Sentenza della Corte UE del 18 giugno 2026 Causa C-484/24
Con la sentenza del 18 giugno 2026 (causa C-484/24), la Corte di Giustizia dell’Unione europea affronta una questione di notevole interesse pratico: se dati personali acquisiti in violazione della normativa sulla protezione dei dati possano essere utilizzati come prova in un procedimento giudiziario. La pronuncia si colloca nel delicato punto di equilibrio tra il diritto alla protezione dei dati personali, garantito dagli articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione europea, e il diritto a un equo processo sancito dall’articolo 47 della medesima Carta.
La vicenda trae origine da una controversia di lavoro instaurata in Germania. Un datore di lavoro aveva acquisito informazioni relative alle vendite effettuate dalla propria ex dipendente tramite un account personale eBay, accedendo a dati che il giudice nazionale non escludeva fossero stati ottenuti in modo illecito. Il rinvio pregiudiziale ha offerto alla Corte l’occasione di chiarire quale sia il rapporto tra l’eventuale illegittimità della raccolta dei dati e la loro successiva utilizzabilità nel giudizio.
Il primo principio affermato è che anche il giudice, nell’esercizio delle proprie funzioni, può effettuare un “trattamento” di dati personali ai sensi del GDPR. L’acquisizione di documenti, la loro conservazione nel fascicolo processuale, la consultazione e l’utilizzo ai fini decisori costituiscono infatti operazioni riconducibili alla nozione di trattamento prevista dall’articolo 4, n. 2, del regolamento. Di conseguenza, l’attività giurisdizionale non è sottratta, in quanto tale, all’applicazione del GDPR.
La Corte precisa inoltre che la base giuridica di tali trattamenti deve essere individuata nell’articolo 6, paragrafo 1, lettera c), GDPR, relativo ai trattamenti necessari per adempiere un obbligo legale. Nel caso dell’attività giurisdizionale, l’obbligo consiste nel dovere del giudice di esaminare i fatti allegati dalle parti, valutare l’ammissibilità delle prove e tenerne conto ai fini della decisione.
Particolarmente significativa è la presa di posizione sull’articolo 17, paragrafo 3, lettera e), GDPR. Tale disposizione stabilisce che il diritto alla cancellazione non si applica quando il trattamento sia necessario per accertare, esercitare o difendere un diritto in sede giudiziaria. Secondo la Corte, però, essa non costituisce una base autonoma di liceità del trattamento. Si tratta soltanto di un’eccezione al cosiddetto diritto all’oblio e non di una condizione ulteriore rispetto a quelle tassativamente elencate dall’articolo 6 del regolamento
Il passaggio centrale della decisione riguarda tuttavia l’utilizzabilità processuale dei dati acquisiti illecitamente. La Corte esclude che il GDPR contenga un divieto generale e assoluto di utilizzo in giudizio di prove fondate su dati personali raccolti in violazione delle regole sulla privacy. In particolare, viene affermato che l’eventuale illiceità della raccolta del dato da parte di una delle parti del processo non si trasferisce automaticamente sul successivo trattamento compiuto dal giudice nell’esercizio della funzione giurisdizionale.
La distinzione è di grande rilievo. Una cosa è la liceità del comportamento tenuto dalla parte che ha acquisito o conservato i dati; altra cosa è il trattamento effettuato dal giudice quando, in adempimento del proprio dovere istituzionale, deve valutare l’ammissibilità e la rilevanza delle prove prodotte. Il trattamento compiuto dall’autorità giudiziaria risponde infatti alla finalità pubblicistica di assicurare una corretta amministrazione della giustizia e di garantire il diritto fondamentale a un equo processo
Ciò non significa, tuttavia, che il GDPR diventi irrilevante nel contesto processuale. La Corte richiama il principio di minimizzazione dei dati sancito dall’articolo 5, paragrafo 1, lettera c), GDPR, secondo cui i dati trattati devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità perseguite. Il giudice, pertanto, è tenuto a verificare che i dati utilizzati siano effettivamente necessari alla decisione della controversia e, soprattutto, deve adottare adeguate cautele nel momento in cui tali dati vengano divulgati alle parti o a terzi. In tale prospettiva assumono rilievo strumenti quali l’anonimizzazione, la pseudonimizzazione o l’oscuramento delle informazioni non indispensabili.
La pronuncia presenta evidenti ricadute operative. Da un lato, conferma che eventuali violazioni del GDPR poste in essere nella fase di raccolta o conservazione dei dati possono continuare a produrre conseguenze sul piano risarcitorio o sanzionatorio, anche ai sensi degli articoli 82 e 83 del regolamento. Dall’altro lato, chiarisce che tali violazioni non determinano automaticamente l’inutilizzabilità della prova nel processo.
La sentenza sembra dunque inserirsi in un orientamento volto a evitare automatismi espulsivi e a privilegiare una logica di bilanciamento tra i diritti fondamentali coinvolti. Il GDPR non viene trasformato in uno strumento processuale destinato a neutralizzare ogni elemento probatorio ottenuto in modo irregolare; al contrario, la Corte valorizza la funzione del giudice quale garante di un utilizzo dei dati limitato a quanto strettamente necessario per l’accertamento dei fatti e per la tutela effettiva dei diritti in giudizio.
