Corte di giustizia, Sentenza C-40/17

Protezione dei dati e plug-in social: Fashion ID

La pronuncia riguarda un rinvio pregiudiziale dell’Oberlandesgericht Düsseldorf in una controversia tra una società di commercio online e un’associazione per la tutela dei consumatori, relativa all’inserimento nel sito internet di un plug-in social di Facebook. La Corte interpreta la direttiva 95/46 alla luce del funzionamento del pulsante "Mi piace" e della trasmissione automatica di dati personali al fornitore del plug-in.

Fatti e procedimento principale

Fashion ID aveva incorporato nel proprio sito il pulsante "Mi piace" di Facebook. Secondo la decisione di rinvio, la semplice consultazione del sito poteva provocare la trasmissione alla Facebook Ireland di dati personali del visitatore, senza che quest’ultimo ne fosse consapevole e indipendentemente dalla sua iscrizione a Facebook o dall’uso del pulsante. La Verbraucherzentrale NRW ha promosso un’azione inibitoria dinanzi ai giudici tedeschi per ottenere la cessazione della pratica, deducendo violazioni delle norme sulla protezione dei dati e degli obblighi di informazione.

Normativa rilevante

La Corte richiama in particolare:

• la direttiva 95/46/CE, soprattutto gli articoli 2, 7, 10, 22, 23, 24 e 28;
• la direttiva 2002/58/CE, articolo 5, paragrafo 3;
• la direttiva 2009/22/CE, relativa ai provvedimenti inibitori a tutela degli interessi dei consumatori;
• il regolamento (UE) 2016/679, articolo 80, citato come indice dell’orientamento del legislatore dell’Unione;
• l’articolo 267 TFUE, base del rinvio pregiudiziale.

La Corte osserva inoltre che la direttiva 95/46 è stata poi abrogata e sostituita dal regolamento 2016/679, ma che alla controversia si applica ratione temporis la direttiva.

Prima questione: azione delle associazioni dei consumatori

La Corte afferma che gli articoli 22, 23 e 24 della direttiva 95/46 non ostano a una normativa nazionale che consenta alle associazioni per la tutela dei consumatori di agire in giudizio contro il presunto autore di una violazione della protezione dei dati personali.

Il ragionamento si fonda su tre elementi principali:

• l’articolo 22 garantisce un ricorso giurisdizionale, ma non disciplina in modo esaustivo le condizioni di esercizio del ricorso;
• l’articolo 24 lascia agli Stati membri il compito di adottare "misure appropriate" per garantire la piena applicazione della direttiva;
• una legittimazione ad agire delle associazioni contribuisce, e non ostacola, alla tutela effettiva dei diritti fondamentali delle persone interessate.

La Corte valorizza anche il fatto che l’articolo 80 del regolamento 2016/679 consente espressamente una simile azione, ritenendolo confermativo della soluzione adottata.

Seconda questione: nozione di responsabile del trattamento

La Corte afferma che il gestore di un sito internet che inserisce un plug-in social può essere considerato "responsabile del trattamento" ai sensi dell’articolo 2, lettera d), della direttiva 95/46, anche se non ha alcuna influenza sulle successive operazioni compiute dal fornitore del plug-in.

Tuttavia, tale responsabilità è limitata alle sole operazioni di trattamento di cui il gestore determina effettivamente finalità e mezzi, cioè:

• la raccolta dei dati personali del visitatore;
• la loro comunicazione mediante trasmissione al fornitore del plug-in.

La Corte precisa che:

• la nozione di responsabile del trattamento è ampia e può comprendere più soggetti;
• la contitolarità non richiede che ciascun soggetto abbia accesso ai dati;
• un soggetto non è responsabile delle fasi del trattamento che non determina, né direttamente né congiuntamente ad altri.

Nel caso concreto, Fashion ID e Facebook Ireland determinano congiuntamente finalità e mezzi della raccolta e trasmissione dei dati, perché l’inserimento del plug-in serve anche a favorire la visibilità commerciale dei prodotti del gestore.

Quarta questione: interesse legittimo ex articolo 7, lettera f)

Per la liceità del trattamento, la Corte ricorda che l’articolo 7, lettera f), richiede cumulativamente:

• il perseguimento di un interesse legittimo;
• la necessità del trattamento per tale interesse;
• il bilanciamento con i diritti e le libertà fondamentali dell’interessato.

In una situazione come quella esaminata, la Corte dichiara che devono perseguire un interesse legittimo sia il gestore del sito sia il fornitore del plug-in, con riferimento alle operazioni di raccolta e trasmissione dei dati.

Quinta e sesta questione: consenso e obbligo di informazione

La Corte stabilisce che il consenso richiesto dagli articoli 2, lettera h), e 7, lettera a), deve essere ottenuto dal gestore del sito, ma solo per le operazioni di trattamento di cui egli determina le finalità e i mezzi, cioè ancora una volta raccolta e trasmissione dei dati.

Lo stesso vale per l’obbligo di informazione previsto dall’articolo 10: esso incombe anche sul gestore del sito, ma l’informazione da fornire riguarda solo quelle medesime operazioni di cui il gestore è contitolare.

La Corte sottolinea che l’informazione deve essere resa al momento della raccolta dei dati e che sarebbe incompatibile con una tutela efficace far dipendere il consenso da un soggetto che interviene solo successivamente, cioè dal fornitore del plug-in.

Decisione finale

Nel dispositivo, la Corte risponde che:

• gli articoli 22-24 della direttiva 95/46 non ostano all’azione delle associazioni dei consumatori;
• il gestore del sito può essere responsabile del trattamento, ma solo per raccolta e trasmissione dei dati;
• per tali operazioni ciascun soggetto coinvolto deve perseguire un interesse legittimo;
• il consenso e l’informativa devono essere raccolti/forniti dal gestore, limitatamente alle operazioni di cui egli determina finalità e mezzi.

La pronuncia è rilevante per la ripartizione delle responsabilità tra gestori di siti e fornitori di plug-in social e per la legittimazione delle associazioni consumeristiche in materia privacy.