Interessante pronuncia della CGUE in materia di tutela dei dati personali dei consumatori.

La Corte di giustizia europea (CGUE, C-319/20) ha concesso la legittimazione ad agire alle associazioni dei consumatori anche in materia di tutela dei dati personali.

Il nostro ordinamento, a ben vedere, già prevede la c.d. class action, ma tale disciplina è stata inizialmente confinata alla materia dei diritti del consumatore e solamente di recente è stata nuovamente rivista dal legislatore, con lo scopo preciso di ampliare le possibilità di azione di un ente rappresentativo a tutela di diritti individuali omogenei nei confronti di imprese o di enti gestori di servizi pubblici o di pubblica utilità.

Grazie alla recente decisione della Corte europea, è dunque possibile esperire una class action anche nell'ambito della tutela dei dati personali, sempre che lo Stato membro dell'UE ne preveda e disciplini le modalità. 

In ragione di tale pronuncia un'associazione dei consumatori può, ora, intraprendere azioni a tutela del diritto alla protezione dei dati personali anche in assenza di uno specifico mandato conferito dall'interessato ed indipendentemente dalla concreta violazione del diritto di un soggetto specificamente individuato.

La decisione, giunta alla fine dello scorso mese di aprile, giunge al termina di una controversia che ha visto come protagonisti Meta Platform Ireland (nuova denominazione di Facebook Ireland, titolare del trattamento dei dati personali degli utenti del social network nell'ambito dell'UE) e l'Unione federale tedesca delle associazioni dei consumatori. Quest’ultima sulla scorta di una legge nazionale antecedente al Regolamento EU 679/2019 (GDPR) in materia di tutela dei dati personali, aveva intrapreso un'azione contro il service provider ritenendo illegittima la modalità di raccolta del consenso al trattamento di tali dati da parte degli utenti, modalità che tra l'altro costituiva, nel contempo, una pratica commerciale sleale. Facebook, invero, ospita spesso app che mettono gratuitamente a disposizione dei giochi forniti da terzi, previo consenso da parte dell'utente medesimo al trattamento di alcuni dati personali.

Nella vicenda portata all'attenzione della Corte, tuttavia, la versione tedesca del sito ospitava un’app che induceva l'utente, accettando le condizioni generali dell'applicazione, ad autorizzare anche la pubblicazione del proprio status, delle proprie foto, del proprio nome e di una serie di altri dati personali. Da qui l’inizio dell’azione inibitoria dell'associazione contro Meta, pur non avendo ricevuto alcun mandato dagli utenti del social network.

Dopo due gradi di giudizio favorevoli all'associazione dei consumatori, davanti alla Cassazione tedesca si è tuttavia posto un problema relativo alla legittimazione dell'associazione dei consumatori di intraprendere concretamente un giudizio, pur senza aver ricevuto uno specifico mandato da un utente, essendo nel frattempo entrato in vigore il GDPR.

A parere della Corte tedesca la dizione letterale delle norme del GDPR in tema di rappresentanza, da parte di organizzazioni o associazioni senza scopo di lucro, sembra far riferimento alla violazione dei diritti dell'interessato quale diretta conseguenza del trattamento dei dati personali; se così fosse non ammetterebbe una tutela anticipatoria, vale a dire una tutela preventiva rispetto alla concreta violazione dei dati personali di una persona fisica.

In ragione di ciò la Corte nazionale ha statuito di sospendere il procedimento e di sottoporre alla Corte di giustizia la questione pregiudiziale relativa alla possibilità o meno, per un’associazione a tutela dei consumatori, di agire in giudizio contro l'autore di atti anche solo potenzialmente pregiudizievoli rispetto alla tutela dei dati personali, operando così in via anticipatoria rispetto alla concreta violazione dei dati personali di una persona fisica e quindi anche senza uno specifico mandato.

La Corte europea, prima di dare concretamente risposta al quesito posto dalla Corte tedesca, configura il quadro di riferimento della disciplina a tutela dei dati personali precisando che il GDPR è stato introdotto dal legislatore europeo, in sostituzione della disciplina precedente, anche allo specifico fine di offrire una disciplina comune a tutti gli Stati membri in materia di tutela dei dati personali, evitando quella frammentazione che le leggi nazionali, pur eventualmente guidate da uno scopo comune determinato in sede europea, inevitabilmente comportano. Del resto, l’obiettivo dell’armonizzazione normativa passa anche attraverso il GDPR.

In alcune disposizioni, tuttavia, il regolamento ammette alcuni residui margini di discrezionalità degli Stati membri ed è questo proprio il caso relativo alla determinazione sulla legittimazione ad agire delle associazioni rappresentative. Più precisamente, perché un ente rappresentativo possa agire a tutela della corretta applicazione della disciplina in materia di dati personali senza aver ricevuto uno specifico mandato occorre che previamente lo Stato membro abbia fatto uso della discrezionalità concessa dal legislatore europeo, disciplinando le modalità di tale azione collettiva.

Nella fattispecie esaminata è vero che il legislatore tedesco non aveva adottato alcuna disposizione particolare al riguardo successivamente all'entrata in vigore del GDPR, ma in quell'ordinamento la legittimazione ad agire degli enti rappresentativi a tutela dei consumatori esisteva già, essendo stata contemplata da una legge precedente.

Chiarito tale passaggio, la CGUE arriva al punto chiave della questione posta dalla Corte tedesca, se, cioè, l'esercizio dell'azione giudiziale da parte dell'ente rappresentativo sia subordinato all'esistenza di una concreta violazione dei diritti di uno specifico interessato, se, quindi sia necessario che la lesione dei diritti dell'interessato si sia già verificata o se, al contrario, sia possibile anche una tutela anticipatoria, in assenza di uno specifico mandato.

Precisando che, per riconoscere la legittimazione ad agire in capo ad un ente rappresentativo, come un'associazione dei consumatori, non è necessario che la violazione dei dati personali di una persona fisica si sia già concretizzata, essendo sufficiente che il trattamento dei dati controverso sia idoneo a pregiudicare i diritti degli interessati, la Corte europea apre dunque all'azione inibitoria collettiva anche in materia di tutela dei dati personali, aggiungendo un ulteriore tassello alla disciplina delle c.d. "azioni di classe".

È, pertanto, possibile che un'associazione dei consumatori intraprenda azioni a tutela del diritto alla protezione dei dati personali anche in assenza di uno specifico mandato conferito dall'interessato ed indipendentemente dalla concreta violazione del diritto di un soggetto specificamente individuato.