Fatti e contesto del procedimento
Nel procedimento deciso dalla Corte federale del lavoro con il numero di protocollo 8 AZR 209/21, al centro dell’attenzione erano i presupposti e i limiti degli obblighi informativi di un datore di lavoro ai sensi dell’art. 15 del Regolamento generale sulla protezione dei dati (GDPR). Il caso riguardava un lavoratore che, dopo la cessazione del rapporto di lavoro, richiedeva al suo ex datore di lavoro informazioni su quali dati personali fossero stati trattati nell’ambito della sua occupazione. Oltre a ciò, il ricorrente chiedeva la consegna di copie dei relativi documenti.
La controversia specifica riguardava la portata delle informazioni che il datore di lavoro, nel rispetto della normativa sulla protezione dei dati, è tenuto a fornire. In particolare, era contestato in quale misura possano essere richieste copie di documenti e se esista l’obbligo di presentare tutta la corrispondenza interna, e-mail e appunti che riguardano il lavoratore.
Aspetti giuridici della richiesta di informazioni ai sensi dell’art. 15 GDPR
Portata dell’obbligo informativo secondo il GDPR
L’art. 15 GDPR conferisce agli interessati il diritto di ottenere informazioni complete sui dati a loro riferiti che sono stati memorizzati, nonché di ricevere una copia di tali dati. Decisivo è l’ampiezza di tale obbligo informativo e il livello di dettaglio necessario. Nella prassi lavorativa ciò assume notevole importanza, poiché spesso vengono gestiti dati sensibili e voluminosi relativi ai dipendenti.
La giurisprudenza ha ripetutamente sottolineato che l’informazione non implica che all’interessato debbano essere messi a disposizione, senza limitazioni, tutti i documenti esistenti in azienda. Occorre piuttosto distinguere tra dati personali che devono essere comunicati in virtù del diritto di accesso, e ulteriori documenti che non vi rientrano – in particolare se si tratta solo di valutazioni interne o annotazioni che sono collegate solo indirettamente al lavoratore.
Limiti e interessi da tutelare
Nell’ambito della valutazione della portata del diritto di accesso, occorre tenere in debito conto anche la tutela di altri soggetti interessati e di legittimi interessi aziendali, come i segreti commerciali o i processi interni. Il GDPR stesso prevede che si debbano considerare i diritti e le libertà di terzi (cfr. art. 15 par. 4 GDPR).
La Corte federale del lavoro ha inoltre sottolineato che il diritto di accesso non deve comportare che il datore di lavoro sia costretto a rivelare senza eccezione qualsiasi corrispondenza, appunto di colloquio o comunicazione interna. È invece determinante verificare se e in quale misura determinati documenti contengano effettivamente “dati personali” che rientrano nella richiesta. Deve essere valutato caso per caso se i dati siano rilevanti per il richiedente e se vi siano interessi meritevoli di tutela di terzi contrari.
Requisiti per la consegna di copie dei documenti
La questione relativa al grado in cui possono essere richieste copie di documenti è di grande rilevanza pratica sia per i datori di lavoro che per i lavoratori. Una consegna può essere giustificata soprattutto se i documenti interessati sono disponibili in modo largamente automatizzato o possono essere messi a disposizione con facilità organizzativa. La consegna di “tutti” i documenti, note o e-mail memorizzati in azienda non è, secondo l’interpretazione della Corte federale del lavoro, automaticamente richiesta dal GDPR.
L’obbligo di consegna presuppone solitamente che vi sia una connessione concreta con la richiesta e che i documenti contengano effettivamente dati personali. Secondo la giurisprudenza superiore, richieste generiche di consegna trovano i loro limiti, in particolare se ciò dovesse comportare un onere sproporzionato a causa dell’esame di fascicoli molto voluminosi.
Contestualizzazione e rilevanza per la prassi
Implicazioni per lavoratori e aziende
La decisione della Corte federale del lavoro evidenzia l’importanza di un approccio equilibrato alle richieste di accesso nel rapporto di lavoro. Le aziende sono chiamate a verificare i propri processi affinché da un lato soddisfino le legittime richieste di trasparenza dei dipendenti, attuali o ex, dall’altro però tutelino anche gli interessi aziendali e la protezione dei dati di terzi.
I lavoratori, dal canto loro, possono dedurre dalla decisione che il loro diritto di accesso non è illimitato, ma va esercitato in base alla finalità del diritto stesso e nell’ambito delle norme di legge.
Attuazione pratica e sfide
Proprio con riferimento al trattamento e alla conservazione dei dati personali, è consigliabile valutare regolarmente i processi esistenti di documentazione e archiviazione. La complessità giuridica di tali richieste di accesso richiede generalmente un’accurata valutazione caso per caso, nella quale occorre considerare sia le esigenze della normativa sulla protezione dei dati sia gli interessi aziendali e organizzativi.
Conclusione
La decisione della Corte federale del lavoro (8 AZR 209/21) rappresenta un ulteriore chiarimento sulla portata dei diritti di accesso nell’ambito lavorativo secondo il GDPR e sottolinea la necessità di una valutazione differenziata dei rispettivi interessi. L’obbligo di informazione da parte del datore di lavoro è ampio, ma trova i suoi limiti, tra l’altro, nel principio di proporzionalità e nella tutela dei diritti di terzi e degli interessi aziendali.
Nota per aziende e lavoratori
Qualora nell’ambito di rapporti di lavoro esistenti o conclusi sorgano dubbi sulla portata e sull’attuazione dei diritti di accesso secondo il GDPR, un supporto legale personalizzato può aiutare ad affrontare efficacemente le esigenze normative. Il team di MTR Legal è a disposizione, nell’ambito della propria attività, di aziende e privati per una consulenza riservata e orientata alla soluzione.
Fonte: Bundesarbeitsgericht, sentenza del 16/2/2023 – 8 AZR 209/21
