Gen 2

Privacy: il gestore di un sito Internet che inserisce il plugin di un terzo è co-responsabile del trattamento dei dati (Conclusioni dell’Avvocato Generale nella causa C-40/17).

Il 19 dicembre 2018, l’Avvocato Generale Michal Bobek ha presentato le sue conclusioni nell’ambito della causa C-40/17 pendente dinnanzi alla Corte di Giustizia dell’Unione Europea (di seguito “CGUE”).La causa in oggetto riguarda la società tedesca Fashion ID Gmbh & Co. KG (di seguito “Fashion ID”), operante nel settore dell’e-commerce, la quale ha inserito all’interno del proprio sito internet il plugin “like” di Facebook. Tale inserimento, ogni volta che un utente entra nel sito internet della predetta società, comporta la raccolta ed il trasferimento automatico delle informazioni relative all’indirizzo IP e alla stringa del browser a Facebook e indipendentemente dal fatto che l’utente abbia cliccato sul pulsante “like” o abbia un account Facebook.

Con riferimento al trattamento dei dati personali trattati da Fashion ID, un’associazione tedesca per la tutela dei consumatori (la Verbraucherzentrale NRW) ha proposto un’azione inibitoria contro la predetta società adducendo che l’utilizzo del plugin “like” di Facebook comporta il trattamento di dati personali e, di conseguenza, la mancanza di un’idonea informativa in merito alle modalità e alle finalità del trattamento, nonché la mancanza del consenso al trattamento costituirebbe una violazione della normativa in materia di protezione dei dati personali.

Investito della questione, l’Oberlandesgericht Düsseldorf (Tribunale superiore del Land, Düsseldorf) ha richiesto alla CGUE di chiarire l’interpretazione di alcune disposizioni della Direttiva 95/46/CE applicabili alla causa in oggetto e sostituite, oggi, dall’ormai noto Regolamento (UE) 2016/679.

In particolare, il giudice del rinvio ha preliminarmente richiesto se un’associazione di consumatori sia legittimata a promuovere un’azione come quella di cui al caso di specie.

La questione principale posta alla CGUE è se la Fashion ID debba essere qualificata quale “Responsabile del trattamento” in relazione al trattamento dei dati (nella specie indirizzo IP e altre informazioni di navigazione) raccolti tramite plugin e, in tal caso, quali siano gli obblighi gravanti in capo a quest’ultima.

In attesa della decisione dalla CGUE, utili e interessanti indicazioni sul tema provengono dalle conclusioni depositate dall’Avvocato Generale che, in primo luogo, ha ritenuto che le disposizioni della Direttiva 95/46/CE non ostano a una normativa nazionale che riconosce ad associazioni senza scopo di lucro la legittimazione ad avviare un procedimento giudiziario nei confronti del presunto autore di una violazione della normativa in materia di protezione dei dati al fine di tutelare gli interessi degli interessati.

In merito all’individuazione della responsabilità del trattamento dei dati, l’Avvocato Generale ha considerato il gestore di un sito internet che abbia inserito un plugin di terzi (nel caso di specie il pulsante “like” Facebook) quale “co-responsabile del trattamento” insieme a detto terzo. Tuttavia, tale responsabilità congiunta del responsabile del trattamento è limitata alle operazioni per le quali esso co-determina effettivamente gli strumenti e le finalità del trattamento.

Secondo l’Avvocato Generale, nel caso di specie, la Fashion ID agisce come responsabile del trattamento e la sua responsabilità, in tal senso, è congiunta con quella della Facebook, ma limitatamente alla fase di raccolta e di trasmissione dei dati nell’ambito di detto trattamento.
L’Avvocato Generale, inoltre, individua gli obblighi imposti dalle norme applicabili in materia di protezione dei dati personali derivanti dalla qualifica di co-responsabile del trattamento, i quali devono corrispondere alla responsabilità congiunta di detto soggetto nell’ambito della raccolta e della successiva trasmissione dei dati personali. In particolare, grava in capo al gestore del sito Internet l’obbligo di fornire all’utente le informazioni minime richieste per il trattamento dei dati personali dell’interessato tramite l’inserimento del plugin “like” di Facebook all’interno del proprio sito.

Nel caso sottoposto alla CGUE, pertanto, spetterebbe alla Fashion ID fornire un’adeguata informativa agli interessati, i quali, in considerazione delle finalità e delle modalità del trattamento dei dati, dovranno altresì prestare il proprio espresso ed esplicito consenso al trattamento affinché i dati personali possano essere raccolti e successivamente comunicati a Facebook.

Conclusioni_C40_17