Corte di giustizia, Sentenza C-21/23

Legittimazione del concorrente e dati sanitari nella vendita online di medicinali

La Corte di giustizia, riunita in Grande Sezione, si è pronunciata su un rinvio pregiudiziale del Bundesgerichtshof nell’ambito di una controversia tra due farmacisti tedeschi relativa alla vendita online, tramite Amazon-Marketplace, di medicinali riservati alle farmacie. La sentenza affronta due profili: la compatibilità con il RGPD di un’azione proposta da un concorrente sulla base del diritto tedesco contro pratiche commerciali sleali e la qualificazione dei dati inseriti dai clienti al momento dell’ordine come "dati relativi alla salute".

Fatti e procedimento principale

ND gestiva la farmacia "Lindenapotheke" e vendeva online medicinali riservati alle farmacie. Al momento dell’ordine, i clienti dovevano inserire dati quali:

• nome;
• indirizzo di consegna;
• elementi necessari all’individualizzazione dei medicinali ordinati.

DR, anch’egli farmacista, ha chiesto che ND fosse inibito dal vendere tali medicinali su Amazon finché non fosse garantito il previo consenso al trattamento dei dati relativi alla salute. Il Landgericht ha accolto la domanda e l’Oberlandesgericht l’ha confermata, ritenendo la condotta sleale e contraria all’articolo 9, paragrafo 1, del RGPD. ND ha quindi proposto ricorso per cassazione dinanzi al Bundesgerichtshof.

Questioni pregiudiziali

Il giudice del rinvio ha chiesto:

1. se le disposizioni del capo VIII del RGPD ostino a una normativa nazionale che attribuisca ai concorrenti la legittimazione ad agire in sede civile per violazione del regolamento, oltre ai rimedi previsti dal RGPD e ai poteri delle autorità di controllo;
2. se i dati comunicati dai clienti al momento dell’ordine di medicinali vendibili solo in farmacia, ma non soggetti a prescrizione, siano dati relativi alla salute ai sensi dell’articolo 8, paragrafo 1, della direttiva 95/46/CE e dell’articolo 9, paragrafo 1, del RGPD.

Normativa rilevante

La Corte richiama in particolare:

• l’articolo 9, paragrafo 1, RGPD, che vieta il trattamento di categorie particolari di dati personali;
• gli articoli 77, 78, 79 e 80 RGPD, relativi ai rimedi giurisdizionali, al reclamo all’autorità di controllo e alla rappresentanza degli interessati;
• l’articolo 82 RGPD sul risarcimento del danno;
• l’articolo 84 RGPD sulle altre sanzioni nazionali;
• l’articolo 4, punto 15, RGPD, che definisce i dati relativi alla salute;
• l’articolo 8, paragrafo 1, della direttiva 95/46/CE, applicabile al periodo anteriore al 25 maggio 2018;
• gli articoli 7, 8 e 47 della Carta e l’articolo 16, paragrafo 1, TFUE.

Ragionamento della Corte sulla prima questione

La Corte osserva che il capo VIII del RGPD disciplina i rimedi a tutela degli interessati, i quali possono agire direttamente oppure tramite enti legittimati ex articolo 80. Tuttavia, il regolamento non contiene una clausola che escluda espressamente la possibilità per il diritto nazionale di riconoscere ad altri soggetti, come i concorrenti, una tutela fondata su norme nazionali diverse, ad esempio sul divieto delle pratiche commerciali sleali.

Sul piano sistematico, la Corte rileva che il RGPD mira a un’armonizzazione ampia ma non esaustiva di tutti i possibili mezzi di ricorso. Le disposizioni del capo VIII non attribuiscono ai rimedi ivi previsti un carattere esclusivo, né prevedono una competenza prioritaria delle autorità di controllo o dei giudici indicati nel regolamento. Inoltre, la Corte valorizza l’effetto utile del RGPD: un’azione del concorrente può contribuire a rafforzare il rispetto delle norme sostanziali sulla protezione dei dati e quindi il livello di tutela degli interessati.

La Corte precisa però che l’azione del concorrente non persegue, in quanto tale, la protezione dei diritti fondamentali degli interessati, bensì la lealtà concorrenziale. Resta comunque compatibile con il sistema del RGPD, perché si aggiunge ai rimedi già previsti dagli articoli 77-80 e non li sostituisce. L’interpretazione uniforme delle norme del regolamento è inoltre garantita dal rinvio pregiudiziale ex articolo 267 TFUE.

Ragionamento della Corte sulla seconda questione

La Corte ricorda che la nozione di dati relativi alla salute deve essere interpretata in senso ampio, in considerazione dell’elevato livello di tutela perseguito dal RGPD e dalla direttiva 95/46/CE. Sono dati relativi alla salute tutti i dati personali che rivelano informazioni sullo stato di salute fisica o mentale passato, presente o futuro di una persona fisica, anche quando tali informazioni emergono indirettamente per via deduttiva.

Nel caso dell’ordine online di medicinali riservati alle farmacie, il nome del cliente, l’indirizzo di consegna e le informazioni necessarie all’individualizzazione del medicinale consentono di stabilire un nesso tra una persona identificata o identificabile e un medicinale, con conseguente possibilità di dedurre informazioni sul suo stato di salute. La Corte chiarisce che non rileva che il medicinale non sia soggetto a prescrizione medica e nemmeno che possa essere destinato a un terzo: ciò che conta è che il trattamento sia idoneo a rivelare informazioni sanitarie relative a una persona identificata o identificabile.

La Corte aggiunge che il divieto di principio del trattamento resta comunque soggetto alle deroghe previste dall’articolo 9, paragrafo 2, del RGPD, in particolare il consenso esplicito e il trattamento necessario per finalità di assistenza sanitaria.

Decisione e dispositivo

La Corte risponde che:

• il capo VIII del RGPD non osta a una normativa nazionale che riconosca ai concorrenti la legittimazione ad agire dinanzi ai giudici civili, sulla base del divieto delle pratiche commerciali sleali, per far cessare violazioni del RGPD;
• i dati inseriti dai clienti al momento dell’ordine online di medicinali riservati alle farmacie costituiscono dati relativi alla salute ai sensi dell’articolo 8, paragrafo 1, della direttiva 95/46/CE e dell’articolo 9, paragrafo 1, del RGPD, anche se i medicinali non sono soggetti a prescrizione medica.

Principi affermati

La sentenza afferma che il RGPD non realizza un’esclusività totale dei mezzi di tutela in materia di protezione dei dati personali: il diritto nazionale può prevedere rimedi ulteriori, purché non compromettano il sistema del regolamento. Inoltre, la nozione di dati relativi alla salute comprende anche dati che, combinati con l’ordine di medicinali, sono idonei a rivelare lo stato di salute dell’interessato o di altra persona identificabile, a prescindere dalla prescrizione medica del prodotto.