La Corte di Giustizia Ue ha stabilito che il gestore di un sito internet è responsabile della raccolta, tramite plug-in sociali, dei dati personali dei visitatori del sito. Ma non solo: corresponsabile è anche il fornitore del plug-in. La Corte lo ha chiarito nella recente sentenza della causa C-40/17, per il sito Fashion ID.
Indice degli argomenti
L’uso dei plug-in sociali e il caso Fashion ID
Quella di inserire plug-in sociali (come il pulsante “Mi piace” di Facebook) nelle pagine dei siti è una pratica molto diffusa in rete. L’inserimento di questi plug-in spesso comporta che, quando un visitatore entra nella pagina di un sito dove è collocato un plug-in, il suo browser invia automaticamente informazioni relative all’indirizzo IP e alla stringa del browser dello stesso visitatore al fornitore del plug-in (come Twitter, Facebook, LinkedIn, ecc.).
Questo è quanto accadeva sul sito della società Fashion ID: quando un utente entrava nel sito della Fashion ID, le informazioni relative all’indirizzo IP e alla stringa del browser di tale utente venivano trasferite a Facebook in maniera automatica, indipendentemente dal fatto che l’utente avesse cliccato o meno il pulsante “Mi piace” e che avesse o meno un account Facebook. Tale pratica è stata contestata da un’associazione tedesca per la tutela dei consumatori, la quale ha avviato un’azione inibitoria contro la Fashion ID ritenendo che l’uso di tale plug-in comporti una violazione della normativa sulla protezione dei dati personali. Investito della controversia, l’Oberlandesgericht Düsseldorf (Tribunale superiore del Land di Düsseldorf in Germania) ha ritenuto di chiedere alla Corte di giustizia Ue alcuni chiarimenti in merito a varie disposizioni della direttiva del 1995 sulla protezione dei dati personali (oggi sostituita dal GDPR).
Nonostante le risposte fornite dalla Corte non riguardino direttamente il GDPR – ma la precedente direttiva – tali risposte rimangono rilevanti ai fini dell’interpretazione del Regolamento, visto che riguardano principi e disposizioni che sono rimasti sostanzialmente invariati rispetto alla normativa previgente.
“Titolare del trattamento” in senso ampio
In primo luogo, la Corte ha ricordato come la nozione di “titolare del trattamento” sia da intendersi in senso ampio: tale nozione riguarda l’organismo che, “da solo o insieme ad altri”, determina “le finalità e i mezzi” del trattamento di dati personali, tale nozione non rinvia necessariamente ad un unico organismo e può riguardare vari attori che partecipano a tale trattamento. Ciascuno di tali attori sarà quindi soggetto alle disposizioni applicabili in materia di protezione dei dati personali in qualità di co-titolare.
Tuttavia, sempre secondo la Corte, l’esistenza di una responsabilità congiunta non implica necessariamente una responsabilità equivalente, per un medesimo trattamento di dati personali, dei diversi soggetti che vi partecipano. Al contrario, tali soggetti possono essere coinvolti in fasi diverse di tale trattamento e a diversi livelli, di modo che il grado di responsabilità di ciascuno di essi deve essere valutato tenendo conto di tutte le circostanze rilevanti del caso di specie.
Il gestore del sito Internet e il fornitore del plug-in sociale sono co-titolari, e quindi corresponsabili della raccolta dei dati. Alla luce della propria interpretazione estensiva del concetto di titolare, la Corte ha concluso che un gestore di un sito Internet, come Fashion ID, sia inquadrabile come co-titolare del trattamento, insieme al fornitore del plug-in, rispetto alle operazioni di raccolta e trasmissione dei dati personali dei visitatori del sito tramite plug-in. Ciò in quanto il gestore contribuisce a determinare “i mezzi e le finalità” del trattamento in questione. Infatti, incorporando un plug-in sociale nel proprio sito Internet, il gestore del sito esercita un’influenza decisiva sulla raccolta e sulla trasmissione dei dati personali dei visitatori del sito al fornitore di quel plug-in (ad esempio, Facebook), operazioni che non potrebbero verificarsi senza quel plug-in. Inoltre, l’inclusione di un plug-in quale il pulsante “Mi piace” di Facebook nel proprio sito consente al gestore di ottimizzare la pubblicità dei suoi prodotti rendendoli più visibili su Facebook. Quindi si può affermare che le operazioni di trattamento in questione sono effettuate anche nell’interesse economico del gestore del sito, a prescindere dalla possibilità che quest’ultimo ha di accedere ai dati raccolti. Per contro, il gestore del sito non può essere considerato responsabile delle operazioni di trattamento di dati effettuate dal fornitore del plug-in (ad esempio, Facebook) dopo che i dati sono stati trasferiti a quest’ultimo.
Obblighi del gestore di un sito con plug-in sociali
L’inquadramento del gestore del sito quale titolare del trattamento rispetto alle attività di raccolta e trasmissione di dati tramite plug-in comparta una serie di obblighi per lo stesso. In primis, il gestore deve fornire, al momento della raccolta dei dati, talune informazioni ai visitatori del sito, come, ad esempio, la sua identità e le finalità di tale trattamento.
Il gestore ha inoltre obbligo di valutare quale sia la base giuridica più idonea rispetto alle operazioni di trattamento in questione. Nel caso ritenga appropriato ricorre all’interesse legittimo quale base giuridica del trattamento, è necessario verificare che sia il gestore del sito che il fornitore del plug-in perseguano, con la raccolta e la trasmissione dei dati personali, un interesse legittimo. Nel caso la verifica dia esito negativo, non sarà possibile ricorrere a tale base giuridica per procedere al trattamento. La Corte tuttavia non ha chiarito quali interessi possano considerarsi legittimi in questo contesto.
Nel caso invece in cui la base giuridica sia individuabile nel consenso dell’interessato, il gestore del sito dovrà assicurarsi che il consenso dell’interessato venga acquisito prima che inizi la raccolta e la trasmissione dei dati. Il gestore è tuttavia tenuto ad acquisire il consenso solo per le operazioni di cui è corresponsabile, vale a dire la raccolta e la trasmissione dei dati tramite plug-in.
Conseguenze pratiche per i gestori dei siti
In sostanza, in seguito a questa sentenza, i siti Internet che incorporano plug-in sociali dovranno verificare che le proprie privacy policy coprano le operazioni di raccolta e di trasmissione di dati relative all’uso di tali plug-in. Nel caso poi ricorrano al consenso quale base giuridica del trattamento in questione, dovranno inoltre assicurarsi di adottare misure adeguate ad ottenere il consenso dei visitatori in maniera preventiva. A tale proposito, è bene ricordare come l’acquisizione del consenso tramite caselle di spunta preselezionate sia sconsigliabile, in quanto questa pratica viene spesso ritenuta inidonea a garantire la validità del consenso.
Quelle trattate in questo articolo sono solo alcune delle questioni relative all’interpretazione del diritto Europeo alla protezione dei dati personali che sono state ultimamente sottoposte alla Corte di giustizia Ue. Infatti sono svariati i rinvii pregiudiziali attualmente pendenti davanti alla Corte che hanno ad oggetto il GDPR o la normativa sulla privacy previgente. È quindi raccomandabile continuare a monitorare gli sviluppi giurisprudenziali in questa materia.
