PROTEZIONE DEI DATI PERSONALI. LA CORTE DI GIUSTIZIA SI PRONUNCIA SULL’AZIONE RAPPRESENTATIVA INTENTATA IN ASSENZA DI UN MANDATO E INDIPENDENTEMENTE DALLA VIOLAZIONE DI SPECIFICI DIRITTI DI UN INTERESSATO

In data 11 luglio 2024, la Corte di Giustizia dell’Unione Europea si è pronunciata nella Causa C‑757/22, Meta Platforms Ireland Ltdcontro Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV, sull’interpretazione dell’articolo 80, paragrafo 2 del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (General Data Protection Regulation, GDPR)^[1] in combinato disposto con l’articolo 12, paragrafo 1, prima frase, e l’articolo 13, paragrafo 1, lettere c) ed e), di tale regolamento. Tale domanda era stata presentata nell’ambito di una controversia tra la Meta Platforms Ireland Ltd (“Meta”), la cui sede sociale si trova in Irlanda, e il Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV (Unione federale tedesca delle centrali e delle associazioni di consumatori) in merito alla violazione, da parte della Meta, della normativa tedesca in materia di protezione dei dati personali, costituente al tempo stesso una pratica commerciale sleale, una violazione di una legge in materia di tutela dei consumatori e una violazione del divieto di utilizzazione di condizioni generali di contratto nulle.

Questi i fatti.

La Meta gestisce l’offerta nell’Unione dei servizi del social network on line Facebook, la cui piattaforma conteneva uno spazio denominato “App-Zentrum” (Area Applicazioni) nel quale essa metteva a disposizione degli utenti applicazioni di giochi gratuite fornite da terzi. Più particolarmente, al momento della consultazione di tale spazio l’utente era informato del fatto che i) utilizzando alcune di tali applicazioni, egli consentiva loro di raccogliere diversi dati personali, ii) autorizzava le stesse a pubblicare a suo nome alcuni di tali dati, e iii) utilizzando le applicazioni in questione accettava le loro condizioni generali nonché la loro politica in materia di protezione dei dati. Ritenendo che le informazioni fornite dalle app di giochi interessate nell’Area Applicazioni fossero sleali in quanto non rispettavano le condizioni legali per ottenere un valido consenso dell’utente in forza delle norme in materia di dati personali, l’Unione federale aveva proposto dinanzi al Landgericht Berlin (Tribunale del Land di Berlino) un’azione inibitoria al fine di vietare alla Meta di presentare app come quelle in questione.

Poiché il Tribunale del Land di Berlino aveva accolto le domande dell’Unione federale, la Meta aveva adito il Kammergericht Berlin(Tribunale superiore del Land di Berlino), che tuttavia ne aveva respinto il ricorso. Di conseguenza, la Meta si era rivolta al Bundesgerichtshof (Corte federale di giustizia; il “giudice del rinvio”) che, alla luce della necessità di interpretare la normativa europea rilevante in materia, aveva deciso di sospendere il procedimento e di chiedere alla Corte di Giustizia se l’articolo 80, paragrafo 2^[2], del GDPR debba essere interpretato nel senso che la condizione secondo cui un ente legittimato, per poter proporre un’azione rappresentativa ai sensi di tale disposizione, deve affermare di ritenere che i diritti di cui, a norma di tale regolamento, gode un interessato da un trattamento di dati personali, siano stati violati “in seguito al trattamento”, ai sensi di detta disposizione, è soddisfatta qualora una siffatta azione sia fondata sulla violazione dell’obbligo incombente al titolare del trattamento in forza dell’articolo 12, paragrafo 1, prima frase^[3], e dell’articolo 13, paragrafo 1, lettere c) ed e)^[4], del medesimo regolamento, di comunicare all’interessato, in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro, le informazioni relative alla finalità di tale trattamento di dati nonché ai destinatari di tali dati, al più tardi al momento della raccolta di questi ultimi.

La Corte ha preliminarmente ricordato che l’esercizio dell’azione rappresentativa prevista dall’articolo 80, paragrafo 2, del GDPR da parte di un ente rispondente ai requisiti menzionati al paragrafo 1 presuppone che quest’ultimo, indipendentemente da qualsiasi mandato che gli sia stato conferito, ritenga che i diritti di cui un interessato gode a norma di tale regolamento siano stati violati in seguito al trattamento dei suoi dati personali^[5]. A tale riguardo, l’esercizio di un’azione rappresentativa non è subordinato segnatamente all’esistenza di una violazione concreta dei diritti di cui una persona beneficia sulla base delle norme in materia di protezione dei dati, di modo che, per riconoscere la legittimazione ad agire di un tale ente, è sufficiente far valere che il trattamento di dati controverso è idoneo a pregiudicare i diritti che persone fisiche identificate o identificabili si vedono riconosciuti dal GDPR, senza che sia necessario provare un danno reale subito dall’interessato, in una situazione determinata, a causa della lesione dei suoi diritti^[6]. La proposizione di un’azione rappresentativa, tuttavia, presuppone che l’ente menzionato ritenga che i diritti di un interessato previsti dal GDPR siano stati violati in seguito al trattamento dei suoi dati personali, e dunque che tale ente faccia valere l’esistenza di un trattamento di dati che esso ritiene essere contrario a disposizioni del regolamento stesso^[7]. Di conseguenza, la proposizione di un’azione rappresentativa sulla base dell’articolo 80, paragrafo 2, del GDPR comporta che la violazione dei diritti che l’interessato trae da tale regolamento avvenga in occasione di un trattamento di dati personali.

Tutto ciò premesso, l’obiettivo perseguito dal GDPR consiste nel garantire un elevato livello di protezione dei diritti e delle libertà fondamentali delle persone fisiche, in particolare del loro diritto alla vita privata, con riguardo al trattamento dei dati personali^[8]. A tale fine, qualsiasi trattamento di dati personali deve, da un lato, essere conforme ai principi enunciati all’articolo 5^[9] del GDPR e soddisfare le condizioni di liceità elencate al suo articolo 6^[10] e, dall’altro, rispettare i diritti dell’interessato di cui agli articoli da 12 a 22^[11]. Più particolarmente, un trattamento di dati personali deve soddisfare requisiti concreti in materia di trasparenza nei confronti dell’interessato. A tal fine, il GDPR, da un lato, prevede obblighi precisi per il titolare del trattamento e, dall’altro, riconosce una serie di diritti all’interessato, tra i quali figura, segnatamente, quello di ottenere dal primo informazioni sulle finalità di tale trattamento e sui destinatari concreti ai quali i dati personali che lo riguardano sono stati o saranno comunicati^[12].

Di conseguenza, l’obbligo di informazione che incombe al titolare nei confronti degli interessati da un trattamento di dati personali costituisce il corollario del diritto di informazione riconosciuto loro dagli articoli 12 e 13 del GDPR, e fa quindi parte dei diritti che l’azione rappresentativa prevista all’articolo 80, paragrafo 2, di tale regolamento mira a tutelare. L’asserita violazione del diritto degli interessati di essere sufficientemente informati di tutte le circostanze che accompagnano un trattamento di dati personali, inoltre, può ostare all’espressione di un consenso informato ai sensi del GDPR, ciò che può rendere illecito il trattamento in questione ai sensi dell’articolo 5, paragrafo 1, di tale regolamento. La validità del consenso prestato dall’interessato, infatti, dipende, tra le altre cose, dalla questione se tale soggetto abbia previamente ottenuto le informazioni riguardanti tutte le circostanze relative al trattamento dei dati in questione alle quali aveva diritto, in forza degli articoli 12 e 13 del GDPR, e che gli consentono di dare un consenso con piena cognizione di causa. Nei limiti in cui un trattamento di dati personali effettuato in violazione del diritto di informazione che l’interessato trae dagli articoli 12 e 13 del GDPR viola i requisiti stabiliti all’articolo 5 di tale regolamento, pertanto, occorre considerare la violazione di tale diritto d’informazione come una violazione dei diritti dell’interessato in seguito al trattamento ai sensi dell’articolo 80, paragrafo 2, di tale regolamento.

Alla luce di quanto detto finora, la Corte ha perciò statuito che:

“L’articolo 80, paragrafo 2, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), dev’essere interpretato nel senso che la condizione secondo cui un ente legittimato, per poter proporre un’azione rappresentativa in forza di tale disposizione, deve far valere di ritenere che i diritti di un interessato previsti da tale regolamento siano stati violati «in seguito al trattamento», ai sensi di detta disposizione, è soddisfatta qualora tale ente faccia valere che la violazione dei diritti di tale persona interviene in occasione di un trattamento di dati personali e che essa deriva dall’inadempimento dell’obbligo incombente al titolare del trattamento ai sensi dell’articolo 12, paragrafo 1, prima frase, e dell’articolo 13, paragrafo 1, lettere c) ed e), di detto regolamento, di comunicare all’interessato da tale trattamento di dati, in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro, le informazioni relative alla finalità di tale trattamento di dati nonché ai destinatari di tali dati, al più tardi al momento della raccolta di questi ultimi”.

Scarica l’articolo