TRATTAMENTO DEI DATI PERSONALI. L’AG DE LA TOUR SI PRONUNCIA SULLA LEGITTIMAZIONE AD AGIRE DI UN’ASSOCIAZIONE PER LA TUTELA DEGLI INTERESSI DEI CONSUMATORI

In data 2 dicembre 2021, l’Avvocato Generale De la Tour ha presentato le sue Conclusioni nella Causa C‑319/20, Facebook Ireland Limited contro Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V., sull’interpretazione dell’articolo 80, paragrafo 2, del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (General Data Protection Regulation, GDPR)^[1]. La domanda pregiudiziale su cui la Corte di Giustizia è destinata a pronunziarsi era stata presentata nell’ambito di una controversia insorta in Germania tra il Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V. (Unione federale delle organizzazioni e associazioni di consumatori; “Unione federale”) e Facebook Ireland Limited (“Facebook”), in relazione ad una violazione della normativa tedesca in materia di protezione dei dati personali integrante, nel contempo, una pratica commerciale sleale, una violazione di norme poste a tutela dei consumatori ed una violazione del divieto di applicare condizioni generali invalide.

Questi i fatti.

Accedendo a taluni giochi nello spazio denominato “App-Zentrum”, in cui Facebook metteva a disposizione, tra le altre cose, giochi gratuiti forniti da terzi, l’utente poteva veder comparire una serie di informazioni cliccando il pulsante “Sofort spielen” (“giocare subito”), dalle quali risultava che l’utilizzo dell’applicazione, da un lato, consentiva alla società fornitrice dei giochi di ottenere un certo numero di dati personali e l’autorizzava a procedere alla pubblicazione, a nome dell’utente, di determinate informazioni e, dall’altro, comportava l’accettazione da parte dell’utente delle condizioni generali dell’applicazione e della sua policy in materia di protezione dei dati. L’Unione federale aveva proposto un’azione inibitoria nei confronti di Facebook dinanzi al Landgericht Berlin (Tribunale del Land di Berlino) ritenendo che la presentazione degli avvisi forniti cliccando il pulsante “Sofort spielen” fosse caratterizzata da slealtà per inosservanza dei requisiti legali applicabili alla raccolta di un valido consenso dell’utente secondo la normativa in materia di protezione dei dati.

Essendo stata condannata sia in primo che in secondo grado, Facebook aveva proposto un ricorso per cassazione dinnanzi al Bundesgerichtshof (Corte federale di giustizia; il “giudice del rinvio”) che, alla luce della necessità di interpretare la normativa europea rilevante in materia, aveva deciso di sospendere il procedimento e di chiedere alla Corte di Giustizia se il Regolamento 2016/679, ed in particolare il suo articolo 80, paragrafo 2^[2], debba essere interpretato nel senso che osta a una normativa nazionale che consente alle associazioni per la tutela degli interessi dei consumatori di agire in giudizio nei confronti del presunto autore di una lesione dei diritti attribuiti in materia di protezione dei dati personali, invocando il divieto delle pratiche commerciali sleali, la violazione di norme poste a tutela dei consumatori o il divieto di applicare condizioni generali invalide.

Secondo l’AG, l’avvio di un’azione rappresentativa ai sensi dell’articolo 80, paragrafo 2, del GDPR presuppone unicamente che sia dedotta in giudizio l’esistenza di un trattamento di dati personali contrario alle disposizioni del regolamento ed idoneo a ledere i diritti di persone identificate o identificabili, senza che la legittimazione ad agire dell’ente sia assoggettata alla verifica caso per caso della lesione dei diritti di una o più persone determinate. Tale azione, pertanto, può essere fondata sull’allegazione della violazione dei diritti che una persona fisica può ritrarre dal GDPR a seguito di un trattamento dei suoi dati personali, non mirando a tutelare un diritto oggettivo, e bensì soltanto i diritti soggettivi che agli interessati rivengono direttamente dal regolamento stesso; di talché, affinché un ente esponenziale sia legittimato ad agire in forza dell’articolo 80, paragrafo 2 è sufficiente che alleghi la violazione di disposizioni del GDPR finalizzate a tutelare i diritti soggettivi degli interessati. Un’interpretazione dell’articolo 80, paragrafo 2, del GDPR secondo cui, per poter esercitare un’azione rappresentativa senza mandato, un ente dovrebbe dimostrare od allegare che una persona determinata è stata lesa nei suoi diritti in una situazione specifica, infatti, limiterebbe eccessivamente l’ambito di applicazione della disposizione stessa.

La tesi favorevole ad un’interpretazione restrittiva dell’articolo 80, paragrafo 2, del GDPR, inoltre, contrappone erroneamente la tutela degli interessi collettivi dei consumatori e la protezione dei diritti riconosciuti ad ogni singolo oggetto di un trattamento che si allega contrario al regolamento; al contrario. la difesa degli interessi collettivi dei consumatori integra la protezione di diritti soggettivi che gli interessati ritraggono direttamente dal GDPR. Di conseguenza, secondo l’AG l’articolo 80, paragrafo 2, del GDPR autorizza gli Stati Membri a prevedere che gli enti esponenziali possano, senza il mandato degli interessati, proporre azioni rappresentative dirette a proteggere gli interessi collettivi dei consumatori, quando sia dedotta la violazione di disposizioni del regolamento in questione che conferiscono diritti soggettivi.

Ciò si è verificato nel caso dell’azione inibitoria proposta dall’Unione federale nei confronti di Facebook. Quest’ultima, infatti, è venuta meno all’obbligo^[3] di fornire all’interessato, in forma concisa, trasparente, intelligibile e facilmente accessibile, e con un linguaggio semplice e chiaro, le informazioni relative alla finalità del trattamento dei dati e al destinatario dei dati personali di cui all’articolo 13 del GDPR^[4]. Poiché tale disposizione rientra nell’ambito di quelle che conferiscono agli interessati dei diritti soggettivi, la protezione di questi ultimi può essere reclamata sia direttamente dagli interessati sia da un ente legittimato ai sensi del GDPR o delle disposizioni nazionali che danno attuazione al suo articolo 80, paragrafo 2.

L’articolo 80, paragrafo 2, del GDPR, inoltre, non osta alle disposizioni nazionali che autorizzano un’associazione per la tutela degli interessi dei consumatori ad esercitare un’azione inibitoria al fine di garantire il rispetto dei diritti conferiti dal regolamento mediante norme volte a proteggere i consumatori o a contrastare le pratiche commerciali sleali. Tali norme possono infatti includere disposizioni simili a quelle contenute nel GDPR, in particolare, per quanto attiene alle informazioni che devono essere fornite agli interessati in merito al trattamento dei loro dati personali, di talché la violazione di una norma in materia di dati personali può contemporaneamente integrare la violazione di norme concernenti la protezione dei consumatori o le pratiche commerciali sleali. Di conseguenza, contrasterebbe con l’obiettivo di garantire un elevato livello di protezione dei dati personali impedire agli Stati Membri di prevedere azioni che, pur perseguendo un obiettivo di protezione dei consumatori, contribuiscano anche a conseguire l’obiettivo della protezione dei dati personali.

Alla luce di quanto detto finora, l’AG ha pertanto suggerito alla Corte di statuire che:

“L’articolo 80, paragrafo 2, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), deve essere interpretato nel senso che non osta a una normativa nazionale che consente alle associazioni per la tutela degli interessi dei consumatori di agire in giudizio contro il presunto autore di una lesione della protezione dei dati personali, invocando il divieto di pratiche commerciali sleali, la violazione di norme poste a tutela dei consumatori o il divieto di applicare condizioni generali invalide, se l’azione rappresentativa di cui trattasi mira a ottenere il rispetto di diritti che le persone oggetto del trattamento contestato traggono direttamente da detto regolamento”.

Scarica l’articolo