Corte di giustizia, Sentenza C-319/20

RGPD e azioni rappresentative delle associazioni di consumatori

La pronuncia riguarda un rinvio pregiudiziale del Bundesgerichtshof in una controversia tra Meta Platforms Ireland Limited e l’associazione tedesca dei consumatori Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V. La Corte è stata chiamata a chiarire se il RGPD consenta a un’associazione di agire, senza mandato dell’interessato e senza allegare la lesione di diritti individuali specifici, per far valere in giudizio una violazione della disciplina sulla protezione dei dati nell’ambito di un’azione fondata sul diritto tedesco della concorrenza sleale e della tutela dei consumatori.

Fatti e procedimento principale

Meta Platforms Ireland gestisce Facebook nell’Unione ed è titolare del trattamento dei dati degli utenti europei. Nel social network erano presenti giochi gratuiti di terzi nell’area applicazioni, accompagnati da indicazioni sul trattamento dei dati e sull’autorizzazione a pubblicare contenuti a nome dell’utente. L’Unione federale ha ritenuto tali indicazioni contrarie alle norme sulla protezione dei dati e al diritto dei consumatori, proponendo un’azione inibitoria davanti ai giudici tedeschi.

Il Landgericht Berlin ha accolto la domanda, e il rigetto dell’appello ha portato Meta a proporre ricorso per cassazione. Il Bundesgerichtshof ha dubitato che, dopo l’entrata in vigore del RGPD, l’associazione conservasse la legittimazione ad agire in base al diritto interno, in assenza di mandato e di una lesione individuale concreta.

Normativa rilevante

La Corte richiama in particolare:

• l’articolo 80, paragrafi 1 e 2, RGPD, sulla rappresentanza degli interessati;
• l’articolo 84, paragrafo 1, RGPD, sulle sanzioni nazionali;
• gli articoli 77, 78, 79 e 82 RGPD, sui rimedi dell’interessato;
• i considerando 9, 10, 13 e 142 RGPD;
• l’articolo 16 TFUE e l’articolo 8 della Carta dei diritti fondamentali;
• la direttiva 2005/29/CE sulle pratiche commerciali sleali;
• la direttiva 2009/22/CE sui provvedimenti inibitori a tutela dei consumatori;
• la direttiva (UE) 2020/1828 sulle azioni rappresentative.

Ragionamento della Corte

La Corte osserva anzitutto che la controversia riguarda solo l’articolo 80, paragrafo 2, RGPD: l’articolo 80, paragrafo 1, presuppone infatti un mandato dell’interessato, assente nel caso di specie, mentre l’articolo 84 riguarda le sanzioni amministrative e penali e non la legittimazione ad agire di un’associazione.

Inoltre, la Corte precisa che il RGPD mira a un’armonizzazione ampia ma non assoluta: alcune sue disposizioni, tra cui l’articolo 80, paragrafo 2, lasciano agli Stati membri un margine di discrezionalità. Tale disposizione consente di prevedere un’azione rappresentativa senza mandato, purché l’ente sia senza scopo di lucro, di pubblico interesse e attivo nella protezione dei diritti e delle libertà degli interessati.

Quanto al profilo soggettivo, un’associazione di consumatori può rientrare in tale nozione, poiché la tutela dei consumatori può essere strettamente connessa alla protezione dei dati personali. Quanto al profilo oggettivo, l’azione non richiede:

• l’identificazione individuale preventiva della persona specificamente colpita;
• la prova di una lesione concreta e attuale di un diritto di un interessato determinato.

È sufficiente che l’ente ritenga che il trattamento violi il RGPD e che tale trattamento sia idoneo a pregiudicare i diritti di persone fisiche identificate o identificabili. La Corte valorizza anche la funzione preventiva dell’azione rappresentativa, che rafforza l’effettività della tutela e può essere più efficace del ricorso individuale.

La Corte aggiunge che l’articolo 80, paragrafo 2, non impedisce che le azioni rappresentative siano esercitate tramite strumenti del diritto nazionale destinati a tutelare i consumatori o a reprimere pratiche commerciali sleali. Tale conclusione è coerente anche con la direttiva 2020/1828, la quale include il RGPD nell’allegato I e conferma la possibilità di meccanismi di tutela collettiva nel settore consumeristico, senza sostituire o modificare i meccanismi previsti dal RGPD.

Decisione e dispositivo

La Corte afferma che l’articolo 80, paragrafo 2, RGPD deve essere interpretato nel senso che non osta a una normativa nazionale che consente a un’associazione di tutela dei consumatori di agire in giudizio senza mandato dell’interessato e senza dimostrare la violazione di specifici diritti individuali, contro il presunto autore di una violazione della protezione dei dati, quando il trattamento contestato è idoneo a pregiudicare i diritti riconosciuti dal regolamento a persone fisiche identificate o identificabili.

Principio affermato

La tutela collettiva in materia di protezione dei dati può essere assicurata anche da associazioni di consumatori legittimate dal diritto nazionale, purché l’azione si collochi entro i limiti dell’articolo 80, paragrafo 2, RGPD e il trattamento sia suscettibile di incidere sui diritti degli interessati; non occorre un mandato individuale né la prova di un danno o di una violazione concretamente riferita a un singolo interessato.