Corte di Giustizia, Sentenza del 29/07/2019, sulla tutela del trattamento dei dati personali in Internet

Nel caso di specie una società (la Fashion ID GmbH) aveva inserito nel proprio sito il plug-in “mi piace” del social network Facebook permettendo, così, a quest’ultimo di acquisire i dati degli utenti che si collegavano al sito della società, anche se questi non utilizzavano il suddetto plug-in. Ciò, ovviamente, permetteva alla società di ottenere un vantaggio commerciale derivante dalla più ampia pubblicità. La Verbraucherzentrale NRW, associazione di pubblica utilità per la tutela degli interessi dei consumatori, contesta alla Fashion ID di aver trasmesso alla Facebook Ireland dati personali appartenenti ai visitatori del suo sito Internet, da un lato, senza il consenso di questi ultimi e, dall’altro, in violazione degli obblighi di informazione previsti dalle disposizioni relative alla protezione dei dati personali. Rispondendo ai quesiti del giudice del rinvio, la Corte chiarisce che il diritto della UE (in particolare la direttiva 95/46) non osta a una normativa nazionale che consente alle associazioni per la tutela degli interessi dei consumatori di agire in giudizio contro il presunto autore di una lesione della protezione dei dati personali. In secondo luogo, il giudice di Lussemburgo afferma che una società che, come nel caso di specie, inserisca sul proprio sito un plug-in che permette di comunicare dati personali alla società fornitrice di tale plug-in, deve essere considerato un responsabile del trattamento, per quanto di sua competenza, poiché, in base alla direttiva 95/46, tale concetto non è inteso come un organismo necessariamente unico ma può riguardare più soggetti che, per scopi propri, influiscano sul trattamento di dati personali e partecipino pertanto alla determinazione delle finalità e degli strumenti di tale trattamento. Ovviamente, per poter giustificare le operazioni richiamate, entrambe i gestori devono perseguire un interesse legittimo tramite le operazioni di trattamento dei dati. Infine, anche un gestore, come la società Fashion ID nel caso di specie, ha l’obbligo di informazione degli utenti in base all’art. 10 della suddetta direttiva limitatamente alle operazioni di trattamento dei dati personali di cui esso determina le finalità e gli strumenti.