Corte di giustizia, Sentenza C-757/22

Violazione degli obblighi informativi RGPD e azione rappresentativa delle associazioni di consumatori

La sentenza riguarda un rinvio pregiudiziale del Bundesgerichtshof in una controversia tra Meta Platforms Ireland Ltd e un'associazione tedesca di consumatori. La Corte è chiamata a stabilire se la violazione degli obblighi di informazione previsti dagli articoli 12 e 13 RGPD possa essere fatta valere da un organismo legittimato ai sensi dell'articolo 80, paragrafo 2, come violazione dei diritti dell'interessato "in seguito al trattamento".

Fatti e procedimento principale

Meta Platforms Ireland gestisce Facebook nell'Unione ed è titolare del trattamento dei dati degli utenti. Nel servizio "App-Zentrum" erano disponibili applicazioni di giochi di terzi, e gli utenti ricevevano informazioni sul fatto che l'uso di tali applicazioni avrebbe comportato la raccolta e la pubblicazione di alcuni dati personali. L'associazione federale dei consumatori ha agito in via inibitoria davanti ai giudici tedeschi, sostenendo che le informazioni fornite non rispettassero il diritto dei dati personali e costituissero al tempo stesso una pratica commerciale sleale e una violazione di norme a tutela dei consumatori e delle clausole generali di contratto. Il giudice del rinvio dubitava, però, che l'associazione conservasse la legittimazione ad agire dopo l'entrata in vigore del RGPD.

Quadro normativo UE rilevante

La Corte richiama in particolare:

• l'articolo 12, paragrafo 1, RGPD, sul principio di trasparenza e sulle modalità di informazione;
• l'articolo 13, paragrafo 1, lettere c) ed e), RGPD, che impone di indicare finalità del trattamento, base giuridica e destinatari dei dati;
• l'articolo 80, paragrafo 2, RGPD, che consente agli Stati membri di prevedere azioni rappresentative senza mandato;
• gli articoli 5 e 6 RGPD, sui principi di liceità, correttezza, trasparenza e sul consenso;
• gli articoli 77, 78 e 79 RGPD sui mezzi di ricorso dell'interessato;
• il considerando 142 RGPD, che esplicita la logica delle azioni rappresentative.

Ragionamento della Corte

La Corte ribadisce anzitutto che l'articolo 80, paragrafo 2, consente un meccanismo di azione rappresentativa da parte di organismi che soddisfino i requisiti del paragrafo 1, senza necessità di mandato dell'interessato, purché l'ente ritenga che i diritti dell'interessato siano stati violati in conseguenza di un trattamento di dati personali. Sotto il profilo materiale, la Corte osserva che l'obbligo di informare l'interessato sulle finalità del trattamento e sui destinatari dei dati è parte integrante dei diritti garantiti dagli articoli 12 e 13 RGPD e costituisce il corollario del principio di trasparenza. Inoltre, la corretta informazione è essenziale anche per consentire un consenso realmente informato ai sensi dell'articolo 4, punto 11, RGPD. Ne consegue che la violazione di tali obblighi informativi, quando avviene nell'ambito di un trattamento di dati personali, integra una violazione dei diritti dell'interessato "in seguito al trattamento". La Corte collega tale conclusione sia all'obiettivo del RGPD di assicurare un livello elevato di protezione dei dati, sia alla funzione preventiva dell'azione rappresentativa.

Decisione e portata pratica

La Corte risponde che la condizione di cui all'articolo 80, paragrafo 2, è soddisfatta quando l'ente deduce che la lesione dei diritti dell'interessato deriva dall'omesso rispetto, da parte del titolare del trattamento, degli obblighi di informazione previsti dagli articoli 12, paragrafo 1, e 13, paragrafo 1, lettere c) ed e), RGPD. Per gli operatori economici, ciò conferma che la conformità agli obblighi di trasparenza non ha solo rilievo individuale, ma può essere oggetto di iniziative collettive da parte di associazioni di consumatori anche senza mandato del singolo interessato.