social network

Arriva dalla Corte di Giustizia dell’Unione Europea una sentenza che fornisce un interessante spunto di riflessione sulla questione riguardante la responsabilità degli amministratori di una pagina Facebook per il trattamento dei dati dei visitatori, soprattutto alla luce dell’entrata in vigore lo scorso 25 maggio del nuovo Regolamento UE n. 679/2016. (GDPR).

Il caso oggetto di rinvio alla Corte di Giustizia UE

Il caso origina da un ricorso presentato da una società tedesca (la Wirtschaftsakademie, con sede nel land dello Schleswig-Holstein) specializzata nel settore della formazione, la quale offriva i propri servizi agli utenti servendosi di una fanpage appositamente creata sul popolare network di Palo Alto e nei confronti della quale l’Autorità Garante regionale per la protezione dei dati dello Schleswig – Holstein (il Land in cui la società ha sede ndr) aveva disposto la chiusura per violazione della direttiva 95/46.

L’Autorità competente, con decisione del 3 novembre 2011, contestava alla società che né lei né Facebook avevano informato i visitatori del fatto che, attraverso cookies appositamente installati sul disco fisso degli utenti, le informazioni personali venissero raccolte e poi successivamente elaborate per altre finalità.

In particolare, utilizzando la funzione denominata “Facebook Insights” i dati statistici anonimi riguardanti i visitatori venivano raccolti al momento dell’accesso alla pagina attraverso cookies di durata biennale, ciascuno contraddistinto da un codice univoco e salvato appositamente sul disco fisso o altro supporto dell’utente.

La società impugnava quindi tale decisione davanti ai tribunali amministrativi tedeschi, lamentando la sua mancanza di responsabilità nel trattamento in oggetto, in quanto effettuato autonomamente da Facebook, senza che il social network fosse stato in qualche modo incaricato dalla società ad effettuarlo.

Pertanto, la Wirtschaftsakademie deduceva che l’azione avrebbe dovuto essere rivolta non nei suoi confronti, bensì verso la stessa Facebook.

 La sentenza della Corte di Giustizia UE sulla causa C-210/16 – sentenza del 5 giugno 2018 Wirtschaftsakademie Schleswig-Holstein

In tale contesto, la Corte Amministrativa federale tedesca richiedeva in via incidentale alla Corte di Giustizia dell’Unione un’interpretazione della direttiva 95/46 in materia di protezione dei dati personali (oggi abrogata dal GDPR) ritenuta necessaria per poter decidere il caso di specie.

Interpellata sul punto, la Corte asserisce preliminarmente che sia Facebook Inc. che la sua divisione irlandese (Facebook Ireland Ltd.) debbano considerarsi “responsabili del trattamento”, con riguardo non solo ai dati personali dei propri utenti, ma anche di quelli dei visitatori delle relative pagine.

Ciò si evinceva dalla definizione della figura del Responsabile del Trattamento fornita sia dagli artt. 2 lett. d) e 17 par. 2. della direttiva 95/46, che dell’art. 3 par. 7 della legge tedesca sulla protezione dei dati, il quale, nel caso di specie, è individuato nella società che determina in via principale le finalità e gli strumenti inerenti al trattamento dei dati.

Pertanto, la responsabilità inerente al trattamento dei dati – osserva la Corte – dev’essere necessariamente attribuita anche all’amministratore della fanpage, il quale, impostando personalmente i parametri con cui regolare il proprio campo o settore d’intervento, determina le finalità e i mezzi attraverso cui effettuare il trattamento dei dati dei propri utenti.

In pratica ciò si realizza ogniqualvolta l’amministratore effettua il trattamento utilizzando, ad esempio, dati riguardanti lo stile di vita o gli interessi dei destinatari o, più generalmente, dati riguardanti l’età, il sesso o la zona geografica di provenienza e in base ad essi realizza campagne pubblicitarie o promozionali parametrate sul pubblico così selezionato.

Secondo la Corte, a nulla vale che l’admin si serva di una piattaforma di proprietà di terzi per beneficiare dei servizi messi a disposizione da quest’ultima e, in particolare, questo non lo esonera dal rispettare le norme comunitarie e nazionali previste in tema di protezione dei dati personali.

In buona sostanza la Corte di Giustizia aderisce all’orientamento già espresso con la celebre sentenza riguardante Google Spagna e Google Inc. del 13 maggio 2014 (causa C-131/12) la quale, sulla base di una definizione ampia della figura del Responsabile del Trattamento, individua tra gli altri, “l’organismo che da solo o insieme ad altri determina le finalità e gli strumenti del trattamento di dati personali”.

Tale forma di responsabilità solidale è posta quindi a presidio dei diritti e degli interessi degli utenti visitatori della fanpage così da ottemperare alle suddette prescrizioni della direttiva 95/46.

A tal fine quindi è competenza dell’Autorità Garante federale per la protezione dei dati la garanzia del rispetto delle disposizioni poste a tutela dei dati personali degli utenti, compreso quello di esercitare, nei confronti di qualsiasi società operante sul territorio tedesco, ogni potere ad essa attribuito sia dalle disposizioni comunitarie (artt. 4 e 28 della direttiva 95/46) che da quelle nazionali che ne dispongano l’attuazione.

È infatti compito del Garante dello Stato membro quello di esercitare i propri poteri anche nei confronti di una holding capogruppo la cui organizzazione preveda che alla filiale stabilita in detto territorio sia demandata anche la sola attività di marketing o promozionale, mentre la raccolta e il trattamento dei dati sia di competenza di un’altra società situata in altro stato membro (nel caso di specie Facebook Ireland Ltd.).

Tra i poteri dell’Autorità Garante rientra quindi la valutazione in merito alla liceità o meno di un determinato trattamento effettuato da un soggetto terzo responsabile, avente la propria sede in altro Stato membro e soggetta al controllo del rispettivo Garante.

In altre parole, la Corte osserva che, nel caso di specie, il garante tedesco può a tutti gli effetti esercitare i propri poteri d’intervento o sanzionatori in maniera autonoma nei confronti di Facebook Ireland Ltd. anche senza richiedere l’espressa autorizzazione del Garante Irlandese.

Conclusioni: i risvolti interpretativi della questione alla luce dell’entrata in vigore del Regolamento UE n. 679/2016 (GDPR)

Come è stato evidenziato, la sentenza in questione applica la normativa vigente all’epoca dei fatti oggetto della causa, precedenti cioè all’entrata in vigore del nuovo regolamento n. 679/2016 (GDPR) in materia di protezione dei dati personali.

Analizzando il contenuto, l’iter logico ed argomentativo seguito dai giudici nella redazione della sentenza non desta particolari perplessità, in quanto rispecchia fedelmente l’attuale impianto normativo del GDPR che, com’è noto, è divenuto pienamente applicabile dallo scorso 25 maggio.

Tuttavia, alcuni dubbi potrebbero essere ingenerati dalla traduzione italiana della sentenza rispetto ai termini utilizzati e ai ruoli ricoperti dai soggetti del trattamento.

L’amministratore della pagina Facebook è infatti indicato con un generico “responsabile”.

Dal comunicato stampa emesso successivamente alla sentenza si evince chiaramente che il termine “responsabile” sta ad indicare la responsabilità solidale dell’amministratore della fanpage insieme a Facebook, mentre nella sentenza è evidente l’utilizzo della traduzione italiana con riferimento alla previgente direttiva n. 95/46 la quale utilizza i termini di “responsabile” e “incaricato” per indicare il “controller” (attuale titolare del trattamento) e il “processor” (attuale responsabile del trattamento).

Nonostante ciò, con l’entrata in vigore del Reg. Ue n. 679/2016 il Garante ha stabilito che la traduzione di “controller” sia riferita al “titolare del trattamento”, mentre quella di “processor” sta ad indica il “responsabile del trattamento”, secondo quanto stabilito dall’art. 4 del GDPR.

Superati quindi i dubbi che la terminologia utilizzata dalla sentenza può facilmente suscitare, emerge dal confronto delle due definizioni un chiaro riferimento agli stessi soggetti.

Dott. Ercole Dalmanzio

Ultimi aggiornamenti

spid cns azienda
La pandemia da Covid-19 è stata un fattore propulsivo di un processo che era già in progressivo e rapido avanzamento: l’avanzamento digitale dei servizi delle Pubbliche Amministrazioni è infatti un obiettivo a lungo perseguito dal legislatore, europeo ed italiano. L’auspicio è quello, fra tutti, di snellire […]
cookie policy generator iubenda privacy
Navigando in rete, è diventata sempre più alta la probabilità di imbattersi in siti web del tutto diversi fra loro – sia perché i gestori dei siti sono diversi, sia perché diversi sono i contenuti all’interno della pagina stessa – ma che hanno una Privacy & […]
e-commerce sanzioni direttiva omnibus
Il già ampio novero di strumenti legislativi previsti a tutela dei diritti dei consumatori (ed imposti agli eCommerce) è stato recentemente arricchito dall’entrata in vigore della Direttiva Omnibus (direttiva (UE) 2019/2161 che modifica la direttiva 93/13/CEE del Consiglio e le direttive 98/6/CE, 2005/29/CE e 2011/83/UE del […]

Iscriviti alla nostra newsletter

i nostri social

Guarda i nostri video e rimani aggiornato con notizie e guide

Lo sapevi che per continuare a fare Smart Working in azienda bisognerà adottare degli accorgimenti entro il 30 giugno?

Le modalità per fare marketing si sono evolute di pari passo alle norme in tema di privacy, questo porta ad un binomio complesso: lead generation e privacy. Come fare contatti rispettando però il GDPR?

Il marchio oggi non rappresenta meramente un simbolo identificativo, ma diviene uno degli elementi fondanti della brand identity di un’impresa. La registrazione è fondamentale per tutela e VALORE del tuo business.