Newsletter - Studio Legale Internazionale Mondini Rusconi

NEWSLETTER INFORMATIVA
IN TEMA DI PRIVACY
Marzo 2016
PAESE CHE VAI… GARANTE CHE TROVI
Con sentenza del 1° ottobre 2015, nella causa C-230/14 (Weltimmo c. Nemzeti Adatvédelmi és
Információszabadság Hatóság), la Corte di Giustizia dell’Unione Europea è tornata ad occuparsi
della legge applicabile al trattamento dei dati personali e della competenza territoriale delle
autorità garanti dei singoli stati membri nell’ipotesi di un trattamento dei dati
“transfrontaliero” e di reclami presentati da soggetti residenti in Paesi diversi da quello in cui
ha sede il titolare del trattamento.
Come noto, l’art.4 della Direttiva 95/46/CE (implementato nel nostro ordinamento dall’art.5
del Codice Privacy) dispone che ciascuno Stato membro applichi le rispettive disposizioni
nazionali in tema di protezione dei dati personali “al trattamento effettuato nel contesto delle
attività di uno stabilimento del responsabile del trattamento nel territorio dello Stato membro”. Qualora
poi uno stesso responsabile del trattamento sia stabilito nel territorio di più Stati membri, esso
deve adottare le misure necessarie per assicurare l'osservanza, da parte di ciascuno di detti
stabilimenti, degli obblighi stabiliti dal diritto nazionale applicabile.
Sul punto, in particolare, la Corte ha avuto modo di ribadire quanto segue:
-
alla nozione di “stabilimento” va data una connotazione flessibile che prescinde dalla
forma giuridica;
tale connotazione si estende a “qualsiasi attività reale ed effettiva, anche minima, esercitata
tramite un’organizzazione stabile”;
non è necessario che il trattamento di dati personali venga effettuato “dallo” stesso
stabilimento interessato, bensì soltanto che venga effettuato “nel contesto delle attività”
di quest’ultimo (v. Sent. Google Spain e Google, C-131/12, punto 52);
Nel caso di specie, la Corte ha osservato che la società responsabile del trattamento svolgeva
indubbiamente un’attività reale ed effettiva in Ungheria, gestendo vari siti internet di annunci
immobiliari riguardanti beni situati in detto Stato, scritti in ungherese, avendo aperto un conto
corrente in Ungheria ed ivi avvalendosi di un rappresentante incaricato di negoziare con gli
inserzionisti il pagamento dei crediti insoluti e di rappresentare la società nel corso dei
procedimenti giudiziari ed amministrativi. Era inoltre indubbio che un trattamento di dati
personali avveniva nel contesto di tali attività svolte in Ungheria. Incidenter tantum nella
sentenza viene peraltro esclusa rilevanza al fatto che i titolari dei beni oggetto degli annunci
immobiliari fossero o meno cittadini ungheresi. Sulla scorta di tali rilievi ed una volta acclarati
dal giudice del rinvio le circostanze di cui sopra, è alla normativa ungherese in materia di
tutela dei dati che occorre fare riferimento.
In aggiunta a quanto sopra, la Corte ha rilevato che chiunque può presentare a ciascuna
autorità di controllo una domanda relativa alla tutela dei suoi diritti e libertà con riguardo al
trattamento di dati personali, anche se il diritto applicabile a tale trattamento è quello di un
altro Stato membro. Tuttavia, nel caso si applichi il diritto di un altro Stato membro, i poteri
d’intervento dell’autorità di controllo devono essere esercitati nel rispetto, in particolare, della
sovranità territoriale degli altri Stati membri, senza la possibilità di comminare sanzioni al di
fuori del territorio del suo Stato. Nel caso di specie, laddove venisse acclarato dal giudice del
rinvio che il responsabile non disponga nel territorio ungherese di uno «stabilimento»
nell’accezione sopra vista e che il diritto applicabile di conseguenza non sia quello ungherese,
l’autorità di controllo di quello Stato non potrebbe esercitare i poteri sanzionatori attribuitile
dal diritto ungherese, dovendo richiedere l’intervento dell’autorità di controllo dell’altro Stato
membro interessato.
Conseguenze per la prassi – La sentenza in commento evidenzia come una concezione
ampia e flessibile di “stabilimento” possa portare l’operatore ad essere sottoposto alla
legislazione straniera in materia di dati personali in caso di trattamento “transfrontaliero”
(specialmente tramite internet), con conseguente competenza della autorità di controllo di
altro Paese e possibile applicazione del relativo impianto sanzionatorio. Ciò deve indurre ad
una sempre maggior cautela nella predisposizione della propria privacy policy, che, pur nella
consapevolezza di un quadro normativo comune e sempre più armonizzato (a maggior
ragione con l’emanazione del nuovo Regolamento europeo sulla privacy), rispetti Paese per
Paese le singole legislazioni nazionali in materia.
Il caso nel dettaglio
La questione sottoposta alla Corte prende le mosse da una serie di contestazioni e reclami mossi da alcuni
inserzionisti di nazionalità ungherese nei confronti della società slovacca Weltimmo, titolare di un sito internet
di annunci immobiliari situati in Ungheria. Tale società consentiva la pubblicazione sul proprio sito di annunci
gratuiti per il primo mese, trascorso il quale dette inserzioni divenivano a pagamento, e, nell’ambito di detta
attività, raccoglieva e trattava i dati personali degli inserzionisti. Accadeva quindi che allo scadere del primo
mese diversi inserzionisti contattavano la Weltimmo attraverso posta elettronica per richiedere l’eliminazione
degli annunci e conseguentemente la cancellazione dei propri dati personali, senza tuttavia ricevere riscontri.
Per converso la Weltimmo iniziava a fatturare agli inserzionisti i servizi prestati, avvalendosi di una agenzia
ungherese per il recupero dei crediti.
In seguito ai fatti appena descritti, diversi inserzionisti presentavano reclamo alla Nemzeti Adatvédelmi és
Információszabadság Hatóság, autorità nazionale ungherese incaricata della protezione dei dati e della libertà
dell’informazione, la quale sanzionava la Weltimmo con una ammenda da dieci milioni di fiorini ungheresi
(HUF) (circa 32 000 euro) per violazione della legge ungherese sulla privacy.
Il successivo giudizio di impugnazione della sanzione portava quindi in ultima istanza la Kúria (Corte suprema
ungherese) ad interpellare la Corte di Giustizia dell’Unione Europea sulla possibilità per l’autorità ungherese
di controllo di applicare la legge ungherese adottata sulla base della direttiva 95/46/CE e di imporre l’ammenda
prevista da tale legge.
Contact info:
Studio Legale Mondini Rusconi
www.mondinirusconi.it
[email protected] – [email protected]