PROVE RACCOLTE IN VIOLAZIONE DEL GDPR: PER LA CORTE DI GIUSTIZIA UE NON SONO AUTOMATICAMENTE INUTILIZZABILI NEL PROCESSO CIVILE

Un documento ottenuto attraverso un trattamento illecito di dati personali può essere utilizzato come prova in un processo civile? La violazione del GDPR non comporta automaticamente l’inutilizzabilità della prova. È questo il principio affermato dalla Corte di Giustizia dell’Unione europea con la sentenza del 18 giugno 2026, causa C-484/24, destinata ad assumere rilievo anche nell’ordinamento italiano. La Corte chiarisce che il diritto alla protezione dei dati personali, pur essendo un diritto fondamentale, non ha carattere assoluto e deve essere bilanciato con altri diritti fondamentali, tra cui il diritto a un ricorso effettivo e il diritto di difesa. Il GDPR, quindi, disciplina la liceità del trattamento dei dati ma non introduce una regola generale secondo cui ogni prova acquisita attraverso un trattamento illecito debba essere automaticamente esclusa dal giudizio. Spetta al giudice nazionale valutarne l’ammissibilità secondo le regole processuali applicabili, continuando però a rispettare, nell’utilizzo dei dati all’interno del processo, i principi di necessità, proporzionalità e minimizzazione.

IL CASO: L’ACCESSO ALL’ACCOUNT PRIVATO DELL’EX DIPENDENTE

La controversia nasce in Germania nell’ambito di una causa promossa da un’azienda nei confronti di una ex dipendente, accusata di essersi appropriata di beni aziendali per rivenderli online.

Per individuare le vendite, l’impresa aveva effettuato l’accesso, senza il consenso dell’interessata, al suo account privato su una piattaforma di e-commerce.

Da questa attività erano state ottenute informazioni che l’azienda intendeva utilizzare nell’ambito del procedimento giudiziario.

La questione sottoposta alla Corte europea era quindi particolarmente delicata: l’eventuale illiceità del trattamento dei dati personali compiuto per acquisire le informazioni rende necessariamente inutilizzabili quelle stesse informazioni davanti al giudice?

IL GDPR NON PREVEDE UNA REGOLA GENERALE DI ESCLUSIONE DELLA PROVA

La risposta della Corte è negativa.

Secondo la pronuncia, il GDPR non contiene una disposizione che imponga al giudice di dichiarare automaticamente inutilizzabili le prove raccolte attraverso un trattamento illecito di dati personali.

L’ammissibilità della prova rimane quindi soggetta alle regole processuali applicabili nell’ordinamento nazionale.

È una distinzione fondamentale: stabilire che un trattamento di dati sia avvenuto in violazione del GDPR e stabilire che il materiale ottenuto non possa essere utilizzato nel processo sono due valutazioni differenti.

La violazione della disciplina privacy, dunque, non produce di per sé una generale esclusione probatoria.

PRIVACY E DIRITTO DI DIFESA DEVONO ESSERE BILANCIATI

Alla base della decisione vi è il rapporto tra diversi diritti fondamentali.

La Corte ribadisce che il diritto alla protezione dei dati personali non è assoluto e deve essere considerato in relazione alla sua funzione sociale e agli altri diritti riconosciuti dall’ordinamento europeo.

Nel caso esaminato, il bilanciamento coinvolge la protezione dei dati, da un lato, e il diritto a un ricorso effettivo e il diritto di difesa, dall’altro.

Il GDPR non può quindi essere interpretato come uno strumento che impedisca automaticamente l’accertamento dei fatti all’interno del processo.

Ciò non significa, però, che l’ingresso dei dati nel fascicolo giudiziario elimini le garanzie previste dal Regolamento.

ANCHE IL GIUDICE EFFETTUA UN TRATTAMENTO DEI DATI

È questo uno dei passaggi più interessanti della sentenza.

Quando acquisisce e utilizza documenti contenenti dati personali, il giudice effettua a sua volta un trattamento e deve rispettare i principi previsti dal GDPR.

L’eventuale ammissibilità della prova, pertanto, non significa che tutti i dati presenti nel documento possano essere utilizzati e diffusi senza limiti.

Il magistrato deve verificare se le informazioni contenute siano effettivamente necessarie ai fini della controversia e valutare se i dati eccedenti possano essere oscurati o anonimizzati.

ATTENZIONE AI DATI DI TERZI ESTRANEI ALLA CAUSA

La questione assume particolare importanza quando il documento contiene informazioni relative a persone che non partecipano al giudizio.

Secondo quanto riportato nell’approfondimento allegato, il giudice deve prestare particolare attenzione ai dati eccedenti rispetto all’oggetto della controversia e ai dati personali riferiti a soggetti estranei al procedimento.

Un documento può quindi essere rilevante come prova senza che ciò renda necessaria la conoscibilità di ogni informazione presente al suo interno.

È qui che i principi di minimizzazione e proporzionalità assumono una funzione concreta: mantenere e rendere accessibili soltanto le informazioni effettivamente necessarie.

PUBBLICAZIONE DELLE SENTENZE: LA PRIVACY CONTINUA DOPO IL PROCESSO

La Corte dedica attenzione anche alla successiva circolazione delle informazioni.

Il problema non riguarda infatti soltanto l’acquisizione della prova, ma anche ciò che accade quando i dati vengono comunicati alle parti e, soprattutto, quando una decisione giudiziaria viene resa pubblica.

Secondo la fonte allegata, il giudice deve limitare la diffusione alle sole informazioni indispensabili, ricorrendo quando necessario all’anonimizzazione totale o parziale.

Particolare tutela deve essere garantita ai terzi estranei alla controversia. Il giudice è chiamato a verificare anche d’ufficio la presenza di informazioni personali non necessarie prima della loro diffusione.

COSA CAMBIA PER IL PROCESSO CIVILE ITALIANO

La sentenza può assumere particolare rilevanza anche nell’ordinamento italiano.

L’articolo allegato richiama espressamente l’art. 160-bis del Codice Privacy, che demanda al giudice la valutazione relativa a validità, efficacia e utilizzabilità nel procedimento giudiziario di atti, documenti e provvedimenti basati su trattamenti di dati personali non conformi alla normativa.

Il principio europeo rafforza quindi la necessità di evitare automatismi: l’esistenza di una violazione privacy non risolve da sola la questione processuale dell’utilizzabilità della prova.

Sarà il giudice a dover effettuare la valutazione alla luce della disciplina applicabile.

CONTROLLI SUI LAVORATORI: POSSIBILI CONSEGUENZE ANCHE SULL’ART. 4 DELLO STATUTO

La pronuncia potrebbe avere riflessi anche sul delicato tema dei controlli a distanza dei lavoratori.

Il documento richiama l’art. 4 dello Statuto dei lavoratori, secondo cui le informazioni raccolte attraverso strumenti dai quali possa derivare anche la possibilità di controllo a distanza possono essere utilizzate per i fini connessi al rapporto di lavoro soltanto nel rispetto della normativa sulla protezione dei dati personali.

La sentenza pone quindi una questione rilevante: in quale misura i principi elaborati dalla Corte potranno incidere sull’utilizzo giudiziario di prove ottenute attraverso controlli datoriali realizzati in violazione della disciplina privacy?

L’approfondimento allegato non fornisce una risposta definitiva e segnala proprio questo aspetto come uno dei profili sui quali sarà necessario verificare la futura interpretazione della giurisprudenza.

GDPR E PROCESSO: IL PRINCIPIO È LA PROPORZIONALITÀ

La sentenza C-484/24 chiarisce un equivoco importante: trattamento illecito e inutilizzabilità processuale non sono sinonimi.

Il GDPR tutela i dati personali, ma non introduce una regola generale che impedisca al giudice di valutare una prova soltanto perché ottenuta attraverso un trattamento non conforme al Regolamento.

Una volta che i dati entrano nel procedimento, tuttavia, il loro utilizzo deve continuare a rispettare i principi europei: occorre limitare il trattamento alle informazioni necessarie, proteggere i dati dei terzi e ridurre la diffusione di elementi eccedenti.

Il giudice assume quindi un ruolo centrale nel bilanciamento tra protezione dei dati, accertamento dei fatti e diritto di difesa.