Il 19 dicembre 2024 la Corte di Giustizia dell’Unione Europea (CGUE) provvedendo sulla Causa C-65/23, MK contro K GmbH è intervenuta dirimendo alcune importanti questioni interpretative inerenti il rapporto tra GDPR e contratti collettivi nazionali di lavoro (CCNL).
Il caso specifico riguardava un dipendente di una società tedesca che contestava il trasferimento dei suoi dati personali negli Stati Uniti, effettuato tramite un software di contabilità gestionale SAP, ritenendolo in violazione sia del GDPR che delle normative interne aziendali.
La Corte ha sottolineato che le normative nazionali adottate ai sensi dell’articolo 88 del GDPR – e quind’anche quelle emanate via contrattazione collettiva – devono rispettare non solo i requisiti specifici di tale articolo, ma anche i principi generali del regolamento, inclusi gli articoli 5, 6 par.1 e 9 par.1 e 2.
In particolare, la Corte ha chiarito che:
- le parti stipulanti un CCNL, pur avendo conoscenze specifiche del contesto lavorativo, non possono introdurre deroghe che riducano i criteri di necessarietà del trattamento dei dati personali o che violino i principi generali del GDPR;
- in caso di contrasto tra le disposizioni di un CCNL e il GDPR, le prime devono quindi essere disapplicate dal giudice nazionale che ne rilevi la difformità dalla normativa di privacy europea.
In sintesi, la sentenza ribadisce il primato del GDPR sulle normative nazionali e sui contratti collettivi, stabilendo che le disposizioni di questi ultimi devono essere conformi al regolamento europeo in materia di protezione dei dati personali.
