Corte di giustizia, Sentenza C-210/16

Responsabilità del gestore di una fanpage Facebook e poteri delle autorità di controllo

La pronuncia riguarda un rinvio pregiudiziale del Bundesverwaltungsgericht in una controversia tra l’autorità di controllo della protezione dei dati dello Schleswig-Holstein e una società che gestiva una fanpage su Facebook. La Corte è stata chiamata a interpretare la direttiva 95/46/CE in relazione alla nozione di responsabile del trattamento e all’estensione dei poteri delle autorità nazionali di controllo nei confronti di soggetti collegati a gruppi societari multinazionali.

Fatti e procedimento principale

La Wirtschaftsakademie Schleswig-Holstein GmbH gestiva una fanpage su Facebook per promuovere servizi di formazione. Tramite Facebook Insights, Facebook raccoglieva dati dei visitatori della pagina mediante cookie, producendo statistiche anonime messe a disposizione dell’amministratore della fanpage. L’ULD ordinava alla società di disattivare la fanpage, ritenendo che né la società né Facebook informassero adeguatamente i visitatori del trattamento dei dati.

La società contestava il provvedimento sostenendo di non essere responsabile del trattamento effettuato da Facebook. Dopo decisioni contrastanti dei giudici amministrativi tedeschi, la controversia giungeva al Bundesverwaltungsgericht, che proponeva sei questioni pregiudiziali alla Corte.

Normativa rilevante

La Corte richiama in particolare:

• la direttiva 95/46/CE, specie gli articoli 1, 2, 4, 17, 24 e 28;
• i considerando 10, 18, 19 e 26 della direttiva;
• l’articolo 267 TFUE;
• l’articolo 8, paragrafo 3, della Carta dei diritti fondamentali e l’articolo 16, paragrafo 2, TFUE.

Sul piano nazionale sono menzionati il BDSG e il TMG, rilevanti per il provvedimento dell’autorità tedesca.

Prima e seconda questione: nozione di responsabile del trattamento

La Corte afferma che la nozione di responsabile del trattamento di cui all’articolo 2, lettera d), della direttiva 95/46/CE va interpretata in modo ampio e funzionale. Essa non si limita all’organismo che decide unilateralmente su finalità e mezzi del trattamento, ma può includere più soggetti che partecipano congiuntamente alla determinazione di tali elementi.

Nel caso della fanpage Facebook, l’amministratore della pagina contribuisce al trattamento perché:

• crea la fanpage e ne accetta le condizioni d’uso, inclusa la politica sui cookie;
• può impostare parametri e criteri statistici in funzione del pubblico e degli obiettivi di promozione;
• può richiedere dati demografici e comportamentali del pubblico, utili per indirizzare meglio le comunicazioni.

La Corte sottolinea che il fatto che i dati statistici siano trasmessi in forma anonima all’amministratore non esclude la sua corresponsabilità, poiché il trattamento preliminare dei dati personali avviene comunque tramite i cookie installati da Facebook. Ne deriva che l’amministratore della fanpage deve essere considerato responsabile del trattamento, insieme a Facebook Ireland, per il trattamento dei dati dei visitatori della pagina.

Terza e quarta questione: competenza dell’autorità di controllo in presenza di filiali in più Stati membri

La Corte ricorda che, ai sensi dell’articolo 4, paragrafo 1, lettera a), della direttiva 95/46/CE, il diritto nazionale dello Stato membro si applica al trattamento effettuato nel contesto delle attività di uno stabilimento del responsabile del trattamento nel territorio di tale Stato. Lo stabilimento esiste quando vi è un’attività effettiva e reale mediante un’organizzazione stabile, indipendentemente dalla forma giuridica.

Nel caso di specie, la Facebook Germany costituisce uno stabilimento, e le sue attività di promozione e vendita pubblicitaria risultano inscindibilmente connesse al trattamento dei dati, poiché servono a rendere redditizio il social network. Pertanto, il trattamento dei dati dei visitatori della fanpage deve considerarsi effettuato nel contesto delle attività di tale stabilimento, con applicazione del diritto tedesco.

Conseguentemente, l’autorità di controllo tedesca può esercitare i poteri conferiti dall’articolo 28, paragrafo 3, nei confronti della filiale situata in Germania, anche se la responsabilità operativa della raccolta e del trattamento è attribuita a Facebook Ireland per l’intera Unione. La presenza di una società controllante situata in uno Stato terzo non altera questa conclusione.

Quinta e sesta questione: autonomia dell’autorità di controllo e rapporti con l’autorità di un altro Stato membro

La Corte afferma che la direttiva 95/46 non prevede alcun criterio di priorità tra autorità di controllo di Stati membri diversi, né impone all’autorità nazionale di conformarsi alla valutazione di un’altra autorità.

Ogni autorità di controllo deve poter verificare, in piena indipendenza, se un trattamento di dati personali nel proprio territorio rispetti le norme applicabili. Di conseguenza, l’ULD poteva valutare autonomamente la liceità del trattamento collegato alla fanpage, senza dover previamente chiedere l’intervento dell’autorità irlandese.

Dispositivo

La Corte conclude che:

• l’amministratore di una fanpage su un social network rientra nella nozione di responsabile del trattamento;
• l’autorità di controllo di uno Stato membro può esercitare i propri poteri verso una filiale presente sul suo territorio anche se il trattamento è organizzato da una filiale di un altro Stato membro;
• l’autorità di controllo può valutare autonomamente la liceità del trattamento e agire senza previa richiesta all’autorità dell’altro Stato membro.

Principi affermati

La sentenza consolida tre principi operativi di rilievo pratico:

• la responsabilità in materia di protezione dei dati può essere condivisa tra la piattaforma e l’amministratore della pagina;
• l’applicazione territoriale della normativa privacy dipende anche dal collegamento funzionale tra trattamento e attività dello stabilimento locale;
• le autorità nazionali di controllo mantengono un autonomo potere di intervento a tutela effettiva degli interessati.