Corte di Giustizia UE: dati personali acquisiti illecitamente, non sono sempre inutilizzabili in giudizio.

La Corte di giustizia dell’Unione europea è intervenuta su un tema molto rilevante per il contenzioso civile e del lavoro: l’utilizzo in giudizio di documenti o informazioni contenenti dati personali, anche quando tali dati siano stati acquisiti in modo potenzialmente illecito da una delle parti.

Con la sentenza del 18 giugno 2026, resa nella causa C-484/24, NTH Haustechnik GmbH c. EM, la Corte ha chiarito che il GDPR non impone automaticamente l’esclusione dal processo di una prova solo perché contiene dati personali raccolti o ottenuti in violazione della normativa privacy. La valutazione spetta al giudice nazionale, che deve applicare regole processuali chiare, precise e prevedibili, assicurando al tempo stesso il rispetto dei principi del GDPR.

La vicenda nasceva da una controversia di lavoro in Germania tra un datore di lavoro e un ex dipendente, relativa a presunte vendite online non autorizzate di beni aziendali. Il giudice nazionale aveva chiesto alla Corte di giustizia se potesse utilizzare, nel processo, dati personali prodotti come prova, nonostante dubbi sulla liceità della loro originaria raccolta o acquisizione.

La Corte ha affermato un principio di equilibrio: la protezione dei dati personali non può essere ignorata nel processo, ma neppure può tradursi in una regola automatica di inutilizzabilità della prova. Il giudice deve verificare se l’utilizzo dei dati sia necessario per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria e deve limitare la diffusione delle informazioni personali a quanto effettivamente indispensabile per decidere la controversia.

Un passaggio importante riguarda l’art. 17, paragrafo 3, lettera e), del GDPR. Tale disposizione limita il diritto alla cancellazione quando il trattamento dei dati è necessario per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria. Tuttavia, secondo la Corte, questa norma non costituisce una base giuridica autonoma per qualsiasi trattamento processuale di dati personali. Il trattamento deve comunque trovare fondamento nelle regole generali del GDPR, in particolare negli articoli 5 e 6, e, se del caso, nelle garanzie previste per particolari categorie di dati.

La decisione è rilevante perché conferma che il processo civile e del lavoro resta soggetto al GDPR. I giudici, quando trattano dati personali delle parti o di terzi, devono rispettare i principi di liceità, minimizzazione, proporzionalità e limitazione della conservazione. Devono inoltre adottare misure idonee a ridurre l’impatto sui diritti degli interessati, ad esempio limitando l’accesso ai documenti, oscurando dati non necessari o circoscrivendo l’uso delle informazioni alla sola finalità processuale.

In termini pratici, la sentenza chiarisce ad imprese, datori di lavoro e professionisti che - da un lato - la documentazione utile alla difesa in giudizio può avere rilevanza anche se contiene dati personali; dall’altro lato, che la raccolta preventiva e la produzione processuale di tali dati devono essere gestite con estrema cautela, perché il giudice dovrà verificare necessità, proporzionalità e impatto sui diritti privacy delle persone coinvolte.