Corte di giustizia UE/2025

62024CC0484 CONCLUSIONI DELL’[OSCURATO:PERSONA] presentate il 16 ottobre 2025 ( 1 ) Causa C‑484/24 NTH Haustechnik GmbH contro [OSCURATO:PERSONA] [domanda di pronuncia pregiudiziale proposta dal [OSCURATO:PERSONA] (tribunale superiore del lavoro del [OSCURATO:PERSONA], [OSCURATO:PERSONA])] «Rinvio pregiudiziale – Protezione dei dati personali – Liceità del trattamento di dati nell’ambito di un procedimento giudiziario in materia di lavoro – Dati raccolti dal datore di lavoro al fine di dimostrare un grave inadempimento del dipendente ai suoi obblighi – Trattamento di elementi di prova ottenuti in modo illegittimo – Principio di limitazione della conservazione – Autonomia procedurale degli [OSCURATO:PERSONA] membri» Introduzione 1. La questione pregiudiziale oggetto delle presenti conclusioni mirate, come richiesto dalla Corte, verte sull’interpretazione dell’articolo 5, paragrafo 1, lettera e), del regolamento (UE) 2016/679 ( 2 ). La Corte è in sostanza chiamata a soffermarsi sulla questione se e in quale misura dati personali prodotti come elementi di prova nell’ambito di un procedimento giudiziario nazionale, che sono stati ottenuti mediante il ricorso ad altri dati personali inizialmente raccolti o conservati in violazione del principio di limitazione della conservazione, possano essere trattati dal giudice nazionale in modo lecito. 2. La domanda di pronuncia pregiudiziale è stata presentata dal [OSCURATO:PERSONA] (tribunale superiore del lavoro del [OSCURATO:PERSONA], [OSCURATO:PERSONA]) nell’ambito di una controversia tra la NTH Haustechnik GmbH (in prosieguo: la «NTH»), e la sua ex dipendente (in prosieguo: la «resistente»), in merito a un’azione di risarcimento dei danni a causa della vendita online non autorizzata, da parte della resistente, di beni appartenenti alla NTH. Contesto normativo Diritto dell’Unione 3. L’articolo 5, paragrafo 1, del RGPD, intitolato «Principi applicabili al trattamento di dati personali», dispone quanto segue: «1.   I dati personali sono: a) trattati in modo lecito, corretto e trasparente nei confronti dell’interessato (“liceità, correttezza e trasparenza”); (...) e) conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati; i dati personali possono essere conservati per periodi più lunghi a condizione che siano trattati esclusivamente a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, conformemente all’articolo 89, paragrafo 1, fatta salva l’attuazione di misure tecniche e organizzative adeguate richieste dal presente regolamento a tutela dei diritti e delle libertà dell’interessato (“limitazione della conservazione”); (...)». 4. L’articolo 6 del RGPD, intitolato «Liceità del trattamento», prevede quanto segue: «1.   Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni: (...) e) il trattamento è necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento; (...) 2.   [OSCURATO:PERSONA] membri possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del presente regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto anche per le altre specifiche situazioni di trattamento di cui al capo IX. 3.   La base su cui si fonda il trattamento dei dati di cui al paragrafo 1, lettere c) ed e), deve essere stabilita: a) dal diritto dell’Unione; o b) dal diritto dello Stato membro cui è soggetto il titolare del trattamento. La finalità del trattamento è determinata in tale base giuridica o, per quanto riguarda il trattamento di cui al paragrafo 1, lettera e), è necessaria per l’esecuzione di un compito svolto nel pubblico interesse o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento. Tale base giuridica potrebbe contenere disposizioni specifiche per adeguare l’applicazione delle norme del presente regolamento, tra cui: le condizioni generali relative alla liceità del trattamento da parte del titolare del trattamento; le tipologie di dati oggetto del trattamento; gli interessati; i soggetti cui possono essere comunicati i dati personali e le finalità per cui sono comunicati; le limitazioni della finalità, i periodi di conservazione e le operazioni e procedure di trattamento, comprese le misure atte a garantire un trattamento lecito e corretto, quali quelle per altre specifiche situazioni di trattamento di cui al capo IX. Il diritto dell’Unione o degli [OSCURATO:PERSONA] membri persegue un obiettivo di interesse pubblico ed è proporzionato all’obiettivo legittimo perseguito. (...)». 5. L’articolo 23 del RGPD, intitolato «Limitazioni», prevede quanto segue: «1.   Il diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento o il responsabile del trattamento può limitare, mediante misure legislative, la portata degli obblighi e dei diritti di cui agli articoli da 12 a 22 e 34, nonché all’articolo 5, nella misura in cui le disposizioni ivi contenute corrispondano ai diritti e agli obblighi di cui agli articoli da 12 a 22, qualora tale limitazione rispetti l’essenza dei diritti e delle libertà fondamentali e sia una misura necessaria e proporzionata in una società democratica per salvaguardare: (...) j) l’esecuzione delle azioni civili. (...)». Diritto tedesco Codice di procedura civile 6. L’articolo 138 della Zivilprozessordnung (codice di procedura civile) del 30 gennaio 1877 ( 3 ), intitolato «Obbligo di spiegare i fatti; obbligo di dire la verità», nella versione applicabile alla controversia oggetto del procedimento principale, dispone quanto segue: «(1) Le parti devono rendere le loro dichiarazioni sulle circostanze di fatto in modo completo e veritiero. (2) Ciascuna parte è tenuta a presentare osservazioni sui fatti addotti dalla controparte. (3) I fatti non espressamente contestati si considerano ammessi, a meno che l’intenzione di contestarli non risulti dalle altre dichiarazioni rese dalla parte. (4) Una dichiarazione di non conoscenza è ammissibile solo in relazione a fatti che non costituiscano atti propri della parte né siano stati oggetto della sua propria cognizione». Legge federale relativa alla protezione dei dati 7. L’articolo 3 della Bundesdatenschutzgesetz (legge federale relativa alla protezione dei dati) del 30 giugno 2017 ( 4 ), intitolato «Trattamento dei dati personali da parte di enti pubblici» nella versione applicabile alla controversia oggetto del procedimento principale, così stabilisce: «Il trattamento di dati personali da parte di un ente pubblico è autorizzato se è necessario per l’esecuzione di un compito connesso alla competenza del responsabile del trattamento o all’esercizio di pubblici poteri di cui quest’ultimo è investito». La controversia oggetto del procedimento principale, le questioni pregiudiziali e il procedimento dinanzi alla Corte 8. La NTH è una società che gestisce un’impresa di riscaldamento e di condizionamento dell’aria. La resistente era una dipendente della società ed era sposata con il suo amministratore. Il figlio della resistente e dell’amministratore della NTH è anch’egli un dipendente di tale società. 9. Il rapporto di lavoro tra la NTH e la resistente si è concluso il 31 ottobre 2019 e i coniugi si sono separati il 26 giugno 2022. Fino alla separazione, la resistente ha comunque continuato ad avere la possibilità di accedere ai locali della società e utilizzare i computer che vi si trovavano. Non è chiaro se lo abbia fatto a fini privati o se abbia continuato a svolgere lavori per la NTH. 10. Subito dopo la separazione dei coniugi, la NTH ha accertato che la resistente aveva venduto per proprio conto beni aziendali della società mediante la piattaforma di vendita online eBay, e a tale titolo le chiede il risarcimento dei danni. 11. Il giudice del rinvio precisa che la NTH è venuta a conoscenza delle operazioni di vendita della resistente tramite un accesso informatizzato all’account eBay privato della resistente. Per farlo, il figlio della resistente e dell’amministratore della NTH avrebbe utilizzato il nome utente e la password dell’account eBay della resistente. Non è chiaro in che modo ne sia venuto a conoscenza. 12. A tal riguardo, la NTH afferma di aver ottenuto le informazioni relative all’uso della piattaforma di vendita online eBay da parte della resistente controllando la cronologia del browser del computer aziendale della società utilizzato da quest’ultima, e di essere venuta a conoscenza della password consultando una «cartella familiare» creata sul server della NTH, nella quale la password era registrata. La resistente, al contrario, afferma di non aver memorizzato la propria password utente eBay nei dispositivi di archiviazione dei dati dell’impresa e sostiene che la NTH abbia utilizzato il telefono cellulare, che era registrato a nome della società ma era utilizzato dalla resistente, per modificare, sulla piattaforma eBay, la password dell’account privato della resistente e accedervi. 13. Il giudice del rinvio ritiene che la raccolta e la conservazione di dati alla quale la NTH ha proceduto, e con la quale essa è venuta a conoscenza delle vendite effettuate dalla resistente sulla piattaforma di vendita online eBay, possano essere state realizzate in modo illegittimo. Egli ritiene, inoltre, che la sua propria attività giurisdizionale e, se del caso, l’utilizzazione di dati raccolti da parte della NTH ai fini di adottare la propria decisione costituiscano un trattamento di dati ai sensi del RGPD. A tale proposito, il giudice del rinvio si interroga, in sostanza, sulle condizioni che devono essere fissate dalla normativa nazionale per attività di trattamento di dati effettuate in sede giudiziaria nonché sulle basi giuridiche e sui criteri sostanziali che devono disciplinare tali attività. 14. In tale contesto, il [OSCURATO:PERSONA] (tribunale superiore del lavoro del [OSCURATO:PERSONA]) ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali: «1. Se le disposizioni dell’articolo 92 del Grundgesetz (legge fondamentale tedesca), degli articoli 138, 286, 355 e seguenti d[el] codice di procedura civile nel caso di un’attività autonoma di trattamento in sede giudiziaria rientrante nell’articolo 6, paragrafo 1, lettera e), nell’articolo 6, paragrafo 3, del [RGPD] soddisfano il requisito di determinatezza sancito dall’articolo 8, paragrafo 2, e dall’articolo 52, paragrafo 1, della [c]arta dei diritti fondamentali dell’Unione europea [ ( 5 )], e dall’articolo 5, paragrafo 1, lettera c), RGPD, quando, con riguardo a una parte o a un terzo, la suddetta attività comporta un’ingerenza nei diritti fondamentali. 2. a) Se, nel trattamento dei dati, in particolare di dati personali, un giudice nazionale possa invocare il fatto che detto trattamento è consentito ai sensi dell’articolo 17, paragrafo 3, lettera e), RGPD, oppure se gli articoli 6 e 9 RGPD costituiscano la base esclusiva per un’attività di trattamento in sede giudiziaria. b) Qualora l’articolo 17, paragrafo 3, lettera e), RGPD possa costituire, in linea di principio, una base giuridica per un’attività di trattamento in sede giudiziaria: aa) Se quanto precede si applichi anche ai casi in cui la raccolta iniziale di tali dati, effettuata da una parte processuale o da un terzo, abbia avuto luogo in modo illecito. bb) Se il trattamento di dati raccolti inizialmente in modo illecito determini, in conformità al principio di correttezza generalmente applicabile [articolo 5, paragrafo 1, lettera a), RGPD], una limitazione del trattamento in sede giudiziaria in base al diritto derivato, nel senso che l’articolo 17, paragrafo 3, lettera e), RGPD è applicabile solo a determinate condizioni o entro certi limiti. cc) Se la disposizione dell’articolo 17, paragrafo 3, lettera e), RGPD debba essere intesa nel senso che il divieto di utilizzazione in sede giudiziaria di dati ottenuti inizialmente in modo illecito viene sempre disapplicato – vale a dire che il giudice è sempre tenuto ad utilizzare tali dati – qualora la raccolta iniziale dei dati non abbia avuto luogo in maniera occulta e sia stata funzionale alla dimostrazione di una dolosa violazione di un obbligo. 3. Indipendentemente dal fatto che l’attività di trattamento dei dati in sede giudiziaria sia soggetta all’articolo 17, paragrafo 3, lettera e), RGPD o all’articolo 6, paragrafo 1, lettera c) o e), e paragrafo 3, all’articolo 9 RGPD oppure ad altre disposizioni del diritto dell’Unione: a) Se dai principi di necessità e minimizzazione dei dati sanciti dalla normativa in materia di protezione dei dati possa desumersi, ai sensi dell’articolo 52, paragrafo 1, seconda frase, della Carta, e dell’articolo 5, paragrafo 1, lettera a), RGPD, in particolare per quanto riguarda il trattamento di dati raccolti o conservati inizialmente in modo illecito, la necessità di un controllo completo di proporzionalità e di un bilanciamento da parte dei giudici. b) Quali effetti abbia l’articolo 5, paragrafo 1, lettera e), RGPD, secondo cui i dati personali possono essere conservati solo per il tempo richiesto dalla loro finalità, sulla successiva attività di trattamento in sede giudiziaria, in particolare nei casi in cui – la raccolta iniziale dei dati fosse diretta ad altre finalità, o – la raccolta iniziale illecita dei dati sia molto risalente nel tempo, o – la conservazione illecita si sia protratta nel tempo, o – la raccolta illecita di dati riguardi dati conservati da molto tempo, eventualmente in modo illecito, o – l’ente o la persona che tratta o raccoglie i dati abbia assunto l’obbligo unilaterale o fondato su un contratto individuale o collettivo di cancellare i dati entro un certo periodo di tempo, ma non abbia però effettuato la cancellazione. c) Se dal diritto dell’Unione, in particolare dall’articolo 8 della Carta, dall’articolo 6, paragrafo 1, lettera c) o e), e paragrafo 3, e dall’articolo 9 RGPD, risulti che il giudice nazionale può utilizzare prove ottenute in violazione dei diritti della personalità soltanto in presenza di un interesse apprezzabile della parte gravata dall’onere della prova che vada al di là del mero interesse alla prova, oppure se dal diritto dell’Unione non deriva alcuna indicazione al riguardo, sicché spetta all’ordinamento giuridico nazionale prevedere apposite disposizioni. d) Se dall’articolo 47, paragrafo 2, della Carta, che garantisce il diritto a un ricorso giurisdizionale effettivo e, in particolare, a un equo processo, in virtù del quale le parti in un procedimento civile devono essere, in linea di principio, in grado di motivare sufficientemente l’obiettivo del loro ricorso e corroborarlo con prove, discenda che il trattamento in sede giudiziaria dei dati personali del lavoratore ricorrente raccolti illecitamente dal datore di lavoro può essere inadeguato e sproporzionato in senso stretto, soltanto laddove la raccolta dei dati costituisca, in base al diritto dell’Unione, una grave violazione dell’articolo 7 e dell’articolo 8 della Carta e le altre possibili sanzioni applicabili al datore di lavoro (ad esempio, il risarcimento dei danni ai sensi dell’articolo 82 RGPD e l’imposizione di sanzioni pecuniarie ai sensi dell’articolo 83 RGPD) sarebbero del tutto insufficienti, oppure se l’inadeguatezza e la sproporzione possano ravvisarsi anche con riguardo ad altre violazioni meno gravi della normativa in materia di protezione dei dati commesse all’atto della raccolta iniziale dei dati. e) Se, nella decisione circa l’utilizzazione, nell’ambito della sua attività di trattamento dei dati in sede giudiziaria, dei dati inizialmente raccolti da una parte o da un terzo, il giudice debba o meno prendere in considerazione il fatto che il soggetto che ha raccolto tali dati abbia ottemperato agli obblighi di fornire informazioni che gli incombono in forza dell’articolo 13 RGPD. In caso affermativo, a quali condizioni e in base a quali criteri il giudice ne debba tener conto. f) Se la circostanza che il giudice sia vincolato dal RGPD e dalla [Carta] nel trattamento dei dati personali consenta l’inclusione anche dei dati personali di terzi. In che modo un’eventuale violazione della normativa in materia di protezione dei dati nei confronti di terzi all’atto della raccolta iniziale dei dati incida sul successivo trattamento dei dati in sede giudiziaria in una controversia tra due parti. Se una parte possa o meno lamentare una violazione che non si è verificata nei suoi confronti, bensì nei confronti di terzi». 15. [OSCURATO:PERSONA] europea, i governi tedesco, ungherese e finlandese hanno presentato osservazioni scritte. [OSCURATO:PERSONA] e il governo tedesco hanno presentato le loro osservazioni orali all’udienza tenutasi il 2 luglio 2025. [OSCURATO:PERSONA] preliminari 16. Con la terza questione pregiudiziale, lettera b), oggetto delle presenti conclusioni mirate, il giudice del rinvio si interroga, in sostanza, su quali effetti abbiano i trattamenti di dati contrari al principio di limitazione della conservazione, stabilito all’articolo 5, paragrafo 1, lettera e), del RGPD, sulla liceità della «successiva attività di trattamento» ( 6 ), nell’esercizio della sua attività giurisdizionale, di altri dati che hanno potuto essere ottenuti soltanto facendo ricorso a tali primi dati. 17. Al fine di comprendere la causa, ritengo utile precisare che occorre distinguere tra due tipi di dati personali controversi nel caso di specie. Da un lato, i dati relativi alla resistente archiviati sul server della NTH e nella cronologia del browser del computer della società utilizzato dalla resistente, nonché nel telefono della società messo a disposizione della resistente, hanno permesso alla NTH di recuperare la password e il nome utente eBay della resistente al fine di accedere al suo account privato sulla piattaforma di vendita online eBay. Per comodità, nelle presenti conclusioni, utilizzerò il termine «dati iniziali» a loro riguardo. Dall’altro, i dati relativi alle vendite dei beni aziendali della società, che sono stati ricavati dal sito internet eBay e sono serviti da fondamento per il ricorso proposto dalla NTH nei confronti della resistente, saranno designati con l’espressione «dati relativi alle vendite». 18. In primo luogo, per quanto riguarda i dati iniziali, il giudice del rinvio ha precisato che non è chiaro in che modo il figlio della resistente e dell’amministratore della NTH sia venuto a conoscenza della password e del nome utente eBay della resistente. Ciononostante, nell’ambito della terza questione pregiudiziale, lettera b), egli pare partire dal presupposto che tali dati siano stati raccolti e conservati in violazione del principio di limitazione della conservazione, stabilito all’articolo 5, paragrafo 1, lettera e), del RGPD, secondo il quale i dati personali devono essere conservati «per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati». 19. Per questa ragione, il giudice del rinvio fa riferimento al fatto che «la raccolta iniziale d[e]i dati aveva altre finalità». Egli menziona inoltre una raccolta illecita che «risale ad un periodo lontano», una conservazione illecita «ad una data molto risalente nel tempo» o che «si è protratta per lunghi periodi», nonché la violazione di un obbligo contrattuale di cancellare i dati raccolti «in un termine prestabilito». A mio avviso ciò significa sostenere che la raccolta di dati iniziali aveva altre finalità rispetto al permettere alla società di raccogliere ancora altri dati, ossia dati relativi alle vendite, per promuovere un’azione in giudizio nei confronti della resistente, e che la durata della conservazione dei dati iniziali sarebbe stata superiore al conseguimento delle finalità per le quali tali dati sono stati inizialmente raccolti e conservati ( 7 ). 20. In secondo luogo, per quanto riguarda i dati relativi alle vendite, a mio avviso essi non possono rientrare nelle ipotesi né di una raccolta iniziale che avrebbe avuto «altre finalità» né di una conservazione che risalirebbe ad un periodo lontano, si sarebbe protratta per lunghi periodi, o sarebbe stata effettuata in violazione di un obbligo contrattuale di cancellazione. Infatti, dagli elementi del fascicolo non emerge minimamente che tali dati sarebbero stati conservati a lungo dalla NTH o che la loro raccolta da parte della NTH avrebbe avuto una finalità diversa rispetto al promuovere un’azione in giudizio nei confronti della resistente. Non si tratta, inoltre, di esaminare un’ipotetica raccolta o conservazione illecita di dati di vendita online da parte di eBay. 21. Ciononostante, a mio avviso, dalla domanda di pronuncia pregiudiziale emerge che il giudice del rinvio parte dal presupposto che, sempreché la NTH abbia effettivamente violato il principio stabilito all’articolo 5, paragrafo 1, lettera e), del RGPD per quanto riguarda i dati iniziali, la successiva utilizzazione di tali stessi dati al fine di accedere all’account eBay privato della resistente è viziato da illiceità così come, di conseguenza, la raccolta, da parte della NTH, di dati relativi alle vendite ( 8 ). 22. L’interesse della presente causa risiede pertanto nella liceità del trattamento dei dati relativi alle vendite, da parte del giudice del rinvio, nell’esercizio della sua attività giurisdizionale, in quanto il RGPD si applica a tutte le operazioni di trattamento effettuate dalle autorità giurisdizionali, quale il giudice del rinvio ( 9 ). Ne consegue che occorre tenere conto, nella risposta da fornire a tale giudice, delle condizioni di liceità del trattamento di dati personali di cui all’articolo 6 del RGPD. 23. Pertanto, ai fini della presente causa, suggerisco alla Corte di riformulare la terza questione pregiudiziale, lettera b), di modo che la Corte valuti se l’articolo 5, paragrafo 1, lettera e), del RGPD, in combinato disposto con l’articolo 6 di tale regolamento, debba essere interpretato nel senso che il principio di «limitazione della conservazione», previsto da tale disposizione, osta a che un’autorità giurisdizionale nazionale possa procedere, in sede giudiziaria, al trattamento di dati che sono stati ottenuti facendo ricorso ad altri dati la cui raccolta iniziale o la conservazione è stata effettuata in violazione del suddetto principio, e perfino imponga all’autorità giurisdizionale nazionale requisiti particolari per quanto riguarda le modalità di utilizzazione di tali dati personali. Sulla terza questione, lettera b) 24. Rammento che qualsiasi trattamento di dati personali, compresi i trattamenti effettuati dalle autorità pubbliche quali le autorità giurisdizionali, deve rispettare i principi che disciplinano i trattamenti dei dati personali nonché i diritti dell’interessato elencati rispettivamente ai capi II e III del RGPD. In particolare, siffatti trattamenti devono essere conformi ai principi elencati all’articolo 5 di tale regolamento e, per quanto riguarda il principio della liceità del trattamento, previsto al paragrafo 1, lettera a), di tale articolo, soddisfare le condizioni di liceità elencate all’articolo 6 di detto regolamento ( 10 ). Tale ultima disposizione, al paragrafo 1, prevede un elenco esaustivo e tassativo dei casi in cui un trattamento di dati personali può essere considerato lecito. Pertanto, per poter essere considerato lecito, un trattamento deve rientrare in uno dei casi previsti da tale disposizione ( 11 ). 25. In particolare, il trattamento dei dati personali controverso nel procedimento principale, ossia il loro utilizzo da parte del giudice del rinvio nell’ambito del processo giurisdizionale, può rientrare nell’ambito di applicazione dell’articolo 6, paragrafo 1, lettera e), del RGPD, in forza del quale il trattamento è lecito solo se e nella misura in cui è «necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento», tale disposizione corrispondendo peraltro all’articolo 3 della legge federale relativa alla protezione dei dati ( 12 ). 26. Come precisato ai paragrafi da 16 a 22 delle presenti conclusioni, nella causa di cui trattasi nel procedimento principale si pone la questione degli effetti che diverse violazioni, da parte della NTH, del principio di limitazione della conservazione, stabilito all’articolo 5, paragrafo 1, lettera e), del RGPD nei confronti dei dati iniziali hanno sull’ammissibilità e l’utilizzazione dei dati relativi alle vendite da parte del giudice del rinvio nell’esercizio della sua attività giurisdizionale. 27. A tal riguardo, rammento che, secondo una giurisprudenza costante, l’interpretazione di una disposizione del diritto dell’Unione richiede di tenere conto non soltanto della sua formulazione, ma anche del contesto in cui essa si inserisce nonché degli obiettivi e delle finalità che l’atto di cui essa fa parte persegue ( 13 ). 28. Per quanto riguarda l’articolo 5, paragrafo 1, lettera e), del RGPD, la Corte ha già rilevato che risulta inequivocabilmente dal tenore letterale di tale articolo che il principio della «limitazione della conservazione» richiede che il titolare del trattamento sia in grado di dimostrare che i dati personali sono conservati unicamente per il periodo necessario al conseguimento delle finalità per le quali i dati sono stati raccolti o per le quali sono stati ulteriormente trattati. Perciò, anche un trattamento inizialmente lecito di dati può divenire, con il tempo, incompatibile con il RGPD qualora tali dati non siano più necessari al conseguimento di tali finalità ( 14 ). 29. Da un punto di vista contestuale, l’articolo 5, paragrafo 1, lettera e), del RGPD rientra fra i principi relativi al trattamento dei dati elencati all’articolo 5 di tale regolamento ed è espressione del principio di proporzionalità. Esso implica di procedere ad una valutazione del carattere proporzionato del trattamento rispetto alla sua finalità, alla luce del tempo trascorso. Analogamente, il considerando 39 del RGPD enuncia esplicitamente che il periodo di conservazione dei dati deve essere limitato «al minimo necessario» e che, «onde assicurare che i dati personali non siano conservati più a lungo del necessario, il titolare del trattamento dovrebbe stabilire un termine per la cancellazione o per la verifica periodica» ( 15 ). 30. Quanto allo scopo perseguito dall’articolo 5, paragrafo 1, lettera e), del RGPD, come risulta dal considerando 10 di tale regolamento, esso consiste nell’assicurare un livello elevato di protezione delle persone fisiche all’interno dell’Unione con riguardo al trattamento dei loro dati personali ( 16 ). 31. L’articolo 5, paragrafo 1, lettera e), del RGPD pertanto riguarda unicamente i requisiti che la conservazione di dati personali deve soddisfare ( 17 ) e non consente quindi di fornire una risposta precisa alla questione dell’effetto di una violazione, da parte di un primo responsabile del trattamento, del principio di limitazione della conservazione di dati personali sul trattamento di dati personali da parte di un’autorità giurisdizionale nazionale nell’esercizio della sua attività giurisdizionale. Una risposta del genere peraltro, a mio avviso, non emerge da una disposizione diversa di tale regolamento. 32. Né l’articolo 5, paragrafo 1, lettera e), del RGPD né l’articolo 6, paragrafo 1, lettera e), di tale regolamento vietano in maniera generale e assoluta che un’autorità pubblica, quale un’autorità giurisdizionale, sia autorizzata a tenere conto di dati ottenuti da una delle parti della controversia facendo ricorso ad altri dati personali il cui trattamento da tale parte sarebbe stato contrario al principio di limitazione della conservazione. 33. Ebbene, in assenza di norme dell’Unione in materia, spetta all’ordinamento giuridico interno di ciascuno Stato membro, in virtù del principio dell’autonomia procedurale degli [OSCURATO:PERSONA] membri, stabilire le regole di procedura applicabili ai ricorsi giurisdizionali destinati a garantire la tutela dei diritti riconosciuti ai singoli dal diritto dell’Unione, a condizione però che le regole suddette non siano meno favorevoli di quelle disciplinanti situazioni analoghe assoggettate al diritto interno ( principio di equivalenza ) e che non rendano impossibile in pratica o eccessivamente difficile l’esercizio dei diritti conferiti dal diritto dell’Unione ( principio di effettività ) ( 18 ). [OSCURATO:PERSONA] devono inoltre avvalersi del loro margine di discrezionalità alle condizioni ed entro i limiti previsti dalle disposizioni del RGPD e devono dunque legiferare in modo da non pregiudicare il contenuto e gli obiettivi di quest’ultimo ( 19 ). 34. Più precisamente, secondo l’articolo 6, paragrafo 3, del RGPD, in combinato disposto con i considerando 10 ( 20 ), 20 ( 21 ) e 45 ( 22 ) di tale regolamento, la base giuridica sui cui si fonda il trattamento di cui all’articolo 6, paragrafo 1, lettera e), del suddetto regolamento, che si tratti del diritto dell’Unione o del diritto dello Stato membro cui è soggetto il titolare del trattamento, deve rispondere a un obiettivo di interesse pubblico ed essere proporzionato all’obiettivo legittimo perseguito . Tale base giuridica potrebbe contenere disposizioni specifiche per adeguare l’applicazione delle norme del RGPD , quali, in particolare, le condizioni generali relative alla liceità del trattamento da parte del titolare del trattamento o le operazioni e procedure di trattamento, comprese le misure atte a garantire un trattamento lecito e corretto, quali quelle per altre specifiche situazioni di trattamento di cui al capo IX del RGPD ( 23 ). [OSCURATO:PERSONA] membri sono quindi autorizzati a mantenere o introdurre norme nazionali al fine di specificare ulteriormente l’applicazione delle norme di tale regolamento, come previsto dall’articolo 6, paragrafo 2, del suddetto regolamento. 35. Inoltre, il RGPD prevede che gli [OSCURATO:PERSONA] membri possano derogare, in particolare, all’articolo 5 di tale regolamento, qualora ciò sia necessario per salvaguardare determinati importanti obiettivi di interesse pubblico generale tra i quali, per l’ipotesi che ci interessa, «l’esecuzione delle azioni civili». Infatti, l’articolo 23, paragrafo 1, lettera j) ( 24 ), del RGPD dispone che il diritto dell’Unione e il diritto degli [OSCURATO:PERSONA] membri possano, mediante misure legislative, limitare la portata degli obblighi e dei diritti che vi sono menzionati, qualora una limitazione del genere rispetti l’essenza dei diritti e delle libertà fondamentali e costituisca una misura necessaria e proporzionata in una società democratica per salvaguardare determinati importanti obiettivi di interesse pubblico generale come quello summenzionato ( 25 ). 36. Infine, occorre ricordare che i diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali non sono prerogative assolute, come indicato dal considerando 4 del RGPD, ma vanno considerati alla luce della loro funzione sociale e vanno contemperati con altri diritti fondamentali, come il diritto a una tutela giurisdizionale effettiva , garantito dall’articolo 47 della Carta ( 26 ). 37. Possono quindi essere apportate limitazioni, a condizione che, conformemente all’articolo 52, paragrafo 1, della Carta, esse siano previste dalla legge e che rispettino il contenuto essenziale dei diritti fondamentali nonché il principio di proporzionalità . In virtù di tale principio, possono essere apportate limitazioni solo laddove esse siano necessarie e rispondano effettivamente a finalità di interesse generale riconosciute dall’Unione o all’esigenza di proteggere i diritti e le libertà altrui. Esse devono indicare in quali circostanze e a quali condizioni possa essere adottata una misura che prevede il trattamento di siffatti dati, garantendo così che l’ingerenza sia limitata allo stretto necessario. La normativa che contiene l’ingerenza deve inoltre prevedere norme chiare e precise che disciplinano la portata e l’applicazione della misura in questione ( 27 ), e imporre requisiti minimi in modo che le persone i cui dati personali sono interessati dispongano di garanzie sufficienti che permettano di proteggere efficacemente tali dati contro il rischio di abusi ( 28 ). 38. Aggiungo che il diritto dell’Unione non disciplina la questione dell’ ammissibilità delle prove nei procedimenti giudiziari nazionali, che rientra, conformemente al principio dell’autonomia procedurale degli [OSCURATO:PERSONA] membri, nel diritto nazionale, sempreché nel rispetto, in particolare, dei principi di equivalenza e di effettività, come indicato al punto 33 delle presenti conclusioni ( 29 ). Neppure la Corte europea dei diritti dell’uomo ( 30 ) ritiene che le incomba pronunciarsi sull’ammissibilità di elementi di prova ottenuti in modo illegittimo, materia che rientra in primo luogo nel diritto interno. Dalla giurisprudenza della Corte EDU, relativa all’articolo 6 della Convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali ( 31 ), in sostanza emerge che la competenza della Corte EDU verte sulla questione se il procedimento, compreso il modo in cui gli elementi di prova sono stati ottenuti, sia equo nel suo complesso. Ciò implica l’esame dell’«illegittimità» di cui trattasi e, nel caso in cui si tratti della violazione di un altro diritto tutelato da tale convenzione, della natura di tale violazione ( 32 ). 39. Inoltre, la Corte ha già rilevato che, in linea di principio, spetta esclusivamente al diritto nazionale determinare le norme relative all’ ammissibilità e alla valutazione , nell’ambito di un procedimento penale avviato nei confronti di persone sospettate della commissione di reati gravi, di informazioni ed elementi di prova ottenuti mediante una conservazione di dati contraria al diritto dell’Unione. Le norme nazionali relative all’ammissibilità, all’esclusione o all’utilizzo di elementi di prova che contengono dati personali devono dunque rispettare anche il principio del contraddittorio nonché il diritto ad un processo equo ( 33 ). Non può essere diversamente nell’ambito di un procedimento civile. 40. Da quanto precede risulta che, in mancanza di norme dell’Unione in materia, le questioni dell’ammissibilità e delle modalità di utilizzazione di dati personali da parte di un’autorità giurisdizionale nazionale nell’esercizio della sua attività giurisdizionale, incluso qualora tali dati siano indirettamente viziati da un trattamento contrario al principio di limitazione della conservazione di altri dati personali che sono serviti ad ottenerli, devono trovare la propria base giuridica nel diritto dello Stato membro cui è soggetto il titolare del trattamento, ai sensi dell’articolo 6, paragrafo 3, lettera b), del RGPD, in combinato disposto con l’articolo 23, paragrafo 1, di tale regolamento. 41. Ebbene, dagli elementi del fascicolo emerge che una delle basi giuridiche della produzione di dati relativi alle vendite dei beni aziendali della società in qualità di elementi di prova nell’ambito di un’azione giudiziaria è l’articolo 138 del codice di procedura civile, che prevede per le parti alla controversia l’obbligo di spiegare i fatti. L’articolo 3 della legge federale relativa alla protezione dei dati stabilisce la possibilità per un ente pubblico di procedere al trattamento di dati personali soltanto se è necessario per l’esecuzione di un compito connesso alla sua competenza ( 34 ). 42. Il giudice del rinvio ha peraltro rilevato che né la legge federale relativa alla protezione dei dati né il codice di procedura civile contengono norme sulle condizioni che devono essere soddisfatte o sui criteri che devono essere contemperati al fine di poter stabilire se spetti, o se sia possibile o consentito ad un’autorità giurisdizionale tenere conto degli elementi di fatto che una parte deduce o amministrare le prove fornite da una parte. In particolare, non sarebbe prevista nessuna disposizione per i casi in cui la parte abbia ottenuto illegittimamente le informazioni sulle quale essa si basa o per quelli in cui essa si basa su prove ottenute illegittimamente. Nella procedura civile tedesca, compresa quella dinanzi al tribunale del lavoro, il divieto di utilizzare dati sarebbero soltanto su una base giurisprudenziale. 43. Inoltre, dalla domanda di pronuncia pregiudiziale, da un lato, emerge che, secondo una giurisprudenza costante del Bundesverfassungsgericht (Corte costituzionale federale, [OSCURATO:PERSONA]) le autorità giurisdizionali nazionali sono, in linea di principio, tenute, al fine di stabilire la verità, a prendere in considerazione le prove offerte dalle parti, se e nella misura in cui un’allegazione di fatto è significativa e richiede una prova ( 35 ). 44. Dall’altro lato, il Bundesarbeitsgericht (Corte federale del lavoro, [OSCURATO:PERSONA]) avrebbe, in sostanza, ritenuto che il trattamento di dati personali da parte di un’autorità giurisdizionale sia possibile persino se la raccolta di tali dati alla quale una delle parti ha proceduto in una fase precontenziosa o stragiudiziale si riveli illegittima in forza del RGPD o del diritto nazionale della tutela dei dati. Tuttavia, se la parte procede a raccolte di dati che arrecano pregiudizio al diritto generale della personalità dell’interessato, il fatto che la parte deduca un interesse generale alla prova non sarebbe sufficiente. Un’autorità giurisdizionale dovrebbe dunque tenere conto di altri elementi, dai quali risulti che l’interesse all’ottenimento di prove merita una tutela a discapito del pregiudizio alla personalità ( 36 ). 45. Ne concludo che esiste una base giuridica nazionale che stabilisce le condizioni di ammissibilità e le modalità di utilizzazione dei dati personali in una situazione come quella di cui trattasi nel procedimento principale. 46. Infatti, la Corte ha già precisato che è irrilevante che il trattamento di dati personali sia fondato su una disposizione del diritto nazionale sostanziale o procedurale ( 37 ). Essa ha aggiunto che «il diritto dello Stato membro cui è soggetto il titolare del trattamento», ai sensi dell’articolo 6, paragrafo 3, lettera b), del RGPD, o il riferimento a una «misura legislativa», all’articolo 23 di tale regolamento, non richiede necessariamente l’adozione di un atto legislativo da parte di un parlamento ma comprende anche la giurisprudenza nazionale, purché sia chiara e precisa, e la sua applicazione prevedibile per le persone che vi sono sottoposte, in conformità della giurisprudenza della Corte nonché della Corte EDU ( 38 ). 47. Spetta dunque al giudice del rinvio identificare le disposizioni pertinenti del diritto nazionale, nonché della giurisprudenza dello Stato membro interessato, di applicarle e verificare se, da un lato, esse siano conformi ai principi di equivalenza e di effettività, e rispondano ad un obiettivo di interesse pubblico, e dall’altro lato, se siano necessarie e proporzionate a detto obiettivo, sebbene possano rientrare nei casi di trattamento di dati personali considerati leciti ai sensi delle disposizioni dell’articolo 6, paragrafo 3, lettera b), del RGPD, in combinato disposto con l’articolo 23, paragrafo 1, di quest’ultimo ( 39 ). 48. Pertanto, al giudice del rinvio, il solo competente ad interpretare il diritto nazionale e la giurisprudenza nazionale, spetta determinare l’ammissibilità degli elementi di prova che comprendono dati personali, nonché le modalità della loro utilizzazione, che saranno in funzione delle circostanze del caso di specie e del tipo di procedimento di cui trattasi. Conclusione 49. Alla luce delle suesposte considerazioni, propongo alla Corte di rispondere alla terza questione pregiudiziale, lettera b), posta dal [OSCURATO:PERSONA] (tribunale superiore del lavoro del [OSCURATO:PERSONA], [OSCURATO:PERSONA]) nel modo seguente: L’articolo 5, paragrafo 1, lettera e), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), in combinato disposto con l’articolo 6 di tale regolamento, deve essere interpretato nel senso che: il principio della «limitazione della conservazione», previsto a tale disposizione, non osta a che un’autorità giurisdizionale nazionale possa procedere, in sede giudiziaria, al trattamento di dati che sono stati ottenuti facendo ricorso ad altri dati la cui raccolta iniziale o la conservazione è stata effettuata in violazione di tale principio. All’autorità giurisdizionale nazionale spetta garantire che le modalità di utilizzazione di tali dati personali nell’esercizio della sua attività giurisdizionale si basino sul diritto nazionale applicabile, siano conformi ai principi di equivalenza e di effettività, rispondano ad un obiettivo di interesse pubblico e siano necessarie e proporzionate a tale obiettivo. ( 1 ) Lingua originale: il francese. ( 2 ) Regolamento del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) ( GU 2016, L 119, pag. 1 ; in prosieguo: il «RGPD»). ( 3 ) BGBl. 2005 I, pag. 3202. ( 4 ) BGBl. 2017 IS, pag. 2097. ( 5 ) In prosieguo: la «Carta». ( 6 ) Ritengo che, con l’espressione «successiva attività di trattamento» in sede giudiziaria, il giudice del rinvio comprenda sia la ricevibilità di dati personali prodotti in qualità di elementi di prova nella controversia sia la loro utilizzazione, nel procedimento, al fine di fondare la sua decisione. ( 7 ) Tuttavia, nutro dei dubbi quanto ai lunghi periodi o alla data risalente nel tempo a cui fa riferimento il giudice del rinvio. Infatti, dagli elementi del fascicolo emerge che non è chiaro se, tra la conclusione del rapporto di lavoro tra la NTH e la resistente, il 31 ottobre 2019, e la separazione dei coniugi, il 26 giugno 2022, la resistente abbia continuato ad accedere ai locali della società e a utilizzare i computer che vi si trovavano a fini professionali o esclusivamente privati. Se, in ultima analisi, spetta al giudice del rinvio pronunciarsi a riguardo, nell’ambito delle presenti conclusioni, alla luce della formulazione della terza questione pregiudiziale, lettera b), partirò dalla premessa che la raccolta e la conservazione di dati iniziali sono state effettuate in violazione del principio della limitazione della conservazione dei dati. ( 8 ) A tal riguardo, rilevo che, come in sostanza ricordato dall’avvocata generale Ćapeta nelle sue conclusioni nella causa [OSCURATO:PERSONA] ( C‑268/21 , EU:C:2022:755 , paragrafo 20 ), è legittimo ritenere che, sempreché un primo trattamento di dati personali debba essere dichiarato illecito ai sensi del RGPD, il successivo trattamento di tali stessi dati per una finalità diversa sarebbe anch’esso, per estensione, viziato da illiceità. ( 9 ) V., in tal senso, sentenza del 24 marzo 2022, [OSCURATO:PERSONA] ( C‑245/20 , EU:C:2022:216 , punti 25 e 34 ). ( 10 ) V. sentenze del 20 ottobre 2022, Digi ( C‑77/21 , EU:C:2022:805 ; in prosieguo: la «sentenza Digi», punto 49 e giurisprudenza citata); del 2 marzo 2023, [OSCURATO:PERSONA] ( C‑268/21 , EU:C:2023:145 ; in prosieguo: la «sentenza [OSCURATO:PERSONA]», punto 29), e del 4 maggio 2023, [OSCURATO:PERSONA] (Casella di posta elettronica degli uffici giudiziari) ( C‑60/22 , EU:C:2023:373 , punto 57 e giurisprudenza citata). ( 11 ) V. sentenza del 4 ottobre 2024, [OSCURATO:PERSONA], ( C‑621/22 , EU:C:2024:858 , punto 29 e giurisprudenza citata). ( 12 ) Rilevo che, sebbene il governo finlandese sostenga che l’attività di trattamento di dati effettuata nell’esercizio di un’attività giurisdizionale costituisce un trattamento rientrante nell’ambito di applicazione dell’articolo 6, paragrafo 1, lettera c), del RGPD, e sebbene il giudice del rinvio citi tale disposizione nella domanda di pronuncia pregiudiziale, dagli elementi del fascicolo non emerge che il trattamento dei dati di cui trattasi nella causa oggetto del procedimento principale sia necessario all’adempimento di un obbligo legale al quale tale giudice sarebbe tenuto. ( 13 ) V. sentenza Digi (punto 23 e giurisprudenza citata). ( 14 ) V. sentenza Digi (punti 53 e 54). ( 15 ) V. conclusioni dell’avvocato generale Pikamäe nella causa Digi ( C‑77/21 , EU:C:2022:248 , paragrafi 29 , 30 , 62 e 64 ). ( 16 ) V. sentenza del 7 maggio 2009, Rijkeboer ( C‑553/07 , EU:C:2009:293 , punti 33 e 35 ), che riguardava l’articolo 6, paragrafo 1, lettera e), della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati ( GU 1995, L 281, pag. 31 ), la cui norma corrispondente è ripresa all’articolo 5, paragrafo 1, lettera e), del RGPD; v., anche, sentenza Digi (punto 59). ( 17 ) V. sentenza dell’11 dicembre 2019, Asociația de Proprietari bloc M5A‑ScaraA ( C‑708/18 , EU:C:2019:1064 , punto 29 ). ( 18 ) V., per analogia, sentenza del 2 marzo 2021, Prokuratuur (Condizioni di accesso ai dati relativi alle comunicazioni elettroniche) ( C‑746/18 , EU:C:2021:152 , punto 42 ). ( 19 ) V. sentenza del 3 aprile 2025, Ministerstvo zdravotnictví (Dati riguardanti il rappresentante di una persona giuridica) ( C‑710/23 , EU:C:2025:231 , punto 40 ). ( 20 ) ( 21 ) ( 22 ) ( 23 ) V. sentenze [OSCURATO:PERSONA] (punto 32), e del 3 aprile 2025, Ministerstvo zdravotnictví (Dati riguardanti il rappresentante di una persona giuridica) ( C‑710/23 , EU:C:2025:231 , punto 37 ). ( 24 ) [OSCURATO:PERSONA] tedesco aggiunge che il trattamento di dati personali da parte del giudice del rinvio può rientrare anche nell’obiettivo di salvaguardia dell’indipendenza della magistratura e dei procedimenti giudiziari, stabilito all’articolo 23, paragrafo 1, lettera f), del RGPD. ( 25 ) V., in tal senso, sentenza del 24 febbraio 2022, Valsts ieņēmumu dienests (Trattamento di dati personali a fini fiscali) (C‑175/20; in prosieguo: la «sentenza Valsts ieņēmumu dienests, EU:C:2022:124 , punto 51 ); conclusioni dell’avvocato generale Pikamäe nella causa I. (Vendita di una banca di dati) ( C‑693/22 , EU:C:2024:162 , paragrafi da 85 a 88 ). ( 26 ) V. sentenza [OSCURATO:PERSONA] (punto 49). La questione più precisa del contemperamento del diritto alla protezione dei dati personali e del diritto a una tutela giurisdizionale effettiva rientra nell’ambito della terza questione pregiudiziale, lettera d), che non è oggetto delle presenti conclusioni mirate. ( 27 ) V., in tal senso, sentenza del 22 giugno 2021, [OSCURATO:PERSONA] (Punti di penalità) ( C‑439/19 , EU:C:2021:504 , punto 105 e giurisprudenza citata). ( 28 ) V., in tal senso, sentenza Valsts ieņēmumu dienests (punto 83 e giurisprudenza citata), nella quale si trattava in particolare del rispetto del requisito di proporzionalità, al quale l’articolo 5, paragrafo 1, lettera c), del RGPD dà espressione. A tal riguardo, osservo che la terza questione pregiudiziale, lettera a), che non è oggetto delle presenti conclusioni mirate, verte più precisamente sull’esame della proporzionalità. ( 29 ) V. sentenze del 2 marzo 2021, Prokuratuur (Condizioni di accesso ai dati relativi alle comunicazioni elettroniche) ( C‑746/18 , EU:C:2021:152 , punti da 41 a 44 ), e del 5 aprile 2022Commissioner of [OSCURATO:PERSONA] e a. ( C‑140/20 , EU:C:2022:258 , punto 127 ). ( 30 ) In prosieguo: la «Corte EDU». ( 31 ) Firmata a Roma il 4 novembre 1950. ( 32 ) Corte EDU, 12 maggio 2000, Khan c. [OSCURATO:PERSONA] (CE:ECHR:2000:0512JUD003539497, punto 34 e giurisprudenza citata), e Corte EDU, 10 marzo 2009, Bykov c. Russia (CE:ECHR:2009:0310JUD000437802, punti 88 e 89 e giurisprudenza citata). V., inoltre, Corte EDU, 15 gennaio 2015, Dragojević c. Croazia (CE:ECHR:2015:0115JUD006895511, punto 129), e Corte EDU, 16 febbraio 2021, Budak c. Turchia (CE:ECHR:2021:0216JUD006976212, punto 71), nei quali la Corte EDU ha aggiunto che, per stabilire se il procedimento nel suo complesso sia stato equo, occorre esaminare se i diritti della difesa siano stati rispettati, il che implica in particolare di esaminare se il ricorrente abbia avuto la possibilità di contestare l’autenticità delle prove e di opporsi al loro utilizzo, nonché di prendere in considerazione la qualità delle prove, in particolare se le circostanze nelle quali esse sono state ottenute sollevino dubbi circa la loro affidabilità o la loro esattezza. ( 33 ) V. sentenza del 6 ottobre 2020, [OSCURATO:PERSONA] du Net e a. ( C‑511/18, C‑512/18 e C‑520/18 , EU:C:2020:791 , punti 221 , 222 , da 225 a 227) che vertono, tra l’altro, sulla questione se il diritto dell’Unione osti ad un utilizzo, nell’ambito di un procedimento penale, di informazioni ed elementi di prova ottenuti in violazione dei requisiti derivanti dalla direttiva 2002/58/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche) ( GU 2002, L 201, pag. 37 ). ( 34 ) [OSCURATO:PERSONA] tedesco aggiunge che gli articoli 138, 286, 355 e seguenti del codice di procedura civile nel complesso vertono sul determinare i fatti rilevanti ai fini della sentenza, e che i combinati disposti dell’articolo 286 di tale codice e dell’articolo 103, paragrafo 1, della legge fondamentale implicano che le autorità giurisdizionali siano, in linea di principio, tenute a prendere in considerazione i fatti che le parti espongono e le prove che esse producono. ( 35 ) V. Bundesverfassungsgericht (Corte costituzionale federale), decisione del 9 ottobre 2002 (1 BVR 1611/96, BVerfGE 106, 28-51, DE:BVerfG:2002:rs20021009.1bvr161196, punto 60). ( 36 ) La Seconda Sezione del Bundesarbeitsgericht (Corte federale del lavoro), in una sentenza del 29 giugno 2023 (2 AZR 297/22, DE:BAG:2023:290623.U.2AZR297.22.0), avrebbe quindi ritenuto che una conclusione del genere risultasse chiaramente dall’articolo 17 del RGPD. Il governo tedesco conferma tale interpretazione della sentenza in parola. Esso aggiunge, in sostanza, che, conformemente a tale giurisprudenza, il tribunale può anche essere portato ad escludere taluni mezzi di prova qualora il loro utilizzo costituisca una violazione grave dei diritti fondamentali di una parte nel processo. A tal riguardo, preciso che la questione della possibilità che un singolo possa far valere i propri diritti qualora vi sia un interesse legittimo alla prova rientra più precisamente nella terza questione pregiudiziale, lettera c), che non è oggetto delle presenti conclusioni mirate. ( 37 ) V. sentenza [OSCURATO:PERSONA] (punto 40). ( 38 ) V. considerando 41 del RGPD nonché, in tal senso, sentenze Valsts ieņēmumu dienests (punti 52 e 56), e del 12 settembre 2024, HTB [OSCURATO:PERSONA] e [OSCURATO:PERSONA] IV ( C‑17/22 e C‑18/22 , EU:C:2024:738 , punto 71 ). ( 39 ) Perciò, la Corte ha già ritenuto che disposizioni di diritto nazionale, che riguardano la produzione di un documento come elemento di prova, possano rientrare nei casi di trattamento di dati personali considerati leciti ai sensi delle disposizioni dell’articolo 6, paragrafi 3 e 4, del RGPD, in combinato disposto con l’articolo 23, paragrafo 1, lettere f) e j), dello stesso [v. sentenza [OSCURATO:PERSONA] (punto 45)], ossia che, nel caso in cui un giudice eserciti le competenze giurisdizionali conferitegli dal diritto nazionale, il trattamento di dati personali che tale giudice è chiamato ad effettuare deve essere considerato come necessario alla finalità prevista all’articolo 6, paragrafo 1, primo comma, lettera e), di detto regolamento [v. sentenza del 4 maggio 2023, [OSCURATO:PERSONA] (Casella di posta elettronica degli uffici giudiziari) ( C-60/22 , EU:C:2023:373 , punto 73 )].