giustizia ha precisato che il GPDR punta ad assicurare un’armonizzazione delle normative nazionali relative alla protezione dei dati personali che sia, in linea di principio, completa. Tuttavia, talune disposizioni del regolamento offrono la possibilità agli Stati membri di prevedere norme nazionali supplementari, più rigorose ovvero a carattere derogatorio, e lasciano a questi ultimi un margine di discrezionalità circa il modo in cui tali disposizioni possono essere attuate («clausole di apertura») (v., in tal senso, sentenza del 28 aprile 2022, Meta Platforms Ireland, C‑319/20).
Proprio l’articolo 88 del GPDR (capo IX intitolato «Disposizioni relative a specifiche situazioni di trattamento») costituisce una clausola di apertura di questo tipo, poiché conferisce agli Stati membri la facoltà di adottare «norme più specifiche» per assicurare la protezione dei diritti e delle libertà con riguardo al trattamento dei dati personali dei dipendenti nell’ambito dei rapporti di lavoro.
Nel caso di specie, riepilogando, la normativa regionale del Land tedesco, sulla cui base è stato attuato il trattamento privacy degli insegnanti, ricade nell’ambito delle “norme più specifiche” che gli Stati Ue possono prevedere, conformemente all’art. 88, paragrafo 1, GDPR.
Le particolarità del trattamento dei dati personali nell’ambito dei rapporti di lavoro e, di conseguenza, la facoltà conferita agli Stati membri dall’articolo 88, paragrafo 1, del GPDR si spiegano in particolare con l’esistenza di un vincolo di subordinazione tra il dipendente e il datore di lavoro e non con la natura del vincolo giuridico che lega il primo al secondo.
Riguardo alla formulazione dell’art. 88, par. 2, la Corte di Giustizia UE, ha affermato che dall’uso dei termini “più specifiche” risulta che le norme contemplate da tale disposizione devono avere un contenuto normativo proprio del settore regolamentato e distinto dalle norme generali di tale regolamento.
Le norme nazionali “più specifiche”
L’art. 88, paragrafo 2 circoscrive il margine di discrezionalità degli Stati membri che desiderano adottare «norme più specifiche» ai sensi del paragrafo 1.
In proposito, la Corte ha dichiarato:
|
- da un lato, che tali norme non possono limitarsi a ribadire le disposizioni del GPDR che prevedono le condizioni di liceità del trattamento dei dati personali nonché i principi del medesimo trattamento o a rinviare a tali condizioni e principi. Queste norme devono essere volte alla protezione dei diritti e delle libertà dei dipendenti per quanto riguarda il trattamento dei loro dati e contenere misure appropriate e specifiche a salvaguardia della dignità umana, degli interessi legittimi e dei diritti fondamentali degli interessati;
|
|
- dall’altro lato, un’attenzione particolare deve essere prestata per quanto riguarda la trasparenza del trattamento, il trasferimento di dati personali nell’ambito di un gruppo imprenditoriale o di un gruppo di imprese che svolge un’attività economica comune nonché i sistemi di monitoraggio sul posto di lavoro. Di conseguenza, per poter essere qualificata come «norma più specifica» ai sensi del paragrafo 1 dell’articolo 88 del GPDR, una norma giuridica deve soddisfare le condizioni poste dal paragrafo 2.
|
Cosa accade se le disposizioni nazionali sono incompatibili con le condizioni e i limiti previsti all’art. 88, paragrafi 1 e 2, del GPDR?
La Corte ricorda che spetta al giudice del rinvio, l’unico competente a interpretare il diritto nazionale, valutare se le disposizioni nazionali in questione rispettino le condizioni e i limiti stabiliti dall’articolo 88 del GPDR.
In caso di mancato rispetto da parte delle disposizioni nazionali delle condizioni e dei limiti stabiliti dall’articolo 88 del GPDR, il giudice del rinvio sarebbe tenuto, in linea di principio, a disapplicarle: infatti, in virtù del principio del primato del diritto dell’Unione, in assenza di norme più specifiche che rispettino le condizioni e i limiti stabiliti dall’articolo 88 del GPDR, il trattamento di dati personali nell’ambito dei rapporti di lavoro, tanto nel settore privato quanto nel settore pubblico, è direttamente disciplinato dalle disposizioni di questo regolamento.
A questo proposito, la Corte rileva che possono applicarsi a un trattamento di dati personali, come quello del procedimento in esame, altre disposizioni del GPDR, in forza delle quali il trattamento di dati personali è lecito qualora esso sia necessario, rispettivamente, per l’esecuzione di un compito svolto nel pubblico interesse o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento o per adempiere un obbligo legale al quale è soggetto il titolare del trattamento.
Per quanto riguarda queste due ipotesi di liceità, il GPDR:
|
- da un lato, prevede che il trattamento deve essere fondato sul diritto dell’Unione o sul diritto dello Stato membro cui è soggetto il responsabile del trattamento e,
|
|
- dall’altro lato, aggiunge che le finalità del trattamento sono determinate in tale base giuridica o sono necessarie per l’esecuzione di un compito svolto nel pubblico interesse o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento.
|
Di conseguenza, nel caso in cui il giudice del rinvio constati che le disposizioni nazionali relative al trattamento dei dati personali nell’ambito dei rapporti di lavoro non rispettano le condizioni e i limiti stabiliti dall’articolo 88, paragrafi 1 e 2, del GPDR, esso deve ulteriormente verificare se tali disposizioni costituiscano una base giuridica per il trattamento, contemplata da un altro articolo del GPDR, che rispetti i requisiti previsti da detto regolamento. In caso affermativo, l’applicazione di tali disposizioni nazionali non deve essere esclusa.
Consenso dei docenti e DAD in Italia durante la pandemia
A latere, ricordiamo che in Italia, il Garante Privacy, con il provvedimento del 26 marzo 2020, n. 64 “Didattica a distanza: prime indicazioni” (doc. web n. 9300784), aveva chiarito che “Non deve pertanto essere richiesto agli interessati (docenti, alunni, studenti, genitori) uno specifico consenso al trattamento dei propri dati personali funzionali allo svolgimento dell’attività didattica a distanza, in quanto riconducibile – nonostante tali modalità innovative – alle funzioni istituzionalmente assegnate a scuole ed atenei”: in sintesi, nel nostro Paese non si doveva richiedere ai “prof”, come neppure agli studenti e ai genitori, il consenso per la DAD perché il trattamento dei dati personali per tale fine rientrava nelle loro funzioni istituzionali. La sentenza del 30 marzo 2023 sembra confermare la conformità del nostro diritto interno alla normativa europea sulla privacy.
Riferimenti normativi:
Art. 6GDPR
Art. 88GDPR
Copyright © - Riproduzione riservata
