Corte di giustizia, Sentenza C-252/21

Trattamento di dati personali da parte di un social network dominante e competenze delle autorità nazionali

La pronuncia riguarda un rinvio pregiudiziale dell’Oberlandesgericht Düsseldorf in una controversia tra Meta Platforms Inc., Meta Platforms Ireland Ltd e Facebook Deutschland GmbH e il Bundeskartellamt, con intervento di Verbraucherzentrale Bundesverband eV. La questione centrale è il rapporto tra diritto della concorrenza e RGPD nel contesto del social network Facebook, il cui modello economico si fonda sulla pubblicità personalizzata e sulla raccolta estesa di dati degli utenti.

Fatti e procedimento principale

Il Bundeskartellamt aveva vietato a Meta di subordinare l’uso di Facebook, per utenti residenti in Germania, al trattamento dei cd. dati "off Facebook", raccogliendo e collegando dati provenienti da siti e app di terzi e da altri servizi del gruppo Meta. Secondo l’autorità, tale pratica costituiva un abuso di posizione dominante ai sensi dell’articolo 19 GWB e dell’articolo 102 TFUE, perché il trattamento non sarebbe stato conforme ai criteri di liceità del RGPD. Il giudice tedesco ha chiesto alla Corte se un’autorità antitrust possa fare questo tipo di accertamento e, in caso affermativo, come si coordinino i poteri dell’autorità della concorrenza con quelli delle autorità di controllo dei dati.

Normativa rilevante richiamata

La Corte richiama, in particolare:

• il regolamento (UE) 2016/679 (RGPD), soprattutto gli articoli 4, 5, 6, 7, 9, 13, 51, 55, 56, 57, 58, 60, 61, 62, 63, 64 e 65;
• l’articolo 4, paragrafo 3, TUE sul principio di leale cooperazione;
• l’articolo 102 TFUE;
• il regolamento (CE) n. 1/2003, in particolare l’articolo 5 sulle competenze delle autorità nazionali garanti della concorrenza.

Prima e settima questione: rapporto tra antitrust e RGPD

La Corte osserva che il RGPD attribuisce alle autorità di controllo il compito di vigilare sull’applicazione del regolamento e di garantirne l’applicazione coerente nell’Unione, ma tali norme non escludono che un’autorità garante della concorrenza, nell’ambito di un procedimento per abuso di posizione dominante, debba valutare anche la conformità di un trattamento di dati al RGPD come elemento del comportamento anticoncorrenziale.

La Corte precisa che le due tipologie di autorità hanno funzioni, obiettivi e poteri diversi: le autorità di controllo perseguono la tutela dei diritti fondamentali in materia di dati, mentre le autorità antitrust perseguono la tutela della concorrenza nel mercato interno. La conformità al RGPD può quindi costituire un indizio rilevante per valutare se il comportamento di un’impresa dominante si discosti dai mezzi della concorrenza normale.

Tuttavia, in ossequio all’articolo 4, paragrafo 3, TUE, l’autorità della concorrenza deve cooperare lealmente con le autorità di protezione dei dati. Se esiste già una decisione dell’autorità competente o della capofila, l’autorità antitrust non può discostarsene; se vi sono dubbi, o se il procedimento è contemporaneo, deve consultare e coordinarsi con tali autorità. In mancanza di risposta o di obiezioni entro un termine ragionevole, può proseguire l’indagine.

Seconda questione: trattamento di categorie particolari di dati e dati "manifestamente pubblici"

La Corte interpreta l’articolo 9, paragrafo 1, RGPD nel senso che il trattamento effettuato da un social network, quando raccoglie tramite cookie o strumenti analoghi dati derivanti dalla visita di siti o app connessi a categorie sensibili e li collega all’account utente, è un trattamento di categorie particolari di dati se tali dati sono idonei a rivelare informazioni sensibili. Non conta che tali informazioni riguardino l’utente o un terzo.

Quanto alla deroga dell’articolo 9, paragrafo 2, lettera e), la Corte distingue:

• la mera consultazione di siti o app non rende manifestamente pubblici i dati di navigazione;
• l’inserimento di dati o l’uso di pulsanti come "Mi piace", "Condividi" o strumenti di login può rendere i dati pubblici solo se l’utente ha espresso previamente e in modo esplicito la volontà di renderli accessibili a un numero illimitato di persone, eventualmente tramite impostazioni consapevoli di privacy.

Terza e quarta questione: liceità del trattamento ex articolo 6, paragrafo 1, lettere b) e f)

La Corte ricorda che l’articolo 6, paragrafo 1, RGPD contiene un elenco tassativo di basi di liceità. Per la lettera b), il trattamento è lecito solo se è oggettivamente indispensabile per eseguire un contratto e per una finalità che costituisce parte integrante della prestazione contrattuale.

Ne segue che la personalizzazione dei contenuti o la raccolta di dati da altri servizi del gruppo non sono sufficienti di per sé, se il servizio di social network può essere fornito anche senza quel trattamento. La Corte sottolinea che servizi distinti del gruppo Meta possono essere utilizzati separatamente, dunque il trattamento dei dati provenienti da altri servizi non appare, in linea di principio, necessario all’esecuzione del contratto di Facebook.

Per la lettera f), la Corte applica il classico test tripartito: esistenza di un legittimo interesse, necessità del trattamento e bilanciamento con i diritti dell’interessato. Vengono riconosciuti come potenzialmente legittimi, a certe condizioni, la sicurezza del network e, in astratto, il miglioramento del prodotto o il marketing diretto; tuttavia, nel caso concreto, la personalizzazione della pubblicità non può essere ricondotta al legittimo interesse, perché l’utente non può ragionevolmente aspettarsi un trattamento così esteso senza consenso. La Corte evidenzia anche l’ampiezza del trattamento e il suo forte impatto sulla vita privata dell’utente.

Quinta questione: lettere c), d) ed e)

Per la lettera c), il trattamento è lecito solo se è realmente necessario per adempiere un obbligo legale previsto dal diritto dell’Unione o nazionale, proporzionato e fondato su un interesse pubblico. Per la lettera e), occorre un compito di interesse pubblico o connesso all’esercizio di pubblici poteri, condizione difficilmente compatibile con l’attività essenzialmente economica di Meta. La Corte esclude, in linea di principio, che un operatore privato possa fondare il trattamento su un generico interesse a rispondere a richieste delle autorità o a svolgere ricerche a beneficio della società senza una base legale specifica.

Per la lettera d), relativa alla salvaguardia degli interessi vitali, la Corte osserva che si tratta di un’ipotesi eccezionale, pensata per contesti di emergenza o protezione della vita, e che non può essere invocata in via astratta da un social network per giustificare il trattamento preventivo di dati di massa.

Sesta questione: validità del consenso in presenza di posizione dominante

La Corte afferma che la sola circostanza che l’operatore del social network sia in posizione dominante non esclude in astratto la validità del consenso ai sensi degli articoli 4, punto 11, 6, paragrafo 1, lettera a) e 9, paragrafo 2, lettera a) del RGPD. Tuttavia, la posizione dominante è un elemento molto rilevante per valutare se il consenso sia stato davvero libero, poiché può creare un evidente squilibrio tra le parti e ridurre la possibilità dell’utente di rifiutare o revocare il consenso senza pregiudizio.

La Corte insiste sul fatto che il titolare del trattamento deve dimostrare la validità del consenso e che gli utenti devono poter rifiutare singole operazioni non necessarie senza perdere integralmente il servizio, eventualmente con un’alternativa equivalente. Inoltre, quando il trattamento riguarda anche dati "off Facebook", è auspicabile un consenso separato rispetto ai dati generati all’interno del social network.

Dispositivo e principi affermati

La Corte conclude che:

• le autorità antitrust possono, con i limiti indicati, constatare la non conformità al RGPD nell’ambito di un procedimento per abuso di posizione dominante;
• il trattamento di dati raccolti tramite siti e app terzi può integrare il trattamento di categorie particolari di dati;
• la mera consultazione non rende i dati manifestamente pubblici;
• l’articolo 6, paragrafo 1, lettere b), c), d), e) e f), non consente una giustificazione ampia del trattamento di massa effettuato da un social network;
• la posizione dominante non invalida automaticamente il consenso, ma ne condiziona in modo decisivo la libertà e la validità.

La pronuncia è particolarmente rilevante per operatori digitali, imprese pubblicitarie e consulenti che si occupano di compliance GDPR e di pratiche anticoncorrenziali basate sui dati.