Questo sito web utilizza cookie tecnici e, previo Suo consenso, cookie di profilazione, nostri e di terze parti. Chiudendo questo banner, scorrendo questa pagina o cliccando qualunque suo elemento acconsente all'uso dei cookie. Leggi la nostra Cookie Policy per esteso.OK

Fashionid

Plug-in sociali, gestore del sito e fornitore sono co-titolari del trattamento dei dati

La Corte di Lussemburgo ha chiarito che il gestore di un sito corredato da plug-in, come il pulsante “Mi piace” di Facebook, è responsabile della raccolta e della trasmissione dei dati personali dei visitatori del sito insieme al fornitore del plug-in a cui i dati vengono trasferiti. La sentenza è sul sito FashionId. Vediamo perché

02 Ago 2019
T
Luca Tosoni

Avvocato e ricercatore presso l'Università di Oslo


La Corte di Giustizia Ue ha stabilito che il gestore di un sito internet è responsabile della raccolta, tramite plug-in sociali, dei dati personali dei visitatori del sito. Ma non solo: corresponsabile è anche il fornitore del plug-in. La Corte lo ha chiarito nella recente sentenza della causa C-40/17, per il sito Fashion ID.

L’uso dei plug-in sociali e il caso Fashion ID

Quella di inserire plug-in sociali (come il pulsante “Mi piace” di Facebook) nelle pagine dei siti è una pratica molto diffusa in rete. L’inserimento di questi plug-in spesso comporta che, quando un visitatore entra nella pagina di un sito dove è collocato un plug-in, il suo browser invia automaticamente informazioni relative all’indirizzo IP e alla stringa del browser dello stesso visitatore al fornitore del plug-in (come Twitter, Facebook, LinkedIn, ecc.).

Questo è quanto accadeva sul sito della società Fashion ID: quando un utente entrava nel sito della Fashion ID, le informazioni relative all’indirizzo IP e alla stringa del browser di tale utente venivano trasferite a Facebook in maniera automatica, indipendentemente dal fatto che l’utente avesse cliccato o meno il pulsante “Mi piace” e che avesse o meno un account Facebook. Tale pratica è stata contestata da un’associazione tedesca per la tutela dei consumatori, la quale ha avviato un’azione inibitoria contro la Fashion ID ritenendo che l’uso di tale plug-in comporti una violazione della normativa sulla protezione dei dati personali. Investito della controversia, l’Oberlandesgericht Düsseldorf (Tribunale superiore del Land di Düsseldorf in Germania) ha ritenuto di chiedere alla Corte di giustizia Ue alcuni chiarimenti in merito a varie disposizioni della direttiva del 1995 sulla protezione dei dati personali (oggi sostituita dal GDPR).

Nonostante le risposte fornite dalla Corte non riguardino direttamente il GDPR – ma la precedente direttiva  – tali risposte rimangono rilevanti ai fini dell’interpretazione del Regolamento, visto che riguardano principi e disposizioni che sono rimasti sostanzialmente invariati rispetto alla normativa previgente.

“Titolare del trattamento” in senso ampio

In primo luogo, la Corte ha ricordato come la nozione di “titolare del trattamento” sia da intendersi in senso ampio: tale nozione riguarda l’organismo che, “da solo o insieme ad altri”, determina “le finalità e i mezzi” del trattamento di dati personali, tale nozione non rinvia necessariamente ad un unico organismo e può riguardare vari attori che partecipano a tale trattamento. Ciascuno di tali attori sarà quindi soggetto alle disposizioni applicabili in materia di protezione dei dati personali in qualità di co-titolare.

Tuttavia, sempre secondo la Corte, l’esistenza di una responsabilità congiunta non implica necessariamente una responsabilità equivalente, per un medesimo trattamento di dati personali, dei diversi soggetti che vi partecipano. Al contrario, tali soggetti possono essere coinvolti in fasi diverse di tale trattamento e a diversi livelli, di modo che il grado di responsabilità di ciascuno di essi deve essere valutato tenendo conto di tutte le circostanze rilevanti del caso di specie.

Il gestore del sito Internet e il fornitore del plug-in sociale sono co-titolari, e quindi corresponsabili della raccolta dei dati. Alla luce della propria interpretazione estensiva del concetto di titolare, la Corte ha concluso che un gestore di un sito Internet, come Fashion ID, sia inquadrabile come co-titolare del trattamento, insieme al fornitore del plug-in, rispetto alle operazioni di raccolta e trasmissione dei dati personali dei visitatori del sito tramite plug-in. Ciò in quanto il gestore contribuisce a determinare “i mezzi e le finalità” del trattamento in questione. Infatti, incorporando un plug-in sociale nel proprio sito Internet, il gestore del sito esercita un’influenza decisiva sulla raccolta e sulla trasmissione dei dati personali dei visitatori del sito al fornitore di quel plug-in (ad esempio, Facebook), operazioni che non potrebbero verificarsi senza quel plug-in. Inoltre, l’inclusione di un plug-in quale il pulsante “Mi piace” di Facebook nel proprio sito consente al gestore di ottimizzare la pubblicità dei suoi prodotti rendendoli più visibili su Facebook. Quindi si può affermare che le operazioni di trattamento in questione sono effettuate anche nell’interesse economico del gestore del sito, a prescindere dalla possibilità che quest’ultimo ha di accedere ai dati raccolti. Per contro, il gestore del sito non può essere considerato responsabile delle operazioni di trattamento di dati effettuate dal fornitore del plug-in (ad esempio, Facebook) dopo che i dati sono stati trasferiti a quest’ultimo.

Obblighi del gestore di un sito con plug-in sociali

L’inquadramento del gestore del sito quale titolare del trattamento rispetto alle attività di raccolta e trasmissione di dati tramite plug-in comparta una serie di obblighi per lo stesso. In primis, il gestore deve fornire, al momento della raccolta dei dati, talune informazioni ai visitatori del sito, come, ad esempio, la sua identità e le finalità di tale trattamento.

Il gestore ha inoltre obbligo di valutare quale sia la base giuridica più idonea rispetto alle operazioni di trattamento in questione. Nel caso ritenga appropriato ricorre all’interesse legittimo quale base giuridica del trattamento, è necessario verificare che sia il gestore del sito che il fornitore del plug-in perseguano, con la raccolta e la trasmissione dei dati personali, un interesse legittimo. Nel caso la verifica dia esito negativo, non sarà possibile ricorrere a tale base giuridica per procedere al trattamento. La Corte tuttavia non ha chiarito quali interessi possano considerarsi legittimi in questo contesto.

Nel caso invece in cui la base giuridica sia individuabile nel consenso dell’interessato, il gestore del sito dovrà assicurarsi che il consenso dell’interessato venga acquisito prima che inizi la raccolta e la trasmissione dei dati. Il gestore è tuttavia tenuto ad acquisire il consenso solo per le operazioni di cui è corresponsabile, vale a dire la raccolta e la trasmissione dei dati tramite plug-in.

Conseguenze pratiche per i gestori dei siti

In sostanza, in seguito a questa sentenza, i siti Internet che incorporano plug-in sociali dovranno verificare che le proprie privacy policy coprano le operazioni di raccolta e di trasmissione di dati relative all’uso di tali plug-in. Nel caso poi ricorrano al consenso quale base giuridica del trattamento in questione, dovranno inoltre assicurarsi di adottare misure adeguate ad ottenere il consenso dei visitatori in maniera preventiva. A tale proposito, è bene ricordare come l’acquisizione del consenso tramite caselle di spunta preselezionate sia sconsigliabile, in quanto questa pratica viene spesso ritenuta inidonea a garantire la validità del consenso.

Quelle trattate in questo articolo sono solo alcune delle questioni relative all’interpretazione del diritto Europeo alla protezione dei dati personali che sono state ultimamente sottoposte alla Corte di giustizia Ue. Infatti sono svariati i rinvii pregiudiziali attualmente pendenti davanti alla Corte che hanno ad oggetto il GDPR o la normativa sulla privacy previgente. È quindi raccomandabile continuare a monitorare gli sviluppi giurisprudenziali in questa materia.

@RIPRODUZIONE RISERVATA

Articolo 1 di 5