Dati personali, che potrebbero essere state raccolte in modo illegittimo, non sono automaticamente prive di valore processuale. Lo ha chiarito la Corte di giustizia dell’Unione europea nella sua sentenza del 18 giugno 2026 nella causa C-484/24. Al centro del procedimento vi era la questione se un tribunale possa prendere in considerazione prove che Dati personali contenuti, sebbene tali dati possano essere stati forniti da una delle parti in causa in Violazione contro il GDPR sono state ottenute. La risposta della Corte di giustizia dell’Unione europea riveste grande importanza nella pratica: una violazione della protezione dei dati non comporta necessariamente il divieto di ammissibilità delle prove. È invece determinante che il giudice Elaborazione il trattamento dei dati si basi su una propria base giuridica, avvenga in un quadro procedurale sufficientemente prevedibile e rispetti i requisiti della GDPR devono essere rispettate nel corso del procedimento giudiziario.
Il datore di lavoro potrebbe accedere all'account eBay privato
Il procedimento era basato su una controversia in materia di diritto del lavoro. La NTH Haustechnik GmbH chiedeva un risarcimento danni alla propria ex dipendente, accusandola di aver venduto, tramite un account eBay privato, oggetti che, secondo l’azienda, erano di proprietà del datore di lavoro. Il danno rivendicato ammontava a oltre 46.000 euro.
A suscitare scalpore, tuttavia, non è stata solo l’accusa in sé, ma anche la questione di come l’azienda fosse venuta a conoscenza di tali informazioni. Secondo il tribunale di rinvio, la datrice di lavoro era venuta a conoscenza delle vendite accedendo all’account eBay privato dell’ex dipendente. A tal fine avrebbe utilizzato, tra l’altro, la cronologia di navigazione di un computer aziendale e una password proveniente da una „cartella famiglia“ su un Server abbiano avuto un ruolo. La lavoratrice ha contestato tale versione dei fatti, sostenendo che l'accesso al suo conto privato fosse avvenuto in modo illegittimo.
Il Tribunale regionale del lavoro della Bassa Sassonia non ha accertato in via definitiva l’illegittimità della raccolta dei dati. Ha tuttavia ritenuto possibile che il datore di lavoro avesse ottenuto i dati in modo illegittimo. Proprio per questo motivo ha chiesto alla Corte di giustizia dell’Unione europea (CGUE) se tali dati possano comunque essere utilizzati nel procedimento dinanzi al tribunale del lavoro.
Una violazione del GDPR comporta automaticamente l’esclusione delle prove?
La Corte di giustizia dell’Unione europea chiarisce innanzitutto che: La GDPR in linea di principio vale anche per i tribunali, qualora questi Dati personali trattare. Ciò può verificarsi, ad esempio, quando un tribunale inserisce documenti contenenti dati personali nel fascicolo processuale, archivia prove digitali, le analizza o ne tiene conto nel processo decisionale.
Allo stesso tempo, la Corte di giustizia dell’Unione europea distingue chiaramente due livelli. Il primo livello riguarda la raccolta iniziale dei dati da parte di un soggetto, in questo caso l’accesso, potenzialmente illegale, da parte del datore di lavoro all’account eBay privato della dipendente. Tale raccolta di dati potrebbe essere stata illegale. Il secondo livello riguarda la successiva Elaborazione da parte del tribunale nell’ambito del procedimento. Tale decisione giudiziaria Elaborazione deve essere valutato autonomamente.
È proprio questo il punto cruciale della sentenza: anche se una parte Dati personali Il fatto che i dati siano stati ottenuti in modo illegale non implica automaticamente che il tribunale non possa utilizzarli. Il tribunale non tratta i dati perché approva la precedente raccolta degli stessi, ma perché, nell’ambito dei propri compiti previsti dalla legge, deve pronunciarsi su fatti, prove e pretese.
Nessun divieto automatico di ammissibilità delle prove
La sentenza non deve tuttavia essere interpretata nel senso che i dati ottenuti in modo illegale siano sempre ammissibili in sede giudiziaria. La Corte di giustizia dell’Unione europea non afferma che ogni elemento di prova acquisito in violazione della normativa sulla protezione dei dati debba essere utilizzato. Piuttosto, chiarisce che il GDPR non stabilisce un divieto generale e automatico di ammissione delle prove.
L’ammissibilità e la valutazione delle prove rimangono, in linea di principio, di competenza del diritto processuale nazionale. Tale diritto processuale deve tuttavia essere compatibile con il diritto dell’Unione. Pertanto, la Corte di giustizia dell’Unione europea richiede che esista un quadro sufficientemente chiaro, preciso e prevedibile, dal quale risulti in quali circostanze e a quali condizioni i giudici possano ammettere prove che Dati personali contenute, possono essere utilizzate. Tale quadro può derivare non solo dalla legge scritta, ma anche dalla giurisprudenza nazionale, purché questa sia chiara, precisa e prevedibile.
Ciò è particolarmente rilevante per la Germania, poiché il Codice di procedura civile (ZPO) non contiene una disciplina dettagliata ed esplicita per ogni possibile categoria di dati personali ottenuti in modo illecito. La Corte di giustizia dell’Unione europea non ritiene che ciò sia a priori inammissibile. Essa richiede tuttavia che la giurisprudenza nazionale definisca in modo sufficientemente prevedibile i presupposti per l’utilizzo giudiziario di tali mezzi di prova, perseguendo nel contempo in modo proporzionato un obiettivo di interesse pubblico.
Base giuridica per il trattamento dei dati a fini giudiziari
La Corte di giustizia dell'Unione europea sostiene la Elaborazione dei dati personali nei procedimenti giudiziari, in particolare all’articolo 6, paragrafo 1, primo comma, lettera c) GDPR. Di conseguenza, una Elaborazione è legittimo se necessario per l'adempimento di un obbligo giuridico. Un tale obbligo sussiste, ad esempio, per i tribunali nel decidere in merito all'ammissibilità dei mezzi di prova e nel valutare le prove ammissibili ai fini della decisione.
In tal modo, la Corte di giustizia dell’Unione europea respinge al contempo un’altra motivazione. Art. 17, par. 3, lett. e GDPR non costituisce una base giuridica autonoma per la Elaborazione . Questa disposizione stabilisce semplicemente che non sussiste alcun diritto alla cancellazione qualora la Elaborazione sia necessario per far valere, esercitare o difendere diritti legali. Da ciò non ne consegue tuttavia automaticamente che ogni tale Elaborazione è legittimo. La verifica effettiva della legittimità rimane quindi di competenza dell’art. 6 GDPR.
In pratica, ciò significa che chi in tribunale si appella a Dati personali non può invocare in modo generico il fatto che i dati sarebbero necessari per la difesa in giudizio. È determinante stabilire se la Elaborazione si basi su una solida base giuridica dinanzi al tribunale e che siano rispettati gli altri principi in materia di protezione dei dati.
Perché i dati ottenuti in modo illegale possono comunque essere utilizzabili
La Corte di giustizia dell’Unione europea motiva la propria decisione soprattutto con il diritto a un processo equo ai sensi dell’articolo 47 della Carta dei diritti fondamentali dell’Unione europea. Secondo tale disposizione, le parti di un procedimento giudiziario devono, in linea di principio, essere in grado di esporre e dimostrare effettivamente le proprie pretese o eccezioni. Se ogni violazione della protezione dei dati comportasse automaticamente l’inammissibilità, ciò potrebbe compromettere in modo significativo l’effettiva tutela giuridica.
La normativa sulla protezione dei dati non è quindi un elemento isolato rispetto al diritto processuale. Deve essere conciliata con altri diritti fondamentali. Il diritto alla protezione dei dati personali sancito dagli articoli 7 e 8 della Carta è certamente importante, ma non è un diritto illimitato. Può entrare in conflitto con il diritto alla tutela giurisdizionale.
La Corte di giustizia dell’Unione europea non afferma quindi che le violazioni della protezione dei dati siano irrilevanti. Afferma piuttosto che una violazione della protezione dei dati nella fase di acquisizione delle prove non comporta automaticamente che il tribunale debba ignorare tale elemento di prova. Il giudizio Elaborazione persegue infatti un proprio obiettivo legittimo: lo svolgimento di un procedimento equo e la corretta risoluzione della controversia.
Nessun via libera alla raccolta illegale di dati
La sentenza non deve tuttavia essere interpretata erroneamente come un via libera. Le imprese non possono dedurne che Dati personali possono raccogliere qualsiasi dato, solo perché in seguito potrebbero rivelarsi utili in tribunale.
La Corte di giustizia dell’Unione europea opera una chiara distinzione tra l’eventuale illegittimità della raccolta iniziale dei dati e il loro successivo utilizzo in sede giudiziaria. Una raccolta di dati non consentita può comunque avere conseguenze. Si possono ad esempio configurare richieste di risarcimento danni ai sensi dell’art. 82 GDPR, provvedimenti delle autorità di vigilanza o sanzioni pecuniarie ai sensi dell’art. 83 GDPR. Anche i tribunali nazionali possono continuare a valutare, caso per caso, se ai sensi del diritto nazionale sussista un divieto di ammissione delle prove.
La decisione non implica quindi che i dati ottenuti in modo illegale debbano sempre essere utilizzati. Significa semplicemente che il GDPR non stabilisce un divieto generale e automatico di ammissione delle prove.
La minimizzazione dei dati rimane importante anche nel corso del processo
Un altro punto importante della sentenza è che, nel trattamento dei dati personali, il tribunale deve continuare ad attenersi al principio di Minimizzazione dei dati da tenere presente. Ai sensi dell’art. 5, comma 1, lettera c) GDPR Possono essere trattati solo i dati che siano adeguati, pertinenti e necessari per la finalità specifica.
La Corte di giustizia dell’Unione europea non richiede tuttavia che i tribunali, in ogni singolo caso, Elaborazione effettuare inoltre una valutazione approfondita della proporzionalità. Nella fase di verifica dell’ammissibilità e della rilevanza di un elemento di prova, il tribunale può, in linea di principio, trattare i dati necessari a tal fine. Tuttavia, una volta che il tribunale ha dichiarato ammissibili i documenti e li ha inseriti nel fascicolo, oppure li ha resi noti alle parti, a terzi o in una decisione, deve verificare se i dati siano effettivamente necessari in tale misura.
Ciò comporta conseguenze pratiche. Un tribunale non può Dati personali non possono essere divulgati senza limiti né riportati in una decisione solo perché contenuti in un elemento di prova. Prima di procedere alla divulgazione alle parti o a terzi, occorre verificare se i dati siano effettivamente necessari. Se del caso, si ricorre a misure di protezione quali l’oscuramento, Anonimizzazione o Pseudonimizzazione da prendere in considerazione.
Ciò vale in particolare quando gli elementi di prova contengono anche dati di terzi non coinvolti. Nel caso in esame, ad esempio, avrebbero potuto essere interessati i dati degli acquirenti di eBay. La Corte di giustizia dell’Unione europea chiarisce che, anche nel trattare tali informazioni relative a terzi, i tribunali devono attenersi alle GDPR sono vincolati.
Gli obblighi di informazione ai sensi dell’art. 13 del GDPR non impediscono automaticamente il trattamento dei dati
La Corte di giustizia dell’Unione europea esamina inoltre la questione se un Violazione in contrasto con quanto previsto dall’art. 13 GDPR stabiliti Obbligo di informazione ciò comporta che un tribunale non possa utilizzare i dati. Anche in questo caso la risposta è sfumata. Se una parte o un terzo Obbligo di informazione Il mancato rispetto degli obblighi in materia di raccolta dei dati può certamente costituire una violazione della protezione dei dati. Tuttavia, ciò non impedisce automaticamente al tribunale di utilizzare tali dati nell’ambito della propria attività giudiziaria.
Anche questo punto è in linea con la linea guida della sentenza. Gli errori in materia di protezione dei dati commessi al momento della raccolta iniziale non comportano automaticamente un divieto di utilizzo in sede processuale.
Significato della sentenza della Corte di giustizia dell'Unione europea per i datori di lavoro
Per i datori di lavoro la sentenza è particolarmente rilevante, poiché molte controversie dinanzi al tribunale del lavoro si basano su tracce digitali: e-mail, cronologie di navigazione, file di log, messaggi di messaggistica istantanea, registri di accesso o dati delle piattaforme. La sentenza garantisce una maggiore certezza giuridica nei casi in cui tali prove digitali Dati personali sono contenuti e la loro raccolta è controversa dal punto di vista della protezione dei dati.
Allo stesso tempo, aumenta la pressione sulle aziende affinché documentino in modo esaustivo perché sono stati raccolti i dati, su quale base giuridica ciò sia avvenuto e perché i Elaborazione era necessario. Chiunque ottenga prove in modo illegale continua a rischiare sanzioni in materia di protezione dei dati e richieste di risarcimento danni. Inoltre, resta da vedere se, in un caso concreto, i tribunali nazionali possano applicare il divieto di ammissibilità delle prove per altri motivi.
Nella pratica è quindi consigliabile effettuare una doppia verifica: in primo luogo, prima della raccolta dei dati occorre chiarire se la misura sia ammissibile ai sensi della normativa sulla protezione dei dati. In secondo luogo, nel corso del procedimento occorre verificare quali dati siano effettivamente necessari e se sia possibile oscurare le informazioni sensibili, superflue o irrilevanti ai fini della controversia.
Fonte: Sentenza della Corte di giustizia dell’Unione europea C-484/24 (NTH Haustechnik) del 18 giugno 2026
Aristotelis Zervos è direttore editoriale presso 2B Advice, giurista e giornalista con una profonda competenza in Protezione dei dati, GDPRconformità informatica e governance dell'IA. Pubblica regolarmente articoli di approfondimento sulla regolamentazione dell'IA, sulla conformità al GDPR e sulla gestione del rischio. Per saperne di più su di lui, visitate il sito Pagina del profilo dell'autore.
German 
English 
Italian 
French