Language of document :

Sentenza della Corte (Seconda Sezione) del 29 luglio 2019 (domanda di pronuncia pregiudiziale proposta dall’Oberlandesgericht Düsseldorf - Germania) – Fashion ID GmbH & Co.KG / Verbraucherzentrale NRW eV

(Causa C-40/17)1

(Rinvio pregiudiziale – Tutela delle persone fisiche con riguardo al trattamento dei dati personali – Direttiva 95/46/CE – Articolo 2, lettera d) – Nozione di “responsabile del trattamento” – Gestore di un sito Internet che ha incorporato in quest’ultimo un plug-in social che consente la comunicazione dei dati personali del visitatore di tale sito al fornitore del suddetto plug-in – Articolo 7, lettera f) – Legittimazione del trattamento dei dati – Considerazione dell’interesse del gestore del sito Internet o di quello del fornitore del plug-in social – Articolo 2, lettera h), e articolo 7, lettera a) – Consenso della persona interessata – Articolo 10 – Informazione della persona interessata – Normativa nazionale che consente alle associazioni per la tutela degli interessi dei consumatori di agire in giudizio)

Lingua processuale: il tedesco

Giudice del rinvio

Oberlandesgericht Düsseldorf

Parti

Ricorrente: Fashion ID GmbH & Co.KG

Convenuta: Verbraucherzentrale NRW eV

Con l’intervento di: Facebook Ireland Ltd, Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen

Dispositivo

Gli articoli da 22 a 24 della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, devono essere interpretati nel senso che non ostano a una normativa nazionale che consente alle associazioni per la tutela degli interessi dei consumatori di agire in giudizio contro il presunto autore di una lesione della protezione dei dati personali.

Il gestore di un sito Internet, come la Fashion ID GmbH & Co. KG, il quale inserisce in detto sito un plug-in social che consente al browser del visitatore del medesimo sito di richiamare contenuti del fornitore del plug-in in parola e di trasferire in tal modo a detto fornitore dati personali del visitatore, può essere considerato responsabile del trattamento, ai sensi dell’articolo 2, lettera d), della direttiva 95/46. Tale responsabilità è tuttavia limitata all’operazione o all’insieme delle operazioni di trattamento dei dati personali di cui determina effettivamente le finalità e gli strumenti, vale a dire la raccolta e la comunicazione mediante trasmissione dei dati di cui trattasi.

In una situazione come quella di cui trattasi nel procedimento principale, in cui il gestore di un sito Internet inserisce in detto sito un plug-in social che consente al browser del visitatore del medesimo sito di richiamare contenuti del fornitore del plug-in in parola e di trasferire in tal modo a detto fornitore dati personali del visitatore, è necessario che detto gestore e detto fornitore perseguano ciascuno, con le operazioni di trattamento succitate, un interesse legittimo, ai sensi dell’articolo 7, lettera f), della direttiva 95/46, al fine di poter addurre una giustificazione per dette operazioni.

L’articolo 2, lettera h), e l’articolo 7, lettera a), della direttiva 95/46 devono essere interpretati nel senso che, in una situazione come quella di cui trattasi nel procedimento principale, in cui il gestore di un sito Internet inserisce in detto sito un plug-in social che consente al browser del visitatore del medesimo sito di richiamare contenuti del fornitore del plug-in in parola e di trasferire in tal modo a detto fornitore dati personali del visitatore, il consenso previsto in tali disposizioni deve essere ottenuto da detto gestore unicamente per quanto riguarda l’operazione o l’insieme delle operazioni di trattamento dei dati personali di cui il gestore determina le finalità e gli strumenti. Inoltre, l’articolo 10 di tale direttiva deve essere interpretato nel senso che, in una situazione del genere, l’obbligo di informazione previsto da tale disposizione incombe anche a detto gestore; l’informazione che quest’ultimo deve fornire alla persona interessata deve tuttavia riguardare soltanto l’operazione o l’insieme delle operazioni di trattamento dei dati personali di cui esso determina le finalità e gli strumenti.

____________

1 GU C 112 del 10.4.2017.