Corte di giustizia, Sentenza C-492/23

Protezione dei dati e responsabilità del gestore di un mercato online

La sentenza riguarda un rinvio pregiudiziale della Curtea de Apel Cluj in una controversia tra una persona fisica e i gestori di un mercato online. Al centro vi è la pubblicazione di un annuncio contenente dati personali e dati sensibili della ricorrente, poi replicato su altri siti Internet, e la definizione degli obblighi gravanti sul gestore della piattaforma alla luce del RGPD e della direttiva 2000/31/CE.

Fatti e procedimento principale

Un utente anonimo aveva pubblicato su www.publi24.ro un annuncio falso e dannoso che presentava la ricorrente come offerente servizi sessuali, utilizzando senza consenso fotografie e numero di telefono della stessa. La piattaforma aveva rimosso rapidamente l’annuncio dopo la segnalazione della interessata, ma il contenuto era stato ripreso identico su altri siti.

La giudice di primo grado aveva condannato la società a risarcire il danno morale; in appello, il Tribunalul Specializat Cluj aveva ritenuto applicabile l’esonero di responsabilità per hosting previsto dalla normativa rumena attuativa della direttiva 2000/31/CE. La Curtea de Apel Cluj ha quindi chiesto alla Corte di chiarire se il gestore di un mercato online possa invocare l’esonero degli intermediari e quali obblighi gli derivino dal RGPD.

Questioni pregiudiziali

Il giudice del rinvio ha chiesto, in sostanza:

• se gli articoli da 12 a 15 della direttiva 2000/31/CE si applichino a un marketplace che ospita annunci degli utenti, pur riservandosi ampi diritti di utilizzo dei contenuti;
• se il gestore, in quanto titolare del trattamento, debba verificare in anticipo l’identità dell’inserzionista;
• se debba controllare previamente il contenuto degli annunci per escludere quelli illeciti o lesivi della vita privata;
• se debba adottare misure per impedire o limitare la riproduzione e ridistribuzione degli annunci.

Normativa rilevante

La Corte richiama in particolare:

• la direttiva 2000/31/CE, soprattutto gli articoli da 12 a 15, l’articolo 1, paragrafo 5, lettera b), e l’articolo 15;
• il RGPD, in particolare gli articoli 4, 5, 6, 7, 9, 13, 14, 17, 24, 25, 26, 32, 82 e 94, oltre all’articolo 2, paragrafo 4.

Qualificazione dei dati e del trattamento

La Corte osserva che le informazioni contenute nell’annuncio, comprese fotografie e numero di telefono, costituiscono dati personali. Inoltre, l’annuncio conteneva dati relativi alla vita sessuale o all’orientamento sessuale, rientranti nelle categorie particolari di cui all’articolo 9, paragrafo 1, RGPD.

La pubblicazione di tali dati su una pagina Internet costituisce un trattamento ai sensi dell’articolo 4, punto 2, RGPD.

Il gestore del mercato online come titolare del trattamento

La Corte afferma che il titolare del trattamento è chi determina, singolarmente o insieme ad altri, finalità e mezzi del trattamento. Nel caso di specie, l’utente inserzionista resta certamente un titolare, ma anche il gestore del mercato online lo è, perché:

• pubblica gli annunci per finalità commerciali proprie;
• mette a disposizione il mezzo tecnico che rende accessibili i dati;
• si riserva, nelle condizioni generali, ampi poteri di utilizzare, copiare, distribuire, trasmettere, riprodurre, modificare, tradurre, cedere e rimuovere i contenuti.

Secondo la Corte, il gestore partecipa così alla determinazione delle finalità e dei mezzi del trattamento. La circostanza che non abbia creato il contenuto dell’annuncio non lo esonera dalla qualifica di titolare del trattamento.

Obblighi ex ante sugli annunci contenenti dati sensibili

Quanto agli articoli 5, paragrafo 2, e 24-26 RGPD, la Corte afferma che il principio di responsabilizzazione impone al titolare di adottare misure tecniche e organizzative adeguate e di poter dimostrare la liceità del trattamento.

Per gli annunci contenenti dati sensibili, la piattaforma deve:

• individuare prima della pubblicazione gli annunci che contengono dati sensibili;
• verificare se l’inserzionista sia la stessa persona cui i dati si riferiscono;
• in caso contrario, rifiutare la pubblicazione, salvo che sia dimostrato il consenso esplicito dell’interessato o ricorra un’altra eccezione dell’articolo 9, paragrafo 2.

La Corte sottolinea che la pubblicazione di dati sensibili online comporta rischi elevati, poiché i dati diventano accessibili a un numero indefinito di utenti e possono essere facilmente copiati e ripubblicati altrove.

Verifica dell’identità dell’inserzionista

La Corte ritiene necessario che il gestore acquisisca e verifichi l’identità dell’utente inserzionista, proprio per poter controllare se sia la persona cui si riferiscono i dati sensibili. Ciò discende dagli articoli 24 e 25 RGPD e dall’esigenza di assicurare il rispetto dell’articolo 9, paragrafo 2, lettera a), che richiede il consenso esplicito dell’interessato.

La Corte collega tale obbligo anche agli articoli 13 e 14 RGPD, che impongono di rendere noti all’interessato l’identità e i dati di contatto del titolare del trattamento.

Misure di sicurezza contro copia e ripubblicazione

Con riferimento all’articolo 32 RGPD, la Corte afferma che il gestore del mercato online deve adottare misure di sicurezza tecniche e organizzative adeguate al rischio per impedire che gli annunci contenenti dati sensibili siano riprodotti e pubblicati illecitamente su altri siti Internet.

La Corte precisa che il regolamento non esige l’eliminazione di ogni rischio, ma impone un livello di sicurezza adeguato, valutato in concreto. Nel caso dei dati sensibili, il rischio è particolarmente elevato e le misure devono tendere a limitare quanto più possibile la perdita di controllo sui dati.

Rapporto tra RGPD e direttiva 2000/31/CE

La Corte esclude che il gestore possa invocare gli articoli da 12 a 15 della direttiva 2000/31/CE per sottrarsi agli obblighi derivanti dal RGPD. L’esenzione di responsabilità per gli intermediari e il divieto di imporre un obbligo generale di sorveglianza non possono interferire con il regime speciale di protezione dei dati personali.

In altre parole, la disciplina dell’hosting non neutralizza gli obblighi del titolare del trattamento previsti dal RGPD. L’eventuale invocazione dell’esonero da hosting resta possibile solo per questioni diverse da quelle relative alla protezione dei dati personali.

Dispositivo

La Corte risponde che:

• il gestore di un mercato online, quale titolare del trattamento, deve prima della pubblicazione individuare gli annunci contenenti dati sensibili, verificare l’identità dell’inserzionista e rifiutare la pubblicazione in mancanza di consenso esplicito o di altra eccezione;
• deve adottare misure di sicurezza per impedire la riproduzione illecita degli annunci su altri siti Internet;
• non può invocare gli articoli da 12 a 15 della direttiva 2000/31/CE per opporsi agli obblighi derivanti dal RGPD.

Impatto pratico

Per gli operatori di marketplace e piattaforme di annunci, la sentenza impone un approccio proattivo nella gestione dei contenuti che possono includere dati personali, soprattutto sensibili. Sul piano operativo, diventa essenziale predisporre procedure di verifica dell’identità, filtri ex ante sui contenuti e misure tecniche contro la diffusione incontrollata dei dati pubblicati.