Mentre in Italia il 27 aprile entrava in vigore il decreto ministeriale recante il “Regolamento in materia di disciplina dell’elenco pubblico delle organizzazioni e associazioni di cui agli articoli 840-bis del codice di procedura civile e 196-ter delle disposizioni per l’attuazione del codice di procedura civile, come introdotti dalla legge 12 aprile 2019, n. 31, recante disposizioni in materia di azione di classe”, regolamento attuativo volto a disciplinare l’istituzione dell’elenco delle organizzazioni e associazioni legittimate a proporre l’azione di classe a tutela di diritti individuali omogenei nonché l’azione inibitoria collettiva, in Lussemburgo la Corte di Giustizia dell’Unione Europea pronunciava un’importante sentenza, nella causa che vedeva da un lato Meta Platforms – ex Facebook – e dall’altro l’Unione federale tedesca delle centrali e delle associazioni di consumatori, non solo per il caso in questione ma più in generale per la tutela degli utenti-consumatori delle piattaforme online.
La contesa riguardava l’acquisizione e la successiva pubblicazione, da parte di alcuni soggetti terzi che sviluppano giochi per la sezione Applicazioni della piattaforma Meta, dei dati personali degli utenti e, in un caso, anche le foto di questi.
La Corte ha statuito che l’articolo 80, paragrafo 2, del Regolamento Generale sulla Protezione dei dati “non osta a che un’associazione di tutela degli interessi dei consumatori possa agire in giudizio, in assenza di un mandato che le sia stato conferito a tale scopo e indipendentemente dalla violazione di specifici diritti degli interessati, contro il presunto autore di un atto pregiudizievole per la protezione dei dati personali, facendo valere la violazione del divieto delle pratiche commerciali sleali, la violazione di una legge in materia di tutela dei consumatori o la violazione del divieto di utilizzazione di condizioni generali di contratto nulle”. Questo purché ovviamente il trattamento dei dati in questione rechi, anche solo potenzialmente, un pregiudizio dei diritti delle persone fisiche identificate o identificabili.
In particolare, la Corte ha ritenuto che sebbene l’art. 80 rientri tra le disposizioni che lasciano agli Stati membri un margine di discrezionalità riguardo l’attuazione delle normative nazionali, ciò non toglie che gli Stati debbano riconoscere modalità di rappresentanza degli interessati. Questo avviene qualora l’organismo, l’organizzazione o l’associazione soddisfi i criteri elencati dall’art. 80 paragrafo 1 – senza scopo di lucro, con obiettivi di pubblico interesse e attiva nel settore – e, contestualmente, che l’entità in questione, indipendentemente da qualsiasi mandato che le sia stato conferito, ritenga che i diritti dell’interessato siano stati violati in seguito al trattamento dei suoi dati personali.
I vantaggi pro futuro sono lampanti e la stessa Corte ha riconosciuto che questo meccanismo “contribuisce incontestabilmente a rafforzare i diritti degli interessati e ad assicurare loro un livello elevato di protezione”. Questo, come è stato fatto notare da alcuni esperti, “consente anche di dare un seguito a quei casi in cui il Garante irroga sanzioni alle imprese per violazioni della privacy, ma senza che i consumatori abbiano un ristoro diretto degli illeciti subiti”.
