Sintesi del parere del Garante europeo della protezione dei dati sul pacchetto legislativo «Un New Deal per i consumatori»

[Il testo integrale del presente parere è disponibile in inglese, francese e tedesco sul sito web del GEPD www.edps.europa.eu]

(2018/C 432/04)

Il presente parere delinea la posizione del GEPD relativa al pacchetto legislativo dal titolo: «Un new deal per i consumatori» (A New Deal for Consumers), che si compone della proposta di una direttiva per una migliore applicazione e una modernizzazione delle norme dell’UE relative alla protezione dei consumatori e della proposta di direttiva relativa alle azioni rappresentative a tutela degli interessi collettivi dei consumatori.

Il GEPD si compiace dell’intenzione della Commissione di modernizzare le norme esistenti in un settore i cui obiettivi sono strettamente allineati a quelli del quadro aggiornato recentemente in materia di protezione dei dati. Riconosce la necessità di colmare le lacune nell’attuale acquis dei consumatori al fine di rispondere alla sfida rappresentata dai modelli di business predominanti per i servizi digitali che si basano sulla raccolta e sulla monetizzazione su vasta scala di dati a carattere personale e sulla manipolazione dell’attenzione dei cittadini attraverso contenuti mirati. Si tratta di un’opportunità unica per migliorare il diritto dei consumatori al fine di rimediare alle crescenti disparità e pratiche sleali tra individui e potenti imprese sui mercati digitali.

In particolare, il GEPD sostiene l’obiettivo di estendere il campo di applicazione della direttiva 2011/83/UE del Parlamento europeo e del Consiglio (1) al fine di consentire ai consumatori, che ricevono servizi non resi nei confronti di un prezzo monetario, di beneficiare del quadro di protezione offerto dalla presente direttiva, in quanto ciò rispecchia la realtà economica e le esigenze attuali.

La proposta ha tenuto conto delle raccomandazioni del parere 4/2017 del GEPD e si astiene dall’utilizzare il termine «controprestazione» o dalla distinzione tra dati «attivi» o «passivi» forniti dai consumatori ai fornitori di contenuti digitali. Tuttavia, il GEPD rileva con preoccupazione che le nuove definizioni previste dalla proposta introducono il concetto di contratti per la fornitura di un contenuto digitale o di un servizio digitale per il quale i consumatori possono «pagare» con i propri dati personali invece di pagare con denaro. Questo nuovo approccio non risolve i problemi causati dall’uso del termine «controprestazione» o facendo un’analogia tra la fornitura di dati personali e il pagamento di un prezzo. In particolare, tale approccio non tiene sufficientemente conto della natura giuridica fondamentale della protezione dei dati, considerando i dati personali come un mero bene economico.

Il regolamento generale sulla protezione dei dati (GDPR) ha già stabilito un equilibrio in merito alle circostanze in cui può avvenire il trattamento dei dati personali nell’ambiente digitale. La proposta dovrebbe evitare di promuovere approcci che potrebbero essere interpretati in modo incompatibile con l’impegno dell’UE a tutelare pienamente i dati personali contenuti nel regolamento generale sulla protezione dei dati. Per garantire un’ampia tutela dei consumatori senza rischiare di compromettere i principi della normativa in materia di protezione dei dati, si potrebbe prevedere un approccio alternativo, ad esempio basato sull’ampia definizione di un «servizio» della direttiva sul commercio elettronico, sulla definizione del campo di applicazione territoriale del regolamento generale sulla protezione dei dati o sull’articolo 3, paragrafo 1, dell’approccio generale del Consiglio sulla proposta relativa al contenuto digitale.

Il GEPD raccomanda pertanto di astenersi dal fare riferimento ai dati personali nelle definizioni del «contratto per la fornitura di contenuto digitale non fornito su supporto materiale» e del «contratto per servizi digitali» e suggerisce di basarsi invece su un concetto di contratto in base al quale un operatore fornisce o si impegna a fornire un contenuto digitale specifico o un servizio digitale al consumatore «indipendentemente dal fatto che sia richiesto un pagamento al consumatore».

Inoltre, il GEPD richiama l’attenzione su diverse potenziali interferenze della proposta con l’applicazione del quadro dell’UE sulla protezione dei dati, in particolare con il regolamento generale sulla protezione dei dati, e formula delle raccomandazioni.

In primo luogo, il GEPD sottolinea che il trattamento dei dati personali può essere effettuato solo dagli operatori conformemente al quadro dell’UE per la protezione dei dati, in particolare al regolamento generale sulla protezione dei dati.

In secondo luogo, il GEPD teme che se il concetto di «contratti per la fornitura di un contenuto digitale o di un servizio digitale per il quale i consumatori forniscono dati personali, anziché pagare con il denaro» è stato introdotto dalla proposta, essa potrebbe indurre in errore i fornitori di servizi che sarebbero portati a credere che il trattamento dei dati basato sul consenso nell’ambito di un contratto sia conforme sotto il profilo legale in tutti i casi, anche se non sono soddisfatte le condizioni per un valido consenso contenute nel regolamento generale sulla protezione dei dati. Ciò comprometterebbe la certezza del diritto.

In terzo luogo, la complessa interazione tra il diritto di recesso dal contratto e la revoca del consenso al trattamento dei dati personali, nonché l’obbligo del professionista di rimborsare il consumatore in caso di recesso, dimostra la difficoltà di conciliare il concetto di «contratti per la fornitura di un contenuto digitale o di un servizio digitale per il quale i consumatori forniscono i loro dati personali, anziché pagare con il denaro» introdotto dalla proposta con la natura giuridica fondamentale dei dati personali e il regolamento generale sulla protezione dei dati.

Inoltre, il GEPD ritiene che la proposta debba modificare l’articolo 3 della direttiva 2011/83/UE e introdurre una disposizione in base alla quale, in caso di conflitto tra la direttiva 2011/83/UE e il quadro giuridico relativo alla protezione dei dati, prevale quest’ultima.

Inoltre, il GEPD accoglie con favore la nuova proposta sui ricorsi collettivi, che intende agevolare i ricorsi per i consumatori in cui molti consumatori sono vittime della stessa infrazione, in una cosiddetta situazione di danno collettivo. Il GEPD si basa sul presupposto che il meccanismo di ricorso previsto nella proposta di ricorso collettivo sia complementare a quello di cui all’articolo 80 del regolamento generale sulla protezione dei dati riguardo alla rappresentanza degli interessati.

Tuttavia, nella misura in cui la protezione dei dati personali rientri nell’ambito dell’azione collettiva prevista dalla proposta, il GEPD ritiene che «le entità qualificate» che saranno in grado di portare le azioni rappresentative in questo campo in base alla proposta dovrebbero essere soggette alle stesse condizioni di cui all’articolo 80 del regolamento generale sulla protezione dei dati.

Analogamente, la proposta di ricorso collettivo dovrebbe chiarire che le azioni rappresentative in materia di protezione dei dati possono essere intentate solo dinanzi alle autorità amministrative che sono autorità di controllo della protezione dei dati ai sensi dell’articoli 4, paragrafo 21 e dell’articolo 51 del regolamento generale sulla protezione dei dati.

In conclusione, il GEPD ritiene che l’applicazione di due diversi meccanismi di ricorso collettivo, del regolamento generale sulla protezione dei dati e del futuro regolamento relativo alla vita privata e alle comunicazioni elettroniche, insieme ad altri punti sostanziali di interazione tra protezione dei consumatori e protezione dei dati, richieda una cooperazione più sistematica tra le autorità di protezione dei consumatori e di protezione dei dati, ad esempio nell’ambito della rete volontaria già esistente degli organi di contrasto della concorrenza, dei settori dei consumatori e della protezione dei dati, la Digital Clearinghouse (la struttura di coordinamento digitale).

Infine il GEPD accoglie con favore l’iniziativa volta ad aggiornare l’applicazione delle regole dei consumatori: la revisione del regolamento sulla cooperazione per la tutela dei consumatori. In questo contesto, il GEPD ritiene importante esplorare ulteriormente le sinergie tra la protezione dei dati e il diritto inteso alla protezione dei consumatori. La cooperazione tra le autorità per la protezione dei consumatori e le autorità per la protezione dei dati dovrebbe diventare più sistematica quando si presentano problemi specifici di interesse comune per entrambe le parti, in cui sembrano essere in gioco il benessere dei consumatori e la protezione dei dati.

I. INTRODUZIONE E CONTESTO

1. «la Commissione» ) ha pubblicato la comunicazione « Un New Deal per i consumatori » la comunicazione »), corredata di due proposte legislative: L’11 aprile 2018 la Commissione europea (di seguito) ha pubblicato la comunicazione « ( 2 ) (di seguito «»), corredata di due proposte legislative: — proposta di direttiva che modifica la direttiva 93/13/CEE del Consiglio, la direttiva 98/6/CE, la direttiva 2005/29/CE e la direttiva 2011/83/UE per quanto riguarda una migliore applicazione e modernizzazione delle norme UE di protezione dei consumatori (3); — proposta di direttiva riguardante azioni rappresentative per la tutela degli interessi collettivi dei consumatori e che abroga la direttiva 2009/22/CE (4).

2. Le due proposte devono essere considerate come un pacchetto con obiettivi comuni, in particolare atto a: — modernizzare le norme esistenti e colmare le lacune dell’attuale acquis relativo ai consumatori; — offrire ai consumatori migliori opportunità di ricorso, sostenere un’applicazione efficace e una più stretta cooperazione delle autorità pubbliche in un mercato unico equo e sicuro; — intensificare la cooperazione con i paesi partner al di fuori dell’UE; — garantire la parità di trattamento dei consumatori nel mercato unico e garantire che le autorità nazionali competenti siano abilitate ad affrontare eventuali problemi di «duplice qualità» dei prodotti di consumo; — migliorare la comunicazione e lo sviluppo di capacità per rendere i consumatori più consapevoli dei loro diritti e aiutare gli operatori commerciali, in particolare le piccole e medie imprese, a conformarsi più facilmente ai loro obblighi; — esaminare le sfide future per la politica dei consumatori in un contesto economico e tecnologico in rapida evoluzione.

3. Più specificamente, la proposta relativa a una migliore applicazione e modernizzazione delle norme UE a tutela dei consumatori (di seguito « la proposta ») mira a realizzare i seguenti miglioramenti: — sanzioni più efficaci, proporzionate e dissuasive per le infrazioni transfrontaliere diffuse; — diritto dei consumatori a rimedi individuali; — maggiore trasparenza per i consumatori nei mercati online; — estensione della tutela dei consumatori ai servizi digitali; — eliminazione degli oneri per le imprese; — chiarire la libertà degli Stati membri di adottare norme su alcune forme e aspetti delle vendite fuori dei locali commerciali; — chiarire le norme sulla commercializzazione ingannevole di prodotti di duplice qualità.

4. Inoltre, la proposta di direttiva relativa alle azioni rappresentative a tutela degli interessi collettivi dei consumatori (di seguito « la proposta sul ricorso collettivo ») intende agevolare i ricorsi per i consumatori in cui molti consumatori sono vittime della stessa infrazione, in una cosiddetta situazione di danno collettivo.

5. Al momento dell’adozione di queste due proposte, il GEPD non era stato consultato dalla Commissione.

VII. CONCLUSIONE

Sulla proposta:

69. Il GEPD si compiace dell’intenzione della Commissione di modernizzare le norme esistenti e di colmare le lacune dell’attuale acquis relativo ai consumatori al fine di rispondere alle sfide attuali, ad esempio i nuovi modelli imprenditoriali, in cui ai consumatori, interessati ad accedere a contenuti o servizi digitali, vengono richiesti dati personali.

70. Tuttavia, il GEPD rileva con preoccupazione che le nuove definizioni previste dalla proposta introducono il concetto di contratti per la fornitura di un contenuto digitale o di un servizio digitale per il quale i consumatori possono « pagare » con i propri dati personali invece di pagare con denaro. Il GEPD desidera sottolineare che questo nuovo approccio non risolve i problemi causati dall’uso del termine « controprestazione » o dalla creazione di un’analogia tra la fornitura di dati personali e il pagamento di un prezzo. In particolare, tale nuovo approccio non tiene sufficientemente conto della natura giuridica fondamentale della protezione dei dati, considerando che i dati personali sono un mero bene economico. Per garantire un’ampia tutela dei consumatori senza rischiare di compromettere i principi della normativa in materia di protezione dei dati, si potrebbe prevedere un approccio alternativo, ad esempio basato sull’ampia definizione di «servizio» della direttiva sul commercio elettronico, sulla definizione del campo di applicazione territoriale del regolamento generale sulla protezione dei dati o sull’articolo 3, paragrafo 1, dell’approccio generale del Consiglio sulla proposta relativa al contenuto digitale.

71. Il GEPD raccomanda pertanto di astenersi dal fare riferimento ai dati personali nelle definizioni del « contratto per la fornitura di contenuto digitale che non è fornito su supporto materiale » e del « contratto di servizio digitale » e suggerisce di basarsi invece su un concetto di contratto in base al quale un operatore fornisce o si impegna a fornire un contenuto digitale specifico o un servizio digitale al consumatore « indipendentemente dal fatto che sia richiesto un pagamento al consumatore ».

72. Inoltre, il GEPD richiama l’attenzione su diverse potenziali interferenze della proposta con l’applicazione del quadro dell’UE sulla protezione dei dati, in particolare con il regolamento generale sulla protezione dei dati, e fornisce delle raccomandazioni: — il trattamento dei dati personali può essere effettuato solo dagli operatori conformemente al quadro dell’UE in materia di protezione dei dati, in particolare in linea con il regolamento generale sulla protezione dei dati; — se il concetto di «contratti di fornitura di contenuto digitale o di servizio digitale per i quali i consumatori forniscono i propri dati personali, anziché versare denaro» è stato introdotto dalla proposta, essa potrebbe indurre in errore i prestatori che sarebbero portati a credere che il trattamento dei dati basato sul consenso nell’ambito di un contratto sia conforme sotto il profilo legale in tutti i casi, anche se non sono soddisfatte le condizioni per un valido consenso indicate nel regolamento generale sulla protezione dei dati. Ciò comprometterebbe la certezza del diritto; — un periodo di 14 giorni per recedere dal contratto introdotto dalla proposta non può essere considerato una restrizione al diritto di revocare l’autorizzazione in qualsiasi momento previsto dal regolamento generale sulla protezione dei dati; — non è possibile valutare il valore dei dati personali in caso di recesso dal contratto. Ci si chiede pertanto se la proposta possa effettivamente garantire una ricompensa adeguata per i consumatori.

73. Inoltre, il GEPD ritiene che la proposta debba modificare l’articolo 3 della direttiva 2011/83/UE e introdurre una disposizione che stabilisca chiaramente che, in caso di conflitto tra la direttiva 2011/83/UE e il quadro giuridico relativo alla protezione dei dati, prevale quest’ultima.

Proposta di ricorso collettivo:

74. Inoltre, il GEPD accetta con favore la nuova proposta sui ricorsi collettivi, che intende agevolare i ricorsi per i consumatori in cui molti consumatori sono vittime della stessa infrazione, in una cosiddetta situazione di danno collettivo.

75. Tuttavia, nella misura in cui la protezione dei dati personali rientri nell’ambito dell’azione collettiva prevista dalla proposta, il GEPD ritiene che « le entità qualificate » che saranno in grado di portare le azioni rappresentative in questo campo in base alla proposta dovrebbero essere soggette alle stesse condizioni di cui all’articolo 80 del regolamento generale sulla protezione dei dati.

76. Analogamente, la proposta di ricorso collettivo dovrebbe chiarire che le azioni rappresentative in materia di protezione dei dati possono essere intentate solo dinanzi alle autorità amministrative che sono autorità di controllo della protezione dei dati ai sensi dell’articolo 4, paragrafo 21 e dell’articolo 51 del regolamento generale sulla protezione dei dati.

77. Il GEPD ritiene inoltre che l’applicazione di due diversi meccanismi di ricorso collettivo, del regolamento generale sulla protezione dei dati e del futuro regolamento relativo alla vita privata e alle comunicazioni elettroniche, insieme ad altri punti sostanziali di interazione tra protezione dei consumatori e protezione dei dati, richieda una cooperazione più sistematica tra le autorità di protezione dei consumatori e quelle di protezione dei dati, ad esempio nell’ambito della rete volontaria già esistente degli organi di contrasto della concorrenza, dei settori dei consumatori e della protezione dei dati, la Digital Clearinghouse (la struttura di coordinamento digitale).

Per quanto riguarda la revisione del regolamento sulla cooperazione per la tutela dei consumatori:

78. Il GEPD accoglie con favore l’iniziativa volta ad aggiornare l’applicazione delle regole dei consumatori: la revisione del regolamento sulla cooperazione per la tutela dei consumatori.

79. In questo contesto, il GEPD ritiene importante esplorare ulteriormente le sinergie tra la protezione dei dati e il diritto inteso alla protezione dei consumatori. La cooperazione tra le autorità per la protezione dei consumatori e la protezione dei dati dovrebbe diventare più sistematica quando si presentano problemi specifici di interesse comune per entrambe le parti, in cui il benessere dei consumatori e la protezione dei dati sembrano essere in gioco.

Bruxelles, 5 ottobre 2018 Giovanni BUTTARELLI European Data Protection Supervisor

(1) GU L 304 del 22.11.2011, pag. 64.

(2) Comunicazione della Commissione al Parlamento europeo, al Consiglio e al Comitato economico e sociale europeo «Un “New Deal” per i consumatori», COM(2018) 183 final.

(3) Proposta di direttiva del Parlamento europeo e del Consiglio che modifica la direttiva 93/13/CEE del Consiglio del 5 aprile 1993, la direttiva 98/6/CE del Parlamento europeo e del Consiglio, la direttiva 2005/29/CE del Parlamento europeo e del Consiglio e la direttiva 2011/83/UE del Parlamento europeo e del Consiglio per una migliore applicazione e una modernizzazione delle norme dell'UE relative alla protezione dei consumatori, COM(2018) 185 final.

(4) Proposta di direttiva del Parlamento europeo e del Consiglio relativa alle azioni rappresentative a tutela degli interessi collettivi dei consumatori e che abroga la direttiva 2009/22/CE, COM(2018) 184 final.